Accord de traitement des données

Les engagements d’Otus quand il traite, pour votre compte, les données de vos clients, Acheteurs, fournisseurs et membres (article 28 du RGPD).

Version du 22 octobre 2026

1. Parties et objet

Cet accord lie le Client, responsable de traitement, et Otus, sous-traitant, pour les données personnelles que le Client gère dans Otus. Il fait partie des conditions générales et s’applique dès la création du compte, sans signature distincte.

2. Description du traitement

Objet	Fournir le service Otus : tenue des fiches, émission et envoi des documents, encaissements, Site et boutique, statistiques, exports.
Durée	Celle du compte du Client, puis 30 jours pour l’export avant suppression.
Personnes concernées	Les clients et prospects du Client et leurs contacts, ses Acheteurs, ses fournisseurs, les Membres de son espace.
Données	Identité et coordonnées, informations professionnelles (société, numéros de TVA et d’entreprise), adresses, échanges et documents commerciaux, montants et paiements, commandes. Aucune donnée sensible n’est attendue : le Client s’engage à ne pas en saisir.
Opérations	Enregistrement, conservation, consultation, mise en forme, transmission (e-mails, pages en ligne et, si le Client active la facturation électronique, à la plateforme agréée et à l’administration fiscale), export, suppression.

3. Engagements d’Otus

Traiter les données uniquement sur instruction documentée du Client, ces conditions et l’usage qu’il fait d’Otus valant instruction, et le prévenir si une instruction lui paraît contraire à la loi.
Garantir la confidentialité des données : seuls l’éditeur et ses prestataires y accèdent, dans la mesure nécessaire au service, et sont tenus au secret.
Mettre en œuvre les mesures de sécurité décrites à l’article 6.
Aider le Client à répondre aux demandes des personnes concernées (l’export et la modification des fiches le permettent directement), à assurer la sécurité et, au besoin, à mener une analyse d’impact.
Notifier au Client toute violation de données le concernant dans les 48 heures après en avoir pris connaissance, avec les informations utiles.
Ne jamais utiliser les données pour son propre compte : ni publicité, ni revente, ni entraînement de modèles d’intelligence artificielle.

4. Sous-traitants ultérieurs

Le Client autorise Otus à recourir aux prestataires listés dans la politique de confidentialité (Supabase, Vercel, Resend, Stripe et, selon les fonctions utilisées, DeepL et Brandfetch). Si le Client active la facturation électronique, Otus transmet aussi ses factures et ses déclarations à la plateforme agréée (Super PDP, éditée par SUPER G, en France), avec laquelle le Client contracte directement. Otus leur impose des obligations équivalentes à celles de cet accord et reste responsable de leurs actes envers le Client.

Otus annonce tout nouveau prestataire au moins 30 jours à l’avance, par e-mail ou dans l’application. Le Client peut s’y opposer pour un motif légitime ; à défaut d’accord, il peut résilier sans frais.

5. Transferts hors de l’Union européenne

Les données sont stockées dans l’Union européenne. Quand un prestataire les traite hors de l’Union, le transfert est encadré par le cadre de protection des données UE-États-Unis ou par les clauses contractuelles types de la Commission européenne.

6. Mesures de sécurité

Chiffrement des échanges (HTTPS) et des données au repos chez notre hébergeur de base de données.
Cloisonnement de chaque espace au niveau de la base de données : chaque ligne n’est lisible et modifiable que par les membres de son espace.
Mots de passe jamais stockés en clair, double authentification disponible.
Accès techniques limités à l’éditeur, clés de service jamais exposées dans le navigateur.
Journal des actions sensibles dans chaque espace.
Sauvegardes assurées par notre hébergeur de base de données.

7. Fin du traitement

À la fermeture du compte, le Client dispose de 30 jours pour exporter ses données (export complet en un clic, en formats ouverts). Otus supprime ensuite les données et leurs copies, sauf obligation légale de conservation. Les sauvegardes s’effacent selon leur propre cycle.

8. Contrôle

Otus met à la disposition du Client les informations nécessaires pour démontrer le respect de cet accord. Le Client peut, à ses frais et sur préavis de 30 jours, faire réaliser un audit par un tiers tenu au secret, au plus une fois par an, sans accès aux données des autres utilisateurs.

9. Obligations du Client

Le Client veille à disposer d’une base légale pour les données qu’il saisit, informe les personnes concernées (notamment ses Acheteurs, via la page de confidentialité de son Site, qu’il complète si besoin) et répond à leurs demandes, avec l’aide d’Otus.

2. Description du traitement

Objet	Fournir le service Otus : tenue des fiches, émission et envoi des documents, encaissements, Site et boutique, statistiques, exports.
Durée	Celle du compte du Client, puis 30 jours pour l’export avant suppression.
Personnes concernées	Les clients et prospects du Client et leurs contacts, ses Acheteurs, ses fournisseurs, les Membres de son espace.
Données	Identité et coordonnées, informations professionnelles (société, numéros de TVA et d’entreprise), adresses, échanges et documents commerciaux, montants et paiements, commandes. Aucune donnée sensible n’est attendue : le Client s’engage à ne pas en saisir.
Opérations	Enregistrement, conservation, consultation, mise en forme, transmission (e-mails, pages en ligne et, si le Client active la facturation électronique, à la plateforme agréée et à l’administration fiscale), export, suppression.

3. Engagements d’Otus

Traiter les données uniquement sur instruction documentée du Client, ces conditions et l’usage qu’il fait d’Otus valant instruction, et le prévenir si une instruction lui paraît contraire à la loi.

Garantir la confidentialité des données : seuls l’éditeur et ses prestataires y accèdent, dans la mesure nécessaire au service, et sont tenus au secret.

Mettre en œuvre les mesures de sécurité décrites à l’article 6.

Aider le Client à répondre aux demandes des personnes concernées (l’export et la modification des fiches le permettent directement), à assurer la sécurité et, au besoin, à mener une analyse d’impact.

Notifier au Client toute violation de données le concernant dans les 48 heures après en avoir pris connaissance, avec les informations utiles.

Ne jamais utiliser les données pour son propre compte : ni publicité, ni revente, ni entraînement de modèles d’intelligence artificielle.

4. Sous-traitants ultérieurs

6. Mesures de sécurité

Chiffrement des échanges (HTTPS) et des données au repos chez notre hébergeur de base de données.

Cloisonnement de chaque espace au niveau de la base de données : chaque ligne n’est lisible et modifiable que par les membres de son espace.

Mots de passe jamais stockés en clair, double authentification disponible.

Accès techniques limités à l’éditeur, clés de service jamais exposées dans le navigateur.

Journal des actions sensibles dans chaque espace.

Sauvegardes assurées par notre hébergeur de base de données.