Accord de traitement des données

Version 1.2.2 · publiée le 8 octobre 2026 · en vigueur pour les utilisateurs existants à partir du 7 novembre 2026

Télécharger en PDF

Le présent Accord de traitement des données (« Accord ») régit le traitement des données personnelles par le Sous-traitant pour le compte du Responsable du traitement dans le cadre du service StatementBridge, au sens de l'article 28 du Règlement général sur la protection des données (RGPD). Le présent Accord de traitement des données fait partie des Conditions générales de StatementBridge et est accepté avec elles.

Sous-traitant : FIDURO B.V., Stephensonweg 6, 4207 HB Gorinchem, RCS 78200695

Responsable du traitement : l'Utilisateur (toute entreprise, personne morale ou professionnel qui utilise StatementBridge)

Article 1 — Définitions

1. Responsable du traitement : l'Utilisateur de StatementBridge qui détermine les finalités et les moyens du traitement des données personnelles.
2. Sous-traitant : FIDURO B.V., qui traite les données personnelles pour le compte du Responsable du traitement dans le cadre du service StatementBridge.
3. Personne concernée : la personne physique à laquelle se rapportent les données personnelles.
4. Données personnelles : toute information se rapportant à une personne physique identifiée ou identifiable, telle que visée à l'article 4(1) du RGPD.
5. Sous-traitant ultérieur : un tiers engagé par le Sous-traitant pour effectuer (une partie du) traitement.
6. RGPD : le Règlement général sur la protection des données (Règlement (UE) 2016/679).

Article 2 — Objet et durée

1. Le présent Accord porte sur le traitement des données personnelles qui a lieu dans le cadre du service StatementBridge, une application en ligne pour la conversion de relevés bancaires et de fichiers de transactions entre différents formats de fichiers.
2. La durée du présent Accord est égale à la période pendant laquelle le Responsable du traitement dispose d'un compte actif auprès de StatementBridge.
3. Le fichier source est supprimé au plus tard 1 heure(s) après le téléversement ; s’il subsiste après une interruption, le nettoyage automatique le supprime en général sous 25 heures. Les fichiers exportés contiennent des données de transaction et sont téléchargeables pendant 24 heures au maximum ; ils sont ensuite supprimés au nettoyage suivant. Les métadonnées de conversion et les coordonnées de compte enregistrées sont conservées. Les fichiers que vous nous envoyez vous-même par e-mail, par exemple pour une question au support, restent dans notre boîte de support jusqu’à ce que nous les supprimions ; évitez d’y joindre des relevés complets. Les connexions utilisent HTTPS ; l’application et la base de données fonctionnent à Francfort. Lors d’un scan par IA, le contenu du PDF est transmis au fournisseur d’IA.

Article 3 — Nature et finalité du traitement

1. Le traitement concerne la conversion de relevés bancaires et de fichiers de transactions entre des formats tels que MT940, CAMT.053, CAMT.054, CSV, Excel, OFX, CODA, DATEV et PDF.
2. La finalité du traitement est de convertir les données de transactions financières dans un format de fichier compatible avec le logiciel comptable du Responsable du traitement.
3. Le Responsable du traitement peut, à titre optionnel, lancer l'extraction par IA de fichiers PDF ; elle ne démarre qu'après sa confirmation. (a) Pour un scan par IA payé en crédits, le Sous-traitant fait appel à Mistral AI en tant que sous-traitant ultérieur (article 7). (b) Lorsque le Responsable du traitement utilise sa propre clé API (Pro), le Sous-traitant transmet le contenu du PDF, sur instruction du Responsable du traitement, au fournisseur choisi par celui-ci (Anthropic, OpenAI, Google, Mistral ou xAI). Ce fournisseur n'est pas un sous-traitant ultérieur du Sous-traitant et traite les données dans le cadre du contrat entre le Responsable du traitement et ce fournisseur.

Article 4 — Types de données personnelles

Pour le compte du Responsable du traitement, le Sous-traitant traite :

• les données de transaction des fichiers téléversés et exportés : IBAN, montants, descriptions, dates, références et noms des contreparties ;
• les coordonnées de compte enregistrées dans les profils et le carnet d'adresses : nom, banque, IBAN (chiffré), BIC, devise, correspondance des colonnes et paramètres d'export ;
• les métadonnées de conversion : formats, nombres, statut, diagnostics d'erreur et paramètres, dont un numéro de compte masqué, ainsi que les empreintes du fichier source et des mouvements d'argent qui permettent un ré-export gratuit ;
• le contenu PDF transmis à un fournisseur d'IA lors de l'extraction par IA.

FIDURO traite en tant que responsable du traitement les données de compte, de paiement, de consentement et techniques de l'Utilisateur lui-même (adresse e-mail, adresse IP, données Stripe) ; voir la Politique de confidentialité.

Article 5 — Catégories de personnes concernées

1. Titulaires de comptes et collaborateurs du Responsable du traitement dont les données figurent dans les fichiers téléversés ou dans les coordonnées de compte enregistrées.
2. Les tiers dont les données figurent dans les relevés bancaires : les contreparties et bénéficiaires des transactions contenues dans les fichiers téléversés.

Article 6 — Obligations du Sous-traitant

Le Sous-traitant s'engage à :

1. Ne traiter les données personnelles que sur la base d'instructions documentées du Responsable du traitement, sauf si une obligation légale l'exige.
2. S'assurer que les personnes autorisées à traiter les données personnelles se sont engagées à la confidentialité ou sont soumises à une obligation légale de confidentialité appropriée.
3. Prendre toutes les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, tel que visé à l'article 32 du RGPD.
4. Respecter les conditions relatives à l'engagement de sous-traitants ultérieurs telles que décrites à l'article 7 du présent Accord.
5. Assister le Responsable du traitement dans la réponse aux demandes des Personnes concernées en vue d'exercer leurs droits en vertu du RGPD.
6. Assister le Responsable du traitement dans la réalisation d'une Analyse d'impact relative à la protection des données (AIPD) si nécessaire.
7. Supprimer les données personnelles après la fin des services de traitement conformément à l'article 12, sauf si la conservation est requise par la loi. Restitution : le Responsable du traitement peut récupérer lui-même ses coordonnées de compte enregistrées et ses métadonnées de conversion avant la résiliation via l'export dans les paramètres du compte ; les fichiers exportés sont téléchargeables pendant 24 heures au maximum après leur création.
8. Mettre à disposition toutes les informations nécessaires pour démontrer le respect des obligations prévues à l'article 28 du RGPD, et permettre et contribuer à des audits.

Article 7 — Sous-traitants ultérieurs

Le Responsable du traitement accorde au Sous-traitant une autorisation écrite générale pour engager les sous-traitants ultérieurs suivants :

Les fournisseurs que le Responsable du traitement choisit lui-même avec sa propre clé API ne sont pas des sous-traitants ultérieurs (article 3.3).

1. Le Sous-traitant informera le Responsable du traitement à l'avance de tout changement prévu concernant l'ajout ou le remplacement de sous-traitants ultérieurs, via l'historique des modifications sur cette page et un avis dans le Service.
2. Le Responsable du traitement a le droit de s'opposer aux changements de sous-traitants ultérieurs dans les 30 jours suivant la publication. Si l'objection ne peut être résolue, le Responsable du traitement a le droit de résilier l'Accord.
3. Le Sous-traitant veille à ce que les mêmes obligations de protection des données que celles énoncées dans le présent Accord soient imposées à chaque sous-traitant ultérieur.

Article 8 — Transferts en dehors de l'EEE

1. Les données personnelles ne sont transférées vers des pays hors de l'EEE qu'avec une garantie appropriée au sens du chapitre V du RGPD, telle qu'une décision d'adéquation (y compris le cadre de protection des données UE-États-Unis pour les destinataires certifiés) ou des clauses contractuelles types, telles que prévues dans les conditions du sous-traitant ultérieur concerné.
2. Pour l'extraction par IA avec sa propre clé API, le Responsable du traitement choisit lui-même le fournisseur et donc le lieu de traitement.
3. Le Sous-traitant veille à ce que tout transfert de données personnelles vers un pays situé en dehors de l'Espace Économique Européen (EEE) soit conforme au chapitre V du RGPD.

Article 9 — Mesures de sécurité (art. 32 RGPD)

Le Sous-traitant a mis en œuvre les mesures de sécurité techniques et organisationnelles suivantes :

• Transport chiffré — toutes les communications passent par HTTPS (TLS).
• Hachage des mots de passe — les mots de passe sont stockés sous forme de hash bcrypt, jamais en clair.
• Chiffrement des secrets au repos — les clés API et les IBAN des profils enregistrés et du carnet d'adresses sont chiffrés lors de l'enregistrement (Fernet : AES-128 avec HMAC).
• Conservation limitée — les fichiers source sont supprimés après traitement et les exports sont téléchargeables pendant 24 heures au maximum ; voir les durées de conservation dans la politique de confidentialité.
• Cookies — le cookie de session est HttpOnly, Secure et SameSite=Strict ; le cookie de connexion est HttpOnly et le serveur vérifie lui-même son âge.
• Limites de requêtes — notamment sur la connexion, les liens de connexion, la réinitialisation du mot de passe, les téléversements, les exports et l'API, et blocage temporaire après des échecs de connexion répétés.
• Contrôle d'accès — les téléchargements sont liés au compte qui a créé la conversion et à un jeton par fichier ; les utilisateurs n'accèdent qu'à leurs propres données ; les fonctions d'administration sont réservées aux administrateurs désignés de FIDURO.
• Politique de sécurité du contenu (CSP) — limite les scripts que le site peut charger ; les polices sont servies depuis notre propre serveur.
• Mises à jour — Le Sous-traitant met à jour le logiciel et ses dépendances dès que des correctifs de sécurité sont disponibles.
• Journalisation — les journaux serveur et d'erreurs peuvent contenir des données personnelles telles que l'adresse IP, l'identifiant utilisateur et des extraits de messages d'erreur ; les adresses e-mail ne sont pas journalisées en entier, et les IBAN et montants sont masqués dans les diagnostics enregistrés.

Article 10 — Notification de violation de données

1. Le Sous-traitant notifiera le Responsable du traitement de toute violation de données (violation de données personnelles) sans délai excessif et au plus tard 72 heures après en avoir pris connaissance.
2. La notification contiendra au minimum les informations suivantes :
   • la nature de la violation de données, y compris si possible les catégories et le nombre approximatif de Personnes concernées ;
   • les catégories et le nombre approximatif d'enregistrements de données personnelles concernés ;
   • les conséquences probables de la violation de données ;
   • les mesures prises ou proposées pour remédier à la violation de données et en atténuer les effets négatifs.
3. Le Sous-traitant coopérera pleinement avec le Responsable du traitement dans l'enquête et le traitement de la violation de données.

Article 11 — Assistance concernant les droits des Personnes concernées

1. Le Sous-traitant assistera le Responsable du traitement dans la réponse aux demandes des Personnes concernées concernant les droits suivants :
   • Droit d'accès (art. 15 RGPD)
   • Droit de rectification (art. 16 RGPD)
   • Droit à l'effacement (art. 17 RGPD)
   • Droit à la limitation du traitement (art. 18 RGPD)
   • Droit à la portabilité des données (art. 20 RGPD)
   • Droit d'opposition (art. 21 RGPD)
2. L'Utilisateur peut supprimer lui-même son compte dans les paramètres de StatementBridge, après ré-authentification (mot de passe ou nouveau lien de connexion) ; l'article 12 décrit ce qui est encore conservé ensuite.

Article 12 — Restitution et suppression

1. À la fin des services de traitement (suppression du compte), le Sous-traitant efface les données personnelles du Responsable du traitement de la base de production, avec les exceptions du paragraphe 2.
2. La suppression du compte dans l'application efface les données personnelles du Responsable du traitement de la base de production, à l'exception :
   • (a) des métadonnées de conversion, dissociées du compte et conservées à des fins statistiques sans paramètres, détails d'erreur ni empreinte de fichier ;
   • (b) des fichiers exportés non encore expirés, supprimés lors du prochain nettoyage ;
   • (c) des copies dans les sauvegardes et journaux de l'hébergeur, écrasées selon ses durées de conservation ;
   • (d) des données que le Sous-traitant doit conserver en vertu de la loi, comme les enregistrements de paiement.
3. Les fichiers source téléversés sont supprimés après traitement ; en cas de traitement interrompu, au plus tard lors du nettoyage automatique. Les fichiers exportés sont téléchargeables pendant 24 heures au maximum par le compte qui les a créés, puis supprimés lors du nettoyage automatique.

Article 13 — Droits d'audit

1. Le Responsable du traitement a le droit d'effectuer ou de faire effectuer des audits pour vérifier le respect du présent Accord.
2. Le Sous-traitant coopérera avec les demandes d'audit raisonnables et mettra les informations nécessaires à disposition.
3. En alternative, le Sous-traitant peut fournir un rapport d'audit indépendant (tel que SOC 2 ou une certification comparable) pour démontrer la conformité.

Article 14 — Droit applicable et litiges

1. Le présent Accord de traitement des données est régi par le droit néerlandais.
2. Les litiges découlant du présent Accord ou s'y rapportant seront soumis au tribunal compétent du district de Rotterdam.

Contact

FIDURO B.V.
Stephensonweg 6
4207 HB Gorinchem
Pays-Bas
E-mail : statementbridge@fiduro.nl
RCS : 78200695
TVA : NL861300221B01

Historique des modifications

Version 1.2.2 — publiée le 8 octobre 2026

• La version 1.2.2 ne contient aucune modification de la déclaration de confidentialité ni de l'Accord de traitement des données ; seul le numéro de version a été aligné sur les conditions générales.

Version 1.2.1 — publiée le 29 septembre 2026, applicable jusqu'au 8 octobre 2026

• La version 1.2.1 ne contient aucune modification des conditions générales ni de l'Accord de traitement des données ; seul le numéro de version a été aligné sur la déclaration de confidentialité précisée. Aucune nouvelle acceptation n'est requise.

Version 1.2 — publiée le 29 septembre 2026, applicable jusqu'au 29 septembre 2026

• Gestion des versions : numéro de version, date de publication et cet historique ; lors de votre prochain export, nous vous demandons de confirmer la nouvelle version.
• Extraction par IA : scan payé en crédits via Mistral AI, sans abonnement ni clé personnelle ; le nombre de crédits est affiché avant le scan et remboursé en cas d'échec ; le même PDF peut être rescanné gratuitement jusqu'à 2 fois dans les 24 heures. Avec Pro, vous utilisez votre propre clé Anthropic, OpenAI, Google, Mistral ou xAI dans le cadre de votre contrat avec ce fournisseur.
• Tiers et sous-traitants ultérieurs mis à jour : Cloudflare, Resend, Mistral AI et Google Analytics figurent désormais dans les listes ; Render est une entreprise américaine dont la région d'hébergement est Francfort. Les mentions antérieures concernant Mistral (serveurs UE, pas d'entraînement, conservation de 30 jours, accord de sous-traitance conclu) sont retirées jusqu'à ce que FIDURO puisse les étayer par le contrat. Vous pouvez vous opposer à un sous-traitant ultérieur dans les 30 jours suivant la publication (article 7 de l'Accord de traitement des données).
• Durées de conservation par catégorie de données et ce qui subsiste après la suppression du compte (statistiques de conversion dissociées, factures conservées en vertu de la loi, sauvegardes et journaux). Les fichiers source sont supprimés après traitement et les exports sont téléchargeables pendant 24 heures au maximum par le compte qui les a créés ; la formulation antérieure sur la suppression immédiate était trop absolue. Nouveau : une identité de téléversement permet un ré-export gratuit du même fichier avec les mêmes montants dans les 24 heures.
• L'Accord de traitement des données fait partie des conditions générales et est accepté avec elles.
• Droits des personnes concernées : l'export JSON dans les paramètres du compte couvre les données que nous détenons sur vous ; la suppression du compte requiert une ré-authentification (mot de passe ou nouveau lien de connexion). Les articles 5, 6.7, 11 et 12 de l'Accord de traitement des données ont été adaptés en conséquence.

Version 1.1 — applicable jusqu'au 29 septembre 2026. Le texte de cette version est disponible sur demande à statementbridge@fiduro.nl.