Accord sur la protection des données de vos clients

Vos données restent les vôtres. ORILA les garde pour vous, et ne s'en sert pour rien d'autre.

Le présent accord sur la protection des données de vos clients (l'« Accord ») complète les conditions générales d'utilisation et les conditions générales de vente d'ORILA (ensemble, le « Contrat »). Il répond à l'article 28 du règlement (UE) 2016/679 du 27 avril 2016 (« RGPD »). Version 2 du 13 octobre 2026.

Il est conclu entre :

• le Client : la personne morale ou la personne physique agissant à titre professionnel qui a ouvert un espace (une « organisation ») dans le service ORILA, agissant en qualité de responsable du traitement ;
• C2SL, société par actions simplifiée au capital de 100 €, 6 rue Soutrane, 06560 Valbonne, RCS Grasse 892 281 510, éditrice du service ORILA, agissant en qualité de sous-traitant.

Le Client accepte l'Accord en acceptant le Contrat. L'Accord fait partie du Contrat : en cas de contradiction sur la protection des données personnelles, l'Accord prévaut.

1. Objet

L'Accord fixe les conditions dans lesquelles C2SL traite, pour le compte du Client et sur ses seules instructions, les données personnelles que le Client enregistre dans le service ORILA ou que le service recueille pour lui (les « Données »).

Il ne s'applique pas aux traitements dont C2SL est elle-même responsable : la gestion du compte et de l'abonnement du Client, la facturation de C2SL, la sécurité du service et la prévention des abus, la mesure d'audience du site orila.co. Ceux-ci sont décrits dans la politique de confidentialité.

2. Description du traitement

• Objet : mise à disposition d'un logiciel de gestion d'entreprise en ligne (relation client, ventes, facturation, secrétariat, documents, équipe).
• Durée : celle du Contrat, prolongée de la période de restitution prévue à l'article 11.
• Nature : hébergement, enregistrement, organisation, consultation, mise à disposition, transmission sur ordre du Client, effacement.
• Finalité : permettre au Client de gérer son activité au moyen du service.
• Types de données et catégories de personnes : voir l'annexe 1, traitement par traitement.
• Données sensibles : le service n'est pas conçu pour des données de santé ni d'autres catégories particulières de données (article 9 du RGPD). Le Client s'interdit d'y en enregistrer.

3. Instructions du Client

3.1 C2SL ne traite les Données que sur instruction documentée du Client. Constituent ces instructions : le Contrat, l'Accord, et les réglages et actions que le Client effectue dans le service (créer une fiche, envoyer un courrier, partager un document, activer une option, raccorder un service tiers, supprimer une donnée).

3.2 C2SL n'utilise jamais les Données pour son propre compte, ne les vend pas, ne les loue pas et ne s'en sert pas pour entraîner un modèle d'intelligence artificielle.

3.3 Si une instruction lui paraît contraire au RGPD ou à une autre règle de protection des données, C2SL en informe immédiatement le Client.

3.4 Si le droit de l'Union ou d'un État membre impose à C2SL un traitement non prévu (une réquisition judiciaire, par exemple), elle en informe le Client avant de le faire, sauf si ce droit l'interdit pour un motif important d'intérêt public.

4. Confidentialité

Les personnes de C2SL autorisées à traiter les Données sont tenues à la confidentialité par contrat ou par une obligation légale, et n'y accèdent que dans la mesure nécessaire à l'exécution du Contrat, au support demandé par le Client ou à la sécurité du service.

5. Sécurité

C2SL met en œuvre les mesures techniques et organisationnelles décrites à l'annexe 3 pour garantir un niveau de sécurité adapté au risque (article 32 du RGPD). Elle peut les faire évoluer, à condition de ne jamais en abaisser le niveau.

6. Nos prestataires

6.1 Le Client autorise de manière générale C2SL à recourir aux prestataires listés à l'annexe 2 (les « Prestataires », sous-traitants ultérieurs au sens de l'article 28 du RGPD).

6.2 C2SL informe le Client de tout ajout ou remplacement d'un Prestataire au moins trente jours avant qu'il ne reçoive des Données, par un message dans le service et par courriel à l'administrateur de l'organisation. Le Client peut s'y opposer pendant ce délai, par écrit et pour un motif lié à la protection des données. À défaut d'accord dans les trente jours qui suivent l'opposition, le Client peut résilier sans frais la partie du Contrat concernée, et C2SL lui rembourse au prorata la part d'abonnement payée d'avance.

6.3 C2SL impose à chaque Prestataire, par contrat, des obligations de protection des données au moins équivalentes à celles de l'Accord. Elle reste pleinement responsable envers le Client de leur exécution.

6.4 Les services que le Client raccorde lui-même, avec ses propres identifiants (sa banque, sa plateforme comptable, sa messagerie WhatsApp professionnelle, son propre serveur de courrier), ne sont pas des Prestataires de C2SL : ils sont choisis par le Client et régis par le contrat qu'il a conclu directement avec eux. C2SL ne leur transmet des Données que sur l'ordre du Client, donné par ce raccordement.

7. Transferts hors de l'Union européenne

Les Données sont hébergées en Europe. Lorsqu'un Prestataire établi hors de l'Union européenne peut y accéder, le transfert est encadré par une décision d'adéquation (dont le cadre de protection des données UE–États-Unis, pour un prestataire certifié) ou par les clauses contractuelles types adoptées par la Commission européenne (décision 2021/914). L'annexe 2 indique, pour chacun, le lieu et l'encadrement.

8. Droits des personnes

8.1 C2SL aide le Client, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition). Le service permet au Client de consulter, corriger, exporter et supprimer lui-même les Données.

8.2 Si une personne s'adresse directement à C2SL au sujet de Données traitées pour le Client, C2SL ne lui répond pas sur le fond : elle transmet la demande au Client dans un délai de cinq jours ouvrés et en informe la personne.

9. Violation de données

9.1 C2SL notifie au Client toute violation de données personnelles touchant les Données dans les meilleurs délais, et au plus tard quarante-huit heures après en avoir pris connaissance, par courriel à l'administrateur de l'organisation.

9.2 La notification contient, dans la mesure où ils sont connus : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, les mesures prises ou proposées, et le contact chez C2SL. Les éléments non encore connus sont transmis dès qu'ils le sont.

9.3 Il revient au Client, responsable du traitement, de notifier la violation à l'autorité de contrôle et, le cas échéant, aux personnes concernées (articles 33 et 34 du RGPD). C2SL l'y aide.

10. Aide au Client

C2SL aide le Client, compte tenu de la nature du traitement et des informations dont elle dispose, à respecter ses obligations relatives à la sécurité, aux violations de données, à l'analyse d'impact et à la consultation préalable de l'autorité (articles 32 à 36 du RGPD). Cette aide est gratuite quand elle porte sur le service lui-même ; une aide sur mesure, au-delà, peut faire l'objet d'un devis préalable.

11. Sort des Données à la fin du Contrat

À la fin du Contrat, et selon le choix du Client, C2SL lui restitue les Données ou les efface, dans les conditions de l'article « Données, réversibilité et sauvegarde » des conditions générales de vente : export à tout moment et sans frais, période de transition de trente jours sur demande, Données récupérables pendant trente jours après la fin du service, puis effacement intégral. Les copies de sauvegarde, gardées uniquement pour remettre le service en état après un incident, sont effacées au terme de leur cycle de rotation. Seules sont conservées les Données que le droit de l'Union ou d'un État membre impose de garder, et pour la seule durée imposée.

12. Audit et information

12.1 C2SL met à la disposition du Client toutes les informations nécessaires pour démontrer le respect de l'article 28 du RGPD, et permet la réalisation d'audits, y compris des inspections, par le Client ou un auditeur qu'il mandate.

12.2 Pour ne pas compromettre la sécurité des autres clients, un audit est demandé par écrit avec un préavis de trente jours, porte sur ce qui concerne le Client, est conduit par un auditeur tenu au secret et non concurrent de C2SL, pendant les heures ouvrées. Le Client supporte son coût, sauf si l'audit révèle un manquement de C2SL à l'Accord. Il est d'abord répondu par écrit et par documents ; une inspection sur place n'a lieu que si ces réponses ne suffisent pas, ou à la demande d'une autorité de contrôle.

13. Registre

C2SL tient un registre des catégories de traitements qu'elle effectue pour le compte de ses clients (article 30, paragraphe 2, du RGPD).

14. Obligations du Client

Le Client garantit qu'il dispose d'une base légale pour les traitements qu'il confie à C2SL, qu'il a informé les personnes concernées dans les conditions des articles 13 et 14 du RGPD, notamment les destinataires de ses envois et de ses partages, et qu'il ne donne pas d'instruction contraire au RGPD.

15. Responsabilité

Chaque partie répond de ses propres manquements dans les conditions de l'article 82 du RGPD. La limitation de responsabilité prévue par les conditions générales de vente s'applique à l'Accord, sauf faute lourde ou intentionnelle.

16. Durée et modification

L'Accord s'applique aussi longtemps que C2SL traite des Données pour le Client. C2SL peut le modifier pour suivre l'évolution du droit ou du service ; toute modification qui réduit la protection des Données est notifiée trente jours à l'avance, avec la même faculté de résiliation qu'à l'article 6.2. La version en vigueur est publiée sur cette page.

17. Droit applicable

L'Accord est régi par le droit français. Les litiges relèvent des juridictions désignées par les conditions générales d'utilisation.

Annexe 1 — Les traitements faits pour le Client

• Portefeuille et relation client — identité, coordonnées professionnelles, fonction, société, notes, échanges, rendez-vous, tâches, affaires · clients, prospects et contacts du Client · jusqu'à leur suppression par le Client, puis selon l'article 11.
• Ventes et facturation — identité et coordonnées de facturation, numéros d'identification d'entreprise et de TVA, devis, factures, règlements ; quand un client du Client accepte ou refuse un devis depuis son lien, la preuve de sa réponse : date et heure, adresse réseau et navigateur, empreinte numérique du devis tel qu'il était affiché, motif du refus s'il en choisit un · clients du Client · jusqu'à leur suppression par le Client ; les factures émises sont gardées selon les obligations comptables du Client, et la preuve d'une réponse aussi longtemps que le Client garde le devis.
• Signature en ligne (devis ou autre document) — nom et adresse e-mail du signataire tels que le Client les saisit, nom tapé et signature tracée par le signataire, date et heure de chaque étape (envoi du lien, première ouverture, envoi du code, signature ou refus, avec le motif du refus s'il en choisit un), adresse réseau et navigateur à la première ouverture, à la demande du code et au moment de signer ou de refuser, empreinte numérique du document recalculée au moment de signer ; le code reçu par e-mail n'est gardé que sous forme d'empreinte, jamais en clair · signataires désignés par le Client · aussi longtemps que le Client garde le dossier de preuve, puis selon l'article 11.
• Courrier (boîte raccordée, envois, campagnes) — adresses, noms, contenu des messages et pièces jointes, accord d'un contact à recevoir des messages · correspondants et destinataires du Client · jusqu'à leur suppression par le Client (un message mis à la corbeille est effacé au bout de 30 jours).
• Documents — contenu des fichiers déposés par le Client · toute personne citée dans ces documents · jusqu'à leur suppression par le Client (corbeille effacée après sept jours).
• Compteurs de consultation des partages — pour chaque partage : nombre et heure des ouvertures du lien, de chaque document ou page, des lancements de vidéo et des téléchargements, dans leur ordre ; aucune adresse réseau, aucun navigateur, aucun cookie, aucun élément sur la personne ; le type de navigateur est lu au passage pour écarter les robots, sans être conservé · destinataires des partages et des liens courts du Client · jusqu'à l'arrêt du partage par le Client, et au plus tard douze mois après la dernière ouverture.
• Événements — identité, coordonnées, réponse, présence, préférences alimentaires si l'invité les donne · invités du Client · jusqu'à leur suppression par le Client.
• Équipe — identité, rôle, accès, messages internes · membres de l'équipe du Client · jusqu'à leur suppression par le Client.
• Reprise d'un fichier existant — contenu du fichier déposé ; si le Client le demande, intitulés de colonnes et quelques lignes transmis à Mistral AI · personnes figurant dans le fichier · le temps de la reprise, puis selon les traitements ci-dessus.
• Équipe d'agents (option) — extraits du dossier concerné, contenu des courriels reçus qu'un agent lit, et consigne du Client, transmis à Mistral AI · personnes figurant dans ces dossiers et expéditeurs de ces courriels · le temps de la demande, sans servir à entraîner les modèles du prestataire.

Annexe 2 — Nos prestataires

• Cloudflare, Inc. — hébergement de l'application, stockage des fichiers, acheminement des pages · stockage en Europe ; société établie aux États-Unis · cadre de protection des données UE–États-Unis (certification active relevée le 14 septembre 2026), clauses contractuelles types en réserve.
• Neon, Inc. — base de données · Europe ; société établie aux États-Unis · clauses contractuelles types.
• Amazon Web Services — acheminement des courriels · région de Paris ; société établie aux États-Unis · clauses contractuelles types.
• Brevo — acheminement des courriels, en solution de repli · France.
• Mistral AI — traitement des demandes aux agents, des courriels reçus qu'ils lisent et de la reprise de fichiers, si le Client l'active · Europe.

Annexe 3 — Mesures de sécurité

• Communications chiffrées (HTTPS/TLS) entre le navigateur et le service.
• Cloisonnement de chaque organisation : chaque donnée porte l'identifiant de son organisation, et le filtrage est appliqué automatiquement par le serveur à chaque requête.
• Droits par rôle et par service à l'intérieur d'une organisation.
• Journal des tentatives d'abus, alertes internes et mesures graduées, décrites dans les conditions générales d'utilisation.
• Limitation des tentatives de connexion.
• Fichiers servis avec des protections contre leur exécution dans le navigateur ; pages partagées affichées sur un domaine séparé.
• Démonstration publique en lecture seule, sur des données fictives.
• Sauvegardes de la base, gardées uniquement pour remettre le service en état après un incident.

Contact

Pour toute question sur cet Accord : [email protected].