Traduction de courtoisie — seul le texte anglais lie (article 23 des Conditions de service). L'accord de l'article 28 du RGPD, qui régit notre lecture de votre comptabilité. Vous l'acceptez sur l'écran de connexion, avant la première lecture — pas au paiement.

Accord de traitement des données (article 28 RGPD)

Anthracite Brussels — reprise de comptabilité et préparation de dépôts · Version 1.5 — 7 août 2026

Le présent accord est l'annexe relative aux données personnelles des Conditions de service. Il se suffit à lui-même : il ne renvoie à aucun autre texte.

⏱ Vous l'acceptez sur l'écran de connexion — avant de nous confier votre clé, et avant que nous ne lisions quoi que ce soit. Pas au paiement, pas à la livraison.

Pourquoi ce moment-là et pas un autre plus commode. Ce qui fait de nous un sous-traitant, c'est la première lecture de vos données, qui a lieu au diagnostic gratuit. Un accord accepté après coup laisserait l'étape la plus sensible du parcours hors de tout cadre écrit, et aucun texte signé plus tard ne répare une permission recueillie après les faits. Nous demandons donc avant, au seul moment où demander a un sens.

Entre

Vous, identifié sur la commande, ci-après le Responsable du traitement ;

Charbon Cinéma SRL, société à responsabilité limitée de droit belge, rue Berthelot 172, 1190 Forest, Belgique, numéro d'entreprise et de TVA BE 0669.654.643, RPM Bruxelles, agissant sous le nom Anthracite Brussels, ci-après le Sous-traitant ;

ensemble, les Parties.

Article 1 — Objet et définitions

1.1. Le présent accord régit le traitement de données personnelles effectué par le Sous-traitant pour le compte du Responsable du traitement dans le cadre du service de reprise de comptabilité décrit dans les Conditions de service.

1.2. « Données personnelles », « traitement », « responsable du traitement », « sous-traitant », « violation de données personnelles » et « personne concernée » ont le sens que leur donne l'article 4 du règlement (UE) 2016/679 (« RGPD »).

1.3. Le présent accord est l'annexe unique des Conditions de service en matière de protection des données. Si les deux textes se contredisent sur un point de protection des données, le présent accord prévaut.

Pourquoi cette clause de priorité. Elle empêche qu'une phrase écrite pour être lisible dans les Conditions de service soit utilisée comme dérogation à une obligation que l'article 28 place hors de portée des parties.

Article 2 — Le rôle de chaque partie

2.1. Vous agissez comme responsable du traitement. Vous déterminez les finalités et les moyens du traitement de votre comptabilité, et vous décidez de la faire migrer.

2.2. Nous agissons comme sous-traitant. Nous n'exerçons aucun contrôle sur vos finalités, nous ne déterminons pas le contenu des données traitées, et nous ne les utilisons pour aucune finalité qui nous soit propre.

2.3. Si vous êtes un professionnel de la comptabilité. Si vous êtes un cabinet comptable ou tout professionnel agissant pour vos propres clients, vous êtes vous-même sous-traitant à leur égard et nous agissons comme sous-traitant ultérieur au sens de l'article 28(4) du RGPD. Dans ce cas, vous garantissez que vous détenez l'autorisation écrite de vos clients, ou une autorisation générale documentée, vous permettant de recourir à nous. Le présent accord s'applique alors mutatis mutandis, vous exerçant les prérogatives du responsable du traitement.

2.4. Un professionnel de la comptabilité reste tenu au secret professionnel et au devoir de confidentialité, notamment en vertu de l'article 50 de la loi du 17 mars 2019. Le présent accord, et son article 5 en particulier, existe entre autres pour que nous confier des données soit compatible avec l'un et l'autre.

Pourquoi cet article. Les cabinets comptables sont un canal auquel nous vendons. Sans cette qualification écrite, la chaîne de sous-traitants serait implicite, et l'autorisation des propres clients du cabinet — que l'article 28(2) exige — serait impossible à vérifier.

Article 3 — Traitement sur instructions documentées (art. 28(3)(a))

3.1. Nous ne traitons de données personnelles que sur vos instructions documentées. Ces instructions sont les suivantes, et rien d'autre :

le présent accord et son Annexe 1 ;
les Conditions de service que vous avez acceptées ;
la commande, y compris l'identification de la société reprise (nom, numéro d'entreprise, numéro de TVA, identifiant technique de la base source et identifiant interne de la société) et le palier de reprise choisi ;
votre propre déclenchement de la construction, depuis votre navigateur, avec votre propre clé API ;
toute instruction ultérieure envoyée par écrit à support@anthracite.brussels.

3.2. Nous ne transférons aucune donnée vers un pays tiers ou une organisation internationale, sauf si une loi à laquelle nous sommes soumis nous y oblige ; dans ce cas, nous vous informons de cette exigence légale avant le traitement, sauf si la loi interdit cette information pour des motifs importants d'intérêt public.

3.3. Nous vous informons immédiatement si, à notre avis, une instruction viole le RGPD ou une autre disposition du droit de l'Union ou du droit belge en matière de protection des données, et nous suspendons cette instruction jusqu'à ce que vous la confirmiez par écrit.

Pourquoi le 3.3, dans les mots de la loi elle-même. C'est le dernier alinéa de l'article 28(3). Il coupe aussi court à une tentation qui va dans l'autre sens : faire signer au client une déclaration commode que les deux parties savent inexacte. Une telle déclaration n'aurait aucun effet à l'égard de l'autorité de contrôle ou des personnes concernées — elle prouverait seulement que nous savions.

Article 4 — Objet, portée et durée

4.1. La finalité est étroite : exécuter le service que vous avez commandé (la reprise, ou l'export des comptes annuels au titre de l'annexe C des Conditions de service), livrer le résultat et, le cas échéant, héberger la base pendant la période convenue. Elle inclut la détermination du prix lorsque le prix dépend d'un chiffre relevé au diagnostic (volumes, poids des pièces jointes, chiffre d'affaires de l'exercice concerné) — ce chiffre vous est présenté avec le prix, avant que vous ne commandiez. Aucun traitement pour une autre finalité n'est autorisé : ni statistiques, ni amélioration de nos logiciels, ni entraînement d'un système automatisé, ni marketing.

Pourquoi la détermination du prix est nommée comme finalité. Pour une société, le chiffre d'affaires n'est pas une donnée personnelle. Pour un indépendant en personne physique, il l'est. La nommer couvre le second cas et ne coûte rien au premier.

4.2. La nature des opérations, les catégories de données, les catégories de personnes concernées et les durées sont fixées à l'annexe 1.

4.3. Nous n'ouvrons pas, n'indexons pas et ne lisons pas le contenu des pièces jointes que nous transportons. Elles sont copiées en bloc, sans inspection.

Pourquoi le dire ainsi. C'est vrai, cela peut se vérifier dans notre code, et c'est la seule chose honnête que l'on puisse dire de fichiers dont personne ne peut garantir le contenu : un reçu scanné peut porter des données de santé ou des données relatives à des condamnations pénales. Promettre qu'il n'y en a pas serait invérifiable. Promettre que nous ne les ouvrons pas ne l'est pas.

4.4. La clé API que vous fournissez n'est jamais stockée : elle est conservée en mémoire le temps d'une lecture et n'est écrite dans aucune base de données, aucun fichier, aucun journal ni aucune notification. Nous n'envoyons que des opérations de lecture vers votre base source, une restriction mise en œuvre comme une liste blanche de méthodes dans le composant de transport.

4.5. Vous pouvez révoquer votre clé immédiatement après chaque opération. Nous vous le rappelons à l'écran.

Article 5 — Confidentialité (art. 28(3)(b))

5.1. Nous veillons à ce que les personnes autorisées à traiter les données se soient engagées à respecter la confidentialité, par un engagement écrit ou en vertu d'une obligation légale appropriée. Cet engagement survit à la fin de leur intervention.

5.2. L'accès est limité aux personnes dont l'intervention est nécessaire à l'exécution du service. La liste des personnes ayant eu accès vous est fournie sur demande écrite.

Article 6 — Sécurité du traitement (art. 28(3)(c) et art. 32)

6.1. Nous mettons en œuvre les mesures techniques et organisationnelles appropriées décrites à l'annexe 2, compte tenu de l'état de l'art, des coûts de mise en œuvre, de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques encourus.

6.2. Nous pouvons modifier ces mesures pour autant que le niveau de sécurité ne soit pas abaissé. Toute modification substantielle est portée à votre connaissance.

6.3. ⚠️ Pas de sauvegardes — et ce que cela signifie pour vous. Aucune sauvegarde de la base que nous construisons n'est conservée : il n'en existe qu'une seule copie. La résilience au sens de l'article 32(1)(c) du RGPD est assurée par le fait que la base peut être reconstruite à partir de la source, qui reste chez vous. En conséquence, le travail que vous effectuez vous-même dans la base hébergée n'est pas sauvegardé ; il vous appartient d'en télécharger une copie, ce que vous pouvez faire à tout moment.

Pourquoi nous avons choisi cela, et pourquoi nous l'écrivons. Ne garder aucune seconde copie est une mesure de minimisation, pas une lacune — une copie de moins est une copie qui ne peut pas fuiter. Mais il serait malhonnête de vous laisser croire qu'un incident pourrait être défait. Le revers de la minimisation vous est dû par écrit.

Article 7 — Sous-traitants ultérieurs (art. 28(2) et (4))

7.1. Vous nous donnez une autorisation écrite générale de recourir aux sous-traitants ultérieurs listés à l'annexe 3.

7.2. Nous vous informons de tout changement envisagé concernant l'ajout ou le remplacement d'un sous-traitant ultérieur au moins trente jours avant sa prise d'effet. Vous disposez de ce délai pour vous y opposer. Si vous formulez une opposition motivée, nous cherchons ensemble une solution ; à défaut, vous pouvez mettre fin au service en cours et être remboursé au prorata de ce qui n'a pas été exécuté.

7.3. Nous imposons par contrat à tout sous-traitant ultérieur les mêmes obligations que celles du présent accord, et nous demeurons pleinement responsables envers vous de leur exécution par celui-ci.

7.4. Lorsque la base de destination est hébergée par une plateforme à vous. Lorsque vous voulez que la comptabilité reconstruite soit livrée dans une plateforme dont vous détenez l'abonnement (Odoo Online, odoo.sh), cette plateforme est votre sous-traitant, pas le nôtre, et elle ne figure pas à l'annexe 3. C'est la configuration que nous recommandons.

Pourquoi nous la recommandons. Dans la configuration inverse, la plateforme deviendrait notre sous-traitant ultérieur et l'article 28(4) nous rendrait responsables de ses manquements. Votre autorisation suffirait juridiquement ; elle ne suffit pas économiquement.

Article 8 — Vous aider à répondre aux personnes concernées (art. 28(3)(e))

8.1. Compte tenu de la nature du traitement, nous vous assistons, par des mesures techniques et organisationnelles appropriées, dans l'exécution de votre obligation de donner suite aux demandes d'exercice des droits prévus au chapitre III du RGPD.

8.2. Si une personne concernée nous écrit directement, nous ne répondons pas sur le fond : nous vous transmettons la demande sans délai et nous vous informons que nous l'avons fait.

8.3. ⚠️ La copie ne se met pas à jour d'elle-même. Ce que nous détenons est un instantané de votre base source. Une rectification, une opposition ou un effacement que vous effectuez dans votre base source ne se propage pas à la copie. Vous nous indiquez par écrit ce qui doit être répété sur la copie ; à défaut, la suppression de la copie au terme convenu (article 10) clôt la question.

Pourquoi le dire aussi crûment. C'est la conséquence la plus contre-intuitive de toute migration, et celle qu'un client découvre au pire moment possible : le jour où quelqu'un exerce un droit à l'effacement. Une phrase désagréable dans un contrat vaut mieux qu'une réponse impossible dans un délai d'un mois.

Article 9 — Assistance et notification des violations (art. 28(3)(f) et art. 33(2))

9.1. Nous vous aidons à garantir le respect des obligations des articles 32 à 36 du RGPD, compte tenu de la nature du traitement et des informations dont nous disposons.

9.2. Nous vous notifions toute violation de données à caractère personnel dans les meilleurs délais et au plus tard dans les quarante-huit heures après en avoir pris connaissance, par email à l'adresse figurant sur votre commande.

9.3. La notification contient, dans la mesure du possible : la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d'enregistrements concernés, les conséquences probables, les mesures prises ou proposées, et les coordonnées d'un point de contact. Les informations manquantes suivent à mesure qu'elles deviennent disponibles.

Pourquoi quarante-huit heures plutôt que « sans délai ». Vous disposez de soixante-douze heures pour notifier l'autorité de contrôle. Une promesse plus courte que la vôtre serait une promesse que nous ne pourrions pas tenir de manière vérifiable ; une promesse sans terme vous mettrait en défaut sans que vous puissiez rien y faire. Quarante-huit heures vous laissent le temps qu'il vous faut et restent tenables sans travail de nuit.

Article 10 — Le sort des données à la fin (art. 28(3)(g))

10.1. À la fin de l'hébergement, ou en cas de résiliation anticipée du service, nous supprimons toutes les données à caractère personnel traitées pour votre compte, ainsi que toute copie existante, sauf obligation légale de conservation ou disposition contraire de l'article 10.7.

10.2. Avant la suppression, vous êtes averti, dans les conditions de l'article 16.3 des Conditions de service — deux fois pour un terme de quatre-vingt-dix jours, à la livraison pour un terme de sept jours — et chaque fichier produit vous est à nouveau proposé, accompagné d'une copie complète de la base.

10.3. La suppression n'est pas effectuée tant qu'une remise n'a pas eu lieu après le dernier travail que vous avez effectué dans la base hébergée.

10.4. La suppression est consignée dans un registre d'effacement horodaté, listant ce qui a été supprimé et la vérification faite pour chaque élément. Ce registre vous est fourni sur demande.

10.5. Il n'existe aucune sauvegarde de la base hébergée à effacer (article 6.3) : sa suppression est donc complète par construction. Le seul élément qui lui survit — le rapport de comparaison de l'article 10.7 — ne vit pas dans cette base mais sur votre commande dans notre propre système, et il est supprimé au terme que fixe l'article 10.7.

10.6. La clé API, n'ayant jamais été stockée, n'a pas à être supprimée.

10.7. La seule chose qui survit à l'hébergement : le rapport de comparaison. Le rapport de comparaison de l'article 11 des Conditions de service est conservé sur votre commande pendant dix-huit mois à compter de la livraison, et supprimé à ce terme. Nous vous disons franchement pourquoi, parce que c'est la seule exception de cette page :

il est le document d'acceptation — l'article 11.2 fait que la livraison est réputée acceptée au regard de ce rapport, de sorte qu'une livraison dont le rapport a disparu ne peut plus être démontrée acceptée, par aucun de nous deux ;
il est le document à l'aune duquel une réclamation se mesure, et l'article 14.2 des Conditions de service vous laisse douze mois pour en introduire une pour tout défaut autre qu'un défaut de fidélité de la reprise. Une copie que nous aurions détruite à la fin de l'hébergement supprimerait votre preuve autant que la nôtre ;
il vous permet de le relire après la disparition de la base hébergée — c'est-à-dire au moment où vous en aurez le plus probablement besoin.

Dix-huit mois, ce sont les douze de l'article 14.2 plus une marge pour une réclamation introduite le dernier jour. Ce terme n'est pas prolongé par un renouvellement de l'hébergement, et vous pouvez nous demander de le supprimer plus tôt, auquel cas nous le faisons et le notons dans le registre d'effacement.

Et ce qui se passe entre le dix-huitième mois et le vingt-quatrième. L'article 14.2 des Conditions de service vous donne vingt-quatre mois pour un défaut de fidélité de la reprise, parce que ce genre de défaut ne se découvre vraiment qu'à votre clôture suivante. Ce terme-ci est plus court que celui-là, et nous préférons le dire plutôt que d'arrondir la différence : passé le dix-huitième mois, notre copie a disparu, et les copies qui portent votre réclamation sont les vôtres — le PDF joint à votre email de livraison et le COMPARISON-REPORT.txt de votre colis, que l'article 11.4 des Conditions de service vous remet précisément pour qu'ils se trouvent hors de nos systèmes et que nous ne puissions jamais les retirer. Conservez-les avec le dossier.

10.8. Ce que ce rapport peut contenir, et ce qu'il ne peut pas. Il porte les constats de nos vérifications : des comptages, des codes de comptes, des chiffres agrégés, des dates, des types de documents, et — lorsqu'une vérification a relevé une différence — un échantillon limité des lignes concernées, qui peut inclure un nom de fournisseur ou de client. Il ne porte aucune pièce jointe, aucun compte utilisateur, aucune donnée de paie, et rien du contenu d'un document. Il est stocké sur la commande à laquelle il appartient, lisible uniquement par vous (via votre commande) et par nous, et il est couvert par les mêmes mesures que le reste (Annexe 2).

Pourquoi un registre plutôt qu'une promesse. L'article 28(3)(g) impose la suppression ; rien n'impose de la prouver. Un registre horodaté transforme une obligation d'agir en un document qui peut être vérifié — et c'est la première chose qu'une inspection demanderait.

Et pourquoi le 10.7 existe, plutôt que de le taire. Faire survivre le rapport de comparaison à l'hébergement est un choix délibéré, et il place une petite quantité de vos données comptables dans notre système plus longtemps que tout le reste. Une exception qui n'est pas écrite est une exception qui rend la règle fausse — et « nous supprimons tout » est exactement le genre de phrase qui est soit vraie, soit sans valeur. La nommer, lui donner un terme et dire ce qu'elle peut contenir nous coûte un paragraphe et garde le reste de cet article exact.

Article 11 — Informations et audits (art. 28(3)(h))

11.1. Nous mettons à votre disposition toutes les informations nécessaires pour démontrer le respect des obligations du présent accord.

11.2. Vous pouvez réaliser des audits, y compris des inspections, ou les faire réaliser par un auditeur que vous mandatez. Ces audits ont lieu au plus une fois par an — sans limite en cas de violation de données confirmée ou d'instruction d'une autorité de contrôle — moyennant un préavis écrit de trente jours, pendant les heures ouvrables, sans perturber notre activité, et sous réserve de l'engagement de confidentialité de l'auditeur, lequel ne peut être un concurrent direct.

11.3. Le coût de l'audit est à votre charge, sauf si l'audit révèle un manquement substantiel de notre part.

Pourquoi ces limites, et pourquoi elles s'arrêtent là. Encadrer la manière dont un audit se déroule est licite. Le supprimer ou le rendre impraticable ne l'est pas — l'article 28(3)(h) échappe à la volonté des parties, et une clause qui le viderait tomberait, laissant nu le régime légal.

Article 12 — Registre du sous-traitant (art. 30(2))

Nous tenons un registre des catégories d'activités de traitement effectuées pour votre compte, contenant les informations énumérées à l'article 30(2) du RGPD. Il est mis à la disposition de l'autorité de contrôle sur demande.

Article 13 — Localisation des données et transferts

13.1. Le traitement s'effectue sur des serveurs situés dans l'Union européenne. Aucun transfert hors de l'Espace économique européen n'est effectué.

13.2. Si un transfert devenait un jour nécessaire, il ne pourrait avoir lieu qu'après vous en avoir informé au préalable et sur le fondement de l'un des instruments du chapitre V du RGPD.

Article 14 — Vos déclarations et garanties

Vous déclarez et garantissez :

que vous êtes le responsable du traitement des données de la base source, ou que vous détenez l'autorisation de ce responsable (article 2.3) ;
que vous disposez d'une base juridique pour ce traitement, en particulier vos obligations comptables et fiscales, et que vous avez informé les personnes concernées conformément aux articles 13 et 14 du RGPD ;
que la base source ne contient ni catégories particulières de données au sens de l'article 9, ni données relatives aux condamnations pénales au sens de l'article 10, au-delà de ce qu'une comptabilité contient nécessairement, et que vous n'y en placerez pas pendant l'exécution du service ;
que vous autorisez les sous-traitants ultérieurs de l'annexe 3 ;
que la clé que vous fournissez est la vôtre et que vous êtes en droit de nous en permettre l'usage.

Pourquoi ces déclarations, et non une déclaration d'absence totale de données personnelles. L'existence d'un traitement est une question objective : elle ne dépend pas de ce que les parties conviennent d'écrire. Déclarer qu'une comptabilité ne contient aucune donnée personnelle serait contraire aux faits — les lignes de relevés bancaires portent les noms des contreparties — et une clause que les deux parties savent fausse ne protège personne. Elle prouve seulement que nous savions.

Article 15 — Responsabilité

15.1. Chaque Partie supporte les conséquences de ses propres manquements au RGPD. L'article 82 du RGPD s'applique dans les rapports avec les personnes concernées ; rien ici ne déroge aux responsabilités qu'il crée, lesquelles échappent à la volonté des Parties.

15.2. Entre les Parties, et pour le seul dommage contractuel, la limitation de responsabilité prévue par les Conditions de service s'applique, sauf pour les amendes administratives et pour l'indemnisation due aux personnes concernées au titre de l'article 82 du RGPD, qui suivent leur régime propre.

Pourquoi cette exclusion. Prétendre plafonner une responsabilité que le RGPD attache directement au sous-traitant envers la personne concernée serait sans effet à l'égard de cette personne, et affaiblirait le plafond là où il est valable.

Article 16 — Durée, modification, droit applicable

16.1. Le présent accord prend effet au moment où vous l'acceptez, sur l'écran de connexion, avant la première lecture de votre base, et prend fin lorsque toutes les données ont été supprimées conformément à l'article 10.

16.2. Il est modifié automatiquement dans la mesure nécessaire pour se conformer à une modification du droit applicable ou à une décision d'une autorité de contrôle.

16.3. Il est régi par le droit belge. Tout litige relève de la compétence exclusive des tribunaux de l'arrondissement judiciaire de Bruxelles, sans préjudice des compétences que le RGPD réserve aux personnes concernées et aux autorités de contrôle.

Annexe 1 — Description du traitement (art. 28, § 3, et art. 30, § 2)

Objet — la reprise d'une comptabilité tenue dans un système Odoo vers une base de données Odoo Community construite pour le responsable du traitement, ou la génération à distance d'un fichier XBRL de comptes annuels.

Nature des opérations — lecture de la base source par son interface de programmation ; copie ; écriture dans une base neuve ; stockage ; mise à disposition ; hébergement ; suppression. Pour l'offre de comptes annuels : lecture et calcul uniquement, sans hébergement.

Finalité — la finalité unique décrite à l'article 4.1. Aucune finalité propre au sous-traitant.

Catégories de personnes concernées — le traitement porte très majoritairement sur des données de personnes morales, que le considérant 14 du RGPD place hors du champ du règlement. Les personnes physiques susceptibles d'apparaître sont :

les fournisseurs, clients et prestataires exerçant en personne physique ou comme indépendants ;
les représentants et personnes de contact des personnes morales ;
les contreparties nommées dans les lignes de relevés bancaires ;
le cas échéant, les personnes mentionnées dans les pièces justificatives transportées, dont le contenu n'est pas inspecté (article 4.3).

Catégories de données

Palier de reprise	Ce qui est traité
Balances	plan comptable, soldes, lignes d'investissement ; libellés des écritures d'ouverture
+ Les chiffres	toutes les écritures et leurs libellés, y compris les libellés de relevés bancaires portant des noms
+ Tout	fiches partenaires (nom, adresse, numéro de TVA, coordonnées bancaires, éventuelles coordonnées de contact), documents joints

Non traités : les comptes utilisateurs de la base source, les données RH et de paie individuelle, les fichiers de prospection et de CRM.

Numéros de registre national. Les pièces transportées peuvent contenir incidemment un numéro de registre national. Le sous-traitant n'en fait strictement aucun usage : il n'indexe pas ce numéro, ne le recherche pas, ne le croise avec aucune autre donnée, et le traite uniquement comme le contenu opaque du document qui le porte, pour le compte du responsable du traitement.

Durées

Phase	Durée
Diagnostic	agrégats uniquement ; aucune donnée individuelle conservée
Construction	le temps de la copie
Hébergement	14 jours à compter de la livraison pour une commande payante, 7 jours pour une commande qui n'a rien coûté (art. 16.1 des Conditions de service), prolongeables au moment de la commande par unités de 7 jours jusqu'à 53 unités ; rappels fixés à J-30 et J-7, qui pour le terme de sept jours tombent tous deux à la livraison. Un terme déjà vendu n'est pas raccourci par une modification ultérieure de la grille
Génération des comptes annuels	transitoire ; données supprimées à la livraison du fichier
Rapport de comparaison	18 mois à compter de la livraison, sur la commande — la seule chose qui survit à l'hébergement (art. 10.7)
Suppression	au terme, après les rappels de l'art. 10.2 et une remise ; trace d'effacement horodatée

Annexe 2 — Mesures techniques et organisationnelles (art. 32)

Environnement dédié et cloisonné. La construction et l'hébergement ont lieu sur une machine dédiée à cet usage, distincte des postes de travail. Une instance Odoo et une base de données par client. Chaque instance tourne sous son propre rôle PostgreSQL (LOGIN NOCREATEDB), propriétaire de sa seule base, de sorte qu'aucun client ne peut lister, télécharger, supprimer la base d'un autre client ni s'y connecter — un cloisonnement imposé par le moteur de base de données lui-même, en dessous de l'application. PostgreSQL n'écoute que sur un socket local, avec authentification par mot de passe (scram-sha-256).
Aucune donnée client sur un poste de travail, et aucune dans un dossier synchronisé vers un service tiers.
Un mot de passe maître propre à chaque instance, généré aléatoirement, conservé dans un fichier à accès restreint — jamais une valeur par défaut.
La clé API n'est jamais stockée, et les écritures de journaux et de notifications sont filtrées pour qu'elle ne puisse jamais y apparaître, même tronquée.
Des lectures seules sur la base source, mises en œuvre comme une liste blanche de méthodes dans le composant de transport. Un répartiteur générique est refusé lui aussi. La liste, et l'empreinte SHA-256 du fichier qui l'impose, sont publiées en direct.
Aucun courriel sortant des instances clientes : les actions planifiées et les serveurs de messagerie y sont désactivés, de sorte qu'aucune base ne peut écrire à un destinataire réel.
Chiffrement en transit (HTTPS avec un certificat reconnu) pour chaque accès aux instances et pour la livraison des fichiers.
Liens de téléchargement signés, limités en usage et expirants.
Journal de cycle de vie des opérations qui comptent (construction, mise à disposition, rappels, remise, destruction) dans un registre chaîné par hachage.
Pas de sauvegardes : une copie unique, reconstructible depuis la source (article 6.3).
Suppression prouvée en fin de vie, élément par élément.
Contrôles au démarrage : une instance refuse de démarrer si l'un de ses invariants d'isolation n'est pas respecté.

Annexe 3 — Sous-traitants ultérieurs autorisés

Sous-traitant ultérieur	Service	Localisation
OVH SAS, 2 rue Kellermann, 59100 Roubaix, France	fourniture et exploitation de l'infrastructure physique hébergeant les serveurs (serveur dédié)	France, Union européenne

Aucun autre sous-traitant ultérieur n'intervient. En particulier :

aucun service tiers de sauvegarde, de surveillance applicative ou d'analyse n'a accès aux données ;
le prestataire de paiement n'intervient que pour la transaction financière, sur vos données de facturation, en tant que responsable du traitement indépendant : il n'a accès à aucune donnée de la base migrée et n'est pas un sous-traitant ultérieur ;
lorsque vous choisissez de faire livrer votre base dans une plateforme dont vous détenez l'abonnement, cette plateforme est votre propre sous-traitant (article 7.4).

Charbon Cinéma SRL, agissant sous le nom Anthracite Brussels · rue Berthelot 172, 1190 Forest, Belgique · BE 0669.654.643 · RPM/RPR Bruxelles · support@anthracite.brussels Accord de traitement des données (art. 28 RGPD) — version 1.5, 7 août 2026. La version en vigueur le jour où vous l'acceptez est celle qui s'applique ; les versions antérieures sont archivées et disponibles sur demande.