Vos données protégées : RGPD, hébergement européen, DPA inclus
L'essentiel. Quand vous confiez le fichier de vos clients à un logiciel, le RGPD ne disparaît pas : il se partage. Vous restez responsable de traitement de vos données clients, Prestavance devient votre sous-traitant au sens du RGPD, et le contrat qui encadre cette relation est déjà conclu, en Anne…
L'essentiel. Quand vous confiez le fichier de vos clients à un logiciel, le RGPD ne disparaît pas : il se partage. Vous restez responsable de traitement de vos données clients, Prestavance devient votre sous-traitant au sens du RGPD, et le contrat qui encadre cette relation est déjà conclu, en Annexe 1 de nos CGU.
Vos données sont hébergées dans l'Union européenne, région principale Paris. Et le logiciel sait faire ce qu'un tableur ne sait pas faire : effacer ce qui doit l'être sans casser vos dix ans de conservation comptable.
Cette page dit aussi ce qui n'existe pas encore. Nous préférons une promesse tenue à une case cochée.
Puis-je vraiment confier mes données clients à ce logiciel ?
C'est la bonne question, et elle mérite une réponse en trois points plutôt qu'un logo « conforme RGPD ». D'ailleurs, méfiez-vous de ce logo : il n'existe aucun label générique « certifié RGPD », ni en France ni en Europe.
Voici ce sur quoi vous pouvez nous juger.
| Ce que vous voulez savoir | La réponse courte |
|---|---|
| Qui décide de quoi ? | Vous êtes responsable de traitement, nous sommes votre sous-traitant. Les rôles sont écrits noir sur blanc dans notre politique de confidentialité. |
| Y a-t-il un contrat ? | Oui, l'Annexe 1 de nos CGU. Vous l'avez conclu en créant votre compte, sans démarche supplémentaire. |
| Où sont mes données ? | Dans l'Union européenne, région principale Paris. Les rares accès hors Union européenne sont encadrés contractuellement. |
| Puis-je faire effacer des données ? | Oui, y compris quand des factures doivent être conservées. L'effacement est réellement implémenté, pas promis. |
| Puis-je récupérer une copie ? | Oui, sur demande par email. Il n'y a pas encore de bouton d'export dans l'application. |
| Qui sont vos propres sous-traitants ? | Ils sont nommés un par un, avec leur rôle, dans la politique de confidentialité. |
Qui est responsable de quoi, exactement ?
C'est le point que presque tout le monde comprend de travers, et c'est aussi celui qui vous protège le mieux une fois clarifié.
Vous êtes responsable de traitement
Le RGPD appelle responsable de traitement (en anglais controller) celui qui décide des finalités et des moyens d'un traitement de données. Ce n'est pas une personne dans l'entreprise, ce n'est pas « le patron » : c'est l'entreprise elle-même, même si elle n'a ni salarié ni bureau.
Quand vous créez une fiche client pour organiser un ménage à domicile, c'est vous qui décidez d'enregistrer cette personne, quelles informations saisir, et pourquoi. Vous êtes donc responsable de traitement pour les données de vos clients.
Prestavance est votre sous-traitant, au sens du RGPD
Attention au mot, c'est le piège numéro un de cette page. « Sous-traitant au sens du RGPD » n'a rien à voir avec la sous-traitance de votre métier. Dans votre activité, sous-traiter veut dire confier une prestation de ménage ou de jardinage à un confrère. En RGPD, le sous-traitant (en anglais processor) est celui qui traite les données pour le compte du responsable, sur son instruction.
Prestavance n'exécute aucune prestation à domicile. Nous sommes un sous-traitant de données : nous hébergeons, nous stockons, nous transmettons à l'URSSAF quand vous nous le demandez. La CNIL retient précisément cette qualification pour l'éditeur d'un logiciel en ligne fourni à des clients professionnels (source : CNIL, Guide du sous-traitant).
Si les deux mots restent flous, la fiche responsable de traitement et sous-traitant les distingue en quelques lignes, et l'article qui est responsable de quoi déroule la chaîne complète avec des exemples tirés du quotidien d'un prestataire de services à la personne.
Sauf pour nos propres traitements, où c'est nous le responsable
Honnêteté oblige, le partage n'est pas total. Pour certaines opérations qui nous concernent en propre, c'est Prestavance qui est responsable de traitement : la gestion de votre compte utilisateur, la facturation de votre abonnement, nos journaux techniques et notre sécurité.
Cette double casquette est normale, et elle est écrite dans notre politique de confidentialité. Un éditeur qui prétend n'être que sous-traitant sur toute la ligne se raconte une histoire.
Ce que cela change pour vous, concrètement
C'est vous le guichet de vos clients finaux. Si l'un d'eux vous écrit pour demander l'accès à ses données ou leur effacement, c'est à vous de lui répondre, dans un délai d'un mois, prolongeable de deux mois si la demande est complexe (source : CNIL).
Nous ne répondons pas à votre place : nous vous fournissons les moyens d'agir. La fiche pratique comprendre vos responsabilités résume ce qui reste sur vos épaules, sans dramatiser.
Le contrat de sous-traitance est-il vraiment inclus ?
Oui, et vous l'avez déjà conclu.
L'article 28 du RGPD impose un contrat écrit entre le responsable de traitement et son sous-traitant. Dans le jargon, on l'appelle DPA (Data Processing Agreement, contrat de sous-traitance). Sans lui, vous êtes en défaut, quelle que soit la qualité technique du logiciel.
Chez Prestavance, ce contrat est l'Annexe 1 des CGU. Ce n'est ni un raccourci ni une pirouette : le RGPD n'exige pas un document séparé, il exige un instrument juridique formel qui couvre chacun des points de l'article 28-3. Une clause « nous respectons le RGPD » diluée au milieu de conditions générales ne suffirait pas ; une annexe dédiée qui traite chaque point, oui.
Ce que l'Annexe 1 couvre :
- l'objet, la durée, la nature et la finalité du traitement ;
- les catégories de données et de personnes concernées ;
- notre engagement à ne traiter que sur votre instruction documentée ;
- la confidentialité des personnes autorisées à accéder aux données ;
- les mesures de sécurité de l'article 32 : chiffrement en transit et au repos, cloisonnement des données entre comptes, moindre privilège, journalisation ;
- notre assistance pour répondre aux demandes de droits de vos clients (articles 15 à 22) ;
- la notification des violations de données, à vous, pour que vous puissiez agir ;
- le recours à des sous-traitants ultérieurs, avec préavis et droit d'objection ;
- vos droits d'audit ;
- le sort des données en fin de contrat.
En pratique, vous n'avez rien de plus à signer : accepter les CGU à la création du compte vaut acceptation du contrat de sous-traitance. Quand nous en publions une nouvelle version, une fenêtre vous invite à la relire et à l'accepter de nouveau à la connexion, et vous pouvez télécharger le contrat en PDF depuis cette fenêtre. Vos acceptations passées, avec leur date, restent consultables dans « Mes données personnelles », sur /parametres/mes-donnees.
Pour la marche à suivre pas à pas, y compris ce que vous voyez à l'écran, consultez accepter les CGU et le contrat de sous-traitance. Et si le terme lui-même vous arrête, la fiche le contrat de sous-traitance (DPA) le définit en une page.
Le bon ordre de grandeur. Ne pas disposer d'un contrat de sous-traitance conforme à l'article 28, ne pas tenir de registre (article 30) ou négliger la sécurité (article 32) expose à une amende pouvant atteindre 10 000 000 € ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Le plafond supérieur de 20 000 000 € ou 4 % vise d'autres manquements, notamment aux droits des personnes des articles 12 à 22 et aux principes des articles 5 et 6 (source : RGPD, article 83, paragraphes 4 et 5). Ces plafonds sont des maximums théoriques, calibrés pour des groupes mondiaux ; l'intérêt de les citer n'est pas de vous faire peur, mais de montrer que tous les manquements ne se valent pas. À jour au 19 août 2026.
Où sont hébergées mes données ?
Dans l'Union européenne, région principale Paris. Voilà la formulation exacte, et nous nous y tenons même si un « 100 % France » serait plus vendeur.
Le détail, tel qu'il figure dans notre politique de confidentialité : vos données sont principalement hébergées dans l'Union européenne, sur les régions europe-west9 en France et europe-west1 en Belgique. Nos traitements applicatifs s'exécutent par défaut sur la région parisienne.
Certains de nos sous-traitants peuvent être amenés, dans des cas limités, à accéder à des données depuis l'extérieur de l'Espace économique européen. Ces accès ne sont pas laissés au hasard : ils sont encadrés par les Clauses Contractuelles Types adoptées par la Commission européenne (décision d'exécution 2021/914) et, pour certains prestataires américains, par le cadre de protection des données UE-États-Unis reconnu adéquat par la Commission européenne le 10 juillet 2023.
Nos propres sous-traitants sont nommés un par un dans la politique de confidentialité, avec leur rôle : hébergement, paiement des abonnements, envoi des emails. Vous savez donc qui touche quoi.
Pourquoi insister sur cette nuance ? Parce qu'un éditeur qui vous écrit « hébergement 100 % France » alors que sa propre politique dit autre chose vous met, vous, en difficulté : c'est vous qui devrez le justifier devant votre client ou devant la CNIL, pas lui.
Puis-je faire effacer des données sans casser ma comptabilité ?
C'est le cas le plus difficile du RGPD pour un prestataire, et c'est celui où un logiciel bien conçu fait vraiment la différence.
D'abord, dissiper une confusion très répandue
Le RGPD n'impose aucune durée de conservation. Il demande exactement l'inverse : ne pas garder des données personnelles au-delà de ce qui est nécessaire (article 5-1-e).
Ce qui vous impose de conserver, ce sont deux textes français bien distincts :
| Le texte | La durée | À compter de |
|---|---|---|
| Code de commerce, article L. 123-22 (pièces comptables, dont les factures) | 10 ans | la clôture de l'exercice |
| Livre des procédures fiscales, article L. 102 B (droit de contrôle de l'administration) | 6 ans | la dernière opération ou l'établissement du document |
Comme dix ans est la durée la plus longue, c'est elle qui commande en pratique : la respecter satisfait aussi l'obligation fiscale (source : service-public.fr). À jour au 19 août 2026.
Le RGPD intervient à un autre endroit : son article 17-3-b reconnaît qu'une obligation légale de conservation justifie de ne pas effacer. La CNIL cite d'ailleurs explicitement les dix ans des factures parmi les motifs pour lesquels un effacement peut être refusé (source : CNIL, le droit à l'effacement).
Ensuite, la solution concrète : séparer ce qui doit partir de ce qui doit rester
Un tableur ne sait pas faire cette distinction : soit vous supprimez la ligne, soit vous la gardez entière. Prestavance sait la faire, parce que l'effacement y a été construit ligne à ligne.
Quand un effacement est exécuté :
- Les données non comptables sont réellement supprimées. Interventions, séries d'interventions, notifications, déclarations, invitations client : elles disparaissent, elles ne sont pas simplement masquées.
- Les pièces comptables sont conservées mais dépersonnalisées. Les montants, les dates, les numéros et les mentions obligatoires restent, car la loi vous demande de les garder. Les champs nominatifs qui ne sont plus nécessaires sont vidés.
- L'affichage change. Dans les listes de l'application, la personne apparaît en « Client anonymisé ». Sur les documents scellés, c'est « Acheteur anonymisé ».
- Les PDF déjà scellés ne sont pas retouchés. Ils sont protégés en écriture pour la durée de conservation, et l'article 17-3-b couvre précisément cette rétention.
Deux portées sont possibles : l'effacement d'un seul client ou celui d'un compte entier.
Ce raisonnement mérite d'être compris avant d'en avoir besoin. L'article effacer sans casser la conservation comptable le détaille cas par cas, et la fiche le droit à l'effacement rappelle en quoi ce droit n'est pas absolu.
Une précision utile : supprimer un client n'est pas l'anonymiser
Dans l'application, « supprimer un client » le retire de vos listes et libère une place dans votre offre, mais ses données restent en base. C'est un classement, pas un effacement, et c'est volontaire : vous pouvez avoir besoin de retrouver un dossier.
L'effacement au sens du RGPD est une opération distincte, décrite ci-dessus. Ne confondez pas les deux quand vous répondez à un client qui exerce ses droits.
Et si je veux récupérer mes données ou fermer mon compte ?
Ici, nous allons être plus francs que la moyenne du secteur.
Pour obtenir une copie de vos données, la demande se fait par email à contact@prestavance.fr. Il n'existe pas encore de bouton d'export en libre-service dans l'application. Le droit à la portabilité (article 20 du RGPD) est bien reconnu dans notre politique de confidentialité, et nous y répondons, mais aujourd'hui par un traitement manuel de notre équipe. Nous préférons vous le dire plutôt que de vous laisser chercher un bouton qui n'existe pas.
Pour faire supprimer votre compte, rendez-vous dans /parametres, carte « Suppression du compte », puis « Demander la suppression de mon compte ». Une confirmation par saisie vous est demandée, puis notre équipe traite la demande. C'est une demande, pas une suppression instantanée en un clic : l'exécution est déclenchée par un administrateur, précisément parce que l'opération est irréversible et touche à des pièces comptables.
Dans les deux cas, le délai de réponse est d'un mois, prolongeable de deux mois pour une demande complexe (source : CNIL). À jour au 19 août 2026.
Le pas à pas complet, avec ce que vous devez écrire dans votre email, se trouve dans exporter ou supprimer vos données.
Enfin, si vous estimez que vos droits n'ont pas été respectés, vous pouvez à tout moment introduire une réclamation auprès de la CNIL, l'autorité française de contrôle (source : cnil.fr). Nous préférons évidemment que vous nous écriviez d'abord, mais ce recours vous appartient.
Combien de temps mes données sont-elles conservées ?
Les durées ci-dessous sont celles de notre politique de confidentialité. Elles ne sont pas un engagement marketing : elles vous servent aussi à répondre à vos propres clients.
| Type de donnée | Durée de conservation |
|---|---|
| Compte utilisateur | durée de l'abonnement, puis 12 mois |
| Factures et pièces comptables | 10 ans (article L. 123-22 du Code de commerce) |
| Données liées à l'URSSAF et à l'Avance Immédiate de crédit d'impôt | 5 ans après la dernière transaction |
| Historiques de transactions de paiement | 10 ans |
| Navigation et cookies | 13 mois maximum (recommandation CNIL) |
| Support client | 3 ans après le dernier contact |
À jour au 19 août 2026. À l'expiration de ces durées, les données sont supprimées ou anonymisées de manière irréversible.
Une nuance de vocabulaire qui compte quand vous répondez à un client : anonymiser rend la ré-identification impossible et fait sortir la donnée du champ du RGPD, tandis que pseudonymiser reste réversible et laisse la donnée personnelle sous le RGPD. Les deux mots ne sont pas interchangeables.
Un mot sur ce que nous ne faisons pas
Une page de confiance qui ne liste que des réussites n'inspire pas confiance. Voici donc les limites, au 19 août 2026 :
- Pas de bouton d'export en libre-service. L'exercice du droit à la portabilité passe par une demande à notre équipe.
- Pas de suppression instantanée de compte en un clic. C'est une demande, traitée sous un mois.
- Pas de label « certifié RGPD », et pour cause : ce label n'existe pas. Ne faites confiance à personne qui l'affiche.
- Nous ne répondons pas à la place de vos clients finaux. Vous restez leur interlocuteur ; nous vous outillons.
En revanche, ce qui est annoncé sur cette page est réellement en production : le contrat de sous-traitance en Annexe 1, la re-acceptation à chaque nouvelle version, l'historique de vos acceptations, l'effacement à deux portées avec anonymisation partielle des pièces comptables, le consentement parental pour les bénéficiaires de moins de 15 ans, et l'hébergement européen.
Par où commencer ?
Si vous ne deviez lire qu'une chose de plus, lisez qui est responsable de quoi : c'est ce qui clarifie tout le reste.
Ensuite, selon votre besoin du moment :
- Vous voulez comprendre votre rôle sans jargon : comprendre vos responsabilités, puis les fiches responsable de traitement et sous-traitant et le contrat de sous-traitance (DPA).
- Vous venez de créer votre compte : accepter les CGU et le contrat de sous-traitance.
- Un client vous demande d'effacer ses données : effacer sans casser la conservation comptable et le droit à l'effacement.
- Vous voulez récupérer ou supprimer vos propres données : exporter ou supprimer vos données.
Vous pouvez aussi lire directement nos textes de référence : la politique de confidentialité, les CGU avec l'Annexe 1 et les mentions légales. Une question qui reste sans réponse ? Écrivez-nous depuis la page contact.
Questions fréquentes
Qui est responsable des données de mes clients : moi ou Prestavance ? C'est vous. Vous décidez quels clients vous enregistrez et pourquoi : le RGPD vous qualifie de responsable de traitement, même seul et sans salarié. Prestavance héberge et traite ces données pour votre compte, sur votre instruction, en qualité de sous-traitant au sens du RGPD. Si un client demande l'effacement de ses données, c'est à vous de répondre ; notre rôle est de vous en donner les moyens.
Dois-je signer un contrat de sous-traitance (DPA) à part ? Non. Le contrat exigé par l'article 28 du RGPD est l'Annexe 1 de nos CGU : en les acceptant à la création de votre compte, vous le concluez. Vous pouvez le relire sur /legal/cgv-cgu et le télécharger en PDF depuis la fenêtre d'acceptation.
Mes données sont-elles hébergées en France ? Elles sont hébergées dans l'Union européenne, région principale Paris, avec une région secondaire en Belgique. Les rares accès depuis l'extérieur de l'Espace économique européen sont encadrés par les Clauses Contractuelles Types et le cadre de protection des données UE-États-Unis. Nous ne revendiquons pas un « 100 % France » qui serait inexact.
Puis-je effacer les données d'un client si ses factures doivent être conservées dix ans ? Oui, car ce ne sont pas les mêmes données. Le non-comptable est réellement supprimé ; les pièces comptables sont conservées mais dépersonnalisées, sous les mentions « Client anonymisé » et « Acheteur anonymisé ». Montants, dates et numéros restent, car la loi vous demande de les garder.
Comment récupérer une copie de mes données ou faire supprimer mon compte ? La copie se demande par email à contact@prestavance.fr : il n'y a pas encore de bouton d'export dans l'application. La suppression se demande depuis /parametres, carte « Suppression du compte ». Réponse sous un mois, prolongeable de deux mois si la demande est complexe.
Le RGPD m'oblige-t-il à conserver mes factures dix ans ? Non. Le RGPD ne fixe aucune durée et demande même de ne pas conserver au-delà du nécessaire. Ce sont le Code de commerce (article L. 123-22, dix ans) et le Livre des procédures fiscales (article L. 102 B, six ans) qui imposent de garder. Dix ans étant la durée la plus longue, c'est elle qui commande.
Sources
- CNIL - Responsable de traitement et sous-traitant, 6 bonnes pratiques : https://www.cnil.fr/fr/responsable-de-traitement-et-sous-traitant-6-bonnes-pratiques-pour-respecter-les-donnees
- CNIL - Guide du sous-traitant (PDF) : https://www.cnil.fr/sites/cnil/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf
- CNIL - Le droit à l'effacement : https://www.cnil.fr/fr/le-droit-leffacement-supprimer-vos-donnees-en-ligne
- CNIL - Exercice des droits : dans quel délai doit-on me répondre ? : https://www.cnil.fr/fr/cnil-direct/question/exercice-des-droits-informatique-et-libertes-dans-quel-delai-doit-me-repondre
- CNIL - RGPD, chapitre VIII (voies de recours, responsabilité et sanctions) : https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre8
- CNIL - Adresser une plainte ou une réclamation à la CNIL : https://www.cnil.fr/fr/adresser-une-plainte
- Service-Public Entreprendre - Durées de conservation des documents pour une entreprise : https://entreprendre.service-public.gouv.fr/vosdroits/F10029
- EUR-Lex - Règlement (UE) 2016/679 (RGPD, texte consolidé) : https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32016R0679
Page mise à jour le 19 août 2026. Les durées, seuils et montants cités sont ceux en vigueur à cette date.