Contrat de sous-traitance

1.Parties

Le présent contrat est conclu entre :

• le responsable du traitement : l'avocat ou le cabinet titulaire d'un espace Diligence, ci-après « le client » ;
• le sous-traitant : une SAS, en cours d'immatriculation, ci-après « l'éditeur ».

Le client est identifié comme suit :

Cabinet ou avocat

 

Numéro d'entreprise (BCE)

 

Adresse

 

Représenté par (nom, qualité)

 

Il complète les conditions générales. Pendant la phase bêta, il est signé avant l'enregistrement du premier dossier réel (article « Phase bêta ») ; hors bêta, il s'applique dès la création de l'espace, sans formalité supplémentaire. Le client l'imprime ou l'enregistre en PDF, le complète, le signe et le transmet depuis la page d'aide.

2.1. Objet et description du traitement

L'éditeur traite des données personnelles pour le compte du client, dans le seul but de lui fournir le service Diligence.

Nature des opérations

Conservation, organisation, consultation, mise en forme (factures, actes, agendas), envoi des e-mails demandés, sauvegarde, export et effacement.

Finalité

Gestion du cabinet : dossiers, parties, délais, agenda, prestations, facturation, documents et obligations d'identification.

Personnes concernées

Clients, parties adverses, confrères, magistrats, huissiers, experts, témoins et autres tiers mentionnés dans les dossiers ; membres des espaces.

Catégories de données

Identité et coordonnées ; numéro de registre national ; numéro d'entreprise et de TVA ; coordonnées bancaires ; données financières et de facturation ; données relatives aux procédures judiciaires ; informations couvertes par le secret professionnel de l'avocat ; tout autre contenu que le client choisit d'enregistrer dans ses dossiers et documents.

Données particulières

Selon les dossiers : données de santé et autres catégories particulières de données (art. 9 RGPD), données relatives aux condamnations pénales et aux infractions (art. 10 RGPD). L'éditeur les traite comme toutes les autres données du client, sans les isoler ni les exploiter, avec les mesures de l'annexe 1.

Durée

La durée du contrat, phase bêta comprise, puis le délai d'effacement prévu à l'article 9.

3.2. Instructions du client

L'éditeur ne traite les données que sur instruction documentée du client. L'utilisation du service par le client et ses membres, ainsi que les présentes clauses, constituent ces instructions.

Si l'éditeur est tenu par la loi de procéder à un traitement non prévu, il en informe le client avant d'y procéder, sauf si la loi l'interdit. S'il estime qu'une instruction est contraire à la réglementation, il en informe immédiatement le client.

4.3. Confidentialité et secret professionnel

L'éditeur reconnaît que les données confiées sont couvertes par le secret professionnel de l'avocat. Les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité écrite, qui survit à la fin de leurs fonctions.

Personne chez l'éditeur ne consulte le contenu d'un espace, sauf à la demande expresse du client pour l'assister, et dans la seule mesure nécessaire. Toute demande d'une autorité visant les données du client lui est notifiée sans délai, sauf interdiction légale.

5.4. Sécurité

L'éditeur met en œuvre les mesures techniques et organisationnelles appropriées au sens de l'art. 32 RGPD, décrites à l'annexe 1. Il peut les faire évoluer, à condition de ne pas réduire le niveau de protection. Le détail est également présenté sur la page sécurité.

6.5. Sous-traitants ultérieurs

Le client autorise l'éditeur à recourir aux sous-traitants ultérieurs énumérés à l'annexe 2. L'éditeur leur impose par contrat des obligations équivalentes à celles du présent contrat et reste responsable de leur exécution.

Les services que le client choisit de relier à Diligence (agenda Google ou Microsoft, compléments Word et Outlook, Exact Online, notifications de l'application mobile, serveur CalDAV) ne reçoivent des données que sur son instruction et dans le cadre de son propre contrat avec eux : ils ne sont pas des sous-traitants ultérieurs de l'éditeur. Ils figurent pour information à la fin de l'annexe 2.

Tout ajout ou remplacement est notifié au client au moins 30 jours à l'avance. Le client peut s'y opposer pour un motif raisonnable lié à la protection des données ; à défaut d'accord, il peut résilier sans frais avant l'entrée en vigueur du changement.

7.6. Transferts hors de l'Union européenne

Les données sont conservées dans l'Union européenne. Si un sous-traitant ultérieur peut y accéder depuis un pays tiers, le transfert est encadré par les clauses contractuelles types de la Commission européenne ou par une décision d'adéquation, complétées au besoin par des mesures supplémentaires.

8.7. Assistance au client

Compte tenu de la nature du traitement, l'éditeur aide le client :

• à répondre aux demandes d'exercice de droits des personnes concernées, notamment grâce aux fonctions de recherche, de modification et d'export du service ; toute demande reçue directement par l'éditeur est transmise au client sans y répondre ;
• à réaliser, le cas échéant, une analyse d'impact et à consulter l'autorité de contrôle ;
• à respecter ses obligations de sécurité et de notification.

9.8. Violations de données

L'éditeur notifie au client toute violation de données le concernant sans retard injustifié, et au plus tard 48 heures après en avoir pris connaissance. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, les conséquences probables et les mesures prises ou proposées. Les informations sont complétées au fur et à mesure. Le client reste seul juge de la notification à l'Autorité de protection des données (art. 33 RGPD) et aux personnes concernées (art. 34 RGPD).

10.9. Fin du contrat

À la fin du contrat, le client dispose de 30 jours pour exporter ses données. L'éditeur les efface ensuite définitivement, sauvegardes comprises, dans un délai de 90 jours, sauf obligation légale de conservation, et confirme l'effacement par écrit à la demande du client.

11.9 bis. Phase bêta

Pendant la phase bêta, le client utilise Diligence avant son ouverture au public. Le présent contrat s'applique pleinement aux données réelles qu'il y enregistre. Le client le signe avant d'enregistrer le premier dossier réel ; jusque-là, il n'utilise que des données fictives ou les dossiers de démonstration.

La fin de la phase bêta est annoncée au client au moins 30 jours à l'avance. À cette date :

• le client qui poursuit l'utilisation de Diligence garde ses données et ses réglages, sans démarche, et le présent contrat continue de s'appliquer ;
• le client qui ne poursuit pas dispose de 30 jours pour exporter ses données ; l'éditeur les efface ensuite comme le prévoit l'article 9, sauvegardes comprises, dans un délai de 90 jours.

12.10. Documentation et audits

L'éditeur met à la disposition du client toute information nécessaire pour démontrer le respect du présent contrat. Le client peut faire réaliser un audit, au plus une fois par an et moyennant un préavis de 30 jours, par un auditeur tenu au secret, à ses frais, sans accès aux données des autres clients.

13.11. Durée, droit applicable

Le présent contrat produit ses effets aussi longtemps que l'éditeur traite des données pour le compte du client. Il est soumis au droit belge ; les tribunaux de l'arrondissement judiciaire de Bruxelles sont seuls compétents. En cas de contradiction avec les conditions générales, le présent contrat prévaut pour tout ce qui touche aux données personnelles.

14.Annexe 1 · Mesures de sécurité

• Séparation des espaces appliquée par la base de données elle-même (sécurité au niveau des lignes), à chaque lecture et à chaque écriture, et vérifiée par des tests automatiques d'accès entre espaces.
• Droits attribués par rôle (associé, collaborateur, assistant) et contrôlés par la base de données.
• Double authentification par code à usage unique ; l'espace peut la rendre obligatoire, la base refusant alors tout accès sans elle.
• Mots de passe conservés uniquement sous forme d'empreinte irréversible.
• Chiffrement des échanges entre votre appareil et le service (HTTPS), et chiffrement des données et des sauvegardes au repos chez l'hébergeur de la base.
• Mots de passe et jetons des agendas connectés chiffrés avant d'être enregistrés.
• Hébergement de la base de données et des documents dans l'Union européenne (Irlande).
• Sauvegarde automatique quotidienne de la base de données par son hébergeur.
• Journal d'activité de l'espace : création, modification et suppression des données, consultable par les associés.
• Factures numérotées à l'émission et figées : une facture émise ne peut plus être modifiée ni supprimée.
• Alertes par e-mail limitées à la référence du dossier, sauf choix contraire de l'espace.
• Rapports d'erreur expurgés de l'identité de l'utilisateur, des cookies et des contenus saisis ; textes masqués dans les mesures d'usage.
• Accès du personnel de l'éditeur limité aux personnes qui en ont besoin, soumis à un engagement de confidentialité écrit.

15.Annexe 2 · Sous-traitants ultérieurs autorisés

Liste à jour au 3 novembre 2026. Sous chaque prestataire figurent les cas où il reçoit des données.

Services activés par le client

Pour information : ces services ne reçoivent des données que si le client ou un membre de son espace les relie à Diligence, comme le prévoit la section « Sous-traitants ultérieurs ».

16.Signatures

Pendant la phase bêta : à signer avant l'enregistrement du premier dossier réel. Hors bêta, le contrat s'applique dès la création de l'espace et la signature est facultative.