Accord de traitement des données

Le présent accord au titre de l'article 28 du RGPD s'applique automatiquement entre la société titulaire du compte (le responsable du traitement) et Luxxow S.à r.l.-S (le sous-traitant) dès la création du compte, comme partie des conditions générales.

1. Objet et durée. Le traitement des données personnelles que le responsable saisit dans Luxxow Invoice, pendant la durée du compte plus les périodes d'export et de suppression prévues aux conditions générales.

2. Nature et finalité. Hébergement, stockage, affichage, génération de documents (PDF, UBL, FAIA, CSV), transmission par e-mail et sur le réseau Peppol, réception de factures électroniques, rapprochement bancaire et sauvegardes — uniquement pour fournir le service.

3. Données et personnes concernées. Données d'identification et de facturation des clients, fournisseurs et personnes de contact du responsable : noms, adresses, e-mails, téléphones, numéros de TVA, coordonnées bancaires figurant sur les documents, et le contenu des factures, devis et rappels.

4. Instructions. Luxxow ne traite ces données que sur instruction documentée du responsable — en pratique, les actions effectuées dans l'application — sauf obligation du droit de l'UE ou luxembourgeois, auquel cas Luxxow informe le responsable avant le traitement, si la loi le permet.

5. Confidentialité. Les personnes autorisées à traiter les données sont tenues à des obligations de confidentialité.

6. Sécurité (art. 32). TLS en transit ; isolation par base de données par société ; secrets chiffrés au repos ; authentification à deux facteurs optionnelle ; webhooks signés ; journal d'activité en écriture seule ; sauvegardes nocturnes chiffrées ; accès limité à ce qu'exige l'exploitation du service.

7. Sous-traitants ultérieurs. Le responsable autorise les sous-traitants listés dans la politique de confidentialité (actuellement Hostinger, MXroute, Recommand et, au lancement des paiements, Stripe). Luxxow informe les titulaires de compte de tout ajout ou remplacement envisagé, en leur donnant la possibilité d'objecter ; les mêmes obligations de protection des données sont imposées à chaque sous-traitant.

8. Assistance. Compte tenu de la nature du traitement, Luxxow assiste le responsable pour les demandes des personnes concernées (les outils d'export servent directement l'accès et la portabilité) et pour ses obligations au titre des articles 32 à 36 du RGPD.

9. Violations de données. Luxxow notifie le responsable dans les meilleurs délais après avoir eu connaissance d'une violation de données affectant les données du responsable, avec les informations nécessaires à ses propres notifications.

10. Fin du traitement. À la fin du service, le responsable exporte ses données avec les outils intégrés ; après la période d'export de 30 jours, Luxxow supprime la base de données et les fichiers de la société, et les sauvegardes expirent sous 30 jours supplémentaires, sauf si le droit de l'UE ou luxembourgeois exige une conservation plus longue.

11. Audit. Luxxow met à disposition les informations nécessaires pour démontrer le respect du présent accord et permet la réalisation d'audits par le responsable ou un auditeur mandaté, à intervalles raisonnables et moyennant un préavis raisonnable, et y contribue.