Contrat de sous-traitance (DPA)

Prospect Hive traite des données à caractère personnel pour le compte du client (gestion de prospects, contacts clients, documents commerciaux). Le présent DPA précise les obligations du sous-traitant.

• fourniture du service de prospection et de facturation ;
• archivage légal des documents commerciaux (10 ans) ;
• transmission e-invoicing via la Plateforme Agréée Pennylane (sous-traitant ultérieur).

• identité et coordonnées des prospects et clients ;
• données économiques (numéros de SIREN/SIRET, n° de TVA, chiffres d'affaires, factures émises) ;
• données de connexion et logs d'audit.

• prospects et clients du Responsable de traitement ;
• collaborateurs et utilisateurs du Responsable de traitement.

Prospect Hive s'engage à mettre en œuvre les mesures techniques et organisationnelles appropriées :

• chiffrement TLS en transit, AES-256 au repos ;
• empreinte cryptographique SHA-256 sur les documents archivés (intégrité) ;
• cloisonnement des données par compte via Row-Level Security ;
• journal d'audit immuable de toutes les actions.

Le client autorise Prospect Hive à recourir aux sous-traitants ultérieurs suivants :

• Vercel Inc. — hébergement applicatif
• Supabase Inc. (États-Unis) — hébergement de la base de données, des fichiers et de l'authentification ; transfert encadré par les clauses contractuelles types (CCT)
• Pennylane SAS — Plateforme Agréée e-invoicing DGFiP
• Resend Inc. — emails transactionnels
• Stripe Inc. — paiements et facturation des abonnements
• Anthropic PBC (États-Unis) — modèle d'IA de l'assistant ; transfert encadré par les clauses contractuelles types (CCT)

Toute modification de la liste sera notifiée au client au moins 30 jours avant son entrée en vigueur.

Prospect Hive assistera le Responsable de traitement dans la réponse aux demandes d'exercice des droits (accès, rectification, effacement, portabilité) reçues directement par le client.

En cas de violation de données, Prospect Hive notifie le Responsable de traitement dans un délai maximum de 72 heures après en avoir pris connaissance, avec un descriptif des conséquences et des mesures correctives engagées.

À la cessation du contrat, le client peut demander la restitution de ses données ou leur suppression définitive, sous réserve des durées de conservation imposées par la loi (notamment LPF L.102 B pour les documents commerciaux).