Accord de Traitement des Données (DPA)
Dernière mise à jour : 15 Octobre 2026 • Version 6.0 Enterprise. Cet accord régit les modalités de traitement des données à caractère personnel et fiscales confiées par le Client (Responsable du Traitement) à VAT Mesh Technologies Ltd. (Sous-Traitant) dans le cadre de l'utilisation de la plateforme OmniTax & ELFATOORA AI.
VAT Mesh = Sous-Traitant technique habilité.
01. Objet du Traitement & Qualification des Rôles
Le présent accord s'applique à tous les traitements de données personnelles effectués par VAT Mesh Technologies Ltd. pour le compte du Client.
- Le Client agit en tant que Responsable du Traitement au sens de l'article 4(7) du RGPD pour l'ensemble des données fiscales, de facturation et d'identification de ses propres clients finaux et collaborateurs.
- VAT Mesh agit en qualité de Sous-Traitant au sens de l'article 4(8) du RGPD, agissant exclusivement sur instructions documentées du Client.
- Finalités autorisées : Préparation des formats réglementaires de facturation électronique (Factur-X, SdI FatturaPA, TEIF, ZATCA FATOORA, ETA Law 206), calcul déterministe des taxes et retenues conventionnelles, scellement SHA-256 et mise à disposition pour archivage probant.
02. Catégories de Données Traitées
Les données traitées par la plateforme sont strictement circonscrites aux nécessités fiscales et comptables :
Identifiants Légaux & Fiscaux
Raison sociale, Numéro SIRET / SIREN, TVA Intracommunautaire, Partita IVA, Matricule Fiscal tunisien, ICE marocain, ZATCA TRN, ETA TRN égyptien.
Données Commerciales & Financières
Lignes de facturation, montants HT/TTC, devises, taux de TVA applicables, retenues à la source conventionnelles, coordonnées bancaires (IBAN/BIC) des bénéficiaires.
03. Engagements de Sécurité du Sous-Traitant (RGPD Art. 28.3)
VAT Mesh s'engage formellement à :
- Confidentialité stricte : Veiller à ce que les personnes autorisées à traiter les données s'engagent à respecter la confidentialité et reçoivent la formation nécessaire.
- Mesures techniques et organisationnelles : Mettre en œuvre le chiffrement en transit (TLS 1.3) et au repos (AES-256), l'isolation physique des bases (One-Tenant-One-SQLite) et les contrôles d'intégrité SHA-256.
- Assistance aux audits : Mettre à la disposition du Client, sur demande motivée, la documentation démontrant le respect de ses obligations statutaires.
- Interdiction de monétisation : Ne procéder à aucune vente, location, profilage commercial ni exploitation tierce des données hébergées.
04. Sous-Traitance Ultérieure (Sub-processors)
Le Client autorise expressément le recours aux sous-traitants ultérieurs nécessaires à l'exploitation de l'infrastructure de base. La liste exhaustive et à jour est consultable en permanence sur notre Répertoire des Sous-Traitants.
En cas d'ajout ou de changement de sous-traitant critique, un préavis de 30 jours est notifié aux abonnés par courrier électronique ou notification cockpit, ouvrant droit de résiliation sans pénalité en cas de motif légitime d'opposition.
05. Notification de Violation & Sort des Données
Notification de faille (Art. 33) : VAT Mesh s'engage à notifier au Client toute violation de données personnelles avérée dans un délai maximal de 72 heures après en avoir pris connaissance, accompagnée des mesures d'atténuation prises.
Restitution et suppression (Art. 28.3.g) : Au terme de la relation contractuelle, à l'expiration du forfait ou sur demande expresse, VAT Mesh s'engage à restituer l'intégralité des données sous format standard structuré (JSON / SQLite / XML) et à purger définitivement les partitions dédiées, sous réserve des obligations légales d'archivage fiscal incombant au Client.
06. Éditeur / Responsable du traitement / Contact
Identité de l'éditeur et contacts : conformément à la section 01, le Client demeure Responsable du Traitement et VAT Mesh Sous-Traitant pour les données qui lui sont confiées ; les demandes relatives aux données dont VAT Mesh est responsable (coordonnées de contact, facturation) sont traitées via l'adresse de contact indiquée ci-dessous.
Note : les mentions légales complètes (raison sociale, siège, immatriculation, identifiant fiscal, juridiction, représentant légal et DPO nommé) seront publiées dès qu'elles seront vérifiées. VATMesh ne publie aucune donnée d'immatriculation non vérifiée.