Convention de partenariat et de traitement des données

Entre :

[raison sociale du Client], [forme juridique], au capital de [capital social], immatriculée au registre du commerce de [ville du RC] sous le numéro [numéro de RC], ICE [ICE], dont le siège est situé [adresse du siège], représentée par [nom du signataire] en qualité de [qualité du signataire], dûment habilité(e) (le « Client »),

et :

01TEK SARL, société à responsabilité limitée au capital de 100.000 dirhams, dont le siège social est situé Rue Azegza, Appt n° 02, RDC, Imm. 27, Agdal, Rabat, immatriculée au registre du commerce de Rabat sous le numéro 154415, ICE 002888430000002, identifiant fiscal 50517376, représentée par son gérant (« 01TEK »),

ensemble les « Parties ».

Préambule

01TEK édite le service Kontabl.ma (le « Service »). Le Client, entreprise ou cabinet comptable (fiduciaire), utilise le Service pour sa propre gestion et, s'il est un cabinet, pour les dossiers des entreprises qui lui confient leur comptabilité (les « Clients du Cabinet »), notamment avec le Pack Fiduciaire.

La présente convention (la « Convention ») complète les conditions générales d'utilisation (les « CGU »). Elle fixe les conditions du partenariat entre les Parties et celles dans lesquelles 01TEK traite les données du Client pour son compte, conformément à l'article 24 de la loi n° 09-08. En cas de contradiction, la Convention prévaut sur les CGU pour tout ce qui concerne les données du Client.

Article 1 — Définitions

• Données Client : toutes les données enregistrées ou déposées dans le Service par le Client, ses Membres ou les Clients du Cabinet (par le portail de dépôt), y compris les données à caractère personnel qu'elles contiennent.
• Membres : les utilisateurs rattachés au compte du Client (collaborateurs ou lecture seule).
• Sous-traitant ultérieur : un prestataire auquel 01TEK recourt pour exécuter le Service et qui traite des Données Client.
• Incident de sécurité : toute violation de sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation ou l'accès non autorisé à des Données Client.

Article 2 — Objet

La Convention a pour objet :

1. de définir les conditions d'utilisation du Service par le Client dans le cadre d'un partenariat, notamment pour le Pack Fiduciaire ;
2. de garantir que le Client, et pour leurs données les Clients du Cabinet, restent seuls propriétaires de leurs données ;
3. d'encadrer le traitement des Données Client par 01TEK en qualité de sous-traitant.

Article 3 — Partenariat et utilisation du Service

3.1. 01TEK fournit au Client le Service selon le Plan souscrit (fonctions, sièges, nombre de Dossiers, stockage) tel que décrit sur la page des tarifs. Pour un cabinet, le Pack Fiduciaire comprend notamment le portefeuille de Dossiers, le calendrier fiscal, les relances, le portail de dépôt de documents, les sièges d'équipe et les récapitulatifs par e-mail.

3.2. Le Client utilise le Service pour ses besoins professionnels et, s'il est un cabinet, pour exécuter les missions que lui confient les Clients du Cabinet. Il ne peut pas revendre le Service ni le proposer sous sa propre marque sans accord écrit distinct.

3.3. Chaque Partie désigne un interlocuteur. 01TEK informe le Client des évolutions importantes du Service ; le Client signale à 01TEK toute anomalie constatée.

3.4. Les Parties restent indépendantes. Le partenariat n'est pas exclusif. 01TEK n'exerce aucune mission d'expertise comptable ou de conseil : le Client conserve l'entière responsabilité professionnelle des travaux qu'il réalise avec le Service.

Article 4 — Propriété des données

4.1. Le Client — et, pour les données qui les concernent, les Clients du Cabinet — demeure seul et entier propriétaire des Données Client. La Convention ne transfère aucun droit de propriété à 01TEK.

4.2. 01TEK n'a aucun droit d'utiliser, de vendre, de louer, de partager, de communiquer ou d'exploiter les Données Client pour son propre compte ou pour celui d'un tiers, notamment à des fins commerciales, publicitaires, statistiques ou d'entraînement de modèles d'intelligence artificielle. Elle les traite uniquement dans la mesure nécessaire pour fournir, sécuriser, maintenir et assister le Service, ou pour respecter une obligation légale ; dans ce dernier cas, elle en informe préalablement le Client, sauf si la loi l'interdit.

4.3. 01TEK peut établir des indicateurs techniques agrégés (volume de stockage, nombre de requêtes, quotas) qui ne contiennent aucune Donnée Client et ne permettent d'identifier ni le Client ni une personne.

4.4. Restitution. Le Client peut exporter ses données à tout moment : export complet au format JSON (« Télécharger mes données »), téléchargement des fichiers depuis la page Documents. À sa demande, notamment à la fin de la Convention, 01TEK l'assiste pour obtenir ses données dans un format standard et lisible.

4.5. Suppression. Le Client supprime ses données en supprimant son compte (« Supprimer mon compte ») : les Données Client sont effacées et les clés de chiffrement du Client détruites en premier, ce qui rend illisible toute copie chiffrée subsistante. Le Client peut aussi demander la suppression par écrit ; 01TEK y procède dans un délai de trente (30) jours. Tant que le compte n'est pas supprimé, les données restent conservées afin que le Client puisse y accéder et les exporter. Seules les données propres à la relation entre les Parties que 01TEK doit conserver (facturation de ses prestations, preuve de l'acceptation des conditions) le sont, sans identifiant du compte, pour la durée légale ; les copies de sauvegarde de l'hébergeur expirent automatiquement.

Article 5 — Traitement des données personnelles pour le compte du Client

5.1. Rôles. Pour les données à caractère personnel contenues dans les Données Client, le Client est responsable du traitement et 01TEK sous-traitant, au sens de la loi n° 09-08. Lorsque le Client est lui-même sous-traitant des Clients du Cabinet, 01TEK intervient comme sous-traitant ultérieur et le Client s'assure que ses contrats avec les Clients du Cabinet le permettent.

5.2. Description. Nature : hébergement, enregistrement, organisation, consultation, calcul, export et suppression, et préparation des réponses de l'Assistant à la demande d'un utilisateur. Finalité : fournir le Service. Catégories de données : identité, coordonnées, CIN, numéro CNSS, RIB, rémunérations, données de facturation, comptables et fiscales, documents. Personnes concernées : salariés, consultants, clients, fournisseurs et contacts du Client et des Clients du Cabinet. Durée : celle de la Convention, puis l'article 4.

5.3. Instructions. 01TEK ne traite les Données Client que sur instruction documentée du Client : la Convention, les CGU et les actions effectuées par le Client et ses Membres dans le Service constituent ses instructions. 01TEK informe le Client si une instruction lui paraît contraire à la loi.

5.4. Obligations du Client. Le Client dispose d'une base légale pour chaque traitement, informe les personnes concernées, accomplit les formalités auprès de la CNDP (déclaration et, pour le transfert vers les États-Unis prévu à l'article 8, autorisation), veille à l'exactitude des données et n'enregistre pas de données sensibles sans nécessité.

Article 6 — Confidentialité

6.1. 01TEK veille à ce que les personnes autorisées à accéder aux Données Client soient soumises à une obligation de confidentialité et au secret professionnel prévu par l'article 26 de la loi n° 09-08. Ces accès sont limités au strict nécessaire : support à la demande du Client, sécurité, traitement d'un incident, vérification d'un justificatif de paiement. Chaque consultation d'un justificatif de paiement par un administrateur est enregistrée dans un journal d'audit.

6.2. Chaque Partie garde confidentielles les informations non publiques de l'autre Partie dont elle a connaissance, pendant la Convention et cinq (5) ans après sa fin.

Article 7 — Sécurité

7.1. 01TEK met en œuvre les mesures techniques et organisationnelles prévues par l'article 23 de la loi n° 09-08, notamment :

• chiffrement des échanges (HTTPS/TLS) et chiffrement des données sur les serveurs de l'hébergeur ;
• chiffrement applicatif en enveloppe AES-256-GCM des données les plus sensibles, avec des clés propres au Client (une clé personnelle et une clé « cabinet » partagée avec ses Membres), elles-mêmes chiffrées par une clé maîtresse conservée dans Google Secret Manager ;
• règles d'accès vérifiées côté serveur et tests automatisés d'isolation entre clients ;
• limitation de fréquence des opérations sensibles et journal d'audit des actions d'administration ;
• renouvellement de la clé « cabinet » lors du retrait d'un Membre et destruction des clés à la suppression du compte.

7.2. Le Client est informé que ce chiffrement n'est pas de bout en bout : les serveurs de 01TEK peuvent déchiffrer les données lorsque le Service en a besoin (Assistant, portail de dépôt, vérification d'un paiement). Restent en clair, protégés uniquement par le chiffrement de l'hébergeur et les règles d'accès : les noms, les identifiants ICE, IF et RC, les factures et leurs montants, les déclarations, les écritures comptables, les noms de fichiers et les métadonnées. Le détail figure dans la Politique de confidentialité et sur la page Sécurité.

7.3. Le Client protège ses identifiants, n'invite que des personnes de confiance, retire sans délai les Membres qui quittent sa structure et sécurise ses appareils.

Article 8 — Sous-traitants ultérieurs et transfert hors du Maroc

8.1. Le Client autorise 01TEK à recourir aux Sous-traitants ultérieurs suivants : Google LLC (Google Cloud et Firebase : hébergement, base de données, fichiers, authentification, gestion des clés, journaux) ; EmbedAPI et les modèles Claude d'Anthropic exécutés sur Amazon Web Services (Amazon Bedrock), uniquement pour les questions qu'un utilisateur pose à l'Assistant et l'historique récent de la conversation ; le prestataire d'envoi des récapitulatifs e-mail du Pack Fiduciaire. Google Analytics ne reçoit aucune Donnée Client.

8.2. 01TEK informe le Client de tout ajout ou remplacement d'un Sous-traitant ultérieur au moins trente (30) jours à l'avance, sauf urgence liée à la sécurité ; le Client peut s'y opposer et, à défaut de solution, résilier la Convention. 01TEK choisit des prestataires présentant des garanties suffisantes et leur impose, par leurs conditions contractuelles, des obligations de protection des données.

8.3. Transfert. Les Données Client sont hébergées aux États-Unis (base de données Firestore dans la multirégion « nam5 », fonctions serveur dans les régions us-central1 et us-east1, fichiers dans la région us-east1) et ne sont pas hébergées au Maroc. Ce transfert vers un État étranger est soumis aux articles 43 et 44 de la loi n° 09-08 : le Client, responsable du traitement, sollicite l'autorisation de la CNDP (ou s'appuie sur une exception de l'article 44) et le mentionne dans ses formalités. 01TEK lui fournit les informations nécessaires (liste des sous-traitants, localisations, mesures de sécurité).

Article 9 — Incidents de sécurité

9.1. 01TEK notifie au Client tout Incident de sécurité affectant des Données Client dans les meilleurs délais et au plus tard soixante-douze (72) heures après en avoir eu connaissance, par e-mail et dans le Service. La notification précise, dans la mesure des informations disponibles, la nature de l'incident, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou proposées ; elle est complétée au fur et à mesure.

9.2. 01TEK prend sans délai les mesures nécessaires pour limiter l'incident et coopère avec le Client, à qui il revient, en sa qualité de responsable du traitement, d'informer les personnes concernées et les autorités lorsque cela est requis.

Article 10 — Assistance

10.1. Le Service permet au Client de rectifier, d'exporter et de supprimer les données ; 01TEK assiste le Client pour répondre aux demandes des personnes concernées et lui transmet sans délai celles qu'elle reçoit directement.

10.2. 01TEK fournit au Client les informations utiles à ses formalités auprès de la CNDP et à ses analyses de risques.

Article 11 — Audit et information

11.1. 01TEK met à la disposition du Client les informations nécessaires pour démontrer le respect de la Convention : la présente Convention, la liste des sous-traitants, la description des mesures de sécurité.

11.2. Une fois par an, avec un préavis de trente (30) jours, le Client peut faire réaliser à ses frais un audit par un auditeur indépendant tenu au secret, sur pièces ou au moyen d'un questionnaire. L'audit ne peut donner accès ni aux données des autres clients de 01TEK ni aux secrets de sécurité (clés de chiffrement) ; ses conclusions sont confidentielles.

Article 12 — Engagements propres au cabinet

Lorsque le Client est un cabinet comptable ou une fiduciaire :

1. il déclare disposer, de la part des Clients du Cabinet, des mandats (lettres de mission) et autorisations nécessaires pour enregistrer leurs données dans le Service, y donner accès à ses Membres, utiliser le portail de dépôt et faire héberger ces données par 01TEK, y compris aux États-Unis ;
2. il est seul responsable des informations qu'il saisit sur les Clients du Cabinet et des travaux, déclarations et conseils qu'il leur fournit ;
3. il informe les Clients du Cabinet du recours au Service lorsque cela est requis ;
4. il gère ses Membres (invitations, rôles, retraits) et répond de leurs actes ; il ne transmet les liens du portail de dépôt qu'au client concerné et les révoque lorsque nécessaire ;
5. à la fin d'une mission, il exporte les données du client concerné qu'il doit conserver, puis supprime le Dossier si nécessaire.

Article 13 — Responsabilité

Chaque Partie répond de ses propres manquements. La responsabilité de 01TEK est limitée dans les conditions de l'article 11 des CGU, sauf dol ou faute lourde (article 232 du DOC).

Article 14 — Durée et fin

14.1. La Convention prend effet à son acceptation électronique et dure tant que le Client utilise le Service.

14.2. Elle prend fin avec la suppression du compte du Client ou la résiliation des CGU. Chaque Partie peut la résilier en cas de manquement grave de l'autre Partie, non réparé dans les quinze (15) jours d'une mise en demeure.

14.3. À la fin de la Convention, l'article 4 s'applique. Les articles 4, 6 et 13 restent applicables après la fin de la Convention pour la durée nécessaire.

Article 15 — Modifications

Toute nouvelle version de la Convention est présentée au Client dans le Service et doit être acceptée pour continuer à l'utiliser. Si le Client la refuse, il peut exporter ses données et mettre fin à la Convention.

Article 16 — Preuve et acceptation électronique

La Convention est conclue par voie électronique : le signataire du Client coche la case prévue et clique sur « J'accepte » depuis le compte authentifié du Client. 01TEK enregistre la date et l'heure de l'acceptation (horloge du serveur), la version et l'empreinte numérique des documents acceptés, l'identité de l'entreprise et du signataire, ainsi qu'une empreinte de l'adresse IP et le navigateur utilisé. Les Parties conviennent que cet enregistrement fait preuve de leur consentement, conformément à la loi n° 53-05 relative à l'échange électronique de données juridiques et aux articles 417-1 et suivants du DOC. Le signataire déclare être habilité à engager le Client.

Article 17 — Droit applicable et juridiction

La Convention est soumise au droit marocain. Tout litige relatif à sa formation, son exécution ou son interprétation, qui n'a pas pu être résolu à l'amiable dans un délai de trente (30) jours, relève de la compétence exclusive du tribunal de commerce de Rabat. La Convention est établie en français ; les versions arabe et anglaise sont des traductions. En cas de divergence, la version française prévaut.

Fait par voie électronique, à la date d'acceptation enregistrée par 01TEK.