--- title: "Accord de sous-traitance (DPA) — React Box" description: "Accord de sous-traitance des données personnelles entre React Box et les organisations clientes : instructions, sécurité, sous-traitants ultérieurs, transferts et sort des données." url: https://www.react-box.com/fr/legal/dpa lang: fr --- Dernière mise à jour : septembre 2026 # Accord de sous-traitance des données personnelles (DPA) Le présent accord s'applique entre React Consulting SARL AU, éditeur de React Box (le « sous-traitant »), et chaque organisation cliente — entreprise ou cabinet comptable — qui utilise le service (le « client », responsable de traitement). Il complète les conditions générales d'utilisation ; leur acceptation vaut acceptation du présent accord. ## 1\. Objet Le présent accord définit les conditions dans lesquelles React Box traite, pour le compte du client, les données personnelles contenues dans les documents et les données de gestion que le client traite dans le service, conformément à la loi n° 09-08. ## 2\. Durée L'accord s'applique pendant toute la durée d'utilisation du service par le client, puis jusqu'à l'effacement ou la restitution des données dans les conditions de l'article 14. ## 3\. Nature et finalités du traitement Hébergement, stockage, organisation, consultation, partage et transmission des documents et des données de gestion ; émission et envoi des factures et relances du client ; réception des e-mails adressés à l'adresse de dépôt du client ; numérisation (OCR), tri des e-mails reçus et assistance par l'assistant Atlas lorsque le client les déclenche ; export et suppression des données. Ces traitements n'ont d'autre finalité que la fourniture du service au client. ## 4\. Catégories de personnes et de données Personnes concernées : clients, fournisseurs et autres tiers du client et leurs contacts ; salariés et utilisateurs du client ; personnes figurant dans les documents et les e-mails reçus. Données : documents et métadonnées ; identité, ICE, IF, RC, TP, CNSS, coordonnées bancaires (IBAN/RIB), contacts et adresses des tiers ; numéro de carte nationale d'identité (CIN) des tiers personnes physiques, lorsque le client choisit de le renseigner ; comptes bancaires, relevés et pièces de recette ; factures, avoirs, relances et factures d'achat ; plan comptable et imputations ; e-mails reçus (expéditeur, destinataires, objet, corps, pièces jointes) ; conversations, messages et demandes de documents ; conversations avec l'assistant Atlas ; journaux de consultation des liens de partage. Les données dont React Consulting SARL AU est lui-même responsable (comptes utilisateurs, abonnements, sécurité, mesure d'audience, support) relèvent de la politique de confidentialité et non du présent accord. ## 5\. Instructions du client et interdiction de tout usage pour notre propre compte React Box ne traite les données du client que sur ses instructions documentées, qui résultent des CGU, du présent accord et des actions effectuées par les utilisateurs du client dans le service. React Box n'utilise jamais ces données pour son propre compte : aucune analyse à ses propres fins, aucun entraînement de modèle d'intelligence artificielle, aucune cession, location ou communication commerciale à un tiers. Si une instruction lui paraît contraire à la réglementation, React Box en informe le client. ## 6\. Confidentialité Les personnes autorisées à traiter les données du client sont soumises à une obligation de confidentialité. Nos équipes n'accèdent pas au contenu des documents du client, sauf nécessité technique documentée ou obligation légale. ## 7\. Mesures de sécurité React Box met en œuvre des mesures techniques et organisationnelles appropriées : chiffrement TLS des échanges, chiffrement au repos (AES-256) des fichiers, contrôle d'accès par rôles et permissions définis par le client, authentification à deux facteurs disponible, vérification des mots de passe contre les fuites connues, URLs signées à durée de vie courte, journalisation des actions effectuées sur les documents et des consultations des données sensibles, masquage du numéro de CIN et consultation réservée aux rôles autorisés par le client, principe de moindre accès. ## 8\. Sous-traitants ultérieurs Le client autorise le recours aux sous-traitants ultérieurs énumérés dans la politique de confidentialité, avec leur pays et la nature des données reçues. React Box leur impose des obligations de protection des données équivalentes à celles du présent accord. Tout ajout ou remplacement est annoncé au client au moins 30 jours à l'avance ; le client peut s'y opposer pour un motif légitime et, à défaut d'accord, résilier son abonnement. ## 9\. Transferts hors du Maroc Les données du client sont stockées dans l'Union européenne. Certaines opérations impliquent un transfert vers les États-Unis : traitements d'intelligence artificielle par Together AI, Inc. (zero data retention), cache mondial de Cloudflare pour les informations de validité de session et, 10 minutes au plus, les agrégats des tableaux de bord et des analyses (montants, noms de clients et de fournisseurs), relais des notifications push (texte générique, sans donnée identifiante). React Box communique au client les informations nécessaires à ses propres formalités auprès de la CNDP — sous-traitants, pays, données et garanties — dans une fiche dédiée remise sur demande. ## 10\. Assistance au client React Box aide le client, dans la mesure du possible, à répondre aux demandes d'exercice des droits des personnes concernées (accès, rectification, opposition), notamment par les fonctions d'export, de modification et de suppression du service, et lui transmet sans délai toute demande qu'il recevrait directement. React Box assiste également le client pour ses formalités auprès de la CNDP et la réalisation de ses analyses de risques. ## 11\. Notification des violations de données React Box notifie au client toute violation de données personnelles le concernant dans un délai de \[À DÉFINIR — 72 heures par défaut\] après en avoir pris connaissance, avec les informations disponibles sur sa nature, les données et personnes concernées, ses conséquences probables et les mesures prises ou envisagées. ## 12\. Responsabilité du client pour les données sensibles Le client reste seul responsable des données qu'il choisit de traiter. En particulier, le numéro de CIN d'un tiers est une donnée traitée pour son compte, dont la collecte est soumise à une autorisation préalable de la CNDP qu'il lui appartient d'obtenir avant de renseigner ce champ ; il en va de même de toute donnée sensible au sens de la loi 09-08 figurant dans les documents qu'il dépose. ## 13\. Audit React Box met à la disposition du client les informations nécessaires pour démontrer le respect du présent accord. Le client peut, à ses frais et moyennant un préavis de 30 jours, faire réaliser un audit par un auditeur indépendant tenu au secret, dans une limite d'un audit par an, sauf violation avérée. ## 14\. Sort des données en fin de contrat Le client peut exporter ses documents et ses données à tout moment, y compris pendant une suspension. En cas de suspension de son organisation ou de fin du contrat, les données sont conservées au moins 30 jours ; ses administrateurs en sont informés par e-mail le jour même, puis 7 jours et 1 jour avant l'échéance. Une régularisation avant l'échéance annule la suppression. À compter de l'échéance, les données peuvent être supprimées définitivement par React Box, y compris les copies de travail. Seules sont conservées les factures d'abonnement émises par React Box, au titre de ses propres obligations légales. Le client demeure seul responsable de la conservation des pièces que la loi lui impose de garder, notamment pendant dix ans au titre de la loi n° 9-88 et du Code général des impôts, et doit les exporter avant l'échéance.