# Contrat de sous-traitance des données personnelles (Cloturia, Maroc)

> **Version à relire par un juriste** (droit marocain : loi n° 09-08, notamment articles 23 et 24,
> et son décret d'application n° 2-09-165) avant toute signature. Les champs **[à compléter]**
> dépendent du client, de la société qui exploite Cloturia et des prestataires retenus ; ceux de
> l'éditeur sont les mêmes que dans `web/src/content/legal/societe.ts` (liste :
> `docs/LEGAL-A-COMPLETER.md`). Version du 5 novembre 2026. Versions téléchargeables :
> `/documents/contrat-sous-traitance-cloturia.docx` et `.md` (générées depuis ce texte par
> `docs/conformite/md-vers-docx.py`). L'ancienne version France (RGPD) est archivée dans
> `docs/conformite/archives-france/`.

## Entre

**Le Client**, [à compléter : raison sociale, forme, capital, adresse du siège, RC, ICE],
représenté par [à compléter : nom et qualité], ci-après « le Responsable du traitement » ;

**et le Prestataire**, [à compléter : raison sociale de la société qui exploite Cloturia], [à
compléter : forme] au capital de [à compléter] MAD, siège [à compléter], RC [à compléter]
(tribunal de commerce de [à compléter]), IF [à compléter], ICE [à compléter], représentée par [à
compléter : nom et qualité], ci-après « le Sous-traitant ».

## 1. Objet

Le présent contrat fixe les conditions dans lesquelles le Sous-traitant traite, pour le compte
du Responsable du traitement, les données à caractère personnel nécessaires au service Cloturia
(rapprochement bancaire, écritures de fin de mois, clôture mensuelle, aide aux déclarations),
décrit dans les conditions générales de vente (`cloturia.com/cgv`). Il en fait partie ; en cas de
contradiction sur les données personnelles, il prévaut.

Droit applicable : droit marocain, en particulier la loi n° 09-08 relative à la protection des
personnes physiques à l'égard du traitement des données à caractère personnel, son décret
d'application et les délibérations de la Commission nationale de contrôle de la protection des
données à caractère personnel (CNDP).

**Cabinets d'expertise comptable et fiduciaires.** Lorsque le Client tient, dans Cloturia, la
comptabilité de ses propres clients, il agit pour eux selon sa lettre de mission ; le
Sous-traitant est alors son sous-traitant ultérieur. Le Client lui transmet les instructions de
ses clients, leur répercute les engagements du présent contrat et peut leur remettre le kit CNDP.

## 2. Description du traitement

| | |
|---|---|
| Nature | hébergement, import de fichiers, rapprochement automatique, propositions d'écritures, stockage, export, sauvegarde |
| Finalités | celles du Responsable : comptabilité, rapprochement bancaire, clôture, déclarations fiscales et sociales, contrôle interne |
| Personnes concernées | clients, fournisseurs et salariés du Responsable (personnes physiques) ; utilisateurs du service |
| Données | identité ou raison sociale, identifiants (ICE, IF, RC, CNSS, CIN lorsqu'ils figurent dans les pièces), coordonnées bancaires (RIB, IBAN), montants, dates et libellés d'opérations ; pour les utilisateurs : nom, adresse électronique, rôle, journaux de connexion |
| Données sensibles | aucune attendue ; celles qui apparaîtraient incidemment dans un libellé ne sont ni analysées ni utilisées |
| Durée | durée de l'abonnement, plus la période de restitution (art. 10) |

## 3. Obligations du Responsable du traitement

Le Responsable :

1. accomplit les formalités préalables auprès de la CNDP pour son traitement (déclaration ou
   autorisation), en mentionnant le Sous-traitant et les pays d'hébergement (kit fourni :
   `cloturia.com/conformite`) ;
2. informe les personnes concernées dans les conditions de l'article 5 de la loi n° 09-08 ;
3. ne charge dans le service que des données nécessaires à ses finalités ;
4. désigne les utilisateurs habilités et leur attribue des rôles adaptés.

## 4. Obligations du Sous-traitant

Le Sous-traitant :

1. ne traite les données **que sur instruction documentée** du Responsable (le paramétrage et
   l'utilisation du service valent instruction) et l'informe si une instruction lui paraît
   contraire à la loi ;
2. garantit la **confidentialité** : les personnes autorisées sont tenues au secret et formées ;
3. met en œuvre les **mesures de sécurité** de l'annexe 1, propres à protéger les données contre
   la destruction, la perte, l'altération, la diffusion ou l'accès non autorisés ;
4. n'utilise **jamais** les données pour son propre compte, ni pour entraîner un modèle
   d'intelligence artificielle, ni pour les vendre ou les céder ;
5. **aide** le Responsable à répondre aux demandes d'exercice des droits d'accès, de
   rectification et d'opposition, et à remplir ses formalités auprès de la CNDP ;
6. tient un **registre** des traitements effectués pour le compte du Responsable.

## 5. Sous-traitants ultérieurs

Le Responsable autorise les sous-traitants ultérieurs de l'annexe 2. Le Sous-traitant l'informe
**30 jours** avant tout ajout ou remplacement ; le Responsable peut s'y opposer pour un motif
légitime et, à défaut d'accord, résilier sans frais. Chaque sous-traitant ultérieur est lié par
un contrat écrit imposant les mêmes obligations.

## 6. Localisation, transferts et intelligence artificielle

Les données sont hébergées en **France** chez [à compléter : hébergeur et ville], pays figurant
sur la liste des États assurant une protection suffisante établie par la CNDP (délibération
n° 236-2015) ; ce transfert est mentionné dans la déclaration du Responsable. Avec l'option
« hébergé au Maroc », elles sont hébergées au **Maroc** chez [à compléter : hébergeur], sans
transfert. Aucun transfert vers un autre pays sans accord écrit préalable du Responsable et, pour
un pays non reconnu, sans autorisation préalable de la CNDP.

Intelligence artificielle : le masquage des données envoyées au modèle est un réglage du service.
Il est **activé pour toutes les données réelles** : avant tout appel, les noms des tiers et des
personnes, RIB, IBAN, CIN, ICE, IF, RC, CNSS, téléphones, adresses électroniques et postales sont
remplacés par des jetons, et l'envoi est refusé s'il reste un identifiant. Il n'est désactivé que
pour des comptes de démonstration ne contenant que des sociétés fictives. Le modèle est fourni par
[à confirmer : Mistral AI, point d'accès dans l'Union européenne], qui s'engage à ne pas conserver
les données ni à entraîner de modèle. Le Responsable peut désactiver l'IA à tout moment.

## 7. Droits des personnes

Les demandes reçues directement par le Sous-traitant sont transmises au Responsable sous
**5 jours ouvrés**. Le Sous-traitant fournit, sur demande, l'extraction des données d'une
personne sous **15 jours**.

## 8. Violation de données

Le Sous-traitant notifie au Responsable toute violation de données **dans les 48 heures** après
en avoir pris connaissance, avec : nature, catégories et nombre approximatif de personnes et
d'enregistrements, conséquences probables, mesures prises ou proposées, contact. Il aide le
Responsable à informer la CNDP et, le cas échéant, les personnes concernées.

## 9. Audit

Le Sous-traitant met à disposition la documentation de sécurité (`cloturia.com/securite`,
réponses aux questionnaires) et accepte un audit **par an**, sur préavis de 30 jours, par le
Responsable ou un auditeur tenu au secret, aux frais du Responsable, sans accès aux données des
autres clients.

## 10. Piste d'audit, fin du contrat : restitution et suppression

La piste d'audit (propositions, corrections, validations, connexions) est conservée **10 ans**,
en insertion seule, pour les obligations de preuve comptable du Responsable.

À la fin de l'abonnement, le Responsable dispose de **90 jours** pour exporter l'intégralité de
ses données (écritures, relevés importés, dossiers de clôture PDF et Excel, piste d'audit) : le
compte reste accessible en lecture seule pendant ce délai. Le Sous-traitant supprime ensuite les
données de production, puis des sauvegardes au terme de leur rotation (**35 jours** au plus), et
en remet une attestation écrite sur demande. Seules la piste d'audit et les factures
d'abonnement sont conservées pendant la durée légale.

## 11. Responsabilité, durée et litiges

Chaque partie répond des manquements qui lui sont imputables, dans la limite prévue par les
conditions générales de vente [plafond à valider par le juriste]. Le contrat dure autant que
l'abonnement et la période de restitution. Il est soumis au droit marocain ; à défaut d'accord
amiable, tout litige relève du tribunal de commerce de [à compléter].

## Annexe 1 : mesures de sécurité

- Chiffrement en transit (TLS) et au repos ; sauvegardes chiffrées quotidiennes.
- Isolement des clients : filtre applicatif et sécurité au niveau des lignes de PostgreSQL ;
  rôle de base de données sans privilège de contournement ; tests automatisés.
- Authentification : mots de passe hachés (bcrypt), verrouillage après 5 échecs, double
  authentification (imposée aux administrateurs de la plateforme), sessions révocables.
- Rôles et séparation des tâches ; piste d'audit en insertion seule.
- Console d'administration sans accès aux écritures des clients.
- Masquage des données avant tout appel à l'IA (activé pour les données réelles) ; quotas ;
  aucune réutilisation des données.
- Exploitation : accès par clé SSH, conteneurs sans privilèges, mises à jour de sécurité,
  journaux sans contenu de courriel ni jeton.

## Annexe 2 : sous-traitants ultérieurs

| Sous-traitant | Service | Pays |
|---|---|---|
| [à compléter : hébergeur] | serveurs, base, sauvegardes | France |
| [à compléter : courriel transactionnel] | courriels du service | [à compléter : pays reconnu par la CNDP] |
| [à confirmer : Mistral AI], si l'IA est activée | modèle de langage, données masquées | France (Union européenne) |
| Option Maroc : [à compléter : hébergeur marocain] | instance dédiée | Maroc |

Fait à [à compléter], le [à compléter], en deux exemplaires.

Pour le Responsable du traitement — Pour le Sous-traitant