1. Parties, champ d’application et rôles
Le présent Accord de traitement des données (« DPA ») fait partie des Conditions d’utilisation conclues entre Tatic ApS (CVR 42532940), Mejsevej 2, Hadbjerg, 8370 Hadsten, Danemark, exploitant open-banking.io sous le nom secondaire OpenBanking IO ApS (« Sous-traitant », « nous »), et le client professionnel utilisant le service (« Responsable du traitement », « vous »).
Il s’applique conformément à l’article 28 du RGPD chaque fois que vous connectez des comptes bancaires dont les relevés ou transactions contiennent des données à caractère personnel (telles que les noms de contreparties, IBAN, salaires d’employés ou références de paiement). Questions : privacy@open-banking.io.
2. Nature, finalité et durée du traitement
Nous traitons les données personnelles uniquement pour fournir le service open-banking.io : récupération des données de comptes et de transactions via les API DSP2 lors des synchronisations, chiffrement des charges utiles bancaires sensibles sous votre clé publique enregistrée, stockage des enregistrements résultants et des métadonnées structurelles de synchronisation, et restitution de ces données via l’application web et l’API.
Le traitement se poursuit tant que votre compte reste actif et prend fin lorsque vous supprimez un compte bancaire individuel ou supprimez votre compte utilisateur.
3. Catégories de personnes concernées et de données personnelles
- Personnes concernées : titulaires de comptes, contreparties, clients, fournisseurs et employés dont les coordonnées figurent dans vos comptes bancaires connectés et relevés de transactions, ainsi que les utilisateurs autorisés de votre compte.
- Données personnelles : identifiants de compte (IBAN, BBAN, numéros de compte), noms des titulaires et contreparties, montants des transactions, libellés et références de paiement (scellés sous votre clé publique une fois enregistrée), ainsi que les métadonnées structurelles nécessaires à la synchronisation, à la déduplication et à la conformité DSP2 (identifiant bancaire, devise, dates comptables/de valeur, UID de session/compte chiffrés, adresse IP et User-Agent de l’utilisateur lors des synchronisations assistées, et journaux opérationnels d’API et de synchronisation de 90 jours).
Vos identifiants de connexion bancaire ne sont jamais collectés, vus ni stockés par nous.
4. Instructions documentées et chiffrement côté client
Nous ne traitons les données personnelles que sur vos instructions documentées — à savoir votre configuration et votre utilisation du service et de l’API — à moins que le droit de l’Union ou le droit danois ne l’exige autrement.
Dès que vous enregistrez une clé publique ECDH P-256, les données bancaires sensibles récupérées via Enable Banking (noms des titulaires et contreparties, IBAN/BBAN, montants des transactions, libellés de paiement et JSON bancaire brut) sont scellées sous votre clé publique (ECDH P-256 éphémère + HKDF-SHA256 + AES-256-GCM), de sorte que nous ne pouvons pas les déchiffrer au repos, sauf si vous activez explicitement le débogage temporaire d’assistance pour une période limitée.
5. Confidentialité et mesures de sécurité (art. 32 du RGPD)
Toute personne autorisée par nous à accéder à l’infrastructure est soumise à une stricte obligation de confidentialité.
Nous mettons en œuvre des mesures techniques et organisationnelles appropriées au risque :
- Chiffrement par enveloppe de bout en bout sous des clés générées et conservées sur vos propres appareils ou systèmes
- Chiffrement TLS 1.2/1.3 pour toutes les données en transit
- Hébergement dans des centres de données de l’UE certifiés ISO/IEC 27001:2022 avec des politiques réseau Kubernetes strictes et un accès au moindre privilège
- Protection DDoS européenne, pare-feu d’application web (WAF) et limitation de débit en périphérie du réseau
6. Sous-traitants ultérieurs autorisés
Vous accordez une autorisation écrite générale aux sous-traitants européens suivants :
- Enable Banking Oy (Espoo, Finlande) — prestataire de services d’information sur les comptes (PSIC/AISP) DSP2 supervisé par l’Autorité finlandaise de surveillance financière (FIN-FSA).
- Hetzner (Hetzner Online GmbH / Hetzner Finland Oy, Allemagne et Finlande) — hébergement et stockage en centres de données certifiés ISO/IEC 27001:2022.
- Bunny.net (BunnyWay d.o.o., Ljubljana, Slovénie) — protection DDoS, WAF, DNS et réseau périphérique sur infrastructure européenne.
- Stripe (Stripe Payments Europe, Ltd., Irlande) — traitement des paiements et facturation.
Nous imposons à chaque sous-traitant ultérieur des obligations de protection des données au moins aussi protectrices que le présent DPA et demeurons responsables de leur exécution. Nous vous informons par e-mail avant d’ajouter ou de remplacer un sous-traitant afin que vous puissiez vous y opposer en clôturant votre compte avant l’entrée en vigueur du changement.
7. Localisation des données dans l’UE et transferts internationaux
Toutes les données bancaires et de compte sont stockées et traitées exclusivement au sein de l’Union européenne et de l’EEE (Allemagne, Finlande et infrastructure périphérique européenne). Nous ne transférons pas vos données bancaires en dehors de l’UE/EEE.
8. Assistance, notification des violations et audits
Vos données bancaires vous étant directement accessibles via l’application et l’API, vous pouvez exporter ou effacer des enregistrements à tout moment. Compte tenu de la nature du traitement, nous vous assistons sur demande adressée à privacy@open-banking.io pour les demandes des personnes concernées, les évaluations de sécurité et les analyses d’impact (AIPD).
Nous vous notifions dans les meilleurs délais — et au plus tard dans les 48 heures suivant notre prise de connaissance — toute violation de données à caractère personnel affectant votre compte, en fournissant les informations requises par l’article 33 du RGPD.
Nous mettons à disposition toutes les informations raisonnablement nécessaires pour démontrer le respect de l’article 28 du RGPD et permettons la réalisation d’audits ou d’inspections moyennant un préavis écrit raisonnable.
9. Suppression à la résiliation et droit applicable
La déconnexion d’une connexion bancaire révoque la session DSP2 et arrête les nouvelles synchronisations tout en conservant votre historique importé jusqu’à ce que vous supprimiez le compte. Lorsque vous supprimez un compte bancaire individuel ou supprimez votre compte utilisateur, les enregistrements de comptes et de transactions sont définitivement supprimés des bases de données actives et purgés des sauvegardes de base de données dans un délai de 30 jours (seuls les documents légaux de facturation et de comptabilité étant conservés conformément à la loi comptable danoise ainsi que les journaux opérationnels à courte durée de vie expirant sous 90 jours).
Le présent DPA est régi par le droit danois et soumis à la compétence des tribunaux danois. Contact pour toute question relative à la protection des données : privacy@open-banking.io.