Accord de sous-traitance (DPA)

Entre les parties

Le Responsable de traitement : le Cabinet client souscripteur du Service ProCab, tel qu’identifié lors de la souscription (ci-après le « Responsable » ou le « Cabinet »).

Le Sous-traitant : Procab Technologies, SARL AU au capital de 50 000 MAD, siège Oasis Offices Latitudes, route de l’Oasis, bureau 304, Maarif, Casablanca, RC Casablanca n° 743779, ICE n° 004017640000081, éditeur du Service ProCab (ci-après le « Sous-traitant » ou « ProCab »).

Le présent Accord complète les Conditions Générales et encadre le traitement, par le Sous-traitant pour le compte du Responsable, des données à caractère personnel relatives aux clients du Cabinet, à leurs missions et aux collaborateurs du Cabinet. Il en est l’annexe : il est accepté par voie électronique lors de la création du compte, en même temps que les Conditions Générales et la Politique de confidentialité, et vaut consignation par écrit au sens des articles 23 et 25 de la loi n° 09-08. La preuve horodatée que ProCab conserve pour les Conditions Générales — identité de la personne, horodatage et version exacte du document accepté — en établit la date.

Article 1 — Définitions

Les termes « données à caractère personnel », « traitement », « responsable de traitement », « sous-traitant » et « personne concernée » s’entendent au sens de la loi n° 09-08 et de ses textes d’application. « Sous-traitant ultérieur » désigne tout prestataire auquel le Sous-traitant confie une partie du traitement.

Article 2 — Objet et rôles

Le Cabinet est responsable de traitement des données qu’il saisit, importe ou dépose dans le Service, qu’elles concernent ses propres clients et leurs missions, ou ses collaborateurs. ProCab agit exclusivement en qualité de sous-traitant pour ces données, sur la base des instructions documentées du Cabinet, dont les présentes et l’usage normal du Service constituent le socle.

ProCab ne détermine ni les finalités ni le contenu des données déposées. Le Service ne type pas, n’analyse pas et n’exploite à aucune fin propre les documents transmis par le Cabinet ou par les contacts de son portail.

⚠ Conséquence pour le Cabinet : les documents qu’il dépose peuvent comporter des données que la loi 09-08 qualifie de sensibles (pièces médicales, éléments de paie, pièces d’identité). En outre, le Service propose lui-même, pour l’enregistrement des absences des collaborateurs, une nature « maladie » ainsi qu’un motif en texte libre : cette information est donc recueillie dans un champ structuré, et non seulement subie dans le contenu d’un document déposé. Les formalités préalables attachées à ces catégories relèvent du Cabinet, en sa qualité de responsable de traitement.

Article 3 — Description du traitement

La nature, la finalité, la durée du traitement, les catégories de données et de personnes concernées sont décrites en Annexe 1.

Article 4 — Obligations du Sous-traitant

ProCab s’engage à :

ne traiter les données que sur instruction documentée du Cabinet, y compris en matière de transfert, sauf obligation légale à laquelle il serait soumis ;

garantir que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité ;

mettre en œuvre les mesures techniques et organisationnelles appropriées décrites en Annexe 3 ;

respecter les conditions de recours à des sous-traitants ultérieurs prévues à l’article 5 ;

assister le Cabinet, à sa demande, pour lui permettre de répondre aux demandes d’exercice des droits des personnes concernées — accès, rectification, actualisation, effacement, verrouillage et opposition, au sens des articles 7 à 9 de la loi n° 09-08 — dans les conditions et les délais prévus à l’article 10 ;

aider le Cabinet à respecter ses obligations de sécurité et à apprécier les suites à donner à une violation de données, dans les conditions de l’article 7 ;

à la fin de la prestation, restituer puis supprimer les données conformément à l’article 9 ;

remettre au Cabinet, sur demande, une notice de sécurité datée décrivant les mesures mises en œuvre, les sous-traitants ultérieurs auxquels ProCab recourt et les durées de conservation appliquées, dans les conditions de l’article 11.

Article 5 — Sous-traitants ultérieurs

Le Cabinet autorise ProCab à recourir aux sous-traitants ultérieurs listés en Annexe 2 pour l’exécution du Service. ProCab ne recourt qu’à des sous-traitants ultérieurs présentant des garanties suffisantes en matière de protection des données, et s’engage à ce que chacun d’eux soit lié, par contrat, par des obligations de protection au moins équivalentes à celles du présent Accord. ProCab demeure pleinement responsable envers le Cabinet de l’exécution par ceux-ci de leurs obligations.

ProCab informe le Cabinet de tout ajout ou remplacement d’un sous-traitant ultérieur, par courrier électronique adressé à son administrateur, au moins trente (30) jours avant que ce sous-traitant ne reçoive des données. Cette information indique le nom du sous-traitant, son rôle et son pays d’hébergement, afin de permettre au Cabinet d’accomplir les formalités qui lui incombent au titre des articles 8 b) et 15 de la loi n° 09-08.

Si le Cabinet n’accepte pas ce changement, il peut, jusqu’à la date d’effet annoncée, résilier le présent Accord et l’Abonnement auquel il se rattache, par écrit adressé à ProCab. La résiliation prend effet à la date que le Cabinet indique, et au plus tard à la date d’effet du changement ; elle n’ouvre droit à aucun remboursement de la Période en cours. Cette faculté est le seul recours ouvert au Cabinet en cas d’ajout ou de remplacement d’un sous-traitant ultérieur : le maintien de la version antérieure prévu à l’article 19 des Conditions générales ne s’y applique pas, le changement portant sur le prestataire lui-même et valant pour l’ensemble des cabinets clients. Les données demeurent restituables dans les conditions de l’article 9.

Article 6 — Sécurité

Conformément à l’article 23 § 3 de la loi n° 09-08, les obligations de sécurité prévues à l’article 23 § 1 incombent également au Sous-traitant. ProCab met en œuvre les mesures techniques et organisationnelles propres à protéger les données contre la destruction accidentelle ou illicite, la perte accidentelle, l’altération, la diffusion et l’accès non autorisés, adaptées au risque : chiffrement des flux, cloisonnement strict des données de chaque cabinet, gestion des accès par rôles et par grades, journalisation des opérations d’écriture dans le périmètre indiqué en Annexe 3, et sauvegardes assurées par son hébergeur de base de données. Le détail de chacune de ces mesures, ainsi que sa portée exacte, figurent en Annexe 3.

Article 7 — Violation de données

ProCab notifie au Cabinet toute violation de données à caractère personnel dans les meilleurs délais, et au plus tard dans un délai de soixante-douze (72) heures à compter du moment où il en a pris connaissance, par courrier électronique adressé à son administrateur.

La notification indique la nature de la violation, les catégories et le volume approximatif des données et des personnes concernées, les conséquences probables de la violation et les mesures prises ou envisagées pour y remédier, afin de permettre au Cabinet d’apprécier les mesures à prendre et, s’il l’estime nécessaire, d’en informer la CNDP et les personnes concernées. Lorsque tous ces éléments ne peuvent être réunis dans ce délai, ProCab informe le Cabinet de ce qu’il sait à l’expiration de celui-ci, puis complète son information au fur et à mesure. Le délai indiqué au premier alinéa est un engagement contractuel de ProCab ; il ne procède d’aucune obligation légale de notification, la loi n° 09-08 n’en instituant pas.

Article 8 — Transferts hors du Maroc

Les données sont hébergées hors du Maroc, chez les sous-traitants ultérieurs listés en Annexe 2.

Conformément aux articles 43 et 44 de la loi n° 09-08, tout transfert de données à caractère personnel vers un pays étranger est porté à la connaissance de la CNDP dans le cadre des formalités attachées au traitement concerné. Lorsque le pays de destination figure sur la liste des États assurant un niveau de protection suffisant arrêtée par la CNDP (délibération n° 236-2015 du 18 décembre 2015, modifiant la délibération n° 465-2013), le transfert n’est pas subordonné à une autorisation préalable ; cette délibération énumère limitativement les États concernés et n’est ici ni décrite par catégorie ni reproduite.

Lorsque le pays de destination ne figure pas sur cette liste, le transfert est subordonné à la mise en place de garanties appropriées et à l’autorisation expresse et préalable de la CNDP, sollicitée au moyen du formulaire F118. Le Service étant hébergé hors du Maroc, le Cabinet, en sa qualité de responsable de traitement, accomplit lui-même, pour les données qu’il confie au Service, la formalité de transfert prévue aux articles 43 et 44 de la loi n° 09-08, et sollicite l’autorisation expresse et préalable de la CNDP lorsque l’un des pays d’hébergement indiqués en Annexe 2 ne figure pas sur la liste précitée. ProCab lui fournit les éléments nécessaires — identité des sous-traitants ultérieurs, rôle de chacun et pays d’hébergement — mais ne peut pas accomplir cette formalité en son nom, la déclaration étant personnelle au responsable de traitement au sens de l’article 14. ProCab accomplit celles qui lui incombent au titre des traitements dont il est lui-même responsable.

S’agissant de ces dernières, la déclaration a été déposée auprès de la CNDP le 3 septembre 2026 et a été enregistrée par la CNDP (récépissé n° D-PO-1796/2026 du 4 septembre 2026).

Article 9 — Sort des données en fin de contrat

9.1. Tant que l’accès au Service est seulement suspendu — essai expiré, défaut de paiement, terme d’un Abonnement non reconduit ou résiliation —, les données du Cabinet demeurent conservées, sous réserve des durées propres à certaines catégories de données indiquées en Annexe 3 et dans la Politique de confidentialité, et le Cabinet conserve l’accès à leur export.

9.2. Passé un délai de douze (12) mois à compter de la suspension, les données du Cabinet sont supprimées, à l’exception de celles énumérées au 9.4. Le Cabinet en est averti par courrier électronique adressé à son administrateur trente (30) jours puis sept (7) jours avant l’échéance, afin qu’il puisse télécharger son export ou réactiver son Abonnement — cette seconde action annulant la suppression.

9.2. Le Cabinet exporte lui-même ses données depuis le Service, dans un format structuré (JSON), à tout moment pendant la relation contractuelle et aussi longtemps que l’accès demeure seulement suspendu, dans les conditions du 9.1. Il en va autrement lorsque le Cabinet a lui-même supprimé son compte : l’accès étant alors immédiatement fermé pour l’ensemble de ses utilisateurs, la restitution intervient avant la confirmation de la suppression. ProCab remet toutefois au Cabinet, sur demande écrite de son représentant légal formée dans les trente (30) jours suivant la suppression, une extraction des données encore présentes ; cette remise s’effectue dans les conditions prévues à l’article 10 des Conditions générales, qui portent seules la procédure applicable.

9.3. Lorsque le Cabinet supprime son compte, les accès de l’ensemble de ses utilisateurs et des contacts de son portail sont fermés immédiatement et leurs identifiants de connexion supprimés. Trente (30) jours après cette suppression, ProCab efface définitivement les fichiers déposés par le Cabinet et par les contacts de son portail — pièces du répertoire documentaire, pièces jointes de messagerie et justificatifs de frais — ainsi que les données enregistrées dans le Service pour le compte du Cabinet : fiches de ses clients et de leurs contacts, accès au portail client, conversations et messages, demandes de pièces et leurs commentaires, notifications et relances de factures.

Sont effacées dans le même délai et selon les mêmes modalités les autres données que le Cabinet et ses utilisateurs ont enregistrées dans le Service — notamment ses missions et ses tâches, le temps passé, les absences, les éléments de rémunération et de coût qu’il a saisis pour ses collaborateurs, ses notes de frais, ses évaluations internes, ainsi que les devis et les factures qu’il a établis pour ses propres clients — à l’exception de celles énumérées au 9.4.

9.4. Demeurent conservées au-delà de ce délai : les factures que ProCab a émises au Cabinet et les preuves de virement qui les justifient, au titre de ses propres obligations comptables et fiscales ; le journal des opérations d’écriture, pour la durée indiquée en Annexe 3 ; la trace des acceptations des documents contractuels ; les fiches des comptes des collaborateurs du Cabinet et des contacts de son portail, désactivées et privées de tout accès, pour la durée que la Politique de confidentialité indiquera une fois celle-ci arrêtée ; le relevé des adresses électroniques d’un cabinet supprimé, conservé aux seules fins d’empêcher l’ouverture répétée de périodes d’essai et pour la durée que la Politique de confidentialité indiquera une fois celle-ci arrêtée ; et, le cas échéant, les données dont la conservation s’impose à ProCab au titre d’une obligation légale. Aucune de ces données n’est utilisée à d’autres fins.

9.5. Sur demande écrite du Cabinet, ProCab lui délivre une attestation de suppression indiquant la date d’exécution de l’effacement, les catégories de données effacées et celles dont la conservation s’est imposée au titre du 9.4.

Article 10 — Assistance à l’exercice des droits

10.1. Les personnes concernées exercent leurs droits auprès du Cabinet, seul responsable de traitement. ProCab ne répond de sa propre initiative à aucune demande d’exercice de droits portant sur les données traitées pour le compte du Cabinet. Lorsqu’une telle demande lui parvient, il la transmet au Cabinet sans y donner suite et l’assiste, à la demande de celui-ci, conformément à l’article 25 de la loi n° 09-08.

10.2. Le Service permet au Cabinet, sans intervention de ProCab :

de consulter les données d’identification des contacts de son portail client (nom et adresse électronique) ;

de rectifier ces données d’identification ;

de rectifier les données d’identification qu’il a lui-même renseignées dans ses dossiers clients, que la personne dispose ou non d’un accès au portail ;

de retirer à un contact son accès à un dossier ; lorsque ce contact ne dispose plus d’aucun autre accès ouvert par le Cabinet, son compte est désactivé et ses identifiants de connexion sont supprimés ;

d’exporter à tout moment, à l’échelle du Cabinet, les données qu’il a enregistrées dans le Service, dans un format structuré (JSON), assorti de liens de téléchargement pour les pièces de son répertoire documentaire.

10.3. Le retrait d’un accès n’emporte pas la suppression des données. Les pièces, messages et échanges qu’un contact a produits dans le Service sont conservés : ils appartiennent au dossier du Cabinet et à sa piste d’audit, et le Cabinet peut être tenu de les conserver au titre de ses propres obligations professionnelles, comptables et fiscales. La suppression d’un document par le Cabinet le retire immédiatement du Service ; le fichier correspondant est effacé du stockage trente (30) jours plus tard. Toute autre suppression ciblée de ces données s’effectue dans les conditions du 10.4.

10.4. Pour toute opération que le Service ne permet pas au Cabinet d’effectuer lui-même — notamment l’extraction des données relatives à une personne déterminée, la suppression ciblée d’une donnée et le verrouillage au sens de l’article 8 de la loi n° 09-08 — le Cabinet saisit ProCab par écrit à l’adresse contact@procab.ma. ProCab accuse réception de la demande sous un (1) jour ouvré et indique au Cabinet, dans un délai de cinq (5) jours ouvrés à compter de cette réception, ce qu’il peut réaliser, selon quelles modalités et dans quel délai, puis exécute ce qui a été convenu. Lorsqu’une opération demandée ne peut pas être réalisée, ProCab en indique la raison par écrit.

10.5. Lorsque la sollicitation du Cabinet porte sur une rectification, ProCab y donne suite dans un délai maximum de cinq (5) jours calendaires à compter de sa réception. Ce délai est délibérément inférieur au délai franc de dix (10) jours que l’article 8 a) de la loi n° 09-08 impose au Cabinet pour procéder aux rectifications demandées, afin que l’intervention de ProCab ne fasse jamais obstacle au respect de cette obligation par le Cabinet.

Article 11 — Vérification de conformité

11.1. ProCab remet au Cabinet, sur demande écrite et dans la limite d’une fois par an, la notice de sécurité mentionnée à l’article 4 : un document daté, signé par son représentant légal, décrivant les mesures techniques et organisationnelles en vigueur, la liste des sous-traitants ultérieurs, leur rôle et leur pays d’hébergement, ainsi que les durées de conservation appliquées. Cette notice est remise dans un délai de trente (30) jours à compter de la demande.

11.2. ProCab répond, dans le même délai, aux questions écrites du Cabinet portant sur le traitement de ses données, et lui communique, le cas échéant, les attestations et certifications que ses sous-traitants ultérieurs mettent à sa disposition.

11.3. Le présent Accord n’ouvre pas de droit d’inspection des systèmes de ProCab. Le Service est une plateforme mutualisée : sa base de données et ses journaux d’exploitation contiennent les données de l’ensemble des cabinets clients, à l’égard desquelles ProCab est tenu au secret professionnel de l’article 26 de la loi n° 09-08. Les vérifications s’effectuent sur pièces établies par ProCab, dans les conditions des 11.1 et 11.2.

11.4. Les pouvoirs de la CNDP et des autorités habilitées ne sont pas affectés par le présent article. ProCab donne suite à leurs demandes et prête son concours au Cabinet lorsque celui-ci fait l’objet d’un contrôle portant sur les données confiées au Service.

Article 12 — Durée

Le présent Accord prend effet à la création du compte du Cabinet — y compris pendant la période d’essai — et demeure en vigueur pendant toute la durée de traitement des données pour le compte du Cabinet.

Annexe 1 — Description du traitement

Annexe 2 — Liste des sous-traitants ultérieurs

Upstash, mentionné dans la version 1.0, a été retiré de cette liste : ce prestataire est déclaré dans la configuration du Service mais n’est appelé par aucun traitement et ne reçoit aucune donnée. Le faire figurer dans un accord de sous-traitance aurait été inexact.

Ces cinq États figurent tous sur la liste des pays reconnus comme assurant un niveau de protection suffisant, annexée à la délibération de la CNDP n° 236-2015 du 18 décembre 2015. Le transfert de données vers chacun d’eux relève donc de la simple notification, et non de l’autorisation préalable prévue à l’article 44 de la loi n° 09-08.

Annexe 3 — Mesures de sécurité

Chiffrement des communications (HTTPS/TLS) entre les utilisateurs et le Service. Les données stockées ne font l’objet d’aucun chiffrement applicatif supplémentaire : leur protection au repos est celle du service souscrit auprès de l’hébergeur mentionné en Annexe 2.

Cloisonnement strict des données par cabinet, appliqué au niveau applicatif : chaque requête au Service filtre explicitement sur le cabinet. La sécurité au niveau des lignes (row level security) est en outre activée sur l’ensemble des tables de la base de données, de sorte qu’aucune table n’y est exposée sans contrôle d’accès.

Contrôle d’accès fondé sur les rôles et les grades (administrateur, manager, collaborateur, stagiaire, consultant externe, contact du portail), avec droits attribuables individuellement. Le rôle d’administrateur du Cabinet donne accès à l’ensemble des fonctions et ne peut être restreint.

Désignation, lors de la création d’une tâche, d’un réviseur distinct de son exécutant : ce réviseur peut revoir puis valider la tâche, et sa désignation cesse de produire cet effet lorsqu’elle tombe sur l’exécutant lui-même. Aucun réviseur n’est désigné lorsque la tâche est créée « sans revue », option que le Cabinet peut activer tâche par tâche. La validation demeure par ailleurs ouverte aux administrateurs et aux managers du Cabinet, y compris pour une tâche qu’ils ont exécutée ; le degré de séparation effectivement appliqué dépend donc des grades que le Cabinet attribue à ses collaborateurs.

Journalisation des opérations d’écriture réalisées par les utilisateurs du Cabinet sur ses dossiers clients, ses missions et ses tâches, ses documents et leur classement, ses demandes de pièces, ses devis, ses factures et ses engagements (création, modification, déplacement, suppression), conservée cinq cent quarante (540) jours et restituée dans l’export mentionné au 9.2. Les autres écritures — comptes et accès, conversations et messages, temps passé, absences, éléments de rémunération, notes de frais, évaluations — ne figurent pas dans cet historique, non plus que les interventions techniques de ProCab sur les données du Cabinet.

Contrôle automatisé quotidien du bon fonctionnement des traitements sensibles (lectures critiques, parcours d’abonnement et de paiement), exécuté en transaction annulée afin de ne rien modifier.

Contrôle du nom des fichiers déposés : les extensions exécutables les plus courantes sont refusées à chaque point de dépôt. Ce contrôle porte sur le nom déclaré du fichier, non sur son contenu.

Sauvegarde quotidienne de la base de données par l’hébergeur mentionné en Annexe 2, permettant une restauration sur au moins sept (7) jours glissants. ProCab n’exploite pas de dispositif de sauvegarde distinct de celui de cet hébergeur. ⚠ Cette sauvegarde porte sur la base de données : les fichiers déposés dans le Service reposent sur la durabilité propre au service de stockage de l’hébergeur et ne font pas l’objet d’une restauration à un instant donné. La suppression d’un fichier y est définitive.

Arrêté le 03/09/2026 sur la base du fonctionnement réel du Service : chaque durée, chaque pays d’hébergement et chaque mesure de sécurité énoncés ici ont été relevés dans le produit ou dans la console du prestataire concerné, et non déduits d’une intention. Le présent Accord reste soumis à la validation d’un conseil juridique marocain avant sa première opposition à un Cabinet.