Accord de sous-traitance (DPA)

Version 1, en vigueur au 17 août 2026

Télécharger en PDF

Le présent accord est incorporé par référence au contrat de services Junga. La version publiée sur cette page fait foi ; les cabinets qui exigent un exemplaire contresigné peuvent en faire la demande à dpo@junga.ai.

Le présent accord de sous-traitance encadre les traitements de données à caractère personnel que Junga réalise pour le compte des cabinets de conseil en gestion de patrimoine utilisateurs de sa plateforme. Il est conclu entre les parties suivantes.

JUNGA, société par actions simplifiée immatriculée au registre du commerce et des sociétés de Lyon sous le numéro 106 948 045, dont le siège social est situé Bureau 3, 30 avenue Maréchal Foch, 69006 Lyon, France, ci-après « Junga », en qualité de sous-traitant.

Le cabinet identifié au contrat de services conclu avec Junga, ci-après le « Cabinet », en qualité de responsable de traitement.

Ci-après désignés ensemble les « Parties » et individuellement une « Partie ». Le présent accord est ci-après désigné l'« Accord ».

Objet et articulation avec le contrat de services

Objet

L'Accord définit les conditions dans lesquelles Junga traite, en qualité de sous-traitant, les données à caractère personnel dont le Cabinet est responsable de traitement, conformément à l'article 28 du règlement (UE) 2016/679 (ci-après le « RGPD ») et à la loi n° 78-17 du 6 janvier 1978 modifiée.

Il s'applique à l'ensemble des traitements réalisés par Junga pour le compte du Cabinet dans le cadre de la plateforme, quels que soient le module utilisé et le canal d'accès, y compris le portail client en marque blanche mis à la disposition des clients finaux du Cabinet.

Articulation avec le contrat de services

L'Accord complète le contrat de services conclu entre les Parties et en fait partie intégrante. Il ne s'y substitue pas : les stipulations relatives au prix, à la durée, aux niveaux de service et aux modalités d'exécution de la prestation demeurent régies par ce contrat.

L'acceptation du contrat de services emporte acceptation de l'Accord. Les cabinets qui exigent un exemplaire signé peuvent en faire la demande à dpo@junga.ai.

Ordre de priorité

En cas de contradiction entre l'Accord et le contrat de services sur une question relative au traitement de données à caractère personnel, l'Accord prévaut. Pour toute autre question, le contrat de services prévaut.

Aucune stipulation de l'Accord ne peut être interprétée comme dispensant l'une ou l'autre des Parties d'une obligation qui lui incombe directement au titre de la réglementation applicable à la protection des données.

Rôles des Parties et définitions

Définitions

Les termes « données à caractère personnel », « traitement », « responsable de traitement », « sous-traitant », « personne concernée », « violation de données à caractère personnel » et « autorité de contrôle » ont le sens que leur donne l'article 4 du RGPD. Les termes suivants sont propres à l'Accord.

Le Cabinet, responsable de traitement

Le Cabinet détermine les finalités et les moyens des traitements portant sur les données de ses clients finaux. Il lui appartient de s'assurer de l'existence d'une base légale pour chaque traitement, de la licéité des données qu'il transmet à Junga, de leur exactitude et de leur mise à jour, ainsi que du respect des obligations qui lui incombent au titre de la réglementation applicable à son activité.

Junga, sous-traitant

Junga traite les données des clients finaux uniquement pour le compte du Cabinet et sur ses instructions documentées, dans les conditions décrites par l'Accord.

Junga demeure responsable de traitement pour les données qu'elle traite pour son propre compte, notamment les comptes des utilisateurs du Cabinet, la facturation de l'abonnement et la sécurité de la plateforme. Ces traitements sont décrits dans la politique de confidentialité publiée sur www.junga.ai et ne relèvent pas de l'Accord.

Information des personnes concernées

Il appartient au Cabinet d'informer ses clients finaux du traitement de leurs données, conformément aux articles 13 et 14 du RGPD. Junga met à sa disposition un modèle de notice d'information destiné au portail client. Ce modèle est fourni à titre d'aide et ne constitue pas un conseil juridique : le Cabinet demeure responsable de l'information effectivement délivrée à ses clients finaux.

Description des traitements réalisés pour le compte du Cabinet

La présente section décrit, conformément à l'article 28, paragraphe 3, du RGPD, l'objet, la nature, la finalité et la durée des traitements réalisés pour le compte du Cabinet, ainsi que les catégories de données et de personnes concernées. Elle est reprise du registre des activités de traitement tenu par Junga au titre de l'article 30, paragraphe 2, du RGPD.

Nature et finalités des traitements

Junga réalise pour le compte du Cabinet les traitements suivants.

Les opérations réalisées sur ces données sont la collecte, l'enregistrement, l'organisation, la structuration, la conservation, la consultation, l'utilisation, le rapprochement, la mise à disposition du Cabinet et de ses clients finaux, la limitation et l'effacement.

Catégories de données à caractère personnel

Données relevant d'un régime particulier

Deux traitements sont susceptibles de porter sur des données soumises à un régime particulier.

La vérification d'identité peut comporter un rapprochement facial, qui constitue un traitement de données biométriques aux fins d'identifier une personne physique de manière unique, au sens de l'article 9 du RGPD. Ce traitement est mis en œuvre pour le compte du Cabinet, au titre de ses obligations de vérification de l'identité de ses clients. Le Cabinet, en sa qualité de responsable de traitement, s'assure qu'une condition de licéité prévue à l'article 9, paragraphe 2, est satisfaite ; Junga et son sous-traitant ultérieur de vérification d'identité lui apportent leur assistance à cette fin, notamment par le recueil du consentement explicite de la personne dans le parcours de vérification lorsque ce fondement est retenu.

Le screening LCB-FT est susceptible de faire apparaître des données relatives à des condamnations pénales et à des infractions au sens de l'article 10 du RGPD. Ce traitement est mis en œuvre pour satisfaire aux obligations légales du Cabinet et l'accès à ces données est strictement limité.

Catégories de personnes concernées

Durée des traitements et durées de conservation

Les traitements sont réalisés pendant toute la durée du contrat de services. Les durées de conservation appliquées dans la plateforme, déterminées par les obligations légales qui s'imposent au Cabinet, sont les suivantes.

Les journaux d'audit de la plateforme sont conservés cinq ans et ne peuvent être ni modifiés ni supprimés, afin de garantir la traçabilité opposable lors d'un contrôle.

Instructions documentées

Junga ne traite les données du Cabinet que sur instruction documentée de celui-ci, y compris en ce qui concerne les transferts de données vers un pays tiers ou à une organisation internationale.

Constituent des instructions documentées du Cabinet : l'Accord et le contrat de services, l'utilisation de la plateforme par les utilisateurs du Cabinet, la configuration retenue par le Cabinet (paramétrage du KYC, du questionnaire MIF2, du dispositif LCB-FT, du portail client et des modèles de documents), ainsi que toute demande adressée par écrit par une personne habilitée du Cabinet.

Toute instruction complémentaire ou dérogatoire est formulée par écrit. Lorsque son exécution entraîne des développements ou des coûts supplémentaires, les Parties en conviennent préalablement.

Junga informe le Cabinet sans délai si elle estime qu'une instruction constitue une violation du RGPD ou d'une autre disposition du droit de l'Union ou du droit d'un État membre relative à la protection des données. Junga peut suspendre l'exécution de cette instruction jusqu'à ce que le Cabinet la confirme, la modifie ou la retire.

Lorsque Junga est tenue de traiter des données en vertu du droit de l'Union ou du droit français, elle en informe le Cabinet avant le traitement, sauf si ce droit interdit une telle information pour des motifs importants d'intérêt public.

Confidentialité des personnes autorisées

Junga veille à ce que les personnes autorisées à traiter les données du Cabinet s'engagent à en respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.

Cet engagement résulte du contrat de travail pour les salariés et d'un accord de confidentialité pour les prestataires. Il survit à la fin de la relation entre Junga et la personne concernée.

L'accès aux données du Cabinet est limité aux personnes qui en ont besoin pour l'exécution de la prestation, dans la limite de ce qui est nécessaire à leurs missions. Les accès sont nominatifs et journalisés.

Sécurité des traitements

Junga met en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, conformément à l'article 32 du RGPD. Ces mesures sont les suivantes.

Sous-traitants ultérieurs

Autorisation générale

Le Cabinet autorise de manière générale Junga à faire appel à des sous-traitants ultérieurs pour l'exécution de la prestation, dans les conditions prévues à l'article 28, paragraphes 2 et 4, du RGPD.

Junga impose par contrat à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles de l'Accord. Junga demeure pleinement responsable devant le Cabinet de l'exécution par le sous-traitant ultérieur de ses obligations.

Liste des sous-traitants ultérieurs

La liste à jour des sous-traitants ultérieurs, précisant le service fourni, la localisation du traitement et le mécanisme d'encadrement des transferts applicable, est publiée sur www.junga.ai/sous-traitants. À la date de l'Accord, les sous-traitants ultérieurs intervenant dans les traitements réalisés pour le compte du Cabinet sont les suivants.

Stripe et PostHog, également mentionnés sur la page des sous-traitants, interviennent au titre des traitements dont Junga est responsable, respectivement la facturation de l'abonnement et la mesure d'usage du tableau de bord par les utilisateurs du Cabinet.

Changement de sous-traitant ultérieur

Junga informe le Cabinet de tout projet d'ajout ou de remplacement d'un sous-traitant ultérieur, par la mise à jour de la page mentionnée ci-dessus et par une notification adressée au Cabinet, au moins trente jours avant que le nouveau sous-traitant ultérieur ne commence à traiter des données pour le compte du Cabinet.

Par exception, lorsque le remplacement est rendu nécessaire par un impératif de sécurité ou de continuité du service, notamment en cas d'incident affectant un sous-traitant ultérieur ou de cessation soudaine de son service, Junga peut y procéder sans préavis. Elle en informe alors le Cabinet sans délai indu, et au plus tard cinq jours ouvrés après la mise en service. Le Cabinet dispose dans ce cas d'un délai de quinze jours à compter de la notification pour exercer la faculté d'opposition prévue ci-dessous.

Le Cabinet peut s'opposer à ce changement pour un motif légitime tenant à la protection des données, en le notifiant par écrit avant l'expiration de ce délai. Les Parties recherchent alors une solution raisonnable. À défaut d'accord, le Cabinet peut résilier le contrat de services pour la partie de la prestation concernée, sans indemnité de part ni d'autre.

Transferts hors de l'Union européenne

Les données sont hébergées dans l'Union européenne. Certains sous-traitants ultérieurs sont établis en dehors de l'Espace économique européen, en particulier Anthropic et Groq aux États-Unis et Hookdeck au Canada.

Ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne, complétées le cas échéant de mesures supplémentaires. Junga documente le mécanisme applicable à chaque fournisseur dans son registre des fournisseurs et communique au Cabinet, sur demande adressée à dpo@junga.ai, une copie des garanties applicables.

Junga ne transfère aucune donnée du Cabinet vers un pays tiers en dehors de ces cas sans instruction préalable du Cabinet.

Assistance au Cabinet

Droits des personnes concernées

Junga assiste le Cabinet, par des mesures techniques et organisationnelles appropriées et dans la mesure du possible, pour lui permettre de donner suite aux demandes d'exercice des droits prévus au chapitre III du RGPD : accès, rectification, effacement, limitation, portabilité et opposition.

Lorsqu'une demande d'exercice de droits est adressée directement à Junga par un client final du Cabinet, Junga n'y répond pas sur le fond. Elle la transmet au Cabinet sans délai indu et informe la personne concernée qu'elle doit s'adresser à son conseiller.

L'assistance est fournie au moyen des fonctionnalités de la plateforme et, à défaut, par une intervention ponctuelle des équipes de Junga.

Sécurité, analyses d'impact et consultation préalable

Compte tenu de la nature du traitement et des informations à sa disposition, Junga aide le Cabinet à garantir le respect des obligations prévues aux articles 32 à 36 du RGPD, notamment la sécurité du traitement, la notification des violations, la réalisation d'analyses d'impact relatives à la protection des données et la consultation préalable de l'autorité de contrôle.

Junga communique au Cabinet, sur demande, les informations nécessaires à ces travaux pour la part du traitement qu'elle opère.

Violations de données à caractère personnel

Junga notifie au Cabinet toute violation de données à caractère personnel affectant les données traitées pour son compte, sans délai indu et au plus tard 48 heures après en avoir pris connaissance.

La notification décrit, dans la mesure des informations disponibles au moment où elle est adressée : la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d'enregistrements concernés, les conséquences probables, les mesures prises ou proposées pour y remédier et en atténuer les effets, ainsi que les coordonnées du point de contact. Les informations manquantes sont communiquées au fur et à mesure, sans nouveau délai indu.

Il appartient au Cabinet, en sa qualité de responsable de traitement, d'apprécier la violation et, le cas échéant, de la notifier à la Commission nationale de l'informatique et des libertés dans le délai de soixante-douze heures prévu à l'article 33 du RGPD et d'en informer les personnes concernées. Junga ne procède à ces notifications ni à la place du Cabinet ni en son nom, sauf instruction écrite de celui-ci.

Junga documente les violations dont elle a connaissance et coopère avec le Cabinet pour l'établissement de la documentation qui incombe à ce dernier.

Audit et démonstration de conformité

Junga met à la disposition du Cabinet toutes les informations nécessaires pour démontrer le respect des obligations prévues à l'article 28 du RGPD, conformément à son paragraphe 3, point h.

Le Cabinet peut faire réaliser un audit, y compris une inspection, par lui-même ou par un auditeur indépendant qu'il mandate et qui n'est pas un concurrent de Junga. L'audit se déroule sur préavis écrit raisonnable, pendant les heures ouvrées, sans perturbation excessive de l'activité de Junga et sous réserve d'un engagement de confidentialité de l'auditeur.

L'audit ne peut porter que sur les traitements réalisés pour le compte du Cabinet. Il ne donne accès ni aux données d'autres cabinets, ni aux données personnelles de tiers, ni aux éléments dont la divulgation compromettrait la sécurité de la plateforme ou les engagements de confidentialité de Junga envers ses autres clients.

Junga peut satisfaire à une demande d'audit en communiquant la documentation existante : description des mesures techniques et organisationnelles, résultats des contrôles internes, réponses à un questionnaire de sécurité et, lorsqu'ils existeront, rapports d'audit ou certificats délivrés par un tiers indépendant.

Sauf lorsque l'audit fait suite à une violation de données affectant le Cabinet ou révèle un manquement de Junga à l'Accord, les frais de l'audit sont à la charge du Cabinet, y compris le temps que Junga y consacre, facturé au tarif convenu entre les Parties. Sauf circonstance particulière, un audit sur site est limité à un par année civile.

Sort des données à l'issue de la prestation

À l'expiration ou à la résiliation du contrat de services, le Cabinet choisit entre la restitution des données traitées pour son compte et leur suppression. Il exprime ce choix par écrit.

En cas de restitution, Junga met à la disposition du Cabinet un export des données dans un format structuré et couramment utilisé, ainsi que les documents stockés dans la plateforme.

Junga supprime ensuite les données de ses systèmes actifs et fait supprimer les copies détenues par ses sous-traitants ultérieurs, dans un délai convenu entre les Parties. Les données présentes dans les sauvegardes sont supprimées à l'expiration du cycle de conservation de celles-ci.

Par exception, Junga conserve les données dont la conservation est imposée par le droit de l'Union ou par le droit français, notamment les enregistrements relatifs à la lutte contre le blanchiment de capitaux et le financement du terrorisme (cinq ans après la fin de la relation d'affaires, article L.561-12 du code monétaire et financier), les documents signés électroniquement (dix ans) et les journaux d'audit (cinq ans). Le traitement de ces données est alors limité à leur conservation et à la finalité qui l'impose, jusqu'à l'expiration du délai applicable.

Junga confirme par écrit au Cabinet la réalisation des opérations de restitution et de suppression.

Durée, responsabilité et droit applicable

Durée

L'Accord entre en vigueur à la date d'effet du contrat de services et demeure applicable tant que Junga traite des données à caractère personnel pour le compte du Cabinet. Les stipulations qui, par leur nature, ont vocation à lui survivre, notamment celles relatives à la confidentialité et au sort des données, demeurent applicables après son terme.

Responsabilité

Chaque Partie répond des dommages causés par un traitement qui méconnaît le RGPD, dans les conditions prévues à son article 82. Junga n'est responsable du dommage causé par le traitement que si elle n'a pas respecté les obligations qui incombent spécifiquement aux sous-traitants ou si elle a agi en dehors des instructions licites du Cabinet ou contrairement à celles-ci.

Les limitations et plafonds de responsabilité stipulés au contrat de services s'appliquent à l'Accord, dans les limites permises par la loi.

Droit applicable et juridiction compétente

L'Accord est régi par le droit français. Tout litige relatif à sa validité, à son interprétation ou à son exécution relève de la juridiction désignée par le contrat de services.

Contact

Toute demande relative à l'Accord est adressée au délégué à la protection des données de Junga, Nicolas Molins, à dpo@junga.ai ou par courrier au siège social.