Annexe « établissement assujetti »

1. Objet et champ d'application

La présente annexe s'applique au client soumis à une autorité de supervision qui en fait la demande — notamment un établissement de crédit ou un système financier décentralisé de l'UMOA, un établissement assujetti à la COBAC ou une entreprise d'assurance relevant du Code CIMA. Elle est signée avec le contrat.

Elle complète les conditions générales, le contrat de sous-traitance et l'engagement de niveau de service ; en cas de contradiction, elle prévaut.

Elle ne dispense pas l'établissement de vérifier les exigences de son propre superviseur : l'éditeur n'en délivre aucune interprétation.

2. Localisation des données

Offre hébergée par l'éditeur : les données et leurs sauvegardes sont hébergées par Oracle Cloud Infrastructure (OCI), dans la région suivante : Union européenne (France, Marseille). Aucun changement de région n'intervient sans information de l'établissement au moins 30 jours à l'avance ; l'établissement peut alors résilier sans pénalité.

Offre Sur site : l'application et les données sont installées sur les serveurs de l'établissement, à l'emplacement qu'il choisit. L'éditeur n'y accède qu'à sa demande, pour une intervention de support.

Pour un établissement de crédit de l'UMOA, la circulaire n°04-2017/CB/C (article 33) exige que les serveurs stockant les données et hébergeant les applications soient conservés et accessibles en permanence dans l'Union, ou, à défaut, que des serveurs de secours y soient installés avec réplication de l'ensemble des données. Lorsque la région déclarée ci-dessus ne le permet pas, l'offre Sur site y répond.

3. Information préalable du superviseur

Il appartient à l'établissement de soumettre le projet d'externalisation à son autorité de supervision lorsque la réglementation l'exige. Pour la Commission bancaire de l'UMOA, le projet de contrat est soumis au préalable à son Secrétariat général (circulaire n°04-2017/CB/C, article 33).

L'éditeur remet à l'établissement, sur demande, les pièces utiles à ce dossier :

• les conditions générales et la présente annexe ;
• l'engagement de niveau de service ;
• le contrat de sous-traitance et la liste des sous-traitants ultérieurs ;
• la description des mesures de sécurité et de la procédure de sauvegarde et de restauration ;
• sa réponse au questionnaire de sécurité de l'établissement.

L'éditeur répond aux questions que l'autorité adresse à l'établissement sur le service.

4. Réversibilité et restitution

À tout moment, l'administrateur de l'établissement exporte ses données sans intervention de l'éditeur : export complet au format JSON, classeurs Excel, rapports et manuels aux formats Word et PDF, documents déposés.

À la fin du contrat, les données restent consultables et exportables. Sur demande écrite, l'éditeur remet dans un délai de 10 jours ouvrés une archive complète — export JSON, classeurs Excel et fichiers déposés — avec la description de leur format.

Sur demande écrite, l'éditeur supprime ensuite les données dans un délai de 30 jours, puis remet une attestation de suppression dans les 10 jours ouvrés ; les sauvegardes s'effacent par rotation, en 14 jours au plus.

Une assistance à la reprise dans un autre outil peut être fournie sur devis.

5. Droit d'audit

L'établissement, ses auditeurs internes ou externes et son autorité de supervision — notamment la Commission bancaire de l'UMOA, la COBAC ou la CIMA — peuvent vérifier les conditions dans lesquelles le service est fourni : documentation, mesures de sécurité et leurs preuves, entretiens avec les équipes, visite sur place.

Un audit de l'établissement s'annonce au moins 30 jours à l'avance ; une demande de l'autorité de supervision est satisfaite dans les délais qu'elle fixe.

L'audit préserve la confidentialité des autres clients de l'éditeur. Ses frais restent à la charge de l'établissement, sauf manquement constaté de l'éditeur.

6. Notification des incidents

L'éditeur signale à l'établissement tout incident de sécurité ou toute indisponibilité majeure qui affecte ses données, au plus tard 24 heures après en avoir pris connaissance, puis lui remet un rapport écrit — causes, conséquences, mesures prises — dans un délai de 5 jours ouvrés.

Une violation de données à caractère personnel est en outre notifiée selon le contrat de sous-traitance.

7. Sous-traitance ultérieure

Les sous-traitants ultérieurs, leur rôle, leur pays et leurs garanties sont énumérés dans la politique de confidentialité et le contrat de sous-traitance.

Tout nouveau sous-traitant ultérieur est annoncé à l'établissement au moins 30 jours à l'avance ; l'établissement peut s'y opposer et, faute d'accord, résilier sans pénalité.

8. Continuité d'activité

Offre hébergée par l'éditeur : sauvegarde quotidienne chiffrée, dont les 14 dernières sont conservées ; restauration rejouée sur MySQL 8 à chaque version du logiciel ; procédure documentée de copie hors du serveur ; objectifs de reprise fixés par l'engagement de niveau de service.

Offre Sur site : la continuité relève du plan de l'établissement ; l'éditeur fournit les commandes de sauvegarde et de restauration et l'assiste dans leur mise en œuvre.

Si l'éditeur cessait son activité, il en informerait l'établissement et lui restituerait ses données selon l'article sur la réversibilité ; une licence Sur site en cours resterait utilisable jusqu'à son échéance. Un dépôt du code source auprès d'un tiers peut être convenu dans le contrat signé.

9. Indicateurs et revue annuelle

Les indicateurs de l'engagement de niveau de service sont communiqués à l'établissement au moins une fois par an ; une revue annuelle de la prestation se tient à sa demande.

L'éditeur ne détient à ce jour aucune certification de sécurité (ISO/IEC 27001, SOC 2). Il répond point par point au questionnaire de sécurité de l'établissement.

10. Droit applicable et règlement des différends

Le contrat reste soumis au droit français, sauf stipulation contraire du contrat signé.

Pour un établissement établi dans un État partie au Traité de l'OHADA, tout différend est d'abord soumis à une médiation ; à défaut d'accord dans un délai de 60 jours, il est tranché par arbitrage selon le Règlement d'arbitrage de la Cour commune de justice et d'arbitrage (CCJA). Le contrat signé fixe le siège de l'arbitrage et la langue de la procédure ; à défaut, le siège est Abidjan et la langue, le français.