Mentions légales et informations juridiques

QAPpro Suivi © 2026 QAPPRO. Tous droits réservés.
Logiciel développé par QAPPRO pour son usage et celui des cabinets qui l’utilisent (QAP, CITA Patrimoine). Une convention écrite précisera la propriété et les droits d’usage des cabinets (à rédiger).

QAPpro Suivi est un logiciel interne de gestion de la relation client et de conformité réglementaire. Il n’est ni vendu ni diffusé au public. Toute reproduction, copie, modification, diffusion ou utilisation en dehors des cabinets cités, totale ou partielle, sans l’autorisation écrite de QAPPRO, est interdite.

Les données des clients (fiches, documents, historiques) appartiennent au cabinet qui les a collectées. Elles ne sont jamais partagées entre cabinets, sauf pour les personnes autorisées par leur rôle (administrateur, responsable conformité).

Pourquoi une convention écrite ? En droit français, des sociétés ne peuvent pas être « coauteurs » d’un logiciel : l’œuvre de collaboration suppose des personnes physiques (CPI, art. L113-2). Un logiciel créé par un salarié dans ses fonctions appartient, pour les droits patrimoniaux, à son employeur, « sauf dispositions statutaires ou stipulations contraires » (art. L113-9). La copropriété avec les autres cabinets doit donc être organisée par contrat (cession ou licence, avec l’étendue, la destination, le lieu et la durée de chaque droit cédé : art. L131-3). Ce contrat reste à rédiger.

• L’auteur d’une œuvre en est propriétaire « du seul fait de sa création », sans dépôt ni formalité (CPI, art. L111-1). La mention © est donc facultative : elle rappelle les droits sans être nécessaire.
• Les logiciels, y compris le matériel de conception préparatoire, sont des œuvres protégées (art. L112-2, 13°).
• Toute reproduction ou représentation, intégrale ou partielle, sans consentement est illicite (art. L122-4). Pour un logiciel, cela couvre la reproduction (chargement, affichage, exécution, stockage), la modification et la diffusion (art. L122-6), sous réserve des exceptions de l’utilisateur légitime (art. L122-6-1).
• La violation de ces droits est un délit de contrefaçon (art. L335-3), puni de trois ans d’emprisonnement et de 300 000 € d’amende (art. L335-2).
• La base de données des cabinets est susceptible de bénéficier du droit du producteur de bases de données, qui permet d’en interdire l’extraction substantielle (art. L341-1 et L342-1), à condition de prouver un investissement substantiel ; cela s’apprécie au cas par cas.

Code écrit avec l’aide d’une intelligence artificielle

Une partie du code a été écrite avec un assistant d’intelligence artificielle, sous la direction de QAPPRO. En droit d’auteur, seule une création humaine originale est protégée : le rapport du CSPLA sur les productions de l’IA (juillet 2026, avis consultatif, sans valeur de loi) indique que les productions générées sans apport créatif humain significatif restent hors du droit d’auteur, et qu’une production « hybride » est protégeable si les choix humains atteignent le seuil d’originalité. Le logiciel est donc protégé dans la mesure où il constitue une création originale. Conserver l’historique des versions aide à le prouver.

Informations prévues par l’article 1-1 de la loi n° 2004-575 du 21 juin 2004 (LCEN), issu de la loi SREN du 21 mai 2024.

Éditeur et propriétaire

• Dénomination : à compléter (QAPPRO)
• Forme juridique et capital : à compléter, capital de à compléter
• Siège social : à compléter
• Immatriculation : à compléter
• Téléphone : à compléter · Email : à compléter
• Directeur de la publication : à compléter

Cabinets utilisateurs

• QAP (QONTUM ASSURANCE & PATRIMOINE) · SIREN 978974475 · ORIAS n° 23007360
• CITA Patrimoine · SIREN 848651857 · ORIAS n° 19002506

Hébergement

• Application et fichiers : Vercel Inc., États-Unis (société américaine) ; hébergement de l’application et stockage des fichiers (Vercel Blob privé) ; région : Francfort (région fra1), choisie à la création et non modifiable ensuite. Adresse : 440 N Barranca Ave #4133, Covina, CA 91723, États-Unis · Téléphone : à vérifier
• Base de données : Neon (groupe Databricks), exploitée par Databricks, Inc., société mère de Neon, LLC ; base de données PostgreSQL ; région : Francfort (AWS eu-central-1), choisie à la création du projet. Adresse : 160 Spear Street, Suite 1300, San Francisco, CA 94105, États-Unis · Téléphone : +1 866 330 0121

Identité des hébergeurs relevée le 22/10/2026 sur leurs propres pages : conditions d’utilisation de Vercel (adresse ; aucun numéro de téléphone de Vercel n’y figure), conditions de Neon et politique de confidentialité de Databricks (adresse et standard).

Les données sont stockées à Francfort, dans l’Union européenne, mais les fournisseurs sont des sociétés américaines. Le DPA de Vercel indique que ses principaux sites de traitement sont aux États-Unis ; les transferts reposent sur les clauses contractuelles types de 2021. Vercel déclare être certifiée au « Data Privacy Framework » UE–États-Unis ; l’inscription sur le site officiel dataprivacyframework.gov n’a pas été vérifiée. Le DPA de Neon est celui de Databricks, avec clauses contractuelles types. Le maintien dans l’Union européenne des copies mises en cache par le réseau de diffusion (CDN) de Vercel n’a pas été vérifié. Sources (relevées le 15/10/2026) : DPA de Vercel, Vercel et le Data Privacy Framework, DPA de Neon.

L’outil est réservé aux personnes autorisées ; aucun texte consulté ne tranche s’il constitue un « service de communication au public en ligne ». Les mentions sont publiées par prudence (l’absence de mentions obligatoires est punie d’un an d’emprisonnement et de 75 000 € d’amende, art. 1-2 de la même loi).

Toute personne qui se connecte à QAPpro Suivi accepte les règles suivantes :

1. Accès personnel. Les identifiants sont strictement personnels. Ne les communiquez à personne. La double authentification est fortement conseillée.
2. Usage professionnel. L’outil sert uniquement à la gestion des clients du cabinet et au respect de ses obligations réglementaires.
3. Confidentialité. Les informations des clients (identité, patrimoine, contrôles LCB-FT) sont confidentielles. N’exportez, n’imprimez ou ne transmettez que ce qui est nécessaire à votre mission. Un dossier complet téléchargé (fichier ZIP) ou un export n’est pas chiffré : remettez-le uniquement à son destinataire légitime (contrôleur, client), par un moyen sûr, et supprimez la copie de votre poste ensuite.
4. Phrase secrète des sauvegardes. Elle n’est connue que des personnes désignées par le cabinet. Ne la communiquez à personne, ne l’envoyez jamais par email ou messagerie, et signalez sans délai toute divulgation : il faut alors en changer.
5. Déclarations de soupçon. Une déclaration à Tracfin est confidentielle : il est interdit d’en informer le client ou un tiers (CMF, art. L561-18). Elle ne doit pas figurer dans les notes ou documents du dossier client.
6. Exactitude. Saisissez des informations exactes et à jour ; ne marquez « reçu / signé » qu’un document effectivement reçu.
7. Incidents. Signalez sans délai à un administrateur toute perte d’identifiants, de téléphone ou tout accès suspect.
8. Journal d’activité. Les connexions et les actions sur les dossiers (création, modification, envoi, suppression) sont enregistrées avec leur auteur et leur date, pour la sécurité et le contrôle interne exigés par la réglementation. Les utilisateurs en sont informés par la présente charte, conformément au Code du travail, art. L1222-4 ; ce contrôle doit rester proportionné au but recherché (art. L1121-1).

Pour lui donner une force obligatoire, cette charte peut être annexée au règlement intérieur (recommandation CNIL). Dans une entreprise d’au moins 50 salariés, le CSE doit être informé et consulté avant la mise en place d’outils permettant un contrôle de l’activité des salariés (art. L2312-38).

Qui est responsable ?

Chaque cabinet est responsable du traitement des données de ses propres clients, car il en détermine les finalités et les moyens (RGPD, art. 4.7). Si les cabinets décident ensemble de la manière d’utiliser l’outil, ils sont responsables conjoints et doivent définir leurs obligations respectives par un accord (art. 26).

Pourquoi les données sont traitées

Pièces comptables et justificatifs : 10 ans (C. com. L123-22), pour la partie comptable seulement.

Qui reçoit les données

Les utilisateurs habilités du cabinet, et les prestataires techniques qui agissent pour son compte (sous-traitants, RGPD art. 28, avec un contrat) :

• Vercel Inc. (application et stockage des fichiers, y compris les sauvegardes chiffrées) et Neon (base de données, groupe Databricks), tous deux à Francfort, au titre de l’art. 28. Vercel est une société américaine : son DPA prévoit des clauses contractuelles types et Vercel déclare une certification « Data Privacy Framework » (inscription officielle non vérifiée) ; le DPA de Neon est celui de Databricks, avec clauses contractuelles types. Les deux contrats sont à accepter / vérifier par le cabinet titulaire des comptes.
• le fournisseur de messagerie du cabinet (serveur d’envoi d’emails, ou Microsoft 365 si les emails passent par lui : contrat et lieu de traitement à vérifier) ;
• SignWell, pour la signature électronique : société établie aux États-Unis. Un transfert hors de l’Union exige une décision d’adéquation ou des clauses contractuelles types (art. 45 et 46). La certification de SignWell au « Data Privacy Framework » UE–États-Unis n’a pas été vérifiée.
• Le registre des gels de la DG Trésor est seulement téléchargé : aucune donnée client ne lui est envoyée.

Vos droits

Toute personne peut demander l’accès à ses données, leur rectification, leur effacement, la limitation du traitement, leur portabilité ou s’y opposer (RGPD, art. 15 à 22), en écrivant au cabinet qui la suit. Réponse sous un mois, prolongeable de deux mois (art. 12.3). Les données traitées pour la lutte contre le blanchiment ne sont accessibles qu’indirectement, par l’intermédiaire de la CNIL (CMF L561-45). Une réclamation peut être adressée à la CNIL (cnil.fr/plaintes).

Sécurité

Mots de passe stockés sous forme hachée (bcrypt), double authentification, cloisonnement par cabinet et dossiers confidentiels, journal d’activité, sauvegardes quotidiennes chiffrées (AES-256) dès que la phrase secrète est définie, cette phrase étant gardée par le cabinet, conformément aux mesures prévues par l’art. 32 (« le chiffrement des données à caractère personnel »). Le chiffrement s’applique aux sauvegardes dès que le cabinet a défini sa phrase secrète ; les données en service sont protégées par l’accès à l’ordinateur ou au serveur qui les héberge, dont il est recommandé de chiffrer le disque. En cas de violation de données, le cabinet la notifie à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance (art. 33). Si la violation ne porte que sur une sauvegarde chiffrée dont la phrase secrète n’a pas été compromise, l’information des personnes concernées n’est pas obligatoire, les données étant incompréhensibles pour qui n’y a pas accès (art. 34.3.a) ; la notification à la CNIL reste à apprécier au cas par cas (art. 33).

QAPpro Suivi n’utilise aucun cookie publicitaire ou de mesure d’audience. Il dépose seulement un cookie de session (connexion) et, pendant 5 minutes, un cookie pour l’étape de double authentification. Ces cookies sont strictement nécessaires au service demandé par l’utilisateur et sont dispensés de consentement (loi n° 78-17, art. 82 ; lignes directrices de la CNIL, délibération n° 2020-091, qui citent les cookies d’authentification).

Lutte contre le blanchiment et le financement du terrorisme

• Personnes concernées : intermédiaires d’assurance (CMF L561-2, 3° bis) et conseillers en investissements financiers (6°).
• Identification du client et du bénéficiaire effectif sur document probant avant l’entrée en relation (L561-5).
• Vigilance complémentaire pour les personnes politiquement exposées (L561-10).
• Conservation 5 ans (L561-12) ; déclaration de soupçon à Tracfin (L561-15), confidentielle (L561-18).
• Le règlement européen (UE) 2024/1624 s’appliquera à partir du 10 juillet 2027 : ces articles seront alors modifiés et l’outil devra être revu.

Gel des avoirs

• Obligation d’appliquer sans délai les mesures de gel et d’en informer immédiatement le ministre chargé de l’économie (CMF L562-4).
• Interdiction de mettre des fonds à disposition d’une personne gelée (L562-5).
• Contrôle sur le registre national des gels de la DG Trésor, public et gratuit.

Conseil en assurance et en investissement

• Assurance : préciser par écrit les exigences et les besoins du client et conseiller un contrat cohérent, en motivant le conseil (C. assur. L521-4) ; immatriculation à l’ORIAS (L512-1).
• Investissement (CIF) : recueil des connaissances, de la situation et des objectifs du client, et déclaration d’adéquation écrite (CMF L541-8-1, 4° et 9° ; règlement général de l’AMF, art. 325-17) ; document d’entrée en relation (RG AMF, art. 325-5).

Signature électronique

L’écrit électronique a la même force probante que l’écrit papier si son auteur est identifié et son intégrité garantie (C. civ. 1366). La fiabilité n’est présumée que pour une signature électronique qualifiée (C. civ. 1367) : avec une signature simple ou avancée, comme celle de SignWell, le document est recevable mais c’est au cabinet de prouver la fiabilité du procédé en cas de litige. Pour cette preuve, l’outil classe le dossier signé avec le rapport de vérification de SignWell (signataires, adresses email, dates et heures, adresses IP) : il doit être conservé avec le document.

Ces points n’ont pas pu être confirmés sur une source officielle, ou dépendent de décisions des cabinets. Ils ne sont donc pas présentés comme acquis :

• Rédiger la convention de copropriété ou de licence du logiciel entre QAPPRO et les cabinets.
• Compléter l’identité de l’éditeur et le directeur de la publication, et trouver un numéro de téléphone de Vercel à publier (encadrés rouges ci-dessus).
• Interroger l’association professionnelle (ou le responsable conformité, RCCI) sur les règles applicables à l’externalisation de l’hébergement des données clients chez un prestataire : la règle n’a pas été vérifiée, elle doit l’être avant la bascule.
• Choisir et noter l’emplacement d’une copie des sauvegardes hors de Vercel (aujourd’hui elles sont dans le stockage Vercel Blob, avec les documents).
• Faire accepter et vérifier les DPA de Vercel et de Neon (art. 28), l’inscription de Vercel au « Data Privacy Framework » sur le site officiel et les sous-traitants ultérieurs des deux sociétés. Le maintien dans l’Union des copies mises en cache par le CDN de Vercel n’a pas été vérifié.
• Responsables séparés ou conjoints : à décider entre cabinets, puis tenir le registre des traitements (RGPD art. 30 : l’exemption des moins de 250 salariés ne s’applique pas à un traitement non occasionnel comme un fichier clients).
• Vérifier si une analyse d’impact (RGPD art. 35, liste CNIL n° 2018-327) et un délégué à la protection des données (art. 37) sont nécessaires.
• Vérifier la certification « Data Privacy Framework » de SignWell, ou signer ses clauses contractuelles types et son contrat de sous-traitance.
• Désigner qui garde la phrase secrète des sauvegardes (deux personnes au moins) et où sont copiées les sauvegardes hors de l’ordinateur.
• Fixer une durée de conservation du journal d’activité et la purge des prospects après 3 ans (pas encore automatique dans l’outil).
• Faire relire ces textes par un avocat ou par l’association professionnelle des cabinets (Endya pour CITA Patrimoine).

Cette page informe ; elle ne remplace pas l’avis d’un avocat.

Vérifiées le 08/10/2026. Les liens « article » ci-dessus mènent au texte officiel en vigueur sur Légifrance.

• Code de la propriété intellectuelle (L111-1, L112-2, L113-2, L113-9, L122-4, L122-6, L131-3, L335-2, L335-3, L341-1, L342-1)
• Loi n° 2004-575 du 21 juin 2004 (LCEN), art. 1-1 et 1-2
• Vercel et Neon, relevé le 15/10/2026 : Vercel, DPA ; Vercel, Data Privacy Framework ; Neon, DPA
• Hébergeurs, identité relevée le 22/10/2026 : Vercel, conditions d’utilisation ; Neon, conditions d’utilisation ; Databricks, politique de confidentialité
• Règlement (UE) 2016/679 (RGPD), texte sur cnil.fr
• Loi n° 78-17 Informatique et Libertés, art. 82
• Code monétaire et financier (L541-8-1, L561-2 à L561-46, L562-4, L562-5)
• Code des assurances (L512-1, L521-4)
• Règlement général de l’AMF (325-5, 325-17)
• Code civil (1366, 1367), Code de commerce (L123-22), Code du travail (L1121-1, L1222-4, L2312-38)
• CNIL, recommandation sur la journalisation (2021) ; CNIL, contrôle de l’activité des salariés
• CSPLA, rapport sur le statut des productions de l’intelligence artificielle (2026)
• DG Trésor, registre national des gels