Conditions Générales de Vente — GestASH

Éditeur. Open Consulting, SASU au capital de 1 000 €, siège social 207 avenue de Peygros, 06530 Peymeinade (France) — SIRET 540 027 877 00021 — RCS Grasse 540 027 877 — TVA intracommunautaire FR22540027877 — Tél. 04 86 80 41 42 — contact@open-consulting.biz — représentée par Angélique Santini, Présidente (ci-après « l'Éditeur »).

Produit. GestASH — application web SaaS de calcul et de contrôle du reversement des ressources des résidents au titre de l'aide sociale à l'hébergement (ASH), en EHPAD ou en établissement habilité à l'aide sociale (ci-après « le Service »).

Version. 1.2 — 20 août 2026.

Historique des versions.

Portée. Le présent document régit la vente de GestASH à des établissements publics et privés. Certaines modalités propres à chaque client ou marché public (CCAG applicable, délais réglementaires du secteur public, juridiction administrative compétente, coordonnées du délégué à la protection des données du Client) sont précisées au devis, au bon de commande ou au marché.

Article 1 — Objet et champ d'application

• Les présentes conditions générales de vente (ci-après les « CGV ») ont pour objet de définir les conditions dans lesquelles l'Éditeur met à la disposition du Client le Service GestASH, en mode logiciel à la demande (SaaS), ainsi que les droits et obligations respectifs des parties.
• Les CGV s'appliquent à toute souscription au Service, à l'exclusion de tout autre document. Elles constituent, avec le devis ou bon de commande accepté et leurs annexes, l'intégralité de l'accord entre les parties (ci-après le « Contrat »).
• Le Service est exclusivement destiné à des clients professionnels — EHPAD et autres établissements habilités à l'aide sociale, publics et privés — agissant dans le cadre de leur activité. Le Service ne s'adresse pas aux consommateurs au sens du Code de la consommation ; les dispositions protectrices des consommateurs sont sans objet.
• Le fait de souscrire au Service emporte acceptation pleine et entière des CGV en vigueur au jour de la souscription. Toute condition contraire émanant du Client, notamment ses conditions générales d'achat, est inopposable à l'Éditeur, sauf acceptation écrite et expresse de ce dernier.

Article 2 — Définitions

Dans les CGV, les termes ci-après, employés avec une majuscule, ont la signification suivante :

• Éditeur : la société Open Consulting, telle qu'identifiée en tête des présentes.
• Client : la personne morale de droit public ou de droit privé qui souscrit au Service dans le cadre de son activité professionnelle.
• Service : l'application web SaaS GestASH, accessible en ligne, dans ses fonctionnalités correspondant à l'offre souscrite, telle que décrite à l'article 5 et dans la Documentation.
• Utilisateur : toute personne physique habilitée par le Client à accéder au Service au moyen d'identifiants personnels, quel que soit son rôle (opérateur, administrateur, agent).
• Établissement : chaque EHPAD ou établissement habilité à l'aide sociale géré par le Client au titre duquel le Service est souscrit, l'unité de tarification et de cloisonnement des données étant l'Établissement.
• Données du Client : l'ensemble des données, informations et contenus saisis, importés ou générés par le Client ou ses Utilisateurs dans le cadre de l'utilisation du Service, en ce compris les données à caractère personnel relatives aux résidents.
• Devis / Bon de commande : le document commercial précisant l'offre souscrite, le périmètre (nombre d'Établissements), les options, la durée et les tarifs applicables, signé ou accepté par le Client.
• Documentation : la documentation fonctionnelle et d'utilisation du Service, mise à disposition du Client par l'Éditeur, sous forme électronique ou en ligne.

Article 3 — Documents contractuels et hiérarchie

• Le Contrat est constitué des documents suivants : le Devis ou Bon de commande accepté, les présentes CGV, et leurs annexes, notamment l'Annexe 1 relative à la protection des données (DPA).
• En cas de contradiction entre ces documents, ils prévalent dans l'ordre décroissant suivant : (1) le Devis ou Bon de commande, (2) les annexes, (3) les présentes CGV.
• Toute stipulation particulière figurant au Devis ou Bon de commande déroge, pour le point qu'elle vise, aux stipulations générales des CGV.
• Les dispositions spécifiques applicables aux clients du secteur public figurent à l'article 17.

Article 4 — Formation et durée du contrat

• Le Contrat est formé à la date d'acceptation du Devis ou du Bon de commande par le Client, par signature ou par tout moyen équivalent (y compris acceptation écrite par voie électronique).
• Le Service prend effet à la date d'ouverture des accès par l'Éditeur, sauf date d'effet distincte mentionnée au Devis ou Bon de commande.
• Le Service est acquis par licence perpétuelle dans les conditions de l'article 8 bis. Le droit d'usage concédé n'est pas affecté d'un terme et survit à la cessation du Contrat.
• La redevance annuelle de service, qui conditionne l'accès effectif au Service, est souscrite pour une période de douze (12) mois à compter de la mise en service. Elle se renouvelle par tacite reconduction pour des périodes successives de même durée, sauf dénonciation par l'une des parties, notifiée par écrit, moyennant un préavis de deux (2) mois avant l'échéance de la période en cours.
• La cessation de la redevance emporte suspension de l'accès au Service, sans remboursement des sommes déjà réglées au titre de la période en cours ni de la licence, et sans porter atteinte au droit d'usage, qui demeure acquis.

Article 5 — Description du Service et des offres

• Le Service est une application web accessible à distance au moyen d'un navigateur ; il est hébergé par l'Éditeur et ne nécessite aucune installation ni maintenance logicielle chez le Client, quelle que soit l'offre souscrite. GestASH permet le calcul fiabilisé et le contrôle du reversement des ressources des résidents au titre de l'aide sociale à l'hébergement (ASH), incluant notamment la prise en compte des ressources, de la mutuelle, des frais de tutelle (MJPM), de l'allocation logement, de l'argent de poche, des situations PA/PH, de la part conjoint et de la proratisation, la réconciliation du cycle ASH (reste à charge du Département, facturation de l'EHPAD — au débit du résident comme au débit du Département —, restes à recouvrer HELIOS), un assistant règlement à réponses sourcées, un tableau de bord, la gestion multi-établissements cloisonnés et la gestion des rôles.
• Le Service est proposé selon les offres suivantes, dont le contenu précis figure au Devis :
  • GestASH, offre unique en mode hébergé, acquise par licence perpétuelle assortie d'une redevance annuelle de service, selon le palier de dossiers d'aide sociale suivis par l'Établissement (article 8 bis) ;
  • Groupe / Multi-établissements, établie sur devis.
• Le Service n'est pas proposé par abonnement mensuel.
• L'option Assistant règlement peut être souscrite en complément de l'offre principale.
• L'Éditeur fait évoluer le Service et déploie des mises à jour correctives et évolutives de façon continue, sans surcoût pour le Client, dès lors qu'elles s'inscrivent dans le périmètre de l'offre souscrite. L'Éditeur peut faire évoluer les fonctionnalités du Service à condition de ne pas en réduire substantiellement les caractéristiques essentielles pendant la durée du Contrat.
• Le Service constitue un outil d'aide au calcul et au contrôle. Il ne se substitue pas à l'appréciation des services compétents ni à la responsabilité du Client dans la production de ses actes et décisions.

Article 6 — Essai / pilote

• L'Éditeur peut proposer au Client une période d'essai (pilote) d'un mois permettant l'utilisation du Service sur données réelles, dans les conditions précisées au Devis ou par écrit.
• La période d'essai est consentie sans engagement de souscription ultérieure et peut être interrompue par l'une ou l'autre des parties à tout moment.
• À l'issue de la période d'essai, la poursuite de l'utilisation du Service suppose l'acquisition de la licence et la souscription de la redevance annuelle, dans les conditions des présentes. À défaut, les accès sont suspendus et les Données du Client traitées conformément à l'article 16.

Article 7 — Mise en route et reprise de données

• La mise en service du Service et la reprise de l'historique des données du Client donnent lieu à un forfait unique de mise en route et de reprise de données, dont le montant est indiqué au Devis (à titre indicatif, de 290 à 490 € HT selon le volume et l'ancienneté de l'historique à reprendre).
• Le Client coopère de bonne foi à la mise en route ; il lui appartient notamment de désigner un interlocuteur, de fournir en temps utile les données et informations nécessaires dans les formats convenus, et d'en vérifier l'exactitude et l'exhaustivité.
• L'Éditeur ne saurait être tenu responsable des retards ou anomalies résultant de données transmises incomplètes, erronées ou tardives par le Client.

Article 8 — Conditions financières

Prix

• Les prix sont exprimés hors taxes (HT) et s'entendent par Établissement, selon les tarifs figurant au Devis ou Bon de commande, la grille tarifaire étant susceptible d'évolution.
• Le forfait de mise en route et de reprise de données est facturé dans les conditions de l'article 7.
• Le prix de la licence est déterminé par le palier de dossiers d'aide sociale suivis figurant au Devis et fait l'objet d'un paiement unique, exigible à la mise en service.
• La redevance annuelle de service, obligatoire, est égale à un sixième (1/6) du prix de la licence ; elle est facturée par période de douze (12) mois, d'avance, et reconduite tacitement dans les conditions de l'article 4.
• Le palier applicable est celui constaté à la souscription, d'après le nombre de dossiers d'aide sociale suivis par l'Établissement dans le Service.

Changement de palier

• Le palier est constaté à chaque date d'échéance annuelle de la redevance, sur le nombre de dossiers d'aide sociale alors suivis dans le Service. Les variations survenues en cours de période sont sans effet : aucune régularisation n'intervient entre deux échéances.
• Si le nombre de dossiers constaté relève d'un palier supérieur, le Client acquitte un complément de licence égal à la différence entre le prix du nouveau palier et celui du palier précédemment acquis. Les compléments successifs sont additifs : le Client ayant gravi les paliers l'un après l'autre a acquitté, au total, le prix du palier atteint, sans supplément.
• À la demande du Client, le complément de licence peut être étalé sur trois (3) ans sous forme d'une majoration de la redevance annuelle, sans frais. L'étalement en cours est exigible par anticipation en cas de cessation du Contrat.
• La redevance est recalculée à un sixième (1/6) du prix cumulé de la licence acquise et s'applique à compter de l'échéance concernée.
• Si le nombre de dossiers constaté relève d'un palier inférieur, le droit d'usage acquis au palier supérieur est conservé ; la licence n'est pas remboursée, même partiellement, et la redevance n'est pas diminuée, celle-ci étant assise sur la licence acquise et non sur le nombre de dossiers de la période.
• Les tarifs peuvent faire l'objet d'une révision annuelle, notifiée au Client au moins deux (2) mois avant l'échéance concernée ; en cas de refus de la révision, le Client peut résilier le Contrat dans les conditions de l'article 4.

Facturation et paiement

• Le Service ne fait l'objet d'aucun paiement par carte bancaire ni prélèvement en ligne. Les prestations sont réglées sur facture, par virement bancaire, aux coordonnées indiquées sur la facture.
• Pour les clients privés, sauf stipulation contraire au Devis, les factures sont payables à trente (30) jours à compter de leur date d'émission.
• Conformément à l'article L. 441-10 du Code de commerce, tout retard de paiement d'un client privé entraîne de plein droit, sans mise en demeure préalable, l'application de pénalités de retard calculées au taux légal applicable, ainsi qu'une indemnité forfaitaire pour frais de recouvrement de 40 €, sans préjudice de toute indemnisation complémentaire sur justificatifs.
• Les conditions applicables aux clients relevant du secteur public sont précisées à l'article 17.

Article 8 bis — Licence perpétuelle

Objet et éligibilité

• La Licence perpétuelle est le mode unique d'acquisition du Service : le Client acquiert, par un paiement unique, un droit d'usage sans limitation de durée. Le Service demeure hébergé et exploité par l'Éditeur ; aucune installation n'a lieu chez le Client et aucun code ne lui est remis.
• Le prix de la licence et celui de la redevance sont déterminés par le palier de dossiers d'aide sociale suivis par l'Établissement, dans les conditions de l'article 8.

Étendue du droit d'usage

• L'Éditeur concède au Client un droit d'usage personnel, non exclusif, incessible et sans limitation de durée du Service, pour ses propres besoins et pour le nombre d'Établissements figurant au Devis.
• Ce droit ne confère aucun droit de propriété sur le Service, son code source, ses composants ou ses marques, dans les conditions de l'article 12. Il n'emporte ni droit de distribution, ni droit de sous-licence, ni droit de mise à disposition de tiers.
• Le droit d'usage est acquis définitivement au paiement de la licence : il n'est pas redû si le Client interrompt puis reprend le Service, quelle que soit la durée de l'interruption. La reprise s'effectue par la seule souscription de la redevance annuelle.

Redevance annuelle de service

• La redevance est obligatoire et couvre, pour chaque période souscrite : l'hébergement, les sauvegardes, les mises à jour correctives, évolutives et réglementaires, ainsi que le support dans les conditions de l'article 11.
• Le Service fonctionne tant que la redevance court. Son non-paiement ou son non-renouvellement suspend l'accès au Service dans les conditions de l'article 9, sans porter atteinte au droit d'usage, qui demeure acquis.
• La redevance est indexée annuellement, à la date anniversaire, sur la variation de l'indice Syntec publié à cette date, sans que l'indexation puisse conduire à une diminution.
• En cas de suspension à l'initiative du Client, les données sont conservées dans les conditions de l'article 16 pendant la durée qui y est prévue, puis supprimées ; leur restitution préalable relève du même article.

Article 9 — Obligations du Client

Le Client s'engage à :

• utiliser le Service conformément à sa destination, aux présentes CGV, à la Documentation et à la réglementation en vigueur, dans le cadre d'un usage licite ;
• veiller à l'exactitude, à la pertinence et à la mise à jour des données qu'il saisit ou importe, l'Éditeur n'ayant ni la maîtrise ni le devoir de contrôle du contenu des Données du Client ;
• préserver la confidentialité des identifiants attribués à ses Utilisateurs, qui sont strictement personnels, et assurer un usage conforme des accès ; le Client est responsable de toute utilisation faite au moyen des identifiants de ses Utilisateurs ;
• assurer, en tant que responsable de traitement des données de ses résidents, le respect de ses propres obligations au titre de la réglementation relative à la protection des données, notamment quant à la licéité de la collecte et à l'information des personnes concernées ;
• conserver, de son côté, les données et documents dont il a besoin pour son activité et ne pas se reposer exclusivement sur le Service à des fins d'archivage légal ;
• ne pas détourner le Service de sa finalité, ne pas tenter d'y accéder de manière non autorisée, ne pas le décompiler, le reproduire, le revendre ou le mettre à disposition de tiers hors du périmètre autorisé.

Article 10 — Obligations de l'Éditeur

• L'Éditeur est tenu d'une obligation de moyens dans la fourniture du Service.
• L'Éditeur s'engage à fournir un Service conforme à la Documentation en vigueur et à mettre en œuvre les moyens raisonnables pour en assurer le bon fonctionnement.
• L'Éditeur assure la maintenance corrective et évolutive du Service dans les conditions de l'article 11.
• L'Éditeur ne garantit pas que le Service sera exempt de toute erreur ou interruption, ni qu'il répondra à des besoins spécifiques non expressément convenus au Contrat.

Article 11 — Disponibilité, maintenance et support

• L'Éditeur met en œuvre les moyens raisonnables pour assurer l'accessibilité du Service dans des conditions normales d'utilisation, sans garantie d'un taux de disponibilité chiffré, s'agissant d'une obligation de moyens, hors périodes de maintenance et cas de force majeure.
• L'Éditeur peut procéder à des opérations de maintenance planifiée ; il s'efforce, dans la mesure du possible, de les réaliser en dehors des plages d'utilisation habituelles et d'en informer le Client par un moyen approprié.
• Le support est assuré par voie électronique, à l'adresse contact@open-consulting.biz, aux jours et heures ouvrés, l'Éditeur s'efforçant de traiter les demandes dans un délai raisonnable en fonction de leur criticité.
• L'Éditeur réalise des sauvegardes régulières et chiffrées, hébergées hors site, dans les conditions précisées à l'article 15 et à l'Annexe 1.

Article 12 — Propriété intellectuelle

• Le Service, dans toutes ses composantes, notamment son code source et objet, ses interfaces, ses bases de données, sa Documentation ainsi que la marque et la dénomination « GestASH », sont et demeurent la propriété exclusive de l'Éditeur ou de ses ayants droit. Le Contrat n'emporte aucun transfert de droit de propriété intellectuelle au profit du Client.
• L'Éditeur concède au Client, pour la durée du Contrat, un droit d'utilisation du Service non exclusif, non cessible et non transférable, limité aux besoins propres du Client et au périmètre (nombre d'Établissements et Utilisateurs) souscrit au Devis.
• Le Client s'interdit tout acte de reproduction, de représentation, d'adaptation, de traduction, de décompilation ou d'extraction du Service excédant les droits ainsi concédés, sauf exceptions légales impératives.
• Les Données du Client demeurent sa propriété. Le Client concède à l'Éditeur le seul droit d'héberger et de traiter ces données dans la stricte mesure nécessaire à la fourniture du Service, conformément à l'article 15 et à l'Annexe 1.

Article 13 — Responsabilité et limitation

• La responsabilité de l'Éditeur ne peut être engagée qu'en cas de faute prouvée et au titre des seuls dommages directs subis par le Client. Sont expressément exclus les dommages indirects, tels que la perte d'exploitation, la perte de chiffre d'affaires, l'atteinte à l'image, le préjudice commercial ou financier, ou la perte de données imputable au Client.
• L'Éditeur ne saurait être tenu responsable des conséquences résultant de données inexactes, incomplètes ou tardivement transmises par le Client, d'un usage non conforme du Service, d'une décision prise par le Client sur le fondement des résultats produits, ou d'un fait imputable au Client, à un Utilisateur ou à un tiers.
• En tout état de cause, et sauf faute lourde ou dolosive, la responsabilité totale de l'Éditeur, tous préjudices confondus, est plafonnée au montant total des sommes effectivement versées par le Client au titre du Service au cours des douze (12) mois précédant le fait générateur du dommage.
• Aucune des limitations du présent article ne s'applique aux cas où la loi prohibe une telle limitation.

Article 14 — Confidentialité

• Chaque partie s'engage à préserver la confidentialité des informations non publiques dont elle a connaissance à l'occasion du Contrat, et à ne les utiliser que pour les besoins de son exécution.
• Cette obligation ne s'applique pas aux informations tombées dans le domaine public sans faute de la partie réceptrice, déjà connues de celle-ci, ou dont la divulgation est imposée par la loi ou une autorité compétente.
• L'obligation de confidentialité demeure en vigueur pendant toute la durée du Contrat et pendant une durée raisonnable après son terme. Le traitement des données à caractère personnel relève, en tout état de cause, de l'article 15 et de l'Annexe 1.

Article 15 — Protection des données à caractère personnel

• Dans le cadre de l'exécution du Service, l'Éditeur traite des données à caractère personnel pour le compte du Client. Le Client agit en qualité de responsable de traitement et l'Éditeur en qualité de sous-traitant au sens de l'article 28 du RGPD.
• Les conditions de ce traitement (finalités, catégories de données, mesures de sécurité, sous-traitance ultérieure, droits des personnes, réversibilité) sont définies à l'Annexe 1 — Accord de traitement des données (DPA), qui fait partie intégrante du Contrat.
• Les données sont hébergées en France (OVH). Le Service traite des données administratives et financières et ne porte pas sur des données de santé ; il n'entre donc pas dans le champ de la certification « Hébergeur de Données de Santé » (HDS). Cette qualification est à confirmer par le responsable de traitement ou son délégué à la protection des données (DPO) au regard de l'usage réel de l'application.
• L'Éditeur met en œuvre des mesures techniques et organisationnelles appropriées (chiffrement en transit, cloisonnement par établissement, sauvegardes chiffrées hors-site, contrôle des accès), détaillées à l'Annexe 1.

Article 16 — Réversibilité et restitution des données en fin de contrat

• À l'expiration ou à la résiliation du Contrat, quelle qu'en soit la cause, l'Éditeur restitue au Client, sur sa demande, l'ensemble des Données du Client dans un format standard et exploitable (par exemple CSV).
• La demande de restitution doit être formulée par le Client avant le terme du Contrat ou dans un délai raisonnable suivant celui-ci ; les modalités et le délai de mise à disposition sont convenus entre les parties.
• À l'issue de la restitution, et au plus tard à l'expiration du délai convenu, l'Éditeur procède à la suppression définitive des Données du Client de ses environnements de production, sous réserve des sauvegardes qui sont détruites selon leur cycle habituel, et des obligations légales de conservation. Ces opérations s'effectuent dans le respect de l'article 15 et de l'Annexe 1.

Article 17 — Clients du secteur public

Champ d'application

Le présent article regroupe les dispositions spécifiques applicables lorsque le Client agit en qualité de pouvoir adjudicateur, d'entité adjudicatrice ou d'acheteur soumis au Code de la commande publique — notamment les EHPAD constitués en établissements publics, rattachés à une collectivité territoriale, à un centre communal ou intercommunal d'action sociale (CCAS/CIAS) ou à un établissement public de santé.

Ces dispositions complètent les autres articles des présentes CGV. En cas de contradiction entre le présent article et une autre stipulation des CGV, le présent article prévaut pour les Clients relevant du secteur public.

Articulation contractuelle

La relation entre l'Éditeur et le Client peut être formalisée par un marché public, un accord-cadre, un bon de commande ou un acte d'engagement, ainsi que par les pièces particulières s'y rapportant (notamment cahier des clauses administratives particulières et cahier des clauses techniques particulières).

En cas de conflit entre les documents contractuels, les pièces particulières du marché priment sur les présentes CGV, dans les conditions et selon l'ordre de priorité fixés par le marché et par le Code de la commande publique. Les CGV s'appliquent à titre supplétif, pour tout ce que les pièces particulières du marché ne règlent pas expressément.

Cahier des clauses administratives générales (CCAG)

Lorsque le marché s'y réfère, la relation contractuelle est régie par le cahier des clauses administratives générales applicable aux marchés publics de techniques de l'information et de la communication (CCAG-TIC), ou par tout autre CCAG désigné dans les pièces particulières du marché. Les stipulations des présentes CGV s'appliquent sous réserve des dispositions impératives du CCAG retenu.

Facturation électronique (Chorus Pro)

Conformément à la réglementation relative à la facturation électronique dans les marchés publics, les factures émises par l'Éditeur à destination du Client sont obligatoirement déposées et transmises par voie dématérialisée via le portail public de facturation Chorus Pro.

Le Client s'engage à communiquer à l'Éditeur, en temps utile, l'ensemble des informations nécessaires à ce dépôt (identifiant unique / numéro SIRET de l'entité destinataire, code service, numéro d'engagement ou de bon de commande, et toute mention exigée). Le défaut de communication de ces informations ne saurait être imputé à l'Éditeur au titre des délais de paiement.

Paiement public

Modalités de paiement. Le paiement est effectué par mandat administratif, à l'exclusion du paiement par carte bancaire. Le règlement intervient après service fait et selon les modalités prévues par le marché et le Code de la commande publique.

Délai global de paiement. Le paiement intervient dans le respect du délai global de paiement réglementaire applicable à l'acheteur concerné, tel que fixé par le Code de la commande publique et ses textes d'application, selon la nature de l'acheteur (notamment le délai propre aux établissements publics de santé, le cas échéant).

Intérêts moratoires. En cas de dépassement du délai global de paiement, le Client est redevable de plein droit, et sans qu'un rappel soit nécessaire, des intérêts moratoires ainsi que de l'indemnité forfaitaire pour frais de recouvrement, dans les conditions et aux taux prévus par le Code de la commande publique et par le décret relatif aux intérêts moratoires applicables aux marchés publics.

Sous-traitance et hébergement

L'Éditeur informe le Client que l'hébergement de la solution GestASH est confié à un sous-traitant ultérieur, la société OVH, dont les infrastructures utilisées sont situées en France. Ce recours à la sous-traitance d'hébergement est déclaré au Client, qui peut demander à l'Éditeur les informations utiles relatives à ce sous-traitant et à la localisation des données, dans le respect des exigences du marché et de la réglementation applicable.

Réversibilité renforcée et continuité de service

Au terme du marché (arrivée du terme, non-reconduction, résiliation) ou à la demande du Client dans les conditions prévues au marché, l'Éditeur restitue au Client l'intégralité des données le concernant, dans un format standard, structuré et exploitable, et procède à leur suppression des systèmes dans les conditions convenues, sous réserve des obligations légales de conservation. Les modalités, délais et formats de cette réversibilité peuvent être précisés par les pièces particulières du marché.

Protection des données à caractère personnel

Dans le cadre de l'exécution du Service, l'Éditeur agit en qualité de sous-traitant au sens du RGPD, le Client demeurant responsable de traitement. Les obligations respectives des parties à ce titre sont précisées à l'Annexe 1 (DPA). Les données traitées par GestASH sont des données administratives et financières relatives au calcul et au contrôle du reversement des ressources au titre de l'ASH ; elles ne constituent pas des données de santé ; en conséquence, l'hébergement, réalisé en France, n'est pas soumis à la certification HDS.

Litiges et juridiction compétente

Les contrats conclus avec un Client du secteur public au sens du présent article présentent le caractère de contrats administratifs. Par dérogation à la clause d'attribution de juridiction applicable aux clients privés (article 21), tout litige relatif à leur validité, leur interprétation ou leur exécution relève de la compétence de la juridiction administrative, à savoir le tribunal administratif territorialement compétent, après mise en œuvre, le cas échéant, des procédures de règlement amiable prévues par le marché.

Article 18 — Force majeure

• Aucune des parties ne pourra être tenue responsable d'un manquement à ses obligations résultant d'un cas de force majeure, au sens de l'article 1218 du Code civil et de la jurisprudence des juridictions françaises.
• La partie affectée en informe l'autre dans les meilleurs délais. Les obligations sont suspendues pour la durée de l'empêchement. Si le cas de force majeure se prolonge au-delà d'une durée de trente (30) jours, chaque partie pourra résilier le Contrat de plein droit, sans indemnité, par notification écrite.

Article 19 — Assurance

• L'Éditeur déclare être titulaire d'une police d'assurance de responsabilité civile professionnelle couvrant les conséquences pécuniaires de sa responsabilité au titre de l'exécution du Contrat, auprès d'une compagnie notoirement solvable.
• L'Éditeur justifie de cette couverture au Client sur simple demande écrite.

Article 20 — Modification des CGV

• L'Éditeur se réserve la faculté de modifier les présentes CGV, notamment pour tenir compte des évolutions du Service, légales ou réglementaires.
• Les CGV applicables sont celles en vigueur à la date de la souscription. Toute modification substantielle est portée à la connaissance du Client par un moyen approprié avant son entrée en vigueur, notamment à l'occasion du renouvellement du Contrat. À défaut d'acceptation d'une modification substantielle, le Client peut résilier le Contrat dans les conditions de l'article 4.

Article 21 — Droit applicable et règlement des litiges

• Le Contrat est régi par le droit français.
• En cas de différend relatif à la formation, l'interprétation ou l'exécution du Contrat, les parties s'engagent à rechercher, au préalable, une solution amiable, par notification écrite précisant l'objet du litige.
• À défaut de résolution amiable dans un délai raisonnable, et pour les clients privés, tout litige relèvera de la compétence exclusive des tribunaux du ressort du siège de l'Éditeur (Grasse), nonobstant pluralité de défendeurs ou appel en garantie.
• Pour les clients relevant du secteur public, la juridiction compétente et les modalités de règlement des litiges sont précisées à l'article 17, dans le respect des règles de compétence de la juridiction administrative.

Annexe 1 — Accord de traitement des données à caractère personnel (DPA)

au sens de l'article 28 du Règlement (UE) 2016/679 (« RGPD »)

La présente annexe (l'« Accord » ou « DPA ») fait partie intégrante des CGV conclues entre les Parties. En cas de contradiction entre le présent Accord et les CGV sur un point relatif à la protection des données à caractère personnel, le présent Accord prévaut.

A1.1 — Parties et définitions

• Le Client (l'établissement — EHPAD ou établissement habilité à l'aide sociale —, ci-après l'« Établissement ») : agit en qualité de responsable de traitement. Il détermine les finalités et les moyens du traitement des données de ses résidents et des autres personnes concernées.
• Open Consulting, SASU, 207 avenue de Peygros, 06530 Peymeinade, contact@open-consulting.biz, éditeur de la solution SaaS GestASH (ci-après l'« Éditeur ») : agit en qualité de sous-traitant au sens de l'article 28 du RGPD.

Les termes « données à caractère personnel », « traitement », « responsable de traitement », « sous-traitant », « sous-traitant ultérieur », « personne concernée » et « violation de données à caractère personnel » ont le sens que leur donne l'article 4 du RGPD.

A1.2 — Rôles des Parties

Le Client est responsable de traitement. L'Éditeur est sous-traitant et traite les données à caractère personnel pour le compte et sur instructions documentées du Client, dans le cadre exclusif de la fourniture du Service GestASH.

A1.3 — Objet, durée, nature et finalité du traitement

• Objet : hébergement et exploitation de l'application GestASH permettant le calcul et le contrôle du reversement des ressources au titre de l'aide sociale à l'hébergement (ASH).
• Nature et finalité : gestion administrative et financière de l'aide sociale à l'hébergement — calcul du reversement des ressources du résident, réconciliation entre reste à charge (RAC), facturation, données HELIOS et trésorerie, ainsi que suivi et contrôle associés.
• Durée : le traitement est réalisé pendant toute la durée du Contrat, jusqu'à son terme, complétée par les opérations de restitution et de suppression prévues à l'article A1.9.

A1.4 — Catégories de personnes concernées et de données traitées

Absence de données de santé : le traitement ne porte sur aucune donnée de santé (ni niveau de dépendance / GIR, ni diagnostic, ni données de soins). Voir l'article A1.10 (périmètre hors HDS).

A1.5 — Obligations du sous-traitant (Éditeur)

A1.5.1 Instructions documentées. Ne traiter les données que sur la base des instructions documentées du Client, y compris en matière de transfert hors Union européenne, sauf obligation légale à laquelle l'Éditeur serait soumis (auquel cas il en informe le Client avant traitement, sauf interdiction légale). Les CGV et le présent Accord constituent les instructions initiales du Client. L'Éditeur informe immédiatement le Client si une instruction lui paraît constituer une violation du RGPD ou d'une autre disposition applicable.

A1.5.2 Confidentialité. Veiller à ce que les personnes autorisées à traiter les données s'engagent à en respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité, et limiter l'accès aux seules personnes ayant besoin d'en connaître.

A1.5.3 Sécurité (article 32 du RGPD). Mettre en œuvre les mesures techniques et organisationnelles appropriées, notamment :

• chiffrement des données en transit (TLS) ;
• sauvegardes régulières, hors-site et chiffrées ;
• cloisonnement multi-locataire par Row-Level Security (RLS) : chaque utilisateur n'accède qu'aux données des établissements dont il est membre ;
• stockage de fichiers privé et cloisonné par établissement, accès via URL signées à durée limitée ;
• politique de mots de passe d'au moins 10 caractères avec exigence de complexité ;
• en-têtes HTTP de sécurité ;
• auto-inscription désactivée (création de comptes contrôlée) ;
• API d'administration non exposée publiquement ;
• hébergement en France (voir articles A1.7 et A1.8).

A1.5.4 Assistance au responsable de traitement. Aider le Client, compte tenu de la nature du traitement et des informations disponibles, à respecter ses obligations, notamment : réponse aux demandes d'exercice des droits des personnes concernées (article A1.6) ; sécurité du traitement (article 32) ; notification des violations à l'autorité de contrôle et, le cas échéant, aux personnes concernées (articles 33 et 34) ; réalisation d'une analyse d'impact (AIPD) et consultation préalable (articles 35 et 36).

A1.5.5 Notification des violations de données. Notifier au Client toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance, en communiquant les informations utiles (nature de la violation, catégories et nombre approximatif de personnes et d'enregistrements concernés, conséquences probables, mesures prises ou proposées) afin de permettre au Client de respecter, le cas échéant, son obligation de notification sous 72 heures.

A1.6 — Droits des personnes concernées

Dans la mesure du possible, l'Éditeur aide le Client, par des mesures techniques et organisationnelles appropriées, à donner suite aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, limitation, opposition, portabilité). Le cloisonnement par établissement et par utilisateur facilite l'identification et l'extraction des données propres à une personne concernée. Si une personne concernée adresse directement sa demande à l'Éditeur, celui-ci la transmet sans délai au Client et n'y répond pas de sa propre initiative, sauf instruction du Client.

A1.7 — Sous-traitance ultérieure

A1.7.1 Autorisation générale. Le Client autorise l'Éditeur à recourir au sous-traitant ultérieur suivant :

L'option « OCR Mistral » (lecture automatisée des relevés RAC par intelligence artificielle) n'est activée que sur demande, établissement par établissement. Tant qu'elle n'est pas activée, aucune donnée n'est transmise à Mistral AI (la lecture se fait alors localement dans le navigateur). Lorsqu'elle est activée, le document est traité sur une infrastructure située dans l'Union européenne, sans conservation des données au-delà du traitement (Zero Data Retention) et sans réutilisation à des fins d'entraînement. L'activation pour un Client déjà engagé est précédée de l'information prévue à l'article A1.7.2.

A1.7.2 Information et opposition. L'Éditeur informe le Client de tout projet de changement concernant l'ajout ou le remplacement d'un sous-traitant ultérieur, dans un délai raisonnable préalable, afin de permettre au Client de formuler des objections. En cas d'objection légitime que les Parties ne parviennent pas à lever, le Client pourra résilier la partie du Service concernée dans les conditions prévues aux CGV.

A1.7.3 Répercussion des obligations. L'Éditeur impose contractuellement à tout sous-traitant ultérieur des obligations de protection des données équivalentes à celles du présent Accord et demeure pleinement responsable envers le Client de leur exécution.

A1.8 — Transferts de données hors Union européenne

Les données sont hébergées en France et aucun transfert hors de l'Union européenne n'est réalisé dans le cadre du Service. Si un tel transfert devait devenir nécessaire, il serait subordonné à l'information préalable du Client et encadré par un mécanisme conforme au chapitre V du RGPD (décision d'adéquation ou clauses contractuelles types de la Commission européenne, complétées le cas échéant de mesures supplémentaires).

A1.9 — Sort des données en fin de traitement (réversibilité)

Au terme de la fourniture du Service, l'Éditeur, au choix du Client :

1. restitue au Client l'ensemble des données à caractère personnel dans un format standard et réutilisable (ex. CSV) ; puis
2. supprime les données et les copies existantes dans un délai de trente (30) jours après la restitution,

sauf obligation légale imposant la conservation de tout ou partie des données. L'Éditeur atteste par écrit, sur demande du Client, de la réalisation des opérations de suppression.

A1.10 — Périmètre hors HDS (hébergement de données de santé)

Le traitement réalisé via GestASH ne porte pas sur des données de santé au sens de l'article 9 du RGPD (aucun GIR, aucun diagnostic, aucune donnée de soins) ; il porte exclusivement sur des données d'identité, administratives et financières nécessaires au calcul du reversement des ressources au titre de l'ASH. En conséquence, l'Éditeur considère que le Service n'entre pas dans le champ de la certification « Hébergeur de Données de Santé » (HDS). Cette qualification relève de l'appréciation du responsable de traitement et de son délégué à la protection des données, au regard de l'usage réel qu'il fait de l'application.

A1.11 — Audit et mise à disposition d'informations

L'Éditeur met à la disposition du Client toutes les informations nécessaires pour démontrer le respect des obligations de l'article 28 du RGPD et permet la réalisation d'audits, y compris des inspections, par le Client ou un auditeur mandaté, dans des conditions raisonnables : préavis écrit d'au moins trente (30) jours, pendant les heures ouvrées, sans perturbation disproportionnée du Service, dans le respect de la confidentialité et de la sécurité des autres clients, et à une fréquence maximale d'une fois par an, sauf incident de sécurité.

A1.12 — Coordonnées

• Point de contact de l'Éditeur (sous-traitant) : contact@open-consulting.biz.

Open Consulting / GestASH — Conditions Générales de Vente — Version 1.2 — 20 août 2026.