Entre : [Client], [forme, capital, RCS, siège], représenté par [nom, qualité] (le « Responsable de traitement ») et Services SAS, [coordonnées], représentée par [nom, qualité] (le « Sous-traitant »).
Article 1 — Objet
1.1. Le présent accord encadre les traitements de données personnelles que Services réalise pour le compte du Client lorsqu'il utilise la Plateforme : gestion de ses contacts et prospects (CRM), e-mailing, agenda et rendez-vous, devis, contrats et factures adressés à ses propres clients, tâches et dossiers de l'espace de travail, réponses d'Iro et des agents à partir de ses données.
1.2. Il ne couvre pas les traitements dont Services est responsable (comptes des Utilisateurs, sécurité, paiement, facturation de ses propres services, déclarations fiscales, mesure d'audience), décrits dans la Politique de confidentialité.
1.3. Il prévaut sur toute stipulation contraire des CGU et CGV relative aux données personnelles.
Article 2 — Description des traitements
Voir l'annexe 1 (nature, finalités, catégories de données et de personnes, durée).
Article 3 — Obligations du Sous-traitant
Le Sous-traitant :
- ne traite les données que sur instruction documentée du Client — les présentes, les paramètres et actions réalisés par le Client dans la Plateforme — y compris pour les transferts hors UE, sauf obligation légale dont il informe le Client au préalable ;
- informe immédiatement le Client s'il estime qu'une instruction enfreint la réglementation ;
- garantit la confidentialité des données et veille à ce que les personnes autorisées à les traiter s'engagent à la confidentialité ;
- met en œuvre les mesures de sécurité de l'annexe 2 (article 32 du RGPD) ;
- n'utilise pas les données du Client pour ses propres finalités, ni pour entraîner des modèles d'IA ; ;
- tient un registre des traitements réalisés pour le compte du Client.
Article 4 — Personnes concernées et droits
Le Sous-traitant aide le Client, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes d'exercice des droits (accès, rectification, effacement, limitation, portabilité, opposition). Il transmet au Client, sous 5 jours ouvrés, toute demande qu'il reçoit directement. Le Client peut aujourd'hui consulter, corriger, exporter (factures) et supprimer les contacts depuis la Plateforme ; les autres extractions sont réalisées par le Sous-traitant sur demande, sous 15 jours.
Article 5 — Violations de données
Le Sous-traitant notifie au Client toute violation de données personnelles dans les 48 heures après en avoir pris connaissance, avec les informations de l'article 33.3 du RGPD disponibles à ce stade (nature, catégories et nombre approximatif de personnes et d'enregistrements, conséquences probables, mesures prises ou envisagées), complétées ensuite. Il assiste le Client pour la notification à la CNIL et, le cas échéant, aux personnes concernées.
Article 6 — Analyse d'impact et coopération
Le Sous-traitant aide le Client à réaliser les analyses d'impact et consultations préalables qui le nécessitent, en lui fournissant les informations dont il dispose sur la Plateforme.
Article 7 — Sous-traitants ultérieurs
7.1. Le Client autorise de manière générale le recours aux sous-traitants ultérieurs listés en annexe 3 (liste des sous-traitants).
7.2. Le Sous-traitant informe le Client de tout ajout ou remplacement 30 jours à l'avance. Le Client peut s'y opposer pour un motif légitime lié à la protection des données ; à défaut d'accord, il peut résilier sans pénalité le service concerné.
7.3. Le Sous-traitant impose à chaque sous-traitant ultérieur des obligations équivalentes et reste responsable de leur exécution.
Article 8 — Transferts hors de l'Union européenne
Les données sont hébergées en France. Certains sous-traitants ultérieurs (paiement, SMS, modèles d'IA) peuvent traiter des données aux États-Unis ; ces transferts reposent sur le cadre de protection des données UE–États-Unis ou sur les clauses contractuelles types de la Commission européenne (décision 2021/914), précisés en annexe 3. Le Client qui le souhaite peut [désactiver les fonctionnalités d'IA pour son Organisation].
Article 9 — Audit
Le Sous-traitant met à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord (questionnaire de sécurité, rapports de test d'intrusion lorsqu'ils existent). Le Client peut réaliser un audit, une fois par an, avec un préavis de 30 jours, par un auditeur tenu au secret et non concurrent, à ses frais, sans perturber l'exploitation.
Article 10 — Fin du contrat
À la fin du contrat, le Sous-traitant permet au Client d'exporter ses données pendant 30 jours, puis les supprime sous 30 jours supplémentaires, y compris les copies, sauf obligation légale de conservation (factures : 10 ans). Les sauvegardes sont effacées à l'expiration de leur cycle de rotation de [durée]. Il atteste la suppression sur demande.
Article 11 — Responsabilité, durée
Le présent accord dure autant que l'utilisation de la Plateforme par le Client. La responsabilité de chaque partie suit les stipulations des CGV, sauf pour les amendes administratives et dommages résultant d'un manquement propre à une partie, qui restent à sa charge.
Annexe 1 — Description des traitements
| Élément | Contenu |
|---|---|
| Nature | Hébergement, stockage, consultation, organisation, envoi d'e-mails et de notifications, génération de textes par IA, suppression |
| Finalités | Fournir au Client la Plateforme : CRM et e-mailing, agenda, devis, contrats, factures, tâches et dossiers, assistance par Iro |
| Personnes concernées | Contacts, prospects et clients du Client ; membres de son Organisation ; destinataires de ses e-mails |
| Catégories de données | Identité, coordonnées professionnelles, fonction, entreprise, historique des échanges, rendez-vous, montants de devis et factures, documents contractuels, notes internes. Aucune donnée sensible (article 9 du RGPD) ne doit être enregistrée ; le Client s'en abstient |
| Durée | Durée du contrat, puis article 10 |
| Lieu | France (Scaleway), et lieux des sous-traitants ultérieurs (annexe 3) |
Annexe 2 — Mesures de sécurité
Les mesures techniques et organisationnelles de sécurité (hébergement, chiffrement, authentification, autorisation, gestion des secrets, paiement, journalisation, sauvegardes, développement, personnel) sont décrites dans l'annexe remise au Client à la signature du présent accord et tenues à jour ; elles sont communiquées sur demande à privacy@services.ceo.
Annexe 3 — Sous-traitants ultérieurs
Voir liste des sous-traitants, dans sa version à la date de signature.