Accord de sous-traitance des données (DPA)

Dernière mise à jour : 24 octobre 2026

Le présent accord fait partie des conditions générales conclues entre le Client (responsable de traitement) et RAJIBAN ERIC RUCKSON, entrepreneur individuel (ei) (micro-entreprise), SIRET 105 994 719 00018, domicilié 36B rue de Rouen, 93150 Le Blanc-Mesnil, France (le « Sous-traitant »), conformément à l'article 28 du RGPD.

1. Objet et durée

Le Sous-traitant traite, pour le compte du Client, les données personnelles des personnes qui écrivent au Client via ses comptes de messagerie connectés au Service, pendant la durée de l'abonnement.

2. Description du traitement

• Nature et finalité : réception des messages, génération et envoi de réponses automatiques, transmission des conversations à l'équipe du Client, statistiques agrégées.
• Catégories de personnes : clients et prospects du Client qui lui écrivent.
• Catégories de données : identifiants de plateforme, nom de profil, numéro de téléphone (WhatsApp), contenu des messages (texte, photos, vocaux), horodatages. Le Client s'engage à ne pas solliciter de données sensibles ; les questions de santé détectées sont transférées à l'humain sans réponse automatique.
• Durée de conservation : réglable par le Client (12 mois par défaut), puis suppression automatique.

3. Obligations du Sous-traitant

Le Sous-traitant s'engage à :

• ne traiter les données que sur instruction documentée du Client (configuration du Service) ;
• garantir la confidentialité des données par les personnes autorisées à les traiter ;
• mettre en œuvre les mesures de sécurité décrites en annexe ;
• aider le Client à répondre aux demandes d'exercice des droits et à remplir ses obligations (sécurité, analyses d'impact) ;
• notifier au Client toute violation de données dans les 48 heures après en avoir pris connaissance ;
• supprimer ou restituer les données à la fin du contrat, au choix du Client (export disponible dans le Service) ;
• mettre à disposition les informations nécessaires pour démontrer le respect du présent accord et permettre des audits raisonnables, à la charge du Client, avec un préavis de 30 jours.

4. Sous-traitants ultérieurs

Le Client autorise le recours aux sous-traitants ultérieurs suivants :

• OVH SAS : hébergement (Allemagne, à Francfort, dans l'Union européenne) ;
• Anthropic, PBC : rédaction des réponses par intelligence artificielle (États-Unis, clauses contractuelles types). Les données transmises ne sont pas utilisées pour entraîner ses modèles ;
• Meta Platforms Ireland Ltd : réception et envoi des messages (Instagram, Messenger, WhatsApp), plateforme choisie par le Client ;
• OpenAI : transcription des messages vocaux, si elle est activée (États-Unis, clauses contractuelles types) ;
• Brevo (Sendinblue SAS) : envoi des e-mails d'alerte (France).

Le Sous-traitant informe le Client de tout changement au moins 30 jours à l'avance ; le Client peut s'y opposer en résiliant.

5. Transferts hors de l'Union européenne

Les transferts vers les États-Unis sont encadrés par les clauses contractuelles types de la Commission européenne et, le cas échéant, par le cadre de protection des données UE-États-Unis.

Annexe : mesures de sécurité

• Chiffrement des communications (TLS) et des jetons d'accès en base (AES-256-GCM).
• Cloisonnement strict des données entre clients, vérifié par des tests automatisés.
• Authentification sans mot de passe par lien à usage unique et durée limitée.
• Journaux techniques sans contenu de message.
• Sauvegardes quotidiennes, conservées 14 jours, avec une procédure de restauration testée.
• Surveillance continue du service, avec alerte de l'équipe en cas de panne.
• Suppression automatique selon la durée de conservation choisie.