Accord de sous-traitance des données personnelles (article 28 du RGPD)
Version : 2026-10-30 (BROUILLON)
Brouillon à faire valider. Il fait partie du contrat d'abonnement et s'applique aux données que l'Abonné traite dans Devisoria au sujet de ses propres clients et contacts.
1. Parties et rôles
- Responsable du traitement : l'Abonné (l'artisan ou l'entreprise abonnée).
- Sous-traitant : l'éditeur de Devisoria, Matis Florian David VACHOT, entrepreneur individuel (EI), 47 rue Vivienne, 75002 Paris, SIREN 109 437 996 — contact : devisoria@devisoria.fr.
Les données de compte, de facturation et de sécurité des Abonnés relèvent de la responsabilité propre de l'éditeur (politique de confidentialité) et ne sont pas couvertes par cet accord.
2. Objet, durée, nature et finalités
| Élément | Description |
| Objet | Fourniture du logiciel Devisoria : préparation et suivi de devis, relances validées, espace client, visites, agenda, assistance IA facultative, suivi des factures importées et des règlements |
| Durée | Durée de l'abonnement, puis période de restitution (§ 9) |
| Opérations | Hébergement, enregistrement, consultation, structuration, génération de documents, transmission au fournisseur d'IA si activée, envoi d'emails validés via la boîte Gmail de l'Abonné, sauvegarde, suppression |
| Personnes concernées | Clients et prospects de l'Abonné, leurs interlocuteurs, correspondants des emails synchronisés |
| Données | Identité et coordonnées, adresse du chantier, contenu des devis, échanges (emails, messages de l'espace client), réponses aux questionnaires, photos du chantier, notes vocales et transcriptions, demandes adressées à l'assistant, rendez-vous, versements déclarés, factures importées (émises ou reçues) et leurs règlements. Aucune catégorie particulière de données n'est attendue ; l'Abonné s'abstient d'en saisir |
3. Instructions documentées
Le sous-traitant traite les données uniquement sur instruction de l'Abonné, constituée par le contrat, le paramétrage et les actions effectuées dans le Service (par exemple : connexion Gmail, activation de l'IA, validation d'un envoi). Il informe l'Abonné s'il estime qu'une instruction enfreint la réglementation.
4. Confidentialité
Les personnes autorisées à accéder aux données sont soumises à une obligation de confidentialité. L'accès humain aux contenus n'a lieu que pour l'assistance demandée par l'Abonné, la sécurité ou une obligation légale.
5. Sécurité
Mesures en place à la date de cette version : cloisonnement des données par entreprise vérifié par des tests automatisés ; contrôle des droits côté serveur ; mots de passe hachés ; jetons Google chiffrés au repos ; liens clients secrets, expirables et révocables ; limitation des tentatives ; HTTPS en production ; sauvegardes quotidiennes sur le serveur (protégées par les droits du système, non chiffrées) et procédure de restauration testée sur données fictives. Double authentification obligatoire pour tous les comptes complets en production ; contrôle des destinataires et anti-doublon des envois ; journal des opérations financières. Copie chiffrée des sauvegardes récupérée hors du serveur par un accès en lecture seule, sans fréquence garantie (elle dépend d'un ordinateur de l'éditeur), restauration testée sur une copie réelle dans un environnement isolé (30/10/2026). Mesures restant à mettre en place : À RENSEIGNER. La liste détaillée est tenue à jour par l'éditeur et communiquée sur demande.
6. Sous-traitants ultérieurs
L'Abonné autorise le recours aux sous-traitants ultérieurs suivants :
| Sous-traitant | Prestation | Localisation | Garanties |
| SAS PulseHeberg, 9 bd de Strasbourg, 83000 Toulon | hébergement | France | accord de sous-traitance PulseHeberg À OBTENIR (non trouvé en ligne le 29/10/2026) |
| OpenAI Ireland Ltd (OpenAI) | IA, uniquement si l'Abonné l'active | projet configuré en résidence « mondiale » (traitement notamment aux États-Unis) ; résidence européenne possible sous conditions, non activée | accord de traitement des données d'OpenAI À CONFIRMER ; store: false demandé ; selon sa documentation, les données de l'API ne servent pas à entraîner ses modèles et les journaux de surveillance des abus sont conservés jusqu'à 30 jours |
| Copie de secours chez l'éditeur | copie chiffrée des sauvegardes sur un ordinateur de l'éditeur | France | aucun tiers ; clé de chiffrement conservée séparément |
L'éditeur informe l'Abonné de tout ajout ou remplacement au moins À RENSEIGNER jours à l'avance ; l'Abonné peut s'y opposer pour un motif lié à la protection des données et, à défaut d'accord, résilier sans pénalité. Chaque sous-traitant ultérieur est soumis à des obligations équivalentes.
Google n'est pas un sous-traitant ultérieur de l'éditeur : la boîte Gmail et l'agenda sont des services souscrits directement par l'Abonné auprès de Google.
7. Assistance au responsable
Le sous-traitant aide l'Abonné à répondre aux demandes d'exercice des droits (export, rectification, suppression dans le Service), à assurer la sécurité, à analyser les incidents et, si nécessaire, à réaliser une analyse d'impact, dans la mesure des informations dont il dispose.
8. Violations de données
Le sous-traitant notifie à l'Abonné toute violation de données le concernant dans les meilleurs délais après en avoir eu connaissance (objectif : 48 heures, À VALIDER), avec les informations disponibles (nature, catégories et volume approximatif, conséquences probables, mesures prises), complétées au fur et à mesure.
9. Fin du contrat : restitution et suppression
L'Abonné peut exporter ses données à tout moment. À la fin du contrat, les données restent récupérables pendant À RENSEIGNER jours, puis sont supprimées, à l'exception des copies de sauvegarde, effacées au terme de leur rotation (À RENSEIGNER), et des données que la loi impose de conserver.
10. Audit et information
Le sous-traitant met à disposition les informations nécessaires pour démontrer le respect de ses obligations (description des mesures, liste des sous-traitants ultérieurs). Les audits sur place sont organisés avec un préavis raisonnable, aux frais de l'Abonné, et dans le respect de la confidentialité des autres clients (modalités À VALIDER).
11. Transferts hors de l'Union européenne
Tout transfert vers un pays tiers repose sur un mécanisme prévu par le RGPD (décision d'adéquation ou clauses contractuelles types). Transferts actuellement envisagés : OpenAI (États-Unis) si l'IA est activée ; services de notification des navigateurs (contenu chiffré et générique) si un utilisateur active les notifications push. Mécanismes possibles : décision d'adéquation UE–États-Unis du 10 juillet 2023 (Data Privacy Framework) si le destinataire y adhère, ou clauses contractuelles types de l'accord de traitement ; mécanisme effectivement retenu À CONFIRMER à la signature.
Version : 2026-10-30 (BROUILLON)#be80a69d75