Accord de sous-traitance des données (RGPD)

Le présent accord est conclu entre l’entreprise qui utilise Chantier Vocal (« le responsable du traitement » ou « l’artisan ») et Mohamed Rahmouni, entrepreneur individuel, SIREN 934806480, dont le siège est situé 35 rue des Iris, 79230 Aiffres, France, éditeur de Chantier Vocal (« le sous-traitant » ou « l’éditeur »). Il est accepté avec les conditions générales d’utilisation et en fait partie. Il met en œuvre l’article 28 du règlement (UE) 2016/679 du 27 avril 2016 (« RGPD »).

1. Objet

Pour les données personnelles de ses clients et des autres personnes en relation avec son entreprise, l’artisan est le responsable du traitement : il décide pourquoi et comment ces données sont utilisées. L’éditeur est son sous-traitant : il les traite uniquement pour faire fonctionner Chantier Vocal pour le compte de l’artisan, sur ses instructions, et jamais pour son propre compte. Le présent accord fixe les obligations de chacun.

2. Description du traitement

• Finalités : préparer les devis (à la main, par dictée vocale ou par la lecture d’un document), les envoyer et les faire signer en ligne ; émettre les factures, les avoirs et les relances ; suivre les paiements ; gérer les clients, les chantiers et les rendez-vous ; avec les modules correspondants, transmettre et recevoir les factures électroniques par une plateforme agréée et suivre les achats ; exporter les données.
• Nature des opérations : hébergement, enregistrement, organisation, structuration (y compris par intelligence artificielle), consultation, transmission (e-mails, SMS, plateforme agréée), conservation, export et effacement.
• Personnes concernées : clients et prospects de l’artisan (particuliers et professionnels, et leurs contacts), signataires (par exemple un conducteur de travaux qui signe pour un donneur d’ordre), fournisseurs dont les factures sont reçues.
• Données : identité et coordonnées (nom, adresse, téléphone, e-mail, SIREN pour un professionnel), adresse du chantier, description des travaux, quantités et montants, devis, factures, avoirs et paiements, échanges avec le client, rendez-vous et notes internes, enregistrement audio et texte des dictées, preuves de signature (nom, e-mail ou mobile, date et heure, adresse IP, navigateur, empreinte du document, cases cochées), suivi de la remise et de l’ouverture des e-mails de devis, factures des fournisseurs.
• Données sensibles : le service n’en a pas besoin. L’artisan s’engage à ne pas y enregistrer de données sensibles au sens de l’article 9 du RGPD, ni de données relatives à des infractions.
• Durée : le temps de l’utilisation de Chantier Vocal par l’artisan, puis selon l’article 10.

3. Instructions de l’artisan

Les instructions documentées de l’artisan sont constituées par les conditions générales d’utilisation, le présent accord, ainsi que les réglages et les actions qu’il fait dans Chantier Vocal (par exemple envoyer un devis, activer un module, supprimer un client). L’éditeur ne traite les données que sur ces instructions, y compris pour un transfert hors de l’Union européenne, sauf si le droit de l’Union ou le droit français l’y oblige ; il en informe alors l’artisan avant le traitement, sauf si la loi l’interdit. L’éditeur informe immédiatement l’artisan s’il estime qu’une instruction constitue une violation du RGPD ou d’une autre règle de protection des données.

4. Confidentialité

Les personnes autorisées à traiter les données chez l’éditeur sont tenues à la confidentialité et n’y accèdent que dans la mesure nécessaire à leur mission (support, sécurité, maintenance). Un accès du support à l’espace de l’artisan se fait en lecture seule, avec un motif montré à l’artisan, et il est inscrit au journal.

5. Sécurité

L’éditeur met en œuvre les mesures techniques et organisationnelles prévues par l’article 32 du RGPD, notamment : hébergement en France ; échanges chiffrés (HTTPS) ; connexion par code à usage unique, limité dans le temps et en nombre d’essais ; double authentification pour l’équipe de l’éditeur ; séparation stricte des données de chaque entreprise ; secrets chiffrés ; devis envoyés, factures et preuves de signature protégés contre toute modification ; journal des connexions et des actions de l’équipe de l’éditeur ; sauvegardes chiffrées chaque nuit, avec copie hors du serveur ; suppression de l’enregistrement audio d’une dictée dès sa transcription.

6. Sous-traitants ultérieurs

L’artisan autorise de manière générale l’éditeur à faire appel aux sous-traitants ultérieurs suivants :

• OVH SAS (France) : hébergement du serveur et des sauvegardes, centre de données de Gravelines ;
• Brevo (France) : envoi des e-mails et, lorsqu’ils sont proposés, des SMS ;
• Mistral AI (France, traitements dans l’Union européenne) : transcription des dictées et préparation des brouillons par intelligence artificielle, avec les formules qui les comprennent ;
• Google (Firebase Cloud Messaging), relayé par le service de notifications d’Apple pour l’iPhone : notifications envoyées au téléphone de l’artisan, qui peuvent citer le nom d’un client ;
• Cloudflare : protection anti-robot de la page du devis avant l’envoi du code de signature, lorsqu’elle est activée ;
• Super PDP (société SUPER G, France), plateforme agréée : seulement si l’artisan active le module de facture électronique ;
• Anthropic (États-Unis), prévu comme fournisseur d’intelligence artificielle de secours : il ne reçoit jamais le nom, l’adresse ni le téléphone des clients, retirés du texte avant l’envoi, et n’est mis en service qu’après l’information prévue ci-dessous.

L’éditeur informe l’artisan, par e-mail et au moins 30 jours à l’avance, de tout ajout ou remplacement d’un sous-traitant ultérieur. L’artisan peut s’y opposer pendant ce délai pour un motif légitime tenant à la protection des données ; si aucune solution n’est trouvée, il peut résilier son abonnement sans frais avant l’entrée en service du nouveau sous-traitant. L’éditeur impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes à celles du présent accord, et reste pleinement responsable envers l’artisan de leur respect.

7. Transferts hors de l’Union européenne

Les données sont hébergées en France. Un sous-traitant ultérieur établi hors de l’Union européenne (Google, Cloudflare, et Anthropic s’il est mis en service) ne reçoit des données que dans le cadre de garanties appropriées au sens du chapitre V du RGPD : décision d’adéquation de la Commission européenne (cadre de protection des données UE–États-Unis) ou clauses contractuelles types de la Commission européenne.

8. Droits des personnes

Chantier Vocal permet à l’artisan de répondre lui-même aux demandes de ses clients : consulter, corriger et exporter leurs données, et supprimer ce qui n’est pas figé (un devis envoyé, une facture et un avoir sont conservés comme preuve ou en application de la loi). Si une personne s’adresse directement à l’éditeur, celui-ci transmet sa demande à l’artisan dans les meilleurs délais, sans y répondre lui-même sauf instruction de l’artisan, et l’aide à y répondre lorsque les outils de l’application n’y suffisent pas.

9. Violation de données et assistance

L’éditeur notifie à l’artisan toute violation de données personnelles qui concerne ses données sans retard injustifié après en avoir pris connaissance, par e-mail, avec les informations prévues à l’article 33 du RGPD dont il dispose (nature de la violation, catégories et nombre approximatif de personnes et de données concernées, conséquences probables, mesures prises ou proposées, personne à contacter). Il aide l’artisan, compte tenu des informations à sa disposition, à respecter ses obligations de sécurité, de notification à la CNIL et d’information des personnes, d’analyse d’impact et de consultation préalable (articles 32 à 36 du RGPD).

10. Fin du traitement

Pendant toute l’utilisation du service, puis jusqu’à la suppression du compte, l’artisan peut récupérer toutes ses données dans Réglages › Mes données. Lorsque le patron supprime le compte, l’export lui est envoyé par e-mail et la suppression peut être annulée pendant 30 jours. Au terme de ce délai, l’éditeur supprime ou rend anonymes toutes les données, à l’exception des factures et des avoirs émis, que l’artisan doit conserver 10 ans (article L123-22 du Code de commerce) : l’éditeur les garde pour lui, figés, pendant 10 ans à compter de leur émission, et lui en remet une copie sur demande. Les sauvegardes, chiffrées, sont conservées pour une durée limitée puis effacées par rotation.

11. Documentation et audit

L’éditeur tient un registre des traitements qu’il effectue pour le compte des artisans. Il met à la disposition de l’artisan, sur demande écrite, les informations nécessaires pour démontrer le respect du présent accord. L’artisan peut faire réaliser un audit, au plus une fois par an et après un préavis de 30 jours, par lui-même ou par un auditeur indépendant tenu au secret, qui ne soit pas un concurrent de l’éditeur, à ses frais et sans accès aux données des autres entreprises. Un audit supplémentaire est possible après une violation de données qui concerne l’artisan ou à la demande d’une autorité de contrôle.

12. Obligations de l’artisan

L’artisan s’assure que le traitement des données de ses clients repose sur une base légale (en général l’exécution du contrat de travaux ou les mesures précontractuelles, et ses obligations légales de facturation et de conservation), il informe ses clients de ce traitement et de leurs droits, il ne saisit que des données utiles à la relation commerciale et il donne à l’éditeur des instructions conformes au RGPD.

13. Durée et priorité

Le présent accord s’applique tant que l’éditeur traite des données pour le compte de l’artisan. En cas de contradiction avec les conditions générales d’utilisation sur la protection des données personnelles, le présent accord prévaut.

14. Contact

Pour toute question sur le présent accord ou sur les données de vos clients : contact@ramira.fr.