Contrat de sous-traitance

Vous êtes responsable de traitement. Vous décidez quels clients enregistrer, quelles relances envoyer et à quel rythme. Vous garantissez avoir le droit d'écrire aux personnes dont vous saisissez les coordonnées, et vous répondez du contenu de vos messages.

Nous sommes sous-traitant. Nous n'agissons que sur vos instructions et n'utilisons ces données pour aucune finalité qui nous soit propre : ni prospection, ni revente, ni entraînement d'un modèle, ni statistiques nominatives.

• Objet — l'envoi de relances automatiques sur les devis que vous enregistrez, et la mise à disposition d'une page de réponse à vos clients.
• Nature des opérations — collecte, enregistrement, structuration, conservation, consultation, transmission par email et par SMS, effacement.
• Finalité — exclusivement l'exécution du service que vous avez souscrit.
• Durée — celle de votre abonnement, et tant que vous n'avez pas demandé l'effacement prévu à l'article 8.

Personnes concernées : vos clients, particuliers ou professionnels, destinataires de vos devis.

Catégories de données : nom, adresse email, numéro de téléphone, et le contenu des devis que vous déposez — référence, objet, montant, date, ainsi que le document lui-même.

Le service n'est pas conçu pour recevoir de données sensibles au sens de l'article 9 du RGPD, ni de numéro de sécurité sociale, ni de coordonnées bancaires de vos clients. Vous vous engagez à ne pas en saisir.

• N'agir que sur instruction. Vos réglages et vos actions dans le service valent instructions documentées. Si une obligation légale nous contraignait à traiter ces données autrement, nous vous en informerions avant de le faire, sauf interdiction légale.
• Confidentialité. Une seule personne dispose d'un accès d'administration, tenue au secret. Aucun salarié, aucun prestataire humain n'accède à vos données.
• Sécurité — voir l'article 5.
• Vous aider à répondre à vos clients. Le service vous laisse consulter, corriger et supprimer la fiche d'un client depuis votre espace, et exporter l'ensemble de vos données en un fichier, ce qui suffit à honorer seul la plupart des demandes. Pour le reste, écrivez-nous.
• Vous aider sur vos propres obligations. Nous vous fournissons, sur demande, les éléments nécessaires à une analyse d'impact ou à une consultation de l'autorité de contrôle, dans la mesure de ce que nous connaissons.
• Vous signaler toute violation — voir l'article 7.
• Restituer ou effacer, à votre choix — voir l'article 8.
• Vous permettre de vérifier. Nous mettons à votre disposition les informations nécessaires pour démontrer le respect de l'article 28, et nous nous prêtons à un audit annuel, à vos frais, sur préavis raisonnable et sans que ses modalités ne compromettent la sécurité des autres abonnés.

Au titre de l'article 32 du RGPD, sont mis en œuvre :

• le chiffrement de toutes les communications par TLS, et le chiffrement au repos des identifiants d'envoi que vous nous confiez ;
• des mots de passe protégés par argon2id, que nul ne peut lire, y compris nous ;
• un cloisonnement strict : chaque requête est filtrée par le compte de la session, et un document n'est servi qu'après vérification de son appartenance ;
• des liens envoyés à vos clients tirés au sort, sans énumération possible, et à durée de validité limitée ;
• une limitation du débit sur les points d'entrée sensibles, contre les tentatives répétées ;
• un hébergement et une base de données situés dans l'Union européenne, chez OVH SAS.

Lorsque vous nous autorisez à lire votre dossier « Envoyés », cet accès est en lecture seule : rien n'est modifié, déplacé ni marqué comme lu dans votre boîte, et les messages qui ne concernent pas un devis sont écartés sans être ouverts.

Vous autorisez de façon générale le recours aux sous-traitants ci-dessous, et à eux seuls :

• OVH SAS (Roubaix, France) — hébergement, base de données et acheminement des SMS. Union européenne.
• Resend (Irlande) — acheminement des emails lorsqu'ils ne partent pas de votre propre serveur. Union européenne.
• Stripe Payments Europe Ltd (Irlande) — encaissement de votre abonnement. Ne reçoit aucune donnée de vos clients.
• Anthropic PBC (États-Unis) — lecture automatique des devis que vous déposez, encadrée par les clauses contractuelles types de la Commission européenne. C'est le seul transfert hors d'Europe, et vous pouvez vous en dispenser en saisissant vos devis à la main.

Tout ajout ou remplacement vous est annoncé au moins trente jours à l'avance. Vous pouvez vous y opposer en résiliant sans frais avant sa prise d'effet, y compris pendant une période d'engagement.

Nous vous signalons toute violation de données à caractère personnel dans les quarante-huit heures suivant sa découverte, par email à l'adresse de votre compte. Le signalement décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises.

La notification à la CNIL et, le cas échéant, l'information de vos clients vous incombent : ce délai est calculé pour vous laisser tenir le vôtre, de soixante-douze heures.

L'article 28.3.g du RGPD vous laisse le choix entre la restitution et l'effacement. Les deux sont à votre main, sans nous écrire, depuis Profil › Vos données.

Restitution — vous téléchargez à tout moment un fichier contenant l'ensemble de ce que nous détenons sur vous et sur vos clients, dans un format ouvert et réutilisable.

Effacement — la fermeture du compte supprime immédiatement vos données et celles de vos clients, y compris les documents déposés. Rien n'est mis de côté, rien n'est conservé « au cas où » : c'est définitif et nous ne pouvons plus rien restaurer. Pensez à télécharger votre export avant. Les sauvegardes s'effacent ensuite d'elles-mêmes selon le cycle de notre hébergeur, sous trente jours.

Si votre abonnement prend fin sans que vous demandiez l'effacement, le compte est désactivé et vos données conservées pour vous permettre de revenir. Elles restent les vôtres : vous pouvez les exporter ou les supprimer quand vous le décidez.

Ne subsistent après effacement que les pièces que la loi nous impose de garder — les factures de votre abonnement, dix ans au titre du code de commerce — et les traces techniques anonymes, qui ne permettent plus d'identifier personne.

Chacun répond des dommages causés par le non-respect de ses propres obligations, dans les conditions de l'article 82 du RGPD. Le contenu de vos messages, la licéité de vos envois et l'exactitude des coordonnées que vous saisissez relèvent de vous seul.