Accord de sous-traitance (DPA)

Les parties

Le sous-traitant, Connect-AI :
MERADJI Ramdane EI, exerçant sous le nom commercial Connect-AI
Siège : Chemin de Garibondy, 06110 Le Cannet
SIRET : 99465456400016

Le responsable de traitement, le Professionnel : le client identifié par les informations qu'il renseigne lors de son inscription au service Sophie (raison sociale ou nom commercial, adresse, SIRET lorsqu'il est communiqué).

Préambule

Le Professionnel a souscrit auprès de Connect-AI un abonnement au service Sophie, assistant vocal fondé sur l'intelligence artificielle qui répond aux appels téléphoniques du Professionnel, qualifie la demande de l'appelant, consulte ses disponibilités, propose et prend rendez-vous, puis lui transmet un récapitulatif.

L'exécution de ce service conduit Connect-AI à traiter, pour le compte du Professionnel et sur ses instructions, des données à caractère personnel relatives aux personnes qui appellent le numéro couvert par Sophie — les clients et prospects du Professionnel.

Le Professionnel, qui détermine les finalités et les moyens de ce traitement à l'égard des personnes qui l'appellent, a la qualité de responsable de traitementau sens de l'article 4.7 du RGPD. Connect-AI, qui traite ces données pour le compte du Professionnel, a la qualité de sous-traitantau sens de l'article 4.8 du RGPD.

1. Objet

Le présent accord régit les opérations de traitement de données à caractère personnel décrites à la section « Description du traitement » ci-dessous, que Connect-AI réalise pour le compte du Professionnel dans le cadre de l'exécution du service Sophie.

2. Durée

Le présent accord entre en vigueur à la date d'acceptation par le Professionnel et demeure applicable pendant toute la durée de l'abonnement au service Sophie. Il continue de produire ses effets, au-delà de la résiliation de l'abonnement, pour la durée nécessaire à l'exécution des opérations de restitution et de suppression prévues à l'article 9, ainsi que pour les obligations de confidentialité qui, par nature, survivent à la fin du contrat.

3. Description du traitement

Objet du traitement. Qualification des appels téléphoniques reçus par le Professionnel, prise de rendez-vous, et notification au Professionnel et à l'appelant, dans le cadre du service Sophie.

Nature des opérations réalisées sur les données. Collecte (réception de l'appel téléphonique), enregistrement audio, transcription automatique, analyse du contenu (motif de l'appel, créneau souhaité, détection d'un rendez-vous pris), consultation de l'agenda du Professionnel lorsqu'il l'a connecté (lecture des seules heures de début et de fin des événements existants, sur une fenêtre glissante de 14 jours), création, modification ou suppression d'un événement d'agenda correspondant au rendez-vous convenu, stockage, envoi de SMS de confirmation au Professionnel et à l'appelant.

Finalité(s) du traitement. Assurer la continuité de l'accueil téléphonique du Professionnel ; qualifier la demande de l'appelant ; consulter les disponibilités du Professionnel et proposer un créneau ; prendre, déplacer ou annuler un rendez-vous à la demande de l'appelant ; transmettre un récapitulatif de l'appel au Professionnel.

Catégories de données à caractère personnel traitées.

• numéro de téléphone de l'appelant ;
• enregistrement audio de l'appel ;
• transcription de l'appel ;
• nom communiqué par l'appelant (le cas échéant) ;
• adresse communiquée par l'appelant, lorsque la nature de la demande le requiert (le cas échéant) ;
• motif de l'appel, créneau souhaité, créneau finalement retenu ;
• s'agissant du Professionnel lui-même (et non de ses appelants) : jeton d'accès à son compte Google Calendar, lorsqu'il choisit de le connecter.

Aucune donnée dite « sensible » au sens de l'article 9 du RGPD (santé, opinions, origine, etc.) n'est collectée intentionnellement. Si un appelant en mentionne spontanément à l'oral, cette information n'est traitée que dans la mesure où elle transite par la transcription de l'appel, dans les mêmes conditions de conservation et de sécurité que le reste de la conversation, et n'est ni isolée ni exploitée pour une finalité distincte.

Catégories de personnes concernées. Les personnes qui appellent le numéro de téléphone du Professionnel couvert par Sophie — clients et prospects du Professionnel. Le présent accord ne couvre pas les données du Professionnel lui-même en tant que client de Connect-AI (nom, email, coordonnées bancaires via Stripe), régies par la politique de confidentialité générale de connect-ai.fr.

Durée du traitement. Pendant toute la durée de l'abonnement du Professionnel au service Sophie, puis selon les durées de conservation et modalités de suppression fixées à l'article 9.

4. Obligations de Connect-AI

Connect-AI s'engage à :

4.1 — Traiter les données uniquement sur instruction documentée du Professionnel. Ces instructions sont constituées par le présent accord, par les Conditions Générales de Vente, et par les paramètres que le Professionnel configure lui-même dans son espace (horaires, zone d'intervention, connexion ou non de son agenda Google, etc.). Si Connect-AI considère qu'une instruction constitue une violation du RGPD, elle en informe immédiatement le Professionnel.

4.2 — Garantir la confidentialité des personnes autorisées à traiter les données. À ce jour, une seule personne dispose d'un accès aux systèmes de production traitant ces données. Toute personne supplémentaire qui viendrait à y accéder serait soumise à une obligation de confidentialité contractuelle ou légale appropriée avant tout accès.

4.3 — Mettre en œuvre les mesures de sécurité prévues à l'article 32 du RGPD. Ces mesures, détaillées ci-dessous, sont adaptées au risque et tiennent compte de l'état de l'art, des coûts de mise en œuvre et de la nature des données traitées.

4.4 — Respecter les conditions de recours à un sous-traitant ultérieur. Connect-AI ne fait appel à un autre sous-traitant qu'avec l'autorisation préalable, écrite, générale ou spécifique, du Professionnel. La liste des sous-traitants ultérieurs déjà autorisés figure ci-dessous. En cas d'autorisation générale, Connect-AI informe le Professionnel de tout changement prévu concernant l'ajout ou le remplacement d'un sous-traitant ultérieur, donnant ainsi au Professionnel la possibilité d'émettre des objections.

4.5 — Assister le Professionnel dans l'exercice des droits des personnes concernées. Par des mesures techniques et organisationnelles appropriées, dans les conditions détaillées à l'article 6.

4.6 — Assister le Professionnel dans le respect de ses obligations au titre des articles 32 à 36 du RGPD (sécurité du traitement, notification des violations de données, analyses d'impact, consultation préalable de l'autorité de contrôle), compte tenu de la nature du traitement et des informations à la disposition de Connect-AI.

4.7 — Selon le choix du Professionnel, supprimer ou restituer toutes les données à caractère personnel au terme de la relation contractuelle, dans les conditions de l'article 9.

4.8 — Mettre à la disposition du Professionnel toutes les informations nécessaires pour démontrer le respect des obligations prévues au présent article, et permettre la réalisation d'audits, dans les conditions de l'article 11.

5. Obligations du Professionnel

Le Professionnel s'engage à :

• fournir à Connect-AI les données strictement nécessaires à l'exécution du service, et à s'assurer, préalablement et pendant toute la durée du traitement, que ces données sont licitement collectées ;
• documenter par écrit toute instruction relative au traitement des données par Connect-AI, en dehors de ce qui résulte du paramétrage normal du service ;
• s'assurer de la licéité du traitement des données au regard des personnes qui l'appellent ;
• répondre aux demandes d'exercice des droits des personnes concernées qui s'adressent directement à lui, avec l'assistance de Connect-AI si nécessaire ;
• informer Connect-AI de toute réclamation ou contrôle de la CNIL portant sur le traitement objet du présent accord.

6. Assistance pour l'exercice des droits des personnes concernées

Dans la mesure du possible, Connect-AI aide le Professionnel, par des mesures techniques et organisationnelles appropriées, à s'acquitter de son obligation de répondre aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition).

Si une personne concernée s'adresse directement à Connect-AI, celle-ci transmet la demande au Professionnel sans délai indu et au plus tard dans les 5 jours ouvrés suivant sa réception, sauf si elle est en mesure d'y répondre elle-même immédiatement. Si le Professionnel sollicite l'assistance de Connect-AI pour répondre à une demande reçue directement, Connect-AI fournit, dans un délai raisonnable compte tenu de l'urgence, les informations ou actions techniques nécessaires.

7. Notification des violations de données

Connect-AI notifie au Professionnel toute violation de données à caractère personnel relevant du présent accord dans les meilleurs délais après en avoir pris connaissance, et au plus tard dans un délai de 48 heures — délai volontairement inférieur au délai légal de 72 heures dont dispose le Professionnel pour notifier, le cas échéant, la CNIL. Cette notification est accompagnée, dans la mesure des informations disponibles, de la nature de la violation, des conséquences probables et des mesures prises ou proposées pour y remédier.

8. Analyse d'impact et consultation préalable

Connect-AI fournit au Professionnel, sur demande, les informations en sa possession nécessaires à la réalisation d'une analyse d'impact relative à la protection des données (article 35 du RGPD) portant sur le traitement objet du présent accord, ainsi qu'à une éventuelle consultation préalable de la CNIL (article 36 du RGPD).

9. Sort des données au terme du contrat

À la résiliation de l'abonnement au service Sophie, quelle qu'en soit la cause, Connect-AI supprime les données à caractère personnel traitées pour le compte du Professionnel selon le calendrier suivant, déjà publié dans la politique de confidentialité :

• Enregistrement audio des appels : 30 jours après l'appel.
• Transcriptions et résumés d'appel : 12 mois après l'appel.
• Coordonnées des clients/prospects du Professionnel : 3 ans après le dernier contact.
• Jeton d'accès Google Calendar du Professionnel : 30 jours après la résiliation, ou sur demande à contact@connect-ai.fr.
• Sauvegardes du serveur : 60 jours glissants.

Sur demande expresse du Professionnel formulée dans les 30 jours suivant la résiliation, Connect-AI procède à la suppression anticipée de ces données, sauf obligation légale de conservation contraire. Le Professionnel peut à tout moment demander la restitution de ses données plutôt que leur suppression, dans un format structuré et couramment utilisé.

10. Sous-traitance ultérieure

Le Professionnel donne, par l'acceptation du présent accord, une autorisation générale à ce recours. Toute modification de cette liste est notifiée au Professionnel préalablement à sa mise en œuvre.

11. Mesures de sécurité techniques et organisationnelles

• Chiffrement en transit : tous les échanges entre les systèmes de Connect-AI et ses sous-traitants s'effectuent en HTTPS (TLS).
• Chiffrement au repos : les données sont stockées dans une base PostgreSQL hébergée par Supabase dans l'Union européenne, chiffrée au repos.
• Authentification des points d'entrée techniques : les webhooks qui déclenchent une lecture ou une écriture de données sont protégés par une authentification par secret partagé ou par vérification de signature cryptographique.
• Limitation du débit : les points d'entrée exposés sans authentification préalable sont soumis à une limitation du nombre de requêtes par adresse IP.
• Accès restreint : l'accès administrateur aux systèmes de production est restreint au gérant de Connect-AI, seule personne habilitée.
• Sauvegardes : la base de données fait l'objet de sauvegardes automatisées biquotidiennes, conservées 60 jours glissants, sur le serveur situé en France.
• Surveillance des incidents : un dispositif de supervision alerte le gérant de Connect-AI en cas d'échec technique récurrent susceptible d'affecter la disponibilité ou l'intégrité du service.
• Minimisation : les données d'agenda du Professionnel ne sont pas dupliquées au-delà du strict nécessaire.

12. Audit et documentation

Connect-AI met à la disposition du Professionnel, sur demande écrite, les informations nécessaires pour démontrer le respect des obligations prévues au présent accord. Le Professionnel peut demander un audit documentaire une fois par an, avec un préavis raisonnable de 30 jours, ou à tout moment en cas d'incident de sécurité avéré affectant ses données. Un audit sur site reste possible sur accord des deux parties quant à ses modalités et à sa prise en charge financière.

13. Responsabilité

Chaque partie répond, dans les conditions de l'article 82 du RGPD, des dommages causés par un manquement à ses propres obligations au titre du RGPD et du présent accord.

14. Droit applicable et juridiction compétente

Le présent accord est soumis au droit français. Tout litige relatif à son interprétation ou à son exécution relève de la compétence exclusive des tribunaux du siège social de Connect-AI, sous réserve des règles d'ordre public applicables.

Questions

Pour toute question sur cet accord, contactez-nous à contact@connect-ai.fr ou au 07 59 70 42 10.