Accord de sous-traitance des données

Parties

Le client : l'entreprise titulaire d'un espace Kolleeg, qui agit en qualité de responsable du traitement pour les données qu'elle confie à son espace.

Le sous-traitant : SolutionWeb OÜ, société à responsabilité limitée de droit estonien (osaühing), immatriculée au registre du commerce estonien (Äriregister) sous le numéro 17609662, dont le siège est Tartu mnt 67/1-13b, 10115 Tallinn, Estonie, numéro de TVA EE103039389, qui exploite le service Kolleeg.

1. Objet

Le présent accord fixe les conditions dans lesquelles le sous-traitant traite, pour le compte du client, les données personnelles que le client confie à son espace ou que le service recueille sur ses instructions. En cas de contradiction sur la protection des données, il prévaut sur les autres documents contractuels.

Ne relèvent pas du présent accord les traitements dont SolutionWeb OÜ est elle-même responsable (gestion du compte du client, sécurité du service, mesure de l'usage, facturation), décrits dans la politique de confidentialité.

2. Description du traitement

La nature, la finalité, les catégories de données et de personnes concernées sont décrites à l'annexe 1. Le service n'est pas conçu pour les catégories particulières de données (article 9 du RGPD) ni pour les données relatives à des condamnations pénales : le client s'engage à ne pas en déposer dans son espace ni à en faire traiter par les agents.

3. Durée

L'accord s'applique tant que le client dispose d'un espace, puis jusqu'à l'effacement complet de ses données dans les conditions de l'article 12.

4. Instructions du client

Le sous-traitant ne traite les données que sur instruction documentée du client. Constituent ces instructions : le présent accord, les conditions d'utilisation et les réglages que le client fixe dans son espace (agents recrutés et leurs missions, niveau d'autonomie de chaque agent, connecteurs autorisés, validations accordées ou refusées, campagnes lancées, réglages et consignes du standard téléphonique).

Un agent IA n'agit que dans le périmètre que le client lui a donné. Les actions sensibles (envoi d'un message à un contact, écriture chez un service tiers) attendent la validation du client, sauf si le client a lui-même réglé l'agent pour agir seul ; chaque action est journalisée, refus compris.

Si le droit de l'Union ou d'un État membre impose au sous-traitant un traitement non prévu par ces instructions, il en informe le client avant le traitement, sauf si ce droit l'interdit. Si le sous-traitant estime qu'une instruction enfreint le RGPD ou une autre règle de protection des données, il en informe le client sans délai.

5. Confidentialité

Le sous-traitant veille à ce que les personnes autorisées à traiter les données s'engagent à la confidentialité ou soient soumises à une obligation légale de confidentialité. L'accès aux serveurs est réservé au personnel autorisé de SolutionWeb OÜ, qui signe un engagement de confidentialité écrit avant son premier accès.

6. Sécurité

Le sous-traitant met en œuvre les mesures techniques et organisationnelles décrites à l'annexe 2, conformément à l'article 32 du RGPD, et les tient à jour. Il peut les faire évoluer à condition de ne pas diminuer le niveau de protection.

7. Sous-traitants ultérieurs

Le client autorise de manière générale le recours aux sous-traitants ultérieurs listés à l'annexe 3. Le sous-traitant l'informe de tout ajout ou remplacement au moins 30 jours à l'avance, par e-mail et sur la présente page. Le client peut s'y opposer pour un motif lié à la protection des données ; à défaut d'accord, il peut résilier le service sans frais avant l'entrée en vigueur du changement, et la part payée et non utilisée lui est remboursée.

Le sous-traitant impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes à celles du présent accord, et demeure responsable envers le client de leur exécution.

Les services que le client connecte lui-même à son espace (Google, Microsoft 365, HubSpot, Fireflies, réseaux sociaux) ne sont pas des sous-traitants ultérieurs du sous-traitant : le client les choisit et contracte directement avec eux, selon leurs propres conditions. Le service n'y accède que sur instruction du client, dans les limites des autorisations qu'il a accordées et qu'il peut révoquer à tout moment.

8. Transferts hors de l'Union européenne

Certains sous-traitants ultérieurs sont établis aux États-Unis (annexe 3). Ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne (décision d'exécution 2021/914) intégrées aux accords de traitement de ces fournisseurs, ou, lorsque le fournisseur y est certifié, par la décision d'adéquation relative au cadre de protection des données entre l'Union européenne et les États-Unis. Le client peut obtenir sur demande une copie des garanties applicables.

9. Droits des personnes concernées

Le client répond aux demandes des personnes concernées. Le sous-traitant l'y aide : le client peut consulter, corriger et supprimer les fiches de son espace ; l'opposition d'un destinataire (lien de désinscription, réponse STOP) est enregistrée et bloque tout nouvel envoi sur le canal concerné ; l'export complet des données de l'espace est fourni sur demande.

Toute demande reçue directement par le sous-traitant, notamment d'un appelant du standard ou d'un destinataire de messages, est transmise au client dans les meilleurs délais, et la personne en est informée.

10. Violations de données

Le sous-traitant notifie au client toute violation de données personnelles dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, pour que le client puisse notifier l'autorité de contrôle dans les 72 heures prévues par l'article 33 du RGPD. La notification indique les informations disponibles : nature de la violation, catégories et nombre approximatif de personnes et d'enregistrements concernés, conséquences probables, mesures prises ou envisagées. Les informations manquantes sont communiquées dès qu'elles sont connues.

11. Assistance au client

Le sous-traitant fournit au client les informations dont il dispose pour réaliser une analyse d'impact relative à la protection des données ou consulter une autorité de contrôle, notamment sur le standard téléphonique et les agents IA.

12. Fin du contrat

À la fin du contrat, le client peut demander l'export de ses données. Elles sont conservées 30 jours, puis l'espace est effacé : contacts, entreprises, conversations, messages, documents, connaissances, missions, tâches, appels, réglages du standard, vidéos, journaux et comptes utilisateurs. Seule subsiste la mesure de consommation des modèles d'IA (volumes et coûts), détachée de toute personne, pour justifier la facturation.

Les données effacées disparaissent des sauvegardes au fil de leur rotation : 7 jours pour les sauvegardes quotidiennes, 8 semaines pour les points hebdomadaires, 12 mois pour les archives mensuelles. Les sauvegardes ne servent qu'à la reprise après incident ; si une reprise fait réapparaître des données effacées, elles sont effacées à nouveau sans délai.

13. Documentation et audits

Le sous-traitant met à la disposition du client les informations nécessaires pour démontrer le respect du présent accord. Le client exerce d'abord ce droit sur pièces : questionnaire de sécurité, description des mesures, liste à jour des sous-traitants ultérieurs. Il peut ensuite faire réaliser un audit, y compris une inspection, par un auditeur indépendant tenu à la confidentialité et qui n'est pas un concurrent de SolutionWeb OÜ, avec un préavis de 30 jours, au plus une fois par an et à ses frais. Après une violation de données qui le concerne, ou à la demande d'une autorité de contrôle, l'audit est possible sans attendre ce délai annuel.

14. Responsabilité, droit applicable et acceptation

La responsabilité de chaque partie suit les conditions d'utilisation, sous réserve des règles impératives du RGPD (article 82). Le présent accord est régi par le droit estonien ; les litiges relèvent des tribunaux compétents de Tallinn, en Estonie, comme pour les conditions d'utilisation et de vente.

L'accord est accepté en ligne avec les conditions d'utilisation, à l'inscription, puis avec les conditions de vente, à la souscription ; le service enregistre la date, l'heure et la version acceptée. Le client qui souhaite une version signée la demande à [email protected].

Annexe 1. Description du traitement

Annexe 2. Mesures de sécurité

• Cloisonnement par espace : chaque lecture et chaque écriture est filtrée par l'espace du client, et un contrôle automatique refuse tout code qui interroge la base sans ce filtre.
• Chiffrement : les clés et jetons d'accès confiés par le client sont chiffrés (AES-256-GCM), les échanges sont chiffrés en transit (TLS), les mots de passe sont hachés (bcrypt).
• Agents IA encadrés : chaque agent ne dispose que des outils de son métier ; les actions sensibles attendent la validation du client selon le niveau d'autonomie choisi ; un appelant du standard ne peut déclencher qu'une liste fermée de gestes ; toute action est journalisée, refus compris.
• Fichiers : les fichiers déposés sont analysés par un antivirus avant enregistrement ; les vidéos sont stockées dans un espace privé, sous une adresse non devinable jamais affichée, et lues par un lien signé valable dix minutes.
• Hébergement : serveur et base de données chez IONOS SE, en Allemagne.
• Sauvegardes : quotidiennes sur le serveur, deux fois par jour hors site et chiffrées ; restauration testée automatiquement chaque mois.
• Minimisation : aucun enregistrement audio des appels n'est conservé par Kolleeg ; le suivi des clics ne garde ni adresse IP ni navigateur ; les traces techniques ne contiennent pas de données des contacts.
• Accès : accès aux serveurs réservé au personnel autorisé de SolutionWeb OÜ, engagé à la confidentialité ; tentatives de connexion répétées bloquées automatiquement ; console d'administration limitée en débit.

Annexe 3. Sous-traitants ultérieurs

Services connectés par le client lui-même, utilisés seulement s'il les active (article 7) : Google (Drive, Agenda, Gmail), Microsoft 365, HubSpot, Fireflies, réseaux sociaux.

Contact : [email protected] · CGU · CGV · Politique de confidentialité