Accord de sous-traitance des données

Version 1.0. En vigueur à compter du À compléter : date de mise en ligne. Dernière mise à jour : 1er octobre 2026.

Le présent accord (le « DPA ») est conclu entre :

• le client ayant souscrit au service ChatStaff (le « Client », responsable de traitement) ;
• Startbiz LLC, société à responsabilité limitée de droit émirien, dont le siège est situé À compléter : adresse, Dubaï, Émirats arabes unis (le « Sous-traitant »).

Il fait partie intégrante des Conditions générales de vente (les « CGV »). Il est accepté en même temps qu'elles et s'applique pendant toute la durée du traitement. Les termes non définis ont le sens que leur donne le règlement (UE) 2016/679 (le « RGPD »).

1. Objet

Le DPA définit les conditions dans lesquelles le Sous-traitant traite, pour le compte du Client, les données à caractère personnel décrites à l'Annexe 1 (les « Données »), dans le cadre de la fourniture du service ChatStaff (le « Service »).

2. Instructions documentées

2.1. Le Sous-traitant ne traite les Données que sur instruction documentée du Client. Constituent ces instructions :

• le Contrat ;
• le présent DPA ;
• la configuration du Service par le Client : boîtes, libellés, propriétés CRM, règles, permissions, durées de conservation ;
• les demandes écrites complémentaires acceptées par le Sous-traitant.

2.2. Le Sous-traitant peut traiter les Données sans instruction si le droit de l'Union ou d'un État membre auquel il est soumis l'y oblige. Il en informe alors le Client avant le traitement, sauf interdiction légale.

2.3. Le Sous-traitant informe le Client s'il estime qu'une instruction constitue une violation du RGPD. Il peut suspendre l'exécution de cette instruction jusqu'à sa confirmation ou sa modification. Cette information ne constitue pas un conseil juridique.

2.4. Toute instruction qui excède les fonctions standard du Service peut être refusée ou faire l'objet d'une facturation préalablement acceptée.

3. Obligations du Client

Le Client garantit :

• disposer d'une base légale pour chaque traitement confié ;
• avoir informé les personnes concernées, notamment ses correspondants ;
• ne connecter que les comptes et données nécessaires ;
• ne pas transmettre de catégories particulières de données sans accord écrit préalable du Sous-traitant.

Il reste seul responsable de l'exactitude et de la licéité des Données et de ses instructions. Il est seul responsable des actions qu'il approuve.

4. Confidentialité

Le Sous-traitant veille à ce que les personnes autorisées à traiter les Données soient tenues à une obligation de confidentialité contractuelle ou légale. Il veille aussi à ce qu'elles n'y accèdent que dans la mesure nécessaire. Les accès du support aux Données d'une organisation sont limités dans le temps, motivés et journalisés.

5. Sécurité

Le Sous-traitant met en œuvre les mesures techniques et organisationnelles décrites à l'Annexe 2, conformément à l'article 32 du RGPD. Il peut les faire évoluer, à condition de ne pas réduire le niveau de protection global.

6. Sous-traitants ultérieurs

6.1. Le Client accorde une autorisation générale au recours aux sous-traitants ultérieurs. Ceux en vigueur à la date du DPA figurent à l'Annexe 3 et sur la page publique Sous-traitants.

6.2. Le Sous-traitant informe le Client de tout ajout ou remplacement envisagé au moins trente (30) jours avant sa prise d'effet, par email au titulaire du compte ou dans le Service. En cas d'urgence liée à la sécurité ou à la continuité du Service, ce délai peut être réduit, avec information motivée.

6.3. Le Client peut s'opposer au changement, par écrit et pour un motif raisonnable lié à la protection des Données, dans ce délai. Les parties cherchent alors une solution de bonne foi. À défaut, le Client peut résilier son abonnement avec effet à la date de prise d'effet du changement. Il est remboursé de la fraction prépayée non exécutée, à l'exclusion de toute autre indemnité. À défaut d'opposition dans le délai, le changement est réputé accepté.

6.4. Le Sous-traitant impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données substantiellement équivalentes à celles du DPA. Il demeure responsable envers le Client de l'exécution de ces obligations, dans les limites de l'article 12.

6.5. Les services tiers que le Client connecte lui-même (notamment Google Workspace, Gmail, Google Calendar et HubSpot) sont les fournisseurs du Client. Ce ne sont pas des sous-traitants ultérieurs du Sous-traitant.

7. Transferts hors de l'Union européenne

7.1. Les Données sont hébergées dans l'Union européenne. Le Client reconnaît que le Sous-traitant, établi aux Émirats arabes unis, et certains sous-traitants ultérieurs peuvent y accéder ou les traiter depuis un pays tiers. Ces transferts sont décrits à l'Annexe 4.

7.2. Pour tout transfert depuis le Client établi dans l'Espace économique européen vers le Sous-traitant, les parties concluent les clauses contractuelles types de la décision d'exécution (UE) 2021/914, module 2 (responsable de traitement vers sous-traitant) (les « CCT »). Elles y sont incorporées par référence et sont acceptées par l'acceptation du DPA, selon les options de l'Annexe 4. Pour un Client établi au Royaume-Uni ou en Suisse, les adaptations prévues à l'Annexe 4 s'appliquent.

7.3. Les transferts vers les sous-traitants ultérieurs sont encadrés par des CCT, module 3 (sous-traitant vers sous-traitant), ou par une décision d'adéquation, y compris le EU‑US Data Privacy Framework lorsque le destinataire y est certifié.

7.4. En cas de contradiction entre les CCT et le DPA ou les CGV, les CCT prévalent.

8. Assistance au Client

8.1. Droits des personnes. Le Sous-traitant aide le Client, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes d'exercice des droits. L'aide passe notamment par les fonctions d'export, de rectification et de suppression du Service. Le Sous-traitant transmet au Client toute demande qui lui est directement adressée, sans y répondre au fond, sauf instruction.

8.2. Autres obligations. Le Sous-traitant fournit au Client les informations raisonnablement nécessaires à ses analyses d'impact et à ses consultations préalables (articles 35 et 36 du RGPD). Il tient compte de la nature du traitement et des informations dont il dispose.

8.3. L'assistance qui excède les fonctions du Service et un effort raisonnable peut être facturée au temps passé, sur devis accepté.

9. Violation de données

9.1. Le Sous-traitant notifie au Client toute violation de données à caractère personnel affectant les Données sans délai injustifié après en avoir pris connaissance et, dans la mesure du possible, dans un délai de quarante-huit (48) heures. La notification est adressée au titulaire du compte et au contact de sécurité désigné.

9.2. La notification contient, dans la mesure où elles sont connues, les informations prévues à l'article 33.3 du RGPD. Elle peut être complétée de façon échelonnée.

9.3. Le Sous-traitant prend les mesures raisonnables pour contenir la violation et en limiter les effets. La notification n'emporte aucune reconnaissance de responsabilité. Il appartient au Client, responsable de traitement, de notifier l'autorité de contrôle et les personnes concernées lorsque la loi l'exige.

10. Audit

10.1. Le Sous-traitant met à la disposition du Client les informations nécessaires pour démontrer le respect de l'article 28 du RGPD : présent DPA, Annexe 2, liste des sous-traitants ultérieurs, réponses à un questionnaire de sécurité raisonnable, et rapports ou attestations éventuels.

10.2. Si ces informations sont insuffisantes, ou si une autorité de contrôle l'exige, le Client peut faire réaliser un audit dans les conditions suivantes :

• au plus une fois par période de douze (12) mois, sauf violation avérée ;
• avec un préavis écrit de trente (30) jours et un périmètre convenu ;
• par un auditeur indépendant qui n'est pas un concurrent du Sous-traitant et qui est tenu à la confidentialité ;
• pendant les heures ouvrées, sans perturber le Service ni compromettre la sécurité ou la confidentialité des données des autres clients ;
• aux frais du Client, y compris le temps raisonnablement consacré par le Sous-traitant.

11. Fin du traitement

À la fin du Contrat, le Client peut exporter les Données pendant trente (30) jours. Passé ce délai, le Sous-traitant supprime les Données, y compris les copies, sauf si le droit de l'Union ou d'un État membre en exige la conservation.

Les sauvegardes sont supprimées selon leur cycle de rotation, au plus À valider : 35 jours après. Les références strictement nécessaires à la résolution d'une action dont le résultat est inconnu sont conservées jusqu'à cette résolution, dans la limite indiquée dans la politique de conservation. Une attestation de suppression est fournie sur demande écrite.

12. Responsabilité

La responsabilité de chaque partie au titre du DPA est soumise aux limitations et exclusions des CGV, dans la mesure permise par la loi. Ces limitations ne s'appliquent pas aux droits que les personnes concernées tiennent de l'article 82 du RGPD ou des CCT.

13. Durée, droit applicable et juridiction

Le DPA s'applique tant que le Sous-traitant traite des Données pour le compte du Client.

Il est soumis au droit et à la juridiction prévus par les CGV, sauf lorsque le RGPD ou les CCT imposent un droit ou une juridiction différents. Dans ce cas, le droit et la juridiction de l'Annexe 4 s'appliquent aux questions concernées.

---

Annexe 1. Description du traitement

Annexe 2. Mesures techniques et organisationnelles

Isolation et autorisation

• Isolation logique des données par organisation, contrôlée à chaque requête côté serveur. Aucun accès sans contexte d'organisation vérifié. Politiques de sécurité au niveau des lignes de la base de données.
• Contrôle d'accès fondé sur les rôles (propriétaire, administrateur, membre, approbateur, contact facturation). Refus par défaut en l'absence de permission.

Approbation et maîtrise des actions

• Approbation humaine de tout envoi externe et de toute écriture dans les services connectés, à l'exception des champs réversibles expressément autorisés par le Client.
• Ré-authentification récente exigée pour approuver une communication externe.
• Actions d'engagement, financières ou irréversibles jamais exécutées par un agent.
• Clé d'idempotence par action externe. Statut « résultat inconnu » sans nouvelle tentative aveugle. Rapprochement avec l'état réel du service tiers.
• Sortie des modèles d'intelligence artificielle traitée comme non fiable : aucune sortie de modèle ne déclenche directement une action externe sans contrôle du code et de la politique.

Chiffrement et secrets

• Chiffrement des communications en transit (TLS).
• Chiffrement applicatif des jetons d'accès OAuth au repos.
• Chiffrement du stockage de la base de données À vérifier : selon l'hébergeur retenu.
• Secrets hors du code source, jamais journalisés.

Minimisation

• Accès limité aux boîtes, libellés et propriétés CRM choisis par le Client. Scopes OAuth minimaux.
• Transmission au fournisseur de modèle des seuls extraits nécessaires, après masquage des secrets.
• Fournisseur de modèle sans entraînement sur les données transmises.
• Journaux structurés sans secret ni contenu brut de données personnelles.
• Mesure d'audience sans données d'identification directe.

Personnel et accès

• Authentification par clé d'accès (passkey) obligatoire pour le back-office et le support.
• Accès du support motivés, limités dans le temps, journalisés et visibles par le Client.
• Engagements de confidentialité.

Traçabilité

• Journal d'audit logiquement immuable des connexions, changements de règles, approbations, actions et accès du support.

Continuité

• Sauvegardes régulières de la base de données avec tests de restauration À compléter : fréquence et rétention.
• Infrastructure reconstructible à partir de code.

Gestion des incidents et du développement

• Procédure de gestion des incidents et des violations de données.
• Supervision des erreurs et alertes.
• Revue de sécurité des changements sensibles.
• Tests d'isolation entre organisations.
• Gouvernance des dépendances.
• Aucune donnée de production dans les tests.

Cycle de vie

• Export à la demande.
• Suppression de l'organisation avec délai d'annulation de 14 jours.
• Révocation des accès OAuth.
• Durées de conservation par catégorie.

Annexe 3. Sous-traitants ultérieurs autorisés

Annexe 4. Transferts hors de l'Union européenne

Transfert 1 : du Client (exportateur) vers Startbiz LLC (importateur, sous-traitant, Émirats arabes unis).

• Mécanisme : CCT 2021/914, module 2.
• Nature : accès à distance pour l'exploitation, la maintenance et le support du Service. Les données restent hébergées dans l'Union européenne.
• Catégories de données et de personnes : Annexe 1. Mesures : Annexe 2.

Options retenues dans les CCT :

• clause 7 (clause d'adhésion) : incluse ;
• clause 9 (sous-traitants ultérieurs) : option 2, autorisation générale, préavis de 30 jours ;
• clause 11 (recours) : option non retenue ;
• clause 13 (autorité de contrôle) : autorité compétente de l'État membre d'établissement de l'exportateur ;
• clause 17 (droit applicable) : droit de l'État membre d'établissement de l'exportateur ou, si ce droit ne reconnaît pas les droits des tiers bénéficiaires, droit irlandais ;
• clause 18 (juridiction) : juridictions de l'État membre d'établissement de l'exportateur.

Pour un exportateur établi au Royaume-Uni, l'addendum international de l'ICO s'applique. Pour un exportateur établi en Suisse, les adaptations requises par le PFPDT s'appliquent.

Transfert 2 : du Sous-traitant vers les sous-traitants ultérieurs établis hors de l'UE (Annexe 3).
Mécanisme : CCT module 3, ou décision d'adéquation (EU‑US Data Privacy Framework) lorsque le destinataire y est certifié. Pour DeepSeek (Chine), pays sans décision d'adéquation : CCT module 3 complétées d'une analyse d'impact du transfert et de mesures supplémentaires (minimisation des extraits, masquage des secrets) À vérifier.

Évaluation et mesures complémentaires.
Le Sous-traitant tient à disposition du Client une évaluation de l'impact des transferts À compléter : référence du document. Mesures complémentaires :

• hébergement des données dans l'UE ;
• chiffrement en transit ;
• chiffrement applicatif des jetons ;
• minimisation des données transmises au modèle ;
• accès du personnel journalisés et limités.

En cas de demande d'accès d'une autorité publique, le Sous-traitant procède comme suit, dans la limite permise par la loi :

• il examine la légalité de la demande ;
• il la conteste si elle est manifestement infondée ;
• il en informe le Client lorsque la loi le permet ;
• il ne communique que le minimum requis.