Contrat de sous-traitance des données personnelles

Base de contrat établie selon l’article 28 du règlement général sur la protection des données, à partir du modèle publié par la CNIL. Elle est signée avant tout accès à votre messagerie.

Entre les parties

Le sous-traitant, ci-après « moi » : Aziz Chouchane, entrepreneur individuel, SIREN 929 682 011, 60 rue François 1er, 75008 Paris, ac@aziz-s4v.fr.

1. Objet

Vous me confiez le traitement automatisé des messages reçus par votre service client : lecture, classement, rédaction de réponses, envoi des réponses appartenant aux catégories que vous avez validées par écrit, et exécution des actions que vous avez autorisées par écrit (par exemple un remboursement, l’envoi d’un code de réduction ou l’organisation d’un retour).

2. Durée

Ce contrat s’applique pendant toute la durée de la prestation et prend fin avec elle.

3. Ce qui est traité

Nature des opérations : lecture, classement, génération de réponses, envoi, exécution des actions autorisées, journalisation technique.

Finalité : répondre aux demandes reçues par le service client de votre boutique.

Catégories de données : identité et coordonnées de vos clients, contenu des messages échangés, données de commande et de livraison qui y figurent.

Personnes concernées : vos clients, et toute personne qui écrit à votre service client.

Aucune donnée sensible au sens de l’article 9 du règlement n’est traitée volontairement. Si l’une de vos catégories en contient, vous me le signalez avant l’installation.

4. Mes obligations

Je traite les données uniquement sur vos instructions documentées, pour la finalité ci-dessus, et jamais pour mon propre compte.

Je vous informe si une instruction me paraît contraire à la réglementation.

Je garantis la confidentialité. Je suis seul à accéder aux données : je n’ai ni employé ni prestataire humain.

Je vous aide à respecter vos obligations : réponse aux demandes de vos clients, sécurité, analyse d’impact si elle devient nécessaire.

Je tiens un registre des traitements effectués pour votre compte et je vous le communique sur demande.

5. Conservation

Donnée	Durée
Copie des conversations : contenu des messages, brouillons, expéditeurs, dates, statuts, pièces jointes	Durée de la prestation, puis effacement dès la fin de la prestation (au plus tard sous 48 heures)
Journal technique, sans contenu de message	12 mois
Export de messages fourni pour le diagnostic	30 jours

6. Sous-traitants ultérieurs

Vous autorisez les prestataires suivants :

Prestataire	Rôle	Lieu
Hetzner Online GmbH	Hébergement du système	Allemagne
Anthropic PBC	Modèle de langage utilisé pour rédiger les réponses	États-Unis

Je vous informe par écrit de tout ajout ou remplacement au moins trente jours à l’avance. Vous pouvez vous y opposer ; à défaut d’accord, vous pouvez résilier sans frais.

7. Transfert hors de l’Union européenne

Le recours à Anthropic implique un transfert de données vers les États-Unis. Ce transfert est encadré par les clauses contractuelles types de la Commission européenne, complétées par les engagements contractuels du prestataire. Les conditions applicables à l’usage des données envoyées à son interface de programmation sont celles en vigueur à la date de signature ; je vous en communique la référence sur demande.

8. Sécurité

Accès protégé par mot de passe et double authentification, sur un compte nominatif unique.

Chiffrement des échanges entre les systèmes.

Hébergement de la copie dans l’Union européenne, sur un serveur dédié.

Cloisonnement : les données d’un client ne sont jamais accessibles depuis le compte d’un autre.

Journalisation des connexions et des accès, consultable par vous.

Aucune réponse envoyée ni aucune action exécutée automatiquement en dehors de ce que vous avez autorisé par écrit.

9. Violation de données

Je vous notifie toute violation de données à caractère personnel sans délai, et au plus tard 24 heures après sa découverte, avec les éléments nécessaires à votre propre notification à la CNIL.

10. Droits des personnes

Vos clients exercent leurs droits auprès de vous. Je vous transmets sans délai toute demande que je recevrais, et je vous apporte l’aide technique nécessaire pour y répondre dans les délais légaux.

11. Sort des données à la fin

À la fin de la prestation, et au plus tard sous 48 heures, j’efface l’intégralité des données vous concernant, copie des conversations comprise, et je vous en atteste par écrit. Vos messages d’origine n’ayant jamais quitté votre messagerie, vous n’avez rien à récupérer chez moi. Si vous souhaitez malgré tout un export avant effacement, je vous le fournis.

12. Audit

Vous pouvez demander, une fois par an et par écrit, les informations nécessaires pour vérifier le respect de ce contrat.

Signatures