Contrat de sous-traitance des données personnelles

Article 28 du Règlement général sur la protection des données (RGPD). Ce contrat fait partie des conditions d’utilisation et s’applique dès l’ajout du premier document.

1. Les parties

Le responsable du traitement est le professionnel utilisateur de Quotation (ci-après « l’utilisateur »). Le sous-traitant est l’éditeur de Quotation (voir les mentions légales).

2. Objet et durée

Le sous-traitant traite, pour le compte de l’utilisateur, les données de ses clients afin de les relancer par email au sujet de leurs devis et factures, de recueillir leurs réponses et d’en informer l’utilisateur. Le contrat dure aussi longtemps que l’utilisation du service.

3. Description du traitement

• Personnes concernées : les clients et prospects de l’utilisateur (particuliers et professionnels).
• Données : nom, adresse email, téléphone, informations du devis ou de la facture (numéro, objet, montant, dates, fichier PDF) et réponses du client (choix, message, date de paiement annoncée).
• Opérations : enregistrement, lecture automatique des PDF, conservation, envoi d’emails, mise à disposition d’une page de réponse personnelle, suppression.
• Aucune donnée sensible au sens de l’article 9 du RGPD n’est attendue.

4. Obligations du sous-traitant

• Ne traiter les données que pour la finalité ci-dessus, selon les instructions de l’utilisateur, données au travers de ses actions dans le service (ajout, pause, arrêt, suppression d’un document).
• Garantir la confidentialité des données : seules les personnes autorisées par le sous-traitant y ont accès, et elles sont tenues au secret.
• Assurer la sécurité des données : échanges chiffrés (HTTPS), connexion par lien à usage unique, sessions conservées sous forme d’empreinte, liens clients personnels impossibles à deviner, accès limité au strict nécessaire.
• Respecter les choix des clients : arrêt définitif des relances dès qu’un client le demande, nombre de messages limité, aucun envoi le dimanche ni les jours fériés.
• Aider l’utilisateur à répondre aux demandes d’exercice des droits de ses clients, et lui transmettre sans délai toute demande reçue directement.
• Notifier à l’utilisateur toute violation de données dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, avec les informations utiles à sa propre déclaration à la CNIL.
• Mettre à disposition de l’utilisateur les informations nécessaires pour démontrer le respect du présent contrat.

5. Sous-traitants ultérieurs

L’utilisateur autorise le recours aux prestataires suivants :

• Cloudflare, Inc. : hébergement, base de données (Europe de l’Ouest), stockage des PDF, lecture automatique des PDF (Workers AI).
• Resend : envoi des emails.
• Anthropic : lecture automatique des PDF (Claude), lorsque ce mode est activé.

Ces prestataires sont soumis à des obligations de protection des données équivalentes. Les transferts hors de l’Union européenne sont encadrés par le Data Privacy Framework UE–États-Unis ou par les clauses contractuelles types de la Commission européenne. L’utilisateur est informé par email de tout ajout ou remplacement d’un prestataire au moins 15 jours à l’avance, et peut s’y opposer en mettant fin au contrat.

6. Obligations de l’utilisateur

• Disposer d’une base légale pour relancer ses clients, en pratique l’intérêt légitime lié au suivi de ses devis et factures.
• N’ajouter que des données exactes, concernant ses propres clients.
• Informer ses clients du traitement, par exemple dans ses devis, factures ou conditions générales. Les messages envoyés par Quotation indiquent qu’ils sont envoyés pour son compte et renvoient vers la politique de confidentialité.

7. Fin du contrat

À la fin du contrat, le sous-traitant supprime toutes les données dans un délai de 30 jours. Avant cette date, l’utilisateur peut demander à récupérer la liste de ses documents et leur historique.