Contrat de sous-traitance

Le présent contrat est conclu entre l’artisan ou l’entreprise souscrivant au service Iksee, ci-après « le responsable de traitement », et Dorian Vuattoux, entrepreneur individuel exploitant le service Iksee, ci-après « le sous-traitant ».

Il constitue l’annexe visée à l’article 10 des conditions générales de service et forme avec elles un tout indivisible. Il est conclu pour la durée de l’abonnement.

Il a pour objet de définir les conditions dans lesquelles le sous-traitant traite, pour le compte du responsable de traitement, les données à caractère personnel des personnes qui appellent celui-ci.

Le responsable de traitement détermine les finalités et les moyens du traitement des données de ses propres clients et prospects. Il lui appartient notamment de disposer d’une base légale, d’informer les personnes concernées et de répondre à l’exercice de leurs droits.

Le sous-traitant traite ces données uniquement sur instruction documentée du responsable de traitement. Les présentes constituent cette instruction ; toute instruction complémentaire doit être écrite.

Le sous-traitant informe immédiatement le responsable de traitement s’il estime qu’une instruction constitue une violation du RGPD ou d’une autre disposition relative à la protection des données.

Pour les données du compte client et de la facturation, le sous-traitant agit en revanche pour son propre compte, en qualité de responsable de traitement. Ce traitement-là ne relève pas du présent contrat.

Nature et finalité : réception d’appels téléphoniques entrants, conduite de la conversation par un agent conversationnel automatisé, enregistrement et transcription de l’appel, extraction d’une fiche de qualification, transmission de cette fiche au responsable de traitement par SMS, et mise à disposition d’un historique dans son espace en ligne.

Catégories de personnes concernées : les personnes physiques qui appellent le responsable de traitement, qu’il s’agisse de clients, de prospects ou de tiers.

Catégories de données : numéro de téléphone de l’appelant, nom communiqué, adresse d’intervention communiquée, nature de la demande, enregistrement audio de l’appel, transcription écrite, résumé, horodatage et durée.

Le service n’a pas pour objet de collecter des données sensibles au sens de l’article 9 du RGPD. Un appelant peut néanmoins en énoncer spontanément, par exemple une donnée de santé pour justifier une urgence. Elles sont alors traitées comme le reste du contenu de l’appel et effacées à l’échéance de conservation.

Durée : les données sont conservées pendant la durée fixée par le responsable de traitement dans son espace client, entre 7 et 365 jours, et de 90 jours à défaut de choix. À l’échéance, une purge automatique quotidienne efface le numéro, le nom, l’adresse, la transcription et le résumé ; la fiche subsiste sans donnée personnelle.

Conformément à l’article 28.3 du RGPD, le sous-traitant s’engage à :

Le responsable de traitement autorise le sous-traitant à recourir aux sous-traitants ultérieurs listés en annexe. Cette autorisation est générale et spécifique à cette liste.

Le sous-traitant informe le responsable de traitement de tout ajout ou remplacement au moins trente jours avant sa mise en œuvre. Le responsable de traitement peut s’y opposer par écrit dans ce délai ; à défaut de solution alternative, il peut résilier le contrat sans frais.

Le sous-traitant impose à chaque sous-traitant ultérieur des obligations de protection équivalentes aux présentes et demeure pleinement responsable de leur exécution devant le responsable de traitement.

Le sous-traitant met en œuvre les mesures suivantes : chiffrement des communications en transit, cloisonnement des données par organisation au niveau de la base de données de sorte qu’un client ne puisse accéder qu’aux siennes, authentification des accès à l’espace client, journalisation des consultations effectuées par l’administration, hébergement de la base et des enregistrements au sein de l’Union européenne, et purge automatique à l’échéance de conservation.

Ces mesures sont réévaluées en fonction de l’état de l’art, des coûts et des risques présentés par le traitement.

La base de données et les enregistrements sont hébergés au sein de l’Union européenne.

En revanche, plusieurs sous-traitants ultérieurs listés en annexe sont établis aux États-Unis : le traitement de l’appel lui-même et l’envoi des SMS impliquent donc un transfert hors de l’Union européenne. Ces transferts sont encadrés par les garanties appropriées prévues au chapitre V du RGPD, notamment les clauses contractuelles types de la Commission européenne et, lorsque le fournisseur y est certifié, le cadre de protection des données UE–États-Unis.

Le responsable de traitement reconnaît être informé de ces transferts et les autorise en signant le présent contrat.

Le sous-traitant notifie au responsable de traitement toute violation de données à caractère personnel dans les meilleurs délais et au plus tard soixante-douze heures après en avoir pris connaissance, par écrit à l’adresse de contact renseignée au compte.

La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables et les mesures prises ou envisagées.

Il appartient au responsable de traitement, le cas échéant, de notifier la violation à l’autorité de contrôle et d’en informer les personnes concernées.

Les demandes d’accès, de rectification, d’effacement, de limitation, d’opposition ou de portabilité reçues directement par le sous-traitant sont transmises sans délai au responsable de traitement, qui y répond.

Le sous-traitant apporte son concours technique à cette réponse, notamment en fournissant l’extraction ou la suppression des enregistrements et transcriptions concernés, dans un délai lui permettant de respecter le délai d’un mois prévu par le RGPD.

À la fin du contrat, quelle qu’en soit la cause, le responsable de traitement dispose de trente jours pour demander la restitution de l’ensemble des données traitées pour son compte, dans un format lisible.

Passé ce délai, ou sur demande expresse antérieure, le sous-traitant efface l’ensemble de ces données ainsi que les copies existantes, sauf obligation légale de conservation.

Le sous-traitant tient un registre des catégories d’activités de traitement effectuées pour le compte des responsables de traitement, conformément à l’article 30.2 du RGPD, et le met à disposition sur demande.