Contrat de sous-traitance (article 28 du RGPD)

Le présent contrat (ci-après le « Contrat ») est conclu en application de l'article 28 du règlement (UE) 2016/679 (ci-après le « RGPD ») entre l'artisan abonné au service Toise, agissant en qualité de responsable de traitement (ci-après le « Responsable de traitement »), et Alexandre QUERE, éditeur du service, agissant en qualité de sous-traitant (ci-après le « Sous-traitant »). Il est annexé aux conditions générales et en fait partie intégrante.

Article 1. Objet et champ d'application

1.1. Le Sous-traitant fournit au Responsable de traitement un service en ligne de gestion de son activité : réception des demandes, établissement et envoi des devis, recueil de leur acceptation, émission des factures, relances et conservation des documents émis. Ce service implique le traitement de données à caractère personnel pour le compte et sur instruction du Responsable de traitement.

1.2. Le Contrat s'applique aux données des clients, prospects et fournisseurs du Responsable de traitement. Les données du Responsable de traitement lui-même, pour lesquelles le Sous-traitant agit en qualité de responsable de traitement, relèvent de la politique de confidentialité.

Article 2. Description du traitement

• Nature : collecte, enregistrement, structuration, conservation, consultation, utilisation, communication par transmission, archivage.
• Finalité : établissement et suivi des devis et des factures, et gestion de la relation commerciale correspondante.
• Durée : durée de l'abonnement, prolongée des durées de conservation prévues à l'article 9.
• Personnes concernées : les clients et prospects du Responsable de traitement, ainsi que ses fournisseurs pour les factures qu'ils lui adressent, s'il choisit de les recevoir dans le service.
• Catégories de données : identité et coordonnées (nom, téléphone, courriel, adresse) ; le cas échéant, qualité professionnelle (raison sociale, SIRET, numéro de TVA) ; contenu des messages, transcriptions vocales et pièces jointes ; photographies de chantier ou de véhicule ; lignes de devis, montants, remises et documents émis ; preuve de l'acceptation (nom saisi, horodatage, adresse IP, navigateur) ; rendez-vous ; si le Responsable de traitement relie sa plateforme agréée, état de chaque facture électronique et liste des factures reçues de ses fournisseurs (fournisseur, numéro, dates, montants).

Le service ne demande aucune donnée relevant des articles 9 et 10 du RGPD. Le Responsable de traitement s'interdit d'en saisir dans les champs libres.

Article 3. Instructions du Responsable de traitement

3.1. Le Sous-traitant ne traite les données que sur instruction documentée du Responsable de traitement. Constituent ces instructions le Contrat, les conditions générales et les actions du Responsable de traitement dans l'interface du service.

3.2. Le Sous-traitant informe immédiatement le Responsable de traitement s'il estime qu'une instruction constitue une violation du RGPD.

3.3. Le Sous-traitant n'utilise les données à aucune fin qui lui soit propre. Il ne les exploite notamment ni à des fins de prospection, ni à des fins de revente, ni pour entraîner un modèle d'intelligence artificielle.

3.4. Le service conserve les photographies analysées et les propositions qui en résultent, afin de pouvoir justifier une proposition contestée. Ces enregistrements ne sont utilisés qu'à cette fin.

Article 4. Confidentialité

Les personnes autorisées à traiter les données sont soumises à une obligation contractuelle ou légale de confidentialité. À la date du Contrat, le Sous-traitant n'emploie aucun salarié et son dirigeant est seul à accéder aux données.

Article 5. Sécurité

Les mesures de sécurité mises en œuvre sont décrites à l'annexe 2. Le Sous-traitant s'engage à les maintenir et à ne les modifier qu'à niveau de protection équivalent ou supérieur.

Article 6. Sous-traitants ultérieurs

6.1. Le Responsable de traitement donne une autorisation générale écrite au recours aux sous-traitants ultérieurs énumérés à l'annexe 1.

6.2. Le Sous-traitant informe le Responsable de traitement de tout ajout ou remplacement d'un sous-traitant ultérieur au moins trente jours à l'avance, par courriel et dans l'interface du service. Le Responsable de traitement peut s'y opposer pendant ce délai. À défaut d'accord, il peut résilier l'abonnement sans frais ni préavis.

6.3. Chaque sous-traitant ultérieur est tenu d'obligations au moins équivalentes à celles du Contrat. Le Sous-traitant demeure pleinement responsable de leur exécution à l'égard du Responsable de traitement.

Article 7. Transferts hors de l'Union européenne

7.1. Cinq sous-traitants ultérieurs donnent lieu à un transfert de données hors de l'Union européenne : Anthropic PBC, Fly.io, Inc., Google LLC, Apple Inc. et Supabase Pte. Ltd.

7.2. Anthropic PBC (États-Unis). Tant que les fonctions d'intelligence artificielle sont actives sur le compte du Responsable de traitement, les demandes reçues de ses clients sont analysées automatiquement, dès leur arrivée, afin de proposer un devis pré-composé, et les courriels de ses donneurs d'ordre afin d'inscrire la mission à son agenda. Les photographies qu'il fait analyser, le texte de ses dictées et les grilles tarifaires qu'il importe sont traités de la même manière. Il appartient au Responsable de traitement d'en informer les personnes qui lui écrivent. Anthropic stocke les données aux États-Unis. Le transfert est encadré par les clauses contractuelles types adoptées par la Commission européenne, incorporées au contrat de traitement des données d'Anthropic, qui s'engage à ne pas utiliser ces contenus pour entraîner ses modèles. L'instruction donnée au modèle lui interdit de décrire ce qui est étranger aux travaux.

7.3. Fly.io, Inc. (États-Unis). Les programmes du service s'exécutent sur des machines de Fly.io situées à Paris. Aucune donnée n'y est conservée : les documents, photographies et fichiers sont stockés en Irlande. Le transfert tient à la nationalité de la société qui exploite ces machines. Il est encadré par le Data Privacy Framework entre l'Union européenne et les États-Unis (décision d'adéquation de la Commission européenne du 10 juillet 2023), auquel Fly.io a adhéré par auto-certification, ainsi que par les clauses contractuelles types adoptées par la Commission européenne, incorporées au contrat de traitement des données de Fly.io, signé le 30 septembre 2026.

7.4. Google LLC (États-Unis). Lorsque le Responsable de traitement installe l'application mobile Toise et accepte ses notifications, Google LLC transporte chaque notification jusqu'à son téléphone. Lui sont transmis un identifiant technique de l'appareil, le nom de l'événement et l'identifiant du dossier, à l'exclusion du texte des messages, du nom, du numéro de téléphone du client et de tout montant. Le texte affiché est composé par l'application sur le téléphone. Le transfert est encadré par le Data Privacy Framework, auquel Google LLC déclare adhérer. Le contrat de traitement de Google n'a été ni signé ni lu dans son intégralité. Ce canal est ouvert. Il cesse pour le Responsable de traitement qui désinstalle l'application ou désactive ses notifications.

7.5. Apple Inc. (États-Unis). Lorsque le Responsable de traitement ajoute Toise à l'écran d'accueil de son iPhone et active ses notifications dans « Mon compte », Apple Inc. transporte chaque notification jusqu'à son appareil. Lui sont transmis l'adresse d'abonnement de l'appareil et un message chiffré pour ce seul appareil, qu'Apple ne peut pas lire. Aucun contrat ne lie le Sous-traitant à Apple pour ce service, ouvert à tous les sites sans inscription. Selon sa politique de confidentialité, Apple encadre ses transferts depuis l'Europe par des clauses contractuelles types. Son adhésion au Data Privacy Framework n'a pas été vérifiée.

7.6. À la date du Contrat, ce canal n'est pas ouvert aux artisans. Il ne sert qu'à des essais internes, sur les appareils du Sous-traitant et avec des comptes de démonstration, et aucune donnée d'un artisan ou de ses clients n'est remise à Apple.

7.7. Supabase Pte. Ltd. (Singapour). La base de données et les fichiers sont stockés en Irlande, dans l'Union européenne. La société qui les héberge est établie à Singapour, pays qui ne bénéficie pas d'une décision d'adéquation de la Commission européenne. Le transfert est encadré par les clauses contractuelles types adoptées par la Commission européenne, dans leur module applicable entre sous-traitants, incorporées au contrat de traitement des données de Supabase.

Article 8. Droits des personnes et violations de données

8.1. Le Sous-traitant met à la disposition du Responsable de traitement les fonctions lui permettant de répondre aux demandes d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, notamment la consultation et la modification des fiches clients, le téléchargement des documents et l'export des données.

8.2. Lorsqu'une personne concernée s'adresse directement au Sous-traitant, celui-ci ne répond pas sur le fond et transmet la demande au Responsable de traitement sous cinq jours ouvrés.

8.3. Le Sous-traitant notifie au Responsable de traitement toute violation de données à caractère personnel dans les meilleurs délais, et au plus tard quarante-huit heures après en avoir pris connaissance, avec les éléments prévus à l'article 33.3 du RGPD. Il l'assiste dans le respect des articles 32 à 36 du RGPD, dans la limite des informations dont il dispose.

Article 9. Sort des données en fin de contrat

9.1. Au terme du Contrat, le Responsable de traitement choisit par écrit entre la restitution des données et des documents émis, dans un format structuré et lisible par machine, mis à sa disposition pendant trente jours puis supprimés, et leur suppression immédiate. À défaut de choix dans les trente jours suivant le terme, la restitution s'applique.

9.2. Le Sous-traitant conserve les documents comptables et pièces justificatives soumis à une obligation légale de conservation, notamment pendant dix ans en application de l'article L123-22 du code de commerce. Cette conservation survit à la demande de suppression (article 28.3.g du RGPD).

9.3. L'effacement des données au terme des durées de conservation est réalisé manuellement.

Article 10. Audit

Le Sous-traitant met à la disposition du Responsable de traitement toute information nécessaire pour démontrer le respect de l'article 28 du RGPD. Il permet la réalisation d'un audit une fois par an, sur préavis de trente jours, aux frais du Responsable de traitement et sous réserve de la confidentialité des données des autres clients.

Article 11. Registre des traitements

Chaque partie tient, pour ce qui la concerne, le registre prévu à l'article 30 du RGPD.

Article 12. Durée et droit applicable

Le Contrat prend effet à la souscription de l'abonnement et produit ses effets pendant toute sa durée. Il est soumis au droit français. À défaut d'accord amiable, tout litige est porté devant la juridiction compétente dans les conditions du droit commun.

Annexe 1. Sous-traitants ultérieurs autorisés

Le contrat de traitement des données de Fly.io a été signé le 30 septembre 2026. Il autorise Fly.io à recourir à ses propres sous-traitants, dont il tient la liste à jour sur fly.io/legal/sub-processors. Cette liste comprend deux prestataires d'intelligence artificielle chargés de l'analyse de journaux techniques.

Le prestataire d'envoi de courriels reçoit l'adresse et le nom du client ainsi que le corps du message : intitulé des travaux, numéro et montant du document, lien d'accès. Les devis et factures ne sont pas joints aux messages. Les journaux d'expédition ne conservent que le domaine de l'adresse du destinataire.

N'ont pas la qualité de sous-traitants ultérieurs au titre du Contrat : Stripe, qui traite le seul paiement de l'abonnement de l'artisan, et l'API Adresse de l'État, service public d'autocomplétion interrogé depuis le navigateur de l'artisan.

Annexe 2. Mesures de sécurité (article 32 du RGPD)

Mesures mises en œuvre :

• cloisonnement entre artisans, toute lecture et toute écriture étant filtrées sur l'identifiant de l'artisan ;
• isolation par rôles de base de données, un rôle distinct par service, dont les privilèges sont appliqués par la base de données elle-même ;
• chiffrement des échanges (HTTPS, HSTS) ;
• stockage privé des fichiers, aucun fichier n'étant accessible par une adresse publique ;
• séparation des secrets : l'interface web n'a accès ni à la base de données ni à la clé du prestataire d'intelligence artificielle ;
• authentification par session signée, comparaison des secrets en temps constant, jetons conservés sous forme hachée et liens client de 256 bits ;
• refus par défaut : l'absence d'un secret de configuration entraîne un refus, jamais une ouverture ;
• limitation de débit, pare-feu et blocage automatique ;
• intégrité des documents émis : un devis ou une facture émis est archivé sans jamais être régénéré, sous une numérotation séquentielle verrouillée.

Limites des mesures, portées à la connaissance du Responsable de traitement :

• chaque fonction du service repose sur une seule machine, sans redondance ;
• aucune alerte n'est reliée aux contrôles de santé du service et les journaux ne sont pas conservés, ce qui peut retarder la détection d'une violation et la notification prévue à l'article 8.3 ;
• l'effacement des données au terme des durées de conservation est réalisé manuellement.