Contrat de sous-traitance (article 28 du RGPD)

Ce contrat est annexé aux conditions générales et fait corps avec elles. Il est conclu entre l'artisan abonné, Responsable de traitement, et Alexandre QUERE, éditeur du service, Sous-traitant.

Article préliminaire — Qui est responsable de quoi

Deux jeux de données distincts, qu'il ne faut jamais mélanger :

Données	Rôle de l'Éditeur	Rôle de l'artisan
Données des clients de l'artisan — nom, contact, adresse, messages, photos, devis, factures	Sous-traitant	Responsable de traitement
Données de l'artisan lui-même — compte, abonnement, journaux	Responsable de traitement	Personne concernée

Le présent contrat ne couvre que la première ligne. La seconde relève de la politique de confidentialité.

Article 1 — Objet

Le Sous-traitant fournit au Responsable de traitement un service en ligne de gestion de son activité artisanale : réception des demandes entrantes, composition et envoi de devis, recueil de l'acceptation, émission de factures, relances et archivage des documents émis. L'exécution de ce service implique le traitement de données à caractère personnel pour le compte et sur instruction du Responsable de traitement.

Article 2 — Description du traitement

Nature : collecte, enregistrement, structuration, conservation, consultation, utilisation, communication par transmission, archivage.
Finalité : établissement et suivi de devis et factures, et la relation commerciale qui s'y rattache.
Durée : celle du contrat d'abonnement, prolongée des durées d'archivage de l'article 9.
Personnes concernées : les clients et prospects du Responsable de traitement.
Catégories de données : identité et contact (nom, téléphone, email, adresse) ; qualité professionnelle le cas échéant (raison sociale, SIRET, n° de TVA) ; contenu des messages, transcriptions vocales et pièces jointes ; photographies de chantier ou de véhicule, susceptibles de contenir des données personnelles par identification indirecte ; lignes de devis, montants, remises et PDF émis ; preuve de l'acceptation (nom saisi, horodatage, adresse IP, agent utilisateur) ; rendez-vous.

Aucune donnée de l'article 9 (santé, opinions, biométrie) ni de l'article 10 (condamnations) n'est demandée par le service. Le Responsable de traitement s'interdit d'en saisir dans les champs libres.

Article 3 — Instruction documentée

Le Sous-traitant ne traite les données que sur instruction documentée du Responsable de traitement. Constituent cette instruction : le présent contrat, les conditions générales, et les actions du Responsable de traitement dans l'interface du service.

Le Sous-traitant informe immédiatement le Responsable de traitement s'il estime qu'une instruction constitue une violation du RGPD.

Le Sous-traitant n'utilise les données à aucune fin propre, en particulier il ne les exploite ni à des fins de prospection, ni de revente, ni d'entraînement de modèles d'intelligence artificielle.

Le service conserve les couples photo → proposition produits par l'analyse d'image, à des fins de traçabilité — pouvoir rejouer une proposition contestée — et de constitution d'un jeu de données d'évaluation interne. Ce second usage est une finalité du Sous-traitant : il ne peut donc reposer sur ce contrat seul. Tant qu'il n'est pas encadré séparément, ces enregistrements ne servent qu'à la traçabilité.

Article 4 — Confidentialité

Les personnes autorisées à traiter les données sont soumises à une obligation contractuelle ou légale de confidentialité. À la date de signature, le Sous-traitant n'emploie aucun salarié : le seul accès humain est celui de son dirigeant, tenu à cette obligation.

Article 5 — Sécurité

Les mesures en vigueur sont décrites en annexe 2. Le Sous-traitant s'engage à les maintenir et à ne les faire évoluer qu'à niveau de protection équivalent ou supérieur.

Article 6 — Sous-traitants ultérieurs

Le Responsable de traitement donne une autorisation générale écrite au recours aux sous-traitants ultérieurs listés en annexe 1.

Le Sous-traitant informe le Responsable de traitement de tout ajout ou remplacement au moins 30 jours à l'avance, par email et par affichage dans l'interface. Le Responsable de traitement peut s'y opposer pendant ce délai ; à défaut d'accord, il peut résilier l'abonnement sans frais ni préavis.

Chaque sous-traitant ultérieur est lié par des obligations au moins équivalentes à celles du présent contrat. Le Sous-traitant demeure pleinement responsable de leur exécution devant le Responsable de traitement.

Article 7 — Transferts hors Union européenne

Un transfert hors UE existe et il est nommé ici plutôt que dilué : les photographies et le texte soumis à l'analyse d'image sont transmis à Anthropic PBC (États-Unis), dont l'infrastructure stocke les données aux États-Unis par défaut.

Encadrement : le contrat de traitement des données d'Anthropic, qui comporte les clauses contractuelles types adoptées par la Commission européenne, est automatiquement incorporé aux conditions commerciales acceptées par le Sous-traitant.
Garantie contractuelle d'Anthropic : les contenus clients ne sont pas utilisés pour l'entraînement des modèles.
Minimisation : seules les photographies que l'artisan choisit d'analyser sont transmises, et l'instruction donnée au modèle lui interdit de décrire ce qui est étranger aux travaux.
S'abstenir d'utiliser la fonction d'analyse photo supprime entièrement ce transfert — le reste du service fonctionne sans elle.

Article 8 — Droits des personnes et assistance

Le Sous-traitant met à disposition les fonctions permettant au Responsable de traitement de répondre lui-même aux demandes d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité.

Si une personne concernée s'adresse directement au Sous-traitant, celui-ci ne répond pas sur le fond et transmet la demande au Responsable de traitement sous 5 jours ouvrés.

Le Sous-traitant notifie toute violation de données dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les éléments de l'article 33.3, afin de permettre au Responsable de traitement de tenir son propre délai de 72 heures. Il l'assiste pour les articles 32 à 36 dans la limite des informations dont il dispose.

Article 9 — Sort des données en fin de contrat

Au terme de la prestation, au choix du Responsable de traitement exprimé par écrit :

restitution : export des données et des documents émis dans un format structuré et lisible par machine, mis à disposition pendant 30 jours ; puis suppression ;
suppression directe.

Sans instruction dans les 30 jours suivant le terme, la première option s'applique, puis suppression.

Le Sous-traitant conserve les documents comptables et pièces justificatives que la loi lui impose de garder — 10 ans, article L123-22 du code de commerce — et les pièces couvertes par les délais de prescription. Cette conservation est une obligation légale au sens de l'article 28.3.g in fine : elle survit à la demande de suppression.

État réel du service : aucune purge automatique n'est implémentée à ce jour. L'effacement est une opération manuelle.

Article 10 — Audit

Le Sous-traitant met à disposition toute information nécessaire pour démontrer le respect de l'article 28 et permet un audit une fois par an, sur préavis de 30 jours, aux frais du Responsable de traitement, sous réserve de la confidentialité des données des autres clients.

Article 11 — Registre

Chaque partie tient le registre prévu à l'article 30 pour ce qui la concerne.

Article 12 — Durée, droit applicable

Le contrat prend effet à la souscription de l'abonnement et dure autant que lui. Droit français ; à défaut d'accord amiable, tribunaux compétents dans les conditions du droit commun.

Annexe 1 — Sous-traitants ultérieurs autorisés

Sous-traitant	Rôle	Localisation	Encadrement
Supabase Inc.	Base de données et stockage des fichiers (PDF, photos, logos)	Région Irlande — données au repos dans l'UE	Contrat de traitement du prestataire
Anthropic PBC	Analyse des photos de chantier ; lecture des fichiers de grille tarifaire	États-Unis (stockage par défaut)	Contrat de traitement + clauses contractuelles types
Scaleway SAS	Envoi des emails transactionnels au client de l'artisan : devis, rappels, facture	France — service Transactional Email, région fr-par	Contrat de traitement du prestataire
Hébergement applicatif	Exécution des conteneurs, rendu des PDF — aucune donnée au repos	France	Contrôle direct du Sous-traitant

Ce qui est transmis au prestataire d'envoi : l'adresse email et le nom du client, ainsi que le corps du message (intitulé des travaux, numéro et montant du document, lien d'accès). Le devis et la facture eux-mêmes ne sont jamais transmis : ils ne sont pas joints au message, seul un lien vers la page hébergée par le Sous-traitant y figure. Les journaux d'expédition ne contiennent pas l'adresse du destinataire, seulement son domaine.

Ne sont pas sous-traitants ultérieurs au titre de ce contrat : Stripe (paiement de l'abonnement de l'artisan — il ne traite jamais les données des clients de l'artisan) et l'API Adresse de l'État, service public d'autocomplétion interrogé depuis le navigateur de l'artisan.

Annexe 2 — Mesures de sécurité (article 32)

Ce qui est en place :

Cloisonnement entre artisans : toute lecture et toute écriture filtrent sur l'identifiant de l'artisan.
Isolation par rôles de base de données : six rôles distincts, un par service, dont les privilèges sont appliqués par le système de gestion de base de données et non par le code applicatif.
Chiffrement en transit (HTTPS, HSTS).
Stockage privé des fichiers : aucun fichier n'est accessible par URL publique.
Secrets hors du processus exposé : la façade web n'a ni accès à la base de données ni la clé du fournisseur d'IA.
Authentification : session signée, comparaison des secrets en temps constant, jetons stockés hachés, liens client de 256 bits.
Fermé par défaut : l'absence d'un secret de configuration provoque un refus, jamais une ouverture silencieuse.
Limitation de débit, pare-feu et blocage automatique.
Intégrité des documents émis : un devis ou une facture émis est archivé et jamais régénéré ; numérotation séquentielle sous verrou.
Sauvegarde quotidienne de la base et des fichiers, rétention 14 jours, restauration réellement testée.

Ce qui manque, et que le Responsable de traitement doit connaître : l'hébergement applicatif est un serveur unique au domicile du dirigeant, sur une connexion internet résidentielle, sur un volume sans redondance ; les sauvegardes résident sur le même site que le serveur ; aucun canal d'alerte n'est branché sur les sondes de santé ; aucune purge automatique des données n'est implémentée.