Accord de sous-traitance des données

1. Objet, durée, nature et finalité

Le Sous-traitant héberge et traite les données pour fournir le Service : enregistrement, consultation, calculs, édition de documents, envoi des emails demandés par le Client, dépôt des factures sur la plateforme agréée, sauvegardes et assistance. L'accord dure autant que l'abonnement, puis jusqu'à la suppression des données prévue à l'article 9.

2. Personnes et données concernées

• Clients, prospects, contacts et fournisseurs : identité, coordonnées, données commerciales et de facturation.
• Salariés et intérimaires : identité, coordonnées, planning, temps passés, prestations, notes vocales enregistrées par les utilisateurs.
• Utilisateurs du Service : identité, email, rôle, journaux de connexion, conversations avec Jarvis.
• Images de caméras : affichées en direct, sans enregistrement par Orkia. Seule l'adresse du flux est stockée.

Le Client s'engage à ne pas enregistrer dans Orkia de données sensibles (santé, opinions, infractions…) qui ne seraient pas nécessaires à sa gestion.

3. Obligations du Sous-traitant

• Traiter les données uniquement sur instruction documentée du Client : les présentes conditions et les actions des utilisateurs dans le Service. Il informe le Client si une instruction lui semble contraire au RGPD.
• Garantir la confidentialité : les personnes autorisées à accéder aux données y sont tenues.
• Ne pas utiliser les données pour son propre compte, ni les vendre, ni s'en servir pour entraîner un modèle d'IA.

4. Sécurité (article 32)

• Base de données séparée pour chaque société cliente, sous-domaine propre, contrôle d'accès par rôle.
• Connexions chiffrées (HTTPS) ; mots de passe stockés sous forme hachée ; secrets chiffrés en AES-256-GCM.
• Sauvegardes régulières, avec vérification du réimport.
• Hébergement chez Contabo GmbH, dans l'Union européenne (Allemagne).
• Mises à jour de sécurité suivies ; accès d'administration réservé aux personnes habilitées.

5. Sous-traitants ultérieurs

Le Client autorise le recours aux sous-traitants ci-dessous. Le Sous-traitant lui annonce tout ajout ou remplacement au moins 30 jours à l'avance, par email ; le Client peut s'y opposer et, à défaut d'accord, résilier sans frais. Chaque sous-traitant ultérieur est tenu par contrat aux mêmes obligations.

• Anthropic, PBC — modèle d'intelligence artificielle de l'assistant Jarvis et lecture des justificatifs de charges (États-Unis).
• Septeo (Ingeneo) — plateforme agréée de facturation électronique : dépôt des factures et e-reporting (France), seulement si le Client active ce service.
• Google Ireland / Google LLC — connexion avec un compte Google, sauvegarde sur Google Drive, synchronisation de l'agenda (Union européenne et États-Unis), seulement si le Client active ce service.
• Easy Beer — import en lecture seule des données d'un compte Easy Beer (brasseries) (France (éditeur) — hébergement à vérifier), seulement si le Client active ce service.
• Services de notification des navigateurs (Google, Apple, Mozilla) — acheminement des notifications push, chiffrées de bout en bout (Union européenne et États-Unis), seulement si le Client active ce service.
• Contabo GmbH — hébergement du serveur et de la base de données (Allemagne). Emails — OVH SAS (OVHcloud) (France).

6. Transferts hors de l'Union européenne

Les transferts vers Anthropic et Google (États-Unis) reposent sur la décision d'adéquation du cadre UE–États-Unis pour les entreprises certifiées, ou sur les clauses contractuelles types de la Commission européenne. Aucun autre transfert n'a lieu sans l'accord écrit du Client.

7. Assistance au Client

• Droits des personnes : le Client y répond avec les fonctions du Service (consultation, modification, suppression, export) ; le Sous-traitant l'assiste sur demande et lui transmet sans délai toute demande reçue directement.
• Analyse d'impact et consultation de la CNIL : le Sous-traitant fournit les informations utiles.

8. Violation de données

Le Sous-traitant notifie au Client toute violation de données personnelles dans un délai de 48 heures après en avoir pris connaissance, avec les informations dont il dispose (nature, données et personnes concernées, mesures prises), pour permettre au Client de notifier la CNIL dans les 72 heures si nécessaire.

9. Sort des données à la fin du contrat

Le Client télécharge ses données à tout moment (Administration › Sauvegarde : tables en JSON et fichiers, archive zip). Après la résiliation, elles restent exportables 30 jours, puis sont supprimées, sauvegardes comprises, sous 60 jours ; le Sous-traitant le confirme par écrit sur demande. Seules sont conservées les données que la loi l'oblige à garder pour son propre compte (facturation de l'abonnement).

10. Documentation et audit

Le Sous-traitant tient à disposition du Client la documentation de ses mesures de sécurité et un registre des traitements effectués pour son compte. Il permet un audit, sur préavis de 30 jours, à la charge du Client, au plus une fois par an sauf violation avérée.