Contrat de sous-traitance des données personnelles

Base de contrat établie selon l’article 28 du règlement général sur la protection des données, à partir du modèle publié par la CNIL. Elle est acceptée avant tout accès à votre messagerie.

Entre les parties

Le sous-traitant : Aziz Chouchane, entrepreneur individuel exerçant sous le nom aziz.s4v, SIREN 929 682 011, 60 rue François 1er, 75008 Paris, ac@aziz-s4v.fr.

1. Objet

Vous confiez au sous-traitant le traitement automatisé des messages reçus par votre service client : lecture, classement, rédaction de réponses, envoi des réponses appartenant aux catégories que vous avez validées par écrit, et exécution des actions que vous avez autorisées par écrit (par exemple un remboursement, l’envoi d’un code de réduction ou l’organisation d’un retour).

2. Durée

Ce contrat s’applique pendant toute la durée de la prestation et prend fin avec elle.

3. Ce qui est traité

Nature des opérations : lecture, classement, génération de réponses, envoi, exécution des actions autorisées, journalisation technique.

Finalité : répondre aux demandes reçues par le service client de votre boutique.

Catégories de données : identité et coordonnées de vos clients, contenu des messages échangés, données de commande et de livraison qui y figurent.

Personnes concernées : vos clients, et toute personne qui écrit à votre service client.

Aucune donnée sensible au sens de l’article 9 du règlement n’est traitée volontairement. Si l’une de vos catégories en contient, vous le signalez au sous-traitant avant l’installation.

4. Obligations du sous-traitant

Le sous-traitant traite les données uniquement sur vos instructions documentées et pour la finalité ci-dessus. La seule autre utilisation est celle que vous autorisez à l’article 6 : en tirer des statistiques et des règles anonymes.

Il vous informe si une instruction lui paraît contraire à la réglementation.

Il garantit la confidentialité. Il est seul à accéder aux données : il n’a ni employé ni prestataire humain.

Il vous aide à respecter vos obligations : réponse aux demandes de vos clients, sécurité, analyse d’impact si elle devient nécessaire.

Il tient un registre des traitements effectués pour votre compte et vous le communique sur demande.

5. Conservation

Donnée	Durée
Copie des conversations : contenu des messages, brouillons (version de l’agent et version corrigée), expéditeurs, dates, statuts, pièces jointes	Durée de la prestation, puis 30 jours après la fin, sans lecture ni usage, pour une éventuelle reprise ; effacement définitif ensuite. Sur votre demande, effacement immédiat (au plus tard sous 48 heures)
Journal technique, sans contenu de message	12 mois
Export de messages fourni pour le diagnostic	30 jours
Statistiques et règles anonymes (aucun texte de message, aucune donnée sur vos clients, rien qui permette de reconnaître votre boutique)	Gardées après la fin de la prestation : elles ne concernent plus personne

6. Statistiques anonymes et amélioration du service

Vos corrections servent d’abord à votre propre agent. Quand vous modifiez une réponse, le sous-traitant garde la version écrite par l’agent et la vôtre, pour que l’agent de votre boutique apprenne votre façon de répondre. Ces exemples et ces règles ne servent qu’à votre boutique, et ils sont effacés à la fin comme tout le reste (article 12).

Vous autorisez aussi le sous-traitant à en tirer des statistiques et des règles anonymes, pour améliorer le service de toutes les boutiques. Par exemple : la part des réponses validées sans correction pour chaque type de demande, ou une règle générale comme « ne jamais annoncer une date de livraison que le suivi du colis ne confirme pas ».

Ces statistiques et ces règles ne contiennent jamais un mail ni un extrait de message, jamais un nom, une adresse e-mail ou postale, un numéro de téléphone, un numéro de commande ou de suivi, et rien qui permette de reconnaître votre boutique ou l’un de vos clients.

Rien de votre boutique n’apparaît jamais dans les réponses d’une autre boutique : l’agent d’une autre boutique ne reçoit ni vos messages, ni vos réponses, ni vos règles, ni vos exemples.

Parce qu’elles ne concernent plus personne, ces statistiques et règles anonymes sont gardées après la fin de la prestation. Tout le reste est effacé, comme prévu à l’article 12.

7. Sous-traitants ultérieurs

Vous autorisez les prestataires suivants :

Prestataire	Rôle	Lieu
Hetzner Online GmbH	Hébergement du système	Allemagne
Anthropic PBC	Modèle de langage utilisé pour rédiger les réponses	États-Unis

Le sous-traitant vous informe par écrit de tout ajout ou remplacement au moins trente jours à l’avance. Vous pouvez vous y opposer ; à défaut d’accord, vous pouvez résilier sans frais.

8. Transfert hors de l’Union européenne

Le recours à Anthropic implique un transfert de données vers les États-Unis. Ce transfert est encadré par les clauses contractuelles types de la Commission européenne, complétées par les engagements contractuels du prestataire. Les conditions applicables à l’usage des données envoyées à son interface de programmation sont celles en vigueur à la date de signature ; le sous-traitant vous en communique la référence sur demande.

9. Sécurité

Accès protégé par mot de passe et double authentification, sur un compte nominatif unique.

Chiffrement des échanges entre les systèmes.

Hébergement de la copie dans l’Union européenne, sur un serveur dédié.

Cloisonnement : les données d’un client ne sont jamais accessibles depuis le compte d’un autre.

Journalisation des connexions et des accès, consultable par vous.

Aucune réponse envoyée ni aucune action exécutée automatiquement en dehors de ce que vous avez autorisé par écrit.

10. Violation de données

Le sous-traitant vous notifie toute violation de données à caractère personnel sans délai, et au plus tard 24 heures après sa découverte, avec les éléments nécessaires à votre propre notification à la CNIL.

11. Droits des personnes

Vos clients exercent leurs droits auprès de vous. Le sous-traitant vous transmet sans délai toute demande qu’il recevrait, et vous apporte l’aide technique nécessaire pour y répondre dans les délais légaux.

12. Sort des données à la fin

À la fin de la prestation, le sous-traitant garde les données vous concernant pendant 30 jours, sans les lire ni les utiliser, pour que vous retrouviez votre agent tel quel si vous reprenez le service. Au bout de ces 30 jours, il efface l’intégralité de ces données : copie des conversations, réponses (version de l’agent et version corrigée), exemples et règles propres à votre boutique, et vous en atteste par écrit. Si vous le demandez, il les efface tout de suite, au plus tard sous 48 heures. Seules restent les statistiques et règles anonymes de l’article 6, qui ne contiennent aucune donnée sur vous ni sur vos clients. Vos messages d’origine n’ayant jamais quitté votre messagerie, vous n’avez rien à récupérer chez le sous-traitant. Si vous souhaitez malgré tout un export avant effacement, il vous le fournit.

13. Audit

Vous pouvez demander, une fois par an et par écrit, les informations nécessaires pour vérifier le respect de ce contrat.

Version du 8 novembre 2026.

Signatures