Accord de sous-traitance de données personnelles (DPA)
Article 28 du Règlement (UE) 2016/679 (RGPD)
Modèle Animam pour le service Veyl — à joindre au contrat de service ou au deal partenaire. Variabiliser les champs
[…]. Relecture juridique recommandée avant première signature (ce modèle est rédigé de bonne foi, Animam n'est pas un cabinet d'avocats).
Parties
- Responsable de traitement :
[Raison sociale du client ou du partenaire],[forme], SIREN[…],[adresse], représenté par[…]— ci-après « le Responsable ». - Sous-traitant : Animam Technologies, entreprise individuelle d'Antoine Pierre Edgar Riesser, SIREN 992 981 290, 111 rue de France, 77300 Fontainebleau, France — ci-après « Animam ».
En mode partenaire (marque blanche), le partenaire est responsable de traitement vis-à-vis de ses clients managés ; Animam est son sous-traitant.
1. Objet, durée, nature et finalité du traitement
Animam opère pour le Responsable le service Veyl : génération et livraison périodique de rapports de veille personnalisés (sources publiques officielles
- orchestration IA), interface de consultation et de pilotage. Voir Annexe 1 pour la description détaillée. Durée : celle du contrat de service. À l'expiration : article 9.
2. Catégories de données et de personnes concernées
| Catégorie | Personnes concernées |
|---|---|
| Coordonnées professionnelles (nom d'affichage, email de livraison) | destinataires des rapports chez le Responsable / ses clients |
| Contexte d'activité (description entreprise, périmètre de veille, intentions) | le Responsable / ses clients (données d'entreprise, potentiellement identifiantes) |
| Relation commerciale partenaire×client (prestations réalisées / en cours) | le Responsable et ses clients |
| Emails de prospects (lead magnet, si activé) | prospects du Responsable |
Aucune donnée sensible (Art. 9) n'est requise ni collectée par le service.
3. Obligations d'Animam
- Instructions documentées : ne traiter que sur instruction du Responsable (le paramétrage du service — configs, destinataires, encarts — vaut instruction). Informer le Responsable si une instruction paraît contraire au RGPD.
- Confidentialité : Animam (personne unique à ce jour) est tenu à la confidentialité ; tout futur intervenant sera soumis à un engagement écrit.
- Sécurité (Art. 32) : mesures décrites en Annexe 3, maintenues à l'état de l'art proportionné au risque.
- Sous-traitants ultérieurs (Art. 28.2 et 28.4) : le Responsable donne son autorisation générale pour les sous-traitants listés en Annexe 2. Tout ajout ou remplacement lui est notifié par écrit au moins 30 jours avant, avec faculté d'objection motivée. Animam impose à chaque sous-traitant ultérieur, par contrat, les mêmes obligations de protection des données que celles du présent accord, et demeure pleinement responsable envers le Responsable de l'exécution de leurs obligations.
- Droits des personnes : assistance raisonnable au Responsable pour les demandes d'accès, rectification, effacement, opposition. Outillage d'effacement natif (Annexe 3, §Effacement).
- Violation de données (Art. 33.2) : notification au Responsable sans délai injustifié et au plus tard 48 h après en avoir pris connaissance, avec les éléments disponibles.
- Analyses d'impact (Art. 28.3.f) : assistance raisonnable au Responsable, compte tenu de la nature du traitement et des informations dont Animam dispose, pour ses analyses d'impact relatives à la protection des données (Art. 35) et ses consultations préalables de l'autorité de contrôle (Art. 36) — la description du traitement (Annexe 1), le registre des sous-traitants (Annexe 2) et les mesures de sécurité (Annexe 3) sont conçus pour alimenter directement une telle analyse.
- Aucune utilisation secondaire : les données ne sont ni vendues, ni utilisées pour l'entraînement de modèles, ni exploitées à d'autres fins que le service (voir Annexe 2 — engagement no-training du fournisseur LLM). Animam n'exploite pas le contexte métier du Responsable au-delà de l'exécution du service.
- Audit : mise à disposition des informations nécessaires à la démonstration de conformité ; le Responsable peut mener (ou faire mener) un audit, au plus une fois par an, à ses frais, avec préavis de 30 jours.
4. Localisation et transferts
Hébergement et stockage : France (OVH). Trois sous-traitants ultérieurs traitent des données aux États-Unis : Anthropic (Clauses Contractuelles Types de la décision 2021/914, modules 2 et 3, incorporées à son DPA), Resend et Cloudflare (EU-US Data Privacy Framework, avec Clauses Contractuelles Types de repli) — détail et périmètre de chacun en Annexe 2. En cas d'invalidation d'une décision d'adéquation, les Clauses Contractuelles Types de la décision 2021/914 constituent le mécanisme de transfert applicable.
5. Registre et coopération
Animam tient un registre des activités de traitement et coopère avec l'autorité de contrôle (CNIL).
6. Responsabilité
Chaque partie répond des dommages causés par sa violation du RGPD dans les conditions de l'Art. 82. La responsabilité contractuelle globale suit le contrat de service principal.
7. Durées de conservation
Politique détaillée dans conservation-securite-effacement.md (annexée) —
appliquée automatiquement chaque semaine (purge outillée). Résumé : rapports
24 mois, retours traités 12 mois, prospects non convertis 36 mois, piste
d'audit 36 mois, configuration pendant la durée du contrat.
8. Piste d'audit
Toute mutation (génération, envoi, validation partenaire, modification de configuration, purge) est journalisée (qui/quoi/quand, sans PII) et consultable par le Responsable sur demande pour son périmètre.
9. Sort des données à la fin du contrat
Au choix du Responsable, dans les 30 jours : restitution (export JSON des
configs et rapports de son périmètre) puis effacement, ou effacement
direct. L'effacement est outillé (purge-veille-client, purge-veille-lead)
et tracé dans la piste d'audit. Les sauvegardes expirent selon leur cycle
propre (Annexe 3).
Annexe 1 — Description du traitement Veyl
- Entrée : configuration par client (contexte d'activité, axes de veille, grille de scoring, destinataires) + relation partenaire×client (mode marque blanche).
- Traitement hebdomadaire : interrogation de sources publiques officielles (BOAMP, DECP, Légifrance, Maximilien, annuaire des entreprises, Aides-Territoires), scoring et rédaction par LLM (le contexte d'activité est transmis au fournisseur LLM comme instruction), assemblage du rapport.
- Sortie : email au(x) destinataire(s), page de consultation privée à accès signé (token HMAC), historique.
- Interface partenaire : édition du contexte, de la relation et du mode de livraison par client managé ; validation avant envoi (mode contrôle interne).
Annexe 2 — Sous-traitants ultérieurs autorisés
Voir registre-sous-traitants.md (version datée, annexée au présent accord).
Annexe 3 — Mesures techniques et organisationnelles
Voir conservation-securite-effacement.md, section « Sécurité » (version
datée, annexée au présent accord).
Fait à Fontainebleau, le [date] — en deux exemplaires.
[Le Responsable] — [nom, qualité, signature]
Animam Technologies — Antoine Riesser · SIREN 992 981 290 · TVA non applicable, art. 293 B du CGI