accord de sous-traitance

Version : septembre 2026

entre le client (« responsable du traitement ») et Rylivo UG (haftungsbeschränkt), Friedrichstr. 155, 10117 Berlin (« sous-traitant »).

§ 1 Objet et durée

(1) Le sous-traitant fournit au responsable du traitement les prestations de prise d’appels téléphoniques assistée par IA décrites dans le contrat d’utilisation. Le présent accord a pour objet le traitement de données à caractère personnel qui en résulte pour le compte du responsable.

(2) La durée du présent accord correspond à celle du contrat d’utilisation. Il prend fin avec celui-ci, au plus tard avec la suppression ou la restitution complète des données conformément au § 8.

§ 2 Nature et finalité du traitement

Le traitement comprend la prise des appels entrants, la transcription en temps réel des conversations, le résumé automatique et l’enregistrement structuré des demandes (notamment les souhaits de rappel et de rendez-vous), ainsi que la notification du responsable du traitement par e-mail et la mise à disposition des données dans le tableau de bord. La finalité est la joignabilité du responsable du traitement et le traitement ordonné de ses appels.

§ 3 Catégories de données et cercle des personnes concernées

Catégories de données :

• Données d’identification des appelants, dans la mesure communiquée pendant l’appel (p. ex. nom, entreprise)
• Numéros d’appel et données de connexion (moment, durée)
• Contenus des conversations sous forme de texte (transcription, résumé, demandes enregistrées telles que numéro de rappel et souhait de rendez-vous)

Cercle des personnes concernées : Appelants du responsable du traitement (notamment clients, prospects, fournisseurs et autres personnes de contact).

§ 4 Obligations du sous-traitant

Le sous-traitant

1. traite les données exclusivement sur instruction documentée du responsable du traitement (art. 28, par. 3, point a), du RGPD) ; le contrat d’utilisation et la configuration de l’assistant par le responsable du traitement valent instructions. S’il estime qu’une instruction est illicite, il en informe sans délai le responsable du traitement ;
2. garantit que les personnes autorisées à traiter les données se sont engagées à la confidentialité (art. 28, par. 3, point b), du RGPD) ;
3. prend toutes les mesures techniques et organisationnelles requises selon l’art. 32 du RGPD (annexe 1) ;
4. assiste le responsable du traitement par des moyens appropriés pour répondre aux demandes des personnes concernées (art. 12 à 23 du RGPD) ainsi que pour les obligations découlant des art. 32 à 36 du RGPD, notamment pour la notification des violations de données à caractère personnel ; il notifie sans délai de telles violations au responsable du traitement ;
5. supprime ou restitue les données conformément au § 8 ;
6. met à la disposition du responsable du traitement toutes les informations nécessaires pour démontrer le respect de l’art. 28 du RGPD (§ 7).

§ 5 Sous-traitants ultérieurs

(1) Le responsable du traitement approuve les sous-traitants ultérieurs énumérés à l’annexe 2. Le sous-traitant a conclu avec chaque sous-traitant ultérieur un contrat lui imposant les mêmes obligations de protection des données que celles fixées dans le présent accord.

(2) Le sous-traitant informe le responsable du traitement sous forme écrite de l’ajout ou du remplacement envisagé de sous-traitants ultérieurs. Le responsable du traitement peut s’opposer à la modification dans un délai de 14 jours pour un motif grave relevant du droit de la protection des données. Si aucune solution amiable n’est possible, les deux parties disposent d’un droit de résiliation extraordinaire.

§ 6 Transferts vers des pays tiers

Un traitement dans des pays tiers n’a lieu que dans les conditions des art. 44 et suivants du RGPD, notamment sur la base des clauses contractuelles types de l’UE (SCC) avec les sous-traitants ultérieurs mentionnés à l’annexe 2, complétées par des mesures de protection supplémentaires (notamment chiffrement du transport, pseudonymisation lorsque possible).

§ 7 Droits de contrôle du responsable du traitement

(1) Le responsable du traitement est en droit de contrôler le respect du présent accord. Le sous-traitant permet et facilite les vérifications — y compris les inspections — effectuées par le responsable du traitement ou par un auditeur mandaté par lui.

(2) Les contrôles ont lieu après un préavis raisonnable pendant les heures ouvrables habituelles. Le sous-traitant peut d’abord apporter la preuve par une documentation, des attestations ou des certifications appropriées.

§ 8 Suppression et restitution

(1) Le sous-traitant supprime à tout moment des enregistrements individuels sur instruction du responsable du traitement.

(2) Après la fin du contrat d’utilisation, le sous-traitant supprime, au choix du responsable du traitement, toutes les données à caractère personnel ou les restitue dans un format courant et supprime les copies existantes, sauf obligations légales de conservation contraires.

§ 9 Dispositions finales

(1) En cas de contradiction entre le présent accord et le contrat d’utilisation, les dispositions du présent accord priment pour les questions de protection des données.

(2) Le droit allemand s’applique. Les modifications et compléments requièrent la forme écrite.

Annexe 1 : Mesures techniques et organisationnelles (MTO)

• Chiffrement : Toutes les transmissions de données sont chiffrées pendant le transport (TLS) ; les données stockées sont hébergées sur des systèmes chiffrés des fournisseurs d’infrastructure.
• Contrôle d’accès : Seuls le client concerné (tableau de bord avec protection d’accès, cookies de session HttpOnly) et les collaborateurs autorisés du sous-traitant selon le principe du besoin d’en connaître ont accès aux données d’appel ; les accès administratifs sont protégés séparément.
• Choix de l’hébergement : Le traitement et le stockage ont lieu dans des centres de données de l’UE, lorsque les prestataires utilisés le permettent.
• Conservation audio avec politique de suppression : Les conversations sont enregistrées en audio après une annonce préalable et transcrites ; l’enregistrement et la transcription sont conservés puis supprimés conformément à la politique de suppression convenue.
• Journalisation : Les événements système et les accès administratifs sont journalisés et évalués régulièrement.
• Séparation : Les données des clients sont séparées logiquement (affectation par client de toutes les données d’appel).
• Capacité de restauration : Sauvegardes régulières de la base de données et procédures de restauration documentées.

Annexe 2 : Sous-traitants ultérieurs approuvés