Convention de sous-traitance des données personnelles

01 — Parties

Le responsable de traitement (« le Client »)

Le sous-traitant (« PHIRA »)

PHIRA n'a pas désigné de délégué à la protection des données : sa désignation n'est pas obligatoire pour son activité (article 37 du RGPD). Samuel Chirat est l'interlocuteur unique.

02 — Objet, durée et hiérarchie des documents

La présente convention définit les conditions dans lesquelles PHIRA traite, pour le compte du Client, les données personnelles nécessaires à l'exécution du service NEXUS décrit au contrat de prestation. Elle forme l'annexe 1 de ce contrat et s'applique pendant toute sa durée, puis jusqu'à la restitution et la suppression complètes des données (article 13).

Pour tout ce qui touche à la protection des données personnelles, la présente convention prévaut sur le contrat de prestation, sur ses autres annexes et sur les conditions générales de vente.

03 — Description des traitements

Nature et finalités

PHIRA installe et exploite, sur les outils du Client, des automatisations de son cycle commercial. Seuls les modules retenus au contrat (annexe 2) sont mis en service. Selon ces modules, PHIRA :

• Boîte de réception intelligente : relève les e-mails entrants de la boîte confiée, les classe, et prépare un projet de réponse à partir de la base de connaissance du Client. Aucune réponse ne part sans l'accord d'un approbateur désigné par le Client.
• Devis : prépare un devis à partir du catalogue du Client et d'une demande ; le devis n'est émis et envoyé qu'après le clic « Émettre » d'un approbateur.
• Relances de devis : envoie automatiquement, aux jours ouvrés et à la cadence choisie par le Client (à défaut : 2, 5, 10 et 30 jours après l'envoi du devis), des relances aux destinataires de devis déjà envoyés ; elles s'arrêtent quand l'affaire est marquée gagnée ou perdue dans le CRM du Client, ou à la demande du Client ; une réponse du destinataire ne les arrête pas d'elle-même. Chaque relance porte un lien de désinscription, et un destinataire qui s'est opposé n'est plus relancé.
• Pro-forma : préparée à partir de l'affaire du CRM, émise après validation, sauf seuil d'émission automatique fixé par écrit par le Client (annexe 2).
• Factures et avoirs : préparés à partir du CRM et de l'outil de facturation du Client, émis après validation, sauf seuil d'émission automatique fixé par écrit par le Client (annexe 2).
• Relances de factures : envoient automatiquement des rappels, en trois paliers dont le dernier peut prendre la forme d'une mise en demeure au nom du Client (annexe 2), aux clients du Client dont la facture reste impayée dans son outil de facturation, et un récapitulatif au dirigeant.
• Qualification des demandes : reçoit les demandes d'un formulaire du Client, les note, les enregistre dans son CRM et envoie un accusé de réception.
• Rapport hebdomadaire : produit chaque lundi un rapport d'activité à partir de données agrégées, avec une analyse rédigée par l'IA, et l'envoie automatiquement, sans relecture, aux personnes désignées par le Client.
• Assistant : répond aux questions posées dans le canal du Client sur les données de son CRM et propose des actions, exécutées seulement après l'accord d'un approbateur.

Catégories de personnes concernées

Prospects, clients et contacts professionnels du Client ; expéditeurs des e-mails reçus sur la boîte confiée ; utilisateurs du Client qui posent des questions ou valident les actions.

Catégories de données

• Identité et coordonnées professionnelles (nom, prénom, adresse e-mail, téléphone, société, fonction, adresse de facturation, SIREN/SIRET) ;
• Contenu des échanges commerciaux (e-mails reçus et réponses, demandes, notes du CRM, documents de la base de connaissance) ;
• Données commerciales et de facturation (affaires, montants, devis, factures, échéances, retards de paiement) ;
• Coordonnées bancaires du Client lui-même, reproduites sur ses documents ;
• Traces techniques (journal des actions, des envois et des appels aux modèles d'IA).

Le service n'a besoin d'aucune donnée sensible au sens des articles 9 et 10 du RGPD. Le Client s'engage à ne pas en soumettre volontairement. Une donnée de ce type peut toutefois figurer dans un e-mail reçu par le Client ; elle est alors traitée comme le reste du message, avec les protections et les limites décrites à l'article 06.

Opérations

Collecte depuis les outils du Client, enregistrement, classement, transmission à un modèle de langage, rédaction de propositions, génération de documents PDF, envoi d'e-mails, mise à jour du CRM, journalisation, restitution, suppression.

04 — Instructions du Client

PHIRA ne traite les données que sur instruction documentée du Client : le contrat, la présente convention, la configuration validée à la mise en place et les demandes écrites ultérieures. Cela vaut aussi pour tout transfert hors de l'Union européenne, limité à ceux décrits aux articles 07 et 08.

PHIRA ne traite pas les données du Client pour ses propres finalités : il ne les utilise ni pour améliorer ses produits au bénéfice d'autres clients, ni pour entraîner un modèle, ni à des fins de prospection. Les évaluations de qualité de l'assistant servent uniquement au service rendu au Client.

Si PHIRA estime qu'une instruction constitue une violation du RGPD ou d'une autre règle de protection des données, il en informe immédiatement le Client et peut en suspendre l'exécution jusqu'à confirmation ou modification. Si le droit de l'Union ou d'un État membre impose à PHIRA un traitement, il en informe le Client au préalable, sauf si ce droit l'interdit.

Si PHIRA n'est plus en mesure de respecter la présente convention, il en informe le Client sans délai. Le Client peut alors suspendre le traitement concerné et, si la conformité n'est pas rétablie dans un délai d'un mois, résilier le contrat sans pénalité, pour la partie concernée du service ou en totalité.

05 — Confidentialité et continuité

Seul Samuel Chirat accède aujourd'hui aux données. Toute autre personne, y compris un prestataire de secours chargé de la continuité du service, n'y accédera qu'après avoir été inscrite au tableau de l'article 07 selon la procédure qui y est prévue et s'être engagée par écrit à la confidentialité.

En cas de cessation d'activité ou d'incapacité durable de Samuel Chirat, le prestataire de secours ainsi désigné intervient à la seule fin de désactiver les automatisations, de restituer ses données au Client et de les supprimer conformément à l'article 13.

06 — Sécurité (article 32)

PHIRA met en œuvre les mesures suivantes. Elles décrivent l'état réel du service ; PHIRA ne les remplace que par des mesures d'un niveau de sécurité au moins équivalent et en informe le Client.

Accès et chiffrement

• Échanges chiffrés (HTTPS/TLS) entre tous les composants exposés sur Internet ; les échanges internes entre GUARDIAN et le moteur PDF passent par le réseau privé de l'hébergeur ;
• Identifiants confiés par le Client (jetons d'accès, mots de passe d'application, coordonnées bancaires) conservés chiffrés en AES-256-GCM dans un coffre ; chaque consultation par une personne est journalisée ; les automatisations disposent aussi des identifiants nécessaires à leur fonctionnement, dans le gestionnaire chiffré de la plateforme d'automatisation ;
• Jeton d'accès propre à chaque client entre les automatisations et les services de PHIRA, dérivé d'un secret maître accepté sur aucune route donnant accès aux données d'un client ; signature des appels entrants et protection contre le rejeu ;
• Administration protégée par session révocable et journalisée ;
• Séparation des données entre clients par identifiant de client, vérifiée à chaque accès et couverte par des tests automatisés.

Données transmises aux modèles d'IA

• Les appels de génération de texte passent par GUARDIAN, composant de PHIRA qui plafonne les coûts et journalise chaque appel sans en conserver le contenu. Un appel qui demande le masquage n'est jamais envoyé en clair : si GUARDIAN est indisponible, il est refusé ;
• Sur les modules qui reçoivent un texte écrit par un tiers (classement et réponses de la boîte de réception, qualification des demandes, préparation des devis), GUARDIAN masque avant l'envoi : adresses e-mail, numéros de téléphone et adresses postales au format français, dates de naissance signalées comme telles, IBAN, RIB, numéros de carte, numéros de sécurité sociale, de carte d'identité et de passeport, ainsi qu'une liste de mots français se rapportant à la santé, aux opinions politiques, aux convictions religieuses, à l'orientation sexuelle et à l'appartenance syndicale. Ce masquage ne couvre pas les noms de personnes, ni tous les formats étrangers, ni toutes les données sensibles ;
• L'assistant n'applique pas ce masquage : il a besoin des noms et des coordonnées pour répondre sur le CRM ;
• Le rapport hebdomadaire ne transmet que des agrégats chiffrés ;
• La recherche dans la base de connaissance (« embeddings ») envoie directement à Mistral AI, par son point d'accès européen, les documents de la base du Client, la question posée à l'assistant et un extrait de l'e-mail reçu dont les adresses e-mail, numéros de téléphone et IBAN ont été retirés.

Minimisation et validation

• Le corps des e-mails reçus est transmis aux modèles d'IA dans la limite de 4 000 caractères ; il n'est pas enregistré dans les bases de PHIRA, mais figure dans les données d'exécution que la plateforme d'automatisation conserve en cas d'échec ou de test (article 12). Le projet de réponse est conservé avec l'action proposée ;
• Les envois qui engagent le Client (réponses, devis, factures, avoirs, pro-forma, modifications du CRM proposées par l'assistant) attendent l'accord d'un approbateur désigné par le Client ; un clic d'une autre personne est refusé ;
• Les relances de devis et de factures, les accusés de réception et le rapport hebdomadaire partent automatiquement, dans les limites fixées par le Client (article 03 et annexe 2).

Continuité et organisation

• Sauvegarde hebdomadaire des bases et sauvegarde quotidienne des définitions d'automatisations, exécutées sur une machine éphémère de GitHub Actions (États-Unis) : la copie y est produite puis chiffrée en AES-256, et conservée chiffrée 90 jours ; chaque copie est relue à blanc (déchiffrement et sommaire) ; la phrase de chiffrement est conservée dans les secrets chiffrés du compte GitHub de PHIRA ;
• Surveillance automatique des exécutions, avec alerte à PHIRA en cas d'échec ; intervention en jours ouvrés ;
• Procédure écrite de gestion des violations de données ; suppression automatique quotidienne des données arrivées au terme de leur durée de conservation.

07 — Sous-traitants ultérieurs

Le Client donne une autorisation générale au recours aux sous-traitants ultérieurs suivants :

Les outils propres du Client (son CRM, sa messagerie, son outil de facturation, son espace de stockage, son formulaire) ne sont pas des sous-traitants de PHIRA : PHIRA y accède au nom du Client, dans le cadre des contrats que le Client a conclus avec leurs éditeurs.

PHIRA a conclu avec chaque sous-traitant ultérieur un contrat écrit — le plus souvent l'accord de traitement standard du fournisseur — qui lui impose, en substance, les mêmes obligations de protection des données que la présente convention, notamment en matière d'instructions, de confidentialité, de sécurité, d'assistance, de suppression et d'audit. PHIRA communique au Client, sur demande, une copie de ces accords, dont les clauses commerciales peuvent être occultées. Il reste pleinement responsable envers le Client de l'exécution de ces obligations par ses sous-traitants ultérieurs, et l'informe de tout manquement de leur part dont il a connaissance.

PHIRA informe le Client par écrit de tout ajout ou remplacement d'un sous-traitant ultérieur au moins 30 jours à l'avance. Le Client peut s'y opposer par écrit dans ce délai, pour un motif lié à la protection des données. Si aucune solution n'est trouvée, le Client peut résilier le contrat sans pénalité, à la date du changement.

08 — Lieux de traitement et transferts hors de l'Union européenne

PHIRA retient une région d'hébergement dans l'Union européenne lorsque l'offre qu'il a souscrite le permet, et un fournisseur européen pour les modèles d'IA (Mistral AI, point d'accès européen). Certaines offres ne le permettent pas : Slack et GitHub dans les offres utilisées, ainsi que les journaux de Railway, de Vercel et de Resend. Le tableau de l'article 07 indique, pour chacun, où les données sont réellement traitées.

Plusieurs sous-traitants ultérieurs sont établis hors de l'Union européenne, ou y conservent ou y rendent accessibles une partie des données (journaux techniques, métadonnées et contenus d'envoi, exécution des sauvegardes, accès de support). Le tableau de l'article 07 indique pour chacun le fondement du transfert : la décision d'adéquation (UE) 2023/1795 lorsque le destinataire adhère au cadre de protection des données UE–États-Unis à la date de vérification indiquée ; à défaut, les clauses contractuelles types de la Commission (décision (UE) 2021/914), module 3 (sous-traitant vers sous-traitant), intégrées à l'accord de traitement du fournisseur. Pour chaque transfert fondé sur ces clauses, PHIRA a documenté une évaluation du droit et des pratiques du pays destinataire et des mesures complémentaires retenues ; il la communique au Client sur demande, avec une copie des clauses.

Mesures complémentaires : chiffrement des copies de sauvegarde conservées, masquage décrit à l'article 06, minimisation des données transmises. Ces mesures n'empêchent pas un fournisseur américain d'accéder aux données qu'il traite en clair (exécution des sauvegardes, journaux, métadonnées et contenus d'envoi, messages Slack).

Les sociétés établies aux États-Unis et leurs filiales restent soumises au droit américain, notamment à l'article 702 de la loi FISA et au CLOUD Act, y compris lorsque les données sont hébergées en Europe ; des autorités américaines peuvent leur demander l'accès aux données, dans les limites prévues par le décret présidentiel 14086 sur lequel repose la décision d'adéquation. Si cette décision était invalidée, PHIRA en informerait le Client et recourrait aux clauses contractuelles types ou à un autre fournisseur. PHIRA informe le Client de toute demande d'accès d'une autorité publique dont il aurait connaissance, sauf interdiction légale.

09 — Droits des personnes concernées

PHIRA aide le Client, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes d'exercice des droits (accès, rectification, effacement, limitation, portabilité, opposition) : extraction et suppression manuelles des données d'une personne, ajout à la liste d'opposition.

Toute demande reçue directement par PHIRA est transmise au Client dans un délai de 2 jours ouvrés ; PHIRA n'y répond pas lui-même sans instruction du Client.

Les accusés de réception envoyés aux demandes entrantes (ou, à défaut de lien, l'invitation à répondre pour s'opposer) et les relances de devis contiennent un lien de désinscription. Une personne désinscrite ne reçoit plus d'accusé de réception, de message de qualification ni de relance de devis : la liste d'opposition est consultée avant chaque relance, le devis concerné est alors suspendu, et PHIRA, alertée, en informe le Client ; si la liste ne peut pas être lue, la relance n'est pas envoyée ce jour-là. Les rappels de factures, qui portent sur une créance, ne consultent pas cette liste : ils s'arrêtent pour un destinataire dès que le Client le demande.

Les données effacées à la demande du Client ou d'une personne concernée subsistent dans les sauvegardes chiffrées jusqu'à leur expiration, au plus tard 90 jours. Elles ne sont pas restaurées ; en cas de restauration, PHIRA réapplique les effacements intervenus depuis la date de la sauvegarde.

10 — Assistance au Client

PHIRA aide le Client, compte tenu de la nature du traitement et des informations dont il dispose, à respecter ses obligations de sécurité (article 32), de notification et de communication des violations (articles 33 et 34), d'analyse d'impact (article 35) et de consultation préalable de l'autorité de contrôle (article 36). Il lui remet notamment la description des traitements, des flux, des mesures de sécurité et des risques résiduels, ainsi qu'une mention d'information type pour ses propres contacts.

11 — Violations de données

PHIRA notifie au Client toute violation de données personnelles dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, par e-mail au contact désigné à l'article 01, doublé d'un appel ou d'un SMS au numéro qu'il désigne. La notification indique la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, le nom et les coordonnées du point de contact de PHIRA, les conséquences probables et les mesures prises ou proposées pour y remédier et en atténuer les effets. Les informations qui ne sont pas encore connues sont transmises par étapes, dès qu'elles le sont.

Toute violation est notifiée, y compris une indisponibilité, une perte ou une altération temporaires, et quel que soit le nombre de personnes ; il appartient au Client d'apprécier le risque. La notification à la CNIL et, le cas échéant, aux personnes concernées relève du Client ; PHIRA prépare, à sa demande, les éléments de ces notifications et coopère.

12 — Durées de conservation

Les données que PHIRA détient pour le compte du Client sont conservées pour les durées suivantes. Celles qui sont enregistrées dans les bases de PHIRA sont supprimées par une tâche automatique quotidienne :

Les données du Client conservées dans ses propres outils (CRM, messagerie, facturation, stockage) restent régies par ses contrats avec leurs éditeurs.

13 — Fin du contrat

À la fin du contrat, quelle qu'en soit la cause, PHIRA désactive les automatisations et révoque ses accès aux outils du Client. Il restitue au Client, à sa demande et dans un format lisible (JSON), les données qu'il détient pour son compte, dont les listes d'opposition, puis les supprime dans les 30 jours suivant la fin du contrat, sauf obligation légale de conservation. Cette suppression porte sur toutes ces données, y compris celles pour lesquelles l'article 12 fixe une durée plus longue (journal des appels aux modèles d'IA, incidents, preuves des demandes d'exercice de droits), qui sont restituées avec les autres. Les sauvegardes chiffrées qui les contiennent disparaissent au plus tard 90 jours après ; les sauvegardes techniques propres aux hébergeurs suivent leurs durées. PHIRA confirme la suppression par écrit sur demande.

14 — Démonstration de conformité et audits

PHIRA tient, sous forme écrite et électronique, le registre prévu à l'article 30.2 du RGPD pour les activités de traitement effectuées pour le compte du Client, et le communique au Client et à l'autorité de contrôle sur demande. Il met à la disposition du Client toutes les informations nécessaires pour démontrer le respect de la présente convention, et coopère avec la CNIL et toute autorité de contrôle compétente (article 31 du RGPD).

Le Client peut faire réaliser des audits, y compris des inspections, par lui-même ou par un auditeur tenu au secret, une fois par an et en cas d'incident ou de demande d'une autorité de contrôle, moyennant un préavis de 30 jours (sauf urgence liée à une violation). Ils se déroulent sur pièces ou à distance de préférence ; les inspections sur place ont lieu aux heures ouvrées, dans les locaux professionnels désignés par PHIRA, sans accès aux données des autres clients ni aux secrets d'authentification. Leur coût reste à la charge du Client, sauf s'ils révèlent un manquement de PHIRA.

15 — Obligations du Client

• Disposer d'une base légale pour chaque traitement confié à PHIRA et informer les personnes concernées (articles 13 et 14) ; PHIRA lui fournit une mention d'information type ;
• Désigner par écrit les approbateurs et tenir cette liste à jour ; n'inviter dans son canal que les personnes autorisées à interroger l'assistant ;
• Ne pas soumettre volontairement de données sensibles ;
• Documenter par écrit ses instructions et signaler tout changement de la nature des données ;
• Veiller au respect des règles de prospection applicables à ses propres envois.

16 — Intelligence artificielle

Le service utilise des modèles de langage de Mistral AI, appelés par son point d'accès européen. Mistral AI ne réutilise pas ces données pour entraîner ses modèles (option désactivée sur le compte de PHIRA) ; il les conserve 30 jours pour la détection d'abus, sauf activation de la « zéro rétention ».

Aucune décision produisant des effets juridiques ou affectant de manière significative une personne n'est prise de manière entièrement automatisée (article 22 du RGPD) : les notes de qualification sont des aides au tri, et les contenus rédigés par l'IA sont soumis à l'accord d'une personne avant envoi, à une exception près : le rapport hebdomadaire, adressé aux seules personnes désignées par le Client, part sans relecture. Les relances, rappels et accusés de réception automatiques suivent des modèles fixes et ne sont pas rédigés par l'IA.

Au sens du règlement (UE) 2024/1689, les usages décrits ne relèvent, selon l'analyse de PHIRA, d'aucune pratique interdite (article 5) ni d'aucun système à haut risque (annexe III). PHIRA est le fournisseur du système NEXUS, qu'il met à disposition sous son nom en s'appuyant sur des modèles de Mistral AI ; le Client en est le déployeur. Au titre de l'article 50, paragraphe 2, les e-mails envoyés par l'application de PHIRA dont le texte est rédigé par l'IA portent des en-têtes de marquage lisibles par machine, et les documents PDF dont le texte est rédigé par l'IA (devis, rapport hebdomadaire, diagnostic) portent ce marquage dans leurs métadonnées ; le procédé est décrit sur phira.fr/ia. Le Client ne retire ni ne modifie ce marquage. La formation des utilisateurs désignés par PHIRA à l'usage des propositions de l'IA contribue au respect par le Client de son obligation de l'article 4.

17 — Responsabilité et droit applicable

Chaque partie répond des dommages causés par ses propres manquements, dans les conditions de l'article 82 du RGPD ; les limitations de responsabilité du contrat de prestation s'appliquent entre les parties, sans jamais limiter les droits des personnes concernées.

La présente convention est soumise au droit français. Les différends sont réglés selon les modalités du contrat de prestation.