Accord de sous-traitance (article 28 RGPD)

Parties et acceptation

Le présent accord (le « DPA ») est conclu entre l'entreprise cliente qui souscrit au Service ou signe un contrat avec AUDIOLIZ (ci-après « le Client ») et :

AUDIOLIZ, société par actions simplifiée (SAS), 19 rue du Pont Colbert, 78000 Versailles, France, immatriculée au RCS de Versailles sous le n° 940 631 799, n° de TVA intracommunautaire FR24 940 631 799, représentée par M. David Klajman, Président (ci-après « Audioliz »).

Le Client accepte le présent DPA lors de la souscription au Service, en même temps que les conditions générales dont il constitue l'annexe. Aucune signature manuscrite n'est nécessaire : l'acceptation des conditions générales vaut conclusion du présent accord au sens de l'article 28 du RGPD.

1. Objet et champ d'application

1.1 Le présent accord (le « DPA ») fixe les conditions dans lesquelles Audioliz traite des données à caractère personnel pour le compte du Client dans le cadre de la fourniture du service ScanBiz (le « Service »), en application du contrat de service conclu entre les Parties ou des conditions générales ScanBiz acceptées par le Client (le « Contrat »).

1.2 Le DPA fait partie intégrante du Contrat. En cas de contradiction, le DPA prévaut pour tout ce qui concerne la protection des données à caractère personnel.

1.3 Les termes « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « personne concernée » et « violation de données » ont le sens que leur donne le RGPD. Lorsque le Client est établi au Royaume-Uni ou en Suisse, les références au RGPD s'entendent également du UK GDPR et du Data Protection Act 2018, ou de la loi fédérale suisse sur la protection des données (LPD), selon le cas.

2. Rôles des Parties

2.1 Le Client est responsable du traitement des données à caractère personnel qu'il confie au Service (contenu des conversations de ses collaborateurs et de ses interlocuteurs, données de compte). Il détermine seul les finalités et les moyens du traitement, et garantit disposer d'une base légale, avoir informé les personnes concernées, et respecter les règles applicables à l'enregistrement des conversations.

2.2 Audioliz est sous-traitant : elle traite ces données uniquement pour fournir le Service, selon les instructions documentées du Client.

2.3 Par défaut, le présent DPA est conclu directement entre le Client, responsable du traitement, et Audioliz, sous-traitant. Par exception, lorsque le Client agit lui-même en qualité de sous-traitant pour le compte de ses propres clients — ce qui suppose qu'il traite effectivement des données pour leur compte en vertu d'un contrat conforme à l'article 28 du RGPD conclu avec eux —, Audioliz agit en qualité de sous-traitant ultérieur. Le Client garantit alors que le responsable du traitement a autorisé le recours à Audioliz, que les instructions transmises sont celles du responsable, et que les engagements du présent DPA sont au moins équivalents à ceux qu'il a lui-même souscrits.

2.4 Un distributeur qui se borne à commercialiser le Service, à le facturer et à assurer un support de premier niveau, sans traiter de données à caractère personnel pour le compte de ses clients finaux, n'est pas un sous-traitant au sens de l'article 2.3 : le présent DPA est alors conclu directement entre le client final, responsable du traitement, et Audioliz.

3. Instructions du Client

3.1 Les instructions documentées du Client sont constituées par le Contrat, le présent DPA, la configuration du Service choisie par le Client (sources connectées, langues, durées de conservation, utilisateurs) et toute instruction écrite ultérieure compatible avec le Service.

3.2 Audioliz ne traite les données que sur ces instructions, y compris en ce qui concerne les transferts vers un pays tiers, sauf obligation du droit de l'Union ou du droit français ; dans ce cas, Audioliz informe le Client avant le traitement, sauf si la loi l'interdit.

3.3 Audioliz informe immédiatement le Client si, selon elle, une instruction constitue une violation du RGPD ou d'une autre disposition relative à la protection des données.

3.4 Audioliz n'utilise pas les données du Client pour entraîner des modèles d'intelligence artificielle à usage général, ni à des fins propres autres que la fourniture et la sécurité du Service pour le Client. L'amélioration du Service ne peut reposer que sur des données agrégées ne permettant d'identifier aucune personne concernée.

4. Confidentialité

Audioliz veille à ce que les personnes autorisées à traiter les données s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité, et n'aient accès qu'aux données nécessaires à leurs fonctions.

5. Sécurité du traitement

Audioliz met en œuvre les mesures techniques et organisationnelles décrites à l'Annexe 3, appropriées au risque, conformément à l'article 32 du RGPD, et les tient à jour. Audioliz peut les faire évoluer, sans en réduire le niveau global de protection.

6. Sous-traitants ultérieurs

6.1 Le Client autorise de manière générale Audioliz à recourir aux sous-traitants ultérieurs listés à l'Annexe 2 pour les fonctions qui y sont indiquées.

6.2 Audioliz informe le Client, par e-mail à l'adresse de son administrateur ou par notification dans le Service, de tout projet d'ajout ou de remplacement de sous-traitant ultérieur, au moins trente (30) jours avant sa prise d'effet. Le Client peut s'y opposer par écrit, pour des motifs légitimes liés à la protection des données, dans ce délai. À défaut d'accord sur une solution, le Client peut résilier le Contrat pour la partie du Service concernée, sans frais ni indemnité, avant la prise d'effet du changement.

6.3 Audioliz impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données au moins équivalentes à celles du présent DPA, et demeure pleinement responsable envers le Client de l'exécution de ses obligations par ses sous-traitants ultérieurs.

7. Droits des personnes concernées

Compte tenu de la nature du traitement, Audioliz aide le Client, par des mesures techniques et organisationnelles appropriées (fonctions d'export, de recherche et de suppression dans le Service, assistance du support), à répondre aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition). Audioliz transmet au Client, sans délai injustifié, toute demande qu'elle recevrait directement et n'y répond pas elle-même, sauf instruction du Client.

8. Violations de données à caractère personnel

8.1 Audioliz notifie au Client toute violation de données à caractère personnel affectant les données du Client sans retard injustifié et au plus tard quarante-huit (48) heures après en avoir pris connaissance, à l'adresse e-mail de l'administrateur du Client.

8.2 La notification décrit, dans la mesure des informations disponibles, la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, les mesures prises ou proposées, et le point de contact. Les informations peuvent être communiquées de manière échelonnée.

8.3 Audioliz coopère avec le Client et lui fournit l'assistance raisonnable nécessaire à ses propres notifications à l'autorité de contrôle et aux personnes concernées (articles 33 et 34 du RGPD).

9. Analyse d’impact et consultation préalable

Audioliz fournit au Client, compte tenu de la nature du traitement et des informations dont elle dispose, l'assistance raisonnable nécessaire à la réalisation d'une analyse d'impact relative à la protection des données et, le cas échéant, à la consultation préalable de l'autorité de contrôle (articles 35 et 36 du RGPD). Une documentation standard du Service est fournie à cet effet ; une assistance spécifique peut donner lieu à facturation au tarif en vigueur, après devis accepté.

10. Localisation des données et transferts internationaux

10.1 Les données sont hébergées dans l'Union européenne (application et base de données chez Heroku, région « eu » ; fichiers chez Amazon Web Services, Paris). La transcription (ElevenLabs), l'analyse (OpenAI) et la supervision technique (Sentry, Papertrail, SendGrid) sont réalisées aux États-Unis, le temps du traitement (Annexe 2).

10.2 Heroku, Amazon Web Services, Recall.ai, Stripe et Redis sont utilisés dans leurs régions de l'Union européenne. Les transferts vers les États-Unis décrits à l'article 10.1 reposent sur le Data Privacy Framework UE–États-Unis lorsque le prestataire y est certifié (Annexe 2). À défaut, tout transfert vers un pays tiers ne bénéficiant pas d'une décision d'adéquation est encadré par les clauses contractuelles types de la Commission européenne (décision d'exécution (UE) 2021/914).

10.3 Si le Data Privacy Framework cesse de s'appliquer à un sous-traitant ultérieur — retrait ou non-renouvellement de sa certification, ou invalidation du cadre lui-même —, les clauses contractuelles types mentionnées à l'article 10.2 s'appliquent de plein droit à ce transfert en vertu du présent article, sans autre formalité.

10.4 Client établi au Royaume-Uni : les clauses contractuelles types sont complétées par l'UK International Data Transfer Addendum de l'ICO. Client établi en Suisse : les références à l'autorité de contrôle et à la juridiction compétente s'entendent du Préposé fédéral à la protection des données et à la transparence et des tribunaux suisses.

11. Audits et documentation

11.1 Audioliz met à la disposition du Client toutes les informations nécessaires pour démontrer le respect de ses obligations : description des mesures de sécurité, rapports ou certifications de ses hébergeurs, réponses à un questionnaire de sécurité raisonnable, au plus une fois par an.

11.2 Si ces éléments ne suffisent pas, le Client ou un auditeur indépendant mandaté par lui, tenu à la confidentialité, peut réaliser un audit sur site ou à distance, au plus une fois par période de douze (12) mois, moyennant un préavis écrit de trente (30) jours, pendant les heures ouvrées, sans perturber le Service ni accéder aux données des autres clients d'Audioliz, et à ses frais. Les constats sont communiqués à Audioliz, qui dispose d'un délai raisonnable pour remédier aux écarts constatés.

11.3 La limitation de fréquence prévue à l'article 11.2 ne s'applique pas lorsque l'audit est exigé par une autorité de contrôle compétente ou fait suite à une violation de données à caractère personnel affectant les données du Client.

12. Fin du traitement : restitution et suppression

12.1 À la fin du Contrat, le Client choisit entre la restitution et la suppression de ses données. Il peut les exporter lui-même depuis le Service ou demander à Audioliz une restitution dans un format structuré et couramment utilisé, pendant trente (30) jours.

12.2 À l'issue de ce délai, ou sur demande écrite du Client, Audioliz supprime les données du Client et leurs copies dans un délai de trente (30) jours, sauf obligation légale de conservation, et le confirme par écrit sur demande. La protection continue de la base de données permet une restauration à un instant donné sur les sept (7) derniers jours (Annexe 3) ; aucune sauvegarde n'est conservée au-delà de cette fenêtre, de sorte que les données supprimées disparaissent de l'ensemble des copies dans le délai de trente (30) jours mentionné ci-dessus.

13. Responsabilité

La responsabilité de chaque Partie au titre du présent DPA est soumise aux limitations et exclusions prévues par le Contrat, sauf lorsqu'elles sont contraires à une disposition impérative de la loi. Chaque Partie est responsable des amendes administratives et des dommages qui lui sont imputables en vertu de l'article 82 du RGPD.

14. Durée, droit applicable

14.1 Le DPA s'applique pendant toute la durée du traitement des données du Client par Audioliz, y compris après la fin du Contrat jusqu'à la suppression des données.

14.2 Le DPA est régi par le droit applicable au Contrat. Il est établi en français et en anglais ; lorsque les deux versions sont signées par les Parties, la version française prévaut en cas de divergence. Les Parties peuvent le modifier d'un commun accord écrit pour le mettre en conformité avec une évolution de la réglementation ou des recommandations des autorités de contrôle.

Annexe 1 — Description du traitement

• Objet — Fourniture du service ScanBiz : réception, transcription, analyse et restitution de conversations professionnelles du Client (appels téléphoniques, e-mails, réunions), génération d'alertes et de synthèses.
• Finalités — Suivi de la qualité de la relation client du Client, supervision des échanges de ses collaborateurs, détection d'alertes définies par le Client, production de synthèses. Audioliz ne poursuit aucune finalité propre.
• Nature du traitement — Collecte via les sources connectées par le Client (standard téléphonique, messagerie, calendrier), enregistrement, stockage, transcription automatique, analyse par modèles de langage, affichage, export, suppression.
• Catégories de personnes concernées — Collaborateurs du Client (agents, superviseurs, administrateurs) ; interlocuteurs du Client (clients, prospects, fournisseurs, partenaires, toute personne participant à une conversation traitée).
• Catégories de données — Identité et coordonnées professionnelles ; identifiants de compte ; contenu des conversations (enregistrements vocaux, transcriptions, e-mails, notes de réunion), résultats d'analyse (scores, alertes, synthèses) ; données de facturation (hors numéro de carte, détenu par Stripe) ; journaux techniques (adresses IP, horodatages, actions).
• Données sensibles — Aucune par destination. Si un interlocuteur révèle spontanément une donnée sensible (santé, opinions…) au cours d'une conversation, elle est traitée comme le reste du contenu, sous la responsabilité du Client, qui s'assure de la licéité de l'enregistrement et peut la faire supprimer.
• Durée du traitement — Durée du Contrat, puis période de restitution et de suppression (article 12).
• Durées de conservation — Données de compte : durée du Contrat puis suppression ou anonymisation sous 12 mois. Contenus analysés : durée configurée par le Client dans le Service, suppression sur demande. Journaux techniques : 12 mois au plus.
• Lieu du traitement — Hébergement dans l'Union européenne (Heroku région « eu », AWS Paris). Transcription, analyse et supervision technique aux États-Unis, le temps du traitement (article 10, Annexe 2).

Annexe 2 — Sous-traitants ultérieurs autorisés (état au 10 octobre 2026)

Chaque ligne indique le sous-traitant ultérieur, sa fonction, le lieu du traitement et la garantie encadrant le transfert.

• Salesforce, Inc. (Heroku) — hébergement de l'application et de la base de données — UE (région « eu ») — DPF + CCT 2021/914.
• Amazon Web Services EMEA SARL — stockage des fichiers audio et des documents — Paris, France (eu-west-3) — DPF + CCT 2021/914.
• Recall.ai, Inc. — synchronisation du calendrier et assistant de réunion — UE (eu-central-1) — CCT 2021/914.
• Stripe Payments Europe, Ltd. — paiement en ligne, facturation, gestion de l'abonnement — Irlande (UE) — transfert sans objet.
• Redis Ltd. (Redis Cloud) — cache et file d'attente des traitements — UE (région « eu » de l'hébergeur) — Israël : décision d'adéquation.
• ElevenLabs, Inc. — transcription des enregistrements — États-Unis — DPF + CCT 2021/914.
• OpenAI Ireland Ltd (et sociétés affiliées OpenAI) — analyse des conversations (grilles, synthèses, alertes) — États-Unis — CCT 2021/914.
• Twilio Inc. (SendGrid) — envoi des e-mails d'alerte et de notification — États-Unis — DPF + CCT 2021/914.
• Functional Software, Inc. (Sentry) — suivi des erreurs applicatives — États-Unis — DPF + CCT 2021/914.
• SolarWinds (Papertrail) — journaux applicatifs — États-Unis — CCT 2021/914.

La liste à jour est tenue par Audioliz et communiquée au Client sur demande ; toute modification suit la procédure de l'article 6.

La certification au titre du Data Privacy Framework s'apprécie par entité juridique. À défaut de certification en vigueur pour l'entité concernée, le transfert est régi par les clauses contractuelles types (article 10.3).

Annexe 3 — Mesures techniques et organisationnelles

• Chiffrement des données en transit (HTTPS/TLS) et au repos (base de données chiffrée, stockage des fichiers chiffré côté serveur).
• Cloisonnement logique des données par espace client ; contrôle d'accès fondé sur les rôles dans l'application.
• Authentification forte (MFA) sur les comptes d'administration de l'hébergeur applicatif ; principe du moindre privilège ; révocation des accès au départ d'un collaborateur.
• Journalisation des accès et des opérations techniques, conservée au plus douze (12) mois.
• Protection continue de la base de données (restauration à un instant donné sur les sept (7) derniers jours) et réplica de haute disponibilité, dans la région UE de l'hébergeur.
• Hébergement de l'application, de la base de données et des fichiers chez Heroku (Salesforce) et Amazon Web Services, certifiés ISO 27001 et SOC 2, dans leurs régions de l'Union européenne.
• Suppression des données d'un espace client sur demande du Client et à la fin du contrat, sous trente (30) jours (article 12). Les copies transitoires chez les prestataires de transcription et d'analyse sont supprimées selon leur propre politique (OpenAI : trente (30) jours au plus).
• Engagement de confidentialité du personnel ; sensibilisation à la sécurité et à la protection des données.
• Procédure de gestion des incidents de sécurité avec notification au Client (article 8).