Accord de sous-traitance des données (DPA)
Version 2026-10
Modèle à compléter et à faire valider par un juriste avant la commercialisation (5 champ(s) à renseigner, surlignés).
Entre le Client (responsable de traitement), identifié lors de la souscription,
et [Raison sociale de l’éditeur], [forme sociale, ex. SAS au capital de … €], SIREN [SIREN], [adresse du siège] (sous-traitant).
1. Objet
Le Sous-traitant fournit le logiciel en ligne Trait (CRM). Il traite des données personnelles pour le compte du Responsable de traitement, selon ses instructions documentées.
2. Description du traitement
- Nature : hébergement, stockage, consultation, modification, export et suppression ; envoi d’e-mails à la demande des utilisateurs ; génération de textes par IA si le Responsable l’active.
- Finalités : gestion de la relation commerciale et pilotage de l’activité commerciale du Responsable.
- Personnes concernées : prospects, clients et interlocuteurs du Responsable ; ses collaborateurs utilisateurs de Trait.
- Données : identité et coordonnées professionnelles, fonction, échanges et notes, opportunités, devis et factures, objectifs et performances commerciales des utilisateurs. Aucune donnée sensible (art. 9) ne doit être saisie.
- Durée : durée du contrat, puis restitution et suppression (article 9).
3. Obligations du Sous-traitant
- Traiter les données uniquement sur instruction documentée du Responsable, y compris pour les transferts hors UE.
- Garantir la confidentialité : seules des personnes habilitées, tenues au secret, interviennent, uniquement à la demande du Responsable ; toute intervention est journalisée.
- Mettre en œuvre les mesures de sécurité de l’annexe 2.
- Aider le Responsable à répondre aux demandes des personnes (recherche, export et effacement intégrés à Trait).
- Notifier toute violation de données au plus tard 48 heures après en avoir pris connaissance.
- Aider le Responsable pour ses analyses d’impact et la consultation de la CNIL.
- Tenir un registre des traitements effectués pour le compte du Responsable.
- Permettre des audits, dans la limite d’un par an, à la charge du Responsable, avec un préavis de 30 jours.
4. Sous-traitants ultérieurs
Le Responsable autorise les sous-traitants de l’annexe 1. Tout changement est annoncé 30 jours à l’avance ; le Responsable peut s’y opposer et, à défaut d’accord, résilier sans frais.
5. Transferts hors de l’Union européenne
Les données sont hébergées dans l’Union européenne. L’IA est désactivée par défaut ; si elle est activée, des extraits pseudonymisés peuvent être traités par OpenAI dans le cadre de son DPA (résidence européenne ou Data Privacy Framework et clauses contractuelles types).
6. Obligations du Responsable
Disposer d’une base légale, informer les personnes (y compris ses collaborateurs sur le suivi de performance), ne pas saisir de données sensibles, définir ses durées de conservation (réglage dans Trait).
7. Sécurité
Voir annexe 2.
8. Violation de données
Voir article 3.5 et la procédure interne du Sous-traitant.
9. Fin du contrat
Export intégral des données à la demande, puis suppression définitive dans les 30 jours suivant la fin du contrat, confirmée par écrit.
Annexe 1 — Sous-traitants ultérieurs autorisés
| Sous-traitant | Service | Localisation |
|---|---|---|
| Cloudflare (Cloudflare, Inc. / Cloudflare Ireland) | Hébergement de l’application et des bases | Bases en juridiction UE |
| Brevo (Sendinblue SAS, Paris) ou Resend (Resend, Inc.) — selon le choix de l’éditeur | Envoi des e-mails | UE (Brevo) / États-Unis (Resend, clauses contractuelles types) |
| OpenAI — uniquement si l’IA est activée | Génération de brouillons et d’analyses | UE (résidence européenne) ou États-Unis (DPF) |
Les intégrations que le Client active lui-même (webhooks vers Zapier, Make, n8n, son ERP ou son logiciel de facturation) transmettent des données vers des destinations qu’il choisit, sous sa responsabilité : elles ne sont pas des sous-traitants ultérieurs du Sous-traitant.
Annexe 2 — Mesures techniques et organisationnelles
- Cloisonnement : une base de données distincte par client, choisie par le serveur à partir de la session.
- Accès : rôles, comptes individuels, désactivation immédiate, console opérateur sans accès au contenu.
- Authentification : phrases de passe de 14 caractères minimum (scrypt), double authentification TOTP (imposable par le Client), sessions opaques de 8 h, cookies HttpOnly/SameSite=Strict/Secure, verrouillage après échecs.
- Chiffrement : HTTPS ; secrets d’authentification chiffrés (AES-GCM) en base.
- Minimisation : pseudonymisation avant tout appel IA ; IA désactivable.
- Traçabilité : journal de conformité, journal des modifications des fiches, journal d’audit opérateur.
- Réversibilité : export JSON complet ; suppression définitive.
- Continuité : [sauvegardes : fréquence, localisation, durée de rétention — à définir].