Accord de sous-traitance (RGPD)

1. À quoi sert ce document

La mémoire que Fernand tient pour votre atelier contient les données personnelles de vos propres clients : leurs noms, leurs adresses, leurs téléphones, les montants de leurs devis. Le jour de la mise en route, c’est votre fichier clients entier qui est repris.

Ces données restent les vôtres. Au sens du RGPD, vous êtes le responsable de traitement et David Arnaud-Jouffrey n’est que votre sous-traitant. L’article 28 du RGPD exige que cette relation soit organisée par un contrat : le voici.

Il est court, et c’est délibéré. Un atelier doit pouvoir le lire en entier.

2. Les parties

• Le Responsable de traitement (ci-après « l’Atelier ») : l’organisation cliente titulaire de l’abonnement à MetalMaestro.
• Le Sous-traitant : David Arnaud-Jouffrey, entrepreneur individuel, 94 Rte de Grenoble, 38590 Saint-Étienne-de-Saint-Geoirs — contact : david@metalmaestro.fr.

Le présent Accord complète les CGV et les CGU. En cas de contradiction sur les données personnelles, c’est lui qui l’emporte.

3. Objet, durée, nature et finalité du traitement

Aucune donnée sensible au sens de l’article 9 du RGPD n’est demandée par le service. L’Atelier s’abstient d’en déposer.

4. Instructions de l’Atelier

Le Sous-traitant ne traite les données que sur instruction documentée de l’Atelier. Constituent des instructions documentées : le présent Accord, les CGV et les CGU, l’usage du service par l’Atelier et ses membres, et toute demande écrite adressée à david@metalmaestro.fr.

Le Sous-traitant informe l’Atelier s’il estime qu’une instruction constitue une violation du RGPD.

Le Sous-traitant n’utilise les données ni pour son propre compte, ni pour entraîner un modèle d’intelligence artificielle. Cette interdiction s’étend au prestataire d’inférence (article 9).

5. Confidentialité

Les personnes autorisées à accéder aux données de production sont tenues à une obligation de confidentialité. À ce jour, David Arnaud-Jouffrey est seul à disposer de cet accès ; toute personne à qui il serait ouvert y sera soumise par écrit au préalable.

Sur demande, David Arnaud-Jouffrey signe l’accord de confidentialité propre à l’Atelier ou à son donneur d’ordre.

6. Sécurité

Les mesures techniques et organisationnelles en place sont décrites à l’article 9 de la Politique de confidentialité : chiffrement en transit, chiffrement au repos chez les hébergeurs, cloisonnement par organisation contrôlé côté serveur sur chaque fonction métier, authentification par code à usage unique, limitation de débit, en-têtes de sécurité stricts, accès restreint à la production.

Ces mesures peuvent évoluer ; elles ne peuvent pas être abaissées en deçà du niveau constaté à la signature.

7. Effacement — comment une demande de votre client est répercutée

Un particulier chez qui vous êtes intervenu vous demande l’effacement de ses données. C’est à vous, responsable de traitement, de lui répondre. Voici ce que le Sous-traitant fait de son côté, sur votre demande écrite à david@metalmaestro.fr.

La demande porte sur une personne, pas sur une fiche. Un même client apparaît dans sa fiche, dans les affaires qui le concernent, dans les faits que Fernand a retenus sur lui, dans les messages où vous en avez parlé, et dans les index de recherche calculés à partir de ces messages. Supprimer la fiche ne suffirait pas, et prétendre le contraire serait mentir.

Deux issues, selon ce que vous demandez :

• Purge. La fiche client, les faits qui la concernent, les documents rattachés et les passages de conversation qui la nomment sont supprimés. C’est l’issue par défaut.
• Anonymisation par sujet. Quand l’affaire doit rester dans l’historique de l’atelier — comptabilité, garantie décennale, litige en cours —, l’identité est remplacée par un identifiant neutre et les coordonnées sont supprimées. Le chantier, les heures et les montants restent ; la personne, non.

Dans les deux cas, l’opération couvre les messages de conversation et les index de recherche associés, pas seulement les fiches.

Ce que nous ne cachons pas : cette opération est manuelle à ce jour. Elle est réalisée par David Arnaud-Jouffrey, atelier par atelier, sur demande, dans un délai de trente (30) jours. Il n’existe pas encore de bouton dans l’application. Le jour où il existera, la procédure décrite ici ne changera pas — seul son déclenchement changera.

8. Sous-traitants ultérieurs

L’Atelier autorise de façon générale le Sous-traitant à recourir aux sous-traitants ultérieurs listés à l’article 5 de la Politique de confidentialité — Convex, Google Cloud, Cloudflare, Vercel, Stripe et Resend — pour les finalités qui y sont indiquées.

Le Sous-traitant impose à chacun d’eux, par contrat, des obligations de protection équivalentes à celles du présent Accord.

Toute addition ou remplacement est publié dans cette liste avant sa mise en service. L’Atelier peut s’y opposer par écrit dans un délai de trente (30) jours ; à défaut de solution, il peut résilier son abonnement sans pénalité, et la garantie de remboursement de l’article 8.2 des CGV reste acquise si elle court encore.

9. Transferts hors Union européenne

La mémoire de l’atelier et les documents sont hébergés dans l’Union européenne.

L’inférence en sort. Les messages et le contexte nécessaires à une réponse sont transmis à Google Cloud (service Vertex AI) sur son point d’accès « global » : le traitement peut avoir lieu hors de l’Union européenne. Ce transfert repose sur la décision d’adéquation « EU-US Data Privacy Framework » du 10 juillet 2023, à laquelle Google LLC a adhéré (article 45 du RGPD). Le contrat conclu avec ce prestataire interdit l’usage des contenus transmis pour l’entraînement de ses modèles.

Les transferts vers les autres prestataires établis aux États-Unis sont encadrés par les clauses contractuelles types de la Commission européenne (article 46(2)(c)).

Si votre donneur d’ordre impose la localisation européenne de la chaîne de sous-traitance — nucléaire, défense, marché public —, l’inférence de votre atelier est basculée sur la région européenne sur simple demande écrite. Cette bascule est un réglage, pas une migration.

10. Assistance et violation de données

Le Sous-traitant assiste l’Atelier :

• pour répondre aux demandes d’exercice de droits des personnes concernées (articles 12 à 23 du RGPD), notamment par l’export prévu à l’article 8.1 de la Politique de confidentialité et par la procédure d’effacement de l’article 7 ci-dessus ;
• pour la sécurité, la notification des violations, les analyses d’impact et la consultation préalable (articles 32 à 36 du RGPD), compte tenu de la nature du traitement et des informations dont il dispose.

En cas de violation de données, le Sous-traitant en informe l’Atelier dans les meilleurs délais après en avoir eu connaissance, et au plus tard sous soixante-douze (72) heures, en lui communiquant la nature de la violation, les catégories et le volume approximatif de données concernées, les conséquences probables et les mesures prises. C’est ensuite à l’Atelier, responsable de traitement, de notifier la CNIL s’il y a lieu.

11. Registre, documentation et audit

Le Sous-traitant tient à disposition de l’Atelier les informations nécessaires pour démontrer le respect de l’article 28 du RGPD.

L’Atelier peut demander un audit une fois par an, sur préavis raisonnable, pendant les heures ouvrables et sans perturber le service. En pratique, la première réponse est documentaire : la liste des sous-traitants, les mesures de sécurité et la présente documentation.

12. Sort des données en fin de contrat

À la fin de l’abonnement, au choix de l’Atelier :

• restitution : le Sous-traitant remet la mémoire de l’atelier dans un format structuré et lisible sans MetalMaestro, sans frais (article 7.3 des CGV) ;
• suppression : les données sont supprimées, ainsi que les copies existantes, dans un délai de trente (30) jours après la fin de l’accès.

À défaut de demande de restitution dans ce délai, la suppression s’applique. Les factures sont conservées dix (10) ans au titre des obligations comptables légales : c’est une obligation légale du Sous-traitant, pas un traitement pour son compte.

13. Droit applicable

Le présent Accord est soumis au droit français. Les litiges relèvent des tribunaux compétents du siège du Sous-traitant, conformément à l’article 13 des CGV.

14. Acceptation et signature

Le présent Accord est conclu du seul fait de la souscription : accepter les CGV vaut acceptation de cet Accord, sans autre formalité. Un atelier n’a donc rien à signer pour être couvert.

Un atelier qui a besoin d’un exemplaire signé — parce qu’un donneur d’ordre l’exige, ou parce qu’un dossier de qualification le demande — l’obtient en écrivant à david@metalmaestro.fr : David Arnaud-Jouffrey le renvoie signé et daté. Le bloc ci-dessous est destiné à être imprimé et signé par les deux parties.

Le Sous-traitant

• David Arnaud-Jouffrey, entrepreneur individuel — 94 Rte de Grenoble, 38590 Saint-Étienne-de-Saint-Geoirs
• SIRET : 804 453 082 00013
• Fait à ……………………………, le ………………………
• Signature : ……………………………………………

Le Responsable de traitement — l’Atelier

• Raison sociale : ……………………………………………
• Adresse : ……………………………………………………
• SIRET : ……………………………………………………
• Représenté par : …………………………………………
• Fait à ……………………………, le ………………………
• Signature : ……………………………………………