Politique de confidentialité

DPA – Accord de sous-traitance

Entre les Parties
Responsable de traitement (RT) : [Client] (raison sociale, adresse, n° TVA)
Sous-traitant (ST) : Valfred SAS, au capital social de 1 000 €, domicilié au 11 avenue des Oiseaux, 06160 Antibes,
RCS Paris n° 990 035 768

Services
Solution logicielle Valfred : preuves et témoignages, mise en relation de référents, scoring de fiabilité, traçabilité des consentements, analytics first-party, modules de support et de gestion de la relation (incluant enregistrements d’appels, ingestion d’emails et prises de notes CRM, si activés).

Objet et durée
Le présent accord régit les traitements de données à caractère personnel effectués par Valfred pour le compte du Client, pendant la durée du contrat d'abonnement aux services Valfred et jusqu'à l'issue des opérations de réversibilité prévues aux présentes.

1. Définitions

Les termes données à caractère personnel, traitement, sous-traitant, responsable de traitement, violation de données et transfert vers un pays tiers ont le sens du RGPD. Les termes Services, Incident et tout autre terme non défini aux présentes ont le sens qui leur est attribué dans le contrat d'abonnement.

2. Instructions du RT

Valfred n'agit que sur la base d'instructions documentées du RT, exclusivement dans le cadre de la fourniture des Services au Client. Valfred alerte sans délai le RT si une instruction semble non conforme au droit applicable. Valfred n'exploite pas les données à des finalités propres.

3. Description des traitements

La nature, les finalités, les catégories de données, les catégories de personnes concernées, les destinataires, les lieux de traitement et les durées de conservation sont décrites à l’Annexe 1. Les opérations incluent notamment collecte, réception, hébergement, structuration, affichage contrôlé ou public, messagerie, analytics first-party, journalisation, traçabilité des consentements, scoring, enregistrements d’appels, ingestion d’emails et prises de notes CRM.

4. Confidentialité et personnel autorisé

Valfred s'assure que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité au moins aussi restrictive que les stipulations du présent accord, qu'elles sont formées à la protection des données et n'agissent que sur instruction du RT. L'accès aux données est limité au personnel qui en a besoin dans le cadre de ses fonctions. Valfred est garant du respect par son personnel de ces obligations de confidentialité.

5. Sécurité des traitements

Valfred met en œuvre des mesures techniques et organisationnelles appropriées au titre de l'article 32 du RGPD, détaillées à l'Annexe 2, pour prévenir tout traitement non autorisé ou illégal et toute perte, destruction, altération, divulgation ou dommage accidentels des données à caractère personnel, visant la confidentialité, l'intégrité, la disponibilité et la résilience.

6. Sous-traitants ultérieurs

Le RT donne une autorisation générale pour les sous-traitants ultérieurs listés à l’Annexe 3. Valfred informe le RT de tout ajout ou remplacement au moins quinze jours ouvrés avant mise en place afin de permettre une objection raisonnable. Valfred impose aux sous-traitants des obligations au moins équivalentes aux présentes et demeure responsable vis-à-vis du RT. Le Sous-Traitant s’engage en outre à veiller à ce que tout sous-traitant ultérieur dûment autorisé à traiter des Données Personnelles en dehors de l’Union européenne se soit engagé à respecter les obligations stipulées dans les Clauses contractuelles standard appropriées pour le transfert de Données Personnelles établies par la Commission européenne (ou toute autorité compétente), en particulier les Clauses contractuelles types « sous-traitant » de la Commission.

7. Aide aux droits et à la conformité

Valfred assiste sans frais supplémentaire le RT pour répondre aux demandes d’accès, rectification, effacement, opposition, limitation, portabilité et retrait du consentement des personnes concernées par le traitement des données, via l’interface et les API ou par les canaux de support. Valfred assiste le RT pour la sécurité, la notification des violations, les analyses d’impact et la consultation préalable lorsque requis.

8. Registre et documentation

Valfred tient un registre des catégories d’activités de traitement effectuées pour le RT et met à sa disposition les informations nécessaires pour démontrer la conformité sur demande.

9. Enregistrements d’appels, emails et notes CRM

9.1 Information et alternatives. Le RT s’engage à informer préalablement les personnes de l’écoute ou de l’enregistrement d’appels, de ses finalités et des droits associés. Lorsque l’enregistrement n’est pas strictement nécessaire, une alternative non enregistrée doit être proposée.
9.2 Cadre d’utilisation. Les enregistrements sont limités aux finalités légitimes définies à l’Annexe 1, notamment formation et amélioration de la qualité, conformité et preuve lorsqu’elle est nécessaire, gestion du support et suivi de la relation.
9.3 Encadrement pénal et vie privée. Le RT garantit que l’enregistrement ne porte pas atteinte à l’intimité de la vie privée et n’est pas réalisé à l’insu des interlocuteurs lorsque la conversation est privée ou confidentielle. Cette utilisation respecte le cadre pénal français applicable à l’atteinte à l’intimité de la vie privée.
9.4 Outils de contrôle. Valfred met à disposition des mécanismes d’étiquetage et d’exclusion pour supprimer ou exclure des enregistrements à la demande du RT, ainsi que des fonctions de purge selon les durées fixées à l’Annexe 1.

10. Notification des violations de données et traitement des Incidents

Valfred notifie au RT, sans délai indu et au plus tard dans les quarante-huit heures après en avoir eu connaissance, toute violation de données susceptible d’engendrer un risque pour les droits et libertés des personnes. Valfred évalue l’impact de la violation et communique les informations utiles disponibles au RT. Valfred prend les mesures nécessaire pour remédier à la violation et fournit des mises à jour en fonction de l’avancement de l’enquête.

11. Transferts hors UE

Par défaut, les données sont hébergées et traitées dans l’Espace économique européen. En cas de transfert vers un pays tiers, Valfred met en œuvre les clauses contractuelles types (Décision d’exécution (UE) 2021/914), réalise une évaluation d’impact sur le transfert et applique des mesures complémentaires appropriées, notamment chiffrement et minimisation.

12. Audits et inspections

Valfred met à disposition du RT les informations nécessaires pour démontrer la conformité et permet la réalisation d’audits raisonnables, y compris des inspections, par le RT ou un auditeur indépendant mandaté, pendant les heures ouvrées, sur préavis raisonnable et sans perturbation excessive. Les rapports et attestations disponibles, tels que le rapport de pentest, sont fournis sur demande.

13. Localisation, conservation et fin de contrat

Localisation : France (AWS eu-west-3, Paris) et Pays-Bas (Google Gemini, UE), sous réserve de la clause relative aux transferts.
Conservation : selon l’Annexe 1.
Fin de contrat : au choix du RT, restitution des données dans un format standard ouvert CSV ou JSON via un espace sécurisé et/ou suppression sous trente jours ; purge des sauvegardes sous soixante jours. Un certificat de suppression et de purge est fourni sur demande.

14. Coopération avec l’autorité de contrôle

Valfred coopère avec les autorités de contrôle compétentes et informe le RT de toute demande les concernant dans la mesure permise par la loi.

Article 14bis. Obligations principales du Sous-traitant

Au titre du présent DPA et conformément à l'article 28 du RGPD, Valfred, en sa qualité de Sous-traitant (ST), prend les engagements suivants à l'égard du Responsable de Traitement (RT) :

a) Accès aux données — Seules les personnes expressément habilitées par Valfred, soumises à une obligation contractuelle de confidentialité, peuvent accéder aux Données Personnelles traitées pour le compte du RT. La liste de ces personnes est tenue à jour et communiquée au RT sur demande (voir Art. 4).

b) Mesures techniques et organisationnelles — Valfred met en œuvre les mesures de sécurité physiques et logiques décrites à l'Art. 5 du présent DPA, conformément à l'article 32 du RGPD, afin d'assurer la protection, la confidentialité, l'intégrité et la disponibilité des Données Personnelles. Valfred assure la protection de l'ensemble du Service, des résultats, des traitements et des transmissions effectués, ainsi que des sauvegardes réalisées sur son infrastructure.

c) Notification des violations — En cas de violation de données à caractère personnel, Valfred notifie le RT sans délai indu, et au plus tard dans les 48 heures suivant la prise de connaissance de l'incident, conformément à l'Art. 10. La notification comprend la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les données affectées, les conséquences probables et les mesures prises ou envisagées.

d) Sous-traitance ultérieure — Valfred n'engage aucun autre sous-traitant sans autorisation préalable écrite du RT, conformément à l'Art. 6. En cas d'approbation, Valfred impose à tout sous-traitant ultérieur des obligations équivalentes en matière de protection des données.

e) Assistance au RT — Valfred assiste le RT dans le respect de ses obligations RGPD, notamment pour répondre aux demandes d'exercice de droits des personnes concernées, la réalisation d'analyses d'impact (AIPD) et la consultation préalable des autorités de contrôle, dans la mesure où cela relève du traitement effectué par Valfred (voir Art. 7).

f) Fin du traitement — À l'expiration ou résiliation du Contrat, Valfred restitue ou supprime les Données Personnelles selon les modalités définies à l'Art. 13.

15. Obligations du RT

Le RT garantit que :

• les traitements confiés à Valfred reposent sur une base légale valide au sens de l’article 6 du RGPD (intérêt légitime, exécution contractuelle, consentement, obligation légale, etc.) et que cette base légale est documentée et maintenue à jour ;
• l’information requise a été fournie aux personnes concernées conformément aux articles 13 et 14 du RGPD, préalablement à toute transmission de données à Valfred, y compris sur l’identité du sous-traitant et les catégories de traitements effectués ;
• les instructions transmises à Valfred sont conformes au droit applicable et n’exposent pas Valfred à une violation de la réglementation ;
• seules les données strictement nécessaires aux finalités définies sont transmises à Valfred (principe de minimisation, art. 5.1.c RGPD) ;
• il dispose des autorisations internes nécessaires pour permettre à Valfred de traiter les données pour son compte ;
• il tient et maintient à jour son propre registre des activités de traitement conformément à l’article 30 du RGPD.

15.2 Instructions documentées

Les instructions initiales du RT sont formalisées dans l’Annexe 1 du présent accord. Toute modification ultérieure doit être notifiée par écrit à Valfred (info@valfred.io) avant toute mise en œuvre. Si une instruction semble contraire au RGPD ou à toute autre disposition applicable, Valfred alerte le RT sans délai et peut suspendre le traitement concerné jusqu’à obtention d’une confirmation écrite ; en cas de maintien de l’instruction après alerte, le RT en assume seul la responsabilité.

15.3 Exercice des droits des personnes concernées

Le RT est l’interlocuteur principal et responsable final pour répondre aux demandes d’exercice de droits (accès, rectification, effacement, opposition, limitation, portabilité, retrait du consentement) dans le délai d’un mois imparti par l’article 12 du RGPD, prolongeable de deux mois pour les demandes complexes. Le RT s’engage à :

• transmettre sans délai à Valfred toute demande nécessitant une action technique (suppression, export, blocage) ; Valfred y répond dans les conditions de l’article 7 ;
• informer les personnes concernées des voies de recours disponibles, notamment leur droit de saisir la CNIL ;
• ne pas refuser ou retarder sans motif légitime une demande d’exercice de droits émanant d’une personne concernée.

15.4 Gestion des violations de données

Dès réception d’une notification de Valfred au titre de l’article 10, le RT prend en charge sans délai :

• l’évaluation de la probabilité et de la gravité du risque pour les droits et libertés des personnes concernées ;
• la notification de l’autorité de contrôle (CNIL) dans les soixante-douze heures si un risque est caractérisé (art. 33 RGPD) ;
• l’information sans délai indu des personnes concernées si le risque est élevé (art. 34 RGPD) ;
• la coopération avec Valfred pour établir les faits et prendre les mesures correctives ;
• la documentation de la violation et des actions menées (art. 33.5 RGPD).

15.5 Obligations spécifiques aux enregistrements d’appels, emails et notes CRM

Lorsque le RT active les fonctionnalités d’enregistrement d’appels, d’ingestion d’emails ou de prise de notes CRM, il s’engage à :

• vérifier, préalablement à l’activation de ces modules, qu’il dispose d’une base légale appropriée ;
• informer préalablement les personnes concernées de l’existence de l’enregistrement, de ses finalités, de sa durée de conservation et des droits associés ;
• proposer une alternative non enregistrée lorsque l’enregistrement n’est pas strictement nécessaire (art. 9.1) ;
• s’assurer que l’enregistrement ne porte pas atteinte à l’intimité de la vie privée (art. 226-1 et s. Code pénal) ;
• configurer les durées de conservation conformément à l’Annexe 1 et utiliser les outils de purge fournis par Valfred (art. 9.4) ;
• limiter l’utilisation des données aux seules finalités de l’Annexe 1.

15.6 Sous-traitants ultérieurs : droit d’objection

Conformément à l’article 6, le RT dispose de quinze jours ouvrés à compter de la notification de Valfred pour s’opposer à tout ajout ou remplacement de sous-traitant ultérieur. L’objection doit être motivée et adressée par écrit à info@valfred.io. En l’absence de réponse, le RT est réputé avoir accepté la modification. En cas d’objection maintenue sans solution alternative, chaque partie peut résilier le contrat sans pénalité.

15.7 Audits : obligations du RT

Lorsque le RT exerce son droit d’audit (art. 12), il s’engage à :

• notifier Valfred par écrit avec un préavis d’au moins dix jours ouvrés, en précisant le périmètre et l’identité de l’auditeur ;
• conduire l’audit pendant les heures ouvrées sans perturbation excessive des opérations de Valfred ;
• prendre en charge les frais liés à l’audit, sauf manquement imputable à Valfred constaté par l’audit ;
• garantir la confidentialité des rapports d’audit et des informations obtenues.

15.8 Fin de contrat

Au terme du contrat, le RT notifie à Valfred dans les trente jours son choix entre restitution (CSV ou JSON) et suppression des données (art. 13). En l’absence d’instruction dans ce délai, Valfred procède à la suppression et en informe le RT. Le RT vérifie la réception du certificat de suppression et en assure la conservation dans sa documentation de conformité.

15.9 Coopération et réactivité

Le RT s’engage à :

• désigner un point de contact habilité pour les questions RGPD et communiquer ses coordonnées à Valfred dès la signature ;
• fournir à Valfred les éléments nécessaires dans des délais raisonnables, et au plus tard sous cinq jours ouvrés pour les demandes urgentes ;
• notifier Valfred sans délai de tout changement affectant la base légale, les finalités, les catégories de données ou les personnes concernées ;
• coopérer avec Valfred en cas de demande de droits, de contrôle CNIL ou de violation de données, et fournir les informations nécessaires sous quarante-huit heures en cas d’urgence.

15.10 Responsabilité

Le RT reconnaît qu’il demeure seul responsable de la licéité des traitements qu’il confie à Valfred et de la conformité de ses propres obligations au titre du RGPD. Valfred ne saurait être tenu responsable d’un manquement résultant d’instructions illicites du RT, dès lors que Valfred a alerté le RT conformément à l’article 15.2. Le RT garantit et indemnise Valfred de toute réclamation ou procédure résultant de la violation par le RT de ses obligations au titre du présent accord ou du RGPD.

Article 15bis. Responsabilité

Chaque Partie est responsable des dommages causés à l'autre en cas de manquement à ses obligations au titre du présent DPA.

En sa qualité de Sous-traitant, Valfred n'est tenu responsable qu'à hauteur des dommages résultant directement du non-respect des obligations spécifiquement mises à sa charge par le présent DPA ou par la réglementation applicable en matière de protection des données personnelles, et uniquement dans la mesure où il a agi en dehors des instructions documentées et licites du RT.

En sa qualité de Responsable de Traitement, le Client supporte l'entière responsabilité de la licéité des traitements qu'il confie à Valfred, de la collecte des consentements nécessaires et du respect de ses propres obligations légales au titre du RGPD.

La responsabilité cumulée de Valfred au titre du présent DPA est plafonnée au montant des sommes effectivement versées par le Client au cours des trois (3) mois précédant le fait générateur du dommage, sauf en cas de faute lourde ou de dol.

16. Hiérarchie, droit applicable et juridiction

Le présent DPA prévaut sur toute stipulation contraire du contrat principal relative à la protection des données. Il est régi par le droit français. Sous réserve des règles d’ordre public, tout litige entre professionnels relève des tribunaux de Paris.
Notifications DPA chez Valfred : info@valfred.io

Fait le [date], à [ville]

Pour le Client, Responsable de traitement
Nom :
Titre :
Date et signature :

Pour Valfred, Sous-traitant
Nom :
Titre :
Date et signature :

Annexes

Annexe 1 – Description des traitements

Élément

Description

Finalités principales

Témoignages et cas clients ; mise en relation de référents ; scoring de fiabilité ; traçabilité des consentements ; analytics first-party ; support et sécurité.

Finalités relation client étendues

Amélioration qualité et formation des équipes ; conformité et preuve lorsque nécessaire ; historisation de la relation commerciale, y compris courriels et notes CRM.

Nature des opérations

Collecte, réception, enregistrement, hébergement, structuration, affichage contrôlé ou public, messagerie, mesure d’audience first-party, journalisation, conservation, suppression.

Nature spécifique appels et CRM

Enregistrement d’appels téléphoniques ponctuel, écoute, extraction d’extraits à des fins de formation et évaluation, journalisation des métadonnées d’appels ; ingestion d’emails professionnels, indexation et prise de notes CRM.

Personnes concernées

Employés et mandataires du Client ; référents clients ; prospects du Client ; utilisateurs autorisés ; interlocuteurs participant aux appels.

Catégories de données

Identité et contact professionnels (nom, fonction, email pro) ; verbatims et médias ; préférences de contact ; métadonnées d’usage ; identifiants techniques ; logs et horodatages ; audio de la voix ; métadonnées d’appel (date, heure, numéro appelant ou appelé, durée) ; contenu et en-têtes d’emails, pièces jointes professionnelles ; notes CRM.

Destinataires

Équipes habilitées du Client ; équipes Valfred en moindre privilège pour support et opérations techniques ; sous-traitants listés en Annexe 3.

Localisation

France (AWS eu-west-3, Paris) et Pays-Bas (Google Gemini, UE). Transferts hors UE encadrés par Clauses contractuelles types, évaluation d’impact sur le transfert et mesures complémentaires.

Conservation base

Témoignages jusqu’au retrait ou fin de contrat + 6 mois ; référents et conversations de chat 12 mois ; scoring durée de la relation contractuelle + 12 mois ; analytics first-party 13 mois ; logs sécurité jusqu’à 12 mois ; sauvegardes avec purge sous 60 jours.

Conservation appels

Enregistrements audio pour formation/évaluation jusqu’à 6 mois ; documents d’analyse issus des écoutes jusqu’à 12 mois ; enregistrements tenus à des fins de preuve uniquement si nécessaires et pour la durée justifiée par la prescription applicable.

Conservation emails et notes CRM

Prospection : jusqu’à 3 ans à compter du dernier contact ou de la dernière interaction ; Clients actifs : pendant la relation contractuelle puis archivage légal si nécessaire.

Annexe 2 – Mesures de sécurité (article 32 RGPD)

Chiffrement en transit TLS 1.2+ et chiffrement au repos avec KMS et rotation de clés
Contrôles d’accès RBAC, SSO ou 2FA, revues d’accès trimestrielles, journaux administrateur
Cloisonnement logique multi-tenant, gestion des secrets, durcissement des environnements
Sauvegardes chiffrées, tests de restauration, PRA et PCA
HSTS, CSP, protections anti brute force, rate limit anti-scraping
Pentest au moins annuel, politique de gestion des vulnérabilités avec SLA de correctifs
Journalisation des actions sensibles et traçabilité ; processus d’incident formalisé de la détection au post-mortem

Annexe 3 – Sous-traitants ultérieurs

Service

Fournisseur

Région

Base contractuelle

Hébergement application SaaS

AWS eu-west-3 (Paris)

UE

DPA + SCC si hors UE

Base de données applicative

NeonDB (Neon, Inc.)

UE (AWS eu-west-3, France)

DPA

Email transactionnel de l’application

Google Workspace (Gmail)

UE et hors UE selon routage Google

DPA + SCC 2021/914

Hébergement site vitrine (hors Données Client)

Webflow, Inc. (San Francisco, USA)

USA

DPA + SCC 2021/914

Modèles IA (copilote, transcription)

Google (Gemini)

UE (Pays-Bas)

DPA

Enregistrement et transcription d’appels (MVP)

Recall.ai (Francfort)

UE (Francfort, Allemagne)

DPA

Note : toute modification de la liste fait l’objet d’un préavis de 15 jours ouvrés afin de permettre l’objection raisonnable du RT.

Précision : l’hébergement du site vitrine n’implique pas de « Données Client » au sens du présent DPA, mais est indiqué pour transparence.

‍