Accord de sous-traitance (DPA)

Rôles

L’entreprise cliente est responsable du traitement des données de ses propres clients et contacts. GabsVision traite ces données pour son compte, uniquement pour fournir ALI, sur ses instructions documentées (article 28 du RGPD).

Engagements de GabsVision

Confidentialité des personnes habilitées ; mesures de sécurité (chiffrement des communications, cloisonnement strict des données par entreprise, sauvegardes chiffrées hors du serveur, journal des actions sensibles, double authentification des administrateurs de la plateforme) ; aide à l’exercice des droits et aux notifications de violation ; suppression ou restitution des données en fin de contrat.

Sous-traitants ultérieurs : ceux listés sur https://gabsvision.eu/ali/fournisseurs ; toute modification est annoncée à l’avance.

Description des traitements

Objet : fournir ALI à l’entreprise. Durée : celle de l’utilisation d’ALI (formule gratuite ou abonnement), jusqu’à la suppression des données.

Nature : hébergement et stockage ; sauvegardes chiffrées ; préparation assistée par l’intelligence artificielle de propositions (clients, devis, dépenses, recherches) à la demande d’un membre, sans enregistrement avant sa confirmation ; envoi des e-mails demandés (devis, factures, liens de signature) ; transmission des factures électroniques lorsque l’entreprise a relié une plateforme ; recherche de produits.

Personnes concernées : clients, prospects et contacts de l’entreprise ; membres de son équipe.

Données : identité, coordonnées, adresses de chantier, contenu des devis et factures, montants et paiements enregistrés, notes, ainsi que les photos et dictées confiées à ALI. Aucune donnée sensible au sens de l’article 9 du RGPD n’est nécessaire au service.

Transferts hors de l’Union européenne

Seul le fournisseur d’intelligence artificielle traite des données hors de l’Union européenne (États-Unis), limitées à la demande adressée à ALI et à son contexte réduit (voir la politique de confidentialité), avec les garanties prévues par le RGPD (clauses contractuelles types de la Commission européenne ou décision d’adéquation).

Violations de données et audits

GabsVision notifie à l’entreprise toute violation de données personnelles la concernant dans les meilleurs délais, et au plus tard quarante-huit heures après en avoir pris connaissance, avec les informations utiles à sa propre notification à la CNIL.

Sur demande écrite, GabsVision fournit les informations nécessaires pour démontrer le respect de ses obligations (article 28 du RGPD) et se prête à un audit documentaire, une fois par an au plus sauf violation avérée, avec un préavis de trente jours.

Fin du contrat

L’entreprise peut exporter l’ensemble de ses données à tout moment (Mes outils → Exports). Sur demande de suppression, les données sont supprimées sous trente jours ; elles disparaissent des sauvegardes chiffrées à leur rotation, au plus tard treize mois après. GabsVision n’en conserve que ce qu’une obligation légale impose.