Accord de sous-traitance

Parties

Accord au sens de l’art. 28 RGPD entre le client de QCRM en tant que responsable du traitement (« Client ») et Medcycle UG (haftungsbeschränkt), Kolonnenstraße 8, 10827 Berlin, Allemagne, en tant que sous-traitant (« Fournisseur »). Ceci est une traduction ; seule la version allemande fait foi.

§ 1 Conclusion et application

Le présent accord fait partie des conditions d’utilisation de QCRM et est conclu avec elles ; aucune signature séparée n’est nécessaire. Il s’applique tant que le Fournisseur traite des données personnelles pour le compte du Client et prévaut sur les conditions d’utilisation en matière de protection des données. Sur demande, le Fournisseur remet une version signée par lui.

§ 2 Objet, nature, finalité et durée

L’objet est la fourniture de QCRM, y compris la téléphonie IA intégrée Omnesto : hébergement, stockage, sauvegarde, maintenance et assistance, ainsi que les fonctions utilisées par le Client (p. ex. connexion de messagerie, outreach, fonctions d’IA, assistant téléphonique). Le Fournisseur traite les données uniquement pour fournir ces services. La durée correspond à celle du contrat principal, augmentée du délai jusqu’à la suppression selon le § 11.

§ 3 Catégories de données et personnes concernées

Catégories de données : données d’identification et de contact ; données de communication (e-mails, notes, résumés d’appels et, si le Client active l’enregistrement, enregistrements et transcriptions d’appels) ; données de contrats, d’offres et de biens ; rendez-vous, tâches et documents ; données d’utilisation et de journalisation ; tout autre contenu saisi par le Client.

Personnes concernées : salariés et utilisateurs du Client ainsi que ses clients, prospects, interlocuteurs, partenaires commerciaux et appelants.

Le Client ne traite des catégories particulières de données (art. 9 RGPD) que s’il dispose d’une base juridique.

§ 4 Instructions

Le Fournisseur ne traite les données que sur instruction documentée du Client, y compris pour les transferts vers des pays tiers, sauf obligation en vertu du droit de l’Union ou d’un État membre ; dans ce cas, il informe préalablement le Client de cette obligation, sauf interdiction légale. Constituent des instructions le présent accord, les conditions d’utilisation, les réglages et actions du Client dans l’application ainsi que les instructions ponctuelles sous forme écrite. Si le Fournisseur estime une instruction illicite, il en informe le Client sans délai et peut en suspendre l’exécution jusqu’à confirmation.

§ 5 Confidentialité

Le Fournisseur n’emploie que des personnes tenues à la confidentialité ou soumises à une obligation légale de secret. Seules les personnes qui en ont besoin pour l’exploitation, la maintenance ou l’assistance ont accès aux données du Client, et uniquement dans la mesure nécessaire.

§ 6 Mesures techniques et organisationnelles

Le Fournisseur prend les mesures au sens de l’art. 32 RGPD décrites en annexe. Il peut les faire évoluer tant que le niveau de protection ne baisse pas.

§ 7 Sous-traitants ultérieurs

Le Client autorise les sous-traitants ultérieurs suivants :

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Allemagne – centres de données, hébergement et sauvegarde – Allemagne (QCRM et sauvegardes) et Finlande (Omnesto)
• IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, Allemagne – envoi d’e-mails système – Allemagne
• Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande, avec la participation de Google LLC, États-Unis – API Gemini pour les fonctions d’IA, uniquement lorsqu’un utilisateur les lance – UE et États-Unis
• Telnyx LLC, Chicago, États-Unis – téléphonie et numéros pour Omnesto – États-Unis
• Eleven Labs Inc., New York, États-Unis – reconnaissance et synthèse vocales et conversation IA pour Omnesto – États-Unis
• OpenAI Ireland Ltd., Dublin, Irlande, avec la participation de OpenAI, L.L.C., États-Unis – analyse IA des transcriptions d’appels pour Omnesto – États-Unis

Telnyx, ElevenLabs et OpenAI ne sont utilisés que si le Client utilise les fonctions de téléphonie d’Omnesto. Les fournisseurs de messagerie que le Client connecte lui-même ne sont pas des sous-traitants ultérieurs du Fournisseur.

Le Fournisseur informe le Client par écrit au moins 30 jours avant l’ajout ou le remplacement d’un sous-traitant ultérieur. Le Client peut s’y opposer dans ce délai pour un motif important lié à la protection des données ; à défaut d’accord entre les parties, le Client peut résilier le contrat avec effet à la date du changement. Le Fournisseur impose contractuellement à chaque sous-traitant ultérieur les obligations du présent accord et en répond conformément à l’art. 28, par. 4 RGPD.

§ 8 Pays tiers

Un traitement en dehors de l’UE et de l’EEE n’a lieu que si les conditions des art. 44 et suivants RGPD sont remplies, notamment sur la base du EU-US Data Privacy Framework ou des clauses contractuelles types de la Commission européenne.

§ 9 Assistance au Client

Le Fournisseur aide le Client par des mesures appropriées à répondre aux droits des personnes concernées (chapitre III RGPD) et à respecter les obligations des art. 32 à 36 RGPD. Le Client peut effectuer lui-même, en grande partie dans l’application, l’accès, la rectification, l’export et l’effacement. Si une personne concernée s’adresse au Fournisseur, celui-ci la renvoie au Client et en informe le Client sans délai.

§ 10 Violations de données personnelles

Le Fournisseur notifie au Client toute violation de données personnelles dans les meilleurs délais, si possible dans les 48 heures après en avoir pris connaissance, avec les informations de l’art. 33, par. 3 RGPD dans la mesure où elles sont disponibles, et prend sans délai des mesures pour la contenir.

§ 11 Suppression et restitution

Pendant le contrat, le Client peut exporter et supprimer les données dans l’application. À la fin du contrat, les fonctions CRM sont bloquées ; les données restent d’abord enregistrées. Après 30 jours, le Fournisseur les examine et les supprime après information préalable par écrit avec un délai raisonnable. À la demande du Client, il les remet auparavant dans un format courant ou les supprime plus tôt. Les sauvegardes de la base de données sont supprimées ou écrasées au plus tard 30 jours après leur création. Les obligations légales de conservation sont réservées.

§ 12 Preuves et audits

Le Fournisseur met à la disposition du Client les informations nécessaires pour démontrer le respect de l’art. 28 RGPD et permet la réalisation d’audits. Ceux-ci se font en priorité au moyen d’informations et de justificatifs appropriés, tels que les certificats des centres de données. Les audits sur place doivent être annoncés au moins 30 jours à l’avance et réalisés pendant les heures ouvrables sans perturber l’exploitation et en préservant la confidentialité des données des autres clients ; le Client supporte ses propres frais.

§ 13 Responsabilité et dispositions finales

La responsabilité est régie par l’art. 82 RGPD et, pour le reste, par les règles de responsabilité des conditions d’utilisation. Le droit allemand s’applique ; le tribunal compétent est celui de Berlin. Pour les clients en Suisse, le présent accord vaut également contrat au sens de l’art. 9 LPD. Seule la version allemande fait foi.

Annexe : mesures techniques et organisationnelles

• Contrôle de l’accès physique : exploitation exclusivement dans des centres de données de Hetzner Online GmbH en Allemagne et en Finlande, avec contrôle d’accès, vidéosurveillance et personnel de sécurité ; les centres de données sont certifiés ISO/IEC 27001. Le Fournisseur ne dispose pas de salles de serveurs propres.
• Contrôle de l’accès aux systèmes : accès administratif aux serveurs uniquement par clé SSH et pour des personnes désignées ; pare-feu ; base de données et cache non accessibles depuis Internet. Les utilisateurs se connectent avec un mot de passe personnel stocké uniquement sous forme de hachage ; les nouveaux utilisateurs reçoivent un mot de passe à usage unique, à remplacer lors de la première connexion, qui expire après sept jours.
• Contrôle de l’accès aux données : séparation stricte des espaces de travail des différents clients ; rôles et droits au sein d’un espace de travail (notamment administrateur, collaborateur, lecture seule) ; identifiants vers des systèmes tiers stockés de manière chiffrée.
• Contrôle de la transmission : transmission uniquement chiffrée (TLS) ; liaisons entre QCRM et Omnesto par requêtes signées et clés stockées de manière chiffrée.
• Contrôle de la saisie : journalisation des connexions et des événements liés à la sécurité ; historique d’activité sur les principaux enregistrements.
• Contrôle de la disponibilité : sauvegardes quotidiennes de la base de données sur un serveur de sauvegarde distinct en Allemagne ; sauvegarde supplémentaire avant chaque mise à jour avec vérification de sa lisibilité ; conteneurs à redémarrage automatique.
• Contrôle de la séparation : séparation des clients dans l’application ; environnements de développement et de production distincts.
• Vérification : mises à jour régulières du système d’exploitation et des logiciels ; tests automatisés avant chaque publication ; réexamen des mesures en cas de changement important.