Contrat de sous-traitance des données personnelles
Version du 18 octobre 2026
Article 28 du règlement général sur la protection des données (RGPD). Il fait partie des conditions générales, et vous l'acceptez avec elles.
1. Les parties
Vous, l'entreprise cliente, êtes responsable du traitement des données de vos clients et prospects. [raison sociale], qui édite OnRelance, les traite pour votre compte : nous sommes votre sous-traitant.
2. Ce que nous faisons pour vous
- Relancer en votre nom, par SMS et par email, vos clients et prospects au sujet de vos devis et de vos factures.
- Recevoir leurs réponses, les classer, et vous alerter quand ils attendent votre réponse.
- Rédiger les messages et les réponses avec une intelligence artificielle.
- Conserver l'historique, et le mettre à votre disposition dans le logiciel.
Pour la durée de votre abonnement, et jusqu'à la suppression de vos données (section 9).
3. Les données et les personnes concernées
- Personnes : vos clients et prospects, particuliers ou professionnels, et les membres de votre équipe.
- Données : nom, prénom, entreprise, téléphone mobile, email ; objet, montant, date et numéro de vos devis et factures, paiements et échéanciers ; contenu des messages échangés ; refus d'être relancé (STOP, désinscription).
- N'importez pas de données sensibles (santé, opinions, infractions) : le service n'en a pas besoin.
4. Vos instructions
Nous ne traitons ces données que pour faire ce que vous avez demandé : vos imports, vos réglages, l'activation de l'agent, vos réponses. Si une instruction nous paraît contraire au RGPD, nous vous le disons.
5. Confidentialité et sécurité
- Les personnes qui ont accès aux données sont tenues à la confidentialité.
- Les échanges sont chiffrés (HTTPS), les données aussi, sur les serveurs de nos hébergeurs.
- Les données de chaque entreprise sont cloisonnées en base : une entreprise ne voit jamais celles d'une autre.
- Les accès suivent les rôles de l'équipe ; les mots de passe sont enregistrés chiffrés.
- La base est sauvegardée chaque jour ; les tentatives répétées sont bloquées.
- Les erreurs sont suivies, sans contenu de message.
6. Nos sous-traitants
Vous nous autorisez à faire appel aux prestataires ci-dessous. Chacun est tenu par contrat aux mêmes obligations que nous. Nous vous prévenons par email au moins 30 jours avant d'en ajouter ou d'en remplacer un : si vous vous y opposez, vous pouvez résilier.
| Prestataire | Ce qu'il fait | Où sont les données | Transfert hors de l'UE |
|---|---|---|---|
| Supabase Inc. | Base de données, comptes, fichiers importés | Paris, France (serveurs Amazon Web Services) | Données stockées en France ; accès possible depuis les États-Unis pour l'assistance, encadré |
| Vercel Inc. | Hébergement et exécution de l'application | [Paris, une fois le réglage de région posé sur Vercel : à confirmer à la mise en ligne] | Oui, encadré (clauses contractuelles types ou cadre UE–États-Unis) |
| Anthropic PBC | Rédaction des messages et des réponses par l'intelligence artificielle (texte de la conversation, prénom, objet et montant de l'affaire) | États-Unis | Oui, encadré (clauses contractuelles types ou cadre UE–États-Unis). Selon ses conditions commerciales, Anthropic n'entraîne pas ses modèles sur ces données. |
| Brevo (Sendinblue SAS) | Envoi des SMS, et des emails si ce fournisseur est retenu | France, Union européenne | Non |
| Resend Inc. | Envoi des emails et réception des réponses des clients | États-Unis | Oui, encadré (clauses contractuelles types ou cadre UE–États-Unis) |
| Stripe Payments Europe Ltd et Stripe Inc. | Paiement de l'abonnement et factures. Ne reçoit aucune donnée de vos clients. | Irlande et États-Unis | Oui, encadré (clauses contractuelles types ou cadre UE–États-Unis) |
| Upstash Inc. | Limitation des abus (compteurs de tentatives : adresse IP, adresse de connexion) | [région de la base Upstash : à confirmer] | Oui, encadré (clauses contractuelles types ou cadre UE–États-Unis) |
| Functional Software Inc. (Sentry) | Suivi des erreurs techniques (sans contenu de message) | [États-Unis ou Union européenne, selon la région du compte Sentry : à confirmer] | Oui, encadré (clauses contractuelles types ou cadre UE–États-Unis) |
Les transferts hors de l'Union européenne sont encadrés par les clauses contractuelles types de la Commission européenne et, quand le prestataire y adhère, par le cadre de protection des données entre l'Union européenne et les États-Unis.
7. Les droits des personnes
Depuis Paramètres → Confidentialité, vous retrouvez, exportez ou effacez les données d'une personne. Une personne qui répond STOP ou se désinscrit n'est plus jamais relancée. Si une demande nous arrive directement, nous vous la transmettons sans tarder.
8. En cas d'incident
Si des données sont perdues, volées ou exposées, nous vous prévenons au plus tard 48 heures après l'avoir appris, avec ce que nous savons, pour que vous puissiez, si besoin, prévenir la CNIL et les personnes concernées.
9. À la fin du contrat
Vos données restent consultables tant que votre compte existe, et vous pouvez les exporter. Sur simple demande à [adresse email de contact], nous les supprimons sous 30 jours, sauvegardes comprises, sauf ce que la loi nous oblige à garder (vos factures d'abonnement).
10. Contrôle
Nous vous donnons les informations nécessaires pour vérifier que ce contrat est respecté. Un audit est possible une fois par an, à vos frais, prévenu 30 jours avant, sans accès aux données des autres entreprises.
11. Vos obligations
Vous veillez à pouvoir recontacter les personnes que vous importez, et à les informer de ce traitement (par exemple dans vos devis et vos factures). Voir aussi les conditions générales et la politique de confidentialité.