Accord de sous-traitance des données

Annexe aux conditions générales · version du 02/11/2026 · article 28 du Règlement (UE) 2016/679 (RGPD)

Cet accord s'applique aux données personnelles que le Client (l'atelier, responsable de traitement) enregistre dans Établi au sujet de ses propres clients et contacts. Design Riviera (l'Éditeur) les traite pour son compte, en qualité de sous-traitant. Il est accepté en même temps que les conditions générales et dure aussi longtemps que l'abonnement.

1. Description du traitement

Objet	Mise à disposition du logiciel Établi : suivi des commandes, validation des bons à tirer, planning, envoi de mails aux clients finaux, demandes de devis.
Nature des opérations	Hébergement, stockage, consultation, organisation, envoi de messages, sauvegarde, suppression.
Personnes concernées	Clients, prospects et contacts du Client ; utilisateurs de l'Espace.
Catégories de données	Identité et coordonnées (nom, société, e-mail, téléphone, adresse de livraison ou de pose), contenu des commandes, fichiers et visuels, commentaires et annotations, nom saisi et adresse IP lors d'une validation, messages des demandes de devis.
Données sensibles	Aucune n'est nécessaire au service. Le Client s'engage à ne pas en enregistrer.
Durée	Durée de l'abonnement, puis 30 jours de lecture seule pour l'export, puis suppression. Les fichiers des bons à tirer validés, annulés ou archivés, et les fichiers client d'une commande livrée ou archivée, sont effacés plus tôt, au terme de la durée choisie par le Client (6 mois par défaut, réglable client par client) ; la preuve de validation est conservée.

2. Engagements de l'Éditeur

Ne traiter les données que sur instruction documentée du Client, c'est-à-dire pour faire fonctionner le Service tel qu'il le paramètre ; informer le Client si une instruction lui paraît contraire au RGPD.
Garantir la confidentialité : seules les personnes habilitées de l'Éditeur, tenues au secret, peuvent accéder aux données, et uniquement pour l'assistance, la sécurité ou la maintenance.
Mettre en œuvre les mesures de sécurité décrites à l'article 4.
Aider le Client à répondre aux demandes d'exercice des droits des personnes (accès, rectification, effacement, portabilité), notamment grâce aux fonctions de modification, de suppression et d'export du Service.
Aider le Client à garantir le respect de ses obligations (sécurité, analyse d'impact le cas échéant).
Notifier au Client toute violation de données le concernant dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les informations utiles à sa propre notification à la CNIL.
Tenir un registre des traitements effectués pour le compte de ses clients.
Mettre à disposition les informations nécessaires pour démontrer le respect de cet accord et permettre des audits raisonnables, sur demande écrite, avec un préavis de 30 jours, à la charge du Client, une fois par an au plus, sans accès aux données des autres clients.

3. Sous-traitants ultérieurs

Le Client autorise l'Éditeur à faire appel aux sous-traitants suivants :

Sous-traitant	Prestation	Localisation
OVH SAS	Hébergement des serveurs et des bases de données ; stockage des fichiers client (stockage objet) ; envoi des mails quand le Client n'a pas branché sa messagerie ou quand elle refuse un envoi	France
Anthropic, PBC	Assistant « Demandez à Établi », activé à l'inscription et désactivable à tout moment par le Client dans ses modules : reçoit la question posée et les résultats de recherche utiles pour y répondre (commandes, clients, produits concernés). Aucune question ni réponse n'est conservée par l'Éditeur.	États-Unis ; transferts encadrés par les clauses contractuelles types de la Commission européenne
Mistral AI	Dictée vocale de l'assistant (service Voxtral), uniquement si le Client utilise le micro : reçoit l'enregistrement de la voix pour le transformer en texte. Le son n'est pas conservé par l'Éditeur.	France (Union européenne)

L'Éditeur informe le Client par e-mail au moins 30 jours avant tout ajout ou remplacement ; le Client peut s'y opposer pour un motif légitime et, à défaut d'accord, résilier sans frais. Chaque sous-traitant ultérieur est tenu par contrat aux mêmes obligations. Les services que le Client branche lui-même (sa messagerie, Pennylane) ne sont pas des sous-traitants de l'Éditeur.

Les données sont hébergées en France. Aucun transfert hors de l'Union européenne n'est effectué pour les données des clients finaux.

4. Mesures de sécurité

Chiffrement des échanges (HTTPS) ; mots de passe stockés sous forme hachée.
Base de données et dossier de fichiers séparés pour chaque atelier ; liens clients protégés par des jetons aléatoires impossibles à deviner.
Contrôle des fichiers déposés (type réel vérifié, scripts interdits au téléchargement).
Limitation des tentatives de connexion, protection des formulaires contre la falsification de requêtes, sessions liées à un seul atelier.
Copie quotidienne de chaque base conservée 14 jours sur le serveur, sauvegarde complète chaque nuit dont une copie est rangée hors du serveur, sur un poste de l'Éditeur situé en France et chiffré, en plus des sauvegardes de l'hébergeur ; export (tableur et base complète) à la disposition du Client.
Fichiers client rangés à part, dans le stockage objet d'OVH SAS en France, séparé du serveur du logiciel : chaque atelier a son propre dossier, et les fichiers ne s'ouvrent que par des liens signés valables peu de temps.
Accès du support nominatif, limité à 30 minutes, noté dans l'Espace du Client, signalé par un bandeau et désactivable par le Client.

5. Obligations du Client

Disposer d'une base légale pour les traitements et informer ses clients finaux de l'utilisation d'Établi.
Ne pas enregistrer de données sensibles ni excessives.
Gérer les accès de ses utilisateurs et la robustesse de leurs mots de passe.

6. Fin du traitement

À la fin de l'abonnement, le Client dispose de 30 jours pour exporter ses données depuis le Service. L'Éditeur supprime ensuite les données et leurs copies, sauf obligation légale de conservation ; les sauvegardes techniques qui les contiennent encore sont effacées au plus tard 60 jours plus tard. Une attestation de suppression est fournie sur demande.

7. Contact

Pour toute question relative à cet accord ou pour signaler un incident : contact@etabli.pro.