Contrat de sous-traitance des données (RGPD, art. 28)

Le présent contrat fait partie intégrante des conditions générales de vente. Il encadre les traitements de données personnelles que Vegasus (« le Sous-traitant ») réalise pour le compte de son client (« le Client », responsable de traitement) lorsqu'il fournit les renforts vegasus.

1. Objet, durée et nature des traitements

• Objet : fournir les renforts souscrits (tri et réponses aux e-mails, tâches, agenda, échéances, devis…).
• Durée : celle de l'abonnement, puis la période de suppression prévue à l'article 7.
• Opérations : lecture, classement, résumé, rédaction de brouillons, envoi après validation, conservation, suppression.
• Personnes concernées : le Client et son équipe, ses clients, prospects, fournisseurs et contacts.
• Données : identité et coordonnées, contenu des échanges, rendez-vous, informations commerciales. Aucune donnée sensible (santé, opinions…) n'est recherchée ; le Client s'engage à ne pas en confier volontairement.

2. Instructions du Client

Le Sous-traitant ne traite les données que sur instruction documentée du Client, constituée par les CGV, le présent contrat et les réglages effectués dans l'espace client. Il n'utilise jamais ces données pour son propre compte, ne les vend pas et ne les utilise pas pour entraîner des modèles d'IA. S'il estime qu'une instruction viole la réglementation, il en informe immédiatement le Client.

3. Confidentialité et sécurité

Les personnes autorisées à accéder aux données sont soumises à la confidentialité. Le Sous-traitant met en œuvre des mesures adaptées (art. 32) : chiffrement des connexions et des accès aux boîtes mail et agendas, cloisonnement strict entre clients et entre membres d'une équipe, droits minimaux, authentification forte sur les outils d'administration, traçabilité horodatée des actions, protection contre les instructions malveillantes contenues dans les e-mails, suppression automatique selon les durées prévues.

4. Sous-traitants ultérieurs

Le Client autorise le recours aux prestataires suivants :

Le Sous-traitant informe le Client de tout ajout ou remplacement au moins 30 jours à l'avance ; le Client peut s'y opposer et résilier sans frais. Les sous-traitants ultérieurs sont soumis à des obligations équivalentes.

5. Droits des personnes

Le Sous-traitant aide le Client à répondre aux demandes d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, notamment grâce à l'export et à la suppression disponibles dans l'espace client. Toute demande reçue directement est transmise au Client sans délai.

6. Violation de données

Le Sous-traitant notifie au Client toute violation de données personnelles au plus tard 48 heures après en avoir pris connaissance, avec les informations utiles pour permettre au Client de notifier la CNIL dans les 72 heures si nécessaire.

7. Fin du contrat : suppression des données

À la fin de l'abonnement, le Client dispose de 30 jours pour télécharger ses données depuis son espace. Passé ce délai, le Sous-traitant supprime les données de service et révoque les accès aux boîtes mail et agendas, sauf obligation légale de conservation. Pendant le contrat, les durées de conservation sont celles indiquées dans la politique de confidentialité.

Les factures, avoirs et devis émis par le Client avec le service sont ses documents comptables : leur conservation pendant les durées légales (10 ans) relève de sa seule responsabilité. Le Sous-traitant met à sa disposition, à tout moment, une archive complète (PDF originaux, registre des factures, données) dont le téléchargement est obligatoire avant toute résiliation ou demande de suppression.

8. Documentation et audit

Le Sous-traitant met à la disposition du Client les informations nécessaires pour démontrer le respect du présent contrat, et permet la réalisation d'audits raisonnables, sur demande écrite et avec un préavis de 30 jours. Il tient un registre des traitements effectués pour le compte de ses clients.

9. Obligations du Client

Le Client détermine les finalités du traitement, dispose d'une base légale pour les données qu'il confie, informe les personnes concernées (par exemple dans sa propre politique de confidentialité) et utilise le service conformément à la réglementation.

Contact données personnelles : contact@vegasus.fr