Annexe de sous-traitance (article 28 du RGPD)

Dernière mise à jour : 21 juillet 2026

La présente annexe fait partie intégrante des conditions générales conclues entre Laurent Rodriguez, entrepreneur individuel exerçant sous le nom commercial Cordisav (le « Sous-traitant ») et le Client (le « Responsable de traitement »). Elle est conclue en application de l'article 28 du règlement (UE) 2016/679 (« RGPD »).

1. Objet, nature et finalité du traitement

Le Sous-traitant traite des données à caractère personnel pour le compte du Responsable de traitement aux seules fins de fournir le service Cordisav : réception et tri des messages adressés au service après-vente, analyse automatisée, constitution du contexte de réponse, rédaction de brouillons, envoi des réponses validées, escalade vers un conseiller et conservation de l'historique associé.

2. Durée

Le traitement dure le temps du contrat, augmenté du délai de restitution et de purge prévu à l'article 9.

3. Catégories de personnes concernées

• les clients et prospects du Responsable de traitement qui écrivent à son service après-vente ;
• les collaborateurs du Responsable de traitement utilisant le service ;
• toute personne mentionnée dans un message traité ou dans une commande consultée.

4. Catégories de données

• données d'identification et de contact : nom, adresse e-mail, numéro de téléphone, adresse postale de livraison ;
• contenu des correspondances : objet, corps des messages, en-têtes, pièces jointes ;
• données de commande et de livraison lues via le connecteur e-commerce : numéro de commande, articles, montants, statut, numéro de suivi ;
• données produites par le service : intention détectée, urgence, tonalité, entités extraites, brouillons, actions des conseillers ;
• données de compte et de connexion des utilisateurs.

Le Responsable de traitement s'interdit de transmettre délibérément des données relevant de l'article 9 du RGPD ou des données bancaires complètes. Le service n'est pas conçu pour de telles données. Le Sous-traitant ne peut être tenu responsable de leur présence fortuite dans un message adressé spontanément par un tiers.

5. Instructions documentées

Le Sous-traitant ne traite les données que sur instruction documentée du Responsable de traitement. Constituent de telles instructions : les conditions générales, la présente annexe, ainsi que la configuration effectuée par le Responsable de traitement dans le service (connexion de la boîte, règles d'acheminement et d'escalade, règles métier, horaires, activation de l'envoi automatique).

Le Sous-traitant informe le Responsable de traitement s'il estime qu'une instruction constitue une violation du RGPD. Il ne traite les données pour son propre compte à aucune fin, et notamment pas pour entraîner des modèles.

6. Confidentialité et personnel

Le Sous-traitant veille à ce que les personnes autorisées à traiter les données s'engagent à la confidentialité, soient formées aux obligations applicables et n'accèdent aux données que dans la stricte mesure nécessaire à l'exploitation, au support ou à la sécurité du service.

7. Sécurité

Le Sous-traitant met en œuvre les mesures techniques et organisationnelles décrites à l'article 7 de la politique de confidentialité, appropriées au risque au sens de l'article 32 du RGPD. Il peut les faire évoluer, à condition de ne pas en diminuer le niveau global.

8. Sous-traitants ultérieurs

Le Responsable de traitement autorise de manière générale le recours aux sous-traitants ultérieurs suivants :

Le Sous-traitant informe le Responsable de traitement de tout ajout ou remplacement au moins trente (30) jours avant sa mise en œuvre. Le Responsable de traitement peut s'y opposer pour un motif légitime et sérieux ; à défaut de solution, il peut résilier le contrat sans pénalité. Le Sous-traitant impose à chaque sous-traitant ultérieur des obligations équivalentes à celles de la présente annexe et demeure responsable de leur exécution.

9. Assistance au Responsable de traitement

Le Sous-traitant apporte, dans la mesure du possible et compte tenu de la nature du traitement :

• son assistance pour répondre aux demandes d'exercice de droits ; toute demande reçue directement d'une personne concernée est transmise sans délai au Responsable de traitement, sans y répondre au fond ;
• les informations nécessaires à la réalisation d'une analyse d'impact et, le cas échéant, à la consultation préalable de l'autorité de contrôle ;
• la notification de toute violation de données le concernant, dans les quarante-huit (48) heures suivant sa connaissance, accompagnée des éléments utiles à la notification prévue à l'article 33 du RGPD.

10. Sort des données en fin de contrat

À la fin du contrat, le Responsable de traitement peut demander l'export de ses données. Le Sous-traitant les supprime des systèmes de production dans un délai de 30 jours suivant la fin du contrat, ainsi que des sauvegardes selon le cycle de rotation de celles-ci, sauf obligation légale de conservation.

11. Documentation et audit

Le Sous-traitant tient le registre prévu à l'article 30.2 du RGPD et met à disposition du Responsable de traitement les informations nécessaires pour démontrer le respect de ses obligations.

Le Responsable de traitement peut réaliser un audit, au maximum une fois par an, sous préavis raisonnable, pendant les heures ouvrées, sans perturber l'exploitation et moyennant un engagement de confidentialité de l'auditeur. Les audits supplémentaires consécutifs à un incident avéré sont à la charge du Sous-traitant.

12. Transferts hors Union européenne

Tout transfert vers un pays tiers est encadré par une décision d'adéquation ou par les clauses contractuelles types de la Commission européenne, assorties le cas échéant de mesures supplémentaires.

13. Contact

Questions relatives à la présente annexe : contact@cordisav.com.