Ce document est disponible en HTML et peut être imprimé ou exporté en PDF depuis votre navigateur.
1Objet et rôles
Le présent accord complète les CGV et le devis conclus entre le client professionnel (« le Responsable du traitement ») et Automalis, nom commercial de Alexandre Rozek, Entrepreneur individuel (EI) (« le Sous-traitant »).
Il s'applique uniquement lorsque Automalis traite des données personnelles pour le compte du client dans le cadre d'une prestation. Le client détermine les finalités et les moyens essentiels du traitement et garantit qu'il dispose d'une base légale.
2Traitements autorisés
Le traitement est limité à la durée du devis ou du contrat et aux instructions documentées du client. Le devis précise, lorsque cela est nécessaire, les catégories de personnes, de données, d'opérations et les finalités concernées.
| Élément | Cadre par défaut |
|---|---|
| Personnes concernées | Prospects, clients, collaborateurs ou contacts du client selon le devis |
| Données | Coordonnées professionnelles, données de projet et contenu fourni |
| Opérations | Hébergement, transmission, structuration, automatisation et support |
| Données sensibles | Exclues par défaut ; toute exception doit être autorisée et documentée |
3Obligations d'Automalis
Automalis s'engage à :
- Traiter les données uniquement sur instruction documentée du client
- Garantir la confidentialité des personnes autorisées à traiter les données
- Mettre en œuvre les mesures de sécurité décrites dans l'annexe sécurité
- Assister raisonnablement le client pour les demandes de droits et analyses d'impact
- Tenir compte des instructions relatives à la conservation, la restitution et la suppression
- Informer le client si une instruction paraît contraire au RGPD
4Obligations du client
Le client s'engage à :
- Déterminer les finalités et bases légales des traitements
- Informer les personnes concernées et respecter leurs droits
- Ne transmettre que des données nécessaires, exactes et licites
- Ne pas transmettre de données sensibles ou de données de mineurs sans accord préalable
- Fournir des instructions suffisamment précises et répondre aux demandes d'Automalis
- Gérer les habilitations, licences et comptes qu'il contrôle
5Sous-traitants ultérieurs
Le client autorise le recours aux sous-traitants nécessaires au service, sous réserve qu'Automalis leur impose des obligations de protection des données adaptées au traitement confié.
| Prestataire | Rôle possible | Référence |
|---|---|---|
| Vercel | Hébergement et diffusion | Documentation contractuelle Vercel |
| GitHub | Dépôt, CMS ou authentification lorsque nécessaire | GitHub Data Protection Agreement |
| zcal | Prise de rendez-vous | DPA zcal |
| Zoho Mail / Google Meet | Échanges et réunions | Selon les outils effectivement utilisés |
| n8n | Orchestration et exécution des workflows | Instance et hébergeur indiqués au devis |
| Mistral AI ou autre IA validée | Traitement prévu au devis | Endpoint, région et rétention indiqués au devis |
Automalis informe le client de tout changement significatif de sous-traitant. Le client peut s'y opposer pour un motif légitime lié à la protection des données ; les parties recherchent alors une solution raisonnable.
6Transferts internationaux
Lorsqu'un sous-traitant traite des données hors EEE, Automalis vérifie la présence d'un mécanisme de transfert valide : décision d'adéquation, clauses contractuelles types ou garantie équivalente applicable au traitement.
Le devis identifie le profil de traitement applicable à la mission :
- Rétention zéro internationale— un fournisseur hors EEE peut être utilisé lorsque la rétention zéro des contenus est disponible, activée et vérifiée pour le modèle et l'endpoint concernés. Cette option ne supprime pas les transferts, métadonnées techniques, journaux de sécurité ou obligations légales éventuellement applicables.
- Architecture européenne stricte— les traitements concernés sont exécutés avec une instance n8n et ses composants hébergés dans l'UE, ainsi qu'une inférence Mistral AI régionalisée en Europe ou un modèle Mistral déployé sur une infrastructure européenne. La base, les fichiers, journaux, sauvegardes et connecteurs sont inclus dans la vérification.
Une localisation européenne n'est un engagement contractuel que si le profil, les fournisseurs, les régions et les éventuelles exceptions sont expressément documentés dans le devis et ses annexes.
7Droits et incidents
Automalis transmet au client, sans délai indu, toute demande reçue directement d'une personne concernée et ne répond pas au fond sans instruction, sauf obligation légale contraire.
En cas de violation de données personnelles affectant le traitement, Automalis informe le client sans délai indu après en avoir pris connaissance et lui communique les informations raisonnablement disponibles pour permettre sa notification à l'autorité ou aux personnes concernées.
8Sécurité
Les mesures applicables sont décrites dans l'annexe sécurité. Elles sont proportionnées à la nature des données, aux risques et au périmètre de la mission.
9Fin du traitement et audit
À la fin du contrat, Automalis restitue ou supprime les données personnelles traitées pour le compte du client selon ses instructions, sauf conservation imposée par la loi ou nécessaire à la preuve de ses obligations.
Le client peut demander les informations raisonnablement nécessaires pour démontrer le respect du présent accord. Les audits sont réalisés avec un préavis raisonnable, pendant les heures ouvrées, sans perturber les autres clients et sous réserve de la confidentialité des systèmes.