Contrat de Sous-traitance des Données Personnelles
Dernière mise à jour : juillet 2026
Data Processing Agreement (DPA) : annexe RGPD aux CGV. Ce document constitue le contrat de sous-traitance prévu à l'article 28 du RGPD entre le Client (Responsable de traitement) et Elio (Sous-traitant). Il est annexé aux CGV et en fait partie intégrante.
Article 1. Identification des parties
Le Responsable de traitement
Le Client, dont les coordonnées sont renseignées lors de la souscription au service Elio, est responsable de traitement au sens de l'article 4(7) du RGPD pour les données personnelles présentes dans ses outils connectés et traitées via le service (contacts, correspondants, prospects, clients finaux).
Le Sous-traitant
Thibault Bellec, Elio. IČO : 24598658 | Adresse : Revoluční 1082/8, Praha, 110 00, République Tchèque | Contact : thibault@elio-aios.fr
Article 2. Objet et durée du traitement
Le Sous-traitant traite les données personnelles pour le compte du Responsable de traitement dans le cadre de la fourniture du service Elio, à savoir :
- L'hébergement et l'exploitation du serveur dédié du Client, situé en France
- L'exécution, sur instruction du Client formulée en langage naturel, de tâches impliquant les données de ses outils connectés (messagerie, agenda, documents, CRM, facturation, paiement, et autres connecteurs)
- La création de formulaires, de pages et de liens de paiement collectant le cas échéant des données de tiers
- La conservation de l'historique des conversations, des journaux d'exécution et des compétences configurées
Ce traitement est effectué pour la durée du contrat liant les parties, y compris la période d'essai gratuit de 7 jours. À la fin du contrat, les données sont supprimées ou restituées dans un délai de 30 jours.
Article 3. Nature et finalité des traitements
| Catégorie de données | Finalité | Personnes concernées |
|---|---|---|
| Données de messagerie et de correspondance | Exécution des tâches confiées à Elio (rédaction, envoi, tri, relances) | Correspondants du Client |
| Contacts et données CRM (identité, coordonnées, historique commercial) | Suivi commercial, qualification, relances | Prospects et clients du Client |
| Données de facturation et de paiement | Exécution des tâches de facturation, relances d'impayés, liens de paiement | Clients du Client |
| Documents et fichiers des outils connectés | Traitement, analyse et production de documents sur instruction du Client | Toute personne mentionnée dans les documents |
| Données collectées via les formulaires et pages créés par Elio | Collecte pour le compte du Client selon la finalité définie par lui | Répondants et visiteurs |
| Journaux d'exécution et historique des conversations | Traçabilité des actions, affichage du raisonnement, amélioration des compétences du Client | Client et personnes concernées par les tâches |
Article 4. Obligations du Sous-traitant
Conformément à l'article 28 du RGPD, le Sous-traitant s'engage à :
4.1 Traiter les données selon les instructions du Responsable
Le Sous-traitant ne traite les données personnelles que sur instruction documentée du Responsable de traitement, sauf obligation légale contraire. Les instructions données à Elio en langage naturel par le Client constituent des instructions documentées au sens du présent article ; elles sont tracées dans les journaux d'exécution.
4.2 Confidentialité
Le Sous-traitant s'assure que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité appropriée.
4.3 Sécurité
Le Sous-traitant met en œuvre les mesures techniques et organisationnelles suivantes :
- Un serveur dédié par Client : isolation complète, aucune infrastructure ni donnée partagée entre Clients
- Hébergement exclusif en France (Scaleway)
- Chiffrement des données en transit (TLS)
- Contrôle d'accès restreint aux personnes habilitées
- Journalisation des actions exécutées par le service
4.4 Sous-traitance ultérieure
Le Sous-traitant fait appel au sous-traitant ultérieur suivant, préalablement accepté par le présent contrat :
- Scaleway SAS (Paris, France) : hébergement du serveur dédié, des bases de données et des infrastructures
Tout nouveau sous-traitant fera l'objet d'une information préalable au Responsable avec un préavis de 30 jours, laissant la possibilité de s'y opposer.
Cas particulier d'Anthropic : le traitement par les modèles de langage Claude est réalisé au titre de l'abonnement souscrit directement par le Client auprès d'Anthropic, PBC. Anthropic est ainsi un prestataire direct du Client et non un sous-traitant ultérieur du Sous-traitant. Le Sous-traitant opère techniquement la transmission des données nécessaires aux modèles Claude pour exécuter les instructions du Client.
4.5 Assistance au Responsable
Le Sous-traitant assiste le Responsable dans le respect de ses obligations RGPD, notamment pour :
- Répondre aux demandes d'exercice de droits des personnes concernées
- La réalisation d'analyses d'impact (AIPD) si nécessaire
- La notification des violations de données
4.6 Notification des violations de données
En cas de violation de données personnelles, le Sous-traitant notifie le Responsable dans un délai maximum de 72 heures après en avoir pris connaissance, par email à l'adresse fournie lors de la souscription.
4.7 Sort des données à la fin du contrat
À la résiliation du contrat, le Sous-traitant supprime le serveur dédié du Client et toutes les données personnelles qu'il contient dans un délai de 30 jours, ou les restitue au Responsable sur demande préalable. Une attestation de suppression peut être fournie sur demande.
Article 5. Obligations du Responsable de traitement
Le Responsable de traitement s'engage à :
- Fournir une base légale valide pour chaque traitement effectué via le service (notamment pour les envois de communications et la collecte de données via les formulaires créés)
- Informer les personnes concernées des traitements réalisés (mention d'information dans sa propre politique de confidentialité)
- Ne donner à Elio que des instructions licites et ne collecter que les données strictement nécessaires à ses finalités (minimisation)
- Ne connecter au service que des comptes et outils dont il est légitimement titulaire, contenant des données loyalement collectées
- Répondre aux demandes d'exercice de droits reçues des personnes concernées par ses propres traitements
Article 6. Transferts hors Union Européenne
L'hébergement des données est exclusivement situé en France, sur des serveurs Scaleway.
Le traitement par les modèles de langage Claude implique une transmission de données à Anthropic, PBC, société établie aux États-Unis, au titre de l'abonnement souscrit directement par le Responsable de traitement. Ce transfert est encadré par les garanties prévues aux articles 44 et suivants du RGPD, notamment les clauses contractuelles types de la Commission européenne intégrées aux conditions d'Anthropic et, le cas échéant, le cadre EU-U.S. Data Privacy Framework. Seules les données nécessaires à l'exécution des instructions du Responsable sont transmises aux modèles.
Article 7. Registre des traitements
Le Sous-traitant tient à jour un registre des activités de traitement effectuées pour le compte du Responsable, conformément à l'article 30(2) du RGPD. Ce registre est disponible sur demande auprès de l'autorité de contrôle compétente.
Article 8. Audit
Le Responsable de traitement peut, sur notification préalable de 15 jours ouvrés, procéder à des audits de conformité ou mandater un auditeur tiers pour vérifier le respect des obligations du présent contrat. Les frais d'audit sont à la charge du Responsable.
Article 9. Droit applicable
Le présent contrat est soumis au droit français. Le Règlement (UE) 2016/679 (RGPD) est directement applicable. En cas de litige, les tribunaux de Paris seront compétents.
