Accord de sous-traitance

BENEZET Valentin Simon EI
2 rue de Lavernhe, 12210 Laguiole
SIRET 10767397200017
contact@klarvi.fr

Le présent accord encadre les traitements de données personnelles que BENEZET Valentin Simon EI (le « sous-traitant ») réalise pour le compte du client (le « responsable de traitement ») dans le cadre du service Klarvi. Il complète les conditions générales de vente et prévaut sur elles pour ce qui concerne la protection des données.

Le client demeure responsable des traitements dont il fixe les finalités et les moyens — notamment de la licéité des adresses qu'il importe et des envois qu'il déclenche.

Traitements réalisés : hébergement, réception, envoi, stockage et restitution de courrier électronique ; carnet d'adresses, listes et envois groupés ; assistance à la rédaction sur demande explicite ; sauvegardes ; journaux techniques.

Catégories de données : données d'identification et de connexion des utilisateurs du client ; contenus des correspondances et pièces jointes ; carnets d'adresses (identité, coordonnées professionnelles) ; données de facturation.

Personnes concernées : les utilisateurs du client, ses correspondants, et les contacts qu'il enregistre.

Le sous-traitant ne traite les données que sur instruction documentée du client — l'usage du service et sa configuration valent instruction — sauf obligation légale, auquel cas il en informe le client avant le traitement, à moins que le droit ne l'interdise.

Il informe le client si une instruction lui paraît contraire au RGPD.

Les personnes autorisées à traiter les données sont tenues à la confidentialité. Le contenu des boîtes n'est jamais lu pour du ciblage, des statistiques ou l'entraînement d'un modèle.

Un accès au contenu d'une boîte n'a lieu que sur demande du client, pour un dépannage, et il est consigné. Le secret des correspondances (article 226-15 du code pénal) s'applique.

Mesures en place, vérifiables dans la documentation d'exploitation : TLS 1.2 minimum sur tous les accès ; secrets applicatifs chiffrés au repos (AES-256-GCM, clé hors base) ; mots de passe conservés en empreintes ; vérification en deux étapes disponible sur la messagerie et la console ; cloisonnement strict par organisation ; sauvegardes chiffrées avant de quitter le serveur, vers un dépôt hors site, avec restauration répétée chaque semaine ; supervision continue avec journal d'incidents public ; journalisation des actions d'administration.

Ces mesures évoluent avec l'état de l'art ; elles ne sont jamais réduites sans information du client.

Le client autorise de manière générale le recours aux sous-traitants ultérieurs suivants : OVH SAS (France) — héberge le serveur : le courrier, la webmail et la console ; Cloudflare, Inc. (États-Unis (dépôt de sauvegarde)) — reçoit chaque nuit les sauvegardes, pour qu'elles ne soient pas sur le serveur ; Mistral AI (France) — fait tourner l'assistant klarvi ai. Hébergement du service : OVH SAS, 2 rue Kellermann, 59100 Roubaix, France.

La liste à jour, avec ce à quoi chacun a réellement accès, est publiée en continu dans la politique de confidentialité. Tout ajout ou remplacement y est reflété ; le client peut s'y opposer par écrit, l'issue pouvant alors être la résiliation sans frais.

Le sous-traitant impose à ses sous-traitants ultérieurs les mêmes obligations que le présent accord et répond de leurs manquements.

Deux cas, et leur cadre : Cloudflare, Inc. reçoit les sauvegardes — chiffrées sur notre serveur AVANT l'envoi, avec une clé qu'il ne détient pas : il stocke des blocs illisibles. Ces transferts s'appuient sur les clauses contractuelles types de la Commission européenne ou sur une décision d'adéquation applicable au destinataire.

Le client peut demander la désactivation de l'assistant pour son organisation : aucun contenu ne part alors vers un fournisseur d'IA, quel qu'il soit.

Droits des personnes : l'export intégral du courrier (format mbox, standard) et du carnet d'adresses est disponible en libre service, sans demande ni délai. Pour le reste (accès, rectification, effacement ciblé), le sous-traitant assiste le client dans un délai raisonnable.

Le sous-traitant assiste également le client pour ses obligations de sécurité, d'analyse d'impact et de consultation préalable, dans la mesure des informations dont il dispose.

Le sous-traitant notifie au client toute violation de données le concernant sans délai indu après en avoir pris connaissance, avec ce que l'article 33-3 exige : nature de la violation, catégories et volumes approximatifs concernés, conséquences probables, mesures prises. La procédure interne de traitement des violations est documentée.

C'est au client, responsable de traitement, de notifier la CNIL et, le cas échéant, les personnes concernées ; le sous-traitant lui fournit tout ce qu'il faut pour le faire dans les 72 heures.

À la fin du contrat, la réception est maintenue 30 jours et l'export reste ouvert pendant ce délai — le client repart avec l'intégralité de son courrier, sans demande préalable.

La suppression des données intervient ensuite sur instruction écrite du client, et jamais par automatisme : détruire le courrier de quelqu'un est un geste humain, tracé. Les copies présentes dans les sauvegardes s'éteignent par rotation (au plus douze mois) ; les données de facturation sont conservées dix ans, comme la loi l'impose.

Le sous-traitant met à la disposition du client les informations nécessaires pour démontrer le respect du présent accord : politique de confidentialité, liste des sous-traitants, page d'état publique avec journal d'incidents, registre des traitements sur demande.

Le client peut mener, à ses frais et au plus une fois par an sauf violation avérée, un audit sur préavis raisonnable — sous forme de questionnaire ou, si nécessaire, sur pièces — sans accès aux données des autres clients.

Ce texte est un modèle sérieux, aligné sur le fonctionnement réel du service, et il fait partie du contrat dès la souscription. Il n'a pas encore été relu par un avocat : si votre organisation exige une version validée ou des aménagements, écrivez-nous — c'est une conversation que nous préférons avoir avant la signature qu'après.