Accord de sous-traitance des données (DPA)

Le présent accord fait partie des conditions générales conclues entre Chill Studio (le « Sous-traitant ») et l’entreprise titulaire du compte Acraft (le « Responsable de traitement » ou « vous »). Il répond à l’article 28 du règlement (UE) 2016/679 (RGPD) et s’applique aux données personnelles de vos clients, contacts et membres d’équipe que vous saisissez dans Acraft.

Il s’applique automatiquement dès l’acceptation des conditions générales, sans signature distincte. En cas de contradiction, il prévaut sur les conditions générales pour ce qui concerne la protection des données.

L’accord produit ses effets pendant toute la durée d’utilisation du service, puis jusqu’à l’effacement des données dans les conditions de l’article 10.

• Nature : hébergement, stockage, consultation, organisation, modification, envoi par e-mail, transcription, analyse par l’IA, sauvegarde et effacement des données.
• Finalité : faire fonctionner Acraft pour vous : demandes, clients, chantiers, planning, devis, factures, e-mails à vos clients, signature en ligne des devis, rédaction et assistance par l’IA.

• Personnes concernées : vos clients (particuliers et professionnels) et leurs contacts, les personnes qui vous envoient une demande, les membres de votre équipe, vos fournisseurs et sous-traitants.
• Données : identité, coordonnées, adresses de facturation et de chantier, notes, photos, documents, enregistrements vocaux et vidéos, contenu des devis et factures, données de signature en ligne (nom, signature, date, adresse IP).
• Données sensibles (art. 9 RGPD) : le service n’en a pas besoin. N’en saisissez pas, sauf nécessité (par exemple un besoin d’accessibilité pour un chantier).

• Traiter les données uniquement sur vos instructions documentées, constituées des conditions générales, du présent accord et de votre utilisation du service, y compris pour les transferts hors de l’Union européenne, sauf obligation légale ; vous informer immédiatement si une instruction lui paraît contraire à la réglementation.
• Garantir la confidentialité : toute personne autorisée à accéder aux données est soumise à une obligation de confidentialité.
• Ne pas utiliser les données pour ses propres finalités, sauf les copies anonymisées décrites à l’article 9.
• Tenir un registre des traitements effectués pour votre compte (art. 30.2 RGPD).

Le Sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées (art. 32 RGPD) : chiffrement des échanges, cloisonnement des espaces, mots de passe stockés sous forme chiffrée irréversible, authentification à deux facteurs disponible, accès réservé à des personnes nommément désignées et journalisé, sauvegardes chiffrées régulières, hébergement en France.

Vous autorisez le recours aux sous-traitants ultérieurs suivants. Le Sous-traitant leur impose par contrat des obligations de protection des données au moins équivalentes et reste pleinement responsable de leur respect.

Tout ajout ou remplacement est annoncé sur cette page au moins 30 jours à l’avance, sauf urgence liée à la continuité du service. Vous pouvez vous y opposer par écrit à chill.studio.dev@gmail.com ; si l’objection ne peut être levée, vous pouvez résilier et obtenir le remboursement de la part non utilisée de votre abonnement.

Les transferts hors de l’Union européenne sont encadrés par les clauses contractuelles types de la Commission européenne, une certification au Data Privacy Framework UE–États-Unis ou une décision d’adéquation.

Le Sous-traitant vous notifie toute violation de données personnelles vous concernant dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, afin de vous permettre de respecter votre propre délai de notification de 72 heures à la CNIL (art. 33 RGPD). La notification indique la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, les conséquences probables et les mesures prises ou envisagées.

Les fournisseurs de modèles d’IA traitent les données uniquement pour répondre à la requête. Leurs engagements de conservation et d’entraînement sont détaillés sur la page Comment Acraft utilise l’IA.

Vous donnez instruction au Sous-traitant de conserver des copies anonymisées des devis rédigés par l’IA afin d’améliorer ses modèles. Une fois anonymisées, ces données ne sont plus des données personnelles. Vous pouvez retirer cette instruction à tout moment dans Réglages › Entreprise › IA des devis ; les copies conservées pour votre espace sont alors supprimées.

Le Sous-traitant vous aide, dans la mesure du possible, à répondre aux demandes d’exercice de droits de vos clients (accès, rectification, effacement, portabilité, opposition), notamment grâce aux fonctions d’export et de suppression du service, ainsi que pour vos analyses d’impact et la consultation préalable de la CNIL.

Vous pouvez exporter vos données à tout moment depuis les réglages. À la suppression de votre espace ou à la fin du contrat, le Sous-traitant efface les données du service immédiatement et des sauvegardes sous 30 jours, sauf obligation légale de conservation. Il vous appartient d’exporter auparavant les documents que vous devez conserver, notamment vos factures (10 ans).

Le Sous-traitant met à votre disposition les informations nécessaires pour démontrer le respect de ses obligations et répond par écrit à vos questions d’audit raisonnables, une fois par an ou après une violation de données. Un audit sur place peut être réalisé, à vos frais, par un auditeur indépendant soumis à la confidentialité, avec un préavis de 30 jours et sans perturber le service.

Vous vous assurez de disposer d’une base légale pour les données que vous saisissez et d’informer vos clients, par exemple dans votre propre politique de confidentialité, que vous utilisez Acraft (Chill Studio) pour gérer vos devis, chantiers et factures.