Accord de traitement des données

Version du 2026-11-05.

Le présent accord complète les conditions générales et en fait partie intégrante. Il règle, conformément à l'article 28 du règlement (UE) 2016/679 (« RGPD »), le traitement des données personnelles que le Client confie à l'Éditeur en utilisant le service claudiassist (le « Service »). Le Client l'accepte en cochant la case prévue à la création de son espace ; cette acceptation, datée et rattachée à la version du texte, est consignée.

1. Parties et rôles

• Le Client — l'entreprise qui crée un espace — est responsable de traitement des données personnelles de ses propres clients, prospects, fournisseurs et collaborateurs, qu'il saisit, importe ou reçoit dans le Service.
• L'Éditeur — Aveliqa, Guillaume FOURNIER, entrepreneur individuel (EI), RCS Pau 130 494 388, 7 chemin des Vignes, 64230 Sauvagnon — est sous-traitant pour ces données : il ne les traite que pour fournir le Service, sur instruction documentée du Client.
• Pour ses propres traitements (compte du Client, facturation, prospection, sécurité, mesure d'usage du Service, repères de prix), l'Éditeur est responsable de traitement : ils sont décrits dans la politique de confidentialité et ne relèvent pas du présent accord.
• Point de contact pour la protection des données de l'Éditeur : Guillaume FOURNIER, privacy@claudiassist.com.

2. Objet, durée, nature et finalité

L'Éditeur traite les données du Client pour mettre à sa disposition les fonctions du Service décrites à l'annexe 1 : regroupement des courriels et des SMS, préparation de réponses, devis et factures, dossiers et agenda, notes et réponses vocales, comptabilité et déclarations. Le traitement dure aussi longtemps que le Client dispose d'un espace, puis jusqu'à l'effacement prévu à l'article 10.

3. Instructions du Client

• Les instructions du Client sont le présent accord, les conditions générales et l'usage qu'il fait des fonctions du Service (saisie, connexion d'une boîte, activation d'une automatisation, export, clôture). Toute instruction supplémentaire se donne par écrit à privacy@claudiassist.com.
• L'Éditeur ne traite les données ni pour son propre compte, ni pour un autre client, ni pour entraîner des modèles d'intelligence artificielle, ni pour de la publicité ; il ne les vend ni ne les loue. Deux exceptions, décrites dans la politique de confidentialité : la mesure d'usage du Service — des compteurs par jour et par fonctionnalité, rangés par code d'activité et forme juridique du profil légal du Client, sans aucun contenu — que le Client peut refuser par écrit ; et les repères de prix — le prix de vente hors taxes, arrondi à l'euro, de chaque poste de référence du catalogue du Client, versé sans son identité à une fourchette que consultent les autres clients de l'Éditeur, à partir de cinq entreprises au moins — que le Client coupe quand il le souhaite depuis le catalogue (un réglage), et qui lui retire alors la vue des repères des autres. Pour classer une désignation du catalogue dans un poste de référence, l'Éditeur la transmet, sans prix ni nom de client, à un sous-traitant ultérieur d'intelligence artificielle de l'annexe 3.
• Aucun message n'est envoyé à un client final du Client sans geste explicite du Client ou sans une automatisation qu'il a lui-même activée et qu'il peut couper à tout moment.
• Si l'Éditeur estime qu'une instruction contrevient au RGPD, il en informe aussitôt le Client et peut suspendre son exécution.

4. Confidentialité

L'Éditeur n'accède aux contenus du Client que pour l'exploitation et la sécurité du Service. Il ne lit aucun contenu, sauf sur demande écrite du Client pour une intervention d'assistance (accès nominatif, limité à 72 heures, journalisé, messages personnels exclus), pour des raisons de sécurité, ou si la loi l'exige. Toute personne qu'il autorise à traiter ces données est tenue à la confidentialité.

5. Sécurité (article 32 du RGPD)

L'Éditeur met en œuvre les mesures techniques et organisationnelles décrites à l'annexe 2, et les fait évoluer pour maintenir un niveau de sécurité adapté au risque.

6. Sous-traitants ultérieurs

• Le Client donne à l'Éditeur une autorisation générale de recourir aux sous-traitants ultérieurs de l'annexe 3, liés à lui par un contrat imposant les mêmes obligations de protection que le présent accord. L'Éditeur reste responsable à l'égard du Client de leurs manquements.
• L'Éditeur peut ajouter ou remplacer un sous-traitant ultérieur, ou en étendre l'usage, à tout moment et sans préavis. L'annexe 3 est mise à jour au plus tard à son entrée en service : c'est elle qui informe le Client. Le Client peut s'y opposer par écrit, pour un motif raisonnable lié à la protection des données ; à défaut d'accord, il peut résilier son abonnement sans pénalité ni frais.
• Les services de messagerie et d'agenda (Google, Microsoft) que le Client choisit de connecter, et les administrations destinataires de ses déclarations, sont des tiers choisis par lui, non des sous-traitants de l'Éditeur : il les autorise lui-même depuis le Service et peut retirer cet accès à tout moment.
• L'aide à la saisie par annuaires publics (recherche d'une entreprise dans la base SIRENE, complétion d'une adresse par la Base Adresse Nationale) transmet à ces services publics, sur instruction du Client matérialisée par son geste de saisie, le seul texte tapé, sans identifiant du Client ni de ses contacts. Leurs exploitants (DINUM/INSEE, IGN) sont des destinataires publics, services de l'administration française et responsables de traitement distincts, non des sous-traitants de l'Éditeur.

7. Transferts hors de l'Union européenne

Les données du Client sont hébergées dans l'Union européenne (région Paris). L'Éditeur ne les transfère pas hors de l'Union européenne, sauf si le Client l'a instruit ou autorisé, ou si un sous-traitant de l'annexe 3 y est contraint ; dans ce cas le transfert est encadré par une garantie prévue au chapitre V du RGPD (décision d'adéquation, clauses contractuelles types) et signalé au Client. L'inférence IA peut être effectuée hors de l'Union européenne.

8. Droits des personnes, assistance au Client

• Le Service permet au Client d'accéder aux données, de les rectifier, de les effacer et de les exporter. Si l'Éditeur reçoit directement la demande d'une personne concernée, il la transmet au Client dans un délai de cinq jours ouvrés et n'y répond pas lui-même, sauf instruction contraire.
• L'Éditeur aide le Client, dans la mesure de ses moyens et sur demande, à respecter les articles 32 à 36 du RGPD (sécurité, analyse d'impact, consultation de l'autorité) et à répondre aux demandes de l'autorité de contrôle, en lui fournissant les informations dont il dispose.

9. Violation de données

L'Éditeur notifie au Client toute violation de données personnelles affectant ses données dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les informations dont il dispose : nature de la violation, catégories et nombre approximatif de personnes et de données concernées, conséquences probables, mesures prises ou proposées. La notification à l'autorité de contrôle et aux personnes concernées reste de la responsabilité du Client.

10. Sort des données à la fin du contrat

• À la clôture de l'espace, le Client peut télécharger l'archive complète de ses données pendant 7 jours.
• Les données sont ensuite effacées : 15 jours après la clôture par défaut, 30 jours au plus. Les sauvegardes techniques expirent à leur terme, 7 jours au plus.
• Seules subsistent les pièces que la loi impose de conserver (factures et devis acceptés, par exemple), sous la responsabilité du Client, qui en demande la restitution avant l'effacement.

11. Audit et preuve de conformité

L'Éditeur met à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord (registre des sous-traitants, description des mesures de sécurité). Le Client peut, une fois par an et avec un préavis de 30 jours, demander un audit de conformité, par questionnaire puis, si cela ne suffit pas, sur pièces ou sur place par un auditeur tenu au secret, à ses frais, sans accès aux données d'autres clients et sans perturber le Service.

12. Responsabilité, droit applicable, évolution

• La responsabilité des parties est régie par les conditions générales ; en cas de contradiction sur la protection des données, le présent accord prévaut.
• Droit applicable et juridictions compétentes : ceux des conditions générales (droit français).
• L'Éditeur peut modifier le présent accord à tout moment, pour suivre le droit ou le Service ; la nouvelle version s'applique dès sa publication sur cette page. Le Client qui la refuse peut résilier son abonnement sans pénalité ni frais. La version applicable est celle indiquée en tête de la page.

Annexe 1 — Description des traitements

Personnes concernées : clients et prospects du Client, fournisseurs, collaborateurs et utilisateurs de son espace, correspondants de ses messages.

Catégories de données : identité et coordonnées, adresses d'intervention, contenus et pièces jointes de courriels et de SMS, photos de chantier, documents, devis, factures et montants, enregistrements vocaux et transcriptions, opérations bancaires d'un relevé fourni pour le rapprochement, jetons de notification des téléphones. Le Service n'est pas conçu pour traiter des catégories particulières de données (article 9) : le Client s'abstient de les y saisir.

Annexe 2 — Mesures de sécurité

• Isolation : chaque donnée est rattachée à l'espace du Client et protégée par une isolation au niveau de la base de données (Row Level Security) en plus du contrôle applicatif ; des tests d'isolation entre espaces sont obligatoires.
• Chiffrement : données chiffrées au repos et en transit (TLS) ; autorisations d'accès aux boîtes et agendas connectés chiffrées (AES-256, clés gérées par AWS KMS).
• Accès : mots de passe hachés (argon2id), double authentification, sessions courtes à renouvellement rotatif avec détection de réutilisation, limitation des tentatives.
• Hébergement : Union européenne (AWS, région Paris) ; secrets applicatifs dans un coffre dédié ; séparation des bases de données de comptes et de facturation.
• Intelligence artificielle : données transmises réduites au strict nécessaire, sorties vérifiées avant enregistrement ; l'inférence IA peut être effectuée hors de l'Union européenne.
• Traçabilité : journal d'audit des actes de gestion de chaque espace ; journaux d'exécution sans donnée personnelle, conservés 30 jours ; journal de la base de données (connexions et échecs d'authentification), conservé 90 jours ; historique des connexions conservé 12 mois.
• Rétention et effacement : purges planifiées selon les durées de l'annexe 1 ; effacement complet à la clôture de l'espace.
• Assistance : accès nominatif, limité à 72 heures, journalisé, messages personnels exclus.

Annexe 3 — Sous-traitants ultérieurs

Prévu, pas encore en service : opérateur de ligne SMS. Il ne sera activé qu'après l'information préalable de l'article 6.