Accord de sous-traitance (DPA)

Conclu entre :

• •Le Responsable de traitement : la Structure cliente (le professionnel utilisant Flowo) ;
• •Le Sous-traitant : l'Éditeur de Flowo (cf. Mentions légales).

1. Objet et durée

Le Sous-traitant traite des données à caractère personnel pour le compte du Responsable, dans le cadre de la fourniture du Service, pour la durée du contrat d'abonnement.

2. Nature, finalité et données

• •Finalité : récupération, transcription, catégorisation et gestion des messages vocaux et contenus associés.
• •Catégories de personnes : les appelants de la Structure (et, le cas échéant, ses contacts/clients).
• •Catégories de données : identité (nom, téléphone), contenu des messages et transcriptions, et, selon l'activité du Responsable, données potentiellement sensibles (le Responsable garantit disposer de la base légale appropriée et reste responsable de la licéité de la collecte).

3. Obligations du Sous-traitant (art. 28.3 RGPD)

1. Traiter les données uniquement sur instruction documentée du Responsable (le contrat et le paramétrage du Service valant instructions).
2. Garantir la confidentialité des personnes autorisées à traiter les données.
3. Mettre en œuvre les mesures de sécurité appropriées (art. 32) — cf. Politique de Confidentialité §6.
4. Respecter les conditions de recours à des sous-traitants ultérieurs (art. 4).
5. Aider le Responsable à répondre aux demandes d'exercice des droits des personnes.
6. Aider le Responsable pour la sécurité, les notifications de violation et les analyses d'impact (AIPD).
7. Notifier au Responsable toute violation de données dans les meilleurs délais.
8. À la fin du contrat, supprimer ou restituer les données, au choix du Responsable.
9. Mettre à disposition les informations nécessaires pour démontrer la conformité et permettre des audits.

4. Sous-traitants ultérieurs

Le Responsable autorise le recours aux sous-traitants ultérieurs listés dans la Politique de Confidentialité §4 (OVH, Stripe, OpenAI, Anthropic). Les transferts hors UE (OpenAI, Anthropic, Stripe) sont encadrés par les clauses contractuelles types et/ou le EU-US Data Privacy Framework. Le Sous-traitant informe le Responsable de tout changement et lui impose des obligations équivalentes.

5. Transferts hors UE

Encadrés par les clauses contractuelles types et/ou le EU-US Data Privacy Framework (cf. Politique de Confidentialité §4).

6. Responsabilité

Chaque partie répond des manquements qui lui sont imputables, dans les limites prévues au contrat et par la réglementation.