Accord de sous-traitance (DPA)

Conclu entre :

• •Le Responsable de traitement : la Structure cliente (le professionnel utilisant Flowo) ;
• •Le Sous-traitant : l'Éditeur de Flowo (cf. Mentions légales).

Le présent accord fait partie des CGU : il est accepté avec elles, au nom de la Structure, lors de la création ou de l'utilisation de la Structure (contrat écrit sous forme électronique, art. 28.9 RGPD).

1. Objet et durée

Le Sous-traitant traite des données à caractère personnel pour le compte du Responsable, dans le cadre de la fourniture du Service, pour la durée du contrat d'abonnement.

2. Nature, finalité et données

• •Finalité : récupération, transcription, catégorisation et gestion des messages vocaux et contenus associés.
• •Catégories de personnes : les appelants de la Structure (et, le cas échéant, ses contacts/clients).
• •Catégories de données : numéro et nom de l'appelant, numéro appelé, enregistrement audio, transcription et résumé des messages ; selon les modules activés, emails, notes, contacts, données patients et de séance ; et, selon l'activité du Responsable, données potentiellement sensibles (le Responsable garantit disposer de la base légale appropriée et reste responsable de la licéité de la collecte).
• •Lieu d'hébergement : serveur exploité par le Sous-traitant, situé en France.

3. Obligations du Sous-traitant (art. 28.3 RGPD)

1. Traiter les données uniquement sur instruction documentée du Responsable (le contrat et le paramétrage du Service valant instructions).
2. Garantir la confidentialité des personnes autorisées à traiter les données.
3. Mettre en œuvre les mesures de sécurité appropriées (art. 32) — cf. Politique de Confidentialité §6.
4. Respecter les conditions de recours à des sous-traitants ultérieurs (art. 4).
5. Aider le Responsable à répondre aux demandes d'exercice des droits des personnes.
6. Aider le Responsable pour la sécurité, les notifications de violation et les analyses d'impact (AIPD).
7. Notifier au Responsable toute violation de données dans les meilleurs délais.
8. À la fin du contrat, permettre au Responsable de récupérer ses données (export depuis le Service, ou copie sur demande au support), puis les supprimer : à sa demande (suppression effectuée 10 jours après validation de la demande) et, au plus tard, 3 mois après la fin de l'abonnement ou de l'essai, après un avertissement par email aux administrateurs de la Structure 30 jours avant. Seules les factures sont conservées, 10 ans (obligation légale).
9. Mettre à disposition les informations nécessaires pour démontrer la conformité et permettre des audits.

4. Sous-traitants ultérieurs

Le Responsable autorise le recours aux sous-traitants ultérieurs listés dans la Politique de Confidentialité §4 pour les données traitées pour son compte : OVH SAS (téléphonie, emails de service), OpenAI (transcription et analyse par IA), Google (réception par email des messages vocaux des lignes Orange, l'email étant placé dans la corbeille dès l'enregistrement du message dans le Service puis supprimé par Google 30 jours plus tard ; module Gmail), Sentry (suivi des erreurs, sans le contenu des messages) et, si les modules sont activés, Notion et Anthropic. Le Sous-traitant informe le Responsable de tout changement et impose à ses sous-traitants ultérieurs des obligations équivalentes.

5. Transferts hors UE

Les transferts hors UE (OpenAI, Google et, selon les modules activés, Notion et Anthropic) sont encadrés par le EU-US Data Privacy Framework et/ou les clauses contractuelles types de la Commission européenne (cf. Politique de Confidentialité §4).

6. Responsabilité

Chaque partie répond des manquements qui lui sont imputables, dans les limites prévues au contrat et par la réglementation.