Contrat de sous-traitance

Responsable du traitement (client) : le client qui utilise ComLayer — [encore à déterminer : société, adresse et représentation du client]. Ces informations sont complétées lors de la signature de la version individuelle.

Aucun délégué à la protection des données n'a été désigné : le sous-traitant n'atteint pas les seuils du § 38 BDSG. La direction répond aux demandes relatives à la protection des données à l'adresse indiquée à la clause 13.

L'objet du traitement est la mise à disposition et l'exploitation de la plateforme ComLayer pour le client conformément aux Conditions générales de vente. La finalité est exclusivement la fourniture de cette prestation, c'est-à-dire la réception, la réponse et la gestion des demandes de support des clients finaux du client.

La nature du traitement comprend la collecte, l'enregistrement, la conservation, l'organisation, la consultation, l'utilisation, la communication aux sous-traitants ultérieurs mentionnés à la clause 8, la limitation et la suppression. Le sous-traitant ne traite pas les données à ses propres fins ; en particulier, il ne les analyse pas pour entraîner ses propres modèles.

Il en va de même pour les fournisseurs de modèles et d'embeddings utilisés : Les deux fournisseurs se sont engagés par contrat à la même exclusion : le fournisseur du modèle par les conditions de traitement des données de Google Cloud, le fournisseur des embeddings par les conditions d'utilisation de Voyage AI.

Le traitement a lieu pendant la durée du contrat principal. Il prend fin avec la cessation de celui-ci et avec la suppression consécutive prévue à la clause 11.

• Clients finaux et visiteurs du site web du client qui utilisent le canal de support
• Employés et mandataires du client qui travaillent dans la plateforme en tant que membres de l'équipe
• Personnes mentionnées dans les messages, les contenus de connaissances ou le feedback du client

• Données de base du visiteur : nom et adresse e-mail, si elles sont indiquées, page consultée, localisation approximative, moment du premier contact
• Contenus de communication : messages du chat et du transfert au personnel, horodatages, attribution à une conversation, son état d'avancement ainsi que les pièces jointes téléversées
• Données d'utilisateur des membres de l'équipe : nom, adresse e-mail, rôle, attribution à l'espace de travail
• Contenus de la base de connaissances et les embeddings générés à partir de ceux-ci
• Contributions au feedback et à la roadmap, y compris les données de la personne qui les soumet

Les catégories particulières de données à caractère personnel visées à l'article 9 du RGPD ne font pas l'objet du présent contrat. Si le client transmet néanmoins de telles données par le canal de support, il le fait sous sa responsabilité ; les parties conviennent alors séparément des mesures supplémentaires nécessaires.

Le sous-traitant traite les données uniquement sur instruction documentée du client. Le présent contrat et l'utilisation de la plateforme par le client et les membres de son équipe constituent cette instruction. Toute instruction allant au-delà est donnée sous forme textuelle à info@comlayer.app.

Si le sous-traitant estime qu'une instruction enfreint le droit de la protection des données, il en informe le client sans délai et peut suspendre l'exécution jusqu'à la confirmation de celui-ci. Lorsqu'un transfert vers un pays tiers résulte d'une obligation légale, il en informe le client au préalable, sauf si le droit l'interdit.

Pour le traitement, le sous-traitant n'emploie que des personnes tenues à la confidentialité et familiarisées avec les dispositions applicables en matière de protection des données. Cette obligation subsiste après la fin de leur activité. Le cercle des personnes autorisées à accéder aux données est limité à ce qui est nécessaire à l'exploitation.

Le sous-traitant prend les mesures suivantes ; elles correspondent à l'état de la technique et sont adaptées en continu. Une modification ne peut pas descendre en dessous du niveau de protection.

• Chiffrement de toutes les connexions par TLS ; la connexion à la base de données passe par des certificats à courte durée de vie authentifiés des deux côtés
• Stockage chiffré des données au repos
• Cloisonnement des données par client : chaque enregistrement est rattaché à un espace de travail, et chaque accès est vérifié côté serveur au regard de l'appartenance à cet espace de travail
• Modèle de rôles et de droits avec des rôles distincts pour l'administration et le suivi
• Les pièces jointes sont conservées dans un stockage non public et ne sont délivrées que par une route de l'application soumise à une vérification d'accès
• La clé publique du widget peut être renouvelée par espace de travail ; les domaines d'intégration autorisés peuvent être restreints
• Limitation du débit de requêtes contre l'utilisation abusive des interfaces publiques
• Sauvegardes régulières et exploitation supervisée ; délais de rétablissement : délai de rétablissement (RTO) et perte de données maximale (RPO) de 24 heures chacun
• Procédure de contrôle régulier de l'efficacité : annuellement par la direction

Le client donne son autorisation générale au recours aux sous-traitants ultérieurs indiqués ci-dessous. Le sous-traitant les astreint à un niveau de protection correspondant au présent contrat et répond de leur comportement comme du sien.

Si le client intègre sa propre réservation de rendez-vous via Cal.com, Cal.com est son prestataire de services et non un sous-traitant ultérieur du sous-traitant ; le sous-traitant se borne à recevoir la notification des rendez-vous réservés.

Les contenus restent dans l'UE. Les conversations, la base de connaissances et les comptes se trouvent dans la région de base de données europe-west3 (Francfort), les pièces jointes et les logos dans le stockage de fichiers de la même région, la mise à jour en direct des conversations ouvertes s'exécute en europe-west1, et l'agent IA répond depuis la multirégion Vertex eu ; les modèles auxiliaires pour les lignes d'objet et l'analyse des documents s'exécutent en europe-west1. La région du stockage de fichiers a été mesurée le 7 août 2026 sur les buckets utilisés ; toutes les autres figurent dans la configuration du déploiement.

Quatre services traitent des données en dehors de l'UE, à savoir aux États-Unis : Clerk pour la connexion, les comptes et les sessions, Stripe pour le traitement des paiements, Resend pour l'envoi des notifications à l'équipe — celles-ci contiennent des extraits littéraux de conversations — et Voyage AI pour les embeddings de la recherche sémantique, qui reçoit à cette fin les contenus de connaissances. Ces transferts reposent sur les clauses contractuelles types de la Commission européenne ; quelle version et quelle analyse d'impact s'applique à chaque fournisseur est fixé par le contrat de sous-traitance. L'exploitation de l'application elle-même relève de Vercel, un groupe américain ; la région de diffusion de ce déploiement n'est pas mesurée et y est également signalée comme point ouvert.

Le sous-traitant informe le client sous forme textuelle, au moins une semaine à l'avance, du remplacement ou de l'ajout d'autres sous-traitants ultérieurs. Le client peut s'y opposer pour un motif important relevant du droit de la protection des données ; dans ce cas, chaque partie peut résilier le contrat principal à la date du changement.

Le sous-traitant fonde les transferts vers les États-Unis sur les clauses contractuelles types de la Commission européenne au titre de l'article 46, paragraphe 2, point c), du RGPD, dans la version de la décision d'exécution (UE) 2021/914 du 4 juin 2021, module 2 (transfert d'un responsable du traitement à un sous-traitant). Les fournisseurs utilisés mettent chacun à disposition leurs propres analyses d'impact des transferts, sur lesquelles nous prenons appui ; nous ne réalisons pas d'évaluation propre supplémentaire au cas par cas. Tant que ce point reste ouvert, la liste est complète et la voie de transfert est nommée, mais l'évaluation au cas par cas n'est pas achevée.

Le sous-traitant assiste le client, dans la mesure du raisonnable, dans l'exercice des droits des personnes concernées au titre des articles 15 à 22 du RGPD ainsi que pour les analyses d'impact relatives à la protection des données et les consultations au titre des articles 35 et 36 du RGPD.

Si une personne concernée s'adresse directement au sous-traitant, celui-ci transmet la demande sans délai au client et n'y répond pas lui-même. Le renseignement sur les données conservées ainsi que leur remise ou leur suppression sont fournis sur demande via info@comlayer.app dans un délai de 48 heures.

Pour les données de son propre espace de travail, le client dispose en outre d'une voie en libre-service : dans Einstellungen → Allgemein, ses administrateurs peuvent générer à tout moment un export complet et lisible par machine (« Daten exportieren », format JSON) et demander la suppression de l'espace de travail (« Workspace löschen »). La suppression est enregistrée avec un délai de grâce de 30 jours et reste révocable jusqu'au dernier jour. Les deux voies sont ouvertes indépendamment du forfait souscrit.

Le sous-traitant notifie au client toute violation de données à caractère personnel dont il a connaissance sans délai, au plus tard dans les 72 heures suivant la prise de connaissance. La notification contient les informations exigées à l'article 33, paragraphe 3, du RGPD, dans la mesure où elles sont disponibles ; les informations manquantes sont communiquées ultérieurement. La notification à l'autorité de contrôle et, le cas échéant, aux personnes concernées incombe au client.

Après la fin du contrat principal, le sous-traitant supprime les données traitées pour le compte du client, y compris les copies existantes, dans un délai de 30 jours, sauf si le client en demande la restitution auparavant. Les sauvegardes sont écrasées dans le cadre du cycle de sauvegarde habituel.

Les obligations légales de conservation ne sont pas affectées ; les données concernées font l'objet d'une limitation du traitement pendant la durée de conservation.

Le sous-traitant démontre le respect du présent contrat sur demande, de manière appropriée, en particulier par des renseignements sur les mesures prises. Le client est en droit de s'assurer de ce respect après annonce préalable dans un délai raisonnable et sans perturber le déroulement de l'exploitation ; les audits sur site sont limités aux motifs justifiés. Il n'existe actuellement ni certifications ni rapports d'audit propres ; la preuve est apportée par les renseignements visés à la phrase 1. Pour les sous-traitants ultérieurs utilisés, leurs certifications respectives s'appliquent.

En cas de contradictions, les dispositions du présent contrat priment sur celles du contrat principal pour ce qui concerne le traitement de données à caractère personnel. Le droit allemand s'applique. Pour le reste, les Conditions générales de vente s'appliquent, complétées par la Politique de confidentialité.