Accord de sous-traitance des données

Le présent accord est conclu entre vous, l’entreprise qui a créé un compte Osimi (le « responsable du traitement »), et Filip Marcel Bojda, entrepreneur individuel (EI), nom commercial Web'Inspir, 11 rue du Bel Air, 93600 Aulnay-sous-Bois, France, SIREN 101 943 637 (« Osimi » ou le « sous-traitant »).

Il fait partie des conditions générales de vente (article 9) : il s’applique dès la création du compte, sans signature. Sur demande, nous vous l’envoyons sous forme de document à signer par les deux parties.

Osimi traite pour votre compte les données personnelles de vos clients et de vos contacts que vous saisissez, dictez ou envoyez dans le Service, ou qui y arrivent par les fonctions de votre pack (par exemple une visite de chantier, ou le chat de vos clients pour un restaurant).

Nature : enregistrement, conservation, consultation, mise en forme dans des documents, envoi sur votre ordre, transcription de la voix, lecture des photos et des messages par un modèle d’IA, réponse à vos clients sur le chat, suppression. Finalité : fournir le Service décrit dans les CGV, en particulier préparer vos devis, factures, relances, comptes rendus de visite et messages à vos clients et, pour un restaurant (Pack Nolan) : répondre à vos clients sur le chat et vous transmettre leurs demandes de table, tenir vos réservations, envoyer vos commandes à vos fournisseurs et suivre les livraisons et le stock, envoyer vos offres par e-mail aux clients qui les ont acceptées, après avoir recueilli et conservé pour vous la preuve de leur accord. Durée : celle de votre abonnement, puis jusqu’à la suppression des données prévue à l’article 8.

Personnes concernées : vos clients et prospects (particuliers et professionnels), les personnes de contact chez vos clients, les personnes présentes lors d’une visite de chantier ; pour un restaurant, les clients qui écrivent sur le chat ou demandent une table, ceux qui acceptent vos offres par e-mail, vos fournisseurs et leurs personnes de contact ; vos employés qui parlent à l’agent (texte et voix).

Données : nom ou raison sociale, adresse, téléphone, e-mail, SIREN ou SIRET, lieu des travaux, contenu des demandes et des échanges (y compris la transcription des messages vocaux), photos et enregistrements vocaux des visites de chantier avec leur transcription, lignes et montants des devis et des factures ; pour un restaurant : jour, heure et nombre de personnes d’une réservation, messages du chat et identifiant technique de la conversation, adresse e-mail des clients qui acceptent vos offres et preuve de leur accord (texte et version, dates, empreinte journalière de l’adresse IP, empreinte du numéro de téléphone), nom, téléphone et e-mail de vos fournisseurs, commandes et livraisons.

Données de santé (article 9 du RGPD). Le Service n’est pas prévu pour des données sensibles (santé, opinions, origine…) et ne vous en demande jamais. Vous vous engagez à ne pas en saisir ni en dicter, y compris les allergies de vos clients : si vous dictez une allergie, l’agent n’en note pas le détail dans la réservation, seulement la note « allergie signalée, voir avec le client », visible de votre équipe ; votre message reste dans l’historique de votre conversation.

Seule exception prévisible : un client d’un restaurant peut, de lui-même, mentionner une allergie ou une intolérance sur le chat. Pour ce cas, les règles suivantes s’appliquent :

• Base légale : le consentement explicite du client (article 9.2.a du RGPD), qui choisit lui-même d’écrire cette information, après avoir été informé dans la politique de confidentialité, à laquelle renvoie la page du chat. Vous en êtes responsable comme responsable du traitement ; si le client retire son accord ou demande l’effacement, nous supprimons son message, sur sa demande ou la vôtre, et vous retirez la note en le disant à votre agent.
• Minimisation : le chat n’inscrit pas le détail de l’allergie dans la demande de table et ne le recopie ni dans les messages ni dans les notifications qu’il vous envoie ; il vous signale seulement qu’un client a mentionné une allergie, pour que vous puissiez le contacter, et la demande, puis la réservation, portent la seule note « allergie signalée, voir avec le client », visible de votre équipe en salle. Il est réglé pour ne jamais confirmer la composition d’un plat ni l’absence d’un allergène.
• Durée : le message du client est supprimé avec l’historique du chat, au bout de 30 jours.
• Accès : le message n’est visible que de votre entreprise, dans l’historique du chat ; il est lu par le modèle d’IA (Anthropic) seulement pour répondre au client ; chez Osimi, l’accès technique à la base est limité au strict nécessaire (article 6).

• Nous traitons ces données uniquement sur vos instructions documentées, y compris pour les transferts hors de l’Union européenne décrits à l’article 5. Vos instructions sont l’usage que vous faites des fonctions du Service, dans le cadre des CGV.
• Pour les offres par e-mail d’un restaurant, vos instructions comprennent les règles du Service, que vous acceptez avec les CGV : accord préalable de chaque client, case jamais cochée d’avance, confirmation par e-mail, aucune adresse ajoutée ni importée, envoi seulement après votre « oui », au plus un e-mail par semaine à un même client, désinscription en un clic qui prend effet tout de suite, et les durées de conservation de la politique de confidentialité.
• Nous vous informons immédiatement si une instruction nous semble contraire au RGPD.
• Les personnes autorisées à accéder aux données sont tenues à la confidentialité.
• Nous appliquons les mesures de sécurité de l’article 6 (article 32 du RGPD).
• Nous vous aidons, autant que nous le pouvons, à répondre aux demandes des personnes concernées (accès, rectification, effacement, opposition…).
• Nous vous aidons à respecter vos obligations des articles 32 à 36 du RGPD (sécurité, violations de données, analyse d’impact, consultation de la CNIL), selon les informations dont nous disposons.
• À la fin du contrat, nous supprimons ou vous restituons les données (article 8).
• Nous mettons à votre disposition les informations nécessaires pour démontrer le respect de ces obligations et nous permettons les audits (article 9).

Vous nous autorisez à faire appel aux sous-traitants ultérieurs listés à l’article 5 de la politique de confidentialité (Supabase, Anthropic, OpenAI, OVHcloud, Amazon Web Services, Resend, Expo, Stripe, Cloudflare, Google Workspace). Nous leur imposons des obligations de protection des données au moins équivalentes à celles du présent accord et nous restons responsables envers vous de leur exécution.

Pour un restaurant (Pack Nolan). Les messages du chat sont lus par Anthropic (États-Unis) pour répondre à vos clients ; les offres par e-mail ne partent que par Amazon SES (Francfort) ; les e-mails de confirmation des offres et les commandes à vos fournisseurs partent par Amazon SES, et par Resend seulement si Amazon SES est indisponible ; les données sont conservées chez Supabase (Union européenne) et les notifications passent par Expo, Apple et Google.

Facture électronique. Si vous l’activez, nous transmettons sur votre ordre vos factures à vos clients professionnels en France, avec les données de ces clients qu’elles contiennent, à SUPER PDP (SUPER G SAS, 6 rue de la Dhuis, 75020 Paris), plateforme agréée par l’administration fiscale. SUPER PDP ne figure pas parmi nos sous-traitants ultérieurs : c’est votre plateforme agréée, chez qui vous ouvrez votre propre compte et dont vous acceptez les conditions. Cette transmission cesse dès que vous désactivez la facture électronique.

Avant d’ajouter ou de remplacer un sous-traitant ultérieur, nous vous en informons au moins 14 jours à l’avance (politique de confidentialité mise à jour et message dans l’application). Vous pouvez vous y opposer ; à défaut d’accord, vous pouvez résilier l’abonnement.

Certains de ces sous-traitants traitent des données aux États-Unis. Ces transferts reposent sur les clauses contractuelles types de la Commission européenne et, lorsqu’il s’applique, sur le cadre de protection des données entre l’UE et les États-Unis (Data Privacy Framework), comme le décrit la politique de confidentialité.

• Échanges chiffrés (TLS) et données chiffrées au repos chez l’hébergeur de la base de données, dans l’Union européenne.
• Fichiers dans un stockage privé, accessibles seulement par des liens signés et temporaires.
• Accès au compte par codes, avec des rôles séparés (dirigeant, équipe) ; vous pouvez changer les codes à tout moment depuis l’application.
• Minimisation : les modèles d’IA ne reçoivent que les données utiles à la tâche, et elles ne servent pas à entraîner les modèles.
• Journaux techniques sans contenu des échanges, et suppression automatique selon les durées de la politique de confidentialité.

Si nous constatons une violation de données qui touche les données traitées pour votre compte, nous vous en informons dans les meilleurs délais après en avoir pris connaissance, à l’adresse e-mail du compte, avec ce que nous savons de sa nature, de son étendue et des mesures prises.

Jusqu’à la fermeture du compte, vous pouvez télécharger vos devis et factures depuis l’application ou l’espace de votre entreprise : c’est la restitution de vos documents. Pendant les 90 jours qui suivent la fermeture, vous pouvez nous demander de rouvrir l’accès pour les récupérer. Passé ce délai, toutes les données traitées pour votre compte sont supprimées, devis et factures compris, sauf obligation légale de les conserver, dans les conditions de l’article 6 de la politique de confidentialité.

Sur demande écrite à contact@osimi.fr, nous vous transmettons les informations sur nos mesures de sécurité et nos sous-traitants ultérieurs. Un audit, y compris une inspection, est possible une fois par an, sur une date convenue au moins 30 jours à l’avance, dans la limite de ce qui est nécessaire pour vérifier ces engagements et sans accès aux données des autres clients d’Osimi.

Pour tout ce que le présent accord ne prévoit pas, le RGPD et les CGV s’appliquent. La responsabilité de chaque partie suit l’article 8 des CGV. Les modifications du présent accord sont annoncées comme celles des CGV (article 12).