Accord de sous-traitance des données

Version du 19 octobre 2026.

Cet accord applique l’article 28 du règlement (UE) 2016/679, le règlement général sur la protection des données (RGPD), entre le Client, responsable du traitement, et l’Éditeur, Ghislain Levrat, entrepreneur individuel, SIREN 999 243 322, sous-traitant. Il fait partie des conditions générales et s’accepte avec elles ; un exemplaire signé est remis au Client qui le demande. Pour les données personnelles, il l’emporte sur elles.

1. Objet et durée

L’Éditeur traite des données personnelles pour le compte du Client afin de lui fournir Escouade en ligne : l’application Escouade et ses applications Meet, Mail, Social et Tools, avec Prescriptio lorsqu’il est compris dans la formule. Le traitement dure autant que le contrat, puis jusqu’à la restitution et la suppression de l’article 12.

2. Nature et finalités

L’hébergement, le stockage, l’indexation, la recherche et l’analyse par IA des fiches, des e-mails, des documents et des réunions du Client ; l’envoi et la réception de ses e-mails ; l’enregistrement, la transcription et le compte rendu de ses réunions ; la préparation et la planification de ses publications ; le relais des événements entre ses applications. Le tout pour les seuls usages que le Client configure.

3. Données et personnes concernées

Les données : identité et coordonnées, fonctions et données professionnelles, contenu des e-mails et de leurs pièces jointes, documents, enregistrements audio, transcriptions et comptes rendus de réunion, voix en mode vocal, notes, tâches et fiches du CRM, données de connexion des utilisateurs. Les personnes : les utilisateurs du Client, ses clients, prospects, fournisseurs et partenaires, leurs contacts, et les participants de ses réunions.

Le service n’est pas conçu pour les données sensibles de l’article 9 du RGPD, et son hébergement n’est pas certifié pour les données de santé. Le Client n’y verse de telles données qu’après en avoir vérifié la base légale.

4. Instructions du Client

L’Éditeur ne traite les données que sur instruction documentée du Client : les conditions générales, cet accord et les réglages de son espace, comme les connecteurs branchés, les fournisseurs d’IA choisis, les règles d’ingestion et les droits des utilisateurs. Il ne les utilise à aucune autre fin, ne les vend pas et n’entraîne aucun modèle d’IA avec elles. Si une instruction lui paraît contraire au RGPD, il en informe le Client sans délai.

5. Confidentialité

Seules les personnes que l’Éditeur autorise accèdent aux données, dans la mesure nécessaire au service, et elles sont tenues à la confidentialité. L’Éditeur n’ouvre de session dans l’espace du Client qu’à sa demande écrite, limitée dans le temps et tracée, ou pour répondre à une obligation légale.

6. Sécurité

L’Éditeur met en œuvre les mesures de l’article 32 du RGPD décrites en annexe, et les tient à jour.

7. Sous-traitants ultérieurs

Le Client autorise l’Éditeur à recourir aux sous-traitants ultérieurs de la page Sous-traitants, chacun pour la fonction qui y est dite. L’Éditeur leur impose, par contrat, des obligations de protection des données équivalentes à celles de cet accord, et reste responsable envers le Client de leur exécution.

Il annonce tout ajout ou remplacement au moins un mois à l’avance, par e-mail aux administrateurs et sur cette page. Le Client peut s’y opposer pour un motif lié à la protection des données ; faute d’accord, il résilie sans pénalité avant la date annoncée, et les sommes payées pour une période non servie lui sont remboursées. Un fournisseur que le Client choisit lui-même, comme un modèle d’IA d’une autre origine, est mis en service par ce choix.

8. Transferts hors de l’Union européenne

Les espaces sont hébergés en France. Un transfert hors de l’Union européenne n’a lieu que vers les sous-traitants de la liste qui le disent, encadré par une décision d’adéquation ou par les clauses contractuelles types de la Commission européenne, ou, pour un fournisseur que le Client choisit lui-même, sur son instruction et en connaissance de cause.

9. Droits des personnes

Les outils de l’espace permettent au Client de retrouver, d’exporter, de corriger et de supprimer les données d’une personne. L’Éditeur lui transmet sans délai toute demande qu’il reçoit directement, sans y répondre lui-même, et l’aide à y répondre dans les délais du RGPD.

10. Violation de données

L’Éditeur notifie au Client toute violation de données personnelles dans les meilleurs délais, et au plus tard quarante-huit heures après en avoir pris connaissance, avec ce qu’il sait de sa nature, des données et des personnes touchées, de ses conséquences probables et des mesures prises ou proposées. Il complète l’information à mesure, pour que le Client puisse notifier la CNIL dans les soixante-douze heures.

11. Aide au Client

L’Éditeur fournit au Client les informations dont il a besoin pour la sécurité du traitement, ses analyses d’impact et une éventuelle consultation préalable de la CNIL (articles 32 à 36 du RGPD).

12. Fin du traitement

À la fin du contrat, le Client récupère ses données par l’export de son espace (conditions générales, article 13). L’Éditeur les supprime ensuite au plus tard quatre-vingt-dix jours après la fermeture du compte, sauvegardes comprises, sauf obligation légale de conservation, et confirme la suppression au Client qui le demande.

13. Audit

L’Éditeur tient à la disposition du Client les informations nécessaires pour démontrer le respect de cet accord. Il accepte un audit par an, aux frais du Client, mené par lui ou par un auditeur tenu au secret qui n’est pas un concurrent de l’Éditeur, avec un préavis de trente jours et sans accès aux données des autres clients.

14. Le compte Escouade et Escouade hub

Pour le compte Escouade lui-même, c’est-à-dire les organisations, les membres, la connexion, la consommation et la facturation, l’Éditeur est responsable de traitement : la politique de confidentialité s’applique. Pour les événements que le relais transmet entre les applications du Client, qui peuvent porter des personnes comme des prospects ou des contacts, il est sous-traitant et cet accord s’applique.

Dans Escouade hub, installé sur le serveur du Client, l’Éditeur ne reçoit, par construction, aucune donnée personnelle. Cet accord ne s’y applique que pour une intervention que le Client demande par écrit, limitée dans le temps et tracée, au cours de laquelle l’Éditeur accède à ses données.

Annexe : les mesures de sécurité

Hébergement : un serveur dédié en France, chez Scaleway, dont le pare-feu n’accepte le trafic web que de Cloudflare, et le stockage objet de Scaleway à Paris pour les documents des espaces payants. Échanges : chiffrés en TLS.

Base de données : chaque espace est cloisonné par une politique de sécurité au niveau des lignes, que la base impose à l’application ; les jetons de connexion aux messageries et les clés d’API sont chiffrés.

Accès : par rôle, réglés par le Client ; double facteur proposé au compte ; sessions de quatorze jours ; un journal des opérations. Administration : réservée à l’Éditeur.

Sauvegarde : chaque jour, relue, gardée quatorze jours. IA : des fournisseurs nommés, hébergés en Europe par défaut ; l’OCR et la vectorisation tournent sur le serveur de l’Éditeur.