Contrat de traitement des données

v1.6-2026-10-08 · en vigueur le 2026-10-08 · Article 28 RGPD + Prestataire de services CCPA

Le présent Contrat de traitement des données (le “DPA”) est incorporé au Contrat-cadre de services (le “MSA”) conclu entre [Entité juridique du Client] (le “Responsable du traitement”) et GlobalDeal Inc. (exerçant sous le nom commercial Ataski) (le “Sous-traitant”) et en fait partie intégrante. Il régit le Traitement des Données à caractère personnel effectué par le Sous-traitant pour le compte du Responsable du traitement.

1. Définitions

Les termes employés dans le présent DPA ont le sens qui leur est donné dans le RGPD (Règlement (UE) 2016/679) et le CCPA (Cal. Civ. Code §1798.140), le cas échéant. Les définitions suivantes s'appliquent aux deux régimes :

Responsable du traitement. La personne physique ou morale qui détermine les finalités et les moyens du Traitement des Données à caractère personnel (article 4(7) du RGPD). Aux fins du présent DPA, le Client est le Responsable du traitement.
Sous-traitant. La personne physique ou morale qui traite des Données à caractère personnel pour le compte du Responsable du traitement (article 4(8) du RGPD). Ataski est le Sous-traitant. Aux fins du CCPA, Ataski agit en qualité de Prestataire de services (Cal. Civ. Code §1798.140(ag)).
Données à caractère personnel. Toute information se rapportant à une personne physique identifiée ou identifiable (article 4(1) du RGPD) ou Renseignements personnels (CCPA §1798.140(v)) que le Responsable du traitement transmet au Service ou via celui-ci, ou que le Service collecte pour le compte du Responsable du traitement.
Traitement. Toute opération effectuée sur des Données à caractère personnel, y compris la collecte, le stockage, l’analyse, l’utilisation, la divulgation, la suppression (article 4(2) du RGPD).
Sous-traitant ultérieur. Tout tiers mandaté par Ataski pour Traiter des Données à caractère personnel pour le compte du Responsable du traitement. La liste actuelle est publiée à l’adresse /legal/subprocessors.
Personne concernée. Une personne physique identifiée ou identifiable à laquelle se rapportent des Données à caractère personnel.

2. Objet et durée

Objet. Le Sous-traitant fournit des services d’équipe IA au Responsable du traitement (les “Services”). Dans le cadre de la fourniture des Services, le Sous-traitant traite des Données à caractère personnel pour le compte du Responsable du traitement, conformément aux instructions documentées du Responsable du traitement.

Durée. Le présent DPA prend effet le 2026-10-08 et demeure en vigueur pendant toute la durée de l’abonnement sous-jacent, majorée d’une fenêtre de conservation des données de 30 jours durant laquelle le Responsable du traitement peut exporter les Données client via le point de terminaison en libre-service /app/settings/export.json, après quoi le Sous-traitant supprime toutes les Données client (article 28(3)(g) du RGPD).

3. Nature et finalité du Traitement

La nature et la finalité du Traitement sont déterminées par les rôles d'équipe IA que le Responsable du traitement active sur son espace de travail.

Les rôles disponibles dans le Service à la date d'effet indiquée ci-dessus sont : Assistant de vente sortante, Gestionnaire du support, Gestionnaire de renouvellements, Moniteur de comptes clients, Gestionnaire de contrats, Vigie des obligations, Analyste financier, Rédacteur du dossier de conseil, Gestionnaire de recouvrement. Cette liste décrit le Service à cette date. Elle ne crée, n'étend ni ne limite les obligations du Sous-traitant, qui sont énoncées à l'§6. Des rôles peuvent être ajoutés au Service ou en être retirés sans avenant au présent DPA. Le retrait d'un rôle ne réduit pas les obligations du Sous-traitant à l'égard des Données à caractère personnel déjà Traitées.

La matrice de capacités de chaque rôle est publiée sur la page marketing correspondante, et l'activation du rôle par le Responsable du traitement constitue une instruction documentée de Traiter des Données à caractère personnel dans le périmètre déclaré de ce rôle.

4. Types de Données à caractère personnel et catégories de Personnes concernées

Types de Données à caractère personnel. Données de contact professionnelles (nom, e-mail professionnel, téléphone professionnel, intitulé de poste) ; métadonnées de communication (horodatages d’envoi/réception d’e-mails, présence aux réunions) ; contenu fourni par le Responsable du traitement (CSV téléversés, documents de conseil d’administration, projets de contrats) ; données de prospects que le Service collecte sur instruction du Responsable du traitement (nom, intitulé de poste, employeur, URL du profil LinkedIn, localisation et informations sur l’entreprise issues de données LinkedIn publiques obtenues via Apify, ainsi qu’une adresse e-mail professionnelle déduite du format d’adresse de l’entreprise et vérifiée pour sa délivrabilité) ; intrants et résultats du modèle (invites et réponses rédigées par l’IA).

Catégories de Personnes concernées. Les employés, sous-traitants, clients, prospects, fournisseurs, membres du conseil d’administration et participants aux réunions du Responsable du traitement dont celui-ci transmet les données au Service ou via celui-ci, ou que le Service collecte sur instruction du Responsable du traitement (par exemple, les prospects qu’un rôle de prospection trouve pour lui).

5. Obligations du Responsable du traitement

Le Responsable du traitement est responsable du respect des lois applicables en matière de protection des données à l'égard des Données à caractère personnel qu'il transmet au Service, y compris l'établissement d'une base légale pour le Traitement (article 6 du RGPD) et la fourniture des informations requises aux Personnes concernées. Le Responsable du traitement garantit que ses instructions documentées au Sous-traitant sont conformes au RGPD et aux autres lois applicables en matière de protection des données. Cela inclut les Données à caractère personnel que le Service collecte sur instruction du Responsable du traitement, comme les prospects qu'un rôle de prospection trouve : le Responsable du traitement décide qui contacter et pourquoi, est l'expéditeur de cette prospection et doit disposer d'une base légale pour contacter les personnes dans chaque marché qu'il cible.

6. Obligations du Sous-traitant (article 28(3) du RGPD)

Instructions documentées. Le Sous-traitant traite les Données à caractère personnel uniquement sur instructions documentées du Responsable du traitement, y compris en ce qui concerne les transferts internationaux de données, sauf s’il y est tenu en vertu du droit de l’Union ou de l’État membre auquel le Sous-traitant est soumis ; dans ce cas, le Sous-traitant informe le Responsable du traitement de cette obligation légale avant le Traitement, sauf si le droit interdit une telle information pour des motifs importants d’intérêt public.
Accès de l'assistance. Lorsque le Responsable du traitement a ouvert une demande d'assistance ou qu'Ataski répond à un incident affectant le Responsable du traitement, le personnel d'Ataski peut ouvrir l'espace de travail du Responsable du traitement pour l'observer. Cet accès constitue une instruction documentée au sens de la présente clause et est encadré comme suit : il exige un motif enregistré référençant le ticket, l'incident ou la demande du Responsable du traitement ; il est techniquement en lecture seule, de sorte qu'aucune Donnée Client ne peut être créée, modifiée, envoyée ou supprimée pendant celui-ci ; il expire automatiquement au bout de 60 minutes ; son début et sa fin sont inscrits dans le journal d'audit en ajout seul ; et Ataski notifie par e-mail le propriétaire de l'espace de travail du Responsable du traitement dès qu'il commence. Chaque accès est consigné dans un registre qu'Ataski met à la disposition du Responsable du traitement sur demande au titre de l'obligation d'audit du §6(9).
Confidentialité. Le Sous-traitant veille à ce que les personnes autorisées à traiter les Données à caractère personnel se soient engagées à la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.
Sécurité. Le Sous-traitant met en œuvre des Mesures techniques et organisationnelles appropriées (Annexe A) pour garantir un niveau de sécurité adapté au risque (article 32 du RGPD).
Sous-traitance ultérieure. Le Sous-traitant ne fait appel à des Sous-traitants ultérieurs que dans les conditions prévues au §7 ci-dessous.
Assistance aux droits des Personnes concernées. Le Sous-traitant aide le Responsable du traitement, par des mesures techniques et organisationnelles appropriées, à s’acquitter de son obligation de répondre aux demandes des Personnes concernées au titre du chapitre III du RGPD (articles 12 à 23).
Assistance aux articles 32 à 36. Le Sous-traitant aide le Responsable du traitement à garantir le respect des articles 32 (Sécurité), 33 (Notification de violation), 34 (Communication de violation), 35 (AIPD) et 36 (Consultation préalable) du RGPD, compte tenu de la nature du Traitement et des informations à la disposition du Sous-traitant.
Restitution ou suppression. À la résiliation des Services, le Sous-traitant restitue ou supprime toutes les Données à caractère personnel au choix du Responsable du traitement, et supprime les copies existantes à moins que le droit de l’Union ou de l’État membre n’en exige la conservation. La fenêtre par défaut est de 30 jours à compter de la résiliation, via le point de terminaison en libre-service /app/settings/export.json et la tâche de suppression automatisée déclenchée après 30 jours.
Audit. Le Sous-traitant met à la disposition du Responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations énoncées à l’article 28 du RGPD et permet la réalisation d’audits, y compris des inspections, par le Responsable du traitement ou un autre auditeur mandaté par celui-ci, et y contribue. Les audits ne peuvent être réalisés plus d’une fois par année civile, sauf exigence d’une décision d’une autorité de contrôle.

7. Sous-traitants ultérieurs

Le Responsable du traitement accorde par les présentes au Sous-traitant une autorisation écrite générale de faire appel aux Sous-traitants ultérieurs énumérés à l’adresse /legal/subprocessors (incorporée par référence). Le Sous-traitant informera le Responsable du traitement de toute modification envisagée de cette liste, en accordant au Responsable du traitement un préavis d’au moins 30 jours, durant lequel le Responsable du traitement peut s’y opposer pour des motifs raisonnables. Le Sous-traitant reste responsable envers le Responsable du traitement des actes et omissions de chaque Sous-traitant ultérieur comme s’il s’agissait des siens propres.

Le Sous-traitant veille à ce que chaque Sous-traitant ultérieur soit lié par un accord écrit imposant des obligations de protection des données au moins aussi protectrices que celles du présent DPA. La liste actuelle des Sous-traitants ultérieurs comprend 16 fournisseurs au 2026-10-07 (voir la page publique des sous-traitants ultérieurs pour la liste canonique).

8. Transferts internationaux

Lorsque des Données à caractère personnel sont transférées depuis l’Espace économique européen, le Royaume-Uni ou la Suisse vers un pays tiers ne bénéficiant pas d’une décision d’adéquation, le Sous-traitant et le Responsable du traitement conviennent que les Clauses contractuelles types de l’UE (décision d’exécution (UE) 2021/914 de la Commission) s’appliquent, Module Deux (Responsable du traitement vers Sous-traitant) lorsque le Responsable du traitement est établi dans l’EEE, Ataski agissant en tant qu’importateur de données. L’Avenant relatif au transfert international de données du Royaume-Uni et les orientations du Préposé fédéral suisse à la protection des données et à la transparence s’appliquent mutatis mutandis aux transferts vers le Royaume-Uni et la Suisse respectivement. Ataski n’est pas elle-même certifiée au titre du cadre de protection des données UE–États-Unis ; lorsqu’un Sous-traitant ultérieur destinataire détient sa propre certification DPF, cette certification constitue une garantie supplémentaire pour le transfert vers ce Sous-traitant ultérieur, et les CCT restent le mécanisme de transfert entre les parties.

9. Violation de Données à caractère personnel

Le Sous-traitant notifie le Responsable du traitement sans retard injustifié, et en tout état de cause dans les 72 heures, après avoir pris connaissance d'une violation de Données à caractère personnel (articles 4(12), 33 du RGPD). La notification décrit la nature de la violation, y compris, dans la mesure du possible, les catégories et le nombre approximatif de Personnes concernées, les conséquences probables et les mesures prises ou proposées pour remédier à la violation.

10. Durée et résiliation

Le présent DPA demeure en vigueur tant que le Sous-traitant traite des Données à caractère personnel pour le compte du Responsable du traitement au titre du MSA. L'une ou l'autre partie ne peut résilier le présent DPA qu'en résiliant le MSA conformément à ses conditions ; à la résiliation, le Sous-traitant exécute la procédure de restitution / suppression prévue au §6(8) ci-dessus.

11. Droit applicable

Le présent DPA est régi par le droit spécifié dans le MSA. Aucune disposition du présent DPA ne déroge aux droits accordés aux Personnes concernées par le droit de l'Union, de l'État membre ou tout autre droit applicable en matière de protection des données.

Annexe A — Mesures techniques et organisationnelles (article 32 du RGPD)

Le Sous-traitant met en œuvre les Mesures techniques et organisationnelles (“MTO”) suivantes afin de garantir un niveau de sécurité adapté au risque, conformément à l’article 32 du RGPD :

Multi-tenancy. Per-tenant data isolation via Postgres Row Level Security; every customer-data table enforces the tenant_id session variable at the database layer (defence-in-depth on top of application-level scoping).
Encryption at rest. All credential material stored encrypted via Fernet (AES-128 in CBC mode with HMAC-SHA-256 authentication). Storage-layer encryption (AES-256) of the database, provided by Neon, and of file storage, provided by Cloudflare R2.
Encryption in transit. TLS 1.2 minimum, TLS 1.3 preferred, on every HTTPS endpoint and database connection.
Access control. WorkOS-backed authentication (email/passwordless, MFA) for tenant workspaces; role-gated approval workflows for high-stakes actions (board pack approval, monthly investor update send, outbound email send).
Audit logging. Append-only audit_log table — the application database role holds INSERT/SELECT privileges only, no UPDATE/DELETE granted; every LLM call, external API call, and data modification logged with tenant_id, user_id, correlation_id, cost, and latency. Administrative access is governed by the DPA support-access register (§6(2)).
PII handling. Service Provider posture per CCPA §1798.140(ag); contact records stay in per-tenant RLS scope and are never aggregated across tenants. A Controller's request to delete a Data Subject's outreach and support records from its workspace, submitted through the Controller's authenticated deletion endpoint (/api/ccpa-delete), is fulfilled within 30 days (GDPR) / 45 days (CCPA); verifying the requester's identity is the Controller's responsibility. A Data Subject's opt-out through the public /privacy/optout form adds the address to a global do-not-contact register; it does not by itself delete Personal Data from a Controller's workspace.
Cost guardrails. Four-tier cost ceiling (provider limit, per-task budget, per-customer daily cap, global kill switch) limits runaway exfiltration via a compromised credential.
Incident response. Bugsink error tracking; for any incident involving Customer Data the affected Controller is notified without undue delay, and in any event within 72 hours of Ataski becoming aware (aligned with §9 of this DPA); external uptime monitoring via Better Stack.
Personnel. Personnel with access to Customer Data are bound by confidentiality obligations. Today that is one person, the founder; any future employee or contractor signs confidentiality terms before being given access. Principle of least privilege enforced via role-gated routes. Access to production and to each workspace is reviewed on a quarterly schedule (1 January, April, July and October); the first review falls in Q4 2026 and had not been signed off as of this version's effective date.

Annexe B — Sous-traitants ultérieurs

La liste actuelle des Sous-traitants ultérieurs est publiée à l’adresse /legal/subprocessors et est incorporée au présent DPA par référence. Au 2026-10-07 la liste comprend 16 fournisseurs.