Annexe de sous-traitance RGPD

Version du 12 octobre 2026 — Annexe aux CGU et CGV, préparée pour l’ouverture commerciale.

1. Parties et objet

L’organisation cliente agit comme responsable du traitement des données qu’elle confie au CRM. L’exploitant de Nova Saas technologie, dont l’identité juridique doit être complétée dans les mentions légales, agit comme sous-traitant pour les opérations réalisées pour son compte.

Cette annexe encadre les traitements nécessaires au fonctionnement du CRM : collecte sur instruction, hébergement, organisation, consultation, modification, gestion des accès, export, sauvegarde, suppression et, lorsqu’elles sont activées par le client, qualification et préparation de brouillons par IA. Elle s’applique pendant la prestation, puis à la restitution, suppression et éventuelle conservation limitée autorisée.

2. Données et personnes concernées

Personnes : utilisateurs et collaborateurs du client, interlocuteurs professionnels, prospects, clients et fournisseurs renseignés par l’organisation.

Données : identifiants, noms, coordonnées professionnelles, fonctions lorsqu’elles sont renseignées, informations commerciales, montants, étapes du pipeline, notes, tâches, documents de facturation et journaux d’activité nécessaires. Les catégories particulières de données, données pénales et secrets d’authentification ne doivent pas être confiés sans accord écrit et mesures adaptés.

Le client détermine les finalités, bases légales, destinataires, durées et modalités d’information. Il conserve la maîtrise de ses données et doit limiter les instructions aux traitements licites.

3. Instructions et confidentialité

Nova traite les données sur les seules instructions documentées du client, constituées notamment par le contrat, les actions autorisées dans l’application et les demandes écrites du représentant habilité. L’activation d’un workflow IA constitue une instruction dans le périmètre communiqué, pas une autorisation générale de réutilisation des contacts.

Nova informe le client lorsqu’une instruction lui paraît contraire aux règles applicables et suspend le traitement concerné le temps de clarifier sa licéité. Si une obligation légale impose un traitement non prévu, Nova en informe le client avant de l’effectuer, sauf interdiction légale.

L’accès des personnes autorisées est limité au besoin opérationnel. Ces personnes sont soumises à un engagement de confidentialité ou à une obligation professionnelle appropriée. Nova ne vend pas les données confiées et ne les utilise pas pour ses propres campagnes commerciales ou pour entraîner son propre modèle.

4. Sécurité et incidents

Les mesures prévues comprennent l’authentification, les rôles, l’isolation logique entre organisations, la validation des requêtes, la protection des mots de passe, le chiffrement des échanges, la restriction des accès techniques et un journal d’activité. La disponibilité, les sauvegardes, la restauration, les durées des journaux et la procédure d’incident doivent être vérifiées et documentées avant l’ouverture commerciale.

Lorsqu’une violation affectant les données confiées est connue, Nova informe le client sans retard injustifié, avec les faits disponibles : nature de l’incident, catégories et volumes estimés, risques, mesures engagées et point de contact. Les informations manquantes sont complétées progressivement. L’objectif opérationnel est une première notification au client sous vingt-quatre heures après prise de connaissance ; il ne remplace pas les délais légaux du responsable de traitement.

Nova ne notifie pas spontanément les personnes concernées au nom du client sans instruction, sauf obligation légale. Le client décide des notifications relevant de son rôle.

5. Sous-traitants ultérieurs

Le client autorise les prestataires nécessaires identifiés ci-dessous, sous réserve de leur contractualisation effective et de la documentation des garanties :

• Vercel : hébergement, exécution serveur et infrastructure de routage AI Gateway.
• Neon / groupe Databricks : base de données PostgreSQL et services associés.
• Fournisseur IA effectif : OpenAI pour le modèle actuellement choisi, ou le prestataire effectivement sélectionné par le routage, à consigner avant activation. L’activation ne doit pas introduire un fournisseur non identifié dans le registre.
• Microsoft : e-mails transactionnels, après connexion du compte SMTP OAuth2 et vérification du cadre contractuel.

Stripe traite les paiements dans le cadre des conditions qu’il applique selon son rôle ; il n’est pas autorisé à accéder à toute la base CRM du fait de la seule intégration des abonnements. Google Fonts peut être contacté directement par le navigateur pour des polices ; ce service doit être recensé au titre des destinataires techniques et ne reçoit pas les contenus CRM pour cette finalité.

Les prestataires reçoivent uniquement les données nécessaires et doivent être engagés par des obligations de protection adaptées. Nova reste responsable de ses obligations de sous-traitant à l’égard du client. Une modification significative des prestataires est annoncée au moins quinze jours avant mise en service. Le client peut formuler une objection motivée liée à la protection des données ; les parties recherchent une solution, ou la fin de la fonction/prestation concernée et le remboursement de la période inutilisable lorsqu’aucune solution n’est possible.

6. Transferts hors EEE

Aucune localisation française exclusive n’est promise. Avant activation, l’éditeur vérifie les régions de stockage, les accès de support, les contrats et mécanismes de transfert pour chaque destinataire. Un transfert doit être couvert par un mécanisme valide et les mesures supplémentaires requises, selon l’analyse du cas concret. La liste des entités, pays et garanties est tenue à disposition du client avec les contrats pertinents, sous réserve des informations confidentielles.

7. Assistance, contrôle et coopération

Nova aide le client, dans les limites de sa mission et des informations disponibles, pour les demandes d’accès, rectification, effacement, limitation et portabilité, l’analyse d’impact, la sécurité et les échanges avec l’autorité compétente. Une demande reçue directement concernant les données du client lui est transmise sans délai injustifié.

Nova met à disposition les informations nécessaires pour démontrer ses obligations de sous-traitant. Un audit proportionné peut être convenu avec préavis raisonnable, priorité à l’examen documentaire, confidentialité et protection des autres clients. Un incident grave ou une exigence d’autorité justifie une adaptation du préavis. Les frais d’assistance exceptionnelle peuvent être convenus avant intervention, sans entraver une obligation légale de Nova ni être facturés pour réparer son propre manquement.

8. Fin de prestation, restitution et suppression

Au terme du contrat ou de l’essai, le client dispose d’une fenêtre de trente jours pour demander une restitution structurée des contacts, notes, tâches et données disponibles. Selon les fonctionnalités effectivement accessibles, cette restitution est proposée depuis l’application ou par une demande authentifiée au support. Aucune prétention n’est faite à un export autonome complet de toutes les tables tant qu’il n’a pas été vérifié.

Au choix du client, Nova restitue puis supprime, ou supprime directement, les données confiées. Sans instruction contraire licite ni nécessité de conservation légale, les données actives sont supprimées ou anonymisées au plus tard trente jours après la fenêtre de restitution. Les données devant être conservées sont isolées, avec accès restreint et durée justifiée. Les copies de sauvegarde expirent selon le cycle documenté du fournisseur ; les suppressions doivent être prises en compte lors d’une restauration.

Ces engagements de lancement nécessitent une procédure opérationnelle de restitution, suppression et gestion des sauvegardes. Ils ne sont pas présentés comme un automate déjà déployé. Une attestation de suppression peut être demandée.

9. Contact et version

Contact opérationnel et données personnelles : Nova.CRM@hotmail.com, 29 rue des Cévennes, 75015 Paris, France. La version de l’annexe acceptée doit être conservée avec le contrat. Cette annexe ne dispense ni Nova ni le client des obligations qui leur incombent directement.

Modules optionnels de capture et d’intelligence

Sur instruction de l’organisation et selon les connexions autorisées, les traitements peuvent porter également sur des e-mails, événements de calendrier, transcriptions d’appels/réunions, tickets, centres d’intérêt professionnels, preuves de consentement et événements de suivi. Les finalités sont la tenue du CRM, l’enrichissement sourcé, la segmentation, les résumés, le support et l’aide à la décision. Le client détermine les bases légales, les durées, les personnes habilitées et les autorisations d’enregistrement.

La liste effective des sous-traitants dépend du modèle IA, du service de recherche, du fournisseur de transcription, du connecteur Microsoft et de l’expéditeur de campagnes activés. Leurs contrats, transferts et durées doivent être documentés avant leur utilisation ; l’existence d’une connexion technique ne constitue pas cette vérification. Nova ne conserve pas le fichier audio fourni après traitement, mais conserve sa transcription selon les instructions du client. Les journaux de fusion restent des données personnelles à inclure dans les demandes d’accès ou d’effacement et dans les procédures de fin de contrat.