Data Processing Agreement, article 28 RGPD. Plateforme SaaS d'agents IA multi-entreprises. Version 2026-06, en vigueur au JJ/MM/AAAA.

Entre les soussignés

[Éditeur à compléter] (dénomination, forme sociale, capital, RCS, siège, représentant), ci-après « le Sous-Traitant » ou « l'Éditeur », d'une part,

Et votre société, ayant souscrit un abonnement à la Plateforme, ci-après « le Responsable de Traitement » ou « le Client », d'autre part. Ci-après ensemble les « Parties ».

Préambule

Dans le cadre de l'exécution du contrat principal (CGU/CGV), le Sous-Traitant traite des données à caractère personnel pour le compte du Responsable de Traitement. Le présent Accord définit les conditions de ce traitement, conformément à l'article 28 du Règlement (UE) 2016/679 (« RGPD »).

Article 1 : Définitions

Les termes « données à caractère personnel », « traitement », « responsable de traitement », « sous-traitant », « personne concernée » et « violation de données » ont la signification donnée par le RGPD.

Article 2 : Objet, nature et finalité

Nature : collecte, enregistrement, organisation, structuration, conservation, consultation, utilisation, transmission, effacement.

Finalité : fourniture des fonctionnalités de la Plateforme :

• Gestion de conversations IA multi-canaux ;
• Automatisation WhatsApp Business ;
• CRM intégré et gestion des prospects ;
• Prise de rendez-vous ;
• Campagnes marketing et analyse des conversations ;
• Stockage de documents et base de connaissances IA.

Durée : durée de l'abonnement, augmentée des délais légaux et contractuels.

Article 3 : Catégories de données et de personnes

Personnes concernées : utilisateurs internes du Client ; contacts, prospects et clients du Client ; toute personne communiquant avec un agent IA exploité par le Client.

Données : identification (nom, email, téléphone) ; données professionnelles ; contenu des conversations (texte, audio, images, documents) ; données techniques ; planning et rendez-vous ; toute autre donnée téléversée par le Client.

Données sensibles : le Client s'engage à ne pas téléverser de catégories particulières (article 9 RGPD) sans encadrement juridique adéquat et information préalable de l'Éditeur.

Article 4 : Obligations du Sous-Traitant

• Traiter les données uniquement sur instruction documentée du Client ;
• Garantir la confidentialité (accès limité aux personnes habilitées) ;
• Mettre en œuvre les mesures de sécurité de l'article 7 ;
• Assister le Client (droits des personnes, analyses d'impact) ;
• Notifier toute violation de données sous 72 heures (article 33) ;
• Coopérer avec les autorités et tenir un registre (article 30.2) ;
• Permettre les audits dans les conditions de l'article 9.

Article 5 : Obligations du Responsable de Traitement

• Documenter par écrit ses instructions de traitement ;
• Respecter ses obligations (information, consentement, base légale, droits) ;
• Garantir la licéité de la collecte et ne téléverser que le nécessaire ;
• Informer ses utilisateurs finaux du caractère automatisé des échanges ;
• Respecter les politiques de Meta / WhatsApp Business.

Article 6 : Sous-traitance ultérieure

Le Client autorise le recours à des sous-traitants ultérieurs. Liste indicative :

Sous-traitant	Service	Encadrement
Hébergeur cloud	Infrastructure	CCT 2021 si hors UE
Fournisseur LLM	Modèles d'IA	CCT 2021 + mesures
Meta Platforms Ireland	API WhatsApp	CCT 2021 / DPF
Prestataire paiement	Paiement en ligne	UE

Tout changement est notifié au moins 30 jours à l'avance, avec droit d'objection motivé du Client.

Article 7 : Sécurité des données

Techniques : chiffrement en transit (TLS 1.2+) et au repos (AES-256), cloisonnement multi-tenant strict, authentification forte et accès par rôles, sauvegardes chiffrées, plan de reprise, pare-feu et anti-DDoS, tests d'intrusion, gestion des correctifs.

Organisationnelles : politique de sécurité, engagement de confidentialité, formation, gestion des incidents et des accès, audits périodiques.

Article 8 : Propriété des données

Les données demeurent la propriété exclusive du Client. L'Éditeur n'acquiert aucun droit au-delà du nécessaire à l'exécution du Service, et s'interdit d'utiliser les contenus du Client pour entraîner des modèles d'IA généraux sans consentement explicite et écrit.

Article 9 : Audits

Le Client peut auditer le respect des obligations, à ses frais, une fois par an, après préavis d'au moins 30 jours. L'Éditeur peut y satisfaire par des rapports indépendants récents (ISO 27001, SOC 2 ou équivalents).

Article 10 : Transferts hors UE

Tout transfert hors UE est encadré par une décision d'adéquation, les Clauses Contractuelles Types (CCT) du 4 juin 2021, des règles d'entreprise contraignantes (BCR) ou tout autre mécanisme reconnu, avec mesures supplémentaires le cas échéant.

Article 11 : Conservation et restitution

Les données sont conservées pendant la durée du contrat. À l'expiration, le Client dispose de 30 jours pour exporter ses données, après quoi l'Éditeur procède à leur suppression définitive, sous réserve des obligations légales. Une attestation de destruction peut être fournie.

Article 12 : Responsabilité

Chaque Partie supporte les conséquences de ses propres manquements (article 82 RGPD). La limitation de responsabilité des CGV s'applique au présent Accord.

Article 13 : Durée

L'Accord prend effet à la date d'acceptation du contrat principal et demeure en vigueur pendant toute sa durée, ainsi que pour la restitution ou la destruction des données.

Article 14 : Dispositions diverses

En cas de contradiction, le présent Accord prévaut pour la protection des données. Il est régi par le droit français ; tout litige relève des tribunaux du ressort de la Cour d'appel de [ville à compléter].

Fait à votre ville, le JJ/MM/AAAA.

Pour le Responsable de Traitement : votre société, représentée par le signataire.