Accord de sous-traitance (DPA)
Version : 6 août 2026
1. Objet et rôles
HalloMia (Archibo GmbH, « sous-traitant ») traite les données personnelles exclusivement pour le compte et sur instruction du client (« responsable du traitement ») conformément à l'art. 28 RGPD. Le responsable demeure garant de la licéité du traitement des données de ses appelants et contacts.
2. Objet, durée, nature, finalité
Fourniture d'un assistant téléphonique IA (réponse aux appels, prise de rendez-vous, prise de messages, transcription) pour la durée du contrat principal, plus les délais légaux.
3. Personnes concernées et catégories de données
Appelants et contacts du responsable, le cas échéant ses collaborateurs. Catégories : données de base (nom, numéro, e-mail), contenus de communication (enregistrements audio — si activés — et transcriptions), données de rendez-vous et de messages, métadonnées d'appel. Catégories particulières (art. 9) selon le secteur — la base légale incombe au responsable.
4. Mesures techniques et organisationnelles
Chiffrement en transit (TLS) et au repos, contrôle d'accès basé sur les rôles, cloisonnement par organisation, journal d'audit, contrôles de sécurité automatisés dans la chaîne de livraison.
5. Sous-traitants ultérieurs
| Sous-traitant ultérieur | Finalité | Lieu | Garantie |
|---|---|---|---|
| Vapi | Orchestration IA vocale, gestion des appels, enregistrement/transcription | USA | SCC |
| Twilio | Téléphonie/numéros, SMS | EU/USA | SCC/DPF/BCR — traite en outre certaines données en qualité de responsable indépendant (facturation, prévention de la fraude, obligations légales, amélioration produit) selon le DPA Twilio §3 |
| Stripe | Paiements | EU/USA | SCC |
| SendGrid (Twilio) | E-mails transactionnels | USA | SCC — sauvegardes jusqu'à 1 an après la fin du contrat (DPA Twilio §9) |
| Google / Microsoft | Intégration calendrier | EU/USA | SCC (uniquement sur opt-in) |
| Anthropic | Traitement LLM | USA | SCC |
| ElevenLabs / Cartesia | TTS | USA | SCC |
| Deepgram (via Vapi) | STT | USA | SCC |
| Jina AI | Analyse du site web (site public du client uniquement) | USA | SCC |
| Microsoft Azure | Hébergement/BD/Stockage | EU | Région UE |
Les changements sont annoncés au moins 30 jours à l'avance sous forme écrite ; le responsable peut s'y opposer pour motif sérieux de protection des données. Lorsque certains fournisseurs agissent (aussi) en responsables indépendants, ce traitement échappe à la présente relation de sous-traitance ; les accords entre Archibo GmbH et le fournisseur font foi.
6. Instructions
Traitement uniquement sur instruction documentée ; le présent accord et la configuration de la plateforme valent instruction documentée.
7. Suppression et restitution
À la fin du contrat, suppression ou restitution au choix du responsable, sous réserve des obligations légales de conservation. Durées : journal d'audit 2 ans (entrées de pseudonymisation 6 ans), données de connexion/d'usage 7 mois, enregistrements 30 jours (configurable), données de facturation 10 ans.
8. Assistance, audits, notifications
Assistance pour les droits des personnes (art. 15–22) et les obligations de notification (art. 33/34) ; mise à disposition des informations nécessaires aux audits ; notification des violations sans retard injustifié.