Conditions de sous-traitance des données (RGPD, article 28)
Projet de document - informations d’éditeur et décisions de conservation encore à compléter. Cette version ne constitue pas une conformité finalisée ni un contrat accepté.
Ces conditions encadrent les données personnelles que votre entreprise confie à Rosa. Elles s’appliquent dès la création de l’espace de l’entreprise par son gérant et font partie de l’accord entre votre entreprise et l’éditeur.
Rôles et objet
Votre entreprise est responsable du traitement : elle décide pourquoi et comment ses données sont utilisées. L’éditeur de Rosa est sous-traitant : il traite ces données uniquement pour fournir le service, pendant la durée de l’abonnement.
Finalité : gestion de l’entreprise (clients, devis, factures, plannings, équipes, absences, documents, messagerie, agenda, comptes rendus) et assistant conversationnel par la voix, WhatsApp et l’application.
Personnes concernées : salariés et intervenants de l’entreprise, ses clients, prospects et fournisseurs, et les correspondants de ses e-mails et réunions. Données : identité et coordonnées professionnelles, données commerciales et comptables, heures et absences, contenus de messages, documents, audio et photos transmis à l’assistant. Aucune donnée de santé ne doit être confiée à l’assistant.
Engagements du sous-traitant
L’éditeur traite les données uniquement sur instruction documentée de votre entreprise ; l’usage de l’application et ces conditions constituent ces instructions. Il vous informe si une instruction lui paraît contraire au RGPD. Il n’utilise pas vos données pour ses propres fins, ni pour la publicité, ni pour entraîner des modèles d’IA.
Les personnes autorisées à accéder aux données sont tenues à la confidentialité. Les accès techniques de l’éditeur sont limités aux besoins du support et de la maintenance.
Mesures de sécurité en place : chiffrement des échanges (HTTPS), cloisonnement de chaque entreprise par un identifiant propre sur chaque donnée, connexion par Google avec cookies sécurisés inaccessibles au JavaScript, jetons d’intégration distincts par entreprise, mots de passe de boîtes mail et autorisations Microsoft chiffrés au repos (AES-GCM), journal des connexions.
L’éditeur aide votre entreprise à répondre aux demandes des personnes (accès, rectification, effacement, portabilité) et, si nécessaire, à réaliser une analyse d’impact ou à consulter la CNIL.
En cas de violation de données personnelles, l’éditeur vous prévient sans délai excessif après en avoir pris connaissance, avec les informations utiles pour que votre entreprise puisse notifier la CNIL dans les 72 heures lorsque c’est requis.
Sous-traitants ultérieurs
Selon les fonctions activées, Perplexity intervient pour l’enrichissement et la recherche, Cloudflare R2 pour les fichiers et AppSheet pour le stock. Les échanges de messagerie impliquent également le fournisseur IMAP/SMTP choisi par l’utilisateur. Les services de recherche, de géocodage, de météo et de polices distantes sont décrits dans la notice Données personnelles.
Votre entreprise autorise l’éditeur à recourir aux prestataires suivants, selon les fonctions activées : Cloudflare (hébergement de l’application et des données, transcription des messages vocaux) ; Google (connexion, Gmail) ; Anthropic (IA de Rosa et de l’application) ; Meta (WhatsApp) ; Resend (acheminement d’e-mails) ; Fathom (import des comptes rendus de réunion, si connecté) ; Microsoft (relève et envoi des mails d’une boîte Microsoft 365 ou Outlook, uniquement si un membre la connecte ; Microsoft est alors d’abord le fournisseur de messagerie de votre entreprise).
Certains services peuvent impliquer des transferts hors EEE. Les informations concernant les prestataires et les garanties applicables peuvent être demandées à support@erp-rosa.xyz ; la seule existence d’une clé API ne constitue pas une garantie de protection des données.
L’éditeur informe le gérant de tout ajout ou remplacement de sous-traitant par un avis dans l’application ou par e-mail avant sa mise en service. Votre entreprise peut exprimer une objection auprès de support@erp-rosa.xyz afin d’examiner les solutions possibles et les conséquences pour les fonctions concernées.
Fin du service et contrôle
Pour demander la restitution ou l’effacement des données en fin de service, contactez support@erp-rosa.xyz. L’export JSON disponible couvre une partie des données métier : il ne constitue pas, à lui seul, une restitution de toutes les pièces jointes et données des services connectés. Le périmètre de la demande, les copies concernées et les éventuelles obligations de conservation doivent être examinés avec votre entreprise. Une déconnexion d’un prestataire n’efface pas automatiquement les copies déjà importées ou conservées chez lui.
L’éditeur met à disposition les informations nécessaires pour démontrer le respect de ces obligations et permet des audits raisonnables, sur demande écrite préalable à support@erp-rosa.xyz.