Accord de sous-traitance des données (article 28 RGPD)

Version en vigueur au 3 novembre 2026.

Cet accord, conclu en application de l'article 28 du RGPD, fait partie intégrante des conditions générales. Il s'applique aux données personnelles que Dictech (le « Sous-traitant ») traite pour le compte de l'entreprise cliente (le « Responsable de traitement »).

1. Objet, nature et durée

Le Sous-traitant héberge et traite les données nécessaires à la rédaction, la validation, la signature, l'archivage et l'export des comptes rendus d'intervention du Responsable de traitement, pendant la durée de l'abonnement et jusqu'à leur suppression (article 8).

2. Données et personnes concernées

• Personnes : clients et interlocuteurs du Responsable de traitement chez qui une intervention a lieu ; techniciens et gérant.
• Données : nom, adresse e-mail et adresse d'intervention du client, description de l'équipement et de l'intervention, observations, image de la signature manuscrite, nom du signataire ; dictée du technicien ; nom et e-mail des techniciens.
• Aucune catégorie particulière de données (santé, etc.) ne doit être saisie dans les comptes rendus ; le Responsable de traitement en informe ses techniciens.

3. Instructions

Le Sous-traitant traite les données uniquement sur instruction documentée du Responsable de traitement, constituée par les CGV, le présent accord et l'utilisation des fonctionnalités du service. Il informe le Responsable de traitement si une instruction lui paraît contraire à la réglementation.

4. Confidentialité et sécurité

Les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité. Mesures de sécurité (article 32 du RGPD) : chiffrement des échanges (HTTPS), cloisonnement des données par entreprise, authentification par mot de passe ou clé à usage unique, empreintes SHA-256 des clés, cookies de session HttpOnly, limitation des tentatives de connexion, politique de sécurité du contenu interdisant les scripts tiers, empreinte d'intégrité des comptes rendus validés.

5. Sous-traitants ultérieurs

Le Responsable de traitement autorise le recours aux sous-traitants ultérieurs suivants :

• Netlify, Inc. (États-Unis) : hébergement, base de données, authentification, stockage des fichiers ;
• Anthropic, PBC (États-Unis), par l'intermédiaire de Netlify AI Gateway : rédaction du compte rendu à partir de la dictée.

Le Sous-traitant informe le Responsable de traitement de tout ajout ou remplacement au moins 30 jours à l'avance ; celui-ci peut s'y opposer en résiliant son abonnement. Les sous-traitants ultérieurs sont soumis à des obligations équivalentes. Les transferts hors de l'Union européenne sont encadrés comme décrit dans la politique de confidentialité.

6. Assistance au Responsable de traitement

Le service permet de consulter, corriger (tant qu'un compte rendu n'est pas validé), exporter et faire supprimer les données. Le Sous-traitant aide le Responsable de traitement à répondre aux demandes d'exercice des droits et, le cas échéant, à réaliser une analyse d'impact.

7. Violation de données

Le Sous-traitant notifie au Responsable de traitement toute violation de données personnelles dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les informations utiles pour que celui-ci puisse, si nécessaire, la notifier à la CNIL dans les 72 heures.

8. Fin du contrat : restitution et suppression

Le Responsable de traitement peut exporter ses données à tout moment (CSV, impression ou PDF). À la fin de l'abonnement, les données sont supprimées 90 jours plus tard, ou plus tôt sur demande écrite, sauf obligation légale de conservation.

9. Documentation et audit

Le Sous-traitant met à disposition, sur demande à contact@dictech.fr, les informations nécessaires pour démontrer le respect du présent accord, et permet la réalisation d'audits raisonnables, à la charge du Responsable de traitement et moyennant un préavis de 30 jours.