Projet — à faire relire par un juriste avant mise en ligne définitive
Contrat de sous-traitance des données personnelles — Tonstandard
Version du 24 octobre 2026 · Site : https://tonstandard.fr
1. Parties, objet et portée
Le présent contrat est conclu entre :
- le Client, entreprise identifiée dans le compte et la commande, représentée par la personne habilitée qui accepte le contrat, agissant comme responsable du traitement des données de ses appelants ;
- DEVRUSHIT, SAS à associé unique au capital de 500 €, siège social 14 rue Bausset, 75015 Paris, France, RCS Paris 932 925 753, SIRET 932 925 753 00018, TVA FR90932925753, représentée par son président Amar Lamkadem, contact amar@devru.sh, agissant comme sous-traitant.
Voxaccueil et Tonstandard sont des noms commerciaux de DEVRUSHIT ; Tonstandard désigne le nom utilisé lors de la souscription. Le présent contrat fait partie des CGU/CGV et encadre, conformément à l'article 28 du RGPD, les traitements effectués par DEVRUSHIT pour le compte du Client. Il prévaut sur une clause commerciale contradictoire concernant la protection de ces données, sans préjudice de la primauté des clauses contractuelles types pour les transferts internationaux.
La gestion par DEVRUSHIT de ses propres comptes clients, de sa comptabilité et de ses obligations légales, et les traitements propres du prestataire de paiement, relèvent de responsabilités distinctes décrites dans la politique de confidentialité.
2. Description des traitements et instructions initiales
| Élément | Description |
|---|---|
| Objet | Accueil téléphonique par IA des appels renvoyés par le Client, collecte et transmission des messages et mise à disposition d'un tableau de bord. |
| Nature des opérations | Réception et acheminement des flux vocaux, transcription, résumé, classement indicatif du démarchage, enregistrement facultatif et réécoute qualité, récupération de messages de messagerie vocale, stockage, consultation, transmission de résumés par SMS/e-mail, restitution et suppression. |
| Finalités | Prendre et transmettre les demandes destinées au Client, lui permettre d'y répondre ; lorsqu'il est activé, contrôler et améliorer la qualité de l'accueil à l'aide de l'enregistrement. Aucun droit de réutilisation pour la publicité, la vente de données ou l'entraînement de modèles généralistes n'est accordé par le présent contrat. |
| Personnes concernées | Appelants, prospects, clients, fournisseurs et contacts du Client ; collaborateurs mentionnés dans les échanges ou habilités à recevoir les messages. |
| Catégories de données | Numéro appelant et appelé, identité et coordonnées communiquées, date, heure et durée, motif et contenu du message, transcription, résumé, classement et demande de rappel, flux vocal et audio lorsqu'il est conservé, métadonnées de messagerie et de notification, consignes professionnelles nécessaires. |
| Données particulières | Le service n'est pas destiné à la collecte de données de l'article 9 du RGPD, de condamnations pénales ou de secrets protégés. En cas de communication spontanée, les parties doivent limiter leur diffusion et décider rapidement de leur suppression ou de mesures appropriées. Le présent contrat ne crée pas une exception de l'article 9 ni une habilitation d'hébergement de données de santé. |
| Fréquence et durée | Traitements à chaque appel et notification pendant l'essai puis l'abonnement ; obligations de protection maintenues jusqu'à la restitution ou la suppression effective de toutes les copies, y compris chez les sous-traitants ultérieurs. |
Les instructions initiales sont constituées par ce contrat, les fonctionnalités activées, les consignes licites renseignées par le Client et ses demandes écrites adressées à DEVRUSHIT. Toute instruction complémentaire doit être documentée ; une évolution de finalité ou de catégories de données exige une évaluation et, si nécessaire, un accord complémentaire avant traitement.
3. Engagements du responsable du traitement
Le Client détermine les finalités et les bases légales, tient ses registres lorsqu'ils sont requis et vérifie la nécessité des données demandées. Il remet aux appelants une information conforme aux articles 12 à 14 du RGPD et garantit la transparence sur l'IA, notamment l'annonce prévue par l'article 50 du règlement sur l'intelligence artificielle.
Il évalue la licéité et la proportionnalité de l'enregistrement qualité, respecte le droit d'opposition, obtient un consentement préalable lorsqu'il est requis et assure une solution de contact adaptée. L'annonce d'enregistrement ne vaut pas, à elle seule, consentement. Le Client n'utilise pas l'audio pour une surveillance permanente des salariés.
Le Client limite ses habilitations, maintient ses paramètres et coordonnées exacts, et ne donne pas d'instruction contraire au droit. Il réalise une analyse d'impact lorsque son contexte l'exige et demeure décisionnaire des réponses aux demandes d'exercice des droits. Ces obligations ne dispensent pas DEVRUSHIT de ses propres obligations de sous-traitant.
4. Instructions, confidentialité et absence de réutilisation
DEVRUSHIT traite les données uniquement sur instruction documentée du Client, y compris pour les transferts, sauf obligation du droit de l'Union ou d'un État membre. Dans ce dernier cas, elle informe le Client de cette obligation avant le traitement, sauf interdiction pour un motif important d'intérêt public.
DEVRUSHIT informe immédiatement le Client si une instruction constitue, selon elle, une violation du RGPD ou d'autres règles de protection des données. Elle suspend l'exécution de l'instruction litigieuse dans la mesure nécessaire, en recherchant une solution licite, sans dissimuler l'obstacle sous une simple erreur technique.
Les personnes autorisées à traiter les données sont soumises à une obligation légale ou contractuelle de confidentialité et reçoivent les consignes utiles. Leur accès est limité au strict besoin professionnel. DEVRUSHIT n'utilise pas les conversations pour ses propres campagnes commerciales ou pour entraîner des modèles généralistes. Elle doit s'assurer que ses réglages et contrats fournisseurs respectent cette limitation ; l'autorisation de sous-traitance ne vaut pas autorisation d'entraînement.
5. Sécurité — article 32 du RGPD
DEVRUSHIT met en œuvre et maintient des mesures techniques et organisationnelles proportionnées à la nature des données et aux risques, notamment :
- authentification des utilisateurs, contrôle des habilitations et séparation des données entre entreprises ;
- accès aux enregistrements et aux messages vocaux réservé aux utilisateurs habilités, sans publication de fichiers audio dans un répertoire public ;
- protection des échanges réseau et des secrets techniques, accès d'administration limité et traçable ;
- mise à jour des composants, suivi des tâches d'import, de notification et de suppression, et traitement des erreurs ;
- procédures de sauvegarde, restauration, suppression et gestion des incidents, avec vérification régulière de leur efficacité ;
- minimisation des données dans les SMS, e-mails et journaux, et limitation des accès de support ;
- évaluation des garanties des sous-traitants ultérieurs et des transferts hors EEE.
Ces obligations ne valent pas déclaration de certification, de chiffrement de bout en bout ou de disponibilité absolue. La description opérationnelle actualisée des mesures est tenue à disposition du Client ; les informations sensibles peuvent être partagées sous confidentialité. L'annexe de conservation ci-dessous doit être complétée avant la mise en ligne définitive, et ne peut être remplacée par une promesse générale de sécurité.
6. Sous-traitants ultérieurs autorisés
Le Client donne une autorisation générale de recours aux sous-traitants nécessaires, dans les conditions suivantes. La liste initiale distingue les traitements d'appels et les traitements de facturation.
| Prestataire ou chaîne | Missions et données | Pays / rôle |
|---|---|---|
| OVH SAS / OVHcloud, 2 rue Kellermann, 59100 Roubaix, France | Hébergement applicatif et de la base, infrastructure téléphonique, numéros, messagerie vocale et transport des SMS ; données d'appels et de notification nécessaires. Hébergement de la messagerie transactionnelle auto-administrée de DEVRUSHIT. | France, sous-traitant ultérieur pour les services exécutés pour notre compte ; les opérateurs de communications peuvent avoir leurs obligations légales propres. |
| ElevenLabs Inc. | Plateforme vocale IA, transcription, analyse, stockage et accès aux enregistrements de conversation. | États-Unis, sous-traitant ultérieur. |
| OpenAI, par l'intermédiaire d'ElevenLabs | Modèle de langage utilisé pour les conversations et analyses selon la configuration ; informations nécessaires issues de l'appel. | États-Unis potentiellement ; sous-traitant de rang suivant engagé par ElevenLabs, non par un contrat API direct avec DEVRUSHIT pour ce flux. Entité contractuelle et périmètre effectifs : [À COMPLÉTER] à partir de la liste fournisseur applicable. |
| DEVRUSHIT — messagerie Mailcow auto-hébergée chez OVHcloud France | Envoi des résumés et e-mails de service ; adresse destinataire, contenu et métadonnées de livraison. | Opération interne de DEVRUSHIT, pas de société sous-traitante supplémentaire du seul fait de l'usage du logiciel Mailcow ; hébergeur OVH indiqué ci-dessus. |
| Stripe | Paiements, abonnements et facturation ; coordonnées clients et données de paiement, sans contenu des appels. | UE / États-Unis selon les services. Prestataire de DEVRUSHIT pour sa relation de facturation, non destinataire des données d'appels au titre du présent contrat ; responsable distinct pour certaines obligations légales. |
DEVRUSHIT conserve une liste à jour couvrant les sous-traitants réellement utilisés, y compris les rangs ultérieurs d'ElevenLabs. La seule mention d'OpenAI ne vaut pas validation d'une liste exhaustive : les autres fournisseurs effectivement activés doivent être identifiés avant traitement. La liste ElevenLabs et ses modalités de notification sont accessibles via son centre de conformité et son DPA.
DEVRUSHIT informe activement le Client par e-mail de toute addition ou de tout remplacement au moins 30 jours avant le traitement par le nouveau sous-traitant. Une simple modification silencieuse de la liste ne suffit pas. Le Client peut émettre une objection motivée liée à la protection des données pendant ce délai. Les parties recherchent une solution appropriée ; si aucune solution n'est possible, le Client peut résilier la partie du service concernée avant l'entrée en vigueur, sans pénalité, avec remboursement des sommes prépayées correspondant à la période non fournie. DEVRUSHIT ne passe pas outre une objection non résolue pour les données de ce Client.
DEVRUSHIT impose par écrit aux sous-traitants ultérieurs des obligations de protection au moins équivalentes à celles qui leur sont applicables au titre du présent contrat. Elle demeure pleinement responsable envers le Client de l'exécution de ces obligations par les sous-traitants ultérieurs.
7. Transferts internationaux
Le Client est informé que l'usage d'ElevenLabs et de ses sous-traitants implique des traitements hors EEE, notamment aux États-Unis. Le stockage de l'application chez OVHcloud France ne constitue pas une garantie de résidence exclusivement européenne des conversations.
DEVRUSHIT n'effectue ces transferts que dans le cadre des instructions documentées du Client et avec un mécanisme conforme au chapitre V du RGPD : décision d'adéquation effectivement applicable, y compris DPF pour une entité certifiée et un traitement couvert, ou clauses contractuelles types de la décision 2021/914, en particulier le module 3 pour un transfert de sous-traitant à sous-traitant lorsqu'il s'applique. Une analyse du droit et des pratiques du pays de destination et les mesures supplémentaires nécessaires sont mises en œuvre lorsque requises.
L'acceptation de ce contrat n'est pas un consentement général aux transferts non encadrés au titre de l'article 49 du RGPD. DEVRUSHIT vérifie les entités contractantes, la validité et la portée d'une certification DPF invoquée, les clauses applicables et les transferts ultérieurs. Les garanties sont disponibles sur demande, avec les seules occultations nécessaires. Si leur maintien devient impossible, le transfert concerné est suspendu et le Client en est informé.
8. Assistance aux droits, analyses et autorités
Compte tenu de la nature du traitement, DEVRUSHIT aide le Client par des mesures techniques et organisationnelles appropriées à répondre aux demandes d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi qu'au retrait d'un consentement lorsque pertinent.
Toute demande reçue directement d'un appelant est transmise au Client sans retard injustifié. DEVRUSHIT peut accuser réception et orienter la personne, mais ne répond pas sur le fond à la place du Client sans instruction, sauf obligation légale. Les demandes visant les traitements propres de DEVRUSHIT sont traitées sous sa responsabilité distincte.
DEVRUSHIT fournit, compte tenu des informations dont elle dispose, l'assistance nécessaire au respect des articles 32 à 36 du RGPD, notamment pour la sécurité, les violations, l'analyse d'impact et la consultation préalable de l'autorité de contrôle. Les parties coopèrent avec la CNIL et les autres autorités compétentes.
9. Violations de données personnelles
DEVRUSHIT notifie au Client toute violation de données pour son compte sans retard injustifié après en avoir pris connaissance, sans attendre que l'enquête soit achevée. La notification comporte, à mesure qu'ils deviennent disponibles :
- la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés ;
- le point de contact permettant d'obtenir des informations ;
- les conséquences probables et les mesures prises ou proposées pour contenir et corriger l'incident.
Les informations peuvent être communiquées par étapes, sans retard injustifié. DEVRUSHIT documente l'incident, conserve les éléments utiles et coopère aux mesures correctrices. Le Client reste chargé, lorsque nécessaire, de notifier l'autorité dans les 72 heures prévues par le RGPD et d'informer les personnes ; DEVRUSHIT ne le fait pas à sa place sans instruction ou obligation légale.
10. Conservation, opposition à l'audio et fin du contrat
Les durées du tableau suivant sont des instructions de conservation, et non une permission de tout conserver pendant la durée de l'abonnement.
| Ensemble | Instruction / durée |
|---|---|
| Audio des conversations IA chez ElevenLabs | 30 jours maximum après l'appel, sauf suppression plus tôt. L'opposition orale entraîne un traitement de suppression de la conversation chez ElevenLabs après l'appel ; elle ne promet pas un arrêt instantané de la capture. La réécoute passe par un accès applicatif authentifié, sans miroir audio permanent sur le serveur de l'application. |
| Audio de la messagerie OVH | Suppression chez OVH après import durable réussi dans le stockage privé de l'application ; en cas d'échec d'import, ne pas supprimer le seul original. Copie locale conservée 30 jours après le message, puis supprimée à la prochaine purge quotidienne. |
| Transcriptions, résumés, numéros et métadonnées | [À COMPLÉTER] : durée maximale et point de départ, chez DEVRUSHIT et ElevenLabs, avec purge effective. L'opposition à l'audio ne supprime pas automatiquement ces écrits nécessaires à la transmission du message. |
| Journaux techniques et de notification | [À COMPLÉTER] : durées par catégorie, incluant la messagerie transactionnelle. |
| Sauvegardes | [À COMPLÉTER] : cycle de rotation et délai d'expiration des données supprimées dans chaque stockage. |
| Après fin du contrat | [À COMPLÉTER] : délai opérationnel de restitution et d'effacement des données d'appels et de toutes leurs copies. |
À la fin du service, le Client choisit la restitution puis la suppression, ou la suppression, des données traitées pour son compte. Il peut demander une restitution dans un format couramment exploitable par écrit à amar@devru.sh ; cela ne présuppose pas l'existence d'un bouton d'export. DEVRUSHIT supprime les copies existantes, y compris chez ses sous-traitants ultérieurs, sauf obligation légale de conservation précisément identifiée, documentée et signalée dans la mesure autorisée.
Les sauvegardes en attente d'expiration restent isolées de l'usage courant et protégées ; en cas de restauration, les suppressions déjà demandées sont réappliquées. Sur demande du Client, DEVRUSHIT confirme l'exécution des suppressions et signale toute conservation légale résiduelle. Les données comptables propres de DEVRUSHIT ne sont pas des données d'appels à restituer et suivent leurs durées légales distinctes.
Les paramètres à compléter doivent être arrêtés, acceptés et techniquement appliqués avant publication définitive du contrat. Ni la rétention audio de 30 jours ni l'inactivité du compte ne constituent à elles seules une purge des transcriptions ou de la base locale.
11. Informations de conformité et audits
DEVRUSHIT met à disposition du Client les informations nécessaires pour démontrer le respect de l'article 28 du RGPD et permet les audits, y compris les inspections, réalisés par le Client ou un auditeur indépendant mandaté, et y contribue.
Les parties organisent ces contrôles avec un préavis raisonnable, dans le respect de la confidentialité, de la sécurité et des droits des autres clients. Le contrôle peut commencer par un examen documentaire, sans exclure une inspection nécessaire. Le préavis peut être réduit ou supprimé en cas d'incident, de demande d'une autorité ou de nécessité justifiée. Les modalités pratiques et les frais raisonnables éventuels ne doivent pas empêcher l'exercice effectif du droit d'audit ni limiter les pouvoirs des autorités.
DEVRUSHIT conserve les documents utiles : registre des traitements de sous-traitant lorsqu'il est requis, instructions, mesures de sécurité, sous-traitants, mécanismes de transfert, incidents et preuves de suppression.
12. Prise d'effet, responsabilité et contacts
Le présent contrat prend effet avec l'acceptation documentée du contrat de service, y compris pour l'essai. Il reste applicable tant que DEVRUSHIT ou ses sous-traitants conservent des données pour le Client. Les modifications n'affaiblissent pas rétroactivement les garanties et doivent respecter le mécanisme d'information prévu par les CGU/CGV et, pour les sous-traitants, l'article 6 ci-dessus.
Les responsabilités respectives relèvent du RGPD et des CGU/CGV dans la mesure où celles-ci ne dérogent pas aux règles impératives, notamment à l'article 82 du RGPD. Aucun plafond commercial ne peut être opposé à une personne concernée pour écarter son droit légal à réparation.
Contact de DEVRUSHIT pour les instructions, incidents et demandes relatives au présent contrat : amar@devru.sh. Le contact du Client est celui du compte, qu'il lui appartient de maintenir à jour. Le droit français est applicable sous réserve des dispositions impératives du RGPD et des clauses contractuelles types.