Contrat de traitement des données

Version du 4 novembre 2026.

Article 1 – Parties et objet

Le présent accord fixe les conditions dans lesquelles le Prestataire traite des données personnelles pour le compte du Client. Il fait partie des Conditions générales de vente de Josette (les « CGV »), dont il complète l'article 9.

Entre :

• le Client : l'artisan ou l'entreprise qui souscrit un abonnement à Josette, identifié par les informations données à l'inscription (nom, SIRET, adresse), ci-après le « Responsable de traitement » ;
• le Prestataire : Amine-Mohamed AOUINI, entrepreneur individuel, SIRET 878 082 031 00021, 14 Clos de la Scandinavie, 78280 Guyancourt, josette.plombiers@gmail.com, éditeur du service Josette, ci-après le « Sous-traitant ».

Acceptation. Le Client accepte cet accord en même temps que les CGV, en cochant la case prévue lors de l'inscription. Il s'applique pendant toute la durée de l'abonnement, puis jusqu'à la restitution et la suppression des données (article 6).

Ordre de priorité. En cas de contradiction entre cet accord et les CGV sur la protection des données personnelles, le présent accord l'emporte.

Article 2 – Définitions et rôles

Les termes « données à caractère personnel », « traitement », « responsable de traitement », « sous-traitant », « personne concernée » et « violation de données » ont le sens que leur donne l'article 4 du règlement (UE) 2016/679 (le « RGPD »).

• Le Client est responsable de traitement pour les données des personnes qui l'appellent et de ses clients : il décide d'utiliser Josette, choisit ses réglages et utilise les comptes rendus, rendez-vous, devis et factures pour son activité.
• Le Prestataire est sous-traitant : il traite ces données uniquement pour fournir le service décrit à l'annexe 1, selon les instructions du Client.
• Le Prestataire est responsable de traitement distinct pour les seules données du Client lui-même nécessaires à la gestion de l'abonnement (identité, facturation, paiement, support). Ces données ne sont pas couvertes par le présent accord ; elles sont décrites dans la politique de confidentialité du Prestataire.

Instructions du Client. Les CGV, le présent accord et les réglages choisis par le Client dans l'application constituent ses instructions documentées. Toute instruction supplémentaire est donnée par écrit (e-mail à josette.plombiers@gmail.com).

Article 3 – Obligations du Prestataire

Conformément à l'article 28.3 du RGPD, le Prestataire s'engage à :

1. Traiter les données uniquement pour fournir le service, selon les instructions documentées du Client (article 2), y compris pour les transferts hors de l'Union européenne (article 5). S'il estime qu'une instruction enfreint le RGPD ou le droit français, il en informe immédiatement le Client.
2. Ne jamais utiliser les données à d'autres fins : pas de revente, pas de prospection, pas d'utilisation pour entraîner des modèles d'intelligence artificielle. Il choisit, chez ses fournisseurs d'IA, les réglages qui excluent cette utilisation.
3. Garantir la confidentialité : seules les personnes qui en ont besoin pour faire fonctionner le service ont accès aux données, et elles sont tenues au secret.
4. Assurer la sécurité des données par les mesures de l'article 32 du RGPD décrites à l'annexe 3, et les mettre à jour selon l'état de l'art.
5. Respecter les conditions de la sous-traitance ultérieure prévues à l'article 5.
6. Aider le Client à répondre aux demandes des personnes concernées (accès, rectification, effacement, opposition, limitation, portabilité). L'application permet déjà au Client de consulter et de supprimer une fiche d'appel et son enregistrement ; pour une rectification, le Prestataire la fait sur demande du Client. Si une personne s'adresse directement au Prestataire, celui-ci transmet sa demande au Client sous 5 jours ouvrés, sans y répondre lui-même.
7. Aider le Client à respecter ses propres obligations : sécurité, notification des violations, analyse d'impact et consultation préalable de la CNIL (articles 32 à 36 du RGPD), en lui fournissant les informations dont il dispose.
8. À la fin de l'abonnement, restituer puis supprimer les données dans les conditions de l'article 6.
9. Mettre à la disposition du Client les informations nécessaires pour démontrer le respect de ces obligations, et permettre des audits dans les conditions de l'article 6.
10. Tenir le registre des activités de traitement effectuées pour le compte de ses clients (article 30.2 du RGPD).

Article 4 – Obligations du Client

Le Client, responsable de traitement, s'engage à :

1. Utiliser Josette pour son activité professionnelle et pour des finalités licites, conformes à l'annexe 1.
2. Informer les personnes concernées. Josette annonce elle-même, dès sa première phrase, qu'elle est une assistante virtuelle et que l'appel est enregistré ; en mode écoute, un message prévient que l'appel peut être enregistré. Le Client ne demande pas la suppression de ces messages et complète l'information de ses clients par ses propres moyens (devis, site internet, mentions sur ses documents), en renvoyant au besoin vers la politique de confidentialité de Josette.
3. Respecter le refus d'enregistrement. Si un appelant refuse l'enregistrement, Josette ne le conserve pas ; le Client ne cherche pas à enregistrer l'appel par un autre moyen.
4. Ne pas faire collecter de données sensibles (santé, opinions, numéro de sécurité sociale, coordonnées bancaires) par Josette. Si un appelant en donne spontanément, le Client les supprime de la fiche dès qu'il en a connaissance.
5. Exporter ses devis et factures avant la fin de l'abonnement : il reste seul responsable de leur conservation légale (10 ans pour les factures, article L123-22 du Code de commerce).
6. Garder secret son lien personnel d'accès à l'application et prévenir le Prestataire sans délai s'il pense qu'il a été divulgué ou si son téléphone est perdu ; le Prestataire remplace alors le lien.
7. Signaler au Prestataire toute demande d'une personne concernée ou de la CNIL qui nécessite son aide.

Article 5 – Sous-traitants ultérieurs et transferts hors de l'Union européenne

Autorisation générale. Le Client autorise le Prestataire à faire appel aux sous-traitants ultérieurs listés à l'annexe 2, nécessaires au fonctionnement du service (téléphonie, voix, transcription, intelligence artificielle, hébergement).

Changement de sous-traitant. Le Prestataire informe le Client par e-mail au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant ultérieur. Le Client peut s'y opposer pour un motif légitime lié à la protection des données dans ce délai. Si aucune solution n'est trouvée, il peut résilier son abonnement sans frais, avec remboursement de la période non utilisée.

Mêmes obligations. Le Prestataire impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données au moins équivalentes à celles du présent accord. Il reste pleinement responsable envers le Client de leur respect.

Transferts hors de l'Union européenne. Le serveur principal de Josette est situé à Paris. Certains sous-traitants ultérieurs sont établis aux États-Unis et peuvent y traiter des données. Ces transferts ne sont faits que vers des destinataires :

• certifiés au cadre de protection des données UE–États-Unis (Data Privacy Framework, décision d'adéquation de la Commission du 10 juillet 2023) ;
• ou, à défaut, liés par les clauses contractuelles types de la Commission européenne (décision 2021/914), complétées si nécessaire par des mesures supplémentaires.

La garantie utilisée pour chaque sous-traitant figure à l'annexe 2. Le Client peut en obtenir une copie sur demande.

Article 6 – Violations de données, audits, durée et fin de l'accord

Violation de données. Le Prestataire notifie au Client toute violation de données personnelles dans les 48 heures après en avoir eu connaissance, par e-mail et SMS. La notification décrit, autant que possible : la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, les conséquences probables, les mesures prises ou proposées, et un contact. Elle permet au Client de notifier la CNIL dans les 72 heures si nécessaire (article 33 du RGPD). Le Prestataire ne notifie pas lui-même la CNIL ni les personnes concernées à la place du Client, sauf demande écrite de celui-ci.

Audits. Le Client peut demander au Prestataire, une fois par an et par écrit, les informations nécessaires pour vérifier le respect du présent accord. Un audit sur place ou à distance peut être réalisé par le Client ou un auditeur indépendant tenu au secret, avec un préavis de 30 jours, aux frais du Client, sans accès aux données des autres clients. Un audit supplémentaire est possible après une violation de données ou à la demande de la CNIL.

Durée. L'accord prend effet à l'acceptation des CGV et dure autant que l'abonnement, puis jusqu'à la suppression des données.

Fin de l'abonnement. Pendant 30 jours après la résiliation, le Client peut télécharger ses devis et factures en PDF depuis l'application et demander une copie de l'ensemble de ses données, que le Prestataire lui remet dans un format courant sous 15 jours. À l'issue de ce délai, le Prestataire supprime les données traitées pour le compte du Client, y compris les copies, au plus tard dans les 3 mois. Les sauvegardes sont effacées à l'expiration de leur cycle de rotation. Le Prestataire confirme la suppression par e-mail sur demande. Seules les données qu'une loi l'oblige à garder sont conservées, pour la durée de cette obligation.

Responsabilité. Chaque partie répond de ses manquements au RGPD dans les conditions de l'article 82 du RGPD et de l'article 8 des CGV.

Droit applicable et litiges. Le présent accord est soumis au droit français. Les parties cherchent d'abord un accord amiable ; à défaut, les tribunaux compétents du ressort de Versailles sont seuls compétents, comme prévu par les CGV.

Annexe 1 – Description des traitements

Finalités. Répondre aux appels du Client quand il ne décroche pas ; écouter et transcrire les appels qu'il prend lui-même (mode écoute) ; noter les demandes et prévenir le Client des urgences ; prendre, déplacer et annuler des rendez-vous dans son agenda ; rédiger les comptes rendus ; permettre la réécoute des appels ; préparer les devis et les factures, y compris à partir de la photo d'un document papier (la photo n'est pas conservée), recueillir l'accord en ligne sur un devis ; envoyer aux clients, au nom du Client et selon ses réglages, des SMS de rappel de rendez-vous, « je suis en route », de relance de devis et de factures impayées, de demande d'avis et de rappel d'entretien (ces deux derniers avec un lien de désinscription) ; conserver les photos de chantier prises par le Client, pendant l'abonnement ; transmettre chaque mois les factures à l'expert-comptable désigné par le Client.

Personnes concernées. Les personnes qui appellent le Client (clients, prospects, fournisseurs, démarcheurs) et les clients à qui il adresse un devis ou une facture.

Données exclues. Aucune donnée sensible au sens de l'article 9 du RGPD n'est demandée. La voix n'est pas utilisée pour identifier les personnes : il ne s'agit pas d'un traitement biométrique.

Nature des opérations. Réception et acheminement des appels, enregistrement, transcription automatique, analyse par intelligence artificielle, synthèse vocale des réponses de Josette, stockage, affichage dans l'application, envoi de SMS et d'e-mails au Client, génération de documents PDF.

Annexe 2 – Sous-traitants ultérieurs

Liste à jour au 4 novembre 2026. La garantie de transfert propre à chaque fournisseur est en cours de vérification.

Hors liste. Google Agenda est le service du Client, connecté par lui-même : Google y agit pour le compte du Client et n'est pas un sous-traitant du Prestataire.

Annexe 3 – Mesures de sécurité

Le Prestataire revoit ces mesures au moins une fois par an et après chaque incident.