Accord de Traitement des Données (DPA)

En vigueur à compter du 2026-08-10 — v1

Entre les Parties

  • Responsable de traitement : le Client (le « Garage »), identifié par les informations renseignées lors de la création de son compte et de sa souscription en ligne (raison sociale, SIRET, adresse, représentant — figurant dans son espace client et le récapitulatif de commande).
  • Sous-traitant : Prospectrum (Benjamin Bengler, entrepreneur individuel), 173 rue de Courcelles, 75017 Paris — benjamin.bengler@prospectrum.ai — SIRET 106 886 088 00017. Ci-après « Prospectrum » ou « le Sous-traitant ».
Formation du contrat. Le présent DPA est une annexe indissociable des CGV, acceptée par voie électronique par le Client lors de sa souscription en ligne en libre-service (case à cocher + double-clic, art. 1127-2 du Code civil). Aucune signature manuscrite n’est requise : l’article 28.9 du RGPD admet expressément la forme écrite électronique pour ce contrat. La preuve d’acceptation (horodatage, adresse IP) est conservée avec le dossier contractuel.

01. Objet

Le Sous-traitant traite, pour le compte et sur instruction documentée du Responsable, les données nécessaires au service Prospectrum (assistant téléphonique IA). La description de ce traitement figure en Annexe 1.

02. Définitions

Les termes utilisés dans le présent contrat s’entendent au sens de l’article 4 du RGPD.

03. Durée

Le présent contrat s’applique pendant toute la durée du contrat de service et tant que le Sous-traitant traite des données pour le compte du Responsable.

04. Instructions documentées (art. 28.3.a)

  • Le Sous-traitant traite les données uniquement sur instruction documentée du Responsable, y compris pour les transferts hors UE, sauf obligation légale contraire (auquel cas il informe préalablement le Responsable, sauf interdiction légale de cette information). Le présent contrat et ses annexes — qui précisent notamment les catégories de données, le fonctionnement de l’assistant IA et les durées de conservation, fixés par le Sous-traitant dans le cadre de son service — ainsi que le paramétrage propre du Garage (agenda, catalogue) constituent ces instructions, que le Responsable adopte en acceptant le présent contrat. Le Sous-traitant alerte le Responsable s’il estime qu’une instruction constitue une violation du RGPD.
  • Finalités autorisées par le Responsable, incluant la conservation de courte durée des enregistrements et transcriptions à des fins de sécurité, débogage et qualité (durées précisées en Annexe 1). Sans cette autorisation, le débogage réalisé sur l’audio ferait basculer le Sous-traitant en responsable de traitement (art. 28.10 du RGPD).

05. Confidentialité (art. 28.3.b)

Les personnes autorisées à traiter les données s’engagent à la confidentialité. Le Sous-traitant étant à ce jour une structure individuelle, cet engagement est personnel ; toute personne qui serait habilitée à l’avenir sera liée par un engagement de confidentialité équivalent.

06. Sécurité (art. 28.3.c, art. 32)

Les mesures techniques et organisationnelles mises en œuvre par le Sous-traitant sont décrites en Annexe 3.

07. Sous-traitance ultérieure (art. 28.2 et 28.4)

  • Autorisation générale : la liste à jour des sous-traitants ultérieurs est publiée à l’adresse https://prospectrum.ai/sous-traitants (voir Annexe 2).
  • Le Responsable est informé de tout ajout ou remplacement d’un sous-traitant ultérieur avec un préavis de 15 jours et dispose, pendant ce délai, d’une possibilité d’objection légitime. Cette information est adressée par courrier électronique à l’adresse de contact du compte du Responsable, et la version en vigueur de la liste est publiée à l’adresse mentionnée ci-dessus. En cas d’objection légitime que le Sous-traitant ne peut accommoder, le Responsable peut résilier sans pénalité le service affecté — seul effet de l’objection.
  • Les prestataires de technologie vocale alternatifs (banc voix, Annexe 2) sont réputés autorisés, étant connus dès la souscription : leur activation n’entraîne pas de nouvelle notification.
  • Les mêmes obligations que celles fixées par le présent contrat sont imposées à chaque sous-traitant ultérieur (art. 28.4 du RGPD) ; le Sous-traitant demeure pleinement responsable envers le Responsable de l’exécution de ces obligations.

08. Transferts hors UE

  • Les transferts de données hors de l’Union européenne sont encadrés conformément à l’article 46 du RGPD.
  • Twilio (Twilio Inc., États-Unis) : transfert couvert par le EU-US Data Privacy Framework, les Clauses Contractuelles Types s’appliquant en repli.
  • OpenAI (entité contractante UE : OpenAI Ireland Ltd) : ce prestataire n’est pas certifié Data Privacy Framework ; le transfert est donc couvert par des Clauses Contractuelles Types (art. 46.2.c du RGPD), accompagnées d’une analyse d’impact du transfert (à la suite de l’arrêt Schrems II, CJUE, C-311/18).
  • Scaleway (France) : hébergement en France, aucun transfert hors UE.
  • Gladia (Gladia SAS, France) : reconnaissance vocale, données localisées en Europe au titre de son propre contrat de sous-traitance — aucun transfert hors UE au titre de cette prestation.
  • ElevenLabs (ElevenLabs Ltd., États-Unis) : synthèse vocale — transfert couvert par le EU-US Data Privacy Framework, les Clauses Contractuelles Types de son contrat de sous-traitance s’appliquant en repli.
  • Le détail par prestataire figure en Annexe 2.

09. Droit des personnes (art. 28.3.e)

Le Sous-traitant assiste le Responsable pour répondre aux demandes d’exercice des droits des personnes concernées (art. 15 à 22 du RGPD). Toute demande adressée directement au Sous-traitant est transmise sans délai au Responsable.

10. Assistance sécurité, violations, AIPD (art. 28.3.f ; art. 33-36)

  • Assistance du Responsable au titre des mesures de sécurité prévues à l’article 32 du RGPD.
  • Violation de données à caractère personnel : le Sous-traitant notifie le Responsable dans les meilleurs délais après en avoir pris connaissance (art. 33.2 du RGPD), en lui communiquant les informations dont il dispose au sens de l’article 33.3, et de manière à lui permettre de procéder à sa propre notification à la CNIL dans le délai de 72 heures prévu à l’article 33.1 du RGPD. Le Sous-traitant complète cette information au fur et à mesure qu’elle devient disponible, sans attendre d’avoir qualifié l’incident dans son intégralité.
  • Assistance du Responsable pour la réalisation des analyses d’impact relatives à la protection des données (AIPD, art. 35 du RGPD) et pour la consultation préalable de la CNIL lorsqu’elle est requise (art. 36 du RGPD).

11. Fin de contrat (art. 28.3.g)

Au choix du Responsable, exprimé à la fin du contrat de service, le Sous-traitant procède à la restitution (export) des données à caractère personnel puis à leur effacement, ou directement à leur effacement, sauf obligation légale contraire imposant leur conservation. L’effacement s’entend au sens de l’Annexe 1 : les données à caractère personnel sont supprimées ou définitivement anonymisées dans les systèmes de production ; les sauvegardes chiffrées déjà constituées les conservent jusqu’à leur expiration selon le cycle de rotation en vigueur, sans être exploitées. À défaut d’instruction du Responsable, le Sous-traitant procède à cet effacement selon les durées prévues en Annexe 1.

12. Documentation et audits (art. 28.3.h)

Le Sous-traitant met à la disposition du Responsable les informations nécessaires pour démontrer le respect des obligations prévues à l’article 28 du RGPD. Le Responsable peut demander un audit au maximum une fois par an (sauf incident de sécurité avéré justifiant un audit supplémentaire), moyennant un préavis raisonnable de 30 jours, pendant les heures ouvrées, aux frais du Responsable demandeur, sous engagement de confidentialité, et sans perturber l’exploitation du service ni compromettre la sécurité des données des autres clients. Le Sous-traitant peut satisfaire à cette obligation par la fourniture de documentation ou d’attestations existantes, lorsque celles-ci couvrent l’objet de la demande.

13. Registre et obligations du Responsable

  • Le Sous-traitant tient à jour le registre des activités de traitement prévu à l’article 30.2 du RGPD.
  • Le Responsable dispose d’une base légale pour ses propres traitements et informe les appelants (art. 13 et 14 du RGPD), notamment à l’aide du kit d’information clé en main fourni en Annexe 4.
  • Le Responsable documente les instructions qu’il adresse au Sous-traitant.
  • Le Responsable respecte le RGPD pour l’ensemble des traitements dont il est responsable.

14. Destinataires tiers (responsables distincts)

Sont des responsables de traitement distincts, et non des sous-traitants de Prospectrum : l’API de consultation de plaque d’immatriculation et l’agenda Google ou Microsoft connecté par le Garage lui-même (via OAuth). La consultation de plaque d’immatriculation est désactivée en production au lancement du Service : aucun fournisseur n’est actif et aucune plaque n’est transmise à un tiers. Elle sera réactivée après le lancement, avec un réutilisateur du Système d’Immatriculation des Véhicules (SIV) titulaire d’une licence (cible : Dataneo WebSIV, licence art. L. 330-5 du Code de la route), sous couvert d’un DPA conforme à l’article 28 du RGPD ; cette entité sera alors consignée au registre des sous-traitants.

15. Responsabilité

La responsabilité du Sous-traitant est engagée conformément à l’article 82 du RGPD.

16. Version et date d’entrée en vigueur

Le présent DPA constitue la version v1, entrée en vigueur le 2026-08-10. Aucune version antérieure n’existe à ce jour ; toute version antérieure sera communiquée sur simple demande adressée à contact@prospectrum.ai.

Annexe 1 — Description du traitement sous-traité

RubriqueContenu
NatureRéception et acheminement des appels ; enregistrement et transcription ; traitement vocal par IA ; prise de rendez-vous ; SMS ; conservation et restitution des données.
FinalitéFournir le service du Garage, ainsi que la sécurité, le débogage et le contrôle qualité du Service.
Personnes concernéesLes appelants du Garage.
DonnéesNuméro de téléphone, enregistrement audio, transcription, nom, plaque d’immatriculation, détails du rendez-vous.
Durées de conservation (en vigueur)Audio : 30 jours. Transcription et résumé : 90 jours. Fiche structurée : 730 jours (2 ans). Ces durées sont fixées par le Sous-traitant et acceptées par le Garage au titre du présent contrat. La durée de la fiche structurée est alignée sur le cycle réel de retour en réparation automobile (contrôle technique biennal), afin de permettre la reconnaissance d’un client qui revient (art. 5.1.e du RGPD ; dans la norme CNIL applicable au CRM, qui admet une durée ≤ 3 ans). Les trois durées distinctes sont appliquées par une purge automatique quotidienne.

Annexe 2 — Sous-traitants ultérieurs autorisés

La liste nominative complète et à jour des sous-traitants ultérieurs — avec leur rôle, leur localisation et les garanties encadrant les transferts — est publiée et tenue à jour à l’adresse https://prospectrum.ai/sous-traitants. Les sous-traitants intervenant sur les données des appelants sont, à la date d’entrée en vigueur du présent contrat : OpenAI (traitement vocal par IA et génération des réponses, États-Unis, entité UE OpenAI Ireland Ltd), Twilio (téléphonie et SMS, États-Unis / Irlande), Scaleway (hébergement et stockage, France), Gladia SAS (reconnaissance vocale, France, données localisées en Europe) et ElevenLabs Ltd. (synthèse vocale, États-Unis, EU-US Data Privacy Framework).

Banc de technologie vocale — réputés autorisés, non activés. Le Sous-traitant peut en outre recourir, pour la reconnaissance et la synthèse vocales, au prestataire suivant, nommément connu du Responsable dès sa souscription et réputé autorisé à ce titre : Deepgram (reconnaissance et synthèse vocales). L’activation de l’un de ces prestataires nommés n’entraîne pas de nouvelle notification. Tout prestataire ne figurant pas dans la présente Annexe constitue un nouveau sous-traitant ultérieur, soumis au préavis de 15 jours et au droit d’objection prévus à l’article 7.

Certains sous-traitants sont établis hors Union européenne ou y transfèrent des données ; ces transferts sont encadrés par le EU-US Data Privacy Framework ou par des Clauses Contractuelles Types accompagnées d’une analyse d’impact du transfert. Les certifications Data Privacy Framework se renouvellent annuellement et sont recontrôlées avant leur échéance.

Stripe et Brevo ne relèvent pas du présent DPA : ces prestataires traitent les données propres à l’activité de Prospectrum (facturation, emails adressés aux garages), et non les données des appelants. Ils relèvent à ce titre de la Politique de confidentialité de Prospectrum.

Annexe 3 — Mesures de sécurité (art. 32)

  • Hébergement dans l’Union européenne (Scaleway, France)
  • Chiffrement en transit (TLS)
  • Chiffrement applicatif des jetons d’agenda
  • Chiffrement au repos : le volume PostgreSQL est chiffré au niveau du disque chez Scaleway SAS (Paris) par des algorithmes reconnus de l’état de l’art (AES-256) ; la clé est détenue par le Sous-traitant et conservée dans un gestionnaire de secrets dédié, distinct du volume. Les sauvegardes sont chiffrées avant export et conservées dans l’UE. (Défense en profondeur : chiffrement applicatif supplémentaire des jetons d’agenda.)
  • Cloisonnement : chaque garage n’accède qu’à ses propres appels
  • Purge automatique quotidienne
  • Journal d’audit des accès aux enregistrements
  • Les sous-traitants ultérieurs sont liés par les mêmes obligations (art. 28.4 du RGPD).

Annexe 4 — Kit d’information des appelants

  • Annonce vocale en début d’appel informant du traitement (enregistrement et IA) en place
  • Page d’information unique destinée aux appelants, hébergée par le Sous-traitant et commune à tous les Garages : https://prospectrum.ai/vos-donnees. Elle énonce les informations de l’article 13 du RGPD — catégories de données, finalités, bases légales, durées de conservation, catégories de destinataires, transferts hors UE, droits et voie de réclamation — et renvoie au Garage, responsable de traitement, pour l’exercice des droits.
  • Charte d’utilisation de l’IA, publiée à l’adresse https://prospectrum.ai/charte-ia (transparence, article 50 du règlement (UE) 2024/1689 sur l’intelligence artificielle)
  • Ligne d’information et lien court inséré dans le SMS de confirmation (en cours de mise à disposition)
  • Affiche imprimable destinée à l’accueil du garage (PDF) (en cours de mise à disposition)