Conditions de sous-traitance des données (RGPD, article 28)
Ces conditions encadrent les données personnelles que votre entreprise confie à Rosa. Elles s’appliquent dès la création de l’espace de l’entreprise par son gérant et font partie de l’accord entre votre entreprise et l’éditeur.
Rôles et objet
Votre entreprise est responsable du traitement : elle décide pourquoi et comment ses données sont utilisées. L’éditeur de Rosa est sous-traitant : il traite ces données uniquement pour fournir le service, pendant la durée de l’abonnement.
Finalité : gestion de l’entreprise (clients, devis, factures, plannings, équipes, absences, documents, messagerie, agenda, comptes rendus), suivi des dossiers et automatismes sur les tableaux Google Sheets de l’entreprise, et assistant conversationnel par la voix, WhatsApp et l’application.
Personnes concernées : salariés et intervenants de l’entreprise, ses clients, prospects et fournisseurs, et les correspondants de ses e-mails et réunions. Données : identité, coordonnées professionnelles et métier, données commerciales et comptables, heures et absences, contenus de messages, documents, contenus des tableaux suivis, audio et photos transmis à l’assistant. Aucune donnée de santé ne doit être confiée à l’assistant.
Engagements du sous-traitant
L’éditeur traite les données uniquement sur instruction documentée de votre entreprise ; l’usage de l’application et ces conditions constituent ces instructions. Il vous informe si une instruction lui paraît contraire au RGPD. Il n’utilise pas vos données pour ses propres fins, ni pour la publicité, ni pour entraîner des modèles d’IA.
Les personnes autorisées à accéder aux données sont tenues à la confidentialité. Les accès techniques de l’éditeur sont limités aux besoins du support et de la maintenance.
Mesures de sécurité en place : chiffrement des échanges (HTTPS), cloisonnement de chaque entreprise par un identifiant propre sur chaque donnée, connexion par Google avec cookies sécurisés inaccessibles au JavaScript, jetons d’intégration distincts par entreprise, mots de passe de boîtes mail et autorisations Microsoft chiffrés au repos (AES-GCM), journal des connexions.
L’éditeur aide votre entreprise à répondre aux demandes des personnes (accès, rectification, effacement, portabilité) et, si nécessaire, à réaliser une analyse d’impact ou à consulter la CNIL.
En cas de violation de données personnelles, l’éditeur vous prévient sans délai excessif après en avoir pris connaissance, avec les informations utiles pour que votre entreprise puisse notifier la CNIL dans les 72 heures lorsque c’est requis.
Sous-traitants ultérieurs
Votre entreprise autorise l’éditeur à recourir aux prestataires suivants, selon les fonctions activées (prestataire : rôle ; pays ; garantie de transfert) :
Cloudflare, Inc. : hébergement de l’application et des données, fichiers (R2), transcription des messages vocaux (Workers AI) ; États-Unis ; Data Privacy Framework.
Google LLC : connexion, Gmail, Google Sheets et Drive pour le suivi des dossiers, AppSheet pour le stock ; États-Unis ; Data Privacy Framework.
Anthropic : IA de Rosa et de l’application ; États-Unis ; clauses contractuelles types de la Commission européenne.
Meta Platforms, Inc. : WhatsApp ; États-Unis ; Data Privacy Framework.
Resend : acheminement d’e-mails ; États-Unis ; clauses contractuelles types de la Commission européenne.
Perplexity AI : recherche et enrichissement de l’activité ; États-Unis ; Data Privacy Framework.
Fathom : import des comptes rendus de réunion, seulement si votre entreprise le connecte ; États-Unis ; Data Privacy Framework.
Microsoft Corporation : relève et envoi des mails d’une boîte Microsoft 365 ou Outlook, seulement si un membre la connecte ; États-Unis ; Data Privacy Framework.
Liste officielle du Data Privacy Framework : dataprivacyframework.gov/list. Le fournisseur de messagerie choisi par un utilisateur (OVH, IONOS…) reste son propre prestataire. Les services publics de recherche (adresses, entreprises, météo) ne reçoivent que la donnée recherchée.
L’éditeur informe le gérant de tout ajout ou remplacement de sous-traitant par un avis dans l’application ou par e-mail avant sa mise en service. Votre entreprise peut exprimer une objection auprès de support@erp-rosa.xyz afin d’examiner les solutions possibles et les conséquences pour les fonctions concernées.
Fin du service et contrôle
Dans les 30 jours suivant la fin du contrat, l’éditeur remet à votre entreprise un export de ses données (données métier au format JSON et fichiers déposés), puis les efface de Rosa. Les copies techniques de l’hébergeur disparaissent ensuite dans un délai de 30 jours. Les tableaux Google Sheets de votre entreprise restent chez elle. Une déconnexion d’un prestataire n’efface pas automatiquement les copies déjà conservées chez lui. Pour une demande de restitution ou d’effacement : support@erp-rosa.xyz.
L’éditeur met à disposition les informations nécessaires pour démontrer le respect de ces obligations et permet des audits raisonnables, sur demande écrite préalable à support@erp-rosa.xyz.