Contrat de Sous-traitance des Données Personnelles

Dernière mise à jour : 28 septembre 2026 (version 2, remplace la version de juillet 2026)

Le présent contrat est le contrat de sous-traitance prévu à l'article 28 du Règlement (UE) 2016/679 (RGPD). Il fait partie du contrat Elio, avec les Conditions Particulières et les CGV.

Article 1. Parties

Responsable de traitement : le Client identifié dans les Conditions Particulières. Il est responsable des données personnelles présentes dans ses outils connectés et traitées par Elio : contacts, candidats, prospects, clients, correspondants.

Sous-traitant : Thibault Bellec, entrepreneur individuel (OSVČ), marque Elio. IČO 24598658, Revoluční 2137/8b, Nové Město, Praha 1, 110 00, République tchèque. Contact données personnelles : thibault@elio-aios.fr

Article 2. Objet et durée

Le Sous-traitant traite des données personnelles pour le compte du Client dans le seul but de lui fournir le service Elio :

• hébergement et exploitation de l'espace de travail du Client, en France
• exécution des tâches demandées par le Client sur ses outils connectés (messagerie, agenda, documents, CRM, facturation)
• création de formulaires, pages et documents pouvant collecter des données de tiers
• conservation de l'historique des conversations, des journaux d'exécution et des compétences du Client

Le traitement dure le temps du contrat, essai gratuit compris, puis le temps de la restitution et de la suppression prévues à l'article 10.

Article 3. Données et personnes concernées

Article 4. Instructions du Client

Le Sous-traitant ne traite les données que sur instruction documentée du Client. Les demandes faites à Elio en langage naturel, les tâches programmées et les compétences validées par le Client constituent ces instructions. Elles sont tracées dans les journaux d'exécution.

Aucun message n'est envoyé à un tiers au nom du Client sans une règle ou une validation posée par le Client lui-même.

Si une instruction lui paraît contraire au RGPD, le Sous-traitant en informe le Client.

Article 5. Confidentialité

Le Sous-traitant accède aux données uniquement pour installer, maintenir ou dépanner le service, ou sur demande du Client. Toute personne autorisée à y accéder est tenue à la confidentialité. Les données du Client ne servent jamais à un autre client, ni à entraîner un modèle d'IA, ni à un usage commercial du Sous-traitant.

Article 6. Sécurité

Le Sous-traitant met en œuvre les mesures suivantes :

• un espace de travail propre à chaque Client, sans données partagées entre Clients
• hébergement en France (Scaleway, Paris)
• chiffrement des échanges (HTTPS/TLS)
• accès à l'application protégé par identifiant et mot de passe propres au Client
• journalisation des actions exécutées

Article 7. Sous-traitants ultérieurs

Le Client autorise le recours aux sous-traitants ultérieurs suivants :

Le Sous-traitant impose à chacun des obligations équivalentes à celles du présent contrat. Tout ajout ou remplacement est notifié au Client 30 jours à l'avance. Le Client peut s'y opposer ; à défaut de solution, il peut résilier sans frais.

Le recours à OpenAI implique un transfert de données hors de l'Union européenne, limité au contenu vocal que le Client choisit de dicter. Ce transfert est encadré par les garanties des articles 44 et suivants du RGPD (clauses contractuelles types ou EU-U.S. Data Privacy Framework). Le Client qui ne souhaite pas ce transfert n'utilise pas la fonction vocale : le service reste entièrement utilisable au clavier.

Article 8. Le cas d'Anthropic (Claude)

Elio fonctionne avec les modèles Claude d'Anthropic, PBC (États-Unis), au moyen de l'abonnement Claude que le Client souscrit lui-même. Anthropic est donc un prestataire direct du Client, et non un sous-traitant du Sous-traitant. Le Sous-traitant se contente de transmettre aux modèles les données nécessaires pour exécuter les instructions du Client.

Il appartient au Client de choisir l'offre Claude adaptée à ses données et d'en régler les paramètres de confidentialité. Le Sous-traitant recommande de désactiver l'utilisation des conversations pour l'amélioration des modèles, et aide le Client à le faire lors de l'installation.

Article 9. Assistance au Client

Le Sous-traitant aide le Client, dans la mesure du possible :

• à répondre aux demandes d'exercice de droits (accès, rectification, effacement, opposition, portabilité)
• à réaliser une analyse d'impact si elle est requise
• à documenter ses traitements

Une demande de droit reçue directement par le Sous-traitant est transmise au Client sans délai.

Article 10. Violation de données

Le Sous-traitant notifie au Client toute violation de données personnelles dans les 48 heures après en avoir pris connaissance. La notification décrit la nature de la violation, les données et personnes touchées, les conséquences probables et les mesures prises.

Article 11. Fin du contrat

À la fin du contrat, fin d'essai comprise :

• sur demande, le Sous-traitant restitue les données au Client dans les 15 jours, dans un format ouvert
• il supprime l'espace de travail et toutes les données dans les 30 jours suivant la fin du contrat, sauf obligation légale de conservation
• une attestation de suppression est remise sur demande

Article 12. Registre et audit

Le Sous-traitant tient le registre des traitements prévu à l'article 30.2 du RGPD. Le Client peut demander toute information utile pour vérifier le respect du présent contrat. Il peut faire réaliser un audit, à ses frais, avec un préavis de 15 jours ouvrés.

Article 13. Obligations du Client

Le Client, responsable de traitement :

• dispose d'une base légale pour chaque traitement réalisé avec Elio, notamment pour la prospection
• informe les personnes concernées, dans sa propre politique de confidentialité
• ne confie à Elio que les données nécessaires à ses finalités
• ne connecte que des comptes dont il est titulaire, contenant des données collectées loyalement

Article 14. Droit applicable

Le présent contrat est soumis au droit français et au RGPD. À défaut d'accord amiable, les tribunaux de Paris sont compétents.