Accord de sous-traitance (DPA)

Le Responsable de traitement confie au Sous-traitant le traitement de données personnelles pour le compte et sur instruction du Responsable de traitement, dans le cadre de l’exécution du service TheCallAgent décrit aux CGV. Le Responsable de traitement conserve la qualité de responsable de traitement à l’égard des personnes qui appellent son établissement ; le Sous-traitant n’agit que sur ses instructions documentées.

• Ne traiter les données que sur instruction documentée du Responsable de traitement, y compris pour les transferts hors Union européenne, sauf obligation légale contraire — auquel cas le Sous-traitant informe le Responsable de traitement de cette obligation avant le traitement, sauf interdiction légale.
• Garantir que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité.
• Mettre en œuvre les mesures de sécurité appropriées décrites à l’article 32 du RGPD (voir section 6 ci-dessous).
• Respecter les conditions de recours à un sous-traitant ultérieur décrites à la section 4.
• Aider le Responsable de traitement à répondre aux demandes d’exercice des droits des personnes concernées.
• Aider le Responsable de traitement à assurer le respect de ses obligations en matière de sécurité, de notification de violation et, le cas échéant, d’analyse d’impact relative à la protection des données.
• Notifier au Responsable de traitement toute violation de données concernant ses appelants dans les meilleurs délais après en avoir pris connaissance.
• Supprimer ou restituer, au choix du Responsable de traitement, l’ensemble des données à caractère personnel à la fin de la relation contractuelle, et supprimer les copies existantes, sauf obligation légale de conservation.
• Mettre à la disposition du Responsable de traitement les informations nécessaires pour démontrer le respect de ses obligations et permettre la réalisation d’audits raisonnables.

Le Responsable de traitement autorise, de façon générale, le Sous-traitant à recourir aux sous-traitants ultérieurs suivants, chacun lié par un contrat imposant le même niveau de protection des données que le présent accord :

Stripe (paiement de l’abonnement) et Resend (e-mails de connexion) ne traitent que des données du restaurateur, jamais celles de ses appelants : ils ne sont donc pas des sous-traitants ultérieurs au sens du présent accord.

Le Sous-traitant informe le Responsable de traitement par e-mail, au moins 30 jours à l’avance, de tout ajout ou remplacement d’un sous-traitant ultérieur. Le Responsable de traitement peut s’y opposer de manière motivée pendant ce délai et, à défaut d’accord, résilier le contrat sans frais.

Le recours à Retell AI (et OpenAI), Twilio, Anthropic et Railway peut impliquer un transfert de données personnelles hors de l’Union européenne, ces sociétés étant établies aux États-Unis. Ce transfert est encadré par les garanties prévues au chapitre V du RGPD. Mécanisme retenu pour chaque sous-traitant ultérieur, vérifié le 11 octobre 2026 : Twilio et Railway sont certifiés au cadre de protection des données UE–États-Unis (Data Privacy Framework) ; Retell AI, OpenAI et Anthropic, non certifiés, sont liés par les clauses contractuelles types de la Commission européenne (décision 2021/914) de leur accord de traitement des données. Les données hébergées par Supabase au Royaume-Uni bénéficient de la décision d’adéquation de la Commission européenne.

Le Sous-traitant met en œuvre notamment les mesures suivantes :

• Isolation des données par restaurant au niveau de la base de données (politiques de sécurité au niveau ligne).
• Chiffrement des échanges en transit (TLS) avec l’ensemble des sous-traitants ultérieurs.
• Vérification de signature sur les webhooks entrants.
• Contrôle d’accès au tableau de bord par authentification individuelle.

• Fournir au Sous-traitant des instructions documentées et licites.
• Informer ses appelants du traitement de leurs données. Le Sous-traitant l’y aide : l’agent annonce en début d’appel qu’il est une intelligence artificielle et que l’appel est enregistré, et la politique de confidentialité détaille le traitement. Le Responsable de traitement complète cette information par ses propres canaux (site, affichage) et ne demande pas la suppression de l’annonce.
• Répondre en première ligne aux demandes d’exercice des droits de ses appelants, avec l’assistance du Sous-traitant si nécessaire.

En cas de violation de données à caractère personnel affectant les données traitées au titre du présent accord, le Sous-traitant en informe le Responsable de traitement sans délai injustifié après en avoir pris connaissance, avec les éléments disponibles permettant à ce dernier de respecter, le cas échéant, son obligation de notification à la CNIL dans les 72 heures.

Le présent accord s’applique pendant toute la durée du contrat entre les parties. À l’issue de celui-ci, le Sous-traitant supprime ou restitue, au choix du Responsable de traitement, l’ensemble des données personnelles traitées, sous réserve des durées de conservation légales rappelées dans la politique de confidentialité.

Chaque partie est responsable des dommages causés par un manquement à ses obligations au titre du RGPD et du présent accord, dans les conditions et limites prévues par les CGV.