1. Objet et durée. Dad Developer (le sous-traitant) traite des données personnelles pour le compte du client (le responsable du traitement), uniquement pour fournir les postes Renfort souscrits, pendant toute la durée de l'abonnement et des 30 jours qui suivent.
2. Nature et finalité. Lecture, classement, rédaction, envoi et conservation de messages et de documents, tenue d'une trace des actions et d'une mémoire, sauvegarde et restauration, dans les limites du périmètre écrit de chaque poste.
3. Données et personnes concernées. Coordonnées, échanges, factures et pièces que le client confie à ses agents, concernant ses clients, prospects, fournisseurs, partenaires et collaborateurs. Le client s'engage à ne pas y confier de données sensibles au sens de l'article 9 du RGPD sans accord écrit préalable.
4. Instructions. Le sous-traitant n'agit que sur instruction documentée du client : la formule, le périmètre écrit des postes et les demandes écrites du client. Il informe le client si une instruction lui paraît contraire au RGPD.
5. Confidentialité. Seul Sébastien De Bollivier accède aux serveurs. Il n'ouvre le contenu des agents que pour une intervention demandée ou une réparation, notée dans la trace.
6. Sécurité. Serveur dédié par client, accès par clé uniquement, mises à jour testées, sauvegardes quotidiennes chiffrées hors du serveur, surveillance continue.
7. Sous-traitants ultérieurs. Le client autorise ceux listés dans la politique de confidentialité de Renfort (notamment OVHcloud). Tout ajout ou remplacement lui est annoncé 30 jours à l'avance ; il peut s'y opposer et résilier sans frais. Le fournisseur du modèle d'IA, choisi et payé directement par le client, relève du contrat entre le client et ce fournisseur : il n'est pas un sous-traitant de Dad Developer.
8. Transferts hors de l'Union européenne. Le serveur, la mémoire et les sauvegardes restent en France. Un transfert hors de l'Union européenne n'a lieu que par le modèle d'IA ou la messagerie que le client choisit lui-même ; le sous-traitant l'en informe avant le branchement, en signalant les pays sans décision d'adéquation.
9. Droits des personnes. Le sous-traitant transmet sans délai au client toute demande d'une personne concernée et l'aide à y répondre, notamment par l'export ou l'effacement des données en cause.
10. Violation de données. Le sous-traitant notifie au client toute violation de données dans les 48 heures après en avoir pris connaissance, avec les informations utiles à sa propre notification à la CNIL.
11. Fin du contrat. Pendant 30 jours après la fin de l'abonnement, le client peut obtenir une archive complète. Ensuite, le sous-traitant efface le serveur et les sauvegardes, et le confirme par écrit. Seules les pièces de facturation sont conservées, pour l'obligation légale.
12. Documentation et audit. Sur demande, le sous-traitant fournit la documentation nécessaire pour démontrer le respect de ces obligations et répond aux questions d'un auditeur désigné par le client.