Accord de sous-traitance (DPA)

Accord de sous-traitance (DPA)

v1.1 — 23 avril 2026

Plateforme cobel.app — Article 28 du RGPD

Le présent Accord de sous-traitance (ci-après « DPA ») est conclu en application de l'article 28 du Règlement (UE) 2016/679 du 27 avril 2016 (ci-après « RGPD ») entre :

COBEL SAS, société par actions simplifiée au capital de 10 000 €, dont le siège social est situé au 2 square Gaston Allard, 49000 Angers, immatriculée au RCS d'Angers sous le numéro 843 940 172, représentée par son Président, ci-après désignée « le Sous-traitant » ou « COBEL »,

et le Client souscripteur d'un abonnement à la plateforme cobel.app tel qu'identifié aux Conditions Générales de Services, ci-après désigné « le Responsable de traitement » ou « le Client ».

Le DPA complète les Conditions Générales de Services (CGS) et la Politique de confidentialité, auxquelles il se rattache. En cas de contradiction pour ce qui concerne le traitement des données à caractère personnel, le présent DPA prévaut.

Définitions

Les termes employés au présent DPA ont la signification qui leur est donnée par le RGPD, notamment : « données à caractère personnel », « traitement », « responsable de traitement », « sous-traitant », « personne concernée », « violation de données », « Autorité de contrôle ».

Les termes spécifiques au contrat (« Client », « Utilisateur », « plateforme », « Services », « Données Client ») ont la signification qui leur est donnée aux CGS et CGU.

Objet et périmètre

Le présent DPA a pour objet de définir les conditions dans lesquelles COBEL, agissant en qualité de sous-traitant, traite, pour le compte du Client responsable de traitement, les données à caractère personnel nécessaires à l'exécution des Services fournis via la plateforme cobel.app.

Il est précisé que, pour d'autres traitements décrits dans la Politique de confidentialité (gestion des Comptes, facturation, support, prospection commerciale de COBEL), COBEL agit en qualité de responsable de traitement et non de sous-traitant. Le présent DPA ne s'applique pas à ces traitements.

Description du traitement

Nature et finalités

COBEL traite les données à caractère personnel pour les finalités suivantes, déterminées par le Client :

• mise à disposition de la plateforme et hébergement des Données Client ;
• pilotage de la maturité organisationnelle (niveaux NM, jauges, indicateurs) ;
• gestion des référentiels QHSE (événements, inspections, évaluations fournisseurs, plans d'action, déchets, environnement, formation) ;
• exécution de fonctionnalités d'intelligence artificielle sur instruction de l'Utilisateur (agents conversationnels, moteur de diagnostic RCP+) ;
• production de tableaux de bord, rapports et exports à la demande du Client.

Catégories de personnes concernées

• salariés, intérimaires, stagiaires et alternants du Client ;
• sous-traitants et prestataires externes intervenant sur les sites du Client ;
• représentants des fournisseurs évalués par le Client ;
• personnes impliquées dans les événements QHSE (témoins, acteurs, personnes concernées identifiées par fonction ou poste).

Catégories de données traitées

• données d'identification professionnelle (nom, prénom, fonction, organisation de rattachement) ;
• données de contact professionnel (adresse électronique, téléphone) ;
• données de rattachement organisationnel (poste, zone, équipe, habilitations) ;
• données événementielles QHSE factuelles (cause, conséquence, mesure corrective), rattachées à un poste, une zone ou une fonction ;
• données de formation et d'accueil (validations, quiz, attestations) ;
• journaux de connexion et d'audit.

COBEL ne collecte ni ne traite intentionnellement de données relevant de l'article 9 du RGPD (données de santé, origines, opinions, orientation sexuelle, etc.). Le Client s'engage, au titre du présent DPA, à ne pas introduire de telles données dans les champs libres de la plateforme. En cas de détection par COBEL ou de signalement par un tiers, COBEL en informe le Client sans délai et procède à leur suppression.

Durée du traitement

Le traitement est effectué pendant toute la durée du contrat d'abonnement, augmentée des périodes de conservation post-résiliation prévues à la Politique de confidentialité et aux CGS (30 jours de conservation active pour la réversibilité, puis 12 mois d'archivage technique, puis suppression définitive).

Obligations du Sous-traitant

Conformément à l'article 28-3 du RGPD, COBEL s'engage à :

Traiter les données sur instruction documentée du Client

COBEL traite les données à caractère personnel uniquement sur instruction documentée du Client, y compris en ce qui concerne les transferts hors Union européenne, sauf obligation légale impérieuse. Le contrat d'abonnement et ses annexes, incluant les paramétrages effectués par le Client dans la plateforme, constituent les instructions documentées au sens du présent DPA.

Si COBEL considère qu'une instruction du Client constitue une violation du RGPD ou d'une autre disposition relative à la protection des données, COBEL en informe immédiatement le Client.

Garantir la confidentialité

COBEL s'assure que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité contractuelle ou légale, et qu'elles n'accèdent aux données que dans la limite des besoins strictement nécessaires à l'exécution de leurs missions.

Mettre en œuvre les mesures de sécurité appropriées

COBEL met en œuvre les mesures techniques et organisationnelles appropriées au sens de l'article 32 du RGPD, notamment :

• chiffrement en transit (TLS 1.2 minimum) et au repos (AES-256) ;
• cloisonnement multi-tenant par politiques de sécurité au niveau ligne (Row-Level Security) garantissant l'absence d'accès croisé entre organisations ;
• gestion granulaire des habilitations par rôle et par module, selon le principe du moindre privilège ;
• authentification des comptes avec exigences de robustesse et disponibilité d'une double authentification ;
• journaux d'audit des actions sensibles, conservés pendant douze (12) mois ;
• sauvegardes automatisées quotidiennes, testées, hébergées dans la même zone géographique ;
• revue de sécurité périodique du code et des dépendances applicatives.

Assister le Client

COBEL assiste le Client, dans la mesure du possible et compte tenu de la nature du traitement, pour :

• répondre aux demandes des personnes concernées exerçant leurs droits au titre des articles 15 à 22 du RGPD ;
• se conformer aux obligations de sécurité, de notification de violation et d'analyse d'impact relative à la protection des données ;
• réaliser, le cas échéant, une consultation préalable de l'Autorité de contrôle.

Notifier les violations de données

COBEL notifie au Client toute violation de données à caractère personnel dans un délai maximal de soixante-douze (72) heures après en avoir pris connaissance. La notification comprend :

• la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d'enregistrements impactés ;
• les conséquences probables de la violation ;
• les mesures prises ou proposées pour remédier à la violation et en atténuer les effets.

Tenir à disposition un registre des traitements

COBEL tient un registre de l'ensemble des catégories d'activités de traitement effectuées pour le compte du Client, conformément à l'article 30-2 du RGPD. Ce registre est mis à disposition du Client sur demande motivée.

Permettre les audits

COBEL met à la disposition du Client toutes les informations nécessaires pour démontrer le respect des obligations prévues au présent DPA. COBEL permet la réalisation d'audits, y compris d'inspections, par le Client ou un auditeur mandaté par lui, et y contribue dans les conditions suivantes :

• le Client notifie son intention d'audit au moins trente (30) jours calendaires à l'avance, sauf en cas de violation avérée ou d'injonction d'une Autorité de contrôle ;
• l'audit est réalisé aux heures ouvrées et dans des conditions ne perturbant pas l'activité de COBEL ni la confidentialité des données d'autres clients ;
• l'auditeur mandaté par le Client est soumis à un engagement de confidentialité ;
• les frais de l'audit sont à la charge du Client, sauf manquement grave de COBEL établi par l'audit, auquel cas les frais sont à la charge de COBEL.

Sous-traitance ultérieure

Le Client autorise COBEL à recourir à des sous-traitants ultérieurs pour l'exécution du contrat. La liste des sous-traitants ultérieurs est tenue à jour dans la Politique de confidentialité et reproduite en annexe du présent DPA.

COBEL s'engage à imposer à chaque sous-traitant ultérieur, par contrat écrit, des obligations de protection des données équivalentes à celles prévues au présent DPA, notamment en matière de sécurité, de confidentialité et de transfert hors Union européenne.

COBEL informe le Client de toute modification prévue concernant l'ajout ou le remplacement de sous-traitants ultérieurs, au minimum trente (30) jours avant la mise en œuvre. Le Client dispose d'un droit d'opposition motivé. En cas d'opposition justifiée par un risque démontré pour la protection des données, les parties recherchent une solution technique ou contractuelle. À défaut, le Client peut résilier le contrat sans pénalité.

Transferts hors Union européenne

Les bases de données applicatives de cobel.app sont hébergées en Union européenne (Irlande).

Certains sous-traitants ultérieurs (Netlify, Anthropic, OpenAI) sont établis aux États-Unis. Les transferts vers ces prestataires sont encadrés par :

• les Clauses Contractuelles Types adoptées par la Commission européenne (décision d'exécution 2021/914) ;
• l'adhésion au Data Privacy Framework UE-États-Unis des prestataires concernés, lorsque celle-ci est effective ;
• des mesures complémentaires telles que le chiffrement en transit (TLS 1.2 minimum) et la minimisation des données transmises lors des appels d'intelligence artificielle.

La cartographie détaillée des transferts est disponible sur demande à privacy@cobel.fr.

Intelligence artificielle — engagements spécifiques

Lorsqu'un Service de la plateforme fait appel à un modèle d'intelligence artificielle fourni par un sous-traitant ultérieur (Anthropic ou OpenAI), COBEL s'engage à :

• pseudonymiser les identifiants personnels (matricule, nom) avant transmission lorsque le cas d'usage le permet, sans altération de la valeur du résultat pour l'Utilisateur ;
• limiter le périmètre des données transmises au strict nécessaire à la finalité du traitement IA ;
• interdire l'utilisation des données pour l'entraînement des modèles, conformément aux options API entreprise des fournisseurs, vérifiée au niveau de la configuration des comptes API COBEL ;
• journaliser les appels IA en interne (horodatage, module, modèle, volumétrie, coût), sans stockage du contenu des prompts ni des réponses, à des fins d'audit ;
• cloisonner les traitements par Client : aucun croisement n'est possible entre organisations abonnées, même au niveau des appels IA ;
• assurer la supervision humaine des sorties générées par l'intelligence artificielle conformément à l'article 14 du Règlement (UE) 2024/1689 dit « AI Act » ; aucune décision affectant une personne physique n'est prise par la plateforme sur la base exclusive d'un traitement automatisé.

La base documentaire utilisée pour contextualiser les traitements d'intelligence artificielle (corpus de référence propriétaire de COBEL) est constituée exclusivement de contenus dont COBEL détient les droits d'exploitation : publications, transcriptions de contenus éditoriaux propres, ressources méthodologiques internes. Aucune donnée introduite par le Client dans la plateforme n'est utilisée pour enrichir cette base documentaire ou pour entraîner les modèles d'intelligence artificielle sous-jacents. Les Données Client demeurent la propriété du Client et ne sont traitées que dans la stricte exécution de la prestation décrite au présent DPA.

Conformité au Règlement européen sur l'intelligence artificielle (AI Act)

COBEL agit en qualité de fournisseur de systèmes d'intelligence artificielle à risque limité au sens du Règlement (UE) 2024/1689. À ce titre, COBEL s'engage à :

• informer les utilisateurs, au sein de la plateforme, lorsqu'ils interagissent avec un système d'intelligence artificielle (article 50 du AI Act) ;
• signaler les contenus substantiellement générés ou modifiés par un système d'intelligence artificielle ;
• maintenir une documentation technique des systèmes d'intelligence artificielle déployés et assurer leur surveillance post-commercialisation ;
• garantir une supervision humaine effective et significative des sorties produites par ces systèmes.

Aucun des systèmes d'intelligence artificielle déployés par COBEL sur la plateforme cobel.app ne constitue, à la date du présent DPA, un système à haut risque au sens de l'annexe III du AI Act. Toute évolution en ce sens fera l'objet d'une information préalable du Client et d'une mise à jour du présent DPA.

Fin du traitement

À la fin de la prestation de Services, et au choix du Client exprimé par écrit :

• COBEL restitue au Client l'ensemble des Données Client par export structuré (JSON ou CSV), conformément aux engagements de réversibilité des CGS ;
• COBEL détruit les Données Client, et fournit une attestation de destruction sur demande.

À défaut de choix exprimé dans les trente (30) jours suivant la résiliation, COBEL applique la procédure standard décrite à la Politique de confidentialité : conservation active de 30 jours pour permettre un export, puis archivage technique sécurisé de 12 mois, puis suppression définitive.

Les copies stockées dans les sauvegardes techniques sont supprimées selon leur cycle de rotation normal, sans dépasser la durée maximale d'archivage définie.

Responsabilité

Chaque partie assume les conséquences des manquements qui lui sont imputables. La responsabilité de COBEL au titre du présent DPA est régie par les dispositions des CGS et par l'article 82 du RGPD. Le plafond de responsabilité prévu aux CGS ne s'applique pas en cas de manquement intentionnel ou de faute lourde de COBEL en matière de protection des données.

Coopération avec l'Autorité de contrôle

COBEL s'engage à coopérer avec la Commission Nationale de l'Informatique et des Libertés (CNIL) et toute autre Autorité de contrôle compétente, et à répondre à leurs demandes dans les délais requis.

En cas de demande directe adressée à COBEL par une Autorité de contrôle et concernant un traitement effectué pour le compte du Client, COBEL en informe le Client sans délai, sauf lorsque cette notification est juridiquement interdite.

Annexe — Sous-traitants ultérieurs

À la date d'entrée en vigueur du présent DPA, les sous-traitants ultérieurs suivants interviennent dans le traitement des Données Client :

Supabase, Inc. — Finalité : base de données applicative et service d'authentification. Localisation : Union européenne (Irlande). Garanties : DPA Supabase, chiffrement au repos et en transit.

Netlify, Inc. — Finalité : hébergement de la partie frontale de la plateforme. Localisation : États-Unis. Garanties : Clauses Contractuelles Types, Data Privacy Framework UE-États-Unis.

Anthropic PBC — Finalité : modèles d'intelligence artificielle pour les agents conversationnels. Localisation : États-Unis. Garanties : Clauses Contractuelles Types, Data Privacy Framework UE-États-Unis, opt-out entraînement.

OpenAI, L.L.C. — Finalité : modèles d'intelligence artificielle pour le moteur RCP+. Localisation : États-Unis. Garanties : Clauses Contractuelles Types, Data Privacy Framework UE-États-Unis, opt-out entraînement.

Toute modification de cette liste fait l'objet d'une information préalable du Client dans les conditions prévues à l'article « Sous-traitance ultérieure ».

Historique des versions

v1.1 — 23 avril 2026 : ajout d'une clause dédiée sur le corpus documentaire propriétaire de COBEL (distinction explicite avec les Données Client), et ajout d'une section « Conformité au Règlement européen sur l'intelligence artificielle (AI Act) » couvrant les articles 14 et 50.

v1.0 — 22 avril 2026 : version initiale du DPA cobel.app.