Contrat de sous-traitance
Document provisoire — à faire valider par un avocat.
Quand votre organisation envoie des traces à WYRLO, elle reste responsable du traitement et WYRLO agit comme sous-traitant. L’article 28 du RGPD impose un contrat entre les deux. Voici ce qu’il couvre.
Ce que couvre le contrat
Conformément à l’article 28 du RGPD, le contrat fixe :
- le traitement sur la seule base de vos instructions documentées ;
- la confidentialité imposée aux personnes autorisées à traiter les données ;
- les mesures de sécurité mises en œuvre ;
- les conditions de recours à des sous-traitants ultérieurs ;
- l’aide apportée pour répondre aux demandes d’exercice des droits ;
- l’assistance en cas de violation de données et pour les analyses d’impact ;
- la suppression ou la restitution des données à la fin du contrat ;
- les informations mises à votre disposition pour démontrer la conformité, audits compris.
Objet du traitement
- Nature : vérification des réponses de votre RAG, calcul du niveau de confiance, ajustement nocturne des réglages et rapport hebdomadaire.
- Données : questions, extraits de passages et réponses (les traces), masqués avant stockage ; données des comptes de votre organisation.
- Personnes concernées : utilisateurs de votre RAG et membres de votre organisation [catégories À CONFIRMER].
- Vos documents ne sont jamais stockés.
Durée
Le contrat s’applique pendant toute la durée d’utilisation du service.
Les traces sont conservées 30 jours par défaut, puis supprimées ; votre organisation peut choisir 30, 90 ou 180 jours. [Délai de suppression des données à la fin du contrat : À CONFIRMER]
Mesures de sécurité
- hébergement dans l’Union européenne (Paris) ;
- masquage des traces avant stockage ;
- isolation stricte entre organisations, par des règles d’accès au niveau de la base de données ;
- clés d’API stockées uniquement sous forme d’empreinte hachée ;
- journal d’activité des actions sensibles ;
- chiffrement [périmètre À CONFIRMER].
Le détail de ces mesures figure sur la page Sécurité.
Sous-traitants ultérieurs
- Supabase : base de données et fonctions, région eu-west-3 (Paris). Adresse : [À CONFIRMER]
- Vercel : hébergement de l’application web, fonctions en région cdg1 (Paris). Adresse : [À CONFIRMER]
[Liste complète, information préalable en cas de changement et droit d’opposition : À CONFIRMER]
Obtenir le contrat
Le contrat est envoyé sur demande [adresse À CONFIRMER].