Accord de traitement des données (DPA)
Cet accord encadre, en application de l'article 28 du RGPD, le traitement de données personnelles qu'Intégralité Consulting opère pour le compte de ses clients dans le cadre du service Au boulot. Il fait partie intégrante des CGV (annexe 1). Version 1.1 du 22 août 2026 (v1.0 du 11 août 2026 ; ajout de Cloudflare, Inc. pour les applications web publiées).
1. Parties et objet
Le présent accord est conclu entre Intégralité Consulting (SAS, RCS Bobigny 951 969 518, 4 rue Vassou, 93230 Romainville, « le Prestataire »), éditeur du service Au boulot, et le client du service (« le Client »). Le Client est responsable de traitement pour les données confiées à ses agents ; le Prestataire agit en qualité de sous-traitant.
2. Nature et finalité du traitement
- Hébergement d'un espace isolé dédié au Client, sur des serveurs situés en France.
- Exécution par les agents des tâches confiées par le Client : tri, rédaction, relances, classement, connexion aux outils que le Client branche.
- Constitution et stockage de la mémoire des agents (fichiers) dans l'espace du Client.
- Sauvegarde quotidienne et restauration de l'espace.
- Supervision technique et maintenance.
3. Catégories de données et de personnes concernées
Elles sont déterminées par l'usage du Client ; typiquement : données d'identification et de contact de ses clients et fournisseurs, correspondances, documents commerciaux et comptables. Le Client s'engage à ne pas confier de catégories particulières de données (article 9 du RGPD) sans accord écrit préalable.
4. Durée, restitution, suppression
L'accord dure autant que le contrat de service. À la résiliation : restitution complète de la mémoire et des fichiers dans des formats lisibles, puis suppression de l'espace sous 30 jours, avec attestation de suppression sur demande.
5. Obligations du Prestataire
- Instructions : ne traiter les données que sur instruction documentée du Client ; les consignes données par le Client à ses agents valent instruction.
- Isolation : un espace par client, jamais de mutualisation des données.
- Localisation : hébergement des espaces en France (Scaleway SAS). Pas de transfert hors Union européenne des données de l'espace sans accord écrit.
- Sécurité (article 32) : chiffrement en transit, accès par clés au périmètre minimal, garde-fous d'exécution bloquant les actions destructrices, validation humaine pour les actions qui engagent, sauvegardes quotidiennes restaurables, journalisation.
- Confidentialité : personnel et intervenants soumis à un engagement de confidentialité.
- Pas d'usage secondaire : aucune revente, aucun entraînement de modèles sur les données du Client, aucune publicité.
- Notification de violation : information du Client sans délai indu, au plus tard 48 heures après en avoir pris connaissance, avec les éléments de l'article 33.
- Assistance : aide raisonnable pour les demandes d'exercice de droits, les analyses d'impact et les échanges avec la CNIL.
- Audit : mise à disposition des éléments démontrant la conformité ; audit possible une fois par an, aux frais du Client, sur préavis de 30 jours, sans accès aux données d'autres clients.
6. Sous-traitants ultérieurs
Liste nominative en vigueur au 22 août 2026. Le Prestataire informe ses clients de tout changement, avec 30 jours pour objecter.
| Sous-traitant | Rôle | Localisation des données | Cadre |
|---|---|---|---|
| Scaleway SAS (France, groupe Iliad) | Hébergement des espaces clients ; transcription des offres qui la comprennent, opérée par le Prestataire sur cette infrastructure ; moteur souverain de L'Associé | France (région Paris) | DPA Scaleway intégré au contrat |
| OVH SAS (France) | Email du service (adresses @boulot.ai, messages transactionnels) | France / Union européenne | DPA OVHcloud |
| Stripe Payments Europe / Stripe Inc. (Irlande / États-Unis) | Paiement des abonnements (carte, facturation, TVA) | Union européenne et États-Unis | DPA Stripe (clauses contractuelles types) |
| Vercel Inc. (États-Unis) | Hébergement du site vitrine boulot.ai uniquement, jamais des espaces clients | CDN mondial | DPA Vercel (clauses contractuelles types, DPF) |
| Cloudflare, Inc. (États-Unis) | Protection réseau (proxy, pare-feu applicatif) et DNS des applications web publiées par les agents (adresses en .boulot.dev) : le trafic de ces applications transite par son réseau ; les données au repos restent hébergées en France, et les espaces clients (conversations, mémoire, sauvegardes) n'y passent jamais | Réseau mondial (points de présence en Union européenne) | DPA Cloudflare (clauses contractuelles types, DPF) |
| OpenRouter, Inc. (États-Unis) et ses fournisseurs d'inférence Together AI, DeepInfra ou Fireworks AI (États-Unis) | Exécution du moteur compris (DeepSeek V4) et de la génération d'images : seules les requêtes envoyées au moteur y transitent, jamais l'espace ni la mémoire | États-Unis, hors de Chine | Fournisseurs sélectionnés notamment pour leur engagement de ne pas utiliser les requêtes pour entraîner des modèles |
7. Cas des moteurs branchés par le Client
Lorsque le Client branche son propre abonnement ou sa propre clé (OpenAI, Anthropic, Mistral…), il contracte directement avec l'éditeur du moteur, qui n'est pas un sous-traitant du Prestataire : les requêtes transitent vers ce moteur sur instruction du Client. Avec l'offre L'Associé, l'inférence est opérée en France chez Scaleway, du premier au dernier maillon.