Contrat de sous-traitance

Le présent accord est conclu entre le Client — l’organisation titulaire d’un compte Kalleo, agissant comme responsable de traitement — et Kalleo, édité par KOMBINEO SERVICES - FZCO, agissant comme sous-traitant.

Il entre en vigueur à l’acceptation des conditions d’utilisation et s’applique à tout traitement de données personnelles que Kalleo réalise pour le compte du Client. En cas de contradiction avec les conditions d’utilisation sur une question de données personnelles, il prévaut.

• RGPD — le règlement (UE) 2016/679.
• Données Client — toute donnée personnelle que le Client collecte ou fait collecter par Kalleo : les données de ses invités (prospects, participants à un rendez-vous) et celles de ses propres membres lorsqu’elles sont traitées pour son compte.
• Personnes concernées — les invités du Client et ses membres.
• Sous-traitant ultérieur — un prestataire que Kalleo engage pour traiter des Données Client.
• Violation — une violation de données personnelles au sens de l’article 4.12 du RGPD.

La nature, les finalités, les catégories de données et de personnes, et la durée du traitement sont décrites en annexe 1.

Kalleo ne traite les Données Client que sur instruction documentée du Client. Constituent des instructions : les conditions d’utilisation, le présent accord, la configuration que le Client donne au produit (questions du formulaire, cases de consentement, automatisations, calendriers), et toute demande écrite ultérieure.

Si Kalleo estime qu’une instruction contrevient au RGPD ou à une autre disposition applicable, il en informe le Client sans délai et peut suspendre son exécution jusqu’à clarification.

Confidentialité. Les personnes autorisées à traiter les Données Client sont tenues à une obligation de confidentialité, contractuelle ou légale.

Sécurité. Kalleo met en œuvre les mesures techniques et organisationnelles décrites en annexe 3, et les fait évoluer avec l’état de l’art.

Assistance à l’exercice des droits. Le produit permet au Client d’effacer la fiche d’un invité et d’en exporter une copie lisible. Toute demande qu’une personne concernée adresse directement à Kalleo est transmise au Client sous 72 heures.

Notification des violations. Kalleo notifie au Client toute Violation affectant ses Données dans les 48 heures suivant le moment où il en a connaissance, en lui communiquant les éléments visés à l’article 33.3 du RGPD dont il dispose, puis les complète au fur et à mesure.

Analyses d’impact. Kalleo fournit au Client les informations en sa possession nécessaires à une analyse d’impact ou à une consultation préalable de l’autorité de contrôle.

Suppression et restitution. Le Client peut exporter ses données à tout moment depuis le produit. À la fin du contrat, Kalleo supprime les Données Client dans les 180 jours, sauf obligation légale de conservation ; les copies de sauvegarde sont écrasées selon leur cycle normal, sans excéder ce délai de plus de trente jours.

Documentation et audit. Kalleo tient à disposition du Client la documentation nécessaire pour démontrer le respect du présent accord. Le Client peut faire réaliser un audit, une fois par année civile, moyennant un préavis de trente jours, à ses frais, par un auditeur tenu à la confidentialité, sans perturber le service ni accéder aux données d’autres clients.

Le Client autorise de manière générale Kalleo à recourir aux sous-traitants ultérieurs listés en annexe 2, chacun pour la tâche indiquée. Kalleo leur impose par contrat des obligations équivalentes aux siennes et reste responsable de leur exécution.

Tout ajout ou remplacement est notifié au Client au moins trente jours avant sa prise d’effet, par email à l’adresse de l’administrateur. Le Client peut s’y opposer pour un motif légitime tenant à la protection des données ; à défaut de solution, il peut résilier la partie du service concernée sans pénalité.

Les Données Client sont stockées dans l’Union européenne. Lorsqu’un sous-traitant ultérieur les traite en dehors de l’Union, le transfert repose sur les clauses contractuelles types de la Commission européenne (décision 2021/914), accompagnées d’une évaluation des risques et des mesures complémentaires nécessaires. La liste des localisations figure en annexe 2.

• Disposer d’une base légale pour chaque traitement qu’il fait réaliser, et en particulier pour recontacter ses invités.
• Informer les personnes concernées. La mention affichée sur la page de réservation et les documents que Kalleo met à disposition (politique de confidentialité, conditions invité) y contribuent mais ne dispensent pas le Client de sa propre information lorsqu’elle est requise.
• Ne pas collecter, via le formulaire, de données relevant de l’article 9 du RGPD sans avoir mis en place les garanties appropriées.
• Recueillir les consentements exigés par le code des postes et des communications électroniques avant toute prospection par email, SMS ou téléphone.
• Traiter dans un délai d’un mois les demandes des personnes concernées que Kalleo lui transmet.

Le présent accord dure aussi longtemps que Kalleo traite des Données Client. Les obligations de confidentialité, de suppression et de notification survivent à sa fin jusqu’à leur complète exécution.

Chaque partie répond des manquements qui lui sont propres. La responsabilité de Kalleo au titre du présent accord s’exerce dans les limites prévues par les conditions d’utilisation, sans que ces limites puissent faire obstacle aux droits que le RGPD confère aux personnes concernées.

Nature

Collecte via des formulaires et pages de réservation, stockage, calcul d’un score, planification de rendez-vous, envoi de messages, mise à disposition dans un back-office.

Finalités

Qualifier des demandes entrantes, orienter vers le bon interlocuteur, prendre et gérer des rendez-vous, envoyer les confirmations et rappels, suivre l’issue des rendez-vous.

Personnes concernées

Invités du Client (prospects, participants à un rendez-vous) ; membres du Client (administrateurs, closers).

Catégories de données

Identité et contact (nom, email, téléphone) ; réponses au formulaire, y compris champs libres ; score et palier ; rendez-vous (date, interlocuteur, lieu, fuseau, notes) ; état et horodatage des consentements ; traces des messages envoyés ; provenance (code de lien, pays de connexion déduit de l’adresse IP, l’adresse elle-même n’étant pas conservée).

Données sensibles

Aucune n’est sollicitée par Kalleo. Le Client s’engage à ne pas en demander via ses questions.

Durée

Durée du contrat, puis suppression dans les 180 jours suivant sa fin.

• Base de données hébergée dans l’Union européenne, chiffrée au repos ; toutes les communications chiffrées en transit (TLS).
• Cloisonnement des données par organisation au niveau de la base (politiques de sécurité par ligne) : une requête émise pour une organisation ne peut pas atteindre les données d’une autre.
• Aucun accès direct des pages publiques aux tables : toute écriture ou lecture passe par des fonctions à périmètre restreint, revues à chaque évolution.
• Jetons d’accès aux agendas tiers et à Zoom chiffrés (AES-256-GCM) avant stockage, clé détenue hors de la base.
• Liens de gestion de rendez-vous signés (HMAC-SHA256) et à durée de validité limitée.
• Authentification des utilisateurs par Supabase Auth, mots de passe hachés, confirmation d’adresse email.
• Accès administratifs limités aux personnes qui en ont besoin, journalisés, révoqués au départ.
• Purge automatique des données au terme des durées annoncées ; effacement d’une fiche sur demande, depuis le produit.
• Journalisation des envois et des tâches planifiées, permettant de reconstituer ce qui est parti, à qui, et quand.