Annexe B — Clauses de sous-traitance CRM (article 28 RGPD)

Version 1 du 22 octobre 2026.

La fiche technique ci-dessous fait partie de cette annexe. Elle ne qualifie pas tous les traitements de la marketplace et ne vaut pas politique de confidentialité.

1. Objet et durée. CORRYVRECKAN traite pour le compte du Client les données CRM nécessaires à l’hébergement, l’organisation, l’affichage, la synchronisation, l’envoi choisi par le Client et la restitution des dossiers professionnels, pendant la fourniture du service puis, sur instructions licites, la consultation des archives et leur restitution/suppression. Le traitement ne vise pas une finalité propre de prospection ou de revente du Vendeur.
2. Catégories. Personnes concernées : clients et prospects de l’artisan, contacts de clients entreprises, collaborateurs et personnes figurant licitement dans les dossiers. Données : identité et coordonnées, adresses d’intervention/facturation, rendez-vous, échanges, devis/factures, règlement indiqué, notes et pièces/photos nécessaires. Le Client évite les catégories particulières de données, les données de santé et les pièces non nécessaires ; aucun hébergement de santé ou usage réglementé spécialisé n’est vendu.
3. Instructions. Les actions habilitées dans le service et les demandes documentées du Client constituent les instructions dans le périmètre convenu. CORRYVRECKAN ne traite que sur instructions documentées, y compris pour les transferts hors EEE, sauf obligation légale ; il informe le Client de cette obligation lorsque la loi le permet. Il avertit immédiatement d’une instruction qui lui paraît contraire au droit des données personnelles.
4. Confidentialité et sécurité. Les personnes autorisées sont soumises à confidentialité et accèdent selon leur mission. Les mesures répondent à l’article 32 : contrôle et séparation des accès, gestion des habilitations, protection des échanges et stockages adaptée, traces de sécurité, sauvegardes et procédures de reprise contrôlées. L’inventaire opérationnel, les lieux d’hébergement et le cycle des sauvegardes sont joints après vérification ; aucune architecture ou localisation non établie n’est certifiée par cette clause.
5. Sous-traitants ultérieurs. La liste réelle comprend l’identité, la mission, le lieu de traitement et, pour un transfert, son fondement. Elle est communiquée avant acceptation. Proposition P10b : autorisation générale des seuls prestataires figurant sur cette liste, information des changements au moins trente jours avant prise d’effet et droit d’objection motivé relatif à la protection des données. Les parties cherchent une solution ; si une protection suffisante ne peut être garantie, le traitement concerné cesse avec restitution et remboursement appropriés. Les mêmes obligations pertinentes sont imposées aux sous-traitants ; CORRYVRECKAN demeure responsable de leur exécution envers le Client.
6. Assistance. CORRYVRECKAN assiste le Client, compte tenu du traitement et des informations disponibles, pour les droits des personnes, la sécurité, les violations, les analyses d’impact et consultations nécessaires. Une demande reçue directement concernant des données traitées pour le Client lui est transmise, sauf instruction ou loi contraire. Aucune facturation d’assistance n’est automatique en l’absence de tarif convenu.
7. Violation. CORRYVRECKAN notifie au Client toute violation de données traitées pour lui sans délai injustifié après en avoir pris connaissance, en fournissant les informations disponibles : nature, personnes/données, contact, conséquences et mesures ; il complète progressivement sans attendre une enquête parfaite. Le délai légal de notification éventuellement applicable au responsable n’est pas remplacé par un délai contractuel de 72 heures accordé au sous-traitant.
8. Transferts. Aucun transfert vers un pays tiers n’est présumé autorisé par le simple recours à Stripe ou à un outil cloud. Les lieux et transferts réels, décisions d’adéquation ou garanties appropriées, et vérifications requises sont documentés avant traitement.
9. Restitution et effacement. À la fin du traitement pour le Client, CORRYVRECKAN restitue ou supprime, au choix licite du Client, les données et supprime les copies sauf obligation de conservation. La résiliation payante n’est pas la fin du traitement d’archives lorsque le Client conserve le service Essentiel et la consultation prévue. Les durées opérationnelles à renseigner distinguent archives actives, bases supprimées, copies de sauvegarde et données conservées par CORRYVRECKAN pour ses obligations propres. La consultation sans délai commercial ne dispense pas du réexamen de la nécessité des données : le Client documente ses instructions et durées par catégorie ; les seules preuves propres du Vendeur suivent l’article 18. Aucune durée de conservation illimitée de tous les dossiers n’est convenue.
10. Démonstration et audits. CORRYVRECKAN fournit les informations nécessaires pour démontrer le respect de l’article 28 et permet les audits et inspections du Client ou de son auditeur. Les modalités protègent les données des autres clients et la sécurité sans empêcher un contrôle nécessaire. Une notification et un périmètre raisonnables sont recherchés ; une urgence ou demande d’autorité n’est pas neutralisée par ces modalités.

Fiche technique

1. Responsables et contact de sécurité

2. Sous-traitants ultérieurs du CRM

Prestataires qui ne reçoivent aucune donnée CRM :

• Brevo : envoie les e-mails de connexion et de service d’OKArtisan. Le CRM n’envoie aucun e-mail aux clients de l’artisan.
• Stripe : facturation de l’abonnement de l’artisan seulement.
• Expo, Apple, Google : notifications sur téléphone, sans contenu de fiche.
• PostHog, Sentry : non activés.

Le lien de complétion, qui permet au client de l’artisan de remplir lui-même sa fiche, est partagé par l’artisan avec ses propres outils (SMS, WhatsApp, e-mail). OKArtisan n’envoie pas ce lien.

Proposition P10b retenue. Autorisation générale des seuls prestataires de cette liste, information des changements au moins 30 jours avant leur prise d’effet, droit d’objection motivé.

3. Lieux et transferts

Toutes les données CRM (fiches, adresses, notes, historique, tâches, liens de complétion et sauvegardes) sont stockées sur le serveur de Francfort. Aucun transfert hors de l’Union européenne pour le CRM.

4. Mesures de sécurité vérifiées

• Isolation par entreprise, contrôlée par la base de données. Une fiche appartient à une entreprise. Aucun autre artisan ne peut la lire. L’équipe OKArtisan n’y accède pas depuis l’application.
• Accès limités. Le dirigeant lit et modifie les fiches. Un équipier ne voit que la fiche du client d’une intervention qui lui est confiée, en lecture seule. L’accès exige l’acceptation de la version en vigueur de l’annexe B ; une nouvelle version bloque l’accès jusqu’à sa réacceptation.
• Connexion par code envoyé par e-mail. Pas de mot de passe ; un verrou du serveur refusant toute connexion par mot de passe sera en place avant l’ouverture.
• Échanges chiffrés (HTTPS) entre l’application et le serveur.
• Serveur : accès d’administration par clé SSH uniquement, mot de passe refusé ; panneau d’administration non exposé sur Internet ; base de données sans port public.
• Traces : les créations, modifications et effacements de fiches sont historisés ; après l’effacement d’une fiche, son historique est conservé sans donnée personnelle.

5. Sauvegardes et reprise

• Une copie complète de la base est faite chaque jour et conservée 14 jours, dans un espace du serveur accessible au seul administrateur.
• Une copie complète est également faite avant chaque mise à jour et supprimée après 30 jours.
• Une restauration d’essai a été réalisée avec succès le 22 octobre 2026.
• Durée de survie d’une donnée effacée dans les sauvegardes : 14 jours au plus pour les copies quotidiennes, 30 jours au plus pour les copies de mise à jour.

6. Formats de restitution

• Pendant le contrat : l’artisan exporte à tout moment, depuis « Mon compte et mes données », toutes les fiches de son entreprise avec leurs adresses, leur historique et leurs tâches, ainsi que ses acceptations de l’annexe B. Le fichier est au format JSON, lisible par un logiciel.
• À la fin du contrat : le même export, sur simple demande à contact@okartisan.com, pendant 30 jours après la fermeture du compte si celui-ci n’a pas été supprimé par l’artisan.

7. Durées de conservation par catégorie

Instruction de durée de l’artisan : l’artisan fixe ses propres durées pour ses clients et utilise l’archivage ou l’effacement. Le service ne supprime pas ses fiches à sa place pendant le contrat.

8. Droits des personnes et incidents

• Demande d’un client de l’artisan reçue par OKArtisan : transmise à l’artisan concerné sous 5 jours ouvrés, sans y répondre à sa place.
• L’artisan exerce les droits lui-même : il corrige la fiche, l’exporte (accès et portabilité) ou l’efface (effacement).
• Incident de sécurité touchant des fiches : information de l’artisan concerné sans délai injustifié, conformément à la clause 7, par e-mail à l’adresse de son compte.

9. Prestations optionnelles et responsabilités

Aucune prestation optionnelle payante n’est proposée pour le CRM. L’assistance prévue à la clause 6 n’est pas facturée.