Accord de traitement des données

Version 3.1 - Dernière mise à jour : 1er octobre 2026

1. Parties et objet

Le présent accord s’applique entre TrompTech, entreprise individuelle de J. Tromp, Baliëndijk 324, 4816 GV Breda, Chambre de commerce néerlandaise (KvK) 96345381 (« TrompTech », le sous-traitant), et le donneur d’ordre qui achète la TrompTech Layer, l’hébergement ou la gestion auprès de TrompTech (« le Client », le responsable du traitement). Il fait partie des conditions générales et s’applique automatiquement dès que TrompTech traite des données personnelles pour le Client.

Les notions de données personnelles, traitement, personne concernée et violation ont le sens que leur donne l’article 4 du règlement général sur la protection des données (RGPD).

2. Instructions

• TrompTech traite les données uniquement pour fournir le service, et uniquement sur instruction du Client. Le contrat, le présent accord de traitement des données et les paramètres que le Client choisit dans son espace de travail valent instructions.
• TrompTech n’utilise pas les données à ses propres fins, ne les vend pas et ne les utilise pas pour entraîner un modèle de langage.
• Si TrompTech estime qu’une instruction enfreint le RGPD, il le signale immédiatement.
• Si TrompTech est tenu par la loi de communiquer des données, il en informe le Client au préalable, sauf si la loi l’interdit.

Ce que TrompTech traite lui-même en tant que responsable du traitement, comme les identifiants de connexion des utilisateurs, la facturation de l’abonnement et la consommation des tâches d’IA, ne relève pas du présent accord. Cela figure dans la déclaration de confidentialité.

3. Quelles données

Finalité : la fourniture de l’espace de travail pour la gestion de l’entreprise du Client : relations et prospects, agenda et réservations, e-mails, devis et factures, projets, tâches, heures, tickets, documents, collaborateurs et fonctions d’IA qui font des propositions. Pour l’hébergement : le site web du Client et ce que les visiteurs y saisissent.

Personnes concernées : les utilisateurs et collaborateurs du Client ; les clients, prospects, fournisseurs et leurs interlocuteurs ; les expéditeurs et destinataires d’e-mails ; les personnes qui réservent un rendez-vous ou remplissent un formulaire.

Données : noms, adresses e-mail, numéros de téléphone, données d’entreprise et notes ; rendez-vous ; données d’en-tête et, si le Client le connecte, contenu des e-mails ; devis, factures et contrats ; projets, tâches et heures ; fonction et coordonnées des collaborateurs ; conversations avec l’IA.

Le Client ne place dans l’espace de travail aucune catégorie particulière de données personnelles (comme la santé), aucune donnée pénale et aucun numéro d’identification national néerlandais (BSN), sauf si nous en convenons ensemble par écrit. L’espace de travail ne comporte pas de champs prévus à cet effet, et le module Collaborateurs n’enregistre délibérément ni salaire, ni BSN, ni adresse, ni maladie.

Le Client ne place dans l’espace de travail que des données dont il est lui-même responsable du traitement, et non des données qu’un de ses propres clients lui a confiées en tant que sous-traitant, sauf si nous convenons ensemble de modalités distinctes à ce sujet.

4. Conservation

L’espace de travail applique lui-même un certain nombre de durées de conservation, chaque nuit :

• Prospects perdus : 2 ans après la dernière activité.
• Réservations : anonymisées 12 mois après l’entretien.
• Données d’en-tête des e-mails dans l’index de recherche : 12 mois après la date de l’e-mail.
• Conversations avec l’IA : 12 mois après le dernier message. Propositions de l’IA : 12 mois après la décision.

L’espace de travail ne supprime pas automatiquement les devis, les factures et le reste de la comptabilité, car le Client doit les conserver pendant 7 ans. Les autres données sont conservées jusqu’à ce que le Client les supprime ou que le contrat prenne fin (article 11).

5. Confidentialité et accès

TrompTech garde les données confidentielles. Toute personne ayant accès pour le compte de TrompTech est tenue au secret ; à ce jour, il s’agit uniquement de J. Tromp. Si quelqu’un s’y ajoute, TrompTech le signale. TrompTech n’accède à un espace de travail que si cela est nécessaire pour une assistance demandée par le Client, pour la sécurité ou la remise en service après une panne, ou parce que la loi l’exige. Lorsque TrompTech consulte l’espace de travail, celui-ci l’enregistre dans un journal d’accès, avec la date, l’heure, le motif et une explication. Les administrateurs du Client voient ce journal dans l’espace de travail, sous Team. Les données du personnel dans l’espace de travail du Client ne sont pas visibles pour TrompTech dans l’application.

6. Sécurité

TrompTech prend des mesures appropriées (article 32 du RGPD). Notamment :

• Toutes les connexions sont chiffrées via https.
• Le serveur n’est ouvert qu’au trafic web. L’administration n’est possible que via une connexion protégée avec une clé, et les mises à jour de sécurité s’installent automatiquement.
• Chaque espace de travail fonctionne dans son propre processus, qui ne voit que son propre dossier.
• Les secrets des connexions, les conversations avec l’IA, les propositions de l’IA, l’accès à l’agenda et les e-mails sur un domaine propre sont stockés chiffrés.
• Les mots de passe ne sont conservés que sous forme chiffrée, et le nombre de tentatives de connexion est limité.
• La vérification en deux étapes (une application de codes ou une clé d’accès) est obligatoire pour les personnes qui administrent l’espace de travail, et pour tous si le Client le choisit.
• Un journal d’accès enregistre les connexions, les tentatives échouées, les déconnexions et les consultations par TrompTech. Il ne peut que s’allonger et est conservé un an.
• Les utilisateurs reçoivent des rôles et des droits. Pour chaque module, il est consigné qui a modifié quoi.
• Chaque nuit, une sauvegarde chiffrée hors du serveur, conservée 60 jours (voir Service et disponibilité).

TrompTech peut adapter les mesures, à condition que le niveau ne baisse pas. Le Client est lui-même responsable des personnes à qui il donne accès, des rôles qu’il attribue et des connexions qu’il active.

7. Sous-traitants ultérieurs

Le Client autorise les sous-traitants ultérieurs figurant sur la page des sous-traitants ultérieurs, avec ce que fait chaque partie, quelles données, où, et sur quel fondement en cas de transfert hors de l’Espace économique européen. TrompTech leur impose les mêmes obligations que dans le présent accord, dans la mesure où le service le permet, et reste responsable envers le Client.

TrompTech notifie tout sous-traitant ultérieur nouveau ou différent au moins 30 jours à l’avance par e-mail. Le Client peut s’y opposer dans ce délai. Si nous ne parvenons pas à un accord, le Client peut résilier à la date de la modification, sans frais pour le reste de la période.

Les services que le Client connecte lui-même, comme Google, Microsoft 365, Mollie ou un CRM, ne sont pas des sous-traitants ultérieurs de TrompTech. Pour ceux-ci, le Client a ses propres accords avec le service concerné.

8. Fonctions d’IA

• Les fonctions d’IA passent par l’API professionnelle de TrompTech avec le modèle de langage indiqué sur la page des sous-traitants ultérieurs. Le Client n’a pas besoin de son propre compte pour cela.
• TrompTech transfère les fonctions d’IA vers un traitement dans l’UE : via Google Cloud (Vertex AI) ou AWS (Amazon Bedrock), dans une région de l’UE. TrompTech annonce ce changement au moins 30 jours à l’avance, comme à l’article 7. À partir de ce moment, plus rien n’est envoyé pour les fonctions d’IA à un modèle de langage hors de l’UE, et si cette voie n’est pas disponible, l’IA ne fonctionne pas.
• Le Client ne peut utiliser sa propre clé API d’un fournisseur que si TrompTech l’active pour l’espace de travail. Le travail passe alors par cette clé, en dehors de la voie UE. Ce fournisseur est alors un fournisseur du Client, et non un sous-traitant ultérieur de TrompTech.
• Seul ce qui est nécessaire à la tâche est envoyé au modèle de langage : la question, les instructions et les données que l’IA extrait à cet effet de l’espace de travail.
• Tout ce qui quitte l’espace de travail, comme un e-mail ou une modification dans un autre système, devient d’abord une proposition qu’un utilisateur approuve. Un administrateur du Client peut choisir, par type de tâche, que celle-ci soit exécutée sans approbation, avec une limite quotidienne. Cela vaut instruction du Client. Les questions de personnel, les contrats et le statut d’une facture ne passent jamais sans approbation.
• TrompTech enregistre la consommation par tâche d’IA, pas le texte.

9. Violations

TrompTech notifie toute violation touchant les données du Client dans les meilleurs délais, et s’efforce de la notifier dans les 48 heures suivant sa découverte, afin que le Client puisse lui-même la notifier dans les 72 heures à l’Autoriteit Persoonsgegevens (l’autorité néerlandaise de protection des données). La notification contient ce que TrompTech sait à ce moment : ce qui s’est passé, quelles données et personnes concernées, les conséquences probables et les mesures. Ce qui est connu plus tard suit. TrompTech ne notifie pas lui-même l’autorité de contrôle ni les personnes concernées, sauf si le Client le demande ou si la loi l’exige. TrompTech consigne chaque violation, même si elle n’a pas à être notifiée.

10. Assistance au Client

TrompTech aide le Client à traiter les demandes des personnes concernées, comme l’accès ou l’effacement. L’espace de travail dispose pour cela d’un export par personne et de la suppression d’une relation. Si TrompTech reçoit lui-même une telle demande, il la transmet au Client. TrompTech aide aussi lors d’une analyse d’impact relative à la protection des données (AIPD). L’aide qui dépasse 2 heures par an peut être facturée par TrompTech au tarif horaire habituel, sauf si elle est rendue nécessaire par une erreur de TrompTech.

11. Fin et restitution

Après la fin du contrat, le Client peut obtenir ses données pendant 30 jours : TrompTech les fournit sur demande dans un format courant et lisible par machine. Ensuite, TrompTech efface l’espace de travail avec toutes les données et les clés. Les copies dans les sauvegardes disparaissent à l’expiration de la sauvegarde, au plus tard 60 jours après ; d’ici là, elles restent chiffrées et ne servent qu’à la restauration. Sur demande, TrompTech confirme l’effacement par écrit.

12. Contrôle

Sur demande, TrompTech fournit au Client les informations nécessaires pour démontrer le respect des présentes modalités. Si elles sont manifestement insuffisantes, le Client peut faire réaliser un audit une fois par an par un expert indépendant tenu au secret, avec un préavis de 30 jours, pendant les heures de bureau et sans accès aux données d’autres clients. Le Client en supporte les frais, sauf si l’audit révèle un manquement substantiel de TrompTech. TrompTech ne dispose d’aucune certification telle que l’ISO 27001.

13. Durée et modification

Le présent accord s’applique tant que TrompTech traite des données du Client. TrompTech annonce toute modification au moins 30 jours à l’avance ; si elle est défavorable au Client, celui-ci peut résilier à la date d’entrée en vigueur. En cas de contradiction avec les conditions générales, le présent accord prévaut, dans la mesure où il s’agit de données personnelles. Pour la responsabilité et les litiges, les conditions générales s’appliquent, ainsi que le droit néerlandais.

Questions sur cet accord : info@tromptech.nl.