Accord de sous-traitance des données (RGPD, article 28)

Version du 16 octobre 2026. Document en cours de finalisation avant l’ouverture du service.

Cet accord fait partie du contrat d’abonnement. Le Client est responsable des traitements qu’il réalise dans son espace ; Gustave est son sous-traitant.

Objet et durée

Gustave héberge et fait fonctionner l’espace du Client pendant la durée de l’abonnement, puis 90 jours pour permettre l’export, avant suppression.

Données et personnes concernées

Selon les modules : salariés du Client (identité, contrat, planning, heures, absences), contacts des clients et fournisseurs du Client, utilisateurs de l’espace. Aucune donnée de santé n’est attendue ; le Client s’engage à ne pas en saisir hors des champs prévus.

Engagements de Gustave

• Ne traiter les données que sur instruction du Client, pour faire fonctionner le service.
• Héberger les données en France, dans une base propre au Client, jamais partagée.
• Chiffrer les échanges et les sauvegardes ; sauvegarder chaque nuit, garder 35 jours.
• Limiter l’accès aux personnes qui en ont besoin, tenues à la confidentialité.
• Prévenir le Client de toute violation de données dans les 48 heures après en avoir eu connaissance.
• Aider le Client à répondre aux demandes des personnes concernées (export, rectification, effacement).
• Supprimer ou restituer les données à la fin du contrat, au choix du Client.

Sous-traitants ultérieurs

• Supabase Inc. : base de données, région de Paris (France).
• Vercel Inc. : exécution de l’application, région de Paris.
• Resend : envoi des e-mails de service.
• Anthropic : traitement des textes soumis aux assistants, uniquement si le module Assistants est souscrit ; sans conservation pour l’entraînement.

Le Client est informé de tout changement de sous-traitant ultérieur au moins trente jours à l’avance et peut résilier s’il s’y oppose.