Accord de sous-traitance (DPA)

1. Application de cet accord

Le présent accord de sous-traitance (ci-après « l’Accord ») fait partie des Conditions Générales d’Utilisation (ci-après « CGU ») conclues entre ALK Innovations et le Client. Il s’applique aux données à caractère personnel qu’ALK Innovations traite pour le compte du Client lorsqu’elle lui fournit le Service Trupeo, telles que décrites à l’annexe II. Les mots Client et Service ont le sens que leur donnent les CGU.

Les parties

Le Client est le responsable du traitement et ALK Innovations est son sous-traitant. Dans les clauses ci-dessous, « le responsable du traitement » désigne le Client et « le sous-traitant » désigne ALK Innovations.

Les clauses contractuelles types

Les parties 2 à 4 reproduisent, sans les modifier, les clauses contractuelles types entre responsables du traitement et sous-traitants adoptées par la Commission européenne dans la décision d’exécution (UE) 2021/915 du 4 juin 2021 (ci-après « les Clauses »). Les parties 5 à 8 en sont les annexes I à IV. Là où les Clauses laissent un choix, les parties ont retenu le règlement (UE) 2016/679 (le RGPD) plutôt que le règlement (UE) 2018/1725, qui ne s’applique qu’aux institutions et organes de l’Union européenne, et, à la clause 7.7, l’autorisation écrite générale, avec un préavis de 30 jours. La clause 5, facultative, n’est pas utilisée.

Acceptation

Le Client accepte cet Accord en acceptant les CGU, sans avoir à le signer. Pour un Client qui a accepté les CGU avant le 24 octobre 2026, cet Accord s’applique à compter de cette date. Il ne crée d’obligations qu’à la charge d’ALK Innovations ; il prend donc effet dès sa publication, sans le préavis de l’Article 21 des CGU. ALK Innovations remet un exemplaire signé en son nom à tout Client qui le demande via le formulaire de contact.

Les instructions documentées du Client

Les instructions du Client, au sens de la clause 7.1, sont cet Accord, les CGU, et ce que les utilisateurs du Client font dans le Service et dans ses réglages : connecter une boîte mail, inviter ou retirer un membre, écrire, confier, classer ou mettre à la corbeille une conversation, exporter des données, connecter un assistant, etc.

Connecter un assistant comme Claude ou ChatGPT à un compte Trupeo est une instruction de mettre des données à la disposition de cet assistant, dans les limites des droits de l’utilisateur qui l’a connecté. L’assistant agit alors sous la responsabilité de l’entreprise qui l’exploite, selon ses propres conditions : il n’est pas un sous-traitant ultérieur d’ALK Innovations.

Ce que cet Accord ne couvre pas

ALK Innovations n’est pas le sous-traitant du Client, mais responsable de traitement à part entière, pour les traitements qu’elle mène pour son propre compte : gestion des comptes utilisateurs, facturation, sécurité du Service, traitement des demandes que les utilisateurs adressent à l’équipe Trupeo, mesure d’audience et d’usage du produit, et gestion de la relation client. Ces traitements sont décrits dans la Politique de Confidentialité, qui les régit.

Modifications et autres dispositions

ALK Innovations tient les annexes à jour à mesure que le Service évolue, ce que permet la clause 2. Une modification de la liste des sous-traitants ultérieurs suit la clause 7.7 : le propriétaire de chaque boîte mail en est informé par mail au moins 30 jours à l’avance. Toute autre modification suit l’Article 21 des CGU. Tout ce que cet Accord ne règle pas, y compris la loi applicable et la juridiction compétente, est réglé par les CGU ; en cas de contradiction, la clause 4 fait prévaloir les Clauses.

2. Section I : dispositions générales

Clause 1 : Objet et champ d’application

a) Les présentes clauses contractuelles types (ci-après les «clauses») ont pour objet de garantir la conformité avec l’article 28, paragraphes 3 et 4, du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données).

b) Les responsables du traitement et les sous-traitants énumérés à l’annexe I ont accepté ces clauses afin de garantir le respect des dispositions de l’article 28, paragraphes 3 et 4, du règlement (UE) 2016/679 et/ou des dispositions de l’article 29, paragraphes 3 et 4, du règlement (UE) 2018/1725.

c) Les présentes clauses s’appliquent au traitement des données à caractère personnel tel que décrit à l’annexe II.

d) Les annexes I à IV font partie intégrante des clauses.

e) Les présentes clauses sont sans préjudice des obligations auxquelles le responsable du traitement est soumis en vertu du règlement (UE) 2016/679 et/ou du règlement (UE) 2018/1725.

f) Les clauses ne suffisent pas à elles seules pour assurer le respect des obligations relatives aux transferts internationaux conformément au chapitre V du règlement (UE) 2016/679 et/ou du règlement (UE) 2018/1725.

Clause 2 : Invariabilité des clauses

a) Les parties s’engagent à ne pas modifier les clauses, sauf en ce qui concerne l’ajout d’informations aux annexes ou la mise à jour des informations qui y figurent.

b) Les parties ne sont pour autant pas empêchées d’inclure les clauses contractuelles types définies dans les présentes clauses dans un contrat plus large, ni d’ajouter d’autres clauses ou des garanties supplémentaires, à condition que celles-ci ne contredisent pas, directement ou indirectement, les clauses ou qu’elles ne portent pas atteinte aux libertés et droits fondamentaux des personnes concernées.

Clause 3 : Interprétation

a) Lorsque des termes définis respectivement dans le règlement (UE) 2016/679 ou dans le règlement (UE) 2018/1725 figurent dans les clauses, ils s’entendent comme dans le règlement en question.

b) Les présentes clauses doivent être lues et interprétées à la lumière des dispositions du règlement (UE) 2016/679 et du règlement (UE) 2018/1725 respectivement.

c) Les présentes clauses ne doivent pas être interprétées d’une manière contraire aux droits et obligations prévus par le règlement (UE) 2016/679 / le règlement (UE) 2018/1725 ou d’une manière qui porte atteinte aux libertés ou droits fondamentaux des personnes concernées.

Clause 4 : Hiérarchie

En cas de contradiction entre les présentes clauses et les dispositions des accords connexes qui existent entre les parties au moment où les présentes clauses sont convenues ou qui sont conclus ultérieurement, les présentes clauses prévaudront.

Clause 5 : Clause d’amarrage (facultative)

Cette clause facultative n’est pas utilisée dans le présent accord.

3. Section II : obligations des parties

Clause 6 : Description du ou des traitements

Les détails des opérations de traitement, et notamment les catégories de données à caractère personnel et les finalités du traitement pour lesquelles les données à caractère personnel sont traitées pour le compte du responsable du traitement, sont précisés à l’annexe II.

Clause 7 : Obligations des parties

7.1. Instructions

a) Le sous-traitant ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement, à moins qu’il ne soit tenu d’y procéder en vertu du droit de l’Union ou du droit de l’État membre auquel il est soumis. Dans ce cas, le sous-traitant informe le responsable du traitement de cette obligation juridique avant le traitement, sauf si la loi le lui interdit pour des motifs importants d’intérêt public. Des instructions peuvent également être données ultérieurement par le responsable du traitement pendant toute la durée du traitement des données à caractère personnel. Ces instructions doivent toujours être documentées.

b) Le sous-traitant informe immédiatement le responsable du traitement si, selon lui, une instruction donnée par le responsable du traitement constitue une violation du règlement (UE) 2016/679 / du règlement (UE) 2018/1725 ou d’autres dispositions du droit de l’Union ou du droit des États membres relatives à la protection des données.

7.2. Limitation de la finalité

Le sous-traitant traite les données à caractère personnel uniquement pour la ou les finalités spécifiques du traitement, telles que définies à l’annexe II, sauf instruction complémentaire du responsable du traitement.

7.3. Durée du traitement des données à caractère personnel

Le traitement par le sous-traitant n’a lieu que pendant la durée précisée à l’annexe II.

7.4. Sécurité du traitement

a) Le sous-traitant met au moins en œuvre les mesures techniques et organisationnelles précisées à l’annexe III pour assurer la sécurité des données à caractère personnel. Figure parmi ces mesures la protection des données contre toute violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel ou l’accès non autorisé à de telles données (violation de données à caractère personnel). Lors de l’évaluation du niveau de sécurité approprié, les parties tiennent dûment compte de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les personnes concernées.

b) Le sous-traitant n’accorde aux membres de son personnel l’accès aux données à caractère personnel faisant l’objet du traitement que dans la mesure strictement nécessaire à l’exécution, à la gestion et au suivi du contrat. Le sous-traitant veille à ce que les personnes autorisées à traiter les données à caractère personnel s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.

7.5. Données sensibles

Si le traitement porte sur des données à caractère personnel révélant l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que des données génétiques ou des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique, ou des données relatives aux condamnations pénales et aux infractions («données sensibles»), le sous-traitant applique des limitations spécifiques et/ou des garanties supplémentaires.

7.6. Documentation et conformité

a) Les parties doivent pouvoir démontrer la conformité avec les présentes clauses.

b) Le sous-traitant traite de manière rapide et adéquate les demandes du responsable du traitement concernant le traitement des données conformément aux présentes clauses.

c) Le sous-traitant met à la disposition du responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations énoncées dans les présentes clauses et découlant directement du règlement (UE) 2016/679 et/ou du règlement (UE) 2018/1725. À la demande du responsable du traitement, le sous-traitant permet également la réalisation d’audits des activités de traitement couvertes par les présentes clauses et y contribue, à intervalles raisonnables ou en présence d’indices de non-conformité. Lorsqu’il décide d’un examen ou d’un audit, le responsable du traitement peut tenir compte des certifications pertinentes en possession du sous-traitant.

d) Le responsable du traitement peut décider de procéder lui-même à l’audit ou de mandater un auditeur indépendant. Les audits peuvent également comprendre des inspections dans les locaux ou les installations physiques du sous-traitant et sont, le cas échéant, effectués moyennant un préavis raisonnable.

e) Les parties mettent à la disposition de l’autorité de contrôle compétente/des autorités de contrôle compétentes, dès que celles-ci en font la demande, les informations énoncées dans la présente clause, y compris les résultats de tout audit.

7.7. Recours à des sous-traitants ultérieurs

a) Le sous-traitant dispose de l’autorisation générale du responsable du traitement pour ce qui est du recrutement de sous-traitants ultérieurs sur la base d’une liste convenue. Le sous-traitant informe spécifiquement par écrit le responsable du traitement de tout projet de modification de cette liste par l’ajout ou le remplacement de sous-traitants ultérieurs au moins 30 jours à l’avance, donnant ainsi au responsable du traitement suffisamment de temps pour pouvoir s’opposer à ces changements avant le recrutement du ou des sous-traitants ultérieurs concernés. Le sous-traitant fournit au responsable du traitement les informations nécessaires pour lui permettre d’exercer son droit d’opposition.

b) Lorsque le sous-traitant recrute un sous-traitant ultérieur pour mener des activités de traitement spécifiques (pour le compte du responsable du traitement), il le fait au moyen d’un contrat qui impose au sous-traitant ultérieur, en substance, les mêmes obligations en matière de protection des données que celles imposées au sous-traitant en vertu des présentes clauses. Le sous-traitant veille à ce que le sous-traitant ultérieur respecte les obligations auxquelles il est lui-même soumis en vertu des présentes clauses et du règlement (UE) 2016/679 et/ou du règlement (UE) 2018/1725.

c) À la demande du responsable du traitement, le sous-traitant lui fournit une copie de ce contrat conclu avec le sous-traitant ultérieur et de toute modification qui y est apportée ultérieurement. Dans la mesure nécessaire à la protection des secrets d’affaires ou d’autres informations confidentielles, y compris les données à caractère personnel, le sous-traitant peut expurger le texte du contrat avant d’en diffuser une copie.

d) Le sous-traitant demeure pleinement responsable, à l’égard du responsable du traitement, de l’exécution des obligations du sous-traitant ultérieur conformément au contrat conclu avec le sous-traitant ultérieur. Le sous-traitant informe le responsable du traitement de tout manquement du sous-traitant ultérieur à ses obligations contractuelles.

e) Le sous-traitant convient avec le sous-traitant ultérieur d’une clause du tiers bénéficiaire selon laquelle, dans le cas où le sous-traitant a matériellement disparu, a cessé d’exister en droit ou est devenu insolvable, le responsable du traitement a le droit de résilier le contrat conclu avec le sous-traitant ultérieur et de donner instruction au sous-traitant ultérieur d’effacer ou de renvoyer les données à caractère personnel.

7.8. Transferts internationaux

a) Tout transfert de données vers un pays tiers ou une organisation internationale par le sous-traitant n’est effectué que sur la base d’instructions documentées du responsable du traitement ou afin de satisfaire à une exigence spécifique du droit de l’Union ou du droit de l’État membre à laquelle le sous-traitant est soumis et s’effectue conformément au chapitre V du règlement (UE) 2016/679 ou du règlement (UE) 2018/1725.

b) Le responsable du traitement convient que lorsque le sous-traitant recrute un sous-traitant ultérieur conformément à la clause 7.7 pour mener des activités de traitement spécifiques (pour le compte du responsable du traitement) et que ces activités de traitement impliquent un transfert de données à caractère personnel au sens du chapitre V du règlement (UE) 2016/679, le sous-traitant et le sous-traitant ultérieur peuvent garantir le respect du chapitre V du règlement (UE) 2016/679 en utilisant les clauses contractuelles types adoptées par la Commission sur la base de l’article 46, paragraphe 2, du règlement (UE) 2016/679, pour autant que les conditions d’utilisation de ces clauses contractuelles types soient remplies.

Clause 8 : Assistance au responsable du traitement

a) Le sous-traitant informe sans délai le responsable du traitement de toute demande qu’il a reçue de la part de la personne concernée. Il ne donne pas lui-même suite à cette demande, à moins que le responsable du traitement des données ne l’y ait autorisé.

b) Le sous-traitant prête assistance au responsable du traitement pour ce qui est de remplir l’obligation qui lui incombe de répondre aux demandes des personnes concernées d’exercer leurs droits, en tenant compte de la nature du traitement. Dans l’exécution de ses obligations conformément aux points a) et b), le sous-traitant se conforme aux instructions du responsable du traitement.

c) Outre l’obligation incombant au sous-traitant d’assister le responsable du traitement en vertu de la clause 8, point b), le sous-traitant aide en outre le responsable du traitement à garantir le respect des obligations suivantes, compte tenu de la nature du traitement et des informations dont dispose le sous-traitant:

1. l’obligation de procéder à une évaluation de l’incidence des opérations de traitement envisagées sur la protection des données à caractère personnel («analyse d’impact relative à la protection des données») lorsqu’un type de traitement est susceptible de présenter un risque élevé pour les droits et libertés des personnes physiques;

2. l’obligation de consulter l’autorité de contrôle compétente/les autorités de contrôle compétentes préalablement au traitement lorsqu’une analyse d’impact relative à la protection des données indique que le traitement présenterait un risque élevé si le responsable du traitement ne prenait pas de mesures pour atténuer le risque;

3. l’obligation de veiller à ce que les données à caractère personnel soient exactes et à jour, en informant sans délai le responsable du traitement si le sous-traitant apprend que les données à caractère personnel qu’il traite sont inexactes ou sont devenues obsolètes;

4. les obligations prévues à l’article 32 du règlement (UE) 2016/679.

d) Les parties définissent à l’annexe III les mesures techniques et organisationnelles appropriées par lesquelles le sous-traitant est tenu de prêter assistance au responsable du traitement dans l’application de la présente clause, ainsi que la portée et l’étendue de l’assistance requise.

Clause 9 : Notification de violations de données à caractère personnel

En cas de violation de données à caractère personnel, le sous-traitant coopère avec le responsable du traitement et lui prête assistance aux fins de la mise en conformité avec les obligations qui lui incombent en vertu des articles 33 et 34 du règlement (UE) 2016/679 ou des articles 34 et 35 du règlement (UE) 2018/1725, selon celui qui est applicable, en tenant compte de la nature du traitement et des informations dont dispose le sous-traitant.

9.1. Violation de données en rapport avec des données traitées par le responsable du traitement

En cas de violation de données à caractère personnel en rapport avec des données traitées par le responsable du traitement, le sous-traitant prête assistance au responsable du traitement:

a) aux fins de la notification de la violation de données à caractère personnel à l’autorité de contrôle compétente/aux autorités de contrôle compétentes, dans les meilleurs délais après que le responsable du traitement en a eu connaissance, le cas échéant (sauf si la violation de données à caractère personnel est peu susceptible d’engendrer un risque pour les droits et libertés des personnes physiques);

b) aux fins de l’obtention des informations suivantes qui, conformément à l’article 33, paragraphe 3, du règlement (UE) 2016/679, doivent figurer dans la notification du responsable du traitement, et inclure, au moins:

1. la nature des données à caractère personnel, y compris, si possible, les catégories et le nombre approximatif de personnes concernées par la violation et les catégories et le nombre approximatif d’enregistrements de données à caractère personnel concernés;

2. les conséquences probables de la violation de données à caractère personnel;

3. les mesures prises ou les mesures que le responsable du traitement propose de prendre pour remédier à la violation de données à caractère personnel, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives.

Lorsque, et dans la mesure où, il n’est pas possible de fournir toutes les informations en même temps, la notification initiale contient les informations disponibles à ce moment-là et, à mesure qu’elles deviennent disponibles, des informations supplémentaires sont communiquées par la suite dans les meilleurs délais;

c) aux fins de la satisfaction, conformément à l’article 34 du règlement (UE) 2016/679, de l’obligation de communiquer dans les meilleurs délais la violation de données à caractère personnel à la personne concernée, lorsque la violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques.

9.2. Violation de données en rapport avec des données traitées par le sous-traitant

En cas de violation de données à caractère personnel en rapport avec des données traitées par le sous-traitant, celui-ci en informe le responsable du traitement dans les meilleurs délais après en avoir pris connaissance. Cette notification contient au moins:

a) une description de la nature de la violation constatée (y compris, si possible, les catégories et le nombre approximatif de personnes concernées par la violation et d’enregistrements de données à caractère personnel concernés);

b) les coordonnées d’un point de contact auprès duquel des informations supplémentaires peuvent être obtenues au sujet de la violation de données à caractère personnel;

c) ses conséquences probables et les mesures prises ou les mesures qu’il est proposé de prendre pour remédier à la violation, y compris pour en atténuer les éventuelles conséquences négatives.

Lorsque, et dans la mesure où, il n’est pas possible de fournir toutes les informations en même temps, la notification initiale contient les informations disponibles à ce moment-là et, à mesure qu’elles deviennent disponibles, des informations supplémentaires sont communiquées par la suite dans les meilleurs délais.

Les parties définissent à l’annexe III tous les autres éléments que le sous-traitant doit communiquer lorsqu’il prête assistance au responsable du traitement aux fins de la satisfaction des obligations incombant à ce dernier en vertu des articles 33 et 34 du règlement (UE) 2016/679.

4. Section III : dispositions finales

Clause 10 : Non-respect des clauses et résiliation

a) Sans préjudice des dispositions du règlement (UE) 2016/679 et/ou du règlement (UE) 2018/1725, en cas de manquement du sous-traitant aux obligations qui lui incombent en vertu des présentes clauses, le responsable du traitement peut donner instruction au sous-traitant de suspendre le traitement des données à caractère personnel jusqu’à ce que ce dernier se soit conformé aux présentes clauses ou jusqu’à ce que le contrat soit résilié. Le sous-traitant informe rapidement le responsable du traitement s’il n’est pas en mesure de se conformer aux présentes clauses, pour quelque raison que ce soit.

b) Le responsable du traitement est en droit de résilier le contrat dans la mesure où il concerne le traitement de données à caractère personnel conformément aux présentes clauses si:

1. le traitement de données à caractère personnel par le sous-traitant a été suspendu par le responsable du traitement conformément au point a) et le respect des présentes clauses n’est pas rétabli dans un délai raisonnable et, en tout état de cause, dans un délai d’un mois à compter de la suspension;

2. le sous-traitant est en violation grave ou persistante des présentes clauses ou des obligations qui lui incombent en vertu du règlement (UE) 2016/679 et/ou du règlement (UE) 2018/1725;

3. le sous-traitant ne se conforme pas à une décision contraignante d’une juridiction compétente ou de l’autorité de contrôle compétente/des autorités de contrôle compétentes concernant les obligations qui lui incombent en vertu des présentes clauses ou du règlement (UE) 2016/679 et/ou du règlement (UE) 2018/1725.

c) Le sous-traitant est en droit de résilier le contrat dans la mesure où il concerne le traitement de données à caractère personnel en vertu des présentes clauses lorsque, après avoir informé le responsable du traitement que ses instructions enfreignent les exigences juridiques applicables conformément à la clause 7.1, point b), le responsable du traitement insiste pour que ses instructions soient suivies.

d) À la suite de la résiliation du contrat, le sous-traitant supprime, selon le choix du responsable du traitement, toutes les données à caractère personnel traitées pour le compte du responsable du traitement et certifie auprès de celui-ci qu’il a procédé à cette suppression, ou renvoie toutes les données à caractère personnel au responsable du traitement et détruit les copies existantes, à moins que le droit de l’Union ou le droit national n’impose de les conserver plus longtemps. Le sous-traitant continue de veiller à la conformité aux présentes clauses jusqu’à la suppression ou à la restitution des données.

5. Annexe I : liste des parties

Responsable du traitement

Nom : le Client, c’est-à-dire la structure qui a souscrit au Service, telle qu’identifiée dans son compte Trupeo et dans ses informations de facturation.

Adresse : l’adresse indiquée dans les informations de facturation du Client.

Nom, qualité et coordonnées de la personne de contact : le propriétaire de chaque boîte mail que le Client a connectée, à l’adresse mail de son compte Trupeo. Un Client qui a désigné un délégué à la protection des données peut communiquer ses coordonnées via le formulaire de contact.

Signature et date d’adhésion : la date à laquelle le Client a accepté les CGU ou, pour un Client qui les avait acceptées auparavant, le 24 octobre 2026.

Sous-traitant

Nom : ALK Innovations, SASU au capital de 1 000 €, immatriculée au RCS de Nantes sous le numéro 983 856 642.

Adresse : 31 avenue des Korrigans, 44300 Nantes, France.

Nom, qualité et coordonnées de la personne de contact : Quentin Georget, Président d’ALK Innovations et son interlocuteur pour la protection des données personnelles, via le formulaire de contact (en sélectionnant « Demande RGPD ») ou par courrier à l’adresse ci-dessus. ALK Innovations n’a pas désigné de délégué à la protection des données.

Signature et date d’adhésion : la publication du présent Accord, le 24 octobre 2026.

6. Annexe II : description du traitement

Catégories de personnes concernées dont les données à caractère personnel sont traitées

• Les utilisateurs du Client : les membres de chacune de ses boîtes mail partagées, et les personnes invitées à en rejoindre une.
• Les correspondants du Client : les expéditeurs et destinataires des mails de ses boîtes connectées, et toute personne que ces mails ou leurs pièces jointes désignent.
• Les personnes inscrites au carnet d’adresses de chaque boîte mail, y compris les contacts gardés identiques à Google Contacts ou à Outlook.

Selon l’activité du Client, ces personnes peuvent compter des mineurs, notamment pour un établissement scolaire.

Catégories de données à caractère personnel traitées

• Les mails : les messages de chaque boîte connectée (objet, corps, expéditeurs, destinataires, dates, pièces jointes, libellés et dossiers), et les mails que les utilisateurs du Client écrivent et envoient depuis le Service.
• La connexion à chaque boîte mail : son adresse, et ce avec quoi Trupeo s’y connecte (l’accès accordé par Google ou Microsoft, ou les identifiants IMAP et SMTP).
• Ce que l’équipe écrit et fait dans Trupeo : notes pour l’équipe, attributions, statuts, libellés, périmètres, signatures, et l’historique de ces actions avec le membre qui a fait chacune d’elles.
• Le carnet d’adresses : les adresses lues dans les mails avec le nom que chaque message leur donne, le nombre et les dates des échanges, ce que l’équipe ajoute (nom, entreprise, fonction, numéros de téléphone, note), les groupes de contacts et, lorsque c’est activé, les contacts échangés avec Google Contacts ou Outlook.
• Les membres tels que leurs coéquipiers les voient : nom, adresse mail et photo de profil.

Données sensibles traitées (le cas échéant) et restrictions ou garanties appliquées

ALK Innovations ne demande pas de données sensibles et ne les recherche pas, mais des mails peuvent en contenir, comme tout ce qu’un correspondant écrit. Elles sont protégées comme tous les mails, avec ces restrictions :

• une limitation stricte des finalités : les mails ne sont traités que pour fournir le Service, jamais à des fins publicitaires, et jamais pour entraîner des modèles d’intelligence artificielle ;
• le texte des messages et les pièces jointes sont chiffrés avec une clé propre à chaque boîte mail (annexe III) ;
• seuls les membres à qui le Client donne accès à une boîte mail la voient, dans les périmètres que le Client fixe ;
• personne chez ALK Innovations ne lit les mails, sauf à la demande explicite du Client pour traiter une demande d’assistance, lorsque la sécurité l’exige, par exemple pour enquêter sur un abus, ou pour respecter une obligation légale, et chaque ouverture d’un compte par l’équipe Trupeo est enregistrée (annexe III).

Nature du traitement

Collecte des mails auprès du service mail du Client (par l’API Gmail, Microsoft Graph, ou IMAP et SMTP), conservation, organisation et affichage aux membres, recherche, envoi de mails pour le compte du Client, application chez le service mail des actions que les membres font dans Trupeo (lu, archivé, corbeille, spam), maintien du carnet d’adresses identique à Google Contacts ou à Outlook lorsque c’est activé, notification des membres (dans l’application, par mail et sur leurs appareils), export des données à la demande du Client, et effacement.

Finalité(s) pour lesquelles les données à caractère personnel sont traitées pour le compte du responsable du traitement

Fournir au Client le Service décrit dans les CGU : une boîte mail partagée dans laquelle l’équipe du Client lit, répartit, suit et répond aux mails de ses boîtes connectées. Et, pour ce Service seulement : consulter les boîtes mail du Client lorsqu’il le demande pour répondre à l’une de ses demandes d’assistance, et assurer la sécurité du Service.

Durée du traitement

Pendant la durée du contrat. Lorsqu’un abonnement prend fin, la boîte mail concernée et ses données sont supprimées à la fin de la période payée, ou 14 jours après la résiliation si cette date est plus tardive, sauf si le Client réactive l’abonnement d’ici là (Article 6 des CGU). Déconnecter une boîte mail supprime les messages et pièces jointes conservés pour elle. Une fois supprimées, les données sortent des sauvegardes de la base dans un délai maximum de 35 jours, et des copies antérieures conservées dans le stockage objet au plus tard 60 jours après leur écriture. Rien n’est supprimé chez le service mail du Client à la fin du contrat : les mails et les contacts y restent.

Pour les traitements effectués par des sous-traitants (ultérieurs), préciser également l’objet, la nature et la durée du traitement

Voir l’annexe IV. Chaque sous-traitant ultérieur traite les données aussi longtemps que le sous-traitant le charge de ce traitement, sauf ce que l’annexe IV indique qu’il conserve plus longtemps.

7. Annexe III : mesures techniques et organisationnelles

Voici les mesures en place au 24 octobre 2026. La page sécurité les détaille, avec leurs limites et leurs dates.

Chiffrement des données à caractère personnel

• Microsoft Azure chiffre la base de données et le stockage des fichiers.
• Trupeo chiffre en plus lui-même certaines données (AES-256-GCM) : depuis le 10 juillet 2026, le texte des messages et les pièces jointes, avec une clé par boîte mail, et les identifiants de connexion des boîtes mail, avec une clé du service. Les secrets dont ces clés sont tirées sont conservés dans Azure Key Vault, à part du stockage : copier un fichier hors du stockage ne suffit pas à le lire.
• L’objet d’un message, ses adresses, son aperçu et ce que l’équipe écrit dans Trupeo sont chiffrés par Azure seulement.

Protection des données pendant leur transmission

• Le site et l’application ne sont servis qu’en HTTPS. Les connexions de Trupeo à Google et à Microsoft sont chiffrées.
• Ses connexions à un serveur IMAP ou SMTP sont chiffrées lorsque ce serveur le propose. Trupeo ne refuse pas un serveur qui ne le propose pas : le Client choisit son serveur.

Identification et autorisation des utilisateurs

• Chaque membre se connecte avec son propre compte, par mot de passe ou avec son compte Google ou Microsoft. Un compte avec mot de passe peut activer la validation en deux étapes : un code d’une application d’authentification, avec dix codes de secours.
• Une boîte mail n’est partagée qu’avec les personnes que son propriétaire invite. Le propriétaire peut limiter un membre aux conversations classées dans certains périmètres. Un membre retiré d’une boîte mail en perd l’accès aussitôt.
• Chaque compte liste ses sessions ouvertes, pour que son utilisateur reconnaisse ses appareils.

Accès du personnel d’ALK Innovations

• Personne chez ALK Innovations ne lit les mails, hors des cas prévus à l’annexe II.
• Chaque fois qu’un membre de l’équipe Trupeo ouvre un compte, c’est enregistré, avec la date, et montré à l’utilisateur de ce compte dans ses réglages. Si cet enregistrement ne peut pas être écrit, l’ouverture est tout de même consignée dans les journaux du service.
• Pour Gmail, Trupeo n’a jamais obtenu la permission de supprimer définitivement un mail.

Sécurité physique des lieux où les données sont traitées

• Trupeo fonctionne sur Microsoft Azure : la base de données, les serveurs de l’application, ainsi que les corps de messages et pièces jointes conservés, sont en France (région Azure France Central). La sécurité physique des centres de données relève de Microsoft.

Disponibilité et restauration

• La base de données est sauvegardée chaque jour, et les sauvegardes sont conservées jusqu’à 35 jours.
• La restauration a été répétée : le 3 septembre 2026, une base restaurée a été relue et déchiffrée avec la vraie clé.

Tests et évaluations réguliers

• Un laboratoire indépendant, TAC Security, habilité par l’App Defense Alliance, a évalué Trupeo dans le cadre du programme CASA de Google : conforme au niveau AL1 depuis le 11 septembre 2026, sur 20 groupes de contrôles. L’évaluation est renouvelée chaque année.
• Chacun peut signaler une faille de sécurité via la page de signalement, selon une politique publiée.

Journalisation des événements

• Chaque conversation garde l’historique de ce qui y a été fait, par qui et quand.
• Chaque ouverture d’un compte par l’équipe Trupeo, et chaque demande d’export de données avec sa date et l’adresse IP dont elle provient, sont enregistrées.
• Des journaux techniques sont conservés pour la sécurité et la détection des incidents.

Minimisation et durée de conservation limitée

• Trupeo ne conserve le contenu d’un message reçu qu’à partir du moment où quelqu’un l’ouvre ; le service mail garde l’original. Ce que l’équipe écrit dans Trupeo, brouillons et mails envoyés compris, est conservé dès qu’il est écrit.
• Les durées de conservation sont celles de l’annexe II. Supprimer une boîte mail purge aussi les fichiers conservés pour elle, et un fichier d’export est supprimé sept jours après avoir été prêt.

Portabilité et effacement des données

• Le propriétaire d’une boîte mail peut en exporter les données depuis ses réglages, sous forme de données structurées et lisibles par machine : la boîte et ses réglages, ses membres, chaque conversation et chaque message avec expéditeurs, destinataires, objet et dates, les notes pour l’équipe, le carnet d’adresses, l’historique d’activité et la liste des pièces jointes. Cocher « Inclure le contenu des mails et les pièces jointes que Trupeo conserve » y ajoute les corps de messages que Trupeo conserve, déchiffrés, les brouillons et les fichiers joints conservés ; le corps d’un message que personne n’a ouvert dans Trupeo n’y figure pas, et le service mail garde l’original.
• Le propriétaire d’une boîte mail peut la supprimer depuis ses réglages, ce qui efface tout ce qui est conservé pour elle, et chaque utilisateur peut supprimer son propre compte depuis les siens.
• Une fois les fichiers conservés pour une boîte mail supprimée purgés, chacun de ses propriétaires reçoit un mail qui atteste la suppression, avec sa date et celle à laquelle les sauvegardes de la base et les versions précédentes du stockage de fichiers qui en contiennent encore une partie auront disparu. L’adresse et la langue auxquelles il est envoyé ne sont conservées que jusqu’à son envoi.

Assistance au responsable du traitement (clauses 8 et 9)

• Demandes des personnes concernées : le Client peut répondre lui-même à la plupart d’entre elles avec les outils d’export et d’effacement ci-dessus. Pour ce qu’ils ne couvrent pas, le Client peut demander l’assistance d’ALK Innovations via le formulaire de contact (en sélectionnant « Demande RGPD »), et ALK Innovations répond dans un délai maximum de 30 jours.
• Violation de données à caractère personnel : ALK Innovations la notifie par mail au propriétaire de chaque boîte mail concernée, avec les éléments de la clause 9.2. Le point de contact pour en savoir plus est celui de l’annexe I.
• Analyses d’impact et consultations préalables : sur demande, ALK Innovations fournit les informations dont elle dispose sur le traitement, notamment le présent Accord, la page sécurité et le résultat de son évaluation CASA.

8. Annexe IV : liste des sous-traitants ultérieurs

Le Client autorise les sous-traitants ultérieurs ci-dessous, qui forment la liste convenue de la clause 7.7, point a). ALK Innovations informe par mail le propriétaire de chaque boîte mail au moins 30 jours avant d’en ajouter un à la liste ou d’en remplacer un.

Microsoft France SAS et Amazon Web Services EMEA SARL traitent les données dans l’Union européenne. Amazon SES conserve sur une liste de suppression les adresses dont un mail a été définitivement rejeté ou qui ont signalé un mail comme spam, pour ne plus leur écrire, et cette liste survit au contrat. Le transfert vers Google LLC repose sur les garanties décrites dans la Politique de Confidentialité, comme le prévoit la clause 7.8.

Qui n’est pas un sous-traitant ultérieur

• Google, Microsoft et les autres services mail du Client détiennent déjà la boîte mail du Client, en vertu du contrat propre du Client avec eux : Trupeo s’y connecte sur les instructions du Client.
• Les services qui délivrent les notifications sur l’appareil d’un membre sont ceux du navigateur qu’il utilise (Google, Mozilla, Apple ou Microsoft) : c’est le navigateur qui les choisit, pas ALK Innovations. Ils reçoivent l’adresse de l’abonnement de cet appareil et un contenu chiffré de bout en bout, qu’ils ne peuvent pas lire.
• Un assistant qu’un utilisateur connecte à son compte agit sous la responsabilité de l’entreprise qui l’exploite, comme l’expose la partie 1.