Articulation avec le DPA RECOV. Le présent avenant complète le DPA RECOV en tenant compte des spécificités du service RECOVMAX, notamment le modèle à trois niveaux de traitement de données induit par la fourniture d'un service multi-clients à des professionnels mandatés par leurs propres clients TPE / freelances. L'acceptation des CGU RECOVMAX vaut acceptation du présent DPA RECOVMAX.
Le présent accord définit les modalités de traitement des données personnelles entre :
Le présent accord est conclu en application de l'article 28 du Règlement (UE) 2016/679 (RGPD) et tient compte des recommandations CNIL en matière de sous-traitance en cascade.
RECOVMAX organise le traitement des données personnelles selon une chaîne à trois niveaux :
| Niveau | Acteur | Qualification RGPD | Personne(s) concernée(s) |
|---|---|---|---|
| 1 | Client Suivi (TPE/freelance) | Responsable de traitement | Ses Débiteurs (clients de son entreprise) |
| 2 | Cabinet (Utilisateur RECOVMAX) | Sous-traitant du Client Suivi (art. 28 RGPD) | Mandaté pour traiter les données des Débiteurs au nom du Client Suivi |
| 3 | RECOV / DEZVOLTA | Sous-traitant du Cabinet (sous-traitant ultérieur du Client Suivi, art. 28.4 RGPD) | Fournit l'infrastructure logicielle |
Conséquence opérationnelle. Le Cabinet doit conclure avec chacun de ses Clients Suivis un contrat de sous-traitance RGPD (DPA cabinet ↔ TPE) conforme à l'article 28 du RGPD avant de saisir des données concernant les Débiteurs de ce Client Suivi dans RECOVMAX. RECOV met à disposition un modèle d'avenant DPA cabinet ↔ TPE à titre indicatif.
Identité (nom, prénom, email professionnel, téléphone, SIREN cabinet), données d'authentification (mot de passe haché), données de facturation Stripe (via sous-traitant), historique d'utilisation, logs d'audit.
Identité (nom, raison sociale, SIREN/SIRET, email contact, téléphone), conditions de paiement par défaut, IBAN du Client Suivi (à des fins exclusives d'inclusion dans les relances, jamais à fin d'encaissement par le Cabinet ou par RECOV).
Identité (nom, prénom, raison sociale, SIREN/SIRET le cas échéant), email, téléphone, adresse postale, code postal, ville, contexte de la créance, montant TTC dû, date d'échéance, historique des actions amiables (relances envoyées, promesses, paiements, appels téléphoniques, courriers postaux), score indicatif de solvabilité (cf. art. 14).
RECOV traite les données personnelles uniquement pour les finalités suivantes, sur instructions documentées du Cabinet (lui-même mandaté par le Client Suivi) :
Toute utilisation des données à d'autres fins (revente, profilage à des fins publicitaires, entraînement de modèles d'IA tiers, etc.) est strictement exclue.
Le Cabinet autorise RECOV à recourir aux sous-traitants ultérieurs suivants :
| Sous-traitant | Finalité | Localisation | Régime de transfert |
|---|---|---|---|
| Supabase Inc. | Base de données PostgreSQL, stockage de fichiers, authentification | Frankfurt (UE — Allemagne) | Hébergement UE — pas de transfert hors UE pour les données stockées |
| Vercel Inc. | Hébergement applicatif, fonctions serverless | États-Unis / Europe (CDN) | Clauses contractuelles types (CCT) Commission européenne |
| Anthropic, PBC | API IA pour l'assistant Recovo (modèle Claude) | États-Unis | CCT + opt-out d'entraînement de modèle activé |
| Stripe Payments Europe Ltd. | Encaissement des abonnements Cabinet (jamais des Débiteurs) | Irlande (UE) | Sous-traitance UE |
| Resend, Inc. | Envoi d'emails transactionnels | États-Unis | CCT |
| API recherche-entreprises (DINUM) | Vérification SIREN/SIRET, données publiques INSEE | France | Service public — pas de transfert |
RECOV informe le Cabinet de tout changement de sous-traitant ultérieur au moins 15 jours avant sa mise en œuvre. Le Cabinet dispose d'un droit d'opposition motivé. À défaut d'opposition dans ce délai, le changement est réputé accepté.
📋 Liste publique tenue à jour : la liste exhaustive et actualisée des sous-traitants (actifs + envisagés + non utilisés) est consultable sur recov.pro/sous-traitants, conformément à l'article 28-2 du RGPD. La date de dernière mise à jour y est mentionnée.
Les transferts de données vers les sous-traitants ultérieurs établis hors UE (Anthropic, Resend, Vercel pour les fonctions serverless) sont encadrés par les Clauses Contractuelles Types (CCT) de la Commission européenne (décision d'exécution UE 2021/914).
RECOV met en œuvre les mesures techniques complémentaires recommandées par la CNIL et l'EDPB, notamment :
RECOV met en œuvre les mesures suivantes pour garantir la sécurité des données :
La durée de conservation est alignée sur le cycle de fin d'accès RECOVMAX tel que prévu à l'article 6 des CGU RECOVMAX :
| Phase | Durée | Statut des données |
|---|---|---|
| Abonnement actif | Durée d'abonnement | Données accessibles, traitées selon les finalités définies |
| Période de grâce | 15 jours | Conservation complète, plus aucun envoi sortant automatique |
| Lecture seule | 30 jours | Conservation, export ZIP possible |
| Archivage chiffré | 45 jours | Données conservées chiffrées, plus de connexion |
| Purge | — | Suppression définitive, sauf opt-in conservation 5 ans à fins probatoires |
Le Cabinet peut à tout moment demander l'export ou la suppression de tout ou partie des données qu'il contrôle. Pour les données antérieures à la résiliation, l'export est automatique en fin de phase d'archivage.
Les Débiteurs et les contacts des Clients Suivis disposent des droits prévus par le RGPD (accès, rectification, effacement, limitation, opposition, portabilité). En vertu du modèle à trois niveaux :
Lorsqu'un Débiteur s'adresse directement à RECOV, RECOV redirige la demande vers le Cabinet et notifie le Cabinet sans délai.
RECOV notifie le Cabinet de toute violation de données personnelles dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance. La notification inclut :
Le Cabinet est responsable de la notification à la CNIL (article 33 RGPD) et, le cas échéant, aux personnes concernées (article 34 RGPD), pour les données dont il est sous-traitant des Clients Suivis. Le Cabinet relaie l'information à ses Clients Suivis sans délai.
RECOV met à disposition du Cabinet, sur demande motivée, les informations nécessaires pour démontrer le respect des obligations du présent DPA : description des mesures techniques, attestations sous-traitants, cartographie des flux. Un audit sur site peut être réalisé sous réserve d'un préavis de 30 jours, d'un accord de confidentialité, et d'une fréquence raisonnable (au plus une fois par an, sauf incident significatif).
Hors périmètre RGPD de RECOV. Lorsque le Cabinet, dans le cadre du mandat reçu de son Client Suivi, transmet un dossier à un Partenaire Externe (commissaire de justice, avocat, cabinet de recouvrement contentieux), cette transmission constitue une communication de données à un destinataire tiers au sens de l'article 4-9 du RGPD.
RECOV n'est ni initiateur ni partie à cette communication. Le Cabinet (et son Client Suivi) doivent :
RECOVMAX archive le ZIP transmis et la fiche partenaire à fins probatoires uniquement.
Recovo, l'assistant IA intégré à RECOVMAX, repose sur l'API d'Anthropic (modèle Claude). RECOV applique les mesures suivantes :
Le Cabinet doit informer ses Clients Suivis de l'utilisation d'un assistant IA dans le traitement (mention dans la politique de confidentialité du Client Suivi).
Le score indicatif de solvabilité d'un Débiteur (cf. article 10 des CGU RECOVMAX) est calculé à partir :
Le score est conservé dans un cache d'une durée maximale de 7 jours, au-delà desquels les données publiques sont automatiquement re-vérifiées si le Débiteur fait l'objet d'une nouvelle action.
Le Cabinet reconnaît que ce score ne constitue pas une décision automatisée individuelle au sens de l'article 22 du RGPD : il est un outil d'aide à la décision et non une décision en lui-même.
Le Cabinet déclare et garantit :
RECOV s'engage à exécuter ses obligations de sous-traitant ultérieur conformément au RGPD et au présent DPA, et à mettre en œuvre les mesures techniques et organisationnelles décrites à l'article 7. En cas de violation imputable à RECOV, sa responsabilité est limitée conformément aux CGU RECOV.
Chaque partie s'engage à garantir l'autre contre tout recours d'un tiers résultant d'une violation de ses propres obligations RGPD. Le Cabinet garantit notamment RECOV contre toute action d'un Débiteur ou d'un Client Suivi qui invoquerait l'absence de fondement licite ou de mandat, dès lors qu'aucune faute imputable à RECOV n'est démontrée.
Acceptation. En souscrivant à RECOVMAX, le Cabinet reconnaît avoir lu, compris et accepté l'intégralité du présent DPA RECOVMAX, en complément du DPA RECOV général et des CGU RECOVMAX.
Délégué à la protection des données / contact RGPD : pedro.berbel@dezvolta.org · DEZVOLTA — SIREN 948 914 072 — RCS Nanterre.