Modifications au 2 novembre 2026. Le présent DPA reste applicable dans sa version du 26 septembre 2026 jusqu'au 1er novembre 2026 inclus. À partir du 2 novembre 2026, les stipulations ci-dessous remplacent celles qui portent les mêmes numéros, en cohérence avec la version du 2 novembre 2026 des CGU RECOVMAX : article 1 (première puce), article 3.3, article 4 (points 3 et 6), article 5 (ligne Anthropic), article 6 (dernière puce), article 7 (puces « Sauvegardes » et « Audit log immuable »), article 8 en entier, article 12 (dernière phrase), article 13 en entier, article 14 en entier et ligne de contact.
Article 1, première puce
Article 3.3, Données des Débiteurs
Identité (nom, prénom, raison sociale, SIREN/SIRET le cas échéant), email, téléphone, adresse postale, code postal, ville, contexte de la créance, montant TTC dû, date d'échéance, historique des actions amiables (relances envoyées, promesses, paiements, appels téléphoniques, courriers postaux), situation au registre des entreprises lorsqu'elle est lue (cf. art. 14).
Article 4, points 3 et 6
Article 5, ligne Anthropic
| Sous-traitant | Finalité | Localisation | Régime de transfert |
|---|---|---|---|
| Anthropic, PBC | API IA pour l'assistant Recovo (modèle Claude) | États-Unis | CCT ; pas d'entraînement des modèles sur les données envoyées (conditions commerciales de l'API Anthropic) |
Article 6, dernière puce
Article 7, puces « Sauvegardes » et « Audit log immuable »
Article 8 : Conservation, suppression et restitution (article entier)
Les données sont conservées pendant la durée de l'abonnement ou de l'accès offert, puis selon le cycle de fin d'accès prévu à l'article 6 des CGU RECOVMAX. Les durées se comptent en jours calendaires, à l'heure de Paris, à partir du premier jour entier qui suit la fin de l'abonnement ou de l'accès offert (le « jour J ») :
| Phase | Période | Statut des données |
|---|---|---|
| Abonnement ou accès offert | Pendant toute sa durée | Données accessibles, traitées selon les finalités de l'article 4 |
| Période de grâce | De la fin de l'abonnement ou de l'accès offert au jour J + 14 inclus | Conservation complète ; plus aucune relance automatique ; export et restitution possibles |
| Lecture seule | Du jour J + 15 au jour J + 44 inclus | Conservation ; consultation, export et restitution des données de chaque Client Suivi ; plus aucune écriture ni aucun envoi |
| Archivage | Du jour J + 45 au jour J + 89 inclus | Conservation sans accès depuis le cockpit ; dossiers en cours clos ; copie sur demande écrite du Cabinet |
| Suppression | Jour J + 90 | Suppression définitive des données du Cabinet, de ses Clients Suivis et de leurs Débiteurs, sauf conservation demandée (ci-dessous) |
Dossiers clos. Pendant l'abonnement, un dossier clos (payé, abandonné, transmis, annulé par un avoir ou clos pour fin d'abonnement) reste consultable par le Cabinet ; il est supprimé au plus tard cinq ans après sa clôture, durée de la prescription de droit commun (article 2224 du Code civil). Sur instruction de son Client Suivi, le Cabinet peut effacer plus tôt les données de ce client depuis sa fiche (fin de mandat). Le suivi des e-mails (destinataire, objet, remise ou rejet) suit le dossier qu'il concerne ; une ligne qui ne se rattache à aucun compte est supprimée 13 mois après l'envoi.
Restitution. Conformément à l'article 28.3 g du RGPD, le Cabinet dispose, jusqu'à la fin de la lecture seule, des moyens de restituer à chaque Client Suivi ses données (export de la liste des dossiers, restitution des données de chaque Client Suivi) ; pendant l'archivage, une copie peut être demandée par écrit à pedro.berbel@dezvolta.org. Pendant l'abonnement, le Cabinet peut aussi, à tout moment, restituer puis effacer les données d'un Client Suivi depuis sa fiche (fin de mandat).
Suppression. Au jour J + 90 sont supprimés : fiches clients, dossiers, historique, pièces jointes, paiements enregistrés, accords et échéanciers, réglages, modèles, connexions à des logiciels tiers, données rattachées à l'adresse du compte et données de connexion. Ne subsistent, hors de toute donnée de Débiteur : le journal d'audit (actions datées et adresse électronique du compte), cinq ans après la fin du compte ; la preuve d'acceptation des conditions (date, version, adresse électronique et adresse IP), cinq ans après la fin du compte ; les traces de paiement de l'abonnement, pendant la durée légale de conservation des pièces comptables ; les données d'attribution à un partenaire apporteur, le temps de justifier ses commissions ; une fiche de compte réduite, sans nom, adresse ni coordonnées. Les copies de sauvegarde, chiffrées, sont conservées au plus six mois puis supprimées ; une restauration éventuelle réapplique les suppressions intervenues entre-temps.
Conservation à des fins de preuve. Sur instruction écrite du Cabinet, reçue au plus tard trois jours avant la date de suppression, les données sont conservées, sans accès depuis le cockpit, pendant cinq ans à compter de la date de suppression prévue, puis supprimées. Le Cabinet déclare donner cette instruction avec l'accord des Clients Suivis concernés, responsables du traitement des données de leurs Débiteurs ; pendant cette conservation, une copie peut être demandée par écrit.
Article 12, dernière phrase
RECOVMAX garde la trace de la transmission (date et destinataire) dans le dossier, à des fins de preuve, jusqu'à la suppression des données du compte (article 8).
Article 13 : Cas particulier de Recovo (assistant IA) (article entier)
Recovo, l'assistant IA intégré à RECOVMAX, repose sur l'API d'Anthropic (modèle Claude). Aucune donnée ne lui est transmise tant que le Cabinet ne lui pose pas de question. RECOV applique les mesures suivantes :
Le Cabinet doit informer ses Clients Suivis de l'utilisation d'un assistant IA dans le traitement (mention dans la politique de confidentialité du Client Suivi).
Article 14 : Cas particulier de la situation au registre des entreprises (article entier)
La situation d'un Débiteur professionnel au registre des entreprises (article 10 des CGU RECOVMAX) est lue, à la demande du Cabinet, via l'API recherche-entreprises.api.gouv.fr opérée par la DINUM. La requête transmet le SIREN du Débiteur ou, à défaut et après confirmation du Cabinet, son nom. Sont lus l'état administratif de l'entreprise, la présence d'un liquidateur parmi les dirigeants, la tranche d'effectif et la catégorie d'entreprise, données publiques par nature. Sont enregistrés le SIREN, la dénomination, la forme juridique, la date de création, la tranche d'effectif, la valeur interne qui détermine le libellé et la date de lecture, sans aucun nom de dirigeant. Une règle fixe en déduit un libellé ; aucun système d'intelligence artificielle n'intervient et aucune autre donnée n'est utilisée, notamment aucun historique de paiement. Cette lecture n'est pas effectuée pour un Débiteur déclaré comme particulier. Aucune lecture n'est partagée avec un autre Cabinet.
Le résultat n'est plus affiché au-delà de sept jours ; une nouvelle lecture n'a lieu qu'à la demande du Cabinet. Il est supprimé lorsqu'une nouvelle lecture le remplace, lorsque le Cabinet l'efface ou avec les données du compte (article 8).
Cette lecture ne prend aucune décision à l'égard du Débiteur. Le Cabinet ne fonde sur elle seule aucune décision produisant des effets juridiques à l'égard d'un Débiteur ou l'affectant de manière significative de façon similaire (article 22 du RGPD).
Ligne de contact
Contact protection des données : pedro.berbel@dezvolta.org · Pedro Berbel EI (DEZVOLTA), SIREN 948 914 072.
Articulation avec le DPA RECOV. Le présent avenant complète le DPA RECOV en tenant compte des spécificités du service RECOVMAX, notamment le modèle à trois niveaux de traitement de données induit par la fourniture d'un service multi-clients à des professionnels mandatés par leurs propres clients TPE / freelances. L'acceptation des CGU RECOVMAX vaut acceptation du présent DPA RECOVMAX.
Le présent accord définit les modalités de traitement des données personnelles entre :
Le présent accord est conclu en application de l'article 28 du Règlement (UE) 2016/679 (RGPD) et tient compte des recommandations CNIL en matière de sous-traitance en cascade.
RECOVMAX organise le traitement des données personnelles selon une chaîne à trois niveaux :
| Niveau | Acteur | Qualification RGPD | Personne(s) concernée(s) |
|---|---|---|---|
| 1 | Client Suivi (TPE/freelance) | Responsable de traitement | Ses Débiteurs (clients de son entreprise) |
| 2 | Cabinet (Utilisateur RECOVMAX) | Sous-traitant du Client Suivi (art. 28 RGPD) | Mandaté pour traiter les données des Débiteurs au nom du Client Suivi |
| 3 | RECOV / DEZVOLTA | Sous-traitant du Cabinet (sous-traitant ultérieur du Client Suivi, art. 28.4 RGPD) | Fournit l'infrastructure logicielle |
Conséquence opérationnelle. Le Cabinet doit conclure avec chacun de ses Clients Suivis un contrat de sous-traitance RGPD (DPA cabinet ↔ TPE) conforme à l'article 28 du RGPD avant de saisir des données concernant les Débiteurs de ce Client Suivi dans RECOVMAX. RECOV met à disposition un modèle d'avenant DPA cabinet ↔ TPE à titre indicatif.
Identité (nom, prénom, email professionnel, téléphone, SIREN cabinet), données d'authentification (mot de passe haché), données de facturation Stripe (via sous-traitant), historique d'utilisation, logs d'audit.
Identité (nom, raison sociale, SIREN/SIRET, email contact, téléphone), conditions de paiement par défaut, IBAN du Client Suivi (à des fins exclusives d'inclusion dans les relances, jamais à fin d'encaissement par le Cabinet ou par RECOV).
Identité (nom, prénom, raison sociale, SIREN/SIRET le cas échéant), email, téléphone, adresse postale, code postal, ville, contexte de la créance, montant TTC dû, date d'échéance, historique des actions amiables (relances envoyées, promesses, paiements, appels téléphoniques, courriers postaux), score indicatif de solvabilité (cf. art. 14).
RECOV traite les données personnelles uniquement pour les finalités suivantes, sur instructions documentées du Cabinet (lui-même mandaté par le Client Suivi) :
Toute utilisation des données à d'autres fins (revente, profilage à des fins publicitaires, entraînement de modèles d'IA tiers, etc.) est strictement exclue.
Le Cabinet autorise RECOV à recourir aux sous-traitants ultérieurs suivants :
| Sous-traitant | Finalité | Localisation | Régime de transfert |
|---|---|---|---|
| Supabase Inc. | Base de données PostgreSQL, stockage de fichiers, authentification | Frankfurt (UE — Allemagne) | Hébergement UE — pas de transfert hors UE pour les données stockées |
| Vercel Inc. | Hébergement applicatif, fonctions serverless | États-Unis / Europe (CDN) | Clauses contractuelles types (CCT) Commission européenne |
| Anthropic, PBC | API IA pour l'assistant Recovo (modèle Claude) | États-Unis | CCT + opt-out d'entraînement de modèle activé |
| Stripe Payments Europe Ltd. | Encaissement des abonnements Cabinet (jamais des Débiteurs) | Irlande (UE) | Sous-traitance UE |
| Resend, Inc. | Envoi d'emails transactionnels | États-Unis | CCT |
| IONOS SARL | Messagerie de l'éditeur : réception des copies de sauvegarde de la base | France (UE) | Sous-traitance UE |
| API recherche-entreprises (DINUM) | Vérification SIREN/SIRET, données publiques INSEE | France | Service public — pas de transfert |
Liste complétée le 15 octobre 2026 (IONOS SARL). Le Cabinet peut s'opposer, pour un motif tenant à la protection des données, au recours à ce sous-traitant dans les 30 jours suivant l'information qui lui en est donnée par courriel.
RECOV informe le Cabinet de tout changement de sous-traitant ultérieur au moins 30 jours avant sa mise en œuvre. Le Cabinet dispose d'un droit d'opposition motivé. À défaut d'opposition dans ce délai, le changement est réputé accepté.
📋 Liste publique tenue à jour : la liste exhaustive et actualisée des sous-traitants (actifs + envisagés + non utilisés) est consultable sur recov.pro/sous-traitants, conformément à l'article 28-2 du RGPD. La date de dernière mise à jour y est mentionnée.
Les transferts de données vers les sous-traitants ultérieurs établis hors UE (Anthropic, Resend, Vercel pour les fonctions serverless) sont encadrés par les Clauses Contractuelles Types (CCT) de la Commission européenne (décision d'exécution UE 2021/914).
RECOV met en œuvre les mesures techniques complémentaires recommandées par la CNIL et l'EDPB, notamment :
RECOV met en œuvre les mesures suivantes pour garantir la sécurité des données :
Cet article est remplacé le 2 novembre 2026 : voir l'encadré en tête de page.
La durée de conservation est alignée sur le cycle de fin d'accès RECOVMAX tel que prévu à l'article 6 des CGU RECOVMAX :
| Phase | Durée | Statut des données |
|---|---|---|
| Abonnement actif | Durée d'abonnement | Données accessibles, traitées selon les finalités définies |
| Période de grâce | 15 jours | Conservation complète, plus aucun envoi sortant automatique |
| Lecture seule | 30 jours | Conservation, export ZIP possible |
| Archivage chiffré | 45 jours | Données conservées chiffrées, plus de connexion |
| Purge | — | Suppression définitive, sauf opt-in conservation 5 ans à fins probatoires |
Le Cabinet peut à tout moment demander l'export ou la suppression de tout ou partie des données qu'il contrôle. Pour les données antérieures à la résiliation, l'export est automatique en fin de phase d'archivage.
Les Débiteurs et les contacts des Clients Suivis disposent des droits prévus par le RGPD (accès, rectification, effacement, limitation, opposition, portabilité). En vertu du modèle à trois niveaux :
Lorsqu'un Débiteur s'adresse directement à RECOV, RECOV redirige la demande vers le Cabinet et notifie le Cabinet sans délai.
RECOV notifie le Cabinet de toute violation de données personnelles dans les meilleurs délais, et au plus tard 24 heures après en avoir pris connaissance. La notification inclut :
Le Cabinet est responsable de la notification à la CNIL (article 33 RGPD) et, le cas échéant, aux personnes concernées (article 34 RGPD), pour les données dont il est sous-traitant des Clients Suivis. Le Cabinet relaie l'information à ses Clients Suivis sans délai.
RECOV met à disposition du Cabinet, sur demande motivée, les informations nécessaires pour démontrer le respect des obligations du présent DPA : description des mesures techniques, attestations sous-traitants, cartographie des flux. Un audit sur site peut être réalisé sous réserve d'un préavis de 30 jours, d'un accord de confidentialité, et d'une fréquence raisonnable (au plus une fois par an, sauf incident significatif).
Hors périmètre RGPD de RECOV. Lorsque le Cabinet, dans le cadre du mandat reçu de son Client Suivi, transmet un dossier à un Partenaire Externe (commissaire de justice, avocat, cabinet de recouvrement contentieux), cette transmission constitue une communication de données à un destinataire tiers au sens de l'article 4-9 du RGPD.
RECOV n'est ni initiateur ni partie à cette communication. Le Cabinet (et son Client Suivi) doivent :
RECOVMAX archive le ZIP transmis et la fiche partenaire à fins probatoires uniquement.
Cet article est remplacé le 2 novembre 2026 : voir l'encadré en tête de page.
Recovo, l'assistant IA intégré à RECOVMAX, repose sur l'API d'Anthropic (modèle Claude). RECOV applique les mesures suivantes :
Le Cabinet doit informer ses Clients Suivis de l'utilisation d'un assistant IA dans le traitement (mention dans la politique de confidentialité du Client Suivi).
Cet article est remplacé le 2 novembre 2026 : voir l'encadré en tête de page.
Le score indicatif de solvabilité d'un Débiteur (cf. article 10 des CGU RECOVMAX) est calculé à partir :
Aucune donnée n'est mutualisée entre Clients Suivis, ni entre Cabinets : le score ne tient jamais compte de l'historique d'un Débiteur chez un autre Client Suivi.
Le score est conservé dans un cache d'une durée maximale de 7 jours, au-delà desquels les données publiques sont automatiquement re-vérifiées si le Débiteur fait l'objet d'une nouvelle action.
Le Cabinet reconnaît que ce score ne constitue pas une décision automatisée individuelle au sens de l'article 22 du RGPD : il est un outil d'aide à la décision et non une décision en lui-même.
Le Cabinet déclare et garantit :
RECOV s'engage à exécuter ses obligations de sous-traitant ultérieur conformément au RGPD et au présent DPA, et à mettre en œuvre les mesures techniques et organisationnelles décrites à l'article 7. En cas de violation imputable à RECOV, sa responsabilité est limitée conformément aux CGU RECOV.
Chaque partie s'engage à garantir l'autre contre tout recours d'un tiers résultant d'une violation de ses propres obligations RGPD. Le Cabinet garantit notamment RECOV contre toute action d'un Débiteur ou d'un Client Suivi qui invoquerait l'absence de fondement licite ou de mandat, dès lors qu'aucune faute imputable à RECOV n'est démontrée.
Acceptation. En souscrivant à RECOVMAX, le Cabinet reconnaît avoir lu, compris et accepté l'intégralité du présent DPA RECOVMAX, en complément du DPA RECOV général et des CGU RECOVMAX.
Contact RGPD : pedro.berbel@dezvolta.org · Pedro Berbel EI (DEZVOLTA), SIREN 948 914 072.