Annexe RGPD — Clauses de sous-traitance

Dernière mise à jour : 4 août 2026

Cette annexe fait partie intégrante des CGU/CGV (article 9.2) et s'applique automatiquement dès leur acceptation, sans signature séparée. Un client qui aurait besoin d'un DPA signé séparément peut en faire la demande auprès de contact-wyloh@elisa-factory.fr.

Objet

La présente annexe formalise les obligations de Wyloh, agissant en qualité de sous-traitant au sens de l'art. 28 du RGPD, pour le traitement des données relatives aux débiteurs du client (le client étant lui-même responsable de traitement vis-à-vis de ses propres débiteurs).

Article 1 — Description du traitement

Objet	Extraction automatisée des données de factures/devis, envoi de relances de paiement pour le compte du client
Nature des opérations	Collecte, extraction (IA), stockage temporaire, transmission
Finalité	Relance de créances impayées pour le compte du client
Catégories de données	Nom, email et montant dû du débiteur, numéro de facture, date d'échéance
Personnes concernées	Débiteurs du client
Durée	Durée de l'abonnement du client, puis suppression

Article 2 — Obligations de Wyloh (sous-traitant)

Conformément à l'art. 28.3 du RGPD, Wyloh s'engage à :

Traiter les données uniquement sur instruction documentée du client (paramétrage effectué dans son espace Wyloh) ;
Garantir la confidentialité des personnes autorisées à traiter les données ;
Mettre en œuvre les mesures de sécurité appropriées (art. 32 RGPD) : connexions chiffrées, mots de passe hachés, accès limité, authentification par jeton pour les actions sensibles ;
Respecter les conditions du recours à la sous-traitance ultérieure (Stripe, Anthropic, Google Workspace, Hetzner) ;
Assister le client dans le respect de ses propres obligations, dans la mesure raisonnable des moyens de Wyloh ;
Notifier toute violation de données concernant les débiteurs au client dans les meilleurs délais (art. 33 RGPD) ;
Supprimer ou restituer les données à la fin de la relation contractuelle, sauf obligation légale contraire ;
Mettre à disposition du client les informations nécessaires pour démontrer le respect du présent article.

Article 3 — Obligations du client (responsable de traitement)

Documenter par écrit toute instruction sortant du paramétrage standard de l'application ;
S'assurer de disposer d'une base légale valide pour transmettre les données de ses débiteurs à Wyloh ;
Informer ses débiteurs, le cas échéant, du recours à un prestataire de relance.

Article 4 — Sous-traitants ultérieurs et transferts hors UE

Le transfert de données vers Anthropic est encadré par le Data Processing Addendum d'Anthropic, qui intègre les clauses contractuelles types de la Commission européenne. Ce DPA est automatiquement incorporé par référence aux Commercial Terms of Service d'Anthropic. Pour un client résidant dans l'EEE, l'entité contractante côté Anthropic est Anthropic Ireland, Limited.

Article 5 — Durée

La présente annexe s'applique pendant toute la durée de l'abonnement du client, et survit, pour les seules obligations de confidentialité et de suppression des données, à la résiliation du contrat.