Annexe de sous-traitance des données personnelles

Version du 15 octobre 2026, jointe aux conditions générales de vente (CGV). Elle est acceptée avec les CGV, à la souscription de l'abonnement.

Quand un client utilise Arezium, il enregistre dans les outils des informations sur ses propres clients : noms, numéros de téléphone, rendez-vous, messages. Le règlement européen sur la protection des données (RGPD, article 28) demande qu'un contrat écrit fixe les règles quand une entreprise en fait traiter par une autre. Cette annexe est ce contrat.

Le client (l'artisan, le commerçant, l'entreprise) est le responsable du traitement. Il décide pourquoi et comment les données de ses clients sont utilisées.
Nicolas Moussa, entrepreneur individuel (EI), exerçant sous la marque Arezium, est le sous-traitant. Il ne traite ces données que pour fournir le service, sur les instructions du client.

Cette annexe ne concerne que les données des clients du client. Pour les données qu'Arezium collecte pour son propre compte (visiteurs du site, prospects, facturation), voir la politique de confidentialité.

Objet et durée

L'objet est de fournir au client les outils décrits dans les CGV (site, fiche Google, demandes d'avis, assistant de discussion, standard automatique, relances, adresse email) en traitant, pour son compte, les données personnelles qu'il y enregistre.

Cette annexe s'applique pendant toute la durée de l'abonnement, puis pendant la période de restitution et de suppression décrite plus bas (30 jours).

Ce qu'Arezium fait des données, et pourquoi

Arezium héberge, enregistre, classe, consulte, transmet et supprime les données dans les outils du client : tableau de suivi des clients (CRM), agenda de rendez-vous, assistant de discussion, standard automatique, envoi de SMS et d'emails, demandes d'avis, formulaires du site.

Il n'y a qu'une seule finalité : faire fonctionner ces outils pour le client. Arezium n'utilise pas ces données pour son propre compte, ne les vend pas et ne s'en sert pas pour démarcher les personnes concernées.

Quelles données, quelles personnes

Les données que le client ou ses outils enregistrent :

identité et coordonnées : nom, prénom, numéro de téléphone, adresse email, adresse,
rendez-vous et réservations,
contenu des messages échangés avec l'assistant de discussion, par SMS ou par email,
appels reçus par le standard automatique : numéro, date, durée et, selon les réglages, transcription ou enregistrement,
avis laissés sur la fiche Google et réponses,
notes saisies par le client.

Les outils ne sont pas faits pour recueillir des données dites sensibles (santé, opinions, origine, etc.). Si l'activité du client en demande une part (par exemple une allergie notée avec une réservation), c'est au client de ne noter que le strict nécessaire.

Les personnes concernées : les clients et prospects du client, les personnes qui l'appellent, lui écrivent, réservent ou laissent un avis, les visiteurs de son site, et les personnes de son entreprise qui utilisent les outils.

Les engagements d'Arezium

Instructions du client. Arezium traite les données uniquement sur instruction écrite du client : les CGV, cette annexe, les réglages des outils et les demandes envoyées à contact@arezium.com. Si une instruction lui paraît contraire à la réglementation, il le dit au client. Arezium ne traite les données autrement que si la loi l'y oblige ; il en informe alors le client avant, sauf si la loi l'interdit.

Confidentialité. Seules les personnes qui en ont besoin pour mettre en place et assister le service ont accès aux données du client, et elles sont tenues à la confidentialité.

Sécurité. Arezium met en œuvre des mesures adaptées, dont :

un espace séparé pour chaque client dans le CRM, protégé par identifiant et mot de passe,
des comptes d'utilisateurs limités aux droits nécessaires,
des connexions chiffrées (HTTPS),
des clés et jetons d'accès conservés hors du code du site, avec des droits restreints,
le choix de prestataires qui décrivent publiquement leurs mesures de sécurité.

Aide au client. Arezium aide le client à répondre aux demandes des personnes qui exercent leurs droits (accès, rectification, effacement, opposition, limitation, portabilité). Si une personne s'adresse à Arezium au sujet des données d'un client, Arezium transmet la demande au client sans délai et ne répond pas à sa place. Arezium aide aussi le client pour la sécurité, les analyses d'impact et les échanges avec la CNIL, dans la limite des informations dont il dispose.

Violation de données. Si Arezium apprend qu'une violation touche les données d'un client (perte, fuite, accès non autorisé), il le prévient par email dans les meilleurs délais, en indiquant ce qu'il sait : nature de l'incident, données et personnes concernées, conséquences probables, mesures prises. C'est au client, comme responsable du traitement, de signaler la violation à la CNIL (dans les 72 heures lorsque c'est nécessaire) et d'en informer les personnes si besoin. Arezium l'y aide.

Preuves et contrôles. Arezium tient à disposition du client les informations qui montrent qu'il respecte ces engagements. Le client peut demander un contrôle (audit), par écrit et avec un préavis raisonnable, pendant les heures ouvrées, sans gêner le service et à ses frais. Le contrôle porte sur ce qu'Arezium gère lui-même ; pour ses prestataires, Arezium transmet les rapports et attestations qu'il peut obtenir.

Délégué à la protection des données. Arezium n'a pas désigné de délégué. La personne à contacter est Nicolas Moussa, à contact@arezium.com.

Les prestataires d'Arezium (sous-traitants ultérieurs)

Le client autorise Arezium à faire appel aux prestataires ci-dessous. Liste à la date de cette version :

HighLevel (HighLevel Inc. et sa filiale LeadConnector LLC, États-Unis) : le CRM qui contient les données du client et fait fonctionner l'agenda, l'assistant de discussion, le standard automatique, les SMS, les emails et les sites. Son support peut être assuré par sa filiale HighLevel India (Inde). HighLevel publie la liste de ses propres prestataires sur gohighlevel.com/sub-processors. À la date du 15 octobre 2026, elle comprend notamment l'hébergement (Google Cloud et Amazon Web Services, États-Unis), la communication (Twilio, Mailgun), des fournisseurs d'intelligence artificielle (OpenAI, RetellAI, Synthflow, BotPress) ainsi que des outils d'analyse, d'assistance et de paiement. Cette liste évolue : le client peut la consulter à tout moment.
Twilio (Twilio Inc., États-Unis) : numéro de téléphone dédié au client, appels et SMS du standard automatique, lorsqu'un numéro est attribué au client.
OpenAI (États-Unis) : rédaction des textes du site à la mise en place, à partir des seules informations sur l'entreprise du client (activité, horaires, services). Aucune donnée des clients du client ne lui est transmise.
Hetzner Online GmbH (Allemagne) : serveur d'Arezium, qui héberge le site arezium.com, le formulaire de mise en place du client (informations et photos de l'entreprise) et les outils internes.
Migadu-Mail GmbH (Suisse) : boîte email professionnelle du client, lorsqu'elle est mise en place. Elle contient les messages que le client envoie et reçoit.

Ne sont pas des sous-traitants ultérieurs pour ces données : Stripe (paiement de l'abonnement du client lui-même), OVH (enregistrement du nom de domaine), Google (la fiche Google reste un compte du client chez Google).

Garanties. Arezium ne choisit que des prestataires dont les conditions comprennent un accord de traitement des données, et reste responsable envers le client de leur bon respect des obligations de cette annexe.

Changements. Pour tout nouveau prestataire choisi par Arezium (hors la liste publique de HighLevel), Arezium prévient le client par email au moins 15 jours avant. Le client peut s'y opposer par écrit pour un motif lié à la protection des données. Si aucune solution n'est trouvée, il peut résilier son abonnement sans frais. Pour les changements décidés par HighLevel, Arezium prévient le client des changements importants dont il a connaissance.

Données traitées hors de l'Union européenne

Une partie des données est traitée aux États-Unis (HighLevel, Twilio, OpenAI et leurs prestataires) et, pour l'assistance, en Inde. Le client autorise ces transferts, qui sont nécessaires au fonctionnement du service.

Les garanties dépendent de chaque prestataire :

HighLevel indique, sur son site et dans sa politique de confidentialité, être certifié au cadre de protection des données UE–États-Unis (Data Privacy Framework). Pour l'assistance depuis l'Inde, HighLevel ne précise pas publiquement le mécanisme de transfert utilisé : le client en est informé par transparence.
Twilio indique, dans son accord de traitement des données, être certifié à ce même cadre et appliquer les clauses contractuelles types de la Commission européenne.

À la fin de l'abonnement

Après la résiliation, le client dispose de 30 jours pour demander l'export de ses contacts, dans un format courant (fichier de tableur). Passé ce délai, Arezium supprime les données du client dans les outils, ainsi que leurs copies, sauf si la loi impose de les garder. Le client peut aussi demander une suppression plus tôt, ou sans export, par écrit à contact@arezium.com. Sur demande, Arezium confirme la suppression par email.

Les prestataires d'Arezium suppriment ensuite les données selon leurs propres délais techniques.

Les engagements du client

Le client, responsable du traitement, reste responsable de l'usage qu'il fait des données de ses clients. Il s'engage notamment à :

avoir une raison légitime de les utiliser et n'enregistrer que ce qui est nécessaire,
informer les personnes concernées de l'utilisation de leurs données,
recueillir leur accord quand il est nécessaire, notamment pour les SMS et les relances, et tenir compte de leurs demandes d'arrêt,
répondre aux demandes d'exercice de leurs droits,
ne pas utiliser les outils pour démarcher des personnes qui ne l'ont pas sollicité (voir les CGV),
donner à Arezium des instructions conformes à la réglementation.

Contact

Nicolas Moussa (EI) · contact@arezium.com · 765 chemin de l'Écluse, 31290 Renneville, France