Auftragsverarbeitungsvertrag (DPA)

Bêta — version 1.0 · En vigueur au 5 octobre 2026.

Le présent accord (le « DPA ») constitue l’Annexe C des Conditions générales de service du service Coloé (les « CGS ») et forme avec elles un ensemble contractuel. Il s’applique à tout client ayant accepté les CGS (le « Client » ou le « Cabinet », identifié par son Compte), sans qu’une signature séparée soit nécessaire. En cas de contradiction avec les CGS sur une question de protection des données personnelles, le DPA prévaut.

DIWAI.IO, société par actions simplifiée à associé unique au capital de 1 000 €, immatriculée au RCS de Paris sous le n° 102 289 576, siège social : 60 rue François 1er, 75008 Paris, éditrice du service Coloé (coloe.ai), est ci-après désignée « DIWAI ».

---

1. Objet et champ d’application

1.1. Dans le cadre de la fourniture du service Coloé (le « Service »), DIWAI est amenée à traiter des données à caractère personnel pour le compte du Client, au sens de l’article 28 du Règlement (UE) 2016/679 (« RGPD »).

1.2. Le présent DPA encadre l’ensemble de ces traitements, décrits en Annexe 1. Il ne couvre pas les traitements pour lesquels DIWAI agit en qualité de responsable de traitement (données de compte et d’usage du Service), qui sont régis par la politique de confidentialité publiée sur coloe.ai/confidentialite.

1.3. Chaque Partie s’engage à respecter la réglementation applicable en matière de protection des données personnelles, notamment le RGPD et la loi n° 78-17 du 6 janvier 1978 modifiée (la « Réglementation »).

2. Définitions

Les termes « données à caractère personnel », « traitement », « responsable de traitement », « sous-traitant », « personne concernée », « violation de données à caractère personnel » et « autorité de contrôle » ont le sens qui leur est donné par l’article 4 du RGPD. Les termes commençant par une majuscule non définis ici ont le sens que leur donnent les CGS.

3. Rôles et description du traitement

3.1. Le Client est responsable de traitement des données qu’il saisit, importe ou fait transiter dans le Service : données relatives à ses clients, prospects, interlocuteurs, signataires et, le cas échéant, candidats (notamment via la connexion de son ATS).

3.2. DIWAI est sous-traitant de ces données et ne les traite que pour fournir le Service, conformément aux instructions du Client.

3.3. La nature, la finalité, la durée du traitement, les catégories de personnes concernées et de données sont décrites en Annexe 1.

3.4. Le Client s’interdit d’introduire dans le Service des catégories particulières de données (art. 9 RGPD) ou des données relatives à des condamnations (art. 10 RGPD) qui ne seraient pas strictement nécessaires ; le Service n’est pas conçu pour de telles données.

4. Instructions du Client

4.1. DIWAI ne traite les données que sur instruction documentée du Client. Constituent des instructions documentées : le présent DPA, les CGS, et l’utilisation des fonctionnalités du Service par le Client et ses Utilisateurs (paramétrages, actions déclenchées dans l’application).

4.2. Si DIWAI est tenue de procéder à un traitement en vertu du droit de l’Union ou du droit français, elle en informe le Client avant le traitement, sauf si ce droit l’interdit pour des motifs importants d’intérêt public.

4.3. DIWAI informe immédiatement le Client si, selon elle, une instruction constitue une violation de la Réglementation. Elle peut alors suspendre l’exécution de l’instruction concernée jusqu’à confirmation ou modification par le Client.

5. Confidentialité

DIWAI veille à ce que les personnes autorisées à traiter les données (personnel, éventuels prestataires individuels) : (i) soient soumises à une obligation de confidentialité contractuelle ou légale appropriée ; (ii) n’accèdent aux données que dans la mesure nécessaire à leurs missions (moindre privilège) ; (iii) reçoivent une sensibilisation adaptée à la protection des données.

6. Sécurité

6.1. DIWAI met en œuvre les mesures techniques et organisationnelles appropriées au regard du risque, conformément à l’article 32 RGPD. Ces mesures sont décrites en Annexe 2.

6.2. DIWAI peut faire évoluer ces mesures, sous réserve de ne pas réduire le niveau de protection global.

7. Sous-traitance ultérieure

7.1. Le Client accorde à DIWAI une autorisation écrite générale de recourir aux sous-traitants ultérieurs listés en Annexe 3, dont la version à jour est publiée en permanence sur coloe.ai/sous-traitants.

7.2. DIWAI informe le Client de tout projet d’ajout ou de remplacement de sous-traitant ultérieur au moins 30 jours avant sa prise d’effet, par mise à jour de la page coloe.ai/sous-traitants et notification par e-mail aux Administrateurs du Compte. Les évolutions annoncées dans la section « Évolutions prévues » de l’Annexe 3 valent information au titre du présent article, le préavis de 30 jours courant à compter de la notification de la date de prise d’effet.

7.3. Le Client peut s’opposer à un tel changement pour un motif légitime et documenté tenant à la protection des données, notifié par écrit dans ce délai de 30 jours. Les Parties recherchent alors de bonne foi une solution (mesures complémentaires, alternative technique). À défaut d’accord, le Client peut mettre fin à son accès au Service sans pénalité, avant la prise d’effet du changement contesté.

7.4. DIWAI conclut avec chaque sous-traitant ultérieur un contrat imposant des obligations équivalentes à celles du présent DPA (art. 28.4 RGPD) et demeure pleinement responsable envers le Client de l’exécution de leurs obligations.

7.5. Ne constituent pas une sous-traitance ultérieure de DIWAI les services tiers que le Client connecte de sa propre initiative avec ses propres identifiants (ATS, compte Google ou Microsoft, serveur SMTP) : pour ces services, le Client demeure responsable de traitement et contracte directement avec le fournisseur concerné. Ils sont décrits, pour transparence, en Annexe 3 (section « Services connectés à l’initiative du Client »).

8. Assistance au Client

8.1. Droits des personnes. Compte tenu de la nature du traitement, DIWAI assiste le Client, par des mesures techniques et organisationnelles appropriées, pour répondre aux demandes d’exercice des droits des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition). En pratique, le Service permet au Client de consulter, corriger, exporter et supprimer les données directement. Si une personne concernée saisit directement DIWAI, celle-ci transmet la demande au Client sans délai injustifié et n’y répond pas elle-même, sauf instruction du Client ou obligation légale.

8.2. Sécurité, violations, AIPD. DIWAI assiste le Client dans le respect de ses obligations au titre des articles 32 à 36 RGPD (sécurité, notification de violations, analyses d’impact et consultation préalable), compte tenu de la nature du traitement et des informations dont elle dispose.

8.3. L’assistance standard (fonctionnalités du Service, informations disponibles) est incluse. Une assistance exceptionnelle et disproportionnée peut donner lieu à une facturation raisonnable au temps passé, sur devis préalable accepté par le Client.

9. Violation de données

9.1. DIWAI notifie au Client toute violation de données à caractère personnel affectant les données traitées pour son compte sans délai injustifié après en avoir pris connaissance, et au plus tard sous 48 heures, à l’adresse e-mail des Administrateurs du Compte.

9.2. La notification comporte, dans la mesure des informations disponibles (le cas échéant de manière échelonnée) : la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables, les mesures prises ou proposées, et un point de contact (privacy@coloe.ai).

9.3. DIWAI documente la violation et coopère avec le Client pour ses éventuelles notifications à la CNIL (72 h, art. 33 RGPD) et aux personnes concernées (art. 34 RGPD). La notification par DIWAI ne vaut pas reconnaissance de faute ou de responsabilité.

10. Audits

10.1. DIWAI met à la disposition du Client les informations raisonnablement nécessaires pour démontrer le respect du présent DPA : description des mesures de sécurité, certifications et attestations de ses hébergeurs et sous-traitants ultérieurs (ISO 27001, SOC 2, HDS selon prestataire), synthèses d’audits.

10.2. Si ces éléments s’avèrent insuffisants, le Client peut faire réaliser un audit, y compris une inspection, dans les conditions suivantes : au plus une fois par période de 12 mois (sauf à la suite d’une violation de données ou à la demande d’une autorité de contrôle) ; préavis écrit de 30 jours ; périmètre limité aux traitements objets du DPA ; auditeur non concurrent de DIWAI et tenu à la confidentialité ; pendant les heures ouvrées, sans perturber l’exploitation ni compromettre la sécurité des données d’autres clients ; frais à la charge du Client. Les accès physiques aux datacenters des hébergeurs sont exclus (couverts par leurs propres certifications).

11. Transferts hors Union européenne

11.1. Les données sont hébergées et traitées dans l’Union européenne (cf. Annexes 2 et 3).

11.2. Aucun transfert vers un pays tiers n’a lieu sans garanties appropriées au sens du chapitre V du RGPD : décision d’adéquation ou clauses contractuelles types de la Commission européenne (« SCC »), complétées le cas échéant de mesures supplémentaires. Les sous-traitants ultérieurs concernés sont identifiés en Annexe 3.

11.3. Le Client mandate DIWAI pour conclure en son nom et pour son compte les SCC nécessaires avec les sous-traitants ultérieurs concernés.

12. Sort des données en fin de contrat

12.1. À la fin de l’accès au Service (quelle qu’en soit la cause), et conformément à l’article 10.3 des CGS, le Client dispose de 30 jours pour consulter et télécharger ses données et demander l’export groupé prévu aux CGS.

12.2. À l’issue de ce délai, DIWAI procède à la suppression des données traitées pour le compte du Client. Sur demande exprimée avant la fin du délai, DIWAI procède d’abord à la restitution des données dans un format structuré, couramment utilisé et lisible par machine, puis à leur suppression.

12.3. La suppression couvre les copies et sauvegardes à l’issue de leur cycle normal de rotation (au plus 30 jours supplémentaires), sauf obligation légale de conservation (notamment Documents signés et leurs dossiers de preuve, pièces de facturation) : les données concernées sont alors placées en archivage intermédiaire à accès restreint jusqu’à l’expiration des durées légales.

12.4. Sur demande, DIWAI atteste par écrit de la suppression.

12.5. Fin de la Bêta. À la fin de la période de Bêta, les données du Client sont, à son choix : reprises vers l’environnement de production (s’il souscrit un Abonnement), ou traitées selon les articles 12.1 à 12.4 (s’il ne poursuit pas).

13. Registre et coopération

13.1. DIWAI tient le registre des catégories d’activités de traitement effectuées pour le compte du Client (art. 30.2 RGPD).

13.2. Chaque Partie coopère, sur demande, avec l’autorité de contrôle compétente dans l’exécution de ses missions.

13.3. Contact protection des données de DIWAI : privacy@coloe.ai. DIWAI n’a pas désigné de délégué à la protection des données, sa désignation n’étant pas obligatoire au regard de l’article 37 RGPD.

14. Responsabilité

14.1. Chaque Partie est responsable dans les conditions prévues à l’article 82 RGPD : DIWAI répond des dommages causés par un traitement pour lequel elle n’a pas respecté les obligations du RGPD incombant spécifiquement aux sous-traitants, ou a agi en dehors des instructions licites du Client.

14.2. Les amendes administratives et sanctions prononcées contre une Partie du fait de ses propres manquements restent à sa charge exclusive.

14.3. Sous réserve de l’article 82 RGPD et des dispositions d’ordre public, la responsabilité contractuelle des Parties au titre du présent DPA est soumise aux limitations prévues à l’article 12 des CGS.

15. Durée, droit applicable, juridiction

15.1. Le présent DPA prend effet à l’acceptation des CGS et demeure en vigueur pendant toute la durée du traitement des données pour le compte du Client, y compris pendant la période de réversibilité.

15.2. Il est régi par le droit français. Tout litige relève de la juridiction désignée par les CGS (Tribunal des activités économiques de Paris).

---

Annexe 1 — Description du traitement (art. 28.3 RGPD)

Objet : fourniture du service SaaS Coloé au Client.

Nature des opérations : collecte (saisie/import), hébergement, structuration, consultation, modification, extraction, communication aux destinataires désignés par le Client (revue, signature), génération de documents, relances automatisées, le cas échéant émission/réception de factures électroniques via plateforme agréée, journalisation, sauvegarde, suppression.

Finalités : génération et gestion de documents contractuels (contrats cadres, ordres de mission, devis) ; circuit de revue ; signature électronique ; relances ; le cas échéant, facturation électronique.

Durée : durée de l’accès au Service, augmentée de la période de réversibilité (art. 12 du DPA).

Personnes concernées : Utilisateurs du Client ; dirigeants et interlocuteurs des clients et prospects du Client ; signataires des Documents ; le cas échéant, candidats présentés par le Client (via saisie ou connexion de son ATS).

Catégories de données : identité et coordonnées professionnelles (nom, prénom, fonction, e-mail, téléphone) ; données d’identification des sociétés (SIREN/SIRET, adresses) ; données de mission et conditions commerciales (poste, rémunération du candidat le cas échéant, honoraires, garanties) ; Documents générés et leurs métadonnées (variables, statuts, journal d’audit) ; données de signature (identité, e-mail, horodatage, preuve) ; données de facturation des clients du Client ; le cas échéant, données issues de l’ATS connecté par le Client (CV, fiches et briefs candidats).

Données sensibles : aucune catégorie particulière (art. 9 RGPD) visée. Le Client s’engage à ne pas en introduire (cf. art. 3.4).

Annexe 2 — Mesures techniques et organisationnelles (art. 32 RGPD)

Sécurité des données. Chiffrement en transit (TLS 1.2+) sur l’ensemble des échanges ; chiffrement au repos des secrets et données sensibles (jetons OAuth, IBAN, clés API) ; hébergement de l’application et de la base de données dans l’Union européenne (pendant la Bêta : Railway, serveurs à Amsterdam, Pays-Bas) ; sauvegardes quotidiennes de la base de données avec rétention glissante ; gestion des secrets hors base de données (variables d’environnement).

Contrôle d’accès. Cloisonnement multi-tenant strict (isolation logique des données par cabinet, vérifiée côté serveur sur chaque requête) ; contrôle d’accès par rôles (RBAC) ; authentification des Utilisateurs (mot de passe haché état de l’art ou connexion Google/Microsoft) ; principe du moindre privilège, y compris sur les scopes OAuth demandés (envoi d’e-mail uniquement, jamais de lecture de boîte) ; accès du personnel DIWAI limité, nominatif et journalisé.

Traçabilité. Journal d’audit des actions sensibles (accès, modifications, envois, signatures) ; horodatage des événements du cycle de vie des Documents ; conservation des logs techniques limitée (cf. politique de confidentialité).

Continuité et intégrité. Sauvegardes et procédure de restauration ; environnements de développement et de production séparés ; revue de code et suivi des dépendances.

Organisation. Sensibilisation du personnel ; procédure interne de gestion des violations de données ; registre art. 30.2 ; revue périodique des sous-traitants ultérieurs et de leurs garanties. La signature électronique est opérée sur une instance DocuSeal dédiée, administrée par DIWAI sur son infrastructure d’hébergement (Annexe 3) : aucun prestataire de signature tiers n’accède aux Documents. Le rendu des documents (serveur Carbone) et les conversions PDF (LibreOffice, Chromium) sont également opérés par DIWAI sur cette même infrastructure.

Annexe 3 — Sous-traitants ultérieurs autorisés

Liste à jour publiée en permanence sur coloe.ai/sous-traitants (art. 7 du DPA). État au 5 octobre 2026.

Sous-traitants ultérieurs actifs

Sous-traitant ultérieur	Rôle	Localisation / garanties
Railway Corporation	Hébergement de l’application, de la base de données, de l’instance de signature DocuSeal et du serveur de rendu documentaire (Carbone) — environnement de Bêta	Serveurs en Union européenne (Amsterdam, Pays-Bas) ; société américaine — SCC
Cloudflare, Inc. (R2)	Stockage objet des documents et fichiers	Bucket localisé en Union européenne ; société américaine — SCC / Data Privacy Framework
Mistral AI	Modèle de langage principal (assistance à la rédaction, extraction de données des briefs)	France — pas d’entraînement sur les données
Anthropic	Modèle de langage de secours	USA — SCC — pas d’entraînement sur les données
Scaleway (TEM)	E-mails transactionnels du Service (vérification d’adresse, notifications)	France
Pappers	Enrichissement d’entreprises (données publiques SIREN/SIRET)	France
Logo.dev	Logos d’entreprises (seuls le nom et le domaine de l’entreprise sont transmis)	USA — SCC

Signature électronique : le logiciel DocuSeal est auto-hébergé et administré par DIWAI ; l’éditeur de DocuSeal ne reçoit aucune donnée. L’infrastructure qui l’héberge (Railway, ci-dessus) est en revanche dans la chaîne de traitement, raison pour laquelle elle figure dans ce tableau.

Services connectés à l’initiative du Client

Ces services ne sont pas des sous-traitants ultérieurs de DIWAI (art. 7.5) : le Client les connecte avec ses propres identifiants et demeure responsable de traitement à leur égard.

Service	Rôle	Remarques
Google / Microsoft	Connexion (OAuth) ; envoi des e-mails de revue, signature et relance depuis l’adresse de l’Utilisateur ; si l’écosystème Google est activé : archivage des Documents sur le Drive du Client et lecture de ses modèles	Selon le compte du Client ; scopes limités à l’envoi (aucune lecture de boîte)
ATS du Client (ex. Jarvi)	Échange bidirectionnel : briefs, fiches candidats, CV, transcriptions d’entretien ; création d’entreprises et de projets	Connexion par le Client avec ses identifiants ; le stockage de fichiers de Jarvi (Nhost) est opéré au Royaume-Uni (décision d’adéquation de la Commission européenne)
Serveur SMTP du Client	Envoi d’e-mails via le serveur configuré par le Client (OVH, Infomaniak, IONOS, Office 365…)	Prestataire choisi et contracté par le Client

Évolutions prévues (information au titre de l’art. 7.2)

Prestataire	Rôle prévu	Localisation	Échéance
Clever Cloud	Hébergement de production (application, base de données, DocuSeal, Carbone) — remplacera Railway	France	Migration avant l’ouverture commerciale
Scaleway (Object Storage)	Stockage objet de production — remplacera Cloudflare R2	France (Paris)	Migration avant l’ouverture commerciale
Seqino (AXE-INNOVATION SAS)	Plateforme agréée — facturation électronique (émission, réception, e-reporting)	France — hébergement certifié SecNumCloud (3DS Outscale), backup OVH/Scaleway (EEE)	Contrat signé — activation du module à venir

La prise d’effet de chacune de ces évolutions sera notifiée aux Administrateurs avec le préavis de 30 jours prévu à l’article 7.2.