# Carriva — Accord de sous-traitance des donnees (DPA) Data Processing Agreement conclu au titre de l'article 28 du Reglement (UE) 2016/679 (RGPD) entre Carriva (edite par Drafted By), sous-traitant, et le cabinet client (CGP / cabinet de conseil retraite), responsable de traitement. Version 1.0 — a jour au 8 juillet 2026 — carriva.fr Contact delegue a la protection des donnees (DPO) : dpo@carriva.fr -------------------------------------------------------------------------------- ## 1. Objet et double qualification Le present accord definit les conditions dans lesquelles Carriva, sous-traitant au sens de l'article 4.8 du RGPD, traite des donnees a caractere personnel pour le compte du cabinet client, responsable de traitement au sens de l'article 4.7, dans le cadre de la plateforme d'audit retraite Carriva. - Carriva agit comme RESPONSABLE DE TRAITEMENT pour les donnees du compte du cabinet (identification, connexion, facturation). - Carriva agit comme SOUS-TRAITANT (article 28) pour les donnees des clients finaux du cabinet contenues dans les releves de carriere. Il complete, sans s'y substituer, les Conditions Generales d'Utilisation et la Politique de Confidentialite de Carriva. ## 2. Description du traitement Nature des operations : import, extraction automatisee et structuration des releves de carriere (RIS, releves AGIRC-ARRCO) ; detection d'anomalies ; generation de livrables (rapports d'audit, lettres de reclamation, projections Hypotheses) ; assistant conversationnel (RAG, active uniquement sur action explicite du conseiller) ; hebergement et sauvegarde. Finalites : audit des droits a la retraite au benefice des clients finaux du cabinet, conseil patrimonial, generation des livrables, assistance a l'interpretation reglementaire. Carriva s'interdit toute reutilisation pour son propre compte, toute revente, tout profilage tiers et tout entrainement de modeles d'intelligence artificielle a usage general. Categories de donnees : identification (nom, prenom, NIR, etat civil), donnees de carriere (periodes d'activite, salaires reportes, trimestres, points AGIRC-ARRCO, regimes), donnees d'hypotheses et de projection, livrables generes, donnees conversationnelles (opt-in), donnees de contact. Aucune donnee au sens de l'article 9 (donnees sensibles) ni de l'article 10 du RGPD n'est traitee. Personnes concernees : les clients finaux (assures) du cabinet. Duree : le traitement est realise pendant toute la duree du contrat de prestation ; restitution ou suppression au terme (voir article 6). ## 3. Obligations du responsable de traitement (le cabinet) - Determiner la base legale de chaque traitement (article 6 du RGPD) : execution du contrat de mission, mandat ou consentement du client final. - Informer les personnes concernees du recours a Carriva en qualite de sous-traitant, des finalites, de la duree de conservation et de leurs droits. - Recueillir le consentement ou le mandat du client lorsque cela est requis, notamment pour l'import du releve de carriere et l'activation de l'assistant. - Documenter le traitement dans son propre registre des activites de traitement (article 30 du RGPD). - Gerer les acces de ses collaborateurs (roles, revocation, double authentification). ## 4. Obligations de Carriva (sous-traitant) ### 4.1 Confidentialite Carriva traite les donnees uniquement sur instruction documentee du responsable de traitement. Les personnes autorisees a traiter les donnees sont soumises a une obligation de confidentialite et n'y accedent que dans la stricte mesure necessaire. ### 4.2 Securite du traitement (article 32) - Chiffrement des donnees en transit (TLS 1.3) et au repos. - Releves de carriere et livrables stockes chiffres, heberges dans l'Union europeenne, via les sous-traitants listes ci-dessous. - Authentification securisee avec support de la double authentification. - Isolation des donnees entre les cabinets (architecture multi-tenant). - Filtrage applicatif du NIR et de l'etat civil avant tout appel a l'Assistant IA, a PostHog et a Sentry. - Sauvegardes regulieres et plan de reprise d'activite. - Journal d'activite tracant les acces aux dossiers clients. - Audits de securite periodiques. ### 4.3 Exclusion de l'entrainement des modeles L'Assistant IA est desactive par defaut. Lorsqu'il est active, seules les questions et un contexte limite du dossier sont transmis aux fournisseurs de modeles ; le NIR, le nom complet et la date de naissance en sont expurges. Les endpoints retenus sont configures en mode zero retention et l'exclusion de la reutilisation des donnees pour l'entrainement est prevue contractuellement. ### 4.4 Sous-traitants ulterieurs Le responsable de traitement autorise Carriva a recourir aux sous-traitants ulterieurs suivants, chacun soumis par contrat a des obligations equivalentes : | Sous-traitant | Service | Localisation | Base du transfert | |----------------------------------|----------------------------------|----------------|-------------------------| | Cloudflare | CDN, tunnel, DNS | USA / UE | CCT | | OpenRouter / OpenAI / Anthropic | Assistant IA (RAG, opt-in) | USA | CCT + DPF | | Stripe | Paiement et facturation | USA / Irlande | PCI-DSS, CCT, DPF | | Resend | Emails transactionnels | USA | CCT | | PostHog | Mesure d'audience produit | UE (Francfort) | Hebergement UE | | Sentry | Monitoring d'erreurs | UE | Hebergement UE | | Inngest | Orchestration de taches async | USA | CCT | Le NIR et l'etat civil complet des personnes figurant dans les releves de carriere ne sont transmis a aucun de ces sous-traitants. Carriva informe le responsable de tout ajout ou remplacement d'un sous-traitant ulterieur, avec un preavis permettant d'elever des objections. ### 4.5 Notification des violations de donnees Carriva notifie au responsable de traitement toute violation de donnees le concernant dans un delai maximal de 72 heures apres en avoir pris connaissance, avec la description de la nature de la violation, ses consequences probables et les mesures prises. Il appartient au responsable de notifier, le cas echeant, la CNIL et les personnes concernees (articles 33 et 34 du RGPD). ### 4.6 Assistance a l'exercice des droits Carriva met a disposition, dans la plateforme, les outils permettant de repondre aux demandes d'acces, de rectification, d'effacement, de limitation, de portabilite et d'opposition (articles 15 a 22 du RGPD). Toute demande adressee directement a Carriva est transmise sans delai au responsable de traitement. ## 5. Durees de conservation - Donnees metier (releves, rapports, hypotheses, lettres) : supprimees 30 jours apres la cloture du compte. - Donnees de compte du cabinet : duree de la relation contractuelle + 3 ans. - Conversations Assistant IA : 12 mois maximum, puis suppression automatique ; zero retention cote fournisseurs de modeles. - Journal d'activite (acces dossiers) : 24 mois. - Logs de connexion : 12 mois. - Donnees de facturation : 10 ans (obligations comptables). ## 6. Restitution ou suppression en fin de contrat Au terme de la prestation, au choix du responsable de traitement exprime dans un delai de 30 jours, Carriva restitue les donnees dans un format structure et lisible par machine puis les supprime, ou procede a leur suppression definitive. Les sauvegardes chiffrees sont purgees selon le cycle normal de rotation, au plus tard dans les 90 jours suivant la fin du contrat. ## 7. Audit Le responsable de traitement dispose d'un droit d'audit documentaire annuel (article 28.3.h du RGPD), moyennant un preavis raisonnable ; un audit cible peut etre demande en cas de violation averee. ## 8. Responsabilite et droit applicable Chaque partie repond, dans les conditions de l'article 82 du RGPD, du dommage cause par un traitement qui meconnaitrait ses obligations. Le present accord est regi par le droit francais. -------------------------------------------------------------------------------- Ce document est mis a disposition a titre d'information et fait partie integrante du contrat conclu a la souscription. Pour un exemplaire bilateral signe, ecrivez a dpo@carriva.fr.