Sécurité & sous-traitance RGPD
Dernière mise à jour : 15 août 2026
Cette page réunit, au même endroit, le détail opérationnel de ce qui est stipulé au contrat : où a lieu le traitement, en quelle qualité nous intervenons, qui accède aux données, combien de temps elles restent, et ce qu'il advient d'elles à la fin.
1. Le traitement a lieu sur notre serveur, pas sur le vôtre
Vos données sont traitées sur un serveur dédié Belharea, hébergé chez Hetzner Online GmbH, en Allemagne, donc dans l'Union européenne. Ce serveur n'est pas mutualisé : il ne fait tourner que nos automatisations. Vous n'avez rien à installer et rien à administrer.
Le Client est expressément informé et accepte que le traitement s'effectue sur l'infrastructure de Belharea, à savoir un serveur dédié hébergé par Hetzner Online GmbH en Allemagne (Union européenne), et non sur les systèmes du Client.
2. Nous sommes votre sous-traitant, au sens du RGPD
Vous restez responsable de traitement, nous agissons uniquement sur votre instruction. Une clause de sous-traitance conforme à l'article 28 du RGPD est annexée au contrat : elle définit les finalités, les durées, les mesures de sécurité et vos droits d'audit.
Cette clause précise les finalités, la nature des opérations, les catégories de données, les durées, les mesures de sécurité, les sous-traitants ultérieurs autorisés, ainsi que vos droits d'audit et de restitution.
3. La chaîne de traitement
Chaque intervenant, sa localisation, son rôle.
| Intervenant | Rôle | Localisation |
|---|---|---|
| Hetzner Online GmbH | Serveur d'automatisation dédié | Allemagne (UE) |
| Anthropic PBC | Génération de texte par intelligence artificielle | États-Unis |
| Google (Workspace) | Messagerie et tableurs | UE / États-Unis |
| Tally | Formulaires de saisie | Belgique (UE) |
| Calendly | Prise de rendez-vous | États-Unis |
| OVHcloud | Nom de domaine et hébergement du site | France (UE) |
La liste complète des sous-traitants ultérieurs figure en annexe du contrat. Tout ajout vous est signalé au moins quinze jours à l'avance, et vous pouvez vous y opposer.
4. Intelligence artificielle : ce qui est transmis, et ce qui ne l'est pas
Pour produire un brouillon de réponse ou de document, le contenu à traiter est transmis à un modèle d'intelligence artificielle exploité par Anthropic PBC, aux États-Unis.
Ce contenu n'est pas utilisé pour entraîner le modèle et n'est pas conservé au-delà du traitement. Le transfert hors Union européenne est encadré par les clauses contractuelles types de la Commission européenne, dont copie peut être demandée à achref@belharea.fr.
Nous préférons l'écrire ici plutôt que de le laisser découvrir : une prestation d'automatisation par IA implique nécessairement qu'un contenu soit soumis à un modèle. La question n'est pas de savoir si cela arrive, mais si le prestataire vous le dit.
5. Aucune conservation durable
Les données transitent, sont traitées, puis effacées de notre serveur. Nous n'archivons rien. En fin de contrat, tout est restitué ou supprimé sous trente jours, à votre choix, avec confirmation écrite.
6. Une seule personne y accède
À ce jour, un seul être humain a accès à votre environnement : Achref Belhaddad. Accès par comptes protégés, double authentification, flux chiffrés en TLS de bout en bout. Pas d'équipe offshore, pas de prestataire de passage.
Accès restreint à la seule personne autorisée, comptes protégés par mot de passe fort et double authentification lorsqu'elle est disponible, chiffrement des flux en TLS, serveur maintenu à jour, absence de conservation durable des données traitées.
7. En cas d'incident, vous êtes prévenu sous 48 heures
Toute violation de données vous est notifiée dans les meilleurs délais et au plus tard sous 48 heures, avec les éléments nécessaires à votre propre déclaration à la CNIL.
8. Fin de contrat et droit d'audit
Au terme des prestations, Belharea procède, au choix écrit du Client, à la restitution ou à la suppression de l'ensemble des données, dans un délai de trente (30) jours, et en confirme l'exécution par écrit.
Le Client peut, moyennant un préavis raisonnable et au plus une fois par an, faire vérifier le respect par Belharea de ses obligations au titre du présent article.
Rien ne part sans vous : tout ce que le système produit vous est soumis avant d'être envoyé. L'automatisation prépare ; c'est vous qui validez.
9. Documents de référence
Le cadre complet figure dans les conditions générales de vente (article 15) et dans la politique de confidentialité. Les mentions légales précisent l'identité de l'éditeur et de ses hébergeurs.