# Annexe RGPD — Traitement des données — Archimède (W.H.O.O.K)

> Version : 2026-07-10

## 1. Rôles
- Pour les données du **compte client** : W.H.O.O.K (Kevin Wagnon, EI) est **responsable de traitement**.
- Pour les **données de prospects** traitées par le client via le service : le **client est responsable de traitement** ; W.H.O.O.K agit en **sous-traitant** (art. 28 RGPD) selon la présente annexe.

## 2. Objet et instructions
W.H.O.O.K traite les données de prospects uniquement pour fournir le service (sélection, enrichissement, préparation d'emails, envois validés par le client, suivi des réponses, gestion des oppositions, relances, CRM) et sur instruction du client, matérialisée par l'usage du service et les validations effectuées.

## 3. Catégories de données et de personnes
Prospects professionnels (B2B) : identité professionnelle, fonction, entreprise, coordonnées professionnelles, informations publiques d'entreprise, échanges email liés à la prospection, statut commercial, oppositions (STOP).

## 4. Sous-traitants ultérieurs
- **OVH SAS** (France) — hébergement.
- **Brevo** (France) — emails transactionnels (lien de connexion, réinitialisation, notifications).
- **Mistral AI** (France) — génération assistée de contenu.
- **Stripe** (États-Unis, encadré par le Data Privacy Framework) — paiement ; données de facturation du client uniquement, aucune donnée bancaire stockée par W.H.O.O.K.

L'envoi des emails de prospection utilise la **messagerie propre du client** (SMTP/IMAP ou Gmail via OAuth Google), qui n'est pas un sous-traitant de W.H.O.O.K. **Hébergement, IA et emails transactionnels sont opérés en France ; le seul traitement hors UE est le paiement.**

W.H.O.O.K informe le client de tout projet d'ajout ou de remplacement d'un sous-traitant ultérieur dans un délai raisonnable, lui permettant de s'y opposer pour un motif légitime. Chaque sous-traitant ultérieur est tenu par des obligations de protection des données équivalentes à celles de la présente annexe. Le personnel autorisé est soumis à une obligation de confidentialité. Le traitement dure le temps du contrat.

## 5. Sécurité (art. 32)
Isolation stricte par client (aucun accès croisé entre espaces) ; chiffrement des identifiants email (les mots de passe ne sont jamais restitués) ; contrôles d'accès et journalisation de sécurité ; garde-fous d'envoi (validation humaine, quotas, opposition systématique, fenêtres horaires, plafond de relances) ; sauvegardes régulières ; hachage des IP de preuve.

## 6. Assistance et droits des personnes
W.H.O.O.K assiste le client pour répondre aux demandes d'exercice de droits des prospects. Les oppositions (réponse STOP ou désinscription) sont appliquées **automatiquement et immédiatement** : arrêt des envois et relances, inscription en liste d'opposition durable.

## 7. Violation de données
En cas de violation de données affectant le client ou ses prospects, W.H.O.O.K notifie le client dans les meilleurs délais après en avoir pris connaissance, avec les informations utiles à ses propres obligations de notification.

## 8. Sort des données
En fin de contrat, les données de prospects du client sont supprimées ou restituées sur demande, dans un délai raisonnable, à l'exception des données dont la conservation est légalement requise et de la liste d'opposition (nécessaire pour honorer les STOP).

## 9. Audit
W.H.O.O.K met à disposition les informations raisonnablement nécessaires pour démontrer le respect de la présente annexe.

Document modèle — validation juridique externe recommandée avant commercialisation.