# DPA IA : 5 clauses à vérifier pour un agent IA de SAV

URL : https://bynevolabs.com/guides/dpa-agent-ia-sav-clauses/
Dernière modification : 2026-10-20
Description : Avant de brancher un agent IA sur votre service client : ce que l'article 28 du RGPD impose au DPA, et les 5 clauses spécifiques à l'IA à vérifier.

---

Guide · Conformité

## DPA avec un fournisseur d'agent IA : les 5 clauses à vérifier avant de signer

Le DPA (Data Processing Agreement, ou accord de traitement des données) est le contrat qui encadre ce qu'un prestataire a le droit de faire avec les données de vos clients. Avec un fournisseur d'agent IA, le modèle standard ne suffit pas : voici les clauses à lire ligne par ligne avant de signer.

## Pourquoi le DPA n'est pas une formalité

Dès qu'un prestataire traite des données personnelles pour votre compte (messages clients, adresses, historiques de commande), il est votre sous-traitant au sens du RGPD, et l'article 28 impose qu'un contrat encadre ce traitement. Ce contrat doit définir l'objet et la durée du traitement, sa nature et sa finalité, le type de données concernées et les catégories de personnes concernées [(RGPD, article 28 · texte sur cnil.fr)](https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4#Article28). Sans DPA signé, vous ne pouvez pas démontrer votre conformité en cas de contrôle : c'est vous, responsable du traitement, qui portez ce risque, pas le prestataire. Un agent IA de SAV traite précisément ce type de données : la question n'est donc pas de savoir s'il vous faut un DPA, mais ce qu'il doit contenir.

## Clause 1. Instructions documentées : aucun usage secondaire des données

L'article 28 prévoit que le sous-traitant ne traite les données que sur instruction documentée du responsable du traitement [(RGPD, article 28)](https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4#Article28). Concrètement : le DPA doit lister les finalités exactes (répondre aux demandes clients, consulter le statut des commandes) et rien d'autre. Méfiez-vous des formulations larges du type « améliorer nos services » : elles peuvent couvrir des usages statistiques ou d'optimisation que vous n'avez jamais validés. Chaque finalité doit être nommée ; ce qui n'est pas écrit n'est pas autorisé.

## Clause 2. Non-réutilisation pour l'entraînement de modèles

C'est la clause spécifique à l'IA, absente des DPA classiques. Certains fournisseurs de modèles de langage se réservent la possibilité de réutiliser les données envoyées via leur API pour améliorer leurs modèles, selon leurs conditions et le type de compte : c'est un point à vérifier explicitement, pas à supposer réglé. La CNIL, dans ses recommandations sur l'IA, rappelle que le développement d'un système d'IA à partir de données personnelles reste soumis au RGPD : base légale, finalité, information des personnes [(CNIL, recommandations IA et RGPD)](https://www.cnil.fr/fr/ia-et-rgpd-la-cnil-publie-ses-nouvelles-recommandations-pour-accompagner-une-innovation-responsable). Exigez une clause écrite de non-réutilisation à des fins d'entraînement, couvrant le prestataire et son fournisseur de modèle : un engagement oral ou une page marketing ne remplacent pas une clause contractuelle.

## Clause 3. La chaîne de sous-traitance : qui traite réellement vos données ?

Derrière un agent IA, il y a au minimum deux acteurs : l'hébergeur de la solution et le fournisseur du modèle de langage. L'article 28 encadre cette chaîne : le sous-traitant ne peut pas recruter un autre sous-traitant sans votre autorisation écrite préalable, et si un sous-traitant ultérieur manque à ses obligations, le sous-traitant initial en demeure pleinement responsable devant vous [(RGPD, article 28, paragraphes 2 et 4)](https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4#Article28). Le DPA doit donc lister nommément les sous-traitants ultérieurs (hébergeur, fournisseur de modèle) avec leur pays d'établissement et leur lieu de traitement. Si cette liste n'existe pas ou reste vague (« des fournisseurs cloud de premier plan »), vous ne savez pas qui lit les messages de vos clients.

## Clause 4. Localisation des données et transferts hors UE

Depuis l'arrêt « Schrems II » de la Cour de justice de l'Union européenne (16 juillet 2020), qui a invalidé le Privacy Shield, chaque organisme doit vérifier la légalité de ses transferts de données hors UE : les clauses contractuelles types ne suffisent plus « en soi », il faut analyser le risque d'accès par les autorités du pays destinataire et, si nécessaire, déployer des mesures supplémentaires [(CNIL, suites de l'arrêt Schrems II)](https://www.cnil.fr/fr/invalidation-du-privacy-shield-les-suites-de-larret-de-la-cjue). Pour une PME, cette analyse de transfert est un travail juridique réel, à refaire à chaque évolution du cadre. Le DPA doit indiquer précisément où les données sont stockées et traitées : pays, et idéalement datacenter. Un traitement intégralement en France ou dans l'UE fait disparaître le sujet : pas de transfert, pas d'analyse de transfert.

## Clause 5. Violations de données et sort des données en fin de contrat

En cas de violation de données, c'est vous qui devez notifier la CNIL dans les 72 heures, et le RGPD impose au sous-traitant de vous alerter « dans les meilleurs délais » après en avoir pris connaissance [(RGPD, article 33)](https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4#Article33). Vérifiez que le DPA fixe un délai d'alerte précis et un point de contact, sinon vos 72 heures peuvent être consommées avant même que vous soyez au courant. Enfin, le contrat doit régler le sort des données à la fin de la prestation : suppression ou restitution, à votre choix, c'est aussi la garantie concrète de pouvoir changer de prestataire sans laisser d'historique client derrière vous, un point développé dans notre guide [IA souveraine et RGPD](https://bynevolabs.com/guides/ia-souveraine-rgpd-service-client/).

## Comment Bynevo Labs répond à ces cinq points

Les données de la solution (conversations, données clients, base vectorielle) sont hébergées en France, chez OVHcloud (Roubaix) et/ou Scaleway, par défaut : aucune conversation ne transite par un service hors UE, donc pas d'analyse de transfert à mener. Le fournisseur de modèle est identifié (Mistral AI (France)) et aucune donnée client ne sert à entraîner un modèle tiers. Le détail des sous-traitants et des engagements figure sur notre page [hébergement et données](https://bynevolabs.com/legal/donnees/), dans le cadre de notre [logiciel de SAV e-commerce](https://bynevolabs.com/logiciel-sav-ecommerce/) ; chaque point de ce guide peut être vérifié ligne par ligne, contrat en main, pendant le diagnostic.

Sources : [RGPD, articles 28 et 33 (texte sur cnil.fr)](https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4#Article28), [CNIL · recommandations IA et RGPD](https://www.cnil.fr/fr/ia-et-rgpd-la-cnil-publie-ses-nouvelles-recommandations-pour-accompagner-une-innovation-responsable), [CNIL · invalidation du Privacy Shield (Schrems II)](https://www.cnil.fr/fr/invalidation-du-privacy-shield-les-suites-de-larret-de-la-cjue). Ce cadre évolue : à vérifier au moment de votre mise en conformité.

Voir comment c'est mis en œuvre : [hébergement, sous-traitants et droits RGPD](https://bynevolabs.com/legal/donnees/), ou [l'architecture technique de l'agent](https://bynevolabs.com/architecture/).

 [Voir la méthode](https://bynevolabs.com/#offre)

Voir aussi : [Checklist RGPD pour un SAV automatisé](https://bynevolabs.com/guides/checklist-rgpd-sav-automatise/), [IA souveraine et RGPD](https://bynevolabs.com/guides/ia-souveraine-rgpd-service-client/), [AI Act article 50](https://bynevolabs.com/guides/ai-act-article-50-service-client/), ou tous les [guides Bynevo Labs](https://bynevolabs.com/guides/).

Il se branche sur vos outils

Nos agents IA se connectent à vos outils métier, et Gustave, l'agent de SAV e-commerce, à votre boutique et au helpdesk que vous utilisez déjà, Gorgias, Zendesk ou Front. Changer d'outil n'est pas un préalable.

Mistral AI Chatwoot Dify Qdrant n8n OVHcloud Langfuse Shopify WooCommerce Magento Zendesk Gorgias Colissimo Chronopost Mondial Relay Mistral AI Chatwoot Dify Qdrant n8n OVHcloud Langfuse Shopify WooCommerce Magento Zendesk Gorgias Colissimo Chronopost Mondial Relay

Notre méthode

## Nous déployons votre agent, du diagnostic au premier ticket résolu.

1.  01
    
    ### Cadrage
    
    Diagnostic 30 min
    
    Vous savez ce que l'agent fera, et ce qu'il coûte.
    
2.  02
    
    ### Déploiement
    
    2–3 semaines
    
    Un agent sur-mesure, sur votre instance dédiée.
    
3.  03
    
    ### Mise en route
    
    J+1 à J+21
    
    Vos premiers tickets traités en autonomie.
    

Notre engagement

**On démarre par un pilote, sans engagement de durée.** L'objectif d'autonomie est défini avec vous, sur vos propres tickets — jamais un chiffre générique.

Vous jugez sur vos tickets réels, dans votre back-office, avant de monter en volume. Le périmètre et les conditions se posent au diagnostic.

-   **Projet livré clé en main** : agent, instance dédiée, formation de votre équipe.
-   **Vous gardez la main** : chaque action sensible passe en validation tant que vous ne l'avez pas ouverte.

Questions fréquentes

## Tout ce que vous voulez savoir.

**Bynevo Labs, c'est quoi ?**

Bynevo Labs conçoit, déploie et opère des agents IA sur mesure pour les PME, les ETI et les grandes entreprises. Fondée en 2025, l'agence héberge chaque agent en France (OVHcloud ou Scaleway, instance dédiée à votre nom) et s'appuie sur les modèles de Mistral AI. Les agents couvrent l'avant-vente (qualification, conseil, devis), l'après-vente (SAV, support) et les opérations internes (documents, e-mails, saisies, relances). Gustave, l'agent SAV e-commerce, est l'offre historique.

**Quels types d'agents IA Bynevo Labs crée-t-il ?**

Des agents construits pour un processus précis de votre entreprise : service client et SAV, conseil avant-vente, qualification des demandes entrantes, prospection B2B, devis et facturation, traitement des e-mails et documents, support interne pour vos équipes, recrutement, contenu et réseaux sociaux. Chaque agent travaille dans vos outils (CRM, ERP, helpdesk, messagerie), avec validation humaine là où vous le décidez.

**Pourquoi « sur mesure » plutôt qu'un outil IA standard ?**

Un outil standard couvre le cas moyen et vous laisse le paramétrage, l'intégration et la maintenance. Un agent sur mesure part de vos cas réels, se connecte à vos systèmes, applique vos règles métier et vos plafonds d'action, puis il est suivi et ajusté en production. C'est ce qui fait la différence entre une démo réussie et un agent qui traite vraiment le volume, semaine après semaine.

**Quelle différence avec un chatbot ?**

Un chatbot répond avec du texte, souvent scripté. Un agent agit : il lit le dossier, interroge vos systèmes, met à jour le CRM, prépare un devis, déclenche un remboursement ou transmet à la bonne personne via vos API. La demande est traitée de bout en bout, et l'agent escalade vers un humain dès qu'il sort de son périmètre.

**L'agent peut-il inventer une réponse ?**

Il répond uniquement à partir de vos contenus (procédures, catalogues, politiques, base documentaire) et des données réelles de vos systèmes. Hors périmètre, il escalade plutôt que d'improviser. Avant la mise en production, il est testé sur un jeu de vos cas réels ; au démarrage, ses réponses passent en validation humaine jusqu'à ce que la qualité soit au niveau.

**Mes données restent-elles vraiment en France ?**

Oui. Votre instance tourne chez un hébergeur français (OVHcloud ou Scaleway), sous contrat à votre nom : l'infrastructure vous appartient, nous l'opérons. Le modèle de langage est celui de Mistral AI, entreprise française. Vos données n'entraînent aucun modèle tiers et ne transitent pas hors de l'Union européenne par défaut. En mode souverain, le modèle est installé sur votre instance, sans appel externe. DPA fourni à la signature.

**Avec quels outils l'agent s'intègre-t-il ?**

Avec ceux que vous utilisez déjà : CRM (HubSpot, Salesforce, Pipedrive), ERP, helpdesk (Zendesk, Gorgias, Front), boutique (Shopify, PrestaShop, WooCommerce, Magento), messageries (e-mail, WhatsApp, Teams, Slack), bases documentaires. Pour un logiciel métier spécifique, nous développons l'intégration via son API.

**Combien de temps pour mettre un agent en production ?**

Quelques semaines pour un premier périmètre, selon le nombre d'intégrations et la qualité de vos contenus. Le diagnostic initial de 30 minutes vérifie la faisabilité sur vos cas réels avant tout engagement ; nous démarrons ensuite par un périmètre circonscrit, mesuré, puis élargi.

**Combien ça coûte ?**

Le budget dépend du périmètre de l'agent, des intégrations, du volume traité et du niveau d'accompagnement : une mise en place, puis un suivi mensuel, chiffrés pendant le diagnostic et figés avant tout engagement. L'hébergement chez un hébergeur français et la consommation du modèle Mistral, proportionnelle à l'usage, sont facturés directement par ces fournisseurs.

**Est-ce adapté à une ETI ou à une grande entreprise ?**

Oui. Les exigences propres aux grandes organisations sont traitées dès le cadrage : sécurité et validation par la DSI, gestion des accès, journalisation, intégration au SI, gouvernance des données, conformité AI Act et réversibilité. Nous recommandons de démarrer par un pilote sur un processus précis, avec des indicateurs définis à l'avance.

**Et si on veut arrêter, on est engagés ?**

Non. Le déploiement est un projet livré : vos données, vos contenus et vos automatisations restent à vous et sont exportables à tout moment. Si vous souhaitez que nous continuions d'opérer l'agent, nous le cadrons ensemble ; sinon, vous repartez sans dépendance.

**Qu'est-ce qu'un DPA pour un agent IA ?**

Un DPA (Data Processing Agreement) est le contrat de sous-traitance de données personnelles prévu par l'article 28 du RGPD. Pour un agent IA de SAV, il encadre ce que le prestataire fait des messages, adresses et historiques de commande de vos clients : finalités, durée, sécurité, sous-traitants, sort des données en fin de contrat. Il ajoute en général des clauses propres à l'IA, comme l'interdiction d'entraîner un modèle avec vos données.

**Un DPA est-il obligatoire avec un fournisseur d'agent IA ?**

Oui, dès que le fournisseur traite des données personnelles pour votre compte. L'article 28 du RGPD impose alors un contrat écrit entre vous, responsable du traitement, et lui, sous-traitant. Sans DPA signé, vous ne pouvez pas démontrer votre conformité en cas de contrôle, et c'est vous qui portez le risque.

**Que doit contenir un DPA pour une IA de service client ?**

L'objet, la durée, la nature et la finalité du traitement, les types de données et les catégories de personnes concernées, puis cinq points à vérifier pour une IA : des instructions documentées sans usage secondaire, une clause de non-réutilisation pour l'entraînement des modèles, la liste nommée des sous-traitants, la localisation des données et les transferts hors UE, enfin le délai d'alerte en cas de violation et le sort des données en fin de contrat.

**Quels sous-traitants doivent figurer dans le DPA d'un agent IA ?**

Au minimum l'hébergeur de la solution et le fournisseur du modèle de langage. Le DPA doit les citer nommément, avec leur pays d'établissement et leur lieu de traitement. Le prestataire ne peut pas en ajouter un sans votre autorisation écrite préalable, et il reste pleinement responsable devant vous des manquements de ses sous-traitants.

Prochaine étape

## Parlons de votre projet d'agent IA.  
Avant de parler solution.

30 minutes sur votre besoin : le processus à automatiser, le volume, vos outils, ce qui vous prend du temps. Vous repartez avec un chiffrage, que nous travaillions ensemble ou non.

[Réserver un diagnostic](https://bynevolabs.com/#cal-final) [Ou écrire à contact@bynevolabs.com](mailto:contact@bynevolabs.com)

Sans engagement · nous répondons sous 24 h ouvrées