Accord de sous-traitance des données personnelles

Le présent accord, conclu en application de l'article 28 du règlement général sur la protection des données (RGPD), fait partie intégrante des conditions générales. Il s'applique dès la création du compte.

1. Rôles

• Responsable de traitement : le Client, entreprise abonnée à Tilavo.
• Sous-traitant : [À compléter : raison sociale], éditeur de Tilavo.

2. Description du traitement

• Objet : fournir un assistant conversationnel sur le site du Client, enregistrer les conversations, prospects et demandes de rendez-vous, et envoyer les notifications à l'équipe du Client.
• Durée : durée de l'abonnement, plus 30 jours pour permettre l'export des données.
• Personnes concernées : visiteurs du site du Client qui utilisent l'assistant ; membres de l'équipe du Client.
• Données : messages échangés ; nom, e-mail, téléphone, entreprise, secteur, besoin et date souhaitée de rendez-vous lorsqu'ils sont fournis ; preuve du consentement ; identifiant technique du visiteur stocké dans son navigateur.
• Données sensibles : aucune n'est demandée ; l'assistant est configuré pour ne pas en solliciter.
• Conservation : durée réglée par le Client dans Paramètres (24 mois par défaut), puis suppression automatique.

3. Obligations du sous-traitant

1. Traiter les données uniquement sur instruction documentée du Client (configuration du Service et présent accord).
2. Garantir la confidentialité des personnes autorisées à traiter les données.
3. Mettre en œuvre les mesures de sécurité décrites à l'article 5.
4. Ne recourir à un sous-traitant ultérieur qu'aux conditions de l'article 6.
5. Aider le Client à répondre aux demandes d'exercice des droits des personnes (export, rectification et suppression disponibles dans l'espace client).
6. Notifier au Client toute violation de données dans les meilleurs délais et au plus tard 48 heures après en avoir eu connaissance, avec les informations utiles à sa propre notification à la CNIL.
7. Aider le Client, le cas échéant, pour les analyses d'impact et la consultation de la CNIL.
8. En fin de contrat, supprimer les données après la période d'export, sauf obligation légale de conservation.
9. Mettre à disposition les informations nécessaires pour démontrer le respect du présent accord et permettre des audits raisonnables (préavis de 30 jours, au plus une fois par an, à la charge du Client).

4. Obligations du Client

Le Client dispose d'une base légale pour le traitement, informe les visiteurs de son site (politique de confidentialité, mention de l'assistant automatisé), règle une durée de conservation adaptée et ne fait pas traiter de données sensibles.

5. Mesures de sécurité

• Cloisonnement des données de chaque entreprise au niveau de la base de données, vérifié par des tests automatiques.
• Chiffrement des échanges (HTTPS) ; clés secrètes conservées uniquement côté serveur.
• Authentification par mot de passe robuste et sessions sécurisées.
• Limitation du nombre de requêtes et protection contre les robots sur les points d'entrée publics.
• Journal des actions sensibles.
• Les échanges avec le fournisseur d'IA ne sont pas conservés par celui-ci pour entraîner ses modèles.

6. Sous-traitants ultérieurs autorisés

• Vercel Inc. : Hébergement de l'application (États-Unis et Union européenne).
• Supabase Inc. : Base de données, authentification et stockage des fichiers (Région choisie à la configuration).
• OpenAI, L.L.C. : Génération des réponses de l'assistant et recherche dans les documents (intelligence artificielle) (États-Unis).
• Anthropic PBC : Génération des réponses de l'assistant (fournisseur alternatif) (États-Unis).
• Resend Inc. : Envoi des e-mails transactionnels et des notifications (États-Unis).
• Twilio Ireland Limited : Réception des appels, synthèse et reconnaissance vocales, SMS récapitulatifs (Jarvis Phone, seulement s'il est activé) (Union européenne et États-Unis).

Les transferts hors de l'Union européenne sont encadrés par les garanties prévues par l'accord de traitement de chaque prestataire (clauses contractuelles types de la Commission européenne ou cadre de protection des données UE–États-Unis). Le Client est informé de tout ajout ou remplacement au moins 30 jours à l'avance et peut s'y opposer pour un motif légitime ; à défaut de solution, il peut résilier sans pénalité.