Accord de traitement des données (DPA)

1. Objet

Le présent accord définit les conditions dans lesquelles le Sous-traitant traite, pour le compte du Responsable de traitement, les données personnelles de ses clients et visiteurs dans le cadre du service Panso.

2. Description du traitement

• Nature et finalités : centraliser et traiter les demandes du service client (e-mail, chat du site, réseaux sociaux connectés), répondre avec l’aide de l’IA, afficher les visiteurs en direct et les messages automatiques, rapprocher conversations et commandes, produire des statistiques pour le Responsable de traitement.
• Personnes concernées : clients, prospects et visiteurs de la boutique du Responsable de traitement ; ses propres utilisateurs pour les données de travail.
• Catégories de données : identité et coordonnées (nom, e-mail, téléphone), contenu des messages et pièces jointes, commandes (numéros, produits, montants, statuts), activité sur le site (page sans paramètres, panier, compteur de visites), note de satisfaction, identifiants techniques (identifiant aléatoire du visiteur, adresse IP utilisée en mémoire).
• Données sensibles : le service n’est pas conçu pour traiter les catégories particulières de données (article 9 du RGPD) ; le Responsable de traitement s’abstient de les solliciter.
• Durée : la durée de l’abonnement, puis 90 jours [À VÉRIFIER] au plus pour la restitution et la suppression.

3. Instructions

Le Sous-traitant traite les données uniquement sur instruction documentée du Responsable de traitement : les présentes conditions, les réglages effectués dans l’espace et les demandes écrites. S’il estime qu’une instruction enfreint la réglementation, il en informe immédiatement le Responsable de traitement. Il n’utilise pas les données pour son propre compte, notamment pas pour entraîner des modèles d’IA.

4. Confidentialité

Les personnes autorisées à traiter les données chez le Sous-traitant sont soumises à une obligation de confidentialité et n’y accèdent que si leur mission l’exige (assistance demandée, incident, maintenance).

5. Sécurité

Le Sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées, notamment :

• hébergement dans l’Union européenne (Allemagne) ; connexions chiffrées (HTTPS) ;
• mots de passe hachés ; sessions limitées dans le temps ; séparation logique des données de chaque espace ;
• droits d’accès selon le rôle de chaque utilisateur ; limitation du nombre de requêtes contre les abus ;
• minimisation : adresses de pages débarrassées de leurs paramètres, activité des visiteurs gardée en mémoire seulement, transmission à l’IA des seules données utiles à la réponse.

6. Sous-traitants ultérieurs

Le Responsable de traitement autorise de manière générale le recours aux sous-traitants ultérieurs ci-dessous. Le Sous-traitant leur impose, par contrat, des obligations de protection des données équivalentes et reste responsable de leurs manquements. Il informe le Responsable de traitement par e-mail de tout ajout ou remplacement au moins 30 jours à l’avance ; le Responsable de traitement peut s’y opposer pour un motif légitime et, à défaut d’accord, résilier son abonnement.

7. Transferts hors de l’Union européenne

Les transferts vers des pays tiers sont encadrés par une décision d’adéquation (notamment le Data Privacy Framework UE–États-Unis pour les entreprises certifiées) ou par les clauses contractuelles types de la Commission européenne, complétées si nécessaire de mesures supplémentaires.

8. Droits des personnes

Le Sous-traitant aide le Responsable de traitement à répondre aux demandes d’exercice des droits (accès, rectification, effacement, opposition, limitation, portabilité). S’il reçoit directement une demande, il la transmet au Responsable de traitement sans y répondre lui-même, sauf instruction contraire.

9. Violations de données

Le Sous-traitant notifie au Responsable de traitement toute violation de données personnelles dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les informations disponibles (nature, catégories et nombre approximatif de personnes concernées, conséquences probables, mesures prises), afin de lui permettre de respecter ses propres obligations de notification.

10. Assistance et analyses d’impact

Le Sous-traitant fournit au Responsable de traitement les informations raisonnablement nécessaires à la réalisation d’une analyse d’impact ou à la consultation préalable de l’autorité de contrôle.

11. Fin du contrat

À la fin de l’abonnement, le Sous-traitant restitue, sur demande, les données dans un format courant, puis les supprime au plus tard 90 jours [À VÉRIFIER]après la fin du contrat, sauf obligation légale de conservation.

12. Documentation et audit

Le Sous-traitant met à disposition les informations nécessaires pour démontrer le respect du présent accord. Le Responsable de traitement peut faire réaliser un audit, à ses frais, par un auditeur indépendant tenu au secret, avec un préavis de 30 jours, au plus une fois par an sauf violation avérée.

13. Registre et délégué

Le Sous-traitant tient un registre des traitements effectués pour le compte de ses clients. Contact pour toute question relative aux données : contact@venture-ia.com.

14. Obligations du Responsable de traitement

Le Responsable de traitement dispose d’une base légale pour les traitements confiés, informe les personnes concernées (un paragraphe-type est proposé), recueille leur consentement lorsque la réglementation l’exige, et fixe la durée de conservation des données de ses clients.

Pour obtenir une version signée de cet accord, écrivez à contact@venture-ia.com en indiquant la raison sociale de votre boutique. VENTURE IA vous la retourne signée.