Conditions de sous-traitance

1. Définitions et rôles

Le Client — l'entreprise qui souscrit au service — est responsable du traitement. Il détermine les finalités et les moyens du traitement des données de ses propres clients et prospects.

innovai-consulting est sous-traitant. Nous traitons ces données uniquement sur instruction documentée du Client, pour lui fournir le service, et pour aucune autre finalité.

2. Description du traitement

3. Nos engagements

3.1 Instructions documentées

Nous ne traitons les données que sur instruction du Client, y compris pour les transferts hors Union européenne. Si une instruction nous paraît constituer une violation du RGPD, nous en informons le Client sans délai.

3.2 Confidentialité

Les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité et n'y accèdent que dans la mesure strictement nécessaire à l'exploitation et à la maintenance du service.

3.3 Sécurité

Nous mettons en œuvre les mesures décrites à l'article 6 des présentes conditions.

3.4 Sous-traitants ultérieurs

Le Client autorise le recours aux sous-traitants listés à l'article 5. Toute adjonction ou remplacement est notifié au Client, qui dispose d'un délai de 30 jours pour s'y opposer par écrit. En cas d'opposition, chaque partie peut résilier le contrat sans indemnité.

3.5 Assistance

Nous assistons le Client, dans la mesure du possible, pour :

• répondre aux demandes d'exercice de droits des personnes concernées ;
• réaliser une analyse d'impact si elle s'avère nécessaire ;
• démontrer le respect de ses obligations.

Lorsqu'une personne concernée nous adresse directement une demande, nous la transmettons au Client et n'y donnons suite que sur ses instructions.

3.6 Violation de données

Nous notifions au Client toute violation de données à caractère personnel dans les 48 heures suivant sa découverte, en lui communiquant la nature de la violation, les catégories et le volume approximatif de données concernées, les conséquences probables et les mesures prises.

3.7 Sort des données en fin de contrat

À la fin du contrat, et au choix du Client exprimé dans les 30 jours :

• nous lui restituons l'intégralité des données dans un format structuré et lisible par machine, puis les supprimons ;
• ou nous les supprimons directement.

Sans instruction dans ce délai, les données sont supprimées. La suppression s'étend aux sauvegardes dans un délai maximal de 30 jours supplémentaires.

3.8 Documentation et audit

Nous tenons un registre des traitements effectués pour le compte du Client et mettons à sa disposition les informations nécessaires pour démontrer le respect de l'article 28. Le Client peut réaliser un audit, une fois par an, moyennant un préavis de 30 jours.

4. Obligations du Client

Le Client, en sa qualité de responsable du traitement :

• informe les personnes concernées du traitement et de l'existence d'un agent automatisé ;
• recueille les bases légales nécessaires ;
• documente les instructions données ;
• veille au respect des obligations préalablement et pendant toute la durée du traitement ;
• s'abstient de configurer l'agent pour collecter des données sensibles ou des données bancaires.

5. Sous-traitants ultérieurs autorisés

Le contenu des messages est transmis à notre prestataire d'intelligence artificielle uniquement le temps de produire la réponse. Il n'est pas utilisé pour entraîner des modèles, conformément aux conditions applicables aux interfaces professionnelles de ce prestataire.

6. Mesures de sécurité

• Chiffrement en transit — toutes les communications entre WhatsApp, nos serveurs et nos prestataires passent par des canaux chiffrés (TLS).
• Cloisonnement — les données de chaque Client sont isolées et identifiées par un identifiant propre à son compte.
• Contrôle d'accès — accès nominatif au serveur, par clé cryptographique, restreint aux personnes habilitées. Authentification à deux facteurs sur les comptes d'administration.
• Journalisation — traçabilité des accès et des traitements.
• Sauvegardes — chiffrées, avec rotation, hébergées dans l'Union européenne.
• Minimisation — seules les données nécessaires à la réponse sont traitées ; aucune donnée bancaire n'est collectée par l'agent.

7. Transferts hors Union européenne

Les données sont hébergées en France. Le seul transfert susceptible d'intervenir hors de l'Union européenne concerne le traitement des messages par notre prestataire d'intelligence artificielle, encadré par les clauses contractuelles types adoptées par la Commission européenne.

Ce transfert porte sur le contenu du message et son contexte de conversation, à l'exclusion de toute donnée d'identification directe autre que celles que la personne fournit elle-même dans son message.

8. Durée, modification et contact

Les présentes conditions s'appliquent pendant toute la durée du contrat. Toute modification substantielle est notifiée au Client au moins 30 jours avant son entrée en vigueur.