ANNEXE I : ACCORD DE TRAITEMENT DES DONNÉES (DPA)

a) Responsable du traitement : Le Client qui souscrit au Service de chatbot et qui détermine les finalités et les moyens du traitement des données à caractère personnel de ses utilisateurs finaux.

b) Sous-traitant : Eloy Garrido Castro, exerçant sous le nom commercial Solneko, qui fournit le Service de chatbot et traite des données à caractère personnel au nom et pour le compte du Responsable du traitement.

c) Sous-traitant ultérieur : Tiers autorisés par le Sous-traitant à réaliser des activités spécifiques de traitement de données au nom du Responsable du traitement.

d) Données à caractère personnel : Toute information concernant une personne physique identifiée ou identifiable contenue dans les conversations du chatbot.

e) Traitement : Toute opération effectuée sur des données à caractère personnel, y compris la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation, l'extraction, la consultation, l'utilisation, la communication, le rapprochement, la limitation, l'effacement ou la destruction.

f) Personne concernée : Utilisateur final du Client qui interagit avec le chatbot et dont les données à caractère personnel sont traitées.

g) Violation de données : Toute violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou l'accès non autorisé à de telles données.

2.1. Objet : Le présent DPA a pour objet de régir les conditions dans lesquelles le Sous-traitant effectuera des traitements de données à caractère personnel pour le compte du Responsable du traitement, dans le cadre de la fourniture du Service de chatbot.

2.2. Nature du traitement : Le Sous-traitant traitera les données à caractère personnel exclusivement aux fins suivantes :

• Traitement des conversations au moyen d'une technologie d'intelligence artificielle (API d'OpenAI)
• Stockage temporaire des conversations pour l'analyse de la qualité du service
• Génération de métriques et de statistiques agrégées sur l'utilisation du chatbot
• Amélioration du service et entraînement de modèles personnalisés (uniquement avec autorisation expresse)
• Support technique et résolution des incidents signalés par le Responsable du traitement

2.3. Durée du traitement : Le Sous-traitant traitera les données à caractère personnel pendant la durée du contrat de prestation de services et, après son terme, uniquement pendant le temps nécessaire pour se conformer à des obligations légales ou contractuelles.

Mesures techniques :

• Chiffrement des données en transit (TLS 1.2 ou supérieur) et au repos (AES-256 ou équivalent)
• Pseudonymisation des données lorsque cela est techniquement possible
• Contrôle d'accès par authentification multifacteur pour le personnel autorisé
• Systèmes de détection d'intrusion et surveillance de la sécurité
• Sauvegardes périodiques et chiffrées des données
• Procédures sécurisées de suppression des données
• Audits de sécurité réguliers et tests d'intrusion

Mesures organisationnelles :

• Politique de sécurité de l'information documentée
• Gestion des mots de passe et des identifiants d'accès
• Journalisation des accès aux données à caractère personnel
• Procédures de réponse aux incidents de sécurité
• Analyses d'impact sur la vie privée le cas échéant

4.4.1. Autorisation : Le Responsable du traitement autorise expressément le Sous-traitant à recourir aux sous-traitants ultérieurs suivants :

4.4.2. Nouveaux sous-traitants ultérieurs : Le Sous-traitant informera le Responsable du traitement au moins 30 jours à l'avance de tout changement prévu concernant l'ajout ou le remplacement de sous-traitants ultérieurs. Le Responsable du traitement pourra s'y opposer pour des motifs liés à la protection des données dans ce délai.

4.4.3. Obligations : Le Sous-traitant veillera à ce que les sous-traitants ultérieurs respectent les mêmes obligations de protection des données que celles établies dans ce DPA, au moyen d'un contrat écrit.

4.4.4. Liste actualisée : La liste complète et actualisée des sous-traitants ultérieurs est disponible publiquement à l'adresse : ici

4.5.1. Le Sous-traitant assistera le Responsable du traitement, par des mesures techniques et organisationnelles appropriées, dans la mesure du possible, afin que le Responsable du traitement puisse s'acquitter de son obligation de répondre aux demandes d'exercice des droits suivants :

• Droit d'accès : Fournir une copie des données traitées
• Droit de rectification : Corriger les données inexactes
• Droit à l'effacement (« droit à l'oubli ») : Supprimer les données le cas échéant
• Droit à la limitation du traitement : Bloquer temporairement le traitement
• Droit à la portabilité : Fournir les données dans un format structuré et lisible
• Droit d'opposition : Cesser le traitement dans certaines circonstances

4.5.2. Procédure : Lorsqu'une personne concernée contacte directement le Sous-traitant pour exercer ses droits :

1. Le Sous-traitant en informera le Responsable du traitement dans un délai maximal de 48 heures
2. Le Sous-traitant fournira au Responsable du traitement toutes les informations nécessaires pour traiter la demande
3. Le Responsable du traitement sera celui qui répondra formellement à la personne concernée, étant responsable de la décision finale

4.5.3. Délai d'assistance : Le Sous-traitant fournira les données ou effectuera les actions techniques nécessaires dans un délai maximal de 7 jours calendaires à compter de la demande du Responsable du traitement.

4.5.4. Outils : Le Sous-traitant fournira au Responsable du traitement un accès à des outils dans le panneau de contrôle permettant de :

• Rechercher des conversations par identifiant utilisateur
• Exporter les données au format CSV/JSON
• Supprimer définitivement des conversations
• Anonymiser les données à caractère personnel tout en conservant leur utilité analytique

4.6.1. Obligation de notification : En cas de violation de données affectant des données à caractère personnel, le Sous-traitant notifiera le Responsable du traitement dans les meilleurs délais et, au plus tard, dans un délai de 24 heures après en avoir eu connaissance.

4.6.2. Contenu de la notification :

• Description de la nature de la violation (type d'incident, comment elle s'est produite)
• Catégories et nombre approximatif de personnes concernées affectées
• Catégories et nombre approximatif d'enregistrements de données affectés
• Conséquences probables de la violation
• Mesures prises ou proposées pour remédier à la violation et en atténuer les effets négatifs éventuels
• Coordonnées du responsable de la gestion de l'incident

4.6.3. Coopération : Le Sous-traitant coopérera activement avec le Responsable du traitement pour :

• L'évaluation du risque pour les droits et libertés des personnes concernées
• L'élaboration de la communication à l'autorité de contrôle (AEPD en Espagne)
• La communication aux personnes concernées si nécessaire
• La mise en œuvre de mesures correctives

4.6.4. Il incombe au Responsable du traitement de décider si la violation doit être notifiée à l'autorité de contrôle ou aux personnes concernées, conformément aux articles 33 et 34 du RGPD.

4.8.1. Durées de conservation : Le Sous-traitant conservera les données à caractère personnel selon les durées suivantes (configurables par le Responsable du traitement) :

• Conversations complètes : 90 jours par défaut, configurable entre 30 et 180 jours
• Données analytiques agrégées : Indéfiniment (données anonymisées, non soumises au RGPD)
• Journaux de sécurité : 12 mois
• Sauvegardes : 30 jours dans les systèmes de sauvegarde, puis suppression automatique

4.8.2. Suppression automatique : Le Sous-traitant met en œuvre des processus automatisés de suppression qui exécutent définitivement l'effacement des données à l'expiration des délais établis.

4.8.3. Sort des données après la fin du contrat : Une fois le contrat terminé, le Sous-traitant, au choix du Responsable du traitement :

• Supprimera toutes les données à caractère personnel et confirmera par écrit leur suppression complète, ou
• Restituera toutes les données à caractère personnel dans un format structuré (CSV/JSON) et supprimera toutes les copies existantes

Cette opération sera réalisée dans un délai maximal de 30 jours à compter de la fin du contrat, sauf si la législation applicable exige la conservation des données.

4.9.1. Le Sous-traitant mettra à la disposition du Responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations établies dans ce DPA.

4.9.2. Le Responsable du traitement ou un auditeur autorisé pourra réaliser des inspections, y compris des audits, moyennant un préavis écrit d'au moins 15 jours.

4.9.3. Le Sous-traitant facilitera les audits et coopérera raisonnablement, des limitations pouvant être convenues afin de protéger la confidentialité d'autres clients ou d'informations sensibles.

4.9.4. Les audits seront réalisés pendant les heures ouvrées et ne pourront pas interférer de manière disproportionnée avec les activités du Sous-traitant.

4.9.5. À titre alternatif, le Sous-traitant pourra fournir des certifications en vigueur (SOC2, ISO27001, etc.) démontrant le respect des mesures de sécurité.

Le Responsable du traitement inclura dans sa Politique de Confidentialité des informations sur :

• L'utilisation des services de chatbot fournis par Solneko
• L'utilisation de la technologie d'intelligence artificielle (OpenAI)
• Les finalités du traitement (service client, analyse de la qualité)
• Les délais de conservation des conversations
• Les transferts internationaux vers des pays tiers (OpenAI aux États-Unis)
• Les droits des personnes concernées et les modalités de leur exercice

Texte suggéré pour la Politique de Confidentialité du Responsable du traitement :

6.1. Transferts vers des pays tiers : En raison du recours à OpenAI Inc. (États-Unis) en tant que sous-traitant ultérieur, des transferts internationaux de données à caractère personnel vers un pays tiers auront lieu.

6.2. Garanties appropriées : Ces transferts sont réalisés sur la base des garanties suivantes :

• Clauses Contractuelles Types (CCT) : OpenAI a signé les Clauses Contractuelles Types approuvées par la Commission européenne (Décision 2021/914)
• Mesures supplémentaires : Chiffrement de bout en bout, minimisation des données, évaluations périodiques des risques

6.3. Évaluation des transferts : Le Sous-traitant a évalué que la législation américaine n'empêche pas OpenAI de respecter les garanties établies dans les CCT, et qu'il existe des mesures techniques et organisationnelles adéquates pour protéger les données.

6.4. Informations complémentaires : Le Responsable du traitement peut demander une copie des CCT et des analyses d'impact relatives aux transferts internationaux.

6.5. Aucun transfert ne sera effectué vers d'autres pays tiers sans le consentement préalable du Responsable du traitement et sans garanties appropriées.

7.1. Responsabilité du Sous-traitant : Le Sous-traitant sera responsable envers le Responsable du traitement des dommages causés par le non-respect des obligations établies dans ce DPA.

7.2. Responsabilité vis-à-vis des autorités : Conformément à l'article 82 du RGPD :

• Le Sous-traitant ne sera responsable des dommages causés par le traitement que s'il n'a pas respecté les obligations du RGPD qui s'adressent spécifiquement aux sous-traitants, ou s'il a agi en dehors ou à l'encontre des instructions licites du Responsable du traitement
• Le Responsable du traitement sera responsable lorsque le traitement a effectivement été décidé par le Responsable du traitement

7.3. Limites de responsabilité : Sans préjudice de ce qui précède, la responsabilité du Sous-traitant envers le Responsable du traitement sera limitée conformément aux dispositions de la Section 11 des Conditions Générales d'Utilisation.

7.4. Indemnisation : Le Responsable du traitement indemnisera le Sous-traitant pour les réclamations, amendes ou sanctions découlant de :

• Instructions du Responsable du traitement contraires à la réglementation en matière de protection des données
• L'absence de base juridique appropriée pour le traitement de la part du Responsable du traitement
• Le non-respect par le Responsable du traitement de ses obligations d'information envers les personnes concernées

8.1. Le Sous-traitant tiendra un registre de toutes les catégories d'activités de traitement effectuées pour le compte du Responsable du traitement, conformément à l'article 30.2 du RGPD.

8.2. Ce registre comprendra, au minimum :

• Le nom et les coordonnées du Sous-traitant et de chaque Responsable du traitement pour le compte duquel il agit
• Les catégories de traitements effectués pour le compte de chaque Responsable du traitement
• Les transferts de données vers des pays tiers, avec identification du pays et des garanties
• Une description générale des mesures techniques et organisationnelles de sécurité

8.3. Le Sous-traitant mettra le registre à la disposition de l'autorité de contrôle sur demande.

9.1. Sécurité de l'infrastructure : L'infrastructure technique du Service est hébergée chez OVHcloud, un hébergeur européen qui maintient des certifications de sécurité publiques (disponibles sur https://www.ovhcloud.com/fr/compliance/). Les mesures de sécurité d'OVHcloud (chiffrement, sauvegardes, accès restreint, surveillance) s'appliquent aux données stockées dans le Service.

9.2. Certifications du Sous-traitant : Le Sous-traitant ne dispose pas de certifications formelles indépendantes (ISO 27001, SOC 2, etc.), mais met en œuvre des pratiques de sécurité conformes au RGPD et aux standards du secteur, notamment :

• Contrôle d'accès aux systèmes basé sur une authentification sécurisée
• Chiffrement des données en transit (TLS 1.3) et au repos (AES-256)
• Sauvegardes automatiques et plans de reprise après sinistre
• Surveillance de la sécurité et audit des accès
• Tests de sécurité et analyse de vulnérabilités

9.3. Responsabilité du Responsable du traitement : Le Responsable du traitement est responsable de :

• Configurer le Service de manière sécurisée (par ex., garder les identifiants confidentiels)
• Notifier au Sous-traitant toute violation ou incident de sécurité détecté
• Veiller à ce que ses utilisateurs finaux ne fournissent des données que via le widget autorisé
• Mettre en œuvre des contrôles supplémentaires s'il le juge nécessaire (par ex., vérification préalable d'identité)

9.4. Audits : Le Responsable du traitement pourra demander des informations sur les mesures de sécurité mises en œuvre. Le Sous-traitant fournira des preuves au moyen de documentation technique, de rapports d'audit de tiers (le cas échéant), ou de certifications OVHcloud, conformément à la clause 4.9.

10.1. Durée : Ce DPA entrera en vigueur à la même date que le contrat de prestation de services et restera en vigueur pendant toute sa durée.

10.2. Effets de la résiliation : La fin du contrat de prestation de services entraînera automatiquement la fin de ce DPA.

10.3. Obligations post-contractuelles : Après la fin du contrat, le Sous-traitant restera tenu par l'obligation de confidentialité ainsi que par les obligations de suppression ou de restitution des données établies à la clause 4.8.3.

10.4. Les clauses relatives à la responsabilité, à la confidentialité et à la limitation de responsabilité survivront à la fin de ce DPA.

11.1. Le Sous-traitant pourra modifier ce DPA afin de l'adapter à des changements réglementaires ou à des améliorations des mesures de sécurité.

11.2. Toute modification sera notifiée au Responsable du traitement au moins 30 jours avant son entrée en vigueur.

11.3. Si le Responsable du traitement n'accepte pas les modifications et que celles-ci sont substantielles, il pourra résilier le contrat sans pénalité dans le délai de préavis.

12.1. Ce DPA est régi par :

• Le Règlement (UE) 2016/679 (RGPD)
• La Loi Organique 3/2018, relative à la protection des données à caractère personnel et à la garantie des droits numériques (LOPDGDD)
• La législation espagnole complémentaire en matière de protection des données

12.2. Pour tout litige découlant de ce DPA, les parties se soumettent aux Tribunaux de Séville.