Accord de traitement des données

1. Parties et rôles

[NOM DE L'ENTREPRISE], NIF/KvK [NIF/KvK], [ADRESSE], représentée par [REPRÉSENTANT] (« l'Entreprise »), responsable du traitement des données de ses clients ;
[DÉNOMINATION SOCIALE], numéro fiscal [NUMÉRO FISCAL], [ADRESSE], [E-MAIL DE CONTACT] (« Ziqanova »), sous-traitant, qui traite ces données pour le compte de l'Entreprise.

Pour les données de compte dont elle a besoin pour gérer sa relation avec l'Entreprise (e-mail de connexion, sécurité, assistance, facturation future), Ziqanova agit en qualité de responsable du traitement. [Note pour le juriste : confirmer cette répartition des rôles et la nécessité d'une politique de confidentialité de Ziqanova destinée aux entreprises.]

2. Objet et durée

Ziqanova traite des données à caractère personnel pour le compte de l'Entreprise afin de fournir le service décrit dans l'Accord de pilote. Le présent accord s'applique aussi longtemps que l'Accord de pilote est en vigueur et jusqu'à la suppression ou la restitution des données (clause 11).

3. Nature et finalité du traitement

Réception, enregistrement, organisation, conservation, affichage à l'équipe de l'Entreprise, transmission (à l'Entreprise et aux sous-traitants ultérieurs de l'annexe 2) et suppression des données nécessaires pour que l'Entreprise reçoive et traite les demandes de ses clients : collecte dans le chat, sur la page publique et sur WhatsApp ; extraction automatique d'informations par l'assistant IA ; enregistrement de la demande dans le tableau de bord ; alertes à l'Entreprise ; notes, visites et rappels pour l'équipe ; devis ; exportation ; suppression automatique et suppression sur demande. Le détail figure à l'annexe 1.

4. Catégories de données et de personnes concernées

Personnes concernées : les clients et clients potentiels de l'Entreprise qui la contactent par l'intermédiaire de l'assistant, de la page publique ou de WhatsApp ; les membres de l'équipe de l'Entreprise disposant d'un compte sur le tableau de bord. Données : celles énumérées à l'annexe 1. Ziqanova ne demande pas de catégories particulières de données (par exemple des données de santé) et l'assistant demande au client de ne pas les communiquer ; si un client les écrit malgré tout, elles font partie de la description de la demande et l'Entreprise peut les supprimer.

5. Instructions de l’Entreprise

Ziqanova ne traite les données que sur instruction documentée de l'Entreprise : le présent accord, l'Accord de pilote, les paramètres que l'Entreprise choisit dans le tableau de bord (par exemple l'activation de WhatsApp ou la suppression d'une demande) et les instructions écrites raisonnables ultérieures. Si le droit de l'Union ou le droit d'un État membre oblige Ziqanova à traiter les données autrement, celle-ci en informe l'Entreprise au préalable, sauf si la loi l'interdit, et avertit l'Entreprise si elle estime qu'une instruction constitue une violation du RGPD.

Ziqanova n'utilise pas les données des clients de l'Entreprise à ses propres fins, ne les vend pas, ne les utilise ni à des fins publicitaires ni pour entraîner des modèles d'IA, et ne contacte pas ces clients de sa propre initiative.

6. Confidentialité

Seul l'exploitant de Ziqanova a accès aux données de production, est tenu à la confidentialité et n'y accède que lorsque cela est nécessaire (assistance, correction de dysfonctionnements, demandes de l'Entreprise). Si d'autres personnes viennent un jour à disposer d'un accès chez Ziqanova, celle-ci les soumet par écrit à une obligation de confidentialité.

7. Mesures de sécurité

Ziqanova applique les mesures techniques et organisationnelles de l'annexe 3, adaptées au risque : chiffrement en transit et au repos, accès à la base de données uniquement par l'intermédiaire du serveur, cloisonnement entre les entreprises, limites d'utilisation, journaux sans données à caractère personnel et sauvegardes chiffrées. Elle peut les améliorer, mais ne les réduit pas sans en informer l'Entreprise.

8. Sous-traitants ultérieurs

L'Entreprise donne une autorisation générale pour les sous-traitants ultérieurs de l'annexe 2. Ziqanova conclut avec chacun d'eux un contrat comportant des obligations en matière de protection des données équivalentes à celles du présent accord et demeure responsable envers l'Entreprise de l'exécution de leurs obligations.

Ziqanova informe l'Entreprise par e-mail 30 jours avant d'ajouter ou de remplacer un sous-traitant ultérieur. L'Entreprise peut s'y opposer par écrit, pour des motifs raisonnables, dans ce délai ; si aucune solution n'est trouvée, elle peut mettre fin à l'Accord de pilote sans frais et demander l'exportation et la suppression de ses données.

9. Assistance à l’Entreprise

Ziqanova aide l'Entreprise à répondre aux demandes des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition). Le tableau de bord permet à l'Entreprise de consulter, de corriger et de supprimer les données d'un client à tout moment. Si une personne concernée contacte directement Ziqanova, celle-ci transmet la demande à l'Entreprise dans un délai de 5 jours ouvrés et n'y répond pas au nom de l'Entreprise, sauf instruction en ce sens. Ziqanova fournit également à l'Entreprise, sur demande, les informations dont elle a besoin pour respecter ses obligations en matière de sécurité, de notification des violations de données à caractère personnel, d'analyse d'impact relative à la protection des données et de consultation préalable (articles 32 à 36 du RGPD).

10. Violations de données à caractère personnel

Ziqanova informe l'Entreprise par e-mail dans les meilleurs délais et au plus tard 48 heures après avoir pris connaissance d'une violation de données à caractère personnel concernant les données de l'Entreprise, en lui communiquant ce qu'elle sait à ce moment-là : la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d'enregistrements concernés, les conséquences probables, les mesures prises et un point de contact. Elle complète ces informations à mesure qu'elle les obtient et coopère à la notification à l'autorité de contrôle (CNPD ou Autoriteit Persoonsgegevens) et aux personnes concernées, notification qui relève de la décision de l'Entreprise.

11. Restitution et suppression

Pendant la durée du présent accord, l'Entreprise peut supprimer des données de clients dans le tableau de bord et demander une exportation complète de ses données (demandes, notes, visites, devis, photos, paramètres) dans un format lisible par machine, remise par un canal sécurisé dans un délai de 15 jours.

À la fin de l'Accord de pilote, Ziqanova remet cette exportation si l'Entreprise la demande dans les 30 jours suivant la fin, et supprime toutes les données de l'Entreprise, y compris les photos et les copies détenues par les sous-traitants ultérieurs lorsque cela est possible, dans les 30 jours suivant la fin ou, si elle est postérieure, suivant la remise de l'exportation. Les sauvegardes chiffrées sont supprimées selon le cycle normal de rotation, au plus tard 30 jours après, et ne sont jamais utilisées pour restaurer des données supprimées. Ziqanova confirme la suppression par e-mail et ne conserve que ce que la loi l'oblige à conserver.

12. Audits

Ziqanova met à la disposition de l'Entreprise, sur demande écrite et dans un délai de 15 jours ouvrés, les informations nécessaires pour démontrer le respect du présent accord : description des mesures, liste des sous-traitants ultérieurs, documentation des fournisseurs et réponses aux questions raisonnables.

L'Entreprise, ou un auditeur indépendant qu'elle mandate et qui est tenu à la confidentialité, peut réaliser un audit sur place au maximum une fois par an, moyennant un préavis de 30 jours, pendant les heures de bureau, à ses propres frais et sans accès aux données des autres entreprises. Un audit est également accepté chaque fois qu'une autorité de contrôle l'exige.

13. Transferts internationaux

Les données sont stockées et traitées dans l'Union européenne (Irlande). Certains sous-traitants ultérieurs traitent des données aux États-Unis d'Amérique, notamment OpenAI et Anthropic (réponses de l'assistant et extraction d'informations), sur la base du cadre de protection des données UE-États-Unis (EU-U.S. Data Privacy Framework) et/ou des clauses contractuelles types de la Commission européenne. [Note pour le juriste : pour chaque sous-traitant ultérieur de l'annexe 2, confirmer l'entité contractante, la certification au titre du cadre de protection des données UE-États-Unis et l'inclusion des clauses contractuelles types dans ses conditions de traitement des données.] Ziqanova ne transfère pas de données hors de l'UE/EEE par une autre voie sans garanties appropriées et sans en informer l'Entreprise.

14. Responsabilité

La clause de responsabilité de l'Accord de pilote s'applique (plafond fixé à 500 euros pendant le pilote gratuit). Cette limitation n'affecte ni la responsabilité de chaque Partie envers les personnes concernées ou les autorités (articles 82 et 83 du RGPD), ni la responsabilité en cas de faute dolosive. L'Entreprise est responsable de la licéité de la collecte et de l'information de ses clients ; Ziqanova, du respect du présent accord.

15. Droit applicable

Le droit portugais et la compétence des tribunaux de Lisbonne s'appliquent, comme dans l'Accord de pilote. [Note pour le juriste : voir la même note concernant les entreprises établies aux Pays-Bas (ou en France).] En matière de données à caractère personnel, le présent accord prévaut sur l'Accord de pilote.

Annexe 1 — Détails du traitement

Finalité : recevoir et organiser les demandes des clients de l'Entreprise et aider l'Entreprise à y répondre (opérations décrites à la clause 3).
Personnes concernées : clients et clients potentiels de l'Entreprise ; membres de l'équipe de l'Entreprise.
Données des clients : nom, téléphone, e-mail, adresse ou code postal, description du problème, photos (jusqu'à 3 par conversation, sans données de localisation), messages du chat, créneaux horaires souhaités, urgence, langue, devis (nom, téléphone, code postal, description, montants). Un code irréversible dérivé de l'adresse IP, destiné à prévenir les abus, conservé 2 jours ; l'adresse IP elle-même n'est pas enregistrée. Lorsque la vérification anti-robot est activée, le premier message de chaque conversation du chat passe par une vérification de Cloudflare, qui reçoit l'adresse IP et des informations techniques sur le navigateur (Annexe 2), mais pas les messages.
Données des membres de l'équipe : nom, e-mail, téléphone, mot de passe (haché), logo et informations fiscales de l'Entreprise, paramètres du tableau de bord.
Données envoyées à OpenAI : les messages du client, les réponses précédentes de l'assistant et les paramètres d'accueil de l'Entreprise ; OpenAI ne les utilise pas pour l'entraînement et ne les conserve pas comme historique (stockage désactivé), mais peut les garder jusqu'à 30 jours dans ses journaux de détection des abus, ou plus longtemps si la loi l'exige. [Note pour le juriste : à confirmer au regard des conditions en vigueur d'OpenAI ; la conservation zéro nécessite l'accord d'OpenAI et n'a pas été demandée.] Ziqanova ne conserve pas la transcription complète : seulement les informations extraites, la dernière réponse et le contexte temporaire.
Données envoyées à Anthropic lorsque Ziqanova choisit Claude pour le chat de l'Entreprise, à la place d'OpenAI, ou en secours, pour répondre à un message auquel OpenAI n'a pas pu répondre : les mêmes ; Anthropic ne les utilise pas pour l'entraînement et les supprime dans un délai de 30 jours, sauf si elles sont signalées comme contraires à sa politique d'utilisation (elles sont alors conservées jusqu'à 2 ans) ou si la loi impose de les garder plus longtemps. [Note pour le juriste : à confirmer au regard des conditions en vigueur d'Anthropic (Commercial Terms et Data Processing Addendum) ; la conservation zéro nécessite l'accord d'Anthropic et n'a pas été demandée.]
Durées de conservation : contexte de la conversation, 24 heures ; code de prévention des abus, 2 jours ; photos sans demande associée, 2 jours ; demandes sans activité, 24 mois, avec suppression automatique ; photos d'une demande, jusqu'à la suppression de la demande ; conversations WhatsApp, 24 heures après le dernier message ; enregistrements des alertes WhatsApp, 7 à 90 jours ; messages envoyés à Ziqanova via la page de contact, 12 mois. L'Entreprise peut supprimer les données d'un client à tout moment dans le tableau de bord.
Localisation : base de données et fichiers dans l'Union européenne (Irlande) ; application dans l'Union européenne (Dublin) ; transferts tels que décrits à l'annexe 2.

Annexe 2 — Sous-traitants ultérieurs

Supabase — base de données, authentification et fichiers — données dans l'UE (Irlande, eu-west-1) ; siège aux États-Unis — toujours.
Vercel — hébergement et exécution de l'application — fonctions dans l'UE (Dublin), réseau de diffusion mondial pour les contenus statiques ; siège aux États-Unis — toujours.
OpenAI — réponses de l'assistant IA et extraction d'informations, via API, sans entraînement et avec le stockage désactivé ; journaux de détection des abus jusqu'à 30 jours — États-Unis ; cadre de protection des données UE-États-Unis et/ou clauses contractuelles types [à confirmer par le juriste] — chaque fois que le chat est utilisé ; si Ziqanova a choisi Claude pour celui-ci, uniquement pour répondre à un message auquel Claude n'a pas pu répondre.
Anthropic (Claude) — réponses de l'assistant IA et extraction d'informations, via API, sans entraînement, à la place d'OpenAI pour les entreprises dont Ziqanova confie le chat à Claude, ou en secours, pour répondre à un message auquel OpenAI n'a pas pu répondre ; données supprimées dans un délai de 30 jours (jusqu'à 2 ans si elles sont signalées comme contraires à la politique d'utilisation d'Anthropic) — États-Unis ; clauses contractuelles types (Data Processing Addendum d'Anthropic, modules 2 et 3) [à confirmer par le juriste] — uniquement lorsque Ziqanova choisit Claude pour le chat de l'Entreprise, comme fournisseur principal ou de secours.
Resend — e-mails à l'Entreprise contenant les données des demandes, les rappels, les invitations et les résumés — envoi depuis l'UE ; siège aux États-Unis ; clauses contractuelles types [à confirmer par le juriste] — toujours.
Meta (WhatsApp Business Platform) — alertes à l'Entreprise contenant le nom, le téléphone et la description de la demande du client, et conversations des clients sur WhatsApp — Irlande, avec traitement aux États-Unis selon les conditions de Meta [à confirmer par le juriste] — uniquement lorsque l'Entreprise active WhatsApp dans le tableau de bord.
Cloudflare (Turnstile) — vérification anti-robot sur le premier message de chaque conversation du chat ; reçoit l'adresse IP et des informations techniques sur le navigateur du client, pas les messages — siège aux États-Unis ; cadre de protection des données UE-États-Unis et/ou clauses contractuelles types [à confirmer par le juriste] — uniquement tant que la vérification est activée.
Paddle (Paddle.com Market Limited) — revente des formules payantes en tant que vendeur officiel (« merchant of record ») : encaisse, calcule la TVA et émet les factures en son nom propre ; données de l'Entreprise (payeur), et non de ses clients ; la carte reste chez Paddle et Ziqanova ne la voit jamais — Royaume-Uni (décision d'adéquation de l'UE) [à confirmer par le juriste] — uniquement lorsque la facturation est activée, après le pilote gratuit.
Google (Google Workspace) — messagerie de Ziqanova pour l'assistance et les demandes relatives à la protection des données ; uniquement ce que l'Entreprise ou les personnes concernées envoient par e-mail — UE et États-Unis [à confirmer par le juriste] — lors d'échanges d'e-mails d'assistance.

Les services de supervision et d'hébergement du code source ne reçoivent aucune donnée à caractère personnel et ne figurent donc pas sur cette liste.

Annexe 3 — Mesures de sécurité

Chiffrement en transit (HTTPS, TLS 1.3, HSTS) et au repos (base de données, fichiers et sauvegardes chiffrés par les fournisseurs).
Accès aux données de production limité à l'exploitant de Ziqanova, avec des identifiants personnels.
Base de données fermée à l'extérieur : toutes les tables avec sécurité au niveau des lignes et sans aucun droit pour les rôles publics ; seul le serveur y a accès, avec la clé de service ; le navigateur ne communique jamais directement avec la base de données.
Cloisonnement entre les entreprises : l'entreprise est toujours déduite de la session vérifiée sur le serveur ; les identifiants provenant du navigateur sont rejetés.
Comptes du tableau de bord : inscription sur invitation uniquement, confirmation de l'adresse e-mail, mots de passe de 12 à 128 caractères avec refus des mots de passe ayant fait l'objet d'une fuite, second facteur facultatif (TOTP).
Limites d'utilisation qui bloquent par défaut en cas de défaillance, par visiteur, par entreprise et à l'échelle de la plateforme ; taille du corps des requêtes limitée ; champs pièges (honeypot) dans les formulaires ; vérification anti-robot (Cloudflare Turnstile) sur le premier message du chat, lorsqu'elle est activée.
Photos redimensionnées dans le navigateur avec suppression des données de localisation, format vérifié sur le serveur, stockage privé, visibles uniquement par les membres de l'Entreprise.
Journaux techniques contenant uniquement des codes d'erreur, sans messages, coordonnées ni autres données à caractère personnel ; secrets uniquement côté serveur et absents des environnements de prévisualisation.
Appels à OpenAI avec le stockage désactivé et à Anthropic par son API de messages, qui ne conserve pas d'historique des conversations ; sortie du modèle validée sur le serveur avant d'être enregistrée.
Sauvegardes quotidiennes chiffrées, avec tests de restauration périodiques ; suppression automatique selon les durées de conservation (annexe 1).
Incidents : alertes opérationnelles, analyse, correction et information de l'Entreprise conformément à la clause 10.