Accord de traitement des données
1. Parties et champ d’application
Cet accord fait partie du contrat de service entre l’entreprise qui utilise nos services (le client, responsable du traitement) et Repete, Lda., Rua Marquesa de Alorna 38, 3.º Esq., 1700-304 Lisboa, Portugal, NIPC et TVA PT518 751 570 (nous, sous-traitant), pour Agentic Commerce by BlueForestCore, Agentic Onboarding by BlueForestCore et les services qui les accompagnent. Il reprend ce qu’exige l’article 28 du règlement général sur la protection des données (règlement (UE) 2016/679, RGPD). Pour les données personnelles, il prévaut sur le contrat de service. Contact : info@repete.pt.
2. Ce que nous traitons, et pourquoi
- Objet et finalité : faire fonctionner l’assistant d’IA sur le site et les canaux du client, et les parcours de contacts, commandes, réservations, devis et support qui l’accompagnent, uniquement pour fournir le service au client.
- Nature : hébergement, stockage, réponses de modèles d’IA, envoi de messages et préparation de rapports pour le client.
- Durée : celle du contrat de service, plus le délai d’effacement de la section 9.
- Personnes concernées : les clients et visiteurs du site du client qui utilisent l’assistant, et le personnel du client qui utilise le service.
- Données : ce que les personnes écrivent dans la conversation et les réponses ; les coordonnées qu’elles choisissent de donner, comme un nom, un email ou un téléphone ; les données de commandes, de réservations et de devis ; des données techniques comme l’adresse IP. Le service n’a besoin d’aucune catégorie particulière de données, et le client ne les demande pas aux personnes.
3. Nos obligations
- Nous traitons les données uniquement sur instructions documentées du client : le contrat de service, cet accord et les réglages du client. Si le droit de l’UE ou le droit portugais impose un autre traitement, nous en informons le client avant de le commencer, sauf si ce droit l’interdit. Nous prévenons le client si nous estimons qu’une instruction enfreint le droit de la protection des données.
- Toutes les personnes de Repete, Lda. qui ont accès aux données sont tenues à la confidentialité.
- Nous appliquons les mesures de l’article 32 du RGPD décrites à la section 6.
- Nous aidons le client à répondre aux personnes qui exercent leurs droits, ainsi que pour la sécurité, les notifications de violations, les analyses d’impact et les consultations préalables (articles 32 à 36 du RGPD).
- Nous n’utilisons jamais les données pour entraîner des modèles d’IA, nous ne les vendons jamais et nous ne les utilisons jamais pour de la publicité.
- L’assistant indique toujours qu’il est une IA (article 50 du règlement (UE) 2024/1689).
4. Sous-traitants ultérieurs
Le client donne une autorisation écrite générale pour ces sous-traitants ultérieurs, chacun tenu par des conditions de protection des données au moins aussi protectrices que cet accord :
- Amazon Web Services : hébergement, stockage et modèles d’IA de l’assistant, dans des régions de l’UE.
- Google Workspace : l’email, y compris les rapports, les notifications de nouveaux contacts et les autres emails que le service envoie pour le compte du client, et les fichiers Google Sheets et Google Drive que le client partage avec nous.
- Google : recherche sur le web (Google Custom Search, et Gemini avec la recherche Google dans l’assistant d’administration du client) et suggestions d’adresse lors de la commande (Google Places), et la conversion de la position que la personne partage en nom de lieu (Google Geocoding), uniquement lorsque le client les utilise.
- Twilio : messages WhatsApp et SMS, uniquement lorsque le client utilise ces canaux.
- Telegram : les alertes internes de notre équipe et l’assistant d’administration du client. Les alertes automatiques contiennent des données masquées ; une consultation par notre équipe, et cet assistant, peuvent afficher les données complètes.
Nous prévenons le client au moins 30 jours avant d’en ajouter ou d’en remplacer un. Le client peut s’y opposer pour des motifs raisonnables de protection des données ; si nous ne pouvons pas lever l’objection, le client peut mettre fin au service concerné. Nous restons pleinement responsables envers le client du travail de nos sous-traitants ultérieurs.
5. Transferts hors de l’UE
L’hébergement, le stockage et les modèles d’IA de l’assistant sont dans l’UE. Lorsqu’un sous-traitant ultérieur peut traiter des données hors de l’UE (Google, Twilio, Telegram), le transfert repose sur une décision d’adéquation, sur les clauses contractuelles types de l’UE ou sur une autre garantie du chapitre V du RGPD.
6. Sécurité
- Connexions chiffrées et chiffrement des données stockées.
- Hébergement, stockage et modèles d’IA de l’assistant dans des régions de l’UE.
- Accès réservé aux personnes qui en ont besoin, avec leurs propres comptes.
- Journaux des accès et des modifications, conservés seulement le temps que la sécurité exige.
- Des sauvegardes qui gardent les données effacées jusqu’à 35 jours, puis les suppriment.
- Une revue régulière de ces mesures.
7. Violations de données personnelles
Nous prévenons le client dans les meilleurs délais, et au plus tard dans les 48 heures, après avoir pris connaissance d’une violation qui touche les données du client, avec ce que nous savons, ses effets probables et ce que nous faisons.
8. Informations et audits
Nous donnons au client les informations nécessaires pour démontrer que nous respectons cet accord. Le client peut nous auditer, lui-même ou par un auditeur indépendant tenu à la confidentialité, une fois par an et après une violation, avec un préavis de 30 jours et à ses frais.
9. Fin du service
À la fin du service, nous effaçons les données personnelles du client dans un délai de 30 jours, ou nous les lui restituons d’abord s’il le demande avant la fin, sauf si le droit de l’UE ou le droit portugais nous oblige à les conserver. Les données effacées sortent des sauvegardes dans les 35 jours suivants.
10. Responsabilité et droit applicable
La responsabilité suit le contrat de service. Le droit portugais s’applique, et les tribunaux de Lisbonne sont compétents.
Repete, Lda. · NIPC 518 751 570 · TVA PT518751570 · Rua Marquesa de Alorna 38, 3.º Esq., 1700-304 Lisboa · info@repete.pt · +351 93 110 8888 (WhatsApp) · BlueForestCore est une marque de Repete, Lda.