Accord de traitement des données

1. Parties et champ d'application

Le présent Accord de traitement des données (« DPA ») est conclu entre le client de Chativ (« Responsable du traitement ») et FOP Herasymiuk Nataliia Borysivna, 78/2 Myru Ave., apt. 1a, Khmelnytskyi 29015, Ukraine, RNOKPP 2871021324 (« Sous-traitant »), conformément à l'article 28 du RGPD. Il fait partie intégrante des Conditions d'utilisation et est accepté lors de la création du compte ; aucune signature séparée n'est requise.

Le DPA s'applique aux données personnelles des clients du Responsable du traitement que le Sous-traitant traite dans le cadre de la fourniture du Service.

2. Objet, nature et durée

Objet : réception et envoi de messages via les canaux connectés, génération de réponses IA, conservation de l'historique des conversations et des prospects. Durée : pendant la durée des Conditions d'utilisation et jusqu'à la suppression des données conformément à la section 9.

3. Catégories de données et de personnes concernées

Personnes concernées : les clients du Responsable du traitement et les visiteurs du site web qui écrivent au Responsable du traitement via les canaux connectés ; le personnel du Responsable du traitement qui utilise l'espace de travail.

Coordonnées : nom, nom d'utilisateur, numéro de téléphone, adresse email — si elles sont fournies par la personne concernée ou par le canal
Contenu des messages et des pièces jointes
Identifiants de canal (par exemple, l'identifiant utilisateur Instagram ou Facebook) et données techniques du widget
Données relatives aux prospects que le Responsable du traitement collecte via l'agent IA

4. Obligations du Sous-traitant

Traiter les données uniquement sur instruction documentée du Responsable du traitement, à savoir les Conditions, le présent DPA et les paramètres définis dans l'espace de travail
Veiller à ce que les personnes ayant accès aux données soient soumises à une obligation de confidentialité
Appliquer les mesures de sécurité décrites à la section 6
Aider le Responsable du traitement à donner suite aux demandes des personnes concernées et à respecter ses obligations au titre des articles 32 à 36 du RGPD
Informer le Responsable du traitement si, selon lui, une instruction constitue une violation de la réglementation relative à la protection des données

5. Sous-traitants ultérieurs

Le Responsable du traitement donne une autorisation générale de recourir aux sous-traitants ultérieurs figurant sur la page Sous-traitants ultérieurs. Le Sous-traitant annoncera tout nouveau sous-traitant ultérieur sur cette page et par email au moins 30 jours à l'avance ; le Responsable du traitement peut s'y opposer pour des motifs raisonnables et, à défaut de solution, résilier le Service. Le Sous-traitant impose aux sous-traitants ultérieurs des obligations en matière de protection des données équivalentes à celles du présent DPA et demeure responsable de leurs actes.

6. Mesures de sécurité

Chiffrement de toutes les connexions (TLS)
Hachage des mots de passe ; chiffrement supplémentaire des clés API et des jetons d'accès aux canaux dans la base de données
Séparation stricte des données entre les espaces de travail ; accès réservé aux utilisateurs autorisés disposant de rôles
Hébergement dans l'UE (Pays-Bas)
Accès du personnel du Sous-traitant aux données de production uniquement lorsque cela est nécessaire pour le support ou la maintenance

7. Violations de données à caractère personnel

Le Sous-traitant notifie au Responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais et, en tout état de cause, dans un délai de 48 heures après en avoir pris connaissance, en fournissant les informations disponibles nécessaires à la notification par le Responsable du traitement à l'autorité de contrôle.

8. Transferts internationaux

Les données sont stockées dans l'UE. Lorsque des sous-traitants ultérieurs traitent des données en dehors de l'EEE (par exemple, des fournisseurs d'IA aux États-Unis), le transfert repose sur le cadre de protection des données UE–États-Unis (EU–US Data Privacy Framework) ou sur les clauses contractuelles types de la Commission européenne.

9. Suppression et restitution des données

Pendant la durée du contrat, le Responsable du traitement peut supprimer les leads dans l'espace de travail et demander l'export ou la suppression de toute autre donnée à [email protected] ; le Sous-traitant traite ces demandes dans un délai de 30 jours. Après la fin du Service, le Sous-traitant supprime les données du Responsable du traitement dans un délai de 30 jours, sauf si la loi impose leur conservation, et, sur demande, fournit un export avant la suppression.

10. Audits

Sur demande, le Sous-traitant fournit les informations nécessaires pour démontrer le respect du présent DPA. Des audits sur site sont possibles moyennant un préavis de 30 jours, au maximum une fois par an, aux frais du Responsable du traitement, sauf en cas de violation avérée.

11. Contact

Questions relatives à la protection des données : [email protected].