Accord de traitement des données (DPA)

Le présent accord de traitement des données (l'« Accord ») est conclu entre :

• le Client, tel que défini dans les Conditions générales de vente et d'utilisation de ScanChat AI (les « Conditions »), agissant en qualité de responsable du traitement (le « Responsable du traitement ») ;
• WeBoost, entreprise individuelle enregistrée sous le numéro 321475519, éditrice du service ScanChat AI, agissant en qualité de sous-traitant (le « Sous-traitant »).

L'Accord définit les conditions dans lesquelles le Sous-traitant traite, pour le compte du Responsable du traitement, les données personnelles des visiteurs du site du Client recueillies par les chatbots (conversations et leads).

Il ne s'applique pas aux données relatives au compte et à la facturation du Client, pour lesquelles WeBoost agit en qualité de responsable du traitement, dans les conditions décrites par la Politique de confidentialité.

L'Accord fait partie intégrante des Conditions. Il est accepté lors de la création du compte ou de la commande, sans qu'une signature soit nécessaire. Une version PDF signée peut être fournie sur demande adressée à info@scan-chat.ai.

En cas de contradiction entre l'Accord et les Conditions en matière de protection des données personnelles, l'Accord prévaut.

Les termes « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « personne concernée » et « violation de données à caractère personnel » ont le sens qui leur est donné par le règlement (UE) 2016/679 (le « RGPD »).

La « Réglementation applicable » désigne le RGPD ainsi que toute autre législation relative à la protection des données personnelles applicable au traitement. Les autres termes commençant par une majuscule ont le sens qui leur est donné dans les Conditions.

L'objet, la nature et la finalité du traitement, les catégories de données et de personnes concernées ainsi que la durée du traitement sont décrits à l'Annexe 1.

Le traitement est effectué pendant toute la durée d'utilisation du Service, puis jusqu'à la suppression des données dans les conditions prévues à l'article 14.

Le Sous-traitant traite les données personnelles uniquement sur instruction documentée du Responsable du traitement. Constituent de telles instructions : les Conditions, le présent Accord, la configuration effectuée par le Client dans l'Espace client (réglages des chatbots, champs de leads, consentement, destinataires des alertes, intégrations) et toute instruction écrite complémentaire adressée à info@scan-chat.ai.

Le Sous-traitant informe immédiatement le Responsable du traitement si, selon lui, une instruction constitue une violation de la Réglementation applicable.

Si le Sous-traitant est tenu de procéder à un traitement en vertu du droit auquel il est soumis, il en informe le Responsable du traitement avant le traitement, sauf si ce droit l'interdit.

Le Sous-traitant n'utilise pas ces données pour ses propres finalités, ne les vend pas et ne les utilise pas pour entraîner des modèles d'intelligence artificielle.

Le Sous-traitant veille à ce que les personnes autorisées à traiter les données personnelles s'engagent à respecter la confidentialité ou soient soumises à une obligation légale de confidentialité. L'accès aux données est limité aux personnes qui en ont besoin pour fournir, maintenir et sécuriser le Service.

Le Sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées décrites à l'Annexe 2 afin de garantir un niveau de sécurité adapté au risque, conformément à l'article 32 du RGPD.

Ces mesures peuvent évoluer avec les progrès techniques, à condition que le niveau de sécurité global ne soit pas réduit.

Le Responsable du traitement autorise de manière générale le Sous-traitant à recourir aux sous-traitants ultérieurs listés à l'Annexe 3.

Le Sous-traitant informe le Responsable du traitement par e-mail au moins 30 jours avant tout ajout ou remplacement d'un sous-traitant ultérieur. Le Responsable du traitement peut s'y opposer pendant ce délai pour des motifs raisonnables liés à la protection des données. À défaut de solution satisfaisante, il peut résilier son abonnement, sans frais ni pénalité, avant l'entrée en vigueur du changement ; le Sous-traitant lui rembourse alors la part du prix payé d'avance correspondant à la période non consommée.

Le Sous-traitant impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données substantiellement équivalentes à celles du présent Accord, et demeure responsable envers le Responsable du traitement de l'exécution de leurs obligations.

Les services que le Client choisit et connecte lui-même ne sont pas des sous-traitants ultérieurs du Sous-traitant : notamment le fournisseur d'intelligence artificielle dont le Client utilise sa propre clé (par exemple OpenAI, Google ou Anthropic), ainsi que Zapier, Make, un CRM, un webhook ou WordPress. Ces services agissent en vertu des contrats conclus directement par le Client, qui en est responsable.

Le Sous-traitant est établi en Israël, pays bénéficiant d'une décision d'adéquation de la Commission européenne (décision 2011/61/UE, maintenue lors de son réexamen du 15 janvier 2024).

Lorsque des données personnelles sont transférées vers un sous-traitant ultérieur situé hors de l'Espace économique européen, ce transfert repose sur une décision d'adéquation, sur la certification du destinataire au Data Privacy Framework UE-États-Unis ou sur les clauses contractuelles types adoptées par la Commission européenne. Le mécanisme applicable à chaque sous-traitant ultérieur est indiqué à l'Annexe 3.

Le Sous-traitant aide le Responsable du traitement, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition).

L'Espace client permet notamment au Client de consulter les conversations et les leads, de les supprimer et d'exporter les leads au format CSV. Pour toute demande qu'il ne peut traiter lui-même, le Client peut écrire à info@scan-chat.ai.

Si le Sous-traitant reçoit directement une demande d'une personne concernée, il la transmet au Responsable du traitement dans les meilleurs délais et n'y répond pas sans son instruction.

Le Sous-traitant notifie au Responsable du traitement toute violation de données personnelles dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance.

La notification contient, dans la mesure où elles sont disponibles, les informations suivantes : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou envisagées pour y remédier. Les informations qui ne sont pas disponibles immédiatement sont communiquées ultérieurement, de manière échelonnée.

Il appartient au Responsable du traitement de notifier, le cas échéant, l'autorité de contrôle et les personnes concernées. Le Sous-traitant l'assiste à cet effet.

Compte tenu de la nature du traitement et des informations dont il dispose, le Sous-traitant fournit au Responsable du traitement l'assistance raisonnable nécessaire à la réalisation d'une analyse d'impact relative à la protection des données et, le cas échéant, à la consultation préalable de l'autorité de contrôle.

Le Responsable du traitement s'engage à :

• disposer d'une base légale pour les traitements confiés au Sous-traitant ;
• informer les visiteurs de son site du traitement de leurs données, notamment dans sa politique de confidentialité ;
• recueillir leur consentement lorsque la Réglementation applicable l'exige ; l'option de recueil du consentement proposée par le Service, activée par défaut et décrite à l'article 15 des Conditions, relève de son choix et de son paramétrage ;
• ne pas configurer les chatbots pour collecter des catégories particulières de données, des données relatives aux infractions ou des données concernant des enfants, sauf à disposer de sa propre base légale et de garanties appropriées, le Service n'étant ni conçu ni certifié pour l'hébergement de données de santé ;
• donner des instructions conformes à la Réglementation applicable.

Pendant toute la durée de l'abonnement, le Client peut exporter ses leads au format CSV depuis l'Espace client. Sur demande adressée à info@scan-chat.ai pendant l'abonnement ou pendant le délai de 90 jours qui suit sa fin, le Sous-traitant lui fournit en outre une copie de ses conversations dans un format structuré et couramment utilisé (CSV ou JSON).

À la fin de l'abonnement, les données sont conservées pendant 90 jours, afin de permettre au Client de souscrire de nouveau ou d'exporter ses leads. Un e-mail l'avertit 7 jours avant la suppression. À l'issue de ce délai, les données sont définitivement et automatiquement supprimées. Les sauvegardes sont écrasées dans un délai de 14 jours.

Le Client peut supprimer à tout moment ses chatbots, conversations et leads depuis l'Espace client, ou demander une suppression anticipée de ses données à info@scan-chat.ai.

Ces dispositions s'appliquent sous réserve des obligations de conservation imposées au Sous-traitant par la loi.

Le Sous-traitant met à la disposition du Responsable du traitement les informations nécessaires pour démontrer le respect de ses obligations, notamment le présent Accord, la description des mesures de sécurité, la liste des sous-traitants ultérieurs et les réponses à des questionnaires raisonnables. Le Responsable du traitement s'appuie en priorité sur cette documentation.

Si cette documentation ne suffit pas à démontrer le respect de l'Accord, ou si une autorité de contrôle l'exige, le Responsable du traitement peut faire réaliser un audit, y compris sur place, par lui-même ou par un auditeur indépendant tenu au secret et non concurrent du Sous-traitant, dans les conditions suivantes :

• préavis écrit d'au moins 30 jours ;
• au plus une fois par période de 12 mois, sauf violation de données ou demande d'une autorité de contrôle ;
• pendant les heures ouvrables, sans perturber le fonctionnement du Service ni compromettre la sécurité ou la confidentialité des données des autres clients ;
• aux frais du Responsable du traitement.

La responsabilité de chaque partie au titre du présent Accord est soumise aux exclusions et limitations de responsabilité prévues par les Conditions, dans la mesure permise par la Réglementation applicable.

L'Accord s'applique aussi longtemps que le Sous-traitant traite des données personnelles pour le compte du Responsable du traitement.

L'Accord est rédigé en français ; en cas de divergence avec une traduction, la version française prévaut.

Par dérogation à l'article 29 des Conditions, l'Accord est régi par le droit de l'État membre de l'Union européenne dans lequel le Responsable du traitement est établi ou, à défaut d'établissement dans l'Union européenne, par le droit français. Les stipulations des Conditions relatives à la juridiction compétente s'appliquent, sans préjudice des droits des personnes concernées et des pouvoirs des autorités de contrôle.

• Objet : fourniture du service ScanChat AI, qui permet au Client de répondre automatiquement aux visiteurs de son site au moyen de chatbots et de recueillir des leads.
• Nature des opérations : collecte via le widget installé sur le site du Client, enregistrement, conservation, structuration, consultation, transmission à des modèles d'intelligence artificielle pour générer les réponses, extraction des informations de leads, génération d'un résumé de la conversation associée à chaque lead et qualification automatique de ce lead (chaud, tiède ou froid), génération d'analyses des questions des visiteurs, affichage de messages proactifs selon la page consultée, envoi au Client d'alertes par e-mail, de rappels de relance et d'un rapport mensuel d'activité, transmission aux outils connectés par le Client, export et suppression.
• Finalités : répondre aux questions des visiteurs pour le compte du Client ; recueillir les leads et les transmettre au Client ; permettre au Client de consulter les conversations et des statistiques et d'améliorer les réponses.
• Personnes concernées : visiteurs du site du Client qui échangent avec un chatbot, prospects dont les coordonnées sont recueillies, ainsi que, le cas échéant, les personnes mentionnées par les visiteurs dans leurs messages.
• Données des conversations : contenu des messages des visiteurs et des réponses du chatbot, identifiant de session aléatoire généré dans le navigateur du visiteur, dates et heures des échanges, évaluation éventuelle de la conversation (vote positif ou négatif).
• Données des leads : informations correspondant aux champs configurés par le Client (par exemple nom, adresse e-mail, téléphone, société, besoin), statut du consentement et date de celui-ci le cas échéant, ainsi que le statut et les notes ajoutés par le Client, et le résumé de la conversation ainsi que la qualification du lead, générés automatiquement. Cette qualification est un outil d'aide destiné au Client : elle ne produit aucun effet juridique à l'égard du visiteur et ne constitue pas une décision fondée exclusivement sur un traitement automatisé au sens de l'article 22 du RGPD.
• Adresse IP : elle n'est pas enregistrée avec les conversations ni avec les leads ; elle est traitée de manière transitoire pour la limitation du nombre de requêtes et la sécurité, et peut figurer dans les journaux techniques du serveur, conservés 30 jours au plus.
• Catégories particulières de données : aucune n'est attendue ; le Client s'engage à ne pas configurer leur collecte (article 13).
• Durée : pendant toute la durée de l'abonnement, sous réserve des suppressions effectuées par le Client, puis 90 jours après la fin de l'abonnement ; sauvegardes écrasées dans un délai de 14 jours.
• Localisation : voir l'Annexe 3.

• Chiffrement des communications : HTTPS/TLS sur l'ensemble des échanges.
• Sécurité réseau : l'espace client et l'API sont protégés par le proxy de Cloudflare.
• Cloisonnement des données : sécurité au niveau des lignes (Row Level Security) activée sur les tables de la base de données ; écritures directes depuis le navigateur verrouillées, toutes les modifications passant par le serveur applicatif.
• Clés d'API des clients : les clés d'intelligence artificielle fournies par les clients sont chiffrées au repos (Fernet).
• Mots de passe : gérés par le service d'authentification de Supabase et stockés sous forme hachée ; ils ne sont jamais connus du Sous-traitant en clair.
• Console d'administration : authentification à deux facteurs obligatoire et journal d'audit des actions.
• Limitation du nombre de requêtes, notamment sur l'authentification et les chatbots.
• Protection contre les requêtes vers des adresses internes (SSRF) pour les webhooks.
• Serveur : pare-feu (ufw) et protection contre les tentatives d'intrusion répétées (fail2ban).
• Sauvegardes : sauvegardes quotidiennes conservées 14 jours, stockées séparément du fournisseur de base de données, avec alerte en cas d'échec et test de restauration automatique chaque mois.
• Minimisation : aucune adresse IP enregistrée avec les conversations et les leads ; aucune donnée de carte bancaire reçue ni conservée.
• Conservation : suppression automatique des données 90 jours après la fin de l'abonnement.
• Accès : accès aux systèmes de production limité au titulaire de l'entreprise.

• Hostinger : hébergement du serveur applicatif (VPS), y compris l'index des connaissances des chatbots et les sauvegardes. Localisation : France (UE).
• Supabase (Supabase Inc.) : base de données et authentification. Localisation des données : France (région de Paris, UE). Garantie : hébergement dans l'Union européenne ; accès éventuels depuis des pays tiers pour le support et la maintenance encadrés par les clauses contractuelles types.
• Cloudflare : sécurité réseau et proxy (DNS, TLS) pour l'espace client et l'API. Localisation : réseau mondial. Garantie : Data Privacy Framework et clauses contractuelles types.
• Google (API Gemini) : génération des réponses et calcul des représentations vectorielles (embeddings) pour les offres « IA incluse », ainsi que le calcul des embeddings lorsque le fournisseur d'IA choisi par le Client n'en propose pas ; pour tous les Clients, y compris ceux qui utilisent leur propre clé : détection de la langue des visiteurs, analyse des questions des visiteurs (page Statistiques) et résumés et qualification (chaud, tiède ou froid) des leads. Google est utilisé dans le cadre des conditions des services payants de l'API Gemini, selon lesquelles les données transmises ne sont pas utilisées pour entraîner ses modèles. Localisation : États-Unis et infrastructure mondiale. Garantie : Data Privacy Framework et clauses contractuelles types.
• Brevo : envoi des e-mails transactionnels, y compris les alertes de nouveaux leads. Localisation : France (UE).
• Firecrawl : lecture des pages publiques du site du Client pour constituer les connaissances des chatbots. Localisation : États-Unis. Garantie : clauses contractuelles types.
• Cloudinary : stockage des logos et images des chatbots (images uniquement). Localisation : États-Unis. Garantie : Data Privacy Framework et clauses contractuelles types.

Lorsque le Client utilise sa propre clé d'IA (OpenAI, Google ou Anthropic), le fournisseur concerné est choisi et contracté par le Client et agit en vertu du contrat conclu directement avec lui. Les outils que le Client connecte (Zapier, Make, CRM, webhooks) sont ses propres sous-traitants ou destinataires.