Accord de traitement des données

1. Parties et objet

Le présent accord de traitement des données (ci-après « DPA ») est conclu entre le client (ci-après « le Responsable de traitement ») et Octobot (ci-après « le Sous-traitant »). Il a pour objet de définir les conditions dans lesquelles le Sous-traitant traite des données à caractère personnel pour le compte du Responsable de traitement dans le cadre de l'utilisation du service Octobot, conformément à l'article 28 du Règlement (UE) 2016/679 (« RGPD »).

2. Description du traitement

Le Sous-traitant traite les données strictement nécessaires à la fourniture du service : données de compte et d'authentification, contenus et conversations support, documents de base de connaissances, données de facturation et logs techniques.

• Durée : la durée de l'abonnement, augmentée des délais de rétention configurés.
• Finalité : fourniture, sécurisation et support du service souscrit.
• Catégories de personnes : collaborateurs et clients finaux du Responsable de traitement.

3. Obligations du Sous-traitant

Le Sous-traitant s'engage à traiter les données uniquement sur instruction documentée du Responsable de traitement, à garantir la confidentialité des personnes autorisées, et à mettre en œuvre les mesures techniques et organisationnelles appropriées décrites à l'article 32 du RGPD.

• Ne pas transférer les données hors des finalités convenues.
• Assister le Responsable de traitement pour les demandes d'exercice de droits.
• Notifier toute violation de données dans un délai maximal de 48 heures après en avoir pris connaissance.
• Supprimer ou restituer les données au terme du service, selon les modalités choisies.

4. Sécurité des traitements

Les mesures incluent notamment : chiffrement TLS en transit, chiffrement AES-256-GCM des secrets, cloisonnement des espaces de travail, contrôle d'accès par rôles, journal d'audit exportable, protection SSRF des appels sortants et signatures HMAC des webhooks.

5. Sous-traitants ultérieurs

Le Responsable de traitement autorise le recours aux sous-traitants ultérieurs listés au sein du Trust Center. Le Sous-traitant informe le Responsable de traitement de tout changement significatif et lui laisse un délai raisonnable pour formuler des objections.

6. Transferts hors Union européenne

Lorsque des sous-traitants ultérieurs sont établis hors de l'Union européenne, les transferts sont encadrés par des garanties appropriées : clauses contractuelles types de la Commission européenne ou décision d'adéquation, complétées le cas échéant par des mesures supplémentaires.

7. Droits des personnes concernées

Le Sous-traitant fournit une assistance raisonnable au Responsable de traitement pour répondre aux demandes d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi qu'aux demandes de suppression automatisée via les politiques de rétention du produit.

8. Audit et conformité

Le Sous-traitant met à disposition les informations nécessaires pour démontrer la conformité et permet, au plus une fois par an, un audit documentaire raisonnable. Les rapports de conformité disponibles sont référencés dans le Trust Center.

9. Durée et résiliation

Le DPA prend effet à la date d'acceptation du service et demeure en vigueur tant que le Sous-traitant traite des données pour le compte du Responsable de traitement. Les obligations de confidentialité et de sécurité survivent à la résiliation.

10. Contact

Pour toute question relative à ce DPA ou pour obtenir une version signée : [email protected].