1. Rôles
Le Client agit comme responsable du traitement pour son widget. Selvren SAS agit comme sous-traitant lorsqu'il traite les données selon les instructions du Client. Le présent DPA s'appuie notamment sur l'article 28 du RGPD.
2. Objet
Fourniture du chatbot, synchronisation catalogue, statistiques et support.
3. Durée
Durée du contrat et période de suppression validée dans les conditions particulières.
Deux durées distinctes s'appliquent aux conversations, et la distinction est celle du RGPD, pas un aménagement commercial. Le contenu d'une conversation — question, réponse, sources citées, copie conservée pour traiter un signalement — est une donnée personnelle : il est conservé pour la durée annoncée dans la politique de confidentialité, puis effacé. Les compteurs agrégés qui en sont tirés ne portent ni contenu, ni identifiant de conversation, ni identifiant de visiteur : ils ne permettent pas de singulariser une personne, ne constituent pas des données personnelles, et sont conservés pour la durée fixée au contrat du Client, lisible depuis son espace.
4. Nature
- collecte ;
- transmission ;
- organisation ;
- consultation ;
- génération ;
- hébergement ;
- journalisation limitée ;
- suppression.
5. Personnes concernées
- visiteurs ;
- clients finaux ;
- utilisateurs professionnels ;
- administrateurs ;
- personnel du Client.
6. Données
- conversation ;
- identifiant pseudonyme ;
- données professionnelles ;
- référence autorisée ;
- catalogue ;
- journaux.
7. Données sensibles
Non demandées et interdites sauf accord écrit et garanties spécifiques.
8. Instructions
Les données sont traitées uniquement sur instructions documentées, sauf obligation légale. Une instruction potentiellement illégale doit être signalée.
9. Confidentialité
Les personnes habilitées sont soumises à la confidentialité et au moindre privilège.
10. Sécurité
Seuls les contrôles réellement mis en œuvre sont documentés : isolation tenant, accès, authentification, chiffrement, secrets, sauvegardes, journaux, gestion des vulnérabilités, gestion des incidents, restauration, suppression.
11. Sous-traitants ultérieurs
Autorisation générale avec liste publique. Notification préalable proposée à 30 jours (à valider). Droit d'objection motivée. Obligations équivalentes imposées aux sous-traitants ultérieurs. Encadrement des transferts. La liste est publiée sur la page sous-traitants.
12. Droits
Selvren SAS assiste le Client pour les demandes RGPD.
13. Violation
Notification sans retard injustifié. Objectif proposé : 48 heures après confirmation, à valider.
14. AIPD
Assistance raisonnable au Client pour ses analyses d'impact.
15. Audit
Mise à disposition des informations nécessaires. Les audits doivent être raisonnables, confidentiels et planifiés.
16. Fin
Restitution puis suppression, ou suppression directe, selon le choix du Client et les obligations légales. Fenêtre applicable : 30 jours à compter de la fin du contrat.
17. Transferts
Aucun transfert hors EEE n'est réalisé sans mécanisme conforme. Une route non approuvée doit échouer explicitement.
Un transfert hors EEE a lieu, et il est nommé ici plutôt que sous-entendu. Les données d'identification des comptes professionnels — identifiant de compte et adresse e-mail professionnelle — sont traitées par Clerk, Inc., établie aux États-Unis, qui fournit l'authentification des comptes et la gestion des organisations. Ce transfert est encadré par le Data Privacy Framework UE — États-Unis, sur le fondement de la décision d'adéquation de la Commission européenne du 10 juillet 2023 (article 45 du RGPD). Le DPA de Clerk est intégré à ses conditions générales et s'applique dès la souscription.
Ce transfert ne porte ni sur le contenu des conversations, ni sur les visiteurs du widget. À la date d'entrée en vigueur du présent document, c'est le seul transfert hors EEE réalisé par un sous-traitant déployé : les sous-traitants dont la base de transfert reste à établir ne sont pas déployés, et le registre publie, pour chacun, son pays, la base de son transfert et son état de déploiement : sous-traitants.