Accord de traitement des données

1. Qui est qui

Responsable du traitement : la boutique qui utilise VIBBLIN. Elle décide pourquoi et comment traiter les données de ses visiteurs.

Sous-traitant : Numen di Rasman Francesco, qui traite ces données uniquement pour faire fonctionner le service, et uniquement selon les instructions du responsable du traitement.

Pour les données du compte du commerçant — nom de la boutique, e-mail, mot de passe, données de l'activité, journaux d'accès, inscription et abonnement — le responsable du traitement est en revanche Numen di Rasman Francesco : ce traitement est décrit dans la politique de confidentialité et n'entre pas dans le champ de cet accord.

Paddle, qui vend l'abonnement, traite les données d'achat du commerçant en tant que responsable du traitement indépendant. Ce n'est pas un sous-traitant ultérieur au sens de cet accord et il ne reçoit pas de données des visiteurs.

2. Objet, nature et finalités

Objet : le traitement des données personnelles que les visiteurs de la boutique laissent dans le chat et dans les formulaires, nécessaire pour fournir le service décrit dans les Conditions.

Nature : collecte, enregistrement, organisation, conservation, consultation, communication au fournisseur principal de modèles de langage et, uniquement quand celui-ci ne répond pas, au fournisseur de secours, pour la génération des réponses et pour les traductions, communication des réponses au fournisseur de secours pour leur contrôle automatique avant l'envoi, avec, dans les boutiques ayant des instructions personnalisées, le message du visiteur auquel elles répondent, effacement.

Finalités : répondre aux demandes des visiteurs, permettre à la boutique de relire les conversations et au visiteur d'être recontacté, envoyer à la boutique les notifications qu'elle a activées, produire les statistiques que le tableau de bord affiche.

Aucune autre utilisation. En particulier : aucune donnée de la boutique n'est utilisée pour entraîner des modèles, pour du profilage publicitaire ou pour des finalités propres à Numen di Rasman Francesco.

3. Types de données et catégories de personnes concernées

Personnes concernées : les visiteurs du site de la boutique qui ouvrent le chat ou remplissent un formulaire, et les personnes que la boutique nomme dans les contenus qu'elle charge.

La conversation est un champ libre : elle peut aussi contenir des données que le visiteur choisit d'écrire, y compris celles de la section 4.

4. Catégories particulières de données et activités professionnelles

4.1 Le service n'est pas conçu pour recueillir des catégories particulières de données (art. 9 RGPD : santé, origine ethnique, convictions, données génétiques et biométriques, vie sexuelle) ni des données judiciaires (art. 10). Le responsable du traitement ne configure pas de formulaires, de champs ou d'instructions qui les demandent.

4.2 Un chat reste cependant un champ libre. Les visiteurs peuvent écrire de leur propre initiative des données sur leur santé ou d'autres données particulières, et cela arrive surtout avec les activités de santé (cabinets médicaux et dentaires, kinésithérapie, pharmacies, psychologues) et avec les activités juridiques et financières. Ces données font partie de la conversation et nous les traitons comme le reste : pour le compte du responsable du traitement, uniquement pour les finalités de la section 2, avec les mesures de la section 7.

4.3 C'est le responsable du traitement qui décide :

• sur quelle base juridique, et avec laquelle des conditions de l'art. 9, paragraphe 2, le traitement est licite ;
• ce qu'il faut dire aux visiteurs, dans sa politique de confidentialité et, s'il le souhaite, dans le message de bienvenue du chat (par exemple, de ne pas écrire de données de santé inutiles pour la demande) ;
• combien de temps les conserver, y compris en supprimant une conversation avant l'échéance ;
• si une analyse d'impact (AIPD, art. 35) est nécessaire, pour laquelle nous l'assistons (section 11).

4.4 Le masquage automatique (section 7) reconnaît les e-mails, téléphones, IBAN, cartes, identifiants fiscaux, numéros de TVA, adresses postales et adresses IP, dans chaque message envoyé aux fournisseurs de modèles de langage, y compris celui que le visiteur vient d'écrire ; les numéros de commande, non. Il ne reconnaît pas les données de santé, qui parviennent aux fournisseurs de modèles de langage telles qu'elles ont été écrites. Le responsable du traitement en tient compte dans ses décisions.

4.5 Si le responsable du traitement est tenu au secret professionnel, c'est à lui d'évaluer si et comment utiliser le chat avec ses clients ; nous sommes de toute façon tenus à la confidentialité prévue à la section 6.

5. Instructions documentées

Numen di Rasman Francesco traite les données uniquement sur instruction documentée du responsable du traitement. Les instructions sont : les Conditions, cet accord, et la configuration que le commerçant définit dans le tableau de bord (quels formulaires, quels champs, quelles notifications, quelle politique de confidentialité afficher).

Si une instruction violait le RGPD, nous le signalons et ne l'exécutons pas.

Si une loi nous oblige à un traitement différent, nous en informons le responsable du traitement au préalable, sauf si cette même loi l'interdit.

6. Confidentialité

Les personnes qui traitent ces données pour notre compte sont tenues à la confidentialité par contrat ou par la loi, et n'accèdent qu'à ce qui est nécessaire à leur tâche.

L'accès aux données d'une boutique depuis la console d'administration se fait en lecture seule, expire au bout de trente minutes et laisse une ligne dans le journal : qui est entré, quand, et sur quelle boutique.

7. Mesures de sécurité (art. 32)

Voici les mesures qui existent réellement, pas une liste de bonnes intentions. Si une mesure n'existe pas, ce document ne la mentionne pas.

• Transport chiffré : TLS entre le navigateur et le serveur ; l'application communique avec la base de données sur un réseau local.
• Mots de passe : conservés sous forme d'empreinte scrypt ; un changement de mot de passe invalide toutes les sessions ouvertes.
• Accès : blocage progressif des tentatives échouées, lié au couple compte+adresse, de sorte qu'un tiers ne puisse pas bloquer l'accès d'un commerçant ; limites de fréquence sur tous les appels publics.
• Séparation entre boutiques : chaque lecture et chaque écriture est liée à la boutique qui la demande, vérifiée à chaque requête ; les pièces jointes des formulaires ne se téléchargent que depuis une route authentifiée.
• Pseudonymisation vis-à-vis des fournisseurs de modèles : les e-mails, téléphones, IBAN, cartes, identifiants fiscaux, numéros de TVA, adresses postales et adresses IP reconnus sont remplacés par des marqueurs, chiffrés avec une clé dédiée, avant l'envoi aux fournisseurs de modèles de langage, dans chaque message : celui que le visiteur vient d'écrire, les messages précédents de la conversation, ainsi que la réponse et le message envoyés au contrôle des réponses. Les numéros de commande restent en clair. Les vraies données restent sur les serveurs du sous-traitant : c'est là que la réponse les retrouve avant d'arriver au visiteur, et là que les contacts, les demandes et les devis sont composés à partir du texte original.
• Contrôle des réponses : chaque réponse du modèle passe par un contrôle automatique avant d'arriver au visiteur.
• Adresses IP : conservées uniquement sous forme d'empreinte à clé, jamais en clair dans les données de la boutique.
• Contenus écrits par le commerçant : nettoyés avec une liste de balises autorisées avant d'être enregistrés et affichés.
• Sauvegardes : chaque jour une copie de la base de données, conservée sur le serveur pendant 14 jours, et chaque semaine une copie du serveur entier, conservée par l'hébergeur séparément du serveur. La restauration à partir d'une copie a réellement été testée.
• Continuité : un service externe alerte si le système cesse de donner signe de vie ; les erreurs sont enregistrées et affichées sur une page d'état.
• Suppression automatique : les conversations et les contacts au-delà de la durée prévue par le forfait sont supprimés chaque nuit.

8. Sous-traitants ultérieurs

Le responsable du traitement autorise de manière générale les sous-traitants ultérieurs énumérés ici. Si nous en changeons ou en ajoutons un, nous l'écrivons trente jours à l'avance à l'e-mail du compte et nous mettons à jour la page /subprocessors, qui indique toujours la liste en vigueur : dans ce délai, le responsable du traitement peut s'y opposer et, si l'opposition est fondée et que nous ne trouvons pas d'alternative, il peut résilier sans pénalité.

Chaque sous-traitant ultérieur est lié par des obligations non moins strictes que celles de cet accord. Nous répondons de leurs actes comme des nôtres.

Telegram n'intervient que si le responsable du traitement active les notifications Telegram : les activer est une instruction du responsable du traitement, par laquelle il autorise ce traitement et le transfert qu'il implique. OpenAI, le fournisseur de secours de modèles de langage, ne génère les réponses que lorsque le fournisseur principal ne répond pas ; le contrôle automatique des réponses avant l'envoi (section 7), en revanche, il l'effectue toujours et, dans les boutiques ayant des instructions personnalisées, il reçoit avec la réponse aussi le message du visiteur auquel elle répond.

Le fournisseur principal de modèles de langage est Anthropic Ireland, Limited, qui, selon les conditions commerciales d'Anthropic, est la contrepartie de ceux qui sont établis dans l'Espace économique européen. Les données sont traitées aux États-Unis, sur la base des clauses contractuelles types de l'Union européenne (modules 2 et 3) de son accord de traitement des données. Anthropic s'engage à ne pas entraîner ses modèles sur les données que nous lui envoyons et supprime les questions et les réponses dans un délai de trente jours, sauf lorsqu'elle doit les conserver plus longtemps pour faire respecter ses règles d'utilisation ou pour se conformer à la loi. Le fournisseur de secours, OpenAI, déclare que les données envoyées à son API ne sont pas utilisées pour entraîner ou améliorer ses modèles, sauf adhésion explicite que nous n'avons pas donnée ; ses journaux de contrôle des abus sont conservés jusqu'à trente jours. Les sources et les dates des vérifications sont indiquées dans le tableau.

9. Droits des personnes concernées

Les demandes des personnes concernées sont reçues par le responsable du traitement. Si elles nous parviennent, nous les transmettons au responsable du traitement sans répondre sur le fond.

Nous donnons au responsable du traitement les outils pour répondre lui-même : export complet des données dans un format lisible, export portable, suppression d'une conversation ou d'un contact, suppression des données au-delà d'une période, anonymisation des statistiques. Ce sont des fonctions du tableau de bord, pas des demandes à nous adresser.

Là où les outils ne suffisent pas, nous assistons le responsable du traitement dans des délais raisonnables et sans frais supplémentaires.

10. Violations de données

Si nous prenons connaissance d'une violation concernant les données du responsable du traitement, nous l'en informons dans les meilleurs délais et en tout cas dans les 48 heures après en avoir pris connaissance, à l'e-mail de contact du compte.

La notification indique : ce qui s'est passé, quelles catégories de données et combien de personnes concernées sont touchées, les conséquences probables et les mesures prises. C'est le responsable du traitement qui décide s'il faut notifier l'autorité de contrôle et les personnes concernées ; nous lui donnons tout ce qui est nécessaire pour le faire.

11. Assistance au responsable du traitement

Nous assistons le responsable du traitement, compte tenu de la nature du traitement et des informations dont nous disposons, pour : la sécurité du traitement (art. 32), la notification des violations (art. 33 et 34), l'analyse d'impact (AIPD) et la consultation préalable (art. 35 et 36).

12. Ce qui se passe à la fin

12.1 Tant que le contrat dure, le responsable du traitement peut exporter les données ou supprimer le compte quand il le veut. Les deux se trouvent sur la même page : Dashboard → Privacy & GDPR.

12.2 Si le responsable du traitement supprime le compte, la suppression est immédiate et définitive : les données disparaissent tout de suite, il n'y a ni corbeille ni délai de grâce. Qui a besoin d'une copie doit l'exporter avant.

12.3 Si le contrat prend fin d'une autre manière — résiliation, essai non poursuivi, défaut de paiement, fermeture pour violation — le widget s'arrête et, pendant 30 jours, le tableau de bord reste accessible en lecture seule, pour exporter. En cas de défaut de paiement, ces jours courent à partir de la suspension. 7 jours avant la fin de cette période, nous écrivons au responsable du traitement ; à la fin, nous supprimons automatiquement toutes les données traitées pour son compte.

12.4 Les sauvegardes déjà créées (les quotidiennes de la base de données, conservées 14 jours, et les hebdomadaires du serveur entier, conservées par l'hébergeur) conservent les données trente jours au maximum, puis expirent d'elles-mêmes ; elles ne sont restaurées qu'en cas d'incident, et dans ce cas la suppression est réappliquée immédiatement après la restauration.

12.5 Après la suppression, nous ne conservons aucune donnée des visiteurs. Ce qui reste (l'empreinte de l'e-mail et les empreintes des domaines des sites de l'essai) concerne le commerçant, pas les visiteurs, et est décrit dans la politique de confidentialité.

13. Audits

Sur demande écrite, et pas plus d'une fois par an sauf incident, nous mettons à la disposition du responsable du traitement les informations nécessaires pour démontrer le respect de cet accord, et nous permettons un audit convenu avec un préavis de trente jours.

L'audit ne peut compromettre ni la confidentialité des données des autres boutiques ni la sécurité du service.

Les frais de l'audit sont à la charge du responsable du traitement, sauf si l'audit révèle une violation de cet accord : dans ce cas, c'est nous qui les supportons.

14. Durée

Cet accord s'applique dès le premier jour de l'essai, ou dès l'acceptation si c'est nous qui avons créé le compte, tant que Numen di Rasman Francesco traite des données personnelles pour le compte du responsable du traitement : c'est-à-dire jusqu'à la suppression prévue à la section 12.

Chaque version porte un numéro et une date. Une nouvelle version demande une nouvelle acceptation à la première connexion suivante.