Accord de traitement des données (DPA)

Le présent accord de traitement des données (« DPA ») précise les obligations des parties en matière de protection des données qui découlent de l'utilisation, par le client, de la plateforme de logiciel en tant que service fournie par Neltacore, LLC sous la marque « Deskwoot » (le « Contrat principal »). Il s'applique à toutes les activités au cours desquelles des salariés du Sous-traitant ou des tiers mandatés par lui entrent en contact avec des données à caractère personnel du Responsable du traitement. Le présent DPA remplit les exigences de l'article 28 du RGPD.

§ 1 Objet et durée

(1) L'objet du traitement découle du Contrat principal, auquel il est fait référence ici (mise à disposition de la plateforme Deskwoot pour le service client).

(2) La durée du présent DPA correspond à la durée du Contrat principal. À la fin du Contrat principal, le présent DPA prend fin automatiquement, sauf si des délais légaux de conservation obligatoires s'appliquent.

§ 2 Précisions sur le traitement

(1) Nature et finalité : traitement de données à caractère personnel pour fournir des fonctions de service client, notamment une boîte de réception multicanal, l'automatisation des réponses avec l'aide de l'IA, une base de connaissances, un widget de chat en direct, des rapports et l'intégration avec les systèmes de commerce en ligne du Responsable du traitement et avec d'autres logiciels métier que le Responsable du traitement connecte (tels que des systèmes de réservation, de gestion de cabinet, de CRM, de gestion des interventions et de comptabilité, ainsi que des systèmes téléphoniques).

(2) Types de données à caractère personnel : données de base et coordonnées (nom, adresse e-mail, téléphone), contenu des communications (messages, tickets), données d'appel, lorsque le Responsable du traitement connecte un système téléphonique (numéro, heures, durée, agent, poste et file d'attente ; tant que le Responsable du traitement l'active, aussi la transcription, le résumé, le sentiment, les enregistrements et les messages de répondeur, qui contiennent aussi les voix de son personnel), données de commande (lorsque le Responsable du traitement utilise l'intégration de commerce en ligne), données d'utilisation et d'accès (adresse IP, agent utilisateur, horodatages) et autres données transmises volontairement par les personnes concernées ; données de rendez-vous, données de CRM et de prospects, et données de facturation (numéros de factures et de devis, dates, montants et statut de paiement), à chaque fois lorsque le Responsable du traitement connecte de tels logiciels ; lorsque le Responsable du traitement est un cabinet de santé, le fait qu'une personne est son patient.

(3) Données agrégées de contexte pour le bot : lorsque le Responsable du traitement utilise le bot IA ou la fonction AI Copilot, le Sous-traitant affiche, dans le prompt système du modèle d'IA, des statistiques commerciales agrégées sur la personne concernée liée à la conversation, afin que les réponses du bot tiennent compte du contexte sans appels d'outils supplémentaires. Les données agrégées affichées sont : le nombre de commandes, la date de la commande la plus récente, la valeur cumulée des commandes avec la devise, et un indicateur de fraîcheur qui précise si l'intégration sous-jacente se synchronise en temps réel. Les données à caractère personnel détaillées sur des commandes précises (adresse de livraison, moyen de paiement, articles) ne sont affichées qu'après la vérification de la conversation au niveau 2 au moyen du processus par lien magique.

(4) Catégories de personnes concernées : clients finaux du Responsable du traitement, salariés et agents du Responsable du traitement (lorsqu'ils utilisent la plateforme), visiteurs des sites web exploités par le Responsable du traitement (lorsque le widget de chat en direct y est intégré) et, lorsque le Responsable du traitement connecte de tels logiciels, ses patients, acheteurs et locataires potentiels, et clients, ainsi que les appelants et les personnes appelées, lorsque le Responsable du traitement connecte un système téléphonique.

(5) Logiciels connectés : sur instruction du Responsable du traitement, le Sous-traitant échange des données à caractère personnel avec les logiciels que le Responsable du traitement connecte dans le cadre de son propre contrat avec le fournisseur de ces logiciels. Ces fournisseurs ne sont pas des sous-traitants ultérieurs du Sous-traitant et peuvent traiter des données en dehors de l'UE/EEE (par exemple aux États-Unis, au Canada, au Royaume-Uni ou en Australie).

§ 3 Mesures techniques et organisationnelles

(1) Le Sous-traitant met en place et maintient pendant toute la durée de l'accord les mesures techniques et organisationnelles (MTO) décrites à l'Annexe A pour protéger les données à caractère personnel.

(2) Le Sous-traitant réexamine régulièrement les mesures et les adapte à l'état actuel de la technique. Les changements importants seront communiqués au Responsable du traitement.

(3) Les mesures sont conçues et mises en œuvre pour garantir un niveau de sécurité adapté au risque (art. 32 du RGPD).

§ 4 Rectification, limitation et effacement des données

(1) Le Sous-traitant ne rectifie ou n'efface des données à caractère personnel, ou n'en limite le traitement, que sur instruction du Responsable du traitement. Cela vaut en particulier pour les demandes des personnes concernées au titre des art. 15-22 du RGPD.

(2) Lorsqu'une personne concernée s'adresse directement au Sous-traitant avec une telle demande, le Sous-traitant transmet la demande au Responsable du traitement dans les meilleurs délais.

(3) Le Sous-traitant fournit dans sa plateforme des fonctions qui permettent au Responsable du traitement de traiter lui-même les demandes des personnes concernées (par exemple l'export des données, la suppression du compte).

§ 5 Obligations du Sous-traitant

(1) Le Sous-traitant traite les données à caractère personnel exclusivement dans le cadre des instructions du Responsable du traitement et du Contrat principal.

(2) Le Sous-traitant engage ses salariés autorisés à la confidentialité (art. 28(3)(b) du RGPD) ou veille à ce qu'ils soient soumis à une obligation légale de confidentialité appropriée.

(3) Sur demande, le Sous-traitant désigne une personne de contact pour les questions de protection des données. Les demandes peuvent être envoyées à : hello@deskwoot.com.

(4) Le Sous-traitant aide le Responsable du traitement, compte tenu de la nature du traitement et des informations dont il dispose, à respecter les obligations prévues aux art. 32-36 du RGPD.

(5) Le Sous-traitant tient le registre des activités de traitement prévu à l'art. 30(2) du RGPD et le met à la disposition du Responsable du traitement ou de l'autorité de contrôle sur demande.

§ 5a Protection des secrets professionnels

(1) La présente section s'applique lorsque le Responsable du traitement est tenu par la loi de garder les secrets de tiers, en particulier en tant que membre d'une profession de santé au sens du § 203(1) n° 1 du Code pénal allemand (StGB) (par exemple un médecin, un dentiste, un psychothérapeute ou un kinésithérapeute). Le Sous-traitant participe alors à l'activité professionnelle du Responsable du traitement en tant qu'« autre personne participante » au sens du § 203(3), phrase 2, du StGB.

(2) Le Sous-traitant s'engage à garder secrets tous les secrets de tiers dont il prend connaissance dans le cadre ou à l'occasion de son travail pour le Responsable du traitement. Il s'agit en particulier du contenu de tous les messages et fichiers, ainsi que du simple fait qu'une personne est en contact avec le Responsable du traitement ou est son patient. Cette obligation se poursuit après la fin du Contrat principal.

(3) Le Sous-traitant ne prend connaissance de tels secrets, pour lui-même et pour les personnes qui travaillent pour lui, que dans la mesure nécessaire aux services prévus par le Contrat principal, en particulier pour l'exploitation, la sécurité, la résolution des erreurs, l'assistance et une configuration commandée par le Responsable du traitement.

(4) Le Sous-traitant a été informé qu'en vertu du § 203(4), phrase 1, du StGB, il commet une infraction pénale s'il divulgue un tel secret sans autorisation et, en vertu du § 203(4), phrase 2, n° 2, du StGB, s'il fait appel à une autre personne participante sans s'assurer que cette personne a été tenue au secret.

(5) Avant qu'ils ne commencent à travailler, le Sous-traitant tient au secret, sous forme textuelle, tous les salariés et autres personnes qui participent aux services et peuvent prendre connaissance de tels secrets, et les informe des conséquences pénales d'une violation.

(6) Le Responsable du traitement autorise le Sous-traitant à faire appel aux sous-traitants ultérieurs énumérés à l'Annexe B en tant qu'autres personnes participantes (§ 203(3), phrase 2, seconde moitié de la phrase, du StGB). Le Sous-traitant ne leur transmet des secrets que dans la mesure nécessaire à leur service. Il veille à ce que chaque sous-traitant ultérieur soit tenu par contrat de garder confidentielles les données du Responsable du traitement et transmette cette obligation à ses salariés et à ses propres sous-traitants ultérieurs.

(7) Si une autorité ou un tribunal exige de telles données, le Sous-traitant en informe le Responsable du traitement dans les meilleurs délais, lorsque la loi le permet, et ne divulgue que ce qu'il est légalement tenu de divulguer.

§ 6 Sous-traitants ultérieurs

(1) Le Responsable du traitement consent au recours aux sous-traitants ultérieurs énumérés à l'Annexe B.

(2) Le Sous-traitant informera le Responsable du traitement à l'avance de tout ajout ou remplacement prévu d'autres sous-traitants, et lui donnera la possibilité de s'opposer à ces changements.

(3) Pour les sous-traitants ultérieurs situés dans des pays tiers (hors de l'EEE), le Sous-traitant garantit un niveau de protection des données approprié, en particulier par la conclusion des clauses contractuelles types de l'UE (SCC).

(4) Le Sous-traitant choisit ses sous-traitants ultérieurs avec soin et vérifie régulièrement leur niveau de protection des données.

(5) Le Sous-traitant impose par contrat à chaque sous-traitant ultérieur les mêmes obligations en matière de protection des données que celles que le présent DPA fixe pour le service concerné (art. 28(4) du RGPD). Lorsqu'un sous-traitant ultérieur ne remplit pas ses obligations en matière de protection des données, le Sous-traitant reste responsable envers le Responsable du traitement de l'exécution de ces obligations.

§ 7 Droits d'audit

(1) Le Responsable du traitement s'assure, avant et pendant le traitement des données, des mesures techniques et organisationnelles du Sous-traitant. À cette fin, il peut par exemple obtenir des informations, examiner les certifications existantes (par exemple ISO 27001, SOC 2) ou des audits internes.

(2) Le Sous-traitant veille à ce que le Responsable du traitement puisse vérifier le respect de ses obligations. Sur demande, le Responsable du traitement reçoit toutes les informations nécessaires à cet effet.

§ 8 Notification des violations

(1) Le Sous-traitant notifie au Responsable du traitement, dans les meilleurs délais et en tout cas dans les 72 heures après en avoir pris connaissance, toute violation de données à caractère personnel au sens de l'art. 33 du RGPD.

(2) La notification comprend au minimum : la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les conséquences probables, et les mesures prises ou proposées.

§ 9 Pouvoir de donner des instructions

(1) Le Responsable du traitement confirme dans les meilleurs délais, par écrit ou par e-mail, ses instructions orales.

(2) Le Sous-traitant doit informer le Responsable du traitement dans les meilleurs délais s'il estime qu'une instruction enfreint le droit applicable en matière de protection des données.

(3) Le Sous-traitant a le droit de suspendre l'exécution de l'instruction concernée jusqu'à ce qu'elle soit confirmée ou modifiée par le Responsable du traitement compétent.

§ 10 Effacement et restitution des données à caractère personnel

(1) À la fin du Contrat principal, le Sous-traitant restitue ou supprime, au choix du Responsable du traitement, toutes les données à caractère personnel qui sont entrées en sa possession, d'une manière conforme à la protection des données.

(2) Les obligations légales de conservation ne sont pas affectées.

(3) La plateforme fournit au Responsable du traitement des fonctions en libre service pour l'export des données et la suppression du compte. Sur demande écrite distincte, le Sous-traitant effectue la suppression manuellement.

§ 11 Dispositions finales

(1) Le droit du pays dans lequel le Responsable du traitement est établi s'applique, dans la mesure où il s'agit de droit impératif de l'UE. Dans les autres cas, le droit de l'État du Wyoming (États-Unis) s'applique, avec l'application parallèle du RGPD au traitement des données à caractère personnel des personnes concernées de l'UE/EEE.

(2) Si certaines dispositions du présent DPA sont ou deviennent invalides, la validité du reste du DPA n'en est pas affectée. Les parties remplacent la disposition invalide par une disposition valide qui se rapproche le plus possible du but économique de la disposition invalide.

(3) Les modifications et compléments du présent DPA exigent la forme écrite ; l'acceptation électronique via la plateforme du Sous-traitant suffit conformément à l'art. 28(9) du RGPD.

(4) En cas de contradiction entre le présent DPA et le Contrat principal, les dispositions du présent DPA prévalent.

Annexe A : Mesures techniques et organisationnelles (MTO) au titre de l'art. 32 du RGPD

Le Sous-traitant a mis en place les mesures techniques et organisationnelles décrites ci-dessous pour protéger les données à caractère personnel.

Annexe B : Liste des sous-traitants ultérieurs approuvés

Le Responsable du traitement consent au recours aux sous-traitants ultérieurs énumérés ci-dessous. Le Sous-traitant informera le Responsable du traitement à l'avance des changements (voir le § 6(2)).