Accord de traitement des données personnelles

Entre

• le client, personne physique ou morale qui a créé un compte Talkieback et l'utilise pour ses applications ou sites (« le Responsable du traitement ») ;

et

• Red Brick Studio, entreprise individuelle de Simon Gavelle (EI), 41 rue Jacquemars Giélée, 59800 Lille, France, SIRET 131 744 013 00015, éditeur du service Talkieback (« le Sous-traitant »).

Cet accord fait partie des conditions d'utilisation de Talkieback. En cas de contradiction sur la protection des données, il prévaut.

Article 1 · Objet

Le Sous-traitant traite des données personnelles pour le compte du Responsable du traitement afin de fournir Talkieback : recueillir les retours des utilisateurs des applications du Responsable du traitement, les transcrire, les mettre à disposition de son équipe, permettre d'y répondre et prévenir les utilisateurs des réponses. La description du traitement figure en annexe I.

Article 2 · Durée

Cet accord s'applique tant que le Sous-traitant traite des données pour le compte du Responsable du traitement, et jusqu'à leur suppression ou leur restitution (article 12).

Article 3 · Instructions

1. Le Sous-traitant ne traite les données que sur instructions documentées du Responsable du traitement. Constituent ces instructions : cet accord, les conditions d'utilisation, les réglages choisis dans l'espace Talkieback (durée de conservation, transcription, notifications, webhooks, intégrations) et les actions faites dans cet espace ou par l'API.
2. Le Sous-traitant n'utilise pas les données pour ses propres finalités. En particulier, il ne les utilise pas pour de la publicité, ne les vend pas, et ne les utilise pas et ne les fait pas utiliser par ses sous-traitants pour entraîner des modèles d'intelligence artificielle.
3. Si une instruction lui paraît contraire au RGPD ou à une autre règle de protection des données, le Sous-traitant en informe immédiatement le Responsable du traitement.
4. Le Sous-traitant peut produire des statistiques d'usage agrégées et anonymes (nombre de retours, durée des messages) pour faire fonctionner, facturer et améliorer le service.

Article 4 · Confidentialité

Les personnes autorisées à traiter les données chez le Sous-traitant sont tenues à la confidentialité et n'y accèdent que pour fournir le service, faire le support demandé par le Responsable du traitement, ou assurer la sécurité et la maintenance.

Article 5 · Sécurité

Le Sous-traitant met en œuvre les mesures techniques et organisationnelles de l'annexe II, adaptées au risque (article 32 du RGPD). Il peut les faire évoluer, à condition de ne pas baisser le niveau de protection.

Article 6 · Sous-traitants ultérieurs

1. Le Responsable du traitement donne une autorisation générale au Sous-traitant de faire appel aux sous-traitants ultérieurs listés en annexe III.
2. Le Sous-traitant informe le Responsable du traitement de tout ajout ou remplacement au moins 30 jours à l'avance, par e-mail et dans l'espace Talkieback. Pendant ce délai, le Responsable du traitement peut s'y opposer pour un motif raisonnable lié à la protection des données. Faute de solution trouvée ensemble, il peut résilier son abonnement sans frais et obtenir le remboursement de la part payée et non utilisée.
3. Le Sous-traitant impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données au moins équivalentes à celles de cet accord. Il reste responsable envers le Responsable du traitement de leur respect.

Article 7 · Transferts hors de l'Union européenne

1. Les données sont stockées dans l'Union européenne.
2. Certains sous-traitants ultérieurs sont établis aux États-Unis ou y accèdent (annexe III). Le Sous-traitant n'y procède que si le transfert est encadré : certification du destinataire au Data Privacy Framework UE–États-Unis, ou clauses contractuelles types de la Commission européenne (module 3, de sous-traitant à sous-traitant), complétées si besoin par des mesures supplémentaires.

Article 8 · Droits des personnes

1. Le Sous-traitant fournit aux utilisateurs, dans le panneau et les e-mails, de quoi ne plus être prévenus et supprimer leurs retours sans compte. Il fournit au Responsable du traitement, dans l'espace Talkieback et par l'API, de quoi consulter, exporter, rectifier et supprimer les données d'un utilisateur.
2. Si une personne s'adresse directement au Sous-traitant pour exercer un autre droit, il transmet sa demande au Responsable du traitement sans délai et ne lui répond pas lui-même, sauf instruction.
3. Le Sous-traitant aide le Responsable du traitement à répondre aux demandes dans les délais légaux.

Article 9 · Violations de données

1. Le Sous-traitant notifie au Responsable du traitement toute violation de données personnelles dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, à l'adresse e-mail du propriétaire du compte.
2. La notification contient, dès qu'elles sont connues : la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, ses conséquences probables, les mesures prises ou proposées, et un contact.
3. Le Sous-traitant aide le Responsable du traitement à notifier la CNIL (dans les 72 heures) et, si nécessaire, les personnes concernées.

Article 10 · Assistance

Le Sous-traitant aide le Responsable du traitement, dans la mesure des informations dont il dispose, pour les analyses d'impact (article 35), la consultation préalable de l'autorité de contrôle (article 36) et la sécurité (article 32).

Article 11 · Documentation et audits

1. Le Sous-traitant met à disposition du Responsable du traitement les informations nécessaires pour démontrer le respect de cet accord : cet accord et ses annexes, la liste à jour des sous-traitants ultérieurs, et, sur demande, une réponse écrite à un questionnaire de sécurité.
2. Si ces informations ne suffisent pas, le Responsable du traitement peut faire réaliser un audit, une fois par an au plus, par lui-même ou par un auditeur tenu à la confidentialité et qui n'est pas un concurrent du Sous-traitant, avec un préavis de 30 jours, pendant les heures ouvrées, sans accès aux données des autres clients. Les frais de l'audit sont à la charge du Responsable du traitement, sauf s'il révèle un manquement important du Sous-traitant.

Article 12 · Fin du traitement

1. Pendant l'abonnement, le Responsable du traitement peut exporter ses données à tout moment.
2. À la fermeture du compte, les données restent exportables 30 jours, puis sont supprimées. Les sauvegardes sont effacées au plus tard 30 jours après.
3. Le Sous-traitant ne garde aucune copie, sauf obligation légale, auquel cas il le signale au Responsable du traitement.

Article 13 · Obligations du Responsable du traitement

Le Responsable du traitement :

• dispose d'une base légale pour le traitement et informe ses utilisateurs, notamment en reprenant dans sa politique de confidentialité la clause fournie par le Sous-traitant (annexe I) ;
• ne joint aux retours, par le contexte ou l'identification, que des données nécessaires, et aucune donnée sensible au sens de l'article 9 du RGPD, ni donnée bancaire ou mot de passe ;
• reste responsable des outils qu'il relie à Talkieback (webhooks, API, intégrations) et de ce qu'il fait des données qu'il en exporte.

Article 14 · Responsabilité, droit applicable

La responsabilité de chaque partie est régie par les conditions d'utilisation de Talkieback, dans les limites permises par le RGPD. Cet accord est soumis au droit français ; les litiges relèvent des tribunaux compétents de Lille.

Annexe I · Description du traitement

Clause à reprendre dans la politique de confidentialité du Responsable du traitement, qu'il adapte et dont il reste responsable :

Retours et suggestions. Nous proposons un bouton pour nous envoyer un message vocal ou écrit. Nous recevons votre message (enregistrement et transcription automatique, ou texte), la page où vous étiez, les dernières pages visitées, des informations techniques sur votre appareil, et, si vous êtes connecté, votre identifiant de compte et votre adresse e-mail. Nous les utilisons pour comprendre votre retour, améliorer {app}, vous répondre et vous prévenir de notre réponse, sur la base de notre intérêt légitime à traiter les retours que vous choisissez de nous envoyer. Ils sont conservés {durée} au plus. Ce service est fourni par Talkieback (Red Brick Studio, France), notre sous-traitant, qui fait lui-même appel à des prestataires pour l'hébergement (dans l'Union européenne), la transcription de la voix, l'envoi des e-mails et des notifications ; certains sont établis aux États-Unis, et ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne ou par le Data Privacy Framework UE–États-Unis. Vous pouvez supprimer vos retours à tout moment depuis « Mes retours », et exercer vos autres droits en nous écrivant à {contact}.

Annexe II · Mesures de sécurité

• Chiffrement : HTTPS (TLS 1.2 ou plus) pour tous les échanges ; données et fichiers chiffrés au repos par l'hébergeur ; notifications web chiffrées de bout en bout ; clés de notification mobile des clients chiffrées dans la base.
• Cloisonnement : chaque client n'accède qu'à ses apps ; la base n'est jamais exposée directement, tout passe par l'API de Talkieback ; règles d'accès vérifiées à chaque requête.
• Enregistrements : stockage privé, envoi et lecture par liens signés à durée limitée ; aucun lien public.
• Secrets : secrets des apps et des webhooks hachés ou montrés une seule fois ; signature des webhooks ; clé publique limitée aux domaines et identifiants d'app déclarés.
• Accès internes : accès d'administration limités à Red Brick Studio, avec double authentification sur les comptes des hébergeurs ; accès aux données d'un client seulement pour le support qu'il a demandé ou pour la sécurité.
• Abus : limites d'envoi par utilisateur et par jour, quotas d'API, limites de débit par adresse IP.
• Disponibilité : sauvegardes quotidiennes de la base par l'hébergeur.
• Suppression : purge automatique à la fin de la durée de conservation ; purge nuitée des fichiers sans retour.
• Prestataires : transcription sans conservation pour l'entraînement (refus explicite à chaque appel) ; contrats de sous-traitance avec chaque prestataire.

Annexe III · Sous-traitants ultérieurs

Stripe n'est pas un sous-traitant au titre de cet accord : il traite les données de facturation du client, pour lesquelles Red Brick Studio est responsable du traitement.