Légal Dernière mise à jour : [À COMPLÉTER : date]

Accord de traitement des données

Projet à valider par un avocat avant mise en ligne

Le présent accord (l'« Accord ») est conclu en application de l'article 28 du règlement (UE) 2016/679 (« RGPD ») et, le cas échéant, de l'article 9 de la loi fédérale suisse sur la protection des données (« LPD »). Il fait partie intégrante des conditions générales de vente et d'utilisation (les « CGV ») conclues entre le client (le « Client ») et [À COMPLÉTER : raison sociale, forme juridique, numéro d'immatriculation, adresse] (« Growdn »). En cas de contradiction, l'Accord prévaut sur les CGV pour ce qui concerne les données personnelles.

1. Rôles des parties

Pour les données personnelles des prospects du Client traitées au moyen du service Growdn AI setter closer (le « Service »), le Client est responsable du traitement et Growdn est sous-traitant. Growdn traite ces données uniquement sur instruction documentée du Client. Les CGV, le présent Accord et le paramétrage du Service constituent ces instructions. Ces instructions couvrent également les transferts de données hors de l'Union européenne et de la Suisse décrits à l'article 8. Lorsque le droit de l'Union, d'un État membre ou de la Suisse impose à Growdn un traitement distinct, Growdn en informe préalablement le Client, sauf interdiction légale pour des motifs importants d'intérêt public. Growdn informe immédiatement le Client si une instruction lui paraît contraire à la réglementation.

Toute prestation d'agence impliquant un traitement de données personnelles pour le compte du Client fait l'objet, avant tout accès aux données, d'une annexe au présent Accord décrivant les traitements, leur durée, les données, les personnes concernées et les instructions applicables.

2. Objet, nature et finalité

  • Objet : réception des messages adressés au Client sur ses canaux connectés, rédaction et envoi de réponses générées par intelligence artificielle, qualification des prospects et proposition de rendez-vous.
  • Nature : collecte, enregistrement, analyse automatisée, transmission aux fournisseurs de modèles d'IA, conservation, consultation par le Client, suppression.
  • Finalité : répondre aux demandes des prospects pour le compte du Client, les qualifier et organiser des rendez-vous. Growdn n'utilise pas les données pour ses propres finalités, ne les vend pas et ne s'en sert pas pour entraîner des modèles d'IA.
  • Durée : la durée de l'abonnement, puis la période nécessaire à la restitution et à la suppression prévues à l'article 11.

3. Personnes concernées et catégories de données

Personnes concernées : les personnes qui contactent le Client ou échangent avec lui sur les canaux connectés (prospects, clients, autres interlocuteurs).

  • Identifiants de messagerie (nom de profil, pseudonyme, identifiant de compte, numéro de téléphone, adresse email) ;
  • Contenu des messages échangés, y compris les fichiers joints éventuels ;
  • Coordonnées et informations de qualification fournies par le prospect (besoin, budget, disponibilités) ;
  • Informations de rendez-vous (date, heure, coordonnées saisies lors de la réservation) ;
  • Métadonnées techniques (horodatage, canal, statut de la conversation).

Données sensibles. Le Service n'est pas conçu pour traiter des catégories particulières de données (article 9 du RGPD), notamment des données de santé. Le Client, en particulier s'il exerce une activité médicale ou paramédicale, s'interdit de configurer l'assistant pour les demander. Le Client dont les canaux sont susceptibles de recevoir de telles données en informe Growdn avant l'activation, afin de valider au préalable les conditions juridiques et techniques de leur traitement ; leur communication spontanée par un prospect ne dispense pas de cette validation. Si un prospect en communique, l'assistant est paramétré pour ne pas les solliciter davantage et orienter la personne vers un échange direct avec le Client, et Growdn [À COMPLÉTER : mesures effectivement mises en œuvre, par exemple détection, restriction des accès, signalement au Client, suppression]. [À VALIDER : statut du Service au regard de l'hébergement de données de santé (certification HDS en France) et des clients du secteur médical]

Minimisation. Les parties limitent la collecte aux données nécessaires à la finalité décrite.

4. Durée de conservation

Les conversations et données associées sont conservées [À COMPLÉTER : proposition par défaut, 12 mois après la dernière interaction avec le prospect], puis supprimées automatiquement, sauf obligation légale ou instruction contraire du Client, qui doit rester conforme aux principes de nécessité et de proportionnalité. Le Client peut demander la suppression anticipée d'une conversation.

5. Confidentialité

Growdn veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité et n'y accèdent que dans la mesure nécessaire au Service (support, maintenance, paramétrage).

6. Sécurité

Growdn met en œuvre des mesures techniques et organisationnelles appropriées au sens de l'article 32 du RGPD, notamment :

  • chiffrement des communications (TLS) [À COMPLÉTER : chiffrement des données au repos, le cas échéant] ;
  • contrôle des accès par authentification individuelle et principe du moindre privilège ;
  • cloisonnement des données de chaque client ;
  • sauvegardes régulières [À COMPLÉTER : fréquence et durée de rétention des sauvegardes] ;
  • journalisation des accès et mises à jour de sécurité régulières.

7. Sous-traitants ultérieurs

Le Client autorise de manière générale Growdn à recourir aux sous-traitants ultérieurs ci-dessous. Growdn impose à chacun des obligations de protection des données équivalentes à celles du présent Accord et reste responsable de leur exécution envers le Client. Growdn s'assure, par contrat ou par configuration, qu'aucun sous-traitant ultérieur n'utilise les données pour entraîner ses modèles. [À VÉRIFIER : conditions de non-entraînement et de rétention des fournisseurs de modèles d'IA]

  • Anthropic : modèles de langage (génération des réponses), États-Unis.
  • OpenRouter : routage des requêtes vers les modèles de langage, États-Unis.
  • Zernio : API de messagerie des réseaux sociaux, [À COMPLÉTER : pays].
  • Meta : API Instagram, WhatsApp et Messenger, [À COMPLÉTER : entité et pays]. [À VALIDER : qualification de Meta, plateforme à laquelle le Client est lui-même lié par ses propres conditions]
  • Cal.com : prise de rendez-vous, [À COMPLÉTER : pays].
  • Whop : paiements, [À COMPLÉTER : pays]. [À VALIDER : Whop traite les données de facturation du Client, pour lesquelles Growdn est responsable du traitement, et non les données des prospects]
  • Brevo : envoi d'emails, [À COMPLÉTER : pays].
  • Hébergement (serveur privé virtuel) : [À COMPLÉTER : fournisseur et pays].

Growdn informe le Client par email de tout ajout ou remplacement d'un sous-traitant ultérieur au moins 30 jours à l'avance. Le Client peut s'y opposer pour un motif raisonnable lié à la protection des données dans ce délai. À défaut de solution, le Client peut résilier le Service concerné sans pénalité et, si une période payée d'avance n'est pas échue, se voir rembourser la partie non utilisée.

8. Transferts hors de l'Union européenne et de la Suisse

Certains sous-traitants ultérieurs traitent des données hors de l'Espace économique européen et de la Suisse, notamment aux États-Unis. Ces transferts sont encadrés par une décision d'adéquation lorsque le destinataire est certifié au titre du Data Privacy Framework UE–États-Unis ou, pour les transferts soumis à la LPD, du Swiss–U.S. Data Privacy Framework, ou, à défaut, par les clauses contractuelles types de la Commission européenne, complétées des adaptations nécessaires à la LPD et, si besoin, de mesures supplémentaires. [À COMPLÉTER : mécanisme retenu pour chaque sous-traitant] Une copie des garanties applicables est fournie au Client sur demande.

9. Assistance au Client

Compte tenu de la nature du traitement, Growdn aide le Client, par des mesures appropriées, à répondre aux demandes d'exercice des droits des personnes (accès, rectification, effacement, limitation, opposition, portabilité). Growdn transmet au Client, dans les meilleurs délais, toute demande reçue directement d'une personne concernée et n'y répond pas lui-même sans instruction du Client.

Growdn aide également le Client, sur demande et dans la mesure des informations dont il dispose, à garantir la sécurité du traitement, à réaliser une analyse d'impact et à consulter l'autorité de contrôle. En cas de violation de données, Growdn lui fournit l'assistance nécessaire à l'évaluation des risques et à la préparation des notifications à l'autorité et des communications aux personnes concernées (articles 33 et 34 du RGPD).

10. Violations de données

Growdn notifie au Client toute violation de données personnelles dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, afin de lui permettre de respecter son propre délai de notification de 72 heures à l'autorité de contrôle. La notification décrit, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, les conséquences probables et les mesures prises ou envisagées. Growdn prend sans délai les mesures nécessaires pour en limiter les effets.

11. Fin du contrat

À la fin du Service, le Client choisit la restitution de l'ensemble des données personnelles traitées pour son compte, dans un format courant, ou leur suppression. Il dispose de 30 jours pour formuler ce choix ; à défaut, les données sont supprimées. Après restitution, ou à l'expiration de ce délai, Growdn supprime les données, y compris les copies, dans un délai de [À COMPLÉTER : nombre] jours, sauf obligation légale de conservation. Les sauvegardes restent isolées jusqu'à leur effacement selon leur cycle normal de rotation, et toute suppression est réappliquée en cas de restauration. Growdn confirme la suppression par écrit sur demande.

12. Audit

Growdn met à la disposition du Client les informations nécessaires pour démontrer le respect du présent Accord. Le Client peut faire réaliser un audit, par lui-même ou par un auditeur indépendant tenu au secret, une fois par an au plus, sauf violation de données ou demande d'une autorité, moyennant un préavis écrit de 30 jours. Ces modalités ne limitent pas les audits supplémentaires raisonnablement nécessaires en cas de suspicion documentée de non-conformité ou de changement substantiel du traitement, avec un préavis adapté à l'urgence. Growdn permet ces audits, y compris les inspections, et y contribue ; ils sont organisés de manière à limiter la perturbation de son activité et à préserver la confidentialité des données des autres clients. Leurs coûts sont à la charge du Client et restent raisonnables.

13. Responsabilités respectives

Le Client garantit disposer d'une base légale pour le traitement, avoir informé ses prospects (notamment du recours à un prestataire et à l'intelligence artificielle) et donner des instructions conformes à la réglementation. Growdn est responsable du respect de ses obligations de sous-traitant. La responsabilité des parties est encadrée par les CGV, sous réserve des dispositions impératives du RGPD et de la LPD.

14. Contact

Pour toute question relative au présent Accord : [À COMPLÉTER : email de contact données personnelles].