Accord de traitement des données

1. Rôles des parties

Le Client est responsable de traitement : il décide des données confiées aux agents et de ce que les agents en font. La société Prox-IA, éditrice de Proxia, est sous-traitant : elle traite ces données pour le compte du Client, afin de fournir le service. Lorsque le Client agit lui-même pour le compte d'un tiers, Proxia intervient comme sous-traitant ultérieur.

Les traitements que Proxia réalise pour son propre compte (gestion des comptes, facturation, prospection) ne relèvent pas de l'Accord : ils sont décrits dans la politique de confidentialité.

2. Description du traitement

• Objet et finalité : faire fonctionner les agents décrits au devis — lire et préparer des messages, tenir un agenda, un planning ou un tableau, préparer des devis, répondre aux visiteurs d'une page publique, enregistrer un encaissement.
• Nature des opérations : collecte, enregistrement, consultation, organisation, transmission aux outils du Client, effacement.
• Durée : celle du contrat, augmentée des délais de l'article 12.
• Personnes concernées : clients, prospects, salariés, fournisseurs et correspondants du Client ; visiteurs de ses pages publiques.
• Catégories de données : identité et coordonnées ; contenu des échanges (messages, emails, messages vocaux et leur transcription, photos) ; données de rendez-vous, de devis, de commande et d'encaissement ; données de planning des salariés ; documents transmis aux agents.

Le Client s'abstient de confier aux agents des données sensibles au sens des articles 9 et 10 du RGPD (santé, opinions, infractions, etc.), sauf accord écrit préalable de Proxia sur les garanties à mettre en place.

3. Instructions du Client

Proxia ne traite les données que sur instruction documentée du Client. Constituent ces instructions : le contrat, la configuration des agents arrêtée avec le Client et les demandes que ses utilisateurs adressent aux agents. Proxia informe le Client si une instruction lui paraît contraire à la réglementation.

Proxia n'utilise pas les données du Client pour son propre compte. Elles ne sont ni vendues, ni utilisées à des fins publicitaires, ni utilisées pour entraîner un modèle d'intelligence artificielle.

4. Confidentialité

Les personnes autorisées à accéder aux données sont tenues à la confidentialité. Proxia n'accède au contenu des conversations et des documents que pour paramétrer les agents, assister le Client, ou assurer la sécurité du service.

5. Sécurité

Proxia met en œuvre les mesures techniques et organisationnelles suivantes :

• chiffrement TLS de tous les échanges ;
• chiffrement applicatif des jetons d'accès, clés et mots de passe des services connectés par le Client ;
• mots de passe des utilisateurs enregistrés sous forme hachée ;
• cloisonnement des données : chaque donnée est rattachée à un Client et n'est accessible qu'à ses utilisateurs ;
• documents importés dans une conversation (tableurs, PDF, documents) : noms de personnes masqués avant enregistrement, fichiers et texte extrait supprimés au bout de 24 heures ;
• hébergement dans l'Union européenne et sauvegardes quotidiennes ;
• pages publiques protégées contre les robots et les abus (vérification humaine, limitation du nombre de messages) ;
• contrôle humain : les actions à portée externe préparées par un agent sont validées par un utilisateur.

6. Sous-traitants ultérieurs

Le Client autorise Proxia à faire appel aux sous-traitants ultérieurs listés dans la politique de confidentialité. Proxia leur impose des obligations de protection des données équivalentes à celles de l'Accord et reste responsable de leurs prestations à l'égard du Client.

Proxia informe le Client par email de tout ajout ou remplacement d'un sous-traitant ultérieur au moins 30 jours à l'avance. Le Client peut s'y opposer par écrit, pour un motif légitime, dans les 15 jours de cette information ; à défaut de solution, il peut résilier le contrat sans frais.

7. Transferts hors de l'Union européenne

Les données sont hébergées dans l'Union européenne. Certains sous-traitants ultérieurs — modèles d'intelligence artificielle, transcription des messages vocaux — sont établis aux États-Unis. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne ou, lorsque le fournisseur y adhère, par le cadre de protection des données UE–États-Unis (Data Privacy Framework).

8. Services connectés par le Client

Les services que le Client connecte à ses agents (messagerie, agenda, tableurs, stockage, logiciels métier) sont choisis par lui et régis par les contrats qu'il a conclus avec leurs éditeurs. Ils ne sont pas des sous-traitants ultérieurs de Proxia : les agents n'y accèdent qu'avec les autorisations délivrées par le Client, qui peut les retirer à tout moment.

9. Droits des personnes

Proxia transmet sans délai au Client toute demande d'exercice de droits qu'elle reçoit d'une personne concernée, et l'aide, par des mesures appropriées, à y répondre dans les délais légaux.

10. Violation de données

Proxia notifie au Client toute violation de données personnelles dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance. La notification décrit la nature de la violation, les données et personnes concernées, ses conséquences probables et les mesures prises ou proposées.

11. Assistance

Proxia aide le Client à respecter ses obligations de sécurité, de notification et, le cas échéant, d'analyse d'impact, compte tenu de la nature du traitement et des informations dont elle dispose.

12. Sort des données en fin de contrat

• Les jetons d'accès aux services connectés sont supprimés dès la déconnexion du connecteur, et au plus tard 30 jours après la fin du contrat.
• Les autres données sont, au choix du Client, restituées puis supprimées, ou directement supprimées, dans les 60 jours suivant la fin du contrat (voir l'article 14 des CGV), sauf obligation légale de conservation.
• Les copies présentes dans les sauvegardes disparaissent avec la rotation de celles-ci, sous 14 jours.

13. Documentation et audits

Proxia tient un registre des catégories de traitements effectués pour le compte de ses clients et met à la disposition du Client les informations nécessaires pour démontrer le respect de l'Accord.

Le Client peut faire réaliser un audit une fois par an, à ses frais, moyennant un préavis écrit de 30 jours, par un auditeur tenu à la confidentialité et qui n'est pas un concurrent de Proxia. L'audit ne doit ni perturber le service ni donner accès aux données d'autres clients.

14. Contact

Toute question relative à l'Accord ou à la protection des données s'adresse à contact@prox-ia.com.