Accord de traitement des données

1. Parties et champ d’application

Le présent Accord de traitement des données (« Accord ») est conclu entre le client qui accepte les Conditions d’utilisation (« Client », le responsable du traitement) et IMFA Labs LLC, une société à responsabilité limitée (limited liability company) immatriculée dans le Wyoming, aux États-Unis (« IMFA », le sous-traitant). Il fait partie des Conditions et s’applique aux données personnelles qu’IMFA traite pour le compte du Client dans le cadre de la fourniture d’IMFA Agents (« Données personnelles du Client »). Il reflète l’article 28 du Règlement général sur la protection des données de l’UE (RGPD), le RGPD britannique et les lois similaires lorsqu’elles s’appliquent.

En cas de contradiction entre le présent Accord et les Conditions, le présent Accord prévaut pour les Données personnelles du Client. Si les clauses contractuelles types s’appliquent et contredisent le présent Accord, les clauses contractuelles types prévalent.

2. Objet et durée

IMFA traite les Données personnelles du Client pour fournir le service que le Client configure : héberger des agents, répondre aux conversations sur le widget du site web, par la voix et sur les canaux connectés, stocker des connaissances et des fichiers, recueillir des prospects et des commandes, connecter les services choisis par le Client et assurer la sécurité du service. Le traitement dure tant que le Client utilise le service et jusqu’à la suppression prévue à la section 11. Les détails figurent à l’Annexe 1.

3. Obligations du Client

Le Client :

• décide quelles données personnelles entrent dans le service et pour quelles raisons, et dispose d’une base légale à cet effet ;
• fournit à ses visiteurs et clients les informations exigées par la loi (y compris le fait qu’ils échangent avec une IA lorsque cela est requis) et obtient tout consentement requis ;
• n’ajoute pas de catégories particulières de données ni de données d’enfants, sauf si la loi le permet et que le Client dispose de toutes les garanties requises ;
• configure de manière appropriée ses agents, ses canaux, l’accès de son équipe et ses intégrations ;
• répond aux demandes des personnes concernées, avec l’aide d’IMFA prévue à la section 8.

4. Obligations d’IMFA

IMFA :

• traite les Données personnelles du Client uniquement sur instructions documentées du Client, à savoir les Conditions, le présent Accord et les paramètres du Client dans le service, sauf si la loi en dispose autrement (auquel cas IMFA en informe d’abord le Client, sauf si la loi l’interdit) ;
• informe le Client si elle estime qu’une instruction enfreint la législation sur la protection des données ;
• ne vend pas les Données personnelles du Client et ne les utilise pas pour ses propres finalités, sauf dans la mesure nécessaire pour sécuriser le service, prévenir les abus et respecter la loi, comme le décrit la Politique de confidentialité ;
• n’utilise pas les Données personnelles du Client pour entraîner des modèles d’IA.

5. Confidentialité

IMFA veille à ce que les personnes autorisées à traiter les Données personnelles du Client soient tenues à la confidentialité et n’y accèdent que dans la mesure nécessaire pour fournir, assister et sécuriser le service.

6. Sécurité

IMFA applique les mesures techniques et organisationnelles décrites à l’Annexe 2, en tenant compte de l’état de l’art, des coûts et des risques. IMFA peut les mettre à jour à condition que le niveau global de protection ne diminue pas.

7. Sous-traitants ultérieurs

Le Client accorde à IMFA une autorisation générale de recourir à des sous-traitants ultérieurs. La liste actuelle figure sur la page Sous-traitants. IMFA :

• lie chaque sous-traitant ultérieur, par contrat écrit, à des obligations de protection des données au moins aussi protectrices que le présent Accord, en fonction du service qu’il fournit ;
• met la liste à jour avant d’ajouter ou de remplacer un sous-traitant ultérieur ; le Client peut demander à être informé des modifications par e-mail à privacy@imfa.io ;
• permet au Client de s’opposer pour des motifs raisonnables liés à la protection des données dans un délai de 30 jours suivant la mise à jour ; si les parties ne parviennent pas à résoudre l’objection, le Client peut cesser d’utiliser la fonctionnalité concernée ou mettre fin au service, et obtenir un remboursement au prorata des frais payés d’avance pour la période non utilisée de cet abonnement ;
• reste responsable de l’exécution par ses sous-traitants ultérieurs comme l’exige la loi.

Les plateformes que le Client connecte (Meta, Telegram, Discord, Google et les moyens de paiement via Stripe) agissent en tant que responsables du traitement indépendants pour leurs propres traitements et ne sont pas des sous-traitants ultérieurs d’IMFA.

8. Aide pour les demandes des personnes concernées

Compte tenu de la nature du traitement, IMFA aide le Client à répondre aux demandes d’accès, de rectification, de suppression, de limitation ou de portabilité des données personnelles, principalement au moyen des outils du service (consultation et suppression des conversations, prospects, fichiers et agents). Lorsque les outils ne suffisent pas, le Client peut écrire à privacy@imfa.io. Si IMFA reçoit une demande directement d’une personne concernée du Client, elle oriente cette personne vers le Client lorsqu’elle peut l’identifier et n’y répond pas elle-même, sauf demande du Client.

9. Violations de données personnelles

IMFA informe le Client dans les meilleurs délais après avoir pris connaissance d’une violation de données personnelles affectant les Données personnelles du Client, en lui fournissant, au fur et à mesure de leur disponibilité, les informations dont il a besoin pour respecter ses propres obligations. IMFA prend des mesures raisonnables pour contenir la violation. Une notification ne constitue pas une reconnaissance de faute.

10. Analyses d’impact et autorités

IMFA apporte au Client une aide raisonnable pour les analyses d’impact relatives à la protection des données et les consultations préalables des autorités de contrôle concernant le service, à partir des informations dont elle dispose, principalement le présent Accord, la page Transparence sur l’IA et la liste des Sous-traitants.

11. Restitution et suppression

Le Client peut supprimer à tout moment, dans le service, les conversations, les fichiers, les connaissances, les agents et l’ensemble de son compte. En cas de suppression du compte, IMFA supprime les Données personnelles du Client comme le décrit la Politique de confidentialité (après un délai de 3 jours pendant lequel le Client peut annuler la suppression), sauf lorsque la loi impose à IMFA de les conserver. Les copies figurant dans les sauvegardes des prestataires sont supprimées selon leur calendrier habituel. Avant la suppression, le Client peut demander une copie de ses données à privacy@imfa.io.

12. Audits

IMFA met à disposition les informations raisonnablement nécessaires pour démontrer le respect du présent Accord, y compris le présent document, ses annexes et des synthèses des certifications de ses prestataires. Si cela ne suffit pas, le Client peut demander un audit, au maximum une fois par an, moyennant un préavis de 30 jours, à ses propres frais, réalisé par un auditeur indépendant tenu à la confidentialité, d’une manière qui ne perturbe pas le service et n’expose pas les données d’autres clients. Les audits des sous-traitants ultérieurs sont couverts par leurs propres rapports et certifications.

13. Transferts internationaux

IMFA est établie aux États-Unis et ses sous-traitants ultérieurs traitent des données dans les pays indiqués à l’Annexe 3. Lorsque des Données personnelles du Client sont transférées depuis l’Espace économique européen, le Royaume-Uni ou la Suisse vers un pays ne bénéficiant pas d’une décision d’adéquation, les clauses contractuelles types de l’UE (Module 2, de responsable du traitement à sous-traitant, ou Module 3, de sous-traitant à sous-traitant, selon le cas), avec l’avenant britannique et les adaptations suisses lorsqu’ils s’appliquent, sont intégrées par référence au présent Accord, IMFA agissant en qualité d’importateur de données. IMFA exige des garanties équivalentes de ses sous-traitants ultérieurs.

14. Responsabilité et durée

La responsabilité de chaque partie au titre du présent Accord est soumise aux limitations prévues par les Conditions, sauf lorsque la loi ne les autorise pas. Le présent Accord reste en vigueur tant qu’IMFA traite des Données personnelles du Client.

Annexe 1 : Détails du traitement

Annexe 2 : Mesures techniques et organisationnelles

• Contrôle d’accès : authentification pour chaque requête du tableau de bord et de l’API ; contrôles d’autorisation côté serveur sur chaque fonction ; rôles pour les agents partagés (propriétaire, éditeur, lecteur) ; outils d’administration réservés aux administrateurs d’IMFA.
• Identifiants : clés API et jetons d’accès stockés sous forme d’empreintes ; identifiants des canaux et jetons Google stockés chiffrés ; secrets jamais réaffichés dans la discussion du générateur.
• Transport : connexions chiffrées (HTTPS) entre les navigateurs, nos services et nos prestataires.
• Isolement : les données de chaque client sont limitées à son propre compte et à ses propres agents pour chaque requête.
• Prévention des abus : limites de débit par visiteur, conversation, agent et compte ; vérifications anti-robots sur le widget ; contrôles automatisés du contenu et de sécurité ; avertissements et blocages des visiteurs.
• Protection des données dans l’IA : conservation nulle des données demandée sur Convex AI Gateway ; coordonnées retirées avant la qualification des prospects et les résumés ; instructions exclues des réponses.
• Minimisation et conservation des données : suppression automatique des conversations inactives, des journaux et des registres selon les calendriers de la Politique de confidentialité ; décisions conservées sans le texte des conversations.
• Registres d’activité : journaux d’audit et d’activité pour les modifications sensibles et l’activité des agents.
• Prestataires : infrastructure hébergée chez des prestataires disposant de leurs propres certifications de sécurité (consultez la liste des Sous-traitants).

Annexe 3 : Mécanismes de transfert international