Accord de traitement des données (DPA)

1. Objet

Le présent accord (« DPA ») complète les Conditions Générales de Vente et définit les obligations respectives d'OVALEO SAS (« Sous-traitant ») et du Client (« Responsable de traitement ») en matière de protection des données personnelles, conformément au Règlement (UE) 2016/679 (RGPD).

2. Données traitées

Dans le cadre de la fourniture du service MonKoleg, le Sous-traitant traite pour le compte du Client :

• Données de messagerie : expéditeur, objet, contenu des e-mails
• Données d'agenda : rendez-vous, participants, lieux
• Documents métier : contrats, factures, bons de commande indexés par l'assistant
• Données de facturation : noms, montants, échéances extraits des outils connectés
• Données d'identification : nom, prénom, email des interlocuteurs du Client

3. Finalités et instructions

Le Sous-traitant traite les données uniquement sur instruction documentée du Client, dans le seul but de fournir le service MonKoleg tel que décrit dans les CGV. Aucune donnée n'est utilisée à des fins propres du Sous-traitant, notamment pour l'entraînement de modèles d'intelligence artificielle.

4. Localisation et sous-traitants ultérieurs

L'environnement dédié du Client (documents indexés, mémoire de l'assistant, historique) est hébergé en France, sur l'infrastructure OVHcloud (datacenters de Roubaix et Gravelines).

Liste des sous-traitants ultérieurs autorisés :

• OVHcloud SAS (France) — hébergement de l'environnement dédié du Client
• Moteur d'IA choisi par le Client (européen, américain ou autre) — traitement des requêtes adressées à l'assistant. Le prestataire retenu est confirmé au Client à la souscription.
• Prestataire de traitement vocal de l'accueil téléphonique, choisi selon les contraintes du Client (prestataire américain, prestataire européen ou infrastructure dédiée) — confirmé au Client à la souscription.
• Stripe — traitement des paiements
• Vercel Inc. — hébergement du site de présentation uniquement (aucune donnée client)

Lorsque des données sont traitées hors de l'Union européenne, ce transfert est encadré par les garanties prévues au chapitre V du RGPD (décision d'adéquation ou clauses contractuelles types de la Commission européenne).

Le Client échange avec l'assistant via la messagerie de son choix (Telegram ou WhatsApp). Ces services sont opérés par des sociétés établies hors de l'Union européenne, selon leurs propres conditions.

Toute modification de cette liste fera l'objet d'une notification préalable au Client avec un délai de 30 jours pour s'y opposer.

5. Mesures de sécurité

• Chiffrement des données au repos (AES-256) et en transit (TLS 1.3)
• Environnement dédié par client (isolation au niveau de l'infrastructure, pas seulement logicielle)
• Authentification forte pour l'accès aux systèmes internes
• Sauvegardes quotidiennes chiffrées avec rétention de 30 jours
• Journalisation des accès aux données avec conservation 12 mois

6. Droits des personnes concernées

Le Sous-traitant assiste le Client dans le traitement des demandes d'exercice des droits (accès, rectification, effacement, portabilité, opposition) dans un délai de 5 jours ouvrés suivant la demande.

7. Notification des violations

En cas de violation de données personnelles, le Sous-traitant notifie le Client dans les 48 heures suivant la prise de connaissance de l'incident, avec les informations requises par l'article 33 du RGPD.

8. Restitution et suppression

À la fin du contrat, le Sous-traitant restitue l'intégralité des données du Client dans un format standard (JSON ou CSV) sous 48 heures, puis supprime définitivement toutes les copies dans un délai de 30 jours, sauf obligation légale de conservation.

9. Audit

Le Client peut demander un audit de conformité une fois par an, à ses frais, avec un préavis de 30 jours. Le Sous-traitant met à disposition les informations nécessaires et facilite les contrôles.

10. Contact DPO

Pour toute question relative à la protection des données : privacy@monkoleg.fr