Accord de Sous-Traitance des Données Personnelles

1. Parties

2. Objet

Le présent Accord définit les conditions dans lesquelles NovatixAI (Sous-Traitant) traite les données personnelles pour le compte du Client (Responsable du traitement), conformément au Règlement (UE) 2016/679 du 27 avril 2016 (« RGPD »), notamment son article 28.

3. Définitions

• Données personnelles : toute information se rapportant à une personne physique identifiée ou identifiable (art. 4.1 RGPD).
• Traitement : toute opération effectuée sur des données personnelles (collecte, enregistrement, consultation, utilisation, communication, conservation, effacement, etc.).
• Personne concernée : la personne dont les données sont traitées (clients, patients, prospects, salariés du Client).
• Violation de données : violation de la sécurité entraînant destruction, perte, altération ou divulgation non autorisée de données.

4. Description du traitement

4.1 Nature et finalités

NovatixAI traite les données personnelles pour fournir les services suivants au Client :

• Site web professionnel et hébergement
• Chatbot IA conversationnel (web et/ou WhatsApp Business)
• Agent vocal IA pour traitement des appels entrants
• Automatisation de prise de rendez-vous
• Prospection commerciale automatisée (selon offre souscrite)

4.2 Catégories de personnes concernées

• Prospects du Client (visiteurs site, leads)
• Clients/patients du Client
• Contacts professionnels du Client

4.3 Catégories de données traitées

Aucune donnée sensible n'est traitée par défaut (santé, opinions politiques, religieuses, syndicales, orientation sexuelle, biométrie). Si le Client introduit des données sensibles via sa propre configuration, une analyse d'impact (AIPD) sera requise.

4.4 Durée du traitement

Le traitement s'effectue pendant toute la durée du contrat de services principal. Les durées de conservation détaillées par catégorie de donnée sont décrites dans la Politique de Confidentialité NovatixAI et résumées en Annexe A.

5. Obligations du Sous-Traitant

NovatixAI s'engage à :

• Traiter les données uniquement sur instruction documentée du Responsable du traitement (Client) et conformément aux finalités convenues
• Garantir la confidentialité et soumettre les personnes accédant aux données à une obligation de confidentialité
• Mettre en œuvre les mesures techniques et organisationnelles appropriées (cf. section 8)
• Ne recourir à un autre sous-traitant qu'après autorisation écrite générale du Client (liste sous-traitants en section 6)
• Assister le Client pour répondre aux demandes des personnes concernées (cf. section 10)
• Aider le Client à respecter ses obligations RGPD (sécurité, notification de violation, AIPD)
• À la fin de la prestation, supprimer ou restituer les données selon le choix du Client (cf. section 12)
• Mettre à disposition toutes informations nécessaires pour démontrer la conformité et permettre les audits (cf. section 11)

6. Sous-sous-traitants autorisés

Le Client autorise NovatixAI à faire appel aux sous-sous-traitants suivants pour fournir les services :

NovatixAI informera le Client par email de tout changement (ajout/remplacement) au moins 30 jours avant. Le Client peut s'y opposer pour motif légitime.

7. Localisation des données et transferts hors UE

Données principales hébergées en UE : les données opérationnelles (base de données, conversations, profils) sont hébergées sur les serveurs Hostinger en Lituanie (UE).

Transferts hors UE : certains traitements (IA Claude/OpenAI, SMS Twilio) impliquent un transfert temporaire vers les États-Unis. Ces transferts sont encadrés par les Clauses Contractuelles Types (CCT) de la Commission européenne du 4 juin 2021, garantissant un niveau de protection équivalent.

8. Mesures de sécurité

8.1 Mesures techniques

• Chiffrement TLS 1.3 en transit pour toutes communications (HTTPS, SSH, API)
• Chiffrement des secrets et tokens d'API (variables d'environnement avec permissions restreintes)
• Authentification par clé SSH uniquement (mots de passe désactivés)
• Pare-feu actif (UFW) limitant les ports exposés
• Protection anti-brute force (Fail2ban)
• Sauvegardes quotidiennes automatiques + sauvegarde offsite chiffrée
• Monitoring temps réel (alertes en cas d'anomalie)

8.2 Mesures organisationnelles

• Accès aux données strictement limité au personnel autorisé (actuellement : Président uniquement)
• Tracabilité des accès et modifications (logs)
• Procédure documentée de réponse aux violations
• Mise à jour régulière des dépendances logicielles (patchs sécurité)

9. Notification de violation de données

En cas de violation de données affectant les données du Client, NovatixAI s'engage à :

• Notifier le Client dans les 24 heures suivant la prise de connaissance de la violation, par email à l'adresse renseignée à la section 1
• Fournir au minimum : nature de la violation, catégories et nombre approximatif de personnes concernées, conséquences probables, mesures prises ou envisagées
• Coopérer avec le Client pour la notification éventuelle à la CNIL et aux personnes concernées (art. 33-34 RGPD)

10. Assistance aux droits des personnes

Lorsqu'une personne concernée exerce ses droits (accès, rectification, effacement, opposition, portabilité, limitation), NovatixAI assistera le Client à répondre dans les délais légaux :

• Réponse aux demandes transmises par le Client sous 10 jours ouvrés maximum
• Fourniture des données dans un format structuré et réutilisable (JSON, CSV)
• Suppression complète des données concernées sur demande, y compris dans les sauvegardes (purge dans les 30 jours)

11. Audit

Le Client peut, sur préavis raisonnable (15 jours minimum), réaliser un audit annuel de la conformité de NovatixAI au présent Accord. NovatixAI s'engage à coopérer pleinement et fournir toute information demandée.

Audit réalisable :

• Soit par le Client lui-même
• Soit par un tiers indépendant mandaté par le Client (et accepté par NovatixAI)
• Soit via questionnaire écrit + preuves documentaires

12. Fin du contrat

À la fin du contrat de services principal, NovatixAI s'engage, sur instruction écrite du Client à recevoir dans les 30 jours :

• Soit restituer toutes les données personnelles au Client dans un format structuré (export DB + médias)
• Soit supprimer définitivement toutes les données, y compris dans les sauvegardes (purge sous 30 jours), et fournir un certificat d'effacement

13. Responsabilité

NovatixAI est responsable des dommages directs causés par ses manquements aux obligations du présent Accord, dans les limites fixées par le Contrat de services principal et par le RGPD (art. 82).

En cas de demande indemnitaire d'une personne concernée, les parties coopèrent pour évaluer leurs parts respectives de responsabilité.

14. Droit applicable et juridiction

Le présent Accord est régi par le droit français et le RGPD (Règlement UE 2016/679). Tout litige relatif à son exécution sera soumis à la compétence exclusive des Tribunaux de Montpellier, sauf disposition impérative contraire.

Annexe A, Durées de conservation détaillées