Accord de traitement des données (art. 28 RGPD)

Le présent accord de traitement des données (ci-après l’« Accord de traitement des données ») fait partie intégrante du contrat conclu entre KobiTech B.V. et le Client pour l’utilisation de KobiChat. Il régit le traitement des données à caractère personnel que le Client fait traiter pour son compte via KobiChat, conformément à l’article 28 du RGPD. En cas de contradiction avec les conditions générales, le présent Accord de traitement des données prévaut en ce qui concerne la protection des données.

1. Rôles et objet

1.1 Le Client est le responsable du traitement des données à caractère personnel qu’il traite via KobiChat (en particulier les conversations WhatsApp, les coordonnées et les messages de ses propres clients). KobiTech est le sous-traitant de ces données et les traite exclusivement pour le compte du Client.

1.2 Pour les données de compte, de facturation et d’utilisation propres au Client, KobiTech est elle-même responsable du traitement ; notre politique de confidentialité s’applique à ces données.

2. Instructions

2.1 Nous traitons les données à caractère personnel exclusivement sur la base des instructions documentées du Client, y compris l’utilisation normale du service telle que décrite dans le contrat et la documentation, sauf si une obligation légale nous impose d’agir autrement (auquel cas nous en informons le Client au préalable, à moins que la loi ne l’interdise).

2.2 Nous informons le Client si, selon nous, une instruction constitue une violation du RGPD ou d’autres règles relatives à la protection des données.

3. Nature, finalité et durée

3.1 Nature et finalité : la fourniture d’une boîte partagée pour la communication WhatsApp professionnelle (envoi/réception de messages, gestion des contacts et des conversations et - lorsque le Client les active - préqualification par IA, broadcasts, intégrations d’agenda et de CRM). Les détails du traitement figurent à l’annexe A.

3.2 Durée : le présent Accord de traitement des données s’applique aussi longtemps que nous traitons des données à caractère personnel pour le Client, et donc pendant toute la durée du contrat.

4. Confidentialité

Les personnes qui ont accès aux données à caractère personnel pour notre compte sont tenues à une obligation de confidentialité. Dans le cadre de l’administration courante, les administrateurs de la plateforme KobiTech n’ont pas accès au contenu des conversations des clients.

5. Sécurité

Nous prenons des mesures techniques et organisationnelles appropriées conformément à l’article 32 du RGPD afin de sécuriser les données à caractère personnel. Ces mesures figurent à l’annexe B. Nous les évaluons et les mettons à jour périodiquement.

6. Sous-traitants ultérieurs

6.1 Le Client accorde une autorisation générale pour le recours à des sous-traitants ultérieurs. La liste actuelle figure à l’annexe C et dans notre politique de confidentialité.

6.2 Nous imposons à chaque sous-traitant ultérieur au moins les mêmes obligations que celles prévues par le présent Accord de traitement des données. En cas de changement envisagé (ajout ou remplacement d’un sous-traitant ultérieur), nous en informons le Client au préalable ; le Client peut s’y opposer de manière motivée dans un délai de 14 jours, après quoi les parties recherchent une solution par une concertation raisonnable.

7. Assistance au Client

7.1 Droits des personnes concernées : nous apportons au Client une assistance raisonnable pour les demandes des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition). Si nous recevons directement une telle demande, nous renvoyons la personne concernée vers le Client.

7.2 AIPD et consultation : nous apportons une assistance raisonnable pour une analyse d’impact relative à la protection des données (AIPD) et pour la consultation préalable de l’autorité de contrôle, dans la mesure où cela concerne notre traitement.

8. Violations de données

Nous informons le Client dans les meilleurs délais - et si possible dans les 48 heures - après avoir pris connaissance d’une violation de données à caractère personnel concernant les données du Client, en fournissant les informations visées à l’article 33 du RGPD dans la mesure où nous en avons connaissance. Le Client reste responsable de toute notification à l’autorité de contrôle et/ou aux personnes concernées.

9. Restitution et suppression

Après la fin du contrat, nous supprimons les données à caractère personnel ou les restituons (export), au choix du Client, et effaçons les copies existantes dans un délai raisonnable, sauf si des obligations légales de conservation (par exemple l’obligation fiscale de conservation des données de facturation) imposent une conservation plus longue. En outre, le Client peut à tout moment exporter lui-même les conversations et les contacts, ou les faire supprimer.

10. Audits

Nous mettons à la disposition du Client les informations nécessaires pour démontrer le respect de l’article 28 du RGPD et permettons la réalisation d’audits. Les audits ont lieu au maximum une fois par an, moyennant un préavis raisonnable, pendant les heures de bureau et sans perturber inutilement le fonctionnement de l’entreprise ; le Client supporte ses propres frais liés à ces audits.

11. Transferts hors de l’EEE

Le traitement a lieu au sein de l’Espace économique européen, sauf lorsqu’un sous-traitant ultérieur (voir l’annexe C) traite des données en dehors de l’EEE. Dans ce cas, nous fondons le transfert sur un mécanisme approprié, tel que les clauses contractuelles types de l’UE (SCC) ou le Data Privacy Framework UE-États-Unis.

Annexe A - Détails du traitement

Annexe B - Mesures de sécurité

• Connexions chiffrées (TLS/HTTPS) pour l’ensemble du trafic de données.
• Mots de passe stockés sous forme de hachage robuste (bcrypt) ; authentification à deux facteurs en option (TOTP).
• Séparation logique entre les environnements clients (isolation multilocataire sur chaque chemin de données).
• Webhooks signés/vérifiés (HMAC) pour le trafic WhatsApp entrant.
• Accès basé sur les rôles au sein d’un environnement (propriétaire/administrateur/membre de l’équipe/lecture seule).
• Hébergement au sein de l’UE (Microsoft Azure, Europe de l’Ouest) ; sauvegardes quotidiennes.
• Accès limité et traçable ; administration de la plateforme sans accès au contenu des conversations dans le cadre de l’administration courante.
• Procédures de détection, de traitement et de notification des violations de données.

Annexe C - Sous-traitants ultérieurs