Protection des données · Accord de sous-traitance (DPA)

1. Objet, lien contractuel et identité

Ce DPA régit le traitement des données personnelles réalisé pour le compte du client (responsable) afin de fournir le service : importation et gestion des avis, génération assistée de réponses, analyse de schémas, élaboration de recommandations et de rapports, et remise via les canaux configurés.

Lien contractuel

Lorsque RepuOrbit traite des données personnelles pour le compte du client, ce DPA (version 1.0), fondé sur l’article 28 du RGPD, fait partie intégrante des conditions contractuelles applicables au service et des Conditions générales, et lie les parties dès l’acceptation de ces conditions.

Identité du sous-traitant

RepuOrbit est un produit de IATASKIA S.L., NIF B05703038 (Espagne), qui agit en tant que sous-traitant lorsqu’elle traite des données personnelles pour le compte du client.

Nature

Opérations de collecte, de stockage, de consultation, d’analyse, de génération assistée par IA, de communication aux canaux configurés et de suppression, par des moyens automatisés.

2. Durée

La sous-traitance est maintenue tant que la relation de service est en vigueur. À sa fin, les dispositions de la clause de restitution ou de suppression s’appliqueront.

3. Catégories de personnes concernées et types de données

Catégories de personnes concernées

• Clients finaux et auteurs d’avis de l’entreprise.
• Personnel et utilisateurs autorisés de l’entreprise cliente.

Types de données

• Données d’identification et de contact contenues dans les avis et les réponses.
• Contenu des avis et des communications associées.
• Données de configuration et métadonnées techniques nécessaires au service.

Catégories particulières de données

RepuOrbit ne demande pas de catégories particulières de données personnelles pour la prestation ordinaire du service. Néanmoins, le contenu des avis ou des communications traités peut inclure de manière incidente des informations de cette nature introduites par leurs propres auteurs. Le client, en sa qualité de responsable du traitement, devra garantir l’existence d’une base juridique adéquate le cas échéant et configurer et utiliser le service conformément à la réglementation sur la protection des données.

4. Instructions documentées et confidentialité

RepuOrbit traitera les données uniquement en suivant les instructions documentées du client, y compris celles du présent DPA et celles découlant de l’utilisation de la plateforme, sauf obligation légale. Si une instruction enfreint la réglementation, RepuOrbit en informera le client.

Les personnes autorisées à traiter les données s’engagent à respecter la confidentialité ou sont soumises à une obligation de confidentialité de nature équivalente.

5. Mesures techniques et organisationnelles

RepuOrbit applique des mesures techniques et organisationnelles adaptées au risque. Les mesures effectivement mises en œuvre sont décrites dans l’Annexe I du présent DPA.

6. Assistance au responsable et exercice des droits

RepuOrbit assistera raisonnablement le client pour : répondre aux demandes d’exercice des droits des personnes concernées ; respecter les obligations de sécurité, de notification des violations et, le cas échéant, les analyses d’impact et les consultations préalables.

7. Incidents et violations de sécurité

RepuOrbit notifiera le client sans retard injustifié lorsqu’il aura connaissance d’une violation de sécurité affectant des données traitées pour le compte du client.

Dans la mesure du possible, il fournira :

• la nature de l’incident ;
• les catégories de données et de personnes concernées affectées ;
• les conséquences probables ;
• les mesures adoptées ou proposées ;
• les informations nécessaires pour que le responsable puisse remplir ses obligations de notification.

8. Sous-traitants ultérieurs

• Le client accorde une autorisation générale pour le recours à des sous-traitants ultérieurs dans la fourniture du service.
• RepuOrbit informera des ajouts ou remplacements de sous-traitants ultérieurs qui affectent le traitement des données.
• Le client pourra formuler des objections justifiées conformément au présent DPA.
• Les sous-traitants ultérieurs seront soumis à des obligations de protection des données équivalentes à celles applicables à RepuOrbit.

9. Sous-traitants ultérieurs et fournisseurs de traitement

Selon les fonctionnalités utilisées, le service pourra s’appuyer sur les types de fournisseurs suivants. La liste est prête à être mise à jour avec les fournisseurs réels ; aucun fournisseur non encore contractualisé n’est présenté comme tel :

• Google Business Profile / Google — avis et publication.
• Meta / WhatsApp Business Platform et Telegram — remise et approbation des réponses.
• Fournisseurs d’IA configurés par le client — OpenAI, Anthropic, Google Gemini.
• Fournisseur de paiement — lorsque le système de paiement sera mis en place.
• Fournisseur d’hébergement / base de données — infrastructure du service.
• Fournisseur de messagerie — communications du service.
• Services techniques nécessaires à l’exploitation de la plateforme.

Fournisseurs d’IA et identifiants (clé API)

• Le client peut configurer son propre fournisseur d’IA et utiliser ses propres identifiants/clé API.
• Cela ne signifie pas que les données ne transitent jamais par l’infrastructure de RepuOrbit.
• RepuOrbit peut avoir besoin de recevoir, de traiter et de transmettre certaines données pour exécuter la fonctionnalité demandée.
• Les données nécessaires pourront être envoyées au fournisseur d’IA sélectionné ou configuré par le client.
• Les identifiants sont traités de manière sécurisée conformément aux mesures effectivement mises en œuvre (voir Annexe I) : ils sont stockés chiffrés et masqués dans les journaux.

10. Transferts internationaux

Lorsqu’un fournisseur ou sous-traitant ultérieur implique un transfert international de données, le mécanisme juridique approprié conformément au chapitre V du RGPD sera utilisé, par exemple : une décision d’adéquation, des clauses contractuelles types ou d’autres garanties légalement valables.

Il n’est pas affirmé que l’ensemble des données reste toujours en Espagne ou dans l’EEE.

Une fois confirmée, l’information sera détaillée par fournisseur réel, avec la structure suivante :

• fournisseur ;
• pays ou région de traitement ;
• service fourni ;
• mécanisme de transfert applicable.

11. Audit et information de conformité

Sans préjudice du droit du client d’auditer conformément à l’art. 28 RGPD, ce droit s’exercera dans des conditions raisonnables :

• RepuOrbit mettra à la disposition du client les informations raisonnablement nécessaires pour démontrer le respect de ses obligations.
• Les audits seront réalisés avec un préavis raisonnable.
• La confidentialité et la sécurité des informations propres et de tiers seront respectées.
• Les interférences disproportionnées avec la continuité du service seront évitées.
• Le droit pourra être satisfait au moyen de documentation, de preuves ou d’audits de tiers lorsque ceux-ci sont suffisants.

12. Restitution ou suppression des données

Une fois la prestation terminée, et au choix du responsable, RepuOrbit restituera ou supprimera les données personnelles traitées pour le compte du client. À ces fins, on distingue :

• Données actives : restituées ou supprimées après la fin du service, selon le choix du responsable.
• Données conservées par obligation légale : conservées bloquées pendant les délais légalement exigibles et supprimées à leur expiration.
• Copies de sauvegarde (backups) : les données contenues dans les copies de sauvegarde sont supprimées conformément au cycle de rétention techniquement établi et restent bloquées et non accessibles à une exploitation ordinaire pendant cette période, le cas échéant.
• Fin du service : une fois les étapes précédentes accomplies, l’information est supprimée, à l’exception de celle qui doit être légalement conservée.

Annexe I — Mesures techniques et organisationnelles

Mesures effectivement mises en œuvre dans le service à la date de cette version du DPA :

• Chiffrement des secrets au repos : les identifiants et intégrations sensibles (clés API des fournisseurs d’IA et jetons d’accès de Google, WhatsApp et Telegram) sont stockés chiffrés au moyen d’AES-256-GCM.
• Protection des mots de passe : les mots de passe des utilisateurs sont stockés hachés au moyen de bcrypt ; jamais en clair.
• Authentification : accès au moyen de jetons signés (JWT) vérifiés à chaque requête.
• Contrôle d’accès basé sur les rôles : autorisations par rôle au sein de chaque organisation et séparation du rôle d’administration de la plateforme.
• Isolation logique multi-locataire : les données sont segmentées par organisation et entreprise ; l’accès est résolu selon l’appartenance de l’utilisateur.
• Validation et assainissement des entrées : les requêtes sont validées au moyen de schémas stricts avant d’être traitées.
• Journaux d’audit : les événements pertinents (par exemple, authentification et changements d’identifiants) sont enregistrés pour leur traçabilité.
• En-têtes de sécurité HTTP et CORS restreint : des en-têtes de sécurité et une politique CORS contrôlée sont appliqués.
• Limitation de débit (rate limiting) : la fréquence des requêtes est limitée, avec des limites plus strictes lors de l’authentification, pour atténuer les abus et les attaques par force brute.
• Gestion sécurisée des secrets : la configuration sensible est validée et chargée depuis l’environnement (non intégrée dans le code) et les données sensibles sont masquées dans les journaux.
• Communications chiffrées : les communications avec les services externes s’effectuent via HTTPS/TLS ; l’application est prête à fonctionner derrière un proxy qui gère la terminaison TLS.
• Vérification en temps constant : la vérification de certains jetons sensibles emploie des comparaisons en temps constant.
• Mécanismes d’effacement : il est possible de révoquer et de supprimer les identifiants et intégrations stockés, ainsi que de supprimer des entreprises et leurs données associées. Minimisation des données : seules les données nécessaires à la fourniture de la fonctionnalité demandée sont traitées.