Sous-traitance des données

Le contrat prévu à l’article 28 du RGPD entre votre boutique (responsable du traitement) et Tendr (sous-traitant). Il fait partie des conditions du service.

Objet et durée

Tendr traite des données personnelles pour le compte de la boutique afin de fournir le chat, la collecte de contacts, les tickets, l’assistance en direct et les statistiques. La sous-traitance dure aussi longtemps que le service, plus les délais d’effacement indiqués ci-dessous. Si vous acceptez les conditions au nom d’une entreprise, vous déclarez avoir le pouvoir de l’engager.

Données et personnes concernées

Personnes concernées : les visiteurs et clients de la boutique, et les membres de son équipe qui utilisent le tableau de bord. Données : texte des conversations, code visiteur, nom, e-mail, téléphone et autres champs des formulaires configurés par la boutique, données des tickets, page visitée, langue, numéro et montant de la commande. Traitements : stocker, consulter, envoyer au fournisseur d’IA pour générer des réponses, communiquer à la boutique et effacer. La boutique ne doit pas collecter de catégories particulières de données par le chat.

Ce que fait Tendr

• Il traite les données uniquement pour fournir le service et selon les instructions de la boutique, qui sont ces conditions et la configuration du tableau de bord, sauf obligation légale. S’il estime qu’une instruction enfreint la loi, il en informe la boutique.
• Il n’utilise pas les données à ses propres fins et ne les vend pas. Il ne les utilise pas pour entraîner ses propres modèles d’IA.
• Il exige la confidentialité de quiconque y accède et applique des mesures de sécurité appropriées : connexions chiffrées, mots de passe hachés, clés d’API chiffrées, contrôle d’accès, journal des actions de l’équipe et masquage des e-mails et numéros de téléphone envoyés au fournisseur d’IA.
• Il aide la boutique à répondre aux demandes d’exercice des droits des personnes concernées : le tableau de bord permet de consulter, d’exporter et d’effacer les conversations, contacts et tickets. Si une personne concernée s’adresse à Tendr, il transmet sa demande à la boutique.
• Il informe la boutique dans les meilleurs délais, et dans la mesure du possible sous 48 heures, s’il a connaissance d’une violation de la sécurité affectant ses données, avec les informations disponibles.
• Il apporte son aide pour les analyses d’impact et les consultations de l’autorité, et fournit les informations nécessaires pour démontrer la conformité, y compris pour des audits raisonnables avec un préavis de 30 jours, sur demande à [email protected].

Sous-traitants ultérieurs

La boutique autorise de manière générale ces sous-traitants ultérieurs. Tendr préviendra par e-mail 30 jours à l’avance avant d’en ajouter ou d’en changer un ; si la boutique s’y oppose pour des motifs raisonnables et qu’aucune solution n’est trouvée, elle peut annuler le service.

Limite importante : DeepSeek ne propose pas aujourd’hui de contrat de sous-traitance, de sorte que Tendr ne peut pas lui imposer contractuellement les obligations du présent document. C’est pourquoi la boutique décide, sur la base de ces informations, d’utiliser l’IA incluse ou sa propre clé d’un autre fournisseur.

Transferts internationaux

L’utilisation de DeepSeek implique l’envoi de données vers la Chine, sans décision d’adéquation ni clauses contractuelles types. Tendr ne peut pas garantir pour ces envois un niveau de protection équivalent à celui de l’UE et n’applique comme seule mesure que le masquage automatique des e-mails et numéros de téléphone ; les noms, adresses et autres textes libres sont bien envoyés. En tant que responsable du traitement, la boutique doit évaluer si cela est acceptable dans son cas. Si elle ne l’accepte pas, elle doit configurer un autre fournisseur dans les réglages de l’assistant, dans le tableau de bord. Les transferts vers les autres sous-traitants ultérieurs reposent sur le cadre de protection des données UE-États-Unis ou sur les clauses contractuelles types de leurs conditions.

Fin de la sous-traitance

La boutique peut exporter ses données à tout moment. Lorsqu’une boutique est déconnectée, ses données sont effacées après 30 jours ; lorsque le compte est supprimé, immédiatement. Les conversations, contacts et tickets sont en outre effacés 24 mois après la dernière activité. Tendr ne conserve que ce que la loi lui impose.

Ce que doit faire votre boutique

• Informer dans sa politique de confidentialité de l’utilisation d’un chat doté d’IA, de Tendr en tant que sous-traitant et de l’envoi de données à ses sous-traitants ultérieurs, y compris vers la Chine si elle utilise l’IA incluse.
• Informer du cookie tendr_conv et du stockage du chat, et demander le consentement lorsque sa réglementation l’exige.
• Disposer d’une base légale pour les données demandées dans les formulaires et répondre aux demandes d’exercice des droits de ses visiteurs.
• Ne pas configurer l’assistant pour qu’il dissimule qu’il est une IA.