Accord sur le traitement des données

1.1 Définitions. Dans le présent DPA :

(a) « Données personnelles du Client (Customer Personal Data) » désigne les données à caractère personnel comprises dans les Données du Client (Customer Data) que Veliu traite pour le compte du Client dans le cadre de la fourniture des Services.

(b) « Législation sur la protection des données (Data Protection Law) » désigne le règlement (UE) 2016/679 (le « RGPD (GDPR) »), la loi irlandaise de 2018 sur la protection des données (Data Protection Act 2018) et les autres dispositions du droit de l’Union et du droit des États membres relatives aux données à caractère personnel qui s’appliquent au traitement, ainsi que, lorsqu’ils s’appliquent, le RGPD britannique (UK GDPR) et la loi fédérale suisse sur la protection des données.

(c) « Violation de données personnelles (Personal Data Breach) » désigne une violation de données à caractère personnel, au sens de l’article 4, point 12), du RGPD, affectant des Données personnelles du Client.

(d) « Clauses contractuelles types (Standard Contractual Clauses) » désigne les clauses figurant en annexe de la décision d’exécution (UE) 2021/914 de la Commission.

(e) « Sous-traitant ultérieur (Subprocessor) » désigne un sous-traitant auquel Veliu fait appel pour traiter des Données personnelles du Client.

1.2 Rôles. Le Client est le responsable du traitement des Données personnelles du Client et Veliu est son sous-traitant.

1.3 Veliu en qualité de responsable du traitement. Veliu est responsable du traitement (a) de la Télémétrie (Telemetry) anonymisée qu’elle dérive conformément à l’article 11 et (b) des données à caractère personnel des Utilisateurs (Users) qu’elle traite pour administrer leurs comptes, facturer le Client, communiquer avec les Utilisateurs et comprendre la manière dont les Services sont utilisés, comme le décrit la politique de confidentialité (Privacy Policy) de Veliu.

1.4 Responsabilités du Client. Le Client s’assure que ses instructions sont conformes à la Législation sur la protection des données, qu’il dispose d’une base légale pour le traitement et qu’il fournit à ses visiteurs et à ses clients les informations que la loi exige et recueille les consentements qu’elle impose, y compris pour le Veliu code installé sur son site internet.

2.1 Objet et finalité. Veliu traite les Données personnelles du Client afin de fournir les Services au titre du Contrat et de chaque Commande : faire fonctionner le Brand Agent sur le site internet du Client et sur les autres canaux indiqués dans la Commande, préparer les modifications approuvées par le Client et les écrire dans les systèmes du Client, lire les logiciels que le Client connecte, fournir des analyses, des recommandations et du support, et assurer la sécurité.

2.2 Nature. Collecte, enregistrement, organisation, conservation, extraction, consultation, analyse, utilisation dans les conversations et dans l’inférence des modèles, communication aux Sous-traitants ultérieurs et effacement.

2.3 Durée. La durée du Contrat et, après celle-ci, les périodes prévues à l’article 10.

2.4 Catégories de données à caractère personnel.

(a) Données de catalogue et données produits. Toute donnée à caractère personnel figurant dans les données de catalogue et les données produits du Client.

(b) Données des visiteurs et des clients. Le contenu des conversations entre le Brand Agent et les visiteurs et clients du site internet du Client, les identifiants en ligne, les données relatives à l’appareil, au navigateur et à l’utilisation, l’adresse IP et la localisation approximative, ainsi que les données de commande telles que les références de commande, les produits et les montants.

(c) Données issues des logiciels connectés. Les données d’analyse d’audience et de la console de recherche (search console), dans la mesure où elles contiennent des données à caractère personnel, et l’adresse e-mail de chaque compte connecté.

(d) Données des comptes du personnel. Les noms, adresses e-mail professionnelles et fonctions des Utilisateurs du Client, tels qu’utilisés dans les Services pour le compte du Client.

2.5 Catégories de personnes concernées. Les visiteurs du site internet et des autres canaux du Client, y compris les personnes pour le compte desquelles un agent d’IA dialogue avec le Brand Agent ; les clients du Client ; le personnel et les Utilisateurs du Client ; et toute autre personne physique dont le Client inclut les données à caractère personnel dans les Données du Client.

3.1 Instructions documentées. Veliu ne traite les Données personnelles du Client que sur instruction documentée du Client, y compris en ce qui concerne les transferts vers un pays tiers, à moins que le droit de l’Union ou le droit d’un État membre n’en dispose autrement ; dans ce cas, Veliu informe le Client de cette obligation juridique avant le traitement, sauf si ce droit interdit une telle information pour des motifs importants d’intérêt public.

3.2 Contenu. Les instructions documentées du Client sont constituées du présent DPA, du Contrat et de chaque Commande, des paramètres que le Client choisit dans les Services, des approbations qu’il donne dans le back-office et de toute autre instruction écrite compatible avec ceux-ci. Le Client donne instruction à Veliu de dériver la Télémétrie conformément à l’article 11.

3.3 Instructions illicites. Veliu informe immédiatement le Client si, selon elle, une instruction constitue une violation de la Législation sur la protection des données, et peut suspendre l’exécution de cette instruction jusqu’à ce que les Parties conviennent de la marche à suivre.

4.1 Personnes autorisées. Chaque salarié et prestataire que Veliu autorise à traiter des Données personnelles du Client est soumis à une obligation de confidentialité, contractuelle ou légale, et n’accède à ces données que dans la mesure nécessaire à la fourniture des Services ou au respect de la loi.

5.1 Mesures. Veliu met en œuvre et maintient les mesures techniques et organisationnelles décrites à l’annexe 2, qui garantissent un niveau de sécurité adapté au risque conformément à l’article 32 du RGPD.

5.2 Mises à jour. Veliu peut mettre à jour ces mesures, à condition que le niveau global de protection soit maintenu ou amélioré.

6.1 Autorisation. Le Client accorde à Veliu une autorisation écrite générale de faire appel aux Sous-traitants ultérieurs énumérés à l’annexe 3 et à d’autres Sous-traitants ultérieurs conformément au présent article 6.

6.2 Conditions et responsabilité. Veliu fait appel à chaque Sous-traitant ultérieur en vertu d’un contrat écrit dont les obligations en matière de protection des données protègent les Données personnelles du Client au moins aussi bien que le présent DPA, et demeure responsable envers le Client de l’exécution par chaque Sous-traitant ultérieur de ses obligations.

6.3 Information préalable. Veliu informe le Client au moins trente (30) jours à l’avance de tout ajout ou remplacement d’un Sous-traitant ultérieur, par e-mail ou dans le compte du Client, en indiquant le nom du Sous-traitant ultérieur, sa finalité et sa localisation.

6.4 Opposition et résiliation. Pendant le délai de préavis, le Client peut formuler une opposition fondée sur des motifs raisonnables tenant à la protection des données, par e-mail adressé à admin@veliu.com, et les Parties examinent l’opposition de bonne foi. Si Veliu ne peut y remédier avant la prise d’effet du changement, le Client peut résilier la Commande concernée à compter de la date du changement, par notification adressée à admin@veliu.com, en ne payant les frais et redevances que jusqu’à cette date ; en cas de facturation annuelle, Veliu rembourse, à la demande du Client en vertu de l’article 8.9 du Contrat, les frais et redevances payés d’avance pour la période postérieure. En l’absence d’opposition pendant le délai de préavis, le changement est autorisé.

7.1 Hébergement dans l’UE. Veliu conserve les Données personnelles du Client dans l’Union européenne et les y traite, comme l’indique l’article 4.7 du Contrat. L’inférence des modèles s’effectue dans des régions de l’UE lorsque le fournisseur en propose et, à défaut, conformément à l’article 7.2.

7.2 Garanties. Veliu ne transfère des Données personnelles du Client en dehors de l’Espace économique européen, ou ne permet à un Sous-traitant ultérieur de le faire, que lorsque (a) une décision d’adéquation de la Commission européenne couvre la destination, y compris le cadre de protection des données UE-États-Unis (EU-US Data Privacy Framework) pour un destinataire certifié, ou (b) les Clauses contractuelles types (module 3, de sous-traitant à sous-traitant) lient Veliu et le destinataire, avec les mesures supplémentaires que le transfert requiert. Lorsque le droit britannique ou le droit suisse s’applique, les Clauses contractuelles types s’appliquent avec l’addendum britannique (UK Addendum) ou les adaptations suisses. L’annexe 3 indique les garanties applicables.

8.1 Demandes des personnes concernées. Compte tenu de la nature du traitement, Veliu aide le Client, par des mesures techniques et organisationnelles appropriées, à donner suite aux demandes dont les personnes concernées le saisissent en vue d’exercer leurs droits. Veliu transmet au Client dans les meilleurs délais toute demande de ce type qu’elle reçoit, et ne répond à la personne concernée que sur instruction du Client ou lorsque la loi l’exige.

8.2 Analyses d’impact. Veliu fournit au Client les informations dont elle dispose et dont le Client a raisonnablement besoin pour les analyses d’impact relatives à la protection des données et les consultations préalables prévues aux articles 35 et 36 du RGPD.

8.3 Violations de données personnelles. Veliu notifie au Client toute Violation de données personnelles dans les meilleurs délais et au plus tard soixante-douze (72) heures après en avoir pris connaissance, par e-mail adressé à l’Utilisateur qui administre le compte du Client. La notification décrit, dans la mesure où ces éléments sont alors connus, la nature de la violation, les personnes concernées et les enregistrements concernés, ses conséquences probables, les mesures prises ou envisagées et un point de contact. Veliu complète la notification à mesure que les faits sont établis et prend des mesures raisonnables pour circonscrire la violation et en limiter les effets.

9.1 Certifications et rapports. Sur demande, Veliu met à disposition les informations nécessaires pour démontrer le respect du présent DPA et de l’article 28 du RGPD, y compris les certifications et rapports d’audit de ses Sous-traitants ultérieurs lorsque les fournisseurs en autorisent la communication, ainsi que des réponses écrites à des questionnaires de sécurité raisonnables. Le Client s’appuie en priorité sur ces informations.

9.2 Inspections. Lorsque ces informations ne permettent pas de démontrer la conformité, le Client peut auditer Veliu, lui-même ou par l’intermédiaire d’un auditeur indépendant tenu à une obligation de confidentialité, y compris sur site, une fois par période de douze (12) mois, ou plus fréquemment lorsqu’une autorité de contrôle l’exige, moyennant un préavis d’au moins trente (30) jours notifié par e-mail à admin@veliu.com. Les audits ont lieu pendant les Heures ouvrées (Business Hours) en perturbant le moins possible les activités de Veliu, et ne donnent accès ni aux données des autres clients ni aux installations des Sous-traitants ultérieurs. Veliu remédie à toute non-conformité constatée lors de l’audit.

10.1 Restitution. Pendant trente (30) jours après la fin d’une Commande, le Client peut exporter les Données du Client, y compris les Données personnelles du Client, dans les formats proposés par les Services conformément à l’article 4.8 du Contrat, ou demander à Veliu par e-mail de les lui restituer dans un format couramment utilisé et lisible par machine.

10.2 Suppression. Dans un délai de soixante (60) jours après la fin de la Commande, Veliu supprime les Données personnelles du Client traitées au titre de celle-ci, y compris lorsque des Sous-traitants ultérieurs les détiennent, à l’exception de celles que le droit de l’Union ou le droit d’un État membre impose à Veliu de conserver, pendant la durée exigée par ce droit. Les Données personnelles du Client figurant dans les sauvegardes sont supprimées au fur et à mesure de la rotation des sauvegardes, dans un délai de quatre-vingt-dix (90) jours après la fin de la Commande. Jusqu’à leur suppression, le présent DPA continue de les protéger.

10.3 Suppression anticipée. Le Client peut demander une suppression anticipée par e-mail adressé à admin@veliu.com, et Veliu confirme la suppression par écrit sur demande.

11.1 Uniquement sur instruction du Client. Veliu utilise les Données du Client uniquement pour fournir les Services au Client et pour dériver la Télémétrie, sur instruction du Client conformément à l’article 3. Veliu n’utilise pas les Données du Client, y compris les Données personnelles du Client, pour entraîner, affiner, évaluer ou améliorer de toute autre manière un modèle, un agent ou un système d’intelligence artificielle mis à la disposition de toute personne autre que le Client, ou exploité pour le compte d’une telle personne.

11.2 Ce que Veliu apprend du Client reste au Client. Les modèles, prompts, configurations, connaissances et mémoires que Veliu dérive des Données du Client servent uniquement au propre Brand Agent et aux propres Services du Client, et Veliu ne les transfère à aucun autre client ni ne les utilise pour aucun autre client.

11.3 Fournisseurs de modèles. Les fournisseurs de modèles énumérés à l’annexe 3 traitent les Données personnelles du Client dans le cadre de conditions contractuelles entreprise (enterprise terms) qui ne leur permettent pas de les utiliser pour entraîner leurs modèles.

11.4 Télémétrie. Veliu améliore ses modèles, agents et Services uniquement au moyen de la Télémétrie (article 4.4 du Contrat). La Télémétrie dérivée des Données personnelles du Client remplit trois conditions : (a) personne ne peut, à partir de celle-ci, réidentifier une personne physique, le Client ou sa marque par les moyens raisonnablement susceptibles d’être utilisés, qu’elle soit prise isolément ou combinée à d’autres données ; (b) elle est agrégée sur plusieurs marques ; (c) elle ne nomme aucune marque ni aucune personne et ne divulgue aucune des données non publiées du Client. Veliu ne tente pas de réidentifier la Télémétrie et ne permet à personne d’autre de le faire.

11.5 Informations publiques. L’article 4.6(e) du Contrat régit les informations que le Client publie sur son propre site internet ou dans ses propres flux, que les outils d’évaluation de Veliu lisent de l’extérieur, comme le fait tout agent d’achat IA.

11.6 Maintien en vigueur. Le présent article 11 demeure en vigueur aussi longtemps que Veliu détient des Données du Client.

12.1 Limites. La responsabilité de chaque Partie au titre du présent DPA est soumise à l’article 12 du Contrat et s’impute sur les plafonds qui y sont prévus. Aucune stipulation du présent DPA ne limite les droits des personnes concernées au titre de la Législation sur la protection des données.

13.1 Durée. Le présent DPA prend effet avec la première Commande du Client et s’applique tant que Veliu traite des Données personnelles du Client, y compris pendant les périodes prévues à l’article 10.

13.2 Ordre de priorité. L’article 18.11 du Contrat fixe l’ordre de priorité, et le présent DPA prévaut sur le Contrat et sur toute Commande pour les questions relatives au traitement des données à caractère personnel. Les Clauses contractuelles types, lorsqu’elles s’appliquent, prévalent sur toute autre stipulation.

13.3 Langue. L’article 18.13 du Contrat s’applique au présent DPA.

(a) Responsable du traitement. Le Client, tel qu’identifié dans la Commande.

(b) Sous-traitant. Veliu Limited, admin@veliu.com.

(c) Personnes concernées et données à caractère personnel. Articles 2.5 et 2.4.

(d) Catégories particulières de données. Aucune n’est requise par les Services ; un visiteur peut en communiquer spontanément au cours d’une conversation, par exemple un besoin de santé à l’origine d’une question sur un produit.

(e) Nature, finalité, durée et conservation. Articles 2.1 à 2.3 et article 10.

(f) Fréquence. Continue, pendant la durée du Contrat.

(g) Sous-traitants ultérieurs. Annexe 3.

(h) Autorité de contrôle chef de file de Veliu. Data Protection Commission, Irlande.

(a) Hébergement dans l’UE. Les Données du Client sont conservées et traitées sur une infrastructure située dans l’Union européenne, exploitée par des fournisseurs de cloud titulaires de rapports SOC 2 Type II, ainsi que de la certification ISO/IEC 27001 lorsque le fournisseur en est titulaire : Amazon Web Services, Google Cloud, Vercel et Supabase, dans des régions de l’UE.

(b) Chiffrement. En transit au moyen du protocole TLS 1.2 ou d’une version supérieure ; au repos au moyen de l’algorithme AES-256.

(c) Sauvegardes et résilience. Sauvegardes quotidiennes et redondance entre zones de disponibilité ; disponibilité surveillée depuis au moins deux emplacements situés dans l’Union européenne.

(d) Contrôle d’accès. Accès selon le principe du moindre privilège, avec authentification multifacteur et journalisation ; identifiants des logiciels que le Client connecte conservés sous forme chiffrée.

(e) Vulnérabilités et incidents. Gestion des vulnérabilités et réponse aux incidents, avec notification au Client conformément à l’article 8.3.

(f) Inférence des modèles. Dans des régions de l’UE lorsque le fournisseur en propose et, à défaut, dans le cadre des Clauses contractuelles types (articles 7 et 11).

Les Sous-traitants ultérieurs établis en dehors de l’Espace économique européen, ou disposant d’un accès depuis l’extérieur de celui-ci, s’appuient sur les Clauses contractuelles types ou sur une décision d’adéquation, y compris le cadre de protection des données UE-États-Unis lorsqu’ils sont certifiés.