Accord de traitement des données (DPA)
Le présent accord de traitement des données (« DPA ») fait partie intégrante de l'accord conclu entre le client (« responsable du traitement ») et Digital Genics (« sous-traitant ») pour l'utilisation d'HeyOtto, et régit le traitement des données à caractère personnel conformément à l'article 28 du RGPD.
1. Objet, durée, nature et finalité
Le Sous-traitant traite les données à caractère personnel uniquement pour fournir le service HeyOtto : la catégorisation des e-mails entrants et la préparation de brouillons de réponses et de tâches. Le traitement dure pendant toute la durée de l'accord. HeyOtto n'envoie jamais lui-même d'e-mail.
Catégories de personnes concernées et de données
- Personnes concernées : les collaborateurs du client et leurs correspondants.
- Données : nom et adresse e-mail, le contenu des e-mails et des brouillons, ainsi que les tâches et métadonnées associées.
2. Traitement sur instruction
Le Sous-traitant ne traite les données que sur instruction documentée du Responsable du traitement, telle qu'établie dans l'accord et les paramètres de l'application (y compris l'option d'entraînement, désactivée par défaut). Le Sous-traitant n'utilise pas les données à ses propres fins.
3. Confidentialité
Les personnes ayant accès aux données sont tenues à la confidentialité. L'accès est limité à ce qui est nécessaire pour fournir et assurer le support du service.
4. Mesures de sécurité (MTO)
Le Sous-traitant prend des mesures techniques et organisationnelles appropriées, notamment :
- Chiffrement des données en transit (TLS) et des jetons sensibles au repos ;
- Contrôle d'accès strict, droits basés sur les rôles et séparation logique par organisation (multi-tenant) ;
- Droits OAuth minimaux — lecture et brouillons, jamais l'envoi ;
- Journalisation, surveillance et enregistrement des erreurs à des fins de sécurité ;
- Sauvegardes et procédures de restauration ;
- Traitement au sein de l'UE.
5. Sous-traitants
Le Responsable du traitement donne une autorisation générale pour le recours aux sous-traitants mentionnés ci-dessous. Le Sous-traitant informe préalablement de tout changement, afin de permettre une opposition éventuelle.
| Sous-traitant ultérieur | Finalité | Emplacement |
|---|---|---|
| Anthropic | Modèle d'IA pour la catégorisation et les brouillons | Traitement conforme aux conditions d'API ; n'entraîne pas de modèles sur les données clients |
| Microsoft | Microsoft 365 / Graph (si vous connectez ceci) | EU |
| Gmail (si vous connectez ceci) | EU | |
| [Hostingpartner] | Hébergement et base de données | EU |
| [Betaalpartner] | Abonnements et facturation | UE/EEE |
6. Transferts internationaux
Les données sont en principe traitées au sein de l'UE/EEE. Si un transfert vers un pays tiers est nécessaire, celui-ci s'effectue avec des garanties appropriées (telles que les clauses contractuelles types de la Commission européenne).
7. Assistance au Responsable du traitement
Le Sous-traitant aide, dans la mesure raisonnable, à répondre aux demandes des personnes concernées et à respecter les obligations liées à la sécurité, aux analyses d'impact relatives à la protection des données et à la consultation préalable.
8. Fuites de données
Le Sous-traitant notifie toute violation de données à caractère personnel sans retard injustifié après en avoir eu connaissance, en fournissant les informations nécessaires pour satisfaire à l'obligation de notification.
9. Restitution et suppression
À la fin du service, le Sous-traitant supprime les données à caractère personnel ou les restitue, au choix du Responsable du traitement, sous réserve des obligations légales de conservation. HeyOtto propose à cet effet une fonction d'exportation et de suppression des données.
10. Audits
Le Sous-traitant met à disposition les informations nécessaires pour démontrer le respect de l'article 28 du RGPD, et coopère à des audits raisonnables.
Des questions sur ce texte ou vos données ? Envoyez un e-mail à privacy@heyotto.eu. HeyOtto est un produit de Digital Genics.