Accord de traitement des données (DPA)

1. Parties et objet

Le présent accord est conclu entre :

• le client titulaire d’un compte ChatDirect (ci-après « le Client »), agissant en qualité de responsable du traitement ;
• Tangram HQ Studio Inc., qui exploite le service ChatDirect, dont le siège est situé à Montréal (Québec), Canada, immatriculée au Registraire des entreprises du Québec (ci-après « ChatDirect »), agissant en qualité de sous-traitant.

Il précise les conditions dans lesquelles ChatDirect traite, pour le compte du Client, les données personnelles des visiteurs du site du Client, de ses prospects et de ses contacts, dans le cadre du service ChatDirect (agent IA pour site web, chat en direct, messageries connectées et CRM, ci-après « le Service »).

Le présent accord complète les Conditions d’utilisation. Il s’applique dès que le Client utilise le Service pour traiter des données personnelles soumises au RGPD. Il est accepté en même temps que les Conditions d’utilisation ; une version signée peut être demandée à info@chatdirect.ca.

Les données des comptes clients (identité et coordonnées des utilisateurs de l’espace client, facturation, support) ne relèvent pas du présent accord : pour ces données, ChatDirect est responsable du traitement, dans les conditions décrites dans la Politique de confidentialité.

2. Définitions

Les termes « données personnelles », « traitement », « responsable du traitement », « sous-traitant », « personne concernée », « violation de données personnelles » et « autorité de contrôle » ont le sens que leur donne l’article 4 du RGPD.

• Données du Client : les données personnelles traitées par ChatDirect pour le compte du Client dans le cadre du Service.
• Sous-traitant ultérieur : tout prestataire auquel ChatDirect fait appel et qui traite des Données du Client.
• Espace client : l’interface web et l’application mobile qui permettent au Client de configurer et d’utiliser le Service.

3. Description du traitement

3.1 Objet

Fournir le Service au Client : répondre aux visiteurs de son site au moyen d’un agent IA, recueillir leurs demandes et leurs coordonnées, permettre la reprise des conversations par l’équipe du Client, organiser le suivi commercial dans le CRM.

3.2 Durée

Le traitement dure aussi longtemps que le Client utilise le Service, puis pendant la période de restitution et d’effacement décrite à l’article 11.

3.3 Nature des opérations

Collecte par l’agent IA, les formulaires et les messageries connectées ; enregistrement et hébergement ; consultation par les utilisateurs autorisés du Client ; transmission du contenu des messages au fournisseur d’IA pour générer les réponses ; recherche dans les documents fournis par le Client ; classement, enrichissement et suivi dans le CRM ; envoi de notifications et d’e-mails ; export ; effacement.

3.4 Finalités

• Générer les réponses de l’agent IA à partir des contenus fournis par le Client.
• Recueillir les demandes de contact, de devis ou de rendez-vous et les transmettre au Client.
• Permettre à l’équipe du Client de reprendre une conversation (chat en direct) et de répondre par les canaux qu’il a connectés.
• Gérer les prospects, contacts, affaires, activités et rappels dans le CRM, y compris les fonctions d’aide fondées sur l’IA décrites dans la Politique de confidentialité (remplissage de champs, aide à la rédaction d’e-mails, priorités du jour, titres et résumés de conversations, lecture de cartes de visite, mise au propre de notes).
• Assurer la sécurité du Service (limitation du nombre de requêtes, filtrage des tentatives de manipulation de l’agent IA, analyse antivirus des fichiers).

3.5 Catégories de personnes concernées

• Visiteurs du site du Client qui utilisent l’agent IA ou le chat en direct.
• Prospects, clients et contacts du Client, y compris ceux ajoutés à la main ou importés par le Client.
• Personnes qui écrivent au Client par les messageries connectées (SMS, WhatsApp, Messenger) ou qui laissent un avis par la fonction Review Booster.

3.6 Catégories de données

• Contenu des messages échangés avec l’agent IA ou avec l’équipe du Client.
• Données d’identification et de contact fournies volontairement : nom, e-mail, téléphone, société, fonction, et tout champ que le Client ajoute à ses formulaires ou à son questionnaire.
• Données de navigation liées à la conversation : page d’origine (sans les paramètres de l’adresse), identifiant de session, adresse IP sous forme hachée ou partielle selon les réglages du Client.
• Fichiers joints par les visiteurs.
• Données du CRM saisies par le Client : notes, activités, affaires, étiquettes, historique des échanges, photos de cartes de visite (non conservées après la lecture).
• Avis et commentaires recueillis par Review Booster.

Le Service n’est pas conçu pour traiter des catégories particulières de données (article 9 du RGPD), comme les données de santé, ni des données relatives aux condamnations pénales. Si le Client prévoit que ses visiteurs en communiqueront, il en informe ChatDirect au préalable, configure son agent IA en conséquence et réalise, le cas échéant, l’analyse d’impact requise.

3.7 Lieu du traitement

Les Données du Client sont hébergées au Canada : serveur OVHcloud à Beauharnois (Québec) et base de données Supabase dans la région AWS ca-central-1 (Montréal). Le contenu nécessaire à chaque réponse est transmis au fournisseur d’IA utilisé, dans les conditions de l’article 8.

4. Instructions du Client

ChatDirect ne traite les Données du Client que sur instruction documentée du Client, y compris pour les transferts hors de l’Union européenne. Constituent ces instructions : les Conditions d’utilisation, le présent accord, et les réglages que le Client effectue dans son espace client (modèle d’IA, durée de conservation, consentement, canaux et outils connectés, fonctions activées).

ChatDirect informe immédiatement le Client si, selon lui, une instruction constitue une violation du RGPD ou d’une autre disposition relative à la protection des données.

Si une loi applicable impose à ChatDirect un traitement non prévu par les instructions du Client, ChatDirect en informe le Client avant le traitement, sauf si cette loi l’interdit pour des motifs importants d’intérêt public.

ChatDirect n’utilise pas les Données du Client pour ses propres finalités, ne les vend pas et ne s’en sert pas pour entraîner des modèles d’IA. Les corrections que l’équipe du Client apporte aux réponses de l’agent IA servent uniquement à l’agent IA de son propre compte. ChatDirect peut établir des statistiques d’usage agrégées et sans données personnelles (nombre de conversations, de messages, consommation), nécessaires à la facturation, aux plafonds des formules et au bon fonctionnement du Service.

5. Confidentialité

ChatDirect veille à ce que les personnes autorisées à traiter les Données du Client s’engagent à en respecter la confidentialité ou soient soumises à une obligation légale de confidentialité.

Par défaut, l’équipe ChatDirect n’a pas accès aux données du Client par les interfaces du Service. Le Client peut accorder, depuis son profil, un accès d’assistance limité à 72 heures, qu’il peut révoquer à tout moment. En dehors de cet accès, une intervention technique directe sur l’infrastructure n’a lieu que lorsqu’elle est nécessaire à la sécurité ou à la continuité du Service, ou au respect d’une obligation légale, et elle est limitée au strict nécessaire.

6. Sécurité du traitement

ChatDirect met en œuvre les mesures techniques et organisationnelles appropriées prévues à l’article 32 du RGPD. Elles sont décrites à l’article 13. ChatDirect peut les faire évoluer, à condition de ne pas réduire le niveau de protection global.

7. Sous-traitants ultérieurs

7.1 Autorisation générale

Le Client autorise ChatDirect à faire appel aux sous-traitants ultérieurs listés ci-dessous. ChatDirect leur impose, par contrat, des obligations de protection des données qui offrent des garanties suffisantes, conformément à l’article 28, paragraphe 4, du RGPD. ChatDirect reste responsable envers le Client de l’exécution de leurs obligations.

7.2 Liste des sous-traitants ultérieurs

Les fournisseurs d’IA ne reçoivent que le contenu nécessaire à chaque réponse ou à chaque fonction. Selon leurs conditions d’utilisation de l’API, ils ne s’en servent pas pour entraîner leurs modèles et ne le conservent que pour une durée limitée, notamment pour détecter les abus.

7.3 Services connectés par le Client

Certains services ne sont utilisés que si le Client les active et les relie à son propre compte : messageries (Twilio pour les SMS et WhatsApp, Meta pour Messenger), synchronisation des e-mails et de l’agenda Microsoft 365 (bientôt disponible), CRM tiers (HubSpot, Pipedrive), Slack, outils reliés par webhook (Zapier, Make, Google Sheets…), Google Analytics, fournisseur d’e-mail propre (SendGrid, Mailgun, Brevo, Amazon SES) et clé d’IA propre (BYOK) auprès d’Anthropic, OpenAI, Google ou Mistral AI.

Ces prestataires sont choisis par le Client, qui conclut directement avec eux ses propres conditions, y compris en matière de protection des données. ChatDirect leur transmet les données sur instruction du Client, au moyen des identifiants que celui-ci a fournis ; ils ne sont pas des sous-traitants ultérieurs de ChatDirect.

7.4 Changement de sous-traitant ultérieur

ChatDirect informe le Client de tout ajout ou remplacement d’un sous-traitant ultérieur au moins 30 jours avant sa mise en service, par e-mail à l’adresse de l’administrateur du compte et par une mise à jour de la liste ci-dessus.

Le Client peut s’opposer au changement, pour un motif lié à la protection des données, par e-mail à info@chatdirect.ca pendant ce délai. Les parties recherchent alors une solution de bonne foi. À défaut, le Client peut résilier son abonnement avant la mise en service du nouveau sous-traitant, sans frais de résiliation.

En cas d’urgence liée à la sécurité ou à la continuité du Service, ChatDirect peut remplacer un sous-traitant ultérieur sans attendre ce délai ; il en informe alors le Client dans les meilleurs délais, et le droit d’opposition s’exerce dans les mêmes conditions.

8. Transferts hors de l’Union européenne

ChatDirect est établi au Canada et y héberge les Données du Client. La Commission européenne a reconnu, par sa décision 2002/2/CE, que le Canada assure un niveau de protection adéquat pour les données transférées à des organisations soumises à sa loi fédérale sur la protection des renseignements personnels dans le secteur privé (LPRPDE) ; cette décision a été confirmée lors de son réexamen publié en 2024. ChatDirect s’appuie sur cette décision pour les traitements effectués au Canada. Dans la mesure où elle ne couvrirait pas un traitement donné, les parties conviennent de mettre en place les garanties appropriées prévues à l’article 46 du RGPD, notamment les clauses contractuelles types adoptées par la Commission européenne.

Lorsque des Données du Client sont transmises à un sous-traitant ultérieur situé dans un pays qui ne bénéficie pas d’une décision d’adéquation, notamment les fournisseurs d’IA établis aux États-Unis, ce transfert est encadré par les garanties indiquées dans le tableau de l’article 7.2, selon les engagements publiés par chaque fournisseur.

Le Client qui souhaite que les réponses de l’agent IA soient produites dans l’Union européenne peut choisir un modèle Mistral AI (clé d’IA propre, à partir de la formule Pro). La recherche dans les documents du Client passe toutefois par OpenAI.

9. Droits des personnes concernées

Le Client reste l’interlocuteur des personnes concernées. ChatDirect l’aide, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes d’exercice des droits (accès, rectification, effacement, limitation, portabilité, opposition) :

• consultation, modification et suppression des prospects, contacts et conversations depuis l’espace client ;
• export des données (CSV et archive ZIP) depuis l’espace client ;
• boutons « Mes données » et « Supprimer mes données » que le Client peut activer dans l’agent IA, pour permettre au visiteur de consulter ou d’effacer lui-même les données de sa conversation ;
• durée de conservation des conversations réglable par le Client, avec purge automatique.

Si ChatDirect reçoit directement une demande d’une personne concernée, il la transmet au Client dans les meilleurs délais et n’y répond pas lui-même sans instruction du Client, sauf pour indiquer à la personne que sa demande a été transmise.

10. Assistance au Client et violations de données

10.1 Assistance

Compte tenu de la nature du traitement et des informations dont il dispose, ChatDirect aide le Client à respecter ses obligations relatives à la sécurité du traitement, à la notification des violations de données, à l’analyse d’impact relative à la protection des données et à la consultation préalable de l’autorité de contrôle (articles 32 à 36 du RGPD), notamment en lui fournissant les informations utiles sur le Service et sur ses sous-traitants ultérieurs.

10.2 Notification des violations de données

ChatDirect notifie au Client toute violation de données personnelles concernant les Données du Client dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, par e-mail à l’adresse de l’administrateur du compte.

La notification comprend, dans la mesure où ces informations sont disponibles : la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables, les mesures prises ou proposées pour y remédier et en limiter les effets, et le nom d’un contact chez ChatDirect. Les informations qui ne sont pas disponibles immédiatement sont communiquées dès que possible.

Il appartient au Client, en tant que responsable du traitement, de notifier la violation à l’autorité de contrôle compétente et, le cas échéant, aux personnes concernées. ChatDirect peut également avoir ses propres obligations de déclaration en vertu de la loi québécoise sur la protection des renseignements personnels.

11. Sort des données en fin de contrat

À la fin de l’abonnement, le Client dispose de 30 jours pour exporter ses données depuis son espace client ou en demander l’export à info@chatdirect.ca.

À l’issue de ce délai, ChatDirect efface les Données du Client de ses systèmes et de ceux de ses sous-traitants ultérieurs qu’il contrôle. Une archive technique, créée au moment de l’effacement, est conservée 90 jours sur le serveur au Canada, puis effacée automatiquement ; les éventuelles copies de sauvegarde sont effacées au fil de leur renouvellement. ChatDirect confirme l’effacement par écrit sur demande.

Le Client peut demander l’effacement de ses données avant la fin de ce délai. Les obligations de ce paragraphe ne s’appliquent pas aux données que ChatDirect doit conserver en vertu d’une obligation légale.

12. Information et audits

ChatDirect met à la disposition du Client les informations nécessaires pour démontrer le respect de ses obligations au titre de l’article 28 du RGPD : le présent accord, la Politique de confidentialité, la description des mesures de sécurité de l’article 13 et les réponses aux questionnaires de sécurité raisonnables du Client.

Si ces informations ne suffisent pas, le Client peut faire réaliser un audit, par lui-même ou par un auditeur tenu au secret professionnel et qui n’est pas un concurrent de ChatDirect, au plus une fois par période de 12 mois, sauf violation de données ou demande d’une autorité de contrôle. Le Client prévient ChatDirect au moins 30 jours à l’avance et précise le périmètre de l’audit. L’audit se déroule pendant les heures ouvrables, sans perturber le Service, sans accès aux données des autres clients ni aux informations protégées par le secret des affaires. Les frais de l’audit sont à la charge du Client.

13. Mesures techniques et organisationnelles

13.1 Chiffrement et authentification

• Échanges chiffrés (HTTPS, avec HSTS).
• Clés d’API et identifiants des outils connectés chiffrés (AES-256) ; secret de double authentification chiffré.
• Mots de passe de connexion hachés (bcrypt), jamais stockés en clair.
• Base de données Supabase protégée par le chiffrement au repos fourni par son hébergeur.
• Double authentification (application TOTP et codes de secours) proposée sur l’espace client et l’espace d’administration.

13.2 Cloisonnement et contrôle des accès

• Données de chaque client cloisonnées ; chaque accès est vérifié par le serveur (espace client, application mobile, exports, agenda iCal, API).
• Aucun accès de l’équipe ChatDirect aux données du Client par les interfaces du Service sans autorisation de celui-ci ; accès d’assistance accordé par le Client pour 72 heures au plus, révocable à tout moment.
• Niveaux d’accès dans le CRM : le Client choisit ce que voit chaque utilisateur (par exemple, conversations masquées sans la permission « Voir les conversations »).
• Clé d’API publique réservée aux administrateurs du compte, révocable à tout moment.

13.3 Traçabilité

• Journal d’audit des actions sensibles : qui a modifié quoi, et quand (configuration, utilisateurs, suppression de comptes).
• Historique de chaque contact dans le CRM, y compris les champs remplis par l’IA.

13.4 Protection de l’application et du serveur

• Protection contre les attaques courantes : jetons anti-CSRF, validation stricte des entrées, protection contre les requêtes forgées côté serveur (SSRF), en-têtes de sécurité HTTP, limitation du nombre de requêtes.
• Filtre contre les tentatives de manipulation de l’agent IA (injection d’instructions), avec réponse fixe et sans appel à l’IA dès qu’un message suspect est détecté.
• Analyse antivirus de chaque fichier ajouté au Service, par le Client ou par ses visiteurs.
• Serveur administré par clé SSH uniquement, avec pare-feu, blocage automatique des tentatives de connexion répétées et installation automatique des mises à jour de sécurité.
• Surveillance continue de la disponibilité du Service.
• Revues de sécurité régulières du code et du serveur.

13.5 Minimisation et conservation

• Adresse IP des visiteurs hachée ou affichée partiellement ; seul le chemin de la page d’origine est enregistré, sans ses paramètres.
• Durée de conservation des conversations réglable par le Client, avec purge automatique.
• Photos de cartes de visite non conservées après la lecture.
• Notifications de l’application mobile sans données des visiteurs : le détail n’est chargé qu’à l’ouverture, depuis le serveur.

13.6 Continuité et effacement

• Sauvegardes automatiques périodiques des configurations des comptes, conservées au Canada.
• Procédure d’effacement d’un compte : inventaire des données, confirmation, effacement des fichiers et de la base de données, inscription au journal d’audit.

14. Obligations du Client

Le Client s’engage à :

• disposer d’une base légale pour chaque traitement qu’il confie à ChatDirect et informer les personnes concernées, notamment dans sa propre politique de confidentialité, en mentionnant l’usage d’un agent IA et du Service ;
• configurer les réglages proposés par le Service selon ses obligations : texte de consentement, lien vers sa politique de confidentialité, durée de conservation, boutons « Mes données » et « Supprimer mes données », conditionnement de Google Analytics au consentement ;
• indiquer clairement aux visiteurs qu’ils échangent avec un agent IA (l’étiquette « Agent IA » est affichée par défaut) et leur permettre de joindre un humain lorsque c’est nécessaire ;
• ne pas demander de catégories particulières de données sans l’avoir prévu conformément à l’article 3.6 ;
• s’assurer que les services qu’il connecte au Service (article 7.3) offrent des garanties suffisantes ;
• donner à ChatDirect des instructions conformes au RGPD.

15. Responsabilité

Chaque partie est responsable des dommages causés par un traitement qui ne respecte pas le RGPD, dans les conditions de l’article 82 du RGPD. Pour le reste, les limitations de responsabilité prévues par les Conditions d’utilisation s’appliquent, dans la mesure permise par la loi.

16. Durée, priorité et droit applicable

Le présent accord prend effet à l’acceptation des Conditions d’utilisation et reste en vigueur tant que ChatDirect traite des Données du Client.

En cas de contradiction entre le présent accord et les Conditions d’utilisation sur la protection des données personnelles, le présent accord prévaut.

Le présent accord est régi par le droit de l’État membre de l’Union européenne dans lequel le Client est établi, en ce qui concerne les obligations de protection des données qu’il met en œuvre. Pour le reste, la loi applicable et la juridiction compétente sont celles prévues par les Conditions d’utilisation. Ces dispositions ne privent pas les personnes concernées ni les autorités de contrôle des droits et recours que leur reconnaît le RGPD.

ChatDirect peut modifier le présent accord pour tenir compte d’une évolution de la réglementation ou du Service. Toute modification substantielle est annoncée au Client par e-mail au moins 30 jours avant son entrée en vigueur.

17. Contact

• Protection des données : info@chatdirect.ca
• Représentant dans l’Union européenne (article 27 du RGPD) : désignation en cours ; dans l’intervalle, écrivez à info@chatdirect.ca
• Éditeur : Tangram HQ Studio Inc., Montréal (Québec), Canada