Accord de sous-traitance

Accord conclu au sens de l'article 28 du règlement (UE) 2016/679. Il fait partie intégrante des conditions générales d'utilisation et de vente et est accepté en même temps qu'elles.

Il encadre le traitement des données personnelles contenues dans les avis de vos clients — des personnes qui ne sont pas nos clients, qui ne nous connaissent pas, et dont les données transitent pourtant par nos serveurs. C'est le point le plus exposé du service, et celui qui méritait le cadre le plus explicite.

1. Objet

Le Client, responsable de traitement, confie à Voxa Script, sous-traitant, le traitement de données personnelles contenues dans les avis publiés sur ses fiches d'établissement.

2. Description du traitement

• Nature : collecte, stockage, analyse et génération de réponses aux avis
• Finalité : permettre au Client de répondre aux avis de sa clientèle
• Personnes concernées : auteurs d'avis publiés sur les fiches du Client
• Données traitées : nom ou pseudonyme d'affichage tel que publié publiquement, contenu de l'avis, note attribuée, date de publication, contenu de la réponse
• Durée : durée du contrat, augmentée de trente jours pour permettre la restitution ou la suppression

Nous ne collectons aucune donnée de contact des auteurs d'avis : ni email, ni téléphone, ni adresse. Seul ce que la plateforme rend public nous parvient.

3. Obligations de Voxa Script

Voxa Script s'engage à :

• ne traiter les données que sur instruction documentée du Client ;
• garantir la confidentialité et former les personnes autorisées à traiter les données ;
• mettre en œuvre les mesures de sécurité prévues à l'article 32 du RGPD — chiffrement, cloisonnement des données entre clients appliqué par le moteur de base de données, contrôle d'accès, journalisation ;
• ne recourir à un sous-traitant ultérieur qu'après information du Client, qui dispose d'un droit d'opposition motivé ;
• aider le Client à répondre aux demandes d'exercice de droits des personnes concernées ;
• aider le Client à respecter ses obligations de sécurité, de notification de violation et d'analyse d'impact ;
• notifier au Client toute violation de données dans les quarante-huit heures suivant sa connaissance ;
• supprimer ou restituer l'ensemble des données à la fin du contrat, au choix du Client ;
• mettre à disposition la documentation nécessaire pour démontrer sa conformité et permettre des audits.

4. Sous-traitants ultérieurs autorisés

• Supabase Inc. — Hébergement des données, base de données, authentification. Union européenne (Francfort).
• Vercel Inc. — Hébergement du site et des fonctions serveur. États-Unis (clauses contractuelles types).
• Anthropic PBC — Génération des propositions de réponse par intelligence artificielle. États-Unis (clauses contractuelles types).
• Google Ireland Limited — Authentification et accès aux fiches Google Business Profile. Union européenne.
• Stripe Payments Europe Ltd — Traitement des paiements et facturation. Union européenne (Irlande).
• Resend Inc. — Envoi des emails transactionnels. États-Unis (clauses contractuelles types).

Les avis et les réponses sont stockés dans l'Union européenne, en région eu-central-1 (Francfort). Toute modification de cette liste fait l'objet d'une information préalable du Client par courrier électronique, avec un préavis de trente jours.

Le contenu d'un avis est transmis à notre prestataire d'intelligence artificielle le temps de produire une proposition de réponse. Ces données ne servent pas à entraîner de modèle.

5. Obligations du Client

Le Client :

• garantit disposer d'une base légale pour le traitement des avis ;
• informe les personnes concernées lorsque cela lui incombe ;
• documente ses instructions ;
• définit les règles de publication automatique et en assume les conséquences — le réglage par défaut étant la validation manuelle systématique.

6. Restitution et suppression

À tout moment, le Client peut exporter l'intégralité de ses données au format JSON, ou en demander la suppression définitive, directement depuis son espace client. La suppression est immédiate et emporte les avis, les réponses, les établissements et les jetons d'accès aux plateformes, lesquels sont révoqués auprès des plateformes concernées avant effacement.

Seules les factures sont conservées dix ans, en application des obligations comptables qui priment sur l'effacement au titre de l'article 17.3.b du RGPD.

7. Contact

Pour toute question relative au présent accord : contact@voxa-script.fr.