Accord de traitement des données (DPA)

1. Parties et rôles

Le présent accord est conclu entre le client qui utilise Heylio (le « Client ») et FASTOCHE, société par actions simplifiée au capital de 3 000 €, immatriculée au RCS d'Aix-en-Provence sous le numéro 922 556 212, dont le siège est situé 1004 route de Coudoux, 13122 Ventabren, France, éditrice de Heylio (« FASTOCHE »).

Le Client est responsable du traitement des données personnelles de ses clients et de son personnel qu'il confie au service. FASTOCHE agit en qualité de sous-traitant au sens de l'article 28 du Règlement (UE) 2016/679 (« RGPD ») et ne traite ces données que pour le compte du Client.

FASTOCHE reste responsable de traitement pour les données de son propre client (compte, facturation, journaux de connexion), décrites dans la politique de confidentialité. Le présent accord développe l'article 7 des CGV.

2. Objet et durée

Le traitement a pour objet la fourniture de Heylio, agent d'intelligence artificielle de service client pour le commerce en ligne : réception des demandes des clients du Client sur les canaux qu'il connecte, rédaction des réponses, envoi automatique ou après relecture selon ses réglages, et exécution des actions qu'il autorise dans sa boutique.

L'accord s'applique pendant toute la durée de l'abonnement, puis jusqu'à la suppression des données prévue à l'article 11.

3. Description du traitement

• Nature des opérations : collecte des messages par les canaux connectés (e-mail, chat, messageries, téléphone si l'agent vocal est activé), consultation des commandes par l'API de la boutique, enregistrement, génération de réponses par IA, contrôle automatique des brouillons, envoi, exécution des actions autorisées (remboursement, annulation, changement d'adresse…), suppression.
• Finalités : répondre aux demandes des clients du Client et exécuter, sur ses instructions, les actions de service client et d'avant-vente qu'il a autorisées (y compris, s'il les active, les relances avec le consentement du client final).
• Personnes concernées : clients et prospects du Client qui le contactent ou utilisent le widget de sa boutique ; membres de son équipe qui utilisent le service.
• Catégories de données : identité et coordonnées (nom, adresse e-mail, téléphone ou identifiant de messagerie, adresse de livraison) ; contenu des échanges (e-mails, messages, pièces jointes, photos envoyées dans le chat, audio et transcription des appels si l'agent vocal est activé) ; données de commande utiles à la réponse (articles, montants, statut, suivi) ; données techniques du widget (pays déduit de l'adresse IP, identifiant de visiteur) ; pour l'équipe du Client, nom, adresse e-mail, rôle et journaux d'accès.
• Données sensibles : le service n'en requiert aucune (article 9 du RGPD). Le Client veille à ne pas en solliciter par ses réglages ; si un client final en écrit spontanément, elles sont traitées comme le reste du message.
• Conservation : chaque conversation (messages, pièces jointes, transcriptions, brouillons et traces de l'IA) est effacée automatiquement vingt-quatre (24) mois après sa dernière activité ; le ticket et le journal des actions sont alors anonymisés, seules des statistiques sans donnée personnelle étant gardées. Les autres données sont conservées tant que le Client utilise le service, sauf les durées plus courtes fixées par le service (liens d'export : 7 jours ; journal des consultations : un an ; sauvegardes : 90 jours), puis supprimées selon l'article 11. Les données de facturation suivent leurs obligations légales.

4. Instructions documentées

FASTOCHE ne traite les données que sur instruction documentée du Client. Constituent ces instructions : les CGV et le présent accord ; la configuration du service par le Client (canaux connectés, base de connaissances, règles, actions autorisées, envoi automatique ou relecture, durée de l'envoi différé) ; les actions de ses utilisateurs dans l'interface ; les demandes de conformité transmises par la plateforme de sa boutique (par exemple les demandes d'accès et d'effacement de Shopify).

FASTOCHE n'utilise pas ces données pour entraîner des modèles d'intelligence artificielle, ne les vend pas et ne les utilise pas à des fins publicitaires. Si FASTOCHE estime qu'une instruction enfreint le RGPD, elle en informe le Client sans délai.

5. Confidentialité

Seules les personnes habilitées de FASTOCHE, tenues à la confidentialité, accèdent aux données du Client, dans la stricte mesure nécessaire à l'exploitation et au support du service. Leurs consultations des écrans d'un compte sont nominatives et inscrites au journal des consultations, conservé un an, sans copie des données consultées.

6. Mesures de sécurité

FASTOCHE met en œuvre des mesures techniques et organisationnelles appropriées au risque (article 32 du RGPD), notamment :

• Hébergement dans l'Union européenne : application exécutée à Dublin (Irlande), base de données et fichiers en Irlande.
• Chiffrement : en transit (TLS, HSTS) ; au repos, chiffrement applicatif AES-256-GCM des jetons d'accès des boutiques, des identifiants des boîtes mail et des messageries, des clés d'API des services connectés et des codes de cartes cadeaux, avant leur enregistrement ; mots de passe stockés sous forme d'empreinte (scrypt).
• Contrôle d'accès : comptes nominatifs, rôles (propriétaire, administrateur, agent, lecture seule), double authentification par code envoyé par e-mail disponible pour les connexions par mot de passe, connexion Google ; accès d'administration réservé à une liste nominative d'adresses vérifiées.
• Isolement des comptes : toutes les fonctions de données sont internes au serveur et vérifient le compte concerné ; la clé d'accès à la base n'est jamais exposée au navigateur.
• Protection des applications : protection CSRF, politique de sécurité du contenu (CSP), limitation du débit des requêtes, vérification de la signature des notifications reçues des plateformes (Shopify, Stripe, Meta, Twilio, Resend, helpdesks).
• Journalisation : journal des consultations par le personnel (un an), journal de chaque action exécutée par l'IA, journal des appels par clé d'API (90 jours), journal des suppressions de tickets.
• Minimisation : traces de décision expurgées avant enregistrement (ni adresse e-mail, ni téléphone, ni secret) ; photos du chat jamais enregistrées ; adresses IP du widget réduites au pays.
• Sauvegardes : sauvegarde quotidienne de la base (complète chaque semaine, incrémentale les autres jours), hors sessions d'authentification, chiffrée avant son dépôt (clé de déchiffrement conservée hors du dépôt et de son hébergeur), conservée 90 jours dans un dépôt privé à accès restreint ; procédure de restauration documentée et testée.
• Environnements séparés : l'environnement de test dispose de sa propre base et ses envois sont limités aux adresses internes.
• Supervision : alertes automatiques sur l'indisponibilité de la base, contrôle de santé du service, suivi des erreurs ; procédure de gestion des incidents.
• Maîtrise de l'IA : actions limitées à celles que le Client autorise, avec plafonds et relecture humaine possible ; pause de l'IA à tout moment par le Client ; plafond de coût par compte.

7. Sous-traitants ultérieurs

Le Client autorise de manière générale FASTOCHE à recourir aux sous-traitants ultérieurs dont la liste à jour, avec leur rôle, les données reçues, leur localisation et les garanties applicables, est publiée sur la page Sous-traitants. Chacun est lié par des obligations de protection des données équivalentes à celles du présent accord ; FASTOCHE reste responsable envers le Client de leur respect.

FASTOCHE informe le Client de tout ajout ou remplacement au moins trente (30) jours avant sa prise d'effet, par e-mail à l'adresse du compte et par la mise à jour de cette page. Le Client peut s'y opposer pour un motif légitime dans ce délai ; à défaut d'accord, il peut résilier l'abonnement sans frais.

Les services que le Client connecte lui-même (sa boutique, ses boîtes mail, ses messageries, son helpdesk, ses outils de retour ou de suivi) sont des destinataires qu'il désigne et avec lesquels il contracte directement ; ils ne sont pas des sous-traitants ultérieurs.

8. Transferts hors de l'Union européenne

Les données sont stockées dans l'Union européenne. Certains sous-traitants ultérieurs les traitent depuis un pays tiers, principalement les États-Unis : Trigger.dev, GitHub, Inc., OpenRouter, Inc., Google Cloud, Amazon Web Services, Microsoft Azure, Anthropic, PBC, OpenAI, L.L.C., Voyage AI, TypeSafe, Cohere Inc., Resend, Twilio Inc., Telegram, ipinfo.io, Stripe. Il s'agit surtout des fournisseurs d'intelligence artificielle, qui reçoivent le contenu de la conversation et le contexte utile à la réponse, le temps de la produire.

Chaque transfert est encadré par une décision d'adéquation de la Commission européenne (dont le cadre de protection des données UE–États-Unis pour les fournisseurs certifiés) ou par les clauses contractuelles types adoptées par la Commission, complétées des mesures décrites à l'article 6. Pour les modèles d'IA hors Anthropic, chaque requête interdit à l'hébergeur de conserver les données ou de s'en servir pour l'entraînement, et seuls des hébergeurs nommément choisis peuvent la recevoir — jamais un hébergeur établi en Chine.

9. Assistance au Client

FASTOCHE assiste le Client pour répondre aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, limitation, opposition, portabilité), pour ses analyses d'impact et ses consultations de l'autorité de contrôle.

• Boutiques Shopify : les demandes d'accès et d'effacement d'un client final transmises par Shopify sont traitées automatiquement à leur réception ; l'export est remis par un lien signé valable sept (7) jours. Délai maximal : trente (30) jours.
• Autres comptes : sur demande écrite du Client à hello@heylio.io, FASTOCHE exporte ou efface les données d'une personne sous trente (30) jours.
• Toute demande d'une personne concernée reçue directement par FASTOCHE est transmise au Client sous cinq (5) jours ouvrés, sans y répondre sur le fond.

10. Violation de données personnelles

FASTOCHE notifie au Client toute violation de données personnelles affectant les données traitées pour son compte, sans retard injustifié et au plus tard quarante-huit (48) heures après en avoir eu connaissance, afin qu'il puisse notifier l'autorité de contrôle dans le délai de soixante-douze (72) heures de l'article 33 du RGPD.

La notification, adressée à l'adresse e-mail du compte, décrit dans la mesure du possible la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, les mesures prises ou proposées et un point de contact ; elle est complétée au fil de l'enquête. Les incidents sont consignés dans un journal interne avec leurs causes et leurs suites.

11. Fin du traitement : restitution et suppression

• Boutiques Shopify : à la désinstallation de l'application, ses jetons d'accès sont supprimés ; les données de la boutique sont supprimées à la réception de la demande d'effacement que Shopify envoie quarante-huit (48) heures plus tard, sauf si une autre application de la suite reste installée sur la boutique et s'en sert encore.
• Autres comptes : à la fin de l'abonnement, le Client peut demander l'export de ses données ; elles sont supprimées sur sa demande, dans les trente (30) jours qui la suivent.
• Sauvegardes : les données supprimées disparaissent des sauvegardes à l'expiration de leur durée de conservation de quatre-vingt-dix (90) jours.
• FASTOCHE ne conserve au-delà que les données de facturation soumises à une obligation légale de conservation.

12. Documentation et audits

FASTOCHE tient un registre des traitements effectués pour le compte de ses clients (article 30.2 du RGPD) et met à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord. Le Client peut, une fois par an au plus, à ses frais et avec un préavis de trente (30) jours, faire réaliser un audit par lui-même ou par un auditeur indépendant tenu à la confidentialité, pendant les heures ouvrées et sans perturber le service.

13. Responsabilité et ordre de priorité

Chaque partie répond des manquements à ses propres obligations au titre du RGPD. La limitation de responsabilité de l'article 5 des CGV s'applique au présent accord, sauf disposition légale impérative contraire.

Le présent accord complète l'article 7 des CGV ; en cas de contradiction, la disposition la plus protectrice des données personnelles prévaut. Le droit français s'applique. Contact : hello@heylio.io ; délégué à la protection des données : rgpd@fastoche.tech, DPO — FASTOCHE, 1004 route de Coudoux, 13122 Ventabren.