Contrat de sous traitance des donnees a caractere personnel

Derniere mise a jour : a completer : date de publication

Ce contrat de sous traitance (le « DPA ») encadre le traitement des donnees a caractere personnel effectue par Reponse pour le compte de ses clients dans le cadre du service. Il est rendu public afin que tout client puisse en prendre connaissance avant de souscrire. Il complete les conditions generales de vente et d utilisation du service et prevaut sur elles pour tout ce qui concerne la protection des donnees a caractere personnel.

Le present contrat ne couvre pas les traceurs deposes sur le site public de Reponse, qui font l objet d un document distinct, la politique cookies, publie separement et assorti de sa propre date de derniere mise a jour.

a valider : harmonisation de l intitule affiche dans la navigation du site, qui annonce « Contrat de sous traitance des donnees (DPA) et politique cookies » alors que le present document ne traite pas des cookies

Le present contrat est publie en francais et en anglais. En cas de divergence d interpretation, la version francaise prevaut, conformement a l article 19.2.

Note de redaction : dans les deux versions linguistiques, les elements restant a verifier ou a completer avant publication sont signales par les marqueurs {{A_VALIDER}}, {{A_VERIFIER}} et {{A_COMPLETER}}, volontairement conserves en francais afin de pouvoir etre suivis comme une liste unique. Ces marqueurs doivent tous etre traites avant toute mise en ligne du document.

1. Parties

**Le sous traitant** : societe Shmore, societe par actions simplifiee au capital de 1 000 euros, dont le siege social est situe 26 Thubert, 44118 La Chevroliere, France, immatriculee au registre du commerce et des societes de Paris sous le numero 978 743 013, editrice du service Reponse accessible a l adresse reponse.ai. Ci apres « Reponse » ou « le sous traitant ».

a verifier : coherence siege et RCS, le siege declare est en Loire Atlantique alors que le registre indique Paris

Contact pour les questions relatives au present contrat : hello@reponse.ai. Support technique : support@reponse.ai.

a completer : numero de TVA intracommunautaire a completer : nom du directeur de la publication a completer : numero de telephone a completer : delegue a la protection des donnees, s il en existe un, et ses coordonnees

**Le responsable de traitement** : le client, personne morale ou personne physique, qui souscrit au service Reponse et cree un ou plusieurs espaces de travail. Ci apres « le client » ou « le responsable de traitement ».

Le service est concu pour un usage professionnel. Lorsque, par exception, une personne physique souscrit au service en dehors de toute activite professionnelle, elle a la qualite de consommateur au sens du code de la consommation et l article 18.3 lui est applicable.

Ci apres ensemble « les parties ».

2. Definitions

Les termes « donnees a caractere personnel », « traitement », « responsable de traitement », « sous traitant », « personne concernee », « violation de donnees a caractere personnel » et « autorite de controle » ont le sens que leur donne l article 4 du reglement general sur la protection des donnees.

« RGPD » designe le reglement (UE) 2016/679 du 27 avril 2016.

« Loi Informatique et Libertes » designe la loi n 78-17 du 6 janvier 1978 modifiee.

« Clauses contractuelles types » ou « CCT » designe les clauses contractuelles types adoptees par la Commission europeenne par la decision d execution (UE) 2021/914 du 4 juin 2021.

« Service » designe la suite Experience Client editee par Reponse, ses interfaces web, son widget de discussion, son API et son serveur MCP.

« Donnees client » designe les donnees a caractere personnel que le client, ses utilisateurs, ses propres clients ou ses systemes connectes transmettent au service ou qui y sont generees pour son compte.

« Sous traitant ulterieur » designe tout tiers auquel Reponse confie une partie du traitement des donnees client. Ce terme ne designe jamais Reponse elle meme.

3. Roles des parties

Le client agit en qualite de responsable de traitement pour les donnees client. Il determine les finalites et les moyens essentiels du traitement, choisit les fonctionnalites qu il active et decide des donnees qu il verse dans le service.

Reponse agit en qualite de sous traitant pour ces memes donnees. Reponse ne traite les donnees client que sur instruction documentee du client.

Reponse agit en qualite de responsable de traitement autonome, et non de sous traitant, pour les traitements qui lui sont propres : gestion de son compte client et de sa facturation, securite et prevention de la fraude, support, mesure d audience de son propre site, respect de ses obligations legales et comptables. Ces traitements sont decrits dans la politique de confidentialite du service et, pour les traceurs, dans la politique cookies, et non dans le present contrat.

Lorsque le client est lui meme sous traitant d un tiers, par exemple une agence qui exploite le service pour le compte d une marque, il declare disposer des autorisations necessaires pour conclure le present contrat. Reponse intervient alors en qualite de sous traitant de second rang au sens de l article 28.4 du RGPD. Le terme defini « sous traitant ulterieur » reste reserve, dans tout le present contrat, aux tiers auxquels Reponse confie une partie du traitement.

4. Objet, duree, nature et finalite du traitement

**4.1 Objet.** Le present contrat a pour objet de definir les conditions dans lesquelles Reponse traite, pour le compte du client, les donnees a caractere personnel necessaires a la fourniture du service.

**4.2 Duree.** Le present contrat entre en vigueur a la date d acceptation des conditions du service ou de la premiere utilisation du service, selon la date la plus precoce. Il reste en vigueur pendant toute la duree pendant laquelle Reponse traite des donnees client, puis jusqu a la suppression ou la restitution complete de ces donnees dans les conditions prevues a l article 16.

**4.3 Nature du traitement.** Collecte, enregistrement, organisation, structuration, conservation, adaptation, extraction, consultation, utilisation, communication par transmission aux sous traitants ulterieurs listes en annexe 2, rapprochement, limitation, effacement et destruction.

**4.4 Finalites.** Le traitement est realise aux seules fins de fournir et de maintenir le service souscrit par le client, a savoir :

1. le chat en direct avec un agent humain et avec un agent d intelligence artificielle, sur le site du client et dans les canaux connectes,
2. la gestion des tickets et de la boite de reception partagee,
3. la collecte et l affichage des avis clients,
4. les programmes de fidelite et de parrainage,
5. la gestion des contacts et du CRM,
6. l envoi d emails transactionnels declenches par le client ou par ses regles,
7. la consultation du catalogue et des commandes du client,
8. l acces au service par API et par serveur MCP,
9. l assistance technique fournie au client a sa demande,
10. la securite du service, la prevention des abus et la journalisation technique.

**4.5 Description detaillee.** La description complete du traitement figure en annexe 1.

5. Instructions documentees du responsable de traitement

**5.1** Reponse ne traite les donnees client que sur instruction documentee du client, y compris en ce qui concerne les transferts hors de l Union europeenne.

**5.2** Constituent les instructions documentees du client, prises ensemble :

1. le present contrat et ses annexes,
2. les conditions generales du service et la documentation technique,
3. les parametres de configuration retenus par le client dans son espace de travail, notamment les integrations qu il active, les regles d automatisation qu il ecrit et les durees de conservation qu il choisit lorsque le service le permet,
4. les appels effectues par le client aux interfaces de programmation du service,
5. toute instruction ecrite complementaire adressee a hello@reponse.ai et acceptee par ecrit par Reponse.

**5.3** Si Reponse considere qu une instruction du client constitue une violation du RGPD ou d une autre disposition du droit de l Union ou du droit d un Etat membre relative a la protection des donnees, elle en informe le client sans delai et peut suspendre l execution de l instruction concernee jusqu a sa confirmation ou sa modification.

**5.4** Si Reponse est tenue de traiter des donnees client en vertu du droit de l Union ou du droit francais en dehors des instructions du client, elle en informe le client avant le traitement, sauf si ce droit interdit une telle information pour des motifs importants d interet public.

**5.5** Reponse ne vend pas les donnees client, ne les loue pas, ne les utilise pas a des fins de publicite et ne les exploite pas pour son propre compte en dehors des cas prevus a l article 3.

**5.6 Donnees agregees.** Reponse peut produire des statistiques agregees sur l usage du service, aux fins d exploitation, de facturation, de securite et d amelioration du service. Ces statistiques ne comportent aucun contenu de conversation et sont produites sans identifiant direct des personnes concernees.

a completer : methode d anonymisation appliquee a ces statistiques, seuil minimal d agregation, suppression des identifiants techniques et des identifiants d espace de travail

a valider : caractere irreversible de l anonymisation, a defaut de demonstration de cette irreversibilite ces statistiques constituent une pseudonymisation qui demeure soumise au RGPD et au present contrat

6. Obligations du client

Le client garantit que :

1. il dispose d une base legale valable pour chaque traitement qu il confie a Reponse et, lorsque le consentement est requis, qu il l a recueilli dans les conditions prevues par le RGPD,
2. il a informe les personnes concernees du traitement, du recours a Reponse comme sous traitant et, le cas echeant, du recours a des agents d intelligence artificielle pour traiter leurs demandes,
3. les donnees qu il transmet sont exactes, pertinentes et limitees a ce qui est necessaire,
4. il n insere pas dans le service, notamment dans les conversations, les fiches contacts ou les fichiers importes, de donnees relevant de l article 9 du RGPD (donnees dites sensibles, en particulier donnees de sante, opinions politiques, convictions religieuses, orientation sexuelle, donnees biometriques) ni de donnees relatives aux condamnations penales, ni de numeros de carte bancaire ou d identifiants d authentification, sauf accord ecrit prealable de Reponse et mise en place de garanties adaptees,
5. il configure correctement les acces de ses propres utilisateurs et revoque sans delai les acces devenus inutiles,
6. il verifie que les integrations qu il active vers des services tiers sont compatibles avec ses propres engagements,
7. il determine l age minimum applicable a ses propres services et, lorsque des mineurs sont susceptibles d utiliser le widget de discussion ou les autres canaux connectes, il assure l information adaptee et, le cas echeant, recueille le consentement du titulaire de l autorite parentale dans les conditions de l article 8 du RGPD et de l article 45 de la loi Informatique et Libertes.

a completer : age minimum d utilisation du service annonce par Reponse dans ses conditions generales et mesures prevues lorsque le service est utilise par un mineur

Le client reste seul responsable du contenu des messages qu il envoie et des decisions qu il prend a partir des informations restituees par le service.

7. Confidentialite et personnel

**7.1** Reponse traite les donnees client comme des informations confidentielles. Cette obligation survit a la fin du contrat.

**7.2** Reponse s engage a ce que les personnes autorisees a traiter les donnees client soient tenues a une obligation de confidentialite, par une clause contractuelle ou par un engagement approprie, et restent tenues par cette obligation apres la fin de leur mission.

a valider : clause de confidentialite effectivement signee par chaque personne habilitee, salaries et prestataires, et conservation de ces engagements

**7.3** L acces aux donnees client est limite aux membres de l equipe qui en ont besoin pour fournir le service, l exploiter, le securiser ou repondre a une demande de support.

a valider : tenue effective d une liste nominative et a jour des personnes habilitees a acceder aux donnees client

**7.4** Reponse assure la sensibilisation de ces personnes a la protection des donnees a caractere personnel.

a completer : description du dispositif de formation et de sa periodicite

**7.5 Localisation du personnel et acces distants.** Les acces aux donnees client par le personnel de Reponse et par ses prestataires independants s effectuent a distance depuis des postes places sous son controle. Lorsqu un acces est realise depuis un pays situe hors de l Union europeenne, y compris dans le cadre du travail a distance, cet acces constitue un transfert au sens du chapitre V du RGPD et doit etre encadre par l un des mecanismes prevus a l article 14.

a completer : liste des pays depuis lesquels un acces aux donnees client est possible, statut des personnes concernees, salaries ou prestataires, et mesures d encadrement des postes de travail

8. Mesures de securite

**8.1** Reponse met en oeuvre les mesures techniques et organisationnelles appropriees prevues a l article 32 du RGPD, compte tenu de l etat des connaissances, des couts de mise en oeuvre, de la nature, de la portee, du contexte et des finalites du traitement, ainsi que des risques pour les droits et libertes des personnes.

**8.2** Ces mesures sont decrites en annexe 3. Elles sont decrites de facon factuelle, telles qu elles sont effectivement mises en oeuvre a la date de derniere mise a jour du present contrat. Les elements qui restent a verifier ou a formaliser y sont signales par un marqueur et ne constituent pas un engagement.

**8.3** Reponse ne revendique aucune certification de securite, aucun label et aucun engagement chiffre de disponibilite dans le present contrat. Toute certification obtenue ulterieurement sera mentionnee en annexe 3.

**8.4** Les mesures peuvent evoluer, notamment pour tenir compte de l evolution des risques et des technologies. Reponse ne procede a aucune modification qui diminuerait de maniere substantielle le niveau de securite du service.

9. Sous traitants ulterieurs

**9.1 Autorisation generale.** Le client donne a Reponse une autorisation generale et ecrite de recourir a des sous traitants ulterieurs pour l execution du service, dans les conditions du present article.

**9.2 Liste.** La liste des sous traitants ulterieurs figure en annexe 2 du present contrat. Elle est publiee et tenue a jour a l adresse a completer : URL de la page publique listant les sous traitants ulterieurs.

**9.3 Contrat.** Reponse s engage a imposer a chaque sous traitant ulterieur, par contrat, des obligations de protection des donnees substantiellement equivalentes a celles du present contrat. Reponse demeure pleinement responsable devant le client de l execution par le sous traitant ulterieur de ses obligations.

a valider : existence et signature effective d un contrat de sous traitance ou d un avenant protection des donnees avec chacun des sous traitants listes en annexe 2, et conservation de ces documents

**9.4 Information prealable et opposition.** Reponse informe le client de tout ajout ou remplacement de sous traitant ulterieur au moins trente jours avant la mise en oeuvre effective, par courrier electronique a l adresse de contact de l espace de travail ou par une mention datee sur la page mentionnee a l article 9.2, a laquelle le client peut s abonner.

Le client peut s opposer a cet ajout ou a ce remplacement pour un motif raisonnable et documente tenant a la protection des donnees, dans un delai de trente jours a compter de l information, par ecrit a hello@reponse.ai. Les parties recherchent alors de bonne foi une solution alternative. A defaut d accord dans un delai de trente jours, le client peut resilier sans frais et sans indemnite la partie du service concernee par le sous traitant ulterieur en cause, avec remboursement au prorata des sommes payees d avance et non consommees.

**9.5 Integrations activees par le client.** Lorsque le client active une integration vers un service tiers, notamment Shopify, Klaviyo, Notion ou TikTok Shop, il donne a Reponse l instruction de transmettre a ce tiers les donnees necessaires au fonctionnement de l integration. Ce tiers agit alors soit comme sous traitant ulterieur de Reponse, soit comme responsable de traitement autonome selon la relation contractuelle qui lie le client a ce tiers. Le client est invite a verifier les conditions applicables a chacun de ces services.

10. Assistance pour les droits des personnes concernees

**10.1** Reponse met a la disposition du client, dans le service, les fonctions permettant d acceder aux donnees d un contact et de les rectifier. Le client peut egalement demander a Reponse l export ou la suppression des donnees d un contact, par ecrit a hello@reponse.ai.

a valider : fonctions d export et de suppression d un contact effectivement disponibles dans l interface du service, a defaut ces operations sont realisees par Reponse sur demande et le present article doit etre ajuste en consequence

**10.2** Si une personne concernee adresse directement a Reponse une demande d exercice de ses droits portant sur des donnees client, Reponse ne repond pas a la demande sur le fond. Elle en informe le client sans retard injustifie et lui transmet la demande, sauf lorsque le droit applicable lui impose d y repondre elle meme.

**10.3** Reponse assiste le client, dans la mesure du possible et compte tenu de la nature du traitement, pour repondre aux demandes d exercice des droits d acces, de rectification, d effacement, de limitation, de portabilite et d opposition, ainsi qu au droit de ne pas faire l objet d une decision fondee exclusivement sur un traitement automatise.

**10.4** Cette assistance est fournie sans frais supplementaires lorsqu elle est realisable par les fonctions standard du service. Lorsqu elle exige un travail technique specifique et significatif, Reponse en informe le client au prealable et les parties conviennent par ecrit des conditions et du cout de sa realisation avant tout engagement de frais.

a valider : gratuite de l assistance standard et principe de facturation des demandes exceptionnelles a completer : grille tarifaire applicable aux prestations d assistance exceptionnelles, taux journalier, unite de facturation et plafond annuel

11. Assistance pour la securite, les analyses d impact et la consultation prealable

Reponse assiste le client, compte tenu de la nature du traitement et des informations dont elle dispose, pour :

1. garantir le respect des obligations de securite prevues a l article 32 du RGPD,
2. notifier les violations de donnees a l autorite de controle (article 33) et les communiquer aux personnes concernees lorsque cela est requis (article 34),
3. realiser une analyse d impact relative a la protection des donnees (article 35), en fournissant les informations techniques necessaires sur le service, notamment sur le fonctionnement des agents d intelligence artificielle,
4. mener, le cas echeant, la consultation prealable de l autorite de controle (article 36).

Cette assistance est fournie sous la forme de la documentation disponible et de reponses ecrites aux questions du client. Elle n emporte aucune prise en charge par Reponse des obligations qui incombent au responsable de traitement.

12. Notification des violations de donnees

**12.1** Reponse notifie au client toute violation de donnees a caractere personnel affectant les donnees client, sans retard injustifie et au plus tard dans les quarante huit heures suivant le moment ou elle en a pris connaissance. La prise de connaissance s entend du moment ou Reponse dispose d un degre raisonnable de certitude qu un incident de securite a porte atteinte a des donnees client, au terme de la phase initiale de qualification technique de l incident.

a valider : delai ferme de quarante huit heures, plus strict que le RGPD, sa faisabilite operationnelle en l absence d astreinte formalisee, et le point de depart retenu

**12.2** La notification est adressee par courrier electronique a l adresse de contact renseignee dans l espace de travail du client, depuis l adresse hello@reponse.ai. Le client maintient son adresse de contact a jour. Aucun autre canal n emporte notification au sens du present article.

**12.3** La notification decrit, dans la mesure des informations disponibles au moment de son envoi :

1. la nature de la violation, y compris, si possible, les categories et le nombre approximatif de personnes concernees et d enregistrements en cause,
2. les consequences probables de la violation,
3. les mesures prises ou proposees pour y remedier et pour en attenuer les effets,
4. le point de contact aupres duquel des informations complementaires peuvent etre obtenues.

**12.4** Lorsque toutes les informations ne peuvent etre fournies en une seule fois, elles sont communiquees de maniere echelonnee, sans retard injustifie.

**12.5** Il appartient au client, en sa qualite de responsable de traitement, de decider de la notification a l autorite de controle et de l information des personnes concernees, et d y proceder. Reponse ne notifie pas une violation a l autorite de controle au nom du client sans instruction ecrite de sa part.

**12.6 Obligation symetrique du client.** Le client notifie a Reponse, sans retard injustifie et par ecrit a hello@reponse.ai, tout incident de securite survenu de son cote et susceptible d affecter les donnees client hebergees dans le service, toute compromission ou suspicion de compromission d un acces de l un de ses utilisateurs, ainsi que toute reclamation ou demande d une personne concernee dont le traitement necessite l intervention de Reponse. Le client revoque sans delai les acces compromis.

13. Traitement par les modeles d intelligence artificielle

**13.1** Le service comporte des fonctions reposant sur des modeles d intelligence artificielle. Pour generer une reponse, le contenu necessaire, en particulier le message de la personne concernee, l historique de la conversation et les elements de contexte selectionnes par le client, est transmis aux fournisseurs de modeles listes en annexe 2, qui agissent comme sous traitants ulterieurs de Reponse.

**13.2** Reponse ne developpe ni n entraine de modele sur les donnees client. Reponse recourt aux offres professionnelles des fournisseurs de modeles, dont les conditions excluent, selon ces fournisseurs, l utilisation des donnees transmises par l interface de programmation pour l entrainement de leurs modeles. Reponse ne souscrit sciemment a aucune option contractuelle autorisant un tel entrainement.

a valider : verification contrat par contrat de l absence d entrainement sur les donnees transmises, y compris pour les offres et paliers effectivement souscrits chez chaque fournisseur, et conservation des conditions applicables a la date de souscription

**13.3** Le service peut acheminer une meme requete vers l un ou l autre des fournisseurs listes en annexe 2 selon des criteres techniques et economiques. Le client peut demander a Reponse l information sur les fournisseurs susceptibles d etre utilises pour son espace de travail.

**13.4** Les reponses generees automatiquement sont des propositions destinees a etre exploitees par le client. Lorsque le client active un mode entierement automatise, il lui appartient d apprecier si le traitement releve de l article 22 du RGPD et d en tirer les consequences, notamment en informant les personnes concernees et en prevoyant une intervention humaine.

14. Transferts internationaux

**14.1 Localisation.** Le pays et, lorsqu elle est connue, la region d hebergement de chaque sous traitant ulterieur figurent en annexe 2. Reponse a pour objectif de faire heberger les donnees client au sein de l Union europeenne ou de l Espace economique europeen. Cette localisation ne peut pas etre garantie pour l ensemble des sous traitants a la date de derniere mise a jour du present contrat.

a completer : region d hebergement effective pour chaque sous traitant ulterieur, notamment Supabase et Netlify, relevee dans les consoles d administration

**14.2** Certains sous traitants ulterieurs sont etablis hors de l Union europeenne, notamment aux Etats Unis, ou peuvent y realiser tout ou partie du traitement. Dans ce cas, le transfert est encadre par l un des mecanismes prevus au chapitre V du RGPD :

1. une decision d adequation de la Commission europeenne, y compris, le cas echeant, l adhesion du destinataire au cadre de protection des donnees UE Etats Unis,
2. a defaut, les clauses contractuelles types, completees par les mesures supplementaires appropriees.

**14.3** Le client donne instruction a Reponse de proceder a ces transferts pour les besoins du service et autorise Reponse a conclure les clauses contractuelles types avec les sous traitants ulterieurs concernes, pour son compte.

**14.4** L annexe 2 precise, pour chaque sous traitant ulterieur, le pays de traitement et le mecanisme de transfert applicable.

a completer : verification, sous traitant par sous traitant, du mecanisme de transfert et de la documentation associee

**14.5 Module des clauses contractuelles types applicable.** Lorsque les clauses contractuelles types sont utilisees pour un transfert entre le client et Reponse, ou entre Reponse et un sous traitant ulterieur, le module applicable est :

1. le module 2, responsable de traitement vers sous traitant, lorsque le client agit en qualite de responsable de traitement,
2. le module 3, sous traitant vers sous traitant, lorsque le client agit lui meme en qualite de sous traitant au sens de l article 3.

Les annexes I, II et III des clauses contractuelles types sont renseignees separement des annexes du present contrat. Les annexes 1 et 3 du present contrat peuvent y etre reprises par renvoi, sans se substituer aux annexes propres aux clauses.

a completer : redaction et signature des annexes I, II et III des clauses contractuelles types, module par module a completer : designation de l autorite de controle chef de file et de la juridiction competente au titre des clauses contractuelles types

**14.6 Analyse d impact des transferts.** Pour chaque transfert hors de l Union europeenne fonde sur les clauses contractuelles types, une analyse d impact des transferts est etablie, portant sur la legislation du pays de destination, les mesures supplementaires techniques, contractuelles et organisationnelles retenues et les risques residuels. Reponse communique cette analyse au client sur demande ecrite.

a completer : realisation effective de l analyse d impact des transferts pour chaque sous traitant ulterieur situe hors de l Union europeenne, et date de sa derniere revision

**14.7 Invalidation, suspension ou modification du mecanisme de transfert.** Si le mecanisme de transfert utilise est invalide, suspendu ou substantiellement modifie par une decision d une autorite competente ou d une juridiction, les parties se rapprochent sans retard injustifie afin de mettre en place un mecanisme de remplacement dans un delai raisonnable. Dans l attente, Reponse met en oeuvre les mesures supplementaires disponibles et, si aucun mecanisme de remplacement n est praticable, suspend le transfert concerne. Si la suspension rend le service impossible a fournir, le client peut resilier sans frais et sans indemnite la partie du service concernee, avec remboursement au prorata des sommes payees d avance et non consommees.

**14.8 Demandes contraignantes d autorites publiques.** Si Reponse, ou l un de ses sous traitants ulterieurs, recoit d une autorite publique, judiciaire ou administrative, y compris hors de l Union europeenne, une demande contraignante de communication de donnees client, Reponse :

1. en informe le client sans retard injustifie, sauf lorsque le droit applicable le lui interdit, et s efforce dans ce cas d obtenir la levee de cette interdiction ou la reduction de sa portee, puis informe le client des que cela devient possible,
2. examine la legalite de la demande et conteste, par les voies de recours disponibles, y compris en sollicitant des mesures provisoires, toute demande qui lui parait illegale au regard du droit de l Union ou du droit de l Etat membre concerne, ou manifestement disproportionnee,
3. ne communique que le minimum de donnees strictement requis par la demande, apres une appreciation raisonnable de son perimetre,
4. documente les demandes recues, les elements communiques et les suites qui leur sont donnees, et met ces informations a la disposition du client sur demande, dans la mesure ou leur divulgation est licite.

a completer : existence, format et periodicite d un rapport de transparence recensant le nombre et la nature des demandes d autorites publiques recues

15. Audit et documentation

**15.1** Reponse met a la disposition du client les informations necessaires pour demontrer le respect des obligations prevues a l article 28 du RGPD, notamment le present contrat, ses annexes et la documentation technique du service.

**15.2** Le client peut demander, une fois par periode de douze mois, la communication d informations complementaires par ecrit sur les mesures de securite mises en oeuvre. Cette demande peut prendre la forme d un questionnaire de securite renseigne par Reponse, dans la limite d un questionnaire par periode de douze mois et de a completer : nombre maximal de questions par questionnaire questions. Reponse repond dans un delai de trente jours a compter de la demande, le cas echeant en renvoyant a sa documentation existante lorsque celle ci repond a la question posee.

**15.3** Le client peut realiser un audit sur site ou faire realiser un audit par un tiers independant soumis a une obligation de confidentialite, dans les cas suivants : a la suite d une violation de donnees affectant ses donnees, sur demande motivee d une autorite de controle, ou lorsque les informations communiquees au titre de l article 15.2 sont manifestement insuffisantes.

**15.4** L audit est notifie par ecrit au moins trente jours a l avance, se deroule pendant les heures ouvrees, ne perturbe pas de maniere disproportionnee l activite de Reponse, ne porte pas sur des informations confidentielles relatives a d autres clients et ne comporte pas de test d intrusion sans accord ecrit prealable de Reponse et, le cas echeant, de ses hebergeurs. Les frais de l audit sont a la charge du client, sauf si l audit revele un manquement significatif de Reponse a ses obligations. Le temps passe par Reponse pour un audit, ou pour un questionnaire excedant les limites de l article 15.2, est facture selon la grille mentionnee a l article 10.4.

**15.5** Chaque partie tient un registre des categories d activites de traitement conformement a l article 30 du RGPD.

16. Sort des donnees en fin de contrat

**16.1 Restitution et reversibilite.** Pendant toute la duree du contrat et pendant une periode de trente jours suivant sa fin, le client peut exporter ses donnees depuis le service, dans les formats mis a disposition par Reponse.

a completer : formats d export effectivement disponibles, CSV, JSON ou autre, et canal d export, interface ou API a completer : perimetre exporte par categorie de donnees, conversations, tickets, contacts, avis, donnees de fidelite et de parrainage, pieces jointes, journaux techniques, et perimetre explicitement exclu de l export a completer : conditions et tarification d une assistance a la migration au dela de l export standard a valider : duree de la periode de recuperation de trente jours

**16.2 Suppression.** Au choix du client exprime par ecrit avant la fin de cette periode, Reponse supprime les donnees client ou les restitue. A defaut de choix exprime, Reponse supprime les donnees client a l issue de cette periode.

**16.3 Delai de suppression.** La suppression des donnees des systemes de production intervient dans un delai de a valider : trente jours a compter de la fin de la periode de recuperation. Les donnees presentes dans les sauvegardes, lorsque des sauvegardes existent, sont supprimees a l expiration du cycle de rotation de ces sauvegardes.

a completer : duree du cycle de rotation des sauvegardes

**16.4 Espaces de travail gratuits dormants.** Une tache planifiee supprime les espaces de travail relevant du plan gratuit demeures inactifs pendant une periode prolongee.

a valider : duree d inactivite declenchant la purge a valider : envoi effectif d un courrier electronique de preavis avant la purge, delai de ce preavis et adresse destinataire, a defaut de mise en place de ce preavis la presente clause doit etre corrigee

**16.5 Conservation legale.** Reponse peut conserver certaines donnees au dela de ces delais lorsque le droit de l Union ou le droit francais l y oblige, notamment en matiere comptable et fiscale, et uniquement dans la mesure et pour la duree requises. Ces donnees sont alors archivees avec un acces restreint et ne sont plus traitees a d autres fins.

**16.6** Reponse atteste par ecrit de la suppression a la demande du client.

**16.7 Donnees d identification et journaux de connexion.** Reponse conserve les donnees d identification fournies lors de la souscription et les journaux de connexion dont la conservation est imposee par la loi pour la confiance dans l economie numerique et par le decret n 2021-1362 du 20 octobre 2021, pour la duree prevue par ces textes et aux seules fins de repondre aux requisitions des autorites habilitees. Cette conservation s applique independamment des durees choisies par le client.

a completer : perimetre exact des donnees conservees a ce titre et durees retenues, a confirmer par le conseil au regard du decret n 2021-1362

17. Responsabilite et assurance

**17.1** La responsabilite de chaque partie au titre du present contrat est regie par les stipulations relatives a la responsabilite figurant dans les conditions generales du service, dans les limites permises par le droit applicable et sans que ces limites puissent restreindre les droits des personnes concernees ni le pouvoir de sanction des autorites de controle.

**17.2** Chaque partie supporte les consequences de ses propres manquements au RGPD.

**17.3** a completer : existence d une police de responsabilite civile professionnelle, assureur, adresse, numero de police, montants garantis et couverture geographique, aucune assurance ne peut etre mentionnee dans le present contrat tant que la police n est pas souscrite et produite

18. Droit applicable et juridiction

**18.1** Le present contrat est soumis au droit francais et au RGPD.

**18.2** Les parties recherchent une solution amiable a tout differend. A defaut d accord, le litige est porte devant les tribunaux competents.

a completer : tribunal competent designe, en coherence avec les conditions generales et avec l article 48 du code de procedure civile pour les relations entre professionnels

**18.3** Le service est destine a des professionnels. Le site est toutefois accessible a des particuliers. Lorsqu un contrat est conclu avec un consommateur au sens du code de la consommation, dans le cas prevu a l article 1, les clauses attributives de competence lui sont inopposables et les regles protectrices du code de la consommation s appliquent, notamment le droit de saisir gratuitement un mediateur de la consommation.

a completer : nom et coordonnees du mediateur de la consommation

19. Modifications, langue et contact

**19.1** Reponse peut modifier le present contrat pour tenir compte d une evolution legale, reglementaire, jurisprudentielle ou technique. Toute modification substantielle est portee a la connaissance du client au moins trente jours avant son entree en vigueur.

**19.2** Le present contrat est publie en francais et en anglais. En cas de divergence d interpretation, la version francaise prevaut.

**19.3** Toute question relative au present contrat peut etre adressee a hello@reponse.ai. Les demandes de support technique sont adressees a support@reponse.ai.

20. Cession, changement de controle et procedure collective

**20.1** Reponse peut ceder le present contrat, notamment en cas de fusion, d apport partiel d actif, de cession de son fonds de commerce ou de changement de controle de la societe Shmore, a la condition que le cessionnaire reprenne l integralite des obligations du present contrat. Reponse en informe le client par ecrit dans un delai de trente jours suivant l operation.

**20.2** Si le cessionnaire ou le nouvel actionnaire de controle est etabli hors de l Union europeenne, ou si l operation modifie substantiellement les conditions de traitement, de securite ou de localisation des donnees client, le client peut resilier le contrat sans frais et sans indemnite dans un delai de trente jours suivant l information, avec remboursement au prorata des sommes payees d avance et non consommees.

**20.3** En cas d ouverture d une procedure de sauvegarde, de redressement ou de liquidation judiciaire, Reponse ou l organe designe met en oeuvre, dans la mesure permise par la loi et par les decisions de justice applicables, les mesures permettant au client d exporter ses donnees avant toute cessation du service.

a completer : mecanisme de reversibilite en cas de procedure collective, notamment preavis minimal de cessation de service et modalites d acces aux donnees pendant la procedure

21. Stipulations generales

**21.1 Ordre de preseance.** En cas de contradiction entre les documents contractuels, l ordre de preseance est le suivant :

1. les clauses contractuelles types signees, pour ce qui concerne exclusivement les transferts internationaux qu elles encadrent,
2. le present contrat et ses annexes,
3. les conditions generales de vente et d utilisation du service,
4. la documentation technique du service et tout autre document.

**21.2 Divisibilite.** Si une stipulation du present contrat est declaree nulle, illicite ou inapplicable par une juridiction ou une autorite competente, cette stipulation est reputee non ecrite et les autres stipulations demeurent en vigueur. Les parties negocient de bonne foi une stipulation de remplacement produisant un effet economique et juridique aussi proche que possible.

**21.3 Non renonciation.** Le fait pour une partie de ne pas se prevaloir d un manquement de l autre partie a l une quelconque de ses obligations ne saurait etre interprete comme une renonciation a s en prevaloir ulterieurement.

**21.4 Integralite de l accord.** Le present contrat, ses annexes et les documents auxquels il renvoie expriment l integralite de l accord des parties en matiere de protection des donnees a caractere personnel et remplacent tout accord anterieur portant sur le meme objet.

**21.5 Survie.** Les articles 7, 12.6, 16, 17, 18 et 21 survivent a la fin du present contrat pour la duree necessaire a leur execution.

Annexe 1 : description du traitement

**Objet du traitement.** Fourniture d une suite Experience Client aux marchands Shopify et aux sites de commerce en ligne.

**Duree du traitement.** Duree de l abonnement ou de l utilisation du plan gratuit, puis periode de recuperation et delais de suppression prevus a l article 16.

**Nature des operations.** Collecte, enregistrement, structuration, conservation, consultation, utilisation, transmission aux sous traitants ulterieurs, generation de reponses par des modeles d intelligence artificielle, envoi d emails, effacement, et le cas echeant indexation des contenus pour la recherche.

a valider : existence d une indexation vectorielle des contenus, fournisseur d embeddings utilise et lieu de traitement correspondant, a defaut cette operation doit etre retiree de la liste

**Finalites.** Celles enumerees a l article 4.4.

**Categories de personnes concernees**

1. les clients et prospects du client, c est a dire les visiteurs et les acheteurs de sa boutique en ligne,
2. les utilisateurs de l espace de travail du client, c est a dire ses salaries, ses prestataires et ses agents,
3. les contacts professionnels enregistres dans le CRM du client,
4. les destinataires des emails transactionnels envoyes par le client.

**Categories de donnees traitees**

1. donnees d identification : nom, prenom, adresse email, numero de telephone lorsqu il est fourni, identifiants internes, identifiant du contact chez le client,
2. contenus de communication : messages du chat, tickets, pieces jointes transmises par la personne concernee, avis clients, notes internes,
3. donnees de commande et de transaction : numero de commande, produits, montants, statut, adresse de livraison et de facturation, historique d achat,
4. donnees de fidelite et de parrainage : solde de points, filleuls, recompenses,
5. donnees de connexion et donnees techniques : adresse IP, horodatage, type de navigateur, pages consultees dans le contexte de la conversation, identifiant de session,
6. donnees de compte des utilisateurs de l espace de travail : identifiants, roles et permissions, journaux d activite,
7. le cas echeant, traits et preferences deduits d une conversation, a valider : existence, perimetre et conditions d activation d une fonction de memoire de contact, categories de traits deduits et duree de conservation, a defaut cette categorie doit etre retiree,
8. toute autre donnee que le client choisit de verser dans le service.

**Categories de donnees exclues.** Les donnees sensibles au sens de l article 9 du RGPD, les donnees relatives aux condamnations penales, les numeros de carte bancaire et les identifiants d authentification ne doivent pas etre verses dans le service, conformement a l article 6. Le service n est pas concu pour les traiter.

**Durees de conservation dans le service.** Les donnees sont conservees pendant la duree du contrat et supprimees dans les conditions de l article 16. Le client peut, lorsque le service le permet, definir des durees plus courtes.

a valider : duree de conservation des conversations, proposition usuelle de trois ans a compter du dernier contact a valider : duree de conservation des journaux techniques, proposition usuelle de six a douze mois a valider : duree de conservation des donnees de contact du CRM, proposition usuelle de trois ans a compter du dernier contact

Annexe 2 : liste des sous traitants ulterieurs

Liste a jour a la date de derniere mise a jour du present contrat. La version en vigueur est publiee a l adresse a completer : URL de la page publique listant les sous traitants ulterieurs.

Infrastructure et fonctions essentielles

a completer : raison sociale exacte et adresse postale de chaque sous traitant ulterieur, notamment Netlify

Modeles d intelligence artificielle

Emails

Mesure d audience produit

Outils charges sur le site public de Reponse

Ces outils concernent le site public de Reponse, pour lequel Reponse agit en qualite de responsable de traitement autonome au sens de l article 3. Ils sont mentionnes ici par transparence et sont decrits dans la politique cookies.

a valider : maintien ou retrait de Google Analytics 4 et du module de prise de rendez vous sur le site public, et conditionnement effectif de leur chargement au consentement

Integrations activees a la demande du client

Ces services ne sont sollicites que si le client active l integration correspondante.

a completer : pays de traitement et mecanisme de transfert pour chacune des integrations activables

a valider : exhaustivite de la presente liste, a etablir par un inventaire des appels sortants du service et des scripts charges par le site public, notamment Google Analytics et le module de prise de rendez vous

Annexe 3 : mesures de securite

Les mesures ci dessous sont decrites telles qu elles sont mises en oeuvre a la date de derniere mise a jour. Elles ne constituent ni une certification ni une garantie de resultat. Les points signales par un marqueur restent a verifier ou a formaliser et ne constituent pas un engagement.

1. Chiffrement des flux

Les echanges entre le navigateur ou le systeme du client et le service sont chiffres en transit par TLS. Le service est servi exclusivement en HTTPS.

a valider : version minimale de TLS acceptee et politique HSTS

2. Chiffrement au repos

Les donnees sont stockees chez Supabase. Reponse s appuie sur les mecanismes de chiffrement au repos de la plateforme d hebergement, dont le perimetre et les modalites de gestion des cles relevent de cette plateforme.

a valider : confirmation ecrite du chiffrement au repos et de la gestion des cles chez Supabase et chez Netlify

3. Cloisonnement des donnees

Chaque client dispose d un ou plusieurs espaces de travail. L acces aux donnees est restreint au niveau de la base de donnees par des regles de securite au niveau des lignes rattachees a l espace de travail et au role de l utilisateur. Les acces de service disposant de privileges eleves sont reserves aux traitements serveur et ne sont pas exposes au navigateur.

a valider : revue table par table et vue par vue de la couverture des politiques de securite au niveau des lignes et des objets exposes au role anonyme, une correction recente ayant porte sur ce point

4. Controle des acces

L authentification des utilisateurs repose sur le service d authentification de la plateforme. Les acces internes aux consoles d administration des sous traitants ulterieurs sont nominatifs et limites aux personnes qui en ont besoin.

a completer : authentification multifacteur imposee sur les comptes d administration, politique de mots de passe, revue periodique des acces

5. Gestion des secrets

Les cles d API et les secrets sont stockes dans des variables d environnement gerees par la plateforme d hebergement.

a valider : absence de secret versionne dans le code source, a etablir par un scan de l historique du depot a valider : procedure de rotation des secrets et frequence

6. Journalisation

Le service enregistre des journaux techniques d acces et d erreur permettant de detecter et d analyser un incident.

a completer : duree de conservation des journaux et perimetre de la journalisation des acces administrateurs

7. Minimisation dans les outils de mesure

Les champs de saisie sont masques par defaut dans les enregistrements de session de l outil de mesure d audience produit, et la capture n est activee qu apres consentement de la personne concernee.

a valider : perimetre exact de la mesure d audience produit en production, enregistrement de session, cartes de chaleur et capture automatique des interactions

8. Sauvegardes et continuite

a valider : existence de sauvegardes, plan souscrit chez la plateforme de base de donnees et perimetre effectivement couvert, aucune sauvegarde ne peut etre revendiquee tant que ce point n est pas confirme

a completer : frequence des sauvegardes, duree de retention, procedure et periodicite des tests de restauration, objectifs de reprise

9. Developpement et gestion des changements

Les modifications du service passent par un systeme de gestion de versions et un deploiement automatise.

a valider : caractere systematique de la revue de code et possibilite effective de retour arriere apres deploiement a completer : verifications de securite automatisees, gestion des dependances vulnerables

10. Gestion des incidents

a completer : formalisation ecrite d une procedure interne de qualification et de traitement des incidents de securite, incluant la notification prevue a l article 12, les roles, les delais internes et les coordonnees de l astreinte, aucune procedure ne peut etre revendiquee tant qu elle n est pas ecrite

11. Tests de securite

a completer : existence, nature et periodicite des tests de securite ou audits externes, aucun ne peut etre revendique en l absence de preuve

12. Certifications

Aucune certification de securite n est revendiquee a ce jour.