Contrat de sous-traitance des données à caractère personnel

Dernière mise à jour : 27 septembre 2026 (version 1.1)

Ce contrat de sous-traitance (le « DPA ») encadre le traitement des données à caractère personnel effectué par Reponse pour le compte de ses clients dans le cadre du service. Il est rendu public afin que tout client puisse en prendre connaissance avant de souscrire. Il complète les conditions générales de vente du service et prévaut sur elles pour tout ce qui concerne la protection des données à caractère personnel.

Le présent contrat ne couvre pas les traceurs déposés sur le site public de Reponse, qui font l'objet d'un document distinct, la politique cookies, publiée séparément et assortie de sa propre date de dernière mise à jour.

Le présent contrat est publié en français et en anglais. En cas de divergence d'interprétation, la version française prévaut, conformément à l'article 19.2. Les versions antérieures sont disponibles sur demande à hello@reponse.ai.

1. Parties

Le sous-traitant : société Shmore, société par actions simplifiée au capital de 1 000 euros, dont le siège social est situé 26 Thubert, 44118 La Chevrolière, France, immatriculée au registre du commerce et des sociétés de Nantes sous le numéro 990 895 971, éditrice du service Reponse accessible à l'adresse reponse.ai. Ci-après « Reponse » ou « le sous-traitant ».

Contact pour les questions relatives au présent contrat : hello@reponse.ai. Support technique : support@reponse.ai.

Numéro de TVA intracommunautaire : FR26990895971 Directeur de la publication : Vincent Redor Délégué à la protection des données : aucun délégué n'est désigné. Les questions relatives à la protection des données sont adressées à hello@reponse.ai, avec l'objet « Protection des données ».

Le responsable de traitement : le client, personne morale ou personne physique majeure agissant à des fins professionnelles, qui souscrit au service Reponse et crée un ou plusieurs espaces de travail. Ci-après « le client » ou « le responsable de traitement ».

Le service est réservé aux professionnels.

Ci-après ensemble « les parties ».

2. Définitions

Les termes « données à caractère personnel », « traitement », « responsable de traitement », « sous-traitant », « personne concernée », « violation de données à caractère personnel » et « autorité de contrôle » ont le sens que leur donne l'article 4 du règlement général sur la protection des données.

« RGPD » désigne le règlement (UE) 2016/679 du 27 avril 2016.

« Loi Informatique et Libertés » désigne la loi n° 78-17 du 6 janvier 1978 modifiée.

« Clauses contractuelles types » ou « CCT » désigne les clauses contractuelles types adoptées par la Commission européenne par la décision d'exécution (UE) 2021/914 du 4 juin 2021.

« Service » désigne la suite Expérience Client éditée par Reponse, ses interfaces web, son widget de discussion, son API et son serveur MCP.

« Données client » désigne les données à caractère personnel que le client, ses utilisateurs, ses propres clients ou ses systèmes connectés transmettent au service ou qui y sont générées pour son compte.

« Sous-traitant ultérieur » désigne tout tiers auquel Reponse confie une partie du traitement des données client. Ce terme ne désigne jamais Reponse elle-même.

3. Rôles des parties

Le client agit en qualité de responsable de traitement pour les données client. Il détermine les finalités et les moyens essentiels du traitement, choisit les fonctionnalités qu'il active et décide des données qu'il verse dans le service.

Reponse agit en qualité de sous-traitant pour ces mêmes données. Reponse ne traite les données client que sur instruction documentée du client.

Reponse agit en qualité de responsable de traitement autonome, et non de sous-traitant, pour les traitements qui lui sont propres : gestion de son compte client et de sa facturation, sécurité et prévention de la fraude, support, mesure d'audience de son propre site, respect de ses obligations légales et comptables. Ces traitements sont décrits dans la politique de confidentialité du service et, pour les traceurs, dans la politique cookies, et non dans le présent contrat.

Lorsqu'une agence exploite le service pour le compte d'un marchand, elle agit pour le compte de ce marchand, qui reste le client et le responsable de traitement. L'agence déclare disposer du mandat nécessaire pour agir au nom du marchand. Le terme défini « sous-traitant ultérieur » reste réservé, dans tout le présent contrat, aux tiers auxquels Reponse confie une partie du traitement.

4. Objet, durée, nature et finalité du traitement

4.1 Objet. Le présent contrat a pour objet de définir les conditions dans lesquelles Reponse traite, pour le compte du client, les données à caractère personnel nécessaires à la fourniture du service.

4.2 Durée. Le présent contrat entre en vigueur à la date d'acceptation des conditions du service ou de la première utilisation du service, selon la date la plus précoce. Il reste en vigueur pendant toute la durée pendant laquelle Reponse traite des données client, puis jusqu'à la suppression ou la restitution complète de ces données dans les conditions prévues à l'article 16.

4.3 Nature du traitement. Collecte, enregistrement, organisation, structuration, conservation, adaptation, extraction, consultation, utilisation, communication par transmission aux sous-traitants ultérieurs listés en annexe 2, rapprochement, limitation, effacement et destruction.

4.4 Finalités. Le traitement est réalisé aux seules fins de fournir et de maintenir le service souscrit par le client, à savoir :

1. le chat en direct avec un agent humain et avec un agent d'intelligence artificielle, sur le site du client et dans les canaux connectés,
2. la gestion des tickets et de la boîte de réception partagée,
3. les programmes de fidélité et de parrainage,
4. la gestion des contacts et du CRM,
5. l'envoi d'e-mails transactionnels déclenchés par le client ou par ses règles,
6. la consultation du catalogue et des commandes du client,
7. l'accès au service par API et par serveur MCP,
8. l'assistance technique fournie au client à sa demande,
9. la sécurité du service, la prévention des abus et la journalisation technique.

4.5 Description détaillée. La description complète du traitement figure en annexe 1.

5. Instructions documentées du responsable de traitement

5.1 Reponse ne traite les données client que sur instruction documentée du client, y compris en ce qui concerne les transferts hors de l'Union européenne.

5.2 Constituent les instructions documentées du client, prises ensemble :

1. le présent contrat et ses annexes,
2. les conditions générales du service et la documentation technique,
3. les paramètres de configuration retenus par le client dans son espace de travail, notamment les intégrations qu'il active, les règles d'automatisation qu'il écrit et les durées de conservation qu'il choisit lorsque le service le permet,
4. les appels effectués par le client aux interfaces de programmation du service,
5. toute instruction écrite complémentaire adressée à hello@reponse.ai et acceptée par écrit par Reponse.

5.3 Si Reponse considère qu'une instruction du client constitue une violation du RGPD ou d'une autre disposition du droit de l'Union ou du droit d'un État membre relative à la protection des données, elle en informe le client sans délai et peut suspendre l'exécution de l'instruction concernée jusqu'à sa confirmation ou sa modification.

5.4 Si Reponse est tenue de traiter des données client en vertu du droit de l'Union ou du droit français en dehors des instructions du client, elle en informe le client avant le traitement, sauf si ce droit interdit une telle information pour des motifs importants d'intérêt public.

5.5 Reponse ne vend pas les données client, ne les loue pas, ne les utilise pas à des fins de publicité et ne les exploite pas pour son propre compte en dehors des cas prévus à l'article 3.

5.6 Données agrégées. Reponse peut produire des statistiques agrégées sur l'usage du service, aux fins d'exploitation, de facturation, de sécurité et d'amélioration du service. Ces statistiques reposent sur des compteurs d'usage, tels que le nombre de conversations, de messages, d'envois et la consommation des modèles d'intelligence artificielle. Elles ne comportent aucun contenu de conversation ni identifiant direct des personnes concernées. Tant qu'elles restent rattachées à un espace de travail, elles demeurent soumises au présent contrat.

6. Obligations du client

Le client garantit que :

1. il dispose d'une base légale valable pour chaque traitement qu'il confie à Reponse et, lorsque le consentement est requis, qu'il l'a recueilli dans les conditions prévues par le RGPD,
2. il a informé les personnes concernées du traitement, du recours à Reponse comme sous-traitant et, le cas échéant, du recours à des agents d'intelligence artificielle pour traiter leurs demandes,
3. les données qu'il transmet sont exactes, pertinentes et limitées à ce qui est nécessaire,
4. il n'insère pas dans le service, notamment dans les conversations, les fiches contacts ou les fichiers importés, de données relevant de l'article 9 du RGPD (données dites sensibles, en particulier données de santé, opinions politiques, convictions religieuses, orientation sexuelle, données biométriques) ni de données relatives aux condamnations pénales, ni de numéros de carte bancaire ou d'identifiants d'authentification, sauf accord écrit préalable de Reponse et mise en place de garanties adaptées,
5. il configure correctement les accès de ses propres utilisateurs et révoque sans délai les accès devenus inutiles,
6. il vérifie que les intégrations qu'il active vers des services tiers sont compatibles avec ses propres engagements,
7. il détermine l'âge minimum applicable à ses propres services et, lorsque des mineurs sont susceptibles d'utiliser le widget de discussion ou les autres canaux connectés, il assure l'information adaptée et, le cas échéant, recueille le consentement du titulaire de l'autorité parentale dans les conditions de l'article 8 du RGPD et de l'article 45 de la loi Informatique et Libertés.

L'accès au service lui-même, c'est-à-dire aux espaces de travail, est réservé aux professionnels majeurs. Le widget de discussion est utilisé par les visiteurs de la boutique du client, dont Reponse ne vérifie pas l'âge.

Le client reste seul responsable du contenu des messages qu'il envoie et des décisions qu'il prend à partir des informations restituées par le service.

7. Confidentialité et personnel

7.1 Reponse traite les données client comme des informations confidentielles. Cette obligation survit cinq ans à la fin du contrat.

7.2 À la date de dernière mise à jour du présent contrat, Reponse n'a ni salarié, ni prestataire, ni filiale ayant accès aux données client. Seul le dirigeant de Shmore, Vincent Redor, y a accès, et il est tenu à la confidentialité. Si Reponse venait à habiliter d'autres personnes, elle les soumettrait au préalable à une obligation écrite de confidentialité, qui survivrait à la fin de leur mission, et mettrait à jour le présent article.

7.3 L'accès aux données client est limité à ce qui est nécessaire pour fournir le service, l'exploiter, le sécuriser ou répondre à une demande de support. Reponse n'accède au contenu d'un espace de travail qu'à la demande du client.

7.4 Localisation des accès. Les accès aux données client par Reponse s'effectuent uniquement depuis la France. Aucun accès n'est réalisé depuis un pays situé hors de l'Union européenne.

8. Mesures de sécurité

8.1 Reponse met en œuvre les mesures techniques et organisationnelles appropriées prévues à l'article 32 du RGPD, compte tenu de l'état des connaissances, des coûts de mise en œuvre, de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les droits et libertés des personnes.

8.2 Ces mesures sont décrites en annexe 3. Elles sont décrites de façon factuelle, telles qu'elles sont effectivement mises en œuvre à la date de dernière mise à jour du présent contrat.

8.3 Reponse ne revendique aucune certification de sécurité, aucun label, aucun audit externe et aucun engagement chiffré de disponibilité dans le présent contrat. Toute certification obtenue ultérieurement sera mentionnée en annexe 3.

8.4 Les mesures peuvent évoluer, notamment pour tenir compte de l'évolution des risques et des technologies. Reponse ne procède à aucune modification qui diminuerait de manière substantielle le niveau de sécurité du service.

9. Sous-traitants ultérieurs

9.1 Autorisation générale. Le client donne à Reponse une autorisation générale et écrite de recourir à des sous-traitants ultérieurs pour l'exécution du service, dans les conditions du présent article.

9.2 Liste. La liste des sous-traitants ultérieurs figure en annexe 2 du présent contrat. Elle est publiée et tenue à jour à l'adresse https://reponse.ai/fr/legal/sub-processors. La liste publiée et datée fait foi.

9.3 Contrat. Conformément à l'article 28.4 du RGPD, chaque sous-traitant ultérieur est tenu, par contrat, à des obligations de protection des données, en règle générale par l'accord de traitement des données que ce fournisseur propose à ses clients professionnels. Reponse demeure pleinement responsable devant le client de l'exécution par le sous-traitant ultérieur de ses obligations.

9.4 Publication des changements. Reponse ajoute, remplace ou retire un sous-traitant ultérieur par simple publication sur la page mentionnée à l'article 9.2, avec mise à jour de la date affichée en tête de cette page. Reponse ne notifie pas individuellement le client de ces changements. En utilisant le service, le client donne l'autorisation générale prévue à l'article 28.2 du RGPD pour les sous-traitants ultérieurs ainsi listés et pour ceux qui y seront ajoutés par la suite selon la même procédure de publication.

9.5 Intégrations activées par le client. Lorsque le client active une intégration vers un service tiers, notamment Shopify, Klaviyo, Notion ou TikTok Shop, il donne à Reponse l'instruction de transmettre à ce tiers les données nécessaires au fonctionnement de l'intégration. Ce tiers agit alors soit comme sous-traitant ultérieur de Reponse, soit comme responsable de traitement autonome selon la relation contractuelle qui lie le client à ce tiers. Le client est invité à vérifier les conditions applicables à chacun de ces services.

10. Assistance pour les droits des personnes concernées

10.1 Reponse met à la disposition du client, dans le service, les fonctions permettant de consulter, de rectifier et de supprimer les données d'un contact. Le client peut également demander à Reponse l'export des données d'un contact, par écrit à hello@reponse.ai.

10.2 Si une personne concernée adresse directement à Reponse une demande d'exercice de ses droits portant sur des données client, Reponse ne répond pas à la demande sur le fond. Elle en informe le client sans retard injustifié et lui transmet la demande, sauf lorsque le droit applicable lui impose d'y répondre elle-même.

10.3 Reponse assiste le client, dans la mesure du possible et compte tenu de la nature du traitement, pour répondre aux demandes d'exercice des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition, ainsi qu'au droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé.

10.4 Cette assistance est gratuite dans les cas courants. Lorsqu'une demande exige un travail technique spécifique et significatif, Reponse en informe le client au préalable et lui adresse un devis ; aucun frais n'est engagé sans l'accord écrit du client sur ce devis.

11. Assistance pour la sécurité, les analyses d'impact et la consultation préalable

Reponse assiste le client, compte tenu de la nature du traitement et des informations dont elle dispose, pour :

1. garantir le respect des obligations de sécurité prévues à l'article 32 du RGPD,
2. notifier les violations de données à l'autorité de contrôle (article 33) et les communiquer aux personnes concernées lorsque cela est requis (article 34),
3. réaliser une analyse d'impact relative à la protection des données (article 35), en fournissant les informations techniques nécessaires sur le service, notamment sur le fonctionnement des agents d'intelligence artificielle,
4. mener, le cas échéant, la consultation préalable de l'autorité de contrôle (article 36).

Cette assistance est fournie sous la forme de la documentation disponible et de réponses écrites aux questions du client. Il appartient au client, en sa qualité de responsable de traitement, d'apprécier si une analyse d'impact est requise et de la réaliser ; Reponse ne réalise pas d'analyse d'impact pour le compte du client. Cette assistance n'emporte aucune prise en charge par Reponse des obligations qui incombent au responsable de traitement.

12. Notification des violations de données

12.1 Reponse notifie au client toute violation de données à caractère personnel affectant les données client, sans retard injustifié et au plus tard dans les soixante-douze heures suivant le moment où elle en a pris connaissance. La prise de connaissance s'entend du moment où Reponse dispose d'un degré raisonnable de certitude qu'un incident de sécurité a porté atteinte à des données client.

12.2 La notification est adressée par courrier électronique à l'adresse de contact renseignée dans l'espace de travail du client, depuis l'adresse hello@reponse.ai. Le client maintient son adresse de contact à jour. Aucun autre canal n'emporte notification au sens du présent article.

12.3 La notification décrit, dans la mesure des informations disponibles au moment de son envoi :

1. la nature de la violation, y compris, si possible, les catégories et le nombre approximatif de personnes concernées et d'enregistrements en cause,
2. les conséquences probables de la violation,
3. les mesures prises ou proposées pour y remédier et pour en atténuer les effets,
4. le point de contact auprès duquel des informations complémentaires peuvent être obtenues.

12.4 Lorsque toutes les informations ne peuvent être fournies en une seule fois, elles sont communiquées de manière échelonnée, sans retard injustifié.

12.5 Il appartient au client, en sa qualité de responsable de traitement, de décider de la notification à l'autorité de contrôle et de l'information des personnes concernées, et d'y procéder. Reponse ne notifie pas une violation à l'autorité de contrôle au nom du client sans instruction écrite de sa part.

12.6 Obligation symétrique du client. Le client notifie à Reponse, sans retard injustifié et par écrit à hello@reponse.ai, tout incident de sécurité survenu de son côté et susceptible d'affecter les données client hébergées dans le service, toute compromission ou suspicion de compromission d'un accès de l'un de ses utilisateurs, ainsi que toute réclamation ou demande d'une personne concernée dont le traitement nécessite l'intervention de Reponse. Le client révoque sans délai les accès compromis.

13. Traitement par les modèles d'intelligence artificielle

13.1 Le service comporte des fonctions reposant sur des modèles d'intelligence artificielle. Pour générer une réponse, le contenu nécessaire, en particulier le message de la personne concernée, l'historique de la conversation et les éléments de contexte sélectionnés par le client, est transmis aux fournisseurs de modèles listés en annexe 2, qui agissent comme sous-traitants ultérieurs de Reponse.

13.2 Reponse ne développe ni n'entraîne de modèle sur les données client. Reponse recourt aux offres d'API payantes d'OpenAI, de Google (Gemini) et de Mistral, dont les conditions excluent, selon chacun de ces fournisseurs, l'utilisation des données transmises pour l'entraînement de leurs modèles. Selon ces mêmes conditions, les données transmises peuvent être conservées par le fournisseur jusqu'à trente jours au plus, notamment aux fins de détection des abus, puis sont supprimées.

13.3 Le service peut acheminer une requête vers l'un ou l'autre des fournisseurs listés en annexe 2 selon des critères techniques et économiques. À la date de dernière mise à jour du présent contrat, les réponses sont générées par des modèles d'OpenAI ; les modèles de Google et de Mistral sont intégrés au service et peuvent être sollicités selon ce routage. Le client peut demander à Reponse l'information sur les fournisseurs utilisés pour son espace de travail.

13.4 Recherche sémantique. Pour permettre à l'agent d'intelligence artificielle de retrouver les informations pertinentes, le service calcule des représentations vectorielles des contenus versés par le client, notamment sa base de connaissances et son catalogue, au moyen d'un modèle d'OpenAI. Ces représentations sont stockées dans la base de données du service, chez Supabase.

13.5 Mémoire des contacts. Lorsqu'un visiteur est identifié comme un contact vérifié du client, le service extrait périodiquement de ses conversations avec l'agent d'intelligence artificielle des préférences et informations durables, telles que la catégorie de produits préférée, la taille, les produits qui l'intéressent, une objection non résolue, un indice de budget ou le canal de contact préféré. Ces informations sont rattachées à la fiche du contact, utilisées pour personnaliser les réponses suivantes et supprimées avec cette fiche.

13.6 Les réponses générées automatiquement sont des propositions destinées à être exploitées par le client. Lorsque le client laisse l'agent d'intelligence artificielle répondre sans intervention humaine, il lui appartient d'apprécier si le traitement relève de l'article 22 du RGPD et d'en tirer les conséquences, notamment en informant les personnes concernées et en prévoyant une intervention humaine. Le widget de discussion propose au visiteur de parler à un humain ; il n'indique pas de lui-même que les réponses sont générées par une intelligence artificielle, et l'information des visiteurs sur ce point incombe au client conformément à l'article 6.

14. Transferts internationaux

14.1 Localisation. Le pays et, lorsqu'elle est connue, la région d'hébergement de chaque sous-traitant ultérieur figurent en annexe 2. La base de données du service, qui contient l'ensemble des données client, est hébergée chez Supabase dans la région eu-west-1 (Irlande), où sont également conservées ses sauvegardes. Les fonctions serveur du service sont exécutées par Netlify dans la région eu-west-1 (Dublin, Irlande), au plus près de la base de données ; les requêtes leur parviennent par le réseau mondial de Netlify, qui distribue aussi les contenus statiques. Le cache des pages publiques publiées est conservé par Netlify dans la région us-east-2 (Ohio, États-Unis) ; il ne contient que des pages déjà publiques, et aucune autre donnée client.

14.2 Certains sous-traitants ultérieurs sont établis hors de l'Union européenne, notamment aux États-Unis, ou peuvent y réaliser tout ou partie du traitement. Dans ce cas, le transfert est encadré par l'un des mécanismes prévus au chapitre V du RGPD :

1. une décision d'adéquation de la Commission européenne, y compris le cadre de protection des données UE-États-Unis (Data Privacy Framework) lorsque le destinataire y est certifié,
2. à défaut, les clauses contractuelles types, complétées le cas échéant par des mesures supplémentaires appropriées.

14.3 Le client donne instruction à Reponse de procéder à ces transferts pour les besoins du service et autorise Reponse à conclure les clauses contractuelles types avec les sous-traitants ultérieurs concernés, pour son compte.

14.4 L'annexe 2 précise, pour chaque sous-traitant ultérieur, le pays de traitement et le mécanisme de transfert applicable. La mention « DPF ou CCT » signifie que le transfert repose sur le cadre de protection des données UE-États-Unis lorsque le fournisseur y est certifié, et à défaut sur les clauses contractuelles types.

14.5 Clauses contractuelles types. Lorsque les clauses contractuelles types sont utilisées, elles sont intégrées au présent contrat par référence, dans le module applicable :

1. le module 2, responsable de traitement vers sous-traitant, pour un transfert entre le client et Reponse,
2. le module 3, sous-traitant vers sous-traitant, pour un transfert entre Reponse et un sous-traitant ultérieur.

Les annexes I, II et III des clauses contractuelles types sont renseignées par les stipulations du présent contrat : l'annexe I par l'article 1 (parties) et l'annexe 1 (catégories de personnes et de données, finalités, nature et durée du traitement), l'annexe II par l'annexe 3 (mesures de sécurité), l'annexe III par l'annexe 2 (sous-traitants ultérieurs). L'autorité de contrôle compétente au titre de la clause 13 est la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07. Les clauses sont régies par le droit français (clause 17) et les litiges qui en découlent relèvent des juridictions de Nantes (clause 18).

14.6 Évaluation des transferts. Pour les transferts fondés sur les clauses contractuelles types, les parties tiennent compte, conformément à la clause 14 de ces clauses, de la législation du pays de destination, des circonstances du transfert et des garanties mises en œuvre. Reponse communique au client, sur demande écrite, les éléments dont elle dispose à ce titre.

14.7 Invalidation, suspension ou modification du mécanisme de transfert. Si le mécanisme de transfert utilisé est invalidé, suspendu ou substantiellement modifié par une décision d'une autorité compétente ou d'une juridiction, les parties se rapprochent sans retard injustifié afin de mettre en place un mécanisme de remplacement dans un délai raisonnable. Dans l'attente, Reponse met en œuvre les mesures supplémentaires disponibles et, si aucun mécanisme de remplacement n'est praticable, suspend le transfert concerné. Si la suspension rend le service impossible à fournir, le client peut résilier sans frais et sans indemnité la partie du service concernée, avec remboursement au prorata des sommes payées d'avance et non consommées.

14.8 Demandes contraignantes d'autorités publiques. Si Reponse, ou l'un de ses sous-traitants ultérieurs, reçoit d'une autorité publique, judiciaire ou administrative, y compris hors de l'Union européenne, une demande contraignante de communication de données client, Reponse :

1. en informe le client sans retard injustifié, sauf lorsque le droit applicable le lui interdit, et s'efforce dans ce cas d'obtenir la levée de cette interdiction ou la réduction de sa portée, puis informe le client dès que cela devient possible,
2. examine la légalité de la demande et conteste, par les voies de recours disponibles, y compris en sollicitant des mesures provisoires, toute demande qui lui paraît illégale au regard du droit de l'Union ou du droit de l'État membre concerné, ou manifestement disproportionnée,
3. ne communique que le minimum de données strictement requis par la demande, après une appréciation raisonnable de son périmètre,
4. documente les demandes reçues, les éléments communiqués et les suites qui leur sont données, et met ces informations à la disposition du client sur demande, dans la mesure où leur divulgation est licite.

15. Audit et documentation

15.1 Reponse met à la disposition du client les informations nécessaires pour démontrer le respect des obligations prévues à l'article 28 du RGPD, notamment le présent contrat, ses annexes et la documentation technique du service.

15.2 Le client exerce son droit d'audit d'abord sous la forme d'un questionnaire écrit sur les mesures de sécurité et de protection des données mises en œuvre, au plus une fois par période de douze mois. Reponse y répond dans un délai de trente jours à compter de sa réception, le cas échéant en renvoyant à sa documentation existante lorsque celle-ci répond à la question posée.

15.3 Le client ne peut réaliser une inspection, lui-même ou par un auditeur tiers tenu à la confidentialité, que lorsque les réponses apportées au questionnaire prévu à l'article 15.2 sont insuffisantes pour démontrer le respect des obligations du présent contrat. Les pouvoirs d'investigation des autorités de contrôle ne sont pas affectés par le présent article.

15.4 L'inspection est notifiée par écrit au moins trente jours à l'avance, se déroule pendant les heures ouvrées, ne perturbe pas de manière disproportionnée l'activité de Reponse, ne porte pas sur des informations confidentielles relatives à d'autres clients et ne comporte pas de test d'intrusion sans accord écrit préalable de Reponse et, le cas échéant, de ses hébergeurs. Les frais de l'inspection sont à la charge du client, y compris le temps passé par Reponse, facturé sur devis conformément à l'article 10.4.

15.5 Chaque partie tient un registre des catégories d'activités de traitement conformément à l'article 30 du RGPD.

16. Sort des données en fin de contrat

16.1 Restitution et réversibilité. Pendant toute la durée du contrat et pendant une période de trente jours suivant sa fin, le client peut demander l'export de ses données par écrit à hello@reponse.ai. L'export est fourni au format CSV ou JSON, dans un délai de trente jours à compter de la demande.

16.2 Suppression. Au choix du client exprimé par écrit avant la fin de cette période, Reponse supprime les données client ou les restitue. À défaut de choix exprimé, Reponse supprime les données client à l'issue de cette période.

16.3 Délai de suppression. Les données client sont supprimées des systèmes de production trente jours après la fin du contrat. Les données présentes dans les sauvegardes sont effacées au fil de la rotation de ces sauvegardes, au plus tard trente jours après leur suppression des systèmes de production.

16.4 Conservation légale. Reponse peut conserver certaines données au-delà de ces délais lorsque le droit de l'Union ou le droit français l'y oblige, notamment en matière comptable et fiscale, et uniquement dans la mesure et pour la durée requises. Ces données sont alors archivées avec un accès restreint et ne sont plus traitées à d'autres fins.

16.5 Reponse atteste par écrit de la suppression à la demande du client.

16.6 Données d'identification et journaux de connexion. Reponse conserve les données d'identification fournies lors de la souscription et les journaux de connexion dont la conservation est imposée par la loi pour la confiance dans l'économie numérique et par le décret n° 2021-1362 du 20 octobre 2021, pour la durée prévue par ces textes et aux seules fins de répondre aux réquisitions des autorités habilitées. Cette conservation s'applique indépendamment des durées choisies par le client.

17. Responsabilité

17.1 La responsabilité de chaque partie au titre du présent contrat est régie par les stipulations relatives à la responsabilité figurant dans les conditions générales de vente du service, dans les limites permises par le droit applicable et sans que ces limites puissent restreindre les droits des personnes concernées ni le pouvoir de sanction des autorités de contrôle.

17.2 Chaque partie supporte les conséquences de ses propres manquements au RGPD.

18. Droit applicable et juridiction

18.1 Le présent contrat est soumis au droit français et au RGPD.

18.2 Les parties recherchent une solution amiable à tout différend. À défaut d'accord, le litige est porté devant les juridictions compétentes de Nantes, conformément à l'article 48 du code de procédure civile.

19. Modifications, langue et contact

19.1 Reponse peut modifier le présent contrat pour tenir compte d'une évolution légale, réglementaire, jurisprudentielle ou technique. Toute modification est annoncée par e-mail et par la mise à jour de la date figurant en tête du présent contrat. Toute modification substantielle est portée à la connaissance du client au moins trente jours avant son entrée en vigueur.

19.2 Le présent contrat est publié en français et en anglais. En cas de divergence d'interprétation, la version française prévaut.

19.3 Toute question relative au présent contrat peut être adressée à hello@reponse.ai. Les demandes de support technique sont adressées à support@reponse.ai.

20. Cession, changement de contrôle et cessation d'activité

20.1 Reponse peut céder le présent contrat, notamment en cas de fusion, d'apport partiel d'actif, de cession de son fonds de commerce ou de changement de contrôle de la société Shmore, à la condition que le cessionnaire reprenne l'intégralité des obligations du présent contrat. Reponse en informe le client par écrit dans un délai de trente jours suivant l'opération.

20.2 Si le cessionnaire ou le nouvel actionnaire de contrôle est établi hors de l'Union européenne, ou si l'opération modifie substantiellement les conditions de traitement, de sécurité ou de localisation des données client, le client peut résilier le contrat sans frais et sans indemnité dans un délai de trente jours suivant l'information, avec remboursement au prorata des sommes payées d'avance et non consommées.

20.3 En cas de cessation d'activité, y compris à l'issue d'une procédure de sauvegarde, de redressement ou de liquidation judiciaire, Reponse ou l'organe désigné en informe le client par e-mail au moins trente jours avant l'arrêt du service, dans la mesure permise par la loi et par les décisions de justice applicables, et lui permet d'exporter ses données dans les conditions de l'article 16.1 avant cet arrêt.

21. Stipulations générales

21.1 Ordre de préséance. En cas de contradiction entre les documents contractuels, l'ordre de préséance est le suivant :

1. les clauses contractuelles types, pour ce qui concerne exclusivement les transferts internationaux qu'elles encadrent,
2. le présent contrat et ses annexes,
3. les conditions générales de vente du service,
4. la documentation technique du service et tout autre document.

21.2 Divisibilité. Si une stipulation du présent contrat est déclarée nulle, illicite ou inapplicable par une juridiction ou une autorité compétente, cette stipulation est réputée non écrite et les autres stipulations demeurent en vigueur. Les parties négocient de bonne foi une stipulation de remplacement produisant un effet économique et juridique aussi proche que possible.

21.3 Non-renonciation. Le fait pour une partie de ne pas se prévaloir d'un manquement de l'autre partie à l'une quelconque de ses obligations ne saurait être interprété comme une renonciation à s'en prévaloir ultérieurement.

21.4 Intégralité de l'accord. Le présent contrat, ses annexes et les documents auxquels il renvoie expriment l'intégralité de l'accord des parties en matière de protection des données à caractère personnel et remplacent tout accord antérieur portant sur le même objet.

21.5 Survie. Les articles 7, 12.6, 16, 17, 18 et 21 survivent à la fin du présent contrat pour la durée nécessaire à leur exécution.

Annexe 1 : description du traitement

Objet du traitement. Fourniture d'une suite Expérience Client aux marchands Shopify.

Durée du traitement. Durée de l'abonnement ou de l'utilisation du plan gratuit, puis période de récupération et délais de suppression prévus à l'article 16.

Nature des opérations. Collecte, enregistrement, structuration, conservation, consultation, utilisation, transmission aux sous-traitants ultérieurs, génération de réponses par des modèles d'intelligence artificielle, calcul de représentations vectorielles des contenus pour la recherche sémantique, envoi d'e-mails, effacement.

Finalités. Celles énumérées à l'article 4.4.

Catégories de personnes concernées

1. les clients et prospects du client, c'est-à-dire les visiteurs et les acheteurs de sa boutique en ligne,
2. les utilisateurs de l'espace de travail du client, c'est-à-dire ses salariés, ses prestataires et ses agents,
3. les contacts professionnels enregistrés dans le CRM du client,
4. les destinataires des e-mails transactionnels envoyés par le client.

Catégories de données traitées

1. données d'identification : nom, prénom, adresse e-mail, numéro de téléphone lorsqu'il est fourni, identifiants internes, identifiant du contact chez le client,
2. contenus de communication : messages du chat, tickets, pièces jointes transmises par la personne concernée, notes internes,
3. données de commande et de transaction : numéro de commande, produits, montants, statut, adresse de livraison et de facturation, historique d'achat,
4. données de fidélité et de parrainage : solde de points, filleuls, récompenses,
5. données de connexion et données techniques : adresse IP, horodatage, type de navigateur, pages consultées dans le contexte de la conversation, identifiant de session ; le widget de discussion conserve dans le navigateur du visiteur un identifiant de session, l'historique de la conversation, un compteur de visites et la date de la dernière visite (ces deux derniers seulement avec le consentement du visiteur à la mesure d'audience),
6. données relatives aux e-mails envoyés : statut de délivrance et, lorsqu'ils sont signalés par le prestataire d'envoi, les événements d'ouverture et de clic,
7. données de compte des utilisateurs de l'espace de travail : identifiants, rôles et permissions, journaux d'activité,
8. préférences et informations durables déduites des conversations des contacts vérifiés, dans les conditions de l'article 13.5,
9. toute autre donnée que le client choisit de verser dans le service.

Catégories de données exclues. Les données sensibles au sens de l'article 9 du RGPD, les données relatives aux condamnations pénales, les numéros de carte bancaire et les identifiants d'authentification ne doivent pas être versés dans le service, conformément à l'article 6. Le service n'est pas conçu pour les traiter.

Durées de conservation dans le service. Les données sont conservées pendant la durée du contrat et supprimées dans les conditions de l'article 16. Pendant le contrat, s'appliquent les durées suivantes, sauf durée plus courte définie par le client lorsque le service le permet :

1. conversations, tickets et données de contact du CRM, y compris les préférences déduites : trois ans à compter du dernier contact,
2. journaux techniques : douze mois,
3. sauvegardes de la base de données : sept jours.

Annexe 2 : liste des sous-traitants ultérieurs

Liste à jour à la date de dernière mise à jour du présent contrat. La version en vigueur est publiée à l'adresse https://reponse.ai/fr/legal/sub-processors. La mention « DPF ou CCT » est définie à l'article 14.4.

Infrastructure et fonctions essentielles

Modèles d'intelligence artificielle

E-mails

Mesure d'audience produit

Outils chargés sur le site public de Reponse

Ces outils concernent le site public de Reponse, pour lequel Reponse agit en qualité de responsable de traitement autonome au sens de l'article 3. Ils sont mentionnés ici par transparence et sont décrits dans la politique cookies.

Intégrations activées à la demande du client

Ces services ne sont sollicités que si le client active l'intégration correspondante. Le lieu de traitement et le mécanisme de transfert sont ceux prévus par les conditions qui lient le client à chacun de ces services.

Annexe 3 : mesures de sécurité

Les mesures ci-dessous sont décrites telles qu'elles sont mises en œuvre à la date de dernière mise à jour. Elles ne constituent ni une certification ni une garantie de résultat.

1. Chiffrement des flux

Les échanges entre le navigateur ou le système du client et le service sont chiffrés en transit par TLS. Le service est servi exclusivement en HTTPS et impose HTTPS aux navigateurs par l'en-tête Strict-Transport-Security (durée d'un an, sous-domaines inclus).

2. Chiffrement au repos

Les données sont stockées chez Supabase, qui les chiffre au repos.

3. Cloisonnement des données

Chaque client dispose d'un ou plusieurs espaces de travail. L'accès aux données est restreint au niveau de la base de données par des règles de sécurité au niveau des lignes (Row Level Security) rattachées à l'espace de travail et au rôle de l'utilisateur. Les accès de service disposant de privilèges élevés sont réservés aux traitements serveur et ne sont pas exposés au navigateur.

4. Contrôle des accès

L'authentification des utilisateurs repose sur le service d'authentification de Supabase. Les comptes d'administration de Reponse chez Supabase, Netlify, GitHub et Shopify Partner sont protégés par une authentification à deux facteurs. Seul le dirigeant de Shmore y a accès.

5. Gestion des secrets

Les clés d'API et les secrets sont stockés dans des variables d'environnement gérées par la plateforme d'hébergement.

6. Journalisation

Le service enregistre des journaux techniques d'accès et d'erreur permettant de détecter et d'analyser un incident. Ces journaux sont conservés douze mois.

7. Minimisation dans les outils de mesure

L'outil de mesure d'audience produit ne collecte rien avant le consentement de la personne concernée. Après consentement, il enregistre les événements d'usage, les cartes de chaleur et les sessions ; les champs de saisie sont masqués dans les enregistrements de session et la capture automatique des interactions exclut le widget de discussion.

8. Sauvegardes et continuité

La base de données fait l'objet de sauvegardes quotidiennes par Supabase, conservées sept jours dans la même région (eu-west-1, Irlande).

9. Développement et gestion des changements

Les modifications du service passent par un dépôt de gestion de versions, sont accompagnées d'une suite de tests automatisés et sont déployées de manière automatisée. Un déploiement antérieur peut être rétabli.

10. Gestion des incidents

Les incidents de sécurité sont qualifiés et traités par le dirigeant de Shmore, qui procède à la notification prévue à l'article 12.

11. Tests de sécurité

Aucun audit de sécurité externe ni test d'intrusion n'est revendiqué à ce jour.

12. Certifications

Aucune certification de sécurité n'est revendiquée à ce jour.