Liste des sous traitants

Dernière mise à jour : a completer : date de publication

1. À quoi sert cette page

Reponse est un service publié et exploité par la société Shmore (voir section 22). Lorsque vous utilisez Reponse, nous traitons pour votre compte des données personnelles qui vous appartiennent ou qui appartiennent à vos clients : vous êtes responsable de traitement, nous sommes sous traitant au sens de l'article 28 du RGPD.

Pour fournir le service, nous faisons appel à des prestataires techniques qui traitent eux aussi ces données. Ce sont des sous traitants ultérieurs. Cette page en donne la liste telle qu'elle est arrêtée à la date indiquée en tête. Elle est mise à jour selon la procédure décrite en section 2.

Cette page a trois fonctions :

1. Elle constitue l'autorisation générale écrite prévue à l'article 28.2 du RGPD : en acceptant notre contrat de sous traitance (a completer : existence, référence et URL du contrat de sous traitance (DPA)), vous autorisez le recours aux sous traitants listés ici.
2. Elle peut être annexée telle quelle à ce contrat de sous traitance. La version faisant foi est celle publiée à l'adresse de cette page à la date indiquée en tête.
3. Elle vous permet de suivre les changements et, le cas échéant, de vous y opposer selon la procédure décrite en section 2.

Cette page ne remplace pas la politique de confidentialité (a completer : URL de la politique de confidentialité), qui décrit les traitements dont nous sommes nous mêmes responsables (compte, facturation, site web). Elle ne remplace pas non plus les mentions légales (a completer : URL de la page mentions légales) ni les conditions générales applicables au service (a completer : URL des conditions générales).

2. Comment vous êtes informé d'un changement

Nous pouvons ajouter, remplacer ou retirer un sous traitant, par exemple pour des raisons techniques, de sécurité, de coût ou de continuité de service.

**Publication.** Toute modification est publiée sur cette page, avec mise à jour de la date en tête et inscription au journal des versions en section 21.

**Notification préalable.** Avant l'ajout ou le remplacement d'un sous traitant, nous entendons notifier les administrateurs de l'espace de travail par email, à l'adresse renseignée dans le compte, au moins a valider : durée de prévenance, 30 jours calendaires proposés avant la date d'entrée en vigueur du changement. a valider : canal de notification effectivement en place et champ du compte contenant l'adresse des administrateurs.

**Abonnement aux notifications.** Pour recevoir ces notifications à une adresse dédiée (par exemple une boîte juridique ou sécurité), écrivez à hello@reponse.ai avec l'objet « Notifications sous traitants » en précisant l'adresse à inscrire, ou utilisez a completer : URL du formulaire ou de la liste d'abonnement aux notifications. Vous pouvez vous désabonner à tout moment par le même moyen, étant précisé que le désabonnement ne vous dispense pas de consulter cette page.

**Objection.** Vous pouvez vous opposer à l'ajout d'un nouveau sous traitant pour un motif raisonnable et documenté tenant à la protection des données, dans un délai de a valider : délai d'objection, 15 jours calendaires proposés à compter de la notification, par email à hello@reponse.ai. Nous examinons l'objection et cherchons de bonne foi une solution alternative raisonnable. Si aucune solution ne peut être trouvée dans un délai raisonnable, vous pouvez résilier la partie du service concernée, ou l'abonnement, selon les conditions prévues au contrat. Notre politique de remboursement (remboursement intégral sous 14 jours sur simple demande à hello@reponse.ai) reste applicable dans ses propres conditions.

**Exception.** En cas de remplacement urgent d'un sous traitant, notamment pour un motif de sécurité, de défaillance ou de cessation d'activité du fournisseur, nous pouvons procéder au changement sans respecter le délai de prévenance. Nous vous en informons alors dans les meilleurs délais et vous conservez votre droit d'objection.

3. Comment lire les tableaux

Chaque tableau indique, pour chaque sous traitant :

• Sous traitant : le nom du prestataire. La raison sociale exacte et l'adresse de l'entité contractante sont précisées sous chaque tableau.
• Rôle dans le service : la fonction qu'il assure. Nous cherchons à limiter les données transmises à chaque sous traitant à celles nécessaires à cette fonction. a valider : cloisonnement effectif des accès par sous traitant et périmètre réel des données transmises.
• Catégories de données : les types de données personnelles susceptibles d'être traités.
• Pays de traitement : le pays ou la région où les données sont hébergées ou traitées. Lorsque nous ne pouvons pas l'affirmer avec certitude, un marqueur a valider : région le signale et la mention doit être confirmée auprès du fournisseur avant publication.
• Transfert hors UE : le mécanisme juridique applicable lorsque des données sortent de l'Union européenne. Voir la section 6.

Nous distinguons deux catégories :

• les sous traitants systématiques (section 4), qui sont susceptibles d'intervenir pour tout client, quel que soit le plan utilisé, y compris le plan gratuit. Certains d'entre eux n'interviennent toutefois que si la fonction correspondante est utilisée, par exemple le prestataire de paiement en l'absence d'abonnement payant. a valider : liste des sous traitants effectivement mobilisés sur le plan gratuit ;
• les sous traitants activables (section 5), qui n'interviennent que si vous activez vous même l'intégration correspondante depuis votre espace de travail.

4. Sous traitants systématiques

4.1 Hébergement et infrastructure

Entités contractantes :

• Supabase : a completer : raison sociale et adresse de l'entité contractante Supabase
• Netlify : a completer : raison sociale et adresse postale de l'entité contractante Netlify

4.2 Modèles d'intelligence artificielle

Les fournisseurs ci dessous sont utilisés dans le cadre d'un routage multi fournisseur : selon la tâche, la langue, la disponibilité et le coût, une requête peut être adressée à l'un ou à l'autre. Voir la section 10 pour les précisions sur ce traitement.

Entités contractantes :

• OpenAI : a completer : raison sociale et adresse de l'entité contractante OpenAI
• Google : a completer : raison sociale et adresse de l'entité contractante Google
• Mistral : a completer : raison sociale et adresse de l'entité contractante Mistral

a valider : fournisseurs de modèles effectivement appelés en production et règles de routage entre eux.

4.3 Paiement

Entité contractante : a completer : raison sociale et adresse de l'entité contractante Stripe.

Périmètre : la première ligne ne concerne que les espaces de travail ayant souscrit un abonnement payant. La seconde ligne relève d'une fonction activée par le marchand et suit à ce titre le régime décrit en section 5.

a valider : les données de carte sont collectées directement par Stripe et ne transitent pas par nos serveurs.

Précision : pour les données de paiement qu'il collecte et conserve pour son propre compte, notamment au titre de ses obligations réglementaires de lutte contre la fraude et le blanchiment, Stripe est susceptible d'agir comme responsable de traitement indépendant et non comme notre sous traitant. a valider : qualification exacte à confirmer au regard du contrat Stripe applicable.

4.4 Emails et webhooks associés

Entités contractantes :

• Resend : a completer : raison sociale et adresse de l'entité contractante Resend
• Amazon SES : a completer : raison sociale et adresse de l'entité contractante Amazon Web Services
• Svix : a completer : raison sociale et adresse de l'entité contractante Svix

4.5 Mesure d'audience produit

Entité contractante : a completer : raison sociale et adresse de l'entité contractante PostHog.

Le dépôt de traceurs et la mesure d'audience sur le site sont soumis au bandeau de consentement. Votre choix est conservé dans votre navigateur sous la clé `cookie_consent` et peut être modifié à tout moment. a valider : périmètre exact des mesures soumises au consentement et de celles considérées comme strictement nécessaires.

5. Sous traitants activés uniquement à votre demande

Les prestataires ci dessous n'interviennent que si vous activez l'intégration correspondante depuis votre espace de travail. L'activation vaut instruction de votre part de transmettre les données concernées. Tant que l'intégration n'est pas activée, Reponse ne leur transmet pas de données dans le cadre du service. a valider : absence de tout appel sortant vers ces fournisseurs hors activation.

Entités contractantes :

• Shopify : a completer : raison sociale et adresse de l'entité contractante Shopify
• Klaviyo : a completer : raison sociale et adresse de l'entité contractante Klaviyo
• Notion : a completer : raison sociale et adresse de l'entité contractante Notion
• TikTok Shop : a completer : raison sociale et adresse de l'entité contractante TikTok Shop

Lorsque vous activez une intégration, le prestataire concerné peut également agir comme responsable de traitement pour ses propres finalités, dans le cadre de la relation contractuelle que vous avez directement avec lui. Cette relation ne relève pas de notre contrat de sous traitance. a valider : répartition des rôles pour chaque intégration.

6. Transferts hors de l'Union européenne

Certains sous traitants listés ci dessus sont susceptibles de traiter des données en dehors de l'Union européenne, notamment aux États Unis.

Nous ne pouvons pas, à ce stade, affirmer pour chaque prestataire la localisation exacte des traitements ni le mécanisme de transfert retenu. Chaque ligne des tableaux ci dessus comporte donc un marqueur à valider.

a completer : pour chaque sous traitant, indiquer le mécanisme applicable, par exemple clauses contractuelles types de la Commission européenne, décision d'adéquation applicable, mesures supplémentaires techniques et organisationnelles, et la référence du document contractuel signé.

Nous ne revendiquons aucune certification ni aucun label de conformité. Nous ne garantissons pas que les données restent en permanence dans l'Union européenne, sauf mention contraire expresse et validée dans les tableaux ci dessus.

Sur demande écrite à hello@reponse.ai, nous communiquons au client les informations dont nous disposons sur le mécanisme de transfert applicable à un sous traitant donné.

7. Localisation des données au repos et en transit

Cette section est distincte de la question du mécanisme de transfert traitée en section 6 : elle porte sur l'endroit où les données se trouvent physiquement.

• Données au repos (base de données principale, fichiers, sauvegardes) : a completer : régions de stockage au repos pour la base de données, le stockage de fichiers et les sauvegardes.
• Données en transit : a valider : protocole de chiffrement des échanges entre le navigateur, notre application et chaque sous traitant.
• Répliques et caches éventuels : a completer : existence, localisation et durée de vie des répliques, caches et files d'attente.

Nous n'affirmons pas que l'ensemble des traitements est localisé dans l'Union européenne. Les régions effectivement utilisées doivent être renseignées ci dessus avant publication.

8. Engagements imposés à nos sous traitants

Conformément à l'article 28.4 du RGPD, notre règle est de nous assurer que chaque sous traitant ultérieur est soumis à des obligations de protection des données substantiellement équivalentes à celles qui nous lient à vous, notamment :

1. traiter les données uniquement sur instruction documentée et pour la finalité prévue ;
2. garantir la confidentialité des personnes autorisées à accéder aux données ;
3. mettre en oeuvre des mesures techniques et organisationnelles appropriées ;
4. nous assister en cas de demande d'exercice des droits ou de violation de données ;
5. supprimer ou restituer les données au terme de la prestation.

Lorsque ces obligations résultent des conditions standard du fournisseur plutôt que d'un accord négocié, c'est ce document standard qui s'applique.

Nous restons responsables envers vous de l'exécution de leurs obligations par nos sous traitants ultérieurs, dans les limites prévues par le contrat conclu avec vous.

a valider : existence, référence et date d'un accord de sous traitance signé ou accepté avec chacun des prestataires listés.

9. Mesures de sécurité

Nous ne revendiquons aucune certification, aucun audit externe et aucun label de sécurité.

Les mesures techniques et organisationnelles mises en oeuvre au titre de l'article 32 du RGPD sont décrites dans a completer : référence et URL du document décrivant les mesures de sécurité. À défaut de ce document, les éléments suivants restent à documenter avant toute communication à un client :

• a completer : gestion des accès et des habilitations internes
• a completer : chiffrement au repos et en transit
• a completer : journalisation, supervision et détection des incidents
• a completer : sauvegardes, tests de restauration et plan de continuité
• a completer : gestion des vulnérabilités et des mises à jour
• a completer : sensibilisation et engagement de confidentialité du personnel

Nous nous engageons à ne communiquer, en réponse à une question de sécurité, que des éléments effectivement mis en oeuvre et vérifiables.

10. Traitement par les modèles d'intelligence artificielle

Lorsque l'agent IA est utilisé, le contenu des conversations et les éléments de contexte nécessaires (base de connaissance, extraits de catalogue et de commandes, instructions du marchand) sont transmis au fournisseur de modèle retenu par le routage pour produire la réponse.

Nous n'entraînons pas de modèle sur les données de nos clients. Nous ne sommes pas en mesure de garantir le comportement de chaque fournisseur au delà de ses propres engagements contractuels. a valider : engagement contractuel de non entraînement sur les données transmises, pour chaque fournisseur. a valider : durée de conservation des requêtes et des réponses côté fournisseur.

Nous recommandons de ne pas transmettre à l'agent de données sensibles au sens de l'article 9 du RGPD.

11. Durées de conservation applicables au service et répercutées chez nos sous traitants

Les durées ci dessous sont celles applicables au service. Les durées effectives de conservation propres à chaque fournisseur, notamment pour les journaux et les sauvegardes, restent à valider : a valider : durée de conservation propre à chaque sous traitant, notamment journaux, files d'attente et sauvegardes.

Des traitements automatiques de purge sont en place, notamment la suppression des espaces de travail gratuits dormants.

Durées proposées, à valider avant publication :

• espace de travail gratuit dormant : suppression après a valider : durée d'inactivité déclenchant la purge, 12 mois proposés ;
• conversations et tickets : conservation pendant la durée du contrat, puis suppression sous a valider : délai de suppression après la fin du contrat, 30 jours proposés ;
• journaux techniques : a valider : durée de conservation des journaux techniques, 12 mois proposés ;
• données de facturation : durée légale de conservation comptable, a valider : durée légale applicable, 10 ans proposés.

**Sauvegardes et copies de secours.** Une donnée supprimée de la base active peut subsister temporairement dans les sauvegardes. a completer : localisation des sauvegardes, fréquence, durée de rétention et délai maximal de purge d'une donnée supprimée. Tant que ces éléments ne sont pas renseignés, nous ne pouvons pas nous engager sur un délai de purge définitif.

12. Audit et documentation, article 28.3.h du RGPD

Sur demande écrite à hello@reponse.ai, nous mettons à votre disposition les informations dont nous disposons pour démontrer le respect de nos obligations d'article 28, notamment la présente liste, la documentation de sécurité mentionnée en section 9 et les informations sur les mécanismes de transfert mentionnées en section 6.

Modalités d'audit : a completer : modalités et fréquence des audits ou inspections, préavis, périmètre, obligation de confidentialité de l'auditeur, prise en charge des coûts.

À défaut de modalités convenues, la mise à disposition de documentation prévue au premier alinéa constitue notre réponse par défaut à une demande d'audit. a valider : acceptation de cette limitation au regard de l'article 28.3.h.

13. Violations de données, articles 28.3.f et 33 du RGPD

En cas de violation de données personnelles traitées pour votre compte, nous nous engageons à vous en informer sans retard injustifié après en avoir pris connaissance, afin de vous permettre de remplir vos propres obligations de notification.

• Délai de notification : a valider : délai d'information du client après prise de connaissance, 72 heures proposées.
• Canal : email à l'adresse des administrateurs de l'espace de travail, et le cas échéant à l'adresse dédiée renseignée selon la section 2. a valider : canal de notification effectivement en place.
• Contenu : nature de la violation, catégories et volume approximatif de données et de personnes concernées, conséquences probables, mesures prises ou envisagées, point de contact.

Il vous appartient, en qualité de responsable de traitement, de décider de la notification à l'autorité de contrôle et, le cas échéant, aux personnes concernées.

a completer : procédure interne de gestion des violations de données, point de contact et registre associé.

14. Assistance à l'exercice des droits des personnes concernées, article 28.3.e du RGPD

Les demandes d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité relatives aux données que nous traitons pour votre compte doivent vous être adressées : vous êtes responsable de traitement.

Si nous recevons directement une telle demande concernant des données traitées pour votre compte, nous n'y répondons pas nous mêmes sur le fond. Nous la transmettons à l'administrateur de l'espace de travail concerné et nous en informons la personne demandeuse. a valider : procédure de transmission et délai.

Nous vous assistons, dans la mesure du possible et compte tenu de la nature du traitement, par les fonctions disponibles dans le produit et, si nécessaire, par un traitement manuel. a completer : fonctions d'export et de suppression disponibles dans le produit, et facturation éventuelle d'une assistance manuelle.

15. Fin du contrat et sort des données, article 28.3.g du RGPD

À la fin du contrat, selon votre choix exprimé par écrit à hello@reponse.ai :

• restitution des données dans un format a completer : formats d'export proposés, dans un délai de a valider : délai de mise à disposition de l'export, 30 jours proposés à compter de la demande ;
• ou suppression des données dans un délai de a valider : délai de suppression après la fin du contrat, 30 jours proposés, sous réserve des sauvegardes mentionnées en section 11 et des données que nous devons conserver au titre d'une obligation légale, notamment comptable.

À défaut de choix exprimé dans ce délai, nous procédons à la suppression. a valider : comportement par défaut retenu et information préalable du client.

16. Personnes concernées finales, clients des marchands

Si vous êtes un client final d'une boutique utilisant Reponse et que vous souhaitez exercer vos droits sur vos données, adressez vous au marchand auprès duquel vous avez commandé ou avec lequel vous avez échangé. C'est lui qui est responsable de traitement. Nous n'agissons que sur ses instructions et nous ne pouvons pas, de notre propre initiative, modifier ou supprimer ses données.

Si vous nous écrivez directement à hello@reponse.ai, nous transmettons votre demande au marchand concerné et nous vous en informons, sans traiter la demande sur le fond.

17. Personnel de Reponse, sociétés affiliées et prestataires d'assistance

Les membres de l'équipe Reponse susceptibles d'accéder aux données traitées pour votre compte le font dans le cadre de l'exploitation, du support et de la maintenance du service, et sont tenus à une obligation de confidentialité. a completer : formalisation de cet engagement de confidentialité et gestion des habilitations.

a valider : existence de sociétés affiliées, de filiales ou d'entités du même groupe accédant aux données.

a valider : existence de prestataires d'assistance, de support externalisé, de sous traitants de développement ou de freelances accédant aux données. Si de tels intervenants existent, ils doivent être ajoutés aux tableaux ci dessus.

18. Réclamations, autorité de contrôle et médiation

Vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, France, www.cnil.fr.

Si vous êtes un consommateur au sens du code de la consommation, vous pouvez recourir gratuitement à un médiateur de la consommation : a completer : nom et coordonnées du médiateur de la consommation. La plateforme européenne de règlement en ligne des litiges est accessible à l'adresse ec.europa.eu/consumers/odr.

Pour les souscripteurs non professionnels, notre politique de remboursement intégral sous 14 jours sur simple demande à hello@reponse.ai s'applique dans ses propres conditions et sans préjudice des droits légaux, notamment du droit de rétractation lorsqu'il est applicable. a valider : articulation exacte entre la politique de remboursement de 14 jours et le droit légal de rétractation.

19. Contact

Pour toute question sur cette liste, pour vous abonner aux notifications de changement, pour formuler une objection ou pour demander une copie de la documentation relative à un sous traitant :

• email général : hello@reponse.ai
• support : support@reponse.ai
• point de contact protection des données : hello@reponse.ai, avec l'objet « Protection des données »
• délégué à la protection des données : a completer : existence et coordonnées du délégué à la protection des données, le cas échéant. À défaut de désignation, le point de contact ci dessus reste l'interlocuteur unique
• adresse postale : Shmore, 26 Thubert, 44118 La Chevrolière, France
• téléphone : a completer : numéro de téléphone

20. Droit applicable et juridiction compétente

Cette page et l'annexe contractuelle qu'elle constitue sont régies par le droit français. a valider : droit applicable retenu au contrat principal, afin d'assurer la cohérence.

Juridiction compétente : a completer : juridiction compétente prévue au contrat principal. Cette clause ne prive pas le consommateur des règles de compétence qui lui sont applicables de plein droit.

21. Journal des versions et accès aux versions antérieures

Toute modification ultérieure est ajoutée à ce tableau, avec la nature du changement (ajout, remplacement, retrait) et le sous traitant concerné.

Les versions antérieures sont conservées afin de permettre d'établir l'état de la liste à une date donnée. a completer : modalités d'archivage et d'accès aux versions antérieures, URL ou demande à hello@reponse.ai. Sur demande écrite à hello@reponse.ai, nous fournissons la version en vigueur à une date déterminée, dans la limite des archives dont nous disposons.

22. Éditeur du service

Reponse (reponse.ai) est édité par la société Shmore, SAS au capital de 1 000 euros, dont le siège social est situé 26 Thubert, 44118 La Chevrolière, France, immatriculée au RCS de Paris sous le numéro 978 743 013.

a verifier : cohérence entre le siège social déclaré en Loire Atlantique et l'immatriculation annoncée au RCS de Paris

a completer : numéro de TVA intracommunautaire

a completer : nom du directeur de la publication

Hébergeur du site et de l'application : Netlify, a completer : raison sociale, adresse postale et numéro de téléphone de l'hébergeur.

Les mentions légales complètes sont disponibles à l'adresse a completer : URL de la page mentions légales.

Cette page est rédigée en français et en anglais. En cas de divergence entre les deux versions, a valider : version faisant foi, version française proposée.