Accord de Traitement des Données
Dernière mise à jour: 2026-02-27
Introduction
Le présent Accord de Traitement des Données (« ATD ») fait partie des Conditions d'Utilisation entre Radd (« Sous-traitant ») et le client (« Responsable du traitement ») qui souscrit au Service. Cet ATD est conclu conformément à l'article 28 du Règlement Général sur la Protection des Données (RGPD) et régit le traitement des données personnelles par Radd pour le compte du Responsable du traitement.
1. Portée et finalité du traitement
Radd traite les données personnelles uniquement pour fournir le service de plateforme de chatbot IA, qui comprend : la génération de réponses alimentées par l'IA aux demandes des visiteurs ; la capture et le stockage des prospects soumis via les conversations du chatbot ; le stockage et la gestion des historiques de conversations ; le traitement des paiements pour les abonnements et les recharges de crédits ; l'envoi d'emails transactionnels et de notifications. Les catégories de personnes concernées comprennent : les visiteurs qui interagissent avec les chatbots du Responsable du traitement ; les prospects qui soumettent volontairement leurs coordonnées ; les employés du Responsable du traitement qui accèdent à la plateforme.
2. Types de données personnelles traitées
Les données personnelles traitées comprennent : les messages des visiteurs et le contenu des conversations ; les adresses IP anonymisées (dernier octet mis à zéro) ; les coordonnées des prospects (nom, email, téléphone, lorsqu'elles sont fournies volontairement) ; les identifiants des plateformes de réseaux sociaux (pour les canaux WhatsApp, Instagram et Messenger) ; les informations de paiement (traitées par Tap Payments, Radd ne stocke pas les données bancaires) ; les informations de compte (nom, email, nom de l'entreprise, préférence linguistique).
3. Obligations du Sous-traitant
Radd s'engage à : traiter les données personnelles uniquement sur instructions documentées du Responsable du traitement, y compris pour les transferts vers des pays tiers ; s'assurer que les personnes autorisées à traiter les données se sont engagées à la confidentialité ; mettre en œuvre des mesures de sécurité techniques et organisationnelles appropriées, incluant le chiffrement au repos et en transit, les contrôles d'accès et les audits de sécurité réguliers ; ne pas faire appel à un autre sous-traitant sans autorisation écrite préalable du Responsable du traitement ; aider le Responsable du traitement à répondre aux demandes des personnes concernées (accès, suppression, portabilité, restriction) ; supprimer ou restituer toutes les données personnelles à la fin du service, dans un délai de 30 jours ; mettre à disposition toutes les informations nécessaires pour démontrer la conformité et permettre les audits.
4. Sous-traitants ultérieurs
Le Responsable du traitement autorise le recours aux sous-traitants ultérieurs suivants : OpenAI (États-Unis) : fournisseur de modèles d'IA pour les réponses du chatbot ; Anthropic (États-Unis) : fournisseur de modèles d'IA ; Google AI (États-Unis) : fournisseur de modèles d'IA ; Pinecone (États-Unis) : base de données vectorielle pour la recherche de connaissances ; Tap Payments (Bahreïn) : traitement des paiements ; Resend (États-Unis) : envoi d'emails transactionnels ; Cloudflare R2 (mondial) : stockage de fichiers. Pour les sous-traitants situés en dehors de l'EEE, Radd s'appuie sur les Clauses Contractuelles Types (CCT) ou les décisions d'adéquation. Le Sous-traitant informera le Responsable du traitement de tout changement prévu concernant les sous-traitants ultérieurs, en lui laissant un délai raisonnable pour s'y opposer.
5. Mesures de sécurité
Radd met en œuvre les mesures de sécurité suivantes : chiffrement des données en transit (TLS 1.2+) et au repos ; hachage sécurisé des mots de passe (bcrypt, facteur de coût 12) ; hachage des jetons de session par HMAC-SHA256 ; limitation de débit et contrôles d'accès basés sur l'IP ; liste blanche d'IP pour les administrateurs avec support CIDR ; authentification à deux facteurs pour les comptes administrateurs ; nettoyage automatisé régulier des données expirées ; journalisation de toutes les actions administratives.
6. Notification de violation de données
En cas de violation de données personnelles, le Sous-traitant notifie le Responsable du traitement sans retard injustifié et en tout cas dans les 72 heures suivant la prise de connaissance de la violation. La notification comprend : la nature de la violation ; les catégories et le nombre approximatif de personnes concernées ; les conséquences probables ; et les mesures prises pour atténuer la violation.
7. Droits des personnes concernées
Le Sous-traitant fournit les outils en libre-service suivants pour aider le Responsable du traitement à répondre aux demandes des personnes concernées : export des données (profil, conversations, facturation, prospects) via le tableau de bord ; suppression du compte avec suppression en cascade de toutes les données associées ; droit de limiter le traitement (met en pause tous les bots, conserve les données sans traitement actif) ; expiration automatique des conversations (suppression après 24 heures).
8. Conservation et suppression des données
Les conversations expirent après 24 heures par défaut. Les sessions expirées sont purgées automatiquement par une tâche de nettoyage planifiée. Les journaux d'audit sont conservés pendant 90 jours. Lors de la suppression du compte ou de la résiliation du service, toutes les données du client sont définitivement supprimées dans un délai de 30 jours, y compris les données détenues par les sous-traitants ultérieurs (bases de données vectorielles, stockage de fichiers). Les factures sont conservées aussi longtemps que l'exigent les obligations comptables et fiscales, sans aucune donnée personnelle.
9. Transferts internationaux de données
Certains sous-traitants ultérieurs sont situés aux États-Unis. Pour ces transferts, Radd s'appuie sur les Clauses Contractuelles Types (CCT) telles qu'adoptées par la Commission européenne, ou sur les décisions d'adéquation applicables. Le Responsable du traitement reconnaît et autorise ces transferts comme nécessaires à la fourniture du Service.
10. Durée et résiliation
Le présent ATD reste en vigueur pendant toute la durée d'utilisation du Service par le Responsable du traitement. À la résiliation, le Sous-traitant, au choix du Responsable du traitement, supprime ou restitue toutes les données personnelles dans un délai de 30 jours, sauf si la conservation est requise par la loi applicable.
11. Droit applicable
Le présent ATD est régi par les mêmes lois que celles régissant les Conditions d'Utilisation. Tout litige découlant du présent ATD sera résolu conformément aux dispositions de règlement des litiges des Conditions d'Utilisation.
12. Contact
Pour toute question concernant le présent Accord de Traitement des Données, contactez notre Délégué à la Protection des Données à [email protected].