Accord de sous-traitance des données

Cet accord est une annexe des conditions générales de vente. Il s'applique dès que l'entreprise cliente (le « Client ») utilise un agent de NoctisOne pour traiter des données personnelles de ses propres clients, prospects, visiteurs ou interlocuteurs. Il répond à l'article 28 du règlement général sur la protection des données (RGPD).

Le Client est responsable du traitement : il décide pourquoi et comment ces données sont traitées. NoctisOne est son sous-traitant : il les traite pour lui, selon ses instructions.

1. Ce que NoctisOne traite pour le Client

Finalité unique : fournir au Client le service qu'il a choisi. NoctisOne n'utilise jamais ces données pour son propre compte, ne les vend pas et ne s'en sert pas pour entraîner un modèle d'intelligence artificielle.

Durée : celle de l'abonnement, puis jusqu'à l'effacement prévu à l'article 8.

2. Les instructions du Client

NoctisOne ne traite ces données que sur les instructions du Client. Ces instructions sont les réglages que le Client fait dans l'application (agents activés, pièces demandées, durée de la mémoire du visiteur, envois automatiques…) et le présent accord. Si une instruction lui paraît contraire au RGPD, NoctisOne le signale au Client.

3. Ce que le Client s'engage à faire

• Disposer d'une base légale pour chaque donnée qu'il fait traiter, et informer les personnes concernées.
• Ne demander une pièce que si la loi l'y autorise. Certaines pièces proposées par la Collecte (carte Vitale, attestation de sécurité sociale, relevés bancaires) sont interdites dans certains dossiers, par exemple un dossier de location. Le choix des pièces demandées relève du seul Client.
• Prévenir les personnes enregistrées et recueillir leur accord avant tout enregistrement d'une réunion.
• Ne pas confier de données de santé au service : NoctisOne n'est pas un hébergeur certifié de données de santé.
• Indiquer dans sa propre politique de confidentialité l'usage du Chatbot sur son site. L'application fournit un paragraphe à recopier pour la mémoire du visiteur.
• Vérifier les résultats produits par l'IA avant de s'en servir pour décider (voir les CGU). En particulier, un refus de pièce par l'IA dans la Collecte est contestable par la personne qui dépose, et c'est le Client qui tranche.

4. Confidentialité et sécurité

Les personnes de NoctisOne qui accèdent aux données sont tenues à la confidentialité et n'y accèdent que pour faire fonctionner le service ou répondre à une demande du Client.

Mesures en place :

• isolation des données de chaque entreprise dans la base de données ;
• fichiers stockés en accès privé, servis seulement à une personne autorisée ;
• échanges chiffrés (HTTPS), mots de passe chiffrés, double authentification au choix ;
• nombre de tentatives de connexion limité ;
• accès des membres de l'équipe réglé par le titulaire, agent par agent ;
• limites d'appels sur les pages publiques (Chatbot, pages de dépôt).

5. Sous-traitants ultérieurs

Le Client autorise NoctisOne à faire appel aux sous-traitants de la liste ci-dessous. Chacun est tenu par contrat à des obligations de protection au moins équivalentes à celles du présent accord.

Avant d'ajouter ou de remplacer un sous-traitant, NoctisOne prévient le titulaire du compte par email 30 jours avant. Le Client qui s'y oppose peut arrêter son abonnement avant cette date.

6. Transferts hors de l'Union européenne

Les données sont hébergées dans l'Union européenne (Francfort et Paris). Les fournisseurs d'intelligence artificielle peuvent les traiter aux États-Unis, le temps du traitement. Chaque transfert est encadré par le cadre de protection des données UE-États-Unis (Data Privacy Framework), pour les entreprises certifiées, ou par les clauses contractuelles types de la Commission européenne. Le détail est dans la liste ci-dessous.

7. Aide au Client

• Droits des personnes : le Client peut consulter, corriger, exporter ce que l'application permet de télécharger, et supprimer les données dans l'application (fiche contact, dossier, compte-rendu, analyse). Pour une demande qu'il ne peut pas traiter seul, NoctisOne l'aide sur simple demande à contact@noctisone.fr. Si une personne s'adresse directement à NoctisOne, NoctisOne transmet sa demande au Client.
• Violation de données : NoctisOne prévient le Client dans les 48 heures après en avoir pris connaissance, avec ce qu'il sait de la nature de la violation, des données touchées et des mesures prises.
• Analyses d'impact : NoctisOne fournit au Client les informations dont il a besoin sur le service.
• Contrôle : NoctisOne met à la disposition du Client les informations nécessaires pour vérifier le respect du présent accord. Un audit se demande par écrit, au plus une fois par an, à la charge du Client, avec un préavis de 30 jours, et sans accès aux données des autres clients.

8. Fin du contrat

Avant de supprimer son compte, le Client télécharge ce qu'il souhaite garder, avec les moyens que l'application lui donne (pièces et dossiers de la Collecte, comptes-rendus, documents de l'Analyse). NoctisOne ne fournit pas d'export complet sur demande.

Quand le titulaire supprime le compte, toutes les données sont effacées sous 30 jours, y compris chez les sous-traitants dans leurs propres délais. Pendant ces 30 jours, le titulaire peut annuler la suppression. Seuls restent les éléments comptables des factures, que la loi oblige à garder 10 ans.

Un abonnement arrêté (résiliation ou impayé) ne supprime pas les données : elles restent accessibles dans le compte jusqu'à sa suppression.

9. Combien de temps les données sont gardées

10. Liste des sous-traitants ultérieurs