Accord de traitement des données

1. Parties et champ d’application

Les parties sont le client ayant conclu un contrat de service DealerBrain (« Client », responsable du traitement) et LogiNet Enterprise Software Technologies Kft., Budaörsi út 48–50, 1er étage, porte 2, 1118 Budapest, Hongrie, numéro d’immatriculation 01-09-430828 (« LogiNet », sous-traitant).

Le présent accord s’applique à toutes les données à caractère personnel que LogiNet traite pour le compte du Client dans le cadre de la fourniture du service DealerBrain (« Données personnelles du Client »). Il ne s’applique pas aux données que LogiNet traite en tant que responsable du traitement, par exemple pour gérer la relation client ou exploiter dealerbrain.io. Ce traitement est décrit dans notre politique de confidentialité.

Lorsque le Client est soumis à la loi fédérale suisse sur la protection des données (nLPD), à la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) ou à la Loi 25 (Québec), le présent accord s’applique par analogie aux obligations découlant de ces lois.

2. Objet, nature et finalité

LogiNet fournit le chat commercial IA DealerBrain sur les sites web du Client ainsi que les outils associés destinés au personnel du Client : recherche dans le stock et parmi les modèles, recommandations de contenus, recueil de leads, demandes de rendez-vous, gestion des tickets, prise en main humaine et rapports. Le détail des traitements, les catégories de personnes concernées et les types de données à caractère personnel figurent à l’annexe 1.

Le présent accord s’applique aussi longtemps que LogiNet traite des Données personnelles du Client au titre du contrat de service, et jusqu’à ce que ces données aient été supprimées ou restituées conformément à l’article 11.

3. Instructions

LogiNet ne traite les Données personnelles du Client que sur instruction documentée du Client, y compris en ce qui concerne les transferts vers des pays tiers, sauf si le droit de l’Union ou d’un État membre impose d’agir autrement. Dans ce cas, LogiNet en informe le Client avant le traitement, sauf si ce droit l’interdit.

Le contrat de service, le présent accord et la configuration du service par le Client (par exemple sa persona, son règlement, ses règles de conservation, ses paramètres de consentement et ses intégrations) constituent les instructions du Client. Toute instruction supplémentaire doit être donnée par écrit. LogiNet informe le Client sans délai s’il estime qu’une instruction constitue une violation du droit de la protection des données.

4. Responsabilités du Client

Le Client est responsable de la licéité des traitements qu’il ordonne. En particulier, le Client :

• fournit aux visiteurs de ses sites web les informations requises par les articles 13 et 14 du RGPD, y compris le fait qu’ils échangent avec une IA,
• recueille tout consentement requis, par exemple pour les relances par e-mail ou SMS, au moyen des fonctions de consentement du service,
• décide quelles sources de données, intégrations et quels fournisseurs d’IA sont connectés au service,
• ne donne pas instruction au service de collecter des catégories particulières de données à caractère personnel, sauf s’il dispose d’une base juridique pour le faire.

5. Confidentialité

LogiNet veille à ce que toute personne qu’il autorise à traiter des Données personnelles du Client se soit engagée à respecter la confidentialité ou soit soumise à une obligation légale de confidentialité, et à ce que l’accès soit limité aux personnes qui en ont besoin pour fournir, assister ou sécuriser le service.

6. Sécurité

LogiNet met en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, conformément à l’article 32 du RGPD. Ces mesures sont décrites à l’annexe 2. LogiNet peut les mettre à jour en fonction de l’évolution technique, à condition que le niveau global de protection ne soit pas réduit.

7. Sous-traitants ultérieurs

Le Client accorde à LogiNet une autorisation générale de recourir à des sous-traitants ultérieurs. Les sous-traitants ultérieurs auxquels il est fait appel à la conclusion du présent accord sont énumérés à l’annexe 3.

LogiNet informe le Client au moins 30 jours à l’avance de tout ajout ou remplacement envisagé d’un sous-traitant ultérieur. Le Client peut s’y opposer pour des motifs raisonnables liés à la protection des données dans ce délai. Si les parties ne parviennent pas à résoudre l’objection, le Client peut résilier la partie concernée du service sans pénalité.

LogiNet impose par contrat écrit à chaque sous-traitant ultérieur des obligations en matière de protection des données offrant au moins le même niveau de protection que le présent accord, et demeure responsable envers le Client de l’exécution par le sous-traitant ultérieur de ses obligations.

8. Localisation et transferts internationaux

Le service DealerBrain et les Données personnelles du Client sont hébergés sur des serveurs situés dans l’Union européenne. LogiNet ne transfère pas de Données personnelles du Client vers un pays situé hors de l’Espace économique européen, sauf instruction du Client ou si le transfert est encadré conformément au chapitre V du RGPD, par exemple par une décision d’adéquation ou par les clauses contractuelles types de la Commission européenne.

Si le Client connecte au service son propre compte chez un fournisseur d’IA (utilisation de sa propre clé), ce fournisseur est engagé par le Client en vertu du contrat que le Client a lui-même conclu avec lui, et le Client est responsable des traitements effectués par ce fournisseur et de tout transfert associé. Il en va de même lorsque le Client exploite la couche IA dans son propre compte cloud ou dans ses propres locaux.

9. Assistance au Client

Compte tenu de la nature du traitement, LogiNet aide le Client :

• à répondre aux demandes des personnes concernées qui exercent leurs droits, principalement au moyen des fonctions d’export, de rectification et de suppression du service et de l’API REST ; LogiNet transmet sans délai au Client toute demande qu’il reçoit directement,
• à respecter ses obligations en matière de sécurité, d’analyses d’impact relatives à la protection des données et de consultation préalable des autorités de contrôle (articles 32 à 36 du RGPD), en lui fournissant les informations dont LogiNet dispose.

10. Violations de données à caractère personnel

LogiNet notifie le Client dans les meilleurs délais, et si possible dans les 48 heures, après avoir pris connaissance d’une violation de données à caractère personnel concernant des Données personnelles du Client. La notification décrit, dans la mesure où elles sont connues, la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d’enregistrements concernés, les conséquences probables ainsi que les mesures prises ou proposées. LogiNet complète ces informations au fur et à mesure qu’elles deviennent disponibles et prend des mesures raisonnables pour contenir la violation et en limiter les effets.

11. Suppression et restitution

Le Client peut exporter ses données à tout moment au moyen du service et de l’API REST. À la fin du contrat de service, LogiNet supprime ou restitue, au choix du Client, toutes les Données personnelles du Client dans un délai de 30 jours, et détruit les copies existantes, à moins que le droit de l’Union ou d’un État membre n’exige leur conservation. Pendant la durée du service, les données sont supprimées conformément aux règles de conservation configurées par le Client.

12. Information et audits

LogiNet met à la disposition du Client toutes les informations nécessaires pour démontrer le respect du présent accord et de l’article 28 du RGPD, y compris ses certificats et des synthèses des rapports d’audit pertinents. Lorsque cela ne suffit pas, le Client ou un auditeur indépendant qu’il mandate peut réaliser un audit, au maximum une fois par an, moyennant un préavis écrit d’au moins 30 jours, pendant les heures ouvrables normales et sous réserve de confidentialité. Chaque partie supporte ses propres frais.

13. Responsabilité, primauté et droit applicable

La responsabilité au titre du présent accord est régie par le contrat de service, sans préjudice de l’article 82 du RGPD. En cas de contradiction sur des questions de protection des données, le présent accord prévaut sur le contrat de service.

Le présent accord est régi par le droit hongrois. Les tribunaux de Budapest sont compétents. Si une disposition est invalide, les autres dispositions restent en vigueur.

Annexe 1. Détail des traitements

Annexe 2. Mesures techniques et organisationnelles

• Hébergement sur des serveurs situés dans l’Union européenne, dans des centres de données exploités par notre sous-traitant ultérieur chargé de l’hébergement.
• Chiffrement des données en transit entre les navigateurs, le service et les systèmes connectés.
• Une interface d’administration protégée par identifiant, avec des droits fondés sur les rôles (administrateur et agent) et la possibilité de désactiver des utilisateurs.
• Séparation logique des données de chaque client, et rattachement des conversations au site web dont elles proviennent.
• Journalisation horodatée des appels IA, des consentements et de leurs retraits, des transferts et des messages, à des fins d’audit et de traçabilité.
• Séparation des notes internes et des données d’atelier de tout ce qui est affiché aux clients.
• Règles de conservation et de suppression configurables pour chaque client.
• Filtrage du spam et du trafic automatisé avant qu’ils n’atteignent l’IA ou le personnel du Client.
• Accès aux systèmes de production limité au personnel autorisé selon le principe du besoin d’en connaître, sous obligation de confidentialité.
• Un système de management de la qualité certifié ISO 9001, avec des processus documentés de gestion des changements et de traitement des incidents.

Annexe 3. Sous-traitants ultérieurs

LogiNet fait appel aux sous-traitants ultérieurs suivants pour le service DealerBrain :

Autres prestataires

Vercel Inc. (États-Unis) héberge notre site web marketing, dealerbrain.io. Il ne s’agit pas d’un sous-traitant ultérieur : aucune Donnée personnelle du Client ni aucune donnée de conversation n’y transite. Les fournisseurs d’IA que le Client connecte avec sa propre clé sont engagés par le Client (voir l’article 8).