Conditions de sous-traitance

1. Définitions et rôles

Le Client — l'entreprise qui souscrit au service — est responsable du traitement. Il détermine les finalités et les moyens du traitement des données de ses propres clients et prospects.

innovai-consulting est sous-traitant. Nous traitons ces données uniquement sur instruction documentée du Client, pour lui fournir le service, et pour aucune autre finalité.

2. Description du traitement

3. Nos engagements

3.1 Instructions documentées

Nous ne traitons les données que sur instruction du Client, y compris pour les transferts hors Union européenne. Si une instruction nous paraît constituer une violation du RGPD, nous en informons le Client sans délai.

3.2 Confidentialité

Les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité et n'y accèdent que dans la mesure strictement nécessaire à l'exploitation et à la maintenance du service.

3.3 Sécurité

Nous mettons en œuvre les mesures décrites à l'article 6 des présentes conditions.

3.4 Sous-traitants ultérieurs

Le Client autorise le recours aux sous-traitants listés à l'article 5. Toute adjonction ou remplacement est notifié au Client, qui dispose d'un délai de 30 jours pour s'y opposer par écrit. En cas d'opposition, chaque partie peut résilier le contrat sans indemnité.

3.5 Assistance

Nous assistons le Client, dans la mesure du possible, pour :

• répondre aux demandes d'exercice de droits des personnes concernées ;
• réaliser une analyse d'impact si elle s'avère nécessaire ;
• démontrer le respect de ses obligations.

Lorsqu'une personne concernée nous adresse directement une demande, nous la transmettons au Client et n'y donnons suite que sur ses instructions.

3.6 Violation de données

Nous notifions au Client toute violation de données à caractère personnel dans les 48 heures suivant sa découverte, en lui communiquant la nature de la violation, les catégories et le volume approximatif de données concernées, les conséquences probables et les mesures prises.

3.7 Sort des données en fin de contrat

À la fin du contrat, et au choix du Client exprimé dans les 30 jours :

• nous lui restituons l'intégralité des données dans un format structuré et lisible par machine, puis les supprimons ;
• ou nous les supprimons directement.

Sans instruction dans ce délai, les données sont supprimées. La suppression s'étend aux sauvegardes dans un délai maximal de 30 jours supplémentaires.

3.8 Documentation et audit

Nous tenons un registre des traitements effectués pour le compte du Client et mettons à sa disposition les informations nécessaires pour démontrer le respect de l'article 28. Le Client peut réaliser un audit, une fois par an, moyennant un préavis de 30 jours.

4. Obligations du Client

Le Client, en sa qualité de responsable du traitement :

• informe les personnes concernées du traitement et de l'existence d'un agent automatisé ;
• recueille les bases légales nécessaires ;
• documente les instructions données ;
• veille au respect des obligations préalablement et pendant toute la durée du traitement ;
• s'abstient de configurer l'agent pour collecter des données sensibles ou des données bancaires.

5. Sous-traitants ultérieurs autorisés

Le contenu des messages est transmis à notre prestataire d'intelligence artificielle uniquement le temps de produire la réponse. Il n'est pas utilisé pour entraîner des modèles, conformément aux conditions applicables aux interfaces professionnelles de ce prestataire.

5.1 Les documents déposés par le Client

Le Client peut déposer, depuis sa console, des documents destinés à alimenter les réponses de son assistant : catalogue, tarifs, horaires, foire aux questions. Ce qu'il advient de ces documents mérite d'être dit précisément, parce que leur sort n'est pas celui des fichiers eux-mêmes.

• Le fichier ne quitte jamais notre serveur. Il est enregistré hors de la racine web, sur le serveur applicatif situé en France, et n'est accessible par aucune adresse Internet. Il n'est transmis à aucun tiers.
• Le texte qui en est extrait, en revanche, est transmis au prestataire d'intelligence artificielle — c'est précisément ce qui permet à l'assistant de s'en servir pour répondre. Selon la configuration, l'assistant reçoit soit l'ensemble des connaissances du Client, soit uniquement les passages utiles à la question posée.
• La recherche des passages utiles n'ajoute aucun sous-traitant. Elle s'appuie sur un modèle que nous hébergeons nous-mêmes, sur notre propre serveur en France : aucun document, ni aucune question, n'est transmis à un tiers pour cette étape.
• Le Client reste responsable de ce qu'il dépose. Un document destiné à son assistant n'a pas vocation à contenir de données personnelles de tiers, ni de secret dont la transmission au prestataire d'intelligence artificielle poserait difficulté.
• La suppression est immédiate et complète. Retirer un document depuis la console efface le fichier du serveur, le texte extrait et les données de recherche qui en dérivent.

6. Mesures de sécurité

• Chiffrement en transit — toutes les communications entre WhatsApp, nos serveurs et nos prestataires passent par des canaux chiffrés (TLS).
• Cloisonnement — les données de chaque Client sont isolées et identifiées par un identifiant propre à son compte.
• Contrôle d'accès — accès nominatif au serveur, par clé cryptographique, restreint aux personnes habilitées. Authentification à deux facteurs sur les comptes d'administration.
• Journalisation — traçabilité des accès et des traitements.
• Sauvegardes — chiffrées, avec rotation, hébergées dans l'Union européenne.
• Minimisation — seules les données nécessaires à la réponse sont traitées ; aucune donnée bancaire n'est collectée par l'agent.

7. Transferts hors Union européenne

Les données sont hébergées en France. Le seul transfert susceptible d'intervenir hors de l'Union européenne concerne le traitement des messages par notre prestataire d'intelligence artificielle, encadré par les clauses contractuelles types adoptées par la Commission européenne.

Ce transfert porte sur le contenu du message et son contexte de conversation, à l'exclusion de toute donnée d'identification directe autre que celles que la personne fournit elle-même dans son message.

8. Règlement européen sur l’intelligence artificielle

Le service relève du règlement (UE) 2024/1689 établissant des règles harmonisées concernant l’intelligence artificielle, dont les obligations de transparence de l’article 50 s’appliquent depuis le 2 août 2026.

8.1 Répartition des rôles

innovai-consulting conçoit l’assistant et le met en service : elle est fournisseur au sens de l’article 3. Le Client l’exploite sous son autorité, auprès de ses propres correspondants : il est déployeur.

8.2 Ce qu’innovai-consulting garantit

• Article 50(1) — l’assistant se déclare. Toute personne qui écrit est informée, dès le premier message de la conversation et dans sa langue, qu’elle s’adresse à une intelligence artificielle. L’assistant le confirme à toute question directe. Cette mention est posée par la plateforme, en amont du discours propre à chaque Client : elle ne peut être ni omise ni désactivée par configuration.
• Article 50(2) — marquage des contenus générés. Les systèmes mis en service avant le 2 août 2026 bénéficient d’un délai jusqu’au 2 décembre 2026 pour le marquage lisible par machine des sorties. innovai-consulting s’y conformera dans ce délai et en informera le Client des modalités retenues.
• Article 4 — maîtrise de l’IA. innovai-consulting remet au Client, à la mise en service, une note décrivant ce que l’assistant sait faire, ce qu’il ne sait pas faire et ce que ses opérateurs doivent vérifier.
• Aucune décision automatisée produisant des effets juridiques n’est prise par l’assistant, et aucune reconnaissance des émotions n’est mise en œuvre.

8.3 Ce que le Client s’interdit

8.4 Portée territoriale

Ces engagements s’appliquent à tous les assistants exploités par innovai-consulting, y compris lorsque le Client et ses correspondants sont établis hors de l’Union européenne. La conformité n’est pas configurée client par client : elle est posée dans la plateforme.

9. Durée, modification et contact

Les présentes conditions s'appliquent pendant toute la durée du contrat. Toute modification substantielle est notifiée au Client au moins 30 jours avant son entrée en vigueur.