Le présent accord de traitement des données (le « DPA ») fait partie intégrante des Conditions d'utilisation conclues entre Kisnip (« Kisnip », « nous », « notre ») et le client (« Client », « vous ») ayant accepté ces conditions (ensemble, l'« Accord »), et y est incorporé par référence. Il régit le traitement des données personnelles que Kisnip effectue pour votre compte lorsque vous utilisez notre site web, notre tableau de bord et notre assistant vocal et de chat intégrable (le « Service »). En cas de conflit entre le présent DPA et le reste de l'Accord en matière de protection des données, le présent DPA prévaut.
Le présent DPA reflète les exigences de l'article 28 du Règlement général sur la protection des données de l'UE (« RGPD ») et les dispositions équivalentes de la Loi fédérale suisse sur la protection des données (« LPD »).
1. Définitions
Les termes tels que « données personnelles », « traitement », « responsable du traitement », « sous-traitant », « sous-traitant ultérieur », « personne concernée » et « violation de données personnelles » ont le sens qui leur est attribué dans le RGPD. « Droit applicable en matière de protection des données » désigne le RGPD, la LPD suisse et toute autre loi relative à la protection des données ou à la vie privée applicable au traitement des données personnelles dans le cadre de l'Accord. « Données personnelles du Client » désigne les données personnelles que Kisnip traite pour votre compte dans le cadre de l'Accord.
2. Rôles des parties
Pour les données personnelles du Client traitées via le Service (par exemple, le contenu des conversations entre les visiteurs de votre site et l'assistant, ainsi que les coordonnées fournies par les visiteurs), vous agissez en tant que responsable du traitement et Kisnip agit en tant que sous-traitant. Lorsque vous êtes vous-même sous-traitant agissant pour le compte d'un responsable du traitement tiers, vous garantissez disposer de l'autorité nécessaire pour donner des instructions à Kisnip en tant que sous-traitant ultérieur et que notre traitement est conforme aux instructions de ce responsable.
Kisnip agit en tant que responsable du traitement indépendant pour les données limitées qu'il traite afin de gérer son activité, par exemple vos données de compte et de facturation, ainsi que la sécurité au niveau du compte et la prévention de la fraude. Ce traitement est décrit dans notre Politique de confidentialité et n'est pas régi par le présent DPA.
3. Portée et détails du traitement
Kisnip traite les données personnelles du Client uniquement pour fournir, sécuriser et prendre en charge le Service conformément à vos instructions documentées, telles qu'énoncées dans le présent DPA, le reste de l'Accord et votre utilisation des fonctionnalités et paramètres du Service. L'objet, la durée, la nature et la finalité du traitement, les types de données personnelles et les catégories de personnes concernées sont décrits à l'Annexe A. Kisnip vous informera si, à son avis, une instruction enfreint le droit applicable en matière de protection des données.
4. Obligations de Kisnip
Kisnip s'engage à :
- traiter les données personnelles du Client uniquement sur vos instructions documentées, y compris en ce qui concerne les transferts internationaux, sauf obligation légale contraire (auquel cas, dans la mesure permise, nous vous informerons au préalable) ;
- veiller à ce que les personnes autorisées à traiter les données personnelles du Client soient soumises à des obligations de confidentialité appropriées ;
- mettre en œuvre et maintenir les mesures de sécurité techniques et organisationnelles décrites à l'Annexe C ;
- respecter les conditions du présent DPA relatives au recours à des sous-traitants ultérieurs ;
- vous aider, compte tenu de la nature du traitement, à répondre aux demandes des personnes concernées et à respecter vos obligations en matière de sécurité, de notification des violations, d'analyses d'impact relatives à la protection des données et de consultation préalable ; et
- mettre à disposition les informations nécessaires pour démontrer le respect de l'article 28 du RGPD.
5. Confidentialité
Kisnip traite toutes les données personnelles du Client de manière confidentielle. L'accès est limité au personnel qui en a besoin pour fournir, prendre en charge ou sécuriser le Service, et ce personnel est soumis à des engagements de confidentialité écrits. Ces obligations subsistent après la fin de leur collaboration avec Kisnip.
6. Sécurité
Kisnip met en œuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, compte tenu de l'état de l'art, des coûts de mise en œuvre ainsi que de la nature, de la portée, du contexte et des finalités du traitement. Un résumé de ces mesures figure à l'Annexe C. Kisnip peut mettre à jour ses mesures de sécurité de temps à autre, à condition que les mesures actualisées ne réduisent pas sensiblement le niveau global de protection.
7. Sous-traitants ultérieurs
Vous accordez à Kisnip une autorisation générale de recourir aux sous-traitants ultérieurs répertoriés à l'Annexe B pour traiter les données personnelles du Client. Kisnip conclut avec chaque sous-traitant ultérieur un accord écrit imposant des obligations de protection des données non moins protectrices que celles du présent DPA, et demeure responsable de la performance de chaque sous-traitant ultérieur.
Si Kisnip a l'intention d'ajouter ou de remplacer un sous-traitant ultérieur, il mettra à jour la liste de l'Annexe B et, si vous avez demandé à être notifié, vous en informera dans un délai raisonnable. Si vous avez une objection légitime, liée à la protection des données, à l'encontre d'un nouveau sous-traitant ultérieur, vous pouvez nous la soumettre en nous contactant ; nous travaillerons de bonne foi avec vous pour y remédier, et si nous n'y parvenons pas, vous pourrez résilier la partie concernée du Service.
8. Droits des personnes concernées
Compte tenu de la nature du traitement, Kisnip vous aidera, par des mesures techniques et organisationnelles appropriées et dans la mesure du possible, à vous acquitter de votre obligation de répondre aux demandes des personnes concernées exerçant leurs droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition. Le Service propose également des outils en libre-service qui vous permettent de consulter, d'exporter lorsque cela est disponible et de supprimer les données de conversation et votre compte. Si Kisnip reçoit une demande directement d'une personne concernée relative aux données personnelles du Client, il orientera cette personne vers vous, dans la mesure permise par la loi, plutôt que d'y répondre lui-même.
9. Violations de données personnelles
Kisnip vous notifiera sans retard injustifié après avoir pris connaissance d'une violation de données personnelles affectant les données personnelles du Client, et fournira les informations raisonnablement disponibles pour vous aider à respecter vos propres obligations de notification en vertu du droit applicable en matière de protection des données. Kisnip prendra des mesures raisonnables pour atténuer les effets de la violation et minimiser tout dommage en résultant.
10. Analyses d'impact relatives à la protection des données
Compte tenu de la nature du traitement et des informations dont dispose Kisnip, Kisnip fournira une assistance raisonnable pour vous aider à réaliser des analyses d'impact relatives à la protection des données et, le cas échéant, des consultations préalables auprès d'une autorité de contrôle.
11. Transferts internationaux
Kisnip et ses sous-traitants ultérieurs peuvent traiter les données personnelles du Client dans l'Union européenne et dans d'autres régions où opèrent nos fournisseurs d'infrastructure. Lorsque des données personnelles du Client sont transférées vers un pays n'offrant pas un niveau de protection adéquat, Kisnip s'appuie sur un mécanisme de transfert approprié reconnu par le droit applicable en matière de protection des données, tel que les clauses contractuelles types de la Commission européenne (et, pour les transferts soumis à la LPD suisse, les versions reconnues par le Préposé fédéral suisse à la protection des données et à la transparence), ainsi que sur toute mesure supplémentaire éventuellement requise.
12. Restitution et suppression des données
À la résiliation de l'Accord, et selon votre choix, Kisnip supprimera ou restituera les données personnelles du Client et supprimera les copies existantes, sauf si la conservation est requise par la loi. Lorsque vous supprimez des conversations ou votre compte via le Service, les données personnelles du Client associées sont supprimées ou anonymisées dans un délai de 30 jours, sauf lorsque nous sommes tenus de conserver certains registres pour respecter des obligations légales (par exemple, des documents comptables).
13. Audits
Kisnip mettra à votre disposition les informations raisonnablement nécessaires pour démontrer le respect de ses obligations au titre du présent DPA, et permettra et contribuera aux audits, y compris les inspections, réalisés par vous ou par un auditeur que vous mandatez. Afin de respecter la confidentialité et la sécurité des autres clients, les audits sont réalisés avec un préavis raisonnable, au plus une fois par an (sauf exigence d'une autorité de contrôle ou à la suite d'une violation), pendant les heures ouvrables et d'une manière qui ne perturbe pas le Service. Kisnip peut satisfaire aux demandes d'audit en fournissant les certifications ou rapports pertinents de tiers, lorsqu'ils sont disponibles.
14. Responsabilité
La responsabilité de chaque partie découlant du présent DPA ou s'y rapportant est soumise aux limitations et exclusions de responsabilité énoncées dans l'Accord.
15. Durée, résiliation et préséance
Le présent DPA prend effet lorsque vous acceptez l'Accord et demeure en vigueur aussi longtemps que Kisnip traite des données personnelles du Client pour votre compte. Le présent DPA remplace toutes conditions antérieures de traitement des données conclues entre les parties pour le Service. Toutes les autres dispositions de l'Accord demeurent pleinement en vigueur.
16. Droit applicable
Le présent DPA est régi par le même droit et soumis à la même juridiction que ceux énoncés dans l'Accord, sauf lorsque le droit applicable en matière de protection des données l'exige autrement.
17. Comment le présent DPA est conclu
Le présent DPA est incorporé dans nos Conditions d'utilisation. Lorsque vous créez un compte et acceptez les conditions, vous concluez le présent DPA avec Kisnip sous forme électronique ; aucune signature distincte n'est requise, comme le permet l'article 28, paragraphe 9, du RGPD. Si votre organisation a besoin d'une copie contresignée pour ses dossiers, contactez-nous et nous en fournirons une.
18. Contact
Des questions sur ce DPA ou nos pratiques en matière de protection des données ? Contactez-nous ou envoyez un e-mail à [email protected]. Vous pouvez également trouver utile notre aperçu du RGPD et de la protection des données en langage clair.
19. Annexe A : Détails du traitement
Objet. La fourniture du Service Kisnip au Client.
Durée. Pendant la durée de l'Accord, plus toute période durant laquelle les données personnelles du Client sont conservées conformément au présent DPA.
Nature et finalité. Héberger, stocker, transmettre et traiter les données personnelles du Client pour faire fonctionner l'assistant vocal et de chat intégrable, générer des réponses par IA, produire des résumés de conversation et des prospects, et fournir le tableau de bord, l'assistance et la sécurité du Service.
Types de données personnelles. Selon la manière dont les visiteurs interagissent avec l'assistant, cela peut inclure : le contenu des conversations par chat et par voix (traité sous forme de texte ; l'audio n'est pas conservé après la fin d'une conversation), toutes coordonnées fournies par un visiteur (telles que nom, adresse e-mail ou numéro de téléphone), l'URL de la page où la conversation a eu lieu, la langue et les paramètres régionaux, ainsi que les métadonnées techniques associées.
Catégories de personnes concernées. Les visiteurs du site et utilisateurs finaux du Client qui interagissent avec l'assistant, ainsi que les propres utilisateurs autorisés du tableau de bord du Client.
20. Annexe B : Sous-traitants ultérieurs
Kisnip fait appel aux sous-traitants ultérieurs suivants pour fournir le Service. Chacun est mandaté dans le cadre d'un accord de traitement des données comportant des obligations non moins protectrices que celles du présent DPA.
- Google (Firebase), Google Ireland Limited / Google LLC : hébergement, base de données, authentification, stockage et fonctions sans serveur. Traité dans l'UE et dans d'autres régions où Google opère.
- Google (Gemini / Vertex AI), Google LLC : génération des réponses de conversation par IA.
- Stripe, Stripe Payments Europe, Ltd. : traitement des paiements et des abonnements (données de facturation uniquement).
- Hostpoint AG, Suisse : envoi des e-mails transactionnels et de résumé.
Nous tenons cette liste à jour. Pour être informé des changements, contactez-nous.
21. Annexe C : Mesures techniques et organisationnelles
Kisnip maintient des mesures de sécurité adaptées au risque, notamment :
- Chiffrement. Les données personnelles sont chiffrées en transit (TLS) et au repos chez nos fournisseurs d'infrastructure.
- Contrôle d'accès. L'accès aux données personnelles du Client est limité au personnel autorisé selon le principe du besoin d'en connaître, protégé par une authentification et des autorisations basées sur les rôles.
- Sécurité de l'infrastructure. Le Service fonctionne sur une infrastructure cloud établie (Google Firebase) avec les garanties physiques, réseau et opérationnelles que ces fournisseurs maintiennent.
- Minimisation des données. Les entrées vocales sont traitées en temps réel et les enregistrements audio ne sont pas conservés après la fin d'une conversation, seulement les transcriptions textuelles.
- Résilience. Une infrastructure gérée et redondante soutient la disponibilité et l'intégrité du Service.
- Confidentialité. Le personnel est soumis à des obligations de confidentialité et reçoit des consignes sur le traitement des données personnelles.
- Réponse aux incidents. Des processus sont en place pour détecter, évaluer et répondre aux violations de données personnelles et pour notifier les clients concernés sans retard injustifié.