Politique de confidentialité

I. Objet, nature et finalité du traitement

Le traitement porte sur la mise en œuvre d’un Agent Conversationnel (IA) recueillant, enregistrant, analysant et transmettant les demandes des Demandeurs, pour le compte du Client, aux fins décrites à l’article 5 du Contrat.

Aucune catégorie particulière (donnée sensible) n’est traitée sauf accord écrit exprès et cadrage spécifique.

II. Obligations du Sous-Traitant (EIDETIC)

EIDETIC s’engage à :

1. Ne traiter les Données que sur instruction documentée du Client, y compris pour les transferts hors UE.
2. Garantir la confidentialité des Données et veiller à ce que les personnes autorisées à les traiter s’y engagent ou y soient légalement tenues.
3. Mettre en œuvre les mesures techniques et organisationnelles requises par l’article 32 RGPD (section V).
4. Respecter les conditions de recours à un sous-traitant ultérieur (section IV).
5. Aider le Client, par des mesures appropriées, à répondre aux demandes d’exercice des droits des personnes concernées (chapitre III RGPD).
6. Aider le Client à garantir le respect des obligations des articles 32 à 36 RGPD (sécurité, notification de violation, analyse d’impact).
7. Notifier au Client toute violation de Données dans un délai maximum de quarante-huit (48) heures après en avoir pris connaissance, avec les éléments utiles à la notification à l’autorité de contrôle.
8. À l’issue du Contrat, restituer puis supprimer toutes les Données et copies, sauf obligation légale de conservation, et en justifier par écrit.
9. Tenir un registre des traitements effectués pour le compte du Client.
10. Informer immédiatement le Client si une instruction constitue, selon lui, une violation du RGPD.
11. Mettre à disposition du Client toute information nécessaire pour démontrer sa conformité et permettre la réalisation d’audits (section VI).

III. Obligations du Responsable de Traitement (le Client)

Le Client s’engage à :

• Fournir l’information aux personnes concernées lors de la collecte.
• Documenter par écrit ses instructions.
• Superviser le traitement et réaliser, si nécessaire, audits et inspections.

IV. Sous-traitance ultérieure et transferts hors UE

Le Client autorise EIDETIC à recourir aux sous-traitants ultérieurs figurant sur la Liste des sous-traitants ultérieurs communiquée au Client, réputés autorisés à la date d’effet du Contrat. EIDETIC informe le Client de tout ajout ou remplacement envisagé, le Client disposant d’un droit d’opposition motivé dans un délai de trente (30) jours. Cette mise à jour s’opère par notification, sans avenant au Contrat.

EIDETIC impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes à celles de la présente Annexe, et demeure pleinement responsable devant le Client de leur exécution.

Le Client, informé de ces transferts, les autorise en signant le Contrat. Toute modification de la localisation d’un traitement fait l’objet d’une information préalable du Client avec un délai de prévenance de 3 mois.

V. Sécurité des Données (article 32 RGPD)

EIDETIC met en œuvre les mesures techniques et organisationnelles appropriées, notamment :

• Chiffrement et/ou pseudonymisation le cas échéant, garantie de confidentialité, intégrité, disponibilité et résilience des systèmes.
• Capacité de rétablissement en cas d’incident (PRA, sauvegardes — Annexe 3).
• Procédures de test et d’évaluation régulières de l’efficacité des mesures.
• Habilitation stricte des accès.

Le détail des mesures figure à l’Annexe 3 et dans la documentation de sécurité d’EIDETIC, communiquée à première demande.

VI. Violation de données, audit, durée de conservation

VII. Coordonnées des points de contact

Référent protection des données — EIDETIC : rgpd@eidetic.eu
Adresse de notification des violations et des demandes de droits : rgpd@eidetic.eu

Sous-annexe — Description du traitement

EIDETIC SAS · 213 rue du Faubourg Saint Martin, 75010 Paris · RCS Paris 978 050 045