Accord de traitement des données
Si vous utilisez notre chat IA, notre suivi ou notre CRM, nous traitons des données de vos clients pour votre compte. Cet accord précise comment.
Parties et principe
Le présent accord de traitement des données fait partie du contrat entre le Client et Mova XL, exerçant sous le nom commercial Viva67, Stadhouderslaan 12D, 6171 KL Stein, Pays-Bas (KvK 42106567), ainsi que de nos conditions générales.
Le Client est le responsable du traitement. Viva67 est le sous-traitant au sens de l'article 28 du Règlement général sur la protection des données (RGPD). Cela signifie que le Client décide pourquoi et à quelles fins les données de ses clients sont traitées, et que Viva67 les traite pour le compte du Client.
Les termes utilisés dans cet accord, comme données personnelles, traitement, personne concernée et violation de données à caractère personnel, ont le sens que leur donne le RGPD. Les termes Service et Utilisateurs finaux ont le sens défini dans les conditions générales.
1. Objet et durée
Viva67 traite des données personnelles pour le Client afin de fournir le Service. Cet accord s'applique tant que Viva67 traite des données personnelles pour le Client, même si le contrat principal a déjà pris fin et que les données n'ont pas encore été supprimées.
2. Nature et finalité du traitement
Viva67 traite les données pour :
- répondre aux questions des Utilisateurs finaux via le chat IA ;
- enregistrer les demandes et conversations dans le CRM ;
- planifier des rendez-vous ;
- envoyer des messages de relance automatiques par e-mail.
Viva67 n'utilise pas les données à ses propres fins. Viva67 ne vend pas les données, ne les partage pas avec des annonceurs et ne les utilise pas pour entraîner des modèles d'IA.
3. Types de données et personnes concernées
Données
Nom, coordonnées (adresse e-mail, numéro de téléphone), messages et conversations de chat, données de rendez-vous, notes dans le CRM, une localisation approximative (ville et pays d'après l'adresse IP) et les données techniques nécessaires au fonctionnement du Service.
Personnes concernées
Les visiteurs du site du Client, les clients (potentiels) du Client et les collaborateurs du Client qui utilisent le CRM.
Pas de catégories particulières de données
Le Client veille à ce qu'aucune catégorie particulière de données personnelles ne soit demandée via le Service, comme des données de santé, ou des données relatives à la religion, à l'origine ou à des affaires pénales. Cela n'est possible qu'après accord écrit préalable et la mise en place de mesures supplémentaires.
4. Responsabilités du Client
Le Client garantit qu'il dispose d'une base légale valable pour faire traiter les données et qu'il informe correctement ses Utilisateurs finaux, par exemple dans sa propre politique de confidentialité. Le Client y mentionne qu'il fait appel à Viva67 comme sous-traitant pour le chat, le CRM et le suivi. Le Client est responsable du contenu qu'il fournit et des messages qu'il fait envoyer via le Service.
5. Instructions du Client
Viva67 ne traite les données que sur la base du contrat et des instructions écrites du Client, sauf si la loi oblige Viva67 à les traiter. Dans ce cas, Viva67 en informe le Client au préalable, sauf si la loi l'interdit. Si Viva67 estime qu'une instruction est contraire au RGPD, elle en informe immédiatement le Client.
6. Confidentialité
Toute personne ayant accès aux données pour le compte de Viva67 est tenue au secret. Cet accès est limité aux personnes qui ont besoin des données pour leur travail sur le Service.
7. Sécurité
Viva67 prend des mesures techniques et organisationnelles appropriées pour protéger les données contre la perte et le traitement illicite, comme prévu à l'article 32 du RGPD. Ce faisant, Viva67 tient compte de l'état de la technique, des coûts et des risques pour les personnes concernées. Les principales mesures sont :
- des connexions chiffrées (HTTPS) pour le site, le chat et le CRM ;
- un stockage chiffré de la base de données ;
- un accès au CRM uniquement avec un compte personnel ;
- collecter le moins de données possible et ne pas les conserver plus longtemps que nécessaire ;
- des fournisseurs soigneusement choisis avec des accords écrits.
Une explication plus détaillée figure sur la page Sécurité et IA.
8. Sous-traitants ultérieurs
Le Client autorise Viva67 à faire appel aux sous-traitants ultérieurs suivants :
- Vercel Inc. (États-Unis) : hébergement du CRM, du chat et du traitement des formulaires.
- Google (Firebase et Cloud Firestore) : base de données et connexion, avec stockage aux Pays-Bas (europe-west4).
- OpenRouter Inc. (États-Unis), avec le modèle d'IA Claude d'Anthropic (États-Unis) : rédaction des réponses et des messages.
- Resend : envoi d'e-mails, via la région UE (Irlande).
- Upstash (QStash) : planification des messages de relance, dans la région UE (Francfort).
- Hostinger : la boîte e-mail de Viva67, pour le contact avec le Client et ses Utilisateurs finaux.
- ipapi.co : conversion d'une adresse IP en ville et pays.
Viva67 impose aux sous-traitants ultérieurs des obligations comparables à celles du présent accord. Si Viva67 souhaite ajouter ou remplacer un sous-traitant ultérieur, elle l'annonce au moins 30 jours à l'avance par e-mail. Le Client peut s'y opposer de manière motivée. Si nous ne trouvons pas de solution ensemble, le Client peut résilier le contrat à la date d'entrée en vigueur du changement.
9. Transferts hors de l'EEE
Si des données sont traitées en dehors de l'Espace économique européen, cela se fait uniquement sur la base du cadre de protection des données UE-États-Unis (Data Privacy Framework), si le sous-traitant y est certifié, ou sur la base des clauses contractuelles types de la Commission européenne. Dans la mesure du possible, Viva67 choisit une région européenne.
10. Droits des personnes concernées
En vertu du RGPD, les Utilisateurs finaux disposent notamment d'un droit d'accès, de rectification, d'effacement, de limitation du traitement, d'opposition et de portabilité de leurs données. Le Client traite ces demandes. Viva67 l'aide, dans la mesure du raisonnable, par exemple en recherchant, exportant ou supprimant des données dans le CRM.
Si Viva67 reçoit elle-même une demande d'une personne concernée, elle la transmet au Client dans un délai de cinq jours ouvrables et n'y répond pas elle-même, sauf demande du Client.
11. Autre assistance au Client
Viva67 aide le Client, dans la mesure du raisonnable, pour une analyse d'impact relative à la protection des données (AIPD) et pour une éventuelle consultation préalable de l'autorité de contrôle. Si cette aide représente plus de quelques heures de travail, nous convenons des coûts à l'avance.
12. Violations de données
Si Viva67 découvre une violation de données à caractère personnel, elle la signale au Client sans retard injustifié et au plus tard 48 heures après sa découverte. Viva67 fournit toutes les informations dont le Client a besoin pour notifier si nécessaire la violation dans les 72 heures à l'autorité néerlandaise de protection des données et informer les personnes concernées, comme :
- ce qui s'est passé et quand ;
- quelles données et environ combien de personnes concernées sont touchées ;
- quelles sont les conséquences possibles ;
- quelles mesures Viva67 a prises ou propose.
Viva67 prend immédiatement des mesures pour limiter les conséquences et tient le Client informé. Le Client décide si la violation est notifiée à l'autorité de contrôle et aux personnes concernées.
13. Contrôle
Viva67 fournit au Client toutes les informations nécessaires pour démontrer qu'elle respecte le présent accord. Le Client peut, au maximum une fois par an et moyennant un préavis de 30 jours, faire réaliser un audit par un expert indépendant tenu au secret. Les coûts sont à la charge du Client, sauf si l'audit montre que Viva67 ne respecte pas cet accord sur des points importants.
14. Fin et restitution des données
Après la fin du contrat, Viva67 libère les données au Client dès que tous les montants impayés au titre du contrat principal ont été réglés, comme décrit à l'article 16 des conditions générales. Après cette libération, le Client peut exporter ses données dans un délai de 30 jours.
Ensuite, et en tout cas au plus tard 90 jours après la fin du contrat, Viva67 supprime les données, y compris chez les sous-traitants ultérieurs, sauf si la loi impose leur conservation. Jusque-là, les données restent sécurisées et Viva67 ne les utilise pour rien. Sur demande, Viva67 confirme par écrit que les données ont été supprimées.
15. Responsabilité et dispositions diverses
En matière de responsabilité, les conditions générales s'appliquent. En cas de contradiction entre le présent accord et les conditions générales, le présent accord prévaut pour ce qui concerne le traitement des données personnelles.
Viva67 annonce les modifications du présent accord au moins 30 jours à l'avance. Le présent accord est régi par le droit néerlandais. En cas de divergence entre les traductions, le texte néerlandais prévaut.
Version 1.1, 13 octobre 2026.