Accord de sous-traitance des données (DPA)

• Finalités : récupération, stockage et affichage des avis des fiches connectées (widgets, API, données structurées), génération et publication de réponses aux avis, alertes et rapports ; anonymisation des données des fiches pour produire les statistiques agrégées prévues à l'article 20 des CGV (le client donne cette instruction en acceptant les CGV et peut la retirer à tout moment).
• Personnes concernées : auteurs des avis publiés sur les fiches du client ; le cas échéant, personnes citées dans les avis ou les réponses.
• Données : nom public et photo de profil de l'auteur tels que fournis par la plateforme, texte, note et date de l'avis, réponse du client, identifiants techniques de l'avis. Le service n'a pas vocation à traiter des données sensibles ; celles qu'un auteur choisirait de publier dans son avis sont traitées comme le reste du texte.
• Opérations : collecte via les interfaces des plateformes tierces, enregistrement, affichage, transmission au prestataire d'intelligence artificielle pour générer les réponses, publication des réponses, suppression.
• Durée : la durée du contrat, puis la période de restitution prévue à l'article 9.

OZAPP ne traite les données que sur instruction documentée du client : les CGV, le présent accord et les réglages que le client effectue dans Revys constituent ses instructions. OZAPP informe le client si une instruction lui paraît contraire au RGPD, et ne traite pas les données à d'autres fins que la fourniture du service. OZAPP n'utilise pas les données des clients pour entraîner des modèles d'intelligence artificielle.

Les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité.

OZAPP met en œuvre des mesures techniques et organisationnelles appropriées (article 32 RGPD), notamment :

• hébergement de l'application et de la base de données dans l'Union européenne (Allemagne) ;
• chiffrement des communications (HTTPS/TLS) et hachage des mots de passe ;
• cloisonnement des données par espace client et contrôle des accès selon le rôle ;
• accès administrateur limité aux personnes habilitées d'OZAPP ;
• sauvegardes quotidiennes de la base de données, conservées sept (7) jours ;
• mises à jour de sécurité régulières des composants logiciels.

Le client autorise OZAPP à recourir aux sous-traitants ultérieurs suivants :

• netcup GmbH (Karlsruhe, Allemagne) : hébergement de l'application et de la base de données (UE) ;
• Requesty et les fournisseurs de modèles d'intelligence artificielle auxquels il donne accès : génération des réponses IA (texte et note de l'avis, nom public de l'auteur et consignes du client) ;
• sendy.cloud et o2switch (Clermont-Ferrand, France) : envoi des e-mails d'alerte et de rapport pouvant contenir le texte des avis (UE).

OZAPP impose à chacun des obligations de protection des données équivalentes à celles du présent accord et reste responsable de leur respect. Elle informe le client par e-mail au moins quinze (15) jours avant tout ajout ou remplacement d'un sous-traitant ultérieur. Le client peut s'y opposer pour un motif raisonnable lié à la protection des données ; à défaut de solution, il peut résilier sans frais et obtenir le remboursement de la part de la période payée et non consommée.

Lorsqu'un sous-traitant ultérieur traite des données hors de l'Espace économique européen, le transfert est encadré par une décision d'adéquation de la Commission européenne (notamment le cadre de protection des données UE–États-Unis pour les entreprises certifiées) ou par les clauses contractuelles types adoptées par la Commission, complétées si nécessaire de mesures supplémentaires.

Compte tenu de la nature du traitement, OZAPP aide le client à répondre aux demandes d'exercice des droits des personnes concernées (le client peut notamment masquer un avis dans Revys, et l'auteur peut le supprimer sur la plateforme d'origine, ce qui le supprime de Revys à la synchronisation suivante), ainsi qu'à ses obligations de sécurité, d'analyse d'impact et de consultation de l'autorité de contrôle. OZAPP transmet sans délai au client toute demande d'une personne concernée qui lui parviendrait directement.

OZAPP notifie au client toute violation de données personnelles le concernant dans les meilleurs délais et au plus tard quarante-huit (48) heures après en avoir pris connaissance, avec les informations disponibles (nature, catégories et nombre approximatif de personnes et de données concernées, conséquences probables, mesures prises ou envisagées), complétées au fur et à mesure.

À la fin du contrat, le client peut obtenir, pendant trente (30) jours et sur demande à privacy@revys.io, un export de ses avis et réponses dans un format structuré. OZAPP supprime ensuite les données traitées pour son compte, y compris les copies, au plus tard à l'expiration du cycle de sauvegarde, sauf obligation légale de conservation.

OZAPP met à la disposition du client les informations nécessaires pour démontrer le respect du présent accord. Le client peut, au plus une fois par an et moyennant un préavis de trente (30) jours, faire réaliser à ses frais un audit par un auditeur indépendant tenu au secret, selon des modalités convenues pour ne pas perturber le service ni compromettre la sécurité des autres clients.

La responsabilité des parties au titre du présent accord est régie par l'article 18 des CGV, sans préjudice des droits que les personnes concernées tiennent de l'article 82 du RGPD. Le présent accord est soumis au droit belge et aux juridictions prévues par les CGV. En cas de contradiction entre les CGV et le présent accord sur la protection des données, le présent accord prévaut.