accord de sous-traitance (DPA)

Le présent accord de sous-traitance (ci-après « DPA ») précise les obligations découlant de l'art. 28 du RGPD pour le traitement des données personnelles que nous effectuons pour le compte de nos clients. Il complète les Conditions générales de vente (ci-après « contrat principal ») et doit être lu conjointement avec la politique de confidentialité . En cas de contradiction entre le contrat principal et le présent DPA, les dispositions du présent DPA prévalent pour ce qui concerne le traitement de données personnelles pour le compte du client.

1. Parties au contrat et rôles

Le sous-traitant est HACO d. Gschnitzer Franz Josef KG, Angerweg 43 - Gasteig, 39040 Ratschings (BZ), Tyrol du Sud, Italie (ci-après « nous » ou « prestataire »). Contact : team@smartchat.marketing.

Le responsable du traitement c'est toi, en tant que client qui utilise SmartChat pour collecter tes propres contacts et leur écrire.

La répartition des rôles est double et décrite plus en détail à la section 3 de la politique de confidentialité : pour les données de ton propre compte (inscription, profil d'onboarding et profil d'entreprise, facturation, chat AI, canaux connectés), nous sommes nous-mêmes responsables du traitement ; le présent DPA ne s'y applique pas. Pour les données des contacts que tu collectes et à qui tu écris via SmartChat, c'est toi le responsable du traitement, et nous les traitons exclusivement pour ton compte. Seules ces données sont concernées ici.

2. Objet et durée de la sous-traitance

L'objet de la sous-traitance est la fourniture des prestations de SmartChat décrites dans le contrat principal, dans la mesure où elles impliquent le traitement de données personnelles de tes contacts : notamment la collecte de contacts via des landing pages, un widget de site web, la saisie manuelle ou l'import, la mise en œuvre de la procédure de double opt-in, l'envoi de newsletters WhatsApp et de relances (follow-ups), la gestion des messages reçus dans la boîte de réception, l'établissement de statistiques ainsi que, si tu l'as activée, la réponse automatique aux messages reçus.

La durée de la sous-traitance correspond à la durée du contrat principal. Le DPA prend fin en même temps que celui-ci, sans qu'une résiliation séparée soit nécessaire. Les obligations de suppression et de restitution (section 10) ainsi que de confidentialité (section 5) continuent de s'appliquer au-delà.

3. Nature, finalité et étendue du traitement

Nous traitons les données exclusivement dans le but de te fournir les prestations convenues dans le contrat principal. Aucun traitement à nos propres fins n'a lieu, notamment pour créer nos propres profils, pour notre propre publicité ou pour une transmission à des tiers.

3.1 Catégories de personnes concernées

Sont concernés les contacts que tu enregistres et à qui tu écris via SmartChat (ci-après « contacts finaux ») : par exemple des prospects, des abonnés à ta newsletter ainsi que tes clients.

3.2 Types de données traitées

• Données de base des contacts finaux : nom, adresse e-mail, numéro de téléphone, langue
• Données de consentement : statut du consentement, date, heure et canal du consentement ou de la confirmation, ainsi que des informations techniques comme l'adresse IP et le navigateur
• Données de contenu : contenu des messages et conversations entrants et sortants
• Métadonnées d'envoi : informations de distribution et de statut ainsi que les statistiques qui en découlent
• Autres champs que tu collectes toi-même dans tes formulaires

Les catégories particulières de données personnelles au sens de l'art. 9 du RGPD ne font pas l'objet de la sous-traitance. Si tu collectes malgré tout de telles données via SmartChat, tu le fais sous ta seule responsabilité ; dans ce cas, tu nous en informes au préalable.

4. Droit de donner des instructions

Nous traitons les données exclusivement sur tes instructions documentées. Sont considérés comme instructions le présent DPA, le contrat principal ainsi que les paramètres et saisies que tu effectues toi-même dans l'application (par ex. la création d'une landing page, le déclenchement d'un envoi ou l'activation de la réponse automatique).

Tu adresses les instructions individuelles par écrit à team@smartchat.marketing. Si nous estimons qu'une instruction enfreint le droit applicable en matière de protection des données, nous te le signalons et pouvons suspendre son exécution jusqu'à ta confirmation.

Si le droit de l'Union ou d'un État membre nous oblige à un traitement allant au-delà, nous t'en informons avant le traitement, sauf si ce droit l'interdit pour un motif important d'intérêt public.

5. Confidentialité

Pour le traitement, nous n'employons que des personnes tenues à la confidentialité ou soumises à une obligation légale de secret appropriée. Cette obligation perdure après la fin de leur activité. Le cercle des personnes ayant accès est limité à ce qui est nécessaire à la fourniture des prestations.

6. Mesures techniques et organisationnelles (art. 32 du RGPD)

Nous prenons des mesures techniques et organisationnelles appropriées pour garantir un niveau de protection adapté au risque. Elles comprennent notamment :

• Séparation des clients : séparation stricte des environnements clients au niveau de la base de données (Row Level Security) ; chaque environnement client est logiquement séparé.
• Chiffrement des transmissions : TLS/HTTPS pour l'ensemble des transmissions de données.
• Chiffrement des identifiants sensibles : les tokens WhatsApp et d'intégration sont stockés chiffrés (AES-256-GCM) et ne sont jamais transmis au frontend du navigateur.
• Contrôle d'accès : limitation des accès au strict nécessaire ; accès en écriture à la base de données uniquement côté serveur.
• Intégrité : vérification de la signature des webhooks entrants.
• Preuve du consentement : enregistrement de la date, de l'heure et du canal du consentement dans la procédure de double opt-in.

Nous pouvons faire évoluer et adapter ces mesures, tant que le niveau de protection convenu n'est pas réduit. L'état actuel est décrit à la section 6 de la politique de confidentialité.

7. Sous-traitants ultérieurs

Tu nous accordes l'autorisation générale de faire appel à d'autres sous-traitants. Nous les choisissons avec soin et les soumettons contractuellement à des obligations de protection des données conformes aux exigences de l'art. 28 du RGPD.

Nous t'informons par écrit et à l'avance de l'ajout d'un nouveau sous-traitant ultérieur ou du remplacement d'un sous-traitant existant. Tu peux t'y opposer dans un délai de 14 jours pour un motif important lié à la protection des données. Si nous ne pouvons alors pas fournir la prestation sans le sous-traitant concerné, chacune des parties est en droit de résilier le contrat principal à la date d'entrée en vigueur de la modification.

À la date de conclusion du contrat, les sous-traitants ultérieurs suivants sont employés :

Notre prestataire de paiement Polar n'est pas considéré comme sous-traitant ultérieur au sens du présent DPA : Polar traite tes données de paiement et de facturation sous sa propre responsabilité, et non les données de tes contacts finaux.

8. Transferts vers des pays tiers

Une partie des sous-traitants ultérieurs cités à la section 7 traite des données en dehors de l'UE ou de l'EEE, notamment aux États-Unis. De tels transferts n'ont lieu qu'en présence de garanties appropriées selon le chapitre V du RGPD : sur la base du EU-U.S. Data Privacy Framework, si le destinataire est certifié, et/ou sur la base des clauses contractuelles types de la Commission européenne selon l'art. 46 du RGPD.

9. Assistance au responsable du traitement

Nous t'aidons, dans la mesure de nos possibilités, à remplir tes obligations :

• Droits des personnes concernées (art. 12 à 23 du RGPD) : Si un contact final nous adresse directement une demande d'accès, de rectification, de suppression ou d'opposition, nous n'y répondons pas nous-mêmes, mais te la transmettons sans délai. Tu peux à tout moment effectuer toi-même l'accès, la rectification, la suppression et l'export de tes contacts dans l'application.
• Sécurité, obligations de notification et analyse d'impact relative à la protection des données (art. 32 à 36 du RGPD) : Nous te fournissons les informations qui te manquent pour remplir ces obligations.
• Désabonnements : Si un contact final se désabonne (sur WhatsApp par ex. avec « STOP », par e-mail via le lien de désabonnement), il est automatiquement bloqué pour les envois suivants.

10. Notification des violations de données personnelles

Si nous avons connaissance d'une violation de données personnelles concernant les données que nous traitons pour ton compte, nous t'en informons sans délai par écrit à l'adresse e-mail enregistrée dans ton compte. La notification contient, dans la mesure du possible, une description de la nature de la violation, les catégories concernées et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables ainsi que les mesures prises ou proposées. La notification à l'autorité de contrôle selon l'art. 33 du RGPD et l'information des personnes concernées selon l'art. 34 du RGPD t'incombent en tant que responsable du traitement.

11. Suppression et restitution après la fin du contrat

À la fin du contrat principal, tu peux exporter toi-même les données de contact enregistrées dans ton compte dans un délai de 30 jours. Passé ce délai, nous supprimons ou restituons les données traitées pour ton compte, sauf obligation légale de conservation contraire. En cas d'obligation de conservation, nous limitons à la place le traitement des données concernées.

Tu peux nous adresser à tout moment une demande de suppression à team@smartchat.marketing ; nous confirmons la suppression dans un délai de 30 jours.

12. Preuves et contrôles

Sur demande, nous te prouvons de manière appropriée le respect des obligations du présent DPA, en règle générale par des informations pertinentes ou des justificatifs existants. Tu es en droit de t'assurer de ce respect. Les contrôles sur place sont annoncés suffisamment à l'avance, ont lieu pendant nos heures de bureau habituelles et ne doivent pas perturber l'activité de manière excessive. Les frais des contrôles allant au-delà d'une simple demande d'informations peuvent t'être facturés, s'il n'existe pas de motif concret au contrôle.

13. Responsabilité

La responsabilité est régie par les dispositions du contrat principal, sauf disposition contraire impérative de l'art. 82 du RGPD. Dans les rapports internes, tu es responsable de la licéité de la collecte et des consentements de tes contacts finaux ; nous sommes responsables d'un traitement conforme aux instructions et au contrat.

14. Droit applicable et juridiction compétente

Le droit italien s'applique. Pour les litiges avec des professionnels, la juridiction compétente est, dans la mesure permise par la loi, celle du siège du prestataire à Bolzano (Italie). Les dispositions impératives du RGPD restent inchangées.

15. Dispositions finales

Les modifications et compléments du présent DPA doivent être faits par écrit. Si une disposition est invalide, la validité des autres dispositions n'en est pas affectée.

Version du 17 juillet 2026