Accord de traitement des données (DPA)
Version 2026-10-21
Article 1. Objet, champ d'application et hiérarchie
1.1. Objet. Le présent accord de traitement des données (le « DPA ») constitue le contrat prévu à l'article 28(3) du règlement (UE) 2016/679 (le « RGPD »). Il régit les traitements de données à caractère personnel réalisés par iAdvize SAS (« iAdvize ») pour le compte du Client dans le cadre de l'AI Shopping Assistant v3 (le « Service »).
1.2. Rattachement aux CGU. Le DPA fait partie intégrante des conditions générales d'utilisation du Service (les « CGU »), auxquelles il est incorporé par leur article 7.2. Il s'applique à toute organisation ayant accepté les CGU, y compris pendant le pilote, dès cette acceptation et en l'absence de tout autre accord.
1.3. Exclusions. Le DPA ne s'applique pas aux traitements dont iAdvize est responsable, décrits dans sa politique de confidentialité : gestion des comptes, connexion et sécurité, sécurité du journal des modifications, e-mails produit et retours transmis depuis le tableau de bord.
1.4. Hiérarchie. En matière de protection des données à caractère personnel, le DPA prévaut sur les CGU. Les dispositions d'un accord écrit distinct, au sens de l'article 1.1 des CGU, relatives aux données à caractère personnel prévalent sur le DPA dans la limite de leur objet, ainsi que les conditions particulières de l'article 7.5 des CGU. Aucune de ces dispositions ne peut réduire le niveau de protection exigé par l'article 28 du RGPD.
1.5. Version applicable. La version applicable est celle publiée à l'adresse iadvize.ai/legal/dpa à la date d'acceptation des CGU, puis toute version ultérieure entrée en vigueur conformément à l'article 13.3.
Article 2. Définitions
2.1. Les termes « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « personne concernée » et « violation de données à caractère personnel » ont le sens qui leur est donné par l'article 4 du RGPD. Les termes définis à l'article 1.1 des CGU ont le même sens dans le DPA.
2.2. En outre :
- « Loi Informatique et Libertés » : la loi n° 78-17 du 6 janvier 1978 modifiée.
- « Données du Client » : les données à caractère personnel traitées par iAdvize pour le compte du Client dans le cadre du Service, décrites à l'annexe 1.
- « Sous-traitant ultérieur » : tout tiers auquel iAdvize, ou l'un de ses sous-traitants ultérieurs, confie tout ou partie d'un traitement des Données du Client.
- « Page Sous-traitants » : la liste datée des Sous-traitants ultérieurs publiée à l'adresse iadvize.ai/legal/subprocessors.
- « Site du Client » : le ou les sites marchands sur lesquels le Client installe l'assistant.
Article 3. Rôles des Parties
3.1. Pour les traitements décrits à l'annexe 1, le Client a la qualité de responsable du traitement et iAdvize celle de sous-traitant.
3.2. Le Client détermine les finalités du traitement en installant et en configurant l'assistant sur le Site du Client et en utilisant le Service. iAdvize ne traite les Données du Client pour aucune autre finalité.
3.3. Lorsque le Client agit lui-même pour le compte d'un autre responsable du traitement, il garantit disposer de l'autorisation de celui-ci ; iAdvize a alors la qualité de sous-traitant ultérieur du Client.
Article 4. Instructions documentées
4.1. iAdvize traite les Données du Client uniquement sur instruction documentée du Client (article 28(3)(a) du RGPD). Constituent de telles instructions les CGU, le DPA, la configuration du Service par le Client et toute demande écrite d'un administrateur de son organisation.
4.2. iAdvize informe immédiatement le Client si, selon elle, une instruction constitue une violation du RGPD ou d'autres dispositions du droit de l'Union ou d'un État membre. Elle peut suspendre l'exécution de cette instruction jusqu'à sa confirmation ou sa modification par le Client.
4.3. Lorsque le droit de l'Union ou d'un État membre impose à iAdvize un traitement non prévu par les instructions, iAdvize en informe le Client préalablement au traitement, sauf si ce droit l'interdit pour des motifs importants d'intérêt public.
4.4. Non-entraînement et matériel dérivé. iAdvize n'utilise pas les Données du Client pour entraîner des modèles d'intelligence artificielle, ni les siens ni ceux de ses Sous-traitants ultérieurs. La non-conservation des données et l'interdiction d'utilisation à des fins d'entraînement sont activées pour chaque appel de modèle, sous réserve de la conservation, par un fournisseur de modèle, des requêtes signalées par ses systèmes de détection d'abus. Le matériel dérivé des Données du Client, au sens de l'article 6.3 des CGU, n'est utilisé qu'aux fins d'amélioration de l'assistant du Client ; celui qui contient des Données du Client ou permet de les reconstituer est supprimé avec elles. Le Client autorise iAdvize à produire, à partir des Données du Client, des statistiques agrégées et anonymisées ne permettant d'identifier ni le Client, ni ses Shoppers, ni son catalogue.
Article 5. Obligations du Client
5.1. Base légale et information. Le Client garantit disposer d'une base légale, au sens de l'article 6 du RGPD, pour chaque traitement décrit à l'annexe 1, et informer les personnes concernées conformément aux articles 13 et 14 du RGPD. iAdvize met à sa disposition une notice d'utilisation des données destinée aux Shoppers, à laquelle le Client renvoie dans sa propre politique de confidentialité.
5.2. Consentement. Le Client recueille, au moyen de son outil de gestion du consentement, le consentement préalable des Shoppers lorsque la loi l'exige (article 82 de la Loi Informatique et Libertés). Il relie cet outil à la commande d'opposition documentée par iAdvize (documentation d'intégration), afin que le refus ou le retrait du consentement d'un Shopper soit pris en compte par l'assistant. Le rattachement des commandes aux sessions ou conversations n'est pas mis en œuvre à la date de version du DPA ; s'il l'est, il ne s'opérera qu'en présence d'un signal de consentement transmis par cet outil, et le DPA sera modifié dans les conditions de l'article 13.3.
5.3. Données sensibles. Le Service n'est pas conçu pour traiter des données relevant des articles 9 et 10 du RGPD. Le Client s'interdit de configurer le Service pour en collecter ou en déduire. Toute dérogation suppose un accord écrit distinct et emporte application des conditions particulières de l'article 7.5 des CGU, au titre desquelles le Client garantit bénéficier d'une exception prévue à l'article 9(2) du RGPD.
5.4. Transparence. Le Client s'interdit de retirer, de masquer ou de rendre illisible la mention informant les Shoppers qu'ils interagissent avec un système d'IA (article 50(1) du règlement (UE) 2024/1689 ; articles 4.2 et 5.6 des CGU).
Article 6. Confidentialité et sécurité
6.1. Personnel autorisé. iAdvize veille à ce que les personnes autorisées à traiter les Données du Client s'engagent à en respecter la confidentialité ou soient soumises à une obligation légale de confidentialité (article 28(3)(b) du RGPD). L'accès est limité aux personnes qui en ont besoin pour fournir, maintenir ou sécuriser le Service. Lorsqu'un administrateur habilité d'iAdvize se connecte au tableau de bord en lieu et place d'un Utilisateur, à sa demande ou aux fins d'enquête sur un incident de sécurité, la session est limitée à soixante (60) minutes et journalisée avec l'identité de l'administrateur et le motif déclaré.
6.2. Mesures de sécurité. iAdvize met en œuvre les mesures techniques et organisationnelles décrites à l'annexe 2, appropriées au risque (article 32 du RGPD). Elle peut les faire évoluer à condition de ne pas réduire le niveau de sécurité global.
6.3. Sécurité des accès du Client. Le Client demeure responsable de la sécurité de ses propres accès au Service, notamment de la gestion des comptes administrateurs et des clés d'API (article 3 des CGU).
Article 7. Sous-traitants ultérieurs
7.1. Autorisation générale. Le Client donne à iAdvize une autorisation écrite générale de recourir aux Sous-traitants ultérieurs figurant sur la Page Sous-traitants dans sa version en vigueur à la date d'acceptation des CGU (article 28(2) du RGPD). Pour chacun d'eux, la page précise la prestation, les données traitées, le lieu du traitement et, le cas échéant, la garantie applicable au transfert.
7.2. Chaîne de sous-traitance. iAdvize impose contractuellement à chaque Sous-traitant ultérieur des obligations de protection des données équivalentes à celles du DPA (article 28(4) du RGPD). Lorsqu'un Sous-traitant ultérieur intervient lui-même par l'intermédiaire de ses propres sous-traitants, notamment les fournisseurs de modèles et de recherche web sollicités via l'AI Gateway de Vercel, ces derniers sont identifiés sur la Page Sous-traitants et liés par des obligations équivalentes. iAdvize demeure pleinement responsable envers le Client de l'exécution de leurs obligations.
7.3. Préavis. iAdvize informe le Client, par courrier électronique adressé aux administrateurs de son organisation, de tout ajout ou remplacement d'un Sous-traitant ultérieur au moins trente (30) jours avant le début du traitement par celui-ci, et publie la version datée de la Page Sous-traitants.
7.4. Opposition. Pendant ce délai, le Client peut s'opposer au changement, pour un motif raisonnable tenant à la protection des données, par courrier électronique adressé à privacy@iadvize.com. Les Parties recherchent alors de bonne foi une solution. À défaut d'accord avant la date d'effet, le Client peut mettre fin aux CGU dans les conditions de leur article 10.3, sans pénalité.
7.5. Urgence. Lorsque la sécurité ou la continuité du Service l'exige, ou en application d'une obligation légale, iAdvize peut remplacer un Sous-traitant ultérieur sans attendre l'expiration du délai de trente (30) jours. Elle en informe alors le Client sans délai, et le droit d'opposition de l'article 7.4 court à compter de cette information.
Article 8. Transferts hors de l'Espace économique européen
8.1. iAdvize ne transfère de Données du Client hors de l'Espace économique européen que dans le respect du chapitre V du RGPD : décision d'adéquation, y compris le cadre de protection des données UE-États-Unis (Data Privacy Framework) pour les entités certifiées, clauses contractuelles types de la Commission européenne, ou autre garantie prévue à l'article 46 du RGPD.
8.2. La garantie applicable à chaque Sous-traitant ultérieur et les traitements susceptibles d'intervenir hors de l'Union européenne, y compris le transit des requêtes de modèle par la passerelle de Vercel et la conservation des requêtes signalées pour abus, sont recensés sur la Page Sous-traitants.
Article 9. Assistance au Client
9.1. Droits des personnes. Compte tenu de la nature du traitement, iAdvize aide le Client, par des mesures techniques et organisationnelles appropriées, à donner suite aux demandes d'exercice des droits prévus aux articles 15 à 22 du RGPD (article 28(3)(e) du RGPD). Lorsqu'une personne concernée s'adresse directement à iAdvize, celle-ci en informe la personne, transmet la demande au Client sans délai et n'y répond pas elle-même, sauf instruction du Client.
9.2. Sécurité, analyse d'impact et consultation préalable. iAdvize aide le Client à respecter les obligations prévues aux articles 32 à 36 du RGPD, en lui fournissant les informations dont elle dispose sur le Service, notamment aux fins d'une analyse d'impact relative à la protection des données (article 28(3)(f) du RGPD).
9.3. Règlement sur l'IA. En sa qualité de fournisseur du système d'IA, iAdvize conçoit le Service de manière à informer les Shoppers qu'ils interagissent avec un système d'IA (article 50(1) du règlement (UE) 2024/1689). Elle fournit au Client, sur demande, les informations utiles au respect de ses propres obligations au titre de ce règlement.
9.4. Coût. L'assistance qui excède la fourniture d'informations et de la documentation existante peut être facturée sur devis préalablement accepté, sauf lorsqu'elle résulte d'un manquement d'iAdvize.
Article 10. Violation de données à caractère personnel
10.1. iAdvize notifie au Client toute violation de données à caractère personnel concernant les Données du Client dans les meilleurs délais après en avoir pris connaissance (article 33(2) du RGPD), par courrier électronique adressé aux administrateurs de son organisation.
10.2. La notification comporte, dans la mesure où elles sont disponibles, les informations prévues à l'article 33(3) du RGPD : nature de la violation, catégories et nombre approximatif de personnes concernées et d'enregistrements, point de contact, conséquences probables, mesures prises ou envisagées. Les informations non disponibles sont communiquées de manière échelonnée, dès qu'elles le deviennent.
10.3. iAdvize prend sans délai les mesures raisonnables pour contenir la violation et en limiter les effets. Elle documente la violation et assiste le Client dans sa notification à l'autorité de contrôle et, le cas échéant, sa communication aux personnes concernées (articles 33 et 34 du RGPD).
10.4. La notification par iAdvize ne vaut pas reconnaissance de faute ou de responsabilité.
Article 11. Audits
11.1. iAdvize met à la disposition du Client les informations nécessaires pour démontrer le respect des obligations prévues à l'article 28 du RGPD (article 28(3)(h) du RGPD). Le Client s'appuie en premier lieu sur ces informations : documentation du Service, réponses écrites à un questionnaire de sécurité et, lorsqu'il en existe, rapports d'audit ou certifications.
11.2. Lorsque ces informations sont insuffisantes, le Client peut faire réaliser un audit, par lui-même ou par un auditeur indépendant, non concurrent d'iAdvize et tenu au secret. L'audit est notifié au moins trente (30) jours à l'avance, avec son périmètre. Il a lieu au plus une fois par période de douze (12) mois, pendant les heures ouvrées, sans perturbation du Service ni accès aux données des autres clients.
11.3. La limite annuelle et le délai de prévenance ne s'appliquent pas à un audit demandé par une autorité de contrôle ou consécutif à une violation de données concernant les Données du Client.
11.4. L'audit est à la charge du Client, sauf s'il révèle un manquement significatif d'iAdvize à ses obligations. Le rapport est confidentiel et communiqué à iAdvize, qui remédie aux manquements constatés dans un délai convenu entre les Parties.
11.5. Le présent article s'applique que le Client ait ou non conclu un autre contrat avec iAdvize. Lorsqu'un contrat en vigueur entre les Parties prévoit une clause d'audit plus favorable au Client, celle-ci s'applique au Service.
Article 12. Fin du Service : restitution et suppression
12.1. Restitution. À la fin des CGU, quelle qu'en soit la cause, y compris au terme du pilote, le Client peut récupérer ses conversations via l'API REST du Service pendant trois (3) mois, au moyen d'une clé d'API de son organisation (article 10.4 des CGU).
12.2. Suppression. À l'issue de ce délai, iAdvize supprime les Données du Client et le matériel dérivé qui les contient dans un délai de trente (30) jours. Les données supprimées peuvent subsister jusqu'à trente-cinq (35) jours supplémentaires dans les sauvegardes de la base de données, jusqu'à leur écrasement.
12.3. Conservation légale. Les suppressions prévues au présent article ne s'appliquent pas aux données dont la conservation est imposée par le droit de l'Union ou d'un État membre (article 28(3)(g) du RGPD). Ces données demeurent protégées par le DPA jusqu'à leur suppression.
12.4. Attestation. Sur demande écrite du Client, iAdvize atteste par écrit de la suppression.
Article 13. Responsabilité, durée, modification, droit applicable
13.1. Responsabilité. La responsabilité de chaque Partie au titre du DPA est soumise aux conditions et limites de l'article 9 des CGU, dans la mesure permise par la loi. Ces limites sont sans incidence sur les droits des personnes concernées au titre de l'article 82 du RGPD.
13.2. Durée. Le DPA s'applique tant qu'iAdvize traite des Données du Client, y compris pendant les délais prévus à l'article 12.
13.3. Modification. iAdvize peut modifier le DPA dans les conditions de l'article 11 des CGU : information des administrateurs de l'organisation par courrier électronique au moins trente (30) jours avant l'entrée en vigueur de toute modification significative, et publication de la version datée. Une modification imposée par la loi ou par une autorité de contrôle peut entrer en vigueur dans le délai que celles-ci fixent.
13.4. Droit applicable et juridiction. Le DPA est régi par le droit français. Les litiges relèvent des juridictions désignées à l'article 12.8 des CGU, après la tentative de règlement amiable qu'il prévoit.
13.5. Langue. Le DPA est établi en français et en anglais. En cas de divergence, la version française prévaut.
Annexe 1. Description des traitements
Les traitements sont réalisés pour le compte du Client, à partir du Site du Client et du tableau de bord du Service, pour la durée des CGU augmentée des délais de l'article 12. Les données relevant des articles 9 et 10 du RGPD en sont exclues, sauf conditions particulières (article 5.3).
| Traitement | Personnes concernées | Données | Finalité | Durée de conservation |
|---|---|---|---|---|
| Conversations avec l'assistant | Shoppers | Messages échangés, pièces jointes, notes et commentaires sur les réponses ; adresse, titre et description de la page d'origine ; contexte de page déclaré par le Client (type de page, identifiant produit, catégorie, adresse) ; langue de la conversation ; identifiant de visiteur (cookie de session) et identifiant de session d'onglet ; choix d'opposition à la mesure. L'adresse IP ne sert qu'à la limitation de débit et n'est pas conservée par iAdvize ; la chaîne d'agent utilisateur est réduite à un type de terminal et figure dans les journaux techniques de l'hébergeur | Répondre aux Shoppers et les accompagner dans leur parcours d'achat | 12 mois après le dernier message |
| Qualification des conversations | Shoppers ; Utilisateurs pour le Playground | Conversations et qualifications qui en sont tirées ; aucune qualification d'une conversation dont le Shopper s'est opposé à la mesure | Analyser pour le Client le type de demande, la satisfaction du besoin, l'exactitude des réponses et les signaux exprimés, sans score individuel ni ciblage | Supprimées avec la conversation |
| Mesure d'usage de l'assistant | Shoppers | Événements d'usage (affichage, ouverture, clic, démarrage de conversation, questions suggérées), clé de session | Mesurer l'usage de l'assistant pour le compte exclusif du Client | 24 mois après leur enregistrement |
| Rattachement des commandes | Shoppers ayant consenti via l'outil de gestion du consentement du Client | Session ou conversation, commande transmise par la boutique (traitement non mis en œuvre à la date de version du DPA) | Rattacher les commandes aux sessions ou conversations, uniquement en présence du signal de consentement (article 5.2) | Précisée lors de la mise en œuvre (article 5.2) |
| Comptage des pages vues | Shoppers | Vues par page et par jour, sans cookie ni identifiant | Identifier les pages les plus consultées et sélectionner les pages à lire | 90 jours |
| Lecture des pages du Site du Client | Personnes dont les données figurent, le cas échéant, sur les pages lues | Extrait de texte, titre, langue, contenu structuré et nombre limité d'avis publiés, sans le nom de leurs auteurs | Permettre à l'assistant de répondre à partir du contenu du site et générer des questions d'accroche | Jusqu'au retrait de la page, du site ou de l'organisation |
| Recherche web en conversation | Shoppers | Requête dérivée de la conversation ou adresse cible, jamais la conversation | Compléter les réponses de l'assistant, pour les seuls agents sur lesquels le Client a activé la fonctionnalité | Aucune conservation par iAdvize au-delà de la conversation |
| Playground | Utilisateurs | Messages saisis, contexte du test, pièces jointes, réponses générées | Tester et configurer l'assistant avant mise en ligne | 12 mois après le dernier message |
| Journal des modifications (traçabilité) | Utilisateurs | Action, adresse électronique de l'Utilisateur à la date de l'action, adresse IP, chaîne d'agent utilisateur | Permettre à l'organisation d'identifier l'auteur de chaque modification de sa configuration | 365 jours par défaut |
Opérations de traitement : collecte, hébergement, analyse, génération de réponses par des modèles d'IA, recherche web, consultation, restitution et suppression. Les Sous-traitants ultérieurs et la localisation des traitements figurent sur la Page Sous-traitants.
Annexe 2. Mesures techniques et organisationnelles
Seules les mesures effectivement en place sont décrites (articles 28(3)(c) et 32 du RGPD). Aucune certification n'est revendiquée.
| Catégorie (article 32 du RGPD) | Description |
|---|---|
| Contrôle d'accès au Service | Authentification par le fournisseur d'identité ; rôles par organisation ; authentification multifacteur disponible pour chaque compte ; clés d'API révocables et pouvant être assorties d'une date d'expiration |
| Contrôle d'accès interne aux Données du Client | Accès limité aux personnes qui en ont besoin ; connexion du support en lieu et place d'un Utilisateur limitée à 60 minutes et journalisée avec l'administrateur et le motif. L'identifiant de migration de la base de données de production n'est détenu que par la chaîne d'intégration continue, jamais par l'application. |
| Chiffrement | Chiffrement de l'ensemble du trafic en transit (TLS) ; chiffrement de la base de données au repos par son hébergeur (AES-256, clés gérées par AWS KMS) ; chiffrement des identifiants des connecteurs e-commerce (AES-256-GCM) |
| Cloisonnement | Cloisonnement des données de chaque organisation à chaque requête |
| Localisation | Base de données, stockage de fichiers et file de traitements hébergés à Francfort ; appels de modèle épinglés dans l'Union européenne, sans bascule hors de cette région |
| Modèles d'IA | Non-conservation des données et interdiction d'utilisation à des fins d'entraînement activées sur la passerelle et réaffirmées à chaque appel |
| Conservation | Purge quotidienne selon les durées de l'annexe 1 ; écrasement des sauvegardes au plus tard 35 jours après suppression |
| Journalisation et gestion des incidents | Journal des modifications de configuration et des tentatives refusées, rapproché chaque jour de la copie détenue par le fournisseur d'identité ; revue quotidienne des erreurs de production ; procédure écrite de réponse aux incidents (qualification de la violation, confinement, préservation des preuves, consignation, notification du Client dans les meilleurs délais, retour d'expérience sous une semaine) |
| Sécurité du développement | Toute modification passe par une demande de fusion approuvée par un relecteur humain, après des vérifications automatiques obligatoires (analyse statique, typage, tests, détection de secrets, contrôle des migrations) ; mise à jour hebdomadaire des dépendances ; environnements séparés, chaque modification étant testée sur une base de données et un déploiement de prévisualisation distincts de la production ; secrets conservés hors du code source |
| Encadrement des Sous-traitants ultérieurs | Accords de sous-traitance conformes à l'article 28(4) du RGPD ; liste datée publiée sur la Page Sous-traitants. Avant tout recours, vérification de l'accord de sous-traitance accepté par le prestataire, consignée avec sa date et la personne qui l'a effectuée. |
| Confidentialité et sensibilisation du personnel | Les personnes autorisées à accéder aux Données du Client sont soumises à une obligation contractuelle de confidentialité |
| Tests et évaluation de l'efficacité des mesures | Tests automatisés exécutés à chaque modification, dont des tests de cloisonnement entre organisations, un contrôle de couverture du journal d'audit et un contrôle de l'épinglage des modèles dans l'Union européenne ; contrôle de la purge de rétention. Aucun test d'intrusion n'a été réalisé à ce jour |