Accord de traitement des données (DPA)

Le présent accord de traitement des données s’applique entre vous, en qualité de client (responsable du traitement), et Ad Vitam Invest AB (ProfitLens Consulting) (sous-traitant), et devient applicable lorsque vous commencez à utiliser le service. Aucune signature n’est requise ; les conditions s’appliquent dans leur dernière version publiée et peuvent être téléchargées depuis cette page.

En cas de conflit entre le présent accord et les conditions d’achat, le présent accord prévaut pour les questions relatives au traitement des données à caractère personnel.

Le traitement couvre l’analyse tarifaire automatisée : stockage des fichiers clients, contrôles de qualité, calculs déterministes dans le navigateur du client, entretiens, transcriptions, résultats d’analyse, rapports et contenu des présentations. L’assistance par l’IA utilise Azure OpenAI dans l’UE. Le mode vocal est facultatif, activé uniquement par le répondant, et peut être désactivé ; ProfitLens n’enregistre ni ne stocke de données audio et ne sauvegarde que les transcriptions écrites.

Pour les conseils fournis par le guide d’aide, une synthèse limitée des noms de colonnes, de la mise en correspondance, des résultats des contrôles et, si cette option est activée, des lignes d’exemple pseudonymisées est envoyée à Azure OpenAI dans l’UE. Le client peut désactiver le partage des lignes d’exemple. Microsoft n’utilise pas ce contenu pour entraîner des modèles de fondation ; ses conditions applicables en matière de sécurité et de surveillance des abus peuvent autoriser une conservation limitée.

Le traitement se poursuit aussi longtemps que vous utilisez le service et pendant les durées de conservation indiquées dans la politique de confidentialité.

Personnes concernées : vos salariés utilisant le service, les répondants aux entretiens et les personnes physiques susceptibles de figurer dans les données téléversées, telles que les représentants commerciaux ou les contacts chez vos clients.

Données : nom, titre, adresse e-mail, identifiants clients et données de transaction. Les catégories particulières de données au sens de l’Article 9 GDPR ne doivent pas être téléversées. Les noms des clients peuvent être masqués, à condition que le masquage soit cohérent.

Nous traitons les données à caractère personnel uniquement sur vos instructions documentées, votre utilisation du service et les présentes conditions constituant ces instructions.

Le personnel disposant d’un accès est tenu à la confidentialité. L’accès est contrôlé par des autorisations et limité à ce qui est nécessaire à l’exécution du travail.

Nous mettons en œuvre des mesures de sécurité techniques et organisationnelles appropriées au titre de l’Article 32 : chiffrement au repos et en transit, séparation par compte et par analyse, journalisation et procédures de récupération.

Nous vous aidons à répondre aux demandes des personnes concernées ainsi qu’à réaliser les analyses d’impact et les consultations préalables, dans la mesure raisonnablement nécessaire.

Nous vous notifions dans les meilleurs délais, et au plus tard dans les 48 heures suivant sa découverte, toute violation de données à caractère personnel affectant vos données.

À la résiliation, nous supprimons vos données à caractère personnel, ou vous les restituons si vous en faites la demande dans un délai de trente jours, sauf lorsque la loi nous impose de les conserver.

Vous nous accordez une autorisation préalable générale de faire appel à des sous-traitants ultérieurs. Nous imposons à chaque sous-traitant ultérieur des obligations au moins équivalentes à celles du présent accord et demeurons responsables de leurs traitements comme des nôtres.

Sous-traitants ultérieurs actuels et fonctions : Microsoft Ireland Operations Limited (Azure Blob Storage, fichiers clients en Suède ; Azure Database for PostgreSQL, transcriptions, analyses, rapports et contenu des présentations en Irlande ; Azure OpenAI, IA textuelle et mode vocal/transcription facultatifs dans l’EU Data Zone). Supabase (plateforme du site internet et de l’application, accès côté serveur et orchestration des services, comptes, authentification, métadonnées d’accès et crédits). Les fournisseurs de messagerie électronique acheminent les notifications du système. Cette répartition décrit les services utilisés ; elle n’affirme pas que l’hébergement ou l’assistance se situent exclusivement dans l’UE.

Nous vous informons avant le recours à un nouveau sous-traitant ultérieur. Vous pouvez vous y opposer pour des motifs raisonnables et, si nous ne pouvons pas donner suite à votre opposition, vous pouvez résilier le service et obtenir le remboursement des crédits non utilisés.

Le stockage principal du contenu client se situe dans les régions Azure de l’UE : les fichiers dans Sweden Central (Suède), et les transcriptions, les résultats d’analyse, les rapports et le contenu des présentations dans North Europe (Irlande). L’inférence Azure OpenAI EU Data Zone peut avoir lieu dans différents États membres de l’UE. Les déploiements d’IA Global ne sont pas utilisés. Les calculs déterministes s’exécutent localement dans le navigateur du client. Le stockage et l’inférence dans l’UE n’impliquent pas que chaque serveur applicatif ou fournisseur de services de soutien traite les données uniquement au sein de l’UE.

Des copies temporaires du contenu client subsistent dans l’ancien stockage Supabase UE pendant les opérations de vérification et de repli. Leur suppression définitive nécessite une approbation distincte et n’intervient pas automatiquement lors de la modification des présentes conditions. Pour les accès depuis des pays tiers ou les transferts vers des pays tiers effectués par les fournisseurs de services de soutien, nous appliquons les garanties de transfert prévues par le GDPR, y compris les clauses contractuelles types lorsque celles-ci sont requises. Les conditions applicables de Microsoft en matière de protection des données et de services régissent également la sécurité et la surveillance des abus ; aucune exemption de conservation n’a été vérifiée.

Sur demande, nous fournissons la documentation nécessaire pour démontrer le respect de l’Article 28 GDPR. Un audit peut être réalisé une fois par an, moyennant un préavis raisonnable et sans exposer les données d’autres clients.

L’assistance par l’IA n’est utilisée que dans quelques étapes et ne reçoit jamais l’intégralité du jeu de données téléversé. Les calculs sont effectués par du code versionné sans IA.

Avant que des valeurs d’exemple ne soient envoyées à un sous-traitant ultérieur d’IA, les noms de clients, les noms de produits, les représentants commerciaux et les segments sont remplacés par des codes stables. La table de correspondance est créée temporairement en mémoire et n’est pas stockée.

Le client peut sélectionner Standard (valeurs d’exemple codées), Limité (noms de colonnes et de feuilles uniquement) ou Sans IA sur les données (assistance par l’IA désactivée dans les étapes de traitement des données). Le paramètre s’applique au compte et peut être modifié pour chaque analyse.

Avant chaque appel à l’IA, le client peut consulter le texte exact qui sera envoyé. Chaque appel est consigné par analyse avec l’heure, l’étape, le mode, le nombre de caractères et l’indication de l’inclusion ou non de valeurs d’exemple ; le journal peut être téléchargé et contribue à la tenue de vos propres registres au titre de l’Article 30 GDPR.