Accord de traitement des données — ANACOD Connect

Le présent accord encadre les traitements de données à caractère personnel qu'ANACOD réalise pour le compte du Client dans le cadre des options ANACOD Connect (les « Options »), listées et décrites à l'annexe 1. Il complète les Conditions Générales de Vente d'ANACOD (Partie II) et prévaut sur elles pour tout ce qui concerne la protection des données. Il ne s'applique pas aux missions sur devis, qui font l'objet d'un contrat de sous-traitance signé.

Pendant toute la durée d'activation d'au moins une Option, puis jusqu'à l'effacement prévu à l'article 10.

Décrites par Option à l'annexe 1. ANACOD ne traite les données que pour ces finalités et pour aucune finalité propre. Selon l'Option : identifiants et jetons des comptes tiers connectés ; contenu et métadonnées de messages (WhatsApp, Messenger, Instagram, courriel) ; données de formulaires publicitaires ; fiches de prospects exportées ; données de devis et de factures ; disponibilités et rendez-vous ; identifiants de connexion d'une boîte de messagerie. Personnes concernées : le Client et ses collaborateurs ; ses clients, prospects, fournisseurs et tout correspondant.

ANACOD traite les données uniquement sur instruction documentée du Client. L'activation d'une Option, ses paramètres et les actions demandées dans l'application constituent ces instructions. ANACOD informe le Client si une instruction lui paraît contraire au RGPD.

Toute personne autorisée par ANACOD à traiter les données est soumise à une obligation de confidentialité. À la date du présent accord, seul Maxime Belhis dispose d'un accès d'administration.

ANACOD met en œuvre les mesures de l'annexe 2 : chiffrement des jetons et secrets au repos (clé de chiffrement conservée hors de la base de données), chiffrement en transit (TLS), hébergement en France (OVH), cloisonnement par client, journalisation de chaque accès aux secrets sans contenu dans les journaux, accès d'administration limités et authentifiés, sauvegardes chiffrées et restauration testée.

Le Client autorise ANACOD à recourir aux sous-traitants ultérieurs listés à l'annexe 3. ANACOD informe le Client de tout ajout ou remplacement au moins trente (30) jours avant, par e-mail ou par mise à jour de la page anacod.fr/privacy (section 18) ; le Client peut s'y opposer en résiliant l'Option concernée avant l'entrée en vigueur du changement. ANACOD impose à ses sous-traitants ultérieurs des obligations équivalentes aux siennes et demeure responsable de leur exécution devant le Client.

ANACOD n'effectue aucun transfert hors de l'Union européenne, à l'exception de ceux listés à l'annexe 3 avec leur mécanisme (décision d'adéquation — Data Privacy Framework — ou clauses contractuelles types de la Commission européenne). Lorsqu'une Option recourt à un fournisseur d'intelligence artificielle établi hors de l'Union, ANACOD transmet le strict nécessaire, configure l'exclusion de l'entraînement lorsque le fournisseur le permet et ne conserve aucune donnée chez ce fournisseur au-delà du traitement. Le Client qui ne souhaite aucun transfert n'active pas l'Option concernée ou demande, lorsqu'elle existe, la variante « fournisseur européen ».

ANACOD aide le Client à répondre aux demandes d'exercice de droits (accès, rectification, effacement, limitation, opposition, portabilité) : toute demande reçue directement est transmise au Client sous quarante-huit (48) heures ouvrées ; les fonctions de déconnexion, d'export et de suppression de l'application permettent d'y répondre. ANACOD aide le Client, dans la mesure du raisonnable, à garantir la sécurité, à notifier les violations et à réaliser une analyse d'impact.

À la déconnexion d'un compte tiers ou à la résiliation d'une Option : révocation des jetons et effacement des secrets immédiats ; effacement des données de l'Option dans les trente (30) jours ; les données que l'Option a créées dans les services du Client (feuilles Google, agenda dédié, devis Qonto, messages dans WhatsApp) lui restent acquises et ne sont pas touchées. Les journaux techniques sans contenu sont conservés douze (12) mois à des fins de preuve, puis supprimés. Les données de facturation relèvent des obligations comptables d'ANACOD (dix ans).

ANACOD notifie le Client sans délai injustifié et au plus tard sous quarante-huit (48) heures après en avoir pris connaissance, avec la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou proposées. La notification à la CNIL et aux personnes concernées incombe au Client, responsable du traitement.

ANACOD tient le registre des catégories de traitements effectués pour le compte de ses clients (article 30-2). Sur demande écrite, au plus une fois par an, ANACOD fournit une description des mesures de l'annexe 2 et permet un audit, à la charge du Client, sur préavis de trente (30) jours, pendant les heures ouvrées, sans accès aux données des autres clients.

Le Client garantit disposer d'une base légale pour chaque traitement confié, avoir informé les personnes concernées (articles 12 à 14 du RGPD), ne connecter que des comptes dont il est titulaire ou autorisé, retirer les accès en cas de départ de la personne titulaire, et ne pas confier à ANACOD de données relevant de l'article 9 du RGPD (santé, opinions, etc.) sans accord écrit préalable.

Le présent accord est accepté par le Client, pour la version affichée, au moment de l'activation de la première Option, par une case à cocher non pré-cochée ; ANACOD conserve l'horodatage, la version et l'identifiant du compte. Toute nouvelle version est notifiée et doit être acceptée pour continuer à utiliser les Options.

Droit français. Tribunal judiciaire de Paris.

Chiffrement des jetons et secrets au repos, clé de chiffrement conservée hors de la base de données ; transit TLS 1.2 ou supérieur uniquement ; isolation par client ; journalisation de chaque accès aux secrets, sans contenu dans les journaux ; accès administrateur par clé et authentification forte ; sauvegardes chiffrées hors serveur, restauration testée ; purge automatique à la résiliation ; procédure d'incident écrite.

La liste de la section 18 de la politique de confidentialité (anacod.fr/privacy), tenue à jour, fait partie du présent accord.