Accord de traitement des données
Version du 7 nov.
Projet en attente de relecture juridique : ce texte décrit le fonctionnement réel de Sotance, mais n'a pas encore été vérifié par un juriste.
Parties et objet
Cet accord fait partie des conditions entre votre organisation (responsable du traitement) et Altis Koten SRL (sous-traitant), au sens de l'article 28 du RGPD. Il couvre les données personnelles de votre compte : les utilisateurs que vous invitez et toute donnée personnelle saisie dans les marques, faits ou questions.
Ce que nous en faisons
Nous les traitons uniquement pour faire fonctionner Sotance pour vous, sur vos instructions documentées (l'utilisation du service en est une), jamais à nos propres fins. Nous vous prévenons si une instruction nous paraît contraire à la loi.
Sécurité
- Chiffrement en transit partout, et au repos chez nos hébergeurs.
- Connexion avec Google, ou par e-mail et un mot de passe conservé uniquement sous forme d'empreinte Argon2id ; sessions limitées à 30 jours.
- Données de chaque organisation séparées dans chaque requête ; accès vérifié à chaque appel.
- Accès du personnel limité au strict nécessaire, sous confidentialité.
Sous-traitants ultérieurs
Vous autorisez les sous-traitants ci-dessous. Nous vous prévenons 30 jours avant tout nouveau sous-traitant et vous pouvez vous y opposer ; si nous ne pouvons pas y répondre, vous pouvez mettre fin au contrat.
| Service | Pour quoi | Où | Données personnelles |
|---|---|---|---|
| Google Cloud (Cloud Run) | Hébergement et rendu des pages | Belgique (Google Cloud europe-west1) | Oui |
| Neon | Base de données | Union européenne | Oui |
| Vercel | Hébergement et rendu des pages | France (région de Paris), pour le rendu des pages | Oui |
| Vercel (Web Analytics, Speed Insights) | Mesure des visites et de la vitesse des pages | [à compléter] | Oui |
| Resend | Envoi des e-mails | [à compléter] | Oui |
| Stripe | Paiements et factures | Irlande (Stripe Payments Europe) | Oui |
| DataForSEO | Réponses IA mesurées | – | Non |
| cloro | Réponses IA mesurées | – | Non |
| Anthropic | Réponses IA mesurées | – | Non |
| OpenAI | Réponses IA mesurées | – | Non |
| Google (Gemini API) | Réponses IA mesurées | – | Non |
Violations, assistance et audits
Nous vous notifions toute violation de données personnelles dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance. Nous vous aidons à répondre aux demandes des personnes concernées et aux analyses d'impact, et vous fournissons les informations nécessaires pour démontrer la conformité, y compris un audit par an moyennant un préavis raisonnable.
Fin du contrat
À la fin du contrat, vous pouvez exporter vos données ; nous les effaçons ensuite dans les 30 jours, sauvegardes comprises, sauf obligation légale de conservation.