Accord de traitement des données à caractère personnel¶
Version 1.0 — en vigueur depuis le 20 août 2026
1. Les parties¶
Le présent Accord est conclu entre :
Le Client, la personne physique ou morale qui souscrit un abonnement au service Wably, ci-après le Responsable du traitement.
Marco Santucci, NIF Y0814119W, dont le siège est situé Calle Agustina de Aragón 92, Barcelone, Espagne, exerçant sous le nom commercial Wably, ci-après le Sous-traitant.
2. Objet et acceptation¶
Le présent Accord régit le traitement de données à caractère personnel que le Sous-traitant effectue pour le compte du Responsable dans le cadre de la fourniture du service Wably, conformément à l'article 28 du Règlement (UE) 2016/679 (ci-après le RGPD).
Il fait partie intégrante des Conditions d'utilisation et est accepté par le Responsable sous forme électronique lors de son inscription au service. L'acceptation est enregistrée par le Sous-traitant avec l'indication de la date, de l'heure et de la version de l'Accord acceptée.
En cas de contradiction entre le présent Accord et les Conditions d'utilisation en matière de protection des données, le présent Accord prévaut.
3. Rôles des parties¶
Le Responsable du traitement détermine les finalités et les moyens du traitement des données de ses propres clients ou patients. Il est responsable de la licéité de la collecte, de l'information des personnes concernées et, lorsque cela est nécessaire, du recueil du consentement.
Le Sous-traitant traite les données à caractère personnel exclusivement pour le compte du Responsable et selon ses instructions documentées, telles que définies par le présent Accord, par les Conditions d'utilisation et par la configuration du service effectuée par le Responsable.
Le Sous-traitant ne détermine en aucune manière les finalités du traitement et n'utilise pas les données du Responsable à ses propres fins.
4. Objet, durée, nature et finalité du traitement¶
Objet. Gestion automatisée des communications avec les clients du Responsable via WhatsApp Business et gestion des rendez-vous correspondants.
Durée. Pendant toute la durée de la relation contractuelle, outre les durées de conservation indiquées à la section 11.
Nature. Collecte, enregistrement, organisation, conservation, consultation, utilisation, communication par transmission, effacement.
Finalités.
- Réception et réponse automatisée aux messages des clients du Responsable
- Vérification de la disponibilité et enregistrement, modification ou annulation de rendez-vous
- Envoi de rappels, de récapitulatifs et de demandes d'avis selon la configuration choisie par le Responsable
- Reconnaissance des contacts et gestion du répertoire du Responsable
5. Catégories de personnes concernées et de données¶
Catégories de personnes concernées : clients ou patients du Responsable ; personnel du Responsable autorisé à utiliser le service.
Catégories de données à caractère personnel traitées :
| Catégorie | Détail |
|---|---|
| Données d'identification | nom, prénom, dénomination |
| Données de contact | numéro de téléphone au format international, adresse e-mail |
| Données de rendez-vous | date, heure, durée, service ou prestation demandée, statut de la réservation |
| Contenu des communications | texte des messages échangés entre la personne concernée et l'assistant, conservé pendant la durée technique de la session conversationnelle |
| Préférences | langue, fuseau horaire, consentements exprimés par canal |
5.1 Catégories particulières de données (article 9 du RGPD)¶
Le service n'est ni conçu ni destiné au traitement de catégories particulières de données à caractère personnel. Le Sous-traitant ne demande pas, ne structure pas et ne conserve pas dans ses propres archives de données relatives à la santé.
Le Responsable en prend acte et s'engage à ce qui suit :
a) à ne pas saisir de catégories particulières de données à caractère personnel dans les champs à remplissage libre du service, y compris la description de l'activité, la liste des services, les questions fréquentes, les informations générales et les notes des contacts ;
b) que ces champs sont destinés exclusivement à des informations relatives à l'organisation de l'activité, telles que la dénomination des prestations proposées, les tarifs, les durées, les horaires et les modalités d'accès ;
c) que, si une personne concernée indique spontanément le motif de la réservation, cette information est transmise par le Sous-traitant exclusivement à l'agenda électronique du Responsable, sous le contrôle direct de ce dernier, et n'est pas conservée dans les archives du Sous-traitant ;
d) que, dans cette éventualité, la base légale au titre de l'article 9 du RGPD incombe au Responsable en raison de sa propre activité professionnelle.
6. Instructions du Responsable¶
Le Sous-traitant traite les données à caractère personnel exclusivement sur la base des instructions documentées du Responsable, constituées par le présent Accord, les Conditions d'utilisation et les choix de configuration effectués par le Responsable dans le panneau de gestion.
Le Sous-traitant informe immédiatement le Responsable s'il estime qu'une instruction constitue une violation du RGPD ou d'autres dispositions applicables en matière de protection des données.
Le Sous-traitant ne transfère pas, ne vend pas et ne met pas à la disposition de tiers les données du Responsable à des fins de marketing, de profilage ou d'entraînement de modèles d'intelligence artificielle.
7. Confidentialité¶
Le Sous-traitant garantit que les personnes autorisées à traiter les données à caractère personnel se sont engagées à respecter la confidentialité ou sont soumises à une obligation légale appropriée de confidentialité.
L'accès aux données du Responsable par le personnel du Sous-traitant est limité à ce qui est strictement nécessaire à la fourniture du service, à la maintenance technique et à l'assistance demandée par le Responsable.
8. Mesures de sécurité (article 32)¶
Le Sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées, parmi lesquelles :
- Chiffrement en transit de toutes les communications au moyen de protocoles TLS
- Chiffrement des identifiants d'accès aux services connectés avec l'algorithme AES-256, conservés sous forme chiffrée et jamais en clair
- Isolation logique des données de chaque Responsable, avec une séparation applicative qui empêche tout accès croisé
- Authentification des utilisateurs au moyen d'un système dédié de gestion des identités conforme au standard OpenID Connect
- Infrastructure hébergée chez un fournisseur cloud de niveau entreprise dont les centres de données sont situés dans l'Union européenne
- Conservation limitée du contenu conversationnel à la seule durée technique de la session
- Sauvegardes automatiques de la base de données et copies au niveau de l'infrastructure, conservées sous forme protégée
9. Sous-traitants ultérieurs¶
Le Responsable autorise le Sous-traitant à recourir aux sous-traitants ultérieurs énumérés ci-dessous, chacun pour la fonction indiquée.
| Sous-traitant ultérieur | Fonction | Lieu du traitement |
|---|---|---|
| Oracle Corporation (Oracle Cloud Infrastructure) | infrastructure d'hébergement et traitement du modèle de langage | Union européenne |
| Meta Platforms Ireland Ltd. | canal de messagerie WhatsApp Business | Union européenne et hors UE |
| Google Ireland Ltd. | agenda et répertoire, sur autorisation directe du Responsable | Union européenne et hors UE |
| Stripe Payments Europe Ltd. | gestion des paiements de l'abonnement | Union européenne et hors UE |
| Sendinblue SAS (Brevo) | envoi des communications e-mail de service | Union européenne |
Le Sous-traitant informe le Responsable de toute modification concernant l'ajout ou le remplacement de sous-traitants ultérieurs moyennant un préavis de trente jours, durant lequel le Responsable peut s'y opposer pour des motifs raisonnables et, à défaut d'accord, résilier le contrat sans pénalité.
Le Sous-traitant impose à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles du présent Accord et répond de leurs actes.
Traitement par modèle de langage. Le contenu des messages est transmis au service d'intelligence artificielle du fournisseur d'infrastructure à seule fin de générer la réponse. Les données ne sont pas utilisées pour l'entraînement de modèles et ne sont pas conservées par le fournisseur au-delà du temps nécessaire au traitement.
10. Transferts hors UE¶
Lorsqu'un sous-traitant ultérieur effectue des traitements en dehors de l'Espace économique européen, le transfert repose sur l'un des mécanismes prévus au chapitre V du RGPD, tels qu'une décision d'adéquation de la Commission européenne ou des clauses contractuelles types, assortis des mesures supplémentaires éventuellement nécessaires.
11. Conservation et effacement¶
Les données sont conservées pendant la durée de la relation contractuelle.
Le contenu des conversations est conservé pour la seule durée technique de la session et est effacé automatiquement au terme de celle-ci.
À la fin de la relation, le Sous-traitant procède, au choix du Responsable, à la restitution des données dans un format structuré ou à leur effacement, dans un délai de trente jours à compter de la demande, sauf obligations de conservation prévues par la loi. La suppression du compte entraîne la déconnexion des intégrations et la révocation des autorisations accordées aux services connectés.
Les rendez-vous enregistrés dans l'agenda du Responsable et les contacts présents dans son répertoire restent à la disposition exclusive du Responsable et ne sont pas concernés par l'effacement.
12. Assistance au Responsable¶
Le Sous-traitant assiste le Responsable, compte tenu de la nature du traitement et par des mesures techniques et organisationnelles appropriées, pour :
a) donner suite aux demandes des personnes concernées relatives à l'exercice des droits prévus aux articles 15 à 22 du RGPD ;
b) garantir le respect des obligations de sécurité, de notification des violations et d'analyse d'impact visées aux articles 32 à 36 du RGPD.
Les demandes sont adressées à [email protected] et traitées dans un délai de trente jours.
Si le Sous-traitant reçoit directement une demande d'une personne concernée, il en informe le Responsable sans retard et n'y donne pas suite de manière autonome, sauf instruction contraire.
13. Violations de données à caractère personnel¶
Le Sous-traitant notifie au Responsable toute violation de données à caractère personnel dont il a connaissance sans retard injustifié et en tout état de cause dans les quarante-huit heures, en fournissant les informations nécessaires pour que le Responsable puisse remplir ses propres obligations de notification au titre des articles 33 et 34 du RGPD.
La notification comprend, dans la mesure du possible : la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d'enregistrements en cause, les conséquences probables et les mesures prises ou proposées.
14. Audit¶
Le Sous-traitant met à la disposition du Responsable les informations nécessaires pour démontrer le respect des obligations du présent Accord.
Le Responsable peut demander une vérification, moyennant un préavis de trente jours, au plus une fois par an, sauf en cas de violation avérée. La vérification se déroule de manière à ne pas porter atteinte à la continuité du service et dans le respect de la confidentialité des autres clients du Sous-traitant.
15. Responsabilité et droit applicable¶
Chaque partie répond des dommages résultant du manquement aux obligations que le RGPD lui attribue directement.
Le présent Accord est régi par le droit espagnol. Tout litige relève de la compétence exclusive des Tribunaux de Barcelone, Espagne, en cohérence avec les Conditions d'utilisation.
16. Modifications¶
Le Sous-traitant peut mettre à jour le présent Accord afin de l'adapter à des évolutions réglementaires ou à l'évolution du service, en en informant le Responsable moyennant un préavis de trente jours.
Chaque version est identifiée par un numéro et une date d'entrée en vigueur. Le Responsable qui n'accepte pas la nouvelle version peut résilier le contrat sans pénalité dans le délai de préavis.
Wably — Accord de traitement des données à caractère personnel — Version 1.0
Contact : [email protected] · [email protected]