L'accord de traitement des données

Mentions légales

Dernière mise à jour : août 2026

Avant l'activation, chaque boutique reçoit et signe l'accord de traitement des données (DPA). Cette page en restitue le contenu sous une forme lisible : les rôles, les garanties et les délais que le texte contractuel fixe de manière contraignante.

Les rôles, en quatre lignes

01La boutique

Responsable du traitement

02L'agence, lorsqu'elle revend le service

Sous-traitant

03Kartio

Sous-traitant ou sous-traitant ultérieur (art. 28.4 RGPD)

04Les fournisseurs de Kartio

Sous-traitants ultérieurs, listés dans le registre remis à la signature

Kartio ne contacte jamais les visiteurs ni les clients de la boutique : les instructions et les communications opérationnelles passent par le canal commercial.

Uniquement sur instruction documentée

Nous traitons les données personnelles uniquement pour fournir le service et uniquement sur instruction documentée : l'accord, la configuration définie dans les panneaux et les demandes écrites acceptées. Si une instruction nous semble contraire au RGPD, nous la signalons avant de l'exécuter, au lieu de l'exécuter en silence.

Exclusion de l'entraînement

Nous n'entraînons pas de modèles propres sur les contenus des clients. Nous exigeons des fournisseurs d'intelligence artificielle des configurations qui excluent l'utilisation des données à des fins d'entraînement ou d'amélioration généralisée : l'état de cette exclusion, fournisseur par fournisseur, est documenté dans le registre remis avant la signature. Les analyses de qualité restent circonscrites à la boutique concernée : un usage transversal exigerait une nouvelle instruction documentée et des données agrégées ou anonymes.

Sous-traitants ultérieurs avec préavis

La liste des sous-traitants ultérieurs fait partie du registre remis avant la signature. Tout ajout ou remplacement est communiqué avec un préavis d'au moins trente jours ; vous pouvez vous y opposer pour des motifs documentés dans les quinze jours et, si aucune alternative n'est trouvée, résilier le service concerné sans pénalités. Chaque sous-traitant ultérieur est tenu par contrat à des obligations au moins aussi exigeantes que les nôtres.

Les fournisseurs, catégorie par catégorie

Droits des personnes concernées

Nous aidons le canal commercial à donner suite aux demandes d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition : les données sont séparées boutique par boutique et techniquement recherchables. Si une personne concernée nous écrit directement, nous ne répondons pas sur le fond : nous transmettons la demande sans retard injustifié.

Violations de données personnelles

Toute violation dont nous avons connaissance est notifiée sans retard injustifié et en tout état de cause dans les 48 heures, avec la nature, les catégories et le nombre approximatif de personnes concernées, les conséquences probables et les mesures prises. La notification à l'autorité de contrôle et aux personnes concernées reste de la compétence du responsable du traitement.

Conservation mesurée

Les durées de conservation sont des paramètres du produit, pas des estimations commerciales : messages et transcriptions 90 jours, contacts de relance 365 jours, attribution des commandes 730 jours, sauvegardes chiffrées 30 jours. La suppression programmée s'exécute chaque jour et le tableau complet est public.

Le tableau des durées de conservation, donnée par donnée

Suppression et restitution en fin de relation

À la cessation, sur instruction documentée, les données personnelles sont restituées dans un format exploitable ou supprimées des systèmes primaires dans les trente jours ; les copies dans les sauvegardes chiffrées disparaissent avec la rotation, dans un délai maximal de trente jours. L'exécution est confirmée par écrit sur demande.

Transferts hors de l'Union européenne

Nous ne présentons pas le service comme intégralement européen par principe : la localisation effective de chaque traitement est documentée dans le registre. Un transfert vers des pays tiers n'a lieu qu'avec une garantie des articles 44 à 49 du RGPD, en règle générale les clauses contractuelles types, et après évaluation du transfert. La voix en temps réel suit une fiche d'activation dédiée : sans région éprouvée, durée de conservation du fournisseur et autorisation documentée, elle n'est pas activée sur des données de clients réels.

Transparence sur l'intelligence artificielle

L'assistant se déclare comme intelligence artificielle dans son message d'accueil, reste marqué dans l'interface et sous une forme lisible par les machines, conformément à l'article 50 de l'AI Act. Aucune identification biométrique, aucune reconnaissance des émotions, aucun clonage vocal. Kartio n'est pas un produit certifié et ne le prétend pas.

Le détail des contrôles

Audits

Nous mettons à disposition la documentation technique et organisationnelle nécessaire pour démontrer le respect de l'article 28 du RGPD. Un audit par an est possible avec un préavis de trente jours, selon des modalités proportionnées au risque et sans préjudice pour les autres boutiques.

Ce qui n'entre pas dans le service

Les catégories particulières de données (art. 9 RGPD) et les données judiciaires (art. 10) ne sont ni demandées ni sollicitées : si un visiteur les communique spontanément, elles suivent la durée de conservation applicable et peuvent être supprimées sur instruction. Le service n'est pas conçu pour s'adresser à des mineurs.

Le texte contractuel complet, avec le registre des fournisseurs et les fiches d'activation, est remis avant la signature. Pour le recevoir, écrivez à info@kartio.ai.