DPA Parlyo — accord RGPD article 28

Cet accord (« DPA ») fait partie intégrante des Conditions générales. Il s'applique automatiquement, sans signature séparée, à tout client dès l'ouverture d'un compte. Sur demande à [email protected], une version signée (PDF) peut être établie pour vos dossiers fournisseurs. Pour les clients établis au Maroc, les mêmes engagements s'appliquent au titre de la loi n° 09-08 (CNDP).

1. Parties et rôles

Sous-traitant : ANATOMY of AI — Majd Hakim, entrepreneur individuel, SIREN 521 179 150, 16 rue Pierre Mendès France, 77200 Torcy, France (« Parlyo »).
Responsable de traitement : le client titulaire du compte (le « Client »).

Pour les données des visiteurs du site du Client traitées via l'agent (conversations, demandes de contact), le Client est responsable de traitement et Parlyo agit exclusivement en qualité de sous-traitant, sur instruction documentée du Client. Pour les données du compte du Client lui-même (identifiants, facturation), Parlyo est responsable de traitement — voir la politique de confidentialité.

2. Objet, nature et finalité du traitement

Objet	Fourniture de l'agent conversationnel (chat + voix), capture de demandes de contact, statistiques d'usage.
Nature	Collecte, enregistrement, consultation, transmission aux moteurs IA pour génération de réponse, effacement.
Personnes concernées	Visiteurs et utilisateurs du ou des sites/applications du Client.
Catégories de données	Contenu des conversations (texte ; audio traité en flux, non conservé ; transcriptions), coordonnées volontairement fournies (nom, e-mail, téléphone), métadonnées techniques minimales (langue, horodatage, IP tronquée).
Données sensibles	Aucune par conception. Le Client s'engage à ne pas solliciter de données sensibles via l'agent.
Durée	Durée du contrat ; suppression par le Client à tout moment (dashboard) et purge à la clôture du compte (§8).

3. Obligations de Parlyo (sous-traitant)

Traiter les données uniquement sur instruction documentée du Client (l'utilisation du service constitue l'instruction), y compris en matière de transferts.
Garantir la confidentialité : les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité.
Mettre en œuvre les mesures techniques et organisationnelles de l'annexe A (art. 32 RGPD).
Respecter les conditions des §4 (sous-traitants ultérieurs).
Assister le Client, compte tenu de la nature du traitement, pour donner suite aux demandes d'exercice des droits des personnes (accès, rectification, effacement, opposition, portabilité, limitation).
Aider le Client à garantir le respect des obligations de sécurité, de notification de violation et d'analyse d'impact.
Notifier le Client sans retard indu (objectif : sous 48 h) après avoir eu connaissance d'une violation de données le concernant, avec les informations utiles à sa propre notification.
Supprimer ou restituer toutes les données à la fin du contrat (§8).
Mettre à disposition les informations nécessaires pour démontrer la conformité, et permettre des audits raisonnables (§7).
Ne jamais utiliser les données du Client ou de ses visiteurs pour entraîner des modèles d'IA, ni les vendre, louer ou exploiter à des fins publicitaires.

4. Sous-traitants ultérieurs

Le Client autorise de manière générale le recours aux sous-traitants ultérieurs listés ci-dessous. Parlyo informera le Client (e-mail ou page publique) de tout changement au moins 15 jours avant, le Client pouvant s'y opposer pour motif légitime.

Sous-traitant	Rôle	Localisation / garanties
Contabo GmbH	Hébergement (VPS)	Allemagne — UE
Google Cloud (API Gemini)	Moteur IA (génération des réponses texte/voix)	UE/É-U. — clauses contractuelles types + engagements API : données non utilisées pour l'entraînement
Cloudflare	Proxy/CDN (transit uniquement)	Mondial — clauses contractuelles types
Stripe (ou CMI au Maroc)	Paiement carte (PCI-DSS) — données de facturation du Client uniquement	UE / Maroc
Prestataire SMTP	E-mails transactionnels	UE

5. Transferts hors UE

Les données sont hébergées en Allemagne (UE). Lorsqu'un sous-traitant ultérieur implique un transfert hors UE (moteur IA, proxy), celui-ci est encadré par des clauses contractuelles types (art. 46 RGPD) et des mesures complémentaires (chiffrement en transit, minimisation, IP tronquées).

6. Sécurité (annexe A)

Chiffrement TLS de tous les échanges ; cookies HttpOnly, sessions signées HMAC, jeton CSRF.
Mots de passe hachés PBKDF2-HMAC-SHA256 (200 000 itérations, sel par compte).
Cloisonnement par client (tenant) ; clés publiques liées aux domaines déclarés du Client.
Adresses IP systématiquement tronquées avant tout enregistrement ; pas de profilage.
Limitation de débit, quotas, journalisation technique minimale.
Accès serveur restreint au strict nécessaire ; sauvegardes chiffrées.

7. Audit

Sur demande écrite raisonnable (max. 1 fois/an, préavis 30 jours, heures ouvrées, sans accès aux données d'autres clients), Parlyo fournit la documentation de conformité et répond par écrit aux questionnaires de sécurité du Client ou de son DPO.

8. Fin du contrat

À la clôture du compte : suppression immédiate des données du Client et de ses visiteurs (conversations, contacts, base de connaissances, documents). Seules les factures sont conservées 10 ans (obligation légale). Le Client peut exporter ses données (conversations, contacts) depuis le dashboard avant clôture.

9. Responsabilité et hiérarchie

La responsabilité de chaque partie est régie par les CGV. En cas de contradiction entre le présent DPA et les CGV sur la protection des données, le DPA prévaut.

Version 1.0 — 23/07/2026. Les versions antérieures sont disponibles sur demande.