En cas de divergence, la version italienne fait foi. Lire la version italienne
En bref
- Nous traitons tes données uniquement sur tes instructions et uniquement pour te fournir Graphorum.
- Une instance par client : aucune donnée partagée avec les autres.
- Violations de données : nous te les notifions dans les 48 heures suivant leur découverte.
- Nouveaux sous-traitants ultérieurs : préavis de 30 jours et droit d'opposition.
- À la fin, tu télécharges tout et tu supprimes toi-même ; nous effaçons les copies résiduelles.
Parties et objet
Le présent accord fait partie des conditions d'utilisation et s'applique à chaque Client de Graphorum (« Responsable du traitement »). AM Solutions di Vera Alexandru Nicolae (« Sous-traitant ») traite les données personnelles contenues dans les Données du Client pour le compte du Responsable du traitement, conformément à l'art. 28 du règlement (UE) 2016/679 (RGPD) et au Code italien de la vie privée.
- Responsable du traitement
- AM Solutions di Vera Alexandru Nicolae
- Forme juridique
- Entreprise individuelle
- Siège
- Via Potenza 12, 25125 Brescia (BS)
- Numéro de TVA
- 04419500980
- Code fiscal
- VRELND86B24Z129Y
- [email protected]
Nature, finalité et durée du traitement
- Nature : héberger, conserver, traiter avec l'intelligence artificielle, synchroniser avec les canaux connectés, sauvegarder, exporter et supprimer les Données du Client ; entraîner le modèle du Client ; fournir assistance et maintenance.
- Finalité : uniquement fournir Graphorum au Responsable du traitement, dans les formules PC local ou Cloud, ainsi que les services d'assistance associés.
- Durée : celle du contrat, plus la période accordée pour télécharger et supprimer les données.
Personnes concernées et catégories de données
- Personnes concernées : clients, fournisseurs, collaborateurs, salariés et autres contacts du Responsable du traitement ; les utilisateurs de sa Plateforme ; les personnes qui écrivent au Responsable du traitement sur les canaux connectés.
- Données : données d'identification et de contact ; contenu des e-mails, des chats et des messages sur les réseaux sociaux ; documents et pièces jointes ; données comptables et commerciales ; enregistrements vocaux et transcriptions, si le Responsable du traitement utilise la voix ; journaux d'accès et d'activité.
- Catégories particulières (art. 9 RGPD) et données relatives aux infractions (art. 10) : Graphorum n'est pas conçu pour les traiter. Si le Responsable du traitement les saisit, il en évalue la base juridique et les mesures appropriées et en informe le Sous-traitant.
Instructions du Responsable du traitement
Le Sous-traitant ne traite les données que sur instruction documentée du Responsable du traitement. Constituent des instructions le contrat, le présent accord, les paramètres que le Responsable du traitement choisit dans la Plateforme (par exemple quels canaux connecter, quels services d'IA externes activer, quelle autonomie donner aux agents) et les demandes d'assistance écrites. Si une instruction lui semble contraire à la loi, le Sous-traitant le signale immédiatement.
Obligations du Sous-traitant
- Garantir que les personnes autorisées à traiter les données sont tenues à la confidentialité et formées.
- Adopter les mesures de sécurité de l'art. 32 RGPD décrites ci-dessous et les tenir à jour.
- Ne pas utiliser les Données du Client à ses propres fins, notamment pour entraîner des modèles d'intelligence artificielle autres que le modèle du Responsable du traitement, ni pour d'autres clients ni pour des tiers.
- Aider le Responsable du traitement à répondre aux demandes des personnes concernées (art. 15 à 22), avec les fonctions de la Plateforme (recherche, export, « Oublier », suppression) et, si nécessaire, avec l'assistance.
- Aider le Responsable du traitement à respecter les obligations des art. 32 à 36 : sécurité, notification des violations, analyse d'impact, consultation préalable.
- Notifier au Responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais et en tout état de cause dans les 48 heures suivant sa découverte, avec les informations disponibles, afin que le Responsable du traitement puisse respecter le délai de 72 heures vis-à-vis de l'autorité de contrôle (art. 33).
- Tenir le registre des activités de traitement effectuées pour le compte des responsables du traitement (art. 30, par. 2).
- Mettre à disposition les informations nécessaires pour démontrer le respect du présent accord.
Sous-traitants ultérieurs
Le Responsable du traitement autorise de manière générale le Sous-traitant à recourir aux sous-traitants ultérieurs énumérés ci-dessous. Le Sous-traitant impose à chacun les mêmes obligations de protection que le présent accord et en répond envers le Responsable du traitement. Avant d'ajouter ou de remplacer un sous-traitant ultérieur, le Sous-traitant en informe le Responsable du traitement avec un préavis de 30 jours ; le Responsable du traitement peut s'y opposer pour des motifs raisonnables et, si aucune solution n'est trouvée, résilier sans frais.
| Sous-traitant ultérieur | Ce qu'il fait | Où | Garanties | Quand |
|---|---|---|---|---|
| Hetzner Online GmbHAllemagne (UE) | Serveurs de la formule cloud : calcul, stockage et sauvegarde des instances des clients | Centres de données en Allemagne et en Finlande (UE) | Traitement dans l'UE | Formule cloud |
| Cloudflare, Inc.États-Unis | Réseau et sécurité : DNS, protection du site et tunnel chiffré vers le PC local ou l'instance cloud | Réseau mondial, avec des points de présence dans l'UE | EU-U.S. Data Privacy Framework et clauses contractuelles types (décision UE 2021/914) | Les deux formules |
| Stripe Payments Europe, Ltd.Irlande (UE) | Paiements par carte et prélèvement SEPA, gestion des abonnements | UE ; transferts vers Stripe, Inc. (États-Unis) | EU-U.S. Data Privacy Framework et clauses contractuelles types | Paiements |
| Intermédiaire de facturation électronique (par défaut : Fatture in Cloud, groupe TeamSystem)Italie | Émission et envoi des factures électroniques au Système d'échange (SdI) et archivage conforme | Italie | Traitement dans l'UE | Facturation |
| Meta Platforms Ireland Ltd.Irlande (UE) | WhatsApp Business, Facebook et Instagram, uniquement si le client connecte ces canaux | UE ; transferts vers Meta Platforms, Inc. (États-Unis) | EU-U.S. Data Privacy Framework et clauses contractuelles types | Uniquement si le client connecte les canaux |
| Fournisseurs de modèles d'IA externes choisis pour le client (par ex. Anthropic, OpenAI, Google, Mistral AI)UE ou États-Unis, selon le fournisseur | Traitement de requêtes individuelles lorsqu'un service d'IA externe est activé ; jamais pour entraîner leurs modèles | Indiqué dans la console pour chaque fournisseur actif | Décision d'adéquation, EU-U.S. Data Privacy Framework ou clauses contractuelles types ; contrats excluant l'entraînement sur les données | Uniquement s'ils sont activés |
| Fournisseur d'e-mails transactionnels (à définir, par ex. Brevo ou Postmark)À définir | Envoi de factures, d'avis, de relances et de réponses aux tickets | À définir | À définir avant l'activation | Communications de service |
Avec la formule PC local, les Données du Client restent sur le PC du Responsable du traitement : Hetzner n'intervient pas et Cloudflare ne transporte que le trafic chiffré du tunnel. Pour les paiements et les factures (Stripe et intermédiaire SdI), AM Solutions agit en tant que responsable du traitement des données de facturation du Client : nous les indiquons ici par souci d'exhaustivité.
Transferts hors de l'Union européenne
Les serveurs de la formule cloud se trouvent dans l'Union européenne. Si un sous-traitant ultérieur traite des données hors de l'Espace économique européen, le transfert n'a lieu qu'avec les garanties du chapitre V du RGPD : décision d'adéquation (y compris l'EU-U.S. Data Privacy Framework pour les fournisseurs certifiés) ou clauses contractuelles types (décision (UE) 2021/914), avec les mesures supplémentaires nécessaires.
Mesures techniques et organisationnelles
| Domaine | Mesures |
|---|---|
| Isolation | Une instance par client, avec base de données, cerveau, fichiers et modèle séparés ; aucun composant partagé contenant des Données du Client. |
| Chiffrement | Accès depuis l'extérieur du bureau uniquement en HTTPS dans le tunnel chiffré ; sauvegardes chiffrées en AES-256-GCM avec une clé dérivée du mot de passe (scrypt) ; identifiants et clés API chiffrés au repos dans le coffre-fort de la plateforme. |
| Accès | Nom d'utilisateur et mot de passe personnels, enregistrés uniquement sous forme d'empreinte (scrypt salé) ; validation en deux étapes avec une application Authenticator (TOTP) ou par e-mail ; blocage de 15 minutes après trop de tentatives ; session dans un cookie HttpOnly et SameSite=Strict ; autorisations par personne et par agent ; clés API affichées une seule fois. |
| Assistance | Accès du Sous-traitant uniquement via une connexion signée et limitée dans le temps, inscrite dans le registre de l'instance et visible par le Responsable du traitement. |
| Traçabilité | Registre des opérations des utilisateurs, des agents et des clés API, filtrable et exportable en CSV par le Responsable du traitement. |
| Messages entrants | Tri qui reconnaît le spam, les arnaques et l'hameçonnage ; le contenu des messages reçus ne peut pas modifier les règles et les autorisations du Responsable du traitement. |
| Réseau | Formule PC local : tunnel Cloudflare sortant, aucun port ouvert sur le routeur ; formule cloud : instances derrière un tunnel, sans service exposé directement. |
| Continuité | Sauvegardes régulières et vérifiées ; procédure de restauration sur un nouveau PC ou une nouvelle instance. |
| Services d'IA externes | Désactivés par défaut ; activés uniquement par choix, pour des tâches individuelles ; les clés des fournisseurs restent sur le serveur d'AM Solutions et ne sont jamais envoyées aux instances ; contrats excluant l'utilisation des données pour entraîner les modèles du fournisseur. |
| Développement et mises à jour | Mises à jour testées avant publication ; vérification automatique toutes les 5 minutes avec alerte ; correctifs de sécurité publiés en priorité. |
| Personnes | Accès aux données réservé à ceux qui en ont besoin ; engagement de confidentialité ; formation à la protection des données et à la sécurité. |
| Formule PC local | Données sur le PC du Responsable du traitement, accessible de l'extérieur uniquement par le tunnel chiffré sans port ouvert ; la garde physique du PC incombe au Responsable du traitement. |
Vérifications
Le Responsable du traitement peut vérifier le respect du présent accord en demandant des informations et des documents ou, avec un préavis d'au moins 30 jours, par une inspection menée par lui-même ou par un auditeur tenu à la confidentialité, pendant les heures de travail et sans compromettre la sécurité des autres clients. Les frais de l'inspection sont à la charge du Responsable du traitement, sauf si des manquements du Sous-traitant sont constatés.
Fin du traitement
À la fin du contrat, le Responsable du traitement télécharge toutes les Données du Client, y compris son modèle, et les supprime lui-même avec les fonctions de la Plateforme, en recevant une attestation de suppression. Le Sous-traitant efface les copies résiduelles (sauvegardes comprises) dans les 30 jours suivant la fin de la période de téléchargement, sauf si la loi impose leur conservation.
Responsabilité et primauté
Chaque partie est responsable conformément à l'art. 82 RGPD. En cas de contradiction entre le présent accord et les autres documents contractuels, le présent accord prévaut pour la protection des données.
Version 1.0 du 9 octobre 2026 · AM Solutions di Vera Alexandru Nicolae. Les versions précédentes peuvent être demandées par e-mail.