Accord de sous-traitance

Article 1 — Objet et qualification des parties

Le présent accord définit les conditions dans lesquelles le Prestataire traite, pour le compte du Client, les données à caractère personnel nécessaires à l'exécution du service HostMind AI.

Le Client agit en qualité de responsable de traitement. Le Prestataire agit en qualité de sous-traitant au sens de l'article 28 du Règlement (UE) 2016/679.

Article 2 — Description du traitement

Nature du traitement : collecte, enregistrement, conservation, consultation et suppression des messages échangés entre les clients du Client et l'assistant conversationnel, ainsi que la réception et la transmission à l'Hôtel des demandes de réservation formulées par les clients via le concierge, lorsque l'Hôtel a activé cette fonction.

Finalité : fourniture d'un service d'assistance conversationnelle aux clients de l'établissement.

Durée : le traitement est réalisé pendant toute la durée de l'abonnement, augmentée des durées de conservation prévues à l'article 9.

Catégories de personnes concernées : les clients et visiteurs de l'établissement du Client qui utilisent l'assistant.

Catégories de données : contenu des messages, identifiant technique de conversation, horodatage, adresse IP de connexion ; pour les demandes de réservation : nom, numéro de chambre, date et heure souhaitées, nombre de personnes, commentaire libre, langue.

Le service n'est pas conçu pour traiter des données relevant de l'article 9 du Règlement. Le Prestataire n'en sollicite aucune. Le Client informe ses clients de ne pas en communiquer par l'intermédiaire de l'assistant.

Article 3 — Instructions documentées

Le Prestataire ne traite les données que sur instruction documentée du Client. Les présentes conditions, ainsi que les paramètres choisis par le Client dans son espace d'administration, notamment la durée de conservation des conversations, constituent ces instructions.

Le Prestataire informe le Client s'il estime qu'une instruction constitue une violation du Règlement.

Article 4 — Confidentialité

Le Prestataire veille à ce que les personnes autorisées à traiter les données s'engagent à en respecter la confidentialité, ou soient soumises à une obligation légale appropriée de confidentialité.

Article 5 — Sécurité

Le Prestataire met en œuvre les mesures techniques et organisationnelles appropriées, notamment :

- hébergement au sein de l'Union européenne - chiffrement des communications en transit - cloisonnement des données de chaque établissement au niveau de la base de données - restriction des accès aux données de production aux seules personnes qui en ont besoin - limitation du débit et contrôle de la taille des requêtes afin de prévenir les usages abusifs - suppression automatique des conversations à l'expiration de la durée de conservation

Article 6 — Sous-traitance ultérieure

Le Client autorise le Prestataire à recourir aux sous-traitants ultérieurs suivants :

- Lovable Labs AB (Suède) — hébergement applicatif et base de données, infrastructure située en Irlande - Google, via la passerelle d'intelligence artificielle de Lovable — génération des réponses. - Prestataires d'envoi de courriers électroniques : Supabase (SUPABASE PTE. LTD., Singapour) — envoi des courriers d'authentification adressés aux établissements clients (confirmation d'inscription, réinitialisation de mot de passe). Lovable Labs AB (Suède) — envoi des courriers internes de synthèse et des notifications de demandes de réservation adressées aux établissements, déjà cité ci-dessus au titre de l'hébergement Le Prestataire informe le Client de tout changement envisagé concernant l'ajout ou le remplacement d'un sous-traitant ultérieur, au moins trente (30) jours avant sa mise en œuvre. Le Client dispose de ce délai pour formuler des objections ; à défaut d'accord, il peut résilier son abonnement sans pénalité.

Le Prestataire demeure pleinement responsable de l'exécution par ses sous-traitants ultérieurs de leurs obligations.

Article 7 — Transferts hors de l'Union européenne

Les données sont hébergées au sein de l'Union européenne.

Les messages transmis au fournisseur de modèle d'intelligence artificielle sont susceptibles d'être traités hors de l'Union européenne. De tels transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne.

Article 8 — Assistance au Client

Le Prestataire assiste le Client, dans la mesure du possible et compte tenu de la nature du traitement :

- pour répondre aux demandes d'exercice de droits des personnes concernées ; l'espace d'administration permet au Client de consulter et de supprimer directement les conversations le concernant - pour la réalisation d'analyses d'impact relatives à la protection des données, lorsqu'elles sont requises - pour la mise en œuvre des mesures de sécurité et la notification des violations Le Prestataire notifie au Client toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance, et au plus tard dans les quarante-huit (48) heures, en lui communiquant les éléments nécessaires à l'accomplissement de ses propres obligations.

Article 9 — Sort des données au terme du contrat

Au terme de l'abonnement, le Prestataire supprime l'ensemble des données traitées pour le compte du Client dans un délai de trente (30) jours, sauf demande d'export formulée avant la date d'effet de la résiliation et sauf obligation légale de conservation.

Article 10 — Audit

Le Prestataire met à disposition du Client toute information nécessaire pour démontrer le respect de ses obligations et permet la réalisation d'audits, dans la limite d'un audit par année civile, sous réserve d'un préavis raisonnable et dans des conditions préservant la confidentialité de ses autres clients.

Article 11 — Registre

Le Prestataire tient un registre des catégories d'activités de traitement effectuées pour le compte du Client.

Article 12 — Signature

Le présent accord est accepté par le Client lors de la souscription, en même temps que les conditions générales dont il constitue une annexe indissociable.