Accord de traitement des données (DPA) conformément à l’art. 28 du RGPD
Dernière mise à jour : 27 octobre 2026
En utilisant les services de weblens GmbH, le Client reconnaît et accepte le présent DPA comme contraignant.

1. Parties à l’accord

Responsable du traitement :
Le Client (en particulier l’exploitant du site web ou des services en ligne dans lesquels la solution commandée est déployée)

Sous-traitant :
weblens GmbH
Birkenstraße 23, 40233 Düsseldorf, Allemagne
Registre du commerce : HRB 104423 (tribunal d’instance de Düsseldorf)
Gérants : Paul Tiedtke, Florian Piltz

2. Objet du traitement

Le Sous-traitant fournit au Responsable du traitement des services visant à mettre à disposition une solution de dialogue et de conseil basée sur l’IA destinée à assister les utilisateurs de sites web ou de plateformes, notamment dans les domaines suivants :

• Recherche d’informations

• Recommandations de produits

• Aide à la prise de décision

• Interaction avec les clients (conseil, navigation, génération de prospects)

Les catégories de données à caractère personnel et de personnes concernées sont détaillées en Annexe 1.

3. Durée

Le présent DPA reste en vigueur pendant toute la durée de la relation contractuelle entre les Parties.

4. Droits et obligations

Responsable du traitement :

• Veille au respect du RGPD.

• Donne des instructions documentées au Sous-traitant.

Sous-traitant :

• Traite les données à caractère personnel uniquement sur instruction documentée du Responsable du traitement.

• Met en œuvre des mesures techniques et organisationnelles appropriées conformément à l’art. 32 du RGPD.

• Aide le Responsable du traitement à garantir le respect des droits des personnes concernées.

• Aide le responsable du traitement à respecter ses obligations au titre des art. 32 à 36 du RGPD (sécurité, notification des violations, analyse d’impact, consultation préalable).

• Notifie le responsable du traitement dans les meilleurs délais après avoir pris connaissance d’une violation de données à caractère personnel (art. 33, paragraphe 2 du RGPD).

• Informe immédiatement le responsable du traitement si, selon lui, une instruction constitue une violation de la réglementation sur la protection des données.

5. Sous-traitants ultérieurs

Sous-traitant ultérieur

Service fourni

Localisation

Transfert de données vers un pays tiers

Garanties

OpenAI Ireland Ltd.

API de traitement du langage

Irlande / USA

Oui

CCT, DPA

Cloudflare Inc.

CDN, DNS, TLS, protection DDoS, hébergement

USA

Oui

CCT, DPA

Neon Inc.

Hébergement PostgreSQL

USA

Oui

CCT, DPA

Clerk Inc.

Authentification

USA

Oui

CCT, DPA

Sentry Inc.

Journalisation, surveillance

USA

Oui

CCT, DPA

Le responsable du traitement donne une autorisation écrite générale pour le recours à des sous-traitants ultérieurs (art. 28, paragraphe 2 du RGPD). Le sous-traitant informe préalablement le responsable de tout ajout ou remplacement envisagé ; le responsable peut s’y opposer pour des motifs justifiés liés à la protection des données dans un délai de 14 jours.

Lorsqu’un sous-traitant ultérieur est certifié au titre du cadre de protection des données UE-États-Unis, les transferts vers les États-Unis sont en outre couverts par la décision d’adéquation de la Commission européenne du 10 juillet 2023 (art. 45 du RGPD).

6. Mesures techniques et organisationnelles

Voir Annexe 2.

7. Suppression des données

Les données sont supprimées à la fin du contrat ou sur instruction du Responsable du traitement, sauf si des obligations légales de conservation s’appliquent.

8. Droits d’audit

Le Responsable du traitement peut vérifier le respect du présent DPA. Le Sous-traitant fournit toutes les informations raisonnablement nécessaires à ces audits.

9. Confidentialité

Toutes les personnes autorisées à traiter des données à caractère personnel pour le compte du Sous-traitant sont soumises à des obligations de confidentialité.

10. Dispositions finales

Le droit allemand est applicable. Toute modification doit être effectuée par écrit. La poursuite de l’utilisation des services après notification des modifications vaut acceptation de celles-ci.

Annexe 1 – Description du traitement

Personnes concernées : Visiteurs de sites web, clients
Catégories de données à caractère personnel : Saisies de texte, historiques de chat, adresses IP (le cas échéant), informations sur le navigateur
Activités de traitement : Analyse, génération de réponses, stockage temporaire à des fins d’amélioration de la qualité
Durée de conservation : Uniquement aussi longtemps que nécessaire ; suppression sur instruction ou conformément aux exigences légales

Annexe 2 – Mesures techniques et organisationnelles (TOM)

• Contrôle de l’accès physique : Traitement exclusivement dans des centres de données certifiés

• Contrôle de l’accès aux systèmes : Identifiants de connexion individuels par utilisateur, authentification sécurisée

• Contrôle de l’accès aux données : Accès basé sur les rôles, limité au personnel autorisé

• Contrôle des transferts de données : Transmission chiffrée, engagement contractuel des sous-traitants ultérieurs

• Contrôle de la saisie : Journalisation des accès administratifs

• Contrôle du traitement : Traitement uniquement conformément aux dispositions contractuelles

• Contrôle de la séparation : Séparation logique des locataires (tenants)

• Contrôle de l’effacement : Suppression manuelle ou automatisée une fois la finalité atteinte

• Contrôle de la disponibilité : Redondance, sauvegardes

• Protection des données dès la conception : Minimisation des données, transparence

• Confidentialité : Formation du personnel et engagements de confidentialité

• Documentation : Documentation des TOM au titre du principe de responsabilité