Accord de traitement des données (DPA)

Cet accord de sous-traitance, conforme à l'article 28 du règlement (UE) 2016/679 (RGPD), fait partie intégrante des conditions générales de vente. Il est accepté au nom de son entreprise par l'administrateur de l'espace de travail lors de sa première connexion, par une case d'acceptation horodatée, sans signature séparée. Une version signée peut être établie sur demande à hello@neoagentia.com.

1. Parties et rôles

• Sous-traitant : Majd Hakim, entrepreneur individuel (EI), exerçant sous le nom commercial ANATOMY of AI — SIREN 521 179 150 — 16 rue Pierre Mendès France, 77200 Torcy, France (« NéoAgentIA »).
• Responsable du traitement : le client titulaire de l'abonnement (« le Client »).

Pour les données personnelles que le Client traite dans son espace de travail au moyen des agents, le Client est responsable du traitement et NéoAgentIA agit exclusivement comme sous-traitant, sur ses instructions documentées. Pour les données du compte du Client lui-même (identifiants, facturation, support), NéoAgentIA est responsable du traitement : voir la politique de confidentialité.

2. Objet, durée, nature et finalité du traitement

• Objet : fourniture d'un espace de travail d'agents d'intelligence artificielle (prospection, contenu, e-mails, comptabilité, propositions commerciales, recrutement, analyse de réunions, vidéos produit, accueil téléphonique, mémoire de l'entreprise).
• Nature : collecte, enregistrement, organisation, consultation, transmission aux modèles d'IA pour générer les réponses et livrables, envoi ou publication à la demande du Client, effacement.
• Finalité : exécuter les tâches que le Client confie aux agents.
• Durée : la durée de l'abonnement, puis jusqu'à la suppression des données prévue à l'article 9.

3. Catégories de données et de personnes concernées

• Personnes concernées : utilisateurs de l'espace (dirigeant et équipe du Client) ; prospects, clients, fournisseurs et correspondants du Client ; candidats à ses recrutements ; participants à ses réunions ; personnes qui appellent son numéro.
• Données : identité et coordonnées professionnelles ; contenu des conversations avec les agents, documents et fichiers déposés ; e-mails et pièces jointes si la messagerie est connectée ; informations de prospection (le plus souvent issues de sources publiques d'entreprises) ; données comptables (factures, clients, paiements) ; candidatures et CV ; comptes rendus et transcriptions de réunions ; rendez-vous ; contenus publiés.
• Appels téléphoniques (option téléphone) : enregistrement audio, transcription, numéro appelant lorsqu'il est transmis, numéro appelé, date et durée. L'appelant est informé, avant de parler, qu'il s'adresse à un assistant automatique, que l'appel est enregistré et transcrit et que le numéro ne traite pas les urgences ; le Client ne peut pas supprimer cette annonce. L'audio est effacé au bout de 30 jours, y compris lorsque l'espace est fermé ; la transcription et le journal de l'appel au bout de 12 mois au plus tard, et dans tous les cas avec l'espace.
• Données sensibles : aucune par conception. Le Client s'engage à ne pas en confier aux agents sans base légale et sans nécessité, et à ne jamais y saisir de données de santé hors d'une édition expressément hébergée chez un hébergeur certifié pour les données de santé (conditions générales, article 9 bis). L'agent téléphonique a pour consigne de ne jamais en demander et de ne pas reprendre celles qu'un appelant donnerait spontanément.

4. Obligations de NéoAgentIA

NéoAgentIA s'engage à :

• traiter les données uniquement sur instruction documentée du Client — l'utilisation du service et ses réglages valent instruction —, y compris pour les transferts hors de l'Union européenne ;
• garantir que les personnes autorisées à traiter les données sont tenues à la confidentialité ;
• mettre en œuvre les mesures de sécurité de l'article 7 (article 32 du RGPD) ;
• ne recourir à des sous-traitants ultérieurs que dans les conditions de l'article 5 ;
• aider le Client, compte tenu de la nature du traitement, à répondre aux demandes d'exercice des droits des personnes et à respecter ses obligations de sécurité, de notification de violation et d'analyse d'impact ;
• restituer les données au Client à tout moment pendant l'abonnement, et les supprimer à la fin du contrat ou à sa demande (article 9) ;
• mettre à la disposition du Client les informations nécessaires pour démontrer le respect de ces obligations (article 8) ;
• ne jamais utiliser les données du Client pour entraîner des modèles d'intelligence artificielle, ni les vendre, les louer ou les exploiter à des fins publicitaires ;
• informer le Client si une instruction lui paraît contraire à la réglementation.

5. Sous-traitants ultérieurs

Le Client autorise de manière générale le recours aux sous-traitants ultérieurs suivants :

• Contabo GmbH (Munich, Allemagne) — hébergement ; serveurs situés en France (Lauterbourg).
• Anthropic, PBC (États-Unis) — modèles d'IA Claude : génération des réponses et livrables des agents (dont les scénarios des vidéos animées de l'agent Léa).
• Google LLC — API Gemini (États-Unis) — voix en temps réel (espace de travail et téléphone), génération d'images et des vidéos produit de l'agent Emma (modèle Gemini Omni Flash ; l'échange est supprimé chez Google dès que la vidéo est copiée sur nos serveurs), synthèse vocale (voix des agents et voix des vidéos animées de l'agent Léa, avec une écoute de contrôle qui retranscrit l'audio produit pour vérifier le texte), recherche web des agents et, seulement si le Client l'active dans son espace (option désactivée par défaut), transcription rapide des enregistrements de réunion de l'agent Jules ; notifications et vérification d'intégrité de l'application mobile (Firebase Cloud Messaging, Play Integrity) lorsqu'elle sera proposée. Pour la voix dans l'espace de travail, le navigateur de l'utilisateur se connecte directement à Google avec un jeton temporaire ; l'audio n'est pas conservé par NéoAgentIA.
• LiveKit, Inc. — acheminement audio des appels, en région Francfort (Allemagne) (option téléphone).
• Zadarma (IP Telecom Bulgaria, Bulgarie) — numéros et acheminement des appels (option téléphone).
• Hostinger International Limited (Chypre) — envoi des e-mails du service (comptes rendus d'appels, notifications).
• Backblaze, Inc. (États-Unis) — sauvegardes de nos serveurs (données du Client comprises), chiffrées avant envoi, chaque nuit, région Union européenne (Amsterdam, « eu-central »).
• Google LLC — Google Drive (États-Unis) — copie de secours des exports de bases de données, chiffrée avant envoi (Google n'a pas accès à leur contenu), supprimée au bout de 29 jours ; localisation dans l'Union européenne non garantie par Google.

Les services que le Client connecte lui-même ou pour lesquels il renseigne sa propre clé (Google : Gmail, Drive, YouTube ; LinkedIn ; Apify ; autres fournisseurs de modèles d'IA) ne sont pas des sous-traitants ultérieurs de NéoAgentIA : ils agissent dans le cadre du contrat que le Client a conclu avec eux, et NéoAgentIA ne fait qu'exécuter les échanges que le Client a autorisés.

Ne sont pas non plus des sous-traitants ultérieurs : les traitements faits sur les serveurs de NéoAgentIA en France (transcription des enregistrements de réunion et des vidéos publiques de la veille, robot de réunion, recherche dans les documents de l'espace, montage des vidéos animées) et le téléchargement de ressources publiques sans aucune donnée personnelle (logos et icônes d'outils : jsDelivr, Simple Icons, Clearbit, Google ; polices d'écriture : Google Fonts ; vignettes et vidéos de publications Instagram publiques : serveurs d'images et de vidéos de Meta).

NéoAgentIA informe le Client par e-mail de tout ajout ou remplacement d'un sous-traitant ultérieur au moins 15 jours à l'avance. Le Client peut s'y opposer pour un motif légitime ; à défaut d'accord, il peut résilier son abonnement sans frais avant le changement. NéoAgentIA impose à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles du présent accord.

6. Transferts hors de l'Union européenne

Les données sont hébergées en France. Lorsqu'un sous-traitant ultérieur est établi hors de l'Union européenne (Anthropic, Google, LiveKit, Backblaze), le transfert est limité aux données nécessaires à la tâche, chiffré en transit et encadré par les clauses contractuelles types de la Commission européenne (article 46 du RGPD) ou par la certification du sous-traitant au cadre de protection des données UE–États-Unis.

7. Mesures de sécurité

• Chiffrement de tous les échanges (HTTPS).
• Un espace de travail par client, isolé : dossier, processus, clés de chiffrement et de session propres ; aucune donnée d'un client n'est servie à un autre.
• Mots de passe hachés (PBKDF2 ou scrypt) ; sessions signées ; clés d'API saisies par le Client chiffrées (AES-256) ; fichiers de configuration accessibles au seul service.
• Accès aux serveurs limité à l'éditeur ; administration protégée par mot de passe et code de vérification envoyé par e-mail ; journal des actions d'administration.
• Documents, enregistrements d'appels et archives servis uniquement aux utilisateurs connectés de l'espace du Client, jamais par une adresse publique, à l'exception du lien d'export personnel décrit à l'article 9 ; comptabilité, candidatures, copie de la messagerie et comptes rendus de réunions (documents et écrans des agents concernés) réservés à l'administrateur de l'espace ; chaque téléchargement journalisé (compte, document, date) ; numéros de téléphone masqués dans les journaux techniques.
• Effacement automatique de l'audio des appels (30 jours, y compris espace fermé) et des transcriptions (12 mois).
• Sauvegardes quotidiennes chiffrées ; une donnée supprimée en disparaît au plus tard 30 jours après sa suppression.

8. Violation de données, assistance et audit

NéoAgentIA notifie au Client toute violation de données personnelles le concernant dans les meilleurs délais, et au plus tard 48 heures après en avoir eu connaissance, avec les informations utiles à sa propre notification à la CNIL et aux personnes concernées.

Sur demande écrite raisonnable (une fois par an au plus, avec un préavis de 30 jours, sans accès aux données des autres clients), NéoAgentIA fournit la documentation de conformité et répond par écrit aux questionnaires de sécurité du Client.

9. Fin du contrat, restitution et suppression des données

Restitution à tout moment. Pendant l'abonnement, le Client peut à tout moment télécharger, depuis la page « Mes données » de son espace client, une archive unique contenant l'ensemble des données de son espace : documents produits par les agents (y compris les vidéos et visuels créés par des services tiers, copiés dans l'espace dès leur création), conversations et tâches (y compris celles des utilisateurs retirés de l'espace), appels (transcriptions, messages et, tant qu'il n'est pas effacé, l'audio), données de travail (prospects, propositions, rendez-vous, calendrier, veille) et réglages de l'espace. Les clés d'accès, mots de passe et jetons de connexion n'y figurent jamais. Chaque document peut aussi être téléchargé seul. L'archive est fabriquée au moment du téléchargement et n'est jamais enregistrée sur nos serveurs. Sur demande écrite à hello@neoagentia.com, NéoAgentIA envoie aussi à l'adresse du compte du Client un lien de téléchargement personnel, valable 24 heures et utilisable une seule fois.

Suppression à la demande du Client. Dès qu'il a demandé la résiliation, le Client peut supprimer lui-même l'ensemble des données de son espace depuis la page « Mes données », en retapant le nom de son espace pour confirmer. La suppression est immédiate et définitive : NéoAgentIA n'en garde aucune copie de secours. Un e-mail la confirme. Si la période payée ou l'essai gratuit n'est pas terminé, l'abonnement s'arrête le jour même, sans remboursement de la période en cours.

Fin de l'abonnement. À la fin de la période payée (ou de l'essai gratuit), l'espace d'agents est fermé. La page « Mes données » reste ouverte 30 jours pour tout télécharger ou tout supprimer ; un e-mail prévient le Client 14 jours avant la suppression. Sans action de sa part, les données de l'espace sont supprimées automatiquement 30 jours après la fin de l'abonnement, sans copie de secours.

Sauvegardes. Les copies présentes dans les sauvegardes disparaissent d'elles-mêmes au plus tard 30 jours après la suppression.

Documents envoyés par e-mail. Les documents que le Client ou ses agents ont envoyés par e-mail (propositions, factures, relances, comptes rendus d'appel, avis de rendez-vous, rapports mensuels) restent dans les boîtes de leurs destinataires et, lorsqu'ils sont partis de la messagerie connectée du Client, dans sa boîte d'envoi : NéoAgentIA ne peut pas les supprimer.

Conservation. Seules les factures et pièces comptables (10 ans), les preuves d'acceptation des conditions et les traces des demandes relatives aux données (5 ans après la fin de la relation) sont conservées, pour les durées prévues par la loi et par la politique de confidentialité.

10. Responsabilité et hiérarchie

La responsabilité de chaque partie est régie par les conditions générales de vente. En cas de contradiction entre le présent accord et les conditions générales sur la protection des données, le présent accord prévaut.