Accord de traitement des données (DPA) — Annexe aux Conditions Générales de Vente

Version 1.4 — Date d'effet : 26 septembre 2026

Le présent Accord de traitement des données (ci-après le « DPA », pour Data Processing Agreement) constitue une annexe indissociable des Conditions Générales de Vente de Lutinia. Il encadre les traitements de données à caractère personnel réalisés par Aura Soft pour le compte du Client, conformément à l'article 28 du règlement (UE) 2016/679 (« RGPD »).

En cas de contradiction avec les Conditions Générales de Vente sur les seules questions de protection des données, le présent DPA prévaut. Les conséquences d'un manquement au présent DPA (responsabilité, résiliation, plafonds) sont régies par les Conditions Générales de Vente.

Article 1 — Rôles des parties

Dans le cadre de l'utilisation du Service par le Client :

• le Client (le commerçant professionnel) agit en qualité de responsable de traitement des données de ses clients finaux
• Aura Soft agit en qualité de sous-traitant, traitant ces données sur les instructions documentées du Client

Pour les données relatives au compte du Client lui-même (identification de ses préposés, facturation), Aura Soft agit en qualité de responsable de traitement distinct, dans les conditions de la Politique de confidentialité.

Article 2 — Objet, durée, nature et finalité du traitement

Aucune donnée relevant des catégories particulières au sens de l'article 9 du RGPD n'est requise par le Service. Le Client s'interdit d'en saisir et de les solliciter auprès de ses clients finaux via le Service.

Article 3 — Instructions documentées

Aura Soft traite les données uniquement sur les instructions documentées du Client, telles que résultant du contrat, du paramétrage du Service et de toute instruction écrite ultérieure. Aura Soft informe le Client si une instruction constitue, selon elle, une violation du RGPD.

Aura Soft ne traite les données à aucune autre fin, et ne les utilise pas pour entraîner ses propres modèles ou ceux de ses sous-traitants au-delà de ce qui est nécessaire à la fourniture du Service.

Article 4 — Confidentialité

Aura Soft veille à ce que les personnes autorisées à traiter les données s'engagent à en respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.

Article 5 — Sécurité (article 32 RGPD)

Aura Soft met en œuvre les mesures techniques et organisationnelles suivantes, adaptées à la nature des données traitées et à la taille de sa structure.

5.1 Mesures organisationnelles

1. Accès aux données de production limité aux dirigeants d'Aura Soft, nommément habilités ; aucun prestataire externe ne dispose d'un accès direct aux données du Client.
2. Authentification à deux facteurs obligatoire pour tout accès aux consoles d'administration des sous-traitants ultérieurs (hébergement, base de données, téléphonie, paiement).
3. Secrets et clés d'accès (API, base de données) stockés dans des gestionnaires de secrets dédiés, jamais dans le code source, et renouvelés en cas de suspicion de compromission.
4. Tenue d'un registre des violations de données (article 9.3) et d'un registre des sous-traitants ultérieurs (article 6).
5. Revue annuelle des habilitations et des présentes mesures.

5.2 Mesures techniques

1. Chiffrement en transit : l'ensemble des échanges entre le client final, les canaux de messagerie, l'application, la base de données et les sous-traitants ultérieurs est chiffré (TLS 1.2 minimum).
2. Chiffrement au repos : la base de données et ses sauvegardes sont chiffrées au repos par l'hébergeur de la base (AES-256).
3. Cloisonnement : les données de chaque Client sont isolées logiquement par des règles d'accès au niveau de la base de données (row level security), de sorte qu'un Client ne peut accéder qu'à ses propres données.
4. Journalisation : les accès à la base de données et les opérations sensibles (création, modification, suppression de rendez-vous et de fiches clients ; connexions à l'espace client) sont journalisés. Les journaux applicatifs métier (notifications envoyées) sont conservés douze (12) mois puis supprimés automatiquement. Les journaux techniques d'authentification et d'accès à la base sont conservés par l'hébergeur de la base pendant la durée prévue par son offre, soit sept (7) jours.
5. Sauvegardes : la base de données fait l'objet de sauvegardes automatiques quotidiennes, conservées sept (7) jours, avec procédure de restauration documentée. Une restauration de test est réalisée au moins une fois par an.
6. Résilience : le modèle d'intelligence artificielle principal dispose d'un modèle de secours activé automatiquement en cas d'indisponibilité. Le serveur d'orchestration dispose d'un serveur de secours, dont la mise en service relève d'une intervention humaine ; aucun délai de rétablissement n'est garanti.
7. Protection applicative : protection des formulaires contre les robots (hCaptcha), verrouillage temporaire de l'espace d'administration après tentatives de connexion infructueuses, supervision des erreurs applicatives (instance européenne).
8. Minimisation : les enregistrements audio des appels ne sont pas conservés par Aura Soft ; seules les transcriptions le sont, dans les conditions de la Politique de confidentialité.

Aura Soft communique au Client, sur demande, une description à jour de ces mesures.

Article 6 — Sous-traitants ultérieurs

Le Client autorise Aura Soft à recourir aux sous-traitants ultérieurs listés ci-dessous pour la fourniture du Service :

Aura Soft impose à chaque sous-traitant ultérieur, par contrat, les mêmes obligations de protection des données que celles du présent DPA.

La liste à jour des sous-traitants ultérieurs est publiée en permanence à l'adresse https://app.lutinia.fr/sous-traitants. En cas de projet d'ajout ou de remplacement d'un sous-traitant ultérieur, Aura Soft met à jour cette page et en informe le Client par courrier électronique à l'adresse de son compte, avec un préavis minimum de trente (30) jours avant toute mise en œuvre. Le Client dispose d'un droit d'opposition motivé dans ce délai. En l'absence d'opposition formelle du Client dans ce délai, la modification est réputée acceptée. En cas d'opposition, chaque partie peut résilier le contrat dans les conditions prévues aux Conditions Générales de Vente, sans indemnité de part ni d'autre, la résiliation prenant effet à la date de mise en œuvre du nouveau sous-traitant.

Article 7 — Droits des personnes concernées

Aura Soft aide le Client, par des mesures techniques et organisationnelles appropriées, à donner suite aux demandes d'exercice des droits des clients finaux (accès, rectification, effacement, limitation, opposition, portabilité). Lorsqu'un client final adresse directement une demande à Aura Soft, celle-ci la transmet au Client dans un délai maximum de dix (10) jours ouvrés à compter de sa réception et n'y répond pas elle-même, sauf instruction contraire du Client.

Le Service permet au Client d'exporter, de rectifier et de supprimer lui-même les données d'un client final depuis son espace, ce qui constitue le moyen ordinaire de réponse aux demandes. Lorsqu'une demande requiert une intervention manuelle d'Aura Soft au-delà de ces fonctionnalités, cette assistance peut être facturée au tarif horaire en vigueur, après devis accepté par le Client.

Article 8 — Assistance au responsable de traitement

Aura Soft aide le Client, compte tenu de la nature du traitement et des informations dont elle dispose, à respecter ses obligations au titre des articles 32 à 36 du RGPD, et en particulier :

• pour la réalisation d'une analyse d'impact relative à la protection des données (article 35), en fournissant sur demande la description des traitements, des sous-traitants ultérieurs et des mesures de sécurité mises en œuvre ;
• pour la consultation préalable de l'autorité de contrôle (article 36), en fournissant les éléments techniques nécessaires.

Article 9 — Violation de données

9.1 Aura Soft notifie au Client toute violation de données à caractère personnel sans délai et au plus tard dans les quarante-huit (48) heures à compter de la prise de connaissance par Aura Soft de ladite violation.

9.2 La notification comprend, dans la mesure du possible à ce stade de l'incident : (a) la nature de la violation ; (b) les catégories et le nombre approximatif de personnes concernées et d'enregistrements affectés ; (c) les conséquences probables de la violation ; (d) les mesures prises ou envisagées pour remédier à la violation. Aura Soft peut communiquer ces informations en plusieurs fois si toutes ne sont pas disponibles simultanément lors de la notification initiale.

9.3 Aura Soft tient un registre interne de toutes les violations de données à caractère personnel, y compris celles ne donnant pas lieu à une notification à la CNIL, conformément à l'article 33(5) du RGPD.

Article 10 — Sort des données en fin de contrat

À la cessation du Service, et au choix du Client exprimé par écrit, Aura Soft restitue les données au Client ou les supprime, ainsi que les copies existantes, dans un délai de trente (30) jours, sauf obligation légale de conservation.

La restitution est réalisée sous la forme d'un export téléchargeable depuis l'espace client, au format CSV (fiches clients, rendez-vous) et JSON (conversations), encodé en UTF-8, accompagné d'une description des champs. Ce format est réputé structuré et couramment utilisé au sens de l'article 28.3.g du RGPD.

Toute prestation de réversibilité allant au-delà de cet export standard (format spécifique, migration vers un autre outil, assistance à l'import) fait l'objet d'un devis distinct.

À défaut de choix exprimé par le Client dans les trente (30) jours suivant la cessation du Service, les données sont supprimées.

Article 11 — Audit

Aura Soft met à la disposition du Client les informations nécessaires pour démontrer le respect des obligations du présent DPA. Le Client peut en outre faire réaliser un audit, y compris une inspection, dans les conditions suivantes :

• l'audit est réalisé par un auditeur indépendant mandaté par le Client, tenu au secret professionnel ou lié par un engagement de confidentialité, et ne pouvant être un concurrent d'Aura Soft ;
• le Client notifie l'audit par écrit avec un préavis minimum d'un (1) mois, en précisant son périmètre ;
• l'audit se déroule aux jours et heures ouvrés, sur une durée n'excédant pas un (1) jour ouvré, au maximum une fois par période de douze (12) mois, sauf en cas de violation de données avérée ou de demande d'une autorité de contrôle ;
• l'audit ne peut porter sur les données d'autres clients d'Aura Soft ni sur les infrastructures des sous-traitants ultérieurs, pour lesquelles Aura Soft communique les rapports et certifications que ceux-ci mettent à disposition ;
• les coûts de l'audit sont à la charge du Client ; le temps consacré par Aura Soft au-delà du jour ouvré prévu est facturé au tarif horaire en vigueur.

Article 12 — Transferts hors Union européenne

Lorsqu'un traitement implique un transfert de données en dehors de l'Union européenne, Aura Soft s'assure que ce transfert est encadré par des garanties appropriées au sens des articles 44 et suivants du RGPD. La garantie retenue pour chaque sous-traitant ultérieur figure dans la dernière colonne du tableau de l'article 6 : clauses contractuelles types de la Commission européenne (décision d'exécution (UE) 2021/914), complétées le cas échéant par la certification du prestataire au cadre de protection des données UE–États-Unis (Data Privacy Framework). Aura Soft communique sur demande une copie des clauses applicables.

Article 13 — Base légale et information des clients finaux

13.1 Le Client déclare disposer d'une base légale valide au sens de l'article 6 du RGPD pour l'ensemble des traitements réalisés via le Service sur les données personnelles de ses clients finaux, y compris le traitement de ces données par des systèmes d'intelligence artificielle tiers (notamment les modèles de langage de type Anthropic, OpenAI et équivalents) dans le cadre de la fourniture du Service conversationnel.

13.2 Le Client s'engage à informer ses propres clients finaux, préalablement à toute collecte de leurs données via le Service, de l'utilisation d'outils d'intelligence artificielle pour le traitement de leurs messages et données de rendez-vous, conformément aux obligations d'information prévues aux articles 13 et 14 du RGPD.

13.3 Aura Soft met à disposition du Client, sur demande, une description technique des traitements réalisés par les modèles d'intelligence artificielle utilisés dans le Service, afin de permettre au Client de satisfaire à ses obligations d'information.

13.4 Le Client informe ses clients finaux qu'ils interagissent avec un système d'intelligence artificielle, conformément à l'article 50 du règlement (UE) 2024/1689 (« AI Act »). À cette fin, Aura Soft met à disposition les éléments techniques nécessaires à cette information (mention écrite en début de conversation et mention vocale en début d'appel), que le Client s'interdit de désactiver ou de supprimer.