Accord de traitement des données

Le présent Accord (le « DPA ») encadre le traitement de données à caractère personnel effectué par Botello pour le compte de la marque cliente dans le cadre de la fourniture du service Botello (assistant conversationnel intégré au site ou à la messagerie de la marque, et console d'administration associée).

Le Client (la marque qui souscrit au service) agit en qualité de responsable du traitement (art. 4(7) RGPD, art. 5 let. j nLPD). Botello agit en qualité de sous-traitant (art. 4(8) RGPD, art. 5 let. k nLPD) et ne traite les données que pour le compte et selon les instructions du Client.

Le présent Accord complète les Conditions générales (CGV). En cas de contradiction sur le traitement des données personnelles, il prévaut. Il ne couvre pas les traitements pour lesquels Botello agit en qualité de responsable (comptes de la console, visiteurs de botello.ch, prospection), décrits dans la Politique de confidentialité.

Les termes « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « personne concernée » et « violation de données » ont le sens que leur donnent le RGPD, la nLPD et, lorsqu'il s'applique, le UK GDPR. « Sous-traitant ultérieur » désigne tout prestataire auquel Botello recourt pour traiter des données pour le compte du Client.

Botello traite les données uniquement sur la base des instructions documentées du Client, y compris en matière de transfert hors de Suisse, de l'EEE ou du Royaume-Uni, sauf obligation légale contraire (dont Botello informe alors le Client, sauf interdiction légale).

La souscription, la configuration de l'assistant et l'utilisation de la console constituent les instructions du Client. Toute instruction complémentaire est adressée à contact@botello.ch. Botello informe le Client si, à son avis, une instruction constitue une violation du droit applicable.

Botello veille à ce que les personnes autorisées à traiter les données s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée, et à ce que l'accès soit limité au strict nécessaire.

Botello met en œuvre des mesures techniques et organisationnelles appropriées (art. 32 RGPD, art. 8 nLPD) : chiffrement en transit (TLS 1.2+), chiffrement des tokens d'intégration (AES-256-GCM), hachage des mots de passe (bcrypt 12 rounds), MFA obligatoire pour le personnel et les accès infrastructure, contrôle d'accès par rôles, validation des entrées (Zod), vérification HMAC des webhooks, limitation de débit, en-têtes de sécurité, redaction des logs, surveillance Sentry et sauvegardes chiffrées.

La liste détaillée figure à la section « Sécurité » de la Politique de confidentialité.

Botello aide le Client, par des mesures appropriées et dans la mesure du possible, à donner suite aux demandes des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition). La console permet de rechercher et d'exporter les conversations, et de supprimer les conversations et contacts concernés. Pour toute demande que la console ne permet pas de traiter directement, Botello apporte son assistance sur demande adressée à contact@botello.ch.

Si une personne adresse directement une demande à Botello, celui-ci la transmet au Client dans les meilleurs délais et n'y répond pas lui-même, sauf instruction du Client.

Botello aide le Client à respecter ses obligations de sécurité, de notification des violations, d'analyse d'impact (AIPD) et de consultation préalable de l'autorité, compte tenu de la nature du traitement (art. 28(3)(f) RGPD).

Botello notifie au Client toute violation le concernant sans délai injustifié après en avoir pris connaissance, et au plus tard dans les 48 heures, afin de lui laisser le temps de respecter son propre délai de 72 heures envers l'autorité de contrôle (art. 33 RGPD). La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les conséquences probables et les mesures prises.

Au terme du service, Botello, au choix du Client, supprime ou restitue les données traitées pour son compte et détruit les copies, sauf obligation légale de conservation. À défaut d'instruction dans les 30 jours, Botello supprime.

Durées en cours de contrat : conversations et contacts jusqu'à 24 mois après la dernière interaction, logs techniques 90 jours, sauvegardes au maximum 30 jours après la suppression principale. Les données lues à la volée depuis une boutique connectée ne sont pas conservées.

Botello met à disposition les informations nécessaires pour démontrer le respect de l'art. 28 RGPD et autorise les audits (préavis raisonnable, heures ouvrables, sans perturbation disproportionnée, confidentialité des autres clients, au maximum une fois par an sauf incident ou exigence d'une autorité).

Pour tout sous-traitant hors de Suisse, de l'EEE ou du Royaume-Uni, Botello encadre le transfert : décision d'adéquation (ex. Canada), certification Data Privacy Framework (EU-US, UK Extension, Swiss-US), ou Clauses contractuelles types (Décision (UE) 2021/914) complétées des addenda britannique (ICO) et suisse (PFPDT).

Les données traitées pour le compte du Client ne sont jamais utilisées pour entraîner ou améliorer des modèles d'IA, ni par Botello ni par ses sous-traitants. Les modèles sont utilisés en mode inférence standard, options de non-entraînement activées lorsqu'elles existent. L'assistant indique sa nature artificielle conformément à l'art. 50 de l'AI Act.

La présente section s'applique uniquement, et dans la mesure où, le Client est soumis au California Consumer Privacy Act tel que modifié par le CPRA (« CCPA/CPRA ») ou à une autre loi d'un État américain (notamment Virginie, Colorado, Connecticut, Utah, Texas). Pour tout Client non soumis à ces lois, la section est sans effet.

S'agissant des données personnelles traitées pour le compte du Client, Botello agit comme « Service Provider » (CCPA/CPRA) / « Processor », et le Client comme « Business » / « Controller ». Botello traite ces données uniquement pour exécuter le service (le « Business Purpose »).

Botello ne « vend » ni ne « partage » les données personnelles, ne les conserve, n'utilise ni ne divulgue à d'autres fins que l'exécution du service, ni en dehors de la relation d'affaires directe, et ne les combine pas avec des données d'autres sources sauf permission du CCPA/CPRA. Botello certifie comprendre ces restrictions et les respecter.

Botello aide le Client à répondre aux demandes des consommateurs (accès, connaissance, correction, suppression, opt-out de la vente/du partage), notifie le Client s'il ne peut plus respecter ses obligations, et impose ces mêmes obligations à ses sous-traitants. Le Client peut prendre des mesures raisonnables pour contrôler la conformité (le mécanisme d'audit de la section 12 y suffit). Les données dé-identifiées ne sont pas ré-identifiées.

L'Accord prend effet à la souscription et demeure en vigueur tant que Botello traite des données pour le compte du Client. La responsabilité est régie par les CGV. L'Accord est soumis au droit suisse, sans préjudice des dispositions impératives du RGPD et du UK GDPR ; le for est celui des CGV.

Botello peut mettre à jour le présent Accord pour tenir compte d'évolutions légales ou de son service ; les modifications importantes sont signalées par la mise à jour de la date en haut de page et, le cas échéant, par une notification dans la console.

Pour toute question ou instruction : contact@botello.ch.

Le sous-traitant au sens du présent Accord est Botello Sàrl (IDE CHE-337.160.438), inscrite au registre du commerce du canton de Vaud le 24 juin 2026, c/o Fiduciaire Longchamp Sàrl, En Chamard 55B, Case postale 81, 1442 Montagny-près-Yverdon, Suisse.