Data Processing Agreement (DPA)
Version 1.2 — Applicable au 1er août 2026
Ce Data Processing Agreement (DPA) constitue une annexe contractuelle à nos Conditions Générales d'Utilisation. Il est automatiquement applicable pour tous les clients dès l'acceptation des CGU. Une version signée PDF est disponible sur demande écrite pour les besoins d'audit ou de mise en conformité.
✉️ Demander la version PDF signée1. Parties
Responsable du traitement (Data Controller) : vous, en tant que client WazzyAI.
Sous-traitant (Data Processor) : Digitaleinovatecke, San Pedro, Côte d'Ivoire.
2. Objet du traitement
WazzyAI traite les données personnelles de vos clients finaux (contacts WhatsApp, contenu des conversations) uniquement dans le but d'exécuter le service commandé (agent IA conversationnel, gestion CRM, RDV, commandes).
3. Nature et durée
| Catégorie | Nature | Durée |
|---|---|---|
| Contacts | Nom, téléphone, email | Durée du contrat + 30 j |
| Messages | Texte, audio, images échangés | 24 mois glissants |
| Logs | IP, horodatage, actions | 90 jours |
| Backups | Copie complète chiffrée | 30 jours |
4. Obligations du sous-traitant
- Traiter les données uniquement sur instruction documentée du responsable
- Garantir la confidentialité de toute personne ayant accès aux données
- Mettre en œuvre les mesures de sécurité techniques et organisationnelles appropriées (Art. 32 RGPD)
- Notifier toute violation de données sous 72 h
- Assister le responsable dans les demandes d'exercice de droits (accès, rectification, effacement)
- Supprimer ou restituer les données à la fin du contrat, au choix du client
- Fournir toutes les informations nécessaires aux audits (annuels)
5. Sous-traitants ultérieurs autorisés
| Sous-traitant | Finalité | Localisation |
|---|---|---|
| Hetzner Cloud | Hébergement | 🇩🇪 Allemagne |
| Cloudflare | CDN + protection DDoS | 🇺🇸 États-Unis |
| DeepSeek | Modèle IA par défaut | 🇨🇳 Chine (CCT) |
| OpenAI / Anthropic | Modèles IA optionnels | 🇺🇸 États-Unis |
| PawaPay | Paiements Mobile Money | 🌍 Afrique (Côte d’Ivoire, etc.) |
| Stripe | Paiements cartes | 🇮🇪 Irlande |
| Postmark / Resend | Emails transactionnels | 🇺🇸 / 🇩🇪 |
Tout nouveau sous-traitant sera annoncé au moins 30 jours avant sa mise en place — vous avez alors 30 jours pour vous y opposer et résilier votre abonnement sans pénalité.
6. Mesures de sécurité (Art. 32)
- 🔒 Chiffrement en transit TLS 1.3 obligatoire
- 🔒 Chiffrement au repos AES-256-GCM (base de données + backups)
- 🔑 Hash bcrypt facteur 12 pour les mots de passe
- 👤 Contrôle d'accès basé sur rôles (RBAC) fine-grained
- 🛡️ WAF Cloudflare + rate-limiting par organisation
- 📋 Journalisation d'audit de toutes les actions sensibles (AuditLog)
- 🔍 Audits de sécurité annuels par un cabinet externe
- 💾 Sauvegardes chiffrées quotidiennes (30 jours)
- 🌐 Isolation multi-tenant vérifiée par tests automatisés
7. Notification de violation
En cas de violation de données à caractère personnel, WazzyAI notifie le client sous 72 heures à compter de la constatation, en fournissant :
- Nature de la violation
- Catégories et volumes approximatifs de données concernées
- Conséquences probables
- Mesures prises pour remédier et atténuer
8. Sort des données à la fin du contrat
À l'expiration ou résiliation du contrat, WazzyAI :
- Restitue au client toutes les données au format standard (JSON) sur demande dans les 30 jours
- Supprime définitivement toutes les copies (base + backups) dans les 60 jours suivants
- Fournit un certificat de destruction sur demande