Dernière mise à jour : 7 octobre 2026
Le présent accord s’applique lorsque vous utilisez Botti. Il régit la manière dont AHB GmbH (« sous-traitant », « nous ») traite des données personnelles pour le compte de l’entreprise qui utilise Botti (« responsable du traitement », « vous »). Il complète nos conditions générales d’utilisation, fait partie intégrante du contrat et satisfait aux exigences de l’art. 9 de la loi fédérale sur la protection des données (LPD) et, le cas échéant, de l’art. 28 du règlement général de l’UE sur la protection des données (RGPD).
1. Objet et durée
Nous traitons des données personnelles afin de vous fournir Botti. Le présent accord s’applique pendant toute la durée de votre abonnement, ainsi que pendant toute période ultérieure au cours de laquelle nous détenons encore vos données.
2. Ce que nous traitons
- Finalité : importer les avis des établissements de votre Google Business Profile, rédiger des brouillons de réponse à l’aide de l’IA, publier les réponses validées et établir des rapports.
- Personnes concernées : les personnes qui laissent un avis sur vos établissements sur Google ; les utilisateurs que vous invitez dans Botti.
- Données personnelles : noms d’affichage des auteurs d’avis et liens vers leur photo de profil tels qu’affichés sur Google, texte des avis, notes en étoiles et dates ; texte des réponses ; noms, adresses e-mail, rôles et journaux d’activité des utilisateurs.
- Catégories particulières : aucune n’est prévue. Les avis étant rédigés librement, ils peuvent occasionnellement contenir de telles données (par exemple des informations de santé dans un avis sur une clinique). Nous ne les traitons que dans le cadre de l’avis.
3. Vos instructions
- Nous ne traitons les données personnelles que sur la base de vos instructions documentées. Ces instructions sont les conditions générales d’utilisation, le présent accord, ainsi que les réglages et règles que vous configurez dans Botti.
- Si nous estimons qu’une instruction enfreint le droit de la protection des données, nous vous en informons et pouvons en suspendre l’exécution jusqu’à ce qu’elle soit clarifiée.
- Nous ne traitons des données à d’autres fins que si la loi l’exige et, dans ce cas, nous vous en informons au préalable, sauf si la loi l’interdit.
4. Confidentialité
Toute personne au sein de AHB GmbH ayant accès à des données personnelles est tenue à la confidentialité et n’y accède que dans la mesure nécessaire à l’accomplissement de ses tâches.
5. Sécurité
Nous prenons des mesures techniques et organisationnelles appropriées pour protéger les données personnelles. Elles sont décrites à l’annexe 2. Nous pouvons les mettre à jour, à condition que le niveau de protection ne diminue pas.
6. Sous-traitants ultérieurs
- Vous nous autorisez à faire appel aux sous-traitants ultérieurs énumérés à l’annexe 1.
- Nous vous informons au moins 30 jours avant d’ajouter ou de remplacer un sous-traitant ultérieur. Vous pouvez vous y opposer pour des motifs raisonnables liés à la protection des données ; si nous ne parvenons pas à lever l’opposition, vous pouvez résilier le service concerné avec effet à la date du changement.
- Nous imposons à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles du présent accord et demeurons responsables à leur égard.
7. Transferts hors de Suisse et de l’UE
Nous ne transférons des données personnelles vers des pays n’offrant pas un niveau de protection adéquat qu’avec des garanties appropriées : le Swiss-U.S. Data Privacy Framework pour les destinataires certifiés, ou des clauses contractuelles types reconnues par le Préposé fédéral à la protection des données et à la transparence (PFPDT) et la Commission européenne.
8. Assistance
Compte tenu de la nature du traitement, nous vous aidons à :
- répondre aux demandes des personnes concernées (par exemple d’accès ou d’effacement). Si une demande nous parvient directement, nous vous la transmettons dans les meilleurs délais et n’y répondons pas nous-mêmes, sauf instruction de votre part ;
- respecter vos obligations en matière de sécurité, et réaliser des analyses d’impact relatives à la protection des données et des consultations des autorités lorsque cela est requis.
9. Violations de données
Nous vous informons dans les meilleurs délais, et si possible dans les 48 heures, après avoir pris connaissance d’une violation de la sécurité des données touchant vos données personnelles. Nous vous fournissons les informations dont vous avez besoin pour évaluer la violation et remplir vos propres obligations de notification, et prenons des mesures pour la circonscrire.
10. Fin du contrat
Après la fin de votre abonnement, vous pouvez exporter vos données pendant 30 jours. Nous supprimons ensuite les données personnelles que nous traitons pour votre compte, y compris les copies, sauf si la loi nous oblige à les conserver. Les sauvegardes sont écrasées dans un délai supplémentaire de 30 jours.
11. Audits
Nous mettons à disposition les informations nécessaires pour démontrer le respect du présent accord. Vous pouvez nous auditer, ou nous faire auditer par un auditeur indépendant tenu à la confidentialité, une fois par année moyennant un préavis d’au moins 30 jours, pendant les heures de bureau et à vos frais. Les audits motivés par une violation de données de notre côté ne sont pas limités à une fois par année.
12. Responsabilité et primauté
La responsabilité est régie par les conditions générales d’utilisation. En cas de contradiction entre le présent accord et les conditions générales d’utilisation en matière de protection des données, le présent accord prévaut.
Annexe 1 — Sous-traitants ultérieurs
| Sous-traitant ultérieur | Service | Lieu |
|---|---|---|
| Google LLC | API Business Profile : lecture des avis, publication des réponses | États-Unis / monde entier |
| Anthropic, PBC | Rédaction des brouillons de réponse par IA | États-Unis |
| Hetzner Online GmbH | Hébergement de l’application, base de données, sauvegardes | Allemagne |
| Laravel Holdings Inc. | Diagnostic des erreurs (Laravel Nightwatch), pouvant inclure le contenu des avis | États-Unis |
| Cloudflare, Inc. | Diffusion de l’application et protection contre les attaques ; les requêtes transitent par Cloudflare | États-Unis / monde entier |
Annexe 2 — Mesures techniques et organisationnelles
- Chiffrement : toutes les connexions utilisent TLS. Les jetons d’accès Google sont chiffrés au repos. Les sauvegardes sont chiffrées.
- Contrôle d’accès : l’accès du personnel suit le principe du moindre privilège, requiert une authentification à deux facteurs et est journalisé.
- Séparation : les données de chaque client sont séparées logiquement ; chaque requête est limitée à l’organisation du client.
- Disponibilité : sauvegardes régulières, avec des tests de restauration périodiques.
- Intégrité : une piste d’audit enregistre qui a validé, modifié ou publié chaque réponse.
- Développement : revue de code avant chaque mise en production, dépendances tenues à jour, aucune donnée personnelle de production dans les environnements de test.
- Réponse aux incidents : un processus documenté pour détecter, circonscrire, évaluer et signaler les violations de données.
- Suppression : les données sont supprimées sur demande et à la fin du contrat, conformément à la section 10.