Mentions légales · UK GDPR & EU GDPR Art. 28

Accord de traitement des données

Dernière mise à jour : 22 octobre 2026

Traduction de courtoisie. En cas de divergence, la version anglaise prévaut.

EN · IT · DE · FR · ES

1. Parties et champ d'application

Cet accord est conclu entre le marchand qui utilise Kosmly (« Responsable du traitement ») et Kosmly Ltd, société immatriculée en Angleterre et au pays de Galles (n° [number]), siège social [address], TVA [GB number] (« Sous-traitant »). Il respecte l'article 28 du UK GDPR et du RGPD, selon celui qui s'applique au Responsable du traitement. Il s'applique à toutes les données personnelles que le Sous-traitant traite pour le Responsable du traitement via le service Kosmly et fait partie des Conditions d'utilisation. En cas de contradiction entre ce DPA et les Conditions, ce DPA prévaut pour la protection des données.

2. Détails du traitement

L'objet, la durée, la nature et la finalité du traitement, ainsi que les catégories de données et de personnes concernées, sont décrits à l'annexe I.

3. Obligations du Sous-traitant

1. Instructions. Le Sous-traitant traite les données personnelles uniquement sur instructions documentées du Responsable du traitement, à savoir les Conditions, ce DPA et les paramètres du Responsable du traitement dans Kosmly. Il informe le Responsable du traitement s'il estime qu'une instruction enfreint la loi.
2. Confidentialité. Toute personne ayant accès est tenue à la confidentialité et formée à la protection des données et à la culture de l'IA.
3. Sécurité. Le Sous-traitant applique les mesures de l'annexe II (art. 32 RGPD).
4. Minimisation. Les agents ne reçoivent que les données dont ils ont besoin. Les noms, e-mails et numéros de téléphone sont remplacés par des marqueurs avant l'envoi d'un texte à un modèle d'IA, lorsque la tâche le permet.
5. Aucun entraînement. Les données personnelles ne sont jamais utilisées pour entraîner ou améliorer des modèles d'IA, ni par le Sous-traitant ni par ses sous-traitants ultérieurs.
6. Demandes des personnes concernées. Le Sous-traitant aide le Responsable du traitement à répondre aux demandes d'accès, de rectification, d'effacement ou d'export, y compris via les webhooks de confidentialité obligatoires des plateformes.
7. Violations. Le Sous-traitant informe le Responsable du traitement dans les meilleurs délais, et au plus tard 48 heures après avoir pris connaissance d'une violation de données personnelles, avec les informations nécessaires à sa propre notification au titre de l'art. 33.
8. Assistance. Le Sous-traitant aide le Responsable du traitement pour les analyses d'impact (art. 35) et les consultations préalables concernant Kosmly.
9. Fin du service. Dans les 30 jours suivant la fin du service, le Sous-traitant supprime toutes les données personnelles, ou les restitue sur demande, sauf si la loi impose leur conservation.
10. Audits. Le Sous-traitant met à disposition les informations nécessaires pour démontrer la conformité et autorise un audit par an avec un préavis de 30 jours, ou après une violation.

4. Sous-traitants ultérieurs

Le Responsable du traitement donne une autorisation générale pour les sous-traitants ultérieurs de l'annexe III. Le Sous-traitant impose contractuellement à chacun les mêmes obligations de protection des données. Il annonce tout nouveau sous-traitant ultérieur au moins 30 jours à l'avance, par e-mail et sur cette page. Le Responsable du traitement peut s'y opposer pour des motifs raisonnables ; à défaut de solution, il peut mettre fin au service concerné avec un remboursement au prorata.

5. Transferts internationaux

Les données personnelles sont conservées et traitées dans l'UE/EEE. Le Sous-traitant est établi au Royaume-Uni, qui bénéficie d'une décision d'adéquation de l'UE ; l'accès à distance de son personnel britannique repose sur cette décision. Tout autre transfert n'a lieu que sur la base d'une décision d'adéquation, des clauses contractuelles types (décision 2021/914 de la Commission) ou, pour les données britanniques, de l'International Data Transfer Agreement ou Addendum, avec une évaluation du risque du transfert et des garanties supplémentaires si nécessaire.

6. Responsabilité

La responsabilité de chaque partie au titre de ce DPA est soumise aux limites des Conditions d'utilisation, sauf disposition contraire de l'article 82 du UK GDPR ou du RGPD.

Annexe I · Description du traitement

Élément	Description
Finalité	Faire fonctionner les agents d'IA activés par le Responsable du traitement : contenus (Vega), SEO (Sirius), traduction (Lyra), prix (Orion) et plus tard images, réseaux sociaux, e-mails, paniers, assistance, avis, stock, analyses et publicité.
Personnes concernées	Clients et prospects du Responsable du traitement, visiteurs de la boutique utilisant le chat d'assistance et personnel du Responsable du traitement.
Catégories de données	Nom, e-mail, téléphone, adresse de livraison et de facturation, historique des commandes, contenu des avis et des chats, statut du consentement. Aucune catégorie particulière (art. 9) n'est prévue.
Nature	Conservation, consultation, analyse et génération de textes ou d'images avec des modèles d'IA, selon le niveau d'autonomie choisi par le Responsable du traitement.
Durée	Pendant la durée de l'abonnement, plus 30 jours.
Conservation des journaux IA	Le texte complet envoyé aux modèles d'IA et reçu d'eux n'est pas conservé comme journal. L'enregistrement d'usage de chaque appel IA (modèle, tokens, coût, aucun texte) est conservé 90 jours, puis seulement sous forme de totaux mensuels pendant 13 mois. L'historique des actions des agents dans Mission Control et le journal d'audit sont conservés 24 mois, les e-mails sortants 90 jours, les chats d'assistance 30 jours. Tout est supprimé avec le compte.
Visites venant des assistants IA	Compteurs quotidiens anonymes par boutique : jour, assistant IA et page d’arrivée. Pas de cookie, pas d’adresse IP, pas d’identifiant du visiteur, donc aucune donnée personnelle. Supprimés avec le compte de la boutique.
IndexNow	Les URL publiques des pages modifiées sont envoyées à api.indexnow.org pour que les moteurs de recherche les mettent à jour. Aucune donnée personnelle.
Google Merchant Center (facultatif)	Si le Responsable le connecte, Orion lit seulement les rapports de prix (prix de marché des produits). Aucune donnée personnelle.
Liste de suppression email	Pour les emails rejetés ou signalés comme spam, seuls une empreinte SHA-256 de l’adresse et le motif sont conservés, pour ne plus écrire à cette adresse. Données pseudonymisées, conservées après la fin de l’abonnement uniquement à cette fin.

Annexe II · Mesures techniques et organisationnelles

• Chiffrement en transit (TLS 1.2+) et au repos (AES-256).
• Séparation stricte des données de chaque marchand, imposée au niveau de la base de données.
• Accès selon le rôle, authentification à deux facteurs et privilèges minimaux pour le personnel ; les accès sont journalisés.
• Pseudonymisation des données personnelles avant qu'elles n'atteignent les modèles d'IA, lorsque la tâche le permet.
• Sauvegardes chiffrées quotidiennes dans l'UE, avec restaurations testées.
• Gestion des vulnérabilités, contrôle des dépendances et contact de sécurité public (security@kosmly.app), conformément au Cyber Resilience Act.
• Procédure écrite de réponse aux incidents et violations, testée au moins une fois par an.
• Formation du personnel à la protection des données et à la culture de l'IA (art. 4 AI Act).

Annexe III · Sous-traitants ultérieurs

Sous-traitant ultérieur	Finalité	Lieu
Scaleway SAS	Hébergement de l'application, base de données gérée, sauvegardes chiffrées ; ses Generative APIs (modèles d'IA ouverts) uniquement pour vérifier les textes ou en secours d'urgence	Paris, France (UE)
Amazon Web Services EMEA SARL (Amazon Bedrock)	Modèles d'IA (Anthropic Claude) qui rédigent les textes, le SEO et les traductions. Reçoit le texte de la tâche, noms, e-mails et numéros de téléphone masqués chaque fois que la tâche le permet ; pas d'entraînement, pas de conservation des prompts par le fournisseur	Francfort, Allemagne (UE)
Google Cloud EMEA Limited (Vertex AI)	Les mêmes modèles Claude dans une région de l'UE, les modèles Gemini qui vérifient les textes et les modèles d'images. Mêmes données et même masquage ; pas d'entraînement	Régions de l'UE (Pays-Bas et autres centres de données de l'UE)
Microsoft Ireland Operations Limited (Azure OpenAI)	Un modèle GPT qui retravaille les textes finis pour qu'ils sonnent naturels et, s'il est activé, la génération d'images. Reçoit uniquement le texte fini ; pas d'entraînement	France Central, Paris (UE)
Requesty Ltd	Routage IA : transmet chaque appel aux déploiements UE des fournisseurs ci-dessus via son point d'accès de Francfort et renvoie la réponse. Le texte ne fait qu'y transiter ; pas d'entraînement	Francfort, Allemagne (point d'accès UE)
Mistral AI SAS	Vérification des textes et modèles d'IA de secours lorsque le principal n'est pas disponible ; pas d'entraînement	France (UE)
Anthropic, PBC (Claude API)	Dernier secours pour le même modèle Claude, seulement s'il est activé et si toutes les voies UE ci-dessus échouent ; pas d'entraînement	États-Unis ; EU-US Data Privacy Framework et clauses contractuelles types
Sendinblue SAS (Brevo)	E-mails au personnel du Responsable du traitement ; plus tard, e-mails envoyés par Comet et Halley pour le compte du Responsable du traitement	France (UE)
DataForSEO OU	Données de recherche (positions, volumes de mots-clés, concurrents). Reçoit uniquement des mots-clés, des domaines et des adresses de pages publiques : aucune donnée personnelle	Tallinn, Estonie (UE)
Cloudflare, Inc.	DNS de kosmly.app et de ses sous-domaines, et hébergement du site public. Voit l'adresse IP de chaque requête, que Kosmly ne reçoit ni ne conserve	Réseau mondial ; EU-US Data Privacy Framework et clauses contractuelles types

Les demandes d'assistance sont traitées au sein de Kosmly, sur l'infrastructure indiquée ci-dessus. Les services que le Responsable du traitement connecte lui-même (par exemple Google Search Console, Google Analytics, Merchant Center, Fiche d'établissement, réseaux sociaux, Klaviyo, Trustpilot ou Okendo) reçoivent des données sur ses instructions, selon leurs propres conditions avec lui ; ce ne sont pas des sous-traitants ultérieurs de Kosmly.

Contact pour cet accord : privacy@kosmly.app.