Accord de traitement des données (RGPD, article 28)

Version : 21 octobre 2026

Le présent accord de traitement des données (« l’Accord ») complète les conditions générales de vente de LiveLead. Il est conclu entre :

• Le Client, professionnel qui s’abonne au service LiveLead, identifié lors de la commande (« le Responsable de traitement ») ;
• LiveLead, SAS ALIA ENERGIE, société par actions simplifiée, SIRET 992 292 755 00012, 33 rue Dantzig, 75015 Paris (« le Sous-traitant »).

Il s’applique dès l’abonnement du Client, sans autre formalité, et reste en vigueur tant que le Sous-traitant traite des données personnelles pour le compte du Client. Une version signée est remise au Client sur demande.

1. Objet

Le Sous-traitant fait fonctionner pour le Client un avatar en direct sur ses réseaux sociaux. Dans ce cadre, il traite des données personnelles pour le compte du Client et selon ses instructions, conformément au règlement (UE) 2016/679 (« RGPD »), notamment son article 28.

2. Description du traitement

Le traitement est décrit en annexe 1. En résumé : l’avatar lit les messages publics du chat des lives du Client, rédige des réponses, répond en vidéo ou par écrit aux spectateurs et leur propose un rendez-vous. Le Sous-traitant ne traite les données que pour fournir ce service.

3. Obligations du Sous-traitant

Le Sous-traitant s’engage à :

1. Instructions : ne traiter les données que sur instruction documentée du Client, y compris pour les transferts hors Union européenne. Les CGV, l’abonnement et les échanges écrits du Client valent instructions. Si une instruction lui paraît contraire au RGPD, il en informe immédiatement le Client.
2. Confidentialité : veiller à ce que les personnes autorisées à traiter les données soient tenues à la confidentialité.
3. Sécurité : mettre en œuvre les mesures techniques et organisationnelles décrites en annexe 2, adaptées au risque.
4. Sous-traitants ultérieurs : le Client donne une autorisation générale de recourir aux sous-traitants ultérieurs listés en annexe 3. Le Sous-traitant informe le Client de tout ajout ou remplacement au moins 30 jours à l’avance ; le Client peut s’y opposer pour un motif raisonnable. Le Sous-traitant impose à ses sous-traitants ultérieurs des obligations équivalentes aux siennes et reste responsable de leur exécution.
5. Transferts hors Union européenne : s’assurer que tout transfert est encadré par une décision d’adéquation ou par des clauses contractuelles types, ou par un autre mécanisme prévu au chapitre V du RGPD.
6. Droits des personnes : aider le Client, par des mesures appropriées, à répondre aux demandes d’exercice de droits (accès, rectification, effacement, limitation, opposition, portabilité). Si une personne s’adresse directement au Sous-traitant, il transmet sa demande au Client dans un délai de 5 jours ouvrés.
7. Violations de données : notifier au Client toute violation de données personnelles dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les informations dont il dispose (nature, données concernées, conséquences probables, mesures prises).
8. Assistance : aider le Client pour les analyses d’impact et les consultations préalables de l’autorité de contrôle, dans la mesure de ses moyens.
9. Sort des données : à la fin du service, supprimer les données personnelles du Client ou les lui restituer, au choix du Client, dans un délai de 30 jours, sauf obligation légale de conservation. Les journaux techniques sont supprimés automatiquement au plus tard 90 jours après leur création.
10. Preuves et audits : mettre à disposition du Client les informations nécessaires pour démontrer le respect de ses obligations, et permettre des audits, au plus une fois par an, sur préavis écrit de 30 jours, aux frais du Client, sans perturber le service ni compromettre la sécurité ou la confidentialité des autres clients.
11. Registre : tenir un registre des catégories d’activités de traitement effectuées pour le compte du Client.

4. Obligations du Client

Le Client :

1. est responsable de traitement : il décide des finalités et des moyens, et garantit disposer d’une base légale pour le traitement ;
2. informe les spectateurs de ses lives, par exemple en ajoutant à la description de chaque live : « Ce live est animé par un avatar généré par intelligence artificielle. Les messages du chat sont lus et traités pour répondre. », avec un lien vers sa propre politique de confidentialité ;
3. donne au Sous-traitant des instructions licites et ne lui demande pas de traiter des données sensibles ;
4. respecte les règles des plateformes de diffusion et les règles de transparence applicables à l’intelligence artificielle ;
5. répond de ses propres obligations vis-à-vis des spectateurs et de l’autorité de contrôle.

5. Responsabilité

La responsabilité des parties est régie par les conditions générales de vente. Chaque partie répond du respect des obligations qui lui incombent au titre du RGPD.

6. Durée, droit applicable et litiges

L’Accord dure autant que l’abonnement et prend fin avec lui, sous réserve des obligations de l’article 3, point 9. Il est soumis au droit français. À défaut d’accord amiable, les tribunaux désignés par les conditions générales de vente sont compétents.

Annexe 1 : description du traitement

Annexe 2 : mesures de sécurité

• Accès : accès aux serveurs réservé au Sous-traitant, uniquement par clés cryptographiques (la connexion à distance par mot de passe est désactivée), avec blocage automatique des adresses qui multiplient les tentatives de connexion.
• Cloisonnement : le service des lives fonctionne dans un compte système dédié, sans connexion interactive, séparé des autres applications.
• Secrets : clés d’accès aux services (vidéo, intelligence artificielle, plateformes) conservées dans des fichiers à accès restreint, jamais dans le code publié ni dans les pages du site.
• Chiffrement : communications chiffrées (TLS) avec les plateformes et les prestataires.
• Minimisation : pas de base de données des messages ; durée de conservation des journaux limitée à 90 jours.
• Filtrage : les messages sont filtrés (liens, adresses e-mail, numéros de téléphone, mots interdits) avant traitement par l’avatar.
• Continuité : redémarrage automatique du service en cas de panne.
• Revue : les mesures sont revues régulièrement et à chaque évolution importante du service.

Annexe 3 : sous-traitants ultérieurs

Les plateformes de diffusion choisies par le Client (par exemple YouTube) sont des responsables de traitement autonomes pour leurs propres traitements ; elles ne sont pas des sous-traitants du Sous-traitant.