Accord de traitement des données (DPA)

Le présent accord, conclu en application de l'article 28 du RGPD, est accepté en ligne par le Client depuis son espace (Paramètres › Données et RGPD). La date, la version et l'auteur de l'acceptation sont horodatés.

1. Parties et rôles

• Responsable de traitement : le Client, titulaire de l'espace Kanso.
• Sous-traitant : SHBT STUDIO SAS (Kanso Solutions).

2. Objet et durée

Kanso traite des données personnelles pour le compte du Client afin de fournir le Service : qualification des demandes entrantes, transmission d'alertes, extraction de données de documents, préparation de brouillons dans les outils du Client, et, pour Kanso Portail, collecte, stockage, suivi et restitution des pièces déposées par les clients du Client. Le traitement dure le temps de l'abonnement, puis jusqu'à suppression des données conformément à l'article 9.

3. Nature des traitements et données

Module	Personnes concernées	Données
Assistant d'accueil	visiteurs du site du Client	messages, réponses aux questions, coordonnées fournies, métadonnées techniques (identifiant de session, origine)
Documents	fournisseurs et tiers figurant sur les documents	contenu des documents (identité, montants, IBAN, références)
Espace	collaborateurs du Client	nom, e-mail, journal d'actions
Portail	clients du Client (« Déposants ») et tiers cités dans leurs pièces	nom, e-mail, pièces déposées (identité, justificatifs, documents fiscaux, sociaux, juridiques ou comptables), messages, dates d'accès
Portail — analyse IA (si activée)	mêmes personnes	texte extrait des pièces non exclues, conservé chiffré ; résultats d'analyse non conservés ; conditions de l'avenant « Analyse IA »

Aucune donnée de catégorie particulière (art. 9 RGPD) ne doit être sollicitée par la configuration de l'assistant. Le Client paramètre les questions et la liste des pièces demandées sous sa responsabilité ; s'il demande des pièces contenant de telles données, il s'assure d'une base légale et les exclut de l'analyse IA.

4. Instructions

Kanso ne traite les données que sur instruction documentée du Client, matérialisée par sa configuration (questions, alertes, intégrations, documents envoyés). Kanso n'utilise pas les données pour son propre compte ni pour entraîner des modèles d'intelligence artificielle.

5. Confidentialité

Les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité. L'accès du support à un espace n'a lieu qu'à la demande du Client, est limité à 24 heures et journalisé ; il ne permet ni d'ouvrir les dossiers du Portail ni de télécharger des pièces ou des exports.

6. Sécurité

Kanso met en œuvre des mesures techniques et organisationnelles appropriées : hébergement dans l'Union européenne, chiffrement en transit (TLS), chiffrement des pièces du Portail et des secrets d'intégration (AES-256-GCM, clé propre à chaque Client), analyse antivirus des dépôts, accès des Déposants par lien personnel et code à usage unique, isolation logique entre clients, contrôle d'accès par rôles, double authentification, journal d'audit, sauvegardes chiffrées, purge automatique.

7. Sous-traitants ultérieurs

Le Client autorise le recours aux sous-traitants listés. Kanso informe le Client de tout ajout ou remplacement au moins 30 jours à l'avance ; le Client peut s'y opposer en résiliant son abonnement. Kanso impose à ses sous-traitants des obligations équivalentes.

8. Transferts

Les données sont hébergées et traitées dans l'Union européenne. Tout transfert hors UE est subordonné à des garanties appropriées au sens du chapitre V du RGPD et notifié au Client.

9. Durées de conservation et fin de contrat

Conversations et demandes : 90 jours. Documents et données extraites : 90 jours. Pièces du Portail : jusqu'à la clôture du dossier, puis la durée choisie par le Client (90 jours par défaut), le Client et le Déposant étant prévenus 7 jours avant la suppression. Sauvegardes : 30 jours glissants. Journal d'audit : 365 jours. À la suppression de l'espace, les données sont effacées à l'issue d'un délai de grâce de 30 jours, durant lequel le Client peut annuler la suppression et exporter ses données.

10. Assistance

Kanso assiste le Client pour répondre aux demandes d'exercice de droits (export et suppression en libre-service, assistance par e-mail), pour les analyses d'impact et les consultations préalables le cas échéant.

11. Violation de données

Kanso notifie au Client toute violation de données personnelles dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les informations disponibles.

12. Audit

Kanso met à disposition les informations nécessaires pour démontrer le respect du présent accord. Un audit sur pièces peut être demandé une fois par an, avec un préavis de 30 jours.

13. Responsabilité

Chaque partie répond de ses propres manquements au RGPD. Les engagements de Kanso sont des obligations de moyens, dans les limites prévues aux conditions générales.