Accord de sous-traitance.
Version du 14 octobre 2026 · fait partie des conditions d'utilisation, accepté lors de l'inscription
Pourquoi ce document ?
- Quand Myra répond aux visiteurs de votre site, elle traite leurs données pour votre compte. Le RGPD exige alors un contrat entre vous et nous : le voici.
- Il est déjà accepté quand vous créez votre compte. Vous n'avez rien à signer en plus.
- Votre seule démarche : ajouter le texte ci-dessous à la politique de confidentialité de votre site.
Le texte à ajouter à votre politique de confidentialité
Copiez-le dans la page « Politique de confidentialité » ou « Données personnelles » de votre site. Adaptez-le si besoin.
Assistante IA « Myra » Notre site propose une assistante de vente par intelligence artificielle, Myra, qui répond à vos questions à l'écrit ou à la voix et vous aide à trouver un produit ou un service. Vous parlez à une IA, pas à une personne. Données traitées : vos questions et les réponses de l'assistante, la page que vous consultez (adresse, titre et texte visible) et, techniquement, votre adresse IP pour la protection contre les abus. L'assistante ne vous demande ni nom, ni coordonnées, ni données bancaires : merci de ne pas lui confier d'informations sensibles. Elle ne lit pas les pages de paiement, de commande ou de votre compte client. Finalité et base légale : vous conseiller et répondre à vos demandes (mesures précontractuelles et notre intérêt légitime à vous assister). Conservation : la conversation est gardée uniquement dans votre navigateur, le temps de l'onglet ouvert. Elle n'est pas enregistrée sur les serveurs de l'assistante. Destinataires : le service est fourni par Myra, notre sous-traitant, qui fait appel au modèle d'IA d'Anthropic (États-Unis) pour rédiger les réponses, avec des garanties encadrant ce transfert (clauses contractuelles types de la Commission européenne). Si vous utilisez le micro, la conversation à la voix passe par ElevenLabs (transcription et voix de l'assistante), sans enregistrement conservé. Pour exercer vos droits (accès, rectification, effacement, opposition) ou pour toute question, contactez-nous à : [votre adresse e-mail]. Plus d'informations : https://heymyra.be/confidentialite
1. Objet et parties
Le présent accord est conclu entre le client de Myra (le « responsable du traitement ») et Haji Abdul Latif Manna, indépendante, éditrice de Myra (le « sous-traitant »). Il précise les conditions dans lesquelles le sous-traitant traite des données personnelles pour le compte du responsable du traitement, conformément à l'article 28 du Règlement (UE) 2016/679 (RGPD). En cas de contradiction avec les conditions d'utilisation, le présent accord prévaut pour tout ce qui concerne les données personnelles.
2. Description du traitement
| Élément | Description |
|---|---|
| Objet | Fourniture d'une assistante de vente par IA installée sur le site du responsable du traitement |
| Durée | Durée de l'abonnement, jusqu'à la suppression du compte |
| Nature et finalité | Recevoir les questions des visiteurs, générer des réponses à partir du contenu du site, afficher et ajouter des produits au panier à leur demande, protéger le service contre les abus, produire des statistiques chiffrées pour le client |
| Personnes concernées | Visiteurs du site du responsable du traitement qui utilisent l'assistante |
| Données | Contenu des messages (texte ou voix transcrite), adresse et texte de la page consultée, produits ajoutés au panier, adresse IP (technique). Aucune catégorie particulière de données n'est demandée (article 9 RGPD). |
| Conservation | Conversations : non conservées par le sous-traitant (stockage dans le navigateur du visiteur, effacé à la fermeture de l'onglet). Adresse IP : de 2 minutes à 2 heures, sauf blocage d'un abus ; empreinte irréversible (IP + navigateur) pour compter les conversations : 30 minutes. Statistiques : chiffres anonymes, 9 à 40 jours. |
3. Engagements du sous-traitant
- Traiter les données uniquement sur instruction documentée du responsable du traitement. Ces conditions et les réglages de « Mon espace » constituent ces instructions. Il l'informe immédiatement s'il estime qu'une instruction viole la réglementation.
- Garantir la confidentialité : seules les personnes autorisées, tenues au secret, ont accès aux données.
- Mettre en œuvre les mesures de sécurité décrites en annexe (article 32 RGPD).
- Aider le responsable du traitement à répondre aux demandes des personnes (accès, effacement, opposition…), à assurer la sécurité, à gérer une violation de données et, le cas échéant, à réaliser une analyse d'impact.
- Ne pas utiliser les données pour son propre compte. En particulier, ni lui ni ses sous-traitants ne les utilisent pour entraîner des modèles d'IA, pour de la publicité ou pour les revendre.
- Tenir un registre des traitements effectués pour le compte de ses clients (article 30.2 RGPD).
4. Engagements du responsable du traitement
- Informer les visiteurs de son site du traitement (voir le texte ci-dessus) et disposer d'une base légale.
- Ne pas demander à l'assistante de collecter des données sensibles ou non nécessaires.
- Transmettre au sous-traitant, sans délai, toute demande d'une personne qui le concerne.
5. Sous-traitants ultérieurs
Le responsable du traitement autorise le recours aux sous-traitants suivants. Chacun est lié par un contrat imposant des obligations équivalentes à celles du présent accord.
| Sous-traitant | Service | Lieu de traitement | Garantie de transfert |
|---|---|---|---|
| Render Services, Inc. | Hébergement du serveur | Francfort, Allemagne (UE) | Clauses contractuelles types |
| Upstash, Inc. | Base de données (aucune conversation) | Francfort, Allemagne (UE) | Clauses contractuelles types |
| Anthropic, PBC | Modèle d'IA (rédaction des réponses) | États-Unis | Clauses contractuelles types (accord de traitement d'Anthropic) |
| ElevenLabs | Conversation à la voix (transcription et voix de Myra) ; le son et la transcription sont effacés après la conversation, à notre demande | États-Unis | Clauses contractuelles types (accord de traitement d'ElevenLabs) |
Le sous-traitant informe le responsable du traitement par e-mail au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant ultérieur. Le responsable du traitement peut s'y opposer pour un motif raisonnable. À défaut d'accord, il peut résilier sans frais.
Stripe (paiement) et Resend (e-mails) ne reçoivent que des données des clients de Myra, jamais celles de leurs visiteurs. Ils n'agissent donc pas comme sous-traitants au titre du présent accord.
6. Transferts hors de l'Union européenne
Lorsque des données sont traitées hors de l'Espace économique européen (notamment aux États-Unis), le transfert est encadré par une décision d'adéquation (cadre UE–États-Unis de protection des données, si le destinataire y adhère) ou par les clauses contractuelles types adoptées par la Commission européenne (décision 2021/914), complétées si besoin de mesures supplémentaires (chiffrement en transit, minimisation).
7. Violation de données
Le sous-traitant notifie au responsable du traitement toute violation de données personnelles dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance. Il lui transmet les informations utiles : nature de la violation, données et personnes concernées, conséquences probables, mesures prises. Le responsable du traitement peut ainsi, si nécessaire, informer l'autorité de contrôle dans les 72 heures.
8. Fin du contrat
À la suppression du compte, le sous-traitant efface les données traitées pour le client (réglages, statistiques, contenu lu sur son site). Les conversations n'étant pas conservées, il n'y a rien d'autre à restituer. Le client peut télécharger ses données depuis « Mon espace » avant de supprimer son compte. Seules les données que la loi impose de garder (factures) sont conservées pendant la durée légale.
9. Documentation et audit
Le sous-traitant met à disposition du responsable du traitement, sur demande, les informations nécessaires pour démontrer le respect du présent accord. Il permet des audits raisonnables, annoncés au moins 30 jours à l'avance, aux frais du demandeur, au plus une fois par an sauf violation de données.
Annexe : mesures de sécurité
- Minimisation : les conversations ne sont pas stockées sur nos serveurs. L'assistante ne demande aucune coordonnée et ne lit pas les pages de paiement, de commande ou de compte client.
- Chiffrement en transit : HTTPS/TLS partout, y compris vers la base de données.
- Hébergement des données dans l'UE : base de données à Francfort (Allemagne).
- Contrôle d'accès : administration réservée à l'éditeur, protégée par mot de passe et code à usage unique envoyé par e-mail. Sessions de 12 heures. Clés secrètes hors du code, dépôt de code privé.
- Comptes clients : mots de passe protégés par empreinte scrypt avec sel, cookies de session signés (HttpOnly, Secure, SameSite), protection contre les requêtes intersites, limitation des tentatives de connexion.
- Protection contre les abus : limites par adresse IP, par site et globales, blocage d'urgence d'un site ou d'une adresse, contrôle des messages par un filtre de sécurité.
- Isolation des sites : un site n'est reconnu que par l'origine réelle de la page, vérifiée par le navigateur, et après preuve d'installation du script. Un client ne peut pas utiliser le quota ou les réglages d'un autre.
- Lecture des sites sécurisée : seules les adresses publiques sont lues (aucun accès aux réseaux internes).
- Suivi : alertes en cas d'erreur, de consommation anormale ou de problème détecté sur un site client.