Accord de traitement des données à caractère personnel (DPA)

Dernière mise à jour : 23 juillet 2026

Le présent accord de traitement des données à caractère personnel (l’« Accord » ou le « DPA ») est conclu entre THE CHATBOT FACTORY, société par actions simplifiée au capital de 9.600 euros, dont le siège social est situé 16, Villa des Nymphéas – 75020 Paris, immatriculée au registre du commerce et des sociétés de Paris sous le numéro 789 487 121 (« THE CHATBOT FACTORY »), et le Client, tel que défini aux conditions générales d’utilisation de la Solution Genii (les « CGU », accessibles à l’adresse https://www.tolk.ai/legal/cgu-genii). tolk.ai est une marque déposée et le nom commercial appartenant à THE CHATBOT FACTORY.

Article 1 – Objet et champ d’application

1.1. Le présent Accord définit les conditions dans lesquelles THE CHATBOT FACTORY traite des données à caractère personnel pour le compte du Client dans le cadre de la fourniture du Service, conformément à l’article 28 du règlement (UE) 2016/679 (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978 modifiée.

1.2. L’Accord fait partie intégrante de l’ensemble contractuel formé avec les CGU et les conditions générales de vente (les « CGV », accessibles à l’adresse https://www.tolk.ai/legal/cgv-genii) ou, le cas échéant, le devis applicable. Il est accepté dans les mêmes conditions que les CGU. Pour toute question relative à la protection des données à caractère personnel, l’Accord prévaut sur les CGU et les CGV en cas de contradiction.

1.3. Primauté d’un accord signé. Lorsqu’un contrat cadre comportant ses propres annexes relatives aux données à caractère personnel, ou un accord de traitement spécifique, a été signé entre THE CHATBOT FACTORY et le Client, ces documents prévalent intégralement sur le présent Accord pour les Services qu’ils couvrent.

1.4. L’Accord s’applique quel que soit le canal par lequel le Client a acquis le droit d’utiliser le Service : souscription via une Plateforme de Distribution, commande sur devis, ou mise à disposition par l’intermédiaire d’un revendeur, d’un intégrateur ou d’une centrale d’achat.

Article 2 – Définitions

Les termes « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « destinataire », « personne concernée », « violation de données à caractère personnel » et « transfert » ont la signification qui leur est donnée par le RGPD. Les termes identifiés par une majuscule et non définis au présent Accord ont la signification qui leur est donnée dans les CGU, notamment : Client, Collaborateur, Conversation, Plateforme, Plateforme de Distribution, Ressources Documentaires, Service, Solution, Trust Center, Utilisateur.

Article 3 – Qualification des parties

Pour les traitements décrits en Appendice A, mis en œuvre au travers du Service pour les besoins du Client : le Client, qui détermine les finalités et les moyens essentiels du traitement au travers de son usage et de son paramétrage du Service, agit en qualité de responsable du traitement ; THE CHATBOT FACTORY agit en qualité de sous-traitant. Lorsque le Client bénéficie du Service par l’intermédiaire d’un revendeur, d’un intégrateur ou d’une centrale d’achat, le présent Accord lie THE CHATBOT FACTORY à l’entité utilisatrice du Service en sa qualité de responsable du traitement, sans préjudice des qualifications propres à la chaîne contractuelle concernée.

Les traitements pour lesquels THE CHATBOT FACTORY agit en qualité de responsable du traitement (notamment la gestion des Comptes et des accès des Collaborateurs, la relation commerciale et la facturation) sont hors du champ du présent Accord et régis par sa politique de confidentialité, accessible à l’adresse https://www.tolk.ai/legal/politique-de-confidentialite.

Article 4 – Prise d’effet et durée

L’Accord prend effet concomitamment au début de l’utilisation du Service et demeure en vigueur pendant toute la durée de celle-ci, puis pendant la période nécessaire au sort des données prévue à l’article 14.

Article 5 – Description du traitement

L’objet, la durée, la nature et les finalités du traitement, les catégories de données à caractère personnel et les catégories de personnes concernées sont décrits en Appendice A, qui fait partie intégrante de l’Accord.

Article 6 – Engagements de THE CHATBOT FACTORY

6.1. Engagements généraux

Au titre de la sous-traitance, THE CHATBOT FACTORY s’engage à :

  • traiter les données à caractère personnel transmises par le Client ou collectées à l’occasion de l’utilisation du Service uniquement sur instructions documentées du Client : le Contrat, le présent Accord et le paramétrage du Service constituant notamment lesdites instructions ; et dans la seule mesure nécessaire à la fourniture du Service ainsi que, le cas échéant, à la détection des incidents de sécurité et au maintien de la cohérence du Service ;
  • informer le Client si, selon elle, une instruction constitue une violation du RGPD ou d’autres dispositions du droit de l’Union ou du droit français relatives à la protection des données ;
  • mettre en place les mesures techniques et organisationnelles destinées à assurer la sécurité, la confidentialité, l’intégrité et la disponibilité des données, dans les conditions de l’article 8 ;
  • veiller à ce que ses employés, collaborateurs, consultants et sous-traitants ultérieurs autorisés à traiter les données dans le cadre de leurs missions soient soumis à une obligation de confidentialité appropriée ;
  • tenir un registre des activités de traitement effectuées pour le compte du Client, conformément à l’article 30.2 du RGPD, et coopérer, à la demande du Client, avec l’autorité de contrôle compétente.

6.2. Assistance au Client

Compte tenu de la nature du traitement et des informations à sa disposition, THE CHATBOT FACTORY assiste le Client, par des mesures techniques et organisationnelles appropriées, pour : (i) donner suite aux demandes d’exercice des droits des personnes concernées (articles 12 à 22 du RGPD), dans les conditions de l’article 7 ; (ii) assurer le respect de ses obligations en matière de sécurité, de notification des violations de données (articles 32 à 34 du RGPD) et, le cas échéant, d’analyse d’impact relative à la protection des données et de consultation préalable (articles 35 et 36 du RGPD).

Article 7 – Droits des personnes concernées

7.1. Il appartient au Client, en sa qualité de responsable du traitement, d’informer les personnes concernées et de répondre à leurs demandes d’exercice de droits. THE CHATBOT FACTORY transmet au Client, sans retard injustifié, toute demande d’exercice de droits qui lui parviendrait directement, sans y répondre elle-même sauf instruction contraire du Client ou obligation légale, et met à la disposition du Client les fonctionnalités du Service permettant d’y donner suite (consultation, export, rectification et suppression des données concernées).


7.2. Demandes relayées par une Plateforme de Distribution. Lorsque le Service a été installé via une Plateforme de Distribution, certaines demandes d’accès ou d’effacement peuvent être relayées à THE CHATBOT FACTORY par l’opérateur de celle-ci, selon ses procédures. Le Client reconnaît et accepte que THE CHATBOT FACTORY donne suite à ces demandes dans les délais et conditions imposés par l’opérateur, et en informe le Client lorsque cela est pertinent et techniquement possible.

Article 8 – Sécurité

THE CHATBOT FACTORY met en œuvre les mesures techniques et organisationnelles appropriées au regard du risque, conformément à l’article 32 du RGPD, incluant notamment le chiffrement des données en transit et au repos, le contrôle et la traçabilité des accès, le cloisonnement des environnements et des données par client, la sauvegarde régulière et des tests réguliers d’évaluation de l’efficacité des mesures. La description à jour du dispositif de sécurité, des certifications et qualifications de THE CHATBOT FACTORY et de ses hébergeurs est publiée au Trust Center, accessible à l’adresse https://helpcenter.tolk.ai/trust-center

Article 9 – Localisation et transferts

9.1. Les données à caractère personnel traitées pour le compte du Client sont stockées et hébergées en France ou, à titre transitoire et le cas échéant, sur le territoire de l’Union européenne, sur les infrastructures décrites au Trust Center.

9.2. Aucun transfert de données à caractère personnel en dehors de l’Union européenne n’est réalisé sans que le Client en soit préalablement informé et sans la mise en place des garanties appropriées requises par le chapitre V du RGPD, notamment les clauses contractuelles types adoptées par la décision d’exécution (UE) 2021/914 de la Commission du 4 juin 2021, complétées le cas échéant de mesures supplémentaires.

Article 10 – Sous-traitance ultérieure

10.1. Le Client autorise de manière générale THE CHATBOT FACTORY à recourir à des sous-traitants ultérieurs pour l’assister dans la fourniture de tout ou partie du Service et participer aux traitements mis en œuvre au titre du présent Accord.

10.2. La liste à jour des sous-traitants ultérieurs, précisant leur identité, leur rôle et leur localisation, est publiée en permanence au Trust Center, qui fait foi. Cette publication vaut information du Client sur les sous-traitants ultérieurs engagés à la date de son acceptation de l’Accord.

10.3. En cas d’ajout ou de remplacement d’un sous-traitant ultérieur, THE CHATBOT FACTORY en informe le Client, par courriel ou par notification dans le Service, au moins trente (30) jours avant sa prise d’effet, la liste du Trust Center étant mise à jour concomitamment. Le Client peut formuler des objections légitimes, par écrit, dans les quinze (15) jours calendaires de cette information. Si, à la suite d’une objection du Client, THE CHATBOT FACTORY ne renonce pas à la désignation projetée et qu’aucune solution alternative raisonnable ne peut être proposée, le Client peut mettre fin à son abonnement dans les conditions prévues par les CGV ou le devis applicable, sans pouvoir prétendre à une quelconque indemnisation.

10.4. THE CHATBOT FACTORY conclut avec ses sous-traitants ultérieurs des accords contenant, a minima, des obligations aussi strictes que celles mises à sa charge par le présent Accord, conformément à l’article 28.4 du RGPD, et demeure pleinement responsable vis-à-vis du Client de l’exécution des obligations confiées à ses sous-traitants ultérieurs. Au terme de l’Accord, THE CHATBOT FACTORY s’assure que ses sous-traitants ultérieurs suppriment ou lui retournent toutes les données à caractère personnel qui leur auraient été confiées.

Article 11 – Violation de données à caractère personnel

11.1. THE CHATBOT FACTORY notifie au Client toute violation de données à caractère personnel traitées pour son compte, sans retard injustifié et au plus tard quarante-huit (48) heures après en avoir pris connaissance, afin de permettre au Client de respecter ses propres obligations de notification à l’autorité de contrôle et, le cas échéant, aux personnes concernées (articles 33 et 34 du RGPD).

11.2. Cette notification décrit, dans la mesure des informations disponibles, la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables, ainsi que les mesures prises ou proposées pour y remédier ou en atténuer les effets ; les informations peuvent être communiquées de manière échelonnée. THE CHATBOT FACTORY documente la violation et coopère raisonnablement avec le Client. Cette notification et cette coopération ne valent ni reconnaissance de faute ni reconnaissance de responsabilité de la part de THE CHATBOT FACTORY.

Article 12 – Absence d’entraînement et statistiques anonymisées

12.1. Les données du Client et de ses Utilisateurs, en ce compris les Ressources Documentaires et le contenu des Conversations : (i) ne sont pas utilisées pour entraîner, affiner ou améliorer des modèles d’intelligence artificielle, que ce soit par THE CHATBOT FACTORY ou par ses sous-traitants ultérieurs, THE CHATBOT FACTORY imposant contractuellement cette interdiction à ces derniers ; (ii) ne sont communiquées à aucun tiers ni à aucun autre client, à l’exception des seuls sous-traitants ultérieurs visés à l’article 10 et des cas où la loi l’impose.

12.2. THE CHATBOT FACTORY peut constituer et exploiter, à des fins exclusivement internes d’exploitation, de sécurisation et d’amélioration du Service, des statistiques et données agrégées rendues anonymes au sens de la réglementation applicable, c’est-à-dire ne permettant plus, par aucun moyen raisonnable, l’identification directe ou indirecte d’une personne physique ni la réidentification du Client. Ces statistiques, qui ne constituent plus des données à caractère personnel, ne font l’objet d’aucune publication, communication ou commercialisation.

Article 13 – Conformité et audit

13.1. THE CHATBOT FACTORY met raisonnablement à la disposition du Client toutes les informations nécessaires à la démonstration du respect du présent Accord, notamment la documentation, les certifications et les rapports publiés ou référencés au Trust Center.

13.2. Le Client peut, au maximum une (1) fois par an, procéder ou faire procéder, à ses frais, par un auditeur indépendant soumis à confidentialité et n’étant pas un concurrent de THE CHATBOT FACTORY, à un audit destiné à vérifier le respect du présent Accord, moyennant un préavis écrit de trente (30) jours et sur la base d’un périmètre convenu de bonne foi. L’audit est conduit pendant les heures ouvrées, sans perturber l’activité de THE CHATBOT FACTORY, et ne peut en aucun cas donner accès aux données d’autres clients ni aux secrets d’affaires de THE CHATBOT FACTORY. Au-delà de cinq (5) heures de mobilisation de ses équipes, THE CHATBOT FACTORY peut facturer le temps passé au tarif raisonnable en vigueur. Un audit supplémentaire peut être conduit dans les mêmes conditions à la suite d’une violation de données ou d’une demande d’une autorité de contrôle compétente.

Article 14 – Sort des données au terme du Service

14.1. Au terme de l’utilisation du Service, quelle qu’en soit la cause, le Client choisit entre la restitution et la suppression des données à caractère personnel traitées pour son compte. Pendant une période de soixante (60) jours à compter de la fin effective de l’abonnement (la « Période de Réversibilité »), le Client peut exporter lui-même ses données, lorsque la fonctionnalité est disponible, ou en demander la restitution dans un format standard et couramment lisible, sans frais.

14.2. À défaut d’instruction du Client à l’issue de la Période de Réversibilité, THE CHATBOT FACTORY supprime les données à caractère personnel traitées pour le compte du Client, ainsi que leurs copies, sous réserve des données dont la conservation est requise par la loi (notamment à des fins comptables et probatoires), conservées pour les seules durées légales et sous accès restreint. Un certificat de suppression est remis au Client sur demande.

Par exception, s’agissant du Plan Gratuit visé aux CGV, les données sont supprimées dans un délai de quinze (15) jours suivant la fin de la période d’essai, sans préavis, le Client étant invité à les exporter avant ce terme.

14.3. Réserve — Plateformes de Distribution. Lorsque le Service a été installé via une Plateforme de Distribution, les procédures de suppression imposées par l’opérateur de celle-ci, notamment à la suite de la désinstallation du Service, prévalent sur la Période de Réversibilité et peuvent la réduire, en particulier s’agissant des données à caractère personnel. Le Client est en conséquence invité à procéder à l’export de ses données avant toute désinstallation.

Article 15 – Responsabilité

Les responsabilités encourues au titre du présent Accord s’exercent dans les conditions, exclusions et limites stipulées à l’article « Responsabilité » des CGV ou, le cas échéant, du contrat applicable entre les parties, en ce compris le plafond spécifique applicable aux manquements en matière de protection des données à caractère personnel et de confidentialité. Chaque partie demeure par ailleurs responsable des sanctions administratives qui lui seraient personnellement infligées par une autorité de contrôle à raison de ses propres manquements.

Article 16 – Modification, dispositions diverses et droit applicable

16.1. THE CHATBOT FACTORY peut modifier le présent Accord dans les mêmes conditions que les CGU : notification au moins trente (30) jours avant prise d’effet, faculté de résiliation sans frais en cas de modification substantiellement défavorable. Lorsque l’abonnement résulte d’un devis signé, la version visée au devis demeure applicable à la commande en cours.

16.2. Le référent de THE CHATBOT FACTORY pour la protection des données et pour toute question relative au présent Accord est Matthieu Bietry, joignable à l’adresse dpo@tolk.ai.

16.3. Le présent Accord est rédigé en français, toute traduction n’étant fournie qu’à titre de convenance. Il est soumis au droit français ; tout différend relatif à sa formation, son exécution, son interprétation ou sa cessation relève des juridictions désignées par les CGV.

Appendice A – Description du traitement

A.1. Objet et nature du traitement

Mise à disposition en mode SaaS de la Solution Genii et de la Plateforme associée, comprenant la collecte, l’enregistrement, l’organisation, la structuration, la conservation, la consultation, l’utilisation, l’extraction et l’effacement des données nécessaires à la fourniture du Service.

A.2. Durée du traitement

Durée de l’utilisation du Service, augmentée de la Période de Réversibilité prévue à l’article 14, sous réserve des conservations légales. En cours de Service, les Conversations et les données qui y sont associées sont conservées pendant la durée paramétrée par le Client depuis la Plateforme (fixée par défaut à douze (12) mois glissants) puis supprimées.

A.3. Finalités du traitement

  • Gestion de la relation client du Client : assistance et support des Utilisateurs via un dialogue automatisé ou assisté ; personnalisation des interactions ; conservation de l’historique et suivi des échanges pour assurer la continuité du service ;
  • Personnalisation et amélioration du service du Client : analyse des échanges pour identifier des points d’amélioration du parcours et affiner les réponses ; compréhension des demandes récurrentes ;
  • Analyse statistique et reporting au bénéfice du Client : mesure de la fréquence, de la durée et de l’efficacité des interactions ; suivi de la satisfaction et des indicateurs d’usage, consultables par le Client depuis la Plateforme.

A.4. Catégories de données à caractère personnel

  • Données d’identification et de contact des Utilisateurs communiquées au cours des Conversations (par exemple : nom, prénom, adresse électronique, numéro de téléphone, références client ou de commande) ;
  • Contenu des Conversations et métadonnées associées (horodatages, canal, langue) ;
  • Données contextuelles issues, sur paramétrage du Client, de ses propres systèmes (par exemple : statut d’une commande) ;
  • Données relatives aux Collaborateurs : identité, adresse électronique professionnelle, identifiants, journaux de connexion ;
  • Données techniques strictement nécessaires au fonctionnement et à la sécurité du Service.

Le Service n’est pas destiné au traitement de catégories particulières de données au sens de l’article 9 du RGPD ; le Client s’engage à ne pas orienter son paramétrage ou ses Ressources Documentaires vers la collecte de telles données, sauf accord préalable et mise en place d’un cadre adapté convenus avec THE CHATBOT FACTORY. Le Client qui envisage de tels traitements, ou qui a un doute sur la qualification des données concernées, est invité à se rapprocher préalablement des équipes de THE CHATBOT FACTORY.

A.5. Catégories de personnes concernées

  • les Utilisateurs du Client (utilisateurs et visiteurs de ses interfaces) ;
  • les Collaborateurs du Client ;
  • le cas échéant, les prospects et clients du Client dont les données sont traitées au cours des Conversations.

A.6. Sous-traitants ultérieurs

La liste à jour des sous-traitants ultérieurs (identité, rôle, localisation, certifications) est publiée au Trust Center, accessible à l’adresse https://helpcenter.tolk.ai/trust-center.