Accord de traitement des données (DPA)

Version 1.3, 19 octobre 2026. Publié sur operato-ai.com/fr/dpa. Traduction française de la version anglaise publiée sur operato-ai.com/dpa ; en cas de divergence, la version anglaise prévaut.

Le présent accord de traitement des données (« DPA ») fait partie des conditions d'utilisation (operato-ai.com/fr/terms, l'« accord ») conclues entre le client (le « Client », responsable du traitement) et Operato AI (« Operato AI », sous-traitant) pour l'utilisation de la plateforme Operato AI sur app.operato-ai.com (le « Service »). Il s'applique automatiquement à tout Client qui accepte les conditions d'utilisation, sans qu'aucune signature ne soit nécessaire. Un exemplaire contresigné est disponible sur demande à privacy@operato-ai.com. Le DPA encadre le traitement de données à caractère personnel par Operato AI pour le compte du Client au titre du règlement général sur la protection des données (UE) 2016/679 (« RGPD »), du RGPD britannique ou de lois équivalentes.

Sous-traitant : Sarah Rolland, entrepreneur individuel (Osek Patur) enregistré en Israël, exerçant sous le nom commercial Operato AI. Contact : privacy@operato-ai.com

Responsable du traitement : le Client désigné sur le compte ou le bon de commande.

1. Objet et durée

1.1 Operato AI traite des données à caractère personnel uniquement pour fournir le Service au Client, tel que décrit à l'annexe 1.

1.2 Le présent DPA s'applique tant qu'Operato AI traite des données à caractère personnel pour le Client, et prend fin lorsque ces données ont été supprimées ou restituées conformément à la section 9.

2. Instructions du Client

2.1 Operato AI traite les données à caractère personnel uniquement sur instruction documentée du Client. L'accord, le présent DPA et l'utilisation par le Client des fonctionnalités du Service constituent l'ensemble des instructions du Client.

2.2 Operato AI informe le Client si elle estime qu'une instruction constitue une violation du droit de la protection des données, sauf si la loi l'interdit.

3. Confidentialité

Toute personne autorisée par Operato AI à traiter des données à caractère personnel est soumise à une obligation de confidentialité. À ce jour, il s'agit uniquement de la fondatrice. Tout futur salarié ou prestataire ayant accès aux données signera un engagement de confidentialité avant d'y avoir accès.

4. Sécurité

4.1 Operato AI met en œuvre les mesures techniques et organisationnelles décrites à l'annexe 2, adaptées au risque du traitement.

4.2 Operato AI peut faire évoluer ces mesures à condition que le niveau global de protection ne diminue pas.

5. Sous-traitants ultérieurs

5.1 Le Client donne une autorisation générale à Operato AI pour recourir aux sous-traitants ultérieurs listés à l'annexe 3.

5.2 Operato AI informe le Client au moins 30 jours avant l'ajout ou le remplacement d'un sous-traitant ultérieur, par email au propriétaire du compte et par la mise à jour de la liste sur operato-ai.com/privacy. Le Client peut s'y opposer pour des motifs raisonnables liés à la protection des données pendant ce délai. Si les parties ne parviennent pas à résoudre l'objection, le Client peut résilier le Service concerné et obtenir le remboursement des sommes payées d'avance pour la période restante.

5.3 Operato AI impose à chaque sous-traitant ultérieur des obligations de protection des données au moins aussi protectrices que le présent DPA, et reste responsable de leur exécution.

6. Transferts internationaux

6.1 Lorsque des données à caractère personnel sont transférées hors de l'EEE ou du Royaume-Uni, Operato AI s'appuie sur un mécanisme de transfert valable : une décision d'adéquation (y compris le cadre de protection des données UE-États-Unis pour les destinataires certifiés), ou les clauses contractuelles types de la Commission européenne (2021/914) et, pour le Royaume-Uni, l'avenant international relatif aux transferts de données (International Data Transfer Addendum), tels que proposés par chaque sous-traitant ultérieur.

6.2 La plateforme et sa base de données sont hébergées dans l'UE (Paris, France). Operato AI est elle-même exploitée depuis Israël : l'accès à la plateforme par Operato AI à des fins de support et de maintenance constitue donc un transfert vers Israël. Israël bénéficie d'une décision d'adéquation de la Commission européenne (décision 2011/61/UE, confirmée lors de l'examen de la Commission de janvier 2024) et des règlements d'adéquation du Royaume-Uni, qui constituent le mécanisme de transfert pour cet accès.

7. Assistance au Client

7.1 Demandes des personnes concernées. Operato AI transmet au Client, sans y répondre, toute demande qu'elle reçoit directement d'une personne concernée, et aide le Client à répondre à ces demandes, compte tenu de la nature du traitement.

7.2 Autres formes d'assistance. Operato AI apporte une assistance raisonnable pour les analyses d'impact relatives à la protection des données et les consultations des autorités de contrôle, dans la mesure où elles concernent le Service.

8. Violations de données à caractère personnel

8.1 Operato AI informe le Client dans les meilleurs délais, et en tout état de cause dans les 48 heures après en avoir pris connaissance, de toute violation de données à caractère personnel affectant les données du Client.

8.2 La notification décrit, dans la mesure où ces éléments sont connus : la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d'enregistrements concernés, les conséquences probables, et les mesures prises ou envisagées. Les informations qui ne sont pas encore disponibles sont communiquées dès qu'elles le deviennent.

9. Suppression et restitution

9.1 Au choix du Client, Operato AI supprime les données à caractère personnel du Client, ou les restitue dans un format courant lisible par machine (CSV ou JSON) puis les supprime, dans les 30 jours suivant une demande écrite adressée à privacy@operato-ai.com, à tout moment pendant le Service ou après sa fin.

9.2 Si le Service prend fin sans une telle demande, Operato AI conserve les données du Client uniquement pendant la durée de conservation configurée pour le compte, afin que le Client puisse le rouvrir, puis les supprime automatiquement. La durée de conservation par défaut est de 400 jours après la fin du compte ; le Client peut la réduire, ou demander une suppression immédiate au titre de la section 9.1, à tout moment.

9.3 Les sauvegardes sont des instantanés quotidiens de la base de données, conservés chacun 30 jours (annexe 2). Les données supprimées disparaissent donc de toutes les sauvegardes dans les 30 jours suivant leur suppression. Les sauvegardes ne sont restaurées que pour rétablir le Service et, si une restauration devient nécessaire, les données supprimées entre-temps sont de nouveau supprimées.

9.4 La présente section ne s'applique pas aux données qu'Operato AI doit conserver en vertu de la loi (par exemple les données de facturation, détenues par Paddle en tant que Merchant of Record).

10. Audits

10.1 Operato AI met à disposition les informations raisonnablement nécessaires pour démontrer le respect du présent DPA, y compris un questionnaire de sécurité complété.

10.2 Si ces informations ne suffisent pas, le Client peut demander un audit, au maximum une fois par an, avec un préavis d'au moins 30 jours, à ses frais, réalisé par un auditeur tenu à la confidentialité, pendant les heures ouvrables et sans accès aux données des autres clients.

11. Responsabilité et ordre de priorité

11.1 La responsabilité de chaque partie au titre du présent DPA est soumise à la limitation de responsabilité prévue par les conditions d'utilisation (operato-ai.com/fr/terms, section « Le service est fourni tel quel » : responsabilité totale limitée aux montants payés au cours des douze mois précédant la réclamation, et aucune responsabilité pour les dommages indirects ou consécutifs), sans préjudice des droits des personnes concernées au titre de l'article 82 du RGPD.

11.2 En cas de contradiction entre le présent DPA et l'accord concernant le traitement des données à caractère personnel, le présent DPA prévaut.

12. Droit applicable et juridiction

12.1 Conformément à l'article 28, paragraphe 3, du RGPD, le présent DPA est régi par le droit de l'État membre de l'UE dans lequel le Client est établi, ou par le droit français si le Client n'est pas établi dans l'UE. Les litiges relatifs au présent DPA relèvent des juridictions de cet État membre.

12.2 Lorsque le RGPD britannique s'applique aux données du Client, le présent DPA est régi par le droit de l'Angleterre et du pays de Galles, et les litiges qui en découlent relèvent des juridictions de l'Angleterre et du pays de Galles.

12.3 Les sections 12.1 et 12.2 s'appliquent uniquement au présent DPA. Toutes les autres questions entre les parties restent régies par l'accord (les conditions d'utilisation sur operato-ai.com/fr/terms), y compris son choix du droit israélien, et rien dans la présente section ne limite les droits des personnes concernées ni les pouvoirs des autorités de contrôle au titre du RGPD.

13. Modifications du présent DPA

13.1 Operato AI peut mettre à jour le présent DPA, par exemple pour refléter un nouveau sous-traitant ultérieur ou un changement d'entité juridique. La version en vigueur est publiée sur operato-ai.com/dpa avec sa date.

13.2 Operato AI informe le Client par email au moins 30 jours avant toute modification qui réduirait la protection des données à caractère personnel du Client. Les modifications de la liste des sous-traitants ultérieurs suivent la section 5.2.

Annexe 1 : description du traitement

Remarque sur les données de marque. Les noms de marques, les sites web, les concurrents et les questions suivies sont des informations commerciales, et non des données à caractère personnel. Les questions envoyées aux fournisseurs d'IA sont des questions de catégorie (par exemple « meilleur CRM pour les petites équipes ») et ne contiennent aucune donnée à caractère personnel.

Annexe 2 : mesures techniques et organisationnelles

Hébergement et réseau

• La plateforme fonctionne sur Fly.io, dans la région de Paris (France, UE). Les nouveaux comptes sont hébergés dans l'UE par défaut.
• Tout le trafic passe exclusivement en HTTPS, avec des certificats TLS émis et renouvelés automatiquement. Le HTTP simple est redirigé.

Chiffrement

• En transit : TLS pour toutes les connexions à la plateforme, à l'API et aux sous-traitants ultérieurs.
• Au repos : la base de données se trouve sur un volume Fly.io chiffré. En complément, les champs sensibles (identifiants des comptes connectés et autres champs de données à caractère personnel désignés) sont chiffrés au niveau applicatif en AES-256-GCM, avec une clé maîtresse conservée comme secret en dehors de la base de données.

Contrôle d'accès

• Les mots de passe ne sont jamais stockés. Seule une empreinte scrypt avec un sel propre à chaque utilisateur est conservée.
• Les sessions utilisent des jetons aléatoires, stockés uniquement sous forme d'empreinte, dans des cookies HttpOnly, Secure et SameSite. Les sessions clients expirent après 30 jours, les sessions opérateur après 7 jours.
• Accès par rôle au sein de chaque compte client : propriétaire, administrateur, analyste, lecteur.
• La connexion avec Google est disponible comme alternative au mot de passe.

Isolation des clients

• Chaque accès aux données est limité à l'organisation du client au niveau de la couche d'accès aux données, et pas seulement dans l'interface.

Accès opérateur

• L'accès à la production est réservé à la fondatrice, via les outils authentifiés de l'hébergeur.
• L'accès de support à un compte client (connexion en tant que client) est journalisé avec l'identité de l'opérateur.

Journalisation et prévention des abus

• Les événements liés à la sécurité (connexion, création de compte, invitations, réinitialisations de mot de passe, accès de support) sont enregistrés dans un journal d'audit.
• Les points d'accès publics (inscription, connexion, réinitialisation du mot de passe, vérifications publiques) sont soumis à une limitation du nombre de requêtes.

Minimisation et conservation des données

• Seules les données nécessaires au fonctionnement du Service sont collectées.
• Un processus de purge supprime les données dont la durée de conservation est écoulée. Une fonction d'effacement par identifiant permet de répondre aux demandes des personnes concernées.

Sauvegarde et restauration

• Instantanés quotidiens automatiques du volume chiffré de la base de données par Fly.io, dans la même région de l'UE, conservés chacun 30 jours, avec une restauration testée.

Paiements

• Les paiements sont entièrement gérés par Paddle (Merchant of Record). Operato AI ne reçoit ni ne stocke jamais de données de carte bancaire.

Pratiques de développement

• Chaque modification passe une suite de tests automatisés (environ 600 tests, dont des tests d'isolation des clients et d'authentification) avant d'être déployée.
• Les secrets sont conservés dans le coffre de secrets de l'hébergeur, jamais dans le code source.

Annexe 3 : sous-traitants ultérieurs

Dernière mise à jour : 18 octobre 2026.

Operato AI est elle-même exploitée depuis Israël (section 6.2) : décision d'adéquation de la Commission européenne.

Uniquement lorsque le Client les connecte (comptes propres du Client, utilisés dans le cadre de son propre contrat avec ce fournisseur) : OpenAI Ads, Google Ads, Microsoft Advertising, Google Analytics 4, AppsFlyer, Adjust.