Accord de traitement des données (DPA)

• Responsable de traitement : le client (« vous »), entreprise utilisant Omybox
• Sous-traitant : Vazygo Ltd. Liability Co. (marque Omybox)
• Sous-traitants ultérieurs : voir liste section 5

Omybox traite les données personnelles fournies par le client à des fins exclusives de fourniture du Service : indexation des contenus du site, génération de réponses IA, gestion des conversations entre les visiteurs et le chatbot.

• Représentants du client (admins du compte Omybox)
• Visiteurs du site web du client qui interagissent avec le chatbot

• Identifiants de compte (email, nom, mot de passe haché)
• URLs et contenus publics du site indexé
• Identifiants techniques (UUID de session, IP, user-agent)
• Contenu des conversations chatbot
• Adresses email de visiteurs si volontairement fournies dans le chat

Liste nominative : la liste détaillée des prestataires (raison sociale, adresse, points de contact RGPD) est fournie sur demande à hello@omybox.ai dans le cadre de votre conformité.

Tout ajout de sous-traitant ultérieur sera notifié au client par email avec un préavis de 30 jours. Vous pouvez vous y opposer dans ce délai.

• Traiter les données uniquement sur instruction documentée du client (le contrat / les CGU)
• Garantir la confidentialité par tout le personnel ayant accès
• Mettre en œuvre des mesures techniques et organisationnelles adaptées (chiffrement TLS, hash bcrypt, accès restreint, backups chiffrés)
• Aider le client à répondre aux demandes d'exercice de droits (accès, effacement, portabilité)
• Notifier toute violation de données dans les 72h
• Supprimer ou retourner les données à la fin du contrat (au choix du client)
• Permettre les audits annuels sur demande raisonnable

• Chiffrement en transit (TLS 1.2+)
• Chiffrement au repos sur l'ensemble du stockage (base de données et fichiers)
• Hashing bcrypt des mots de passe
• Tokens API stockés chiffrés en base
• Authentification 2FA disponible (post-MVP)
• Logs d'accès avec rétention 30 jours
• Sauvegardes quotidiennes chiffrées sur 30 jours
• Tests de pénétration annuels

Certains sous-traitants sont localisés aux USA. Les transferts sont encadrés par les Standard Contractual Clauses (SCC) UE adoptées par la Commission européenne le 4 juin 2021, complétées par des mesures supplémentaires (chiffrement, anonymisation).

Ce DPA est valide tant que vous utilisez Omybox. À la résiliation :

• Vous pouvez exporter vos données depuis le dashboard pendant 30 jours
• Au-delà, toutes les données sont supprimées définitivement (sauf factures, conservées 10 ans pour obligation légale)

Ce DPA est automatiquement accepté lors de la création de votre compte. Pour une signature formelle ou des amendements spécifiques, contactez hello@omybox.ai.