Contrat de sous-traitance des données (DPA)

1. Parties

Le présent contrat est conclu entre l'opticien utilisateur du service, responsable de traitement, et Optezia(la « Plateforme »), agissant en qualité de sous-traitant au sens de l'article 28 du RGPD.

2. Objet et durée

Optezia traite des données à caractère personnel pour le compte de l'opticien, aux seules fins d'exécuter le service : suivi de la relation client, relances (SMS, email, appel vocal assisté par IA) et prise de rendez-vous. Le traitement dure le temps de l'abonnement, puis pendant la période de restitution/suppression prévue à l'article 8.

3. Nature des données et personnes concernées

Personnes concernées : les clients de l'opticien.
Catégories de données : identité et coordonnées (nom, prénom, civilité, date de naissance, téléphone, email), historique d'achat (date, type de produit, montant), préférences et statuts de contact, transcriptions et résumés des échanges. Optezia ne collecte pas de mesures médicales (ordonnance, correction visuelle).

4. Obligations d'Optezia (sous-traitant)

• Traiter les données uniquement sur instruction documentée du responsable de traitement, et pour les seules finalités ci-dessus.
• Garantir la confidentialité : seules les personnes habilitées accèdent aux données, sous engagement de confidentialité.
• Mettre en œuvre des mesures de sécurité appropriées (art. 32) : chiffrement en transit, isolation stricte des données par opticien, contrôle d'accès.
• Appliquer une conservation limitée du contenu des échanges (minimisation, art. 5) : les transcriptions d'appels, résumés IA et corps des messages SMS/WhatsApp sont automatiquement effacés au bout de 90 jours. Seules des statistiques agrégées, sans contenu personnel (statut, canal, date, score d'appel), sont conservées pour le suivi.
• Assister l'opticien pour répondre aux demandes d'exercice des droits des personnes (accès, rectification, effacement, opposition).
• Notifier l'opticien sans délai injustifié en cas de violation de données.
• Aider l'opticien à respecter ses obligations (sécurité, notifications, analyses d'impact).
• Ne pas recruter de sous-traitant ultérieur sans information préalable (voir article 6).

5. Obligations de l'opticien (responsable de traitement)

• Disposer d'une base légale valable (dont le consentement lorsqu'il est requis) pour contacter ses clients par les canaux du service.
• Ne transmettre à la Plateforme que les données de ses propres clients, à jour et exactes.
• Informer ses clients du traitement et respecter leurs droits (dont l'opposition / opt-out).

6. Sous-traitants ultérieurs

L'opticien autorise Optezia à recourir aux sous-traitants suivants, tenus à des obligations équivalentes :

• Supabase (hébergement de la base de données, Union européenne).
• Vercel (hébergement de l'application ; traitement pouvant intervenir hors UE, États-Unis).
• Twilio (envoi des SMS et acheminement des appels).
• ElevenLabs (synthèse et compréhension vocale de l'assistant).
• Resend (envoi des emails).

7. Localisation et transferts

Les données au repos sont hébergées dans l'Union européenne. Certains traitements techniques peuvent intervenir en dehors de l'UE (États-Unis) via les sous-traitants ci-dessus ; les garanties appropriées (clauses contractuelles types) s'appliquent.

8. Sort des données en fin de contrat

À la fin de la prestation, Optezia procède, au choix de l'opticien, à la restitution puis à la suppression des données, sauf obligation légale de conservation.

9. Audit

Optezia met à disposition de l'opticien les informations nécessaires pour démontrer le respect de l'article 28, et se soumet aux audits raisonnables.