Accord de sous-traitance des données

1. Parties et rôles

• Responsable du traitement

  L’entreprise ou le professionnel qui souscrit à Muvly AI (le « client », par exemple une entreprise de déménagement). Il décide des finalités et des moyens du traitement des données de ses propres clients finaux.

• Sous-traitant

  Néstor Brito Medina, travailleur indépendant, numéro fiscal espagnol (NIF) Y6721372G, domicilié Calle Manzanilla 10, 3D, 41013 Séville (Espagne), qui fournit le service sous la marque Muvly.AI (ci-après « Muvly AI »). Contact : info@muvly.ai.

Les données du compte du client lui-même (inscription, facturation, utilisateurs du panneau) ne relèvent pas de ce document : Muvly AI en est responsable, selon sa politique de confidentialité.

2. Objet et durée

3. Nature et finalité du traitement

• Nature

  Traitement automatisé de données personnelles par un système d’intelligence artificielle conversationnelle, avec stockage temporaire et suppression automatique.

• Finalité

  Générer un devis de déménagement à partir de ce que raconte le client final dans le chat et le remettre au client.

• Ce que l’IA ne décide pas

  Le prix n’est pas calculé par le modèle de langage mais par le moteur de tarifs du client, avec les règles et les prix qu’il a lui-même configurés. Aucune décision produisant des effets juridiques sur la personne n’est prise uniquement par des moyens automatisés.

4. Types de données et personnes concernées

• Contact

  Nom, adresse e-mail et téléphone.

• Adresses et date

  Adresses de départ et d’arrivée et date du déménagement.

• Inventaire

  Biens à déménager et, s’il est indiqué, la valeur déclarée des objets ou véhicules à assurer.

• Photos de l’inventaire

  Les images que le client final envoie pendant la conversation.

• Contenu du chat

  Ce que le client final écrit et les réponses de l’assistant.

Les personnes concernées sont les clients finaux du client : celles qui demandent un devis par le chat.

5. Obligations de Muvly AI

• Suivre des instructions documentées

  Ne traiter les données que sur instructions documentées du client, à savoir ce document et la configuration du service que le client effectue dans son panneau, y compris pour les transferts. Si elle estime qu’une instruction viole la réglementation sur la protection des données, elle en informera le client.

• Confidentialité

  Veiller à ce que les personnes autorisées à traiter les données se soient engagées à respecter la confidentialité.

• Aucune autre finalité

  Ne pas utiliser les données à ses propres fins, ni les vendre, ni les céder à des tiers autres que les sous-traitants ultérieurs autorisés.

• Aide au client

  Aider le client, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes d’exercice des droits des personnes concernées et, le cas échéant, aux analyses d’impact et aux consultations de l’autorité de contrôle.

6. Mesures de sécurité

• Secrets chiffrés

  Les clés d’API des fournisseurs d’IA et les secrets du second facteur sont conservés chiffrés.

• Photos protégées

  Les photos de l’inventaire ne sont pas à une adresse publique : elles ne sont servies qu’à un utilisateur authentifié de l’entreprise à laquelle appartient le contact.

• Services internes

  Le service interne d’outils de l’assistant n’est pas accessible depuis Internet.

• Journalisation des requêtes du modèle

  Avec le modèle géré, la journalisation des requêtes côté AWS est désactivée.

7. Sous-traitants ultérieurs

• Amazon Web Services EMEA SARL (Amazon Bedrock)

  Intelligence artificielle : modèles d’IA générative de différents fournisseurs (tels qu’Anthropic, OpenAI, Google ou Meta), fournis via Amazon Bedrock, qui génèrent les réponses de l’assistant (modèle géré par Muvly AI). Reçoit le texte de la conversation et, le cas échéant, les photos de l’inventaire. UE (profil d’inférence de l’UE). Uniquement s’il n’est pas disponible, repli automatique sur le profil d’inférence global d’AWS, qui peut impliquer un traitement hors de l’UE ; dans ce cas, le transfert repose sur les clauses contractuelles types de la Commission européenne ou, si le fournisseur est certifié, le cadre de protection des données UE-États-Unis.

• Le fournisseur d’IA que configure l’entreprise cliente (si elle utilise sa propre clé)

  Uniquement si l’entreprise connecte son propre compte auprès d’un fournisseur de modèles de langage au lieu du modèle géré par Muvly AI. Reçoit le texte de la conversation et, le cas échéant, les photos de l’inventaire. Il est choisi et contracté par l’entreprise cliente, qui en répond ; Muvly AI se borne à acheminer la conversation vers le compte que cette entreprise a configuré.

• Google Maps Platform

  Géocodage des adresses et calcul de la distance entre l’origine et la destination. Reçoit l’adresse consultée, jamais la conversation complète. Peut impliquer un traitement hors de l’UE ; dans ce cas, le transfert repose sur les garanties prévues par le RGPD, comme les clauses contractuelles types de la Commission européenne ou, si le fournisseur est certifié, le cadre de protection des données UE-États-Unis.

• Amazon Web Services (Amazon SES)

  Envoi des e-mails transactionnels du service : vérification du compte et avis opérationnels. Reçoit l’adresse e-mail du destinataire et le contenu du message. Au sein de l’UE.

• IONOS

  Hébergement de l’infrastructure du service, de la boîte info@muvly.ai et de la zone DNS du domaine. Héberge les données du service et a accès aux e-mails envoyés à cette adresse.

8. Autres outils

• Stripe Payments Europe, Ltd. (Stripe)

  Paiement par carte des abonnements, des recharges du portefeuille et du pack de mise en place. Reçoit les données de facturation et de paiement de l’entreprise cliente ; Muvly AI ne conserve pas les données de la carte. Société établie en Irlande (UE).

• Mautic (outil propre)

  Gestion des communications commerciales : actualités par e-mail et désabonnements. Coordonnées professionnelles de la personne qui s’inscrit (pas celles des clients finaux) et sa préférence quant à la réception de communications. Hébergé sur l’infrastructure propre de Muvly AI : ce n’est pas un tiers et il n’ajoute aucun autre prestataire.

9. Transferts internationaux

10. Intelligence artificielle et absence d’entraînement

• Modèle géré par Muvly AI

  Des modèles d’IA générative de différents fournisseurs (tels qu’Anthropic, OpenAI, Google ou Meta), fournis par Amazon Web Services via Amazon Bedrock et traités normalement dans l’Union européenne (profil d’inférence de l’UE) et, uniquement en solution de repli automatique, dans d’autres régions d’AWS (profil d’inférence global), avec les garanties de transfert indiquées à la section 9.

• Engagement de non-entraînement

  Muvly AI n’utilisera pas les conversations, les photos ni les autres données du client pour entraîner ou améliorer des modèles d’intelligence artificielle, les siens ou ceux de tiers, et n’autorisera aucun sous-traitant ultérieur à le faire.

• Fournisseur d’IA propre au client

  Si le client connecte sa propre clé, c’est lui qui choisit ce fournisseur, contracte ses conditions et en répond, y compris quant à l’usage des données pour l’entraînement.

11. Conservation

• Conversation, inventaire et photos

  180 jours. Un processus automatique quotidien supprime les sessions échues, et les photos quittent le disque avant leur enregistrement.

• Devis et contact

  Ils constituent le registre commercial du client, qui fixe lui-même sa durée de conservation. La suppression du chat ne les touche pas.

12. Suppression ou restitution au terme

13. Information et audit

14. Violations de sécurité

15. Contact