Définitions
Données à caractère personnel : toute information se rapportant à une personne physique identifiée ou identifiable.
Catégories particulières de données : données visées à l'article 9 du RGPD, notamment les données concernant la santé.
Violation de données : violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel ou l'accès non autorisé à de telles données.
Instructions : directives documentées du Client à Godia.ai concernant le traitement des données à caractère personnel.
Sous-traitant ultérieur : tout tiers engagé par Godia.ai pour effectuer une partie du traitement.
Identification des parties
Responsable du traitement (Client) : l'entité cliente identifiée dans le bon de commande.
Sous-traitant (Godia.ai) : 777 Industries Luxembourg S.à r.l., 161, rue du Kiem, L-8030 Strassen, Luxembourg (RCS B302454). Contact : legal@godia.ai, support@godia.ai.
Objet et durée
- Objet
Mise à disposition de la plateforme Godia.ai : portail client sécurisé, agents conversationnels accessibles par widget, lien ou code QR, automatisations (règles, e-mails de service, fiches de demande) et, sur activation par le Client, module Godia Pilot connecté aux messageries Gmail ou Microsoft 365 (brouillons de réponse proposés, aucun envoi sans validation humaine).
- Durée
Le présent accord prend effet à la signature du contrat principal et prend fin à son expiration ou à sa résiliation, sous réserve des obligations de restitution et de suppression ci-dessous.
Données, personnes concernées et finalités
- Catégories de données
Conversations des agents (messages, langue, horodatage, identifiants techniques aléatoires, adresse IP tronquée, pays approximatif) ; demandes et coordonnées, lorsque le Client active leur recueil ; fichiers envoyés par les visiteurs, lorsque le Client l'autorise ; comptes et journaux de connexion des utilisateurs du Client ; empreintes SHA-256 des clés d'API ; pour le module Godia Pilot : contenu des e-mails lus à la demande (non conservé) et jetons d'accès chiffrés.
- Catégories particulières de données
La plateforme n'est pas conçue pour traiter des catégories particulières de données, et le Client ne configure pas ses agents pour en recueillir. Si un visiteur en communique spontanément, ces données ne sont utilisées que pour la conversation et suivent la durée de conservation fixée par le Client. Pour un Client du secteur de la santé ou du secteur public, Godia.ai applique une configuration renforcée : aucun recueil de coordonnées, aucun envoi de fichier, suppression automatique des conversations et mention de l'IA activée.
- Personnes concernées
Visiteurs et usagers des agents du Client, prospects et clients du Client, utilisateurs internes du Client.
- Finalités
Fourniture du service au Client, support, sécurité et prévention des abus. Godia.ai ne traite pas les données pour ses propres finalités et ne les utilise pas pour entraîner des modèles d'IA.
- Analyse d'impact
Les traitements sont décrits dans l'analyse d'impact DPIA-GODIA-2026-001, version 1.2 (octobre 2026), disponible sur demande à legal@godia.ai.
Instructions, confidentialité et accès du support
Godia.ai traite les données uniquement sur instruction documentée du Client (articles 28 et 29 du RGPD), y compris pour tout transfert, et l'informe immédiatement si une instruction lui paraît contraire à la réglementation. Les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité. Tout accès du support de Godia.ai aux données du Client est journalisé (conservation 90 jours) ; ces enregistrements sont communiqués au Client sur demande écrite.
Mesures de sécurité
- Authentification et contrôle des accès
Jetons de session signés en RS256 avec rotation des clés, mots de passe hachés (bcrypt, 12 tours), double authentification TOTP activée pour les comptes administrateurs de Godia.ai et exigible par le Client pour tous ses comptes, trois rôles (Owner, Admin, Member) et huit permissions granulaires.
- Cloisonnement entre clients
Identifiant client sur toutes les tables, vérifié par le middleware d'authentification à chaque appel et par un contrôle de propriété sur chaque point d'accès (refus HTTP 403). Toute tentative de violation du cloisonnement déclenche une alerte de sécurité.
- Chiffrement
Connexions chiffrées (HTTPS, HSTS). Jetons OAuth, identifiants d'intégration, secrets et clés de double authentification chiffrés en AES-256-GCM au niveau applicatif. Base de données chiffrée au repos par l'hébergeur.
- Minimisation
Adresse IP des visiteurs tronquée avant enregistrement ; identifiants visiteurs aléatoires, sans empreinte du navigateur ; aucune géolocalisation par un service tiers ; aucun script tiers chargé par le widget ; suppression automatique des conversations réglable par agent.
- Sauvegardes et continuité
Sauvegardes quotidiennes chiffrées dans l'Union européenne, restauration à un instant donné. Délai de reprise contractuel : 4 heures. Perte de données maximale : 24 heures.
- Traçabilité
Journaux non modifiables depuis l'interface (connexions et accès : 90 jours ; activité du portail : 30 jours ; alertes : 90 jours), exportables en JSON ou CSV depuis le portail, avec limitation du nombre d'exports.
Hébergement et sous-traitants ultérieurs
Le Client autorise Godia.ai à recourir aux sous-traitants ultérieurs ci-dessous. Godia.ai leur impose par contrat des obligations de protection des données équivalentes à celles du présent accord et reste responsable de leur exécution (article 28.4). Tout ajout ou remplacement d'un sous-traitant ultérieur est notifié au Client 30 jours à l'avance, avec un droit d'objection motivée.
| Sous-traitant | Rôle | Localisation des données | Contrat |
|---|---|---|---|
| Railway Corporation | Hébergement de l'application et du moteur de recherche dans la base | Pays-Bas (Amsterdam) | DPA |
| Neon (Databricks) | Base de données PostgreSQL et sauvegardes | Allemagne (Francfort) | DPA |
| Mistral AI SAS | Modèles de langage, lecture de documents, transcription. Point d'accès européen ; entraînement sur les données désactivé ; conservation zéro du contenu des conversations. | Union européenne | DPA |
| Mailjet (Sinch) | E-mails de service et notifications | Union européenne | DPA |
| Google LLC | Connexion avec un compte Google ; Gmail (module Godia Pilot). Uniquement sur activation par le Client. | États-Unis (clauses contractuelles types) | DPA |
| Microsoft Corporation | Connexion avec un compte Microsoft ; Microsoft 365 (module Godia Pilot). Uniquement sur activation par le Client. | UE et États-Unis (clauses contractuelles types) | DPA |
Modules optionnels (agent vocal, canaux de messagerie tiers, connecteurs d'agenda ou de gestion de la relation client) : les sous-traitants ultérieurs propres à ces modules sont communiqués au Client avant toute activation et ne sont utilisés qu'avec son autorisation écrite.
Transferts hors de l'Union européenne
Le calcul, la base de données et les modèles de langage sont hébergés et appelés dans l'Union européenne. Les transferts hors de l'Union sont limités à :
- Google LLC, si le Client active la connexion Google ou le module Godia Pilot avec Gmail ;
- Microsoft Corporation, si le Client active la connexion Microsoft ou le module Godia Pilot avec Microsoft 365.
Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne.
Assistance au Client
Godia.ai aide le Client, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes des personnes concernées (export des conversations, suppression d'une conversation et de ses copies, purge par ancienneté, anonymisation d'un agent), à assurer la sécurité du traitement, à notifier les violations de données et à réaliser ses analyses d'impact et consultations préalables (articles 32 à 36 du RGPD), notamment en lui fournissant l'analyse d'impact de la plateforme et un dossier de conformité adapté à son activité. Contact : legal@godia.ai.
Violations de données
Godia.ai notifie le Client sans retard injustifié après avoir pris connaissance d'une violation de données, et dans un délai de 4 heures pour un incident critique, avec les informations disponibles : nature de la violation, catégories et nombre approximatif de personnes et d'enregistrements concernés, conséquences probables, mesures prises ou envisagées. Il appartient au Client, responsable du traitement, de notifier l'autorité de contrôle compétente dans les 72 heures lorsque l'article 33 du RGPD l'exige ; Godia.ai lui fournit les éléments nécessaires. Chaque incident est documenté (chronologie, impact, mesures correctives) dans le module de rapports post-incident du portail.
Audits
Godia.ai met à la disposition du Client toutes les informations nécessaires pour démontrer le respect du présent accord et permet la réalisation d'audits, y compris d'inspections, par le Client ou par un auditeur qu'il mandate, tenu à la confidentialité (article 28.3.h). Elle fournit d'abord des preuves documentaires : politique de sécurité, analyse d'impact, registre des prestataires, réponses aux questionnaires de sécurité. Une inspection sur site est organisée avec un préavis raisonnable, sur un périmètre défini et sans accès aux données des autres clients ; ses coûts sont à la charge du demandeur, sauf manquement constaté.
Conservation
| Catégorie | Durée de conservation |
|---|---|
| Conversations et leurs copies techniques | Durée fixée par le Client pour chaque agent, avec suppression automatique quotidienne ; à défaut, durée du contrat |
| Journaux de connexion et d'accès | 90 jours |
| Journaux d'activité du portail | 30 jours |
| Historique des alertes de sécurité | 90 jours |
| Sauvegardes chiffrées | Fenêtre glissante de l'hébergeur de base de données |
Restitution et suppression en fin de contrat
À la fin du contrat, au choix du Client : export complet des données fourni sur demande écrite dans les 30 jours (JSON ou CSV, format PostgreSQL standard), puis suppression définitive de l'ensemble des données du Client dans les 60 jours suivant la fin du contrat, sauf obligation légale de conservation. Une attestation de suppression est remise dans les 15 jours suivant la suppression effective, sur demande écrite.
Droit applicable et juridiction
Le présent accord est régi par le droit luxembourgeois. Tout litige relatif à sa formation, son interprétation ou son exécution relève de la compétence exclusive des tribunaux de Luxembourg-Ville, conformément aux conditions générales de vente. L'autorité de contrôle chef de file de Godia.ai est la Commission nationale pour la protection des données (CNPD).
Contact et version signée
Protection des données : legal@godia.ai. Support : support@godia.ai. Pour obtenir une version PDF signée du présent accord, écrivez-nous par e-mail.