Accord de sous-traitance des données

Le présent Accord de sous-traitance des données (l'« Accord ») fait partie des Conditions d'utilisation de Twinyx et régit le traitement des données personnelles que Twinyx effectue pour le compte de l'utilisateur, conformément à l'article 28 du règlement (UE) 2016/679 (« RGPD ») et à l'article 33 de la loi espagnole sur la protection des données, la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (« LOPDGDD »). Il est conclu par voie électronique lors de l'acceptation des Conditions (article 28.9 du RGPD).

1. Parties et rôles

• Responsable du traitement : l'utilisateur titulaire du compte Twinyx (ci-après la « Créatrice »), pour les données des personnes avec lesquelles elle converse sur les comptes Telegram qu'elle connecte au service.
• Sous-traitant : BAIXOSAMA INVERSIONES, SL, NIF B27854181, dont le siège est situé Rua Condesa Casa Barcenas, 11, 36204 Vigo, Pontevedra (ci-après « Twinyx »), contact : admin@twinyx.app.
• La Créatrice décide d'utiliser Twinyx pour gérer ses conversations, et à quelles fins. Twinyx traite ces données uniquement pour lui fournir le service.
• Sont exclus du présent Accord les traitements dont Twinyx est responsable : le compte de la Créatrice, la facturation, la sécurité du service, les communications commerciales et la conservation de la preuve de l'avis d'intelligence artificielle, qui est une obligation légale propre à Twinyx (article 50 du règlement (UE) 2024/1689). Ces traitements sont régis par la Politique de confidentialité.

2. Objet, nature et finalité

Twinyx traite les données des contacts de la Créatrice pour fournir le service souscrit : recevoir les messages de ses conversations Telegram, générer des réponses par intelligence artificielle en son nom et avec son style, classer les conversations, les lui transférer lorsque c'est nécessaire, gérer les échanges de promotions (SFS), filtrer le spam et lui présenter l'ensemble dans son tableau de bord. Le détail des personnes concernées, des données et des opérations figure à l'Annexe I.

3. Durée

Le présent Accord a la même durée que le compte de la Créatrice. Les dispositions relatives à la fin de la sous-traitance (clause 13) et à la conservation bloquée continuent de s'appliquer ensuite.

4. Instructions documentées

• Le présent Accord et la configuration que la Créatrice définit dans son tableau de bord constituent les instructions documentées du traitement.
• Twinyx ne traitera pas les données à ses propres fins : il ne les utilisera ni à des fins publicitaires, ni pour entraîner ou améliorer des modèles d'intelligence artificielle, ni pour créer des profils, et ne les communiquera pas à des tiers, sauf aux sous-traitants ultérieurs de l'Annexe II ou lorsque la loi l'exige. S'il le faisait, il deviendrait responsable de ce traitement (article 33.2 de la LOPDGDD).
• Les transferts internationaux ne seront effectués qu'aux sous-traitants ultérieurs de l'Annexe II et avec les garanties qui y sont indiquées.
• Si Twinyx estime qu'une instruction enfreint la réglementation en matière de protection des données, il en informera immédiatement la Créatrice.

5. Mesures convenues à l'égard des contacts

La Créatrice charge Twinyx d'appliquer en son nom, dans toutes ses conversations, les mesures suivantes, qui font partie du service et qu'elle ne peut pas désactiver :

• Avis d'intelligence artificielle avant le premier message automatique, avec un texte que la Créatrice peut reformuler mais pas supprimer.
• Demande de consentement explicite (articles 6.1.a et 9.2.a du RGPD) avant tout traitement par intelligence artificielle des messages de chaque contact, comprenant la déclaration de majorité, l'indication que le contact peut le retirer à tout moment et le lien vers les informations pour les contacts, qui expliquent comment le faire (en écrivant STOP dans le chat). Sans un OUI, écrit ou donné avec le bouton « Oui, j'accepte » de la demande, les messages ne sont pas traités par intelligence artificielle. Twinyx conserve la preuve de chaque étape au nom de la Créatrice.
• Arrêt en cas de mineur possible : si un contact indique être mineur, l'intelligence artificielle cesse de lui répondre et la Créatrice en est informée.
• Les contacts avec lesquels la Créatrice a déjà convenu d'un échange de promotions (SFS) ou qui figurent sur sa liste de collaboratrices de confiance (liste blanche), ainsi que les autres créatrices qui utilisent Twinyx, ne reçoivent pas la demande de consentement : leur traitement repose sur l'intérêt légitime de la Créatrice à gérer cet accord commercial, et ils reçoivent l'avis d'intelligence artificielle avec le lien vers les informations. Toute personne qui propose un échange pour la première fois reçoit la demande comme n'importe quel autre contact.

6. Confidentialité

Twinyx veille à ce que les personnes autorisées à traiter les données se soient engagées à respecter leur confidentialité ou soient soumises à une obligation légale de confidentialité (article 5 de la LOPDGDD), y compris après la fin de leur relation avec Twinyx. L'accès du personnel de Twinyx aux conversations est limité à ce qui est nécessaire pour le support et la sécurité, et il est journalisé.

7. Sécurité

Twinyx applique les mesures techniques et organisationnelles de l'Annexe III, adaptées au risque du traitement (article 32 du RGPD), en tenant compte du fait que les conversations peuvent contenir des catégories particulières de données. Twinyx peut les mettre à jour, à condition de ne pas réduire le niveau de protection.

8. Sous-traitants ultérieurs

• La Créatrice accorde à Twinyx une autorisation générale de recourir aux sous-traitants ultérieurs de l'Annexe II.
• Twinyx informera la Créatrice, par e-mail ou au moyen d'un avis dans le tableau de bord, de tout ajout ou remplacement d'un sous-traitant ultérieur au moins 30 jours à l'avance. La Créatrice pourra s'y opposer pour des motifs raisonnables liés à la protection des données ; si aucune solution n'est trouvée, elle pourra résilier le contrat sans pénalité avant que le changement ne prenne effet.
• Twinyx imposera contractuellement à chaque sous-traitant ultérieur les mêmes obligations en matière de protection des données que celles du présent Accord (article 28.4 du RGPD) et restera responsable envers la Créatrice du respect de ces obligations par chaque sous-traitant ultérieur.

9. Droits des personnes concernées

• Twinyx met à la disposition de la Créatrice et de ses contacts les outils pour exercer les droits : le retrait du consentement avec STOP, l'export des données et la suppression depuis le tableau de bord, et le traitement des demandes par e-mail.
• Instruction générale : la Créatrice charge Twinyx de traiter directement, en son nom, les demandes d'accès, de rectification, d'effacement, d'opposition, de limitation et de portabilité que ses contacts lui adressent, en vérifiant leur identité de manière proportionnée et en répondant dans le délai légal d'un mois. Twinyx informera la Créatrice de chaque demande traitée et lui transmettra, avant de répondre, celles qui nécessitent une décision de sa part.
• Si la Créatrice reçoit directement une demande qui nécessite d'agir sur les données traitées par Twinyx, elle la transmettra à admin@twinyx.app.

10. Assistance au responsable du traitement

Twinyx aidera la Créatrice, compte tenu de la nature du traitement et des informations à sa disposition, à respecter ses obligations en matière de sécurité, de notification des violations, d'analyse d'impact et de consultation préalable (articles 32 à 36 du RGPD). En particulier, il mettra à sa disposition, sur demande, un résumé de l'analyse d'impact du service réalisée par Twinyx.

11. Violations de données à caractère personnel

Twinyx notifiera à la Créatrice toute violation de la sécurité affectant les données de ses contacts dans les meilleurs délais et, en tout état de cause, dans un délai maximal de 48 heures après en avoir pris connaissance, avec les informations de l'article 33.3 du RGPD disponibles à ce moment-là, qu'il complétera ensuite. Twinyx documentera la violation, prendra les mesures pour l'atténuer et collaborera avec la Créatrice pour la notifier à l'autorité de contrôle et, le cas échéant, aux personnes concernées.

12. Information et audits

Twinyx mettra à la disposition de la Créatrice les informations nécessaires pour démontrer le respect du présent Accord (notamment le présent Accord, la description des mesures de sécurité et le résumé de l'analyse d'impact) et permettra la réalisation d'audits, y compris des inspections, par la Créatrice ou par un autre auditeur qu'elle a mandaté, et y contribuera. Les audits seront annoncés 30 jours à l'avance, limités à un par an sauf indices de manquement ou demande d'une autorité, réalisés pendant les heures de bureau, sans accès aux données d'autres clients, sous engagement de confidentialité et aux frais de la Créatrice, sauf s'ils révèlent un manquement de Twinyx.

13. Fin de la sous-traitance

• Avant de supprimer son compte, la Créatrice peut exporter les données depuis son tableau de bord ; cet export constitue la restitution des données prévue à l'article 28.3.g du RGPD.
• En supprimant le compte, la Créatrice décide de la destruction des données (article 33.3 de la LOPDGDD). Si elle le supprime depuis Paramètres, Twinyx efface immédiatement les données de ses systèmes ; si elle demande la suppression par e-mail, Twinyx l'effectue dans le délai indiqué à la section 10 de la Politique de confidentialité (un mois, prolongeable de deux mois dans les cas complexes).
• Après l'effacement, les sauvegardes sont écrasées en 24 heures, les tâches techniques en attente ou en échec sont effacées en 7 jours et les journaux techniques et d'observabilité, en 30 jours. Google conserve les données qu'il a déjà reçues (Gemini API, Annexe II) jusqu'à 55 jours, uniquement pour détecter les abus, puis les supprime.
• À la suppression du compte, ou lorsque la Créatrice retire un compte Telegram connecté, Twinyx pourra conserver, dûment bloqués, la preuve de l'avis d'intelligence artificielle, la preuve du consentement des contacts et les indicateurs de possible minorité d'âge (dans le second cas, ceux de ce compte Telegram) tant que des responsabilités peuvent découler de sa relation avec la Créatrice, et pendant 3 ans au maximum (article 33.4 de la LOPDGDD). Les données bloquées ne seront mises qu'à la disposition des juges et tribunaux, du ministère public ou des autorités compétentes, et seront détruites à l'expiration de ce délai.

14. Obligations de la Créatrice

La Créatrice, en tant que responsable du traitement, s'engage à :

• Utiliser le service uniquement avec des personnes qui lui écrivent ; Twinyx n'initie pas de conversations.
• Ne pas tenter de contourner, masquer ou dénaturer l'avis d'intelligence artificielle ou la demande de consentement, ni donner d'instructions contraires à la réglementation.
• Ne pas utiliser le service avec des mineurs, et vérifier l'âge des acheteurs de contenu pour adultes lorsque la loi l'exige. L'arrêt automatique en cas de mineur possible est une mesure d'appui et ne remplace pas cette obligation.
• Ne téléverser pour l'analyse du style que des captures d'écran de ses propres conversations et y masquer, lorsque c'est possible, le nom de ses contacts.
• Respecter ses autres obligations de responsable du traitement (notamment le registre des activités de traitement de l'article 30 du RGPD, lorsqu'il lui est applicable) et collaborer avec Twinyx pour répondre aux demandes d'exercice des droits de ses contacts.

15. Responsabilité

Chaque partie répond des dommages qu'elle cause en manquant au présent Accord ou à la réglementation en matière de protection des données, conformément à l'article 82 du RGPD. Pour le reste, les limitations de responsabilité des Conditions s'appliquent, sauf lorsque la loi ne permet pas de limiter la responsabilité.

16. Primauté et loi applicable

En matière de protection des données, le présent Accord prévaut sur toute autre disposition des Conditions. Il est régi par la loi espagnole et par le RGPD ; les litiges sont soumis aux juridictions compétentes selon les Conditions.

Annexe I. Description du traitement

Annexe II. Sous-traitants ultérieurs autorisés

Ne sont pas des sous-traitants ultérieurs : Telegram, la plateforme de messagerie choisie par la Créatrice, qui traite les messages en tant que responsable du traitement indépendant, et l'outil d'observabilité de l'intelligence artificielle, que Twinyx héberge sur sa propre infrastructure OVHcloud.

Annexe III. Mesures techniques et organisationnelles

• Chiffrement des communications (TLS/HTTPS) entre les utilisateurs, Telegram, les fournisseurs et Twinyx.
• Mots de passe conservés uniquement sous forme de hachage bcrypt, vérifiés au regard des mots de passe divulgués.
• Authentification à deux facteurs obligatoire pour le personnel disposant d'un accès d'administration ; secrets du second facteur chiffrés (AES-256-GCM).
• Isolement des données par compte et par compte Telegram connecté ; requêtes paramétrées.
• Journalisation des accès d'administration aux données des conversations et des actions de sécurité importantes.
• Limites de fréquence et mesures contre les abus et le spam.
• Minimisation : images traitées en mémoire sans être conservées ; historique limité ; journaux techniques et d'observabilité conservés 30 jours ; files de tâches de 1 à 7 jours ; aucune donnée des contacts dans les traces au-delà de ce qui est nécessaire pour déboguer le service.
• Consentement préalable des contacts avant tout traitement par intelligence artificielle et arrêt en cas de mineur possible.
• Sauvegarde quotidienne de la base de données, écrasée toutes les 24 heures.
• Fournisseurs liés par un contrat de sous-traitance et garanties pour les transferts internationaux.
• Procédures documentées de gestion des violations de sécurité et de traitement des demandes d'exercice des droits ; revues de sécurité régulières ; engagement de confidentialité du personnel.