Accord de Traitement des Données

Cloudflare Web Analytics est utilisé pour la mesure d'audience sans cookie et les Core Web Vitals sur le site public. Il n'utilise pas de cookies, ne suit pas les utilisateurs individuellement et n'est pas utilisé pour traiter le contenu Client dans le Service.

Objet

Le présent Accord de Traitement des Données, ou DPA, s'applique lorsque Bonmoniq traite des données personnelles pour le compte d'un Client professionnel dans le cadre du Service.

Il complète les Conditions Générales de Vente Professionnelles et s'applique uniquement aux traitements pour lesquels le Client agit en qualité de responsable de traitement et Bonmoniq agit en qualité de sous-traitant au sens de l'article 4 du RGPD.

Parties

Bonmoniq est représentée par Dmitrii Poroshkov, Président.

Objet et durée du traitement

Nature et finalité du traitement

Bonmoniq ne traite les données du Client que pour fournir le Service et selon les instructions documentées du Client.

Catégories de personnes concernées et de données

Le Client s'engage à ne pas importer de catégories particulières de données au sens de l'article 9 du RGPD, de données d'infractions au sens de l'article 10 du RGPD ou de données de mineurs via les champs ordinaires du Service, sauf accord écrit préalable et mesures complémentaires documentées.

Les fonctionnalités de voix et de messagerie peuvent, par nature, capter incidemment des catégories particulières de données exprimées par les participants. Le cas échéant, le Client reste responsable de traitement et lui incombe d'identifier une condition de l'article 9(2) du RGPD ainsi que d'informer les participants et de recueillir tout consentement requis par les règles applicables au consentement à l'enregistrement. Bonmoniq ne traite ce contenu qu'en qualité de sous-traitant, sur sa propre infrastructure, pour fournir le Service.

Obligations de Bonmoniq en qualité de sous-traitant

Conformément à l'article 28(3) du RGPD, Bonmoniq s'engage à respecter les obligations suivantes.

Instructions documentées

Bonmoniq traite les données personnelles uniquement sur instructions documentées du Client, notamment les Conditions, le présent DPA, les paramétrages du Compte et les demandes écrites du Client.

Si Bonmoniq estime qu'une instruction viole le RGPD, la loi Informatique et Libertés ou une autre disposition applicable, Bonmoniq en informe le Client dans un délai de 5 jours ouvrés après identification de la difficulté.

Confidentialité du personnel

Bonmoniq limite l'accès aux données personnelles aux personnes qui en ont besoin pour fournir le Service ou le support. Ces personnes sont soumises à une obligation de confidentialité contractuelle ou légale.

Mesures de sécurité

Bonmoniq applique les mesures de sécurité de l'article 32 du RGPD décrites ci-dessous.

Sous-traitants ultérieurs

Le Client autorise Bonmoniq à recourir aux sous-traitants ultérieurs listés dans le présent DPA pour fournir le Service.

Bonmoniq informe le Client de tout ajout ou remplacement de sous-traitant ultérieur au moins 30 jours à l'avance par e-mail, notification dans le Service ou mise à jour documentée accessible au Client. La liste à jour des sous-traitants est celle figurant dans la version en vigueur du présent DPA, publiée sur /fr/legal/dpa avec sa date de mise à jour.

Le Client peut s'opposer à un nouveau sous-traitant pour un motif documenté lié à la localisation du traitement, à l'absence de garantie de transfert au sens de l'article 46 du RGPD, à l'ajout de catégories de données ou à un risque de sécurité identifié. En cas d'opposition non résolue, le Client peut résilier la partie concernée du Service avant l'entrée en vigueur du changement.

Bonmoniq impose à chaque sous-traitant ultérieur les mêmes obligations de protection des données que celles prévues par le présent DPA, conformément à l'article 28(4) du RGPD.

Assistance aux droits des personnes

Bonmoniq assiste le Client, compte tenu de la nature du traitement, pour répondre aux demandes d'exercice des droits prévus aux articles 15 à 22 du RGPD.

Si une personne concernée adresse directement une demande à Bonmoniq au sujet de données traitées pour le compte du Client, Bonmoniq transmet la demande au Client lorsque celui-ci est identifiable, sauf obligation légale contraire.

Assistance en cas de violation de données

Bonmoniq informe le Client sans délai indu, et en tout état de cause dans les 48 heures, après avoir pris connaissance d'une violation de données personnelles affectant les données traitées pour le compte du Client.

La notification initiale inclut les informations connues par Bonmoniq au moment de l'envoi et est complétée par mises à jour successives lorsque l'enquête confirme de nouveaux éléments:

• la nature de la violation;
• les catégories et volumes approximatifs de données concernées;
• les conséquences probables;
• les mesures prises ou proposées pour remédier à la violation;
• le point de contact Bonmoniq.

Le Client reste responsable des notifications à l'autorité de contrôle et aux personnes concernées lorsqu'il agit en qualité de responsable de traitement, sauf accord écrit contraire.

Assistance DPIA

Bonmoniq fournit au Client la documentation détenue par Bonmoniq sur l'architecture du Service, les sous-traitants, les localisations de traitement, les mesures de sécurité et l'historique des incidents confirmés concernant le Service pour l'aider à réaliser une analyse d'impact relative à la protection des données lorsque l'article 35 du RGPD l'exige.

Suppression ou restitution

À la fin du contrat, Bonmoniq supprime ou restitue les données personnelles traitées pour le compte du Client selon les instructions documentées du Client.

Bonmoniq peut conserver certaines données lorsque le droit français ou le droit de l'Union européenne l'exige, notamment pour la preuve, la comptabilité, la sécurité ou la défense de droits en justice.

Audits

Bonmoniq met à disposition du Client les informations nécessaires pour démontrer le respect de l'article 28 du RGPD.

Le Client peut demander un audit documentaire une fois par an, avec un préavis de 30 jours. Si l'audit documentaire ne permet pas de vérifier un point précis de l'article 28 du RGPD, un audit sur site peut être organisé sous accord de confidentialité, sans accès aux données d'autres clients, pendant les heures ouvrables et avec un périmètre limité au point non couvert.

Liste des sous-traitants ultérieurs

L'agent vocal IA fonctionne sur l'infrastructure propre de Bonmoniq à l'aide des modèles de langage propres de Bonmoniq ; le contenu des conversations IA n'est communiqué à aucun sous-traitant d'IA tiers. Bonmoniq prévoit de proposer la messagerie WhatsApp Business ; cette fonctionnalité n'est pas encore active, et Meta Platforms Ireland Limited sera ajoutée à cette liste, avec transferts ultérieurs vers les États-Unis, avant son activation.

Transferts internationaux

Lorsque des données personnelles sont transférées hors Union européenne, Bonmoniq utilise les mécanismes prévus par les articles 44 à 49 du RGPD.

Les contenus de conversation IA client sont traités sur l'infrastructure propre de Bonmoniq au sein de l'Union européenne et ne sont transmis à aucun fournisseur d'IA tiers. La couche de téléphonie professionnelle (numéros, voix, SMS) repose sur un mélange d'opérateurs UE et américains selon le pays du numéro : la voix et les SMS des numéros UE sont routés via des opérateurs établis dans l'UE, tandis que les numéros américains et internationaux, ainsi que certaines métadonnées de routage, sont traités par des opérateurs américains sous les Clauses contractuelles types et, le cas échéant, l'EU-US Data Privacy Framework. Cloudflare reste utilisé pour la diffusion du site, le DNS et la protection edge. Bonmoniq est titulaire de l'identifiant de communications électroniques attribué par l'ARCEP (BNMQ).

Bonmoniq ne présente pas cette architecture comme une indépendance totale vis-à-vis du droit américain. Les sous-traitants établis aux États-Unis, ou leurs sociétés mères américaines, peuvent être soumis à des législations américaines telles que le CLOUD Act, susceptibles d'imposer la communication de données qu'ils détiennent, quel que soit le lieu de stockage. Bonmoniq applique des mesures supplémentaires (minimisation des données, chiffrement en transit et au repos, routage UE pour les numéros UE et traitements d'IA auto-hébergés) en complément des mécanismes de transfert ci-dessus. Une analyse d'impact des transferts est tenue à jour et mise à disposition du Client sur demande.

Les Clauses contractuelles types adoptées par la Commission européenne (décision d'exécution 2021/914) sont incorporées au présent DPA par référence : le module responsable de traitement vers sous-traitant entre le Client et Bonmoniq et, lorsque Bonmoniq recourt à un sous-traitant hors UE, le module pertinent de la chaîne de sous-traitance. Leurs Annexes sont complétées par les coordonnées des parties, la description des traitements du présent DPA, les mesures de sécurité du présent DPA et la liste des sous-traitants ci-dessus.

Responsabilité et indemnisation

Chaque partie est responsable des manquements qui lui sont imputables au regard du RGPD, de la loi Informatique et Libertés et du contrat.

Bonmoniq n'est pas responsable des traitements déterminés par le Client, des données importées par le Client, des instructions illicites du Client ou des traitements effectués par le Client en dehors du Service.

Toute limitation de responsabilité convenue dans les Conditions ou le contrat principal s'applique à la responsabilité contractuelle entre les parties au titre du présent DPA dans les limites autorisées par le droit français. Une telle limitation n'affecte pas la responsabilité de l'une ou l'autre partie envers les personnes concernées au titre de l'article 82 du RGPD, ni ne s'applique lorsqu'elle est interdite par la loi.

Durée et résiliation

Le présent DPA entre en vigueur à la date à laquelle le Client accepte les Conditions ou signe un contrat incluant le DPA. Il reste applicable pendant toute la durée des traitements effectués par Bonmoniq pour le compte du Client.

La résiliation du contrat principal entraîne la fin du DPA après suppression ou restitution des données, sauf obligations légales de conservation.

Contact

Droit applicable et juridiction compétente

Le présent DPA est régi par le droit français et le droit de l'Union européenne applicable à la protection des données personnelles.

Pour les litiges entre professionnels relatifs au présent DPA, compétence exclusive est attribuée au Tribunal de commerce de Paris, sous réserve des dispositions impératives contraires.

Date de mise à jour

Le présent DPA a été mis à jour le 21 juin 2026.

---

Dernière mise à jour: 21 juin 2026 Pour toute question concernant ce document, contactez-nous à legal@bonmoniq.fr.