dernière mise à jour 21 octobre 2026 · Human Forward LTD · hello@humanforward.io · Suisse

Accord de traitement des données

Traduit avec l'IA et vérifié par nos soins. Si vous repérez une erreur, écrivez-nous à hello@humanforward.io. La version anglaise est celle qui s'applique. Lire la version anglaise →

Le présent Accord de traitement des données (DPA) fait partie intégrante des Conditions relatives aux applications et outils d'IA, ainsi que de toute proposition, de tout bon de commande ou de toute lettre de mission en vertu desquels Human Forward LTD fournit des services à un client (ensemble, l'« Accord »). Il s'applique chaque fois que nous traitons des données à caractère personnel pour votre compte dans le cadre de la fourniture des services. Il est présigné par nos soins : en acceptant l'Accord, vous acceptez le présent DPA, et aucune signature distincte n'est nécessaire. Si vous avez besoin d'un exemplaire contresigné, écrivez à hello@humanforward.io.

En cas de conflit entre le présent DPA et l'Accord en matière de protection des données, le présent DPA prévaut. En cas de conflit entre le présent DPA et les clauses contractuelles types ou le UK Addendum, ces derniers prévalent.

1. Rôles respectifs

Vous êtes le responsable du traitement (controller) (ou, en vertu du droit américain, l'entreprise (business)) des données à caractère personnel que nous traitons pour vous, et nous sommes votre sous-traitant (processor) (ou prestataire de services (service provider)). Cela couvre les données à caractère personnel présentes dans votre boutique, votre site, vos comptes, votre communauté et tout ce que vous nous confiez dans le cadre de missions de conseil. Dans l'Annexe 1, ces données sont désignées sous le terme « Données à caractère personnel du Client »
Pour certaines données, nous sommes responsable du traitement à part entière : les informations de votre compte, la facturation, notre site web, notre marketing, nos propres registres d'entreprise, et les données que nous recueillons sur votre boutique ou votre site à partir de sources publiques pour exploiter les services. Ces traitements sont régis par notre Politique de confidentialité, et non par le présent DPA
Lorsque vous animez une communauté sur notre plateforme, vous êtes le responsable du traitement des données de vos membres et nous sommes votre sous-traitant. Lorsque vous acceptez des paiements via Stripe Connect, Stripe est un responsable du traitement indépendant pour les données de carte
Chacun de nous se conforme aux Lois sur la protection des données qui lui sont applicables

2. Définitions

Lois sur la protection des données désigne l'ensemble des lois applicables au traitement des données à caractère personnel en vertu de l'Accord, y compris le RGPD britannique (UK GDPR) et le Data Protection Act 2018 (loi britannique de 2018 sur la protection des données), le RGPD de l'Union européenne (règlement (UE) 2016/679), les règles « vie privée et communications électroniques » (ePrivacy), la loi fédérale suisse sur la protection des données, et les Lois des États américains sur la protection de la vie privée
Lois des États américains sur la protection de la vie privée désigne le California Consumer Privacy Act tel que modifié par le California Privacy Rights Act, ainsi que les lois comparables de la Virginie, du Colorado, du Connecticut, de l'Utah, du Texas, de l'Oregon, du Montana, du Delaware, du New Jersey, du New Hampshire, de l'Iowa, du Nebraska, du Tennessee, du Minnesota, du Maryland, de l'Indiana, du Kentucky, du Rhode Island et de tout autre État américain, chacune dans sa version en vigueur
CCT désigne les clauses contractuelles types de l'UE adoptées par la décision d'exécution (UE) 2021/914 de la Commission. UK Addendum désigne l'International Data Transfer Addendum (addendum international de transfert de données) de l'Information Commissioner britannique aux CCT, version B1.0. IDTA désigne l'International Data Transfer Agreement (accord international de transfert de données) britannique
Transfert restreint désigne un transfert de données à caractère personnel vers un pays que le Royaume-Uni, l'UE ou la Suisse (selon le cas) n'a pas reconnu comme assurant un niveau de protection adéquat, lorsque le transfert serait illicite en l'absence de garantie
Sous-traitant ultérieur désigne un tiers auquel nous faisons appel pour traiter des Données à caractère personnel du Client pour votre compte
Les termes « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « personne concernée », « violation de données à caractère personnel », « entreprise » (business), « prestataire de services » (service provider), « vendre » (sell) et « partager » (share) ont le sens qui leur est donné par les Lois sur la protection des données

3. Vos obligations

Vous êtes responsable des données à caractère personnel que vous introduisez dans les services et de ce que vous nous demandez d'en faire. Vous garantissez et vous vous engagez à ce que :

Vous disposez d'une base légale pour le traitement, avez fourni aux personnes concernées toutes les informations requises par la loi, et avez obtenu tous les consentements nécessaires, y compris pour que nous traitions les données, pour que nos sous-traitants ultérieurs les traitent, et pour tout Transfert restreint qu'impliquent les services
Vos instructions à notre égard sont licites, et vous ne nous donnerez aucune instruction qui placerait l'un de nous en situation de violation des Lois sur la protection des données
Vous ne nous communiquerez pas, et ne nous laisserez pas collecter, de données de catégories particulières ou sensibles (santé, données biométriques, génétiques, origine raciale ou ethnique, opinions politiques, convictions religieuses, vie ou orientation sexuelle, données pénales, géolocalisation précise, identifiants de comptes financiers, données relatives aux enfants, identifiants gouvernementaux), sauf si nous en avons convenu par écrit et que l'Accord le prévoit. Les services ne sont pas conçus pour de telles données
Vous ne nous communiquerez que les données à caractère personnel dont les services ont besoin, les maintiendrez exactes, et conserverez vos propres copies et sauvegardes
Lorsque nos agents agissent sur des comptes que vous connectez, vous êtes le responsable du traitement de tout ce que contiennent ces comptes et responsable de la licéité de ce que les agents sont configurés pour faire
Vous répondrez aux personnes concernées, aux autorités de régulation et aux tiers au sujet du traitement, et traiterez toute réclamation relative à votre utilisation des services
Vous nous indemniserez de toute amende, réclamation, perte ou coût que nous subirions en raison de votre violation du présent article ou des Lois sur la protection des données

4. Nos obligations

Nous nous engageons à :

Instructions. Traiter les Données à caractère personnel du Client uniquement sur vos instructions documentées, à savoir l'Accord, le présent DPA, votre configuration des services et toute instruction écrite que vous nous donnez, sauf si la loi l'exige autrement, auquel cas nous vous en informons au préalable, sauf si la loi l'interdit. Nous vous informerons si nous estimons qu'une instruction enfreint les Lois sur la protection des données, et nous pouvons suspendre cette instruction jusqu'à résolution. Une instruction sortant du cadre de l'Accord constitue une modification que nous pouvons facturer ou refuser
Confidentialité. Veiller à ce que toute personne que nous autorisons à traiter les données soit tenue à la confidentialité
Sécurité. Mettre en œuvre les mesures techniques et organisationnelles de l'Annexe 2, les tenir sous revue, et les mettre à jour en fonction de l'évolution de la technologie et des risques. Nous pouvons les modifier, mais sans abaisser le niveau global de protection pendant la durée de l'Accord
Sous-traitants ultérieurs. N'y faire appel que selon les modalités de l'article 5
Assistance. Compte tenu de la nature du traitement et des informations à notre disposition, vous assister pour les demandes des personnes concernées (article 7), pour vos obligations de sécurité, pour les notifications de violation, pour les analyses d'impact relatives à la protection des données et pour les consultations d'une autorité de régulation, dans la mesure où vous ne pouvez y procéder vous-même au moyen des services. Nous pouvons facturer à nos tarifs l'assistance qui excède ce que les services fournissent déjà
Suppression et restitution. Traiter les données à la fin de l'Accord selon les modalités de l'article 9
Informations et audits. Mettre à disposition les informations nécessaires pour démontrer notre conformité au présent DPA, et permettre les audits selon les modalités de l'article 8

Nous ne sommes pas responsables de ce que dit, fait ou stocke tout moteur d'IA, moteur de recherche ou autre tiers auquel nous ne faisons pas appel en qualité de sous-traitant ultérieur. Le fait de poser à un moteur une question sur votre boutique, dans l'application Findability, transmet du contenu public de la boutique à ce moteur ; le moteur n'est pas notre sous-traitant ultérieur à cette fin et ses propres conditions s'appliquent.

5. Sous-traitants ultérieurs

Vous nous accordez une autorisation générale de recourir à des sous-traitants ultérieurs. La liste en vigueur figure à l'Annexe 3 et à l'adresse humanforward.io/dpa
Nous donnons un préavis d'au moins 30 jours avant tout nouveau sous-traitant ultérieur ou tout remplacement, en mettant à jour cette page et en envoyant un e-mail à l'adresse associée à votre compte. Vous pouvez vous y opposer par écrit dans ce délai de 30 jours pour des motifs raisonnables et documentés tenant à la protection des données. Nous nous efforcerons alors de résoudre l'objection. Si nous n'y parvenons pas, vous pouvez résilier le service concerné par notification écrite avant la prise d'effet du changement, avec un remboursement au prorata de tous frais payés d'avance pour la période postérieure à la résiliation. Il s'agit de votre unique recours. En l'absence d'objection dans les 30 jours, le sous-traitant ultérieur est réputé approuvé
Nous lions chaque sous-traitant ultérieur par un contrat écrit comportant des obligations de protection des données au moins aussi protectrices que celles du présent DPA, et nous demeurons responsables envers vous de leur exécution
Lorsqu'un remplacement d'urgence est nécessaire pour maintenir le fonctionnement ou la sécurité des services, nous pouvons engager le remplaçant au préalable et vous en informer rapidement ensuite, et vous conservez le droit d'objection prévu ci-dessus

6. Transferts internationaux

Nous sommes établis au Royaume-Uni. Notre infrastructure et la plupart de nos sous-traitants ultérieurs se trouvent aux États-Unis, et certains ailleurs. Vous nous autorisez à effectuer des Transferts restreints de Données à caractère personnel du Client vers les lieux indiqués à l'Annexe 3, sous réserve de ce qui suit, qui ne s'applique que dans la mesure où un Transfert restreint est effectivement réalisé :

Depuis le Royaume-Uni. Lorsque la UK Extension to the EU to US Data Privacy Framework (extension britannique du cadre de protection des données UE États-Unis) ou une autre décision d'adéquation ne couvre pas le transfert, le UK Addendum aux CCT s'applique, les CCT étant complétées comme indiqué ci-dessous et l'Addendum étant complété comme suit : Tableau 1, les parties telles que désignées dans l'Accord ; Tableau 2, les CCT telles que complétées au présent article ; Tableau 3, les Annexes du présent DPA ; Tableau 4, chaque partie peut mettre fin à l'Addendum dans les conditions prévues à son article 19
Depuis l'EEE. Lorsque le cadre de protection des données UE États-Unis (EU to US Data Privacy Framework) ou une autre décision d'adéquation ne couvre pas le transfert, les CCT sont incorporées au présent DPA avec les choix suivants : Module Deux (responsable du traitement vers sous-traitant) lorsque vous êtes responsable du traitement et Module Trois (sous-traitant vers sous-traitant) lorsque vous êtes sous-traitant ; la clause 7 (clause d'adhésion) ne s'applique pas ; clause 9, Option 2 (autorisation générale) avec le délai de 30 jours prévu à l'article 5 ; le libellé facultatif de la clause 11 ne s'applique pas ; clause 13 et Annexe I.C : l'autorité de contrôle de l'État membre de l'EEE dans lequel vous êtes établi, ou, lorsque vous n'êtes pas établi dans l'EEE, la Data Protection Commission irlandaise ; clause 17, Option 1 : le droit irlandais ; clause 18 : les tribunaux d'Irlande. L'Annexe I des CCT correspond à l'Annexe 1 du présent DPA, l'Annexe II à l'Annexe 2, l'Annexe III à l'Annexe 3
Depuis la Suisse. Les CCT telles que décrites ci-dessus, lues en considérant le Préposé fédéral à la protection des données et à la transparence comme autorité compétente, les références au RGPD étant lues comme des références à la LPD suisse, et les personnes concernées en Suisse pouvant faire valoir leurs droits en Suisse
Lorsque nous sommes certifiés au titre d'un cadre de protection des données (Data Privacy Framework), ou lorsqu'un autre mécanisme valide devient disponible, nous pouvons nous y fonder à la place et vous en informerons
Si une garantie ci-dessus est invalidée ou remplacée, nous mettrons en place une garantie de remplacement dans un délai raisonnable, et vous coopérerez, y compris en signant tout document nécessaire
Nous vous informerons si nous recevons d'une autorité publique une demande juridiquement contraignante portant sur des Données à caractère personnel du Client, sauf si la loi l'interdit, et nous contesterons les demandes que nous estimons raisonnablement illicites

7. Demandes des personnes concernées

Si une personne concernée nous contacte au sujet de Données à caractère personnel du Client, nous la redirigerons vers vous, lorsque nous pouvons vous identifier, et vous en informerons, et nous ne répondrons pas nous-mêmes sauf si vous nous le demandez ou si la loi l'exige. Vous utiliserez les fonctionnalités propres aux services pour exporter, rectifier ou supprimer des données lorsqu'elles existent. À défaut, nous vous assisterons à nos tarifs, dans un délai raisonnable.

8. Audits

Nous tenons des registres de nos traitements et de notre sécurité. Sur demande écrite, au plus une fois par période de 12 mois, nous vous les fournirons, accompagnés de tout rapport ou de toute certification de tiers que nous détenons pour l'infrastructure que nous utilisons, et nous répondrons aux questions écrites raisonnables. Dans la plupart des cas, cela satisfait à votre droit d'audit
Lorsque les Lois sur la protection des données vous confèrent un droit d'audit auquel un rapport ne satisfait pas, ou lorsqu'une autorité de régulation l'exige, vous (ou un auditeur indépendant que vous désignez, qui n'est pas notre concurrent et qui signe nos conditions de confidentialité) pouvez auditer notre conformité au présent DPA : une fois par période de 12 mois, sauf si une autorité de régulation exige davantage ou si une violation est survenue ; moyennant un préavis écrit d'au moins 30 jours ; pendant les heures ouvrables ; pendant au plus deux jours ouvrés ; sans perturber les services ; et à vos frais, y compris notre temps à nos tarifs. L'audit porte uniquement sur notre traitement de vos données, et non sur les données d'autres clients, nos autres clients, notre code source, nos prompts ou les locaux de nos sous-traitants ultérieurs
Vous nous remettrez une copie de toute conclusion, et traiterez l'audit et ses résultats comme nos informations confidentielles

9. Suppression et restitution

Vous pouvez exporter vos données au moyen des services pendant la durée de l'Accord, et vous devriez le faire avant son terme
Dans les 30 jours suivant la fin de l'Accord, ou du service concerné, nous supprimons les Données à caractère personnel du Client, sauf si vous avez demandé par écrit, avant la date de fin, une restitution, auquel cas nous fournissons une exportation dans un format standard de notre choix, puis procédons à la suppression
Les copies présentes dans les sauvegardes sont supprimées selon le cycle de sauvegarde, dans un délai de 90 jours, et ne sont pas consultées dans l'intervalle, sauf pour restaurer les services
Nous pouvons conserver les données que la loi nous impose de conserver, ainsi que les données nécessaires à la facturation, aux litiges ou à la défense de réclamations, aussi longtemps que nécessaire, protégées conformément au présent DPA et utilisées à aucune autre fin
Nous confirmons la suppression par écrit sur demande

10. Violations de données à caractère personnel

Nous vous informerons dans les meilleurs délais, et en tout état de cause dans les 72 heures, après avoir pris connaissance d'une violation de données à caractère personnel affectant des Données à caractère personnel du Client, avec les informations dont nous disposons à ce moment et des informations complémentaires à mesure qu'elles deviennent disponibles : ce qui s'est produit, les données et les personnes concernées vraisemblablement affectées, les conséquences probables, et les mesures que nous prenons. Notre notification ne constitue pas une reconnaissance de faute ou de responsabilité. Il vous appartient de notifier les autorités de régulation et les personnes concernées lorsque la loi vous l'impose ; nous vous assisterons. Vous ne nous nommerez pas dans une notification sans nous avoir d'abord donné une possibilité raisonnable de formuler des observations, sauf si la loi l'exige.

11. Lois des États américains sur la protection de la vie privée

Lorsque les Lois des États américains sur la protection de la vie privée s'appliquent, nous sommes votre prestataire de services ou sous-traitant et nous certifions comprendre et nous engager à respecter ce qui suit. Nous ne vendrons ni ne partagerons les Données à caractère personnel du Client ; nous ne les conserverons, utiliserons ou divulguerons à aucune fin autre que la finalité commerciale consistant à fournir les services, ni en dehors de la relation commerciale directe avec vous ; nous ne les combinerons pas avec des données à caractère personnel que nous recevons d'autres sources, sauf dans la mesure où la loi le permet à un prestataire de services ; nous vous informerons si nous estimons ne plus être en mesure de respecter nos obligations ; et nous vous permettrons de prendre les mesures raisonnables et appropriées prévues par la loi pour faire cesser et remédier à toute utilisation non autorisée. Vous pouvez nous donner des instructions sur le traitement des demandes des consommateurs, et nous vous assisterons selon les modalités de l'article 7. La communication des Données à caractère personnel du Client à notre égard ne constitue pas une vente, et nous ne recevons en contrepartie aucune rémunération monétaire ni autre contrepartie de valeur au-delà des frais afférents aux services.

12. Responsabilité

La responsabilité de chaque partie au titre ou à l'occasion du présent DPA, y compris au titre des CCT et du UK Addendum dans les rapports entre les parties, est soumise aux exclusions et limitations de responsabilité prévues dans l'Accord, et s'impute sur le plafond qui y est fixé. Rien dans le présent DPA ne limite la responsabilité de l'une ou l'autre des parties envers une personne concernée ou une autorité de régulation lorsque la loi ne le permet pas. Vous nous indemniserez des amendes, réclamations, pertes et coûts résultant de votre violation du présent DPA ou des Lois sur la protection des données, de vos instructions, ou de données que vous n'auriez pas dû nous communiquer.

13. Dispositions générales

Le présent DPA demeure en vigueur aussi longtemps que nous traitons des Données à caractère personnel du Client pour votre compte, et les articles 9, 12 et 13 lui survivent
Nous pouvons mettre à jour le présent DPA en cas d'évolution des Lois sur la protection des données, des lignes directrices d'une autorité de régulation, d'un mécanisme de transfert ou de nos services. Nous notifierons les modifications substantielles par e-mail et sur la présente page ; la poursuite de l'utilisation après la période de préavis vaut acceptation. Lorsqu'une modification est imposée par la loi, elle prend effet en même temps que la loi
Si une partie du présent DPA est inopposable, le reste demeure applicable, et la partie concernée est interprétée aussi étroitement que nécessaire pour la rendre opposable
Le présent DPA est régi par le droit de l'Angleterre et du pays de Galles, et ses tribunaux ont compétence exclusive, sauf lorsque les CCT ou le UK Addendum en disposent autrement pour les matières qu'ils couvrent
Notifications à notre attention : hello@humanforward.io, avec copie par courrier à Human Forward LTD, 66 Paul Street, London EC2A 4NA
Nous sommes enregistrés auprès de l'Information Commissioner's Office britannique sous la référence ZC279404

Annexe 1. Description du traitement

Objet. Fourniture des services décrits dans l'Accord : l'application Findability et son connecteur, Human Forward Plus, les Agents, la plateforme communautaire et les missions de conseil
Durée. La durée de l'Accord augmentée de la période de suppression prévue à l'article 9
Nature et finalité. Hébergement, stockage, analyse et production de rapports sur les données de la boutique et du site ; interrogation de moteurs d'IA au sujet de la boutique du client et notation de leurs réponses ; génération de recommandations et de contenus ; exploitation des comptes que le client connecte dans le cadre des règles qu'il définit ; exploitation d'une plateforme communautaire ; envoi d'e-mails transactionnels ; fourniture d'un support ; et les opérations techniques connexes (sauvegardes, journalisation, surveillance de la sécurité)
Personnes concernées. Le personnel et les utilisateurs du client ; les propres clients et visiteurs du site du client, lorsque leurs données se trouvent dans une boutique, un compte ou un site connecté ; les membres de la communauté ; les personnes nommées dans les contenus que le client soumet
Catégories de données. Noms, adresses e-mail, rôles et identifiants de compte des utilisateurs du client ; contenu de la boutique et du site, qui peut incidemment contenir des données à caractère personnel (avis, articles de blog, pages consacrées au personnel) ; données de commandes, de clients et de marketing uniquement lorsqu'un service lit expressément un compte connecté (Agents et plateforme communautaire), et uniquement les champs dont le service a besoin ; profils des membres de la communauté, adhésions, participation aux événements et messages ; données d'utilisation et de journalisation (adresse IP, appareil, horodatages) ; correspondance de support
Données de catégories particulières. Aucune n'est prévue. Le client ne doit pas en soumettre sans accord écrit
Fréquence. Continue pendant le fonctionnement des services ; à la demande pour le conseil
Conservation. Conformément à l'article 9 et à la Politique de confidentialité

Annexe 2. Mesures de sécurité

Chiffrement en transit (TLS 1.2 ou supérieur) pour chaque connexion, et au repos pour les bases de données et les sauvegardes, assuré par nos plateformes d'hébergement
Les identifiants, clés d'API, jetons d'accès et codes de connexion sont stockés sous forme de hachages à sens unique, jamais en clair ; les secrets sont conservés dans le coffre-fort de secrets de la plateforme d'hébergement, jamais dans le code source
L'accès aux systèmes de production est limité aux personnes nommément désignées qui en ont besoin, protégé par une authentification multifacteur, et revu lors des changements de fonction
Environnements distincts pour le développement et la production ; les modifications passent par un contrôle de version et une revue avant déploiement
Journalisation des accès et des actions d'administration sur l'infrastructure ; alertes en cas d'échec de déploiement et d'erreurs
Sauvegardes quotidiennes conservées par la plateforme d'hébergement, testées par restauration
Notre robot d'exploration est restreint aux hôtes publics et ne peut être dirigé vers des réseaux privés ; limites de débit et protection anti-robots sur les points de terminaison publics ; en-têtes de sécurité sur chaque réponse
Les fournisseurs d'IA sont utilisés en vertu de conditions d'API professionnelles selon lesquelles les entrées et sorties ne sont pas utilisées pour entraîner leurs modèles
Les fournisseurs sont évalués avant utilisation quant à leurs conditions de sécurité et de protection des données
Le personnel et les prestataires sont tenus à la confidentialité et reçoivent des orientations en matière de protection des données
Un processus de réponse aux incidents comportant le calendrier de notification prévu à l'article 10
Minimisation des données : les services ne lisent que les données dont ils ont besoin, et du contenu public chaque fois que possible

Annexe 3. Sous-traitants ultérieurs

Sous-traitant ultérieur	Finalité	Localisation
Railway Corporation	Hébergement des applications et bases de données pour les applications	États-Unis
Vercel Inc.	Hébergement du site web, réseau périphérique, stockage de fichiers et analyses	États-Unis, avec des serveurs périphériques dans le monde entier
Cloudflare, Inc.	Protection anti-robots, DNS et sécurité réseau	États-Unis, avec des serveurs dans le monde entier
Stripe, Inc. et Stripe Payments Europe Ltd	Facturation des abonnements et portail de facturation client (Stripe est un responsable du traitement indépendant pour les données de carte)	États-Unis, Irlande
Resend, Inc.	E-mails transactionnels, y compris les codes de connexion	États-Unis
Klaviyo, Inc.	E-mails, newsletter et formulaires	États-Unis
Cal.com, Inc.	Réservations de séances	États-Unis
Shopify International Ltd et Shopify Inc.	Hébergement de l'application au sein d'une boutique Shopify, facturation, données d'installation	Canada, Irlande, États-Unis
Anthropic PBC, OpenAI OpCo LLC, Google LLC, Perplexity AI Inc., xAI Corp	Génération de scores, rapports, recommandations et contenus à partir des données soumises par le client ; vérification de la manière dont une boutique apparaît dans les réponses de chaque moteur	États-Unis
DeepSeek (Hangzhou DeepSeek Artificial Intelligence Co., Ltd)	Vérification de la manière dont une boutique apparaît dans ses réponses. Ne reçoit que du contenu public de la boutique, jamais de données de compte ou de clients	Chine
Google LLC (Workspace)	E-mails, documents et outils professionnels utilisés pour fournir le conseil et le support	États-Unis, UE

Les modifications de cette liste sont notifiées selon les modalités de l'article 5. La liste a été mise à jour pour la dernière fois le 21 octobre 2026.