Accord de traitement des données (DPA)

Version 1.3 — 4 octobre 2026

Annexe aux Conditions générales d'utilisation et de vente. Cet accord fixe, conformément à l'article 28 du RGPD, les obligations de Kolego lorsqu'elle traite des données personnelles pour le compte d'une Entreprise cliente.

Article 1 — Parties, objet, durée et hiérarchie

1.1. Le présent accord (l'« Accord ») est conclu entre l'entreprise ayant souscrit au Service Kolego, telle qu'identifiée dans son compte (le « Responsable du traitement » ou le « Client »), et BACO CONSULTING & MANAGEMENT SRL, Rue de Septroux 20, B-4920 Aywaille, BCE 0736.620.176 (le « Sous-traitant » ou « Kolego »).

1.2. L'Accord régit tout traitement de données à caractère personnel que Kolego effectue pour le compte du Client dans le cadre du Service, tel que décrit à l'article 2. Il ne s'applique pas aux données que Kolego traite en qualité de responsable (compte, facturation, utilisation du Service), couvertes par la politique de confidentialité.

1.3. L'Accord est accepté avec les Conditions générales, dont il fait partie intégrante. En cas de contradiction, l'Accord prévaut sur les Conditions générales pour toute question relative à la protection des données ; les clauses contractuelles types visées à l'article 6 prévalent sur l'Accord.

1.4. L'Accord prend effet à l'acceptation des Conditions générales et reste en vigueur tant que Kolego traite des données pour le compte du Client, y compris pendant la période de restitution et de suppression de l'article 11.

1.5. Les termes commençant par une majuscule et non définis ici ont le sens que leur donnent les Conditions générales ou le règlement (UE) 2016/679 (le « RGPD »).

Article 2 — Description du traitement

Élément	Description
Nature du traitement	Réception, enregistrement, analyse, génération de réponses, stockage, mise à disposition, export et suppression de données transmises par les Clients finaux et par le Client via le Service ; création d'événements dans l'agenda du Client lorsqu'il a activé cette intégration
Finalités	Répondre aux Clients finaux au nom du Client, qualifier leurs demandes, collecter les informations utiles à un devis ou une intervention, proposer et préparer des rendez-vous, assurer le suivi des demandes et transmettre au Client ce qui requiert son intervention
Catégories de personnes concernées	Clients finaux et prospects du Client (particuliers et professionnels) ; Utilisateurs du Client ; le cas échéant, tiers mentionnés dans les conversations (occupants d'un logement, syndics)
Catégories de données	Identité et coordonnées (numéro WhatsApp, nom de profil, nom, prénom) ; contenu des conversations (texte, photos, messages vocaux, documents) ; adresse d'intervention et informations sur l'installation ; disponibilités et rendez-vous ; événements de l'agenda du Client lus pour proposer un créneau et identifiants des événements créés ; jetons d'accès aux services tiers connectés
Données sensibles	Le Service n'est pas conçu pour en traiter. Des données sensibles peuvent apparaître incidemment dans un message libre ; elles sont traitées avec la même confidentialité et supprimées selon les durées ci-dessous
Durées de conservation	Contenu brut des conversations : 12 mois après le dernier message, réglable par le Client sans dépasser 36 mois. Fiches des Clients finaux : durée de la relation, puis dix ans après la dernière intervention. Demandes sans suite : 24 mois après le dernier contact. Restitution puis suppression à la fin du contrat (article 11)
Lieu du traitement	Hébergement des données à Francfort (Union européenne) ; génération des réponses aux États-Unis (article 6)
Instructions du Client	Les présentes, les Conditions générales, la configuration du Service par le Client (durées, documents autorisés, intégrations activées) et toute instruction écrite ultérieure

Article 3 — Obligations du Sous-traitant

Kolego s'engage à :

Instructions — ne traiter les données que sur instruction documentée du Client (article 2), y compris pour les transferts hors Union européenne, sauf obligation légale à laquelle Kolego est soumise ; dans ce cas, Kolego en informe le Client avant le traitement, à moins que la loi ne l'interdise. Kolego informe immédiatement le Client si une instruction lui paraît contraire au RGPD.
Confidentialité — veiller à ce que les personnes autorisées à traiter les données soient tenues à une obligation de confidentialité contractuelle ou légale, et limiter l'accès aux données à ce qui est nécessaire.
Sécurité — mettre en œuvre les mesures de l'article 7.
Sous-traitants ultérieurs — respecter les conditions de l'article 5.
Droits des personnes — assister le Client selon l'article 10.
Assistance — aider le Client à respecter ses obligations de sécurité, de notification des violations et d'analyse d'impact (articles 9 et 10).
Fin du traitement — restituer puis supprimer les données selon l'article 11.
Démonstration de conformité — mettre à disposition les informations nécessaires pour démontrer le respect de l'article 28 du RGPD et permettre les audits de l'article 10.
Aucun usage propre — ne pas utiliser les données du Client pour son propre compte, ni pour entraîner ou améliorer un modèle d'intelligence artificielle, ni au bénéfice d'un autre client, ni à des fins statistiques autrement que sous forme agrégée et anonyme.
Registre — tenir le registre des catégories d'activités de traitement effectuées pour le compte du Client (article 30.2 du RGPD).

Article 4 — Obligations du Client

4.1. Le Client garantit qu'il dispose d'une base légale pour chaque traitement confié à Kolego, qu'il informe ses Clients finaux conformément aux articles 13 et 14 du RGPD (Kolego lui fournit un modèle d'information et le Collaborateur numérique y renvoie dès le premier échange), et qu'il ne transmet pas au Service de données qu'il n'est pas en droit de traiter.

4.2. Le Client configure le Service en cohérence avec ses obligations : durées de conservation, documents autorisés, niveaux de confidentialité, intégrations activées, Utilisateurs habilités. Il tient à jour son propre registre des activités de traitement.

4.3. Le Client répond aux demandes d'exercice de droits de ses Clients finaux ; Kolego l'y assiste (article 10).

4.4. Le Client s'engage à ne pas donner à Kolego d'instruction contraire au RGPD ou aux règles des plateformes tierces reliées au Service.

Article 5 — Sous-traitants ultérieurs

5.1. Autorisation générale. Le Client autorise Kolego à recourir aux sous-traitants ultérieurs listés ci-dessous pour les prestations indiquées.

Sous-traitant ultérieur	Prestation	Lieu	Garanties
Supabase Pte. Ltd (Singapour)	Hébergement de la base de données et des fichiers	Francfort, Allemagne	Accord de traitement ; clauses contractuelles types pour l'assistance technique depuis l'étranger
Vercel Inc. (États-Unis)	Exécution de l'application, journaux techniques	Francfort, Allemagne (exécution) ; journaux aux États-Unis	Accord de traitement ; certification EU-US Data Privacy Framework ; clauses contractuelles types
Anthropic Ireland, Limited ; traitement aux États-Unis par Anthropic PBC	Génération des réponses des Collaborateurs numériques (modèles Claude)	États-Unis	Accord de traitement incluant les clauses contractuelles types ; suppression sous 30 jours, sauf obligation légale ou signalement d'un usage contraire à sa politique d'utilisation ; pas d'entraînement de modèle

5.2. Engagements. Kolego impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes à celles du présent Accord, et reste pleinement responsable envers le Client de l'exécution de leurs obligations.

5.3. Changements. Kolego informe le Client de tout ajout ou remplacement de sous-traitant ultérieur au moins 30 jours avant qu'il ne prenne effet, par e-mail ou dans l'application, en indiquant la prestation concernée et le lieu du traitement. Le Client peut s'y opposer par écrit, pour un motif légitime tenant à la protection des données, dans ce délai. Si aucune solution raisonnable n'est trouvée, le Client peut résilier le Service sans frais avant l'entrée en vigueur du changement ; les sommes déjà versées pour la période en cours ne sont pas remboursées.

5.4. La liste à jour des sous-traitants ultérieurs est publiée dans la politique de confidentialité et disponible sur demande à privacy@kolego.app.

5.5. Services tiers connectés par le Client. Les services suivants ne sont pas des sous-traitants ultérieurs de Kolego :

Meta Platforms Ireland Limited, qui achemine les messages WhatsApp en vertu des conditions que le Client accepte lors de la connexion de sa Ligne WhatsApp, et traite ces messages comme sous-traitant direct du Client. Kolego relie la Ligne à la plateforme pour le compte du Client ;
Google Ireland Limited, pour l'agenda Google, uniquement si le Client active l'intégration, en vertu des conditions qui lient le Client à Google pour son compte.

Kolego transmet des données à ces services sur instruction du Client, dans la seule mesure nécessaire à l'intégration activée. Ils les traitent selon leurs propres conditions, conclues avec le Client ; Kolego n'en est pas le donneur d'ordre.

Article 6 — Transferts hors Union européenne

6.1. Les données du Client sont hébergées et stockées dans l'Union européenne. Certaines opérations impliquent un transfert vers les États-Unis : la génération des réponses des Collaborateurs numériques (Anthropic) et les journaux techniques de l'exécution applicative (Vercel). L'assistance technique de l'hébergeur (Supabase) peut en outre être fournie depuis l'étranger. Les transferts réalisés par les services tiers connectés par le Client (article 5.5) relèvent de leurs propres conditions.

6.2. Kolego n'effectue ces transferts que sur le fondement d'une décision d'adéquation de la Commission européenne (dont le cadre EU-US Data Privacy Framework pour les organisations certifiées) ou des clauses contractuelles types adoptées par la Commission (décision 2021/914, module 3 « sous-traitant à sous-traitant » ou module 2 selon le cas), complétées par une évaluation des risques de transfert et par les mesures supplémentaires suivantes : minimisation des données transmises (seules les données nécessaires à la prestation), chiffrement en transit, suppression rapide chez le prestataire (30 jours chez Anthropic, sauf obligation légale ou signalement d'un usage contraire à sa politique d'utilisation), interdiction contractuelle d'usage à d'autres fins.

6.3. Le Client donne mandat à Kolego pour conclure en son nom, en tant que de besoin, les clauses contractuelles types avec les sous-traitants ultérieurs concernés, et autorise les transferts décrits au présent article. Une copie des garanties applicables est disponible sur demande à privacy@kolego.app.

6.4. Si un mécanisme de transfert cesse d'être valable ou si une autorité de contrôle suspend un transfert, Kolego en informe le Client sans délai, met en œuvre un mécanisme alternatif ou une mesure de substitution (par exemple un prestataire établi dans l'Union européenne pour la prestation concernée) et, à défaut, permet au Client de résilier le Service sans frais.

Article 7 — Sécurité

7.1. Kolego met en œuvre les mesures techniques et organisationnelles suivantes, adaptées aux risques du traitement, et les fait évoluer avec l'état de l'art :

Domaine	Mesures
Chiffrement	Chiffrement en transit (TLS) de tous les échanges ; chiffrement au repos des bases de données et des fichiers par l'hébergeur ; chiffrement applicatif (AES-256-GCM) des jetons d'accès aux services tiers, jamais stockés en clair
Cloisonnement	Isolation logique des données de chaque Entreprise cliente dans toutes les opérations du Service ; les conversations d'un Client ne sont jamais accessibles à un autre
Contrôle d'accès	Authentification des Utilisateurs ; rôles distincts (dirigeant, collaborateur, lecture seule) avec droits limités au nécessaire ; secrets et clés d'API conservés hors du code, en variables d'environnement protégées ; accès aux systèmes de production limité au personnel habilité de Kolego
Traçabilité	Journalisation des actions significatives (événements) avec auteur, date et objet ; journaux techniques sans contenu de message
Disponibilité	Sauvegardes régulières de la base de données par l'hébergeur avec possibilité de restauration ; surveillance des erreurs applicatives
Cycle de vie	Suppression automatique selon les durées de l'article 2 ; effacement des jetons à la déconnexion d'une intégration ; procédure de restitution et de suppression en fin de contrat
Développement	Revue de chaque modification avant mise en production ; tests automatisés, y compris sur les mécanismes de suppression ; environnements de test sans données réelles de Clients
Fournisseurs	Sélection de sous-traitants ultérieurs offrant des garanties documentées (article 5)

7.2. Kolego informe le Client de toute modification substantielle de ces mesures qui réduirait le niveau de protection.

Article 8 — Demandes d'accès émanant d'autorités publiques

8.1. Si Kolego reçoit d'une autorité publique (judiciaire, policière ou administrative) une demande d'accès aux données à caractère personnel traitées pour le compte du Client, ou si elle a connaissance d'un tel accès, elle s'engage à :

a) vérifier la légalité de la demande, en examinant si elle repose sur une base légale, si elle émane d'une autorité compétente et si elle respecte les formes requises ;

b) informer le Client sans retard injustifié, sauf si la loi l'interdit. Dans ce cas, Kolego s'efforce d'obtenir la levée de cette interdiction afin de communiquer le plus d'informations possible, le plus rapidement possible ;

c) contester la demande lorsque, après un examen attentif, il existe des motifs raisonnables de la considérer comme illégale, et exercer les voies de recours disponibles dans la mesure du raisonnable. Elle ne communique pas les données demandées tant qu'elle n'y est pas tenue par les règles de procédure applicables ;

d) minimiser la communication, en ne fournissant que les données strictement nécessaires pour répondre à la demande, selon une interprétation raisonnable de celle-ci ;

e) documenter chaque demande (date, autorité, base légale invoquée, données visées, suite donnée, information ou non du Client) et tenir ces informations à la disposition du Client et de l'autorité de contrôle compétente, dans la mesure permise par la loi.

8.2. Kolego n'accorde à aucune autorité publique un accès direct, permanent ou systématique aux données, et n'a mis en place aucun dispositif destiné à faciliter un tel accès.

8.3. Kolego impose à ses sous-traitants ultérieurs des obligations équivalentes à celles du présent article.

8.4. Le présent article ne fait pas obstacle au respect d'une obligation imposée à Kolego par le droit de l'Union européenne ou d'un État membre auquel elle est soumise.

Article 9 — Violations de données

9.1. Kolego notifie au Client toute violation de données à caractère personnel affectant ses données sans délai injustifié après en avoir eu connaissance, et au plus tard dans les 48 heures, par e-mail à l'adresse du compte, afin de permettre au Client de respecter le délai de 72 heures de l'article 33 du RGPD.

9.2. La notification décrit, dans la mesure des informations disponibles, la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, les mesures prises ou proposées, et un point de contact. Les informations peuvent être communiquées de manière échelonnée.

9.3. Kolego assiste le Client dans la notification à l'Autorité de protection des données et, le cas échéant, dans la communication aux personnes concernées. Kolego ne communique pas sur une violation affectant les données du Client sans l'accord de celui-ci, sauf obligation légale.

Article 10 — Assistance, droits des personnes, analyse d'impact et audits

10.1. Droits des personnes. Le Service permet au Client d'exporter et de supprimer les données d'un Client final, de rectifier une fiche et de consulter l'historique d'une conversation, de sorte qu'il puisse répondre lui-même à la plupart des demandes. Lorsqu'une demande parvient directement à Kolego, celle-ci la transmet au Client dans les 5 jours ouvrables sans y répondre sur le fond, sauf instruction contraire du Client, et fournit l'assistance nécessaire pour y répondre dans le délai légal d'un mois.

10.2. Analyse d'impact. Kolego tient à disposition du Client une description du Service, de ses flux de données, de ses sous-traitants ultérieurs et de ses mesures de sécurité (l'« AIPD produit ») sur laquelle le Client peut s'appuyer pour sa propre analyse d'impact ou pour une consultation préalable de l'autorité de contrôle. Ce document est fourni sur demande à privacy@kolego.app.

10.3. Informations et audits. Kolego met à disposition du Client, sur demande écrite et au plus une fois par an, les informations nécessaires pour démontrer le respect du présent Accord : description des mesures de sécurité, liste des sous-traitants ultérieurs et de leurs garanties, attestations ou rapports disponibles. Si ces informations ne suffisent pas, le Client peut faire réaliser un audit, par lui-même ou par un auditeur indépendant tenu à la confidentialité, moyennant un préavis de 30 jours, pendant les heures ouvrables, sans perturber le Service ni accéder aux données d'autres clients ; les frais sont à la charge du Client, sauf si l'audit révèle un manquement substantiel de Kolego. Un audit exigé par une autorité de contrôle est réalisé sans ces limites.

10.4. Coopération avec l'autorité de contrôle. Chaque partie coopère avec l'autorité de contrôle compétente et informe l'autre de toute demande la concernant, sauf interdiction légale.

Article 11 — Fin du traitement

11.1. À la fin du Service, le Client dispose de 30 jours pour exporter l'ensemble de ses données dans un format structuré et couramment utilisé (JSON pour les données, fichiers d'origine pour les photos et documents). Kolego l'assiste si nécessaire.

11.2. À l'expiration de ce délai, ou plus tôt à la demande écrite du Client, Kolego supprime toutes les données du Client de ses systèmes de production, demande à ses sous-traitants ultérieurs d'en faire autant, et supprime les copies de sauvegarde lors de leur rotation normale, dans un délai maximal de 90 jours. Kolego confirme la suppression par écrit sur demande.

11.3. Kolego peut conserver les données dont la conservation est imposée par le droit de l'Union ou belge, pour la seule durée et la seule finalité prescrites, en garantissant leur confidentialité.

Article 12 — Responsabilité

12.1. Chaque partie est responsable des dommages causés par un traitement qui ne respecte pas le RGPD, dans les conditions de l'article 82 de celui-ci : Kolego répond des dommages causés par un manquement aux obligations propres aux sous-traitants ou par un traitement contraire aux instructions licites du Client.

12.2. La limitation de responsabilité de l'article 11 des Conditions générales s'applique entre les parties, sans préjudice des droits des personnes concernées et dans la mesure où la loi le permet. Elle ne couvre ni l'amende administrative infligée à une partie pour son propre manquement, ni les dommages causés intentionnellement ou par faute lourde.

12.3. Le Client garantit Kolego contre toute réclamation ou sanction résultant d'une instruction du Client, d'un défaut de base légale ou d'information des personnes concernées, ou d'une donnée que le Client n'était pas en droit de confier au Service.

Article 13 — Dispositions finales

13.1. Kolego peut modifier le présent Accord pour tenir compte d'une évolution de la loi, des lignes directrices des autorités de contrôle ou du Service, dans les conditions de modification des Conditions générales ; une modification qui réduirait les garanties du Client lui ouvre le droit de résilier sans frais.

13.2. Si une disposition du présent Accord est jugée invalide, elle est remplacée par une disposition valable d'effet équivalent ; les autres dispositions demeurent applicables.

13.3. Le présent Accord est régi par le droit belge. Tout litige relève des tribunaux de l'arrondissement judiciaire de Liège, sans préjudice des compétences des autorités de contrôle et des droits des personnes concernées.

Version 1.3 — octobre 2026.