Data processing addendum (DPA)

Dernière mise à jour : 1er novembre 2026

Le présent avenant relatif au traitement des données à caractère personnel (l'« Avenant relatif au traitement des données » ou « DPA ») fait partie du Contrat conclu entre Cobbai SAS, société par actions simplifiée immatriculée au RCS de Paris sous le numéro 853 380 459, dont le siège social est situé 72 quai Louis Blériot, 75016 Paris (« Cobbai »), et le Client. Il encadre les traitements de données à caractère personnel que Cobbai réalise pour le compte du Client dans le cadre des Services, conformément à l'article 28 du RGPD.

Les termes commençant par une majuscule qui ne sont pas définis dans le DPA ont le sens qui leur est donné dans les Conditions d'utilisation des Services Cobbai (les « Conditions d'utilisation »).

1. Définitions

Données personnelles du Client : les Données à caractère personnel contenues dans les Données du Client et traitées par Cobbai pour le compte du Client dans le cadre des Services.

RGPD : le règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données.

Réglementation applicable : le RGPD, la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, et toute autre réglementation relative à la protection des données à caractère personnel applicable aux traitements visés par le DPA.

Sous-traitant ultérieur : tout sous-traitant auquel Cobbai fait appel pour réaliser des activités de traitement de Données personnelles du Client.

Violation de données : une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de Données personnelles du Client, ou l'accès non autorisé à celles-ci.

Les termes « responsable de traitement », « sous-traitant », « personne concernée » et « traitement » ont le sens qui leur est donné par le RGPD.

2. Conclusion et articulation avec le Contrat

2.1 Le DPA constitue l'Avenant relatif au traitement des données au sens de l'article 2.c et de l'annexe A des Conditions d'utilisation. Il est signé par les Parties lorsque le Bon de commande y fait expressément référence et prévoit que sa signature vaut signature du DPA. À défaut d'une telle mention, le DPA est signé séparément par les Parties.

2.2 Le DPA s'applique selon l'ordre de priorité prévu à l'article 12.o des Conditions d'utilisation. Aucune stipulation du Contrat ne peut toutefois avoir pour effet d'écarter les obligations imposées par l'article 28 du RGPD.

2.3 Cobbai peut mettre à jour le DPA pour tenir compte de l'évolution de la Réglementation applicable ou des Services, sans réduire le niveau global de protection des Données personnelles du Client. La version applicable est la dernière version notifiée au Client conformément à l'article 12.j des Conditions d'utilisation. Les modifications défavorables au Client entrent toutefois en vigueur 30 jours après leur notification, sauf lorsqu'elles sont imposées par la loi ou par des raisons de sécurité.

3. Rôles des Parties

3.1 Pour les Données personnelles du Client, le Client agit en qualité de responsable de traitement et Cobbai en qualité de sous-traitant. Lorsque le Client agit lui-même en qualité de sous-traitant pour le compte d'un tiers, il garantit disposer de l'autorisation de ce tiers pour faire appel à Cobbai, qui agit alors en qualité de sous-traitant ultérieur.

3.2 Cobbai agit en qualité de responsable de traitement distinct pour les traitements qu'elle réalise pour ses propres besoins : la gestion de la relation commerciale, le décompte de la consommation (Conversations, Exécutions IA, Tokens, minutes) et la facturation, la sécurité globale de ses systèmes et la prévention de la fraude, le respect de ses obligations légales et la création, à partir des Données du Client, d'Informations agrégées et statistiques anonymisées conformément à l'article 2.a des Conditions d'utilisation. Le traitement des données des Utilisateurs autorisés nécessaire à la fourniture des Services au Client (authentification, journaux d'activité, paramètres) relève du DPA. Ces traitements sont décrits dans la Politique de confidentialité et ne sont pas régis par le DPA.

4. Description des traitements

L'objet, la durée, la nature et la finalité des traitements, les catégories de Données personnelles du Client et de personnes concernées sont décrits en annexe 1.

5. Instructions du Client

5.1 Cobbai ne traite les Données personnelles du Client que sur instruction documentée du Client, y compris en ce qui concerne les transferts vers un pays tiers, sauf si elle y est tenue par le droit de l'Union européenne ou d'un État membre. Dans ce cas, Cobbai informe le Client de cette obligation avant le traitement, sauf si la loi l'interdit.

5.2 Constituent les instructions documentées du Client :

1. le Contrat, y compris le DPA ;
2. le paramétrage et l'utilisation des Services par le Client et ses Utilisateurs autorisés, notamment la configuration des Agents, des Canaux, des sources de données et des outils connectés ;
3. toute instruction écrite complémentaire acceptée par Cobbai.

5.3 Toute instruction complémentaire doit être compatible avec le Contrat et techniquement réalisable. Cobbai peut facturer, au tarif en vigueur, la mise en œuvre d'une instruction complémentaire qui engendre des coûts. Si Cobbai ne peut pas suivre une instruction, elle en informe le Client, qui peut alors suspendre l'utilisation des Services concernés.

5.4 Cobbai informe immédiatement le Client si, selon elle, une instruction constitue une violation de la Réglementation applicable. Cobbai peut suspendre l'exécution de cette instruction jusqu'à sa confirmation ou sa modification par le Client. Cette obligation n'impose pas à Cobbai de procéder à une analyse juridique des instructions du Client.

6. Obligations du Client

6.1 Le Client est responsable de la licéité des traitements réalisés au moyen des Services. Il garantit notamment :

1. disposer d'une base légale pour chaque traitement et pour la transmission des Données personnelles du Client à Cobbai ;
2. délivrer aux personnes concernées les informations requises, y compris sur l'usage de l'intelligence artificielle, et recueillir les consentements nécessaires, conformément aux articles 1.f et 3.c des Conditions d'utilisation ;
3. réaliser, le cas échéant, les analyses d'impact relatives à la protection des données requises ;
4. ne transmettre que les données nécessaires aux finalités poursuivies.

6.2 Le Client s'interdit de transmettre ou de collecter via les Services des données de santé, des données de carte bancaire ou des coordonnées bancaires, conformément à l'article 9.b des Conditions d'utilisation, ainsi que, en complément, des données sensibles au sens de l'article 9 du RGPD ou des données relatives aux condamnations pénales et aux infractions. Il met en œuvre, lorsque cela est approprié, les fonctionnalités d'anonymisation des données personnelles disponibles dans les Services.

6.3 Le Client est responsable de la gestion des comptes et des droits d'accès de ses Utilisateurs autorisés, ainsi que de la sécurité des systèmes, identifiants et outils qu'il connecte aux Services.

7. Confidentialité

Cobbai veille à ce que les personnes autorisées à traiter les Données personnelles du Client s'engagent à en respecter la confidentialité ou soient soumises à une obligation légale de confidentialité, et n'y accèdent que dans la mesure nécessaire à l'exécution du Contrat.

8. Sécurité

8.1 Cobbai met en œuvre les mesures techniques et organisationnelles appropriées prévues à l'article 32 du RGPD, décrites en annexe 2.

8.2 Cobbai peut faire évoluer ces mesures, notamment pour tenir compte de l'état de l'art, à condition de ne pas réduire le niveau global de sécurité des Données personnelles du Client.

8.3 Le Client reconnaît que ces mesures offrent un niveau de sécurité adapté au risque, compte tenu de la nature des Données personnelles du Client et des informations qu'il a communiquées à Cobbai.

9. Sous-traitants ultérieurs

9.1 Le Client accorde à Cobbai une autorisation écrite générale de faire appel à des Sous-traitants ultérieurs. La liste des Sous-traitants ultérieurs figure en annexe 3 ; elle est validée par le Client lors de l'acceptation du Contrat, conformément à l'article 1.e des Conditions d'utilisation.

9.2 Cobbai informe le Client de tout ajout ou remplacement envisagé d'un Sous-traitant ultérieur en mettant à jour l'annexe 3 et en l'en avertissant par e-mail à l'adresse de contact indiquée dans le Bon de commande ou dans le compte administrateur du Client, au moins 15 jours avant que le nouveau Sous-traitant ultérieur ne traite des Données personnelles du Client. En cas d'urgence liée à la sécurité ou à la continuité des Services, ce délai peut être réduit et le Client est informé dans les meilleurs délais.

9.3 Le Client peut s'opposer à ce changement pendant ce délai, par écrit et pour des motifs raisonnables et documentés liés à la protection des données. Les Parties recherchent alors de bonne foi une solution, par exemple une configuration ou une fonctionnalité alternative. À défaut de solution dans un délai de 30 jours, le Client peut résilier, par notification écrite, les seuls Services qui ne peuvent être fournis sans le nouveau Sous-traitant ultérieur, sans pénalité de résiliation anticipée. Les Frais déjà facturés pour la période en cours restent dus. En l'absence d'opposition dans le délai prévu, le changement est réputé accepté.

9.4 Cobbai impose à chaque Sous-traitant ultérieur, par contrat, les mêmes obligations en matière de protection des données que celles prévues au DPA, en particulier des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées.

9.5 Cobbai demeure pleinement responsable envers le Client de l'exécution par ses Sous-traitants ultérieurs de leurs obligations en matière de protection des données. Entre les Parties, cette responsabilité est soumise aux limitations prévues à l'article 11 des Conditions d'utilisation, sans préjudice des droits des personnes concernées au titre de l'article 82 du RGPD.

10. Transferts hors de l'Espace économique européen

10.1 Le Client autorise Cobbai et ses Sous-traitants ultérieurs à transférer des Données personnelles du Client hors de l'Espace économique européen, dans la mesure nécessaire à la fourniture des Services et vers les destinations indiquées en annexe 3, à condition que le transfert soit encadré :

1. par une décision d'adéquation de la Commission européenne, y compris le cadre de protection des données UE–États-Unis pour les entités certifiées ; ou
2. par des garanties appropriées au sens de l'article 46 du RGPD, notamment les clauses contractuelles types adoptées par la Commission européenne, complétées le cas échéant de mesures supplémentaires.

10.2 Le Client mandate Cobbai pour conclure en son nom, si nécessaire, les clauses contractuelles types avec les Sous-traitants ultérieurs concernés.

10.3 Le mécanisme de transfert applicable à chaque Sous-traitant ultérieur est indiqué en annexe 3.

11. Assistance

11.1 Demandes des personnes concernées. Cobbai transmet au Client, dans les meilleurs délais, toute demande d'exercice de droits qu'elle reçoit directement d'une personne concernée, sans y répondre elle-même sauf instruction du Client. Le Client traite ces demandes au moyen des fonctionnalités disponibles dans les Services, notamment l'export, la rectification et la suppression des données. Lorsque le Client ne peut pas y répondre par ces fonctionnalités, Cobbai lui fournit une assistance raisonnable, qui peut être facturée au tarif en vigueur.

11.2 Sécurité, analyses d'impact et consultation préalable. Compte tenu de la nature du traitement et des informations dont elle dispose, Cobbai aide le Client à respecter ses obligations prévues aux articles 32 à 36 du RGPD, en priorité au moyen de la Documentation, du DPA et de ses annexes. Toute assistance supplémentaire peut être facturée au tarif en vigueur.

11.3 Demandes des autorités. Cobbai informe le Client de toute demande d'une autorité concernant les Données personnelles du Client, sauf si la loi l'interdit.

12. Violations de données

12.1 Cobbai notifie au Client toute Violation de données dans les meilleurs délais après en avoir pris connaissance et, dans la mesure du possible, dans un délai de 48 heures, par e-mail à l'adresse de contact indiquée dans le Bon de commande ou dans le compte administrateur du Client.

12.2 La notification décrit, dans la mesure où ces informations sont disponibles et le cas échéant de manière échelonnée :

1. la nature de la Violation de données, les catégories et le nombre approximatif de personnes concernées et d'enregistrements concernés ;
2. ses conséquences probables ;
3. les mesures prises ou envisagées pour y remédier et en atténuer les effets ;
4. le point de contact auprès duquel obtenir des informations complémentaires.

12.3 Cobbai prend les mesures raisonnables pour contenir la Violation de données et y remédier.

12.4 Il appartient au Client, en qualité de responsable de traitement, de notifier la Violation de données à l'autorité de contrôle et, le cas échéant, aux personnes concernées. Cobbai ne procède à aucune notification pour le compte du Client sans son instruction écrite, sauf obligation légale.

12.5 La notification d'une Violation de données ne vaut pas reconnaissance de faute ou de responsabilité de la part de Cobbai.

13. Audits

13.1 Cobbai met à la disposition du Client les informations nécessaires pour démontrer le respect de ses obligations au titre de l'article 28 du RGPD, notamment le DPA et ses annexes, son rapport d'audit SOC 2 Type 2, communiqué sous réserve d'un engagement de confidentialité, les informations publiées sur son Trust Center et ses réponses à un questionnaire de sécurité raisonnable, une fois par an.

13.2 Si ces informations ne suffisent pas à démontrer le respect de ces obligations, le Client peut faire réaliser un audit, dans les conditions suivantes :

1. au plus une fois par période de 12 mois, sauf demande d'une autorité de contrôle ou Violation de données affectant significativement les Données personnelles du Client ;
2. moyennant un préavis écrit d'au moins 30 jours, précisant le périmètre et la durée de l'audit, qui ne peut excéder 2 jours ouvrés ;
3. par le Client ou par un auditeur indépendant, qui n'est pas un concurrent de Cobbai et qui est soumis à une obligation de confidentialité ;
4. pendant les heures ouvrées, sans perturber l'activité de Cobbai, et à distance lorsque cela est possible ;
5. sans accès aux données des autres clients de Cobbai, au code source, aux Modèles Cobbai ni aux secrets d'affaires de Cobbai ; les rapports d'audit des Sous-traitants ultérieurs tiennent lieu d'audit de leurs installations.

13.3 Les frais de l'audit sont à la charge du Client, y compris le temps consacré par Cobbai, facturé au tarif en vigueur, sauf si l'audit révèle un manquement substantiel de Cobbai à ses obligations au titre du DPA.

13.4 Le rapport d'audit est communiqué à Cobbai et constitue une Information confidentielle. Cobbai remédie aux non-conformités substantielles constatées dans un délai raisonnable.

14. Durée, restitution et suppression des données

14.1 Le DPA s'applique tant que Cobbai traite des Données personnelles du Client pour le compte du Client.

14.2 À la fin du Contrat, la restitution et la suppression des Données personnelles du Client s'effectuent selon l'article 8 des Conditions d'utilisation et la page Réversibilité des services. Le Client choisit entre l'export de ses données et leur suppression. Les données restent disponibles pendant la Période de Transition et la Période de Récupération, puis sont supprimées, sauf obligation légale de conservation.

14.3 Les copies présentes dans les sauvegardes sont supprimées selon le cycle normal de rotation des sauvegardes décrit en annexe 2. Elles restent protégées conformément au DPA et ne sont utilisées à aucune autre fin.

14.4 À défaut de demande d'export avant la fin de la Période de Récupération, Cobbai supprime les Données personnelles du Client. Cobbai confirme la suppression par écrit sur demande du Client.

15. Responsabilité

15.1 Chaque Partie est responsable du respect des obligations qui lui incombent au titre de la Réglementation applicable.

15.2 La responsabilité de chaque Partie au titre du DPA est soumise aux limitations et exclusions prévues à l'article 11 des Conditions d'utilisation. Sous réserve de l'article 11.c des Conditions d'utilisation, le plafond qui y est prévu s'applique à l'ensemble des réclamations au titre du Contrat et du DPA.

15.3 Le Client garantit Cobbai, dans les conditions de l'article 10.b des Conditions d'utilisation, contre toute réclamation résultant d'une instruction illicite du Client ou de la transmission de Données personnelles du Client sans base légale.

16. Droit applicable et litiges

Le DPA est régi par le droit français. Tout litige relatif au DPA est soumis aux juridictions désignées à l'article 12.e des Conditions d'utilisation.

Annexe 1 – Description des traitements

Objet : Fourniture des Services, à savoir la plateforme de service client, les Agents d'intelligence artificielle (Front, y compris en mode vocal, Companion, Tasks), messagerie et chat, base de connaissances, analyse et classification des conversations (Topic map), Test center et API

Durée : Durée du Contrat, augmentée de la Période de Transition et de la Période de Récupération prévues à l'article 8 des Conditions d'utilisation

Nature des opérations : Hébergement, stockage et sauvegarde ; collecte via les Canaux connectés par le Client (chat, e-mail, voix, outils de service client tiers, API) ; reconnaissance et synthèse vocales pour les Conversations Front vocales ; analyse et traitement automatisés par intelligence artificielle (génération et suggestion de réponses, classification, étiquetage, routage, résumé, traduction, analyse de sentiment, détection et masquage de données personnelles) ; indexation des bases de connaissances ; authentification et gestion des accès ; envoi de notifications par e-mail ; décompte des unités de consommation et des Tokens ; journalisation ; support technique ; export et suppression

Finalités : Fournir, maintenir et sécuriser les Services pour le Client, conformément au Contrat ; adapter les Modèles aux seuls besoins du Client, conformément à l'article 3.f des Conditions d'utilisation ; produire des statistiques pour le Client ; assurer le support

Catégories de personnes concernées : Utilisateurs autorisés du Client (salariés, agents, prestataires) ; Utilisateurs finaux (clients, prospects et usagers qui contactent le Client) ; personnes mentionnées dans les contenus transmis par le Client

Données des Utilisateurs autorisés : Nom, prénom, e-mail et téléphone professionnels, fonction, identifiants, mot de passe haché, données de connexion et journaux d'activité, préférences de paramétrage

Données des Utilisateurs finaux : Identité et coordonnées communiquées, contenu des messages, conversations, tickets et pièces jointes, métadonnées (date, Canal, langue, étiquettes, sentiment), données issues des systèmes connectés par le Client (par exemple numéro ou statut de commande), identifiants techniques du chat [à confirmer : adresse IP, identifiant de session] ; pour les Conversations Front vocales, voix, numéro de téléphone et transcriptions [et enregistrements] des échanges

Données sensibles : Aucune. Le Client s'interdit d'en transmettre, conformément à l'article 6.2 du DPA. Les données vocales ne sont pas utilisées pour identifier les personnes concernées [à confirmer]

Lieux de traitement : Hébergement principal et sauvegardes en France ; traitement par des modèles d'intelligence artificielle dans l'Union européenne et aux États-Unis, selon l'annexe 3

Durée de conservation : Durée du Contrat, sauf suppression antérieure par le Client ; à la fin du Contrat, selon l'article 14 du DPA ; sauvegardes : 15 jours glissants ; journaux : selon l'annexe 2

Contact de Cobbai : Guillaume Burgaud, délégué à la protection des données, guillaume.burgaud@cobbai.com

Contact du Client : Celui indiqué dans le Bon de commande

Annexe 2 – Mesures de sécurité

Cobbai met en œuvre notamment les mesures techniques et organisationnelles suivantes. Elle peut les faire évoluer, notamment pour tenir compte de l'état de l'art, sans réduire le niveau global de sécurité des Données personnelles du Client (article 8.2).

1. Certification. Les contrôles de sécurité de Cobbai sont audités selon le référentiel SOC 2 Type 2. Le rapport d'audit est communiqué sur demande, sous réserve d'un engagement de confidentialité. Des informations complémentaires sont disponibles sur le Trust Center de Cobbai.
2. Hébergement. Les Données du Client sont hébergées en France par OVHcloud, prestataire certifié ISO/IEC 27001, sur un serveur dédié et chiffré pour chaque client.
3. Sauvegardes. Des sauvegardes quotidiennes chiffrées sont stockées en France par Scaleway, prestataire certifié ISO/IEC 27001, et conservées pendant 15 jours glissants avant leur suppression.
4. Chiffrement. Les données sont chiffrées en transit et au repos.
5. Accès. L'accès aux Données du Client est limité aux membres du personnel de Cobbai qui en ont besoin pour fournir les Services, assurer le support ou la sécurité. Ces personnes sont soumises à une obligation de confidentialité et leurs accès sont journalisés.
6. Journaux. Les journaux d'accès et d'activité sont conservés pendant 2 mois, conformément à l'article 3.h des Conditions d'utilisation. Les données de consommation nécessaires à la facturation sont conservées pendant la durée nécessaire à la facturation et au respect des obligations comptables.
7. Surveillance. Les systèmes font l'objet d'une surveillance continue afin de détecter les incidents de sécurité.
8. Incidents. Les Violations de données sont traitées et notifiées dans les conditions de l'article 12 du DPA.
9. Fournisseurs de modèles d'intelligence artificielle. Ils ne reçoivent que les données nécessaires au traitement demandé et s'engagent à ne pas les utiliser pour entraîner leurs modèles au bénéfice de tiers, conformément à l'article 3.f des Conditions d'utilisation.
10. Fin du Contrat. Les Données personnelles du Client sont restituées puis supprimées dans les conditions de l'article 14 du DPA.

Annexe 3 – Sous-traitants ultérieurs

La liste des Sous-traitants ultérieurs autorisés, les traitements qui leur sont confiés, leur localisation et les mécanismes de transfert applicables figurent sur la page Sous-traitants, qui fait partie intégrante du DPA.

‍