Accord de Traitement des Données (DPA)

Date de dernière mise à jour : 11 août 2026

Version : 1.3

> Cet accord est annexé aux Conditions Générales d'Utilisation de Limaniya Host. Il est conclu conformément à l'article 28 du Règlement (UE) 2016/679 (RGPD).

1. Parties

Sous-traitant : Karamba Sakho, Entrepreneur Individuel — contact@limaniya.fr

Responsable de traitement : Le Client (conciergerie) ayant souscrit un abonnement Limaniya Host.

2. Objet

Le présent accord définit les conditions dans lesquelles le Sous-traitant traite les données à caractère personnel pour le compte du Responsable de traitement dans le cadre de la fourniture du service Limaniya Host.

3. Nature, finalité et durée du traitement

• Nature : Stockage, organisation, structuration, consultation, extraction des données
• Finalité : Gestion des réservations, voyageurs, propriétaires et équipes de conciergerie ; assistance IA conversationnelle ; alertes proactives automatiques
• Durée : Durée du contrat de service + 30 jours pour restitution/suppression

4. Catégories de données traitées

5. Instructions documentées

Le Sous-traitant ne traite les données à caractère personnel que sur instruction documentée du Responsable de traitement. L'utilisation du service constitue une instruction permanente de traitement selon les finalités définies à l'article 3.

6. Confidentialité

Le Sous-traitant s'engage à n'autoriser le traitement des données que par des personnes soumises à une obligation de confidentialité appropriée.

7. Mesures de sécurité (Art. 32 RGPD)

Le Sous-traitant met en œuvre les mesures suivantes :

• Chiffrement TLS en transit (HTTPS obligatoire)
• Chiffrement AES-256 des données au repos (Supabase/AWS)
• Row Level Security (RLS) garantissant l'isolation entre tenants
• Authentification multi-facteurs disponible
• Appareils de confiance avec code PIN (SHA-256 + bcrypt) et expiration de session automatique (4h)
• Journalisation des accès et des actions du co-pilote IA
• Sauvegardes automatiques quotidiennes (RPO : 24h)

8. Sous-traitance ultérieure

Le Sous-traitant fait appel aux sous-traitants ultérieurs suivants :

Le Responsable de traitement peut s'opposer à la nomination d'un nouveau sous-traitant dans un délai de 14 jours suivant notification. À défaut d'opposition, l'ajout est réputé accepté.

9. Co-pilote IA et décision automatisée

Limaniya Host met en œuvre deux systèmes d'IA distincts, dont les régimes diffèrent.

1. Le co-pilote interne, qui assiste les gestionnaires en suggérant des actions et en générant des alertes proactives. Conformément à l'article 22 du RGPD :

• Aucune action à impact significatif sur des données personnelles n'est exécutée sans confirmation humaine explicite
• Le Responsable de traitement est informé que les interactions avec le co-pilote sont journalisées à des fins d'audit (CopilotLog)
• Les données transmises aux modèles IA (Groq, OpenAI) sont limitées au strict nécessaire et ne sont pas conservées au-delà du traitement (Zero Data Retention)

2. L'assistant voyageur Hakilo, qui répond automatiquement aux messages WhatsApp des voyageurs sans validation humaine préalable. Le Responsable de traitement (la conciergerie) est informé que :

• Les réponses portent sur des informations pratiques de séjour et ne constituent pas des décisions au sens de l'article 22
• Les catégories de sujets sensibles configurées (prix, remboursement, annulation, litige, urgence, plainte) déclenchent une escalade vers un opérateur humain sans réponse automatique
• Le Responsable de traitement peut désactiver la réponse automatique à tout moment depuis son espace d'administration, et annuler toute réponse générée pendant le délai précédant son envoi
• Le contenu des messages transite par WhatsApp Business Cloud API (Meta) et par les modèles Groq et OpenAI, tous deux en mode Zero Data Retention

10. Assistance au Responsable de traitement

Le Sous-traitant s'engage à :

• Aider le Responsable à répondre aux demandes d'exercice de droits (accès, rectification, effacement, portabilité)
• Notifier le Responsable dans les 48 heures en cas de violation de données (Art. 33 RGPD)
• Fournir les informations nécessaires aux analyses d'impact (AIPD) si requis
• Communiquer les logs du co-pilote IA sur demande dans le cadre d'un droit d'accès

11. Notification des violations de données

En cas de violation de données susceptible d'engendrer un risque pour les droits et libertés, le Sous-traitant notifiera le Responsable de traitement dans les 48 heures suivant la prise de connaissance, avec les informations suivantes :

• Nature de la violation
• Catégories et nombre approximatif de personnes concernées
• Conséquences probables
• Mesures prises ou envisagées

12. Audits

Le Responsable de traitement ou un auditeur mandaté peut effectuer des audits de conformité, sur préavis de 30 jours, dans la limite d'un audit par an, sans perturber l'activité du Sous-traitant.

13. Sort des données en fin de contrat

Dans les 30 jours suivant la résiliation du contrat, le Sous-traitant :

1. Met à disposition les données dans un format exportable (JSON/CSV)
2. Supprime définitivement l'ensemble des données du Responsable de traitement
3. Fournit une attestation écrite de suppression sur demande

14. Transferts hors Union Européenne

Les données sont stockées dans l'Union Européenne (serveurs Supabase, région eu-west-3 Paris). Les transferts éventuels vers des sous-traitants américains sont encadrés par :

• Le Data Privacy Framework EU-U.S. (Vercel, Resend, OpenAI, Twilio)
• Le Data Privacy Framework EU-U.S. complété par le WhatsApp Business Data Transfer Addendum (WhatsApp Ireland Limited / Meta)
• Les Clauses Contractuelles Types — décision 2021/914 (Supabase, Groq)

Groq et OpenAI opèrent avec le mode Zero Data Retention : aucune donnée n'est conservée au-delà du traitement de la requête.

15. Droit applicable

Le présent accord est soumis au droit français. Tout litige sera porté devant les juridictions compétentes de Toulouse.