Définitions
Données à caractère personnel : toute information se rapportant à une personne physique identifiée ou identifiable.
Incident de sécurité : violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel ou l'accès non autorisé à de telles données.
Instructions : directives documentées du Client à Godia.ai concernant le traitement des données à caractère personnel.
Sous-traitant ultérieur : tout tiers engagé par Godia.ai pour effectuer une partie du traitement des données.
Identification des Parties
Responsable de traitement (Client) : l'entité cliente identifiée dans le bon de commande.
Sous-traitant (Godia.ai) : 777 Industries Luxembourg S.à r.l., 24 Route d'Arlon, L-8008 Strassen, Luxembourg (RCS B302454). Contact : support@godia.ai, legal@godia.ai.
Périmètre et Durée
- Périmètre
Mise à disposition de la plateforme SaaS Godia.ai : portail client web sécurisé, agents IA conversationnels accessibles via widget embarqué et envoi d'emails sortants, module Copilot optionnel connecté aux boîtes Gmail et Microsoft 365 (lecture des emails entrants pour proposer des brouillons de réponse, envoi conditionné à validation humaine explicite), système d'automatisation (règles de déclenchement, emails transactionnels, fiches prospects).
- Durée
Effectif à la signature du contrat principal ; prend fin à son expiration ou résiliation. Fin de contrat : export complet des données disponible sur demande sous 30 jours, suppression définitive sous 60 jours après résiliation (sauf obligation légale de conservation). Attestation de suppression émise sur demande.
Catégories de Données et Finalités
- Catégories
Conversations (messages, horodatages, identifiants de session pseudonymisés), données prospects (nom, email, téléphone, société, champs libres, pièces jointes), données techniques (adresses IP à des fins de sécurité, logs, métriques), événements d'authentification et de journalisation SIEM, clés API développeur (hash SHA-256 uniquement), et - pour les clients ayant activé le module Copilot - métadonnées et contenu d'emails (corps, objet) lus à la demande via les API Gmail / Microsoft Graph (non persistés), jetons OAuth chiffrés.
- Personnes concernées
Utilisateurs finaux (visiteurs, prospects, clients) et utilisateurs internes du Client.
- Finalités
Fourniture du service, amélioration et support, obligations légales, sécurité et prévention des abus.
- Référence DPIA
Cinq traitements sont formellement documentés dans la DPIA-GODIA-2026-001 v1.1 (avril 2026) : (1) Conversations IA, (2) Données de prospects, (3) Authentification et journalisation SIEM, (4) Clés API développeurs, (5) Lecture et envoi d'emails via Copilot (Gmail / Microsoft 365). Disponible sur demande à legal@godia.ai.
Instructions et Accès Support
Godia.ai traite les données à caractère personnel uniquement sur la base des instructions documentées du Client, conformément aux Art. 28 et 29 RGPD. Tout accès aux données du Client par le personnel de support de Godia.ai est journalisé dans l'audit trail (table access_logs, rétention 90 jours). Les enregistrements des opérations de support sont mis à la disposition du Client sur demande écrite.
Mesures de Sécurité
- Authentification et contrôles d'accès
JWT RS256 avec rotation automatique tous les 7 jours, bcrypt 12 rounds pour les mots de passe, MFA TOTP obligatoire pour les comptes administrateurs Godia et recommandé pour tous les comptes clients, RBAC avec trois rôles natifs (Owner, Admin, Member) et huit permissions granulaires configurables.
- Isolation multi-tenant
Trois niveaux cumulatifs : colonne clientId sur toutes les tables (filtre WHERE obligatoire sur chaque requête SQL), middleware d'authentification injectant et vérifiant le clientId à chaque appel API, vérification de propriété sur chaque endpoint (HTTP 403 sur tentative cross-tenant). Alertes SIEM en temps réel sur toute tentative de violation d'isolation.
- Chiffrement
Données sensibles (credentials CRM, jetons OAuth, pièces jointes prospects) chiffrées AES-256-GCM en applicatif. PostgreSQL chiffré au repos au niveau infrastructure (Neon). TLS 1.2 / 1.3 enforcé sur toutes les connexions, HSTS preload. Rotation annuelle MASTER_KEY (Q4) avec rotation immédiate sur événement de sécurité.
- Sauvegardes
Sauvegardes quotidiennes chiffrées AES-256 managées par Neon, réplication multi-zone UE, capacité de restauration point-in-time. RTO contractuel : 4 heures. RPO : 24 heures.
- Audit trail
Tables de logs append-only (auth_events, access_logs, client_activity_logs, alert_history) avec rétentions de 30 à 90 jours. Export SIEM natif au format JSON/CSV depuis le portail client (compatible Elastic, Splunk, QRadar, Microsoft Sentinel). Rate limit anti-exfiltration (10 exports / heure). Enregistrements des opérations de support disponibles sur demande.
Hébergement et Sous-Traitants Ultérieurs
Godia.ai utilise les sous-traitants ultérieurs ci-dessous, formellement documentés dans notre Registre ICT (conforme DORA Art. 28). Tout ajout ou remplacement significatif d'un sous-traitant sera notifié 30 jours à l'avance, avec droit pour le Client de formuler une objection motivée.
| Sous-traitant | Rôle | Localisation | DPA |
|---|---|---|---|
| Railway Corporation | Hébergement applicatif (PaaS, calcul, réseau, déploiement) | europe-west4 (Amsterdam, Pays-Bas / UE) | Disponible |
| Neon, LLC (Databricks) | Base de données PostgreSQL managée | europe-west4 (UE) | Disponible |
| Mistral AI SAS | Inférence de modèles de langage (IA conversationnelle). Données non utilisées pour l'entraînement des modèles. | France (UE) | Disponible |
| Mailjet (Sinch) | Envoi d'emails transactionnels et notifications | France (UE) | Disponible |
| Google LLC | Authentification OAuth 2.0 SSO ; Gmail API (scope gmail.modify) pour le module Copilot - sur activation explicite du Client | États-Unis (SCCs RGPD) | Disponible |
| Microsoft Corporation | Authentification OAuth 2.0 SSO ; Microsoft Graph API (scopes Mail.Read, Mail.Send) pour le module Copilot - sur activation explicite du Client | UE / États-Unis (SCCs RGPD) | Disponible |
Transferts Internationaux de Données
L'infrastructure principale (calcul et base de données) est hébergée au sein de l'Union européenne. Les transferts hors UE sont limités à :
- Google LLC - uniquement si le Client active l'intégration Copilot avec Gmail (scope gmail.modify). Couvert par les Clauses Contractuelles Types (SCCs) RGPD et le Google Cloud Data Processing Addendum.
- Microsoft Corporation - uniquement si le Client active l'intégration Copilot avec Microsoft 365 (Microsoft Graph API, scopes Mail.Read / Mail.Send). Couvert par les SCCs RGPD et le Microsoft Online Services DPA.
Pour tout traitement hors UE, Godia.ai met en place les garanties appropriées (SCCs) et informe le Client lorsque cela est nécessaire.
Droits des Personnes Concernées et Assistance
Mécanismes permettant au Client de répondre aux demandes des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition). Suppression des conversations via l'interface de la plateforme, export complet des données en JSON/CSV depuis le portail client. Assistance complémentaire disponible sur demande à legal@godia.ai.
Incidents et Notifications
En cas de violation de données à caractère personnel, Godia.ai notifie le Client sans retard injustifié après en avoir pris connaissance, avec les informations disponibles permettant l'évaluation (nature de la violation, catégories et nombre approximatif de personnes concernées, conséquences probables, mesures prises). SLA de notification : 4 heures pour les incidents critiques. Notification aux autorités de contrôle compétentes (CNIL France, CNPD Luxembourg) sous 72 heures conformément à l'Art. 33 RGPD, lorsqu'applicable. Notifications email transmises via le portail d'administration (Mailjet). Chaque incident est documenté avec chronologie, impact et mesures correctives (module REX intégré au portail client, conforme DORA Art. 11).
Audits et Conformité
Godia.ai privilégie la fourniture de preuves documentaires : politique de sécurité (godia.ai/legal/security), DPIA-GODIA-2026-001 v1.1, Registre ICT (DORA Art. 28), audit interne OWASP Top 10:2025 + LLM Top 10 (score 100/100, avril 2026), et les réponses aux questionnaires sécurité. Les audits sur site ne sont pas proposés par défaut ; ils peuvent être réalisés lorsqu'une obligation légale ou réglementaire l'exige, ou par accord mutuel (préavis, périmètre défini, confidentialité), aux frais du demandeur.
Conservation et Suppression
| Catégorie | Durée de conservation |
|---|---|
| Conversations et pièces jointes | Pendant la durée du contrat ; export disponible sous 30 jours après résiliation, suppression définitive sous 60 jours |
| Logs d'authentification et d'accès (auth_events, access_logs) | 90 jours |
| Logs d'activité client (client_activity_logs) | 30 jours |
| Historique des alertes (alert_history) | 90 jours |
| Sauvegardes chiffrées | Selon le plan Neon souscrit (cycles glissants) |
| Métadonnées analytiques agrégées | 12 mois (anonymisées au-delà) |
Restitution / Suppression en Fin de Contrat
À la résiliation du contrat : export complet des données fourni sur demande écrite sous 30 jours (format JSON/CSV, portabilité PostgreSQL standard). Suppression définitive de l'ensemble des données du Client sous 60 jours après résiliation, sauf obligation légale de conservation. Attestation de suppression émise sous 15 jours après la suppression effective, sur demande écrite du responsable de traitement. Aucun lock-in propriétaire.
Droit Applicable et Juridiction
Droit luxembourgeois (selon le contrat principal). Compétence des juridictions du siège social du Client sauf stipulation contraire.
Contact et PDF Signé
Privacy / Légal : legal@godia.ai. Support : support@godia.ai. Pour obtenir une version PDF signée du présent DPA, merci d'envoyer votre demande par email.