Addenda sur le traitement des données

English version

Dernière mise à jour : 26 octobre 2026

Le présent addenda sur le traitement des données (l'« Addenda ») est conclu entre KURUVI LLC, P.O. Box 3605, Mooresville, Caroline du Nord 28117, États-Unis (« Kuruvi »), et l'entreprise titulaire d'un compte Kuruvi (le « Client »). Il fait partie intégrante des Conditions d'utilisation et s'applique lorsque Kuruvi traite des Renseignements personnels du Client dans le cadre de la fourniture du Service. Accepter les Conditions emporte acceptation du présent Addenda.

1. Portée et préséance

Les « Renseignements personnels du Client » sont les renseignements personnels des personnes avec lesquelles le Client fait affaire au moyen de Kuruvi, que Kuruvi traite pour le compte du Client : les données décrites à l'annexe 1. Pour ces données, le Client est le responsable du traitement (en Inde, le Data Fiduciary; en Californie, l'« entreprise » (business)) et Kuruvi est son sous-traitant (en Inde, le Data Processor; en Californie, le « fournisseur de services » (service provider)). Si le Client utilise Kuruvi pour une autre entreprise (par exemple une agence qui gère la boîte de réception d'un client), le Client est le sous-traitant de cette entreprise, Kuruvi est le sous-traitant ultérieur du Client, et le Client est responsable de détenir l'autorisation de cette entreprise pour ses instructions.

Les dossiers de compte, de facturation, de sécurité et de soutien de Kuruvi, ainsi que les données des personnes qui utilisent kuruvi.com, ne sont pas des Renseignements personnels du Client. Kuruvi les traite à titre de responsable conformément à sa Politique de confidentialité. Relèvent aussi de Kuruvi : les registres indiquant qui a consulté des données de clients Shopify ou des demandes de location, les registres de consentement aux SMS que Kuruvi conserve pour respecter les règles des fournisseurs de services sans fil (il les conserve aussi pour le Client), et les registres d'utilisation qu'il conserve pour appliquer les limites des forfaits.

En cas de conflit entre le présent Addenda et les Conditions quant au traitement des Renseignements personnels du Client, le présent Addenda prévaut.

2. Kuruvi suit les instructions du Client

Kuruvi traite les Renseignements personnels du Client uniquement selon les instructions documentées du Client. Ces instructions sont le présent Addenda, les Conditions, l'utilisation et les réglages du Service par le Client (par exemple connecter un canal, envoyer un message, appuyer sur un bouton d'IA, activer la traduction des messages, supprimer ou archiver du contenu) et toute autre instruction écrite que Kuruvi accepte. Kuruvi ne les traite autrement que lorsqu'une loi qui lui est applicable l'exige, et en avise alors d'abord le Client, à moins que cette loi ne l'interdise. Kuruvi avise promptement le Client s'il estime qu'une instruction enfreint la loi sur la protection des données. Le Client ne communique des Renseignements personnels du Client à Kuruvi qu'aux fins commerciales (business purposes) prévues à l'annexe 1.

Le Client est responsable de la légalité de ses instructions : sa base juridique, les avis qu'il donne à ses propres clients (notamment que des messages peuvent être envoyés aux fournisseurs d'IA et de traduction nommés à la section 6 de la Politique de confidentialité) et tout consentement requis pour le marketing par SMS ou WhatsApp. Les demandes de location et les messages peuvent contenir des renseignements sensibles ou relatifs à des antécédents judiciaires; Kuruvi ne les demande pas, et le Client décide s'il les recueille.

Si une autorité publique demande à Kuruvi des Renseignements personnels du Client, Kuruvi tente de rediriger la demande vers le Client, en avise promptement le Client à moins que la loi ne l'interdise, ne communique que ce que la loi exige et conteste une demande qu'il estime illégale.

Kuruvi peut produire des renseignements agrégés ou dépersonnalisés sur l'utilisation du Service (par exemple des décomptes, des données de performance et d'erreurs, mais non le contenu des messages) et les utiliser pour exploiter, sécuriser et améliorer le Service. Kuruvi n'entraîne aucun modèle d'IA avec les Renseignements personnels du Client.

3. Confidentialité

Kuruvi ne permet l'accès aux Renseignements personnels du Client qu'aux personnes qui en ont besoin pour le Service, et chacune d'elles est tenue d'en préserver la confidentialité.

4. Sécurité

Kuruvi applique les mesures de l'annexe 2. Il peut les modifier pourvu que le niveau global de protection ne diminue pas.

Le Client est responsable de sa part de la sécurité : protéger les identifiants de connexion de son équipe, retirer l'accès aux personnes qui n'en ont plus besoin, choisir des réglages adaptés à ses risques et conserver ses propres copies des données qu'il doit garder. Le Client ne verse dans le Service ni dossiers de santé protégés par la loi américaine HIPAA ni numéros complets de cartes de paiement.

5. Sous-traitants ultérieurs

Le Client autorise Kuruvi à recourir aux sous-traitants ultérieurs énumérés dans le tableau « Sous-traitants » de la section 5 de la Politique de confidentialité. Ce tableau constitue la liste aux fins du présent Addenda. Kuruvi lie chaque sous-traitant ultérieur par contrat à des conditions de protection des données qui protègent les Renseignements personnels du Client, et demeure responsable envers le Client de ses sous-traitants.

Avant d'ajouter un sous-traitant ultérieur à ce tableau, ou d'en remplacer un, Kuruvi en avise le propriétaire du compte par courriel au moins 30 jours à l'avance. Le Client peut s'y opposer pour des motifs raisonnables liés à la protection des données pendant cette période. Si les parties ne parviennent pas à résoudre l'opposition, le Client peut cesser d'utiliser la fonctionnalité visée ou mettre fin au Service, et Kuruvi rembourse les frais payés d'avance pour la période non utilisée. Les propres sous-traitants de chaque sous-traitant ultérieur sont énumérés par celui-ci et changent selon ses propres conditions de préavis.

Les plateformes que le Client connecte (comme WhatsApp, Instagram, Messenger, Shopify, eBay, Telegram, Microsoft et le fournisseur de courriel du Client) traitent les données en vertu des propres ententes du Client avec elles, et non à titre de sous-traitants ultérieurs de Kuruvi.

6. Aide relative aux demandes des personnes

Kuruvi aide le Client à répondre aux demandes de personnes qui veulent consulter, rectifier, supprimer ou transférer leurs données, ou s'opposer à leur traitement. Le Client peut utiliser les outils du Service (archiver et supprimer des conversations, l'option « Download my data » (Télécharger mes données), et le traitement automatique des demandes de données clients de Shopify). Lorsque ces outils ne couvrent pas une demande, le Client peut écrire à privacy@kuruvi.com, et Kuruvi répond promptement, et à temps pour que le Client respecte son propre délai légal, sans frais à moins que les demandes ne soient manifestement excessives. Si une personne adresse directement à Kuruvi une demande portant sur des Renseignements personnels du Client, Kuruvi la transmet au Client, en informe la personne et n'y répond pas lui-même, sauf si le Client le lui demande.

7. Incidents de sécurité et autre aide

Kuruvi avise le Client sans délai injustifié, et dans les 72 heures, après avoir pris connaissance d'un incident de confidentialité touchant des Renseignements personnels du Client. L'avis décrit, dans la mesure où ils sont connus, ce qui s'est produit, les données et les personnes touchées, les conséquences probables, ce que fait Kuruvi et un point de contact pour obtenir plus de renseignements; les détails peuvent suivre par étapes. Un avis ne constitue pas une reconnaissance de faute ou de responsabilité. Kuruvi fournit aussi au Client les renseignements dont il dispose raisonnablement pour les propres obligations du Client en matière de sécurité, d'avis d'atteinte et d'évaluation des facteurs relatifs à la vie privée, y compris au sujet des fonctionnalités d'IA et de traduction.

8. Restitution et suppression

Le Client peut télécharger ses données en tout temps avec l'option « Download my data » (Télécharger mes données). Les Renseignements personnels du Client sont supprimés lorsque le Client les supprime dans le Service, lorsque le dernier membre de l'équipe du Client supprime son compte, ou sur demande écrite à privacy@kuruvi.com, dans un délai de 30 jours dans les propres systèmes de Kuruvi. Les délais de la section 8 de la Politique de confidentialité s'appliquent, notamment :

• les conversations archivées sont supprimées 30 jours après leur archivage, et les conversations du clavardage du site Web après 365 jours sans nouveau message;
• les copies de résultats d'IA conservées pour appliquer les limites des forfaits sont supprimées après 90 jours, et les enregistrements de l'index de recherche après 365 jours sans activité;
• les propres sauvegardes de Kuruvi sont conservées jusqu'à 90 jours;
• les clavardages entre utilisateurs de Kuruvi, les groupes et sujets de clavardage d'équipe et les fichiers qui y sont partagés ne sont pas supprimés automatiquement à la suppression d'un compte, parce qu'ils contiennent aussi les messages d'autres personnes; Kuruvi supprime la part du Client sur demande écrite;
• les registres de commandes que Kuruvi a créés pour la boîte de réception du Client, les exportations de données de clients Shopify et les commandes laissées après la déconnexion d'une boutique WooCommerce sont supprimés sur demande écrite.

Les sous-traitants ultérieurs qui stockent des données pour Kuruvi terminent la suppression dans leurs propres systèmes et sauvegardes selon leur propre calendrier (Google Cloud, par exemple, prévoit jusqu'à 180 jours), et les copies détenues par les fournisseurs d'IA et de traduction sont supprimées selon le calendrier propre à ces fournisseurs (Politique de confidentialité, section 6). Kuruvi ne conserve les données plus longtemps que lorsqu'une loi l'exige. Sur demande, Kuruvi confirme une suppression par écrit.

9. Renseignements et audits

Kuruvi met à disposition les renseignements nécessaires pour démontrer qu'il respecte le présent Addenda : le présent Addenda, l'annexe 2, la liste des sous-traitants ultérieurs et les réponses à des questionnaires de sécurité écrits raisonnables, et il collabore aux évaluations de sécurité raisonnables du Client. Kuruvi ne détient aujourd'hui aucune certification ni aucun rapport d'audit de sécurité délivré par un tiers; lorsqu'il disposera d'un rapport d'audit indépendant à jour couvrant le Service, il fournira d'abord ce rapport. Si ces renseignements ne suffisent pas à démontrer la conformité de Kuruvi, si un organisme de réglementation ou la loi exige un audit, ou si un incident de confidentialité touchant des Renseignements personnels du Client est survenu, le Client (ou un auditeur indépendant tenu à la confidentialité) peut vérifier la conformité de Kuruvi. Un audit a lieu au plus une fois par période de 12 mois, sauf après un tel incident ou lorsqu'un organisme de réglementation ou la loi en exige davantage. Le Client transmet un plan d'audit au moins 30 jours à l'avance, ou dans un délai plus court et raisonnable après un tel incident ou lorsqu'un organisme de réglementation ou la loi l'exige; l'audit a lieu pendant les heures d'ouverture sans perturber indûment le Service; le Client n'effectue aucun balayage ni aucun test des systèmes de Kuruvi sans l'autorisation écrite de Kuruvi; et le Client assume ses propres frais et paie le temps raisonnable que Kuruvi y consacre, sauf si l'audit révèle un manquement important de Kuruvi au présent Addenda.

10. Lieu du traitement

La base de données et le stockage de fichiers de Kuruvi sont situés aux États-Unis. Ses sous-traitants ultérieurs, y compris les fournisseurs d'IA qui peuvent en conserver des copies, traitent les Renseignements personnels du Client dans les pays indiqués dans la Politique de confidentialité. Si la loi applicable au Client exige un instrument de transfert pour l'envoi de renseignements personnels à Kuruvi (par exemple depuis le Royaume-Uni, l'UE ou la Suisse), le Client en avise Kuruvi avant de les envoyer, et les parties en mettent un en place par écrit.

11. Lois des États américains sur la protection de la vie privée

Lorsque la California Consumer Privacy Act ou une autre loi d'un État américain sur la protection de la vie privée s'applique, Kuruvi agit à titre de fournisseur de services ou de sous-traitant du Client et :

• ne vend ni ne partage les Renseignements personnels du Client, et ne les utilise pas pour de la publicité ciblée ou comportementale intercontextuelle;
• ne les traite qu'aux fins de l'annexe 1 (business purposes), et ne les conserve, ne les utilise ni ne les communique à aucune autre fin, y compris ses propres fins commerciales, ni en dehors de sa relation d'affaires directe avec le Client, sauf les renseignements agrégés ou dépersonnalisés sur le Service prévus à la section 2, dans la mesure permise par ces lois;
• ne les combine pas avec des renseignements personnels provenant d'autres sources, sauf dans la mesure permise par ces lois (par exemple pour fournir le Service ou détecter des incidents de sécurité et des fraudes);
• leur accorde le niveau de protection de la vie privée exigé par ces lois, et avise le Client s'il ne peut plus s'y conformer;
• collabore aux audits de cybersécurité et aux évaluations des risques que ces lois exigent du Client, notamment en fournissant les renseignements prévus à la section 9;
• permet au Client de prendre des mesures raisonnables pour vérifier, faire cesser et corriger toute utilisation non autorisée (sections 6 à 9);
• lie ses sous-traitants ultérieurs par des conditions écrites qui les obligent à protéger les Renseignements personnels du Client comme ces lois l'exigent.

12. Inde

Pour les Clients en Inde, le présent Addenda est le contrat par lequel le Client, à titre de Data Fiduciary, retient les services de Kuruvi à titre de Data Processor en vertu de la Digital Personal Data Protection Act, 2023. Kuruvi ne traite les données qu'aux fins du Client, applique les mesures de protection de l'annexe 2, avise le Client des atteintes conformément à la section 7 afin que le Client puisse en informer le Data Protection Board et les personnes touchées, et supprime les données conformément à la section 8.

13. Durée, responsabilité et droit applicable

Le présent Addenda demeure en vigueur tant que Kuruvi traite des Renseignements personnels du Client, y compris pendant les délais de la section 8. La responsabilité aux termes du présent Addenda est assujettie à la section 13 des Conditions, sauf lorsque la loi ne permet pas de la limiter. Le présent Addenda est régi par la même loi, et les différends relèvent des mêmes tribunaux, que les Conditions (section 17).

Annexe 1 : Détails du traitement

• Objet et finalité : fournir le Service afin que le Client puisse communiquer avec ses propres clients et les servir : une boîte de réception partagée, le contexte des commandes, la publication et la messagerie, selon les instructions du Client.
• Durée : tant que le Client utilise le Service, plus les délais de la section 8.
• Nature : réception de données par les canaux connectés, stockage, organisation, affichage, indexation pour la recherche, envoi de messages et de notifications, traitement par IA et traduction à la demande du Client, analyse antimaliciel des fichiers, et suppression.
• Personnes : les clients du Client et les autres personnes qui lui écrivent sur les canaux connectés; les visiteurs qui utilisent le clavardage du site Web du Client; les destinataires de SMS; les acheteurs sur les places de marché; les demandeurs de location; et les membres de l'équipe du Client, pour ce qu'ils échangent dans les clavardages d'équipe.
• Données : noms, noms d'utilisateur, numéros de téléphone, adresses courriel et photos de profil; contenu des messages, pièces jointes et messages vocaux; détails des commandes, du paiement, des annonces et de l'expédition; statut, heure et source du consentement aux SMS; contenu des demandes de location; suggestions, résumés et traductions par IA de ces éléments.
• Données sensibles : non demandées par le Service; les messages et les documents de location peuvent en contenir (section 2).

Annexe 2 : Mesures de sécurité

• Chiffrement en transit (TLS, avec HSTS sur les sites de Kuruvi) et chiffrement au repos par Google Cloud.
• Jetons d'accès Shopify et eBay chiffrés avec Google Cloud KMS; autres identifiants de canaux conservés dans un stockage réservé au serveur que l'application ne peut pas lire; secrets dans Google Secret Manager.
• Séparation entre les entreprises et les équipes imposée par les règles d'accès à la base de données et au stockage; fichiers téléversés analysés pour détecter les maliciels.
• Vérifications côté serveur de l'identité de l'appelant; sessions révoquées ou désactivées refusées; connexion récente exigée pour les actions sensibles; attestation de l'application (App Check) sur la plupart des fonctions serveur.
• Limites de débit sur les fonctions sensibles et coûteuses.
• Retrait des formes courantes de renseignements personnels avant les requêtes d'IA sur les conversations.
• Registres indiquant qui a consulté des données de clients Shopify ou des demandes de location, et des actions des administrateurs.
• Restauration à un moment précis de la base de données et sauvegardes quotidiennes.
• Une procédure écrite d'intervention en cas d'atteinte.

Annexe 3 : Sous-traitants ultérieurs

Le tableau « Sous-traitants » de la section 5 de la Politique de confidentialité.

Nous joindre

Questions au sujet du présent Addenda : privacy@kuruvi.com.