Date d’entrée en vigueur : 24 septembre 2026 pour les comptes ouverts à cette date ou après ; 25 octobre 2026 pour les comptes ouverts avant cette date. Dernière mise à jour : 24 septembre 2026. Version : 2026-09-24.
GoUltra Systems LLC, société à responsabilité limitée constituée dans le Wyoming. Adresse postale : 312 W 2nd St #2692, Casper, WY 82601, USA. Assistance : support@goultra.ai. Confidentialité : privacy@goultra.ai.
1. Champ d’application, rôles et instructions
Le présent Accord de traitement des données fait partie du contrat entre GoUltra Systems LLC et le Client pour les données personnelles traitées pour le compte du Client. Le Client est responsable du traitement, ou sous-traitant autorisé agissant pour son responsable du traitement, et GoUltra est sous-traitant ou sous-traitant ultérieur pour ce traitement. Les activités propres de GoUltra en qualité de responsable du traitement sont décrites dans la Politique de confidentialité. Le présent Accord prévaut sur les conditions générales incompatibles concernant les Données personnelles du Client. GoUltra agit uniquement sur les instructions documentées contenues dans le contrat, les fonctions configurées et les actions autorisées du Client, y compris les instructions relatives aux transferts internationaux, sauf disposition légale contraire. GoUltra informe le Client d’une instruction de traitement imposée par la loi lorsque cela est permis et l’alerte si elle estime qu’une instruction est illicite.
2. Description du traitement
Le traitement a pour objet la fourniture du service de communication et de gestion des processus GoUltra. Les opérations comprennent la réception, la transmission, l’hébergement, l’organisation, la récupération, l’affichage, l’analyse à la demande du Client et la suppression. Les finalités comprennent les conversations WhatsApp, les rendez-vous, les contacts, les devis, les documents et les campagnes. Les personnes concernées comprennent les contacts et destinataires du Client, les utilisateurs autorisés et les personnes communiquant avec le Client. Les données peuvent comprendre les noms, numéros de téléphone, profils, messages et métadonnées, images, enregistrements, documents, notes, rendez-vous, données de devis et traces de signature, ainsi que les identifiants de service. Le traitement dure pendant l’utilisation du service, puis uniquement pour la restitution, la suppression et la conservation limitée licites. Le Client fournit les informations et les instructions de manière licite. Le service standard ne nécessite pas de données sensibles ; un processus pris en charge impliquant des données sensibles doit respecter les conditions légales et les garanties requises. Les informations relevant de HIPAA ne sont acceptées que dans le cadre d’un dispositif pris en charge expressément convenu.
3. Limitation des finalités et confidentialité
GoUltra ne vend pas de données personnelles. Elle n’utilise pas les Données personnelles du Client pour une publicité croisant les données de plusieurs clients ni pour entraîner ses propres modèles d’IA généralistes. Lorsque les restrictions applicables aux prestataires de services ou aux contractants prévues par la législation d’un État américain s’appliquent, GoUltra ne vend ni ne partage les données, ne les conserve ni ne les utilise en dehors des finalités professionnelles précisées ou de la relation commerciale directe, et ne les combine pas d’une manière interdite. Elle assure le niveau de protection requis, informe le Client si elle ne peut plus remplir ces obligations et permet des mesures raisonnables pour faire cesser et corriger toute utilisation non autorisée. Le personnel autorisé est soumis à des obligations continues de confidentialité et ne bénéficie que des accès nécessaires. Les instructions du Client ne peuvent autoriser une utilisation interdite par des dispositions légales impératives ou des restrictions contraignantes de la plateforme.
4. Sécurité et incidents
GoUltra maintient les mesures techniques et organisationnelles appropriées décrites ci-dessous, en tenant compte de la nature, des risques et du contexte du traitement. Les modifications ne doivent pas réduire le niveau de protection convenu. GoUltra informe le Client sans retard injustifié après avoir pris connaissance d’une violation de données personnelles affectant les Données personnelles du Client, fournit les informations disponibles sur le périmètre, les conséquences, les mesures d’atténuation et le contact, puis les met à jour à mesure que les faits sont connus. Elle n’attend pas la fin d’une enquête complète pour fournir la notification initiale requise. Les parties coopèrent pour les notifications légalement obligatoires ; GoUltra n’impose pas de délai d’attente générique de 72 heures à son obligation de notification en qualité de sous-traitant.
5. Sous-traitants ultérieurs
Le Client accorde une autorisation générale pour les sous-traitants ultérieurs identifiés dans la version actuelle du registre des destinataires. GoUltra informe à l’avance des ajouts ou remplacements avant le début du traitement, notamment par courriel pour les modifications substantielles, afin que le Client dispose d’une possibilité raisonnable de s’y opposer pour des motifs liés à la protection des données. Les parties recherchent une solution raisonnable ; en l’absence de solution, le Client peut résilier le service concerné. GoUltra impose des obligations écrites appropriées à ses sous-traitants ultérieurs et reste responsable de l’exécution de leurs obligations. Les boutiques agissant comme responsables du traitement indépendants et les prestataires engagés directement par le Client sont identifiés séparément et ne sont pas qualifiés à tort de sous-traitants ultérieurs de GoUltra.
6. Assistance et obligation de rendre compte
Compte tenu du traitement et des informations disponibles, GoUltra apporte son assistance pour les demandes des personnes concernées, les obligations de sécurité, les analyses d’impact, la consultation préalable et la réponse aux incidents. Elle fournit des outils d’exportation, de rectification et de suppression ainsi qu’une assistance raisonnable lorsque les outils sont insuffisants. Elle met à disposition les informations de conformité, notamment le registre, les mesures de sécurité et les réponses à des questionnaires de sécurité raisonnables, normalement une fois par période de douze mois, sauf si un incident, une autorité ou une obligation légale exige davantage. Les droits d’audit obligatoires sont préservés selon des modalités proportionnées protégeant les autres clients et la sécurité des systèmes. GoUltra ne revendique pas de certification SOC 2 ou ISO qu’elle ne détient pas et ne subordonne pas l’enquête d’une autorité à une limite commerciale de questionnaires. GoUltra met à disposition les informations nécessaires pour démontrer la conformité et permet les audits légalement requis, y compris les inspections, réalisés par le Client ou son auditeur mandaté, et y contribue. Des modalités raisonnables de planification et de protection de la confidentialité ne doivent pas empêcher un audit légalement requis.
7. Restitution, suppression et restauration
Au choix du Client et sous réserve de la loi applicable, GoUltra restitue ou supprime les Données personnelles du Client à la fin du service et supprime les copies existantes, sauf si leur conservation licite est obligatoire. Le Client peut exporter avant la fermeture, et les périodes obligatoires de changement de fournisseur et de récupération prévalent lorsqu’elles s’appliquent. La suppression des données actives est normalement achevée dans les 30 jours, et plus tôt lorsque cela est requis. Les copies légalement conservées sont limitées à la finalité justifiée. Les durées maximales des sauvegardes chiffrées et le délai de purge ne constituent pas une exception générale à l’effacement : lorsque la loi applicable impose une destruction plus rapide, cette exigence prévaut. Les contrôles de suppression sont réappliqués avant la remise en service des données restaurées, et les instructions de suppression sont transmises aux sous-traitants dans la mesure requise.
8. Transferts internationaux
L’annexe de transfert vérifiée fait partie des modalités de traitement et identifie les parties, rôles, lieux et mécanismes applicables effectifs. Les parties mettent en œuvre l’instrument valide ainsi que les annexes, évaluations et garanties supplémentaires nécessaires avant tout transfert soumis à restrictions. Une référence à des clauses types ou à la certification d’un autre prestataire ne constitue pas à elle seule un mécanisme de transfert pour GoUltra. Lorsque des clauses types obligatoires sont utilisées, leurs dispositions requises ne sont pas modifiées par le présent Accord et prévalent en cas de contradiction. Toute demande légale de communication est évaluée et, le cas échéant, contestée ; le Client en est informé lorsque cela est permis. Les autorisations ou restrictions locales requises restent applicables.
9. Mesures techniques et organisationnelles
Les données sont transmises par HTTPS/TLS. Cloudflare chiffre les contenus stockés dans D1 et R2. GoUltra chiffre les identifiants de connexion et les jetons d’accès au moyen d’AES-256-GCM avec une clé propre à chaque installation, elle-même protégée par une clé versionnée, et refuse de stocker ou de transmettre sans chiffrement un identifiant de connexion désigné. Les identifiants d’entreprise et les requêtes limitées à leur périmètre séparent les données des clients ; les autorisations d’équipe limitent l’accès aux numéros et fonctions autorisés, et les points d’accès d’administration sont contrôlés séparément. L’authentification utilise les mécanismes de connexion et de vérification déployés, les codes temporels facultatifs lorsqu’ils sont proposés et des jetons de session hachés. Les accès d’administration sont attribuables et les événements de sécurité sont journalisés sans identifiants de connexion ni contenu des messages. Des contrôles par compte et par clé limitent les abus. Le code source est géré par versions, les modifications sont vérifiées avant déploiement et les versions antérieures étiquetées permettent un retour en arrière. Ces descriptions factuelles des contrôles n’impliquent ni certification ni protection contre toutes les menaces.
10. Calendrier des sauvegardes
Les copies quotidiennes chiffrées de récupération des bases de données sont conservées jusqu’à 45 jours, les copies hebdomadaires pendant 183 jours, les copies mensuelles pendant 366 jours et les copies conservées hors du compte cloud principal pendant 30 jours, avec un délai supplémentaire maximal de purge de 7 jours. L’accès est limité aux opérations autorisées de récupération et de sécurité. Les destinations et modalités de traitement effectives figurent dans le registre des destinataires. La nécessité du calendrier est réexaminée et celui-ci ne prévaut pas sur une obligation légale de suppression plus rapide. Les procédures de restauration comprennent la vérification que les données effacées ne réapparaissent pas dans l’utilisation normale.