Conditions générales de vente et d'utilisation

Version 1.0 — en vigueur depuis le 3 octobre 2026

Ces conditions régissent la mise en service et l'abonnement au service Chiaro, souscrits en ligne par une entreprise cliente. Elles remplacent le contrat de prestation signé et valent contrat entre les Parties dès leur acceptation.

1. Le prestataire, l'objet et les définitions

Le service est édité par FARAH Joseph, Entrepreneur Individuel (EI), exerçant sous le nom commercial Chiaro, 6 allée Gauguin, 91940 Les Ulis, France. SIRET 94749337500028. TVA non applicable, article 293 B du Code général des impôts. Courriel : contact@chiaro.services. Ci-après « Chiaro ».

Les présentes conditions générales de vente et d'utilisation (les « Conditions ») régissent la fourniture par Chiaro, à toute entreprise qui y souscrit en ligne (le « Client ») :

1. d'une prestation de mise en service, ponctuelle, décrite à la section 3 ;
2. d'un abonnement mensuel d'exploitation et de support, décrit à la section 4.

Le contrat est conclu entre professionnels. Le Client déclare souscrire pour les besoins de son activité professionnelle.

Documents contractuels

Le contrat est constitué, par ordre de priorité décroissante : le récapitulatif de commande accepté par le Client (qui indique la formule, les prix appliqués et la date d'effet), l'Annexe 1 (accord de traitement des données personnelles), l'Annexe 2 (mesures de sécurité), puis les présentes Conditions. En cas de contradiction, le document de rang supérieur prévaut.

Définitions

Compte WhatsApp Business (WABA) : compte ouvert auprès de Meta permettant l'envoi et la réception de messages via l'API WhatsApp Business.

Plateforme : l'interface en ligne mise à disposition par Chiaro à l'adresse app.chiaro.services, ainsi que les services techniques qui la sous-tendent.

Modèle de message : contenu de message soumis à Meta et devant être approuvé par Meta avant tout envoi.

Données Clients : les données personnelles que le Client dépose sur la Plateforme ou qui y sont collectées pour son compte, notamment les coordonnées de ses propres clients et prospects, leurs messages et leur statut de consentement.

Opt-in : consentement préalable, libre, spécifique, éclairé et univoque d'une personne à recevoir des messages du Client sur WhatsApp.

2. Acceptation et conclusion du contrat

Le Client accepte les présentes Conditions en cochant la case prévue à cet effet sur la page de commande, avant de procéder au paiement de la mise en service. Cette case est distincte de tout autre champ et n'est pas précochée.

En la cochant, le Client déclare :

• avoir pris connaissance des Conditions et de leurs annexes, et les accepter sans réserve ;
• agir pour les besoins de son activité professionnelle ;
• disposer du pouvoir d'engager l'entreprise qu'il représente.

Le contrat est formé à la date de l'acceptation, sous condition de l'encaissement du paiement de la mise en service. Chiaro adresse au Client, par courriel, un récapitulatif reprenant la formule souscrite, les prix appliqués et la date d'effet, ainsi qu'un exemplaire des présentes Conditions, que le Client conserve.

Chiaro se réserve le droit de refuser une souscription, notamment lorsque l'activité du Client est incompatible avec les règles de Meta ; le paiement éventuellement encaissé est alors intégralement remboursé.

La création d'un espace sur la Plateforme sans souscription payante ne vaut pas conclusion du contrat : aucun message ne peut être envoyé tant que la mise en service n'a pas été commandée et réalisée.

3. Prestation de mise en service

3.1 Périmètre

La mise en service comprend :

• la création et la vérification du compte WhatsApp Business du Client : ouverture ou raccordement du WABA sous l'identité Meta du Client, vérification du numéro de téléphone auprès de Meta, soumission et suivi du nom d'affichage jusqu'à son approbation ;
• la rédaction et la soumission à Meta de trois (3) modèles de messages ;
• une session de formation à la prise en main de la Plateforme, à distance, d'une durée d'une heure.

3.2 Exclusions

Ne sont pas compris dans la mise en service, sauf accord écrit distinct :

• la création de l'espace du Client sur la Plateforme et la saisie de ses informations, que le Client réalise lui-même lors de son inscription ;
• l'import et la mise en qualité de la base de contacts du Client ;
• la rédaction du contenu éditorial ou marketing des messages au-delà des modèles prévus au 3.1 ;
• la migration depuis un autre prestataire et la reprise d'un historique existant ;
• l'achat d'un numéro de téléphone, lorsque le Client n'en fournit pas ; il est alors refacturé au prix coûtant, sur justificatif et après accord écrit du Client ;
• tout développement spécifique, toute intégration avec un autre logiciel du Client, et toute prestation de conseil en communication.

Ces prestations peuvent faire l'objet d'un devis distinct.

3.3 Absence de garantie d'approbation par Meta

Chiaro soumet les modèles de messages, le nom d'affichage et les demandes de vérification à Meta, et met en œuvre les moyens raisonnables pour qu'ils soient acceptés. Les décisions d'approbation, de refus, de reclassement de catégorie, de suspension ou de suppression relèvent exclusivement de Meta, qui applique ses propres règles et peut les modifier à tout moment.

Un refus de Meta n'engage pas la responsabilité de Chiaro et ne donne lieu à aucun remboursement. Chiaro procède, dans la limite du périmètre convenu, aux corrections et resoumissions raisonnablement nécessaires.

3.4 Obligations préalables du Client

Le Client fournit, dans un délai raisonnable, les éléments nécessaires à la mise en service : ses informations légales, un numéro de téléphone mobilisable, un compte Meta personnel permettant d'ouvrir son gestionnaire d'entreprise, les accès délégués requis, un moyen de paiement enregistré auprès de Meta, les éléments de sa charte graphique et les contenus des messages souhaités.

Les délais annoncés sont suspendus tant que ces éléments ne sont pas fournis.

3.5 Achèvement

La mise en service est réputée achevée à la date du premier envoi de message réussi depuis la Plateforme, ou, si elle intervient plus tôt, à la date de la session de formation. Chiaro en informe le Client par écrit.

4. Abonnement mensuel

4.1 Contenu

L'abonnement comprend :

• la mise à disposition de la Plateforme et son hébergement, pour deux (2) utilisateurs et 50 Mo de médiathèque ;
• l'exploitation courante et la supervision technique du canal WhatsApp ;
• la maintenance corrective et les évolutions de la Plateforme mises à disposition de l'ensemble des clients ;
• la rédaction et la soumission à Meta des modèles de messages supplémentaires demandés par le Client après la mise en service, dans une limite raisonnable et pour son usage propre ;
• la tenue du registre des consentements et les fonctions de conformité associées ;
• le support fonctionnel et technique par courriel à contact@chiaro.services et par WhatsApp, les jours ouvrés ;
• l'adaptation de la Plateforme aux évolutions de l'API de Meta, dans la mesure du raisonnable.

Des utilisateurs supplémentaires, un espace de médiathèque supérieur ou un second numéro font l'objet d'un devis distinct.

4.2 Durée

L'abonnement est conclu sans engagement de durée. Il court à compter de l'achèvement de la mise en service et se renouvelle par tacite reconduction pour des périodes successives d'un mois, jusqu'à résiliation dans les conditions de la section 8.

4.3 Niveau de service

Chiaro est tenu d'une obligation de moyens.

Le Client reconnaît expressément que le service repose sur des infrastructures et des services tiers que Chiaro ne maîtrise pas, notamment l'API WhatsApp Business de Meta, l'hébergement de la Plateforme et l'opérateur du numéro de téléphone. En conséquence, aucun taux de disponibilité ni aucun délai de rétablissement ne sont garantis.

Chiaro s'engage à traiter les incidents avec diligence et à informer le Client des interruptions dont il a connaissance.

5. Compte WhatsApp Business et frais Meta

Le WABA est ouvert sous l'identité Meta du Client, dans son propre gestionnaire d'entreprise, avec sa propre vérification d'entreprise et son propre moyen de paiement.

• Le Client est et demeure titulaire du WABA, du numéro associé et des modèles de messages.
• Le Client accorde à Chiaro un accès délégué limité à l'exécution du contrat, et le maintient pendant toute sa durée. Le retrait de cet accès empêche l'exécution du service et vaut demande de résiliation.
• Les frais facturés par Meta au titre des messages sont dus directement par le Client à Meta. Ils ne sont pas compris dans l'abonnement, ne transitent pas par Chiaro et suivent les tarifs de Meta, que Chiaro ne maîtrise pas. Chiaro ne perçoit aucune marge sur ces frais.
• À la fin du contrat, le Client conserve son WABA sans formalité ; Chiaro restitue ou supprime ses accès.

Lorsque le Client utilise déjà l'application WhatsApp Business sur le numéro concerné, le raccordement s'effectue selon les modalités proposées par Meta à la date de la mise en service ; Chiaro informe le Client des conséquences éventuelles sur son usage de l'application avant toute opération.

Chiaro n'héberge pas le WABA d'un Client sous son propre gestionnaire d'entreprise. Toute demande en ce sens ferait l'objet d'un accord écrit distinct.

6. Prix, paiement et facturation

6.1 Prix

Les prix sont exprimés hors taxes. Chiaro relève à ce jour de la franchise en base de TVA (article 293 B du Code général des impôts). En cas d'assujettissement à la TVA, celle-ci sera ajoutée de plein droit aux prix convenus au taux en vigueur, sans que cela constitue une modification du contrat ni n'ouvre droit à résiliation.

Ne sont pas compris dans ces prix : les frais facturés par Meta (section 5), l'achat éventuel d'un numéro de téléphone, et tout service commandé hors du périmètre convenu.

6.2 Offre de lancement

La mise en service est facturée 290 € hors taxes pour les vingt (20) premiers clients ayant souscrit. Le prix appliqué est celui indiqué sur la page de commande au moment de l'acceptation et repris dans le récapitulatif. Cette offre porte sur la seule mise en service ; elle ne modifie pas le prix de l'abonnement et peut être close à tout moment, sans effet sur les souscriptions déjà conclues.

6.3 Paiement de la mise en service

La mise en service est payable d'avance, à la commande, par carte bancaire via notre prestataire de paiement Stripe, ou par virement sur demande du Client. Les données de carte sont traitées par Stripe selon les modalités applicables au parcours utilisé ; Chiaro n'y a pas accès.

Elle est définitivement acquise à Chiaro une fois la mise en service achevée au sens de l'article 3.5, et n'est à ce titre pas remboursable, y compris en cas de résiliation ultérieure de l'abonnement.

Si le contrat prend fin avant l'achèvement de la mise en service, Chiaro facture les diligences réellement accomplies et restitue le solde.

6.4 Paiement de l'abonnement

L'abonnement est facturé mensuellement à terme à échoir et prélevé automatiquement sur la carte bancaire enregistrée par le Client lors de la commande. Le premier prélèvement intervient à l'achèvement de la mise en service ; les suivants à la date anniversaire mensuelle. Le premier mois est calculé au prorata lorsque l'achèvement n'intervient pas un jour anniversaire.

Le Client maintient un moyen de paiement valide pendant toute la durée du contrat. Le paiement par virement, mensuel ou annuel d'avance, est possible sur accord écrit de Chiaro.

Les factures sont adressées par courriel.

6.5 Retard de paiement

En cas de retard de paiement ou de rejet de prélèvement, sont exigibles de plein droit et sans mise en demeure préalable :

• des pénalités de retard au taux d'intérêt appliqué par la Banque centrale européenne à son opération de refinancement la plus récente, majoré de 10 points de pourcentage ;
• une indemnité forfaitaire pour frais de recouvrement de 40 euros par facture impayée, conformément aux articles L441-10 et D441-5 du Code de commerce, Chiaro se réservant de réclamer une indemnisation complémentaire sur justificatifs.

Escompte pour paiement anticipé : néant.

Après une relance restée sans effet pendant quinze (15) jours, Chiaro peut suspendre l'accès à la Plateforme et l'envoi des messages, sans que cette suspension ne suspende l'exigibilité des sommes dues ni la facturation de l'abonnement.

6.6 Évolution des prix

Chiaro peut réviser ses prix en informant le Client par écrit avec un préavis de deux (2) mois. Le Client qui refuse la révision peut résilier sans frais avant sa date d'effet ; à défaut, les nouveaux prix s'appliquent.

Cette procédure ne s'applique pas à l'ajout de la TVA (article 6.1), ni aux frais de Meta, qui ne sont pas facturés par Chiaro.

7. Obligations des Parties

7.1 Obligations du Client

Le Client s'engage à :

1. Ne faire figurer sur la Plateforme que des contacts ayant valablement consenti à recevoir ses messages sur WhatsApp, et à être en mesure d'en apporter la preuve. Le Client garantit la licéité de la collecte de chaque contact qu'il dépose ou fait importer.
2. Respecter les règles de Meta applicables à WhatsApp Business, notamment sa politique commerciale et sa politique d'usage acceptable, ainsi que la réglementation applicable à la prospection commerciale et à la protection des données.
3. Ne pas utiliser le service à des fins de prospection à froid, c'est-à-dire vers des personnes n'ayant pas préalablement consenti.
4. Répondre aux demandes des personnes concernées relatives à leurs données et traiter les demandes de désinscription qui lui parviendraient hors de la Plateforme.
5. Ne diffuser aucun contenu illicite, trompeur, diffamatoire, contrefaisant, ni portant atteinte aux droits de tiers.
6. Préserver la confidentialité des accès délivrés à ses utilisateurs et signaler sans délai toute compromission.
7. Fournir des informations exactes et signaler tout changement affectant son identité, son représentant légal, ses coordonnées de facturation ou son activité.
8. Ne pas revendre, sous-licencier ni mettre la Plateforme à disposition d'un tiers sans accord écrit préalable de Chiaro.

Le Client est seul responsable du contenu des messages émis depuis son espace et des conséquences de leur envoi.

7.2 Obligations de Chiaro

Chiaro s'engage à :

1. exécuter les prestations conformément aux règles de l'art et avec la diligence d'un professionnel de sa spécialité ;
2. maintenir la Plateforme en condition opérationnelle et appliquer les mesures de sécurité décrites en Annexe 2 ;
3. assurer le cloisonnement des données de chaque client ;
4. informer le Client des évolutions significatives du service ou des règles de Meta dont il a connaissance et qui affectent la prestation ;
5. traiter les Données Clients dans les conditions de l'Annexe 1 ;
6. respecter l'obligation de confidentialité prévue à l'article 9.2.

Chiaro n'accède au contenu des conversations du Client qu'aux fins d'assistance technique, à la demande du Client ou lorsque cela est strictement nécessaire au maintien du service. Il n'intervient pas dans les échanges entre le Client et ses propres clients.

8. Résiliation, réversibilité et sort des données

8.1 Résiliation par le Client

Le Client peut résilier l'abonnement à tout moment, depuis son espace sur la Plateforme ou par simple courriel à contact@chiaro.services, moyennant un préavis de trente (30) jours. La résiliation prend effet à l'issue de ce préavis, le mois entamé restant dû. Aucun motif n'a à être indiqué.

8.2 Résiliation par Chiaro

Chiaro peut résilier l'abonnement moyennant un préavis de deux (2) mois, notamment s'il cesse d'exploiter le service.

8.3 Résiliation pour manquement

Chaque Partie peut résilier le contrat de plein droit, sans indemnité, en cas de manquement grave de l'autre Partie non réparé dans un délai de trente (30) jours suivant une mise en demeure écrite restée infructueuse.

8.4 Résiliation immédiate

Chiaro peut résilier le contrat avec effet immédiat, sans mise en demeure préalable, en cas :

• d'usage du service contraire aux points 1, 2, 3 ou 5 de l'article 7.1 ;
• de suspension ou de suppression du WABA par Meta imputable au Client ;
• de retrait de l'accès délégué prévu à la section 5 ;
• de non-paiement persistant plus de trente (30) jours après suspension.

Dans ces cas, les sommes dues restent exigibles et la mise en service demeure acquise à Chiaro.

8.5 Dépendance aux services tiers

Si Meta met fin à l'API WhatsApp Business, en modifie substantiellement les conditions ou en rend l'exploitation impossible dans des conditions économiques raisonnables, Chiaro peut résilier le contrat moyennant un préavis réduit à la durée restante d'exploitation possible, sans indemnité. Il en informe le Client dès qu'il en a connaissance et rembourse la fraction d'abonnement non consommée.

8.6 Sort des données

À la fin du contrat, quelle qu'en soit la cause :

1. Le Client dispose d'un délai de trente (30) jours pour demander l'export de ses données — contacts, historique des messages, registre des consentements — dans un format structuré et couramment utilisé. Cet export est fourni sans frais.
2. Passé ce délai, les Données Clients sont supprimées dans les conditions de l'Annexe 1.
3. Le Client conserve son WABA, son numéro et ses modèles de messages, qui lui appartiennent ; Chiaro restitue ou supprime les accès délégués dont il disposait.
4. Chiaro conserve les données strictement nécessaires au respect de ses obligations légales, notamment comptables et fiscales, pour la durée prévue par la loi.

9. Propriété intellectuelle, confidentialité et responsabilité

9.1 Propriété intellectuelle

La Plateforme, son code, son interface, sa documentation, la marque et les signes distinctifs de Chiaro demeurent la propriété exclusive de Chiaro. Les présentes Conditions confèrent au Client un droit d'usage personnel, non exclusif et non cessible, limité à leur durée et à ses besoins propres.

Le Client demeure propriétaire de ses contenus — données, messages, logo, éléments de marque, modèles de messages qu'il fournit — et concède à Chiaro une licence limitée d'héberger, reproduire et afficher ces contenus dans la seule mesure nécessaire à l'exécution du contrat.

Le Client autorise Chiaro à citer son nom et son logo comme référence commerciale. Cette autorisation peut être retirée à tout moment par simple écrit.

9.2 Confidentialité

Chaque Partie s'engage à préserver la confidentialité des informations non publiques reçues de l'autre à l'occasion du contrat, à ne les utiliser que pour son exécution, et à en restreindre l'accès aux seules personnes ayant besoin d'en connaître. Cet engagement demeure pendant trois (3) ans après la fin du contrat.

Sont exclues les informations publiques, déjà connues sans obligation de confidentialité, développées indépendamment, ou dont la divulgation est légalement requise.

9.3 Responsabilité

Chaque Partie répond des dommages directs causés à l'autre du fait de l'inexécution de ses obligations.

La responsabilité totale de Chiaro, toutes causes confondues, est limitée au montant hors taxes des sommes effectivement versées par le Client au titre des douze (12) mois précédant le fait générateur, ou au montant de la mise en service si celle-ci est seule en cause.

Chiaro n'est pas responsable :

• des décisions de Meta, notamment le refus, la suspension ou la suppression d'un modèle de message, d'un numéro ou d'un WABA ;
• des indisponibilités imputables aux services tiers mentionnés à l'article 4.3 ;
• du contenu des messages émis par le Client et de leurs conséquences ;
• du défaut de consentement des destinataires du Client ;
• des dommages indirects, notamment perte de chiffre d'affaires, de clientèle, de données du fait du Client, ou atteinte à l'image.

Ces limitations et exclusions ne s'appliquent pas en cas de dol, de faute lourde, de dommage corporel, ni dans les autres cas où la loi en écarte l'application.

9.4 Force majeure

Aucune Partie n'est responsable d'un manquement résultant d'un cas de force majeure au sens de l'article 1218 du Code civil. La Partie empêchée en informe l'autre sans délai. Si l'empêchement dure plus de soixante (60) jours, chaque Partie peut résilier le contrat par écrit, sans indemnité.

9.5 Sous-traitance et cession

Chiaro peut recourir à des sous-traitants techniques pour l'exécution du contrat, dans les conditions de l'Annexe 1 s'agissant des données personnelles. Il demeure responsable de leur exécution envers le Client.

Aucune Partie ne peut céder le contrat sans l'accord écrit préalable de l'autre, lequel ne peut être refusé sans motif légitime. Par exception, Chiaro peut céder le contrat dans le cadre d'une transmission de son fonds ou d'un apport de son activité à une société qu'il contrôle, à charge d'en informer le Client.

10. Données personnelles, modification et litiges

10.1 Données personnelles

Les Parties se conforment au règlement (UE) 2016/679 et à la loi n° 78-17 du 6 janvier 1978 modifiée.

Pour les traitements que Chiaro réalise pour le compte du Client, les Parties concluent l'accord de traitement figurant en Annexe 1, qui fait partie intégrante du contrat et que le Client accepte en même temps que les présentes Conditions.

Pour les traitements que Chiaro réalise pour ses propres finalités — gestion du compte du Client, facturation et paiement, sécurité, amélioration du service — il agit en qualité de responsable de traitement et informe les personnes concernées par sa politique de confidentialité publiée sur www.chiaro.services.

10.2 Modification des Conditions

Chiaro peut modifier les présentes Conditions. Le Client en est informé par courriel au moins trente (30) jours avant leur entrée en vigueur.

• Une modification substantielle — qui réduit le périmètre du service ou augmente les obligations du Client — ouvre au Client le droit de résilier sans frais avant sa date d'effet.
• Une modification imposée par la loi ou par une évolution des règles de Meta s'applique à sa date d'entrée en vigueur, Chiaro en informant le Client dès que possible.
• Une révision des prix suit la procédure propre de l'article 6.6, et l'ajout de la TVA celle de l'article 6.1.

La poursuite de l'utilisation du service après la date d'effet vaut acceptation de la nouvelle version.

10.3 Droit applicable et litiges

Le contrat est soumis au droit français.

Les Parties s'efforceront de résoudre à l'amiable tout différend né de son interprétation ou de son exécution. À défaut d'accord dans un délai de trente (30) jours suivant la première notification écrite, le litige sera porté devant les tribunaux compétents du ressort d'Évry, y compris en cas de pluralité de défendeurs ou d'appel en garantie.

10.4 Contrats conclus hors établissement

Le contrat étant conclu à distance entre professionnels, il ne relève pas des dispositions protectrices du Code de la consommation.

Par exception, lorsqu'un contrat est signé hors établissement — notamment lors d'un rendez-vous dans les locaux du Client — avec un Client employant cinq salariés au plus et pour un objet n'entrant pas dans le champ de son activité principale, les dispositions des sections 2, 3, 4 et 6 du chapitre I du titre II du livre II du Code de la consommation s'appliquent, conformément à l'article L221-3 de ce code. Le Client dispose alors d'un délai de rétractation de quatorze (14) jours à compter de la conclusion du contrat, qu'il exerce par toute déclaration dénuée d'ambiguïté adressée à contact@chiaro.services. Si l'exécution a commencé à sa demande expresse avant la fin de ce délai, il règle les prestations déjà fournies au prorata.

Annexe 1 — Accord de traitement des données personnelles

Accord de sous-traitance au sens de l'article 28 du règlement (UE) 2016/679, conclu entre le Client, responsable de traitement, et FARAH Joseph EI (Chiaro), sous-traitant, par l'acceptation des présentes Conditions.

1. Répartition des rôles

2. Objet, nature et finalité

Chiaro traite les Données Clients pour le seul compte du Client, aux fins de lui permettre d'échanger des messages avec ses propres clients et prospects via WhatsApp, d'administrer ses contacts et ses campagnes, et de tenir son registre des consentements.

Les opérations réalisées sont : la collecte, l'enregistrement, l'organisation, la conservation, la consultation, l'utilisation, la transmission à Meta aux fins d'acheminement des messages, l'extraction et l'effacement.

3. Durée

Le présent accord s'applique pour la durée du contrat, prolongée du délai nécessaire aux opérations de restitution et de suppression prévues à l'article 11 ci-dessous.

4. Catégories de données et de personnes concernées

Personnes concernées : les clients, prospects et contacts du Client ayant consenti à recevoir ses messages.

Catégories de données :

• identité : civilité, nom, prénom ;
• coordonnées : numéro de téléphone, nom de profil WhatsApp ;
• contenu des messages échangés et pièces jointes éventuelles ;
• données de consentement : statut, date, canal et source du consentement ou de l'opposition, adresse IP horodatée le cas échéant ;
• données d'activité : statuts de remise et de lecture, appartenance à un groupe de contacts, historique des campagnes.

Aucune catégorie particulière de données au sens de l'article 9 du RGPD ne doit être déposée sur la Plateforme. Le Client s'interdit d'y traiter de telles données, ainsi que des données relatives à des condamnations pénales ou à des mineurs de moins de quinze ans sans base légale appropriée. Il informe Chiaro sans délai s'il envisage un traitement de cette nature, qui devra faire l'objet d'un accord écrit préalable.

5. Obligations du Client, responsable de traitement

Le Client :

1. détermine les finalités et les moyens du traitement et garantit la licéité des instructions qu'il donne ;
2. garantit disposer d'une base légale valable pour chaque contact déposé, et notamment du consentement préalable exigé pour la prospection commerciale ;
3. informe les personnes concernées conformément aux articles 13 et 14 du RGPD, y compris du recours à Chiaro et à ses sous-traitants ultérieurs ;
4. traite les demandes d'exercice des droits qui lui sont adressées ;
5. documente ses instructions et veille à ce qu'elles soient conformes au droit applicable.

6. Obligations de Chiaro, sous-traitant

Chiaro s'engage à :

1. traiter les données uniquement sur instruction documentée du Client, y compris en matière de transfert hors Union européenne, sauf obligation légale à laquelle Chiaro est soumis — auquel cas Chiaro en informe le Client avant le traitement, sauf interdiction légale ;
2. informer immédiatement le Client si une instruction reçue constitue selon lui une violation du RGPD ou d'une autre disposition relative à la protection des données ;
3. garantir la confidentialité des personnes autorisées à traiter les données, lesquelles sont soumises à une obligation contractuelle ou légale de confidentialité, et limiter les accès au strict nécessaire ;
4. mettre en œuvre les mesures techniques et organisationnelles décrites en Annexe 2, conformément à l'article 32 du RGPD ;
5. respecter les conditions de recours à un sous-traitant ultérieur définies à l'article 7 ;
6. aider le Client à donner suite aux demandes d'exercice des droits des personnes concernées. Si une demande est adressée directement à Chiaro, il la transmet au Client sans délai et s'abstient d'y répondre lui-même, sauf instruction contraire ;
7. assister le Client dans le respect de ses obligations au titre des articles 32 à 36 du RGPD — sécurité, notification de violations, analyses d'impact, consultation préalable — compte tenu de la nature du traitement et des informations à sa disposition ;
8. notifier au Client toute violation de données à caractère personnel dans les meilleurs délais et au plus tard quarante-huit (48) heures après en avoir pris connaissance, par courriel à l'adresse de contact du Client, en communiquant les éléments prévus à l'article 33.3 du RGPD au fur et à mesure de leur disponibilité ;
9. supprimer ou restituer les données dans les conditions de l'article 11 ;
10. mettre à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord et permettre les audits prévus à l'article 12 ;
11. tenir un registre des catégories d'activités de traitement effectuées pour le compte du Client, conformément à l'article 30.2 du RGPD.

7. Sous-traitants ultérieurs

Le Client donne à Chiaro une autorisation générale de recourir aux sous-traitants ultérieurs listés ci-dessous.

Chiaro informe le Client par écrit de tout ajout ou remplacement envisagé au moins trente (30) jours avant sa mise en œuvre. Le Client peut s'y opposer pour un motif légitime et raisonnable dans ce délai ; à défaut de solution alternative acceptable, le Client peut résilier le contrat sans frais ni indemnité.

Chiaro impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes à celles du présent accord, et demeure pleinement responsable envers le Client de l'exécution par ceux-ci de leurs obligations.

• Railway

  Rôle dans la prestation :

  Hébergement de l'application et de l'interface de la Plateforme

  Localisation du traitement :

  Région de déploiement : Amsterdam, Pays-Bas ; accès à distance possible depuis les États-Unis

  Entité contractante et encadrement des transferts :

  Railway Corporation (États-Unis) — EU-U.S. Data Privacy Framework ou clauses contractuelles types de la Commission européenne, selon son accord de traitement

• Supabase

  Rôle dans la prestation :

  Base de données et stockage des fichiers déposés sur la Plateforme

  Localisation du traitement :

  Région de déploiement : Paris, France ; accès à distance possible depuis les États-Unis et Singapour

  Entité contractante et encadrement des transferts :

  Supabase Pte. Ltd (Singapour) — clauses contractuelles types de la Commission européenne, module 2 ou 3, incorporées à son accord de traitement

• Meta

  Rôle dans la prestation :

  Acheminement des messages via l'API WhatsApp Business Cloud

  Localisation du traitement :

  Union européenne, avec transferts vers les États-Unis

  Entité contractante et encadrement des transferts :

  WhatsApp Ireland Limited (Irlande) — EU-U.S. Data Privacy Framework pour les transferts vers WhatsApp LLC et Meta Platforms, Inc., ou tout autre mécanisme reconnu par le RGPD

• Twilio

  Rôle dans la prestation :

  Fourniture du numéro de téléphone utilisé par le service, le cas échéant

  Localisation du traitement :

  États-Unis et Union européenne

  Entité contractante et encadrement des transferts :

  Twilio Inc. (États-Unis) — règles d'entreprise contraignantes (BCR) Twilio, EU-U.S. Data Privacy Framework, ou clauses contractuelles types

• Namecheap

  Rôle dans la prestation :

  Messagerie contact@chiaro.services, susceptible de recevoir des données personnelles lors des échanges de support

  Localisation du traitement :

  États-Unis

  Entité contractante et encadrement des transferts :

  Namecheap, Inc. (États-Unis) — clauses contractuelles types de la Commission européenne, incorporées à son accord de traitement

8. Transferts hors Union européenne

Les données sont hébergées au sein de l'Union européenne. Certains sous-traitants ultérieurs relèvent toutefois d'entités établies hors de l'Union européenne, ou sont susceptibles d'y réaliser des opérations d'assistance ou de support.

Le mécanisme d'encadrement applicable à chaque transfert est indiqué, prestataire par prestataire, dans le tableau de l'article 7. Ces mécanismes sont ceux déclarés par chaque prestataire dans son propre accord de traitement des données, auquel Chiaro a souscrit.

Chiaro communique au Client, sur demande, les garanties applicables à chaque transfert identifié.

9. Sécurité

Les mesures techniques et organisationnelles mises en œuvre figurent en Annexe 2. Chiaro peut les faire évoluer, sous réserve que le niveau de sécurité demeure au moins équivalent.

10. Localisation et personnel

Les traitements sont réalisés depuis la France. Chiaro n'emploie pas de personnel à la date de publication des présentes ; toute personne qui serait ultérieurement amenée à traiter les données serait soumise aux obligations de confidentialité prévues à l'article 6.3.

11. Sort des données à la fin du contrat

À la fin du contrat, Chiaro, au choix du Client exprimé par écrit : restitue les Données Clients dans un format structuré et couramment utilisé, puis les supprime ; ou les supprime directement.

À défaut d'instruction du Client dans les trente (30) jours suivant la fin du contrat, Chiaro procède à la suppression.

La suppression intervient dans un délai de soixante (60) jours à compter de la fin du contrat et s'étend aux copies existantes, sous réserve des données que Chiaro est légalement tenu de conserver, lesquelles demeurent soumises aux obligations de sécurité et de confidentialité du présent accord jusqu'à leur effacement.

Chiaro atteste par écrit de la suppression sur demande du Client.

12. Audit

Chiaro met à disposition du Client, sur demande écrite, les informations nécessaires pour démontrer le respect du présent accord.

Le Client peut réaliser un audit, au plus une fois par an sauf incident de sécurité avéré, moyennant un préavis de trente (30) jours, pendant les heures ouvrées, sans perturber l'activité de Chiaro et dans le respect de la confidentialité des données des autres clients. L'auditeur éventuellement mandaté ne doit pas être un concurrent de Chiaro et est tenu à la confidentialité.

Les frais d'audit sont à la charge du Client, sauf si l'audit révèle un manquement substantiel de Chiaro.

13. Responsabilité

Chaque Partie supporte les conséquences de ses propres manquements au RGPD, conformément à l'article 82 du règlement. Le plafond de responsabilité prévu à l'article 9.3 des Conditions s'applique, sauf disposition légale impérative contraire.

14. Modification

Chiaro peut mettre à jour le présent accord lorsque cela est rendu nécessaire par une évolution de la réglementation, par une décision d'une autorité de contrôle ou par un changement de sous-traitant ultérieur, en informant le Client avec un préavis de trente (30) jours, dans les conditions de l'article 10.2 des Conditions.

Annexe 2 — Mesures techniques et organisationnelles de sécurité

Mesures mises en œuvre par Chiaro à la date de publication des présentes, au sens de l'article 32 du RGPD.

1. Contrôle d'accès

• Authentification par identifiant et mot de passe, les mots de passe étant conservés sous forme hachée et jamais en clair.
• Session authentifiée par jeton, avec déconnexion automatique après 30 minutes d'inactivité.
• Gestion des droits par rôles distincts (administrateur Chiaro, administrateur client, utilisateur client), le nombre d'utilisateurs étant plafonné par client.
• Possibilité pour le Client de créer et de supprimer lui-même les accès de ses collaborateurs.

2. Cloisonnement des données

• Chaque enregistrement est rattaché à un identifiant de client unique.
• Un contrôle applicatif vérifie ce rattachement à chaque requête : un utilisateur d'un client ne peut accéder aux données d'un autre client, y compris en modifiant manuellement une adresse.
• Sécurité au niveau des lignes activée sur les tables de la base de données.

3. Sécurité des échanges

• Chiffrement des communications en transit par TLS sur l'ensemble des interfaces publiques.
• Secrets d'infrastructure et jetons d'accès conservés en variables d'environnement chez l'hébergeur, hors du code source.

4. Traçabilité

• Journalisation de l'auteur de chaque envoi de message, permettant d'identifier le compte utilisateur à l'origine d'une action.
• Registre horodaté des consentements et des oppositions, conservant la date, le canal et la source de chaque événement, exportable par le Client.
• Journaux techniques d'application conservés par l'hébergeur.

5. Minimisation et conservation

• Collecte limitée aux données nécessaires à la fourniture du service.
• Suppression ou restitution des données à la fin du contrat dans les conditions de l'Annexe 1, article 11.

6. Sauvegardes et continuité

La base de données fait l'objet d'une sauvegarde automatique quotidienne, réalisée par l'hébergeur au niveau de l'infrastructure et conservée sept (7) jours.

La restauration est déclenchée par Chiaro à partir de la sauvegarde quotidienne la plus récente. Elle peut entraîner la perte des données enregistrées depuis cette sauvegarde, soit jusqu'à vingt-quatre (24) heures. Chiaro ne souscrit pas d'option de restauration à un instant précis.

Les fichiers déposés dans la médiathèque ne sont pas couverts par ces sauvegardes : elles portent sur la base de données seule. Le Client est invité à conserver ses propres exemplaires des visuels qu'il dépose.

7. Chiffrement au repos

Les données de la Plateforme — base de données et fichiers déposés — sont conservées chez Supabase, dont les disques et les sauvegardes sont chiffrés au repos selon l'algorithme AES-256, les clés étant protégées par des modules de sécurité matériels conformes à la norme FIPS 140-2.

8. Organisation

• Activité exercée par une personne unique à la date de publication ; aucun accès tiers aux données de production hors sous-traitants ultérieurs listés.
• Accès aux données de production limité aux besoins d'exploitation et d'assistance technique.
• Gestion des violations de données selon la procédure de notification prévue à l'Annexe 1, article 6.8.
• Procédure interne de traitement des demandes d'autorités publiques : vérification de la légalité de la demande, contestation des demandes illégales, communication limitée au strict nécessaire, documentation de chaque demande et de la réponse apportée.