Mention d'information RGPD d'un chatbot revendu

La mention d'information est écrite et assumée par le client qui installe l'assistant, parce que c'est lui le responsable de traitement. Mais il ne peut pas la remplir seul : il ne sait pas qui traite les conversations derrière votre marque, où, ni avec quels réglages. Votre travail de partenaire est de lui fournir ces éléments, à jour, et de lui proposer un premier niveau d'information qui tienne dans la fenêtre de l'assistant.

Qui doit informer les visiteurs

Les articles 12 à 14 du RGPD (règlement général sur la protection des données) font peser l'information sur le responsable de traitement. La page de la CNIL (Commission nationale de l'informatique et des libertés) sur l'information des personnes s'adresse à lui : « vous devez informer ». Le sous-traitant n'y apparaît que comme destinataire des données. Dans une chaîne de revente, cela donne :

• le client rédige, publie et met à jour la mention ;
• le partenaire fournit les informations techniques et un modèle de premier niveau ;
• l'éditeur fournit au partenaire la liste de ses prestataires, leurs lieux de traitement et les réglages possibles.

Ce que la mention contient, et qui détient l'information

L'article 13 liste les informations à donner au moment de la collecte. Pour un assistant revendu :

L'article 4 du RGPD définit le destinataire comme celui qui reçoit communication des données, « qu'il s'agisse ou non d'un tiers » : un sous-traitant est un destinataire.

Faut-il nommer l'éditeur quand on vend en marque blanche ?

L'article 13 parle des « destinataires ou les catégories de destinataires ». La mention peut donc décrire des catégories (« prestataire technique de l'assistant », « hébergeur ») sans citer chaque nom. Deux limites :

• lors d'une demande d'accès, la CNIL demande de communiquer les destinataires parmi les informations sur le traitement ;
• l'article 19 prévoit que le responsable fournit à la personne des informations sur les destinataires si elle le demande.

Votre client doit donc pouvoir, à tout moment, donner les noms. S'il ne les a pas, il dépend de vous pour les obtenir. Fournissez-les-lui dès la signature, même si la mention publique reste en catégories.

Deux niveaux dans la fenêtre de l'assistant

La CNIL recommande une information « concise, transparente, compréhensible et aisément accessible », et une approche en plusieurs niveaux : l'essentiel d'abord (identité du responsable, finalités, droits), le détail accessible par un lien. Pour un assistant, le premier niveau tient en quelques lignes à l'ouverture de la fenêtre. Modèle à adapter par le client :

Cet assistant est proposé par [nom du client]. Vos messages servent à répondre à vos questions [et à transmettre votre demande à notre équipe]. Ils sont conservés [durée choisie]. Merci de ne pas indiquer d'informations sur votre santé, vos opinions ou votre religion. Vos droits et le détail : [lien].

L'avertissement sur les données sensibles reprend un conseil de la CNIL pour les chatbots : mettre en garde l'utilisateur avant usage. La mention qui indique au visiteur qu'il échange avec une IA relève d'un autre texte, le règlement européen sur l'IA : voir AI Act et marque blanche. Le cookie éventuel de l'assistant est un sujet distinct, traité avec le site du client.

La fiche que le partenaire prépare

Une fiche par plateforme, remise à chaque client avec le contrat :

1. la liste nominative des sous-traitants de la chaîne et leur rôle ;
2. les pays où les données sont traitées et l'encadrement des transferts ;
3. les durées de conservation possibles et la durée retenue pour ce client ;
4. l'adresse ou le moyen par lequel les demandes des visiteurs vous parviennent, et le délai de transmission au client (voir les demandes d'accès et d'effacement) ;
5. le texte de premier niveau proposé, à valider par le client.

Quand la mettre à jour

La CNIL demande d'informer de nouveau en cas de modification substantielle : nouvelle finalité, nouveaux destinataires, changement dans l'exercice des droits. Un nouveau sous-traitant chez l'éditeur, un changement de pays d'hébergement ou une nouvelle fonction de l'assistant sont autant de raisons de prévenir vos clients.

Cette page est une information générale. Le texte final de la mention se valide avec le DPO du client ou un avocat.