Qui fait quoi
Vous déterminez pourquoi et comment les données de vos clients sont traitées. Vous décidez des documents déposés dans Clauzia.
Nous traitons ces données uniquement sur vos instructions documentées, pour vous permettre de les retrouver et de les interroger.
Clauzia est un outil interne à votre bureau. Il ne conseille pas vos clients, ne communique pas avec eux et ne réalise aucun acte de distribution d’assurance. L’analyse des besoins et le devoir de conseil restent les vôtres.
Contrat de sous-traitance
Un contrat de sous-traitance conforme à l’article 28.3 du RGPD est signé avant le premier document déposé. L’Autorité de protection des données rappelle que ce contrat est obligatoire et qu’une signature après coup ne régularise pas les traitements déjà effectués (décision quant au fond 137/2023).
- Objet, durée, nature et finalité du traitement, catégories de données et de personnes
- Traitement uniquement sur instruction documentée de votre bureau
- Confidentialité imposée à toute personne autorisée à accéder aux données
- Assistance pour vos analyses d’impact et pour répondre aux demandes de vos clients
- Suppression ou restitution des données en fin de contrat
- Accès aux informations nécessaires pour vérifier le respect de ces obligations, audits compris
Sous-traitants ultérieurs
Nous faisons appel à un nombre limité de prestataires techniques. Leur liste nominative, avec leur rôle et leur localisation, est annexée au contrat. Aucun nouveau sous-traitant n’est ajouté sans votre accord préalable.
Hébergement et transferts
Les documents, leurs index et la base de données sont stockés dans l’Union européenne (stockage Cloudflare configuré en juridiction UE). Les réponses sont générées par un fournisseur d’IA européen.
Notre hébergeur, Cloudflare, Inc., est une société américaine. Les requêtes peuvent transiter par son réseau mondial. Tout transfert éventuel hors de l’Union européenne est encadré par le Data Privacy Framework UE–États-Unis, auquel Cloudflare adhère (art. 45 RGPD), et par les clauses contractuelles types de la Commission européenne (art. 46 RGPD). Cloudflare est certifié ISO 27001, ISO 27701 et SOC 2 Type II.
Sécurité
- Chiffrement des échanges (TLS) et des fichiers stockés
- Cloisonnement strict entre bureaux : aucun bureau ne voit les données d’un autre
- Accès par utilisateur nominatif, droits par rôle au sein du bureau
- Journal des consultations, dépôts et questions, consultable par le bureau
- Accès de notre équipe aux données limité au support, sur votre demande et tracé
Le détail des mesures techniques et organisationnelles est fourni avec le contrat.
Données de santé
Les dossiers d’hospitalisation, d’accidents du travail ou d’assurance vie peuvent contenir des données concernant la santé, une catégorie particulière au sens de l’article 9 du RGPD. La loi belge du 30 juillet 2018 impose notamment de tenir la liste des catégories de personnes qui y ont accès, et de les soumettre à une obligation de confidentialité.
- Vous pouvez exclure ces documents de Clauzia, ou les isoler dans un espace à accès restreint
- La liste des personnes ayant accès à cet espace est exportable à tout moment
- Les certificats médicaux destinés au médecin-conseil de la compagnie n’ont pas à être déposés
Intelligence artificielle
Clauzia utilise un modèle de langage pour lire vos documents et formuler des réponses. Vos documents ne sont jamais utilisés pour entraîner un modèle, ni par nous ni par nos fournisseurs. Chaque réponse cite la page source pour que vous puissiez la vérifier.
Clauzia n’est pas utilisé pour évaluer le risque ou fixer le tarif d’une assurance vie ou santé. Ces usages sont classés à haut risque par le règlement européen sur l’IA (annexe III, point 5 c).
Conservation et suppression
Les documents restent dans Clauzia aussi longtemps que vous le décidez, dans le respect de vos propres obligations de conservation. Pour rappel, la FSMA attend que l’analyse des besoins soit conservée au moins 5 ans. Vous pouvez supprimer un document ou un client à tout moment, et exporter l’ensemble de vos données. En fin de contrat, les données sont supprimées dans le délai prévu au contrat et une attestation de suppression vous est remise.
Droits des personnes
Si l’un de vos clients exerce ses droits (accès, rectification, effacement), vous retrouvez en une recherche tous les documents qui le concernent, et nous vous assistons pour y répondre dans les délais.
Violations de données
En cas de violation de données touchant votre bureau, nous vous en informons sans délai, avec les éléments dont vous avez besoin pour notifier l’Autorité de protection des données dans les 72 heures (art. 33 RGPD).
Contact
Questions, demande du contrat ou de la liste des sous-traitants : privacy@clauzia.com.
Vous pouvez aussi vous adresser à l’Autorité de protection des données.