1. Parties et rôles

Responsable de traitement : l'établissement utilisateur de MEYIA (ci-après « le Client »), qui détermine les finalités du traitement de ses avis Google.

Sous-traitant : MEYIA, nom commercial de Romain Arnaud, entrepreneur individuel (EI), SIRET 102 099 603 00015, 60 rue François 1^er, 75008 Paris (ci-après « MEYIA »), qui traite ces données pour le compte du Client.

La présente annexe fait partie intégrante du contrat conclu entre le Client et MEYIA. En cas de contradiction sur le traitement des données à caractère personnel, elle prévaut.

Périmètre. La présente annexe couvre exclusivement les traitements que MEYIA réalise pour le compte du Client : les avis de la fiche Google du Client et les réponses qu'il publie. Le module de veille concurrentielle (« Radar »), qui traite des informations publiquement accessibles relatives à des établissements tiers, ne relève pas de la présente annexe : MEYIA y agit en qualité de responsable de traitement autonome, et non sur instruction du Client. Ce traitement est décrit dans la politique de confidentialité.

Étanchéité des sources. Les données obtenues via les API Google, au titre de l'autorisation OAuth accordée par le Client, sont utilisées exclusivement pour les finalités décrites à l'article 2. Elles ne sont jamais utilisées pour alimenter le module de veille concurrentielle.

2. Objet, nature et finalité du traitement

MEYIA traite les données personnelles ci-dessous pour le compte du Client, dans le seul but de fournir le service de gestion des avis : lecture des avis de la fiche Google du Client via l'API Google Business Profile, génération de propositions de réponses par intelligence artificielle, et publication des réponses que le Client valide.

Données traitées	Finalité	Conservation
Avis de la fiche Google (texte, note, date, langue, nom d'auteur affiché par Google, photo de profil publique de l'auteur le cas échéant, et réponse brute de l'API conservée pour contrôle d'intégrité)	Lecture des avis et génération des réponses (3 tons)	Le temps nécessaire à la gestion ; suppression sur révocation ou fin de contrat
Réponses aux avis (existantes et publiées via MEYIA)	Publication et historique des réponses	Le temps nécessaire à la gestion ; suppression sur révocation ou fin de contrat
Prénom, nom, contact du représentant du Client	Gestion de la relation et de l'accès	Durée du contrat + 6 mois

Le nom d'auteur figurant dans un avis, ainsi que sa photo de profil, sont traités comme des données à caractère personnel. Le nom d'auteur est transmis au moteur de génération afin que la réponse s'adresse correctement à son destinataire : la formule d'adresse retenue est le prénom seul ou le nom complet, selon le type et le standing de l'établissement. La photo de profil n'est jamais transmise au moteur de génération. Aucune réponse n'est publiée sans validation explicite du Client. Toute modification substantielle des modalités de traitement est notifiée au Client conformément au contrat.

3. Obligations de MEYIA (sous-traitant)

MEYIA s'engage à :

• traiter les données uniquement sur instruction documentée du Client, le contrat et la présente annexe valant instructions initiales ;
• garantir que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité ;
• mettre en œuvre les mesures techniques et organisationnelles décrites à l'article 4 ;
• ne pas recruter de sous-traitant ultérieur sans information préalable du Client, conformément à l'article 5 ;
• transmettre au Client, sans délai, toute demande d'exercice de droits (accès, rectification, effacement, limitation, portabilité, opposition) reçue directement, et l'assister dans sa réponse ; le Client reste responsable de la réponse à ces demandes ;
• notifier au Client toute violation de données personnelles sans délai indu, et au plus tard 72 heures après en avoir pris connaissance, avec les informations utiles (nature, données concernées, mesures prises) ;
• transmettre au Client, sans délai, toute demande émanant d'un auteur d'avis et portant sur ses propres données (effacement du nom d'auteur, opposition, rectification), le Client en étant le responsable de traitement ; MEYIA publie à cet effet une information générale à destination des auteurs d'avis (article 14 du RGPD) ;
• à l'issue du contrat, ou sur révocation de l'accès par le Client, supprimer ou restituer les données personnelles traitées dans un délai de 30 jours calendaires. Les données dont la conservation est imposée par une obligation légale — notamment les factures, conservées 10 ans en application de l'article L123-22 du Code de commerce, et les preuves de consentement — sont archivées à accès restreint, ne font plus l'objet d'aucun traitement pour les besoins du service, et sont supprimées à l'échéance (art. 17.3.b du RGPD).

4. Mesures de sécurité

MEYIA met en œuvre les mesures techniques et organisationnelles suivantes :

• chiffrement des données en transit (TLS/HTTPS) et au repos ;
• hébergement des données dans l'Union européenne (base de données Supabase, région UE) ;
• accès restreint, limité aux personnes strictement nécessaires, avec contrôle d'accès par rôle ;
• gestion sécurisée des secrets et des jetons d'accès OAuth (non stockés en clair, non transmis à des tiers non autorisés) ;
• journalisation des accès et des opérations de traitement.

5. Sous-traitants ultérieurs

Le Client autorise MEYIA à recourir aux sous-traitants ultérieurs suivants, à la date de la présente annexe :

Sous-traitant	Rôle	Localisation / Garanties
Google LLC	API Google Business Profile (source des avis, publication des réponses)	États-Unis — Data Privacy Framework (certification active) et CCT
Anthropic, PBC	Moteur d'intelligence artificielle (génération des propositions de réponse)	États-Unis — transfert encadré par les clauses contractuelles types (CCT, art. 46.2 du RGPD) et une analyse d'impact des transferts (TIA). Engagement contractuel de non-réutilisation des données pour l'entraînement des modèles.
Supabase Pte. Ltd.	Base de données et stockage — données hébergées en région Union européenne (Paris)	Singapour — transfert encadré par les clauses contractuelles types (CCT) et une analyse d'impact des transferts (TIA)
Vercel, Inc.	Hébergement du site et de l'application	États-Unis — Data Privacy Framework (certification active) et CCT
Plus Five Five, Inc. (Resend)	Envoi d'emails transactionnels	États-Unis — Data Privacy Framework (certification active) et CCT

En cas d'ajout ou de remplacement d'un sous-traitant ultérieur, MEYIA en informe le Client par email avec un préavis de 15 jours. Le Client dispose de ce délai pour s'opposer pour un motif légitime. À défaut d'alternative raisonnable proposée par MEYIA, le Client peut résilier le service.

Les prestataires intervenant exclusivement pour des traitements dont MEYIA est responsable de traitement autonome — notamment la fourniture de données publiques pour le module Radar et le traitement des paiements — ne sont pas des sous-traitants ultérieurs au sens de la présente annexe. Ils sont listés dans la politique de confidentialité.

6. Transferts hors Union européenne

Le stockage principal des données est réalisé dans l'Union européenne (région Paris). Certains sous-traitants ultérieurs sont établis hors de l'Union européenne (voir tableau ci-dessus). Lorsque le sous-traitant est certifié au Data Privacy Framework (Google, Vercel, Resend), le transfert repose sur la décision d'adéquation de la Commission européenne du 10 juillet 2023. Pour les autres sous-traitants (Anthropic, Supabase), MEYIA fonde le transfert sur les clauses contractuelles types (CCT) adoptées par la Commission européenne en application de l'article 46, paragraphe 2, du RGPD.

Pour les transferts vers les États-Unis, MEYIA complète ces clauses, lorsque cela est nécessaire, par une analyse d'impact des transferts (Transfer Impact Assessment) et par des mesures supplémentaires : chiffrement en transit, limitation des données transmises à ce qui est nécessaire à la finalité poursuivie, et engagement contractuel de non-réutilisation des données pour l'entraînement de modèles d'intelligence artificielle.

7. Assistance au responsable de traitement

MEYIA assiste le Client, dans la mesure du possible et compte tenu de la nature du traitement, pour répondre aux demandes d'exercice de droits, pour la sécurité, la notification des violations et, le cas échéant, les analyses d'impact relatives à la protection des données (AIPD).

8. Audits

Le Client peut vérifier le respect de la présente annexe dans les conditions suivantes :

• préavis écrit de 30 jours minimum ;
• un audit par an maximum, sauf incident de sécurité avéré ;
• audit réalisé pendant les heures ouvrées, à distance et sur pièces par défaut ;
• frais d'un éventuel audit sur site à la charge du Client ;
• auditeur soumis à une obligation de confidentialité.

MEYIA s'engage à coopérer et à fournir les informations nécessaires dans un délai raisonnable.

9. Durée

La présente annexe prend effet à l'acceptation du contrat par le Client et reste en vigueur pendant toute la durée de son utilisation du service. Les obligations de confidentialité, de sécurité et de suppression des données survivent à la fin du contrat.

10. Droit applicable

Droit français. Règlement Général sur la Protection des Données (UE) 2016/679.

MEYIA — Romain Arnaud (EI) — 60 rue François 1^er, 75008 Paris — SIRET 102 099 603 00015

1. Parties and roles

Data controller: the business using MEYIA (hereinafter "the Client"), which determines the purposes of the processing of its Google reviews.

Data processor: MEYIA, trade name of Romain Arnaud, sole trader (entrepreneur individuel, EI), SIRET 102 099 603 00015, 60 rue François 1^er, 75008 Paris (hereinafter "MEYIA"), which processes this data on behalf of the Client.

This agreement is an integral part of the contract entered into between the Client and MEYIA. In the event of a contradiction regarding the processing of personal data, it prevails.

Scope. This agreement covers exclusively the processing MEYIA carries out on behalf of the Client: the reviews of the Client's Google listing and the replies the Client publishes. The competitive intelligence module ("Radar"), which processes publicly accessible information about third-party businesses, falls outside this agreement: MEYIA acts there as an independent data controller, not on the Client's instructions. That processing is described in the privacy policy.

Separation of sources. Data obtained through the Google APIs under the OAuth authorisation granted by the Client is used exclusively for the purposes described in article 2. It is never used to feed the competitive intelligence module.

2. Subject matter, nature, and purpose of the processing

MEYIA processes the personal data below on behalf of the Client, for the sole purpose of providing the review management service: reading the reviews of the Client's Google listing through the Google Business Profile API, generating reply suggestions with artificial intelligence, and publishing the replies the Client validates.

Data processed	Purpose	Retention
Reviews of the Google listing (text, rating, date, language, author name displayed by Google, the author's public profile picture where applicable, and the raw API response retained for integrity checks)	Reading reviews and generating replies (3 tones)	As long as necessary for management; deletion upon revocation or end of contract
Replies to reviews (existing and published through MEYIA)	Publication and history of replies	As long as necessary for management; deletion upon revocation or end of contract
First name, last name, contact details of the Client's representative	Relationship and access management	Duration of the contract + 6 months

The author name appearing in a review, together with the author's profile picture, are processed as personal data. The author name is transmitted to the generation engine so that the reply addresses its recipient correctly: the form of address used is the first name alone or the full name, depending on the type and standing of the business. The profile picture is never transmitted to the generation engine. No reply is published without the Client's explicit approval. Any substantial change to the processing arrangements is notified to the Client in accordance with the contract.

3. Obligations of MEYIA (processor)

MEYIA undertakes to:

• process data only on documented instructions from the Client, the contract and this agreement constituting the initial instructions;
• ensure that persons authorized to process the data are bound by an obligation of confidentiality;
• implement the technical and organizational measures described in article 4;
• not engage a sub-processor without prior information to the Client, in accordance with article 5;
• forward to the Client, without delay, any request to exercise rights (access, rectification, erasure, restriction, portability, objection) received directly, and assist the Client in responding; the Client remains responsible for responding to such requests;
• notify the Client of any personal data breach without undue delay, and at the latest 72 hours after becoming aware of it, with the relevant information (nature, data concerned, measures taken);
• forward to the Client, without delay, any request from a review author concerning their own data (erasure of the author name, objection, rectification), the Client being the controller; to that end MEYIA publishes a general information notice addressed to review authors (article 14 GDPR);
• at the end of the contract, or upon revocation of access by the Client, delete or return the personal data processed within 30 calendar days. Data whose retention is required by a legal obligation — in particular invoices, retained for 10 years under article L123-22 of the French Commercial Code, and consent proof — is archived with restricted access, is no longer processed for the purposes of the service, and is deleted when the period ends (art. 17(3)(b) GDPR).

4. Security measures

MEYIA implements the following technical and organizational measures:

• encryption of data in transit (TLS/HTTPS) and at rest;
• data hosting in the European Union (Supabase database, EU region);
• restricted access, limited to strictly necessary persons, with role-based access control;
• secure management of secrets and OAuth access tokens (not stored in plain text, not transmitted to unauthorized third parties);
• logging of access and processing operations.

5. Sub-processors

The Client authorizes MEYIA to engage the following sub-processors, as of the date of this agreement:

Sub-processor	Role	Location / Safeguards
Google LLC	Google Business Profile API (source of reviews, publication of replies)	United States — Data Privacy Framework (active certification) and SCCs
Anthropic, PBC	Artificial intelligence engine (generation of reply suggestions)	United States — transfer covered by the Standard Contractual Clauses (SCCs, art. 46(2) GDPR) and a Transfer Impact Assessment (TIA). Contractual commitment that data is not reused to train models.
Supabase Pte. Ltd.	Database and storage — data hosted in a European Union region (Paris)	Singapore — transfer covered by the Standard Contractual Clauses (SCCs) and a Transfer Impact Assessment (TIA)
Vercel, Inc.	Website and application hosting	United States — Data Privacy Framework (active certification) and SCCs
Plus Five Five, Inc. (Resend)	Transactional email sending	United States — Data Privacy Framework (active certification) and SCCs

In the event of the addition or replacement of a sub-processor, MEYIA informs the Client by email with 15 days' notice. The Client has this period to object on legitimate grounds. Failing a reasonable alternative offered by MEYIA, the Client may terminate the service.

Providers involved exclusively in processing for which MEYIA is an independent data controller — in particular the supply of public data for the Radar module and payment processing — are not sub-processors within the meaning of this agreement. They are listed in the privacy policy.

6. Transfers outside the European Union

The main data storage is carried out in the European Union (Paris region). Some sub-processors are established outside the European Union (see table above). Where the sub-processor is certified under the Data Privacy Framework (Google, Vercel, Resend), the transfer relies on the European Commission adequacy decision of 10 July 2023. For the other sub-processors (Anthropic, Supabase), MEYIA bases the transfer on the standard contractual clauses (SCCs) adopted by the European Commission pursuant to article 46(2) of the GDPR.

For transfers to the United States, MEYIA supplements these clauses, where necessary, with a Transfer Impact Assessment and additional measures: encryption in transit, limitation of the data transmitted to what is necessary for the purpose pursued, and a contractual commitment that data is not reused to train artificial intelligence models.

7. Assistance to the data controller

MEYIA assists the Client, insofar as possible and taking into account the nature of the processing, in responding to requests to exercise rights, with security, breach notification, and, where applicable, data protection impact assessments (DPIAs).

8. Audits

The Client may verify compliance with this agreement under the following conditions:

• minimum 30 days' written notice;
• a maximum of one audit per year, except in the event of a proven security incident;
• audit carried out during business hours, remotely and on documentation by default;
• costs of any on-site audit borne by the Client;
• auditor bound by an obligation of confidentiality.

MEYIA undertakes to cooperate and to provide the necessary information within a reasonable time.

9. Duration

This agreement takes effect upon the Client's acceptance of the contract and remains in force for the entire duration of its use of the service. The obligations of confidentiality, security, and data deletion survive the end of the contract.

10. Governing law

French law. General Data Protection Regulation (EU) 2016/679.

MEYIA — Romain Arnaud (sole trader) — 60 rue François 1^er, 75008 Paris — SIRET 102 099 603 00015