1. Parties et rôles

Responsable de traitement : l'établissement utilisateur de MEYIA (ci-après « le Client »), qui détermine les finalités du traitement de ses avis Google.

Sous-traitant : MEYIA, nom commercial de Romain Arnaud, entrepreneur individuel (EI), SIRET 102 099 603 00015, 60 rue François 1^er, 75008 Paris (ci-après « MEYIA »), qui traite ces données pour le compte du Client.

La présente annexe fait partie intégrante du contrat conclu entre le Client et MEYIA. En cas de contradiction sur le traitement des données à caractère personnel, elle prévaut.

Périmètre. La présente annexe couvre exclusivement les traitements que MEYIA réalise pour le compte du Client : les avis de la fiche Google du Client, les avis qu'il saisit manuellement dans le service pour un canal externe à Google, et les réponses qu'il publie. Le module de veille concurrentielle (« Radar »), qui traite des informations publiquement accessibles relatives à des établissements tiers, ne relève pas de la présente annexe : MEYIA y agit en qualité de responsable de traitement autonome, et non sur instruction du Client. Ce traitement est décrit dans la politique de confidentialité.

Étanchéité des sources. Les données obtenues via les API Google, au titre de l'autorisation OAuth accordée par le Client, sont utilisées exclusivement pour les finalités décrites à l'article 2. Elles ne sont jamais utilisées pour alimenter le module de veille concurrentielle.

2. Objet, nature et finalité du traitement

MEYIA traite les données personnelles ci-dessous pour le compte du Client, dans le seul but de fournir le service de gestion des avis : lecture des avis de la fiche Google du Client via l'API Google Business Profile, saisie par le Client d'avis reçus hors de sa fiche Google, génération de propositions de réponses par intelligence artificielle, et publication des réponses que le Client valide.

Données traitées	Finalité	Conservation
Avis de la fiche Google (texte, note, date, langue, nom d'auteur affiché par Google, photo de profil publique de l'auteur le cas échéant, réponse brute de l'API conservée pour contrôle d'intégrité et, lorsqu'ils sont disponibles par rapprochement de l'identifiant public de l'avis, nombre d'avis et de photos publiés par l'auteur, statut Local Guide et lien vers son profil public)	Lecture des avis et génération des réponses (3 tons)	Le temps nécessaire à la gestion ; suppression sur révocation ou fin de contrat
Avis saisis manuellement par le Client (texte, note, date, et tout nom d'auteur renseigné par le Client)	Génération d'une proposition de réponse (3 tons), pour un avis reçu hors de la fiche Google	Le temps nécessaire à la gestion ; suppression à la suppression de l'établissement, du compte, ou en fin de contrat
Réponses aux avis (existantes et publiées via MEYIA)	Publication et historique des réponses	Le temps nécessaire à la gestion ; suppression sur révocation ou fin de contrat
Prénom, nom, contact du représentant du Client	Gestion de la relation et de l'accès	Durée du contrat + 6 mois

Le nom d'auteur figurant dans un avis, qu'il provienne de la fiche Google du Client ou d'une saisie manuelle par le Client, la photo de profil lorsqu'elle existe et les éventuels indicateurs publics de son profil sont traités comme des données à caractère personnel. Le nom d'auteur est transmis au moteur de génération afin que la réponse s'adresse correctement à son destinataire : la formule d'adresse retenue est le prénom seul ou le nom complet, selon le type et le standing de l'établissement. La photo de profil n'est jamais transmise au moteur de génération. Les indicateurs DataForSEO, lorsqu'ils sont disponibles, servent uniquement à contextualiser la lecture de l'avis du propre établissement et ne sont pas utilisés pour alimenter Radar. Aucune réponse n'est publiée sans validation explicite du Client. Toute modification des modalités de traitement suit le Régime des modifications défini à l'article 5.

3. Obligations de MEYIA (sous-traitant)

MEYIA s'engage à :

• traiter les données uniquement sur instruction documentée du Client, le contrat et la présente annexe valant instructions initiales ; informer immédiatement le Client si, selon MEYIA, une instruction constitue une violation du RGPD ou d'une autre disposition applicable en matière de protection des données ;
• garantir que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité ;
• mettre en œuvre les mesures techniques et organisationnelles décrites à l'article 4 ;
• ne pas recruter de sous-traitant ultérieur sans information préalable du Client, conformément à l'article 5 ;
• transmettre au Client, sans délai, toute demande d'exercice de droits (accès, rectification, effacement, limitation, portabilité, opposition) reçue directement, et l'assister dans sa réponse ; le Client reste responsable de la réponse à ces demandes ;
• notifier au Client toute violation de données personnelles sans délai indu, avec un objectif contractuel de première notification dans les 24 heures après en avoir pris connaissance. Les informations encore indisponibles sont communiquées progressivement sans retard indu. Ce délai distinct permet au Client d'apprécier son éventuelle obligation de notification à l'autorité de contrôle dans les 72 heures ;
• transmettre au Client, sans délai, toute demande émanant d'un auteur d'avis et portant sur ses propres données (effacement, opposition, rectification), le Client en étant le responsable de traitement ; MEYIA publie à cet effet une information générale à destination des auteurs d'avis (article 14 du RGPD) pour les avis provenant de la fiche Google du Client ; pour les avis saisis manuellement par le Client, cette information incombe au Client, conformément à l'article 5 bis des conditions d'utilisation ;
• permettre au Client de supprimer à tout moment, individuellement, un avis qu'il a saisi manuellement, sans attendre la fin du contrat ni la suppression de son compte ; cette suppression est immédiate et définitive ;
• à l'issue du contrat, ou sur révocation de l'accès par le Client, supprimer ou restituer les données personnelles traitées dans un délai de 30 jours calendaires. Les données dont la conservation est imposée par une obligation légale, notamment les factures, conservées 10 ans en application de l'article L123-22 du Code de commerce, et les preuves de consentement, sont archivées à accès restreint, ne font plus l'objet d'aucun traitement pour les besoins du service, et sont supprimées à l'échéance (art. 17.3.b du RGPD).

4. Mesures de sécurité

MEYIA met en œuvre les mesures techniques et organisationnelles suivantes :

• chiffrement des données en transit (TLS/HTTPS) et au repos ;
• stockage principal des données dans l'Union européenne (base de données Supabase, région Paris), sans préjudice des traitements et transferts encadrés décrits aux articles 5 et 6 ;
• accès restreint, limité aux personnes strictement nécessaires, avec contrôle d'accès par rôle ;
• gestion sécurisée des secrets et des jetons d'accès OAuth (non stockés en clair, non transmis à des tiers non autorisés) ;
• journalisation des accès et des opérations de traitement.

5. Sous-traitants ultérieurs

Le Client autorise MEYIA à recourir aux sous-traitants ultérieurs suivants, à la date de la présente annexe :

Sous-traitant	Rôle	Localisation / Garanties
Google LLC	API Google Business Profile (source des avis, publication des réponses)	États-Unis, Data Privacy Framework (certification active) et CCT
DataForSEO OÜ	Enrichissement facultatif de certains profils publics d'auteurs, uniquement lorsqu'un rapprochement par identifiant public de l'avis réussit ; DataForSEO ne remplace jamais Google comme source du contenu, de la note, de la date ou de la réponse	Société établie en Estonie. DPA intégré à ses conditions lorsque le RGPD s'applique ; liste de sous-traitants et garanties annoncées pour les transferts publiées dans sa politique de confidentialité.
Anthropic, PBC	Moteur d'intelligence artificielle (génération des propositions de réponse)	États-Unis, CCT intégrées au DPA d'Anthropic. Pour l'API commerciale, entrées et sorties supprimées par défaut sous 30 jours et non utilisées pour l'entraînement sans autorisation expresse, sous réserve des exceptions publiées par Anthropic.
Supabase Pte. Ltd.	Base de données et stockage, données hébergées en région Union européenne (Paris)	Singapour, CCT intégrées au DPA de Supabase ; stockage principal du projet en région Paris
Vercel, Inc.	Hébergement du site et de l'application	États-Unis, Data Privacy Framework (certification active) et CCT
Plus Five Five, Inc. (Resend)	Envoi d'emails transactionnels	États-Unis, Data Privacy Framework (certification active) et CCT
Functional Software, Inc. (Sentry)	Supervision technique des erreurs, avec informations utilisateur et corps de requêtes HTTP désactivés dans la configuration actuelle	Données stockées dans l'Union européenne (Francfort) ; éditeur établi aux États-Unis, Data Privacy Framework (certification active) et CCT

MEYIA impose par contrat à chaque sous-traitant ultérieur des obligations de protection des données au moins équivalentes à celles de la présente annexe, notamment en matière de confidentialité, de sécurité, d'assistance et de suppression ou restitution des données. MEYIA demeure pleinement responsable envers le Client de l'exécution de ces obligations par ses sous-traitants ultérieurs.

Régime des modifications. Les modifications sont classées selon les règles suivantes. Une correction rédactionnelle, telle qu'une coquille, un lien ou une clarification sans effet sur les droits, est inscrite au journal des versions et prend effet sans préavis ni nouvelle acceptation. Un changement exclusivement favorable au Client, notamment l'allongement d'un préavis, suit ce régime et fait l'objet d'une simple information. Une modification substantielle, notamment une nouvelle finalité, une nouvelle catégorie de données, un nouveau destinataire ou sous-traitant, un transfert hors de l'Union européenne, ou un changement de droits, d'obligations, de prix, de quotas, de responsabilité, de résiliation ou de périmètre, est annoncée par un courrier électronique dédié, sans contenu marketing, et par une notification persistante dans l'application, au moins trente (30) jours avant sa prise d'effet. Pendant ce délai, le Client peut consulter l'ancienne et la nouvelle version, exporter ses données et résilier sans frais. Lorsqu'un sous-traitant ultérieur est ajouté ou remplacé, le Client peut aussi s'y opposer pour un motif légitime pendant ce même délai. Une nouvelle acceptation est requise si la modification substantielle change les droits ou obligations contractuels du Client. Lorsqu'une modification est imposée par la loi ou la réglementation, ou répond à une urgence de sécurité, MEYIA informe le Client par courrier électronique et dans l'application dès que possible, avant sa prise d'effet lorsque cela est possible ; une nouvelle acceptation est demandée si la nature du changement l'exige.

En cas d'ajout ou de remplacement d'un sous-traitant ultérieur, le Client dispose donc de trente (30) jours pour s'opposer pour un motif légitime. Si MEYIA ne propose pas d'alternative raisonnable, le Client peut résilier le service sans frais. MEYIA lui rembourse alors, au prorata, la fraction non consommée de la période déjà réglée, conformément à l'article 9 des conditions générales de vente.

Les prestataires intervenant exclusivement pour des traitements dont MEYIA est responsable de traitement autonome, notamment la fourniture de données publiques pour le module Radar et le traitement des paiements, ne sont pas des sous-traitants ultérieurs au sens de la présente annexe. Ils sont listés dans la politique de confidentialité.

6. Transferts hors Union européenne

Le stockage principal des données est réalisé dans l'Union européenne (région Paris). Certains sous-traitants ultérieurs sont établis hors de l'Union européenne (voir tableau ci-dessus). Lorsque le sous-traitant est certifié au Data Privacy Framework (Google, Vercel, Resend, Sentry), le transfert repose sur la décision d'adéquation de la Commission européenne du 10 juillet 2023. Pour les autres sous-traitants (Anthropic, Supabase), MEYIA fonde le transfert sur les clauses contractuelles types (CCT) adoptées par la Commission européenne en application de l'article 46, paragraphe 2, du RGPD.

Les mesures appliquées comprennent le chiffrement en transit, la limitation des données transmises à ce qui est nécessaire à la finalité poursuivie et, pour l'API commerciale d'Anthropic, l'absence d'utilisation pour l'entraînement sans autorisation expresse. Les éventuelles exceptions de conservation liées à la sécurité ou à une obligation légale restent celles publiées par le prestataire.

7. Assistance au responsable de traitement

MEYIA assiste le Client, dans la mesure du possible et compte tenu de la nature du traitement, pour répondre aux demandes d'exercice de droits, pour la sécurité, la notification des violations et, le cas échéant, les analyses d'impact relatives à la protection des données (AIPD).

8. Audits

Le Client peut vérifier le respect de la présente annexe dans les conditions suivantes :

• préavis écrit de 30 jours minimum ;
• un audit par an maximum, sauf incident de sécurité avéré ;
• audit réalisé pendant les heures ouvrées, à distance et sur pièces par défaut ;
• frais d'un éventuel audit sur site à la charge du Client ;
• auditeur soumis à une obligation de confidentialité.

MEYIA s'engage à coopérer et à fournir les informations nécessaires dans un délai raisonnable.

9. Durée

La présente annexe prend effet à l'acceptation du contrat par le Client et reste en vigueur pendant toute la durée de son utilisation du service. Les obligations de confidentialité, de sécurité et de suppression des données survivent à la fin du contrat.

10. Droit applicable

Droit français. Règlement Général sur la Protection des Données (UE) 2016/679.

11. Langue de l'annexe

La présente annexe est rédigée en français et traduite en anglais pour votre commodité. En cas de divergence entre les deux versions, la version française prévaut.

12. Journal des versions

MEYIA, Romain Arnaud (EI), 60 rue François 1^er, 75008 Paris, SIRET 102 099 603 00015

1. Parties and roles

Data controller: the business using MEYIA (hereinafter "the Client"), which determines the purposes of the processing of its Google reviews.

Data processor: MEYIA, trade name of Romain Arnaud, sole trader (entrepreneur individuel, EI), SIRET 102 099 603 00015, 60 rue François 1^er, 75008 Paris (hereinafter "MEYIA"), which processes this data on behalf of the Client.

This agreement is an integral part of the contract entered into between the Client and MEYIA. In the event of a contradiction regarding the processing of personal data, it prevails.

Scope. This agreement covers exclusively the processing MEYIA carries out on behalf of the Client: the reviews of the Client's Google listing, the reviews the Client manually enters in the service for a channel external to Google, and the replies the Client publishes. The competitive intelligence module ("Radar"), which processes publicly accessible information about third-party businesses, falls outside this agreement: MEYIA acts there as an independent data controller, not on the Client's instructions. That processing is described in the privacy policy.

Separation of sources. Data obtained through the Google APIs under the OAuth authorisation granted by the Client is used exclusively for the purposes described in article 2. It is never used to feed the competitive intelligence module.

2. Subject matter, nature, and purpose of the processing

MEYIA processes the personal data below on behalf of the Client, for the sole purpose of providing the review management service: reading the reviews of the Client's Google listing through the Google Business Profile API, the Client entering reviews received outside their Google listing, generating reply suggestions with artificial intelligence, and publishing the replies the Client validates.

Data processed	Purpose	Retention
Reviews of the Google listing (text, rating, date, language, author name displayed by Google, the author's public profile picture where applicable, the raw API response retained for integrity checks and, where available through matching the review's public identifier, the author's public review and photo counts, Local Guide status and public profile link)	Reading reviews and generating replies (3 tones)	As long as necessary for management; deletion upon revocation or end of contract
Reviews manually entered by the Client (text, rating, date, and any author name provided by the Client)	Generating a reply suggestion (3 tones) for a review received outside the Google listing	As long as necessary for management; deletion when the business is deleted, when the account is deleted, or at the end of the contract
Replies to reviews (existing and published through MEYIA)	Publication and history of replies	As long as necessary for management; deletion upon revocation or end of contract
First name, last name, contact details of the Client's representative	Relationship and access management	Duration of the contract + 6 months

The author name appearing in a review, the author's profile picture and any public profile indicators are processed as personal data. The author name is transmitted to the generation engine so that the reply addresses its recipient correctly: the form of address used is the first name alone or the full name, depending on the type and standing of the business. The profile picture is never transmitted to the generation engine. DataForSEO indicators, where available, are used only to provide context when reading a review of the Client's own business and are not used to feed Radar. No reply is published without the Client's explicit approval. Any change to the processing arrangements follows the Amendment Regime set out in article 5.

3. Obligations of MEYIA (processor)

MEYIA undertakes to:

• process data only on documented instructions from the Client, the contract and this agreement constituting the initial instructions; immediately inform the Client if, in MEYIA's opinion, an instruction infringes the GDPR or another applicable data-protection provision;
• ensure that persons authorized to process the data are bound by an obligation of confidentiality;
• implement the technical and organizational measures described in article 4;
• not engage a sub-processor without prior information to the Client, in accordance with article 5;
• forward to the Client, without delay, any request to exercise rights (access, rectification, erasure, restriction, portability, objection) received directly, and assist the Client in responding; the Client remains responsible for responding to such requests;
• notify the Client of any personal data breach without undue delay, with a contractual target of an initial notification within 24 hours after becoming aware of it. Information not yet available is provided progressively without undue delay. This separate time limit allows the Client to assess any duty to notify the supervisory authority within 72 hours;
• forward to the Client, without delay, any request from a review author concerning their own data (erasure, objection, rectification), the Client being the controller; to that end MEYIA publishes a general information notice addressed to review authors (article 14 GDPR) for reviews originating from the Client's Google Business Profile; for reviews entered manually by the Client, that information is the Client's responsibility, in accordance with article 5 bis of the Terms of Use;
• allow the Client to delete at any time, individually, a review they have entered manually, without waiting for the end of the contract or the deletion of their account; such deletion is immediate and permanent;
• at the end of the contract, or upon revocation of access by the Client, delete or return the personal data processed within 30 calendar days. Data whose retention is required by a legal obligation, in particular invoices, retained for 10 years under article L123-22 of the French Commercial Code, and consent proof, is archived with restricted access, is no longer processed for the purposes of the service, and is deleted when the period ends (art. 17(3)(b) GDPR).

4. Security measures

MEYIA implements the following technical and organizational measures:

• encryption of data in transit (TLS/HTTPS) and at rest;
• primary data storage in the European Union (Supabase database, Paris region), without prejudice to the safeguarded processing and transfers described in articles 5 and 6;
• restricted access, limited to strictly necessary persons, with role-based access control;
• secure management of secrets and OAuth access tokens (not stored in plain text, not transmitted to unauthorized third parties);
• logging of access and processing operations.

5. Sub-processors

The Client authorizes MEYIA to engage the following sub-processors, as of the date of this agreement:

Sub-processor	Role	Location / Safeguards
Google LLC	Google Business Profile API (source of reviews, publication of replies)	United States, Data Privacy Framework (active certification) and SCCs
DataForSEO OÜ	Optional enrichment of certain public author profiles, only where matching by the review's public identifier succeeds; DataForSEO never replaces Google as the source of review content, rating, date or reply	Company established in Estonia. Its DPA is incorporated into its terms where the GDPR applies; its list of sub-processors and stated transfer safeguards are published in its privacy policy.
Anthropic, PBC	Artificial intelligence engine (generation of reply suggestions)	United States, SCCs incorporated into Anthropic's DPA. For the commercial API, inputs and outputs are deleted by default within 30 days and are not used for training without express permission, subject to Anthropic's published exceptions.
Supabase Pte. Ltd.	Database and storage, data hosted in a European Union region (Paris)	Singapore, SCCs incorporated into Supabase's DPA; primary project data stored in the Paris region
Vercel, Inc.	Website and application hosting	United States, Data Privacy Framework (active certification) and SCCs
Plus Five Five, Inc. (Resend)	Transactional email sending	United States, Data Privacy Framework (active certification) and SCCs
Functional Software, Inc. (Sentry)	Technical error monitoring, with user information and HTTP request bodies disabled in the current configuration	Data stored in the European Union (Frankfurt); provider established in the United States, Data Privacy Framework (active certification) and SCCs

MEYIA contractually imposes on each sub-processor data-protection obligations at least equivalent to those in this agreement, including confidentiality, security, assistance, and deletion or return of data. MEYIA remains fully liable to the Client for the performance of those obligations by its sub-processors.

Amendment Regime. Amendments are classified under the following rules. An editorial correction, such as a typo, a link or a clarification with no effect on rights, is entered in the version history and takes effect without notice or renewed acceptance. A change that is exclusively favourable to the Client, including an extended notice period, follows this regime and is subject to simple information. A substantial amendment, including a new purpose, a new category of data, a new recipient or sub-processor, a transfer outside the European Union, or a change to rights, obligations, prices, allowances, liability, termination or scope, is announced by a dedicated email containing no marketing content and by a persistent in-application notice at least thirty (30) days before it takes effect. During that period, the Client may consult the old and new versions, export its data and terminate free of charge. Where a sub-processor is added or replaced, the Client may also object on legitimate grounds during the same period. Renewed acceptance is required if the substantial amendment changes the Client's contractual rights or obligations. Where an amendment is required by law or regulation, or responds to a security emergency, MEYIA informs the Client by email and in the application as soon as possible, before it takes effect where possible; renewed acceptance is requested if required by the nature of the change.

Where a sub-processor is added or replaced, the Client therefore has thirty (30) days to object on legitimate grounds. If MEYIA does not offer a reasonable alternative, the Client may terminate the service free of charge. MEYIA then refunds the unused portion of the period already paid for on a pro rata basis, in accordance with article 9 of the Terms of Sale.

Providers involved exclusively in processing for which MEYIA is an independent data controller, in particular the supply of public data for the Radar module and payment processing, are not sub-processors within the meaning of this agreement. They are listed in the privacy policy.

6. Transfers outside the European Union

The main data storage is carried out in the European Union (Paris region). Some sub-processors are established outside the European Union (see table above). Where the sub-processor is certified under the Data Privacy Framework (Google, Vercel, Resend, Sentry), the transfer relies on the European Commission adequacy decision of 10 July 2023. For the other sub-processors (Anthropic, Supabase), MEYIA bases the transfer on the standard contractual clauses (SCCs) adopted by the European Commission pursuant to article 46(2) of the GDPR.

The measures applied include encryption in transit, limiting transmitted data to what is necessary for the purpose pursued and, for Anthropic's commercial API, no use for training without express permission. Any retention exceptions for safety or legal obligations remain those published by the provider.

7. Assistance to the data controller

MEYIA assists the Client, insofar as possible and taking into account the nature of the processing, in responding to requests to exercise rights, with security, breach notification, and, where applicable, data protection impact assessments (DPIAs).

8. Audits

The Client may verify compliance with this agreement under the following conditions:

• minimum 30 days' written notice;
• a maximum of one audit per year, except in the event of a proven security incident;
• audit carried out during business hours, remotely and on documentation by default;
• costs of any on-site audit borne by the Client;
• auditor bound by an obligation of confidentiality.

MEYIA undertakes to cooperate and to provide the necessary information within a reasonable time.

9. Duration

This agreement takes effect upon the Client's acceptance of the contract and remains in force for the entire duration of its use of the service. The obligations of confidentiality, security, and data deletion survive the end of the contract.

10. Governing law

French law. General Data Protection Regulation (EU) 2016/679.

11. Language of this addendum

This addendum is drafted in French and translated into English for your convenience. In the event of any divergence between the two versions, the French version prevails.

12. Version history

MEYIA, Romain Arnaud (sole trader), 60 rue François 1^er, 75008 Paris, SIRET 102 099 603 00015