Accord de sous-traitance des données personnelles — Data Processing Agreement

Article 1. Objet et définitions

1.1. Le présent accord fixe les conditions dans lesquelles WINAITY traite, pour le compte du Client, les données à caractère personnel décrites à l’annexe 1, dans le cadre du service WINAITY AI (« le Service »), plateforme d’agents conversationnels dont les conditions générales d’utilisation (« les CGU ») sont publiées sur le site.

1.2. Il complète les CGU, dont il fait partie intégrante : le Client l’accepte en acceptant les CGU lors de son inscription. En cas de contradiction sur la protection des données personnelles, il prévaut.

1.3. « Données du Client » : les données à caractère personnel contenues dans (a) les conversations entre les utilisateurs finaux et les agents que le Client déploie, par quelque canal que ce soit, y compris les réponses que les membres de son équipe ont pu écrire eux-mêmes à ces personnes depuis le Service, (b) les documents que le Client importe dans les bases de connaissances de ses agents, y compris le contenu des pages publiques d’un site dont il indique l’adresse et que le Service lit à sa demande en respectant le fichier robots.txt de ce site, (c) les instructions et configurations des agents. Les termes « responsable de traitement », « sous-traitant », « sous-traitant ultérieur », « violation de données » ont le sens du RGPD.

Article 2. Rôles des parties

2.1. Pour les Données du Client, le Client est responsable de traitement et WINAITY sous-traitant. Le Client détermine seul les finalités et reste l’interlocuteur des personnes concernées.

2.2. WINAITY est responsable de traitement pour ses propres traitements, qui ne relèvent pas du présent accord : comptes et connexion des utilisateurs du Client, facturation et alertes de quota par e-mail, journaux de sécurité et d’administration, mesure d’audience du site. Ils sont décrits dans la politique de confidentialité.

2.3. Le Client garantit qu’il dispose d’une base légale pour les traitements qu’il confie, qu’il informe les personnes concernées (en particulier qu’elles s’adressent à un agent automatisé), et qu’il ne confie pas au Service de données relevant des catégories particulières de l’article 9 du RGPD sans en avoir évalué la licéité et sans encadrement adapté.

Article 3. Durée

Le présent accord s’applique à compter de la souscription au Service (y compris au plan gratuit) et jusqu’à la suppression complète des Données du Client, dans les conditions de l’article 12. Les articles 6, 11, 12 et 14 lui survivent aussi longtemps que WINAITY détient des Données du Client.

Article 4. Nature, finalités, données et personnes

La nature et les finalités du traitement, les catégories de données et de personnes, et les durées de conservation figurent à l’annexe 1. Le traitement consiste à recevoir les messages des personnes, à les faire traiter par les agents du Client (modèle de langage, recherche dans ses bases de connaissances, outils qu’il a connectés), à rendre la réponse par le canal d’origine, à conserver l’historique et ses dérivés pour le Client, à permettre aux membres de son équipe de lire les conversations et de les exporter depuis le tableau de bord, et à lui fournir les outils pour les consulter, les exporter et les effacer. Il n’a pas d’autre finalité.

Article 5. Instructions du Client

5.1. WINAITY ne traite les Données du Client que sur instruction documentée du Client. Constituent des instructions : le présent accord, les CGU, la configuration que le Client donne au Service (agents, bases de connaissances, canaux, outils, garde-fous, durées de conservation), l’usage qu’il fait du tableau de bord et de l’API, dont les actions de ses membres sur les conversations (export, correction d’une réponse de l’agent).

5.2. WINAITY informe immédiatement le Client, par e-mail au propriétaire de l’espace, si, selon elle, une instruction constitue une violation du RGPD ou d’une autre disposition de protection des données.

5.3. WINAITY n’utilise pas les Données du Client pour ses propres besoins. En particulier, elle ne les utilise pas pour entraîner ou affiner un modèle : le Service sert des modèles exécutés sur sa propre infrastructure, sans apprentissage en production, et la capture de conversations vers un jeu de données d’affinage est désactivée.

Article 6. Confidentialité

WINAITY veille à ce que les personnes autorisées à traiter les Données du Client soient tenues à la confidentialité. L’accès aux serveurs et aux bases de données est réservé au personnel habilité de WINAITY, tenu à une obligation de confidentialité.

Article 7. Sécurité du traitement

WINAITY met en œuvre les mesures techniques et organisationnelles décrites à l’annexe 3, appropriées au risque (article 32 du RGPD). L’annexe 3 dit ce qui est en place et ce qui ne l’est pas : elle ne prétend à aucune certification. Elle est réexaminée à chaque évolution notable du Service.

Article 8. Sous-traitants ultérieurs

8.1. Le Client donne à WINAITY une autorisation générale de recourir aux sous-traitants ultérieurs listés à l’annexe 2, partie A, pour les finalités qui y sont décrites.

8.2. WINAITY informe le Client de tout ajout ou remplacement d’un sous-traitant ultérieur, par e-mail au propriétaire et aux administrateurs de l’espace et par mise à jour de l’annexe 2 publiée, au moins 30 jours avant. Le Client peut s’y opposer pour un motif raisonnable lié à la protection des données dans ce délai ; à défaut d’accord, il peut résilier sans frais la partie du Service concernée.

8.3. WINAITY impose à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles du présent accord, par un contrat qui reprend les conditions de traitement des données du prestataire, et demeure responsable à l’égard du Client de leur exécution.

8.4. Les services que le Client choisit lui-même de connecter à ses agents (messageries, boîte e-mail, connecteurs, serveurs MCP, outil de conseillers) ne sont pas des sous-traitants ultérieurs de WINAITY : le Client les choisit, les configure et conclut ses propres conditions avec eux ; WINAITY leur transmet ce que l’agent leur adresse, sur instruction du Client. Ils sont rappelés à l’annexe 2, partie C.

Article 9. Transferts hors de l’Union européenne

9.1. Les serveurs qui exécutent l’application, ses bases de données et le modèle d’IA sont situés en France, dans les locaux de WINAITY. Le serveur d’identité et l’envoi d’e-mails sont hébergés par Amazon Web Services, dans la région Europe (Paris). WINAITY n’organise aucun transfert des Données du Client hors de l’Union européenne, à l’exception de ce que comporte le recours à des prestataires dont la maison mère est établie hors de l’Union : Cloudflare, Inc. pour l’acheminement du trafic, et Amazon Web Services pour le serveur d’identité et l’envoi d’e-mails. Pour ces prestataires, le transfert s’appuie sur les garanties prévues par leurs conditions de traitement des données (cadre de protection des données UE–États-Unis ou clauses contractuelles types).

9.2. Pour les services que le Client connecte lui-même (annexe 2, partie C), le service ne fixe aucune région : les messages passent par les interfaces des opérateurs, qui peuvent les traiter hors de l’Union européenne selon leurs propres conditions. Le Client en tient compte dans ses propres analyses.

Article 10. Assistance au Client

10.1. Droits des personnes. Le Service fournit au Client, dans son espace, les moyens de répondre aux demandes des personnes (articles 15 à 21 du RGPD) :

• accès et portabilité : export JSON de tout ce qu’un effacement supprimerait (lignes de chaque table de l’espace, transcript complet de chaque conversation, liste des conversations du tableau de bord et réponses des membres du Client, mémoire long terme, rappels programmés, traces de l’évaluation qualité), dans un délai de 20 secondes et jusqu’à 20 Mo ; au-delà, aucun fichier tronqué n’est produit ; export CSV des conversations ; export CSV ou JSON des conversations depuis le tableau de bord, avec le texte des messages, réservé aux administrateurs de l’espace, dans la limite de 500 conversations par export ;
• effacement : suppression réelle et définitive, étape par étape, avec reprise automatique en cas de panne, y compris de la liste des conversations du tableau de bord et des réponses des membres du Client ; la personne peut aussi la demander elle-même (commande « oublie-moi » sur WhatsApp, Messenger, Instagram, Telegram et par e-mail ; menu « Effacer cette conversation » du widget) ;
• consentement : registre des consentements recueillis par le Client ;
• limitation de la conservation : durées de conservation réglables par espace.

L’export et l’effacement d’une personne sont réservés aux administrateurs de l’espace, journalisés sous pseudonyme, et limités à 60 requêtes par minute. Ces outils sont décrits dans la documentation du Service, publiée à l’adresse https://ai-docs.winaity.com.

10.2. Ce que l’effacement ne supprime pas, et que le Client doit connaître pour répondre aux personnes : les journaux signés (la personne n’y figure que sous pseudonyme ; le journal des appels d’outils peut garder des extraits de questions dont les noms ne sont pas masqués) ; le registre de facturation des conversations (clé de fil effacée, ligne conservée 13 mois) ; le transcript transmis à l’outil de conseillers lors d’une escalade ; les tickets d’escalade et les réponses au formulaire de contact envoyés par e-mail (coordonnées et messages laissés), conservés dans les boîtes de leurs destinataires et chez le prestataire d’envoi d’e-mails ; ce que les opérateurs de messagerie ou la messagerie e-mail du Client conservent de leur côté ; les copies locales du navigateur du visiteur (30 jours d’inactivité) ; les anciennes traces d’appel du modèle qui n’ont pas de fil, qui partent avec la durée de conservation ; les conversations anciennes écrites aussi par un autre client, conservées pour ne jamais effacer les données d’autrui (la demande est alors signalée « partielle ») ; les sauvegardes du serveur, où une donnée effacée peut subsister jusqu’à trois mois avant de disparaître par rotation (annexe 3, ligne 13).

10.3. Demandes reçues directement. Si une personne s’adresse à WINAITY au sujet des Données du Client, WINAITY ne répond pas sur le fond et transmet la demande au Client dans un délai de 5 jours ouvrés.

10.4. Autres assistances. WINAITY assiste le Client, dans la limite des informations dont elle dispose, pour la sécurité du traitement, la notification des violations (article 11), les analyses d’impact et les consultations préalables, sur demande écrite. Une assistance raisonnable est comprise dans le prix du Service ; une assistance qui dépasse ce cadre fait l’objet d’un devis préalable.

Article 11. Violation de données

11.1. WINAITY notifie au Client toute violation de données à caractère personnel affectant les Données du Client, dans les meilleurs délais après en avoir pris connaissance et au plus tard 48 heures après, par e-mail au propriétaire et aux administrateurs de l’espace, à l’adresse de leurs comptes.

11.2. La notification décrit, dans la mesure où WINAITY les connaît : la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables, les mesures prises ou proposées. Les informations manquantes sont communiquées au fur et à mesure.

11.3. La notification à l’autorité de contrôle et aux personnes incombe au Client, responsable de traitement. WINAITY l’y aide.

Article 12. Sort des données à la fin du contrat

12.1. Suppression à la demande du Client. Le propriétaire de l’espace peut le supprimer : la suppression purge l’ensemble des stockages (Redis, graphe Neo4j, mémoire long terme, base vectorielle, fils de conversation, base relationnelle, dont le journal d’audit de l’espace) puis la ligne de l’espace, annule les abonnements Stripe de l’espace, supprime l’organisation de l’espace dans le service d’identité, et réserve l’adresse (empreinte seulement). Elle est rejouable si une étape échoue. Elle se fait aujourd’hui par l’API (DELETE /api/tenants/{id}), non par un bouton du tableau de bord ; à défaut, le Client la demande par écrit à support@winaity.com et WINAITY l’exécute dans le délai d’un mois (article 12.3 du RGPD).

12.2. Restitution. Avant suppression, le Client peut exporter les conversations (CSV), les données d’une personne (JSON) et le journal d’audit de l’espace ; le contenu de ses bases de connaissances et ses configurations restent ceux qu’il a lui-même fournis : le Service ne propose pas d’export en bloc de ces deux éléments.

12.3. Ce qui subsiste après la suppression de l’espace :

• les comptes de connexion des membres dans le service d’identité (ils restent valables pour se connecter ; seule l’organisation de l’espace est supprimée) ;
• le registre de trace de la suppression (identifiant de l’espace et issue de la suppression pour chaque stockage, sans nom ni donnée personnelle) ;
• l’empreinte SHA-256 de l’adresse de l’espace ;
• le transcript transmis à l’outil de conseillers lors d’une escalade, conservé par cet outil ;
• les copies que détiennent les opérateurs de messagerie et la messagerie e-mail du Client ;
• les traces d’évaluation de la qualité qu’aucun espace ne peut revendiquer avec certitude, qui suivent la durée par défaut de la plateforme ;
• les pièces comptables des abonnements, conservées dix ans par WINAITY en tant que responsable de traitement (article L.123-22 du code de commerce) ;
• les sauvegardes du serveur : une donnée supprimée peut y subsister jusqu’à trois mois (annexe 3, ligne 13), puis disparaît par rotation des sauvegardes.

12.4. Sans suppression demandée. La résiliation d’un abonnement payant ramène l’espace au plan gratuit ; elle ne supprime pas les Données du Client. Elles restent soumises aux durées de conservation de l’annexe 1 tant que l’espace existe. Le Service ne supprime pas automatiquement un espace inactif ou résilié.

Article 13. Audits et documentation

13.1. WINAITY met à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord : le présent accord et ses annexes tenus à jour, le rapport de conformité technique que le Service génère à la demande de l’administrateur (isolation des données, journaux signés, rétention, droits d’accès, durées ; ce rapport est structuré selon des référentiels connus mais ne constitue pas une certification), le journal d’audit de l’espace et son export.

13.2. Le Client peut faire réaliser un audit, par lui-même ou par un tiers tenu à la confidentialité, sur préavis écrit de 30 jours, au plus une fois par an, hors urgence liée à une violation, pendant les heures ouvrées, sans accès aux données d’autres clients, aux frais du Client.

13.3. WINAITY a conduit une revue de sécurité interne le 2026-10-02 (dépendances, en-têtes, secrets, essais ciblés sur la vraie base) ; aucun audit externe ni certification n’est revendiqué.

Article 14. Responsabilité, droit applicable

La responsabilité de chaque partie est régie par les CGU (article 10). Le présent accord est soumis au droit français ; la juridiction compétente est celle des CGU (article 13).

Article 15. Évolution de l’accord

WINAITY peut modifier le présent accord pour suivre l’évolution du Service ou de la réglementation. Les clients sont informés de toute modification substantielle avant sa prise d’effet et peuvent résilier sans frais s’ils ne l’acceptent pas (même règle que l’article 12 des CGU). La version en vigueur porte sa date de dernière mise à jour.

Signature et acceptation

Pour WINAITY : WINVEST CAPITAL, présidente, représentée par son président, Sébastien Bachellier.

Pour le Client : acceptation du présent accord par l’acceptation des CGU lors de l’inscription.

Version en vigueur au : 9 octobre 2026.

Annexe 1. Description du traitement

Durées de conservation

Annexe 2. Sous-traitants ultérieurs et destinataires

A. Sous-traitants ultérieurs de WINAITY pour les Données du Client (autorisation générale de l’article 8)

B. Sous-traitants ultérieurs possibles selon la configuration du service (non utilisés en service à la date de ce texte : le service envoie ses e-mails par Amazon SES)

C. Services que le Client choisit de connecter à ses agents (pas des sous-traitants de WINAITY, article 8.4)

D. Destinataires de données de compte, hors du périmètre du présent accord (WINAITY est responsable de traitement ; rappelés pour information, voir la politique de confidentialité)

Annexe 3. Mesures techniques et organisationnelles

Chaque ligne dit l’état réel. « En place » signifie établi par le code ou par un relevé fait sur le serveur.

Article 1. Purpose and definitions

1.1. This agreement sets out the terms on which WINAITY processes, on the Customer’s behalf, the personal data described in Annex 1 as part of the WINAITY AI service (the “Service”), a conversational-agent platform whose general terms of use (the “Terms”) are published on the website.

1.2. It supplements the Terms and forms an integral part of them: the Customer accepts it by accepting the Terms when signing up. In case of conflict on the protection of personal data, this agreement prevails.

1.3. “Customer Data”: the personal data contained in (a) conversations between end users and the agents the Customer deploys, through any channel, including the replies that members of its team may have written to those people themselves from the Service, (b) the documents the Customer imports into its agents’ knowledge bases, including the content of public web pages of a site whose address it gives and that the Service reads at its request, respecting that site’s robots.txt file, (c) the agents’ instructions and settings. “Controller”, “processor”, “sub-processor” and “personal data breach” have the meaning given in the GDPR.

Article 2. Roles

2.1. For Customer Data, the Customer is the controller and WINAITY the processor. The Customer alone determines the purposes and remains the contact point for data subjects.

2.2. WINAITY is a controller for its own processing, which falls outside this agreement: user accounts and sign-in, billing and quota alerts by e-mail, security and administration logs, website audience measurement. They are described in the privacy policy.

2.3. The Customer warrants that it has a legal basis for the processing it entrusts, that it informs data subjects (in particular that they are speaking to an automated agent), and that it does not entrust to the Service data in the special categories of Article 9 GDPR without having assessed its lawfulness and put suitable safeguards in place.

Article 3. Term

This agreement applies from subscription to the Service (including the free plan) until Customer Data has been completely deleted under Article 12. Articles 6, 11, 12 and 14 survive for as long as WINAITY holds Customer Data.

Article 4. Nature, purposes, data and data subjects

The nature and purposes of the processing, the categories of data and data subjects, and retention periods are set out in Annex 1. The processing consists of receiving people’s messages, having the Customer’s agents handle them (language model, search of its knowledge bases, tools it has connected), returning the answer through the original channel, keeping the history and what derives from it for the Customer, letting the members of its team read the conversations and export them from the dashboard, and giving it the tools to view, export and erase it. It has no other purpose.

Article 5. Customer instructions

5.1. WINAITY processes Customer Data only on the Customer’s documented instructions. These are: this agreement, the Terms, the configuration the Customer gives the Service (agents, knowledge bases, channels, tools, guardrails, retention periods), its use of the dashboard and the API, including the actions of its members on the conversations (exporting, correcting an answer of the agent).

5.2. WINAITY informs the Customer immediately, by e-mail to the space owner, if, in its opinion, an instruction infringes the GDPR or other data protection provisions.

5.3. WINAITY does not use Customer Data for its own purposes. In particular it does not use it to train or fine-tune a model: the Service runs models on WINAITY’s own infrastructure, with no learning in production, and the capture of conversations into a fine-tuning dataset is disabled.

Article 6. Confidentiality

WINAITY ensures that the persons authorised to process Customer Data are bound by confidentiality. Access to the servers and databases is restricted to WINAITY’s authorised staff, who are bound by a duty of confidentiality.

Article 7. Security

WINAITY applies the technical and organisational measures described in Annex 3, appropriate to the risk (Article 32 GDPR). Annex 3 states what is in place and what is not; it claims no certification. It is reviewed whenever the Service changes notably.

Article 8. Sub-processors

8.1. The Customer gives WINAITY a general authorisation to use the sub-processors listed in Annex 2, part A, for the purposes described there.

8.2. WINAITY informs the Customer of any addition or replacement of a sub-processor, by e-mail to the space’s owner and administrators and by updating the published Annex 2, at least 30 days beforehand. The Customer may object on reasonable data-protection grounds within that period; failing agreement, it may terminate the affected part of the Service without charge.

8.3. WINAITY imposes on each sub-processor data protection obligations equivalent to those of this agreement, by a contract that adopts the provider’s data processing terms, and remains liable to the Customer for their performance.

8.4. The services the Customer itself chooses to connect to its agents (messaging apps, mailbox, connectors, MCP servers, agent-handover tool) are not WINAITY’s sub-processors: the Customer chooses and configures them and holds its own terms with them; WINAITY passes them what the agent sends, on the Customer’s instruction. They are listed in Annex 2, part C.

Article 9. Transfers outside the European Union

9.1. The servers that run the application, its databases and the AI model are located in France, in WINAITY’s premises. The identity server and the sending of e-mails are hosted by Amazon Web Services, in the Europe (Paris) region. WINAITY does not arrange any transfer of Customer Data outside the European Union, except as follows from using providers whose parent company is established outside the Union: Cloudflare, Inc. for traffic routing, and Amazon Web Services for the identity server and the sending of e-mails. For these providers, the transfer relies on the safeguards provided by their data processing terms (EU–US Data Privacy Framework or standard contractual clauses).

9.2. For the services the Customer connects itself (Annex 2, part C), the Service sets no region: messages go through the operators’ interfaces, which may process them outside the European Union under their own terms. The Customer takes this into account in its own assessments.

Article 10. Assistance to the Customer

10.1. Data subject rights. The Service gives the Customer, in its space, the means to answer people’s requests (Articles 15 to 21 GDPR):

• access and portability: a JSON export of everything an erasure would delete (rows of each table of the space, the full transcript of each conversation, the dashboard’s list of conversations and the replies of the Customer’s members, long-term memory, scheduled reminders, quality-evaluation traces), within 20 seconds and up to 20 MB; beyond that, no truncated file is produced; a CSV export of conversations; a CSV or JSON export of the conversations from the dashboard, with the text of the messages, reserved to the space’s administrators, limited to 500 conversations per export;
• erasure: real, final deletion, step by step, with automatic resumption after a failure, including the dashboard’s list of conversations and the replies of the Customer’s members; the person may also request it themselves (the “forget me” command on WhatsApp, Messenger, Instagram, Telegram and by e-mail; the “Erase this conversation” menu of the widget);
• consent: a register of the consents the Customer has collected;
• storage limitation: retention periods that can be set per space.

Exporting and erasing a person is reserved to the space’s administrators, logged under a pseudonym, and limited to 60 requests per minute. These tools are described in the Service documentation, published at https://ai-docs.winaity.com.

10.2. What erasure does not delete, which the Customer must know to answer people: the signed logs (the person appears only under a pseudonym; the tool-call log may keep excerpts of questions in which names are not masked); the conversation billing register (thread key erased, row kept 13 months); the transcript passed to the agent-handover tool at escalation; the escalation tickets and the contact-form answers sent by e-mail (contact details and messages left), kept in their recipients’ mailboxes and by the e-mail delivery provider; what messaging operators or the Customer’s mailbox keep on their side; the local copy in the visitor’s browser (30 days of inactivity); old model-call traces that have no thread, which go with the retention period; old conversations also written by another customer, kept so as never to erase another’s data (the request is then flagged “partial”); the server backups, in which an erased item may remain for up to three months before disappearing through rotation (Annex 3, line 13).

10.3. Requests received directly. If a person contacts WINAITY about Customer Data, WINAITY does not answer on the substance and forwards the request to the Customer within 5 working days.

10.4. Other assistance. WINAITY assists the Customer, within the limits of the information it holds, with security of processing, breach notification (Article 11), impact assessments and prior consultations, on written request. Reasonable assistance is included in the price of the Service; assistance beyond that is subject to a prior quotation.

Article 11. Personal data breach

11.1. WINAITY notifies the Customer of any personal data breach affecting Customer Data without undue delay after becoming aware of it and at the latest within 48 hours, by e-mail to the space’s owner and administrators, at the address of their accounts.

11.2. The notification describes, to the extent WINAITY knows them: the nature of the breach, the categories and approximate number of data subjects and records concerned, the likely consequences, and the measures taken or proposed. Missing information is supplied as it becomes available.

11.3. Notifying the supervisory authority and data subjects is the Customer’s responsibility as controller. WINAITY helps it do so.

Article 12. Fate of data at the end of the contract

12.1. Deletion at the Customer’s request. The space’s owner may delete it: deletion purges every store (Redis, the Neo4j graph, long-term memory, the vector database, conversation threads, the relational database including the space’s audit log) and then the space’s row, cancels the space’s Stripe subscriptions, deletes the space’s organization in the identity service, and reserves the space address (hash only). It can be replayed if a step fails. It is done today through the API (DELETE /api/tenants/{id}), not through a dashboard button; otherwise the Customer requests it in writing at support@winaity.com and WINAITY carries it out within one month (Article 12(3) GDPR).

12.2. Return. Before deletion, the Customer may export conversations (CSV), a person’s data (JSON) and the space’s audit log; the contents of its knowledge bases and its configurations remain what it supplied itself: the Service offers no bulk export of these two items.

12.3. What remains after the space is deleted:

• the members’ sign-in accounts in the identity service (they remain valid for signing in; only the space’s organization is deleted);
• the deletion trace (space identifier and outcome of the deletion for each store, no name or personal data);
• the SHA-256 hash of the space address;
• the transcript passed to the agent-handover tool at escalation, kept by that tool;
• the copies held by messaging operators and by the Customer’s mailbox;
• quality-evaluation traces that no space can claim with certainty, which follow the platform’s default period;
• accounting records of subscriptions, kept ten years by WINAITY as controller (Article L.123-22 of the French Commercial Code);
• the server backups: an item that has been deleted may remain in them for up to three months (Annex 3, line 13), then disappears through backup rotation.

12.4. Without a deletion request. Cancelling a paid subscription returns the space to the free plan; it does not delete Customer Data. It stays subject to the retention periods of Annex 1 as long as the space exists. The Service does not automatically delete an inactive or cancelled space.

Article 13. Audits and documentation

13.1. WINAITY makes available to the Customer the information necessary to demonstrate compliance with this agreement: this agreement and its annexes kept up to date, the technical compliance report the Service generates at an administrator’s request (data isolation, signed logs, retention, access rights, durations; the report is structured on known frameworks but is not a certification), the space’s audit log and its export.

13.2. The Customer may have an audit carried out, by itself or by a third party bound by confidentiality, on written notice of 30 days, at most once a year, except in an emergency linked to a breach, during business hours, without access to other customers’ data, at the Customer’s expense.

13.3. WINAITY carried out an internal security review on 2026-10-02 (dependencies, headers, secrets, targeted tests on the real database); no external audit or certification is claimed.

Article 14. Liability, governing law

Each party’s liability is governed by the Terms (Article 10). This agreement is governed by French law; the competent court is the one set by the Terms (Article 13).

Article 15. Changes to the agreement

WINAITY may amend this agreement to follow changes in the Service or in regulation. Customers are informed of any substantial change before it takes effect and may terminate without charge if they do not accept it (same rule as Article 12 of the Terms). The version in force carries its last-updated date.

Signature and acceptance

For WINAITY: WINVEST CAPITAL, president, represented by its president, Sébastien Bachellier.

For the Customer: acceptance of this agreement by accepting the Terms when signing up.

Version in force on: 9 October 2026.

Annex 1. Description of the processing

Retention periods

Annex 2. Sub-processors and recipients

A. WINAITY’s sub-processors for Customer Data (general authorisation, Article 8)

B. Possible sub-processors depending on service configuration (not used in service on the date of this text: the Service sends its e-mails through Amazon SES)

C. Services the Customer chooses to connect to its agents (not WINAITY sub-processors, Article 8.4)

D. Recipients of account data, outside the scope of this agreement (WINAITY is controller; listed for information, see the privacy policy)

Annex 3. Technical and organisational measures

Each line states the actual state. “In place” means established by the code or by a check made on the server.