Accord de traitement des données

1. Objet, prise d'effet et durée

Le présent accord définit les conditions dans lesquelles le sous-traitant traite, pour le compte du responsable de traitement, les données personnelles contenues dans les contenus de son organisation. Il prend effet lorsqu'il est accepté au nom de l'organisation : par l'utilisateur qui la crée, qui coche une case visant les CGU, le présent accord et les CGV et déclare avoir le pouvoir de l'engager ; pour une organisation créée auparavant, par l'un de ses administrateurs, depuis l'écran « Conditions » de l'administration. La version acceptée, sa date et son auteur sont enregistrés. Il s'applique tant que l'organisation dispose d'un espace dans le service, puis jusqu'à l'achèvement des opérations prévues à l'article « Fin des traitements ».

2. Description des traitements

3. Instructions du responsable de traitement

Le sous-traitant traite les données uniquement sur instruction documentée du responsable de traitement. Ces instructions sont constituées des CGU, du présent accord et de l'usage que l'organisation fait des fonctions du service (paramétrage, invitations, envois, exports). Si une instruction lui paraît contraire à la réglementation, le sous-traitant en informe immédiatement le responsable de traitement. Il ne traite pas les données à d'autres fins, sauf obligation légale, dont il informe alors le responsable de traitement, à moins que la loi ne l'interdise.

4. Confidentialité

Les personnes autorisées à traiter les données chez le sous-traitant sont soumises à une obligation de confidentialité. Leur accès aux contenus est limité aux cas prévus par les CGU : accès d'assistance exceptionnel (lecture seule, motivé, limité à 4 heures au plus et aux catégories de données déclarées, journalisé et signalé aux administrateurs de l'organisation), exploitation technique, sécurité, restauration ou obligation légale.

5. Sécurité des traitements

Le sous-traitant met en œuvre les mesures techniques et organisationnelles suivantes (article 32 du RGPD), qu'il peut faire évoluer sans en réduire le niveau :

• isolation des données par organisation, droits d'accès vérifiés par le serveur à chaque action ;
• accès d'une partie externe limité au contrat qui lui est adressé, et d'un destinataire d'une ouverture sécurisée au document qui lui est adressé, par un lien personnel et un code à usage unique ;
• échanges chiffrés (HTTPS) ; documents et secrets chiffrés au repos (AES-256) ; mots de passe, codes et liens à usage unique conservés sous forme d'empreinte ;
• journal d'audit chaîné par empreintes ; limitation des tentatives de connexion et de saisie des codes ;
• accès d'assistance en lecture seule, motivé, limité dans le temps et journalisé ;
• sauvegardes quotidiennes chiffrées, conservées 15 jours, avec une procédure de restauration documentée.

6. Sous-traitants ultérieurs

Le responsable de traitement autorise de manière générale le recours à des sous-traitants ultérieurs. La liste en vigueur figure dans la politique de confidentialité (article « Destinataires et sous-traitants ») : OVHcloud (hébergement, Allemagne), Twilio (courriels ; SMS des codes de signature, lorsque le responsable de traitement active le code SMS de signature, et des codes d'accès de l'ouverture sécurisée ; États-Unis), Mistral AI (intelligence artificielle, France) et Anthropic (intelligence artificielle, États-Unis). Le responsable de traitement autorise le recours à l'un ou l'autre de ces deux fournisseurs d'intelligence artificielle, choisi par l'éditeur pour l'ensemble du service ; la lecture des PDF importés comme modèles est confiée à Mistral AI quel que soit ce choix.

Le sous-traitant informe le responsable de traitement, par courriel à ses administrateurs : de tout ajout ou remplacement envisagé d'un sous-traitant ultérieur, au moins trente jours avant sa mise en œuvre, en publiant une nouvelle version de la liste ; de tout passage d'un fournisseur d'intelligence artificielle à l'autre, au moins 30 jours avant qu'il prenne effet ; sauf urgence de sécurité. Le responsable de traitement peut s'y opposer pour un motif légitime ; à défaut d'accord, il peut cesser d'utiliser le service. Le sous-traitant impose à ses sous-traitants ultérieurs des obligations de protection des données équivalentes et demeure responsable de leur exécution.

7. Transferts hors de l'Union européenne

Les données sont hébergées dans l'Union européenne. Les seuls transferts hors de l'Union européenne sont ceux liés aux sous-traitants ultérieurs établis aux États-Unis (Twilio pour les courriels et les SMS ; Anthropic s'il est sélectionné), encadrés par les clauses contractuelles types de la Commission européenne prévues par leurs accords de traitement des données.

8. Droits des personnes concernées

Le sous-traitant aide le responsable de traitement, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes d'exercice des droits : exports et archive complète réservés aux administrateurs, modification des contenus dans le service, assistance sur demande. Une demande reçue directement par le sous-traitant est transmise sans délai au responsable de traitement ; le sous-traitant n'y répond pas lui-même, sauf instruction.

9. Violations de données

Le sous-traitant notifie au responsable de traitement toute violation de données personnelles sans délai injustifié après en avoir pris connaissance. La notification décrit, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, ses conséquences probables et les mesures prises ou envisagées. Les informations peuvent être communiquées de manière échelonnée.

10. Assistance et audits

Le sous-traitant aide le responsable de traitement à respecter les obligations des articles 32 à 36 du RGPD (sécurité, notification des violations, analyse d'impact, consultation préalable), compte tenu de la nature du traitement et des informations dont il dispose. Il met à sa disposition les informations nécessaires pour démontrer le respect de ses obligations et permet la réalisation d'audits, y compris d'inspections, par le responsable de traitement ou par un auditeur qu'il mandate, tenu à la confidentialité, moyennant un préavis raisonnable.

11. Fin des traitements

Au terme de l'utilisation du service, le responsable de traitement récupère ses données au moyen de l'archive complète de l'organisation (données structurées et fichiers, dont les exemplaires signés et les dossiers de preuve) et des autres exports ; il lui appartient de les conserver pour la durée que la loi lui impose. Un administrateur demande ensuite, depuis le service, la suppression de l'organisation : elle est programmée 30 jours plus tard, les administrateurs reçoivent un rappel 7 jours avant l'échéance, et tout administrateur peut l'annuler d'ici là. À l'échéance, le sous-traitant supprime définitivement, en une seule opération, l'ensemble des données de l'organisation, y compris les contrats signés et leurs preuves, sans en conserver de copie, et en avertit les membres par courriel. Subsistent seulement, hors des contenus de l'organisation : les comptes de ses membres (les comptes créés par une invitation jamais acceptée, et attendus nulle part ailleurs, sont anonymisés) ; dans le journal de la plateforme, la trace de la demande, de l'annulation éventuelle et de la suppression (nom de l'organisation, auteur de la demande, date, adresse IP et navigateur, compteurs) et les autres événements de plateforme qui la concernent (accès d'assistance avec leur motif, suspensions) ; le registre des sceaux (empreinte de chaque exemplaire signé, date de scellement et nombre de signatures, sans nom ni référence), qui permet de continuer à authentifier les exemplaires remis aux signataires ; les sauvegardes, effacées au terme de leur durée de conservation (15 jours).

12. Responsabilité

Chaque partie répond des obligations que lui impose le RGPD. Les stipulations des CGU relatives à la responsabilité s'appliquent au présent accord, dans la mesure permise par la loi.

13. Contact

Pour toute question sur ce document, sur le service ou sur vos données personnelles, écrivez à l'éditeur :

• Par courriel : fj@scale2sell.company
• Par téléphone : +33 6 37 74 29 36
• Par courrier : Saint Eloi Holding, 1 rue Marius Petipa, 13009 Marseille, France