Accord de sous-traitance des données personnelles

1. Objet et rôles

Cet accord lie l’organisation qui ouvre un espace Eunoma (« le Client ») et ANIMA, société par actions simplifiée unipersonnelle (SASU), 35 rue Saint-Placide, 75006 Paris (« Anima »). Il reprend les exigences de l’article 28 du règlement (UE) 2016/679 (RGPD).

Pour les données personnelles que le Client met dans son espace, le Client est responsable du traitement et Anima est sous-traitant : elle les traite pour le compte du Client, et seulement pour lui.

Cet accord ne couvre pas les données dont Anima décide elle-même (le compte, la facturation, la sécurité) : elles relèvent de la politique de confidentialité, où Anima est responsable de traitement.

L’accord fait partie du contrat dès l’ouverture de l’espace. Il complète les conditions générales. En cas de contradiction sur les données personnelles, il l’emporte. Pour une version signée, écrivez à [email protected].

2. Ce qui est traité

L’objet, la durée, la nature et la finalité du traitement, les types de données et les catégories de personnes sont décrits à l’annexe 1.

Le traitement dure autant que l’abonnement, puis jusqu’à la suppression ou la restitution des données (clause 10).

3. Instructions du Client (art. 28, 3, a)

Anima ne traite les données que sur instruction documentée du Client. Les instructions sont : cet accord, les conditions générales, et l’usage que le Client fait du service (ce qu’il saisit, ce qu’il règle, ce qu’il demande).

Cela vaut aussi pour les transferts de données vers un pays hors de l’Union européenne : Anima n’en fait que sur instruction du Client, ou comme la clause 7 le prévoit.

Si le droit de l’Union ou d’un État membre oblige Anima à traiter les données autrement, elle en informe le Client avant le traitement, sauf si ce droit l’interdit pour un motif important d’intérêt public.

Si Anima estime qu’une instruction viole le RGPD ou une autre règle de protection des données, elle en informe immédiatement le Client.

Anima n’utilise pas les données du Client pour ses propres fins, ni pour entraîner un modèle.

4. Confidentialité des personnes autorisées (art. 28, 3, b)

Seules les personnes d’Anima qui en ont besoin accèdent aux données. Chacune s’est engagée à la confidentialité, ou y est tenue par une obligation légale appropriée.

5. Sécurité (art. 28, 3, c)

Anima prend toutes les mesures que demande l’article 32 du RGPD, compte tenu de l’état des connaissances, des coûts, de la nature du traitement et des risques pour les personnes. Les mesures actuelles sont à l’annexe 2. Anima les revoit régulièrement et ne les affaiblit pas.

6. Autres sous-traitants (art. 28, 3, d)

Le Client donne à Anima une autorisation générale de recourir à d’autres sous-traitants (les « sous-traitants ultérieurs »). Ceux qui sont autorisés à la date de cet accord figurent à l’annexe 3.

• Anima informe le Client de tout ajout ou remplacement au moins trente jours avant, par e-mail ou dans l’application.
• Le Client peut s’y opposer, pour un motif raisonnable lié à la protection des données, pendant ce délai. À défaut de solution, il peut résilier son abonnement sans frais.
• Anima impose à chaque sous-traitant ultérieur, par contrat, les mêmes obligations de protection que celles de cet accord.
• Si un sous-traitant ultérieur ne les respecte pas, Anima reste pleinement responsable envers le Client de l’exécution de ses obligations.

7. Transferts hors de l’Union européenne

Les données de l’espace sont hébergées dans l’Union européenne. Un sous-traitant ultérieur peut être établi hors de l’Union, ou y accéder à des données, ou les y traiter. Il ne le fait qu’avec les garanties du chapitre V du RGPD. Ce sont une décision d’adéquation, ou les clauses contractuelles types de la Commission européenne (décision d’exécution (UE) 2021/914), avec les mesures complémentaires utiles.

Les cas concernés sont indiqués à l’annexe 3. Anima en remet une copie des garanties au Client qui le demande.

8. Droits des personnes (art. 28, 3, e)

Anima aide le Client à répondre aux demandes des personnes qui exercent leurs droits : accès, rectification, effacement, limitation, portabilité, opposition. Elle le fait par des mesures techniques et organisationnelles appropriées, dans toute la mesure du possible.

Le service permet au Client de retrouver, corriger, exporter et supprimer les données de son espace. Si une personne s’adresse directement à Anima, Anima ne répond pas sur le fond : elle transmet la demande au Client dans les meilleurs délais.

9. Aide à la conformité du Client (art. 28, 3, f)

Anima aide le Client à respecter les articles 32 à 36 du RGPD, selon la nature du traitement et les informations dont elle dispose.

• Violation de données (art. 33 et 34). Anima prévient le Client dans les meilleurs délais après en avoir pris connaissance. Elle lui donne ce qu’elle sait : la nature de la violation, les catégories et le nombre approximatif de personnes et de données, les conséquences probables, les mesures prises ou proposées.
• Analyse d’impact et consultation préalable (art. 35 et 36). Anima fournit les informations dont le Client a besoin pour les mener.
• Sécurité (art. 32). Voir la clause 5 et l’annexe 2.

10. Fin du contrat : suppression ou restitution (art. 28, 3, g)

À la fin du service, Anima supprime toutes les données personnelles de l’espace, ou les renvoie au Client, au choix du Client. Elle détruit ensuite les copies existantes, sauf si le droit de l’Union ou d’un État membre exige de les garder.

• Le Client peut exporter son registre, ses réponses et ses évaluations à tout moment. À la fin de l’abonnement, l’espace reste lisible et exportable 30 jours, puis il est supprimé dans les 60 jours suivants.
• Le Client indique son choix (restitution ou suppression) pendant les 30 jours. Sans réponse, Anima supprime les données dans le délai qui suit.

11. Preuves et audits (art. 28, 3, h)

Anima met à la disposition du Client toutes les informations nécessaires pour démontrer qu’elle respecte l’article 28. Elle permet les audits, inspections comprises, que le Client ou un auditeur qu’il mandate réalise, et elle y contribue.

• L’auditeur n’est pas un concurrent d’Anima et est tenu au secret.
• Le Client prévient Anima dans un délai raisonnable, et l’audit se déroule en temps utile, sans perturber le service. Il ne donne pas accès aux données des autres clients.
• Anima répond d’abord par ses documents et ceux de ses sous-traitants. Un audit sur place n’est nécessaire que si cela ne suffit pas, ou après une violation de données.
• Les frais de l’audit sont à la charge du Client, sauf s’il révèle un manquement grave d’Anima.

12. Registre et coopération

Anima tient le registre des catégories d’activités de traitement qu’elle mène pour le compte du Client (art. 30, 2). Elle coopère avec l’autorité de contrôle qui le demande (art. 31).

13. Responsabilité, droit applicable

La responsabilité d’Anima est celle des conditions générales. Cet accord est soumis au droit français ; les litiges relèvent du tribunal de commerce de Paris.

Questions sur cet accord : [email protected].

Annexe 1 : description du traitement

Objet

Fournir le service Eunoma : tenir le registre des outils et des systèmes du Client, les qualifier au regard des référentiels qu’il active, confier et suivre des actions, répondre à ses questions par un chat.

Durée

La durée de l’abonnement, puis la restitution ou la suppression des données (clause 10).

Nature

Hébergement, stockage, consultation, calcul des évaluations, envoi d’e-mails (questionnaires, actions, relances), lecture par un modèle de langage des textes que le Client envoie, export.

Finalité

La seule fourniture du service au Client.

Types de données

Nom, adresse e-mail et rôle des personnes de l’espace et des personnes sollicitées. Réponses, pièces jointes, messages du chat, journal des actions. Toute donnée personnelle contenue dans les textes et documents que le Client dépose.

Catégories de personnes

Les membres de l’espace (salariés et prestataires du Client). Les personnes qui répondent par un lien. Les personnes citées dans les documents ou le registre.

Données sensibles

Eunoma n’est pas faite pour en traiter. Le Client évite de déposer des données de santé, d’opinion, biométriques ou de condamnations pénales, sauf si l’objet qu’il suit l’exige.

Annexe 2 : mesures de sécurité

• Cloisonnement. Chaque espace est isolé : la base applique des règles d’accès par espace et par rôle (administrateur, contributeur, lecteur). Une personne ne voit que les espaces dont elle est membre.
• Connexion. Mot de passe, code envoyé par e-mail, ou compte Microsoft ou Google. Les mots de passe ne sont gardés que sous forme d’empreinte.
• Clés et liens. Les clés d’accès, les codes à usage unique et les jetons des liens ne sont gardés que sous forme d’empreinte. Un code vit une heure et cinq essais ; une session de lien dure douze heures ; un lien expire. Les pages ouvertes par un lien ne sont ni gardées en mémoire ni indexées.
• Échanges. Les communications entre le navigateur et le service sont chiffrées. L’application pose des en-têtes de protection (interdiction d’intégration dans une page tierce, type de contenu, politique de référent).
• Modèle de langage. L’envoi de textes libres, de pièces et de l’entretien au modèle est un réglage de l’espace, éteint par défaut, que seul un administrateur peut allumer. Chaque demande exige que les données ne soient ni collectées ni réutilisées.
• Traçabilité. Les actions sensibles d’un espace sont inscrites à son journal : qui a fait quoi, quand.
• Secrets. Les clés des services tiers sont gardées dans l’hébergeur, jamais dans le code.
• Environnements. Le test et la production sont séparés.
• Hébergement. L’application et la base sont hébergées dans l’Union européenne.

Annexe 3 : sous-traitants ultérieurs autorisés

• Supabase

  Rôle

  Base de données, connexion des personnes, pièces jointes.

  Données concernées

  Les comptes, et tout le contenu des espaces : registre, réponses, pièces, conversations, journal.

  Où

  Union européenne (région de Paris). Le fournisseur, avec qui le contrat est passé, est établi à Singapour.

  Garanties

  Clauses contractuelles types de la Commission européenne (décision d’exécution (UE) 2021/914) pour tout accès depuis un pays hors de l’Union.

• Railway

  Rôle

  Hébergement et exécution de l’application.

  Données concernées

  Ce que l’application traite quand elle répond : le contenu des espaces, en transit et en mémoire, et les journaux techniques.

  Où

  Union européenne. Le fournisseur est établi aux États-Unis.

  Garanties

  Clauses contractuelles types de la Commission européenne (décision d’exécution (UE) 2021/914) pour tout accès depuis un pays hors de l’Union.

• OpenRouter, Inc.

  Rôle

  Intermédiaire qui achemine les demandes vers le modèle de langage configuré.

  Données concernées

  Les textes envoyés au modèle : messages du chat, documents joints, passages du registre consultés pour répondre.

  Où

  Hors de l’Union européenne (États-Unis).

  Garanties

  Clauses contractuelles types de la Commission européenne (décision d’exécution (UE) 2021/914) pour tout accès depuis un pays hors de l’Union. Chaque demande exige que les données ne soient ni collectées ni réutilisées.

• Microsoft (Azure)

  Rôle

  Exécution du modèle de langage configuré : il lit les textes envoyés et répond.

  Données concernées

  Les mêmes textes, le temps de la réponse.

  Où

  Union européenne : le modèle s’exécute dans une région Azure de l’Union.

  Garanties

  Chaque demande exige que les données ne soient ni collectées ni réutilisées. Le traitement a lieu dans l’Union.

• Stripe

  Rôle

  Paiement par carte et facturation.

  Données concernées

  Le nom de l’espace, le nom et l’e-mail de la personne qui paie, l’adresse de facturation, le numéro de TVA s’il est donné, le nombre d’objets facturés. Le numéro de carte se saisit chez Stripe : Eunoma ne le voit pas et ne le garde pas.

  Où

  Union européenne pour le contrat (Irlande) ; des traitements ont lieu aux États-Unis.

  Garanties

  Clauses contractuelles types de la Commission européenne (décision d’exécution (UE) 2021/914) pour tout accès depuis un pays hors de l’Union.

• Resend

  Rôle

  Envoi des e-mails du service.

  Données concernées

  L’adresse e-mail et le nom du destinataire, et le message : code de connexion, invitation, questionnaire, action confiée, relance, rappel de fin d’essai.

  Où

  Hors de l’Union européenne (États-Unis).

  Garanties

  Clauses contractuelles types de la Commission européenne (décision d’exécution (UE) 2021/914) pour tout accès depuis un pays hors de l’Union.

Anima informe le Client de tout changement à cette liste, comme la clause 6 le prévoit.