Accord de traitement des données

1. Parties, rôles et durée

Client / donneur d’ordre : [DÉNOMINATION JURIDIQUE DU CLIENT], [ADRESSE DU CLIENT], [NUMÉRO D’ENTREPRISE DU CLIENT], représenté par [NOM ET FONCTION]. Contact pour la protection des données : [CONTACT CONFIDENTIALITÉ DU CLIENT]. Le client est responsable du traitement des données personnelles fournies, ou sous-traitant pour le compte d’un responsable ayant autorisé cette sous-traitance ultérieure.

Fournisseur / sous-traitant : [DÉNOMINATION JURIDIQUE], exerçant sous le nom anonimize, [RUE, NUMÉRO, CODE POSTAL, COMMUNE, PAYS], [NUMÉRO D’ENTREPRISE], [NUMÉRO DE TVA, LE CAS ÉCHÉANT], représenté par [NOM ET FONCTION]. Contact confidentialité et sécurité : [E-MAIL CONFIDENTIALITÉ], [E-MAIL SÉCURITÉ] et [NUMÉRO DE TÉLÉPHONE].

Cet accord encadre le traitement du contenu des documents et des données personnelles associées pour le service décrit à l’annexe A. Lorsque le client est lui-même sous-traitant, les obligations valent également comme dispositions de sous-traitance ultérieure ; le client garantit son habilitation à transmettre les instructions. Les termes tels que données personnelles, personne concernée et violation ont le sens que leur donne le RGPD.

L’accord s’applique à compter de l’acceptation enregistrée tant que le sous-traitant traite des données personnelles pour le compte du client, y compris les opérations convenues après la résiliation. Il prévaut sur toute disposition commerciale contradictoire concernant ce traitement. Les finalités propres de gestion des comptes, de facturation ou d’administration légalement obligatoire sont exclues de cette mission et doivent être encadrées séparément de manière transparente et licite.

2. Instructions documentées et confidentialité

Le sous-traitant traite les données personnelles uniquement pour la mission de l’annexe A et selon les instructions documentées du client. Celles-ci comprennent les paramètres confirmés, les actions des utilisateurs autorisés et les instructions complémentaires convenues par écrit. Une instruction de transfert vers un pays tiers doit respecter séparément le chapitre V du RGPD. Le sous-traitant n’utilise pas le contenu des documents pour la publicité, la vente ou l’entraînement de ses propres modèles ou de modèles externes.

Si le droit de l’Union ou d’un État membre impose un traitement, le sous-traitant informe le client de cette obligation légale avant le traitement, sauf si ce droit l’interdit pour des motifs importants d’intérêt public. Le sous-traitant informe immédiatement le client si, selon lui, une instruction enfreint le RGPD ou d’autres règles applicables de protection des données. Les parties clarifient ou corrigent cette instruction ; le traitement concerné est suspendu si nécessaire.

Seules les personnes ayant besoin des données pour la mission obtiennent un accès approprié. Elles sont liées par une obligation contractuelle ou légale de confidentialité, reçoivent des instructions adaptées et traitent les données sous l’autorité du sous-traitant. Cette confidentialité continue de s’appliquer après la fin de leurs fonctions. L’assistance n’est pas automatiquement autorisée à consulter le contenu des documents.

3. Sécurité et assistance au client

Le sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées conformément à l’article 32 du RGPD, en tenant compte des risques, de la nature et du contexte du traitement, de l’état des connaissances et des coûts de mise en œuvre. L’annexe B décrit les possibilités techniques et les points opérationnels à définir avant le traitement. Le niveau requis comprend la confidentialité, l’intégrité, la disponibilité, la résilience et un rétablissement approprié après un incident. L’efficacité des mesures est évaluée régulièrement.

Le sous-traitant ne réduit pas le niveau de sécurité convenu sans accord préalable. Une mesure peut être remplacée par une mesure dont l’équivalence ou le renforcement est démontré. Le sous-traitant signale les changements pertinents dont le client a besoin pour son analyse des risques. Une description du code source ne constitue pas une déclaration selon laquelle toutes les mesures sont activées dans un environnement d’hébergement donné.

Compte tenu de la nature du traitement et des informations disponibles, le sous-traitant aide à répondre aux demandes d’accès, de rectification, d’effacement, de limitation, de portabilité ou d’opposition. Toute demande reçue directement est transmise sans retard injustifié au contact confidentialité du client. Le sous-traitant n’y répond pas de sa propre initiative au nom du client, sauf sur instruction du client ou si la loi l’exige.

Le sous-traitant fournit en temps utile les informations techniques disponibles et une coopération raisonnable pour les obligations du client prévues aux articles 32 à 36 du RGPD, dont la sécurité, la notification des violations, les analyses d’impact relatives à la protection des données et la consultation préalable de l’autorité de contrôle. Au besoin, les parties définissent le canal sécurisé, les contacts et un délai de réponse compatible avec les délais légaux. Une rémunération éventuellement convenue à l’avance pour une assistance exceptionnellement supplémentaire ne peut empêcher ni retarder l’assistance légalement requise.

4. Sous-traitants ultérieurs et transferts internationaux

Le client ne donne une autorisation générale pour les sous-traitants ultérieurs identifiés à l’annexe C et leurs activités décrites qu’après finalisation et acceptation écrite ou électronique. Un nom de marque mentionné ou un champ encore vide ne vaut pas autorisation d’une personne morale inconnue. La liste indique toujours le nom, le rôle, le pays d’établissement, les lieux de traitement et les transferts pertinents.

Avant l’ajout ou le remplacement d’un sous-traitant ultérieur, le sous-traitant informe directement le client par écrit, en fournissant suffisamment d’informations et un délai raisonnable pour formuler une objection motivée : [DÉLAI DE NOTIFICATION ET D’OBJECTION — À COMPLÉTER AVANT ACCEPTATION]. Le nouveau sous-traitant ultérieur n’obtient aucun accès avant l’achèvement de cette procédure. Toute objection fondée sur la protection des données est examinée ensemble. Si aucune solution appropriée n’est possible, le client peut mettre fin au traitement concerné ou à la partie concernée du service avant sa mise en œuvre, sans frais pour les périodes futures qui ne seront plus fournies.

Le sous-traitant conclut avec chaque sous-traitant ultérieur un accord contraignant imposant les mêmes obligations pertinentes de protection des données, dont une sécurité appropriée. Il vérifie les garanties offertes et reste responsable envers le client de l’exécution des obligations du sous-traitant ultérieur. Sur demande, il fournit les informations nécessaires à l’évaluation de cette chaîne tout en protégeant les autres données confidentielles.

Tout transfert ou accès depuis un pays hors de l’EEE n’a lieu que sur instruction documentée et avec un fondement valable conformément au chapitre V du RGPD, y compris l’évaluation et les mesures supplémentaires requises. La localisation d’un serveur dans l’EEE n’exclut pas à elle seule un accès depuis d’autres pays. Dans la mesure légalement autorisée, le sous-traitant signale les demandes de données des autorités publiques et ne communique que ce qui est légalement exigé.

5. Notification et gestion des violations de données

Le sous-traitant notifie toute violation de données personnelles sans retard injustifié après en avoir pris connaissance à [CONTACT INCIDENTS DU CLIENT] via [CANAL DE NOTIFICATION SÉCURISÉ]. Le circuit de notification et un contact d’escalade joignable hors des heures de bureau sont confirmés avant le traitement. La notification n’est pas reportée jusqu’à la fin de l’enquête.

La notification comprend, dans la mesure connue, la nature de la violation ; les catégories et nombres approximatifs de personnes concernées et d’enregistrements ; le contact ; les conséquences probables ; et les mesures prises ou proposées pour remédier à la violation et en atténuer les effets négatifs. Les informations manquantes sont fournies progressivement sans retard supplémentaire injustifié.

Le sous-traitant prend immédiatement les mesures appropriées pour limiter l’incident, en rechercher la cause et éviter sa répétition. Il conserve les informations pertinentes pour l’enquête et aide le client à évaluer la situation et à effectuer les notifications éventuelles à l’autorité de contrôle et aux personnes concernées. Le client décide de ses notifications légales. Le délai éventuel de 72 heures applicable à la notification par un responsable du traitement à l’autorité de contrôle ne constitue pas un délai de report permettant au sous-traitant d’attendre avant d’avertir le client.

6. Informations, contrôles et audits

Le sous-traitant met à disposition les informations nécessaires pour démontrer le respect de l’article 28 du RGPD. Le client ou un auditeur indépendant mandaté par lui peut réaliser des audits et inspections appropriés. Les parties coordonnent le périmètre, l’exécution sécurisée et un calendrier raisonnable afin de protéger les autres clients et les informations confidentielles.

Un rapport existant ou un examen documentaire peut constituer un premier moyen de contrôle, mais ne remplace pas automatiquement une inspection nécessaire. Une violation concrète, un indice de non-conformité ou une demande d’une autorité de contrôle peut justifier un contrôle accéléré. Les éventuels accords sur les coûts, la confidentialité ou le calendrier ne peuvent rendre impossible l’exercice effectif de ce droit. Les manquements constatés font l’objet d’un plan de correction approprié.

7. Conservation, restitution et suppression

Le client définit les instructions de conservation et de suppression au sein du service. Les résultats et clés de réidentification ont des durées distinctes et configurables. Le réglage actuel par défaut est l’absence de suppression automatique ; choisissez donc délibérément une durée appropriée. Des durées plus courtes peuvent également faire expirer du contenu existant. L’absence de durée automatique n’autorise pas à conserver des données plus longtemps que nécessaire et licite.

À la fin du service, le client choisit entre la restitution des données personnelles encore disponibles dans un format utilisable convenu, suivie de leur suppression, ou leur suppression directe. La période d’export, le délai d’exécution pour les systèmes actifs et la confirmation de suppression sont complétés avant l’acceptation : [PÉRIODE D’EXPORT], [DÉLAI DE SUPPRESSION DES SYSTÈMES ACTIFS] et [MODE DE CONFIRMATION]. Le sous-traitant supprime également ses copies, sauf si une obligation légale concrète de conservation l’en empêche. Dans ce cas, il indique le fondement et la durée restante et limite l’utilisation à cette obligation.

Les sauvegardes et instantanés font l’objet d’une politique distincte à définir : [DURÉE MAXIMALE DE CONSERVATION DES SAUVEGARDES], [SÉCURITÉ ET ACCÈS], [PROCÉDURE DE SUPPRESSION]. Pendant une période résiduelle convenue, les données personnelles restent protégées et ne sont pas utilisées pour le service courant. Lors d’une restauration, les instructions de suppression déjà données sont appliquées à nouveau. Le nettoyage automatique dans l’application n’efface pas à lui seul les sauvegardes existantes ni les copies téléchargées par le client.

Après exécution, le sous-traitant confirme les données supprimées et celles qui restent protégées uniquement en raison d’une obligation légale de conservation ou d’une période résiduelle convenue pour les sauvegardes. La confidentialité, la sécurité, les informations d’audit et la coopération légale restent applicables tant que des données personnelles sont encore présentes.

Annexe A — Mission de traitement

Annexe B — Mesures techniques et organisationnelles

Le fonctionnement technique décrit ci-dessous repose sur le code de l’application. La configuration effective de production et les dispositions opérationnelles encore ouvertes doivent être vérifiées et complétées avant le traitement. La page sur la sécurité en propose une explication accessible.

• Traitement sur le serveur applicatif. Presidio, spaCy et Tesseract réalisent la détection, l’extraction et l’OCR dans l’environnement applicatif. Le texte des documents n’est pas envoyé à un service externe d’IA générative à cette fin. Le texte original atteint toutefois le serveur et y est lisible pendant le traitement ; celui-ci n’a pas lieu uniquement sur l’appareil du client.
• Chiffrement du contenu stocké. L’application utilise Fernet pour les résultats de documents stockés, les clés de réidentification et la mémoire des projets. Cela ne chiffre pas l’intégralité de la base de données : les données des comptes et certaines métadonnées techniques restent gérées par le serveur. Gestion des clés de production, limitation des accès et protection des sauvegardes : [À CONFIRMER].
• Clé de coffre personnelle facultative. Lorsque BYOK est activé, le navigateur chiffre le contenu stocké prévu à cet effet avec AES-256-GCM. Le serveur ne conserve pas la clé du client ; les utilisateurs autorisés doivent la gérer eux-mêmes en sécurité. La détection et l’OCR voient toujours le texte source sur le serveur. Il ne s’agit pas d’un chiffrement intégral de bout en bout et cela ne protège pas contre tous les risques liés à un code de navigateur modifié ou à un appareil compromis.
• Séparation et accès. Les droits de l’organisation, des espaces de travail et des documents sont contrôlés sur le serveur. Les utilisateurs s’authentifient ; les mots de passe sont hachés et les sessions utilisent un cookie HttpOnly. L’authentification à deux facteurs et des droits API limités sont disponibles. Utilisation obligatoire, révisions des accès et procédure d’administration : [À CONFIRMER].
• Limitation du stockage des sources. Les fichiers sources et le texte source complet sont utilisés pour le traitement et la vérification temporaire et ne sont pas conservés comme fichiers sources permanents. Lors de la pseudonymisation, les valeurs originales restaurables peuvent subsister dans la clé de réidentification chiffrée et la mémoire du projet. Durées précises de traitement temporaire et configuration du nettoyage : [À CONFIRMER].
• Conservation et suppression. Des durées distinctes peuvent être définies pour les résultats et les clés. Sans configuration, aucune suppression automatique n’est active. La suppression des données actives doit être complétée par les dispositions relatives aux sauvegardes, exports et instantanés de l’article 7.
• Transport et infrastructure. HTTPS avec un certificat valide, les restrictions d’accès à l’infrastructure, la sécurité réseau, les volumes de données et la gestion des secrets doivent être configurés et vérifiés en production : [CONFIGURATION DE PRODUCTION ET RESPONSABLE]. L’infrastructure prévue figure à l’annexe C ; un domaine ou un paramètre du code source ne prouve pas qu’un environnement en ligne soit correctement sécurisé.
• Garanties opérationnelles. Les parties définissent la politique de correctifs et de mises à jour, la procédure d’incident, les engagements de confidentialité, la journalisation sans contenu documentaire inutile, les objectifs de rétablissement, le régime de sauvegarde, les tests de restauration et l’évaluation périodique de la sécurité : [POLITIQUE, FRÉQUENCES, CONTACTS ET ÉLÉMENTS PROBANTS]. Sans ces éléments probants, aucune certification, aucun test d’intrusion, aucune surveillance permanente ni aucun délai de rétablissement garanti n’est revendiqué.

Annexe C — Infrastructure et sous-traitants ultérieurs

Infrastructure prévue : Zerops, région prg1, Prague, Tchéquie. Il s’agit de l’architecture choisie ; les ressources effectives, parties contractantes, lieux d’accès et paramètres de sauvegarde restent à confirmer. Le seul choix d’une région ne suffit pas à établir tous les lieux juridiques et opérationnels de traitement.

Les services de paiement concernant les comptes et la facturation ne font pas automatiquement partie de la mission de traitement des documents. Leur rôle et leur traitement précis doivent figurer dans l’accord et les informations de confidentialité applicables à ces finalités. Aucun contenu documentaire ni aucune clé de réidentification n’est envoyé au prestataire de paiement pour la facturation.

Finalisation, modifications et acceptation

Les parties complètent tous les champs et annexes et confirment la version choisie, leurs représentants, la date et le mode d’acceptation : [VERSION], [DATE], [REPRÉSENTANTS HABILITÉS], [SIGNATURE OU PREUVE D’ACCEPTATION ÉLECTRONIQUE]. Un donneur d’ordre lui-même sous-traitant documente également l’autorisation de son responsable du traitement.

Les modifications sont communiquées directement et convenues selon la procédure écrite ou électronique applicable ; la seule publication d’un nouveau texte sur le site ne modifie pas l’accord. La procédure spécifique aux sous-traitants ultérieurs figure à l’article 4. La responsabilité et les litiges relèvent des conditions générales et de la loi. Cet accord ne limite aucun droit des personnes concernées, aucun pouvoir des autorités de contrôle ni aucune obligation issue du RGPD.

Sources officielles

Fondement juridique : RGPD, notamment les articles 28 et 32 à 36. Pour la rédaction contractuelle, les clauses types de la Commission européenne pour les responsables du traitement et les sous-traitants et les explications du CEPD sur les rôles et les accords de sous-traitance constituent des références utiles. Ce projet rédigé par nos soins n’est pas une application inchangée des clauses contractuelles types et ne constitue pas à lui seul un instrument de transfert.