Accord de traitement des données personnelles

1. Objet et portée de l’accord

Le présent accord encadre les traitements de données personnelles que DUPAIN réalise pour le compte du Client dans le cadre de l’utilisation de l’application, à l’exclusion des traitements pour lesquels DUPAIN agit en qualité de responsable de traitement (gestion du site, des demandes commerciales et de la relation administrative), décrits dans la politique de confidentialité.

Il s’applique par défaut à tout Client dès lors que DUPAIN traite des données personnelles pour son compte au sens de l’article 28 du RGPD. Des stipulations particulières, expressément convenues par écrit entre DUPAIN et un Client déterminé, peuvent compléter ou adapter le présent accord pour ce Client ; elles prévalent sur le présent accord en cas de contradiction, conformément à l’article 2 des CGV/CGU.

2. Définitions

Les termes « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « violation de données à caractère personnel » et « transfert » ont le sens que leur donne l’article 4 du RGPD. Les termes « Client », « Utilisateur » et « Administrateur » ont le sens que leur donnent les CGV/CGU.

Le « dossier » désigne l’espace dédié à une enquête, comprenant les pièces versées, les informations qui en sont extraites et les éléments produits au cours de l’enquête (chronologies, rapprochements, questions, décisions de revue).

3. Rôle des parties

Pour les traitements visés par le présent accord, le Client agit en qualité de responsable du traitement. Il détermine les finalités de l’enquête, son périmètre, les personnes qu’il habilite, les durées de conservation applicables à son dossier et le fondement juridique des traitements qu’il met en œuvre.

DUPAIN agit en qualité de sous-traitant, au sens de l’article 28 du RGPD, sur instructions documentées du Client. Lorsque le Client intervient lui-même comme sous-traitant d’un tiers (notamment un cabinet mandaté par une organisation), DUPAIN intervient comme sous-traitant ultérieur.

Dans le périmètre de son rôle de responsable du traitement ou de sous-traitant principal, le Client détermine le fondement juridique, les finalités, les informations dues aux personnes concernées et, lorsqu’elle lui incombe, la réalisation d’une analyse d’impact. DUPAIN demeure responsable des obligations qui lui sont propres en qualité de sous-traitant.

4. Description du traitement

La nature, la finalité, la durée, les catégories de personnes concernées et les catégories de données traitées sont décrites à l’annexe 1. Cette description reflète l’usage normal de l’application ; le Client reste seul juge des données qu’il verse à un dossier donné.

Le traitement consiste à héberger, organiser, indexer et restituer les pièces d’un dossier, et à produire, par des fonctionnalités d’intelligence artificielle, des propositions de faits, de rapprochements, de chronologie et de questions, soumises à la revue de l’Utilisateur. Le traitement ne comprend aucune décision automatisée au sens de l’article 22 du RGPD.

5. Instructions du responsable de traitement

DUPAIN traite les données personnelles uniquement sur instruction documentée du Client, y compris en ce qui concerne les transferts de données vers un pays tiers, sauf obligation légale contraire à laquelle DUPAIN est soumis, auquel cas il en informe le Client avant le traitement, sauf interdiction légale de le faire pour un motif important d’intérêt public.

Les fonctionnalités, paramètres et documentation de l’application constituent l’instruction documentée de principe. Le Client peut compléter cette instruction par écrit, notamment dans les conditions particulières ou par une consigne adressée au support.

Si DUPAIN considère qu’une instruction est contraire au RGPD ou à une autre disposition relative à la protection des données, il en informe immédiatement le Client.

6. Obligations de DUPAIN en tant que sous-traitant

DUPAIN ne vend pas les données des dossiers et ne les utilise pas à des fins publicitaires.

Les accès humains aux dossiers, de la part de DUPAIN, sont limités aux interventions autorisées, aux besoins justifiés de sécurité et aux obligations légales. Une intervention de support sur le contenu d’un dossier nécessite l’autorisation du Client, sauf urgence de sécurité couverte par les instructions convenues ou obligation légale.

6.1. Garantie de non-entraînement des modèles d’intelligence artificielle

DUPAIN s’engage à ne pas utiliser les dossiers, les instructions adressées aux modèles d’intelligence artificielle ou les résultats générés pour entraîner, affiner ou évaluer des modèles d’IA à usage général, pour son propre compte ou celui d’un tiers.

Cet engagement s’appuie sur les garanties obtenues des fournisseurs de modèles utilisés pendant la phase de test, listés à l’annexe 2 :

• Anthropic exclut contractuellement l’entraînement sur le contenu transmis par ses clients via l’API, sans action particulière requise de leur part. Ses conditions commerciales (Commercial Terms of Service, section « Customer Content ») stipulent : « Anthropic may not train models on Customer Content from Services » (Anthropic ne peut pas entraîner ses modèles sur le Customer Content issu des Services).
• Mistral AI autorise par défaut l’utilisation des données d’entrée et de sortie de son offre API (« La Plateforme ») pour l’entraînement, sauf refus (« opt-out ») du client, activable dans la console d’administration du compte (menu « Privacy » > « Anonymous improvement data »). Ce refus est activé sur le compte utilisé pour le service.

L’utilisation d’un modèle pour répondre à une requête (« inférence ») est techniquement distincte de son entraînement : les garanties ci-dessus excluent cette seconde étape pour les deux fournisseurs retenus à ce jour.

Ces garanties sont vérifiées à chaque évolution des conditions des fournisseurs, et consolidées avant tout traitement de dossiers réels, dans les conditions de l’annexe 2.

6.2. Pseudonymisation avant transmission aux modèles d’intelligence artificielle

DUPAIN applique des mécanismes de minimisation et de pseudonymisation avant certaines transmissions aux fournisseurs de modèles d’intelligence artificielle, pour les personnes déjà identifiées dans le dossier. Un contrôle indépendant s’applique également en sortie : une proposition générée par un modèle qui ferait néanmoins apparaître une identité connue du dossier est automatiquement écartée et n’est jamais présentée à l’Utilisateur, qui en est informé pour vérifier le document source.

Ces mesures visent à réduire l’exposition des identifiants directs mais ne garantissent pas l’anonymisation de l’ensemble du contenu traité, notamment pour les personnes pas encore identifiées dans le dossier ou pour d’autres données personnelles pouvant figurer librement dans une pièce. Les données transmises restent donc protégées comme données personnelles lorsque les conditions du RGPD demeurent remplies, et le Client en tient compte dans son appréciation du niveau de protection recherché pour un dossier donné.

7. Confidentialité du personnel

DUPAIN veille à ce que les personnes autorisées à traiter les données personnelles s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité, et à ce qu’elles ne traitent ces données que sur instruction documentée, sauf obligation légale contraire.

8. Sécurité du traitement

DUPAIN met en œuvre les mesures techniques et organisationnelles décrites à l’annexe 3, appropriées au risque, conformément à l’article 32 du RGPD. Cette annexe est mise à jour à mesure de l’évolution du service et des risques identifiés.

9. Sous-traitants ultérieurs

Le Client autorise par les présentes le recours aux sous-traitants ultérieurs listés à l’annexe 2, pour les prestations qui y sont décrites.

DUPAIN ne recourt à un nouveau sous-traitant ultérieur, ou ne change de sous-traitant ultérieur, qu’après en avoir informé le Client au moins quinze jours avant la prise d’effet, sauf urgence de sécurité. Le Client peut s’opposer à ce changement pour un motif raisonnable tenant à la protection des données ; à défaut d’accord, chaque partie peut mettre fin à la prestation affectée dans les conditions des CGV/CGU.

DUPAIN impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données au moins équivalentes à celles du présent accord, et demeure pleinement responsable envers le Client de l’exécution des obligations de ses sous-traitants ultérieurs.

10. Assistance pour l’exercice des droits des personnes concernées

Dans la mesure du possible, compte tenu de la nature du traitement, DUPAIN aide le Client, par des mesures techniques appropriées, à s’acquitter de son obligation de donner suite aux demandes d’exercice des droits des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition).

Si une personne concernée adresse une demande directement à DUPAIN au sujet d’un dossier, DUPAIN en informe le Client sans délai injustifié et ne répond pas directement à cette demande, sauf instruction contraire du Client ou obligation légale.

11. Assistance en matière de sécurité, de violations et d’analyse d’impact

DUPAIN notifie au Client toute violation de données à caractère personnel affectant un dossier, sans retard injustifié après en avoir pris connaissance, en fournissant les informations alors disponibles pour permettre au Client de respecter ses propres obligations de notification.

DUPAIN aide le Client à garantir le respect des obligations relatives à la sécurité du traitement, à la notification des violations et, le cas échéant, à la réalisation d’une analyse d’impact et à la consultation préalable de l’autorité de contrôle, en tenant compte de la nature du traitement et des informations dont il dispose.

12. Transferts de données hors de l’Espace économique européen

L’application et ses sauvegardes sont hébergées en France et en Allemagne. Les sous-traitants ultérieurs listés à l’annexe 2 traitent les données depuis l’Union européenne, à l’exception des cas qui y sont expressément signalés.

Si un traitement décrit à l’annexe 2 implique un transfert de données hors de l’Espace économique européen, ce transfert repose sur une décision d’adéquation de la Commission européenne ou, à défaut, sur un mécanisme approprié au sens du chapitre V du RGPD, notamment les clauses contractuelles types, le cas échéant complété par des mesures supplémentaires. Les garanties applicables sont précisées à l’annexe 2 ou communiquées sur demande.

13. Sort des données à la fin du contrat

Conformément à l’article 28 du RGPD, le Client choisit, à la fin de la prestation relative à un dossier, entre la restitution des données suivie de leur suppression, ou leur suppression directe. À défaut d’instruction différente compatible avec le contrat et la loi, le mécanisme par défaut suivant s’applique : après la clôture définitive d’une enquête ou l’expiration de l’accès, le Client dispose d’une fenêtre de trente jours pour exporter les données de son dossier, dans les conditions prévues par les CGV/CGU. DUPAIN supprime les données des systèmes actifs dans les trente jours suivant cette fenêtre ; les sauvegardes expirent au plus tard quatre-vingt-dix jours après cette suppression.

Une instruction de suppression anticipée, écrite et non équivoque, est exécutée dans des conditions équivalentes. La suppression porte également, lorsque techniquement applicable, sur les données dérivées associées au dossier : extraits, index, embeddings éventuels, résultats d’analyse, copies opérationnelles et autres données dérivées rattachables au dossier. Les sauvegardes peuvent suivre leur cycle normal d’expiration dès lors qu’elles sont isolées, non utilisées au quotidien, protégées, et réexécutées avec les suppressions pertinentes en cas de restauration.

Cette suppression n’intervient pas si une disposition légale impose à DUPAIN de conserver tout ou partie des données, dans la limite de cette obligation.

14. Documentation et contrôle

DUPAIN met à la disposition du Client la documentation nécessaire pour démontrer le respect des obligations du présent accord, notamment l’annexe 3 et, lorsqu’elle est disponible, toute attestation ou rapport d’audit externe pertinent.

À la date du présent accord, DUPAIN ne dispose pas encore d’une certification de sécurité externe ; une certification ISO/IEC 27001 est visée. Le Client peut adresser un questionnaire de sécurité raisonnable, auquel DUPAIN répond dans un délai raisonnable.

Si la documentation, les attestations, certifications et rapports d’audit indépendants disponibles ne suffisent raisonnablement pas à démontrer le respect du présent accord, le Client peut demander un audit. Sauf incident de sécurité significatif, demande d’une autorité ou indice raisonnable d’un manquement grave, un audit ordinaire ne peut être demandé plus d’une fois par période de douze mois et fait l’objet d’un préavis raisonnable, par exemple trente jours.

L’audit est effectué pendant les heures normales, limite autant que possible les perturbations, et reste limité aux systèmes et traitements pertinents : il ne donne accès ni aux données d’autres clients, ni à davantage de secrets techniques qu’il n’est nécessaire. L’auditeur est indépendant, professionnellement compétent, lié par une obligation de confidentialité, et n’est pas un concurrent direct de DUPAIN sauf accord contraire.

Les frais de l’audit sont supportés par le Client, sauf non-conformité significative constatée ou disposition impérative contraire. Les droits d’une autorité de contrôle ne sont pas limités par les restrictions qui précèdent.

15. Responsabilité

Les plafonds et exclusions de responsabilité prévus par les CGV/CGU s’appliquent aux manquements au présent accord, sans préjudice des droits impératifs des personnes concernées et des recours que la loi ne permet pas de limiter.

16. Durée, entrée en vigueur et modification

Le présent accord entre en vigueur à la date d’acceptation des CGV/CGU par le Client et s’applique pendant toute la durée du contrat, puis aussi longtemps que DUPAIN traite des données personnelles pour le compte du Client au titre de ce contrat.

Il peut être modifié dans les conditions prévues par les CGV/CGU pour l’évolution des conditions contractuelles. Les annexes 2 et 3 peuvent être mises à jour séparément, selon les modalités de notification prévues au présent accord.

17. Contact

Pour toute question relative au présent accord : dupain.ai@gmail.com. Contact protection des données de DUPAIN, joignable à la même adresse.

Annexe 1 — Description détaillée des traitements

Les dossiers peuvent contenir des catégories particulières de données au sens de l’article 9 du RGPD (notamment des données de santé) ou des données relatives aux infractions et condamnations au sens de l’article 10, selon les pièces que le Client y verse. Le Client s’assure de disposer du fondement juridique approprié pour leur traitement.

Annexe 2 — Sous-traitants ultérieurs et lieux de traitement

Sous-traitants intervenant effectivement sur les dossiers d’enquête dans le cadre de la fourniture du service, à la date du présent accord :

Durant la phase de test, plusieurs fournisseurs de modèles d’IA sont évalués en parallèle afin de déterminer le ou les plus adaptés au service ; cette liste sera consolidée avant tout traitement de dossiers réels, dans les conditions de notification prévues à l’article 9 du présent accord.

Annexe 3 — Mesures de sécurité

Certains mécanismes, tels que l’authentification unique (SSO/SAML), ne sont pas encore proposés et seront documentés ici lorsqu’ils seront disponibles.