Accord relatif au traitement des données personnelles

Le présent accord (« DPA ») est conclu entre l’Organisation, responsable du traitement, et LA MASHINE, SAS au capital de 30 000 euros, RCS Toulouse 932 458 441, sous-traitant. Il encadre les données personnelles que La Mashine traite pour le compte de l’Organisation dans la plateforme https://app.lamashine.com/, conformément à l’article 28 du règlement (UE) 2016/679 (« RGPD »). Il fait partie du contrat de l’Organisation ; ses stipulations particulières acceptées prévalent sur les présentes stipulations générales.

1. Objet, durée, nature et finalité

La Mashine fournit à l’Organisation une plateforme d’accompagnement de projets : comptes et habilitations, projets, tâches et documents, réunions avec enregistrement, transcription et compte rendu, assistance par intelligence artificielle et envoi d’e-mails. Les traitements ont pour seule finalité l’exécution de ce service. La Mashine agit en revanche comme responsable de traitement, pour son propre compte et sans réutiliser les contenus des projets, pour la sécurité de la plateforme et ses journaux, la mesure du coût de l’intelligence artificielle par compte, la facturation, des statistiques d’usage agrégées et les messages que les utilisateurs lui adressent ; ces traitements sont décrits dans sa politique de confidentialité. La Mashine n’utilise aucune donnée pour entraîner des modèles et n’autorise pas ses sous-traitants ultérieurs à le faire. Les traitements effectués pour le compte de l’Organisation durent le temps du contrat, puis le temps de la restitution et de la suppression prévues à l’article 10.

2. Personnes et données concernées

Personnes concernées : les utilisateurs invités par l’Organisation (porteurs de projet, accompagnateurs, responsables de programme, experts, jurys) et les personnes citées dans les contenus ou présentes à une réunion.

Données : identité et coordonnées professionnelles, rôles et habilitations, contenus des projets (textes, fichiers, messages, décisions), enregistrements audio, transcriptions et comptes rendus de réunion, journaux d’accès et d’usage, preuves d’accord à l’enregistrement.

La plateforme n’est pas conçue pour recevoir des données sensibles ni des données relatives aux condamnations et infractions (articles 9 et 10 du RGPD), des données concernant des mineurs, des pièces d’identité ou identifiants officiels, des secrets d’authentification ou des données de carte de paiement ; l’Organisation et ses utilisateurs ne les y font pas figurer. Un dépôt accidentel est signalé à La Mashine, qui le restreint et le supprime.

3. Instructions documentées

La Mashine traite les données uniquement sur instruction documentée de l’Organisation, y compris pour les transferts hors de l’Espace économique européen, sauf si le droit de l’Union ou le droit de l’État membre auquel elle est soumise l’y oblige ; elle informe alors l’Organisation de cette obligation avant le traitement, sauf si ce droit interdit une telle information pour des motifs importants d’intérêt public. Le contrat, le présent accord et les réglages de la plateforme choisis par l’Organisation constituent ses instructions. La Mashine informe immédiatement l’Organisation si une instruction lui paraît contraire au RGPD ou à d’autres dispositions du droit de l’Union ou du droit des États membres relatives à la protection des données.

4. Confidentialité

Les personnes autorisées à traiter les données s’engagent à la confidentialité ou sont soumises à une obligation légale de confidentialité. Leur accès est limité à ce que leur mission exige.

5. Sécurité

La Mashine met en œuvre les mesures de l’article 32 du RGPD décrites en annexe 1 et les maintient pendant toute la durée du contrat.

6. Sous-traitants ultérieurs

L’Organisation autorise de manière générale le recours aux sous-traitants ultérieurs listés en annexe 2. La Mashine l’informe par écrit de tout ajout ou remplacement au moins trente jours à l’avance ; l’Organisation peut s’y opposer pour un motif tenant à la protection des données. Faute d’accord, elle peut mettre fin au service concerné sans pénalité. Chaque sous-traitant ultérieur est tenu par contrat aux mêmes obligations de protection des données, à une exception près : Anthropic conserve selon ses propres conditions, décrites en annexe 2, les contenus signalés par ses systèmes de sécurité ; l’Organisation l’accepte en utilisant la configuration Anthropic, et la configuration UE l’exclut ; La Mashine reste pleinement responsable de leur exécution envers l’Organisation, l’informe de tout manquement d’un sous-traitant ultérieur à ses obligations et lui remet sur demande une copie des conditions qui le lient, expurgée des seuls secrets d’affaires et informations confidentielles.

7. Transferts hors de l’Espace économique européen

Un transfert hors de l’Espace économique européen n’a lieu que vers les destinataires et les pays indiqués en annexe 2, sur la base d’une décision d’adéquation de la Commission européenne ou des clauses contractuelles types qu’elle a adoptées. Lorsque l’Organisation a choisi la configuration UE, aucun traitement par intelligence artificielle n’a lieu hors de l’Union européenne.

8. Assistance à l’Organisation

La Mashine aide l’Organisation, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes d’exercice des droits des personnes (accès, rectification, effacement, limitation, portabilité, opposition). Elle lui transmet sous cinq jours ouvrés toute demande reçue directement, sans y répondre elle-même sauf instruction. Elle l’aide aussi pour la sécurité, les notifications de violation, les analyses d’impact et la consultation préalable de la CNIL (articles 32 à 36 du RGPD). Elle l’informe sans délai si elle constate que des données qu’elle traite sont inexactes ou obsolètes, et répond rapidement à ses questions sur les traitements.

9. Violations de données

La Mashine notifie à l’Organisation toute violation de données personnelles au plus tard 48 heures après en avoir pris connaissance, par e-mail au contact désigné dans les Conditions particulières. La notification décrit, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, ses conséquences probables, les mesures prises ou proposées et les coordonnées d’un contact auprès duquel obtenir plus d’informations ; les informations manquantes suivent dès qu’elles sont connues. L’Organisation notifie la CNIL et, le cas échéant, les personnes concernées.

10. Fin du contrat et manquements

Au terme du contrat, l’Organisation choisit la restitution ou la suppression des données. La restitution comprend un export des données textuelles au format JSON et les fichiers associés dans leur format d’origine. Les données restent récupérables pendant au moins trente jours après la fin de la période de transition prévue par les Conditions générales d’utilisation ou, si les Conditions particulières le prévoient, pendant une conservation restreinte de douze mois au plus pour une restitution ou une reconduction. Elles sont ensuite supprimées dans les trente jours, leurs copies de sauvegarde à l’expiration de leur cycle de sept jours, et les échanges bruts avec les modèles à l’expiration de leurs quatre-vingt-dix jours ; les copies conservées par Anthropic le sont dans les conditions de l’annexe 2. La Mashine confirme la suppression par écrit. Seules les données dont le droit de l’Union ou d’un État membre impose la conservation sont gardées, pour la durée qu’il fixe. Jusqu’à la restitution ou la suppression, le présent accord continue de s’appliquer.

Si La Mashine manque au présent accord, l’Organisation peut lui demander de suspendre le traitement jusqu’à ce qu’elle s’y conforme ; La Mashine l’informe sans délai si elle ne peut pas s’y conformer, pour quelque raison que ce soit. L’Organisation peut résilier la partie du contrat qui concerne ces traitements si la conformité n’est pas rétablie dans un délai raisonnable et au plus tard un mois après la suspension, en cas de manquement grave ou persistant, ou si La Mashine ne respecte pas une décision contraignante d’un tribunal ou de la CNIL. La Mashine peut la résilier si l’Organisation maintient une instruction qu’elle lui a signalée comme contraire au droit.

11. Documentation et audits

La Mashine met à la disposition de l’Organisation les informations nécessaires pour démontrer le respect de l’article 28 du RGPD. Elle permet des audits, y compris des inspections, menés par l’Organisation ou par un auditeur qu’elle mandate, tenu à la confidentialité et non concurrent de La Mashine, une fois par an au plus, sauf indice de manquement, violation de données ou demande d’une autorité, avec un préavis de trente jours. Chaque partie supporte ses propres coûts. Ces informations et les résultats des audits sont mis à la disposition de la CNIL sur sa demande.

12. Obligations de l’Organisation

L’Organisation donne ses instructions par écrit, informe les personnes concernées (articles 13 et 14 du RGPD), dispose d’une base juridique pour chaque traitement et veille à ce que les données qu’elle fait entrer dans la plateforme soient exactes et nécessaires.

13. Registre et contacts

La Mashine tient le registre des traitements effectués pour le compte de l’Organisation (article 30.2 du RGPD) et coopère avec la CNIL. Contact de La Mashine : contact@lamashine.com. Contact de l’Organisation : celui désigné dans les Conditions particulières.

Annexe 1. Mesures de sécurité

Communications chiffrées entre les navigateurs et la plateforme, HTTPS imposé. Hébergement de la plateforme, de la base, des fichiers et des sauvegardes chez OVH en France. La base n’est joignable que depuis le réseau privé de la plateforme ; seuls le site, la salle de réunion et l’administration par clé SSH, sans mot de passe, sont ouverts sur internet, derrière un pare-feu. Fichiers chiffrés au repos (AES-256), chaque espace de stockage n’étant ouvert que par sa propre clé ; sauvegardes de la base chiffrées et copiées sur un second site en France. La base peut être restaurée à tout moment des deux derniers jours ; sauvegardes renouvelées sur un cycle de sept jours au plus.

Cloisonnement : une organisation n’atteint les données d’un projet que par le programme auquel ce projet est inscrit ; chaque personne n’accède qu’à ce que son rôle permet.

Protection des comptes : mots de passe d’au moins douze caractères, conformes à la recommandation de la CNIL, conservés sous forme d’empreinte (Argon2id) ; après dix tentatives de connexion échouées, la connexion est refusée pendant une heure ; sessions de quatorze jours, révoquées au changement de mot de passe. Les accès aux projets sont journalisés, y compris ceux de l’équipe de La Mashine, et le journal est conservé douze mois. Les contrôles (tests, audit des dépendances) précèdent chaque mise en production, qui ne déploie qu’une version déjà en service en préproduction. En cas d’incident, les accès concernés sont révoqués dans l’heure, son étendue est mesurée le jour même à partir des journaux, et l’Organisation est informée dans les délais de l’article 9.

Intelligence artificielle : les adresses e-mail et numéros de téléphone détectés sont retirés automatiquement des textes avant leur envoi à un modèle, y compris du texte lu dans les images ; le contenu d’une image ou d’un document numérisé envoyé tel quel à un modèle n’est pas filtré ; les échanges bruts avec les modèles sont conservés quatre-vingt-dix jours chez OVH en France, sous accès technique restreint, puis supprimés. Les rapports d’erreurs ne contiennent ni l’utilisateur, ni les cookies, en-têtes ou contenus des requêtes ; ils contiennent le message d’erreur et l’adresse de la page.

Annexe 2. Sous-traitants ultérieurs

OVH SAS : hébergement de la plateforme, de la base, des fichiers, des sauvegardes et des journaux. France.

Anthropic, PBC : assistance par intelligence artificielle et rédaction des comptes rendus dans la configuration Anthropic, et recherche web dans cette configuration lorsque celle d’Amazon n’est pas disponible. États-Unis et autres pays où Anthropic et ses propres sous-traitants opèrent, dont les infrastructures mondiales de Google Cloud, Amazon Web Services et Microsoft Azure, listés par Anthropic sur https://trust.anthropic.com/subprocessors ; clauses contractuelles types intégrées à ses conditions commerciales, pour tous ces pays. Contenus supprimés dans les trente jours, sauf obligation légale ou contenu signalé par ses systèmes de sécurité, conservé jusqu’à deux ans, et sept ans pour les scores de classification.

Mistral AI : transcription audio ; lecture du texte des images dans la configuration UE ; assistance par intelligence artificielle dans la configuration UE. Union européenne.

Requesty Ltd : passerelle de secours vers les seuls déploiements autorisés. Passerelle à Francfort (Union européenne) ; société établie au Royaume-Uni, pays couvert par une décision d’adéquation.

TensorX Ltd, via Requesty : secours de la configuration UE. Irlande.

Google (Vertex AI), via Requesty : secours de la configuration Anthropic. Union européenne.

Brevo SAS : envoi des e-mails de la plateforme. France (OVH) et Belgique (Google Cloud) ; maintenance possible depuis des sociétés de son groupe en Inde et aux États-Unis.

Sentry : diagnostic d’erreurs, à partir du message d’erreur et de l’adresse de la page. Région Union européenne.

Amazon Web Services : recherche web à partir de la question formulée par La Mashine. Irlande.

Anthropic, Google, Sentry et Amazon Web Services sont des sociétés établies aux États-Unis ou qui en dépendent : les transferts vers elles reposent sur les clauses contractuelles types de la Commission européenne et, pour celles qui y sont certifiées, sur la décision d’adéquation relative au cadre de protection des données UE–États-Unis. Brevo peut faire intervenir pour la maintenance des sociétés de son groupe en Inde, sous clauses contractuelles types et mesures complémentaires, et aux États-Unis, sous le cadre UE–États-Unis. Les messages que les utilisateurs adressent à La Mashine, par e-mail ou par la plateforme, relèvent de ses traitements propres et ne figurent pas dans cette liste.