Accord de traitement des données (DPA)

Le présent Accord de traitement des données (le « DPA ») fait partie des Conditions d’utilisation conclues entre vous (le « Client », le responsable du traitement) et DocuTract (« DocuTract », le sous-traitant). Il régit le traitement par DocuTract des données personnelles contenues dans les documents, scans et modèles que vous importez (les « Données personnelles du Client ») et reflète les exigences de l’article 28 du Règlement général sur la protection des données de l’UE (RGPD).

Rôles des parties

Le Client est le responsable du traitement et détermine les finalités et les moyens du traitement des Données personnelles du Client. DocuTract est le sous-traitant et traite les Données personnelles du Client uniquement sur instruction documentée du Client, y compris les instructions données par l’utilisation normale du service. Lorsque DocuTract agit en tant que responsable du traitement pour les données de compte et de facturation, c’est la Politique de confidentialité qui s’applique.

Objet et durée

L’objet est le traitement nécessaire à la fourniture de DocuTract – l’extraction de champs à partir des scans importés et la génération de documents remplis. Le traitement dure pendant toute la durée des Conditions d’utilisation et jusqu’à la suppression des Données personnelles du Client conformément au présent DPA.

Nature et finalité du traitement

DocuTract traite les Données personnelles du Client pour recevoir les fichiers importés, effectuer l’extraction automatisée, remplir les modèles, générer les documents de sortie, et stocker ces documents et scans pour le compte du Client.

Catégories de données et de personnes concernées

Le Client maîtrise ce qu’il importe. Les Données personnelles du Client peuvent comprendre des données d’identité, des coordonnées, des données de pièces d’identité, des données financières et d’autres informations contenues dans les fichiers sources du Client. Les personnes concernées peuvent comprendre les clients, les salariés et les cocontractants du Client, ainsi que toute personne physique nommée dans les documents du Client.

Catégories particulières de données

DocuTract n’est pas conçu pour les catégories particulières de données personnelles (article 9 du RGPD, telles que les données de santé) ni pour les données relatives aux condamnations pénales et aux infractions (article 10 du RGPD). Le Client n’importera pas de telles données, sauf s’il dispose d’une base juridique valable pour ce traitement et en a informé DocuTract au préalable par écrit, afin que les parties puissent convenir de garanties supplémentaires.

Obligations de DocuTract

DocuTract s’engage à :

traiter les Données personnelles du Client uniquement sur instruction documentée du Client ;
veiller à ce que les personnes autorisées à traiter les données soient tenues à la confidentialité ;
mettre en œuvre les mesures techniques et organisationnelles décrites ci-dessous ;
ne pas utiliser les Données personnelles du Client pour entraîner des modèles d’apprentissage automatique ni à toute autre fin que la fourniture du service ;
aider le Client, compte tenu de la nature du traitement, à répondre aux demandes des personnes concernées et à remplir ses obligations en matière de sécurité, de notification des violations et d’analyse d’impact.

Mesures de sécurité

DocuTract maintient des mesures techniques et organisationnelles appropriées, notamment le chiffrement en transit (TLS) et au repos (la base de données et le stockage des fichiers sont chiffrés par leurs fournisseurs), des contrôles d’accès fondés sur le principe du moindre privilège et sur l’authentification, l’authentification à deux facteurs pour les utilisateurs (que le propriétaire d’un espace de travail peut rendre obligatoire) et l’authentification à deux facteurs obligatoire pour les administrateurs de DocuTract, un stockage privé des fichiers qui n’est jamais accessible publiquement et n’est exposé que par des URL signées temporaires limitées à un espace de travail, la séparation logique des données de chaque espace de travail, un journal d’accès en ajout seul des modifications et des lectures des Données personnelles du Client ainsi que de chaque accès d’un administrateur, le rendu PDF sur les propres serveurs de DocuTract, et le réexamen régulier de ces mesures.

Sous-traitants ultérieurs

Le Client autorise DocuTract à faire appel à des sous-traitants ultérieurs pour fournir le service. DocuTract impose à chaque sous-traitant ultérieur des obligations en matière de protection des données au moins aussi protectrices que celles du présent DPA, et demeure responsable de leur exécution. Les sous-traitants ultérieurs actuels sont :

Anthropic Ireland, Limited (Irlande) – reconnaissance par IA du texte et des champs dans les scans importés et analyse des modèles importés. Il ne reçoit que le contenu des fichiers – ni les noms de fichiers ni les identifiants de compte. Anthropic stocke les données aux États-Unis, peut les traiter dans d’autres pays où il exerce ses activités, conserve les entrées et les sorties pendant 30 jours au maximum et ne les utilise pas pour entraîner des modèles.
Hetzner Online GmbH (Allemagne) – hébergement des serveurs dans un centre de données situé à Falkenstein, en Allemagne : l’application, les files de traitement et le rendu PDF.
Supabase, Inc. (États-Unis) – base de données, connexion des utilisateurs et stockage privé des fichiers (modèles, scans et documents générés), hébergés en Irlande (UE) et chiffrés au repos.
Stripe (Stripe, Inc. et ses sociétés affiliées, dont Stripe Payments Europe, Limited) – facturation des abonnements et paiements uniques (uniquement les données de compte et de facturation, jamais le contenu des documents).
Zone Media OÜ (Zone.eu, Estonie) – l’hébergement de messagerie par lequel DocuTract envoie les e-mails, y compris l’e-mail contenant les liens vers un document payé (l’adresse du destinataire, l’objet et le corps du message ; le document lui-même n’est pas joint).
PostHog, Inc. (statistiques produit) – statistiques du site web respectueuses de la vie privée, hébergées dans l’UE et actives uniquement avec le consentement du visiteur, avec masquage de tous les textes et saisies. Il ne traite pas le contenu des documents ou scans importés.

DocuTract informera à l’avance de tout ajout ou remplacement envisagé d’un sous-traitant ultérieur, afin que le Client puisse s’y opposer pour des motifs raisonnables liés à la protection des données.

Transferts internationaux

Certains sous-traitants ultérieurs traitent des Données personnelles du Client en dehors de l’EEE – en particulier Anthropic, qui stocke les données aux États-Unis, et Stripe, qui est établi aux États-Unis. Supabase héberge nos données en Irlande mais est établi aux États-Unis : un accès à distance depuis ce pays est donc traité comme un transfert. Pour chacun de ces transferts, DocuTract s’appuie sur les clauses contractuelles types de la Commission européenne intégrées aux conditions de traitement des données du sous-traitant ultérieur ou, lorsqu’elle existe, sur une décision d’adéquation (telle que le Cadre de protection des données UE-États-Unis, EU-US Data Privacy Framework), conjointement avec les mesures techniques décrites ci-dessus.

Violation de données personnelles

DocuTract notifiera le Client dans les meilleurs délais après avoir pris connaissance d’une violation de données personnelles affectant les Données personnelles du Client, en fournissant les informations dont le Client a raisonnablement besoin pour remplir ses propres obligations de notification.

Restitution et suppression

À la fin du service, ou sur demande écrite du Client adressée à legal@docutract.online, DocuTract supprimera ou restituera les Données personnelles du Client et supprimera les copies existantes dans un délai de 30 jours, sauf si leur conservation est exigée par la loi. Les copies détenues par les sous-traitants ultérieurs sont supprimées dans le cadre de leurs propres durées de conservation (pour Anthropic, 30 jours au maximum après le traitement).

Audits

DocuTract met à disposition les informations nécessaires pour démontrer le respect du présent DPA et contribuera aux audits, y compris les inspections, menés par le Client ou par un auditeur qu’il mandate, moyennant un préavis raisonnable et sous réserve de confidentialité.

Responsabilité et préséance

En cas de conflit entre le présent DPA et les Conditions d’utilisation en matière de traitement des données personnelles, le présent DPA prévaut. Des questions sur ce DPA ? Écrivez à legal@docutract.online.