Le présent accord de traitement des données (l’« Accord ») encadre les traitements de données personnelles que l’association MAATHIS réalise pour le compte de ses Clients lorsqu’ils utilisent le Service. Il constitue le contrat de sous-traitance prévu à l’article 28 du règlement (UE) 2016/679 (RGPD) et répond aux exigences équivalentes des lois de protection des données des pays où le Service est proposé.
L’Accord fait partie intégrante du contrat conclu entre le Client et Maathis au titre des conditions générales. Il s’applique automatiquement, sans signature distincte, dès que le Client importe dans le Service des données personnelles dont il est responsable. Un Client qui souhaite disposer d’un exemplaire signé peut le demander à contact@maathis.com.
1. Parties et définitions
1.1 Parties. Le « Client », agissant en qualité de responsable de traitement, est la personne physique ou morale qui a souscrit le Service pour une Organisation, y compris l’Offre gratuite. « Maathis », agissant en qualité de sous-traitant, est l’association MAATHIS, SIREN 941 761 637, 22 ter boulevard Tzarewitch, 06000 Nice, France.
1.2 Définitions. Les termes « données personnelles », « traitement », « responsable de traitement », « sous-traitant », « personne concernée » et « violation de données personnelles » ont le sens que leur donne le RGPD. Les termes Service, Organisation, Utilisateur et Contenus de l’Utilisateur ont le sens que leur donnent les conditions générales. Les « Données du Client » sont les données personnelles contenues dans les Contenus de l’Utilisateur importés dans l’espace de travail de l’Organisation, ainsi que celles que le Client soumet aux outils de criblage.
1.3 Lois applicables. Les « Lois applicables » désignent le RGPD, la loi française n° 78-17 du 6 janvier 1978, et les lois de protection des données personnelles applicables au Client dans son pays d’établissement.
2. Objet et champ
2.1 L’Accord a pour objet de définir les conditions dans lesquelles Maathis traite les Données du Client pour son compte, ainsi que les obligations respectives des parties.
2.2 L’Accord ne s’applique pas aux traitements pour lesquels Maathis agit en qualité de responsable de traitement (gestion des comptes et de la facturation, sécurité, mesure d’audience, base juridique, référentiel de personnes politiquement exposées, annuaire), décrits dans la politique de confidentialité.
2.3 La description des traitements (objet, nature, finalité, catégories de données et de personnes, durée) figure à l’annexe 1.
3. Instructions du Client
3.1 Maathis traite les Données du Client uniquement sur instruction documentée du Client, y compris en ce qui concerne les transferts de données vers un pays tiers, sauf si elle y est tenue par le droit de l’Union européenne ou d’un État membre. Dans ce cas, elle informe le Client de cette obligation avant le traitement, sauf si la loi l’interdit.
3.2 Les conditions générales, le présent Accord, le paramétrage du Service par le Client et les actions des Utilisateurs dans le Service constituent les instructions documentées du Client. Toute instruction supplémentaire est formulée par écrit et acceptée par Maathis ; si elle entraîne des coûts, ceux-ci sont convenus au préalable.
3.3 Maathis informe immédiatement le Client si, selon elle, une instruction constitue une violation des Lois applicables. Elle peut suspendre l’exécution de l’instruction concernée jusqu’à sa confirmation ou sa modification par le Client.
4. Limitation de la finalité
4.1 Maathis traite les Données du Client uniquement pour fournir le Service au Client, en assurer la sécurité et le support, et respecter ses obligations légales.
4.2 Maathis n’utilise pas les Données du Client pour ses propres finalités. En particulier, elle ne les utilise pas pour entraîner des modèles d’intelligence artificielle, ne les publie pas dans sa base juridique commune (sauf si un Utilisateur choisit expressément de partager un document) et ne les vend pas.
5. Confidentialité
Maathis veille à ce que les personnes autorisées à traiter les Données du Client s’engagent à en respecter la confidentialité ou soient soumises à une obligation légale de confidentialité appropriée. Elle limite l’accès aux Données du Client aux membres de son personnel qui en ont besoin pour fournir le Service, assurer le support demandé par le Client, résoudre un incident ou respecter une obligation légale.
6. Sécurité
6.1 Maathis met en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, conformément à l’article 32 du RGPD, et notamment les mesures décrites à l’annexe 2.
6.2 Maathis peut faire évoluer ces mesures, à condition de ne pas réduire le niveau global de sécurité des Données du Client.
6.3 Le Client est responsable des mesures de sécurité qui relèvent de son utilisation du Service : gestion des accès et des rôles au sein de son Organisation, confidentialité des identifiants, activation de l’authentification à deux facteurs, retrait des accès des personnes qui quittent l’Organisation.
7. Données sensibles
7.1 Les dossiers juridiques peuvent contenir des catégories particulières de données (par exemple des données de santé) ou des données relatives aux infractions et condamnations. Le Client décide seul de les importer dans le Service ; il s’assure de disposer d’une base légale et, le cas échéant, des autorisations nécessaires.
7.2 Maathis applique à ces données les mesures de l’annexe 2. Le Client met en œuvre, lorsque c’est possible, la pseudonymisation des pièces et la limitation des données importées au strict nécessaire.
8. Sous-traitants ultérieurs
8.1 Autorisation générale. Le Client autorise de manière générale Maathis à recourir à des sous-traitants ultérieurs pour l’exécution du Service. Les catégories de sous-traitants ultérieurs et leurs pays de traitement figurent à l’annexe 3. La liste nominative à jour des sous-traitants ultérieurs est communiquée au Client sur simple demande à contact@maathis.com.
8.2 Information préalable et opposition. Maathis informe le Client de tout projet d’ajout ou de remplacement d’un sous-traitant ultérieur au moins trente (30) jours à l’avance, par courriel ou dans le Service. Le Client peut s’y opposer, de manière motivée, pendant ce délai. Les parties recherchent alors de bonne foi une solution. À défaut, le Client peut résilier le Service concerné, sans frais, avant l’entrée en vigueur du changement, et obtenir le remboursement de la période non écoulée.
8.3 Obligations imposées. Maathis impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données qui offrent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées, conformément aux Lois applicables. Maathis reste pleinement responsable à l’égard du Client de l’exécution de leurs obligations par ses sous-traitants ultérieurs.
9. Transferts internationaux
9.1 Hébergement. Les Données du Client sont hébergées en France.
9.2 Transferts hors de l’Union européenne. Certaines opérations de traitement sont réalisées par des sous-traitants ultérieurs situés hors de l’Union européenne (annexe 3). Maathis n’effectue de tels transferts qu’en s’appuyant sur une décision d’adéquation de la Commission européenne ou sur des garanties appropriées au sens de l’article 46 du RGPD, notamment les clauses contractuelles types adoptées par la Commission européenne, complétées le cas échéant de mesures supplémentaires. Les requêtes adressées aux modèles de langage ne comportent que les éléments nécessaires à l’exécution de la demande, sans les données d’identification du compte.
9.3 Formalités du Client. Lorsque la loi du pays du Client soumet le transfert des Données du Client vers la France ou vers un autre pays à une déclaration, une autorisation ou une information préalable de l’autorité de protection des données, il appartient au Client, en qualité de responsable de traitement, d’accomplir ces formalités. Maathis lui fournit, sur demande, les informations nécessaires (description des traitements, lieux d’hébergement, mesures de sécurité, catégories de sous-traitants ultérieurs).
10. Assistance au Client
10.1 Droits des personnes. Maathis aide le Client, par des mesures techniques et organisationnelles appropriées et dans la mesure du possible, à répondre aux demandes d’exercice des droits des personnes concernées. Le Service permet au Client de consulter, modifier, exporter et supprimer les Contenus de l’Utilisateur. Si une personne concernée s’adresse directement à Maathis au sujet des Données du Client, Maathis transmet la demande au Client sans délai et ne lui répond pas elle-même, sauf instruction du Client.
10.2 Autres obligations. Compte tenu de la nature du traitement et des informations dont elle dispose, Maathis aide le Client à garantir le respect des obligations relatives à la sécurité du traitement, à la notification des violations de données, aux analyses d’impact relatives à la protection des données et à la consultation préalable de l’autorité de contrôle.
11. Violations de données personnelles
11.1 Maathis notifie au Client toute violation de données personnelles concernant les Données du Client dans les meilleurs délais, et au plus tard quarante-huit (48) heures après en avoir pris connaissance, à l’adresse électronique de l’administrateur de l’Organisation.
11.2 La notification comprend, dans la mesure où ces informations sont disponibles : la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables, les mesures prises ou envisagées pour y remédier et en atténuer les effets, et les coordonnées d’un interlocuteur. Les informations qui ne sont pas disponibles immédiatement sont communiquées dès que possible.
11.3 Maathis prend sans délai les mesures nécessaires pour contenir la violation et en limiter les conséquences. Il appartient au Client, en qualité de responsable de traitement, de notifier la violation à l’autorité de contrôle et aux personnes concernées lorsque la loi l’exige. Maathis l’y aide.
12. Documentation et audits
12.1 Maathis tient un registre des catégories d’activités de traitement effectuées pour le compte de ses Clients et met à la disposition du Client les informations nécessaires pour démontrer le respect de ses obligations au titre de l’Accord.
12.2 Le Client peut demander, une fois par an, des informations écrites complémentaires sur les mesures de sécurité de Maathis. Si ces informations ne suffisent pas à établir le respect de l’Accord, le Client peut faire réaliser un audit, au plus une fois par an et à ses frais, par lui-même ou par un auditeur indépendant tenu au secret, moyennant un préavis écrit de trente (30) jours. L’audit se déroule pendant les heures ouvrées, sans perturber le Service et sans accès aux données des autres Clients ni aux informations couvertes par un secret. Un audit supplémentaire est possible en cas de violation de données personnelles ou à la demande d’une autorité de contrôle.
13. Obligations du Client
Le Client s’engage à :
disposer d’une base légale pour chaque traitement des Données du Client et informer les personnes concernées conformément aux Lois applicables ;
n’importer dans le Service que des données adéquates, pertinentes et limitées à ce qui est nécessaire ;
respecter le secret professionnel auquel il est soumis ;
accomplir les formalités préalables imposées par sa loi nationale, notamment pour les transferts de données ;
donner des instructions conformes aux Lois applicables ;
répondre aux demandes des personnes concernées et, le cas échéant, notifier les violations aux autorités et aux personnes.
14. Durée et sort des données
14.1 L’Accord s’applique pendant toute la durée du traitement des Données du Client par Maathis.
14.2 Pendant la durée du Service, le Client peut exporter et supprimer les Contenus de l’Utilisateur à tout moment.
14.3 À la fin du Service ou à la suppression de l’Organisation, Maathis supprime les Données du Client dans un délai raisonnable n’excédant pas quatre-vingt-dix (90) jours, sauf demande écrite du Client de les lui restituer dans ce délai dans un format courant. Les copies présentes dans les sauvegardes sont effacées au terme de leur cycle de rotation de quatorze (14) jours. Maathis peut conserver les données dont la loi lui impose la conservation, en les protégeant et en limitant leur traitement à cette fin. Sur demande, Maathis confirme par écrit la suppression.
15. Responsabilité, résiliation et droit applicable
15.1 La responsabilité de chaque partie au titre de l’Accord est régie par les conditions générales, sous réserve des dispositions impératives des Lois applicables.
15.2 En cas de manquement grave de Maathis à l’Accord non corrigé dans un délai de trente (30) jours après notification, le Client peut résilier le Service concerné et obtenir le remboursement de la période non écoulée.
15.3 En cas de contradiction entre l’Accord et les conditions générales concernant le traitement des Données du Client, l’Accord prévaut.
15.4 L’Accord est régi par le droit français. Les litiges sont soumis aux juridictions désignées par les conditions générales.
Annexe 1 : description des traitements
Fourniture du Service au Client : espace de travail, gestion de dossiers et de pièces, recherche et questions sur les pièces, outils de conformité et de criblage
Hébergement, stockage, sauvegarde, conversion de formats, reconnaissance de caractères, transcription audio, indexation et représentation sémantique, analyse et génération de réponses par des modèles de langage, traduction, recherche, comparaison de noms avec le référentiel de personnes politiquement exposées, export, suppression
Permettre au Client et à ses Utilisateurs d’organiser, d’analyser et d’exploiter leurs documents et dossiers juridiques, et de réaliser leurs vérifications de conformité
Clients et prospects du Client, parties adverses, témoins, dirigeants et salariés de personnes morales, salariés et collaborateurs du Client, personnes faisant l’objet d’un criblage, et toute autre personne mentionnée dans les documents importés
Identité et coordonnées, informations professionnelles et économiques, informations contenues dans les actes, contrats, correspondances, pièces de procédure et enregistrements audio ; selon les choix du Client, catégories particulières de données et données relatives aux infractions et condamnations
Durée du Service, puis délai de suppression prévu à l’article 14
France
Annexe 2 : mesures techniques et organisationnelles
Échanges chiffrés entre les navigateurs et les serveurs ; politique de transport strict (HSTS)
Mots de passe stockés sous forme hachée et contrôlés contre les listes de mots de passe compromis ; authentification à deux facteurs proposée à tous ; nouvelle authentification pour les actions sensibles ; liens de connexion à usage unique et à durée limitée
Cookie de session sécurisé et inaccessible aux scripts ; expiration après inactivité ; révocation à la déconnexion, au changement de mot de passe et au retrait d’un membre
Isolement logique des données par Organisation ; fichiers rangés par Organisation et accessibles par des liens temporaires de courte durée
Accès sur la base du besoin d’en connaître ; rôles et permissions ; authentification renforcée pour l’administration ; journalisation des actions d’administration
En-têtes de sécurité (politique de sécurité du contenu, interdiction d’affichage dans un cadre tiers) ; limitation du débit des requêtes ; retrait des données personnelles des journaux d’erreurs
Sauvegardes quotidiennes de la base de données, conservées quatorze (14) jours ; sauvegarde avant chaque mise à jour de la base ; surveillance de la disponibilité et alertes
Transmission aux modèles de langage des seuls éléments nécessaires à la requête, sans les données d’identification du compte ; aucun entraînement de modèle sur les Données du Client
Procédure de traitement des incidents et de notification des violations dans le délai de l’article 11
Engagements de confidentialité ; sensibilisation à la protection des données
Annexe 3 : catégories de sous-traitants ultérieurs
Hébergement des serveurs et des bases
France
Stockage des pièces et des sauvegardes
France
Lecture des documents numérisés, transcription des enregistrements
Union européenne
Analyse, réponses aux questions, classement, traduction
Union européenne, Chine
Calcul des représentations permettant la recherche dans les pièces
États-Unis
Notifications et invitations
Irlande
Diagnostic des erreurs techniques, données personnelles retirées
Union européenne, États-Unis
Copie des événements de l’agenda du dossier vers l’agenda Google
Union européenne, États-Unis