Accord de traitement des données

Article 1 — Parties

Article 2 — Objet et durée

Le présent accord définit les obligations de DevisMatic en tant que sous-traitant des données personnelles que l'Artisan saisit dans la plateforme. Il entre en vigueur à la création du compte et reste applicable pendant toute la durée d'utilisation du service, puis pendant la durée de conservation légale applicable.

Article 3 — Nature et finalité du traitement

Article 4 — Obligations de DevisMatic

Conformément à l'article 28 du RGPD, DevisMatic s'engage à :

• Traiter les données uniquement sur instruction documentée de l'Artisan (via l'utilisation de la plateforme)
• Garantir que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité
• Mettre en œuvre les mesures techniques et organisationnelles appropriées (chiffrement TLS 1.3, chiffrement au repos AES-256, Row Level Security Supabase, authentification JWT)
• Ne pas faire appel à un autre sous-traitant sans l'autorisation préalable de l'Artisan (liste des sous-traitants ultérieurs ci-dessous)
• Aider l'Artisan à répondre aux demandes d'exercice de droits de ses clients (accès, rectification, effacement)
• Supprimer ou restituer les données au terme de la prestation, sauf obligation légale de conservation
• Mettre à disposition les informations nécessaires pour démontrer la conformité au RGPD
• Notifier l'Artisan dans un délai de 72 heures en cas de violation de données personnelles

Article 5 — Sous-traitants ultérieurs

L'Artisan autorise DevisMatic à recourir aux sous-traitants ultérieurs suivants pour l'exécution du service. En cas de changement, l'Artisan sera informé avec un préavis de 30 jours et pourra s'y opposer.

Article 6 — Transferts hors UE

Certains sous-traitants ultérieurs sont situés aux États-Unis, ou peuvent y transférer des données de façon ponctuelle. Ces transferts sont encadrés par :

• Les Clauses Contractuelles Types (CCT) de la Commission européenne (décision 2021/914) pour Railway et Resend, ainsi que pour les transferts ponctuels opérés par Mistral AI (article 46 du RGPD)
• Le Data Privacy Framework UE-USA pour Stripe

La base de données principale (Supabase) est hébergée en Union Européenne (région eu-west). Le traitement IA est assuré par Mistral AI, société française, dont l'hébergement est situé dans l'Union européenne par défaut. Selon la fonctionnalité utilisée, certaines données peuvent être transférées temporairement hors de l'Union européenne vers les sous-traitants de Mistral AI, listés dans leur onglet Subprocessors et couverts par les Clauses Contractuelles Types.

Les données personnelles des clients de l'Artisan quittent par ailleurs l'Union européenne lors de l'envoi d'emails (Resend, États-Unis) et transitent par le serveur applicatif, hébergé aux États-Unis (Railway).

Article 6 bis — Entraînement des modèles d'IA

L'option permettant à Mistral AI d'utiliser les appels API pour entraîner ses modèles est désactivée sur le compte DevisMatic, de même que les modèles expérimentaux. Cette désactivation vaut pour les nouvelles interactions.

Le mode Zero Data Retention, qui supprimerait toute conservation des requêtes chez Mistral AI, n'est pas activé sur le compte DevisMatic à ce jour. Les conditions de conservation applicables sont celles de l'accord de traitement de Mistral AI, consultable sur legal.mistral.ai/terms/data-processing-addendum.

Article 7 — Sécurité

DevisMatic met en œuvre les mesures suivantes :

Article 8 — Violation de données

En cas de violation de données personnelles au sens de l'article 33 du RGPD, DevisMatic s'engage à notifier l'Artisan dans un délai de 72 heures après en avoir pris connaissance. La notification inclura la nature de la violation, les catégories de données concernées, les conséquences probables et les mesures prises pour y remédier.

Article 9 — Exercice des droits

Si un client de l'Artisan exerce ses droits (accès, rectification, effacement, portabilité) directement auprès de DevisMatic, nous en informerons l'Artisan dans un délai de 5 jours ouvrés. L'Artisan reste responsable de la réponse à donner à son client.

DevisMatic met à disposition de l'Artisan les outils suivants pour gérer les données de ses clients : consultation, modification et suppression des fiches clients depuis l'interface, export des données au format JSON.

Article 10 — Restitution et suppression

À la résiliation du compte, l'Artisan peut exporter l'intégralité de ses données au format JSON depuis les paramètres de son compte. Après suppression du compte, DevisMatic supprime les données personnelles dans un délai de 30 jours, à l'exception des données dont la conservation est imposée par la loi :

• Factures : 10 ans (art. L123-22 du Code de commerce) — conservées sous forme anonymisée
• Dossiers de recouvrement : 5 ans (prescription civile)

Article 11 — Droit applicable

Le présent accord est soumis au droit français et au Règlement (UE) 2016/679 (RGPD). En cas de litige, les parties s'engagent à rechercher une solution amiable avant toute action judiciaire. À défaut, le Tribunal de commerce de Toulouse sera compétent.