Accord de traitement des données

Ceci est une traduction de l'accord de traitement des données allemand. En cas de divergence, la version allemande prévaut.

1. Préambule

Le présent accord de traitement des données (« DPA ») est conclu entre :

• Responsable du traitement : le client qui utilise les services de Creativate Technologies GmbH (« Responsable du traitement »)
• Sous-traitant : Creativate Technologies GmbH, Lahnstraße 65, 60326 Francfort-sur-le-Main, Allemagne (« Sous-traitant »)

Le présent DPA complète les Conditions d'utilisation et en fait partie intégrante. Il régit le traitement de données personnelles par le Sous-traitant pour le compte du Responsable du traitement conformément à l'art. 28 RGPD. L'annexe 1 (sous-traitants ultérieurs) et l'annexe 2 (mesures techniques et organisationnelles) font partie du présent DPA.

2. Objet, nature et finalité du traitement

Le Sous-traitant traite des données personnelles pour le compte du Responsable du traitement exclusivement pour fournir les services prévus par les Conditions d'utilisation, notamment :

• mise à disposition de l'application c:node, hébergement et stockage des contenus (conversations, fichiers, mémoire, brouillons, calculs)
• analyse assistée par IA, réponse aux questions, synthèse et rédaction de brouillons par des modèles de langage
• lecture et – uniquement après validation par une personne habilitée – écriture dans les services connectés par le Responsable du traitement (connecteurs, par ex. e-mail, agendas, stockage de fichiers, systèmes de tâches, de CRM et de comptabilité)
• exécution de routines (tâches planifiées), dont le résultat est toujours un brouillon à valider
• gestion des utilisateurs, rôles, équipes et autorisations au sein de l'organisation du Responsable du traitement
• mise à disposition d'interfaces (API, MCP) vers les applications du Responsable du traitement
• assistance, analyse des erreurs et sécurité en lien avec ce qui précède

Le traitement a lieu en principe dans l'UE (AWS, Francfort). Un traitement dans des pays tiers n'est effectué que par les sous-traitants ultérieurs cités à l'annexe 1 et uniquement conformément à la section 8.

3. Catégories de personnes concernées

• utilisateurs (salariés, mandataires ou représentants du Responsable du traitement)
• personnes dont les données figurent dans les contenus du Responsable du traitement : clients, fournisseurs, partenaires commerciaux, citoyens, candidats, autres contacts (par ex. dans des e-mails, agendas, documents, tâches)
• utilisateurs finaux des produits ou services du Responsable du traitement, dans la mesure où celui-ci traite leurs données

4. Types de données personnelles

• données d'identité et de contact (nom, e-mail, téléphone, fonction, organisation)
• données de compte, de rôles et d'autorisations
• données de contenu : questions, réponses, fichiers, notes, brouillons, calculs
• données issues de services connectés : e-mails (métadonnées et, si choisi, contenus), rendez-vous, fichiers, tâches, données de CRM et de comptabilité dans la mesure autorisée par le Responsable du traitement
• données de journalisation et d'utilisation (validations, exécutions de routines, compteurs d'utilisation, journaux techniques)
• catégories particulières (art. 9 RGPD) uniquement si le Responsable du traitement les introduit dans des contenus ; le Sous-traitant ne traite les catégories particulières détectées qu'avec des modèles situés dans l'UE ou sur ses propres serveurs (annexe 2, n° 7)

5. Durée du traitement

Le traitement dure pendant toute la durée du contrat d'utilisation. À son terme, les données sont supprimées ou restituées conformément à la section 11.

6. Obligations du Sous-traitant

Le Sous-traitant :

a) ne traite les données personnelles que sur instruction documentée du Responsable du traitement, y compris en ce qui concerne les transferts vers des pays tiers, à moins d'y être tenu par le droit de l'Union ou d'un État membre ; dans ce cas, il informe le Responsable du traitement de cette obligation juridique avant le traitement, sauf si la loi l'interdit. Constituent des instructions le contrat d'utilisation, le présent DPA et les paramètres définis par le Responsable du traitement dans c:node (par ex. la règle de modèles « UE uniquement », les connecteurs activés, les règles de validation) ;

b) informe immédiatement le Responsable du traitement si, selon lui, une instruction constitue une violation du droit de la protection des données (art. 28, par. 3, troisième phrase, RGPD) ;

c) veille à ce que les personnes autorisées à traiter les données s'engagent à respecter la confidentialité ou soient soumises à une obligation légale de confidentialité ;

d) prend toutes les mesures requises en vertu de l'art. 32 RGPD ; ces mesures sont décrites à l'annexe 2 et ne peuvent être remplacées que par des mesures équivalentes ou meilleures ;

e) respecte les conditions de recours à un autre sous-traitant (section 7) ;

f) aide le Responsable du traitement, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes des personnes concernées (section 9) ;

g) aide le Responsable du traitement à respecter les art. 32 à 36 RGPD (sécurité, notification des violations, analyse d'impact, consultation préalable) et fournit les informations nécessaires, notamment sur les modèles d'IA et les sous-traitants ultérieurs utilisés ;

h) au choix du Responsable du traitement, supprime ou restitue toutes les données personnelles au terme de la prestation (section 11) ;

i) met à la disposition du Responsable du traitement toutes les informations nécessaires pour démontrer le respect de ces obligations et permet la réalisation d'audits (section 12) ;

j) n'utilise pas les données du Responsable du traitement à ses propres fins, en particulier pas pour entraîner des modèles d'IA, et n'autorise aucun entraînement par des sous-traitants ultérieurs.

7. Sous-traitants ultérieurs

(1) Le Responsable du traitement donne une autorisation générale pour les sous-traitants ultérieurs cités à l'annexe 1.

(2) Le Sous-traitant informe le Responsable du traitement au moins 30 jours avant de recourir à un sous-traitant ultérieur ou de le remplacer, par e-mail ou dans l'application. Le Responsable du traitement peut s'y opposer dans ce délai pour un motif important lié à la protection des données. À défaut d'accord, le Responsable du traitement peut résilier pour motif grave le service concerné ou le contrat.

(3) Le Sous-traitant impose contractuellement à chaque sous-traitant ultérieur, pour l'essentiel, les mêmes obligations en matière de protection des données que celles prévues par le présent DPA (art. 28, par. 4 RGPD) et répond de leur respect.

(4) Ne sont pas des sous-traitants ultérieurs au sens du présent DPA les services que le Responsable du traitement connecte lui-même à c:node (connecteurs, ses propres clés d'API pour des modèles de langage, ses propres clients d'IA via MCP). La relation contractuelle du Responsable du traitement avec le fournisseur concerné s'applique à ceux-ci.

8. Transferts vers des pays tiers

Les transferts vers des pays situés hors de l'EEE n'ont lieu que dans les conditions des art. 44 et suivants RGPD :

• sur la base de la décision d'adéquation relative au cadre de protection des données UE-États-Unis (Data Privacy Framework) lorsque le destinataire est certifié, ou
• sur la base des clauses contractuelles types de la Commission européenne (décision d'exécution (UE) 2021/914, module 3 sous-traitant à sous-traitant), avec analyse d'impact des transferts et mesures supplémentaires.

Si le Responsable du traitement choisit la règle de modèles « UE uniquement », aucun transfert vers un pays tiers n'a lieu pour le traitement par l'IA.

9. Droits des personnes concernées

Le Sous-traitant aide le Responsable du traitement à traiter les demandes fondées sur les art. 15 à 22 RGPD. L'application et le compte proposent à cet effet l'export (art. 15, 20), la suppression des contenus et des comptes (art. 17) et la désactivation (art. 18). Si une personne concernée s'adresse directement au Sous-traitant, celui-ci transmet sans délai la demande au Responsable du traitement.

10. Notification des violations de données personnelles

Le Sous-traitant notifie au Responsable du traitement toute violation de données personnelles dans les meilleurs délais et au plus tard dans les 48 heures après en avoir pris connaissance. La notification contient, dans la mesure où ils sont connus :

• une description de la nature de la violation, des catégories et du nombre approximatif de personnes et d'enregistrements concernés
• les conséquences probables
• les mesures prises ou proposées
• un point de contact pour obtenir des informations complémentaires

11. Suppression et restitution

Au terme du contrat d'utilisation :

• le Sous-traitant remet sur demande les données au Responsable du traitement dans un format courant et lisible par machine (export)
• le Sous-traitant supprime toutes les données personnelles du Responsable du traitement au plus tard 30 jours après la fin du contrat, y compris les copies ; les copies de sauvegarde et versions de fichiers sont écrasées selon le cycle normal, au plus tard après 30 jours supplémentaires
• les données ne sont conservées que si le droit de l'Union ou d'un État membre impose leur conservation
• le Sous-traitant confirme la suppression par écrit sur demande

12. Preuves et audits

Le Sous-traitant démontre le respect du présent DPA au moyen d'une documentation appropriée (par ex. les présentes annexes, le registre des activités de traitement, des rapports de test, les certifications des sous-traitants ultérieurs). En outre, le Responsable du traitement peut réaliser des audits, y compris des inspections, lui-même ou par l'intermédiaire d'un auditeur tenu au secret :

• avec un préavis écrit d'au moins 30 jours, plus court en cas de motif concret (par ex. une violation de données)
• pendant les heures ouvrables habituelles et sans perturbation disproportionnée de l'activité
• en principe aux frais du Responsable du traitement

13. Recherche de dirigeants et données publiques du c:node Graph

(1) c:node peut étayer les réponses par des données du c:node Graph, un ensemble de sources publiques exploité par le Sous-traitant. Cela inclut la recherche de dirigeants : à une question sur une société déterminée, c:node indique les dirigeants inscrits au registre du commerce (par ex. gérants, membres du directoire, fondés de pouvoir) à partir du jeu de données ouvert d'OffeneRegister.de / OpenCorporates (CC BY 4.0, état historique du registre 2018/2019), avec la source et une mention de l'état historique. La réponse est produite par des règles fixes ; les noms ne sont transmis à aucun modèle de langage.

(2) Pour le jeu de données du c:node Graph, y compris les données des registres, le Sous-traitant est lui-même responsable du traitement (art. 4, point 7 RGPD) ; il informe les personnes concernées conformément à l'art. 14 RGPD dans sa politique de confidentialité et traite les oppositions au titre de l'art. 21 RGPD au moyen d'une liste de blocage.

(3) Dès qu'une telle information est enregistrée ou réutilisée dans une conversation, un brouillon ou un fichier du Responsable du traitement, elle fait partie des contenus de celui-ci et est traitée conformément au présent DPA. Le Responsable du traitement n'utilise l'information qu'à ses propres fins commerciales (par ex. vérification de clients, fournisseurs et partenaires) et tient compte de l'état historique.

(4) La fonction est activée par organisation. Si une personne est bloquée conformément au paragraphe 2, le blocage s'applique immédiatement aussi aux futures requêtes du Responsable du traitement.

14. Responsabilité, primauté, dispositions finales

L'art. 82 RGPD s'applique à la responsabilité ; pour le reste, les règles de responsabilité des Conditions d'utilisation s'appliquent. En cas de contradiction, le présent DPA prévaut sur les Conditions d'utilisation en matière de protection des données. Un DPA individuel peut être convenu pour les clients Enterprise : legal@creativate.tech.

15. Contact

Creativate Technologies GmbH Lahnstraße 65, 60326 Francfort-sur-le-Main, Allemagne E-mail : legal@creativate.tech Contact protection des données : privacy@creativate.tech

Annexe 1 – Sous-traitants ultérieurs

Auto-hébergés sur l'infrastructure AWS à Francfort et donc pas des sous-traitants ultérieurs distincts : bases de données (PostgreSQL avec pgvector, SQLite), c:node Graph et recherche de dirigeants (nena-serve), reconnaissance vocale (Whisper), modèles de plongement, modèles de langage propres (Ollama), supervision (Grafana, Loki, Prometheus), compte central (auth.c-node.ai).

Non utilisés pour les contenus des clients, mais pour la relation contractuelle avec le Responsable du traitement : Stripe (traitement des paiements), Haufe-Lexware (comptabilité), Mautic/EspoCRM (auto-hébergés, gestion des clients). Pour ceux-ci, le Sous-traitant est lui-même responsable du traitement.

Annexe 2 – Mesures techniques et organisationnelles (art. 32 RGPD)

1. Confidentialité – accès physique : centres de données AWS à Francfort (certifiés notamment ISO/IEC 27001, SOC 2) ; pas de salles de serveurs propres.
2. Accès aux systèmes : connexion via le compte central par code e-mail, lien, mot de passe (hachage PBKDF2) ou Google/Microsoft ; sessions sous forme de cookies HttpOnly à durée limitée ; protection contre les abus et limitation de débit à tous les points de connexion (ALTCHA, sans tiers) ; accès administratif aux serveurs uniquement par clé SSH, ouverture du pare-feu uniquement en cas de besoin et pour des adresses individuelles.
3. Accès aux données : concept de rôles et d'autorisations par organisation (propriétaire, administrateur, membre) ; séparation des données par organisation avec des règles d'accès dans la base de données (row-level security) ; les contenus personnels ne sont pas visibles, même par les administrateurs ; mémoire d'équipe et d'organisation uniquement après validation.
4. Séparation : locataires séparés ou instances dédiées pour les clients ; environnement d'essai (try.c-node.ai) séparé de la production.
5. Chiffrement : TLS pour toutes les connexions ; fichiers dans S3 chiffrés côté serveur (AES-256) ; jetons d'accès aux services connectés et clés d'API propres des clients stockés chiffrés (clés d'API propres avec AES-256-GCM).
6. Pseudonymisation : pour une partie des appels aux modèles, les données personnelles sont remplacées par des espaces réservés avant la transmission ; l'extension à tous les appels est prévue (passerelle de confidentialité). Les adresses e-mail et les identifiants sont masqués dans les journaux applicatifs.
7. Mesures spécifiques à l'IA : règle de modèles par organisation (par ex. « UE uniquement », que les utilisateurs ne peuvent pas lever) ; catégories particulières détectées (art. 9 RGPD) uniquement vers des modèles dans l'UE ou des modèles propres ; aucune utilisation des données des clients pour l'entraînement ; journal d'utilisation des appels aux modèles sans contenu ; évaluations avant chaque version (notamment sécurité des validations).
8. Intégrité – validation obligatoire : toute action vers l'extérieur (e-mail, rendez-vous, document, tâche, message dans des services connectés) requiert la validation expresse d'une personne habilitée dans c:node ; l'envoi est une seconde étape de validation ; les validations via API et MCP sont techniquement exclues ; chaque validation est journalisée avec la personne, la date et les modifications.
9. Contrôle des saisies : journalisation des événements de sécurité (connexions, changements de rôle, validations, exécutions de routines, modifications de la liste de blocage) sans contenu.
10. Disponibilité et résilience : exploitation dans AWS Francfort ; sauvegardes régulières ; restauration et retour arrière documentés pour chaque version ; supervision avec alertes (Grafana, Prometheus, Loki ; journaux 30 jours).
11. Contrôle régulier : contrôles de sécurité dans le processus de développement (revue de code, tests automatisés, règles d'architecture pour les appels aux modèles, contrôle des dépendances et des licences) ; gestion des incidents avec notification au Responsable du traitement sous 48 heures ; réexamen annuel de ces mesures.
12. Contrôle des sous-traitants : sous-traitants ultérieurs uniquement selon l'annexe 1 et avec un contrat conforme à l'art. 28, par. 4 RGPD ; personnel tenu à la confidentialité.
13. Protection des données dès la conception : minimisation des données (par ex. synchronisation par défaut des seules métadonnées ; notifications push sans contenu ; recherche de dirigeants sans lieu de résidence, date de naissance, adresse) ; suppression et export par les utilisateurs eux-mêmes ; paramètres par défaut protecteurs (nouvelles fonctions désactivées par défaut et à activer par organisation).

Mise à jour : 21 octobre 2026 (version 2.1.0) Creativate Technologies GmbH