Accord de Traitement des Données (ATD) - Mise à Jour

Aperçu

Cet Accord de Traitement des Données ("ATD") fait partie des conditions de service entre vous (le "Client" ou "Responsable de Traitement") et ISMS Copilot (le "Sous-traitant" ou "Processeur des Données") pour l'utilisation de la plateforme de conformité IA ISMS Copilot. Cet ATD est conforme à l'Article 28 du Règlement Général sur la Protection des Données (RGPD) et régit le traitement des données personnelles pour le compte du Client.

À qui cela s'adresse

Cet Accord de Traitement des Données est destiné à :

• Organisations utilisant ISMS Copilot pour traiter des données personnelles

• Consultants en conformité manipulant des données clients via la plateforme

• Délégués à la Protection des Données réalisant des évaluations des fournisseurs

• Équipes juridiques et achats évaluant les arrangements de traitement des données

• Auditeurs vérifiant la conformité à l'Article 28 du RGPD

Définitions

Termes clés

• "Client" ou "Responsable de Traitement" : L'organisation ou l'individu abonné aux services ISMS Copilot qui détermine les finalités et moyens du traitement des données personnelles.

• "Sous-traitant" ou "Processeur des Données" : ISMS Copilot, traitant les données personnelles pour le compte du Client.

• "Données Personnelles du Client" : Toutes données personnelles traitées par ISMS Copilot pour le compte du Client, incluant le contenu des conversations, documents téléchargés et métadonnées associées.

• "Sous-traitant secondaire" : Tout processeur tiers engagé par ISMS Copilot pour traiter les Données Personnelles du Client.

• "Personne Concernée" : La personne physique identifiée ou identifiable à laquelle se rapportent les Données Personnelles du Client.

• "Traitement" : Toute opération effectuée sur des données personnelles, notamment collecte, stockage, utilisation, divulgation ou suppression.

• "Violation de Données Personnelles" : Violation de sécurité entraînant une destruction, perte, altération accidentelle ou illicite, divulgation non autorisée ou accès aux Données Personnelles du Client.

1. Portée et Applicabilité

1.1 Application de l'ATD

Cet ATD s'applique à tout traitement des Données Personnelles du Client par ISMS Copilot dans le cadre de la fourniture des services de plateforme décrits dans les Conditions de Service.

1.2 Objet du Traitement

ISMS Copilot traite les Données Personnelles du Client pour fournir une assistance conformité assistée par IA, incluant :

• Traitement des requêtes utilisateurs et génération de réponses par IA

• Stockage de l'historique et contexte des conversations

• Analyse des documents de conformité téléchargés

• Gestion des configurations d'espace de travail et instructions personnalisées

1.3 Durée du Traitement

Le traitement se poursuit pendant toute la durée de l’abonnement actif du Client et selon la période de conservation des données configurée par le Client (de 1 jour à 7 ans, ou "conserver indéfiniment"). Après résiliation, toutes les Données Personnelles du Client sont supprimées sous 30 jours, sauf conservation légale prolongée.

1.4 Nature et Finalité du Traitement

• Nature : Traitement automatisé via modèles IA, stockage base de données, et traitement de fichiers

• Finalité : Fournir des conseils en conformité, analyse documentaire, génération de politiques, gestion des connaissances selon instructions du Client

1.5 Catégories de Personnes Concernées

• Employés et utilisateurs autorisés du Client

• Clients finaux du Client (lorsqu'ils sont mentionnés dans documents ou requêtes)

• Personnes référencées dans la documentation de conformité

• Sujets des incidents de sécurité

1.6 Catégories de Données Personnelles

• Informations de compte utilisateur (adresses e-mail, identifiants)

• Contenu des conversations et interactions avec l'IA

• Contenu des documents de conformité téléchargés (politiques, procédures, rapports d’audit)

• Configurations d'espaces de travail et instructions personnalisées

• Métadonnées d’usage et horodatages

• Données potentiellement sensibles (catégorie spéciale Article 9 RGPD) si téléchargées par le Client

2. Obligations du Sous-traitant (Article 28(3) RGPD)

2.1 Instructions de Traitement

ISMS Copilot traitera les Données Personnelles du Client uniquement selon des instructions documentées du Client, incluant :

• Instructions fournies via l’interface de la plateforme (requêtes, téléchargements de documents, configurations d’espace de travail)

• Paramètres de conservation des données configurés par le Client

• Sélection du mode Protection Avancée des Données (UE uniquement versus traitement IA par défaut)

• Demandes de suppression soumises via la plateforme ou support

Traitements Interdits : ISMS Copilot et ses sous-traitants IA (xAI, OpenAI, Mistral AI) sont contractuellement interdits d’utiliser les Données Personnelles du Client pour entraîner, améliorer ou développer des modèles IA. Cette interdiction est intégrée dans tous les contrats des sous-traitants IA.

2.2 Confidentialité du Traitement

ISMS Copilot garantit que toute personne autorisée à traiter les Données Personnelles du Client :

• Est soumise à des obligations de confidentialité (contractuelles ou légales)

• Reçoit une formation adéquate sur la protection des données

• Accède aux données uniquement selon le besoin

• Suit des procédures documentées de gestion des données

2.3 Mesures Techniques et Organisationnelles (Article 32 RGPD)

ISMS Copilot met en œuvre des mesures techniques et organisationnelles appropriées pour assurer un niveau de sécurité adapté au risque, incluant :

Mesures de Contrôle d’Accès :

• Sécurité au niveau des lignes en base de données empêchant l’accès inter-utilisateurs

• Authentification utilisateur requise pour toutes ressources protégées

• Isolation des espaces de travail empêchant la contamination croisée des données clients

• Support de l’authentification multi-facteurs (MFA)

• Contrôles automatiques de timeout des sessions

Mesures de Chiffrement :

• Chiffrement TLS 1.3 pour les données en transit

• Chiffrement de la base de données au repos

• Hachage des mots de passe utilisant des algorithmes standards (irréversibles)

• Stockage chiffré des fichiers dans Supabase

Mesures de Minimisation des Données :

• Collecte uniquement des données essentielles (email, messages, fichiers)

• Aucune collecte de données démographiques ou contacts inutiles

• Analyse configurée avec sendDefaultPii : false

• Périodes de conservation contrôlées par le Client avec suppression automatisée

Disponibilité et Résilience :

• Sauvegardes automatisées de la base de données

• Procédures de reprise après sinistre

• Surveillance et alertes 24/7 via Sentry

• Surveillance de disponibilité en temps réel via BetterStack avec alertes immédiates sur Slack

• Page de statut publique pour transparence (status.ismscopilot.com)

• Escalade progressive des incidents par email et SMS

Tests et Évaluations :

• Évaluations régulières de sécurité

• Surveillance et journalisation continues des erreurs

• Tests automatisés de suppression des données

• Procédures de vérification des contrôles d’accès

2.4 Engagement de Sous-traitants secondaires

Autorisation Générale : Le Client autorise ISMS Copilot à engager des sous-traitants secondaires pour traiter les Données Personnelles du Client, sous réserve des conditions de cette section.

Sous-traitants actuels : La liste complète est maintenue dans notre Registre des Activités de Traitement et inclut :

Sous-traitant

Finalité

Localisation

Statut ATD

Supabase (PostgreSQL + Stockage)

Stockage base de données et fichiers

UE (Francfort)

✓ Conforme RGPD

Anthropic (Claude), xAI (Grok), OpenAI (GPT) *

Traitement IA (Mode par défaut)

États-Unis

✓ Pas d'entraînement sur données

Mistral AI *

Traitement IA (Protection Avancée)

Union Européenne

✓ Conforme RGPD

Stripe

Traitement des paiements

Global (ATD UE)

✓ Conforme RGPD

ConvertAPI

Conversion de documents

Point de terminaison UE

✓ Conforme RGPD

✓ Certifié ISO 27001:2022

✓ ATD signé avec Better ISMS

PostHog

Analyse produit

UE (Francfort)

✓ Conforme RGPD

Sentry

Surveillance des erreurs

Allemagne

✓ Conforme RGPD

Vercel

Hébergement frontend

CDN global

✓ Conforme RGPD

Fly.io

Hébergement API backend

Déploiement UE

✓ Conforme RGPD

SendGrid (Twilio)

Communications email

US (Clauses Contractuelles Standard)

✓ RGPD + SCC

Kit (ConvertKit)

Communications email

US (SCC)

✓ RGPD + SCC

* Configurable par l'utilisateur : Un SEUL processeur IA actif à la fois, en fonction du mode Protection Avancée du Client.

Exigences pour les sous-traitants : ISMS Copilot veille à ce que tous les sous-traitants :

• Fournissent des garanties suffisantes de conformité RGPD

• Acceptent des termes de traitement équivalents à cet ATD

• Mettent en œuvre des mesures techniques et organisationnelles appropriées

• Restent soumis à la supervision et audits d'ISMS Copilot

Modifications des sous-traitants :

• ISMS Copilot informera les Clients au moins 30 jours avant d'ajouter ou remplacer un sous-traitant

• Les notifications seront envoyées par email et annonces in-app

• Les Clients peuvent s'opposer à de nouveaux sous-traitants sous 30 jours

• En cas d'opposition, ISMS Copilot n’utilisera pas le nouveau sous-traitant ou permettra la résiliation sans pénalité

2.5 Assistance aux Droits des Personnes Concernées

ISMS Copilot assistera le Client pour répondre aux demandes des droits des personnes concernées, notamment :

Droit d'Accès (Article 15) :

• Accès en self-service à toutes les conversations et fichiers via la plateforme

• Export complet des données au format JSON disponible sur demande au support (72 heures)

Droit de Rectification (Article 16) :

• Mises à jour de paramètres de compte en self-service

• Changements d'adresse e-mail assistés par support (30 jours)

Droit à l'Effacement (Article 17) :

• Demandes de suppression de compte via support

• Suppression totale des données sous 30 jours

• Confirmation fournie au Client après suppression

Droit à la Portabilité (Article 20) :

• Export JSON lisible machine incluant toutes les Données Personnelles du Client

• Livré sous 72 heures (jusqu’à 5 jours pour comptes volumineux)

Droit de Restriction (Article 18) et Droit d'Opposition (Article 21) :

• Traitement via support au cas par cas

• Réponse sous 30 jours

2.6 Notification des Violations de Données

En cas de Violation de Données Personnelles affectant les Données du Client, ISMS Copilot :

Détection et Évaluation :

• Surveillance continue des incidents via Sentry et alertes automatiques

• Examen des incidents dans les 24 heures suivant détection

• Évaluation des risques et impacts potentiels sur les Données du Client

Notification au Client :

• Notification sous 48 heures après confirmation d'une violation affectant les données

• En cas d’enquêtes sur violations suspectées, notification préliminaire sous 24 heures avec mises à jour

• Description de la violation incluant catégories et nombre approximatif de personnes concernées

• Description des conséquences probables

• Mesures prises ou proposées pour remédier et atténuer

• Point de contact pour plus d’information

Coopération :

• Collaboration avec les enquêtes et remédiations du Client

• Assistance raisonnable pour la notification aux autorités et personnes concernées

• Documentation de toutes les violations et mesures prises

2.7 Assistance Évaluation d’Impact Protection des Données (EIPD)

ISMS Copilot fournira une assistance raisonnable lors d’EIPD ou consultations préalables avec une autorité, incluant :

• Fourniture du Registre des Activités de Traitement à titre de référence

• Description des mesures techniques et organisationnelles mises en œuvre

• Clarification des flux de données et sous-traitants

• Réponse à des questions spécifiques sur les opérations de traitement

2.8 Suppression et Restitution des Données

À la fin du service ou sur demande du Client, ISMS Copilot :

Suppression Standard (par défaut) :

• Suppression totale des Données du Client sous 30 jours après résiliation

• Écrasement des données de sauvegarde sous 90 jours

• Confirmation écrite de suppression sur demande

Export avant Suppression :

• Le Client peut demander un export complet avant résiliation

• Export fourni au format JSON sous 72 heures

• Suppression effective après confirmation de réception de l’export

Exceptions Légales de Conservation :

• Factures anonymisées conservées 7 ans (conformité fiscale et comptable)

• Données analytiques anonymisées peuvent être conservées

• Contenu flaggé par modérations automatiques conservé jusqu’à 1 an pour conformité et sécurité (voir Politique de Confidentialité, Modération)

• Données légalement requises sont isolées et protégées jusqu’à expiration des périodes de conservation légales

2.9 Droits d’Audit

Le Client a le droit d’auditer la conformité d’ISMS Copilot à cet ATD sous limitations raisonnables :

Revue documentaire :

• Accès aux documents de conformité publics dans notre Collection Sécurité

• Demandes de documents supplémentaires via support (ex. contrats sous-traitants, politiques sécurité)

• Accès permanent au Registre des Activités de Traitement

Audits sur site :

• Audits possibles sur rendez-vous avec un préavis de 60 jours

• Maximum un audit par an sauf en cas de violation de données

• Audits durant heures ouvrées sans perturber les opérations

• Le Client supporte les coûts d’audit sauf en cas de non-conformité : (a) violation de données, (b) échec systématique des mesures de sécurité, ou (c) mesures réglementaires. ISMS Copilot supportera alors les coûts après identification des problèmes.

• Résultats confidentiels sauf obligation légale

Certifications tierces :

• Obtention et maintien des certifications pertinentes (ISO 27001 en cours)

• Rapports de certification partageables sur demande sous NDA

• Clients peuvent se baser sur ces certifications sans audits propres

3. Transferts Internationaux de Données

3.1 Mécanismes de Transfert

ISMS Copilot traite les Données Personnelles du Client conformément au Chapitre V du RGPD :

Stockage principal (toujours UE) :

• Toutes bases de données stockées à Francfort, Allemagne (AWS EU-Central-1)

• Historique conversations, fichiers téléchargés, données compte restent en UE

• Pas de décision d'adéquation requise pour stockage principal

Traitement IA (configurable par Client) :

Communications Email (basées aux US) :

• Adresses email transférées vers SendGrid et Kit (États-Unis)

• Protégées par Clauses Contractuelles Standard approuvées par la Commission Européenne

• Clients peuvent minimiser transferts en se désabonnant des emails non essentiels

3.2 Clauses Contractuelles Standard (CCS)

Pour les transferts aux États-Unis, ISMS Copilot s’appuie sur les Clauses Contractuelles Standard (Décision d’exécution Commission (UE) 2021/914) :

• Client vers ISMS Copilot : Module 2 (Responsable vers Sous-traitant) applicable si Client est responsable de traitement

• ISMS Copilot vers sous-traitants US : Module 3 (Sous-traitant vers Sous-traitant)

• Loi applicable CCS : droit français (Clause 17, Option 1)

• Autorité de contrôle compétente : CNIL, France (Clause 13)

• Copies des CCS exécutées disponibles sur demande via support

3.3 Mesures Complémentaires

ISMS Copilot met en œuvre des mesures supplémentaires pour protéger les données transférées hors UE :

• Chiffrement de bout en bout (TLS 1.3) pour toutes données en transit

• Interdiction contractuelle d’entraînement IA avec données Client

• Durées de conservation limitées par fournisseurs IA (30 jours pour xAI/OpenAI, zéro pour Mistral AI)

• Possibilité pour Client de contrôler destination via mode Protection Avancée

• Surveillance continue des évolutions juridiques sur les transferts internationaux

3.4 Évaluation d’Impact des Transferts

ISMS Copilot a réalisé une Évaluation d'Impact des Transferts (EIT) pour les sous-traitants US et conclu que :

• Les CCS fournissent des garanties appropriées selon Chapitre V RGPD

• Mesures techniques complémentaires renforcent la protection

• Les Clients peuvent éviter totalement les transferts IA US en activant le mode Protection Avancée (traitement UE sans conservation)

• Les transferts email vers US restent mais sont couverts par CCS et chiffrement

• Aucune preuve de demandes d'accès gouvernemental aux données Client chez les sous-traitants

4. Obligations du Client en tant que Responsable de Traitement

4.1 Licéité des Instructions de Traitement

Le Client garantit que :

• Toutes instructions respectent le RGPD et lois applicables

• Le Client dispose de bases légales pour tout traitement via la plateforme

• Les personnes concernées ont été informées du traitement et de leurs droits

• Le Client tient un registre des activités de traitement (Article 30 RGPD)

4.2 Données Sensibles

Si le Client télécharge des données sensibles (Article 9 RGPD), il confirme que :

• Les conditions de l’Article 9 sont respectées (consentement explicite, intérêts légaux, intérêt public majeur)

• Des garanties supplémentaires légales sont mises en place

• Une Évaluation d’Impact a été réalisée si nécessaire

4.3 Gestion des Droits des Personnes Concernées

Le Client est responsable de :

• Recevoir et traiter les demandes des personnes concernées

• Vérifier l’identité avant toute demande de données à ISMS Copilot

• Décider des notifications en cas de violations

• Informer les personnes concernées du rôle d’ISMS Copilot comme sous-traitant

4.4 Configuration de la Conservation des Données

Le Client doit :

• Configurer des durées de conservation adaptées à sa politique de protection des données

• Revoir périodiquement ces paramètres pour conformité

• Demander la suppression quand les données ne sont plus nécessaires

4.5 Isolation des Espaces de Travail

Le Client doit :

• Créer des espaces de travail séparés pour différents clients ou catégories de données

• Éviter de mélanger des données personnelles de différentes personnes dans un même espace

• Supprimer les espaces quand les projets sont terminés et données inutiles

5. Responsabilité et Indemnisation

5.1 Répartition de la Responsabilité

Selon Article 82 RGPD :

• Le Client et ISMS Copilot sont chacun responsables des dommages causés par leurs propres violations du RGPD

• ISMS Copilot est exonéré de responsabilité s’il prouve ne pas être à l’origine du dommage

• ISMS Copilot n’est pas responsable des instructions illégales du Client

5.2 Indemnisation

Le Client indemnisera ISMS Copilot contre toute réclamation, amende ou dommage résultant de :

• Violation du RGPD ou autres lois par le Client

• Instructions illégales de traitement données par le Client

• Défaut du Client d’obtenir les consentements ou bases légales nécessaires

• Téléchargement de données sensibles sans garanties appropriées

6. Durée et Résiliation

6.1 Durée

Cet ATD prend effet quand le Client utilise pour la première fois les services ISMS Copilot et continue tant qu’ISMS Copilot traite les Données du Client.

6.2 Résiliation

Cet ATD prend fin automatiquement à :

• Résiliation des Conditions de Service

• Achèvement de tout traitement et suppression des Données Personnelles du Client

6.3 Effets de la Résiliation

À la résiliation :

• ISMS Copilot supprimera ou restituera toutes les Données Personnelles comme décrit en 2.8

• Obligations de confidentialité, sécurité et conservation légale survivent à la résiliation

• Droit d'audit du Client reste valide 12 mois après résiliation

7. Amendements et Mises à Jour

7.1 Mises à Jour de l'ATD

ISMS Copilot peut mettre à jour cet ATD pour :

• Changements légaux ou réglementaires en protection des données

• Modifications des opérations de traitement ou sous-traitants

• Améliorations des mesures de sécurité ou pratiques de protection

7.2 Notification des Changements

• Changements importants seront notifiés 30 jours à l’avance par email et notification in-app

• L’ATD mis à jour sera publié à cette URL avec une nouvelle "Date d'entrée en vigueur"

• La poursuite de l’utilisation des services après cette date vaut acceptation de l’ATD mis à jour

7.3 Droits d’Opposition

• Le Client peut s’opposer aux changements majeurs dans les 30 jours suivant notification

• En cas d’opposition, le Client peut résilier le service sans pénalité

8. Droit applicable et compétence

8.1 Droit applicable

Cet ATD est régi par :

• Le Règlement Général sur la Protection des Données (UE) 2016/679

• La loi française relative à la protection des données (Loi 78-17 du 6 janvier 1978)

• Le droit français pour l’interprétation contractuelle

8.2 Juridiction

Tout litige sera soumis aux tribunaux français, avec CNIL comme autorité de contrôle compétente.

9. Informations de Contact

9.1 Contacts Protection des Données

Pour questions ou demandes relatives à l’ATD :

• Contactez le support via le Centre d’Aide (accessible depuis le menu utilisateur)

• Envoyez un email depuis votre adresse inscrite

• Incluez "Demande ATD" ou "Accord de Traitement des Données" en objet

9.2 Contact Protection des Données

ISMS Copilot n’a pas désigné de Délégué à la Protection des Données car les critères RGPD Article 37 ne sont pas remplis. Pour toute question relative à cet ATD, contactez [email protected] ou via le Centre d’Aide.

9.3 Autorité de Contrôle

Commission Nationale de l'Informatique et des Libertés (CNIL)

• Site web : https://www.cnil.fr/en

• Adresse : 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, France

• Téléphone : +33 1 53 73 22 22

10. Ressources supplémentaires

Documentation de support

• Registre des Activités de Traitement (RopA) - Détails des opérations et sous-traitants

• Évaluation d’Impact des Transferts (EIT) - Évaluation des risques et protections pour transferts internationaux

• Politique de Confidentialité - Avis public destiné aux consommateurs

• Confidentialité et Conformité RGPD - Guide des droits utilisateurs et mise en œuvre RGPD

• Collection Sécurité - Documentation complète sécurité et conformité

• Page de statut - Disponibilité du système en temps réel et notifications incidents

Guides de configuration

• Mode Protection Avancée des Données - Activer traitement IA exclusivement UE

• Guide d’installation des Espaces de Travail - Isolation des données clients

• Guide de Sécurité du Compte - Mise en œuvre d’authentification forte

Annexe A : Résumé du traitement

Objet

Fourniture d’une plateforme d’assistance conformité IA incluant traitement des conversations, analyse documentaire, et gestion des connaissances.

Durée

Pendant la durée de l’abonnement actif du Client plus la période de conservation configurée (1 jour à 7 ans), suivie d’une suppression sous 30 jours.

Nature et Finalité

• Nature : Traitement automatisé IA, stockage base, conversion et analyse fichiers

• Finalité : Permettre aux professionnels de conformité d’obtenir conseils IA, analyser documents, générer politiques, et gérer connaissances compliance

Catégories des Personnes Concernées

• Employés du Client et utilisateurs autorisés

• Clients du Client (mentionnés dans documents ou requêtes)

• Personnes citées dans les documents de conformité

• Sujets des incidents de sécurité

Catégories de Données Personnelles

• Informations de contact (adresses email)

• Identifiants d’authentification (mots de passe hachés)

• Contenu des conversations et interactions IA

• Documents de conformité téléchargés

• Métadonnées d’usage et horodatages

• Données potentiellement sensibles (Article 9) si téléchargées par le Client

Annexe B : Journal des changements des sous-traitants

À jour en novembre 2025

Liste initiale de sous-traitants établie. Voir Section 2.4 et Registre des Activités pour la liste complète actuelle.

Modifications futures

Tous changements seront documentés ici avec :

• Date d’effet du changement

• Nom et localisation du sous-traitant

• Nature du changement (ajout, retrait, remplacement)

• Finalité de traitement

• Date de notification au Client

Obtenir de l’aide

Pour toute question relative à cet Accord :

• Consultez le Registre des Activités pour détails techniques

• Contactez le support via le Centre d’Aide pour clarifications

• Demandez documents complémentaires (ex. CCS, politiques sécurité) via support

• Visitez notre Collection Sécurité pour ressources complètes

• Incluez "Demande ATD" dans l’objet pour priorité