Accord de traitement des données

Le présent accord de traitement des données (le « DPA ») est une annexe des conditions générales d'utilisation (les « CGU »), dont il reprend les définitions, et en fait partie intégrante (article 12 des CGU). Il est accepté avec les CGU.

1. Objet

Le DPA définit les conditions dans lesquelles Raygister, agissant en qualité de sous-traitant au sens du règlement (UE) 2016/679 du 27 avril 2016 (le « RGPD »), effectue pour le compte du Client les traitements de données à caractère personnel nécessaires à la fourniture de la Plateforme.

Le « Client » désigne l'Organisation ou l'Utilisateur professionnel qui agit en qualité de responsable de traitement et utilise la Plateforme pour ses activités professionnelles, quel que soit le rôle qui lui est attribué sur la Plateforme (Consultant, Consulté ou MOA). Raygister et le Client sont ensemble les « Parties ».

Les traitements que Raygister réalise en qualité de responsable de traitement (comptes, facturation, Commission, sécurité, support, prospection) ne relèvent pas du DPA ; ils sont décrits dans la politique de confidentialité.

2. Description des traitements confiés

2.1 Objet des traitements. Les traitements confiés à Raygister portent sur l'hébergement, la collecte, l'enregistrement, l'organisation, la structuration, la conservation, la consultation, la transmission, la mise à disposition et l'archivage des Contenus et données renseignés sur la Plateforme et, le cas échéant, sur leur analyse assistée par l'intelligence artificielle.

2.2 Finalités. Les traitements sont réalisés exclusivement pour :

• permettre la création, l'administration et le suivi des projets ;
• structurer les descriptifs, lots, spécifications et documents des projets ;
• permettre les échanges entre Utilisateurs autorisés ;
• recueillir les offres et les mettre à disposition ;
• permettre la comparaison, la synthèse, l'attribution, le suivi et l'archivage des éléments liés aux Consultations et aux Marchés ;
• recueillir et partager les documents administratifs des entreprises consultées ;
• fournir l'assistance par intelligence artificielle : lecture des documents, plans et devis, structuration et rédaction des descriptifs, rapprochement et comparaison des offres ;
• assurer les autres fonctionnalités de la Plateforme utilisées par le Client.

Les fonctionnalités d'intelligence artificielle sont des outils. Elles ne se substituent ni au contrôle, ni aux arbitrages, ni aux validations, ni aux décisions du Client et des Utilisateurs autorisés. Raygister ne prend, pour le compte du Client, aucune décision entièrement automatisée produisant des effets juridiques ou significatifs à l'égard des personnes concernées.

2.3 Durée. Les données sont traitées pendant la durée nécessaire à la fourniture de la Plateforme et à la gestion du projet concerné :

• les Contenus d'un projet sont conservés pendant la vie du projet, puis quatre-vingt-dix (90) jours après sa suppression ;
• un document supprimé est effacé définitivement trente (30) jours après sa suppression ;
• les Contenus liés à un Marché sont conservés dix (10) ans à compter de sa signature ou, à défaut, de son attribution (article 11 des CGU).

À l'issue de ces durées, les données sont supprimées dans les conditions de l'article 10, sauf obligation légale de conservation.

2.4 Nature des opérations. Raygister réalise les opérations nécessaires au fonctionnement de la Plateforme, notamment l'hébergement, l'enregistrement, l'organisation, la structuration, la mise à disposition, la conservation, l'archivage et la suppression des données, ainsi que les opérations techniques nécessaires au support, à la maintenance, à la sécurité et à la journalisation.

2.5 Catégories de données. Selon l'usage que le Client fait de la Plateforme, les données traitées pour son compte peuvent comprendre :

• les données d'identification et de contact des Utilisateurs et des personnes mentionnées sur la Plateforme ;
• les données professionnelles et administratives des Organisations, des entreprises consultées et des intervenants du projet, y compris les documents administratifs déposés ou partagés (attestations, assurances, qualifications, coordonnées bancaires, liste nominative des salariés étrangers) ;
• les données relatives aux projets, aux Consultations et aux Marchés ;
• les documents et Contenus déposés sur la Plateforme ;
• les données traitées par les fonctionnalités d'intelligence artificielle ;
• les journaux d'accès, horodatages, actions réalisées et métadonnées techniques nécessaires à la sécurité, à la traçabilité, au support et à la maintenance.

2.6 Personnes concernées. Les traitements concernent les personnes dont les données sont renseignées, importées ou rendues accessibles sur la Plateforme par le Client ou par les Utilisateurs autorisés, notamment les Utilisateurs, les représentants, salariés, collaborateurs, prestataires ou contacts du Client, les Consultés, le MOA et toute personne mentionnée dans les Contenus, documents, offres ou échanges.

3. Instructions du Client

Raygister ne traite les données à caractère personnel que sur instruction documentée du Client, y compris pour les transferts vers un pays tiers ou une organisation internationale, sauf s'il y est tenu par le droit applicable ; dans ce cas, Raygister informe le Client de cette obligation avant le traitement, sauf si la loi l'interdit.

Les CGU, le DPA, les paramétrages opérés par le Client sur la Plateforme (notamment l'activation de la bibliothèque d'organisation) et les demandes d'assistance ou de support qu'il formule constituent ses instructions documentées, sous réserve de leur licéité.

Si Raygister considère qu'une instruction constitue une violation du RGPD ou d'une autre disposition applicable en matière de protection des données, il en informe le Client dans les meilleurs délais.

4. Confidentialité

Raygister veille à ce que les personnes autorisées à traiter les données à caractère personnel :

• s'engagent à respecter leur confidentialité ou soient soumises à une obligation légale appropriée de confidentialité ;
• reçoivent la sensibilisation nécessaire en matière de protection des données et de sécurité.

5. Sécurité

Raygister met en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, compte tenu de l'état des connaissances, des coûts de mise en œuvre, de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les droits et libertés des personnes concernées. Ces mesures comprennent notamment :

• le contrôle des accès logiques aux systèmes et aux données ;
• l'authentification des Utilisateurs ;
• la gestion des habilitations ;
• la journalisation des actions et événements pertinents ;
• la sauvegarde et la restauration des données ;
• le cloisonnement logique des données entre Organisations et entre entreprises consultées ;
• le chiffrement des échanges ;
• la détection, la correction et la gestion des incidents ;
• des procédures internes de sécurité et de continuité.

Raygister peut faire évoluer ces mesures pour maintenir un niveau de sécurité approprié, sans le réduire.

6. Sous-traitants ultérieurs

Le Client autorise de manière générale Raygister à recourir à des sous-traitants ultérieurs pour l'exécution de la Plateforme. Leur liste est publiée à l'article 4 de la politique de confidentialité.

Raygister s'engage à :

• imposer à tout sous-traitant ultérieur, par contrat, des obligations de protection des données au moins équivalentes à celles du DPA ;
• s'assurer qu'il présente des garanties suffisantes ;
• demeurer responsable à l'égard du Client de l'exécution de ses obligations par le sous-traitant ultérieur.

Raygister informe le Client de tout ajout ou remplacement envisagé d'un sous-traitant ultérieur, par la mise à jour de cette liste et par e-mail aux administrateurs de l'Organisation, avant que ce sous-traitant ne traite les données du Client. Le Client peut s'y opposer pour un motif légitime tenant à la protection des données ; à défaut de solution entre les Parties, il peut cesser d'utiliser la Plateforme et, s'il en a souscrit une, résilier sa licence dans les conditions des CGV.

7. Localisation et transferts

Les données traitées pour le compte du Client sont hébergées dans l'Union européenne, en Irlande.

Certains sous-traitants ultérieurs, notamment les fournisseurs des modèles d'intelligence artificielle, peuvent traiter des données hors de l'Union européenne ou de l'Espace économique européen. Le Client autorise ces transferts, qui sont encadrés par une décision d'adéquation de la Commission européenne (notamment le cadre de protection des données UE-États-Unis pour les sociétés certifiées) ou par ses clauses contractuelles types. Une copie de ces garanties peut être obtenue à contact@raygister.com.

Tout nouveau transfert résultant d'un changement de sous-traitant ultérieur suit l'article 6.

8. Assistance au Client

Compte tenu de la nature du traitement, Raygister aide le Client, par des mesures techniques et organisationnelles appropriées et dans la mesure du possible, à donner suite aux demandes d'exercice des droits des personnes concernées.

Raygister aide également le Client, dans la mesure du possible et compte tenu des informations dont il dispose, à satisfaire à ses obligations relatives :

• à la sécurité du traitement ;
• à la notification des violations de données à caractère personnel à l'autorité de contrôle ;
• à la communication de ces violations aux personnes concernées, lorsqu'elle est requise ;
• aux analyses d'impact relatives à la protection des données ;
• à la consultation préalable de l'autorité de contrôle, lorsqu'elle est requise.

Lorsque Raygister reçoit directement une demande d'une personne concernée portant sur des données traitées pour le compte du Client, il la transmet au Client, sauf obligation légale contraire.

9. Violations de données

Raygister notifie au Client toute violation de données à caractère personnel affectant les traitements réalisés pour son compte, dans les meilleurs délais après en avoir pris connaissance.

La notification comprend, dans la mesure du possible, les informations dont dispose Raygister pour permettre au Client d'apprécier la portée de l'incident et de satisfaire à ses propres obligations : nature de la violation, catégories et nombre approximatif de personnes et de données concernées, conséquences probables, mesures prises ou envisagées.

10. Sort des données en fin de contrat

À la fin de l'utilisation de la Plateforme par le Client, Raygister lui permet d'accéder aux données traitées pour son compte et de les récupérer au moyen des fonctionnalités d'export disponibles (descriptifs et offres aux formats tableur et PDF, téléchargement groupé des documents).

Raygister supprime ensuite ces données et leurs copies selon les durées de l'article 2.3. Certaines données peuvent être conservées plus longtemps lorsque cela est nécessaire au respect d'une obligation légale, à la conservation des Contenus liés à un Marché, à la sécurité de la Plateforme, à la prévention des abus ou à la défense des droits de Raygister ou du Client. Elles le sont alors pour une durée limitée et ne sont plus utilisées pour les besoins courants de la Plateforme.

11. Information et audit

Raygister met à la disposition du Client les informations raisonnablement nécessaires pour démontrer le respect des obligations du DPA.

Le Client peut, une fois par période de douze (12) mois et pour un motif légitime lié à la protection des données ou à la sécurité, demander des informations complémentaires ou la réalisation d'un audit, par lui-même ou par un auditeur indépendant tenu à la confidentialité. Sauf violation avérée, injonction d'une autorité compétente ou incident de sécurité grave, l'audit est soumis aux conditions suivantes :

• un préavis raisonnable ;
• un périmètre limité aux traitements concernés ;
• l'absence de perturbation excessive de l'activité de Raygister ;
• le respect des obligations de confidentialité et de sécurité de Raygister et de ses autres clients ;
• une réalisation pendant les heures ouvrées, sauf accord contraire ;
• un audit documentaire ou à distance en première intention.

Les coûts de l'audit sont supportés par le Client, sauf manquement grave établi de Raygister.

12. Hiérarchie contractuelle

En cas de contradiction entre le DPA et les autres stipulations contractuelles applicables entre les Parties, le DPA prévaut pour tout ce qui concerne la protection des données à caractère personnel traitées par Raygister en qualité de sous-traitant.