Accord de traitement des données

ACCORD DE TRAITEMENT DES DONNÉES

Le présent Accord de traitement des données (« ATD ») fait partie intégrante de l'accord principal conclu entre le Client et AIDOCS STUDIO. Il a pour objet de définir les conditions dans lesquelles AIDOCS STUDIO, agissant en qualité de sous-traitant au sens du Règlement (UE) 2016/679 (« RGPD »), traite pour le compte du Client, responsable du traitement, les données à caractère personnel nécessaires à la fourniture des Services tels que définis dans le Contrat.

• INTERPRÉTATION

Lorsque le présent ATD emploie des termes définis dans le RGPD, ces termes ont le même sens que dans le RGPD.

Le présent ATD doit être lu et interprété à la lumière des dispositions du RGPD.

Le présent ATD ne saurait être interprété d'une manière qui irait à l'encontre des droits et obligations prévus par le RGPD ni d'une manière qui porterait atteinte aux libertés et droits fondamentaux des personnes concernées.

• HIÉRARCHIE

En cas de contradiction entre le présent ATD et les dispositions d'accords connexes entre les Parties existant au moment où le présent ATD est convenu, ou conclus ultérieurement, le présent ATD prévaut.

• DESCRIPTION DU OU DES TRAITEMENTS

Le détail des opérations de traitement, en particulier les catégories de données à caractère personnel et les finalités du traitement pour lesquelles les données à caractère personnel sont traitées pour le compte du responsable du traitement, est précisé à l'Annexe I.

• OBLIGATIONS DES PARTIES

• Instructions

AIDOCS STUDIO ne traite les données à caractère personnel que sur instructions documentées du responsable du traitement, à moins d'y être tenu en vertu du droit de l'Union ou du droit de l'État membre auquel AIDOCS STUDIO est soumis. Dans ce cas, AIDOCS STUDIO informe le responsable du traitement de cette obligation juridique avant le traitement, sauf si le droit concerné l'interdit pour des motifs importants d'intérêt public. Des instructions ultérieures peuvent également être données par le responsable du traitement tout au long de la durée du traitement des données à caractère personnel. Ces instructions sont toujours documentées, licites, raisonnables et conformes au périmètre des Services.

AIDOCS STUDIO informe immédiatement le responsable du traitement si, selon AIDOCS STUDIO, des instructions données par le responsable du traitement constituent une violation du RGPD ou des dispositions applicables du droit de l'Union ou du droit de l'État membre relatives à la protection des données.

• Limitation des finalités

AIDOCS STUDIO ne traite les données à caractère personnel que pour la ou les finalités spécifiques du traitement, telles qu'énoncées à l'Annexe I, sauf instructions complémentaires du responsable du traitement.

• Durée du traitement des données à caractère personnel

Le traitement par AIDOCS STUDIO n'a lieu que pour la durée précisée à l'Annexe I.

• Sécurité du traitement

AIDOCS STUDIO met en œuvre les mesures techniques et organisationnelles appropriées afin de garantir la sécurité des données à caractère personnel. Cela inclut la protection des données contre toute violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données ou l'accès non autorisé à celles-ci (violation de données à caractère personnel). Pour évaluer le niveau de sécurité approprié, les Parties tiennent dûment compte de l'état des connaissances, des coûts de mise en œuvre, de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques encourus par les personnes concernées.

AIDOCS STUDIO n'accorde l'accès aux données à caractère personnel faisant l'objet du traitement aux membres de son personnel que dans la stricte mesure nécessaire à l'exécution, à la gestion et au suivi du contrat. AIDOCS STUDIO veille à ce que les personnes autorisées à traiter les données à caractère personnel reçues se soient engagées à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.

• Données sensibles

Les Parties reconnaissent que, en raison de la nature des Services, le traitement des données à caractère personnel peut inclure des données à caractère personnel qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, des données génétiques ou des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé, la vie sexuelle ou l'orientation sexuelle d'une personne physique, ou des données relatives aux condamnations pénales et aux infractions (« Données sensibles »).

Un tel traitement est limité à ce qui est strictement nécessaire à l'exécution des Services et est effectué conformément aux instructions documentées du responsable du traitement et selon les précisions apportées à l'Annexe I.

Le responsable du traitement demeure seul responsable de veiller à ce que le traitement des Données sensibles soit licite au regard des lois applicables en matière de protection des données, y compris l'identification d'une base légale appropriée et le respect de toute condition ou garantie supplémentaire requise pour un tel traitement.

Lorsque des Données sensibles sont traitées, AIDOCS STUDIO met en œuvre des mesures techniques et organisationnelles supplémentaires appropriées, destinées à protéger ces données, en tenant compte de la nature du traitement, des risques pour les personnes concernées et de l'état des connaissances.

• Documentation et conformité

Les Parties sont en mesure de démontrer leur conformité au présent ATD.

AIDOCS STUDIO traite avec diligence et de manière adéquate les demandes du responsable du traitement relatives au traitement des données conformément au présent ATD.

AIDOCS STUDIO met à la disposition du responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations énoncées dans le présent ATD et découlant directement du RGPD, telles que ses politiques internes, ses procédures de sécurité, ainsi que les rapports d'audit indépendants et certifications pertinents (y compris ISO/CEI 27001, SOC 2 ou équivalent). Le responsable du traitement s'engage à examiner ces éléments en priorité.

• Audit

Si, après examen de la documentation fournie, le Client estime raisonnablement que celle-ci est insuffisante pour démontrer la conformité d'AIDOCS STUDIO, le Client peut, à ses propres frais, procéder à un audit des activités de traitement couvertes par le présent ATD, sous réserve des conditions suivantes :

• l'audit doit être notifié par écrit moyennant un préavis d'au moins trente (30) jours, sauf situations d'urgence dûment justifiées (notamment en cas de suspicion de violation de données ou d'instruction formelle d'une autorité de contrôle), auquel cas un préavis réduit de trois (3) jours peut s'appliquer ;
• l'audit ne peut avoir lieu plus d'une fois tous les douze (12) mois, sauf en cas de violation avérée ou d'instruction d'une autorité de contrôle ;
• l'audit est mené pendant les heures ouvrables normales et ne perturbe pas de manière déraisonnable les activités d'AIDOCS STUDIO ;
• l'audit est réalisé par un auditeur tiers indépendant, préalablement agréé par AIDOCS STUDIO, n'entretenant aucune relation de concurrence ni aucun conflit d'intérêts avec AIDOCS STUDIO, et soumis à une stricte obligation de confidentialité ;
• l'accès accordé est strictement limité aux systèmes, données, documents et locaux pertinents au regard de la finalité de l'audit, à l'exclusion de toute information relative à d'autres clients ou à la sécurité globale de l'infrastructure d'AIDOCS STUDIO.

Chaque Partie supporte ses propres coûts liés à l'audit. AIDOCS STUDIO supporte ses coûts internes raisonnables liés à la mobilisation de ses équipes, à la préparation de la documentation et au temps consacré, dans la limite de deux (2) jours-homme. Au-delà de ce seuil, tout coût supplémentaire encouru par AIDOCS STUDIO (y compris le temps additionnel, la mobilisation de ressources ou l'assistance technique ou administrative) est facturé au Client sur présentation d'un décompte détaillé.

Chaque Partie s'engage à coopérer de bonne foi avec l'autorité de contrôle compétente en cas de demande formelle, dans les limites de ses obligations respectives au titre du présent ATD.

• Recours à des sous-traitants ultérieurs

AIDOCS STUDIO bénéficie de l'autorisation générale du responsable du traitement pour faire appel à des sous-traitants ultérieurs figurant sur une liste convenue. AIDOCS STUDIO informe spécifiquement par écrit le responsable du traitement de tout changement envisagé de cette liste par l'ajout ou le remplacement de sous-traitants ultérieurs, au moins trente (30) jours à l'avance, donnant ainsi au responsable du traitement un délai suffisant pour pouvoir s'opposer à ces changements avant que le ou les sous-traitants ultérieurs concernés ne soient mobilisés. AIDOCS STUDIO fournit au responsable du traitement les informations nécessaires pour lui permettre d'exercer son droit d'opposition.

Lorsque AIDOCS STUDIO fait appel à un sous-traitant ultérieur pour mener des activités de traitement spécifiques (pour le compte du responsable du traitement), il le fait au moyen d'un contrat qui impose au sous-traitant ultérieur, en substance, les mêmes obligations en matière de protection des données que celles imposées au sous-traitant conformément au présent ATD. AIDOCS STUDIO veille à ce que le sous-traitant ultérieur respecte les obligations auxquelles AIDOCS STUDIO est soumis en vertu du présent ATD et du RGPD.

À la demande du responsable du traitement, AIDOCS STUDIO lui fournit une copie d'un tel contrat de sous-traitance ultérieure ainsi que de ses avenants successifs. Dans la mesure nécessaire à la protection du secret des affaires ou d'autres informations confidentielles, y compris des données à caractère personnel, AIDOCS STUDIO peut occulter le texte du contrat avant d'en communiquer la copie.

AIDOCS STUDIO demeure pleinement responsable envers le responsable du traitement de l'exécution des obligations du sous-traitant ultérieur conformément à son contrat avec AIDOCS STUDIO. AIDOCS STUDIO notifie au responsable du traitement tout manquement du sous-traitant ultérieur à ses obligations contractuelles.

AIDOCS STUDIO met en œuvre des efforts raisonnables pour convenir d'une clause de stipulation pour autrui, ou de tout mécanisme équivalent, avec tout sous-traitant ultérieur, en vertu de laquelle, dans l'hypothèse où AIDOCS STUDIO aurait matériellement disparu, aurait cessé d'exister en droit ou serait devenu insolvable, le Client aurait le droit de résilier le contrat de sous-traitance ultérieure et d'enjoindre au sous-traitant ultérieur d'effacer ou de restituer les données à caractère personnel.

Lorsqu'une telle clause ou un tel mécanisme ne peut être obtenu, AIDOCS STUDIO coopère de bonne foi avec le Client afin de faciliter les communications directes avec le sous-traitant ultérieur, en particulier pour permettre l'effacement ou la restitution des données à caractère personnel dans les meilleurs délais.

• Transferts internationaux

Tout transfert de données vers un pays tiers ou une organisation internationale par AIDOCS STUDIO n'est effectué que sur la base d'instructions documentées du responsable du traitement ou en vue de satisfaire à une obligation spécifique au titre du droit de l'Union ou du droit de l'État membre auquel AIDOCS STUDIO est soumis, et s'opère dans le respect du chapitre V du RGPD.

Le responsable du traitement convient que, lorsque AIDOCS STUDIO fait appel à un sous-traitant ultérieur conformément à la Section 4.7 pour mener des activités de traitement spécifiques (pour le compte du responsable du traitement) et que ces activités de traitement impliquent un transfert de données à caractère personnel au sens du chapitre V du RGPD, AIDOCS STUDIO et le sous-traitant ultérieur peuvent assurer le respect du chapitre V du RGPD en recourant aux clauses contractuelles types adoptées par la Commission conformément à l'article 46, paragraphe 2, du RGPD, sous réserve que les conditions d'utilisation de ces clauses contractuelles types soient réunies.

• ASSISTANCE AU RESPONSABLE DU TRAITEMENT

AIDOCS STUDIO notifie sans délai au responsable du traitement toute demande qu'il a reçue de la personne concernée. Il ne répond pas lui-même à la demande, sauf autorisation du responsable du traitement à cet effet.

AIDOCS STUDIO aide le responsable du traitement à s'acquitter de son obligation de donner suite aux demandes dont les personnes concernées le saisissent en vue d'exercer leurs droits, en tenant compte de la nature du traitement. Dans l'exécution de ses obligations, AIDOCS STUDIO se conforme aux instructions du responsable du traitement.

En outre, AIDOCS STUDIO aide le responsable du traitement à assurer le respect des obligations suivantes, en tenant compte de la nature du traitement des données, de l'architecture technique des Services et des informations à la disposition d'AIDOCS STUDIO :

• l'obligation d'effectuer une analyse de l'impact des opérations de traitement envisagées sur la protection des données à caractère personnel (une « analyse d'impact relative à la protection des données ») lorsqu'un type de traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques ;
• l'obligation de consulter la ou les autorités de contrôle compétentes préalablement au traitement lorsqu'une analyse d'impact relative à la protection des données indique que le traitement engendrerait un risque élevé en l'absence de mesures prises par le responsable du traitement pour atténuer ce risque ;
• l'obligation de veiller à ce que les données à caractère personnel soient exactes et à jour, en informant sans délai le responsable du traitement si AIDOCS STUDIO constate que les données à caractère personnel qu'il traite sont inexactes ou sont devenues obsolètes ;
• les obligations prévues à l'article 32 du RGPD.

L'assistance fournie par AIDOCS STUDIO au titre de la présente Section est limitée à un maximum de deux (2) jours-homme par année civile, lesquels sont compris dans les redevances dues au titre de l'accord principal.

Toute assistance demandée par le responsable du traitement au-delà de cette limite, ou requérant un niveau d'effort matériellement disproportionné au regard de la nature du traitement ou des Services, fait l'objet de frais supplémentaires, calculés sur la base d'un devis à convenir préalablement entre les Parties. AIDOCS STUDIO n'est pas tenu d'entamer une telle assistance supplémentaire avant que ce devis n'ait été accepté par écrit par le responsable du traitement.

• NOTIFICATION DES VIOLATIONS DE DONNÉES À CARACTÈRE PERSONNEL

En cas de violation de données à caractère personnel, AIDOCS STUDIO coopère avec le responsable du traitement et l'assiste afin de lui permettre de se conformer à ses obligations au titre des articles 33 et 34 du RGPD, le cas échéant, en tenant compte de la nature du traitement et des informations à la disposition d'AIDOCS STUDIO.

En cas de violation de données à caractère personnel concernant des données traitées par AIDOCS STUDIO, AIDOCS STUDIO le notifie au responsable du traitement sans retard injustifié après en avoir pris connaissance. Cette notification contient au minimum :

• une description de la nature de la violation (y compris, si possible, les catégories et le nombre approximatif de personnes concernées et d'enregistrements de données concernés) ;
• les coordonnées d'un point de contact auprès duquel des informations complémentaires sur la violation de données à caractère personnel peuvent être obtenues ;
• ses conséquences probables ainsi que les mesures prises ou qu'il est proposé de prendre pour remédier à la violation, y compris pour en atténuer les éventuelles conséquences négatives.

Une telle notification ne saurait être interprétée comme une reconnaissance de faute ou de responsabilité de la part d'AIDOCS STUDIO.

Lorsque, et dans la mesure où, il n'est pas possible de fournir toutes ces informations simultanément, la notification initiale contient les informations alors disponibles, et des informations complémentaires sont ensuite communiquées, au fur et à mesure qu'elles deviennent disponibles, sans retard injustifié.

• RESPONSABILITÉ

La responsabilité de chaque Partie née du présent ATD ou en lien avec celui-ci est régie exclusivement par les stipulations relatives à la responsabilité énoncées dans les Conditions générales.

Aucune stipulation du présent ATD ne saurait être réputée créer une responsabilité supplémentaire ni modifier l'étendue, les limitations ou les plafonds de responsabilité convenus entre les Parties au titre des Conditions générales, dans la mesure permise par le droit applicable.

• NON-RESPECT DES CLAUSES ET RÉSILIATION

Sans préjudice des dispositions du RGPD, dans l'hypothèse où AIDOCS STUDIO manquerait à ses obligations au titre du présent ATD, le responsable du traitement peut enjoindre à AIDOCS STUDIO de suspendre le traitement des données à caractère personnel jusqu'à ce que ce dernier se conforme au présent ATD ou que le contrat soit résilié. AIDOCS STUDIO informe sans délai le responsable du traitement s'il se trouve, pour quelque raison que ce soit, dans l'incapacité de se conformer au présent ATD.

Le responsable du traitement est en droit de résilier le contrat, dans la mesure où il concerne le traitement de données à caractère personnel conformément au présent ATD, si :

• le traitement des données à caractère personnel par AIDOCS STUDIO a été suspendu par le responsable du traitement en vertu de la présente Section et si la conformité au présent ATD n'est pas rétablie dans un délai raisonnable et, en tout état de cause, dans un délai d'un mois suivant la suspension ;
• AIDOCS STUDIO manque de manière substantielle ou persistante au présent ATD ou à ses obligations au titre du RGPD ;
• AIDOCS STUDIO ne se conforme pas à une décision contraignante d'une juridiction compétente ou de la ou des autorités de contrôle compétentes concernant ses obligations au titre du présent ATD ou du RGPD.

AIDOCS STUDIO est en droit de résilier le contrat, dans la mesure où il concerne le traitement de données à caractère personnel au titre du présent ATD, lorsque, après avoir informé le responsable du traitement que ses instructions enfreignent les exigences légales applicables conformément à la Section 4.1, le responsable du traitement maintient ses instructions.

À l'issue de la résiliation du contrat, AIDOCS STUDIO, au choix du responsable du traitement, supprime toutes les données à caractère personnel traitées pour le compte du responsable du traitement et lui certifie l'avoir fait, ou restitue au responsable du traitement l'ensemble des données à caractère personnel et supprime les copies existantes, à moins que le droit de l'Union ou le droit de l'État membre n'exige la conservation des données à caractère personnel. Jusqu'à ce que les données soient supprimées ou restituées, AIDOCS STUDIO continue d'assurer le respect du présent ATD.

La suppression est effectuée conformément aux processus techniques standard d'AIDOCS STUDIO, y compris les politiques applicables de conservation des sauvegardes.

Date d'entrée en vigueur :

30 mars 2026

• ANNEXE I : DESCRIPTION DU TRAITEMENT

• Catégories de personnes concernées

• Utilisateurs autorisés des Services (salariés, prestataires ou représentants du Client)
• Personnes mentionnées dans le contenu des requêtes de l'utilisateur et des documents générés (par exemple cocontractants, représentants légaux, salariés, actionnaires ou autres tiers)

• Catégories de données à caractère personnel

• Données d'identification (telles que nom, prénom, fonction professionnelle, dénomination sociale, coordonnées professionnelles)
• Données professionnelles (telles que rôle, poste, employeur, informations à caractère professionnel)
• Contenu des requêtes de l'utilisateur soumises par courriel, susceptible de contenir des données à caractère personnel selon les informations fournies par l'utilisateur
• Contenu des documents générés par les Services, susceptible de contenir des données à caractère personnel selon les instructions de l'utilisateur

• Données sensibles traitées

Selon la nature des requêtes de l'utilisateur et le contenu fourni par le Client, les Services peuvent traiter des catégories particulières de données à caractère personnel au sens des articles 9 et 10 du RGPD, y compris des données relatives à la santé, à l'appartenance syndicale, aux condamnations pénales et aux infractions, ou d'autres informations sensibles.

Tout traitement de telles données sensibles est déterminé et contrôlé exclusivement par le Client à travers son utilisation des Services et les informations qu'il choisit de soumettre. Le sous-traitant n'exige, ne sollicite ni ne recherche activement le traitement de telles catégories particulières de données à caractère personnel.

• Nature du traitement

• Collecte des requêtes de l'utilisateur soumises par courriel
• Analyse et traitement automatisés de ces requêtes par un système d'intelligence artificielle aux fins de générer des projets de documents juridiques
• Génération de projets de documents juridiques sur la base des instructions de l'utilisateur
• Transmission des documents générés à l'utilisateur par courriel
• Traitement technique transitoire, y compris la mise en mémoire tampon de courte durée, la journalisation et la conservation liée à la sécurité, strictement nécessaires à l'exécution des Requêtes et au respect des obligations légales

• Finalité(s) pour laquelle ou lesquelles les données à caractère personnel sont traitées pour le compte du responsable du traitement

• Fourniture des Services, à savoir la rédaction automatisée de documents juridiques sur la base des instructions de l'utilisateur
• Exploitation et maintenance des Services, y compris le suivi de la sécurité, de la fiabilité et de la performance
• Respect des obligations légales applicables

• Durée du traitement

Pendant la durée du Contrat, les données à caractère personnel sont traitées uniquement de manière transitoire, requête par requête, aux fins de l'exécution de chaque Requête.

Aucune donnée à caractère personnel n'est stockée ni conservée par le sous-traitant au-delà de cette exécution, sauf lorsque le droit applicable l'exige ou que cela est strictement nécessaire à des fins de sécurité ou de conformité légale.

• ANNEXE II : LISTE DES SOUS-TRAITANTS ULTÉRIEURS

Certains des sous-traitants d'IA ci-dessous ne sont utilisés que lorsqu'ils sont sélectionnés par AIDOCS STUDIO pour une requête, un flux de travail ou une configuration de routage de modèle donnés.

Nom

Adresse

Description du traitement

Localisation des données

Microsoft Ireland Operations Limited (Microsoft 365)

One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irlande

Traitement des courriels de service entrants et sortants, des métadonnées de messages et des données de collaboration et de sécurité associées, nécessaires au fonctionnement des Services et à la remise des résultats aux utilisateurs

Union européenne (EU Data Boundary – Microsoft 365)

MacStadium, Inc.

2093 Philadelphia Pike #2130, Claymont, DE 19703, USA

Infrastructure d'hébergement dédiée pour les serveurs macOS de production exécutant la plateforme MAX et les services opérationnels associés

Irlande (centre de données MacStadium Dublin)

Backblaze, Inc.

2261 Market Street, Suite 81006, San Francisco, CA 94114, USA

Stockage chiffré et délocalisé des sauvegardes des données opérationnelles de production et des sauvegardes système

Union européenne (EU Central – région d'Amsterdam)

OpenAI OpCo, LLC

3180 18th Street, San Francisco, CA 94110, USA

Inférence de modèles d'IA pour l'analyse, la rédaction et la transformation des contenus fournis par l'utilisateur

États-Unis ou Union européenne selon la résidence des données configurée

Anthropic PBC

548 Market Street, PMB 90375, San Francisco, CA 94104, USA

Inférence de modèles d'IA pour l'analyse, la rédaction et la transformation des contenus fournis par l'utilisateur (modèles Claude)

États-Unis

Google Ireland Limited (Gemini)

Gordon House, Barrow Street, Dublin 4, Irlande

Inférence de modèles d'IA pour l'analyse, la rédaction et la transformation des contenus fournis par l'utilisateur (modèles Gemini)

Union européenne

Mistral AI SAS

15 Rue des Halles, 75001 Paris, France

Inférence de modèles d'IA pour l'analyse, la rédaction et la transformation des contenus fournis par l'utilisateur (modèles Mistral)

Union européenne