Accord de sous-traitance des données personnelles
Article 28 du RGPD. Version du 17 octobre 2026.
Annexe aux conditions générales de vente de MutuaCore AI, conclue en application de l'article 28 du règlement (UE) 2016/679 (RGPD) entre le Client (responsable du traitement) et Jean-Luc Cadignan, entrepreneur individuel, SIREN 983 460 353 (sous-traitant, le « Prestataire »).
Article 1 – Objet et rôles
Le présent accord fixe les conditions dans lesquelles le Prestataire traite, pour le compte du Client, les données personnelles contenues dans les Données du Client. Le Client détermine les finalités et les moyens essentiels du traitement ; il est responsable de sa licéité, notamment de l'information des personnes concernées. Le Prestataire agit uniquement sur ses instructions. L'accord s'applique pendant toute la durée du contrat, puis jusqu'à la suppression complète des données.
Article 2 – Description du traitement
| Élément | Description |
|---|---|
| Finalité | Fournir le Service : stocker et indexer les documents, rechercher les passages utiles, produire les réponses des Agents, exécuter les actions validées, tenir le journal d'audit, assurer le support et les sauvegardes |
| Nature des opérations | Collecte, stockage, indexation (vectorisation), consultation, transmission au fournisseur d'IA, envoi d'e-mails demandé par le Client, sauvegarde, suppression |
| Catégories de données | Données contenues dans les documents et questions du Client, déterminées par lui ; données des Utilisateurs : nom, adresse e-mail, rôle, historique de connexion, adresse IP et navigateur inscrits au journal d'audit |
| Données sensibles | Non requises par le Service. Le Client s'abstient d'y déposer des données des articles 9 et 10 du RGPD, sauf base légale et nécessité qu'il a lui-même vérifiées |
| Personnes concernées | Utilisateurs du Client ; personnes citées dans les documents du Client (salariés, clients, fournisseurs, partenaires) |
| Durée | Durée du contrat, puis suppression dans les délais de l'article 19 des CGV (30 jours après la fin du contrat, 30 jours de plus pour les sauvegardes chiffrées) |
Article 3 – Obligations du Prestataire
Le Prestataire s'engage à :
- Instructions : ne traiter les données que sur instruction documentée du Client (les CGV, le présent accord et les réglages du Client dans le Service), y compris pour les transferts hors de l'Union européenne. Il informe immédiatement le Client s'il estime qu'une instruction enfreint le RGPD.
- Confidentialité : ne donner accès aux données qu'aux personnes qui en ont besoin pour le Service, tenues à la confidentialité. À ce jour, seul le Prestataire lui-même a un accès d'administration.
- Sécurité : appliquer les mesures décrites en annexe et les maintenir à un niveau adapté au risque (article 32 du RGPD).
- Violations de données : notifier au Client toute violation de données personnelles dans un délai maximal de 48 heures après en avoir pris connaissance, avec les informations disponibles (nature, catégories et nombre approximatif de personnes et de données, conséquences probables, mesures prises), complétées au fur et à mesure.
- Droits des personnes : aider le Client à répondre aux demandes d'accès, de rectification, d'effacement, de limitation et de portabilité. Le Client peut consulter, télécharger et supprimer lui-même ses documents dans le Service ; le Prestataire traite les autres demandes sous 10 jours ouvrés. Une demande reçue directement d'une personne concernée est transmise sans délai au Client.
- Analyses d'impact : fournir au Client les informations utiles à ses analyses d'impact et à ses échanges avec la CNIL.
- Fin du contrat : restituer puis supprimer les données dans les conditions de l'article 19 des CGV, et confirmer la suppression par écrit sur demande, sauf obligation légale de conservation.
- Audit : mettre à disposition les informations nécessaires pour démontrer le respect du présent accord, et permettre un audit par le Client ou un auditeur indépendant tenu au secret, une fois par an, annoncé 30 jours à l'avance, à la charge du Client, sans accès aux données des autres clients.
- Registre : tenir le registre des catégories de traitements effectués pour le compte de ses clients (article 30.2 du RGPD).
Le Client s'engage à fournir des instructions licites, à informer les personnes concernées, et à ne déposer que des données nécessaires à ses finalités.
Article 4 – Sous-traitants ultérieurs
Le Client autorise le recours aux sous-traitants ultérieurs ci-dessous. Le Prestataire leur impose par contrat des obligations de protection équivalentes à celles du présent accord et reste responsable de leur respect.
| Sous-traitant | Rôle | Données concernées | Localisation |
|---|---|---|---|
| OVH SAS, 2 rue Kellermann, 59100 Roubaix | Hébergement du serveur de l'application et des bases de données | Toutes les Données du Client | France |
| Scaleway SAS, 8 rue de la Ville l'Évêque, 75008 Paris | Stockage des documents déposés et des sauvegardes chiffrées | Documents, sauvegardes | France (Paris) |
| Mistral AI, 15 rue des Halles, 75001 Paris | Vectorisation des passages et production des réponses des Agents | Passages de documents et questions transmis à chaque requête ; conservés 30 jours par Mistral pour la détection d'abus, jamais utilisés pour l'entraînement (option désactivée) | À confirmer sur la liste publique de Mistral |
| Brevo | Envoi des e-mails du Service (invitations, notifications, e-mails validés par le Client) | Adresses e-mail et contenu des messages | France |
| Google (Google Workspace) | Messagerie du support (contact@mutuacore.com) | Ce que le Client écrit au support | Union européenne ; transferts possibles vers les États-Unis |
Le Prestataire informe le Client par e-mail au moins 30 jours avant tout ajout ou remplacement d'un sous-traitant ultérieur. Le Client peut s'y opposer pour un motif légitime lié à la protection des données ; à défaut d'accord, il peut résilier le contrat sans frais avant la prise d'effet du changement.
Article 5 – Transferts hors de l'Union européenne
Les Données du Client sont hébergées et stockées en France. Aucun transfert hors de l'Espace économique européen n'est effectué par le Prestataire. Si un sous-traitant ultérieur en effectue un, il doit reposer sur une décision d'adéquation de la Commission européenne (y compris le cadre UE–États-Unis de protection des données) ou sur les clauses contractuelles types, avec les mesures complémentaires nécessaires.
Annexe – Mesures techniques et organisationnelles
Chaque mesure ci-dessous existe dans le Service au 17 octobre 2026.
| Domaine | Mesure |
|---|---|
| Isolation des clients | Chaque Organisation est isolée par la sécurité au niveau des lignes de la base de données (PostgreSQL, politiques forcées) ; l'application se connecte avec un compte sans privilège d'administration, qui ne peut pas contourner cette isolation |
| Contrôle des actions de l'IA | Les règles par type d'action sont appliquées par le Service et vérifiées par une contrainte de la base de données : seules la lecture et l'écriture peuvent être autorisées sans validation |
| Journal d'audit | L'application ne peut qu'ajouter des lignes au journal ; elle n'a pas le droit d'en modifier ni d'en supprimer |
| Chiffrement en transit | Accès au Service uniquement en HTTPS |
| Authentification | Mots de passe stockés sous forme d'empreinte Argon2 ; double authentification disponible ; limitation des tentatives de connexion |
| Secrets des connecteurs | Identifiants des connecteurs chiffrés avec une clé dédiée, distincte de celle de la double authentification |
| Documents | Stockage dans un espace privé dédié, en France ; type réel du fichier contrôlé au dépôt ; taille limitée à 20 Mo ; intégrité vérifiée au téléchargement |
| Sauvegardes | Sauvegarde quotidienne des bases, chiffrée (age), envoyée vers un espace dédié accessible en écriture seule depuis le serveur, effacée automatiquement après 30 jours |
| IA | Journal des requêtes d'IA sans leur contenu ; plafonds de dépense et arrêt d'urgence ; aucun envoi à un fournisseur d'IA autre que Mistral AI |
| Organisation | Accès d'administration limité au Prestataire ; mises en production contrôlées et déclenchées manuellement |