Contrat de traitement des données à caractère personnel

Article 1 — Qualité des parties

Le Cabinet — cabinet de conseil ou consultant indépendant utilisateur du Service — agit en qualité de responsable de traitement pour les données de ses missions, y compris celles concernant ses clients finaux et leurs collaborateurs.

Purple Pepper, Société par Actions Simplifiée (SAS), 120 rue du Porteau, 86000 Poitiers, France, 911 238 087 R.C.S. Poitiers, agit en qualité de sous-traitant.

Lorsqu'un client final du Cabinet est lui-même soumis au RGPD pour les données de ses salariés, il conserve sa qualité de responsable de traitement à leur égard ; le Cabinet est alors sous-traitant à son égard, et Purple Pepper sous-traitant ultérieur.

Article 2 — Objet, nature, finalité et durée

Objet. Fourniture du Service Climate Office Carbon : hébergement, traitement et restitution des données nécessaires à la réalisation de bilans d'émissions de gaz à effet de serre.

Nature des opérations. Collecte par import ou saisie, structuration, rapprochement, calcul, conservation, consultation, export, suppression.

Finalité. Exclusivement l'exécution des missions du Cabinet. Purple Pepper s'interdit tout usage à des fins propres, notamment commerciales ou statistiques, en dehors de ce que prévoit l'article 6.

Exception. Purple Pepper tient, en qualité de responsable de traitement, un journal des échanges des utilisateurs avec l'assistante Lia, pour améliorer l'assistante et détecter ses défauts. Ce journal peut contenir des données de mission tapées dans une demande, comme une quantité ou un libellé : il est décrit dans la politique de confidentialité, et le Cabinet s'interdit d'y faire entrer des données personnelles de ses clients finaux (article 3).

Durée. Celle de la relation contractuelle, prolongée des délais de restitution et de suppression prévus à l'article 9.

Article 3 — Catégories de données et de personnes concernées

Personnes concernées : collaborateurs du Cabinet ; correspondants et collaborateurs des clients finaux invités sur l'espace client ; personnes physiques identifiables au travers des données d'activité importées, notamment des fournisseurs exerçant en nom propre apparaissant dans un fichier des écritures comptables.

Catégories de données :

• Données d'identification professionnelle : nom, fonction, adresse e-mail, organisation de rattachement.
• Données de connexion et d'activité : horodatage, action réalisée, arbitrage rendu.
• Données figurant dans les pièces importées : libellés d'écritures comptables, noms de fournisseurs, montants, quantités physiques, réponses aux questionnaires de collecte.

Aucune donnée relevant de l'article 9 du RGPD n'est requise par le Service. Le Cabinet s'engage à ne pas en introduire dans les pièces importées.

Le Cabinet et ses collaborateurs s'engagent aussi à ne saisir aucune donnée personnelle de leurs clients finaux dans une demande écrite à l'assistante Lia : les données d'une mission se déposent dans un fichier, et un message de client se colle après avoir retiré les noms, les signatures, les adresses et les numéros de téléphone. Le texte de ces demandes est conservé, masqué en partie, pendant quatre-vingt-dix jours.

Article 4 — Instructions documentées

Purple Pepper ne traite les données que sur instruction documentée du Cabinet. Constituent des instructions documentées : les présentes stipulations, les conditions générales, les paramètres choisis par le Cabinet dans le Service (seuil d'arbitrage, activation ou non des fonctions d'assistance par intelligence artificielle, partage ou non des règles apprises) et toute demande écrite ultérieure.

Si une instruction paraît constituer une violation du RGPD, Purple Pepper en informe le Cabinet sans délai et peut suspendre son exécution.

Article 5 — Confidentialité et sécurité

Les personnes autorisées à traiter les données sont soumises à une obligation contractuelle de confidentialité. Les mesures techniques et organisationnelles au sens de l'article 32 comprennent, à la date de cette version :

• Cloisonnement des données par cabinet appliqué au niveau de la base de données, et non seulement dans l'interface ; vérifié par des tests d'accès réels entre cabinets.
• Chiffrement des échanges en transit (TLS) sur l'ensemble des flux exposés.
• Authentification nominative, mot de passe stocké sous forme d'empreinte cryptographique, longueur minimale de douze caractères imposée côté serveur.
• Sauvegarde complète chiffrée (AES-256) chaque nuit, rétention de quatorze sauvegardes quotidiennes et huit hebdomadaires, procédure de restauration testée. La date de la dernière sauvegarde effective est visible dans le Service.
• Journalisation des actions de mission et des appels aux fonctions d'assistance par intelligence artificielle.
• Journal des échanges avec l'assistante Lia : masquage automatique des données personnelles les plus reconnaissables avant enregistrement, accès réservé à l'Éditeur, suppression au bout de quatre-vingt-dix jours.
• Absence de traceur publicitaire et de mesure d'audience tierce.

Ne sont pas couverts à ce jour : certification ISO 27001, authentification unique d'entreprise (SSO/SAML), authentification multifacteur obligatoire, et plan de reprise d'activité formalisé. Ces points sont énoncés ici plutôt que passés sous silence, afin qu'un cabinet soumis à une exigence contractuelle sur l'un d'eux le sache avant de s'engager.

Article 6 — Sous-traitance ultérieure

Le Cabinet autorise Purple Pepper à recourir aux sous-traitants ultérieurs listés ci-dessous. Toute adjonction ou remplacement est notifié par écrit au moins trente jours à l'avance ; le Cabinet peut s'y opposer pour un motif tenant à la protection des données, et résilier sans pénalité si aucune solution n'est trouvée.

Transfert hors Union européenne. Le recours à Anthropic PBC emporte un transfert vers les États-Unis, encadré par les clauses contractuelles types de la Commission européenne. Ce transfert est évitable : sur demande écrite, Purple Pepper désactive les fonctions d'assistance par intelligence artificielle pour l'espace de travail du Cabinet, qui reste alors entièrement utilisable — l'intégralité des traitements a lieu sur le serveur situé en France.

Article 7 — Assistance au responsable de traitement

Purple Pepper assiste le Cabinet, compte tenu de la nature du traitement et des informations à sa disposition :

• pour répondre aux demandes d'exercice de droits des personnes concernées : le Cabinet dispose des fonctions d'export et de suppression dans le Service et n'a pas à solliciter l'Éditeur dans le cas courant ;
• pour la sécurité des traitements, la notification des violations et, le cas échéant, l'analyse d'impact relative à la protection des données ;
• en fournissant, sur demande, les éléments documentaires nécessaires à la démonstration du respect de l'article 28.

Article 8 — Violation de données

Purple Pepper notifie au Cabinet toute violation de données à caractère personnel dans les quarante-huit heures suivant sa prise de connaissance, par écrit, en précisant la nature de la violation, les catégories et le volume approximatif de données et de personnes concernées, les conséquences probables et les mesures prises.

Article 9 — Sort des données au terme du contrat

Le Cabinet dispose de trente jours à compter du terme pour exporter ses données depuis le Service. À l'issue de ce délai, et selon le choix exprimé par le Cabinet, les données sont restituées dans un format structuré et couramment utilisé, ou supprimées.

En l'absence de choix exprimé, les données sont supprimées. Les sauvegardes chiffrées comportant ces données s'effacent par rotation dans un délai maximal de huit semaines après la suppression. Les copies conservées hors site passent ensuite par la corbeille du stockage partagé, qui se vide seule au bout de trente jours : l'effacement est donc complet au plus tard treize semaines après la suppression. Aucune restauration n'est effectuée dans l'intervalle.

Article 10 — Audit

Le Cabinet peut, une fois par an et moyennant un préavis raisonnable, demander la communication des éléments justifiant du respect des présentes, ou faire réaliser un audit par un tiers indépendant soumis à confidentialité, pendant les heures ouvrées et sans perturber l'exploitation. Les frais sont à la charge du Cabinet, sauf si l'audit révèle un manquement substantiel.

Article 11 — Registre et contact

Chaque partie tient le registre des activités de traitement prévu à l'article 30 du RGPD. Pour toute question relative au présent contrat : contact@purple-pepper.fr.