Accord de sous-traitance des données personnelles

Clause 1. Répartition des responsabilités

Corsala est un logiciel. Il ne détient jamais de fonds, ne délivre ni ne vérifie aucune carte professionnelle et ne certifie aucune conformité.

Pour les règles qui s’appliquent à l’activité de l’espace, Corsala exige les données légales utiles, affiche les mentions obligatoires, bloque les actes qu’un texte clair interdit et alerte sur le reste. Les modèles de documents et les valeurs proposées sont des suggestions modifiables, jamais imposées.

L’espace, c’est-à-dire le professionnel qui l’utilise, reste responsable de son activité, de la conformité de ses documents et de ses pratiques au droit de son pays, et des décisions qu’il prend à la suite d’une alerte. Les règles par pays que Corsala applique ne remplacent pas le conseil d’un juriste ou d’un autre professionnel réglementé.

Clause 2. Réutilisation agrégée et anonymisée : statistiques de marché

Corsala peut réutiliser les données de l’espace sous une forme agrégée et anonymisée pour produire des statistiques de marché, par métier, par zone et par période. Ces statistiques ne permettent d’identifier ni une personne, ni une entreprise cliente, ni un espace. Elles ne sont jamais vendues.

Le réglage « Contribuer aux statistiques de marché » est activé par défaut. L’espace peut le désactiver à tout moment dans Paramètres, Données. Le retrait sort l’espace des calculs suivants.

Aucune cellule n’est publiée sous 10 espaces distincts et aucun espace ne pèse plus de 50 % d’une cellule. Des contrôles de singularisation, de liaison et d’inférence complètent ces seuils, selon l’avis 05/2014 du groupe de travail « Article 29 » sur les techniques d’anonymisation.

Clause 3. Entraînement de modèles d’intelligence artificielle

Corsala n’entraîne jamais de modèle d’intelligence artificielle sur des données personnelles des clients des espaces (clients, prospects, salariés et partenaires de l’espace).

Corsala peut entraîner ou améliorer des modèles seulement sur des agrégats anonymisés, dans les conditions de la clause sur les statistiques de marché, et, avec l’accord explicite de l’espace, sur des contenus métier de l’espace, pseudonymisés, dont sont retirées les données relatives à ses clients, prospects, salariés et partenaires. Ce second cas est désactivé par défaut : l’espace l’active, et le retire, à tout moment dans Paramètres, Données.

Clause 4. Annexe : accord de sous-traitance

L’accord de sous-traitance des données personnelles, conclu en application de l’article 28, paragraphe 3, du RGPD, est annexé aux CGU et en fait partie. Il s’applique aux données personnelles que l’espace traite dans Corsala sur ses clients, ses prospects, ses salariés et ses partenaires.

En acceptant les CGU, l’espace accepte aussi cet accord, dans la version annexée à la version des CGU qu’il accepte. Corsala enregistre, pour chaque espace, la version acceptée, la date et la personne qui l’a acceptée.

Article 1. Parties et rôles

Le présent accord est conclu entre l’espace qui accepte les CGU (« l’Espace », responsable de traitement) et l’éditeur du service Corsala (« Corsala », sous-traitant). Il est annexé aux CGU et en fait partie.

Pour les données personnelles que l’Espace traite dans Corsala sur ses clients, ses prospects, ses salariés et ses partenaires (les « Données de l’Espace »), l’Espace est responsable de traitement et Corsala est son sous-traitant, au sens de l’article 28 du RGPD.

Corsala est responsable de traitement, pour son propre compte, des comptes des utilisateurs, de la facturation des jetons d’intelligence artificielle et de la sécurité de la plateforme. Ces traitements relèvent de la politique de confidentialité et non du présent accord.

Article 2. Objet

Le présent accord fixe les conditions dans lesquelles Corsala traite les Données de l’Espace pour le compte de l’Espace, conformément à l’article 28, paragraphe 3, du règlement (UE) 2016/679 (RGPD).

Corsala met à la disposition de l’Espace un logiciel de gestion d’activité (contacts, dossiers, devis, chantiers, documents et modules associés), hébergé par Corsala. Le traitement consiste à héberger, stocker, afficher, organiser, transmettre et sauvegarder les Données de l’Espace pour rendre ce service.

Article 3. Durée

L’accord s’applique dès l’acceptation des CGU et pendant toute la période où Corsala traite des Données de l’Espace, c’est-à-dire tant que l’espace existe. Il prend fin à la clôture de l’espace, sous réserve des obligations de restitution et de suppression prévues plus bas.

Article 4. Nature et finalités du traitement

Nature du traitement : collecte (saisie ou import par l’Espace et ses utilisateurs, ou réception par les connexions que l’Espace active), enregistrement, organisation, consultation, mise à disposition, transmission aux destinataires choisis par l’Espace, sauvegarde, anonymisation sur instruction et suppression.

Finalités : fournir à l’Espace les fonctionnalités qu’il utilise (gestion des contacts et des dossiers, devis et factures, suivi des chantiers, documents, communications, assistants d’intelligence artificielle), assurer la sécurité, la disponibilité et le support du service, et produire, sur instruction de l’Espace, des statistiques de marché agrégées et anonymes. Corsala ne traite pas les Données de l’Espace pour d’autres finalités.

Article 5. Catégories de données et de personnes

Catégories de personnes concernées : les clients et prospects de l’Espace et leurs contacts ; les salariés, collaborateurs et sous-traitants de l’Espace ; ses partenaires et fournisseurs ; les personnes qui interviennent sur les dossiers ou les chantiers de l’Espace.

Catégories de données : identité et coordonnées (nom, adresse postale, adresse e-mail, numéro de téléphone) ; données relatives aux dossiers, devis, factures, paiements et chantiers ; messages et documents échangés ; données de travail des collaborateurs (planning, pointages) ; toute autre donnée que l’Espace choisit de saisir.

Le service n’est pas destiné à recueillir des données sensibles (article 9 du RGPD) ni des données relatives aux condamnations pénales (article 10). L’Espace évite de les saisir ; s’il le fait, il en assume la base légale.

Article 6. Instructions documentées

Corsala traite les Données de l’Espace uniquement sur instruction documentée de l’Espace, y compris pour les transferts hors de l’Union. Les instructions de l’Espace sont : le présent accord et les CGU ; les réglages et les actions de ses utilisateurs dans le service (saisie, import, export, connexions activées, suppression) ; toute instruction écrite complémentaire adressée au support.

Si une instruction lui paraît contraire au RGPD ou à une autre règle de protection des données, Corsala en informe l’Espace aussitôt. Si le droit de l’Union ou d’un État membre impose à Corsala un traitement, Corsala en informe l’Espace avant le traitement, sauf interdiction légale.

L’anonymisation est une instruction de l’Espace, prévue par le présent accord : l’Espace charge Corsala d’anonymiser des données pour produire des statistiques de marché agrégées. Le réglage « Contribuer aux statistiques de marché » est activé par défaut ; l’Espace peut le désactiver à tout moment dans Paramètres, Données, et le retrait sort l’Espace des calculs suivants. Aucune cellule n’est publiée sous 10 espaces distincts et aucun espace ne pèse plus de 50 % d’une cellule. Ces statistiques ne sont jamais vendues.

Article 7. Confidentialité

Corsala veille à ce que les personnes autorisées à traiter les Données de l’Espace soient tenues à la confidentialité par un engagement ou une obligation légale, et qu’elles n’y accèdent que pour ce qui est nécessaire au service, au support et à la sécurité. Les accès de l’équipe de Corsala sont restreints et journalisés.

Article 8. Sécurité (article 32)

Corsala met en œuvre les mesures techniques et organisationnelles appropriées prévues par l’article 32 du RGPD, compte tenu de l’état des connaissances, des coûts, de la nature des données et des risques.

Ces mesures comprennent notamment : l’isolation des données de chaque espace en base de données ; le chiffrement des secrets d’intégration (AES-256-GCM) ; la restriction et la journalisation des accès de l’équipe de Corsala ; l’hébergement dans l’Union européenne ; des sauvegardes quotidiennes de la base de données et des fichiers, dont les archives sont chiffrées (AES-256).

Conservation des sauvegardes : les copies locales sont conservées environ 7 jours, puis supprimées par rotation. Une copie externalisée chiffrée est conservée chez un prestataire distinct ; elle n’est pas purgée automatiquement à ce jour, et l’engagement de purge de cette copie relève de la politique de sécurité de Corsala.

Corsala revoit ces mesures régulièrement et n’en diminue pas le niveau général pendant l’accord. L’Espace reste responsable de la sécurité de ses propres accès (mots de passe, droits donnés à son équipe, appareils).

Article 9. Sous-traitants ultérieurs

L’Espace donne à Corsala une autorisation générale de recourir à des sous-traitants ultérieurs pour fournir le service (hébergement, fournisseurs d’intelligence artificielle, messagerie, paiement, e-mail).

La liste à jour des sous-traitants ultérieurs, avec leur rôle et leur pays, est publiée sur la page « Sous-traitants ultérieurs » (/cgu/sous-traitants), que Corsala tient à jour.

Corsala informe l’Espace de tout ajout ou remplacement d’un sous-traitant ultérieur avant que celui-ci ne traite des Données de l’Espace, dans un délai raisonnable, par la mise à jour de cette page et par une information adressée au dirigeant de l’Espace. L’Espace peut s’opposer, pour des motifs raisonnables tenant à la protection des données, dans ce délai. Si aucune solution n’est trouvée, l’Espace peut mettre fin à son utilisation du service et exporter ses données dans les conditions des CGU.

Corsala impose à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles du présent accord et reste responsable à l’égard de l’Espace de leur exécution.

Article 10. Assistance pour les droits des personnes

Corsala aide l’Espace, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes d’exercice des droits des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition), notamment grâce aux fonctions de recherche, d’export, de rectification et de suppression du service.

Si une personne s’adresse directement à Corsala pour une donnée traitée pour le compte de l’Espace, Corsala lui indique qu’elle doit s’adresser à l’Espace et lui transmet la demande, sans y répondre sur le fond sauf instruction de l’Espace.

Article 11. Notification des violations de données

Corsala notifie l’Espace de toute violation de données personnelles touchant les Données de l’Espace, sans retard injustifié après en avoir pris connaissance, à l’adresse du dirigeant de l’Espace.

La notification décrit, autant que Corsala le sait : la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, ses conséquences probables et les mesures prises ou proposées. Elle est complétée au fur et à mesure de l’enquête. Corsala aide l’Espace à remplir ses propres obligations de notification à l’autorité de contrôle et d’information des personnes concernées.

Article 12. Analyse d’impact et consultation préalable

Corsala aide l’Espace à réaliser ses analyses d’impact relatives à la protection des données (article 35 du RGPD) et ses consultations préalables de l’autorité de contrôle (article 36), compte tenu de la nature du traitement et des informations dont Corsala dispose.

Corsala rédige et tient à jour sa propre analyse d’impact pour les agents d’intelligence artificielle et pour les statistiques de marché, et en met les éléments utiles à la disposition de l’Espace.

Article 13. Suppression ou restitution en fin de contrat

À la fin de l’accord, au choix de l’Espace, Corsala supprime les Données de l’Espace ou les lui restitue puis les supprime, et détruit les copies existantes, sauf si le droit de l’Union ou d’un État membre impose leur conservation.

L’Espace peut exporter ses données à tout moment, dans les conditions des CGU. Les copies présentes dans les sauvegardes ne sont pas supprimées une à une : les copies locales disparaissent par rotation au bout d’environ 7 jours ; la copie externalisée chiffrée n’est pas purgée automatiquement à ce jour, et l’engagement de purge de cette copie relève de la politique de sécurité de Corsala. Ces copies restent chiffrées tant qu’elles subsistent.

Article 14. Audits

Corsala met à la disposition de l’Espace les informations nécessaires pour démontrer le respect des obligations de l’article 28 du RGPD.

Corsala permet les audits, y compris les inspections, réalisés par l’Espace ou par un auditeur qu’il mandate, et y contribue. L’audit est annoncé par écrit avec un préavis raisonnable, se limite aux traitements de l’Espace, ne perturbe ni le service ni les autres espaces, ne donne accès à aucune donnée d’un autre espace et reste soumis à la confidentialité.

Article 15. Transferts hors de l’Union

Corsala héberge les Données de l’Espace dans l’Union européenne.

Lorsqu’un sous-traitant ultérieur situé hors de l’Union européenne traite des Données de l’Espace (par exemple un fournisseur d’intelligence artificielle), le transfert repose sur une décision d’adéquation de la Commission européenne ou, à défaut, sur les clauses types de protection des données adoptées par la Commission, complétées au besoin par des mesures supplémentaires. Ces fournisseurs sont listés sur la page des sous-traitants ultérieurs.

Article 16. Espaces établis aux Émirats arabes unis

Pour un Espace établi aux Émirats arabes unis, le décret-loi fédéral n° 45 de 2021 sur la protection des données personnelles (PDPL) s’applique aux traitements qui entrent dans son champ. Les parties appliquent le présent accord en tenant compte de ce texte, qui peut imposer des obligations complémentaires, notamment sur les transferts.

Les transferts de données personnelles hors des Émirats arabes unis sont encadrés par la PDPL. Le présent accord les mentionne : les Données de l’Espace sont hébergées dans l’Union européenne et peuvent être traitées par les sous-traitants ultérieurs listés, y compris hors de l’Union, dans les conditions de l’article sur les transferts.

Les Espaces établis dans la DIFC (Dubai International Financial Centre) ou dans l’ADGM (Abu Dhabi Global Market) relèvent d’un régime de protection des données qui leur est propre. Ce régime est signalé ici ; il peut exiger des clauses complémentaires, que les parties conviennent alors par écrit.

Article 17. Entraînement de modèles

Corsala n’entraîne jamais de modèle d’intelligence artificielle sur des données personnelles des clients des Espaces (clients, prospects, salariés et partenaires de l’Espace).

Corsala peut entraîner ou améliorer des modèles seulement sur des agrégats anonymisés, dans les conditions de l’article sur les instructions documentées, et, avec l’accord explicite de l’Espace, sur des contenus métier de l’Espace, pseudonymisés, dont sont retirées les données relatives à ses clients, prospects, salariés et partenaires. Ce second cas est désactivé par défaut : l’Espace l’active, et le retire, à tout moment dans Paramètres, Données.

Article 18. Version, acceptation et modification

Le présent accord est annexé aux CGU. En acceptant les CGU, l’Espace accepte la version de l’accord annexée à la version des CGU qu’il accepte. Corsala enregistre, pour chaque Espace, la version acceptée, la date et la personne qui l’a acceptée ; l’Espace les consulte dans Paramètres, Données.

En cas de contradiction entre le présent accord et les CGU sur le traitement des données personnelles, le présent accord prévaut.

Corsala peut modifier le présent accord, notamment pour suivre la loi ou l’évolution de la liste des sous-traitants ultérieurs. Chaque version porte un identifiant (dpa-AAAA-MM-JJ) ; une nouvelle version est annexée à une nouvelle version des CGU, portée à la connaissance des utilisateurs avant son entrée en vigueur, et acceptée selon la même règle.