Accord de traitement des données (DPA)

Préambule

Le présent accord fait partie des Conditions générales d'utilisation d'Orkom (les « CGU »). Il encadre les traitements de données personnelles réalisés par ORKOM pour le compte de ses clients, conformément à l'article 28 du Règlement (UE) 2016/679 (« RGPD »). La personne qui accepte les CGU au nom d'une organisation accepte aussi le présent accord pour le compte de celle-ci. Une version signée peut être fournie sur demande.

1. Parties et rôles

• Le Client (l'organisation titulaire du compte) est responsable de traitement.
• ORKOM, SAS, RCS Bordeaux 993 033 943, 22 rue François Mauriac, 33200 Bordeaux, est sous-traitant.
• Contenu Client : les données que le Client ou ses utilisateurs transmettent à Orkom ou génèrent avec Orkom (documents, textes reconnus, valeurs extraites, résultats de contrôles, livrables, référentiels, paramétrage), dans la mesure où elles contiennent des données personnelles.

Les données des comptes utilisateurs, traitées par Orkom en tant que responsable de traitement, relèvent de la politique de confidentialité.

2. Instructions

2.1 Orkom traite le Contenu Client uniquement sur instruction documentée du Client. Les instructions sont constituées :

• du présent accord et des CGU ;
• du paramétrage réalisé par le Client dans la plateforme (workflows, consignes, choix de modèles, intégrations) ;
• de toute instruction écrite complémentaire acceptée par Orkom.

2.2 Orkom informe immédiatement le Client si une instruction lui paraît contraire au RGPD.

2.3 Si le droit de l'Union ou d'un État membre impose à Orkom un traitement non prévu par les instructions, Orkom en informe le Client avant de le réaliser, sauf si ce droit l'interdit.

3. Description du traitement

L'objet, la nature, la finalité, les catégories de données et de personnes concernées et la durée sont décrits en Annexe 1.

4. Données sensibles

Le Client n'envoie pas de données relevant de l'article 9 du RGPD (par exemple de santé), ni de données relatives aux condamnations pénales (article 10), sans accord écrit préalable d'Orkom. Cet accord précise les mesures complémentaires applicables.

5. Intelligence artificielle

5.1 Pas d'entraînement. Ni Orkom ni ses sous-traitants ultérieurs n'utilisent le Contenu Client pour entraîner ou améliorer des modèles d'intelligence artificielle.

5.2 Modèles utilisés. Les modèles d'IA et la reconnaissance de texte (OCR) sont exécutés dans Google Cloud (Vertex AI, Document AI), dans l'Union européenne.

5.3 Conservation chez le fournisseur de modèles. Conformément aux conditions de Google Cloud, les requêtes aux modèles peuvent être conservées en mémoire temporaire pour une durée maximale de 24 heures. Les requêtes signalées par les dispositifs automatisés de détection d'abus de Google peuvent être conservées pour une durée limitée, dans la région de traitement, aux seules fins de prévention des abus (voir Annexe 3).

5.4 Résultats. Les résultats produits par l'IA sont accompagnés d'un indice de confiance et d'un lien vers leur source dans le document. Ils peuvent comporter des erreurs. Le Client décide de leur validation et de leur utilisation, notamment au regard de l'article 22 du RGPD.

6. Obligations d'Orkom

Orkom :

• veille à ce que les personnes autorisées à traiter le Contenu Client soient soumises à une obligation de confidentialité ;
• met en œuvre les mesures de sécurité décrites en Annexe 2. Orkom peut les faire évoluer sans réduire le niveau global de sécurité ;
• aide le Client, dans la mesure du possible et par des moyens techniques et organisationnels appropriés, à répondre aux demandes d'exercice des droits des personnes concernées. Orkom transmet sans délai au Client toute demande qu'il reçoit directement, sans y répondre lui-même ;
• aide le Client à respecter ses obligations relatives à la sécurité, aux violations de données, aux analyses d'impact et à la consultation préalable (articles 32 à 36 du RGPD), en lui fournissant les informations dont il dispose ;
• tient un registre des traitements effectués pour le compte du Client (article 30.2 du RGPD).

7. Obligations du Client

Le Client :

• dispose d'une base légale pour les traitements confiés à Orkom et informe les personnes concernées ;
• paramètre la plateforme conformément à ses obligations, notamment les durées de conservation et la validation humaine des résultats ;
• ne transmet que les données nécessaires à la finalité poursuivie.

8. Sous-traitants ultérieurs

8.1 Le Client autorise de manière générale Orkom à recourir aux sous-traitants ultérieurs listés en Annexe 3, également publiés sur [orkom.fr/fr/legal/sous-traitants].

8.2 Orkom informe le Client par e-mail de tout ajout ou remplacement au moins 30 jours avant sa prise d'effet.

8.3 Le Client peut s'y opposer, de manière motivée par écrit, dans les 15 jours suivant cette information. Les parties recherchent alors une solution de bonne foi. À défaut de solution avant la prise d'effet, le Client peut résilier le service concerné sans pénalité, avec remboursement au prorata des sommes payées d'avance pour la période non utilisée.

8.4 Orkom impose à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles du présent accord. Orkom reste responsable envers le Client de leur exécution.

9. Localisation et transferts

9.1 Le Contenu Client est hébergé et traité dans l'Union européenne, y compris les sauvegardes et les traitements d'IA.

9.2 Orkom ne transfère pas le Contenu Client hors de l'Union européenne sans instruction documentée du Client. Tout transfert est alors encadré conformément au chapitre V du RGPD.

10. Violation de données

10.1 Orkom notifie le Client dans les meilleurs délais, et au plus tard 48 heures après avoir pris connaissance d'une violation de données personnelles affectant le Contenu Client.

10.2 La notification indique, dans la mesure du possible :

• la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés ;
• les conséquences probables ;
• les mesures prises ou proposées ;
• un point de contact.

Les informations non disponibles sont transmises dès qu'elles le sont.

10.3 La notification à la CNIL et aux personnes concernées incombe au Client.

11. Audit

11.1 Orkom met à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord, notamment en répondant à un questionnaire de sécurité et en fournissant sa documentation.

11.2 Si ces éléments sont insuffisants, le Client peut réaliser un audit, au plus une fois par période de 12 mois, sauf violation de données ou demande d'une autorité de contrôle. Les conditions sont les suivantes :

• préavis de 30 jours ;
• auditeur indépendant, non concurrent d'Orkom, soumis à la confidentialité ;
• durée limitée à 2 jours ouvrés, sans perturbation du service ;
• sans accès aux données des autres clients.

11.3 Les frais de l'audit sont à la charge du Client.

12. Durée et fin du contrat

12.1 Le présent accord s'applique tant qu'Orkom traite du Contenu Client.

12.2 Pendant le contrat, le Client peut à tout moment supprimer ou exporter le Contenu Client dans la plateforme ou par l'API.

12.3 En fin de contrat :

• le compte du Client reste accessible en lecture et en export pendant 30 jours ;
• à l'issue de ce délai, Orkom supprime le Contenu Client, sauf obligation légale de conservation ;
• les sauvegardes sont effacées selon leur cycle, en 14 jours au plus. D'ici là, elles ne sont ni consultées ni restaurées, sauf pour un incident ;
• les copies techniques résiduelles chez Google Cloud sont effacées selon ses délais, en 180 jours au plus.

12.4 Orkom remet une attestation de suppression sur demande.

13. Responsabilité

La responsabilité de chaque partie au titre du présent accord est soumise aux limitations prévues par les CGU.

14. Dispositions finales

• En cas de contradiction, le présent accord prévaut sur les CGU pour ce qui concerne la protection des données personnelles.
• Orkom peut modifier le présent accord en informant le Client au moins 30 jours à l'avance. Si la modification réduit la protection du Contenu Client, le Client peut résilier sans pénalité avant sa prise d'effet.
• Le présent accord est soumis au droit français. Les juridictions compétentes sont celles prévues par les CGU.
• Contact : privacy@orkom.fr

Annexe 1 — Description du traitement

Durées de conservation

Annexe 2 — Mesures de sécurité

Hébergement

• Google Cloud, région europe-west4 (Pays-Bas). Google Cloud dispose des certifications ISO/IEC 27001, 27017, 27018 et SOC 2.

Chiffrement

• Données chiffrées au repos (AES-256) et en transit (TLS 1.2 ou supérieur).

Isolation

• Isolation des données de chaque organisation au niveau de la base de données (Row-Level Security), en plus des contrôles applicatifs.

Accès

• Les services de la plateforme accèdent aux données au moyen de comptes de service dédiés, limités aux droits strictement nécessaires.
• L'accès à l'infrastructure est limité aux administrateurs d'Orkom. Il est protégé par double authentification et tracé dans les journaux d'audit de Google Cloud.
• Les identifiants techniques et les secrets sont stockés dans un coffre dédié (Secret Manager), jamais dans le code.
• Postes de travail chiffrés ; mots de passe de l'équipe dans un gestionnaire de mots de passe ; double authentification sur tous les comptes d'administration (Google, GitHub).

Plateforme

• Gestion des rôles et des permissions par organisation.
• Double authentification disponible pour tous les utilisateurs.
• Journal d'audit des actions administratives, conservé 2 ans.

Continuité

• Sauvegardes automatiques quotidiennes et restauration à un instant donné sur 7 jours.
• Procédure de restauration testée.

Développement

• Contrôles automatisés obligatoires avant chaque mise en production : tests, détection de secrets, analyse des dépendances ; alertes automatiques sur les dépendances vulnérables.
• Environnements de développement et de production séparés.
• Aucune donnée client réelle n'est utilisée en développement ni en test.

Incidents

• Procédure de gestion des incidents et de notification (article 10).

Annexe 3 — Sous-traitants ultérieurs

Engagements de Google Cloud applicables : Cloud Data Processing Addendum ; gouvernance des données de Vertex AI (pas d'entraînement sur les données, mise en cache temporaire, détection d'abus) ; sécurité de Document AI (documents traités en mémoire, non conservés).