Accord de Traitement des Données

Entre PrimmoAI SAS — « le Sous-traitant »

Et les notaires et collaborateurs d'une même étude notariale — « la Société »

Ensemble dénommés « les Parties ».

Considérant que

• (A) La Société agit en tant que Contrôleur de Données.
• (B) La Société souhaite sous-traiter certains Services, impliquant le traitement de données personnelles, au Sous-traitant des Données.
• (C) Les Parties cherchent à mettre en œuvre un accord de traitement des données conformément aux exigences du cadre juridique actuel et au Règlement (UE) 2016/679 (RGPD).
• (D) Les Parties souhaitent établir leurs droits et obligations.

1. Définitions et interprétation

Sauf définition contraire, les termes en majuscules ont la signification suivante :

• « Accord » : le présent Accord de Traitement des Données et tous ses Annexes.
• « Données Personnelles de la Société » : toute Donnée Personnelle traitée par un Sous-traitant Contracté pour le compte de la Société en lien avec le Contrat Principal.
• « Sous-traitant Contracté » : un Sous-traitant.
• « Lois sur la Protection des Données » : les lois de protection des données de l'UE et, le cas échéant, de tout autre pays applicable.
• « EEE » : l'Espace Économique Européen.
• « GDPR / RGPD » : le Règlement Général sur la Protection des Données UE 2016/679.
• « Transfert de Données » : un transfert de Données Personnelles de la Société à un Sous-traitant Contracté, ou un transfert ultérieur vers un Sous-traitant sous-contracté ou entre établissements, lorsqu'un tel transfert serait interdit par les Lois sur la Protection des Données.
• « Services » : les services d'assistance IA pour études notariales, comprenant l'analyse automatisée des documents nécessaires à la rédaction d'actes authentiques ; la génération assistée de projets d'actes, de courriers électroniques et de notes juridiques via des modèles de langage IA ; la collecte, le traitement et l'extraction des données issues des pièces du dossier immobilier, avec synthèse des informations clés ; l'intégration native aux environnements Outlook, Word et iNot.
• « Sous-traitant » : toute personne nommée par ou pour le compte du Sous-traitant pour traiter les Données Personnelles pour le compte de la Société.

Les termes « Commission », « Contrôleur », « Sujet des Données », « État Membre », « Données Personnelles », « Violation de Données Personnelles », « Traitement » et « Autorité de Surveillance » ont la même signification que dans le RGPD.

2. Traitement des Données Personnelles de la Société

Le Sous-traitant doit :

• se conformer à toutes les Lois de Protection des Données applicables ;
• ne pas traiter les Données Personnelles de la Société autrement que sur les instructions documentées de la Société.

La Société instruit le Sous-traitant de traiter les Données Personnelles de la Société.

2 bis. Objet, durée, finalités, catégories de données

Objet — régir le traitement, par le Sous-traitant, des Données Personnelles de la Société dans le cadre des Services.

Durée — l'Accord prend effet à sa signature et reste en vigueur pendant toute la durée du Contrat Principal, puis jusqu'à l'achèvement des obligations de conservation et de suppression.

Finalités — les Données Personnelles sont traitées exclusivement pour : l'analyse et la structuration des documents notariaux en vue de la rédaction d'actes ; l'assistance à la rédaction d'emails, de documents et d'analyses juridiques ; la supervision technique du Service (journalisation, détection et correction des incidents), à l'exclusion de tout entraînement de modèles.

Catégories de données — les pièces versées dans les LRA ; les informations contenues dans les fiches clients et immeubles des LRA ; les emails des utilisateurs.

2 ter. Non-réutilisation et non-entraînement des modèles

Le Sous-traitant ne traite les Données Personnelles de la Société à aucune fin propre. Il s'interdit notamment de les exploiter, de les commercialiser, de les agréger avec les données d'autres clients ou d'en tirer des produits dérivés.

Aucune donnée, aucun document et aucune invite (prompt) transmis par la Société n'est utilisé pour l'entraînement, le ré-entraînement, l'enrichissement ou le réajustement (fine-tuning) de modèles d'intelligence artificielle, qu'il s'agisse de modèles du Sous-traitant ou de ceux de ses sous-traitants ultérieurs. Le Sous-traitant répercute cette obligation par contrat sur chacun des sous-traitants ultérieurs énumérés en Annexe A.

S'agissant des modèles de langage, les appels sont émis sans conservation d'état côté fournisseur (paramètre « store=false ») et PrimmoAI bénéficie auprès de Microsoft d'une exemption au filtrage de contenu et à la supervision des usages (« abuse monitoring ») : les invites et les réponses ne font l'objet d'aucune conservation ni d'aucune revue humaine par le fournisseur.

3. Personnel du Sous-traitant

Le Sous-traitant prend des mesures raisonnables pour garantir la fiabilité de tout employé, agent ou contractant susceptible d'accéder aux Données Personnelles de la Société, en limitant strictement l'accès aux personnes qui en ont besoin et en les soumettant à des obligations de confidentialité.

4. Sécurité

Le Sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, y compris les mesures de l'article 32(1) du RGPD, en tenant compte des risques présentés par le Traitement, notamment en cas de Violation de Données Personnelles.

5. Sous-traitance

Le Sous-traitant ne nomme pas de sous-traitant sauf autorisation de la Société, à l'exception de ceux énumérés en Annexe A.

Il tient à jour la liste nominative de ses sous-traitants ultérieurs et la communique à la Société sur simple demande adressée au délégué à la protection des données mentionné à l'article 14.

Toute adjonction ou tout remplacement de sous-traitant ultérieur est notifié à la Société préalablement à sa mise en œuvre, moyennant un préavis de trente (30) jours lui permettant de s'y opposer. En cas d'opposition motivée, les Parties recherchent une solution alternative ; à défaut d'accord, la Société peut résilier sans pénalité la part des Services concernée.

6. Droits des Sujets de Données

Le Sous-traitant aide la Société, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes d'exercice des droits des personnes concernées. Il informe rapidement la Société de toute demande reçue et n'y répond que sur instructions documentées de la Société, sauf exigence légale impérative.

7. Violation de Données Personnelles

Le Sous-traitant notifie la Société sans retard injustifié et au plus tard dans les 72 heures après avoir pris connaissance d'une Violation de Données Personnelles, en fournissant les informations nécessaires (nature de l'incident, catégories et nombre approximatif de personnes concernées, mesures correctives envisagées). Il coopère avec la Société pour l'enquête, l'atténuation et la remédiation.

8. Évaluation d'impact et consultation préalable

Le Sous-traitant fournit une assistance raisonnable pour toute évaluation d'impact ou consultation préalable requise par les articles 35 et 36 du RGPD.

9. Suppression ou retour des données

Dans un délai de dix (10) jours ouvrables suivant la cessation de toute prestation impliquant le Traitement, le Sous-traitant supprime et fait supprimer toutes les copies de ces Données, et fournit une attestation écrite de suppression dans le même délai.

Durée de conservation — en cours de contrat, les Données Personnelles sont conservées quatre-vingt-dix (90) jours à compter du dernier accès, puis supprimées ou anonymisées.

10. Droits d'audit

Le Sous-traitant fournit, sur demande, les informations nécessaires pour démontrer sa conformité et permettre les audits et inspections par la Société ou un auditeur mandaté, sauf lorsque l'Accord prévoit déjà des droits équivalents.

11. Localisation des données et transferts

Le stockage et les traitements, y compris l'inférence des modèles d'intelligence artificielle, sont réalisés au sein de l'Union européenne : Google Cloud Platform, région europe-west9 (Paris), pour l'exécution applicative et le stockage ; Microsoft Azure OpenAI, déploiement Union européenne, pour les modèles de langage ; Microsoft Azure AI Speech, région France Centre, pour la transcription.

Le Sous-traitant ne peut transférer ni autoriser le transfert de Données Personnelles vers des pays hors UE/EEE.

Chiffrement et lois extraterritoriales — les Données Personnelles sont chiffrées en transit (TLS 1.2 ou supérieur) et au repos au moyen de clés de chiffrement gérées par PrimmoAI (CMEK), et non des clés par défaut de l'hébergeur. La révocation d'une clé rend les données illisibles sans dépendre d'une action de l'hébergeur, et l'accès aux volumes chiffrés ne découle pas d'un accès à l'infrastructure.

12. Conditions générales

Confidentialité — chaque Partie garde l'Accord et les informations reçues sur l'autre Partie strictement confidentiels, sauf obligation légale ou information déjà publique.

Avis — tous les avis sont écrits et envoyés personnellement, par courrier ou par email aux adresses indiquées.

13. Droit applicable et juridiction

L'Accord est régi par le droit français. Tout litige non résolu à l'amiable est porté devant les tribunaux de Paris, France.

14. DPO et responsabilité

Le Sous-traitant désigne M. Nathan Pamart, Délégué à la Protection des Données (DPO), joignable à nathan@primmo.co.

Annexe A — Liste des sous-traitants utilisés par PrimmoAI SAS

Un « sous-traitant » désigne tout prestataire tiers nommé pour traiter les données personnelles au nom du Contrôleur. PrimmoAI s'assure que l'engagement avec tout sous-traitant est régi par un contrat écrit imposant des obligations de protection des données comparables à celles du présent Accord.

A.1 — Sous-traitants traitant des données identifiantes des clients de l'étude

A.2 — Sous-traitants ne traitant aucune donnée identifiante des clients de l'étude

PrimmoAI recourt par ailleurs à des sous-traitants qui ne traitent aucune donnée identifiant les clients de l'étude, mais uniquement des données relatives à l'étude et à ses collaborateurs, ou des données de biens dépourvues de tout élément d'identification : envoi des emails transactionnels, support utilisateur, mesure d'usage du produit, supervision technique des erreurs, consultation automatisée des portails publics, géocodage des adresses de biens, gestion de la relation commerciale et facturation.

Leur liste nominative est tenue à jour et communiquée à la Société sur demande, dans les conditions prévues à l'article 5.

A.3 — Responsable de traitement indépendant

Dow Jones Risk & Compliance, base de criblage LCB-FT interrogée pour les diligences de vigilance, n'est pas un sous-traitant ultérieur de PrimmoAI : le contrat qui lie les parties qualifie chacune de responsable de traitement indépendant, Dow Jones pour sa base et son infrastructure, PrimmoAI pour les requêtes émises et l'exploitation des résultats. Les transferts sont encadrés par les clauses contractuelles types de l'Union européenne et l'accès s'effectue par le point d'accès européen. Une demande d'exercice des droits portant sur un résultat de vigilance relève de ce fait d'un régime distinct de celui des données du dossier.

A.4 — Systèmes de l'étude

PrimmoAI se connecte, sur instruction de la Société et au moyen d'autorisations délivrées par elle, aux systèmes dont la Société est déjà cliente : sa messagerie et son agenda Microsoft 365, et son logiciel de rédaction d'actes (Genapi/Septeo iNot, Fiducial). Ces prestataires ne sont pas des sous-traitants ultérieurs de PrimmoAI : ils traitent les données de la Société au titre des contrats que celle-ci a conclus directement avec eux.