Accord de traitement des données

Accord conforme aux principes de l'article 28 du RGPD - Version du 13 septembre 2026

Article 1 - Parties et objet

Le présent DPA lie DEVALTITUDE, exploitant Dossia BTP, agissant en qualité de sous-traitant pour les traitements réalisés pour le compte du client, et le client professionnel, agissant en qualité de responsable de traitement. Il complète les CGVU.

Article 2 - Objet, durée, nature et finalités

Le traitement couvre la durée pendant laquelle DEVALTITUDE traite les données pour fournir Dossia BTP. Il comprend notamment la collecte, transmission, stockage, hébergement, classement, indexation, extraction, consultation, recherche, analyse, synthèse, génération de résultats, sauvegarde et suppression nécessaires à la fourniture du service.

Article 3 - Catégories de données

Peuvent notamment être traitées : données d'identification et coordonnées professionnelles, informations contractuelles et financières présentes dans les documents, correspondances, informations de chantier, contrats, marchés, DGD, devis, factures, courriers, comptes rendus et autres documents transmis par le client, ainsi que les dates de validité des attestations et pièces obligatoires des sous-traitants et partenaires.

S'agissant du personnel du client, le traitement se limite à l'identité, au poste, au type et aux dates du contrat, ainsi qu'aux dates de validité des documents professionnels. Le service ne prévoit le traitement d'aucune donnée relevant de l'article 9 du RGPD, ni d'aucune donnée de rémunération ou de temps de travail.

Article 4 - Personnes concernées

Les données peuvent notamment concerner les salariés, dirigeants, clients, fournisseurs, sous-traitants, maîtres d'ouvrage, maîtres d'œuvre, architectes, bureaux d'études, partenaires et autres intervenants d'une opération.

Article 5 - Instructions documentées

DEVALTITUDE traite les données uniquement sur instruction documentée du client, l'utilisation des fonctionnalités par les utilisateurs autorisés constituant notamment une instruction. Si une instruction paraît contraire au RGPD, DEVALTITUDE en informe le client dans les conditions prévues par la réglementation.

Article 6 - Confidentialité

DEVALTITUDE veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation appropriée de confidentialité et que les accès internes soient limités aux besoins nécessaires.

Article 7 - Hébergement principal

L'infrastructure principale repose notamment sur Supabase. Le projet principal Dossia BTP est configuré en région eu-west-3, Paris (France).

Article 8 - Intelligence artificielle

Dossia BTP utilise actuellement Google Gemini pour certaines fonctionnalités d'IA. Le contenu textuel nécessaire à l'analyse, certains fragments documentaires ou certaines images peuvent être transmis à Gemini lorsque la fonctionnalité le requiert. DEVALTITUDE n'utilise pas les documents clients pour entraîner son propre modèle général sans autorisation spécifique. Le compte Gemini utilisé est configuré sur une offre payante ; selon les conditions actuelles de Google, les contenus des services payants ne sont pas utilisés pour améliorer ses produits.

Article 9 - Sous-traitants ultérieurs

Le client donne une autorisation générale à DEVALTITUDE de recourir aux sous-traitants nécessaires au service. DEVALTITUDE veille à leur imposer des obligations appropriées de protection des données et informe les clients des changements significatifs conformément au droit applicable.

Article 10 - Transferts internationaux

Lorsque des données sont transférées en dehors de l'Espace économique européen, DEVALTITUDE veille à ce qu'un mécanisme juridique approprié soit applicable, tel qu'une décision d'adéquation ou des clauses contractuelles types accompagnées, lorsque nécessaire, de garanties complémentaires.

Article 11 - Sécurité

DEVALTITUDE met en œuvre des mesures adaptées au risque, pouvant comprendre : authentification, contrôle des droits, séparation logique des données clients, chiffrement des communications, gestion sécurisée des secrets et clés API, journalisation de sécurité, sauvegardes, mises à jour et contrôle des accès administratifs.

Article 12 - Clés et secrets

Les clés API et secrets utilisés pour les services tiers sont conservés côté serveur et ne doivent pas être exposés volontairement dans les interfaces clientes.

Article 13 - Violation de données

DEVALTITUDE informe le client dans les meilleurs délais après avoir pris connaissance d'une violation de données personnelles concernant les données traitées pour son compte et lui communique les informations disponibles nécessaires à l'évaluation de l'incident et au respect de ses obligations.

Article 14 - Exercice des droits

Compte tenu de la nature du traitement, DEVALTITUDE apporte une assistance raisonnable au client pour répondre aux demandes d'exercice des droits des personnes concernées.

Article 15 - Assistance et analyses d'impact

DEVALTITUDE apporte une assistance raisonnable concernant les obligations du client relatives à la sécurité, aux violations de données et, lorsque cela est applicable, aux analyses d'impact relatives à la protection des données.

Article 16 - Conservation, restitution et suppression

À l'issue du contrat, le client doit récupérer les données qu'il souhaite conserver. Sauf obligation légale ou accord différent, DEVALTITUDE supprime les données actives dans un délai maximal de 30 jours suivant la fin définitive du service. Certaines données peuvent subsister temporairement dans des sauvegardes sécurisées jusqu'à leur rotation.

Article 17 - Informations et audits

DEVALTITUDE met à disposition les informations raisonnablement nécessaires pour démontrer le respect des obligations de l'article 28 du RGPD. Un audit justifié peut être organisé selon des modalités préalablement convenues protégeant la sécurité, la confidentialité, les secrets commerciaux et les données des autres clients.

Article 18 - Obligations du client

Le client est responsable de la licéité des données qu'il importe, de l'information des personnes concernées lorsque requise, de ses bases juridiques, de ses durées de conservation, de l'attribution des accès et du respect de ses propres obligations RGPD.

Article 19 - Durée et droit applicable

Le DPA reste applicable tant que DEVALTITUDE traite des données personnelles pour le compte du client. Il est soumis au droit français.