Accord de traitement des données

Préambule

Le présent accord (l’« Accord ») est conclu entre le Client, agissant en qualité de responsable de traitement (ou de sous-traitant de ses propres clients, lorsqu’il est une agence), et CODEVIUM SAS, éditrice du service iPand, agissant en qualité de sous-traitant (« iPand »), au sens de l’article 28 du règlement (UE) 2016/679 (« RGPD »).

Il constitue l’annexe 1 des conditions générales de vente (« CGV ») et est accepté avec elles, par la case d’acceptation cochée lors de la souscription ou par l’acceptation d’un devis Sur mesure. Il s’applique tant qu’iPand traite des Données personnelles du Client, y compris après la fin des CGV.

Les termes « données à caractère personnel », « traitement », « responsable de traitement », « sous-traitant », « personne concernée » et « violation de données à caractère personnel » ont le sens que leur donne l’article 4 du RGPD. Les autres termes en majuscules ont le sens des CGV.

Article 1 — Périmètre : ce qu’iPand traite pour le Client

1.1 iPand agit en sous-traitant pour les données personnelles contenues dans les Données du Client (les « Données personnelles du Client »), décrites à l’annexe A : composition de l’Organisation (membres, rôles, marques accessibles, invitations), contenus saisis par les membres (prompts, entités, concurrents, tâches, pages suivies), discussions avec Pandi, l’assistant GEO d’iPand, et résultats produits pour le Client.

1.2 iPand agit en responsable de traitement, et non en sous-traitant, pour les traitements qu’elle détermine elle-même : création et sécurité des comptes utilisateurs, authentification et journal de sécurité, preuve de l’acceptation des conditions, facturation et relation commerciale, e-mails de service, support, prévention des abus, mesure d’usage de l’application, mesure d’audience du site. Ces traitements sont décrits dans la politique de confidentialité et ne relèvent pas de l’Accord.

1.3 Les réponses collectées auprès des moteurs d’intelligence artificielle et les pages web analysées peuvent mentionner des personnes physiques (dirigeants, auteurs, avis publics). Pour la collecte de ces contenus publics et pour sa méthode de mesure, iPand agit pour son propre compte, en qualité de responsable de traitement, sur le fondement de son intérêt légitime ; ce traitement est décrit dans la politique de confidentialité.

Article 2 — Instructions

2.1 iPand ne traite les Données personnelles du Client que sur instruction documentée du Client, y compris pour les transferts hors de l’Union européenne, sauf obligation légale ; dans ce cas, iPand en informe le Client avant le traitement, sauf interdiction légale.

2.2 Les instructions du Client sont constituées par les CGV, les CGU, le présent Accord, les réglages et les actions effectués par les membres dans le Service (ajout ou suppression de prompts, d’entités, de membres ; demande d’archive ; suppression d’une marque ou d’un compte ; autorisation d’un client MCP), et toute instruction écrite complémentaire acceptée par iPand.

2.3 iPand informe immédiatement le Client si, selon elle, une instruction constitue une violation du RGPD ou d’une autre règle de protection des données.

2.4 iPand n’utilise pas les Données personnelles du Client à ses propres fins, ne les vend pas et ne les utilise pas pour entraîner des modèles d’intelligence artificielle.

Article 3 — Confidentialité

iPand veille à ce que les personnes autorisées à traiter les Données personnelles du Client s’engagent à en respecter la confidentialité ou soient soumises à une obligation légale de confidentialité, et n’y accèdent que dans la mesure nécessaire à l’exécution du Service, au support demandé par le Client ou à la sécurité.

Article 4 — Sécurité

4.1 iPand met en œuvre les mesures techniques et organisationnelles appropriées décrites à l’annexe B, conformément à l’article 32 du RGPD, en tenant compte de l’état de l’art, des coûts, de la nature des traitements et des risques.

4.2 iPand peut faire évoluer ces mesures, à condition de ne pas réduire le niveau global de sécurité.

4.3 Le Client reste responsable des mesures qui lui incombent : gestion des membres et de leurs droits, retrait des accès des personnes qui quittent son organisation, confidentialité des boîtes de messagerie recevant les codes de connexion, choix des clients MCP qu’il autorise, et contenu qu’il saisit (notamment l’absence de données personnelles dans les prompts, que demandent les CGU).

Article 5 — Violation de données

5.1 iPand notifie au Client toute violation de données personnelles concernant les Données personnelles du Client dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, par e-mail à l’adresse de facturation et aux Administrateurs.

5.2 La notification indique, dans la mesure du possible : la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables, les mesures prises ou envisagées, et un point de contact. Les informations non disponibles sont fournies dès que possible, par étapes.

5.3 iPand coopère avec le Client pour lui permettre de notifier l’autorité de contrôle et, le cas échéant, les personnes concernées. La notification par iPand ne vaut pas reconnaissance de faute. iPand applique une procédure interne de gestion des violations de données.

Article 6 — Sous-traitants ultérieurs

6.1 Le Client donne à iPand une autorisation générale de recourir aux sous-traitants ultérieurs figurant dans la liste qu’iPand tient à jour (annexe C), à la date de la souscription, puis tels que cette liste évolue selon le présent article. La liste à jour est communiquée au Client sur demande, à contact@ipand.io.

6.2 Sous-traitants choisis par iPand. iPand informe le Client de tout ajout ou remplacement d’un sous-traitant ultérieur qu’elle choisit au moins 30 jours avant qu’il ne traite des Données personnelles du Client, par e-mail aux Administrateurs de chaque Organisation cliente. Le Client peut s’y opposer par écrit, à contact@ipand.io, dans ce délai, pour un motif raisonnable lié à la protection des données. Les parties cherchent alors une solution ; à défaut, le Client peut résilier sans frais l’abonnement concerné, la part de Période annuelle non servie lui étant remboursée au prorata.

6.3 Remplacement en urgence. Lorsque la sécurité des données ou la défaillance d’un prestataire impose un remplacement sans attendre ce délai, iPand peut y procéder avec un préavis plus court. Elle en informe alors le Client sans délai, de la même manière, et le Client dispose après coup des mêmes droits d’opposition et de résiliation.

6.4 Changements chez les sous-traitants des sous-traitants ultérieurs. Certains sous-traitants ultérieurs recourent eux-mêmes à des prestataires qu’ils choisissent et peuvent changer selon leurs propres conditions, sans toujours garantir à iPand un préavis de 30 jours : notamment les prestataires de collecte et leurs fournisseurs de modèles, l’hébergeur, le prestataire d’envoi d’e-mails et les éditeurs des moteurs de l’offre Sur mesure. iPand informe le Client de ces changements, de la même manière, dès qu’elle en a connaissance. Le Client dispose alors des mêmes droits d’opposition et de résiliation qu’à l’article 6.2.

6.5 iPand impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes à celles de l’Accord, notamment des garanties suffisantes quant aux mesures techniques et organisationnelles. iPand reste responsable envers le Client de l’exécution de leurs obligations.

6.6 Les clients MCP (assistants tiers comme claude.ai ou ChatGPT) qu’un membre autorise à lire les données de l’Organisation ne sont pas des sous-traitants ultérieurs d’iPand : ils agissent à l’initiative et sous la responsabilité du Client, selon leurs propres conditions. Le Client peut retirer leurs accès à tout moment (Réglages › Intégrations).

Article 7 — Transferts hors de l’Union européenne

7.1 Les Données personnelles du Client sont hébergées dans l’Union européenne, dans la région Azure « West Europe » (Pays-Bas) ; les copies de sauvegarde de la base, géo-redondantes, y sont conservées et sont répliquées par Azure dans la région appariée « North Europe » (Irlande), dans l’Union européenne. Les traitements par modèle de langue sont réalisés dans l’Union européenne : les demandes et les réponses peuvent être traitées dans tout État membre de l’Union.

7.2 Lorsqu’un sous-traitant ultérieur traite des données hors de l’Espace économique européen, ou y donne accès, le transfert est encadré par une décision d’adéquation (dont le Data Privacy Framework UE–États-Unis pour une société certifiée) ou par les clauses contractuelles types de la Commission européenne (décision 2021/914), complétées si nécessaire de mesures supplémentaires. La liste des sous-traitants ultérieurs (annexe C) indique, pour chacun, le lieu de traitement et le mécanisme retenu.

7.3 À la date de la présente version de l’Accord :

• Prestataires de collecte et éditeurs de moteurs établis aux États-Unis : clauses contractuelles types, module 2 (responsable de traitement vers sous-traitant) et, pour certains, module 3, prévues par leur accord de traitement des données.
• Prestataires de collecte établis dans l’Union européenne qui traitent ou font traiter des données hors de l’Union (notamment aux États-Unis et au Royaume-Uni) : la transmission des prompts par iPand ne constitue pas un transfert hors de l’Union ; leurs propres transferts sont encadrés par des clauses contractuelles types ou des décisions d’adéquation, selon leur accord de traitement ou leur politique de confidentialité.
• Éditeur de moteur établi dans l’Union européenne (offre Sur mesure) : la transmission des prompts ne constitue pas un transfert hors de l’Union ; il fait appel en priorité à des prestataires situés dans l’Union, et à des prestataires situés hors de l’Union dans des cas exceptionnels.
• Prestataire d’envoi d’e-mails (États-Unis) : société certifiée au Data Privacy Framework UE–États-Unis ; son accord de traitement des données incorpore en outre les clauses contractuelles types, module 2. Les e-mails sont envoyés depuis l’Irlande ; les données du compte (métadonnées des e-mails, journaux) sont stockées aux États-Unis.
• Hébergeur (Microsoft Ireland Operations Limited) : les traitements sont régis par le DPA Microsoft (Microsoft Products and Services Data Protection Addendum).
• Les API de deux fournisseurs de modèles servent à une sonde technique sur des prompts internes à iPand et ne traitent pas de Données personnelles du Client. Leur usage pour la collecte des clients serait annoncé selon l’article 6.2.

Article 8 — Assistance au Client

8.1 Droits des personnes. Compte tenu de la nature du traitement, iPand aide le Client, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes d’exercice des droits des personnes concernées. Le Service permet au Client, directement :

• d’accéder aux données et de les exporter : archive de l’Organisation (Réglages › Organisation, Administrateurs), exports des écrans ;
• de rectifier les données saisies ;
• d’effacer : retrait d’un membre, archivage d’un prompt, suppression d’une entité, d’une tâche, d’une discussion avec Pandi (effacée avec ses messages 30 jours après sa suppression), d’une marque (purge 30 jours après sa suppression) ;
• de limiter les accès d’un membre à certaines marques.

Les demandes non couvertes par ces fonctions sont adressées à contact@ipand.io ; iPand y répond dans un délai permettant au Client de respecter le délai d’un mois de l’article 12 du RGPD. Une demande reçue directement d’une personne concernée et relative aux Données personnelles du Client est transmise sans délai au Client, sans y répondre sur le fond, sauf instruction du Client.

8.2 Autres obligations. iPand aide le Client à garantir le respect des articles 32 à 36 du RGPD (sécurité, violations, analyse d’impact, consultation préalable), compte tenu des informations à sa disposition, notamment en fournissant la description des traitements et des mesures de sécurité de l’annexe B. Cette assistance est fournie sans frais, dans une mesure raisonnable.

Article 9 — Durée, restitution et suppression

9.1 L’Accord s’applique pendant toute la durée des abonnements et jusqu’à la suppression effective des Données personnelles du Client.

9.2 Restitution. Avant la suppression, un Administrateur peut à tout moment obtenir une archive des données de l’Organisation, au format JSON et CSV, disponible 24 heures après sa préparation. Elle contient l’organisation et ses abonnements, les membres et les invitations, les marques (marchés, moteurs, étiquettes, entités), les prompts, un aperçu de chaque réponse collectée, les pages suivies et le résultat de leur dernière analyse, et le journal d’activité de l’Organisation. Les discussions avec Pandi, les tâches et les recommandations, qui n’y figurent pas, sont restituées sur demande adressée à contact@ipand.io.

9.3 Suppression. À la fin des services, iPand supprime les Données personnelles du Client, sauf obligation légale de conservation :

• fin d’abonnement d’une marque : données de la marque purgées 12 mois après la fin de son dernier abonnement, au traitement mensuel qui suit ; pendant ce délai, le Client peut se réabonner sur demande à contact@ipand.io ou demander l’archive, et il peut obtenir une suppression anticipée en supprimant la marque ;
• suppression d’une marque : données purgées 30 jours après sa suppression ;
• suppression d’un compte membre : sessions, identités de connexion liées et appartenances retirées aussitôt ; compte et traces effacés 30 jours après ;
• discussion avec Pandi supprimée par son auteur : effacée avec ses messages 30 jours après sa suppression ; les tâches créées depuis la discussion sont conservées ; les discussions d’un membre retiré de l’Organisation sont conservées jusqu’à la suppression de la marque ou de son compte ;
• journal d’activité de l’Organisation : 12 mois ;
• invitations : effacées 90 jours après leur échéance, qu’elles aient été acceptées, révoquées ou non ;
• Organisation sans membre ni abonnement en cours : marquée supprimée au traitement quotidien du matin, purgée 30 jours après.

Une fois effacées de la base, les données disparaissent des sauvegardes et des archives sous 90 jours au plus : restauration à un instant donné sur 14 jours, archives mensuelles de la base conservées 90 jours au plus, suppression réversible des fichiers pendant 14 jours. Les journaux techniques sont conservés 30 jours. Les données restent soumises à l’Accord jusqu’à leur effacement.

9.4 Sur demande écrite, iPand confirme par écrit la suppression.

Article 10 — Information et audit

10.1 iPand met à la disposition du Client les informations nécessaires pour démontrer le respect de l’article 28 du RGPD : le présent Accord et ses annexes et, sur demande, la liste des sous-traitants ultérieurs et un questionnaire de sécurité complété.

10.2 Le Client peut faire réaliser un audit, à ses frais, par un auditeur indépendant tenu au secret et non concurrent d’iPand, une fois par an au plus (sauf violation de données ou demande d’une autorité de contrôle), avec un préavis de 30 jours, pendant les heures ouvrées, sans accès aux données des autres clients ni aux secrets de sécurité, et sans perturber le Service. L’audit des sous-traitants ultérieurs se fait au moyen de leurs certifications et rapports (ISO 27001, SOC 2…).

Article 11 — Responsabilité

La responsabilité de chaque partie au titre de l’Accord est soumise aux limitations de l’article 19 des CGV, sauf disposition impérative contraire ; l’article 82 du RGPD s’applique dans les rapports avec les personnes concernées.

Article 12 — Dispositions diverses

En cas de contradiction entre l’Accord et les CGV, l’Accord prévaut pour ce qui concerne la protection des données personnelles. L’Accord est soumis au droit français et aux juridictions désignées par les CGV. iPand peut le modifier dans les conditions de l’article 25 des CGV ; une modification imposée par la loi ou par une autorité s’applique sans délai.

Ce texte est rédigé en français. Ses traductions sont fournies pour information ; en cas de divergence, la version française fait foi.

Annexe A — Description des traitements

Annexe B — Mesures techniques et organisationnelles

Mesures en place à la date d’entrée en vigueur de la présente version. Des informations complémentaires peuvent être communiquées au Client sur demande, sous engagement de confidentialité.

Hébergement et chiffrement

• Hébergement Microsoft Azure, région West Europe (Pays-Bas) ; copies de sauvegarde de la base géo-redondantes, dans la même région et dans la région appariée North Europe (Irlande) ; aucune donnée de production hors de ces régions, sauf chez les sous-traitants ultérieurs de l’annexe C.
• Chiffrement en transit : TLS 1.2 au minimum pour la base, le stockage et l’API ; HTTPS obligatoire ; HSTS sur l’API et l’application.
• Chiffrement au repos d’Azure SQL et d’Azure Storage, activé par défaut par Azure, avec des clés gérées par Microsoft.
• Secrets dans Azure Key Vault (contrôle d’accès par rôles, suppression réversible pendant 90 jours, protection contre la purge) ; aucun secret dans le code.

Contrôle d’accès

• Accès des services aux ressources par identité managée ; authentification Entra seule pour la base ; clés partagées du stockage et clés d’accès aux modèles de langue désactivées ; accès public anonyme aux fichiers fermé.
• Déploiement par identité fédérée (OIDC) depuis la branche principale seulement ; aucun accès permanent par mot de passe.
• Utilisateurs : connexion sans mot de passe (code à usage unique haché, valable 10 minutes, 5 essais ; Google ; Microsoft) ; jeton d’accès de 15 minutes en mémoire ; jeton de rafraîchissement dans un cookie HttpOnly, Secure, SameSite=Strict, révoqué en cas de réutilisation ; sessions visibles et révocables.
• Cloisonnement : chaque requête vérifie l’appartenance à l’Organisation et l’accès à la marque ; un contributeur ne voit que ses marques.
• Administrateurs de la plateforme : en nombre restreint, désignés en base, sans appartenance aux Organisations ; actions d’administration journalisées.
• Accès MCP : OAuth 2.1 avec PKCE, une seule portée en lecture, jetons d’accès de 60 minutes, révocables par l’utilisateur.

Sécurité applicative

• Limites de débit sur l’authentification, les formulaires, Pandi, le serveur MCP et l’OAuth.
• Protection contre les requêtes vers le réseau interne (SSRF) pour toute adresse fournie par un client ; navigateur de rendu isolé, sans secret ni accès à la base.
• Notifications des prestataires de paiement et d’e-mail vérifiées par signature.
• Contenus de tiers (réponses des moteurs, pages) traités comme non fiables par Pandi et le serveur MCP.

Journalisation et surveillance

• Journal de sécurité conservé 12 mois : l’adresse IP et l’adresse électronique n’y figurent que sous forme d’empreinte calculée avec une clé secrète, jamais en clair.
• Journal d’activité de l’Organisation (12 mois) et journal des actions d’administration.
• Journaux techniques conservés 30 jours, adresse IP masquée.
• Alertes par e-mail sur les erreurs du service, les échecs de collecte, les files bloquées et les dépassements de dépense.

Continuité

• Sauvegardes de la base : restauration à un instant donné sur 14 jours ; copies géo-redondantes, en West Europe et dans la région appariée North Europe (Irlande).
• Archive mensuelle de la base, exportée et vérifiée dans Azure, région West Europe, et conservée 90 jours au plus dans le stockage Azure de cette région ; aucune donnée de production n’est confiée au service d’hébergement du code.
• Suppression réversible des fichiers pendant 14 jours.

Minimisation et conservation

• Purges automatiques : traitement quotidien du matin (comptes, marques, organisations et discussions supprimés, journal d’activité, invitations échues), traitement mensuel (marques dont l’abonnement est clos depuis 12 mois, demandes de contact et de démonstration, avis, événements d’usage de plus de 25 mois), ménage horaire (codes de connexion, journal de sécurité, sessions, messages en attente d’envoi, jetons échus).
• Conservation limitée des réponses brutes des prestataires de collecte (30 jours) et des captures de pages (183 jours).
• Modèles de langue : demandes envoyées sans stockage des réponses par le service (store: false) ; pas d’entraînement des modèles sur ces données ; le fournisseur conserve des demandes et des réponses dans l’Union européenne pour la surveillance des abus, pendant une durée limitée qu’il fixe, avec une relecture automatisée puis, si nécessaire, par des employés autorisés situés dans l’Espace économique européen.
• Prestataires de collecte et éditeurs des moteurs : chacun conserve les demandes et les réponses de collecte selon son accord de traitement des données, du temps de produire la réponse à 12 mois selon le prestataire, ou jusqu’à la fin du service ; jusqu’à 2 ans pour un contenu signalé au titre d’une politique d’utilisation. Pour l’un des moteurs de l’offre Sur mesure, iPand active la conservation nulle proposée par son éditeur avant d’ouvrir ce moteur à la collecte. La durée retenue par chacun figure dans la liste des sous-traitants ultérieurs (annexe C).
• Aucune donnée de production dans les environnements de développement ; pas d’environnement de préproduction.

Organisation

• Personnel tenu à la confidentialité ; accès aux données de production limité aux besoins du support et de l’exploitation.
• Procédure interne de gestion des violations de données.

Annexe C — Sous-traitants ultérieurs autorisés

La liste à jour des sous-traitants ultérieurs (identité, rôle, données traitées, lieu de traitement et garanties des transferts) est tenue par iPand et communiquée au Client sur demande, à contact@ipand.io. Le Client est prévenu par e-mail au moins 30 jours avant tout ajout ou remplacement d’un sous-traitant ultérieur, et peut s’y opposer dans les conditions de l’article 6.