Accord de sous-traitance des données (RGPD, article 28)

1. Objet et parties

Le présent accord forme l'annexe 1 des conditions générales de vente et d'utilisation (les « CGV ») de Batiax. Il est accepté avec elles. Il encadre, conformément à l'article 28 du règlement (UE) 2016/679 (le « RGPD ») et à la loi n° 78-17 du 6 janvier 1978, les traitements de données personnelles réalisés par VINSONOVA, en qualité de sous-traitant, pour le compte du Client, responsable de traitement, lorsque celui-ci utilise Batiax. Les termes définis dans les CGV ont le même sens dans le présent accord.

Les données que VINSONOVA traite pour son propre compte (comptes des Utilisateurs, facturation de l'abonnement, sécurité, prospection) relèvent de la politique de confidentialité.

2. Description des traitements

Nature et finalité

Hébergement, enregistrement, organisation, consultation, modification, analyse (y compris par l'assistant d'intelligence artificielle), transmission sur instruction (e-mails envoyés par le Client à ses clients, factures déposées sur Chorus Pro ou sur la plateforme de facturation du Client, notifications), export et suppression des données, dans le seul but de fournir le Service et l'assistance prévus par les CGV.

Personnes concernées

• clients et prospects du Client, particuliers ou contacts d'entreprises, et leurs interlocuteurs ;
• salariés, dirigeants et collaborateurs du Client, qu'ils utilisent ou non le Service ;
• fournisseurs, sous-traitants et partenaires du Client et leurs contacts ;
• personnes apparaissant sur les photos ou dans les documents enregistrés par le Client.

Catégories de données

• identité, coordonnées, adresses (dont les adresses de chantier), numéros d'entreprise ;
• contenu des devis, factures, avoirs, paiements, relances, échanges et notes ;
• éléments de preuve des signatures électroniques : signature tracée, adresse IP, navigateur, date et heure, position de l'appareil pour une signature en personne lorsqu'il la fournit ;
• pour les salariés : rôle et droits, planning, temps passés, absences et congés, récapitulatifs d'heures pour la paie, pointages de l'application mobile avec la position de l'appareil au moment du pointage lorsque l'utilisateur l'autorise, résultats et badges du module Challenge ;
• photos de chantier, plans, pièces jointes et documents importés ;
• demandes, dictées et documents adressés à l'assistant BatiaxIA, et ses réponses ;
• historique des actions réalisées dans le compte.

Le Service n'est pas conçu pour traiter des données sensibles au sens de l'article 9 du RGPD, ni des données relatives aux infractions : le Client s'abstient d'en enregistrer.

Durée

Les traitements durent le temps du contrat, puis jusqu'à la suppression des données dans les conditions de l'article 9 ci-dessous.

3. Instructions du Client

VINSONOVA ne traite les données que sur instruction documentée du Client. Les CGV, le présent accord, le paramétrage du compte et les actions réalisées par les Utilisateurs dans le Service constituent ces instructions. VINSONOVA informe le Client si une instruction lui paraît contraire à la réglementation. Elle n'utilise pas les données du Client pour ses propres besoins, ne les vend pas et ne les utilise pas pour entraîner des modèles d'intelligence artificielle.

4. Confidentialité

Seules les personnes habilitées de VINSONOVA accèdent aux données, dans la mesure nécessaire à l'exploitation, à la sécurité et à l'assistance, et sont tenues à la confidentialité. Les connexions au compte du Client par le support, réservées aux super-administrateurs, sont journalisées.

5. Sécurité

VINSONOVA met en œuvre les mesures techniques et organisationnelles décrites à l'annexe B, adaptées au risque (article 32 du RGPD), et les fait évoluer avec le Service.

6. Sous-traitants ultérieurs

Le Client autorise VINSONOVA à recourir aux sous-traitants ultérieurs listés à l'annexe C. VINSONOVA impose à chacun des obligations de protection des données équivalentes à celles du présent accord et reste responsable de leur exécution. Elle informe le Client par e-mail de tout ajout ou remplacement au moins 30 jours à l'avance ; le Client peut s'y opposer pour un motif légitime lié à la protection des données et, à défaut d'accord, résilier son abonnement sans frais avant la date du changement.

7. Transferts hors de l'Union européenne

Les données du Client sont hébergées et traitées en France. Le seul sous-traitant ultérieur établi hors de l'Union européenne est Expo (États-Unis), qui relaie les notifications de l'application mobile lorsqu'elle est utilisée (annexe C). D'autres flux sortants résultent de choix du Client ou de ses Utilisateurs et ne relèvent pas de la sous-traitance de VINSONOVA : connexion d'un assistant d'IA tiers par le connecteur MCP, dictée par la reconnaissance vocale du navigateur, envoi d'e-mails par un serveur de messagerie configuré par le Client, transmission de factures à la plateforme de facturation du Client.

8. Assistance au Client

• Droits des personnes : le Service permet au Client de retrouver, rectifier, exporter (fichier JSON par client), anonymiser ou supprimer les données d'une personne. VINSONOVA transmet au Client sans délai toute demande qu'elle reçoit directement et n'y répond pas elle-même.
• Violation de données : VINSONOVA notifie au Client, par e-mail à l'Administrateur, toute violation de données le concernant dans les meilleurs délais et, sauf impossibilité, dans les 48 heures après en avoir pris connaissance, avec les informations disponibles (nature, catégories et nombre approximatif de personnes et de données concernées, conséquences probables, mesures prises ou proposées). Il appartient au Client de notifier la CNIL et, le cas échéant, les personnes concernées.
• Analyse d'impact : VINSONOVA fournit au Client, sur demande, les informations utiles à une analyse d'impact ou à une consultation de la CNIL.

9. Fin du contrat : restitution et suppression

Avant la fin du contrat et pendant la période de lecture seule qui la suit, le Client peut exporter ses données (archive JSON et documents PDF, article 15 des CGV). À la demande de suppression du compte, les données sont définitivement effacées à l'issue d'un délai de 30 jours ; les copies de sauvegarde le sont par rotation dans un délai de 14 jours. Un compte sans abonnement ni connexion depuis 24 mois peut être supprimé après un avertissement envoyé 30 jours à l'avance. VINSONOVA ne conserve aucune copie, sauf obligation légale.

10. Documentation et audit

VINSONOVA met à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord, d'abord sous forme documentaire. Si ces informations ne suffisent pas, le Client peut faire réaliser, à ses frais et au plus une fois par an, un audit par un auditeur indépendant tenu au secret, moyennant un préavis de 30 jours, pendant les heures ouvrées et sans accès aux données des autres clients ni atteinte à la sécurité du Service.

11. Obligations du Client

• disposer d'une base légale pour les traitements qu'il réalise avec Batiax et informer les personnes concernées (ses clients, prospects, salariés) ;
• informer ses salariés, et consulter le comité social et économique lorsque la loi l'exige, avant de mettre en place le suivi des temps, le pointage géolocalisé de l'application mobile ou le module Challenge ; ces outils ne doivent pas servir à une surveillance permanente ;
• attribuer à chaque Utilisateur des droits limités à ses besoins et révoquer ceux des personnes qui partent ;
• assumer le choix des services tiers qu'il connecte au Service (assistant d'IA par le MCP, serveur de messagerie, plateforme de facturation) et leur conformité au RGPD.

12. Responsabilité et durée

Le présent accord produit effet pendant toute la durée des CGV et, pour ses obligations de confidentialité et de suppression, au-delà, jusqu'à l'effacement complet des données. La responsabilité de chaque partie s'apprécie selon l'article 82 du RGPD ; entre les parties, elle est encadrée par l'article 18 des CGV.

Annexe B — Mesures de sécurité

• hébergement en France, sur l'infrastructure de l'association By-Hoster ;
• échanges chiffrés en HTTPS (certificats TLS), redirection systématique depuis HTTP ;
• mots de passe stockés sous forme hachée (bcrypt), règles de complexité, double authentification disponible ;
• cloisonnement logique des données par entreprise dans une base commune, contrôlé à chaque requête ; droits d'accès par rôle au sein du compte ;
• secrets de connexion aux services tiers du Client (messagerie, Chorus Pro, plateforme de facturation) stockés chiffrés ;
• exports complets livrés dans une archive protégée par mot de passe, par un lien valable 7 jours ;
• modèles d'intelligence artificielle exécutés sur des serveurs de l'infrastructure By-Hoster ; aucun envoi des données à un fournisseur d'IA tiers par VINSONOVA ; enregistrements vocaux supprimés après transcription ;
• sauvegarde automatique de la base de données chaque nuit, conservée 14 jours ;
• journalisation des connexions (conservée 12 mois), des actions de l'assistant IA et du connecteur MCP ; journaux techniques conservés 14 jours ;
• accès d'administration réservés aux personnes habilitées de VINSONOVA ; connexions « en tant que » journalisées.

Annexe C — Sous-traitants ultérieurs

Services publics interrogés pour certaines fonctions

Pour l'autocomplétion et la cartographie, le Service interroge, depuis le navigateur de l'Utilisateur ou depuis le serveur, des services publics français, qui reçoivent uniquement le texte recherché et, pour les appels faits depuis le navigateur, l'adresse IP de l'Utilisateur : la Base Adresse Nationale (recherche d'adresses), la Géoplateforme de l'IGN (fonds de carte et géocodage des chantiers) et l'API Recherche d'entreprises (recherche d'une entreprise par nom ou SIRET).

Contact

Questions relatives au présent accord : privacy@batiax.com. Assistance : support@batiax.com.