Annexe de traitement des données (DPA) — Marto.AI

Annexe aux CGU, applicable à toute Organisation professionnelle. Elle matérialise l'article 28 du RGPD : quand une étude verse au Service des données sur ses propres clients, l'étude est responsable de traitement et l'Éditeur est son sous-traitant.

1. Objet et rôles

Pour les Contenus d'inventaire (photographies, lots, documents, données des Personnes Concernées), l'Organisation est responsable de traitement et l'Éditeur agit en qualité de sous-traitant, sur instructions documentées de l'Organisation — les CGU et la présente annexe, ainsi que l'utilisation des fonctionnalités du Service, constituant ces instructions.

Exception, décrite à l'article 8 des CGU et à la section 4 de la Politique de confidentialité : pour l'amélioration du Service et l'entraînement de ses propres modèles d'IA, ainsi que pour la production de Données Dé-identifiées, l'Éditeur agit en qualité de responsable de traitement distinct. L'Organisation l'autorise en acceptant les CGU ; elle peut s'opposer à tout moment aux utilisations d'amélioration et d'entraînement (opt-out, CGU art. 8.3). La production de Données Dé-identifiées et de données agrégées (CGU art. 8.4) n'est pas couverte par ce retrait, ces données n'étant rattachables à aucune personne.

2. Description du traitement sous-traité

• Nature : hébergement, stockage, structuration, affichage, sauvegarde, export, suppression ; à la demande de l'utilisateur, traitement par l'assistant d'intelligence artificielle du texte qu'il dicte ou saisit et du contexte d'inventaire utile (Politique de confidentialité, §4a).
• Finalité : production d'inventaires par l'Organisation.
• Catégories de données : identité et coordonnées des Personnes Concernées, situation patrimoniale liée aux biens inventoriés, photographies pouvant révéler des éléments de vie privée (intérieurs de domiciles, présence incidente de personnes).
• Personnes concernées : clients de l'Organisation, défunts et leurs héritiers, débiteurs, tiers apparaissant incidemment.
• Durée : la durée d'existence de l'Organisation sur le Service, plus le délai de purge des sauvegardes (90 jours au plus). Les conversations tenues avec l'assistant d'inventaire suivent cette même durée : elles font partie des données de l'Organisation. Au bout de 90 jours sans nouveau message elles sont retirées de la liste de leur auteur, sans être supprimées ; la suppression du compte de leur auteur les efface. Le journal de traçabilité de l'assistant — copie de chaque message, de chaque réponse et de chaque action, avec la confirmation donnée ou refusée — suit en revanche la durée principale : il sert à expliquer toute modification faite par l'assistant, et la suppression du compte de son auteur cesse seulement de le lui rattacher. L'inventaire et le constat qui en résultent suivent, eux aussi, la durée principale ci-dessus.

3. Obligations de l'Éditeur (sous-traitant)

L'Éditeur s'engage à :

1. ne traiter les données que sur instructions documentées de l'Organisation, y compris en ce qui concerne les transferts de données à caractère personnel vers un pays tiers, sauf obligation légale — auquel cas il l'en informe sauf interdiction ;
2. garantir la confidentialité : les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité ;
3. mettre en œuvre les mesures de sécurité de l'article 32 du RGPD : chiffrement en transit et au repos, cloisonnement par organisation contrôlé au niveau de la base de données et testé automatiquement, journalisation, gestion des secrets, sauvegardes ;
4. assister l'Organisation, dans la mesure du possible, pour répondre aux demandes d'exercice de droits des Personnes Concernées et pour ses obligations des articles 32 à 36 du RGPD ;
5. notifier l'Organisation de toute violation de données la concernant dans les meilleurs délais après en avoir eu connaissance ;
6. à la fin du contrat, supprimer les données ou les restituer via les fonctions d'export, au choix de l'Organisation, puis détruire les copies (sous réserve des obligations légales de conservation) ;
7. tenir à disposition les informations nécessaires pour démontrer sa conformité et permettre des audits raisonnables (au plus une fois par an, sur préavis de trente jours, aux frais de l'Organisation, sans accès aux données d'autres organisations) ;
8. informer immédiatement l'Organisation si, selon lui, une instruction constitue une violation du RGPD ou d'autres dispositions relatives à la protection des données.

4. Sous-traitants ultérieurs

L'Organisation autorise de manière générale le recours aux sous-traitants ultérieurs listés dans la Politique de confidentialité, §5. L'Éditeur notifie tout ajout ou remplacement au moins trente (30) jours à l'avance ; l'Organisation peut s'y opposer pour motif légitime — à défaut d'accord, elle peut résilier et exporter ses données. L'Éditeur impose à ses sous-traitants des obligations équivalentes aux présentes et demeure responsable de leurs manquements.

Figure notamment parmi eux le fournisseur des modèles d'intelligence artificielle de l'assistant : Mistral AI (France, Union européenne). Lui sont transmis, pour la durée du traitement : le texte que l'utilisateur dicte ou saisit ; le contexte d'inventaire utile à la réponse ; la liste des inventaires de l'organisation (titre, statut, nombre de lots) et, lorsque l'assistant cherche un constat, celle des constats (titre, lieu, statut) ; les fiches clients que l'assistant consulte, crée ou modifie (nom, coordonnées, adresses, date de naissance) ; et, lorsqu'un constat est ouvert dans l'assistant ou que les observations d'une de ses pièces sont reformulées, son contenu (titre, type et lieu, pièces, observations et texte transcrit des dictées, intitulés des annexes, nom et qualité des parties). Aucune photographie ne lui est transmise.

5. Transferts hors UE

Encadrés par la décision d'adéquation UE–États-Unis (Data Privacy Framework) lorsque le destinataire y est certifié et, à défaut, par les clauses contractuelles types de la Commission européenne (voir Politique de confidentialité, §6).

6. Obligations de l'Organisation

L'Organisation garantit qu'elle dispose d'une base légale pour les données qu'elle verse au Service et qu'elle délivre aux Personnes Concernées l'information requise (articles 13 et 14 du RGPD), en mentionnant le recours à un outil d'inventaire numérique, ses sous-traitants, ainsi que le traitement d'amélioration et d'entraînement décrit à la section 4 de la Politique de confidentialité, pour lequel l'Éditeur agit en responsable de traitement distinct. Elle configure les rôles et accès de ses Membres et demeure responsable du respect de son secret professionnel.