Accord de traitement des données (DPA)
Annexe au contrat d'abonnement Sertias. Sertias agit comme sous-traitant au sens de l'article 28 du RGPD ; le Client est responsable de traitement.
1. Objet
Le Client confie à Sertias le traitement de données personnelles contenues dans les documents de consultation et les pièces administratives qu'il téléverse.
2. Nature et finalité
Analyse automatisée de dossiers de consultation, détection de critères éliminatoires, suivi d'expiration de pièces administratives, production de rapports. Aucune autre finalité.
3. Données et personnes concernées
Données figurant dans les documents téléversés : identités des signataires, coordonnées professionnelles, références et attestations. Personnes concernées : collaborateurs et représentants du Client.
4. Durée
Durée de l'abonnement, plus douze mois de conservation permettant au Client de récupérer ses analyses. Suppression ou restitution au choix du Client à l'issue.
5. Obligations de Sertias
- Traiter les données uniquement sur instruction documentée du Client.
- Garantir la confidentialité des personnes habilitées.
- Mettre en œuvre les mesures de l'article 6 ci-dessous.
- Assister le Client pour les demandes d'exercice de droits.
- Notifier toute violation sans délai injustifié après en avoir eu
connaissance.
- Mettre à disposition les éléments nécessaires aux audits, et s'y soumettre.
6. Mesures de sécurité effectivement en place
| Mesure | Mise en œuvre réelle |
|---|---|
| Cloisonnement | Row Level Security PostgreSQL par organisation, active sur toutes les tables clientes. Elle est de plus forcée (opposable même au propriétaire de la table) sur une partie d'entre elles, et ce périmètre s'étend |
| Accès privilégié | Liste fermée de composants, vérifiée à chaque intégration continue ; tout ajout non déclaré fait échouer la compilation |
| Moindre privilège | Aucun GRANT ALL ; droits accordés table par table, et colonne par colonne là où c'est possible |
| Chiffrement | En transit (TLS) et au repos |
| Traçabilité | Toute action d'un administrateur sur des données client est journalisée, table sans suppression possible |
| Injection documentaire | Tout contenu téléversé est traité comme donnée, jamais comme instruction adressée à un modèle |
| Non-régression | Suite de tests de mutation éprouvant que chaque garde-fou refuse réellement ce qu'il prétend refuser |
7. Sous-traitants ultérieurs
Le Client autorise : Supabase (hébergement, UE), OpenAI (analyse structurée du texte des dossiers de consultation, moteur appelé en premier pour cette analyse, et secours d'Anthropic pour la lecture des pièces des dossiers et des documents Qualiopi, États-Unis sous CCT), Anthropic (seul pour le tri des pages et la rédaction assistée, appelé en premier pour la lecture des pièces des dossiers, dont le règlement de consultation, et des documents Qualiopi, analyse structurée en secours d'OpenAI, États-Unis sous CCT), Vercel (diffusion), Stripe (paiement), Resend (envoi des e-mails transactionnels), Inngest (orchestration des traitements de fond) et Cloudflare (vérification anti-robot des formulaires publics, États-Unis sous CCT). Tout changement est notifié au Client, qui dispose d'un délai d'opposition.
8. Transferts hors UE
Encadrés par les clauses contractuelles types de la Commission européenne. Le stockage des documents demeure dans l'Union.
9. Sort des données en fin de contrat
Restitution au format d'export, puis suppression sous trente jours, à l'exception des données que Sertias doit conserver au titre d'une obligation légale (facturation).