Annexe de sous-traitance (RGPD)

Le responsable du traitement est l'organisation qui utilise l'espace Assoria (l'association identifiée à la création du compte), ci-après « le Responsable ». Le sous-traitant est Try Again SRL, société à responsabilité limitée de droit belge, Rue Georges Jouret 20, 7880 Flobecq, Belgique, numéro d'entreprise 1042.835.320, éditeur du service Assoria, ci-après « Assoria ». Contact : contact@assoria.be.

L'annexe couvre les traitements faits pour le Responsable dans l'espace de travail. Elle ne couvre pas ceux dont Assoria est lui-même responsable (comptes, facturation, journaux techniques, mesure d'audience), décrits dans la politique de confidentialité.

Objet : fournir l'espace de travail (assistant avec historique, bibliothèque de documents, tâches et ateliers avec leurs livrables, calendrier des obligations, profil de l'organisation, intégrations choisies). Durée : celle du contrat, augmentée de la période d'effacement de l'article 12. Nature : collecte, enregistrement, conservation, consultation, extraction de texte, transmission aux modèles de langage pour traiter une demande, effacement. Finalité : permettre à l'organisation de s'informer, de produire des documents, de suivre ses échéances et de garder son historique de travail.

Données : contenu des conversations, texte extrait des documents déposés, consignes et livrables, profil de l'organisation, noms et fins de mandat des administrateurs, personnes sans compte désignées responsables d'une échéance (nom et email), fichier des donateurs importé dans l'atelier « Attestations fiscales », emails transférés à l'adresse de l'organisation.

Personnes : membres, administrateurs, salariés, volontaires, donateurs, bénéficiaires, partenaires et tiers mentionnés dans les documents et les échanges.

Données sensibles (article 9 du RGPD) : leur dépôt relève de la seule décision du Responsable, qui s'assure d'une base légale et privilégie des versions expurgées. L'interface de dépôt le rappelle. Assoria leur applique les mêmes mesures de sécurité qu'au reste et ne les utilise pour aucune finalité propre.

Assoria ne traite les données que sur instruction du Responsable. Valent instructions : la présente annexe, les conditions d'utilisation et l'usage du service par les membres de l'organisation (poser une question, déposer un document, lancer une tâche, supprimer un contenu). Assoria informe le Responsable si une instruction lui paraît contraire au RGPD. Les transferts hors de l'Union sont décrits à l'article 8.2.

Les personnes autorisées à traiter les données sont tenues à la confidentialité. Un accès humain au contenu d'une conversation ou d'un document n'a lieu qu'à la demande du Responsable (incident signalé), pour la relecture des réponses notées d'un pouce vers le bas, ou si la loi l'exige.

• - chiffrement de toutes les communications (navigateur, application, base de données, modèles de langage) ;
• - hébergement du calcul et de la base de données à Francfort, modèles de langage appelés dans l'Union ;
• - cloisonnement entre organisations appliqué par la base de données elle-même (sécurité au niveau des lignes), vérifié par des tests automatiques ;
• - double authentification proposée à chaque compte et obligatoire pour l'équipe d'Assoria qui administre le service ;
• - fichiers déposés jamais conservés (article 7) ; fichier des donateurs réduit aux colonnes utiles, chiffré, effacé 30 jours après l'import ;
• - sauvegarde quotidienne chiffrée, gardée 30 jours ;
• - aucune adresse IP conservée en clair ; journaux de l'assistant gardés 90 jours ; aucun traceur publicitaire.

Assoria peut faire évoluer ces mesures sans en réduire le niveau global.

Le fichier déposé est lu, son texte est extrait, puis le fichier est détruit. Seul le texte entre en base. Assoria ne peut donc pas restituer un fichier d'origine : le Responsable garde ses originaux. Les droits d'accès et de portabilité portent sur le texte extrait.

8.1. Le Responsable autorise le recours aux sous-traitants ultérieurs ci-dessous. Assoria leur impose par contrat des obligations de protection équivalentes et reste responsable envers le Responsable de leur exécution.

• Vercel Inc. (États-Unis)

  Lieu du traitement : Calcul à Francfort (Allemagne, région fra1) ; réseau de diffusion mondial pour le transit.

  Hébergement et exécution de l'application.

• Neon, LLC, groupe Databricks (États-Unis)

  Lieu du traitement : Francfort (Allemagne, région AWS eu-central-1).

  Base de données : conversations, textes extraits, tâches, livrables, profil, calendrier.

• Cortecs GmbH (Vienne, Autriche)

  Lieu du traitement : Union européenne.

  Passerelle vers les modèles de langage, routée vers des fournisseurs établis dans l'Union. Pas de conservation au-delà de la requête, pas d'entraînement sur les contenus.

• Brevo, Sendinblue SAS (France)

  Lieu du traitement : Union européenne.

  Emails du service (confirmations, invitations, rappels, avis de livrable) et réception des emails transférés à l'adresse de l'organisation.

• PostHog Inc. (États-Unis)

  Lieu du traitement : Région Union européenne (Francfort).

  Amélioration de la qualité du service : textes masqués des questions, réponses, consignes et livrables (voir article 14), et mesure d'audience pour les personnes qui l'acceptent.

• GitHub, Microsoft (États-Unis)

  Lieu du traitement : États-Unis et Union européenne.

  Sauvegarde quotidienne de la base, chiffrée avec une clé que GitHub ne détient pas, gardée 30 jours.

• Google Ireland Limited, Microsoft Ireland Operations Limited

  Lieu du traitement : Union européenne, transferts possibles (voir article 8.2).

  Seulement si l'organisation connecte une intégration : brouillons d'email, agenda « Assoria », import d'un document choisi.

Stripe (Stripe Payments Europe, Limited, Irlande) traite la facturation de l'abonnement comme responsable distinct ; il ne reçoit aucun contenu de l'espace. Hostinger (noms de domaine et messagerie de l'équipe) ne traite pas les contenus de l'espace.

8.2. Transferts. Les données de l'espace sont stockées dans l'Union. Vercel, Neon, PostHog et GitHub sont des sociétés de droit américain : un accès depuis les États-Unis reste possible pour leur support ou leur administration. Ces transferts sont encadrés par le cadre de protection des données UE-États-Unis (Data Privacy Framework) pour les sociétés qui y adhèrent, et par les clauses contractuelles types de la Commission européenne prévues dans leurs accords de traitement des données. Le réseau de diffusion de Vercel compte des points de présence hors de l'Union : il sert au transit, pas au stockage des contenus.

8.3. Changement. Assoria informe le Responsable de tout ajout ou remplacement d'un sous-traitant ultérieur, par email ou dans le service, au moins 30 jours avant. Le Responsable peut s'y opposer pour un motif légitime tenant à la protection des données ; à défaut de solution, chaque partie peut résilier sans indemnité.

Les membres suppriment eux-mêmes une conversation, un document ou une tâche, et un propriétaire télécharge à tout moment l'export complet de l'organisation (Mon organisation, Vos données). Pour une demande d'exercice des droits qui ne se règle pas ainsi, Assoria répond à la demande écrite du Responsable dans les 10 jours ouvrables. Une personne qui s'adresse directement à Assoria est renvoyée vers le Responsable, sauf instruction contraire. Assoria fournit au Responsable les informations utiles à une analyse d'impact (articles 32 à 36 du RGPD).

Assoria notifie au Responsable toute violation de données le concernant dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance : nature, catégories et nombre approximatif de personnes et d'enregistrements concernés, conséquences probables, mesures prises ou proposées, point de contact. La notification à l'Autorité de protection des données et aux personnes concernées relève du Responsable, avec la coopération de Assoria.

Assoria tient le registre des traitements effectués pour le compte de ses clients (article 30.2 du RGPD) et coopère avec l'Autorité de protection des données.

Un propriétaire télécharge l'export complet (format JSON) avant la fin du contrat, ou pendant 30 jours après la fermeture de l'organisation. Les données sont ensuite effacées définitivement 12 mois après la fermeture ou le début de la lecture seule, après un avertissement par email 30 jours avant ; sur demande écrite, l'effacement a lieu plus tôt. Restent seulement une trace sans nom ni contenu (identifiant et dates), les journaux techniques jusqu'à leur expiration et ce qu'une obligation légale impose de garder.

Assoria met à disposition les informations qui démontrent le respect de cette annexe (mesures de sécurité, liste des sous-traitants, attestations de ses prestataires). Le Responsable peut, une fois par an et avec un préavis écrit de 30 jours, faire réaliser un audit par lui-même ou par un auditeur indépendant tenu à la confidentialité, à ses frais, sans accès aux données d'autres organisations ni aux secrets d'affaires de Assoria.

Pour évaluer et corriger ses réponses, Assoria envoie à PostHog (région Union européenne) le texte des questions et des réponses, ainsi que les consignes et livrables, après masquage automatique des emails, numéros, IBAN, liens, adresses et noms connus. Jamais le fichier des donateurs ni le texte des documents déposés. Pour cet usage, Assoria agit comme responsable de traitement distinct, sur la base de son intérêt légitime à fournir un service fiable. Ces données ne servent à entraîner aucun modèle et sont gardées 12 mois au plus. Le Responsable s'y oppose à tout moment en décochant « Autoriser l'analyse des usages pour améliorer Assoria » dans Mon organisation ; il en informe ses membres.

En cas de contradiction avec les conditions d'utilisation, la présente annexe prévaut pour le traitement de données personnelles fait pour le compte du Responsable. Questions : contact@assoria.be.