Accord de traitement des données (DPA)

Version : 1.2 — Dernière mise à jour : 3 novembre 2026

Le présent Accord de traitement des données (« DPA ») encadre le traitement des données à caractère personnel effectué par l'Éditeur pour le compte du Client dans le cadre du service Adjugo, en application de l'article 28 du Règlement (UE) 2016/679 (RGPD). Il complète les Conditions Générales de Vente et la Politique de confidentialité et fait partie intégrante de la relation contractuelle. En cas de contradiction sur le traitement des données personnelles téléversées par le Client, le présent DPA prévaut.

1. Parties et qualités

• Le Client agit en qualité de responsable de traitement pour les données à caractère personnel contenues dans les documents qu'il téléverse (DCE, pièces d'entreprise, contacts des partenaires d'un groupement, signataires, anciens devis et demandes de devis de ses clients, etc.).
• Collectivités. Le présent DPA s'applique aussi aux collectivités et acheteurs publics qui utilisent l'espace collectivités (adjugo.pro/acheteur), pour les données personnelles qu'ils mettent dans leurs dossiers (besoin saisi, projet modifié) ; le mot « Client » désigne alors la collectivité, et les Conditions d'utilisation des collectivités remplacent les CGV.
• L'Éditeur — Eliot VIEGAS, entrepreneur individuel (nom commercial PADIS), SIREN 105 406 813, 9 rue Saint-Yves, 29000 Quimper — agit en qualité de sous-traitant au sens de l'article 4.8 du RGPD pour ces données. Contact : contact@adjugo.pro.

Pour les données de gestion du compte et de facturation, l'Éditeur agit en qualité de responsable de traitement (voir la Politique de confidentialité) ; ces traitements sortent du champ du présent DPA. Il en va de même des documents qu'un partenaire invité par un lien dépose dans son espace privé, dont l'Éditeur est responsable de traitement (voir la Politique de confidentialité), des comptes des agents des collectivités, de l'accord des entreprises pour recevoir les consultations des collectivités et de la trace de chaque diffusion.

2. Objet, nature et finalité du traitement

L'Éditeur traite les données personnelles téléversées par le Client aux seules fins de fournir le service Adjugo : hébergement et stockage des documents, analyse des dossiers de consultation, préparation de documents (formulaires officiels, DUME, dossier de présentation), recherche de partenaires, fonctionnalités de groupement, préparation de devis à partir des anciens devis et des demandes de devis du Client (« Mes devis ») et, pour les collectivités, rédaction de projets de dossiers de consultation et, à leur demande, transmission d'une consultation publiée aux entreprises d'Adjugo qui ont accepté de la recevoir. La nature des opérations comprend la collecte, l'enregistrement, l'organisation, la conservation, la consultation, l'utilisation, la communication par transmission, l'effacement et la destruction.

Les anciens devis et les demandes de devis peuvent contenir des données personnelles des clients du Client, y compris de particuliers (nom, adresse). Ces contenus sont lus sans intelligence artificielle. Le fichier d'un ancien devis est effacé dès que le Client a fini de le relire, et au plus tard 30 jours après son ajout ; Adjugo retire de la liste de prix qui en est tirée le nom et l'adresse d'un client particulier. Ce retrait suit des règles, sans intelligence artificielle : il vise le nom et l'adresse connus du client, les noms écrits avec une civilité et les adresses reconnaissables ; un autre nom ou une adresse écrite autrement peut rester, c'est pourquoi le Client relit chaque ligne. Une demande de devis garde le nom et l'adresse de son demandeur pour établir le devis ; une demande classée « Sans suite » est effacée 12 mois après. Les adresses électroniques et les numéros de téléphone sont retirés de la liste de prix et du texte gardé d'une demande.

3. Durée du traitement

Le traitement est réalisé tant que le compte du Client existe, puis pendant les durées de conservation prévues à l'article 10 et à la Politique de confidentialité.

4. Catégories de données et de personnes concernées

Les catégories de données et de personnes concernées sont décrites en Annexe 1. Le Service n'a pas vocation à traiter de données sensibles au sens de l'article 9 du RGPD ; le Client s'engage à ne pas téléverser de telles données sans base légale appropriée.

5. Obligations de l'Éditeur (sous-traitant)

En application de l'article 28.3 du RGPD, l'Éditeur s'engage à :

1. Instructions documentées. Ne traiter les données que sur la base des instructions documentées du Client, y compris en matière de transfert hors UE, sauf obligation légale contraire (auquel cas l'Éditeur en informe le Client avant le traitement, sauf interdiction légale). Les présentes, les CGV et l'usage du Service constituent les instructions initiales du Client.
2. Confidentialité. Veiller à ce que les personnes autorisées à traiter les données s'engagent à la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.
3. Sécurité. Mettre en œuvre les mesures techniques et organisationnelles appropriées (article 32 du RGPD) décrites en Annexe 2.
4. Sous-traitants ultérieurs. Ne recourir à des sous-traitants ultérieurs que dans les conditions de l'article 6 ci-dessous.
5. Assistance — droits des personnes. Aider le Client, par des mesures techniques et organisationnelles appropriées et dans la mesure du possible, à répondre aux demandes d'exercice des droits des personnes concernées (articles 12 à 23 du RGPD). Lorsqu'une demande est adressée directement à l'Éditeur, celui-ci la transmet sans délai au Client et n'y répond pas de sa propre initiative, sauf instruction du Client.
6. Assistance — obligations du responsable. Aider le Client à se conformer à ses obligations au titre des articles 32 à 36 du RGPD (sécurité, notification des violations, analyses d'impact, consultation préalable), compte tenu de la nature du traitement et des informations à disposition de l'Éditeur.
7. Sort des données. Au terme de la prestation, supprimer ou restituer au Client l'ensemble des données, et détruire les copies existantes, dans les conditions de l'article 10, sauf obligation légale de conservation.
8. Mise à disposition et audits. Mettre à la disposition du Client les informations nécessaires pour démontrer le respect des obligations de l'article 28, et permettre la réalisation d'audits, y compris des inspections, dans les conditions de l'article 8 ci-dessous.
9. Alerte. Informer immédiatement le Client si, à son avis, une instruction constitue une violation du RGPD ou d'autres dispositions applicables en matière de protection des données.

6. Sous-traitants ultérieurs

Le Client donne à l'Éditeur une autorisation générale de recourir aux sous-traitants ultérieurs listés en Annexe 3. L'Éditeur :

• impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes à celles du présent DPA ;
• informe le Client de tout changement prévu (ajout ou remplacement) de sous-traitant ultérieur, par un moyen approprié et avec un préavis raisonnable, afin de lui permettre d'émettre des objections ;
• demeure pleinement responsable à l'égard du Client de l'exécution par le sous-traitant ultérieur de ses obligations.

En cas d'objection légitime et motivée du Client à un nouveau sous-traitant, les parties recherchent une solution ; à défaut, le Client peut résilier la partie du Service concernée.

7. Transferts de données hors Union européenne

Les données applicatives (base de données, fichiers téléversés et sauvegardes) sont hébergées en Union européenne. Certains sous-traitants ultérieurs (notamment le fournisseur d'IA, le suivi technique des erreurs et le prestataire de paiement) peuvent opérer des traitements hors UE. Ces transferts sont encadrés par des garanties appropriées au sens du chapitre V du RGPD, notamment les clauses contractuelles types (CCT / SCC) adoptées par la Commission européenne et, le cas échéant, l'adhésion du prestataire à un cadre reconnu, complétées de mesures techniques (chiffrement, minimisation).

8. Audits

L'Éditeur fournit au Client, sur demande écrite et raisonnable, les informations permettant de vérifier le respect du présent DPA. Le Client peut, au plus une fois par an (sauf incident de sécurité ou demande d'une autorité), réaliser un audit sur la base d'un préavis raisonnable (au moins 30 jours), pendant les heures ouvrées, sans perturber l'activité de l'Éditeur, et dans le respect de la confidentialité et de la sécurité des autres clients. Les audits sur site sont à la charge du Client.

9. Notification des violations de données

L'Éditeur notifie le Client sans délai injustifié après avoir eu connaissance d'une violation de données à caractère personnel affectant les données traitées pour son compte, et lui communique les informations utiles (nature de la violation, catégories et nombre approximatif de personnes et d'enregistrements concernés, conséquences probables, mesures prises ou proposées) pour lui permettre de respecter, le cas échéant, ses obligations de notification à l'autorité de contrôle (72 heures) et aux personnes concernées (articles 33 et 34 du RGPD).

10. Sort des données en fin de contrat

À la résiliation ou à l'expiration de l'abonnement, le Client peut exporter ses données depuis le Service. Les documents téléversés sont supprimés dès la suppression du compte ; un document supprimé par le Client reste 30 jours dans la corbeille, puis il est effacé ; les copies de sauvegarde contenant ces données sont purgées au plus tard sous 14 jours. Les données dont la loi impose la conservation (facturation : 10 ans) sont conservées pour la seule durée légale.

11. Responsabilité

La responsabilité de chaque partie au titre du traitement des données est régie par l'article 82 du RGPD et par les stipulations des CGV, notamment la clause de limitation de responsabilité, dans les limites permises par la loi.

12. Droit applicable

Le présent DPA est soumis au droit français. Tout litige relève des juridictions compétentes dans les conditions prévues par les CGV.

Annexe 1 — Description du traitement

Annexe 2 — Mesures techniques et organisationnelles de sécurité

• chiffrement des communications (HTTPS / TLS) ;
• hachage des mots de passe ;
• cloisonnement strict des données par client (multi-tenant) et contrôle des accès / habilitations ;
• journalisation des accès et supervision (suivi des erreurs) ;
• sauvegardes quotidiennes stockées chiffrées au repos chez notre hébergeur européen, avec une rétention de 14 jours ;
• modèles d'IA (Anthropic, PBC et Mistral AI, appelés via une API) : les contenus qui leur sont envoyés ne sont pas utilisés pour entraîner un modèle (Anthropic : jamais sans autorisation ; Mistral AI : utilisation pour l'amélioration des modèles désactivée sur le compte de l'Éditeur) ; les noms des membres de l'équipe du Client enregistrés dans Adjugo, et ceux qu'il repère, sont remplacés par des étiquettes avant l'envoi (pour une collectivité : les adresses e-mail et les numéros de téléphone du besoin) ; la conservation est encadrée par les conditions applicables à l'API (Anthropic : 30 jours en règle générale, jusqu'à 2 ans pour les contenus signalés pour non-respect de ses règles d'usage ; Mistral AI : jusqu'à 30 jours glissants, pour la surveillance des abus) ;
• minimisation des données transmises aux sous-traitants ultérieurs ;
• procédure de gestion des violations de données et de notification.

Annexe 3 — Liste des sous-traitants ultérieurs

Intelligence artificielle : Anthropic (Claude API) intervient pour les questions sur les dossiers et la rédaction ; Mistral AI (La Plateforme), pour la lecture et l'analyse des dossiers ; chacun prend le relais de l'autre en cas de panne ou d'erreur. Les contenus envoyés ne sont pas utilisés pour entraîner un modèle d'IA (Anthropic : jamais sans autorisation ; Mistral AI : utilisation pour l'amélioration des modèles désactivée sur le compte de l'Éditeur). Mistral AI s'appuie sur ses propres sous-traitants techniques, dont la liste à jour est publiée sur son centre de confiance (https://trust.mistral.ai/subprocessors). Les lieux de calcul (et de stockage, lorsque le fournisseur s'y engage) figurent dans le tableau ci-dessus. La conservation est encadrée par les conditions applicables à l'API (Anthropic : 30 jours en règle générale, jusqu'à 2 ans pour les contenus signalés pour non-respect de ses règles d'usage ; Mistral AI : jusqu'à 30 jours glissants, pour la surveillance des abus).

Cette liste est tenue à jour ; toute modification est notifiée au Client dans les conditions de l'article 6. Les pages de l'application chargent aussi leurs polices de caractères depuis Google Fonts (Google LLC) : le navigateur du visiteur lui envoie son adresse IP (voir la Politique de confidentialité).