Accord de sous-traitance des données
1. Rôles
Le Client est responsable du traitement des données personnelles contenues dans les documents qu'il dépose. Caviardeur est sous-traitant et ne traite ces données que sur instruction documentée du Client, telle qu'exprimée par l'usage du Service.
2. Nature et finalité du traitement
Extraction du texte, détection des données identifiantes, remplacement par des balises, contrôle résiduel et conservation chiffrée du document pseudonymisé et de la table de correspondance. Catégories de données : identité, coordonnées, identifiants d'entreprise, données bancaires, et toute donnée figurant dans les documents. Personnes concernées : parties aux actes, leurs représentants et toute personne mentionnée.
3. Obligations de Caviardeur
- Ne traiter que sur instruction ; informer le Client si une instruction paraît illicite.
- Confidentialité du personnel autorisé ; aucun accès au contenu ré-identifiable en fonctionnement normal.
- Mesures de sécurité de l'article 32 : chiffrement, cloisonnement, journalisation, purge, tests réguliers.
- Assistance au Client pour répondre aux demandes d'exercice de droits et aux analyses d'impact.
- Notification au Client de toute violation de données sous 48 h après en avoir pris connaissance.
- Suppression ou restitution des données en fin de contrat ; attestation sur demande.
- Mise à disposition des informations nécessaires aux audits, une fois par an et à la charge du Client.
4. Sous-traitants ultérieurs
| Sous-traitant | Rang | Traitement | Lieu | Garanties |
|---|---|---|---|---|
| Mistral AI SAS (France) | 1 | Détection, OCR, contrôle résiduel sur le texte en clair | Union européenne | Data Processing Addendum en vigueur du 27/07/2026, incorporé par référence aux conditions commerciales ; zero data retention activé sur l'organisation, vérifié le 23/09/2026 ; aucune utilisation pour l'entraînement |
| Clever Cloud SAS (France) | 1 | Hébergement du site, serveurs de traitement, stockage chiffré | France | Contrat d'hébergement, DPA Clever Cloud, ISO 27001:2022, société française non soumise au CLOUD Act |
| OVH SAS (France) | 1 | Sauvegarde quotidienne du stockage, dans un second centre distinct de l'hébergement principal | France | Conditions Public Cloud OVHcloud et annexe de traitement de données. Ne reçoit que des copies chiffrées par Caviardeur avant l'envoi, avec des clés qu'OVH ne détient pas ; conservées 14 jours. |
| Stripe Payments Europe Ltd (Irlande) | 1 | Paiement | Union européenne | PCI DSS, DPA Stripe. Aucun contenu de document ne lui est transmis. |
| Microsoft Inc. (Azure) | 2 | Infrastructure d'inférence de Mistral AI | Suède, Norvège | Sous-traitant ultérieur de Mistral AI, sous DPA Mistral. Société de droit américain exploitant une infrastructure européenne. |
| CoreWeave Inc. | 2 | Capacité d'inférence pour Mistral AI | Espace économique européen | Sous-traitant ultérieur de Mistral AI, sous DPA Mistral. Société de droit américain. |
| Mistral Compute | 2 | Infrastructure d'inférence de Mistral AI | France | Sous-traitant ultérieur de Mistral AI, sous DPA Mistral |
| Cloudflare Inc., Kong Inc., CrowdStrike Inc., Wiz Inc., Sentry | 2 | Routage, sécurité de l'API et supervision d'erreurs chez Mistral AI | EEE, mondial pour Cloudflare | Sous-traitants ultérieurs de Mistral AI, sous DPA Mistral. Le contenu des documents ne leur est pas destiné. |
Les sous-traitants de rang 1 sont ceux de Caviardeur ; ceux de rang 2 sont les sous-traitants ultérieurs de Mistral AI, relevés sur son Trust Center le 23 septembre 2026 et tenus à jour au registre public. Toute modification de cette liste est notifiée au Client 30 jours à l'avance ; le Client peut s'y opposer et résilier sans frais.
5. Transferts hors UE
Aucune donnée issue des documents n'est transférée hors de l'Union européenne, ni en clair ni pseudonymisée. Les traitements listés ci-dessus s'exécutent tous sur des infrastructures situées dans l'Espace économique européen. Deux d'entre elles sont exploitées par des sociétés de droit américain (Microsoft, CoreWeave), ce qui ne constitue pas un transfert au sens du chapitre V du RGPD, mais expose ces sociétés au CLOUD Act : le Client qui ne peut l'accepter relève de l'offre Souverain, sur plateforme qualifiée SecNumCloud. Si un transfert hors UE devenait nécessaire, il serait notifié au Client trente jours à l'avance, encadré par les clauses contractuelles types de la Commission européenne, et le Client pourrait s'y opposer et résilier sans frais.
6. Durée
Le présent accord s'applique pendant toute la durée du contrat et jusqu'à la suppression effective des données. Une donnée supprimée dans le Service subsiste, chiffrée, au plus 14 jours dans les sauvegardes et 30 jours dans l'historique des versions du stockage principal, puis en est effacée automatiquement.