1. Objet, parties et périmètre
Ce document complète les conditions du service pour les données personnelles confiées par l’entreprise cliente. Le client est responsable du traitement ; Gaston, Société par actions simplifiée (SAS), 130 541 881 RCS Orléans, dont le siège est situé 2 Impasse à Gault, 45000 Orléans, France, agit comme sous-traitant. Si le client agit lui-même pour un autre responsable de traitement, il s’assure de disposer des autorisations nécessaires.
Les traitements propres à Gaston pour ses comptes utilisateurs, sa facturation, sa sécurité et ses obligations légales relèvent de la politique de confidentialité.
Cet accord décrit les obligations de Gaston et du client. Il ne vaut pas confirmation des garanties propres à chaque prestataire : la documentation des sous-traitants, des transferts et des durées de conservation reste à compléter et peut être demandée à contact@gastonbtp.fr.
2. Traitements confiés
- Objet et finalités : gestion des clients, chantiers, bibliothèques, devis et factures ; extraction de documents et assistance IA lorsqu’elles sont sollicitées ; assistance technique liée à ces fonctions.
- Opérations : réception, enregistrement, organisation, consultation, modification, calcul, extraction, transmission aux prestataires nécessaires, restitution et suppression sur instruction.
- Personnes concernées : clients, prospects, contacts de chantier, collaborateurs et autres personnes présentes dans les contenus transmis.
- Données : identité, coordonnées, adresses de chantier, informations d’entreprise, notes, prestations, montants, documents commerciaux, suivi des règlements, images et textes soumis à l’analyse, échanges d’assistance associés.
- Durée : fourniture des fonctions concernées puis opérations nécessaires à la restitution ou suppression, sauf conservation légalement imposée.
Le service n’est pas destiné à héberger des données de santé, biométriques, pénales ou d’autres catégories sensibles sans accord et mesures adaptés. Le client limite les informations au nécessaire.
3. Instructions et responsabilités
Le client détermine la finalité et la base légale, informe les personnes, organise leurs droits et gère les habilitations. Il documente ses instructions par le contrat, les fonctions utilisées et ses demandes à contact@gastonbtp.fr.
Gaston ne traite les données confiées que sur ces instructions, y compris pour les transferts internationaux, sauf obligation légale applicable. Il informe alors le client avant le traitement, sauf interdiction légale. Gaston signale immédiatement une instruction qui lui paraît contraire au droit de la protection des données.
L’usage de l’IA n’autorise pas, à lui seul, la réutilisation des données pour une finalité indépendante, notamment l’entraînement de modèles. Une telle finalité nécessite son propre cadre juridique et ne résulte pas de cet accord.
4. Confidentialité et sécurité
Gaston limite l’accès aux personnes habilitées, tenues à confidentialité, et met en œuvre des mesures adaptées au risque conformément à l’article 32 du RGPD. Les contrôles applicatifs incluent l’authentification, les droits par entreprise, les échanges HTTPS et la séparation des clés serveur et navigateur.
Les mesures organisationnelles, les incidents, le cycle des sauvegardes, les possibilités de restauration et les contrôles réguliers doivent être documentés pendant le service. Le client peut demander les éléments disponibles nécessaires à son évaluation ; ce document ne vaut pas certification de sécurité ou promesse d’absence d’incident.
5. Sous-traitance ultérieure
Le périmètre technique fait intervenir, selon les fonctions utilisées :
- Supabase : base de données, authentification et traitements serveur.
- Vercel : hébergement web, distribution des pages et journaux associés.
- Resend : messages transactionnels et notifications pouvant contenir des informations confiées.
- OpenRouter et fournisseurs de modèles : demandes IA effectuées ; le fournisseur d’inférence peut varier selon le modèle et le routage.
Stripe traite les achats d’abonnements et de crédits Gaston ; il n’est pas désigné ici comme sous-traitant de l’ensemble des fichiers clients et factures hébergés par l’artisan. Ses rôles propres sont précisés dans sa politique de confidentialité.
Un sous-traitant ultérieur nécessite l’autorisation écrite préalable, spécifique ou générale, du client. En cas d’autorisation générale, Gaston informe préalablement le client d’un ajout ou remplacement, de son rôle et de son incidence sur les données pour permettre une objection motivée avant le changement. Les parties recherchent une solution conforme avant le traitement concerné.
Gaston impose des obligations de protection équivalentes au sous-traitant ultérieur et reste responsable envers le client de leur respect. La liste opérationnelle, les entités contractantes et les lieux de traitement doivent être tenus à jour et communiqués ; les noms commerciaux ci-dessus ne remplacent pas cette vérification.
6. Transferts et IA
Des prestataires peuvent traiter des données hors de l’Espace économique européen, notamment aux États-Unis. Un transfert doit reposer sur une décision d’adéquation applicable ou des garanties appropriées au sens du chapitre V du RGPD, avec l’évaluation et les mesures complémentaires requises. Les informations communicables sur les destinataires, pays et garanties sont fournies au client sur demande.
Les appels IA demandent le routage « zéro rétention » pour l’inférence. Ce paramètre ne remplace ni l’autorisation de sous-traitance ni les garanties de transfert et ne couvre pas automatiquement tous les journaux, métadonnées ou traitements complémentaires. Les résultats enregistrés dans l’espace client suivent les règles de cet espace.
7. Assistance au client
Compte tenu du traitement et des informations disponibles, Gaston assiste le client pour les demandes d’accès, rectification, effacement, limitation, opposition et portabilité, les obligations de sécurité, les analyses d’impact et les consultations préalables nécessaires.
Une demande concernant les données d’un client de l’artisan est transmise au responsable concerné sans réponse sur le fond à sa place, sauf instruction ou obligation légale. Gaston coopère avec les autorités compétentes et informe le client de leurs demandes relatives aux données confiées lorsque la loi le permet.
8. Violation de données
Gaston informe le client sans retard injustifié après avoir connaissance d’une violation affectant les données confiées. Il communique progressivement les informations disponibles : nature, catégories et nombre approximatif de personnes et d’enregistrements concernés, conséquences probables, mesures prises ou envisagées et point de contact.
Le délai de 72 heures prévu, dans certains cas, pour la notification du responsable à l’autorité ne constitue pas un délai d’attente autorisé pour Gaston. Le client reste responsable de ses notifications ; Gaston l’assiste et documente l’incident. Contact : contact@gastonbtp.fr.
9. Restitution et suppression
À la fin des prestations, le client choisit la restitution ou la suppression. Gaston organise l’exécution de cette instruction et la suppression des copies, sauf conservation imposée par un texte applicable ; les données concernées, le motif et la durée sont alors précisés et leurs usages limités.
Le client peut télécharger ses PDF et demander une restitution complémentaire ou une suppression à contact@gastonbtp.fr. La demande dans Paramètres → Données personnelles ne déclenche pas automatiquement l’effacement de l’entreprise ou des factures. Les modalités, le format, le calendrier et le traitement des sauvegardes sont précisés avant l’opération.
Les factures émises et pièces soumises à conservation ne doivent pas être détruites sans examen des obligations applicables. Le client organise son archivage légal ; un export PDF ne fait pas de Gaston un service d’archivage probant ni une plateforme agréée de facturation électronique.
10. Information et audit
Gaston met à disposition les informations nécessaires pour démontrer le respect de ses obligations et permet les audits, y compris inspections, du client ou de son auditeur mandaté. Leur organisation protège la sécurité et les données des autres clients sans priver le client de son droit de contrôle.
Pour obtenir un exemplaire, préciser les instructions ou organiser une vérification : contact@gastonbtp.fr. Référence : articles 28, 32 et 33 du RGPD.