1. Parties

Le présent Accord de traitement des données (« ATD ») est conclu entre :

Controller: Responsable du traitement : Le client (« vous » ou « Client ») qui a accepté les Conditions générales d'utilisation de Tender Analyzer et utilise le Service pour traiter des documents d'appels d'offres
Processor: Sous-traitant : Tender Analyzer (« nous », « nos » ou « Sous-traitant »), l'entité exploitant les sites https://www.tender-analyzer.com et https://app.tender-analyzer.com

Le présent ATD complète les Conditions générales d'utilisation et en fait partie intégrante. En cas de conflit entre le présent ATD et les Conditions générales d'utilisation, le présent ATD prévaut en ce qui concerne les questions de traitement des données.

2. Définitions

Données à caractère personnel : Toute information se rapportant à une personne physique identifiée ou identifiable, au sens de l'article 4, paragraphe 1, du RGPD
Traitement : Toute opération effectuée sur des Données à caractère personnel, y compris la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation, la consultation, l'utilisation, la divulgation, l'effacement ou la destruction
Personne concernée : Toute personne physique identifiée ou identifiable dont les Données à caractère personnel font l'objet d'un traitement
Sous-traitant ultérieur : Tout tiers engagé par le Sous-traitant pour traiter des Données à caractère personnel pour le compte du Responsable du traitement
Autorité de contrôle : Toute autorité publique indépendante instituée par un État membre de l'UE en vertu de l'article 51 du RGPD

3. Portée du traitement

3.1 Finalité

Le Sous-traitant traite les Données à caractère personnel uniquement pour fournir le service Tender Analyzer, ce qui inclut :

Analyse documentaire des fichiers d'appels d'offres importés (PDF, Excel, DOCX, CAD)
Extraction des spécifications techniques et des données structurées à partir des documents
Stockage temporaire des documents pendant la durée du traitement
Génération et stockage des résultats d'extraction

3.2 Types de Données à caractère personnel

Les Données à caractère personnel traitées peuvent inclure des noms, coordonnées et informations professionnelles contenus dans les documents d'appels d'offres importés. Le Sous-traitant ne collecte ni n'extrait intentionnellement de Données à caractère personnel des documents ; toute Donnée à caractère personnel présente est accessoire à l'extraction des spécifications techniques.

3.3 Personnes concernées

Les Personnes concernées peuvent inclure les employés, clients, partenaires du Responsable du traitement et toute personne mentionnée dans les documents d'appels d'offres importés.

4. Sous-traitants ultérieurs

Le Responsable du traitement autorise le Sous-traitant à faire appel aux Sous-traitants ultérieurs suivants. Le Sous-traitant notifiera au Responsable du traitement toute modification envisagée de cette liste au moins 30 jours à l'avance.

Sous-traitant ultérieur	Finalité	Localisation
Hetzner Online GmbH	Hébergement cloud et infrastructure	Allemagne (UE)
OpenRouter / Together AI	Inférence LLM pour l'analyse documentaire (API uniquement, aucune rétention de données)	États-Unis
Prestataire SMTP	Envoi d'e-mails transactionnels (vérification, notifications)	UE / États-Unis

Les prestataires d'inférence LLM traitent le contenu des documents uniquement via des appels API. Ils ne stockent, ne conservent ni n'utilisent les données soumises pour l'entraînement de modèles. Tous les appels API sont chiffrés en transit via TLS.

5. Conservation des données

Le Sous-traitant conserve les Données à caractère personnel uniquement pendant la durée nécessaire à la fourniture du Service :

Documents importés : supprimés 90 jours après la fin de l'analyse
Données de compte : conservées jusqu'à la suppression du compte par le Responsable du traitement
Journaux d'utilisation : conservés 12 mois à des fins de surveillance de la sécurité et d'amélioration du service
Résultats d'extraction : conservés jusqu'à suppression par le Responsable du traitement ou à la clôture du compte

À la résiliation de l'accord de Service, le Sous-traitant supprimera ou restituera toutes les Données à caractère personnel dans un délai de 30 jours, sauf si la conservation est requise par la loi applicable.

6. Mesures de sécurité

Le Sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, notamment :

Chiffrement en transit : toutes les données transmises via TLS 1.3
Chiffrement au repos : chiffrement AES-256 pour les documents et données stockés
Contrôle d'accès : politiques de sécurité au niveau des lignes (RLS) de la base de données garantissant une isolation stricte des locataires
Authentification : contrôle d'accès basé sur JWT avec jetons à durée de vie limitée
Limitation du débit : protection contre les abus et les attaques par déni de service sur tous les points d'accès
Isolation de l'infrastructure : environnement serveur dédié avec services conteneurisés
Sauvegardes automatisées : sauvegardes quotidiennes chiffrées de la base de données

7. Droits des personnes concernées

Le Sous-traitant assiste le Responsable du traitement dans l'exécution de ses obligations de réponse aux demandes des Personnes concernées en vertu du Chapitre III du RGPD, notamment :

Droit d'accès (Article 15) — obtenir une copie des Données à caractère personnel traitées
Droit de rectification (Article 16) — corriger les Données à caractère personnel inexactes
Droit à l'effacement (Article 17) — demander la suppression des Données à caractère personnel
Droit à la limitation (Article 18) — restreindre le traitement des Données à caractère personnel
Droit à la portabilité (Article 20) — recevoir les Données à caractère personnel dans un format structuré et lisible par machine
Droit d'opposition (Article 21) — s'opposer au traitement des Données à caractère personnel

Le Sous-traitant répond aux demandes des Personnes concernées transmises par le Responsable du traitement dans les meilleurs délais et au plus tard dans un délai de 30 jours.

8. Notification de violation

En cas de violation de Données à caractère personnel, le Sous-traitant doit :

Notifier le Responsable du traitement dans les meilleurs délais et au plus tard dans les 72 heures suivant la prise de connaissance de la violation, conformément à l'article 33 du RGPD
Fournir au Responsable du traitement les informations suffisantes pour satisfaire à son obligation de signalement de la violation à l'Autorité de contrôle compétente
Coopérer avec le Responsable du traitement et prendre les mesures raisonnables pour assister dans l'investigation, l'atténuation et la remédiation de la violation
Documenter toutes les violations, y compris les faits relatifs à la violation, ses effets et les mesures correctives prises

9. Transferts internationaux

Le Sous-traitant stocke toutes les données primaires au sein de l'Union européenne (Hetzner, Allemagne).

Lorsque le contenu de documents est transmis à des prestataires d'inférence LLM situés en dehors de l'UE (OpenRouter, Together AI), ces transferts sont effectués via des appels API chiffrés. Ces prestataires traitent les données en temps réel et ne conservent pas le contenu soumis. Le Sous-traitant s'assure que des garanties appropriées sont en place, y compris les Clauses Contractuelles Types (CCT) lorsque requis en vertu du Chapitre V du RGPD.

Le Responsable du traitement reconnaît que le contenu des documents est transmis aux prestataires LLM dans le seul but de l'extraction par IA et qu'aucune Donnée à caractère personnel n'est intentionnellement incluse dans ces transmissions.

10. Droits d'audit

Le Responsable du traitement, ou un auditeur tiers indépendant désigné par le Responsable du traitement, peut auditer la conformité du Sous-traitant au présent ATD, sous réserve des conditions suivantes :

Le Responsable du traitement doit fournir un préavis écrit d'au moins 30 jours avant tout audit
Les audits doivent être menés pendant les heures ouvrées et ne doivent pas perturber de manière déraisonnable les opérations du Sous-traitant
Le Responsable du traitement supporte les coûts de tout audit, sauf si l'audit révèle un manquement substantiel de la part du Sous-traitant
Le Sous-traitant met à disposition toutes les informations nécessaires pour démontrer la conformité aux obligations prévues au présent ATD

11. Droit applicable

Le présent ATD est régi par et interprété conformément au droit de l'Union européenne et au droit applicable de l'État membre dans lequel le Responsable du traitement est établi. Tout litige découlant du présent ATD relève de la compétence exclusive des juridictions compétentes de cet État membre.

12. Contact

Pour toute question relative au présent Accord de traitement des données ou pour exercer tout droit en vertu du présent accord, contactez-nous à :

Legal: [email protected]
Privacy: [email protected]
Website: https://www.tender-analyzer.com