Accord de traitement des données Tracelia

Version 2.0 • 28 octobre 2026

Cet accord fait partie des conditions de l’essai gratuit et du contrat d’abonnement entre le Client et Global Expertises. Il encadre, conformément à l’article 28 du règlement (UE) 2016/679, les données personnelles confiées à Tracelia pour le compte du Client dès l’essai. Il prévaut sur toute clause incompatible relative à ces traitements. Il prend effet avant le dépôt de données dans l’espace d’essai ou d’abonnement et demeure applicable jusqu’à leur restitution ou suppression.

1. Parties et répartition des rôles

Le Client détermine les finalités de ses missions et les données versées dans ses dossiers ; il agit comme responsable de traitement, ou comme sous-traitant autorisé par son propre donneur d’ordre. Dans ce second cas, il transmet les instructions et autorisations nécessaires. Global Expertises, SAS au capital de 1 000 euros, RCS Toulouse 911 366 698, 59 allées Jean Jaurès, 31000 Toulouse, France, agit comme sous-traitant du Client pour fournir les fonctions de dossier, de stockage, d’analyse, de restitution et d’assistance prévues au contrat.

Global Expertises recourt à FortyTwoFlow SAS, RCS Montpellier 989 717 541, 73 Allée Kléber, 34000 Montpellier, France, comme sous-traitant ultérieur chargé de l’édition et de l’exploitation technique de Tracelia. Elle lui impose les obligations du présent accord et reste responsable envers le Client de leur respect par la chaîne de sous-traitance. Le Client dispose d’un interlocuteur contractuel : contact@global-expertises.fr. Le contact technique de protection des données est contact@fortytwoflow.ai.

Les traitements pour les finalités propres de Global Expertises, notamment la relation commerciale, la facturation et la défense de ses droits, sont distincts et décrits dans la politique de confidentialité. Les traitements propres de l’opérateur technique concernant ses comptes, la sécurité de sa plateforme et ses obligations légales relèvent de sa responsabilité et de l’information correspondante. Aucun de ces traitements propres n’autorise la réutilisation des dossiers bruts du Client pour une finalité indépendante. Les preuves de facturation et de droits d’accès se limitent aux informations nécessaires sur l’Organisation, les Experts souscrits, les dates, le contrat et les états de paiement ; elles ne justifient pas de recopier les contenus des dossiers. Un relevé de tous les membres ne peut servir à facturer des comptes non Expert. L’amélioration du service n’autorise pas la réutilisation des contenus bruts des dossiers ; seules des mesures agrégées ou irréversiblement anonymisées, sans réidentification possible, peuvent alimenter une finalité propre distincte. Une donnée simplement pseudonymisée reste soumise aux instructions et au présent accord.

2. Description des traitements confiés

Le service n’a pas pour objet le traitement de données sensibles au sens de l’article 9 du RGPD ou de condamnations et infractions au sens de l’article 10. Le Client les retire ou les masque avant import lorsqu’elles ne sont pas nécessaires. Un traitement exceptionnel de telles données nécessite une instruction écrite, une base légale appropriée et des mesures adaptées convenues avant ce traitement. Le seul import d’un document ne dispense pas le Client de cette vérification.

3. Instructions et obligations du Client

Le contrat, l’usage des fonctions conformément à leur destination, les habilitations configurées par le Client et ses demandes documentées constituent les instructions initiales. Toute instruction complémentaire est adressée par une personne habilitée à contact@global-expertises.fr. Global Expertises ne traite les données que sur ces instructions, y compris pour les transferts, sauf obligation légale ; elle informe alors le Client avant le traitement, à moins que la loi ne l’interdise.

Le Client s’assure de la licéité des données, de l’information des personnes, des autorisations d’accès et de ses durées de conservation. Il limite les imports au nécessaire, vérifie les destinataires de ses invitations et maintient ses coordonnées d’urgence. Global Expertises l’informe immédiatement si une instruction lui paraît contraire aux règles de protection des données et suspend la seule opération concernée pendant sa clarification. Elle ne se substitue pas au Client dans la détermination des finalités de sa mission.

4. Confidentialité et accès au contenu

Global Expertises veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité appropriée, formées à leurs responsabilités et habilitées selon le besoin d’en connaître. Les habilitations sont retirées lorsque leur justification cesse. Un accès de support à un dossier est limité à la demande ou à la nécessité documentée de l’incident, vérifié, tracé et clôturé à son terme ; une intervention urgente de sécurité est justifiée et portée à la connaissance du Client dès que possible.

Les données d’un Client ne sont pas communiquées à un autre. Elles ne servent ni à entraîner des modèles, ni à enrichir une base documentaire interclients, ni à constituer un exemple ou une démonstration sans accord spécifique distinct. Des statistiques irréversiblement anonymisées peuvent servir à améliorer le fonctionnement ; cette anonymisation ne doit pas permettre de reconstituer un dossier, un secret professionnel ou une personne. Une simple pseudonymisation ne suffit pas à sortir les données du présent accord.

5. Mesures techniques et organisationnelles

Global Expertises impose à l’opérateur une protection adaptée aux risques, à l’état des connaissances et à la nature des données. Cette protection couvre le chiffrement des communications par TLS et des bases et fichiers au repos, la séparation logique des Organisations et de leurs dossiers, les contrôles d’accès par rôle, la protection des comptes d’administration et des secrets, la traçabilité des accès et des actions sensibles, la gestion des correctifs et vulnérabilités ainsi que la surveillance des incidents.

Les sauvegardes sont chiffrées, protégées par des habilitations distinctes et soumises à une durée de purge. Des procédures de restauration sont maintenues et testées périodiquement. Les environnements de développement ne reçoivent pas de copie identifiable de dossiers de production sans nécessité, autorisation et protections équivalentes. Les échanges de support sont minimisés ; les captures de diagnostic masquent les textes et saisies et excluent les secrets. Les accès privilégiés sont revus régulièrement et retirés à la fin des interventions.

Les mesures font l’objet d’une documentation, d’évaluations régulières et d’une procédure d’amélioration. Une évolution ne doit pas diminuer substantiellement la sécurité convenue. Aucun certificat, audit indépendant, temps maximal de reprise ou absence absolue d’incident n’est garanti par cet accord. Les informations nécessaires pour apprécier ces mesures sont remises au Client selon les règles d’audit de la section 11.

6. Sous traitants ultérieurs autorisés

Le Client autorise le recours général à la chaîne ci-dessous, pour les seules prestations décrites. Global Expertises vérifie les garanties, impose des obligations équivalentes à celles du présent accord et répond de l’exécution des obligations de cette chaîne. La mention d’une région européenne de stockage ne garantit pas, à elle seule, l’absence d’accès depuis un pays tiers.

Tout ajout ou remplacement de sous-traitant ultérieur est notifié au Client au moins trente jours avant sa mise en œuvre, avec son identité, son rôle, ses pays de traitement et ses garanties. Le Client peut s’y opposer pendant ce délai pour un motif documenté relatif à la protection des données. Les parties recherchent une solution sans dégrader la protection ; à défaut, le Client peut résilier la partie affectée avant le nouveau traitement, sans pénalité, avec restitution et remboursement du prépaiement non consommé. Une urgence de sécurité est notifiée dès qu’elle est connue et ne supprime pas le droit d’opposition.

7. Services publics et paiement distincts

Pour la saisie d’adresses, le service de géocodage Géoplateforme de l’IGN reçoit la chaîne d’adresse et, lorsqu’il est appelé par le navigateur, l’adresse IP de l’utilisateur. Les appels effectués par le serveur pour localiser le bien et obtenir ses données cartographiques ne transmettent pas cette IP. Le service public Géorisques reçoit l’adresse, les coordonnées ou le code de commune nécessaires aux informations de risque. Ces organismes publics traitent ces données selon leurs propres missions et informations de confidentialité ; ils ne reçoivent ni le dossier complet ni les données de facturation. Le Client instruit ces consultations lorsqu’il utilise les fonctions concernées et limite les adresses saisies au nécessaire.

Stripe reçoit les informations nécessaires à l’enregistrement de la carte, au paiement différé accepté lors de l’inscription, aux règlements anticipés, à la facturation et à ses obligations de sécurité et financières. Aucun débit Tracelia n’intervient à l’inscription ; le mensuel démarre après l’essai sauf annulation, selon le récapitulatif accepté et le rappel prévu. L’achat anticipé est confirmé séparément. Stripe ne reçoit pas les pièces d’expertise pour assurer le paiement. Le recours à ce prestataire n’autorise aucune réutilisation des dossiers ; son rôle propre et l’information de collecte sont précisés dans la politique de confidentialité. Une mémorisation facultative pour un autre achat reste distincte du moyen nécessaire au contrat accepté.

8. Transferts et demandes des autorités

Tout transfert de données personnelles hors de l’Espace économique européen, y compris un accès à distance, respecte le chapitre V du RGPD. Global Expertises vérifie avant le transfert l’existence d’une décision d’adéquation applicable ou de garanties appropriées, notamment les clauses contractuelles types de la décision (UE) 2021/914 dans le module pertinent, l’évaluation des lois du pays destinataire et les mesures complémentaires nécessaires. Un transfert ne repose pas sur la seule localisation du siège européen d’un fournisseur. Le Client peut obtenir une copie des garanties, expurgée seulement des secrets légitimement protégés.

Le stockage applicatif principal est situé en France ; les diagnostics Sentry sont stockés en Allemagne ; les fonctions OpenAI et les accès de prestataires peuvent impliquer les États-Unis. Le service n’est donc pas présenté comme entièrement souverain ou exempt de transfert international. Une localisation nouvelle ou un mécanisme de transfert différent suit l’information et l’opposition prévues à la section 6 lorsqu’il modifie la chaîne de traitement.

Global Expertises et l’opérateur examinent la légalité des demandes d’accès d’une autorité, contestent les demandes manifestement illicites lorsque le droit le permet et ne communiquent que les données strictement requises. Le Client est informé avant communication, sauf interdiction légale ; les démarches nécessaires pour lever cette interdiction sont entreprises lorsqu’elles sont possibles. Les données non personnelles détenues dans l’Union sont également protégées contre les accès gouvernementaux internationaux contraires au droit de l’Union, conformément au règlement (UE) 2023/2854.

9. Droits violations et assistance réglementaire

Global Expertises transmet au Client sans retard injustifié, au plus tard dans les deux jours ouvrés, toute demande d’une personne portant sur un dossier dont il détermine les finalités. Elle ne répond pas au fond sans instruction, sauf obligation légale, et apporte l’assistance nécessaire à la recherche, à l’accès, à la rectification, à la limitation, à l’opposition, à l’effacement et à la portabilité lorsqu’elle s’applique. Le Client demeure responsable du délai légal de réponse ; les données d’un autre client ne sont pas exposées lors de cette assistance.

Global Expertises notifie au Client toute violation de données le concernant sans retard injustifié après en avoir pris connaissance, sans attendre une analyse complète. L’alerte est adressée au contact de l’Organisation et complétée à mesure que les faits sont établis : nature de l’incident, catégories et volumes approximatifs, conséquences probables, mesures prises ou proposées et contact de suivi. Elle documente l’incident, préserve les preuves et coopère pour son confinement et sa correction. La notification au Client n’est pas subordonnée à l’existence d’un risque élevé.

Le Client décide des notifications aux autorités et aux personnes qui lui incombent. Global Expertises fournit les informations nécessaires pour respecter notamment le délai de soixante-douze heures applicable au responsable de traitement dans les conditions de l’article 33. Elle l’assiste pour la sécurité, les analyses d’impact et les consultations préalables prévues aux articles 32 à 36, compte tenu de la nature du traitement et des informations à sa disposition. L’assistance courante et celle rendue nécessaire par un manquement du fournisseur sont incluses ; une prestation exceptionnelle indépendante de ce manquement exige un devis préalable et ne peut retarder une obligation légale.

10. Restitution conservation et suppression

Pendant l’essai puis, le cas échéant, l’abonnement, les données sont conservées sur instruction du Client pour fournir le service. À la fin de l’essai annulé et non suivi d’un abonnement, ou à la fin de l’abonnement, il choisit leur restitution ou leur suppression, dans le respect de la récupération gratuite d’au moins trente jours calendaires, après la transition lorsqu’un changement de fournisseur est en cours. La récupération ne nécessite pas un achat. La conversion acceptée ou l’activation anticipée rattache les données au même espace et ne déclenche pas un effacement de fin d’essai. Une suppression anticipée, écrite et authentifiée, nécessite avertissement sur ses conséquences irréversibles et confirmation ; elle n’est pas déduite de l’expiration ou du seul non-renouvellement.

Après récupération et transfert achevé, les données actives sont supprimées. Sans instruction plus courte, le délai maximal ordinaire est de quatre-vingt-dix jours après clôture du compte ; une réversibilité en cours prolonge ce délai jusqu’au terme de la récupération. Les sauvegardes résiduelles sont isolées, exclues des usages courants et purgées au plus tard quatre-vingt-dix jours après l’effacement actif. En cas de restauration nécessaire avant cette purge, les suppressions sont réappliquées. Global Expertises remet une confirmation de suppression sur demande.

Une conservation imposée par la loi est identifiée, justifiée et séparée des données d’exploitation ; elle ne porte que sur les données nécessaires et cesse à l’expiration de cette obligation. Les factures et preuves contractuelles ne justifient pas la conservation de l’ensemble d’un dossier. Aucune conservation de dix ans des dossiers n’est incluse par défaut.

La restitution gratuite inclut les contenus générés et enregistrés pour le Client pendant l’essai, même si leur téléchargement sous la présentation PDF/Word est réservé à l’abonnement.

Les contenus envoyés à OpenAI par API ne sont pas utilisés par défaut pour entraîner ses modèles. La rétention technique peut atteindre trente jours pour les journaux de surveillance des abus ; certains fichiers, fonctions ou états applicatifs ont des durées propres jusqu’à leur suppression. Global Expertises limite les envois, fait appliquer les suppressions aux éléments persistants et n’active pas une option d’entraînement sur les dossiers. Une exception légale ou de sécurité est limitée, documentée et portée à la connaissance du Client lorsqu’elle affecte sa demande.

11. Documentation contrôles et audits

Global Expertises met à disposition les informations nécessaires pour démontrer le respect de cet accord et facilite les audits, y compris les inspections, par le Client ou un auditeur indépendant mandaté et tenu à la confidentialité. La priorité est donnée aux documents et preuves existants lorsqu’ils répondent au besoin. Un contrôle sur place est organisé avec un préavis raisonnable, normalement de quinze jours ouvrés, sans exposer les données d’autres clients, les secrets de sécurité ou la disponibilité du service.

Un audit annuel ordinaire peut être organisé. Cette fréquence et le préavis ne limitent ni un contrôle requis par une autorité, ni un audit justifié par une violation ou des indices sérieux de non-conformité. Les coûts exceptionnels d’un audit demandé sans manquement du fournisseur sont convenus préalablement et ne rendent pas le contrôle illusoire. Le fournisseur prend en charge ses corrections et les contrôles rendus nécessaires par son manquement. Les constatations, actions correctives et délais sont documentés.

12. Responsabilité et coopération

Chaque partie tient la documentation et les registres qui lui incombent. Global Expertises coopère avec les autorités compétentes et n’invoque pas un contrat avec un sous-traitant ultérieur pour refuser une obligation due au Client. Les droits des personnes et la responsabilité prévue par l’article 82 du RGPD ne sont pas limités par cet accord. Les règles contractuelles de responsabilité ne sont opposables que dans les limites autorisées par le droit applicable.

Toute évolution du présent accord maintient les protections nécessaires au traitement confié. Un désaccord qui rend impossible un traitement licite conduit à suspendre la seule opération concernée ou à organiser sa cessation et la restitution, sans réutilisation des données à une autre fin. Les obligations de confidentialité, de sécurité, de coopération et d’effacement subsistent pendant toute conservation résiduelle.