Accord de traitement des données (modèle)

Il s’agit du modèle d’accord de traitement des données (ATD) que GPT Workspace signe avec ses clients professionnels. Pour le recevoir pré-rempli, écrivez à contact@gpt.space avec la raison sociale de votre entreprise, son adresse, la personne à contacter et le nombre de licences. Les sous-traitants qu’il nomme sont listés et tenus à jour sur le Centre de confiance.

Ce modèle est fourni à titre informatif et ne constitue pas un avis juridique. Faites-le examiner par votre conseiller juridique avant de le signer. Les champs entre crochets sont remplis avant la signature.

---

Le présent Accord de traitement des données (« ATD ») fait partie de l’accord d’utilisation de GPT Workspace (le « Service ») conclu entre :

• [RAISON SOCIALE DU CLIENT], [ADRESSE DU CLIENT], [NUMÉRO D’ENREGISTREMENT] (le « Client » ou « Responsable du traitement »), et
• GPTW LLC, 150 Central Park, Los Alamos, New Mexico, États-Unis (le « Fournisseur » ou « Sous-traitant »),

ci-après conjointement les « Parties ». Il est conclu à la date du [DATE D’EFFET] et s’applique aussi longtemps que le Fournisseur traite des données à caractère personnel pour le compte du Client.

Le « RGPD » désigne le règlement (UE) 2016/679 et, le cas échéant, le RGPD britannique tel que défini dans le Data Protection Act 2018. Les termes « Données à caractère personnel », « Traitement », « Responsable du traitement », « Sous-traitant », « Personne concernée », « Autorité de contrôle » et « Violation de données à caractère personnel » ont le sens donné à l’article 4 du RGPD. Le « Sous-traitant ultérieur » désigne un tiers engagé par le Fournisseur pour traiter des données à caractère personnel pour le compte du Client. Les « Données du Client » désignent les données à caractère personnel que le Fournisseur traite pour le Client dans le cadre de l’accord de Service, telles que décrites à l’Annexe 1.

2.1 Le Client est le Responsable du traitement et le Fournisseur est le Sous-traitant des Données du Client. Lorsque le Client agit en tant que sous-traitant pour ses propres clients, le Fournisseur agit en tant que sous-traitant ultérieur et le Client garantit que ses propres instructions sont autorisées par le responsable du traitement concerné.

2.2 L’objet, la durée, la nature et la finalité du Traitement, les types de Données à caractère personnel et les catégories de Personnes concernées sont définis à l’Annexe 1.

3.1 Le Fournisseur traite les Données du Client uniquement sur la base des instructions documentées du Client, y compris en ce qui concerne les transferts vers un pays tiers, sauf lorsqu’il y est contraint par le droit de l’Union ou d’un État membre auquel le Fournisseur est soumis ; dans ce cas, le Fournisseur informe le Client de cette obligation légale avant le traitement, sauf si la loi l’interdit.

3.2 Les instructions du Client sont les suivantes : l’accord de Service, le présent ATD, la configuration que le Client et ses utilisateurs définissent dans le Service, ainsi que les requêtes que les utilisateurs du Client envoient au Service. Le Fournisseur informe immédiatement le Client si, de son avis, une instruction enfreint le RGPD.

Le Fournisseur s’assure que les personnes autorisées à traiter les Données du Client se sont engagées à respecter la confidentialité ou sont soumises à une obligation légale appropriée de confidentialité, et que l’accès est limité à ce dont chaque personne a besoin pour fournir le Service.

Le Fournisseur met en œuvre les mesures techniques et organisationnelles énumérées à l’Annexe 2 et les réexamine régulièrement. Compte tenu de l’état des techniques, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du Traitement, ces mesures garantissent un niveau de sécurité approprié au risque.

6.1 Le Client donne une autorisation écrite générale au Fournisseur pour engager les Sous-traitants ultérieurs énumérés à l’Annexe 3.

6.2 Le Fournisseur informe le Client de toute addition ou substitution prévue d’un Sous-traitant ultérieur au moins [30] jours avant que le changement n’entre en vigueur, par courriel à [ADRESSE DE NOTIFICATION DU CLIENT] et en mettant à jour la liste à l’adresse https://gpt.space/trust. Le Client peut s’y opposer pour des motifs raisonnables liés à la protection des données pendant cette période ; si les Parties ne parviennent pas à résoudre l’objection, le Client peut résilier la partie affectée du Service sans pénalité.

6.3 Le Fournisseur impose à chaque Sous-traitant ultérieur, par contrat, les mêmes obligations en matière de protection des données que celles énoncées dans le présent ATD, en particulier en fournissant des garanties suffisantes pour la mise en œuvre de mesures techniques et organisationnelles appropriées. Lorsqu’un Sous-traitant ultérieur ne respecte pas ses obligations, le Fournisseur demeure entièrement responsable envers le Client de l’exécution des obligations de ce Sous-traitant ultérieur.

Compte tenu de la nature du Traitement, le Fournisseur assiste le Client au moyen de mesures techniques et organisationnelles appropriées, dans la mesure du possible, pour s’acquitter de l’obligation du Client de répondre aux demandes d’exercice des droits de la Personne concernée au titre du Chapitre III du RGPD. Le Fournisseur transmet au Client, sans tarder, toute demande reçue directement d’une Personne concernée concernant les Données du Client, et n’y répond pas sauf sur instruction du Client ou lorsque la loi l’exige.

Le Fournisseur assiste le Client pour assurer le respect des obligations prévues aux articles 32 à 36 du RGPD (sécurité, notification de violation, analyses d’impact relatives à la protection des données et consultation préalable), compte tenu de la nature du Traitement et des informations dont dispose le Fournisseur.

Le Fournisseur notifie au Client sans tarder, et en tout état de cause dans un délai de [48] heures, après avoir pris connaissance d’une Violation de données à caractère personnel affectant les Données du Client, par courriel à [ADRESSE DE NOTIFICATION DU CLIENT]. La notification décrit, dans la mesure des informations connues à ce moment, la nature de la violation, les catégories et le nombre approximatif de Personnes concernées et d’enregistrements concernés, les conséquences probables, les mesures prises ou proposées, ainsi qu’un point de contact ; les informations qui ne sont pas encore disponibles sont communiquées par phases sans tarder davantage.

10.1 Au choix du Client, le Fournisseur supprime ou renvoie toutes les Données du Client après la fin de la fourniture du Service, et supprime les copies existantes, sauf si le droit de l’Union ou d’un État membre exige la conservation des données à caractère personnel.

10.2 Indépendamment du point 10.1, le Client et chacun de ses utilisateurs peuvent supprimer leur compte et les données détenues par le Fournisseur dans le Service à tout moment ; la suppression est effectuée dans les 24 heures suivant la demande. Les factures et les enregistrements de paiement sont conservés pendant la durée requise par la législation fiscale.

11.1 Le Fournisseur met à la disposition du Client toutes les informations nécessaires pour démontrer la conformité aux obligations énoncées à l’article 28 du RGPD, et permet et contribue aux audits, y compris les inspections, menés par le Client ou un auditeur mandaté par le Client.

11.2 Le Fournisseur répond d’abord aux demandes d’audit en fournissant son certificat ISO 27001 et son rapport d’audit (https://firebasestorage.googleapis.com/v0/b/billing-js.appspot.com/o/audit_report%2FQualtir%20ISO%2027001%20Audit%20Report.pdf?alt=media), son évaluation CASA Tier III et des réponses écrites à un questionnaire de sécurité. Une inspection sur site ou à distance est effectuée au plus [une fois par an], sur préavis écrit de [30] jours, pendant les heures ouvrables, dans le cadre d’un accord de confidentialité et aux frais du Client, sauf si une Autorité de contrôle en dispose autrement ou si une Violation de données à caractère personnel s’est produite.

12.1 Le Fournisseur est établi aux États-Unis et le Service est hébergé sur Google Cloud Platform aux États-Unis. Lorsque les Données du Client relatives à des Personnes concernées dans l’EEE, le Royaume-Uni ou la Suisse sont transférées vers un pays ne bénéficiant pas d’une décision d’adéquation, les Parties s’appuient sur les Clauses contractuelles types adoptées par la Commission européenne dans la Décision (UE) 2021/914 (Module Deux, responsable du traitement à sous-traitant, ou Module Trois, sous-traitant à sous-traitant, selon le cas), qui sont intégrées par référence, ainsi que sur l’Addendum britannique de transfert international de données lorsque des données britanniques sont concernées. Les Sous-traitants ultérieurs du Fournisseur qui reçoivent des Données du Client participent à l’EU-US Data Privacy Framework lorsque ce cadre leur est disponible ; les Clauses contractuelles types régissent chaque transfert effectué par le Fournisseur lui-même.

12.2 Pour les options des Clauses contractuelles types : la Clause 7 (adhésion) s’applique ; la Clause 9 option 2 (autorisation générale) avec le délai de notification de la Section 6.2 ; le texte facultatif de la Clause 11 ne s’applique pas ; Clauses 13 et 17 : le droit de [ÉTAT MEMBRE, p. ex. Irlande] ; Clause 18 : les tribunaux de [ÉTAT MEMBRE]. L’Annexe I et l’Annexe II des Clauses correspondent aux Annexes 1 et 2 du présent ATD.

13.1 La responsabilité de chaque Partie au titre du présent ATD est soumise aux limitations et exclusions de responsabilité prévues dans l’accord de Service, sauf lorsque celles-ci ne peuvent être limitées en vertu du droit applicable en matière de protection des données.

13.2 Le présent ATD entre en vigueur à la Date d’effet et reste en vigueur aussi longtemps que le Fournisseur traite les Données du Client. En cas de conflit entre le présent ATD et l’accord de Service, le présent ATD prévaut pour le Traitement des Données à caractère personnel.

13.3 Le présent ATD est régi par le droit qui régit l’accord de Service, sous réserve que les Clauses contractuelles types soient régies par le droit choisi à la Section 12.2.

Pour le Client	Pour le Fournisseur
Nom : [NOM]	Nom : [NOM]
Titre : [TITRE]	Titre : [TITRE]
Date : [DATE]	Date : [DATE]
Signature :	Signature :

---

Élément	Description
Objet	Fourniture du Service GPT Workspace : assistance par IA dans Google Docs, Sheets, Slides, Forms, Gmail, Drive, Google Chat, l’extension Chrome et les serveurs MCP.
Durée	La durée de l’accord de Service, augmentée des périodes de conservation de l’Annexe 2.
Nature et finalité	Lecture du contenu que l’utilisateur désigne dans son compte Google, envoi de ce contenu avec la requête de l’utilisateur à un fournisseur de modèles d’IA, et écriture de la réponse dans le fichier ou la conversation de l’utilisateur. Administration des comptes, facturation et support.
Catégories de Personnes concernées	Les employés et sous-traitants du Client qui utilisent le Service ; les personnes dont les données apparaissent dans les documents, tableurs, courriels et fichiers du Client traités par le Service.
Types de Données à caractère personnel	Données de compte (nom, adresse courriel, photo de profil, identifiant de compte Google) ; données de facturation (nom de facturation, adresse, numéro de TVA) ; métadonnées d’utilisation (nombre de requêtes, dates, titres de documents) ; contenu des requêtes et des fichiers Google, courriels et pièces jointes soumis par l’utilisateur, qui peuvent contenir toute catégorie de Données à caractère personnel que le Client y place.
Catégories particulières	Aucune par conception. Le Service ne nécessite pas de données de catégories particulières ; le Client décide de ce que ses utilisateurs soumettent. [Le Client indique si des catégories particulières sont attendues : AUCUNE / DÉCRIRE]
Fréquence	Continue, à chaque requête d’un utilisateur.
Conservation	Voir Annexe 2, « Conservation ».

Domaine	Mesure
Certifications	Système de management de la sécurité de l’information certifié ISO 27001 (rapport d’audit disponible). Évaluation CASA Tier III (App Defense Alliance) pour l’intégration Google Workspace. Conformité à la politique d’utilisation des données utilisateur des services d’API Google, y compris les exigences d’utilisation limitée.
Hébergement	Google Cloud Platform (Firebase), États-Unis, régions US East et US West. Les composants qui traitent les Données du Client s’exécutent dans le réseau privé du Fournisseur, derrière des répartiteurs de charge et un pare-feu d’application web.
Chiffrement	TLS 1.2 ou supérieur pour toutes les données en transit. Chiffrement AES-256 côté serveur au repos sur Firebase, gestion des clés via GCP IAM. Jetons d’accès et d’actualisation Google chiffrés au repos.
Pas de copie des fichiers du Client	Les fichiers, courriels et tableurs Google sont lus en temps réel avec le jeton OAuth de l’utilisateur et ne sont pas copiés vers le stockage du Fournisseur. La seule exception est un fichier que l’utilisateur joint pour la recherche de fichiers, qui est téléversé vers un magasin de vecteurs OpenAI (voir Annexe 3) : l’index de recherche est supprimé 1 jour après la dernière utilisation et la copie est supprimée après 7 jours.
Fournisseurs de modèles	Utilisés selon des conditions d’API qui interdisent l’entraînement sur les requêtes. Le Fournisseur n’entraîne ni n’affine jamais un modèle sur les Données du Client.
Contrôle d’accès	Accès aux systèmes de production restreint au personnel autorisé avec des comptes individuels, authentification multifacteur et principe du moindre privilège via GCP IAM. Isolation des données par utilisateur appliquée par les règles de sécurité Firebase. L’authentification multifacteur est obligatoire pour chaque compte avec accès à la production ; les droits d’accès sont révisés chaque semaine.
Surveillance et tests	Analyse continue des vulnérabilités par GCP Security Command Center sur tous les actifs concernés ; politique de divulgation des vulnérabilités pour les chercheurs externes.
Conservation	Données de compte, fils de discussion, paramètres et métadonnées d’utilisation : 18 mois après la dernière activité de l’utilisateur, ou 24 heures après une demande de suppression. Fichiers joints pour la recherche de fichiers : index de recherche supprimé 1 jour après la dernière utilisation, copie téléversée supprimée après 7 jours. Journaux de requêtes de la passerelle de modèles : 30 jours, usage de support uniquement. Requêtes et réponses : traitées en temps réel, non stockées à long terme par le Fournisseur. Factures : la durée requise par la législation fiscale.
Suppression	Suppression en libre-service du compte et de toutes les données associées dans le Service ; suppression sur demande dans les 24 heures.
Continuité d’activité	Sauvegarde native Google Cloud et outils de disponibilité multirégionale ; sauvegardes complètes tous les 7 jours.
Personnel	Obligations de confidentialité dans les accords de travail et de sous-traitance ; sensibilisation à la sécurité pour le personnel ayant accès à la production.

La liste à jour est tenue à l’adresse https://gpt.space/trust et reproduite ici à la date d’effet.

Sous-traitant ultérieur	Finalité	Localisation
Google Cloud Platform / Firebase (Google LLC)	Hébergement, base de données, stockage, authentification, secrets	États-Unis
OpenRouter, Inc.	Passerelle qui achemine chaque requête de modèle vers le fournisseur ci-dessous ; journaux de requêtes conservés 30 jours pour le support uniquement, jamais utilisés pour l’entraînement	États-Unis
OpenAI	Modèles de texte et d’image ; magasin de vecteurs pour la recherche de fichiers	États-Unis
Anthropic	Modèles Claude (épinglés au point de terminaison d’Anthropic)	États-Unis
Google (AI Studio)	Modèles de texte et d’image Gemini	États-Unis
Perplexity	Modèles de recherche web	États-Unis
Hôtes d’inférence OpenRouter	Hôtes d’inférence pour les modèles open-weight GLM-5.3-flash et gpt-oss-120b	Via OpenRouter
Typesafe	Modèle de décision derrière la formule GPT_CLASSIFY	Via OpenRouter
Google Programmable Search	Recherche d’images libres de droits pour les diapositives générées (requête uniquement)	États-Unis
Stripe	Paiements, factures, portail de facturation	États-Unis et Irlande, sous le DPA de Stripe
PostHog (instance auto-hébergée)	Analytique produit	Union européenne
Sentry	Surveillance des erreurs	Union européenne (région de données UE)