Contrat de traitement des données (modèle)

Il s’agit du modèle de contrat de traitement des données (DPA) que GPT Workspace signe avec ses clients professionnels. Pour le recevoir prérempli, écrivez à contact@gpt.space avec la raison sociale de votre entreprise, son adresse, la personne à contacter et le nombre de licences. Les sous-traitants qu’il mentionne sont listés et tenus à jour dans le Centre de confiance.

Ce modèle est fourni à titre informatif et ne constitue pas un conseil juridique. Faites-le examiner par votre conseiller juridique avant de le signer. Les champs entre crochets sont remplis avant la signature.

---

Le présent Contrat de traitement des données (« DPA ») fait partie intégrante du contrat d’utilisation de GPT Workspace (le « Service ») conclu entre :

• [RAISON SOCIALE DU CLIENT], [ADRESSE DU CLIENT], [NUMÉRO D’IMMATRICULATION] (le « Client » ou le « Responsable du traitement »), et
• GPTW LLC, 150 Central Park, Los Alamos, New Mexico, États-Unis (le « Fournisseur » ou le « Sous-traitant »),

ci-après conjointement les « Parties ». Il est conclu à la date du [DATE D’EFFET] et s’applique aussi longtemps que le Fournisseur traite des données à caractère personnel pour le compte du Client.

Le « RGPD » désigne le règlement (UE) 2016/679 et, le cas échéant, le RGPD du Royaume-Uni tel que défini dans le Data Protection Act 2018. Les termes « Données à caractère personnel », « Traitement », « Responsable du traitement », « Sous-traitant », « Personne concernée », « Autorité de contrôle » et « Violation de données à caractère personnel » ont le sens donné à l’article 4 du RGPD. Le « Sous-traitant ultérieur » désigne un tiers engagé par le Fournisseur pour traiter des données à caractère personnel pour le compte du Client. Les « Données du Client » désignent les données à caractère personnel que le Fournisseur traite pour le Client dans le cadre du contrat de Service, telles que décrites à l’Annexe 1.

2.1 Le Client est le Responsable du traitement et le Fournisseur est le Sous-traitant des Données du Client. Lorsque le Client agit en qualité de sous-traitant pour ses propres clients, le Fournisseur agit en qualité de sous-traitant ultérieur et le Client garantit que ses propres instructions sont autorisées par le responsable du traitement concerné.

2.2 L’objet, la durée, la nature et la finalité du Traitement, les types de Données à caractère personnel et les catégories de Personnes concernées sont définis à l’Annexe 1.

3.1 Le Fournisseur traite les Données du Client uniquement sur la base des instructions documentées du Client, y compris en ce qui concerne les transferts vers un pays tiers, sauf lorsque le droit de l’Union ou le droit d’un État membre auquel le Fournisseur est soumis l’exige ; dans ce cas, le Fournisseur informe le Client de cette exigence légale avant le traitement, sauf si la loi l’interdit.

3.2 Les instructions du Client sont les suivantes : le contrat de Service, le présent DPA, la configuration définie par le Client et ses utilisateurs dans le Service, ainsi que les requêtes envoyées au Service par les utilisateurs du Client. Le Fournisseur informe immédiatement le Client si, de son avis, une instruction enfreint le RGPD.

Le Fournisseur s’assure que les personnes autorisées à traiter les Données du Client sont soumises à une obligation de confidentialité ou à une obligation légale appropriée de confidentialité, et que l’accès est limité à ce dont chaque personne a besoin pour fournir le Service.

Le Fournisseur met en œuvre les mesures techniques et organisationnelles énumérées à l’Annexe 2 et les réexamine régulièrement. Compte tenu de l’état des connaissances techniques, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du Traitement, ces mesures assurent un niveau de sécurité approprié au risque.

6.1 Le Client donne une autorisation écrite générale au Fournisseur pour faire appel aux Sous-traitants ultérieurs énumérés à l’Annexe 3.

6.2 Le Fournisseur informe le Client de tout ajout ou remplacement prévu d’un Sous-traitant ultérieur au moins [30] jours avant que le changement ne prenne effet, par courriel à [ADRESSE DE NOTIFICATION DU CLIENT] et en mettant à jour la liste à l’adresse https://gpt.space/trust. Le Client peut s’y opposer pour des motifs raisonnables liés à la protection des données dans ce délai ; si les Parties ne parviennent pas à résoudre l’objection, le Client peut résilier la partie du Service concernée sans pénalité.

6.3 Le Fournisseur impose à chaque Sous-traitant ultérieur, par contrat, les mêmes obligations en matière de protection des données que celles énoncées dans le présent DPA, en particulier en fournissant des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. Si un Sous-traitant ultérieur manque à ses obligations, le Fournisseur reste entièrement responsable devant le Client de l’exécution des obligations de ce Sous-traitant ultérieur.

Compte tenu de la nature du Traitement, le Fournisseur assiste le Client par des mesures techniques et organisationnelles appropriées, dans la mesure du possible, pour s’acquitter de l’obligation du Client de répondre aux demandes d’exercice des droits de la Personne concernée au titre du chapitre III du RGPD. Le Fournisseur transmet au Client, sans retard injustifié, toute demande reçue directement d’une Personne concernée concernant les Données du Client, et n’y répond pas, sauf sur instruction du Client ou lorsque la loi l’exige.

Le Fournisseur assiste le Client pour garantir le respect des obligations prévues aux articles 32 à 36 du RGPD (sécurité, notification de violation, analyses d’impact relatives à la protection des données et consultation préalable), compte tenu de la nature du Traitement et des informations dont dispose le Fournisseur.

Le Fournisseur notifie au Client sans retard injustifié, et en tout état de cause dans un délai de [48] heures, après avoir pris connaissance d’une Violation de données à caractère personnel affectant les Données du Client, par courriel à [ADRESSE DE NOTIFICATION DU CLIENT]. La notification décrit, dans la mesure des informations connues à ce moment, la nature de la violation, les catégories et le nombre approximatif de Personnes concernées et d’enregistrements concernés, les conséquences probables, les mesures prises ou proposées, ainsi qu’un point de contact ; les informations qui ne sont pas encore disponibles sont communiquées par étapes sans retard supplémentaire injustifié.

10.1 Au choix du Client, le Fournisseur supprime ou restitue l’ensemble des Données du Client après la fin de la fourniture du Service, et supprime les copies existantes, sauf si le droit de l’Union ou le droit d’un État membre exige la conservation des données à caractère personnel.

10.2 Indépendamment du point 10.1, le Client et chacun de ses utilisateurs peuvent supprimer leur compte et les données détenues par le Fournisseur dans le Service à tout moment ; la suppression est effectuée dans les 24 heures suivant la demande. Les factures et les enregistrements de paiement sont conservés pendant la durée requise par la législation fiscale.

11.1 Le Fournisseur met à la disposition du Client toutes les informations nécessaires pour démontrer la conformité aux obligations énoncées à l’article 28 du RGPD, et autorise et contribue aux audits, y compris les inspections, menés par le Client ou un auditeur mandaté par le Client.

11.2 Le Fournisseur satisfait d’abord aux demandes d’audit en fournissant son certificat ISO 27001 et son rapport d’audit (https://firebasestorage.googleapis.com/v0/b/billing-js.appspot.com/o/audit_report%2FQualtir%20ISO%2027001%20Audit%20Report.pdf?alt=media), son évaluation CASA Tier III et des réponses écrites à un questionnaire de sécurité. Une inspection sur site ou à distance est effectuée au plus [une fois par an], sur préavis écrit de [30] jours, pendant les heures ouvrables, dans le cadre d’un accord de confidentialité et aux frais du Client, sauf si une Autorité de contrôle en dispose autrement ou si une Violation de données à caractère personnel s’est produite.

12.1 Le Fournisseur est établi aux États-Unis et le Service est hébergé sur Google Cloud Platform aux États-Unis. Lorsque les Données du Client relatives à des Personnes concernées situées dans l’EEE, au Royaume-Uni ou en Suisse sont transférées vers un pays ne faisant pas l’objet d’une décision d’adéquation, les Parties s’appuient sur les Clauses contractuelles types adoptées par la Commission européenne dans la décision (UE) 2021/914 (Module Deux, du responsable du traitement au sous-traitant, ou Module Trois, du sous-traitant au sous-traitant ultérieur, selon le cas), qui sont incorporées par référence, ainsi que sur l’Addendum du Royaume-Uni relatif aux transferts internationaux de données lorsque des données britanniques sont concernées. Les Sous-traitants ultérieurs du Fournisseur qui reçoivent des Données du Client participent au EU-US Data Privacy Framework lorsque ce cadre leur est disponible ; les Clauses contractuelles types régissent tous les transferts effectués par le Fournisseur lui-même.

12.2 Pour les options des Clauses contractuelles types : la Clause 7 (adhésion) s’applique ; la Clause 9 option 2 (autorisation générale) avec le délai de notification prévu à la Section 6.2 ; la Clause 11 en langage optionnel ne s’applique pas ; la Clause 13 et la Clause 17 : le droit de [ÉTAT MEMBRE, ex. Irlande] ; la Clause 18 : les tribunaux de [ÉTAT MEMBRE]. L’Annexe I et l’Annexe II des Clauses correspondent aux Annexes 1 et 2 du présent DPA.

13.1 La responsabilité de chaque Partie au titre du présent DPA est soumise aux limitations et exclusions de responsabilité prévues dans le contrat de Service, sauf lorsque celles-ci ne peuvent être limitées en vertu du droit applicable en matière de protection des données.

13.2 Le présent DPA prend effet à la Date d’effet et reste en vigueur aussi longtemps que le Fournisseur traite les Données du Client. En cas de conflit entre le présent DPA et le contrat de Service, le présent DPA prévaut pour le Traitement des Données à caractère personnel.

13.3 Le présent DPA est régi par le droit qui régit le contrat de Service, sauf que les Clauses contractuelles types sont régies par le droit choisi à la Section 12.2.

Pour le Client	Pour le Fournisseur
Nom : [NOM]	Nom : [NOM]
Titre : [TITRE]	Titre : [TITRE]
Date : [DATE]	Date : [DATE]
Signature :	Signature :

---

Élément	Description
Objet	Fourniture du Service GPT Workspace : assistance par IA dans Google Docs, Sheets, Slides, Forms, Gmail, Drive, Google Chat, l’extension Chrome et les serveurs MCP.
Durée	La durée du contrat de Service, augmentée des périodes de conservation indiquées à l’Annexe 2.
Nature et finalité	Lecture du contenu désigné par l’utilisateur dans son compte Google, envoi de ce contenu avec la requête de l’utilisateur à un fournisseur de modèles d’IA, puis écriture de la réponse dans le fichier ou la conversation de l’utilisateur. Administration des comptes, facturation et support.
Catégories de Personnes concernées	Les employés et sous-traitants du Client qui utilisent le Service ; les personnes dont les données apparaissent dans les documents, tableurs, courriels et fichiers du Client traités via le Service.
Types de Données à caractère personnel	Données de compte (nom, adresse courriel, photo de profil, identifiant de compte Google) ; données de facturation (nom de facturation, adresse, numéro de TVA) ; métadonnées d’utilisation (nombre de requêtes, dates, titres de documents) ; le contenu des requêtes et des fichiers Google, courriels et pièces jointes soumis par l’utilisateur, qui peuvent contenir toute catégorie de Données à caractère personnel que le Client y place.
Catégories particulières	Aucune par conception. Le Service n’exige pas de données de catégories particulières ; le Client détermine ce que ses utilisateurs soumettent. [Le Client indique si des catégories particulières sont attendues : AUCUNE / DÉCRIRE]
Fréquence	Continue, à chaque requête effectuée par un utilisateur.
Conservation	Voir Annexe 2, « Conservation ».

Domaine	Mesure
Certifications	Système de management de la sécurité de l’information certifié ISO 27001 (rapport d’audit disponible). Évaluation CASA Tier III (App Defense Alliance) pour l’intégration Google Workspace. Conformité à la politique d’utilisation des données utilisateur des services d’API Google, y compris les exigences d’utilisation limitée.
Hébergement	Google Cloud Platform (Firebase), États-Unis, régions US East et US West. Les composants qui traitent les Données du Client s’exécutent dans le réseau privé du Fournisseur, derrière des répartiteurs de charge et un pare-feu d’application web.
Chiffrement	TLS 1.2 ou supérieur pour toutes les données en transit. Chiffrement AES-256 côté serveur au repos sur Firebase, gestion des clés via GCP IAM. Jetons d’accès et d’actualisation Google chiffrés au repos.
Pas de copie des fichiers du Client	Les fichiers Google, courriels et tableurs sont lus en temps réel avec le jeton OAuth de l’utilisateur et ne sont pas copiés dans le stockage du Fournisseur. La seule exception est un fichier que l’utilisateur joint pour la recherche de fichiers, qui est téléversé dans un magasin de vecteurs OpenAI (voir Annexe 3) : l’index de recherche est supprimé 1 jour après la dernière utilisation et la copie est supprimée après 7 jours.
Fournisseurs de modèles	Utilisés dans le cadre de conditions d’API qui interdisent l’entraînement sur les requêtes. Le Fournisseur n’entraîne ni n’affine jamais de modèle sur les Données du Client.
Contrôle d’accès	Accès aux systèmes de production restreint au personnel autorisé disposant de comptes individuels, d’authentification multifacteur et du principe du moindre privilège via GCP IAM. Isolation des données par utilisateur appliquée par les règles de sécurité Firebase. L’authentification multifacteur est obligatoire pour chaque compte disposant d’un accès à la production ; les droits d’accès sont revus chaque semaine.
Surveillance et tests	GCP Security Command Center : analyse continue des vulnérabilités de tous les actifs concernés ; politique de divulgation des vulnérabilités pour les chercheurs externes.
Conservation	Données de compte, fils de conversation, paramètres et métadonnées d’utilisation : 18 mois après la dernière activité de l’utilisateur, ou 24 heures après une demande de suppression. Fichiers joints pour la recherche de fichiers : index de recherche supprimé 1 jour après la dernière utilisation, copie téléversée supprimée après 7 jours. Journaux de requêtes de la passerelle de modèles : 30 jours, usage de support uniquement. Requêtes et réponses : traitées en temps réel, non stockées à long terme par le Fournisseur. Factures : la durée requise par la législation fiscale.
Suppression	Suppression en libre-service du compte et de toutes les données associées dans le Service ; suppression sur demande dans les 24 heures.
Continuité d’activité	Outils natifs de sauvegarde et de disponibilité multirégion Google Cloud ; sauvegardes complètes tous les 7 jours.
Personnel	Obligations de confidentialité dans les contrats de travail et de sous-traitance ; sensibilisation à la sécurité pour le personnel disposant d’un accès à la production.

La liste à jour est maintenue à l’adresse https://gpt.space/trust et reproduite ici à la date d’effet.

Sous-traitant ultérieur	Finalité	Localisation
Google Cloud Platform / Firebase (Google LLC)	Hébergement, base de données, stockage, authentification, secrets	États-Unis
OpenRouter, Inc.	Passerelle qui achemine chaque requête de modèle vers le fournisseur ci-dessous ; journaux de requêtes conservés 30 jours pour le support uniquement, jamais utilisés pour l’entraînement	États-Unis
OpenAI	Modèles de texte et d’image ; magasin de vecteurs pour la recherche de fichiers	États-Unis
Anthropic	Modèles Claude (épinglés sur le propre point de terminaison d’Anthropic)	États-Unis
Google (AI Studio)	Modèles de texte et d’image Gemini	États-Unis
Perplexity	Modèles de recherche web	États-Unis
Hôtes d’inférence OpenRouter	Hôtes d’inférence pour les modèles à poids ouverts GLM-5.3-flash et gpt-oss-120b	Via OpenRouter
Typesafe	Modèle de décision derrière la formule GPT_CLASSIFY	Via OpenRouter
Google Programmable Search	Recherche d’images pour les diapositives générées (requête uniquement)	États-Unis
Stripe	Paiements, factures, portail de facturation	États-Unis et Irlande, dans le cadre du DPA Stripe
PostHog (instance auto-hébergée)	Analyse produit	Union européenne
Sentry	Surveillance des erreurs	Union européenne (région de données UE)