Accord de traitement des données

1.Objet et parties

Cet accord encadre les données personnelles que l'organisme client (le « Client ») confie à APTE pour préparer son audit Qualiopi. Il fait partie des conditions générales d'utilisation et des conditions générales de vente.

Responsable du traitement: Le Client, titulaire du compte APTE (ou le cabinet, pour APTE Auditeurs)
Sous-traitant: SAS LHOMME DEVELOPMENT AND INNOVATION (LHOMME D&I), 5 rue Saint-Thomas, 30000 Nîmes, France
Contact: contact@apte-audit.fr

2.Durée

L'accord s'applique tant que le compte du Client existe. Il prend fin avec la fermeture du compte, selon les modalités de la section « Fin du contrat ».

3.Nature et finalités

Héberger les réponses, les pièces déposées et les documents produits.
Analyser ces contenus par intelligence artificielle pour proposer un niveau par indicateur et des actions.
Collecter et lire les pages publiques du site que le Client déclare.
Produire les rapports et les documents demandés, et les tenir à disposition du Client.
Pour APTE Auditeurs : acheminer les messages du dossier et donner accès aux personnes habilitées par le cabinet.

4.Données et personnes concernées

Personnes : dirigeants et salariés du Client, formateurs et sous-traitants, stagiaires et apprenants, partenaires, personnes citées sur le site du Client, auditeurs cités dans un rapport.

Données : identité et coordonnées professionnelles, fonctions, présence à une action, évaluations et appréciations, témoignages et photographies publiés, contenu des pièces choisies par le Client.

Données de santé

Le service n'a pas besoin de données de santé ou de handicap individuelles. Le Client s'engage à ne pas les déposer, ou à les occulter avant dépôt.

5.Instructions documentées

APTE ne traite ces données que sur instruction du Client : le présent accord, les conditions générales et les actions que le Client déclenche dans le service. Si une instruction lui paraît contraire au RGPD, APTE en informe le Client sans l'exécuter.

6.Confidentialité

Seules les personnes habilitées d'APTE accèdent aux données, dans les cas prévus par la politique de confidentialité. Elles sont tenues à la confidentialité. Chaque accès par la console interne est journalisé.

7.Sécurité (article 32)

Échanges chiffrés (HTTPS) et mots de passe hachés.
Cloisonnement par compte dans la base de données.
Fichiers en espaces privés, ouverts par des liens temporaires signés.
Vérification de la propriété de chaque ressource côté serveur.
Journaux minimisés : aucun document ni réponse complète.
Suivi des erreurs en liste blanche, sans contenu saisi ni adresse électronique.

8.Sous-traitants ultérieurs

Le Client autorise APTE à recourir aux prestataires suivants :

4 colonnes · Défilement horizontal si nécessaire ↔Au clavier : flèches gauche et droite.

Prestataire	Rôle	Lieu des données	Garanties
Supabase, Inc.	Base de données, authentification, stockage des fichiers	Base de données et fichiers en Union européenne (Irlande) ; journaux techniques et support du fournisseur possiblement hors de cette région	Clauses contractuelles types de la Commission européenne, dans l’accord de traitement des données de Supabase
Anthropic Ireland, Limited	Analyse des réponses d'audit, scoring des indicateurs, assistant et génération de documents	Contractant en Irlande ; analyses traitées aux États-Unis, sans option de traitement dans l’Union européenne	Clauses contractuelles types incorporées à l’accord de traitement des données annexé aux conditions commerciales d’Anthropic
Vercel Inc.	Hébergement de l'application web (interface)	Réseau de diffusion mondial, société établie aux États-Unis	Certification au cadre de protection des données UE - États-Unis (Data Privacy Framework) et accord de traitement des données de Vercel
Resend	Acheminement des courriels de service et, pour APTE Auditeurs, des messages du cabinet	Contenus, journaux de livraison et événements stockés aux États-Unis	Certification au Data Privacy Framework et clauses contractuelles types, dans l’accord de traitement de Resend
Sentry (Functional Software, Inc.)	Remontée des erreurs techniques, sans contenu saisi ni document	Événements stockés dans la région Union européenne (Allemagne) ; société établie aux États-Unis	Certification au Data Privacy Framework et clauses contractuelles types, dans l’accord de traitement de Sentry

APTE prévient le Client par courriel au moins 30 jours avant d'ajouter ou de remplacer un prestataire. Le Client peut s'y opposer pendant ce délai ; s'il maintient son opposition, il peut fermer son compte. Chaque prestataire est tenu par écrit à des obligations au moins équivalentes.

9.Transferts hors Union européenne

La base de données et les fichiers sont en Union européenne (Irlande). Les analyses par intelligence artificielle sont traitées aux États-Unis par Anthropic Ireland, Limited, sous clauses contractuelles types ; ce prestataire n'entraîne pas ses modèles sur les contenus transmis et les conserve au plus 30 jours, sauf violation de ses règles d'usage ou obligation légale. Les autres transferts et leurs garanties figurent dans le tableau ci-dessus.

10.Aide au Client

Droits des personnes : l'export, la suppression d'un fichier, d'une session ou du compte sont en libre accès. Une demande reçue par APTE est transmise au Client sans délai.
Analyse d'impact : APTE fournit la description de ses traitements et de ses mesures, et son analyse d'impact sur les preuves et le site.
Délai : APTE répond aux demandes d'aide du Client dans un délai compatible avec celui du Client envers les personnes (un mois).

11.Violations de données

APTE avertit le Client dans les meilleurs délais, sans retard injustifié, après avoir pris connaissance d'une violation touchant ses données (article 33, paragraphe 2), par courriel à l'adresse du compte.

L'avis décrit, dès qu'elles sont connues : la nature de la violation, les catégories et le nombre approximatif de personnes et de données, les conséquences probables et les mesures prises. Chaque avis est consigné au registre des violations d'APTE.

12.Fin du contrat

Avant de fermer son compte, le Client récupère ses données par l'export de la page « Gestion de mes données ». La fermeture supprime les fichiers, puis les enregistrements. Seules restent les données qu'APTE doit garder pour ses propres obligations (facturation, preuve d'acceptation des conditions, réclamations), décrites dans la politique de confidentialité.

13.Informations et audits

APTE met à disposition du Client les informations nécessaires pour démontrer le respect de l'article 28 : cet accord, la liste des prestataires, la description des mesures et les garanties de transfert. Un audit, y compris sur place, peut être conduit par le Client ou par un auditeur tenu au secret qu'il mandate, sur demande écrite et à une date convenue.

14.Ce qui ne relève pas de cet accord

APTE est responsable de ses propres traitements : comptes, facturation, sécurité, garantie et assistance. La politique de confidentialité les décrit.

Participants à l’accès de lancement. Leur accord de lancement autorise en plus APTE à garder une copie pseudonymisée de leurs documents pour améliorer le service. Pour cette copie, APTE est responsable du traitement. Rien ne change pour les autres clients.

Nature du service

APTE est un outil de préparation et de simulation. Il ne se substitue pas à l’audit réalisé par un organisme certificateur ou une instance de labellisation reconnue. Le rapport généré n’est ni un rapport de certification ni un certificat et ne garantit pas l’obtention de la certification Qualiopi.