Accord de traitement des données (DPA)

Le présent accord (« DPA ») encadre, conformément à l’article 28 du règlement (UE) 2016/679 (« RGPD »), les traitements de données personnelles que MON CONTREMAITRE, éditrice de Maitriz Cloud (ci-après « l’Éditeur »), effectue pour le compte des cabinets utilisateurs du Service. Il fait partie intégrante des conditions générales de vente et d’utilisation et s’applique dès la création du compte.

Pour les données que le cabinet enregistre sur ses clients, ses partenaires et les intervenants de ses chantiers, le cabinet est responsable de traitement et l’Éditeur est son sous-traitant. Pour les données des comptes cabinets (inscription, facturation), l’Éditeur est responsable de traitement : voir la politique de confidentialité.

1. Description du traitement

• Finalité : fournir le Service de gestion des opérations de construction (consultations, marchés, suivi de chantier, comptes rendus, réceptions, paiements, espace client).
• Nature des opérations : hébergement, enregistrement, organisation, consultation, mise à disposition des personnes invitées par le cabinet, envoi d’emails à la demande du cabinet, génération de documents, recueil de signatures électroniques, suppression.
• Personnes concernées : collaborateurs du cabinet ; clients du cabinet (maîtres d’ouvrage) ; entreprises et artisans ; autres intervenants (bureaux d’études, contrôleurs techniques, coordonnateurs SPS…) ; signataires de documents.
• Catégories de données : identité et coordonnées (nom, email, téléphone, adresse) ; adresse et description des chantiers ; données contractuelles et financières (offres, marchés, situations, bons de paiement, honoraires, coordonnées bancaires des entreprises) ; pièces administratives des entreprises (Kbis, attestations sociales et d’assurance) ; documents et photos de chantier ; éléments de preuve des signatures électroniques (nom, email, adresse IP, date et heure, image de la signature) ; journaux de connexion et d’envoi d’emails.
• Données sensibles : le Service n’est pas conçu pour traiter les catégories particulières de données (article 9 du RGPD) ni les données relatives aux condamnations (article 10) ; le cabinet s’abstient d’en enregistrer.
• Durée : la durée de l’abonnement, puis 90 jours pendant lesquels le cabinet peut récupérer ses données ; elles sont ensuite supprimées.

2. Obligations de l’Éditeur

L’Éditeur s’engage à :

• traiter les données uniquement pour la finalité ci-dessus et sur instruction documentée du cabinet : les conditions générales, le présent accord, et les actions et réglages effectués par le cabinet dans le Service. Si une instruction lui paraît contraire à la réglementation, il en informe immédiatement le cabinet ;
• garantir que les personnes autorisées à accéder aux données sont tenues à la confidentialité, et limiter cet accès au strict nécessaire (assistance demandée par le cabinet, maintenance, sécurité) ;
• mettre en œuvre les mesures de sécurité décrites en annexe 2 (article 32 du RGPD) ;
• aider le cabinet à répondre aux demandes d’exercice de droits des personnes concernées ; toute demande reçue directement par l’Éditeur est transmise au cabinet, sans y répondre lui-même ;
• aider le cabinet à respecter ses obligations en matière de sécurité, de notification des violations, d’analyse d’impact et de consultation préalable de la CNIL, compte tenu des informations dont il dispose ;
• tenir un registre des traitements effectués pour le compte de ses clients (article 30.2 du RGPD) ;
• mettre à la disposition du cabinet les informations nécessaires pour démontrer le respect du présent accord (article 4).

3. Violation de données

L’Éditeur notifie au cabinet toute violation de données personnelles dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, par email à l’administrateur du cabinet. La notification précise, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, ses conséquences probables et les mesures prises ou envisagées. Il appartient au cabinet, responsable de traitement, de notifier la CNIL et, le cas échéant, les personnes concernées.

4. Audit

Le cabinet peut demander la documentation permettant de vérifier le respect du présent accord. Il peut également faire réaliser, une fois par an et à ses frais, un audit par un auditeur indépendant tenu au secret, moyennant un préavis de 30 jours, sans accès aux données des autres clients ni atteinte à la sécurité du Service.

5. Sous-traitants ultérieurs

Le cabinet autorise l’Éditeur à faire appel aux sous-traitants ultérieurs listés en annexe 1. L’Éditeur informe le cabinet par email de tout ajout ou remplacement au moins 30 jours à l’avance ; le cabinet peut s’y opposer pour un motif légitime lié à la protection des données et, à défaut d’accord, résilier son abonnement sans frais. L’Éditeur impose à ses sous-traitants des obligations équivalentes à celles du présent accord et reste responsable de leurs manquements envers le cabinet.

6. Localisation et transferts

La base de données et les fichiers sont hébergés dans l’Union européenne, et l’application s’exécute à Paris. Certains sous-traitants sont des sociétés établies aux États-Unis : les transferts éventuels sont encadrés par la décision d’adéquation de la Commission européenne relative au cadre de protection des données UE–États-Unis (Data Privacy Framework) lorsque le prestataire y est certifié, ou à défaut par les clauses contractuelles types de la Commission européenne.

7. Fin du traitement

À la fin de l’abonnement, le cabinet dispose de 90 jours pour récupérer ses données : export de chaque chantier en libre-service (fichiers et données au format JSON) ou export complet sur demande. Les données et fichiers sont ensuite supprimés définitivement ; les copies présentes dans les sauvegardes disparaissent au fil de leur rotation. Sur demande, l’Éditeur confirme la suppression par écrit.

8. Obligations du cabinet

• disposer d’une base légale pour les traitements qu’il réalise avec le Service ;
• informer les personnes concernées (clients, entreprises, intervenants) du traitement de leurs données ;
• n’enregistrer que les données nécessaires à ses missions et appliquer ses propres durées de conservation (il peut supprimer un chantier à tout moment) ;
• gérer les accès qu’il accorde à ses collaborateurs, à ses clients et aux intervenants.

9. Contact

Pour toute question relative aux données personnelles : contact@maitriz.app.

Annexe 1 — Sous-traitants ultérieurs

• Supabase Inc. — base de données, authentification et stockage des fichiers — données hébergées dans l’Union européenne ;
• Vercel Inc. — hébergement et exécution de l’application — exécution à Paris (France), société établie aux États-Unis ;
• Resend — envoi des emails (invitations, demandes de signature, relances, documents) — États-Unis ;
• Sentry (Functional Software, Inc.) — détection des erreurs techniques — données hébergées dans l’Union européenne ;
• Anthropic, PBC — assistant IA (lecture des devis et documents de chantier pour proposer lots, analyses d’offres, avenants, plannings et observations), uniquement pour les cabinets qui l’activent ; les données transmises ne servent pas à entraîner ses modèles — États-Unis.

Annexe 2 — Mesures de sécurité

• Chiffrement des échanges (HTTPS/TLS) et des données au repos ;
• Isolation stricte des données de chaque cabinet au niveau de la base de données (row level security), vérifiée par un contrôle automatique à chaque mise en production ;
• Mots de passe stockés sous forme hachée ; accès d’administration de la plateforme réservé au gérant de l’Éditeur ;
• Accès des intervenants externes par des liens personnels à jeton aléatoire, limités aux documents qui les concernent ;
• Sauvegardes automatiques quotidiennes ;
• Journalisation des envois d’emails et des signatures électroniques ;
• Mises à jour de sécurité régulières des composants logiciels ;
• Prestataires d’hébergement disposant de certifications de sécurité reconnues (SOC 2).