Accord de traitement des données

Le présent accord, conclu en application de l'article 28 du Règlement général sur la protection des données (RGPD), fait partie des conditions générales d'utilisation de Bat'AI. Il est accepté sous forme électronique lors de l'inscription.

Pour les données personnelles contenues dans les documents qu'il dépose, le client (l'entreprise utilisatrice) est responsable du traitement : il décide de déposer ces pièces, pour ses propres besoins. Arthur Guéné, entrepreneur individuel, éditeur de Bat'AI (ci-après « Bat'AI »), agit pour son compte en qualité de sous-traitant.

Les données du compte lui-même (identité, coordonnées, facturation) ne relèvent pas de cet accord : Bat'AI en est responsable, comme le décrit la politique de confidentialité.

Bat'AI héberge les pièces de marché déposées par le client (CCTP, CCAP, DPGF, plans, etc.), en extrait le texte, les analyse automatiquement, répond aux questions posées dans le chat et produit des exports, dans le seul but d'aider le client à étudier un marché et à y répondre.

L'accord s'applique pendant toute la durée d'utilisation du service, puis jusqu'à la suppression des données prévue à l'article 9.

Les pièces peuvent contenir l'identité et les coordonnées professionnelles (nom, fonction, e-mail, téléphone, adresse, signature) des intervenants d'un marché : maîtres d'ouvrage, architectes, bureaux d'études, entreprises, interlocuteurs désignés.

Le client s'engage à ne pas déposer de données sans rapport avec le marché étudié, ni de données sensibles au sens de l'article 9 du RGPD. Il lui revient d'informer les personnes concernées lorsque la loi l'exige.

Bat'AI traite ces données uniquement sur instruction documentée du client : les CGU, le présent accord et les actions du client dans l'application (dépôt, analyse, question, export, suppression). Si une instruction lui paraît contraire à la réglementation, Bat'AI en informe le client.

Les documents ne sont ni réutilisés pour d'autres clients, ni vendus, ni utilisés pour entraîner des modèles d'intelligence artificielle.

Seules les personnes qui en ont besoin pour faire fonctionner le service (l'éditeur et son prestataire technique) peuvent accéder aux données, et elles sont tenues à la confidentialité.

Mesures en place : chiffrement en transit (TLS) et au repos (AES-256), cloisonnement des données par compte et par équipe au niveau de la base, connexion confirmée par un code envoyé par e-mail sur un appareil inconnu, accès d'administration nominatifs et limités, journalisation des erreurs sans contenu des documents.

Le client autorise Bat'AI à faire appel aux sous-traitants ultérieurs suivants :

• +Supabase Inc. : base de données, authentification et stockage des documents, serveurs AWS de la région de Paris (Union européenne)
• +Mistral AI (France) : reconnaissance de caractères (OCR) des documents scannés, dans l'Union européenne
• +Anthropic PBC (États-Unis) : analyse des pièces et réponses du chat par intelligence artificielle
• +Trigger.dev (États-Unis) : exécution des tâches d'analyse ; le contenu des pièces y transite le temps du traitement
• +Vercel Inc. (États-Unis) : hébergement et exécution de l'application, fonctions situées à Paris
• +IONOS SE (Union européenne) : envoi des e-mails liés au service
• +Evan Davison, DVS Web (France) : prestataire technique chargé du développement et de la maintenance, avec un accès d'administration

Bat'AI leur impose des obligations de protection équivalentes à celles du présent accord et répond de leurs manquements. Tout ajout ou remplacement est annoncé par e-mail au moins 30 jours à l'avance ; le client peut s'y opposer en résiliant son abonnement sans frais avant la date de prise d'effet.

Anthropic, Trigger.dev et Vercel sont établis aux États-Unis. Les transferts vers ces prestataires sont encadrés par les clauses contractuelles types de la Commission européenne prévues par leurs accords de traitement des données.

Bat'AI transmet sans délai au client toute demande d'exercice de droits reçue d'une personne concernée, et l'aide à y répondre, notamment grâce à l'export et à la suppression disponibles dans l'application. Il fournit les informations utiles à une analyse d'impact.

En cas de violation de données touchant ses documents, Bat'AI prévient le client par e-mail au plus tard 48 heures après en avoir pris connaissance, avec les informations disponibles (nature, données et personnes concernées, conséquences probables, mesures prises).

Le client peut à tout moment exporter ses données depuis son profil, supprimer un chantier ou supprimer son compte. Sans action de sa part :

• +après la fin d'un abonnement payant, les chantiers (documents, analyses, échanges) sont supprimés au bout de 90 jours, après un e-mail de préavis
• +un compte gratuit inactif depuis trois ans est supprimé avec ses données, après un e-mail de préavis
• +les messages du chat sont supprimés au bout de 12 mois
• +un compte dont la suppression a été demandée est effacé définitivement 7 jours plus tard

Les sauvegardes de l'hébergeur sont effacées selon leur propre cycle de rotation. Une attestation de suppression est fournie sur demande.

Bat'AI met à la disposition du client les informations nécessaires pour démontrer le respect du présent accord. Le client peut faire réaliser un audit, sur pièces, ou sur place avec un préavis de 30 jours, au plus une fois par an et à ses frais, par un auditeur tenu à la confidentialité.

Pour toute question sur cet accord : contact@batai.fr.