Dernière mise à jour : 10 mai 2026. Cette version reflète la configuration actuelle des sous-traitants, y compris OpenAI pour les embeddings de texte et les réponses contextuelles d'IA. Pour les modifications futures des sous-traitants requis, les règles de notification et d'opposition prévues à la section 7.3 s'appliquent.

La version allemande du présent DPA est juridiquement contraignante. Les traductions sont fournies à titre de commodité ; en cas de conflit, la version allemande prévaut.

1. Préambule et champ d'application

Le présent contrat de sous-traitance des données (DPA) régit le traitement des données à caractère personnel conformément à l'art. 28 du RGPD entre :

  • Responsable du traitement : Le client de PlotonIQ (ci-après « Responsable du traitement »)
  • Sous-traitant : K-Werbetechnik, propriétaire : Ralph Kowalski, Banatstraße 31, 66424 Homburg, Allemagne, représenté par la plateforme PlotonIQ (ci-après « Sous-traitant »)

Le présent DPA fait partie intégrante des Conditions générales de service et régit le traitement des données à caractère personnel pour le compte du Responsable du traitement dans le cadre des services PlotonIQ.

2. Objet et durée du traitement

Le Sous-traitant traite les données à caractère personnel exclusivement pour le compte et selon les instructions documentées du Responsable du traitement.

2.1 Objet du traitement

Le traitement des données comprend les catégories suivantes :

  • Données clients : Noms, adresses, e-mail, téléphone, raison sociale des clients du Responsable du traitement
  • Données de commande : Descriptions de projets, calendriers, exigences, modifications
  • Données de prestation : Calculs, spécifications de matériaux, dimensions, surfaces
  • Données de communication : E-mails, messages de chat, mémos et enregistrements audio dans le cadre de l'activité professionnelle
  • Données d'équipe : Données des employés, données de localisation (si le geofencing est activé), autorisations
  • Données financières : Informations de facturation, données de paiement (tokenisées), informations de carte de crédit (Stripe uniquement)
  • Données visuelles : Photos pour la reconnaissance de mesures par IA, captures d'écran, propositions de design

2.2 Durée du traitement

Le traitement des données a lieu pendant toute la durée du contrat et au-delà conformément à la section 8 (Suppression et conservation des données).

3. Nature et finalité du traitement

Le Sous-traitant traite les données aux fins suivantes :

  • Fourniture et gestion des services PlotonIQ (calculs de devis, reconnaissance de mesures, gestion des chantiers, CRM, suivi du temps)
  • Calculs et analyses assistés par IA via l'API Anthropic Claude
  • Embeddings de texte avec OpenAI text-embedding-3-large (1536 dimensions) pour la recherche sémantique et les réponses contextuelles d'IA (RAG)
  • Reconnaissance automatique de mesures à partir de photos via la vision par ordinateur (SAM/DINO)
  • Communication avec les utilisateurs (e-mails transactionnels, notifications)
  • Traitement des paiements et facturation
  • Mise en œuvre de mesures de sécurité et d'authentification
  • Journalisation et surveillance du système à des fins de sécurité et de diagnostic d'erreurs
  • Geofencing et gestion d'équipe (en option, uniquement si activé)

4. Catégories de personnes concernées

Le Sous-traitant traite les données des personnes suivantes :

  • Clients du Responsable du traitement (clients finaux des services de signalétique)
  • Employés du Responsable du traitement (utilisateurs de la plateforme)
  • Sous-traitants et partenaires du Responsable du traitement
  • Personnes de contact et représentants

5. Catégories de données à caractère personnel

Le Sous-traitant traite les catégories suivantes :

  • Données de base : Nom, titre, adresse, téléphone, adresse e-mail, raison sociale
  • Données d'identification : ID utilisateur, jetons JWT, cookies de session, empreinte de navigateur (hachée)
  • Données de localisation : Adresse IP, coordonnées GPS (uniquement si le geofencing est activé)
  • Données commerciales : Descriptions de projets, calculs, devis, commandes, factures
  • Données de communication : Messages, transcriptions audio, e-mails
  • Données techniques : Fichiers journaux, journaux de serveur, accès au système, protocoles d'erreur
  • Catégories particulières : Aucune (à l'exception des informations d'identification fournies volontairement)

6. Obligations du Sous-traitant — Mesures techniques et organisationnelles

6.1 Mesures techniques de sécurité

  • Chiffrement des données :
    • Chiffrement AES-256 pour les données sensibles dans la base de données
    • TLS 1.2+ pour la transmission (HTTPS)
    • Authentification JWT avec cookies httpOnly (non accessibles via JavaScript)
  • Protection de la base de données :
    • Base de données PostgreSQL avec authentification forte
    • Connexions chiffrées entre l'application et la base de données
    • Sauvegardes automatisées régulières avec chiffrement
    • Stockage redondant et reprise après sinistre
  • Contrôle d'accès :
    • Contrôle d'accès basé sur les rôles (RBAC)
    • Architecture multi-tenant avec isolation stricte des locataires
    • Journaux d'audit pour tous les accès administratifs
    • Principe du moindre privilège : aucune autorisation inutile
  • Sécurité réseau :
    • Protection DDoS via Cloudflare
    • Règles de pare-feu et détection d'intrusion
    • Mises à jour de sécurité et correctifs réguliers
  • Sécurité de l'API :
    • Authentification API basée sur JWT
    • Limitation du débit pour prévenir les attaques par force brute
    • Aucune donnée sensible dans les URL ou les paramètres de requête

6.2 Mesures organisationnelles de sécurité

  • Personnel et formation :
    • Nombre limité d'employés ayant accès aux données clients
    • Accords de confidentialité (NDA) avec tous les employés
    • Formation à la protection des données pour le personnel concerné
  • Gouvernance de la protection des données :
    • Politique de confidentialité et présent DPA
    • Délégué à la protection des données (lorsque requis)
    • Politiques de protection et d'utilisation des données à caractère personnel
  • Gestion des incidents :
    • Procédures de détection et de signalement des violations de données
    • Notification au Responsable du traitement dans les 24 heures suivant la connaissance d'incidents de sécurité
    • Coopération aux obligations de notification aux autorités et aux personnes concernées
  • Documentation et surveillance :
    • Registre des activités de traitement conformément à l'art. 30 du RGPD
    • Audits de sécurité réguliers
    • Journalisation de tous les accès aux données (lorsque techniquement possible)
  • Sécurité physique :
    • Hébergement chez Hetzner Online GmbH (Falkenstein, Allemagne) avec certification ISO-27001
    • Contrôle de l'accès physique au centre de données
    • Surveillance et mesures de sécurité du fournisseur d'hébergement

7. Sous-traitants ultérieurs et tiers

Le Sous-traitant fait appel aux sous-traitants ultérieurs et prestataires de services suivants pour fournir ses services :

7.1 Sous-traitants ultérieurs requis

Service Prestataire Lieu Finalité Transfert de données
Hébergement de serveurs Hetzner Online GmbH Falkenstein, Allemagne Base de données, serveur d'application Intra-UE (DE)
CDN / Protection DDoS Cloudflare, Inc. San Francisco, États-Unis Performance du site, sécurité États-Unis (EU-US DPF, SCC)
E-mails transactionnels Brevo SAS Paris, France E-mails de confirmation et de notification Intra-UE (FR)
Traitement des paiements Stripe, Inc. San Francisco, États-Unis Paiements par carte, gestion des abonnements États-Unis (SCC) — tokenisé
API IA (calculs) Anthropic, PBC San Francisco, États-Unis Calculs IA, génération de texte États-Unis (SCC) — Zero Data Retention
API IA (transcription audio optionnelle, principale) Groq, Inc. Mountain View, États-Unis Transcription STT principale pour les mémos audio avec whisper-large-v3 lorsque la fonctionnalité optionnelle de transcription audio est utilisée par le Responsable du traitement États-Unis (SCC) — traitement sous le DPA GroqCloud pour fournir la fonctionnalité STT
API IA (embeddings de texte et assistance contextuelle) OpenAI, L.L.C. San Francisco, États-Unis Embeddings de texte avec text-embedding-3-large (1536 dimensions) pour la recherche sémantique et les réponses contextuelles d'IA (RAG) ; certaines fonctions de texte et d'assistant lorsqu'elles sont actives États-Unis (EU-US DPF, SCC) — les données API ne sont pas utilisées par défaut pour l'entraînement ; journaux de surveillance des abus jusqu'à 30 jours
API IA (transcription audio optionnelle) OpenAI, L.L.C. San Francisco, États-Unis OpenAI gpt-4o-transcribe uniquement comme voie STT de secours si Groq STT est indisponible et si la transcription audio est utilisée par le Responsable du traitement et configurée en conséquence États-Unis (EU-US DPF, SCC) — voie optionnelle, distincte des embeddings/RAG

7.2 Transferts vers des pays tiers

Pour les transferts de données vers les États-Unis, les mécanismes suivants s'appliquent :

  • EU-US Data Privacy Framework (DPF) : Cloudflare et OpenAI sont déclarés par les prestataires comme certifiés au titre du EU-US Data Privacy Framework
  • Clauses contractuelles types (SCC) : Pour Anthropic, Groq, OpenAI et Stripe lorsque des transferts vers des pays tiers sont impliqués

Le Responsable du traitement consent à ces transferts en acceptant les Conditions générales de service.

7.3 Modification des sous-traitants ultérieurs

Le Sous-traitant informera le Responsable du traitement avant d'engager de nouveaux sous-traitants ultérieurs requis ou de modifier substantiellement les sous-traitants ultérieurs requis existants. Le Responsable du traitement a le droit de s'opposer à l'utilisation de sous-traitants ultérieurs requis nouveaux ou substantiellement modifiés en notifiant son opposition par écrit dans un délai de 30 jours à compter de la notification. À défaut d'opposition dans les délais, l'utilisation des modifications futures est réputée acceptée à l'expiration du délai de notification. Dans ce cas, chacune des parties peut résilier la relation contractuelle.

8. Suppression et conservation des données

8.1 Délais de suppression après la fin du contrat

  • Données clients et de projet : Seront supprimées sur demande du Responsable du traitement, au plus tard 30 jours après la fin du contrat
  • Sauvegardes : Seront automatiquement supprimées conformément aux politiques de conservation de Hetzner après environ 30 à 90 jours
  • Fichiers journaux et données système : Seront automatiquement anonymisés ou supprimés après 90 jours
  • Documents financiers et factures : Seront conservés conformément au droit fiscal allemand (§14 StGB, §239 HGB) pendant 6 à 10 ans

8.2 Droit à l'effacement pendant l'utilisation

Le Responsable du traitement peut demander à tout moment la suppression d'enregistrements individuels, sauf empêchement légal. Les données supprimées ne seront pas récupérées.

8.3 Exportation des données

Le Responsable du traitement peut demander l'exportation des données dans un format structuré et courant (par ex. CSV, JSON) afin d'en permettre la portabilité.

9. Droits et obligations du Responsable du traitement

9.1 Instructions du Responsable du traitement

Le Responsable du traitement peut donner des instructions pour le traitement des données à caractère personnel par les moyens suivants :

  • Configuration des paramètres de la plateforme
  • Instruction écrite explicite par e-mail à [email protected]
  • Utilisation des points d'accès API avec les paramètres appropriés

9.2 Coopération du Responsable du traitement

Le Responsable du traitement est responsable de :

  • La sécurisation des identifiants de connexion et codes d'accès
  • Le respect des lois applicables lors de la collecte des données clients
  • L'exactitude et la légalité des données traitées
  • La documentation de la base juridique du traitement des données
  • La notification des personnes concernées conformément au RGPD (lorsque requise)

9.3 Politique de confidentialité du Responsable du traitement

Le Responsable du traitement est tenu de fournir sa propre politique de confidentialité à ses clients finaux, en indiquant que des données sont transmises à PlotonIQ / au Sous-traitant.

10. Droits et obligations des personnes concernées

Le Sous-traitant assiste le Responsable du traitement dans l'exécution des droits des personnes concernées :

  • Droit d'accès (art. 15 du RGPD) : Le Responsable du traitement peut demander un accès ; le Sous-traitant répondra dans un délai de 14 jours
  • Droit de rectification (art. 16 du RGPD) : Les personnes concernées peuvent corriger ou demander la correction de données erronées
  • Droit à l'effacement (art. 17 du RGPD) : Les demandes d'effacement seront traitées dans un délai de 14 jours (sauf obligations légales de conservation)
  • Droit à la limitation du traitement (art. 18 du RGPD) : Disponible via les paramètres de la plateforme
  • Droit à la portabilité des données (art. 20 du RGPD) : Le Responsable du traitement peut exporter les données dans un format standard
  • Droit d'opposition (art. 21 du RGPD) : S'applique aux traitements fondés sur des intérêts légitimes

11. Violations de données et obligations de notification

11.1 Notification de violation de données

En cas de violation de données, le Sous-traitant en informera le Responsable du traitement immédiatement, et au plus tard dans les 24 heures, par écrit. La notification comprend :

  • La nature et l'étendue de la violation
  • Les catégories et le nombre approximatif de personnes concernées
  • Les conséquences probables de la violation
  • Les mesures prises et envisagées pour y remédier et atténuer le préjudice
  • Le nom et les coordonnées du délégué à la protection des données ou de la personne de contact

11.2 Coopération avec les autorités

Le Sous-traitant coopérera avec le Responsable du traitement et les autorités compétentes en matière de protection des données et assistera le Responsable du traitement pour :

  • Notifier les personnes concernées
  • Effectuer les déclarations à l'autorité de contrôle compétente
  • Mener les enquêtes et les audits

12. Droits d'audit du Responsable du traitement

12.1 Droits d'inspection

Le Responsable du traitement a le droit, sur demande, d'auditer la manière dont le Sous-traitant traite les données à caractère personnel :

  • Accès au registre des activités de traitement
  • Vérification des mesures de sécurité
  • Audits avec préavis

Les audits doivent avoir lieu pendant les heures normales d'ouverture et ne doivent pas perturber substantiellement les opérations.

12.2 Certificats et audits

Le Sous-traitant fournira les éléments suivants :

  • Certificat ISO-27001 de Hetzner (fournisseur d'hébergement)
  • Rapport SOC-2 (le cas échéant)
  • Politiques de sécurité et catalogue des mesures

13. Privacy by Design et Privacy by Default

Le Sous-traitant met en œuvre la protection des données dès la conception conformément à l'art. 25 du RGPD :

  • Collecte minimale des données : seules les données nécessaires sont collectées
  • Pseudonymisation : les empreintes de navigateur sont hachées
  • Chiffrement : AES-256 pour les données sensibles
  • Contrôle d'accès : autorisations basées sur les rôles
  • Examen régulier : audits et tests de pénétration

14. Traitement par IA et prise de décision automatisée

14.1 Nature du traitement par IA

PlotonIQ utilise l'IA pour :

  • Calculs de devis (API Anthropic Claude)
  • Embeddings de texte avec OpenAI text-embedding-3-large (1536 dimensions) pour la recherche sémantique et les réponses contextuelles d'IA (RAG)
  • Reconnaissance de surfaces et de mesures à partir de photos (SAM/DINO — local sur Hetzner)
  • Transcription de mémos audio (fonctionnalité STT optionnelle ; principalement Groq whisper-large-v3, OpenAI gpt-4o-transcribe uniquement en secours lorsqu'utilisée et configurée)
  • Génération d'analyses commerciales et de recommandations

Pour les embeddings et RAG d'OpenAI, seuls des extraits de texte liés à la finalité sont transmis, en particulier des extraits de textes de commandes, de mémos et d'opportunités. Selon le contenu utilisateur, des noms de clients, coordonnées, adresses ainsi que des données de mesure, de projet ou de notes peuvent être inclus.

Ne sont pas transmis à OpenAI pour les embeddings/RAG : les données de paiement Stripe, les identifiants de connexion ou les hachages de mots de passe, les vidages bruts de la base de données backend ou les exportations de données, les données d'image SAM/DINO destinées à la segmentation visuelle, ni intentionnellement les catégories particulières de données à caractère personnel au sens de l'art. 9 du RGPD.

14.2 Pas de prise de décision purement automatisée

Conformément à l'art. 22 du RGPD, il n'existe AUCUNE prise de décision purement automatisée produisant des effets juridiques. Cela signifie :

  • Les calculs IA sont des SUGGESTIONS, non contraignantes
  • Les utilisateurs décident toujours manuellement
  • Aucun rejet automatisé de commandes ou de clients

14.3 Transparence dans l'utilisation de l'IA

Les utilisateurs sont clairement informés lorsque l'IA intervient dans un processus, par les moyens suivants :

  • Zones étiquetées dans l'interface utilisateur (par ex. « Suggestion IA »)
  • Explication de l'approche IA dans les textes d'aide
  • La présente politique de confidentialité et le présent DPA

15. EU AI Act — Conformité

Les systèmes d'IA utilisés dans PlotonIQ sont classés conformément à l'EU AI Act :

  • Génération de texte (API Claude) : Risque limité — exigences de transparence remplies
  • Recherche sémantique et RAG (OpenAI text-embedding-3-large, 1536 dimensions) : Risque limité — fonction d'assistance et de contexte, pas de décision automatisée
  • Reconnaissance de mesures (SAM/DINO) : Risque limité — exécuté localement, pas de transfert vers des pays tiers
  • Transcription audio (Groq whisper-large-v3, secours OpenAI gpt-4o-transcribe) : Risque limité — opt-in utilisateur requis

Il n'existe AUCUNE application d'IA à haut risque au sens de l'AI Act.

16. Frais et coûts

Le présent contrat de sous-traitance des données est inclus dans le contrat d'abonnement. AUCUN frais supplémentaire n'est facturé pour la conformité au présent DPA.

17. Base juridique et champ d'application

  • Base juridique principale : RGPD UE (2016/679), GDPR, directive ePrivacy (Allemagne)
  • Champ d'application : Tous les utilisateurs ayant leur siège social en Allemagne ou dans l'UE
  • Date d'entrée en vigueur : 1er avril 2026
  • Langue : Allemand ; en cas de divergences, la version allemande prévaut

18. Durée et résiliation

18.1 Durée liée au contrat

Le présent DPA court parallèlement au contrat d'abonnement. À la résiliation de l'abonnement, le présent DPA prend également fin.

18.2 Résiliation

La résiliation du présent DPA n'est possible que conjointement avec la résiliation du contrat d'abonnement.

18.3 Effets de la résiliation

Après la résiliation, les données clients seront supprimées conformément à la section 8 ou conservées si la loi l'exige.

19. Modifications du présent DPA

Le Sous-traitant peut modifier le présent DPA moyennant un préavis de 30 jours si :

  • Des exigences légales ou réglementaires l'imposent
  • La modification améliore la protection des données à caractère personnel
  • Le Responsable du traitement ne s'y oppose pas par écrit dans un délai de 30 jours

Le Responsable du traitement sera informé des modifications au préalable, par écrit.

20. Contact et réclamations

20.1 Adresse de contact du Sous-traitant

K-Werbetechnik / PlotonIQ
Banatstraße 31
66424 Homburg
Allemagne
E-mail : [email protected]
Téléphone : +49 (0)6821-6797414

20.2 Autorité de protection des données

Les réclamations concernant le traitement des données peuvent être déposées auprès de l'autorité compétente en matière de protection des données. Les coordonnées pour l'Allemagne (Sarre) sont :

Centre indépendant de protection des données de la Sarre
Fritz-Dobisch-Straße 12
66111 Sarrebruck, Allemagne
E-mail : [email protected]
Site web : www.datenschutz.saarland.de

21. Validité et clause de divisibilité

Si une disposition du présent DPA s'avérait invalide, cela n'affecte pas la validité de l'ensemble du contrat. Les parties conviendront d'une disposition de remplacement valide qui correspond à la finalité économique de la disposition initiale.

22. Dispositions finales

Le présent contrat de sous-traitance des données entre en vigueur le 1er avril 2026 et lie tous les clients de PlotonIQ qui concluent un contrat à compter de cette date ou qui renouvellent des contrats existants.

Version : 1.1

En vigueur depuis : 1er avril 2026

Dernière mise à jour : 10 mai 2026