Accord de traitement des données (DPA) — service Lexform

Préambule — Parties et considérants

ENTRE LES SOUSSIGNÉS

ZEVRA, société par actions simplifiée au capital de 1000 euros, immatriculée au registre du commerce et des sociétés de Paris sous le numéro 101 202 216 (numéro de TVA intracommunautaire FR55101202216), dont le siège social est situé 47 rue Vivienne, 75002 Paris, représentée par son Président, la société HAUC CONSULTING, elle-même représentée par Pierre Colliot, dûment habilité.

Ci-après « Zevra » ou le « Sous-traitant ».

ET

Le client ayant souscrit au service Lexform, identifié dans le bon de commande, le formulaire de souscription en ligne ou le contrat principal auquel le présent accord est annexé.

Ci-après le « Client » ou le « Responsable de traitement ».

Ci-après ensemble les « Parties » et individuellement une « Partie ».

PRÉAMBULE

Zevra édite Lexform, un service logiciel qui pseudonymise les documents professionnels avant leur transmission à une intelligence artificielle générative. Les identités contenues dans un document (personnes physiques, sociétés, IBAN, numéros de sécurité sociale, adresses) sont détectées par un moteur d'IA privé, hébergé par Zevra en France, et remplacées par des jetons neutres. La table de correspondance permettant de restaurer les identités est générée et conservée exclusivement sur le poste de l'utilisateur. Zevra n'y a jamais accès.

Le Client, professionnel soumis le cas échéant au secret professionnel, souhaite utiliser Lexform pour protéger les données à caractère personnel figurant dans ses documents. Dans ce cadre, Zevra traite des données à caractère personnel pour le compte du Client et selon ses instructions.

Le présent accord (le « DPA ») fixe les conditions de ce traitement conformément à l'article 28 du RGPD. Il complète le contrat principal conclu entre les Parties pour la fourniture du service Lexform (le « Contrat »). Il a été rédigé pour être lu et compris sans intermédiaire : chaque engagement est formulé de manière directe et vérifiable.

Article 1 — Définitions

Les termes « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « personne concernée », « violation de données à caractère personnel » et « autorité de contrôle » ont le sens que leur donne l'article 4 du RGPD.

Article 2 — Objet et qualification des parties

2.1 Le DPA a pour objet de définir les conditions dans lesquelles Zevra traite les Données pour le compte du Client dans le cadre du Service.

2.2 Le Client est responsable du traitement. Il détermine seul les finalités et les moyens du traitement des Données, décide quels Contenus sont soumis au Service et ce qu'il fait du Contenu pseudonymisé.

2.3 Zevra est sous-traitant. Elle traite les Données uniquement pour fournir le Service, selon les instructions du Client et dans les limites du DPA.

2.4 La gestion de l'espace d'équipe du Client (création des comptes Utilisateurs, rôles, invitations, plafonds de consommation) est réalisée pour le compte du Client : les données de compte des Utilisateurs sont des Données au sens du DPA. Zevra agit en revanche en qualité de responsable de traitement, et non de sous-traitant, pour les seuls traitements nécessaires à la gestion de sa propre activité : facturation et comptabilité, sécurité de sa propre infrastructure et journaux techniques associés. Ces traitements sont décrits dans la politique de confidentialité de Zevra et ne relèvent pas du DPA. Les compteurs d'usage servent aux deux : ils relèvent du DPA lorsqu'ils permettent au Client d'administrer les crédits et plafonds de ses Utilisateurs, et de la responsabilité propre de Zevra lorsqu'ils fondent la facturation.

2.5 Les Parties reconnaissent que la transmission du Contenu pseudonymisé à une IA tierce est une décision et une opération du Client. Zevra n'est pas partie aux contrats conclus entre le Client et les fournisseurs d'IA tierces et n'assume aucune responsabilité au titre des traitements réalisés par ces derniers. L'article 6 précise l'étendue de l'intervention de Zevra à ce stade.

Article 3 — Description du traitement

3.1 La nature, la finalité, la durée du traitement, les catégories de Données et de personnes concernées sont décrites à l'Annexe 1.

3.2 Le Client garantit qu'il dispose d'une base légale pour chaque traitement qu'il confie à Zevra et qu'il a satisfait à ses obligations d'information des personnes concernées. Le Client demeure seul responsable de la licéité du Contenu qu'il soumet au Service et du respect des règles de secret professionnel qui lui sont applicables.

3.3 Le Client s'interdit de soumettre au Service des Données dont le traitement par Zevra, même transitoire, lui serait interdit par la loi ou par une décision de justice.

Article 4 — Instructions du client

4.1 Zevra traite les Données exclusivement sur instruction documentée du Client, y compris en ce qui concerne tout transfert vers un pays tiers ou une organisation internationale, sauf obligation imposée par le droit de l'Union européenne ou le droit français. Dans ce dernier cas, Zevra informe le Client de cette obligation avant le traitement, à moins que la loi ne l'interdise pour des motifs importants d'intérêt public.

4.2 Le Contrat, le DPA et l'utilisation du Service par les Utilisateurs conformément à la documentation constituent les instructions documentées du Client. Toute instruction complémentaire est adressée par écrit à l'adresse indiquée à l'article 16.7. Zevra peut refuser une instruction qui excède le périmètre du Service ou en subordonner l'exécution à un accord sur ses conditions techniques et financières.

4.3 Zevra informe sans délai le Client si elle estime qu'une instruction constitue une violation de la Réglementation applicable. Elle peut alors suspendre l'exécution de l'instruction concernée jusqu'à ce que le Client la confirme ou la modifie.

4.4 Zevra n'utilise ni le Contenu, ni le Contenu pseudonymisé, ni les Données pour ses propres finalités, notamment pour entraîner, affiner ou évaluer un modèle d'intelligence artificielle, sauf instruction écrite et expresse du Client. La qualité de détection du moteur de Zevra est mesurée sur des corpus qui n'incluent pas le Contenu des clients.

Article 5 — Fonctionnement du service et absence de conservation

5.1 Le Contenu est transmis aux serveurs de Zevra par un canal chiffré (TLS). Il est traité en mémoire vive, le temps de la requête. Il n'est enregistré sur aucun support persistant, ni en clair ni chiffré, ni sous forme de sauvegarde. À l'issue de la requête, le Contenu et le Contenu pseudonymisé sont effacés de la mémoire des serveurs. L'ensemble des serveurs qui reçoivent et traitent le Contenu est situé en France.

5.2 La reconnaissance optique de caractères des documents scannés est réalisée par un moteur intégré aux serveurs de Zevra. Aucun Contenu n'est confié à un service d'OCR tiers.

5.3 La détection des identités est réalisée par le moteur d'intelligence artificielle de Zevra, auto-hébergé sur des serveurs à processeurs graphiques dédiés situés en France. Aucun Contenu n'est transmis par Zevra à un fournisseur d'IA tierce, quel qu'il soit.

5.4 La Table de correspondance est générée et conservée sur le poste de l'Utilisateur. Elle n'est ni transmise à Zevra, ni stockée sur ses serveurs. Zevra n'est techniquement pas en mesure de restaurer les identités remplacées.

5.5 Zevra ne conserve, au titre du Service, que des compteurs d'usage (nombre de documents traités, volume, horodatage, identifiant de l'Utilisateur) nécessaires à la gestion des crédits, des plafonds de consommation et de la facturation. Ces compteurs ne contiennent aucun élément du Contenu.

5.6 Les Parties conviennent que la pseudonymisation opérée par le Service ne constitue pas une anonymisation au sens de la Réglementation applicable. Le Contenu pseudonymisé demeure une donnée à caractère personnel entre les mains du Client tant que celui-ci détient la Table de correspondance.

Article 6 — Extension de navigateur et IA tierces

6.1 L'extension de navigateur Lexform intercepte le texte que l'Utilisateur s'apprête à envoyer à une IA tierce sur les domaines déclarés, le transmet aux serveurs de Zevra pour pseudonymisation dans les conditions de l'article 5, puis restitue le Contenu pseudonymisé au navigateur de l'Utilisateur. L'extension ne sollicite que les permissions strictement nécessaires à cette fonction et n'est active que sur les domaines déclarés dans sa documentation.

6.2 L'envoi du Contenu pseudonymisé à l'IA tierce est effectué depuis le navigateur de l'Utilisateur, sous le compte et la responsabilité du Client. Zevra n'intervient ni dans cet envoi, ni dans le traitement réalisé par l'IA tierce, ni dans la conservation des réponses de celle-ci.

6.3 Il appartient au Client de vérifier que les conditions d'utilisation et les engagements de protection des données des fournisseurs d'IA tierces qu'il retient sont conformes à ses propres obligations, notamment en matière de transferts hors de l'Union européenne et de secret professionnel. Zevra ne formule aucune garantie à cet égard.

6.4 Le Service réduit le risque lié à l'usage d'une IA tierce ; il ne le supprime pas. La détection des identités repose sur un modèle statistique dont le taux de détection, mesuré et publié par Zevra, n'atteint pas cent pour cent. Le Client conserve la maîtrise du Contenu pseudonymisé avant son envoi et demeure responsable de sa relecture lorsque la sensibilité du Contenu l'exige.

Article 7 — Confidentialité

7.1 Zevra veille à ce que les personnes autorisées à traiter les Données soient soumises à une obligation de confidentialité contractuelle ou légale appropriée, et qu'elles n'accèdent aux Données que dans la mesure strictement nécessaire à l'exécution du Service.

7.2 Compte tenu de l'architecture du Service décrite à l'article 5, aucun membre du personnel de Zevra n'accède au Contenu dans le cours normal de l'exploitation. Tout accès exceptionnel à des Données, par exemple à l'occasion d'un incident, est journalisé, limité aux personnes habilitées et justifié par un motif technique documenté.

7.3 Zevra traite le Contenu et le Contenu pseudonymisé comme des informations confidentielles du Client, indépendamment de leur qualification au regard de la Réglementation applicable. Cette obligation survit à la fin du Contrat.

Article 8 — Sécurité du traitement

8.1 Zevra met en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, conformément à l'article 32 du RGPD. Ces mesures sont décrites à l'Annexe 2.

8.2 Zevra peut faire évoluer ces mesures pour tenir compte de l'état de l'art et de l'évolution des menaces, à condition que le niveau de sécurité global ne soit pas diminué. Toute modification substantielle est portée à la connaissance du Client par la mise à jour de la documentation de sécurité du Service.

8.3 Le Client est responsable de la sécurité de son propre environnement : postes de travail, navigateurs, gestion des comptes Utilisateurs, conservation des Tables de correspondance et paramétrage des rôles et plafonds au sein de son espace d'équipe. Zevra recommande le déploiement centralisé de l'extension par les politiques d'entreprise du navigateur et la révocation immédiate des accès des Utilisateurs quittant le Client.

Article 9 — Sous-traitance ultérieure

9.1 Le Client autorise de manière générale Zevra à recourir aux Sous-traitants ultérieurs figurant à l'Annexe 3. À la date du DPA, l'unique Sous-traitant ultérieur est l'hébergeur de l'infrastructure du Service, dont les serveurs sont situés en France.

9.2 Zevra informe le Client de tout projet d'ajout ou de remplacement d'un Sous-traitant ultérieur au moins trente (30) jours avant sa mise en œuvre, par courriel à l'adresse du propriétaire du compte ou par notification dans le Service. Le Client peut s'y opposer par écrit, pour des motifs légitimes tenant à la protection des données, dans ce délai. En cas d'opposition, les Parties recherchent de bonne foi une solution. À défaut d'accord dans les trente (30) jours suivant l'opposition, le Client peut résilier le Contrat sans pénalité pour la partie du Service concernée, les sommes versées d'avance lui étant remboursées au prorata.

9.3 Zevra conclut avec chaque Sous-traitant ultérieur un contrat écrit imposant des obligations de protection des données au moins équivalentes à celles du DPA, notamment en matière de sécurité, de confidentialité et de localisation des données. Zevra demeure pleinement responsable envers le Client de l'exécution par ses Sous-traitants ultérieurs de leurs obligations.

Article 10 — Assistance au client

10.1 Droits des personnes. Zevra transmet au Client, sans délai et au plus tard dans les cinq (5) jours ouvrés, toute demande d'exercice de droits (accès, rectification, effacement, limitation, portabilité, opposition) qu'elle recevrait directement d'une personne concernée au titre des Données. Zevra n'y répond pas elle-même, sauf instruction du Client. Le Contenu n'étant pas conservé, l'assistance de Zevra porte en pratique sur les données de compte des Utilisateurs, que le Client peut consulter, modifier et supprimer de manière autonome par les fonctions d'administration du Service.

10.2 Sécurité, violations, analyse d'impact. Compte tenu de la nature du traitement et des informations dont elle dispose, Zevra assiste le Client dans le respect de ses obligations au titre des articles 32 à 36 du RGPD. Elle met à disposition sa documentation de sécurité, les certifications de son hébergeur et, sur demande motivée, les éléments nécessaires à la réalisation d'une analyse d'impact relative à la protection des données ou à une consultation préalable de l'autorité de contrôle.

10.3 L'assistance prévue au présent article est fournie sans frais dans la mesure où elle demeure raisonnable au regard de la nature du Service. Au-delà, ou lorsque la demande résulte d'un manquement du Client, Zevra peut facturer son intervention au tarif convenu ou, à défaut, à son tarif horaire en vigueur, après en avoir informé le Client.

Article 11 — Violation de données

11.1 Zevra notifie au Client toute violation de Données dans les meilleurs délais et au plus tard quarante-huit (48) heures après en avoir pris connaissance, par courriel à l'adresse du propriétaire du compte et de tout contact désigné par le Client à cet effet.

11.2 La notification décrit, dans la mesure des informations disponibles : la nature de la violation ; les catégories et le nombre approximatif de personnes concernées et d'enregistrements concernés ; les conséquences probables ; les mesures prises ou proposées pour y remédier et en atténuer les effets ; le point de contact chez Zevra. Lorsque toutes les informations ne sont pas disponibles simultanément, elles sont communiquées de manière échelonnée sans retard indu.

11.3 Zevra documente toute violation de Données et coopère avec le Client pour lui permettre de satisfaire à ses obligations de notification à l'autorité de contrôle et, le cas échéant, de communication aux personnes concernées. Zevra ne notifie pas elle-même l'autorité de contrôle ni les personnes concernées pour le compte du Client, sauf instruction écrite de celui-ci ou obligation légale propre.

11.4 Les Parties reconnaissent que, le Contenu n'étant pas conservé sur les serveurs de Zevra, une violation affectant l'infrastructure de Zevra ne peut porter, en principe, que sur les données de compte et les compteurs d'usage. Cette circonstance est prise en compte dans l'appréciation du risque, sans dispenser Zevra de la notification prévue au présent article.

Article 12 — Localisation des données et transferts

12.1 L'hébergement et les traitements réalisés par Zevra sont localisés en France : les serveurs applicatifs, le moteur d'intelligence artificielle, les bases de données de compte et leurs sauvegardes sont hébergés dans les centres de données de l'hébergeur visé à l'Annexe 3, situés à Gravelines et à Strasbourg. Le Contenu et le Contenu pseudonymisé ne quittent jamais la France : Zevra n'en effectue et n'en autorise aucun transfert, ni vers un autre État membre de l'Union européenne, ni vers un pays tiers. Les seules Données qui sortent de France sont les données de compte strictement nécessaires à l'envoi des courriels transactionnels et au paiement, transmises aux prestataires nommés à l'Annexe 3 dans les conditions décrites à l'Annexe 4. Cet engagement porte sur les moyens de traitement mis en œuvre par Zevra ; il ne s'étend pas au lieu depuis lequel les Utilisateurs accèdent au Service, qui relève du Client.

12.2 Tout transfert futur vers un pays tiers requiert l'accord écrit préalable du Client et la mise en place d'un mécanisme de transfert valide au titre du chapitre V du RGPD (décision d'adéquation, clauses contractuelles types de la Commission européenne assorties, le cas échéant, de mesures supplémentaires documentées). Les modalités en seraient décrites à l'Annexe 4.

12.3 Le présent article ne s'applique pas aux transferts que le Client réalise lui-même en transmettant du Contenu pseudonymisé à une IA tierce, lesquels relèvent de sa seule responsabilité conformément à l'article 6.

Article 13 — Audits et démonstration de la conformité

13.1 Zevra met à la disposition du Client toutes les informations nécessaires pour démontrer le respect des obligations prévues à l'article 28 du RGPD : le présent DPA, sa documentation de sécurité, la liste de ses Sous-traitants ultérieurs, les certificats de son hébergeur (ISO/IEC 27001, 27017, 27018, 27701, SOC 1, 2 et 3, HDS) et les réponses à un questionnaire de sécurité raisonnable, une fois par an.

13.2 Le Client peut, une fois par période de douze (12) mois, faire réaliser un audit du respect du DPA par Zevra, par lui-même ou par un auditeur indépendant tenu à la confidentialité et non concurrent de Zevra. L'audit est notifié avec un préavis de trente (30) jours, se déroule aux heures ouvrées, ne perturbe pas l'exploitation du Service et respecte la confidentialité des autres clients de Zevra. Les frais de l'audit sont à la charge du Client, sauf s'il révèle un manquement substantiel de Zevra.

13.3 En cas de violation de Données ou de demande d'une autorité de contrôle, le Client peut demander un audit complémentaire sans attendre l'expiration du délai de douze mois, avec un préavis réduit à dix (10) jours.

13.4 Zevra communique au Client un exemplaire du rapport d'audit assorti, le cas échéant, de ses observations, et met en œuvre dans un délai raisonnable les mesures correctives nécessaires.

Article 14 — Sort des données au terme du contrat

14.1 Le Contenu et le Contenu pseudonymisé sont effacés à l'issue de chaque requête conformément à l'article 5. Il n'existe donc, au terme du Contrat, aucun Contenu à restituer ou à supprimer sur les serveurs de Zevra.

14.2 Dans les trente (30) jours suivant la fin du Contrat, quelle qu'en soit la cause, Zevra supprime les données de compte des Utilisateurs et les compteurs d'usage nominatifs. Sur demande écrite du Client formulée avant l'expiration de ce délai, Zevra lui remet au préalable un export de ces données dans un format structuré, couramment utilisé et lisible par machine.

14.3 Zevra peut conserver, au-delà de ce délai, les seules données dont la conservation est imposée par une obligation légale (notamment comptable et fiscale), pour la durée de cette obligation et sous une forme limitant leur accessibilité. Zevra atteste par écrit de la suppression sur demande du Client.

Article 15 — Responsabilité

15.1 Chaque Partie est responsable des dommages causés par un traitement effectué en violation de la Réglementation applicable dans les conditions de l'article 82 du RGPD. Zevra n'est responsable que des dommages résultant d'un manquement aux obligations qui incombent spécifiquement aux sous-traitants ou d'un traitement effectué en dehors des instructions licites du Client.

15.2 La responsabilité de Zevra au titre du DPA est soumise aux limitations et exclusions stipulées au Contrat. Toutefois, le plafond de responsabilité prévu au Contrat ne s'applique pas aux dommages résultant d'une violation délibérée par Zevra de l'article 4.4 (utilisation des Données pour ses propres finalités) ou de l'article 12.1 (localisation des Données), sans préjudice des règles du droit commun relatives à la faute lourde et au dol.

15.3 Le Client garantit Zevra contre toute réclamation, amende ou condamnation résultant du non-respect par le Client de ses propres obligations de responsable de traitement, notamment quant à la licéité du Contenu soumis au Service et à l'usage qu'il fait du Contenu pseudonymisé.

Article 16 — Durée, hiérarchie et dispositions générales

16.1 Le DPA entre en vigueur à la date d'acceptation du Contrat et demeure applicable aussi longtemps que Zevra traite des Données pour le compte du Client, y compris pendant la période prévue à l'article 14.

16.2 En cas de contradiction entre le DPA et le Contrat sur une question relative à la protection des données à caractère personnel, le DPA prévaut. Pour toute autre question, le Contrat prévaut.

16.3 Zevra peut modifier le DPA pour tenir compte d'une évolution de la Réglementation applicable, d'une position d'une autorité de contrôle ou d'une évolution du Service, moyennant un préavis de trente (30) jours notifié au Client. Si la modification réduit le niveau de protection des Données, le Client peut résilier le Contrat sans pénalité avant son entrée en vigueur.

16.4 Si une stipulation du DPA est déclarée nulle ou inopposable, les autres stipulations demeurent en vigueur et les Parties conviennent de remplacer la stipulation concernée par une stipulation valide d'effet équivalent.

16.5 Le DPA est régi par le droit français. Tout litige relatif à son interprétation ou à son exécution est soumis à la juridiction désignée au Contrat, dans la mesure où cette désignation est opposable au Client, et à défaut aux juridictions compétentes selon les règles de droit commun.

16.6 Le DPA est rédigé en français et en anglais. En cas de divergence entre les deux versions, la version française prévaut.

16.7 Toute notification au titre du DPA est adressée par écrit : pour Zevra, à l'adresse 47 rue Vivienne, 75002 Paris, ou à l'adresse électronique contact@zevra.tech ; pour le Client, à l'adresse du propriétaire du compte ou à toute autre adresse qu'il aura désignée dans le Service.

Fait en deux exemplaires originaux, ou accepté par voie électronique dans les conditions du Contrat.

Pour Zevra

Nom : Pierre-Louis ROQUET

Qualité : Responsable juridique

Date :

Signature :

Pour le Client

Nom :

Qualité :

Date :

Signature :

Annexe 1 — Description du traitement

Annexe 2 — Mesures techniques et organisationnelles

Annexe 3 — Sous-traitants ultérieurs autorisés

La liste à jour est tenue à disposition du Client à l'adresse https://lexform.zevra.tech/dpa et notifiée dans les conditions de l'article 9.

Annexe 4 — Transferts hors de l'Union européenne

Contenu : néant. Les moyens de traitement du Contenu et du Contenu pseudonymisé mis en œuvre par Zevra sont localisés en France (article 12.1) ; aucun Contenu ne fait l'objet d'un transfert hors de France, a fortiori hors de l'Union européenne ou de l'Espace économique européen. Données de compte : deux transferts, limités à l'adresse électronique de l'Utilisateur et, pour le paiement, au montant facturé. Pays de destination : États-Unis. Importateurs : Resend, Inc. (courriels transactionnels) et Stripe, Inc. avec Stripe Payments Europe, Ltd. (paiement). Mécanisme retenu : clauses contractuelles types de la Commission européenne, décision d'exécution (UE) 2021/914, modules responsable de traitement vers sous-traitant, complétées des accords de traitement des données de chaque prestataire. Mesures supplémentaires : chiffrement en transit, minimisation des données transmises, exclusion de tout Contenu, de tout Contenu pseudonymisé et de toute Table de correspondance.

Tout transfert futur sera préalablement soumis à l'accord écrit du Client et documenté dans la présente annexe : pays de destination, importateur, mécanisme de transfert retenu (décision d'adéquation ou clauses contractuelles types de la Commission, décision d'exécution (UE) 2021/914), résultat de l'analyse d'impact du transfert et mesures supplémentaires mises en œuvre.