Accord de traitement des données (DPA)

1. Parties et objet

Le présent accord est conclu entre le client, responsable de traitement, et Titulis (voir mentions légales), sous-traitant. Il s'applique dès lors que les documents déposés ou les informations saisies par le client dans le service contiennent des données personnelles (par exemple : noms, fonctions et coordonnées de ses équipes, de ses références clients ou de ses sous-traitants).

2. Nature et finalité du traitement

• Nature : hébergement temporaire, lecture et analyse automatisée (y compris par intelligence artificielle), génération de documents.
• Finalité unique : produire les documents de réponse aux marchés publics demandés par le client.
• Durée : celle de l'utilisation du service, selon les durées de conservation de la politique de confidentialité.
• Personnes concernées : salariés et dirigeants du client, contacts de ses références, sous-traitants déclarés.
• Données traitées : identité, fonction, coordonnées professionnelles, données figurant dans les documents déposés.

3. Instructions du client

Titulis traite ces données uniquement sur instruction documentée du client, matérialisée par l'utilisation du service (dépôt des documents, lancement des générations). Titulis informe le client si une instruction lui paraît contraire au RGPD.

4. Confidentialité et sécurité

Les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité. Titulis met en oeuvre les mesures techniques et organisationnelles décrites dans sa politique de confidentialité : chiffrement des échanges, cloisonnement des comptes au niveau de la base de données, limitation de débit, gestion des accès. Les données du client ne sont jamais utilisées pour entraîner des modèles d'intelligence artificielle.

5. Sous-traitants ultérieurs autorisés

Le client autorise le recours aux sous-traitants ultérieurs suivants, chacun lié par un accord de traitement conforme à l'article 28 :

• Supabase (base de données et authentification, Union européenne).
• Vercel (hébergement applicatif, États-Unis, garanties de transfert reconnues).
• Anthropic (traitement par intelligence artificielle, États-Unis, garanties de transfert reconnues, sans entraînement sur les données).
• Stripe (paiement, ne reçoit pas les documents du client).
• Resend (envoi d'emails transactionnels, Union européenne).
• Titulis informe le client de tout changement de cette liste par mise à jour de la présente page ; le client peut s'y opposer pour motif légitime en résiliant le service.

6. Transferts hors Union européenne

Les transferts vers les États-Unis (Vercel, Stripe, Anthropic) sont encadrés par des garanties reconnues par le RGPD : clauses contractuelles types de la Commission européenne ou cadre de protection des données UE-États-Unis, selon le prestataire.

7. Assistance au responsable de traitement

Titulis assiste le client, dans la mesure du possible, pour répondre aux demandes d'exercice des droits des personnes concernées et pour ses obligations de sécurité et d'analyse d'impact. Contact : contact@titulis.fr.

8. Violation de données

Titulis notifie au client toute violation de données personnelles le concernant dans les meilleurs délais après en avoir pris connaissance, avec les informations utiles à sa propre notification à la CNIL le cas échéant.

9. Sort des données en fin de contrat

À la fermeture du compte ou sur demande du client, les données et documents sont supprimés dans les conditions de la politique de confidentialité, sauf obligation légale de conservation (facturation). Le client peut exporter ses documents (ZIP) à tout moment pendant la durée du service : cette faculté vaut restitution.

10. Audit

Titulis met à disposition du client les informations raisonnablement nécessaires pour démontrer le respect du présent accord (documentation, politiques, attestations de ses sous-traitants). Un audit sur site, aux frais du client et sous préavis raisonnable, peut être organisé pour motif sérieux, au maximum une fois par an et sans perturber le service.