Conditions générales de vente

Version du 10 novembre 2026 (révision 3). La version acceptée lors de la commande est enregistrée avec la commande et jointe à l'e-mail de bienvenue.

1. Parties et champ d'application

Le logiciel BewaarDoc est édité et commercialisé par EMIPROD (Entreprise individuelle, Enguerran Mistri), 196 rue de Bergues, 59470 Esquelbecq, SIRET 920 346 673 00014, RCS Dunkerque A 920 346 673, TVA FR21920346673, ci-après « le Prestataire ». Contact : support@bewaardoc.fr.

Les présentes conditions générales de vente (« CGV ») s'appliquent à tout abonnement à BewaarDoc souscrit par un professionnel agissant dans le cadre de son activité (entreprise, artisan, commerçant, profession libérale, association), ou par un acheteur public (collectivité territoriale, établissement public, administration), ci-après « le Client ». BewaarDoc n'est pas vendu aux consommateurs.

La souscription en ligne est réservée aux clients de droit privé. Les acheteurs publics commandent sur devis, dans les conditions particulières de l'article 19.

Conformément à l'article L. 441-1 du Code de commerce, les CGV constituent le socle de la relation commerciale. Elles prévalent sur tout document du Client, notamment ses conditions générales d'achat, sauf accord écrit et signé du Prestataire. Un devis ou bon de commande signé peut compléter ou adapter les CGV ; il prévaut alors sur les points qu'il traite.

2. Définitions

Service : l'accès en ligne au logiciel de gestion électronique de documents BewaarDoc, l'hébergement des données et l'assistance associée.
Espace : l'instance du Service réservée au Client, accessible à l'adresse <identifiant>.bewaardoc.fr, avec sa propre base de données.
Formule : l'offre choisie : un ou plusieurs packs cumulables (Solo, Équipe, Service), éventuellement complétés d'extensions de stockage, ou une offre sur devis. Elle fixe le nombre d'utilisateurs et la réserve de stockage.
Utilisateur : toute personne autorisée par le Client à se connecter à l'Espace.
Données du Client : les documents, fichiers, métadonnées et informations déposés ou produits dans l'Espace.
Acheteur public : toute personne publique ou tout organisme soumis aux règles de la commande publique.

3. Description du Service

Le Service permet de déposer, classer, rechercher (y compris dans le texte des documents), conserver selon des durées définies par le Client, partager et exporter des documents. Les fonctionnalités sont décrites sur le site bewaardoc.fr à la date de la commande ; elles peuvent évoluer, sans réduction substantielle des fonctions essentielles pendant la durée de l'abonnement.

Les serveurs hébergeant les Données du Client sont situés en France. Le Service est fourni en mode hébergé (SaaS) : aucune installation n'est nécessaire, un navigateur internet récent suffit.

Le Service est un outil de gestion documentaire. Ce n'est pas un service d'archivage électronique réglementé, et il ne délivre aucune attestation légale sur la conformité ou l'intégrité juridique des documents. Il ne constitue pas non plus une solution d'émission, de réception ou de transmission de factures électroniques à l'administration. Le Client reste seul responsable de ses obligations légales de conservation, que le Service l'aide à organiser.

Archives publiques. Les documents produits ou reçus par un acheteur public dans l'exercice de sa mission sont des archives publiques, soumises au Code du patrimoine : leur conservation, leur tri et leur élimination relèvent de règles propres et, pour l'élimination, du visa de l'autorité compétente (service départemental d'archives). Les durées de conservation et les suppressions réglées par le Client dans l'Espace ne dispensent pas de ces formalités, qui restent de la responsabilité du Client.

Données de santé. Le Prestataire n'est pas hébergeur de données de santé au sens de l'article L. 1111-8 du Code de la santé publique. Il est interdit de déposer dans le Service des données de santé concernant des personnes (dossiers médicaux, ordonnances, arrêts de travail, résultats d'examens…). Les documents relatifs aux animaux ne sont pas concernés.

4. Commande et formation du contrat

Commande en ligne (clients de droit privé). Elle se fait en quatre étapes : choix de la Formule et de la périodicité de paiement ; saisie des informations de l'entreprise, de l'administrateur et de l'adresse de l'Espace ; acceptation expresse des CGV par une case à cocher, avec confirmation de la qualité de professionnel et de l'absence de données de santé ; paiement sécurisé par carte bancaire sur la page de commande, traité par Stripe, prestataire de paiement du Prestataire. Avant de payer, le Client voit le récapitulatif de sa commande (Formule, durée d'engagement, prix HT, TVA et prix TTC) et peut corriger ses informations.

Le contrat est formé à la confirmation du premier paiement. L'Espace est alors créé et les identifiants de l'administrateur sont envoyés par e-mail ; à défaut de création automatique, le Prestataire crée l'Espace dans un délai d'un jour ouvré.

Essai gratuit. Un client de droit privé peut ouvrir en ligne un essai gratuit, sans moyen de paiement, une seule fois par entreprise (même SIREN) et par adresse e-mail. L'essai dure quatorze (14) jours à compter de son ouverture et comprend un utilisateur et deux (2) Go de stockage ; l'assistance par intelligence artificielle et l'API n'y sont pas proposées. Il ne donne lieu à aucune facturation ni à aucun engagement. Les présentes CGV s'appliquent à l'essai, sauf ce qui concerne le prix, l'engagement et la facturation. Le Client est prévenu par e-mail quatre (4) jours avant la fin de l'essai. À la fin de l'essai, l'accès aux documents est bloqué jusqu'à la souscription d'un abonnement, faite en ligne depuis l'Espace : l'Espace et ses documents sont alors conservés. Sans souscription dans les trente (30) jours qui suivent la fin de l'essai, l'Espace et toutes ses données sont supprimés automatiquement, dans les conditions de l'article 10 ; l'administrateur peut aussi les supprimer lui-même à tout moment après la fin de l'essai. Le Prestataire peut refuser ou interrompre un essai en cas d'usage abusif.

Commande sur devis. Elle est formée par la signature du devis ou par l'émission d'un bon de commande qui s'y réfère ; le devis précise les conditions particulières. C'est le mode de commande des acheteurs publics et des clients qui souhaitent payer par prélèvement SEPA ou par virement.

Preuve. Les enregistrements informatiques du Prestataire et de Stripe (date et heure, version des CGV acceptées et empreinte de leur texte, cases cochées, adresse IP, informations saisies, paiements) font foi entre les parties, conformément aux articles 1366 et suivants du Code civil, sauf preuve contraire. Le Prestataire les conserve pendant la durée du contrat et les supprime avec l'Espace (article 10) ; les enregistrements de Stripe (abonnement, version et empreinte des CGV acceptées, paiements et factures) restent conservés par Stripe, conformément à ses propres obligations.

Absence de droit de rétractation. Le Client contracte pour les besoins de son activité professionnelle ou de sa mission : le droit de rétractation prévu par le Code de la consommation ne s'applique pas.

5. Durée, engagement, renouvellement et résiliation

Le présent article s'applique aux clients de droit privé. Pour les acheteurs publics, la durée, la reconduction et la résiliation sont celles de l'article 19.

Engagement initial. L'abonnement est conclu pour une durée ferme de 12 mois à compter de la création de l'Espace, quelle que soit la périodicité de paiement (mensuelle ou annuelle). Cet engagement justifie les prix pratiqués, qui ne comprennent aucun frais de mise en service.

Renouvellement. À l'issue de cette période, l'abonnement est renouvelé tacitement par périodes successives de 12 mois, aux conditions alors en vigueur. Le Prestataire rappelle par e-mail au Client l'échéance et la faculté de ne pas renouveler, au moins un mois avant la date limite de résiliation.

Résiliation à l'échéance. Chaque partie peut résilier l'abonnement à l'échéance de la période en cours en prévenant l'autre au moins un mois avant cette échéance (trois mois pour le Prestataire), par e-mail avec accusé de réception (le Client écrit à support@bewaardoc.fr) ou par lettre recommandée. Le Prestataire confirme la date de fin par e-mail.

Résiliation anticipée par le Client. Le Client peut mettre fin à l'abonnement avant l'échéance, avec un préavis d'un mois au plus. Les sommes restant dues jusqu'à la fin de la période d'engagement en cours deviennent alors exigibles, dans la limite permise par le règlement (UE) 2023/2854 sur les données (« règlement sur les données ») lorsque la résiliation a pour objet un changement de fournisseur. Aucune somme déjà versée n'est remboursée, sauf manquement du Prestataire.

Changement de fournisseur. Le Client peut à tout moment demander à changer de fournisseur ou à rapatrier ses données sur ses propres moyens, dans les conditions de l'article 10 et de l'annexe B. Le Prestataire ne facture aucun frais de changement de fournisseur.

Résiliation pour manquement. En cas de manquement grave d'une partie à ses obligations, non réparé trente jours après une mise en demeure envoyée par lettre recommandée avec accusé de réception, l'autre partie peut résilier le contrat de plein droit, sans préjudice de dommages et intérêts. Le dépôt de données de santé ou de contenus manifestement illicites, le défaut de paiement persistant (article 6) et toute atteinte à la sécurité du Service constituent des manquements graves du Client.

Évolution de Formule. Le Client peut à tout moment passer à une Formule supérieure ou ajouter des packs ou du stockage ; la différence de prix est facturée au prorata. Le passage à une Formule inférieure prend effet à l'échéance de la période d'engagement en cours.

6. Prix, facturation et paiement

Prix. Les prix sont ceux affichés sur la page Tarifs au jour de la commande, ou ceux du devis signé. Ils sont exprimés en euros hors taxes ; la TVA au taux en vigueur (20 % à ce jour) s'y ajoute. Les prix toutes taxes comprises (TTC) correspondants sont indiqués à titre d'information sur la page Tarifs et, avant tout paiement, dans le récapitulatif de la commande. Le paiement annuel bénéficie de la remise indiquée sur la page Tarifs.

Facturation. L'abonnement est facturé d'avance, à la commande puis à chaque échéance (mensuelle ou annuelle). Les factures sont émises par voie électronique et mises à disposition dans l'Espace du Client, où son administrateur peut les consulter et les télécharger, et sont transmises selon les obligations de facturation électronique applicables. Le Client accepte la facturation électronique.

Paiement. Les abonnements souscrits en ligne sont payés par carte bancaire, via Stripe, qui conserve les moyens de paiement ; le Prestataire n'a jamais accès aux numéros complets des cartes. Le Client autorise les paiements récurrents correspondant à son abonnement. Sur devis, le paiement peut se faire par prélèvement SEPA ou par virement, à trente jours date de facture. Aucun escompte n'est accordé pour paiement anticipé. Les règles de paiement des acheteurs publics figurent à l'article 19.

Retard de paiement (clients de droit privé). Conformément à l'article L. 441-10 du Code de commerce, toute somme non payée à l'échéance porte de plein droit des pénalités de retard au taux égal à trois fois le taux d'intérêt légal, ainsi qu'une indemnité forfaitaire pour frais de recouvrement de 40 €, sans préjudice d'une indemnisation complémentaire sur justificatifs. En cas d'échec d'un paiement, le Client est prévenu par e-mail et de nouvelles tentatives sont faites ; quinze jours après le premier échec resté sans régularisation, le Prestataire peut suspendre l'accès à l'Espace, après un dernier avertissement par e-mail (article 14). Les données ne sont jamais supprimées pour un retard de paiement.

Révision des prix. Le Prestataire peut modifier ses prix à l'occasion d'un renouvellement, en prévenant le Client par e-mail au moins deux mois avant l'échéance. Le Client qui refuse le nouveau prix peut résilier l'abonnement à cette échéance, sans frais.

7. Accès au Service et comptes

Le Prestataire accorde au Client, pour la durée de l'abonnement, un droit personnel, non exclusif et non cessible d'utiliser le Service pour ses besoins internes, dans la limite du nombre d'Utilisateurs et de la réserve de stockage de sa Formule.

Le Client désigne un ou plusieurs administrateurs, qui créent et gèrent les comptes des Utilisateurs et leurs droits. Les identifiants sont personnels et confidentiels ; un compte ne peut pas être partagé entre plusieurs personnes. La double authentification est obligatoire pour les administrateurs. Le Client est responsable de l'usage fait des comptes de ses Utilisateurs et prévient sans délai le Prestataire de toute utilisation non autorisée.

Lorsque la réserve de stockage est dépassée, les administrateurs sont prévenus ; après une période de tolérance, seuls les nouveaux dépôts sont refusés. La consultation, la recherche, le téléchargement et l'export restent toujours possibles.

8. Obligations du Client

Le Client s'engage à :

fournir des informations exactes lors de la commande et les tenir à jour (raison sociale, adresse de facturation, contact) ;
utiliser le Service conformément à sa destination, aux CGV et à la loi ;
ne déposer que des données qu'il a le droit de détenir et de traiter, et aucun contenu illicite (contrefaçon, contenu haineux, pédopornographique, données obtenues frauduleusement…) ;
ne pas déposer de données de santé concernant des personnes (article 3) ;
ne pas tenter d'accéder aux données d'autres clients, de contourner les mesures de sécurité, de tester la vulnérabilité du Service sans autorisation écrite, ni de l'utiliser pour diffuser des logiciels malveillants ;
ne pas surcharger volontairement le Service (requêtes automatisées massives) en dehors des usages prévus ;
respecter, en tant que responsable de traitement, ses propres obligations au titre du règlement (UE) 2016/679 (« RGPD ») pour les données personnelles qu'il dépose, et, s'il est un acheteur public, ses obligations au titre du Code du patrimoine (article 3).

9. Assistance, maintenance et disponibilité

L'assistance est fournie en français, par téléphone, par e-mail à support@bewaardoc.fr ou par ticket, les jours ouvrés. Le Prestataire s'efforce de répondre dans un délai d'un jour ouvré.

Le Prestataire met en œuvre les moyens raisonnables pour assurer l'accès au Service 24 h/24 et 7 j/7, dans le cadre d'une obligation de moyens. L'accès peut être interrompu pour maintenance ; les interventions planifiées sont, dans la mesure du possible, réalisées en dehors des heures ouvrées et annoncées à l'avance. Le Prestataire n'est pas responsable des interruptions dues au réseau internet, à l'équipement du Client ou à des tiers.

Les Données du Client sont sauvegardées automatiquement selon les modalités décrites à l'annexe B. Les mises à jour du logiciel sont comprises dans l'abonnement. La migration de documents existants vers le Service, la reprise d'archives, la formation et les développements spécifiques ne sont pas compris : ils font l'objet d'un devis.

Le Prestataire n'accède au contenu des documents du Client que sur autorisation de son administrateur, pour l'assistance, de façon limitée dans le temps et tracée dans le journal de l'Espace, ou lorsque la loi l'impose.

10. Données du Client et réversibilité

Le Client reste seul propriétaire des Données du Client. Il accorde au Prestataire le seul droit de les héberger et de les traiter dans la mesure nécessaire à la fourniture du Service.

Export. À tout moment et sans frais, l'administrateur peut exporter l'intégralité des Données du Client : fichiers dans leur format d'origine, informations associées (CSV et JSON) et journal des actions, dans des formats ouverts et lisibles sans le logiciel.

Fin du contrat. À la fin du contrat, quelle qu'en soit la cause, l'Espace passe en lecture seule pendant trente jours, pour permettre l'export. À l'issue de ce délai, les Données du Client sont supprimées des serveurs, puis des sauvegardes à l'expiration de leur durée de conservation (annexe B), et le Prestataire remet au Client, sur demande, une attestation de suppression. La suppression porte sur l'Espace, sa base de données, ses documents, ses sauvegardes, la fiche du Client et les traces associées chez le Prestataire. Seules restent les données de paiement et de facturation conservées par Stripe, prestataire de paiement, qui permettent au Prestataire de remplir ses obligations légales (facturation, comptabilité).

Changement de fournisseur. Lorsque le Client demande à changer de fournisseur ou à rapatrier ses données, la procédure de l'annexe B s'applique, conformément au règlement sur les données. Une assistance au-delà de cette procédure (reprise dans un logiciel tiers, conversion de formats) peut être fournie sur devis.

11. Données personnelles

Pour les données personnelles contenues dans les Données du Client, le Client est responsable de traitement et le Prestataire agit en qualité de sous-traitant, au sens de l'article 28 du RGPD, dans les conditions de l'accord de traitement des données annexé aux CGV (annexe A), qui en fait partie intégrante.

Pour les données nécessaires à la gestion de la relation commerciale (contacts du Client, commandes, facturation, assistance), le Prestataire est responsable de traitement, comme décrit dans sa politique de confidentialité.

12. Propriété intellectuelle

Le logiciel BewaarDoc, sa documentation, ses interfaces, ses bases de données et la marque BewaarDoc sont et restent la propriété exclusive du Prestataire. Le contrat n'emporte aucune cession de droits ; il confère seulement le droit d'usage décrit à l'article 7. Le Client s'interdit de copier, modifier, décompiler, revendre ou mettre à disposition de tiers le Service, en dehors des cas autorisés par la loi.

Sauf opposition écrite du Client, le Prestataire peut citer le nom et le logo du Client comme référence commerciale. Le Client peut retirer cette autorisation à tout moment par e-mail.

13. Responsabilité

Le Prestataire est tenu d'une obligation de moyens. Il est responsable des dommages directs et prévisibles causés au Client par un manquement prouvé à ses obligations.

Il n'est pas responsable : du contenu des Données du Client, de leur licéité et de l'usage qui en est fait ; des choix du Client, notamment ses règles de conservation et de destruction ; des dommages indirects tels que perte de chiffre d'affaires, de clientèle, d'exploitation ou atteinte à l'image ; des conséquences d'une utilisation non conforme, d'identifiants divulgués ou d'actions d'un Utilisateur.

Toutes causes confondues, la responsabilité totale du Prestataire au titre du contrat est limitée au plus élevé des deux montants suivants : le montant hors taxes payé par le Client au cours des douze mois précédant le fait générateur, ou le prix hors taxes de douze mois de son abonnement. Cette limitation ne s'applique pas en cas de faute lourde ou dolosive, aux dommages corporels, ni aux manquements du Prestataire à ses obligations impératives de sous-traitant au titre du RGPD ; elle ne prive pas d'effet l'obligation essentielle du Prestataire de fournir le Service et de conserver les Données du Client.

Le Client garantit le Prestataire contre toute réclamation de tiers liée au contenu des Données du Client ou à une utilisation du Service contraire aux CGV.

14. Suspension

Le Prestataire peut suspendre l'accès à l'Espace, après avoir prévenu le Client par e-mail sauf urgence : en cas de défaut de paiement non régularisé d'un client de droit privé (article 6) ; en cas d'atteinte ou de menace avérée pour la sécurité du Service ; en cas de dépôt de contenus manifestement illicites ou de données de santé ; sur décision d'une autorité. La suspension ne supprime aucune donnée et ne suspend pas les sommes dues. L'accès est rétabli dès que la cause a disparu. La suspension pour retard de paiement ne s'applique pas aux acheteurs publics, sauf dans les conditions de l'article 19.

15. Force majeure

Aucune partie n'est responsable d'un manquement causé par un cas de force majeure au sens de l'article 1218 du Code civil (notamment catastrophe, incendie, panne générale des réseaux, cyberattaque d'ampleur exceptionnelle, décision des pouvoirs publics). La partie empêchée prévient l'autre sans délai. Si l'empêchement dure plus de soixante jours, chaque partie peut résilier le contrat sans indemnité.

16. Confidentialité

Chaque partie garde confidentielles les informations non publiques de l'autre dont elle a connaissance dans le cadre du contrat, pendant sa durée et cinq ans après sa fin. Les Données du Client sont confidentielles sans limite de durée. Cette obligation ne s'applique pas aux informations publiques ou dont la divulgation est imposée par la loi ou une autorité, notamment au titre de l'accès aux documents administratifs pour les acheteurs publics.

17. Modification des CGV

Le Prestataire peut faire évoluer les CGV. La nouvelle version est publiée sur le site et notifiée au Client par e-mail au moins un mois avant son entrée en vigueur. Elle s'applique au contrat en cours à la date indiquée, sauf si le Client la refuse par écrit avant cette date : la version précédente continue alors de s'appliquer jusqu'à la fin de la période d'engagement en cours, à l'issue de laquelle le contrat prend fin. Les modifications imposées par la loi s'appliquent dès leur entrée en vigueur. Les contrats conclus avec des acheteurs publics restent régis par les pièces du marché.

18. Dispositions diverses

Le Prestataire peut faire appel à des sous-traitants pour l'exécution du Service ; il en reste responsable. Le Client ne peut céder son contrat qu'avec l'accord écrit du Prestataire, qui peut céder le contrat à toute société reprenant l'activité BewaarDoc en prévenant le Client. Si une clause des CGV est déclarée nulle, les autres restent applicables. Le fait de ne pas se prévaloir d'une clause ne vaut pas renonciation. Les communications entre les parties se font valablement par e-mail. La médiation de la consommation n'est pas applicable, le Service étant réservé aux professionnels et aux acheteurs publics.

19. Conditions particulières applicables aux acheteurs publics

Lorsque le Client est un acheteur public, les présentes CGV s'appliquent sous réserve des dispositions légales et réglementaires impératives de la commande publique, ainsi que des stipulations du marché, du devis accepté ou du bon de commande régulièrement émis. En cas de contradiction, ces dispositions impératives et les pièces du marché prévalent sur les CGV.

Commande. L'acheteur public commande sur devis, par bon de commande ou dans le cadre d'un marché ; la souscription et le paiement en ligne ne lui sont pas proposés.
Durée, reconduction, résiliation. La durée, les conditions de reconduction, de révision des prix et de résiliation sont celles prévues par les pièces du marché et par le Code de la commande publique, y compris la résiliation pour motif d'intérêt général. L'engagement et la reconduction tacite de l'article 5 ne s'appliquent que s'ils sont prévus par ces pièces.
Facturation. Les factures sont transmises par voie électronique selon les obligations du secteur public, notamment par le portail Chorus Pro, en mentionnant les références d'engagement communiquées par l'acheteur (numéro de bon de commande, code service).
Paiement. Le règlement intervient par mandat administratif ou virement, après service fait, dans le délai réglementaire de paiement (trente jours pour l'État et les collectivités territoriales, sauf délai différent fixé par la réglementation). Les retards ouvrent droit aux intérêts moratoires et à l'indemnité forfaitaire pour frais de recouvrement prévus par le Code de la commande publique ; les pénalités de l'article 6 ne s'appliquent pas.
Continuité. Le Prestataire ne suspend pas l'accès à l'Espace d'un acheteur public pour un retard de paiement, sauf impayé persistant après mise en demeure restée sans effet pendant soixante jours ; les données ne sont jamais supprimées pour ce motif.
Archives publiques. Les obligations de l'article 3 relatives aux archives publiques s'appliquent ; à la fin du contrat, le Prestataire restitue l'intégralité des données avant toute suppression.

20. Droit applicable et litiges

Les CGV et les contrats qu'elles régissent sont soumis au droit français.

En cas de différend, les parties s'efforcent de rechercher une solution amiable pendant trente jours à compter de la réception d'une réclamation écrite.

Lorsque les deux parties ont contracté en qualité de commerçant, les litiges relèvent de la compétence territoriale exclusive du tribunal de commerce de Dunkerque, sous réserve des dispositions impératives applicables ; cette attribution de compétence est expressément convenue entre les parties, conformément à l'article 48 du Code de procédure civile.

Pour les autres clients de droit privé, les règles légales de compétence juridictionnelle et territoriale s'appliquent.

Pour les contrats conclus avec un acheteur public qui constituent des contrats administratifs, les litiges sont portés devant le tribunal administratif territorialement compétent, sous réserve des règles propres aux contrats de la commande publique.

Annexe A : accord de traitement des données (article 28 du RGPD)

Cette annexe fait partie des CGV. Elle s'applique aux données personnelles que le Client (responsable de traitement) dépose ou fait traiter dans le Service par le Prestataire (sous-traitant).

A. Objet, durée, nature et finalité

Le Prestataire traite les données pour la seule fourniture du Service : hébergement, stockage, indexation et recherche, lecture du texte des documents (OCR), affichage, partage, notification, sauvegarde, export et assistance. Le traitement dure le temps du contrat, augmenté du délai de réversibilité et de suppression de l'article 10 et de l'annexe B.

B. Données et personnes concernées

Données d'identification et de connexion des Utilisateurs (nom, prénom, e-mail, journaux de connexion et d'actions) ; données personnelles éventuellement contenues dans les documents déposés par le Client (salariés, clients, fournisseurs, partenaires, administrés du Client…), à l'exclusion des données de santé, interdites dans le Service. Le Client détermine seul les catégories de données qu'il dépose.

C. Obligations du Prestataire

traiter les données uniquement sur instruction documentée du Client (les CGV, les réglages de l'Espace et les demandes écrites de ses administrateurs), y compris pour les transferts hors de l'Union européenne, et l'informer immédiatement si une instruction lui paraît contraire à la réglementation ;
garantir la confidentialité des données et veiller à ce que les personnes autorisées à les traiter s'engagent à respecter la confidentialité ou soient soumises à une obligation légale de confidentialité, y compris après la fin de leurs fonctions ;
mettre en œuvre les mesures de sécurité appropriées au sens de l'article 32 du RGPD, décrites à l'annexe B : base de données propre à chaque client, connexions chiffrées, double authentification, gestion des droits par espace, journal des actions non modifiable, sauvegardes chiffrées hors du serveur principal, analyse antivirus des fichiers déposés, accès du support uniquement sur autorisation ;
aider le Client, dans la mesure du possible, à répondre aux demandes d'exercice des droits des personnes, notamment grâce aux fonctions de recherche, d'export et de suppression de l'Espace ;
notifier au Client toute violation de données personnelles dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, avec les informations utiles à sa propre notification ;
aider le Client à garantir le respect des obligations des articles 32 à 36 du RGPD (sécurité, notification des violations, analyses d'impact, consultation préalable de l'autorité de contrôle), compte tenu de la nature du traitement et des informations dont il dispose ;
au terme du contrat, selon le choix du Client, restituer les données (export de l'article 10) puis les supprimer, ainsi que les copies existantes, sauf obligation légale de conservation, et en attester sur demande ;
mettre à la disposition du Client toutes les informations nécessaires pour démontrer le respect de ces obligations et permettre des audits, y compris des inspections, menés par le Client ou un auditeur qu'il mandate, tenu au secret et non concurrent du Prestataire. Les audits ont lieu sur demande écrite avec un préavis de trente jours, une fois par an au plus, aux frais du Client ; ces limites ne s'appliquent pas après une violation de données, sur demande d'une autorité de contrôle, ou en cas d'indices sérieux de manquement.

D. Localisation et sous-traitants ultérieurs

Les Données du Client sont hébergées en France. Le Prestataire choisit des sous-traitants ultérieurs qui traitent les données dans l'Union européenne et n'organise aucun transfert hors de l'Union ; si un sous-traitant ultérieur devait en réaliser, le Client en serait informé à l'avance et le transfert serait encadré par l'une des garanties prévues au chapitre V du RGPD.

Le Client autorise le recours aux sous-traitants ultérieurs suivants :

IONOS, pour l'hébergement des serveurs, en France ;
uniquement si l'administrateur du Client active les fonctions d'intelligence artificielle optionnelles (désactivées par défaut), Mistral AI (France). Données transmises : le texte des documents, les photos (une copie réduite, sans leurs métadonnées, dont la localisation) et les informations que l'utilisateur soumet à ces fonctions. Finalité : produire l'analyse demandée (description et étiquettes des photos, résumé, classement, extraction). Les données sont traitées par Mistral AI selon les conditions contractuelles de son service d'API, que le Prestataire tient à la disposition du Client ; le Prestataire ne demande pas leur conservation au-delà du traitement de la requête. Les documents qui ne sont pas soumis à ces fonctions ne sont jamais transmis.

Le Prestataire informe le Client de tout ajout ou remplacement d'un sous-traitant ultérieur au moins trente jours à l'avance ; le Client peut s'y opposer pour un motif légitime et, à défaut d'accord, résilier le contrat sans frais. Le Prestataire impose à ses sous-traitants ultérieurs, par contrat, les mêmes obligations de protection des données et reste responsable de leur exécution.

Stripe, prestataire de paiement, ne reçoit aucune Donnée du Client : il traite uniquement les données de facturation et de paiement, sous la responsabilité du Prestataire.

E. Obligations du Client

Le Client garantit disposer d'une base légale pour les traitements qu'il confie au Prestataire, informer les personnes concernées, tenir son registre des traitements et définir les durées de conservation appliquées dans l'Espace.

Annexe B : sécurité, sauvegardes et réversibilité

Cette annexe fait partie des CGV. Elle décrit les engagements techniques du Prestataire ; elle peut être complétée par un devis ou les pièces d'un marché.

A. Sécurité

Hébergement sur des serveurs situés en France ; base de données distincte pour chaque Espace.
Connexions chiffrées (HTTPS) ; mots de passe stockés sous forme d'empreintes ; double authentification obligatoire pour les administrateurs.
Droits d'accès par espace et par groupe ; journal des actions non modifiable, consultable par l'administrateur.
Analyse antivirus des fichiers déposés ; mises à jour de sécurité appliquées dans les meilleurs délais.
Accès du Prestataire au contenu des documents uniquement sur autorisation de l'administrateur, limité dans le temps et tracé.

B. Sauvegardes

Fréquence : sauvegarde automatique au moins quotidienne de la base de données et des fichiers de chaque Espace.
Lieu : copies chiffrées conservées hors du serveur principal, dans l'Union européenne.
Conservation : les copies quotidiennes sont conservées trente jours au plus, puis effacées automatiquement.
Restauration : en cas d'incident imputable au Service, le Prestataire restaure l'Espace depuis la dernière sauvegarde disponible. À la demande du Client (suppression par erreur, par exemple), une restauration ponctuelle peut être réalisée dans la limite de la durée de conservation ; elle est gratuite une fois par an, puis sur devis.
Après la fin du contrat : les Données du Client supprimées des serveurs disparaissent des sauvegardes au plus tard trente jours plus tard, à l'expiration de leur durée de conservation.

C. Réversibilité et changement de fournisseur

Export permanent : à tout moment, sans frais, export complet de l'Espace (fichiers d'origine, informations associées en CSV et JSON, journal des actions).
Demande de changement : le Client notifie par écrit sa demande de changer de fournisseur ou de rapatrier ses données, avec un préavis de deux mois au plus.
Période de transition : pendant trente jours à compter de la fin du préavis, le Service reste pleinement accessible ; le Prestataire fournit une assistance raisonnable, communique les formats d'export et les informations utiles à la reprise des données par le nouveau fournisseur, et maintient la sécurité et la continuité du Service. Si cette durée est techniquement insuffisante, le Prestataire en informe le Client et la prolonge dans la limite prévue par le règlement sur les données.
Période de récupération : au moins trente jours en lecture seule après la fin de la transition, pour terminer l'export.
Effacement : à l'issue de la récupération, les Données du Client sont effacées selon l'article 10 et le paragraphe B ci-dessus ; une attestation est remise sur demande.
Frais : aucun frais de changement de fournisseur n'est facturé ; seule une assistance spécifique demandée par le Client au-delà de ce qui précède peut faire l'objet d'un devis.