Préambule

Clem AI est un assistant d'intelligence artificielle conçu pour accompagner les professionnels du bâtiment dans la préparation, l'organisation et le suivi de leurs chantiers.

Dans le cadre de son utilisation, les entreprises peuvent être amenées à transmettre des données personnelles relatives à leurs clients, salariés, collaborateurs ou autres intervenants.

Le présent accord de traitement des données personnelles, appelé « DPA », définit les engagements de Clem AI lorsqu'il traite ces données pour le compte de ses utilisateurs professionnels.

Il complète les Conditions générales d'utilisation de Clem AI et s'applique conformément au Règlement général sur la protection des données (RGPD).

Article 1 — Identification des parties

Le responsable du traitement :

L'entreprise ou le professionnel utilisant Clem AI dans le cadre de son activité, ci-après désigné « le Client ».

Ses informations sont celles renseignées dans son compte professionnel ou communiquées à Clem AI.

Le sous-traitant :

• Société : « À compléter : dénomination sociale »
• Forme juridique : « À compléter »
• Siège social : « À compléter »
• SIREN : « À compléter »
• Contact RGPD : « À compléter »

Ci-après désigné « Clem AI » ou « Clem ».

Le Client et Clem sont collectivement désignés « les Parties ».

Article 2 — Objet et champ d'application

Le présent DPA encadre les traitements de données personnelles effectués par Clem pour le compte du Client dans le cadre de l'utilisation de la plateforme https://clem-ai.fr/.

Il concerne notamment les données intégrées dans les dossiers de chantier, les conversations, les photographies, les documents et les informations relatives aux intervenants.

Il ne concerne pas les traitements pour lesquels Clem agit lui-même comme responsable du traitement, notamment la création et la gestion de ses propres comptes utilisateurs, la sécurité générale de la plateforme ou sa relation commerciale avec les utilisateurs.

Ces traitements sont décrits dans la Politique de confidentialité.

Les caractéristiques des traitements réalisés pour le compte du Client figurent en Annexe 1.

Article 3 — Rôles et responsabilités

Le Client agit en qualité de responsable du traitement.

À ce titre, il détermine les finalités de l'utilisation des données, veille à disposer d'une base légale appropriée et informe les personnes concernées lorsque cela est nécessaire.

Il demeure notamment responsable des données qu'il choisit d'intégrer dans Clem et des autorisations qu'il accorde aux collaborateurs de son entreprise.

Clem agit en qualité de sous-traitant.

Clem s'engage à traiter les données personnelles du Client exclusivement dans le cadre des services convenus et conformément à ses instructions documentées, sous réserve des obligations légales applicables.

Le Client conserve la maîtrise des finalités poursuivies et des décisions prises à partir des informations traitées.

Article 4 — Instructions du Client

Clem traite les données personnelles uniquement sur instruction documentée du Client.

Ces instructions comprennent notamment :

• Le présent accord et les Conditions générales d'utilisation.
• Les paramètres et fonctionnalités activés par le Client.
• Les données et documents volontairement transmis.
• Les demandes effectuées dans les conversations avec l'assistant.
• Les demandes d'exportation, de modification ou de suppression des données.
• Les instructions complémentaires convenues par écrit.

Clem n'utilise pas les données personnelles du Client à des fins étrangères à la fourniture du service, sauf instruction documentée appropriée ou obligation légale.

Si Clem estime qu'une instruction constitue une violation du RGPD ou d'une autre disposition applicable, il en informe le Client dans les meilleurs délais.

Lorsque la législation impose à Clem un traitement particulier, Clem en informe préalablement le Client, sauf interdiction légale.

Article 5 — Confidentialité

Clem s'engage à préserver la confidentialité des données personnelles traitées pour le compte du Client.

Les personnes autorisées à accéder à ces données sont soumises à une obligation de confidentialité légale ou contractuelle et ne peuvent y accéder que dans la mesure nécessaire à leurs fonctions.

Clem veille notamment à limiter les accès aux besoins de fonctionnement, de maintenance, de support et de sécurité du service.

Les informations relatives aux chantiers d'une entreprise ne doivent pas être rendues accessibles à d'autres entreprises utilisatrices, sauf action de partage expressément autorisée.

Les collaborateurs du Client auxquels celui-ci donne accès aux données restent placés sous sa responsabilité.

Article 6 — Utilisation de l'intelligence artificielle

Pour fournir ses fonctionnalités, Clem utilise notamment des technologies d'intelligence artificielle proposées par OpenAI.

Certaines données transmises par le Client peuvent être communiquées à ces services afin d'analyser les demandes, photographies et documents, et de produire des réponses adaptées.

Cette transmission est limitée aux informations nécessaires au fonctionnement des fonctionnalités utilisées.

Clem s'engage à ne pas réutiliser les données personnelles confiées par le Client pour entraîner ses propres modèles d'intelligence artificielle ou des modèles tiers à des fins indépendantes de la fourniture du service, sauf instruction ou accord distinct juridiquement approprié.

Les paramètres de partage et de conservation des données auprès des fournisseurs d'IA doivent être configurés conformément à cet engagement et aux conditions contractuelles applicables.

Configuration OpenAI effectivement utilisée : « À compléter : services API, options de stockage et de rétention, paramètres de partage des données ».

L'utilisation de l'intelligence artificielle n'autorise pas Clem à divulguer les données d'un Client à un autre utilisateur.

Article 7 — Sécurité des données

Clem s'engage à mettre en œuvre des mesures techniques et organisationnelles appropriées au niveau de risque des traitements, conformément à l'article 32 du RGPD.

Ces mesures visent notamment à assurer la confidentialité, l'intégrité, la disponibilité et la résilience des systèmes de traitement.

Elles portent en particulier sur :

• La sécurité des connexions et de l'authentification.
• La gestion des droits d'accès.
• La protection des données en transit et au repos.
• La séparation des données des différentes entreprises.
• La sauvegarde et la restauration des informations.
• La surveillance des incidents et des accès non autorisés.
• La maintenance et les mises à jour de sécurité.
• La protection des infrastructures d'hébergement.

Les mesures effectivement appliquées sont précisées en Annexe 2.

Clem veille à réévaluer ces mesures lorsque l'évolution du service ou des risques le nécessite.

Article 8 — Sous-traitants ultérieurs

Le Client autorise de manière générale Clem à recourir aux sous-traitants ultérieurs nécessaires à la fourniture du service, dans les conditions du présent article.

Ces prestataires peuvent notamment intervenir pour l'hébergement, le stockage, l'authentification, la sécurité et le traitement des demandes par intelligence artificielle.

La liste des sous-traitants ultérieurs est présentée en Annexe 3 ou sur une page dédiée accessible depuis celle-ci.

Clem s'engage à :

• Sélectionner des prestataires présentant des garanties suffisantes en matière de protection des données.
• Encadrer leurs traitements par des engagements contractuels conformes à l'article 28 du RGPD.
• Leur imposer des obligations de protection des données équivalentes à celles du présent accord pour les prestations concernées.
• Informer préalablement le Client de tout ajout ou remplacement de sous-traitant ultérieur.
• Permettre au Client de présenter une objection motivée tenant à la protection des données.

Délai de préavis des modifications : « À compléter : délai contractuel, par exemple 15 jours ».

En cas d'objection motivée, les Parties recherchent une solution raisonnable. Si aucune solution compatible avec les obligations de protection des données n'est possible, le Client peut mettre fin au service concerné.

Clem demeure responsable envers le Client du respect par ses sous-traitants ultérieurs des obligations qui leur sont imposées, dans les conditions prévues par le RGPD.

Article 9 — Localisation et transferts internationaux

Clem informe le Client des principaux lieux de traitement et de stockage des données personnelles.

Les informations correspondantes figurent en Annexe 3.

Lorsque des données personnelles font l'objet d'un transfert en dehors de l'Espace économique européen, Clem veille à ce que ce transfert soit effectué sur instruction documentée du Client et dans le respect du chapitre V du RGPD.

Les garanties peuvent notamment comprendre une décision d'adéquation, ou des clauses contractuelles types de transfert adoptées par la Commission européenne, accompagnées des mesures complémentaires nécessaires.

Localisation et mécanismes de transfert effectivement applicables : « À compléter après vérification technique et contractuelle ».

Le présent DPA ne constitue pas, à lui seul, un mécanisme autorisant les transferts internationaux de données personnelles.

Article 10 — Assistance à l'exercice des droits

Compte tenu de la nature des traitements, Clem apporte au Client une assistance raisonnable, par des mesures techniques et organisationnelles appropriées, afin de lui permettre de répondre aux demandes des personnes concernées.

Cette assistance peut notamment porter sur :

• L'accès aux données personnelles.
• Leur rectification.
• Leur suppression.
• Leur limitation.
• Leur portabilité, lorsque ce droit s'applique.
• Les demandes d'opposition.

Lorsqu'une demande relative aux données d'un Client est adressée directement à Clem, celui-ci la transmet au Client dans les meilleurs délais, sauf obligation légale contraire.

Clem ne répond pas à la place du Client sans autorisation appropriée, sauf lorsqu'il est lui-même responsable du traitement concerné ou que la loi l'exige.

Article 11 — Violations de données personnelles

En cas de violation de données personnelles affectant les informations traitées pour le compte du Client, Clem informe ce dernier sans délai injustifié après en avoir pris connaissance.

La notification est transmise à :

Adresse de contact du Client : celle indiquée dans son compte professionnel ou toute autre adresse désignée à cet effet.

Délai opérationnel de notification visé par Clem : « À compléter ».

Dans la mesure où elles sont disponibles, Clem communique les informations pertinentes concernant :

• La nature de l'incident.
• Les catégories de données et de personnes concernées.
• Les conséquences probables.
• Les mesures déjà prises ou envisagées.
• Les coordonnées du contact chargé du suivi.

Lorsque toutes les informations ne sont pas immédiatement disponibles, Clem peut les transmettre progressivement.

Clem coopère avec le Client pour permettre l'évaluation et le traitement de l'incident.

Le Client demeure responsable de déterminer, lorsque la loi lui en impose l'obligation, s'il convient de notifier la violation à l'autorité de contrôle ou aux personnes concernées.

Article 12 — Assistance et conformité RGPD

Clem apporte au Client, compte tenu de la nature des traitements et des informations dont il dispose, une assistance raisonnable pour lui permettre de respecter ses obligations relatives :

• À la sécurité des traitements.
• À la gestion des violations de données personnelles.
• Aux analyses d'impact sur la protection des données, lorsqu'elles sont nécessaires.
• Aux consultations préalables d'une autorité de contrôle, lorsque la réglementation les exige.

Clem met également à disposition du Client les informations nécessaires pour démontrer le respect de ses obligations de sous-traitant.

Article 13 — Vérification et audits

Clem met à disposition du Client les informations nécessaires pour démontrer le respect des obligations prévues à l'article 28 du RGPD.

Le Client peut procéder, directement ou par l'intermédiaire d'un auditeur mandaté, à des vérifications proportionnées portant sur les traitements concernés.

Ces vérifications peuvent notamment s'appuyer sur des documents de sécurité, des rapports d'audit existants ou d'autres justificatifs pertinents.

Lorsque des vérifications complémentaires sont nécessaires, les Parties en définissent les modalités pratiques en tenant compte de la confidentialité, de la sécurité des autres clients et de la continuité du service, sans priver le Client des droits que lui reconnaît la réglementation.

Clem contribue aux audits et inspections dans les conditions prévues par le RGPD.

Article 14 — Conservation, restitution et suppression

Les données personnelles traitées pour le compte du Client sont conservées pendant la durée nécessaire à la fourniture du service, conformément aux instructions documentées du Client et aux durées applicables.

À la fin de la prestation, Clem supprime ou restitue, au choix du Client, les données personnelles traitées pour son compte, puis supprime les copies existantes, sauf lorsqu'une obligation légale impose leur conservation.

• Modalités d'exportation : « À compléter ».
• Délai de suppression des données actives : « À compléter ».
• Délai de suppression des copies de sauvegarde : « À compléter ».
• Éventuelles obligations de conservation supplémentaires : « À compléter ».

Lorsqu'une conservation légale est nécessaire, les données concernées restent protégées et ne sont pas utilisées à d'autres fins incompatibles.

Le Client est invité à effectuer les exportations nécessaires avant la fermeture définitive de son compte.

Article 15 — Durée et entrée en vigueur

Le présent DPA prend effet dès son acceptation par le Client professionnel.

Il demeure applicable pendant toute la durée au cours de laquelle Clem traite des données personnelles pour le compte du Client.

Les obligations relatives à la confidentialité, à la suppression des données et à la coopération continuent de s'appliquer après la fin du service dans la mesure nécessaire à leur exécution.

Article 16 — Articulation avec les autres documents

Le présent accord complète les Conditions générales d'utilisation et la Politique de confidentialité de Clem AI.

En cas de contradiction concernant les obligations de protection des données personnelles traitées pour le compte du Client, les dispositions du présent DPA prévalent, sans préjudice des règles impératives applicables.

Les traitements pour lesquels Clem agit comme responsable du traitement restent régis par sa Politique de confidentialité.

Article 17 — Modifications

Clem peut faire évoluer le présent DPA pour tenir compte des évolutions du service, des prestataires ou de la réglementation.

Les modifications substantielles sont communiquées aux Clients professionnels dans un délai raisonnable, avec indication de leur date d'entrée en vigueur.

Toute modification requérant une nouvelle autorisation ou un nouvel accord au regard de la réglementation est soumise aux formalités appropriées.

Aucune modification ne peut réduire les garanties minimales imposées par le RGPD.

Article 18 — Droit applicable

Le présent DPA est soumis au droit français et aux dispositions directement applicables du droit de l'Union européenne en matière de protection des données.

Les Parties recherchent prioritairement une résolution amiable des éventuelles difficultés relatives à son application, sans préjudice des droits reconnus par la réglementation.

ANNEXE 1 — Description des traitements

1. Objet

Fourniture d'un assistant IA spécialisé dans le bâtiment, permettant de conserver et de traiter les informations relatives aux chantiers.

2. Durée

Pendant l'utilisation du service par le Client et, après sa cessation, pendant les délais de restitution, de suppression ou de conservation légalement applicables.

3. Nature des opérations

Collecte, réception, enregistrement, hébergement, organisation, consultation, analyse automatisée, transmission aux prestataires autorisés, génération de contenus, exportation, mise à jour et suppression.

4. Finalités

• Préparation et suivi des chantiers.
• Analyse des photos et documents.
• Réponses aux demandes de l'utilisateur.
• Préparation de comptes rendus et documents d'intervention.
• Gestion des tâches et des informations du chantier.
• Conservation du contexte nécessaire aux conversations.
• Partage des informations avec les intervenants autorisés, lorsque la fonctionnalité est disponible.

5. Catégories de personnes concernées

• Clients et prospects des entreprises utilisatrices.
• Salariés et collaborateurs.
• Artisans, fournisseurs et sous-traitants intervenant sur les chantiers.
• Propriétaires, occupants et autres personnes mentionnées dans les dossiers.
• Toute personne dont des informations sont intégrées au service par le Client.

6. Catégories de données

• Identité, nom et prénom.
• Coordonnées professionnelles ou personnelles.
• Adresse et localisation d'un chantier.
• Photographies, vidéos et enregistrements pouvant contenir des données personnelles.
• Conversations et commentaires.
• Documents techniques et administratifs.
• Informations relatives aux interventions, aux rendez-vous et aux tâches.
• Autres données volontairement communiquées par le Client.

Clem n'est pas conçu pour le traitement systématique de catégories particulières de données au sens de l'article 9 du RGPD, notamment les données de santé ou les données biométriques utilisées à des fins d'identification.

Si de telles données sont susceptibles d'être nécessaires à un traitement, le Client doit s'assurer de disposer de la base juridique et des garanties appropriées et, si nécessaire, convenir de conditions spécifiques avec Clem.

7. Instructions et responsabilités

Le Client détermine les finalités poursuivies et les données intégrées.

Clem assure le traitement technique des informations conformément au présent accord et aux instructions documentées du Client.

ANNEXE 2 — Mesures techniques et organisationnelles de sécurité

Les mesures ci-dessous doivent être renseignées selon l'architecture réellement déployée.

Responsable interne de la sécurité : « À compléter ».

Les mesures déclarées dans cette annexe doivent être effectivement mises en œuvre et maintenues pendant la durée du traitement.

ANNEXE 3 — Sous-traitants ultérieurs

Prestataire d'intelligence artificielle

• Prestataire : OpenAI — « À compléter : entité juridique contractante ».
• Service utilisé : API OpenAI — « À compléter : endpoints et fonctionnalités ».
• Finalité : traitement des demandes, analyses multimodales et génération de réponses.
• Localisation du traitement : « À compléter ».
• Garantie de transfert éventuelle : « À compléter ».
• Politique de conservation applicable : « À compléter ».

Hébergement de l'application

• Prestataire : « À compléter ».
• Finalité : hébergement et fonctionnement de la plateforme.
• Localisation : « À compléter ».
• Garanties contractuelles : « À compléter ».

Base de données et stockage documentaire

• Prestataire : « À compléter ».
• Finalité : stockage des chantiers, conversations, photographies et documents.
• Localisation : « À compléter ».
• Garanties contractuelles : « À compléter ».

Authentification et services techniques

• Prestataire : « À compléter ».
• Finalité : gestion des accès et fonctionnalités techniques.
• Localisation : « À compléter ».
• Garanties contractuelles : « À compléter ».

Autres sous-traitants

« À compléter : prestataires supplémentaires accédant aux données personnelles traitées pour le compte des Clients ».

Cette liste sera maintenue à jour et communiquée conformément à l'article 8.

ANNEXE 4 — Acceptation électronique

Le présent DPA peut être accepté par voie électronique lors de l'inscription ou dans le cadre de l'utilisation professionnelle de Clem.

L'acceptation est effectuée par une personne déclarant disposer du pouvoir de représenter ou d'engager l'entreprise utilisatrice.

L'acceptation électronique doit permettre de conserver la date, l'identité ou l'identifiant du compte concerné et la version du document accepté.

Modalité d'acceptation retenue : « À compléter ».

Date d'entrée en vigueur : date d'acceptation par le Client.