Accord de sous-traitance des données à caractère personnel (DPA)

Version 1.1 — 2026-10-02 (1.0 du 2026-09-17 ; 1.1 : Annexe III précisée pour Mistral AI — absence d'entraînement, conservation limitée, activation par l'organisation cliente)

Conclu en application de l'article 28(3) et (4) du RGPD (Règlement (UE) 2016/679).

Cet accord adopte les clauses contractuelles types arrêtées par la Commission européenne dans sa décision d'exécution (UE) 2021/915 du 4 juin 2021 relative aux clauses contractuelles types entre responsables du traitement et sous-traitants. Conformément à l'article 28(6) du RGPD, leur adoption sans modification de leur substance vaut présomption de conformité aux obligations de l'article 28(3) et (4).

Les présentes annexes constituent les appendices prévus par ces clauses types. Seules les annexes sont propres à Noryzia ; le corps des clauses est celui de la Commission, qui prévaut en cas de divergence.

Préambule

Entre :

Le Client — ci-après le « Responsable du traitement »

Raison sociale, forme juridique, siège, numéro d'immatriculation et représentant : renseignés au bon de commande ou au contrat de service auquel le présent accord est annexé.

Contact protection des données : .................................................

Et :

Mehdi Bennis, entrepreneur individuel (EI), exerçant sous le nom commercial Noryzia — ci-après le « Sous-traitant »

Adresse professionnelle : 1038 Route de Villette, 38380 Saint-Laurent-du-Pont, France

SIRET : 105 346 704 00015 — RCS Grenoble n° 105 346 704

Contact protection des données : dpo@noryzia.com

Ci-après ensemble les « Parties ».

Il est préalablement rappelé que :

1. Le Sous-traitant édite Noryzia, un assistant documentaire fondé sur l'intelligence artificielle, exploité en mode logiciel en tant que service (SaaS) et hébergé en France.
2. Dans le cadre de ce service, le Sous-traitant traite des données à caractère personnel pour le compte et sur instruction du Responsable du traitement.
3. Le Responsable du traitement demeure seul responsable de la licéité des contenus qu'il dépose ou fait déposer dans le service, ainsi que de l'information des personnes concernées au titre des articles 13 et 14 du RGPD.
4. Les Parties entendent définir leurs obligations respectives conformément à l'article 28 du RGPD, en adoptant les clauses contractuelles types de la décision (UE) 2021/915.

Clauses adoptées. Les Parties adoptent l'intégralité des clauses figurant en annexe de la décision d'exécution (UE) 2021/915 — texte publié au Journal officiel de l'Union européenne L 199 du 7 juin 2021. En cas de contradiction entre le présent document et ces clauses, les clauses types prévalent.

Attention — Ne pas confondre avec la décision (UE) 2021/914, relative aux transferts vers les pays tiers, qui est organisée en modules et dont la numérotation des clauses diffère. La présente décision 2021/915 régit la seule relation responsable du traitement / sous-traitant au sens de l'article 28(7). La décision 2021/914 est visée séparément à l'Annexe III, comme fondement des transferts liés aux fonctionnalités optionnelles.

Option retenue pour le recours à des sous-traitants ultérieurs : autorisation générale écrite préalable. Le Sous-traitant tient à jour la liste figurant à l'Annexe III et informe le Responsable du traitement de tout ajout ou remplacement envisagé au moins trente (30) jours avant sa mise en œuvre, délai pendant lequel le Responsable du traitement peut s'y opposer.

ANNEXE I — Description du traitement

A. Liste des parties

B. Description du traitement

Catégories de personnes concernées

• Utilisateurs du service désignés par le Responsable du traitement (salariés, associés, collaborateurs, prestataires).
• Personnes mentionnées dans les documents déposés ou synchronisés par le Responsable du traitement : clients, fournisseurs, salariés, candidats, contreparties contractuelles, et toute personne citée dans ces contenus.

Catégories de données à caractère personnel

Catégories particulières de données (article 9) et données relatives aux condamnations (article 10)

Le service n'est pas conçu pour traiter à titre principal des catégories particulières de données. Le Responsable du traitement peut néanmoins en déposer par le contenu de ses documents — notamment en contexte de cabinet d'avocats, de ressources humaines ou de santé. Il lui appartient alors d'en évaluer la licéité et, le cas échéant, d'en informer le Sous-traitant afin que des mesures renforcées soient examinées conjointement.

Nature et finalité du traitement

Hébergement, indexation documentaire (segmentation, vectorisation, index lexical), recherche sémantique et lexicale, génération de réponses par modèle de langage à partir des seuls documents du Responsable du traitement, conservation de l'historique de conversation, journalisation d'audit pseudonymisée, et gestion des comptes et des accès.

Durée du traitement

Durée du contrat de service. À son terme, les données sont traitées conformément aux clauses types et au paragraphe « Sort des données en fin de contrat » de l'Annexe IV.

Durées de conservation

ANNEXE II — Mesures techniques et organisationnelles (article 32)

Mesures effectivement mises en œuvre au 2026-09-17. Les écarts connus figurent en fin d'annexe : les taire reviendrait à faire une déclaration inexacte.

Chiffrement et transport

• TLS 1.2 et 1.3 exclusivement — TLS 1.0 et 1.1 refusés par le serveur.
• HSTS avec includeSubDomains, politique de sécurité de contenu à nonce dynamique, X-Frame-Options: DENY, X-Content-Type-Options: nosniff.
• Chiffrement de la couche de stockage de l'hébergeur (Scaleway Object Storage).
• Jetons OAuth2 des connecteurs chiffrés (Fernet, clé dérivée par tenant via PBKDF2-HMAC-SHA256).

Contrôle d'accès

• Authentification à deux facteurs (TOTP, RFC 6238), obligatoire pour les comptes d'administration : un mot de passe compromis ne suffit pas à ouvrir une session.
• Authentification par jeton JWT signé RS256 (RSA 2048 bits), révocable individuellement par identifiant de jeton, liste de révocation en défaillance fermée.
• Mots de passe hachés bcrypt ; politique minimale de 10 caractères avec majuscule, chiffre et caractère spécial ; vérification de l'adresse e-mail obligatoire à l'inscription.
• Jeton de rafraîchissement en cookie HttpOnly, Secure, SameSite=strict, chemin restreint.
• Contrôle d'accès par rôle, par document et par équipe, appliqué avant la recherche.

Cloisonnement

• Isolation par organisation cliente : système de fichiers, index vectoriel, index lexical et base de données distincts. Cloisonnement vérifié par des tests automatisés exécutés à chaque livraison.

Minimisation et pseudonymisation

• Détection de 11 catégories de données personnelles (e-mail, téléphone, IBAN, NIR, carte bancaire, adresse IP, date de naissance, SIRET, identifiant fiscal, nom de personne, adresse) dans les questions, pseudonymisées avant transmission au modèle de langage, selon trois niveaux configurables.
• Précision essentielle : le contenu des documents fournis au modèle n'est pas pseudonymisé. C'est la condition même du service — répondre avec exactitude sur un contrat nominatif suppose d'en lire les noms.
• Journal d'audit pseudonymisé ; filtre de purge des données personnelles sur tous les gestionnaires de journaux.

Sécurité applicative

• Détection d'injection de consigne (29 motifs, français et anglais), d'homoglyphes Unicode et d'attaques par encodage, appliquée y compris aux contenus importés par connecteur.
• Limitation de débit en défaillance fermée.
• Analyse statique de sécurité (Bandit) et analyse des vulnérabilités connues des dépendances (pip-audit) en intégration continue ; 10 487 tests automatisés, couverture ≥ 90 %.

Journalisation et traçabilité

• Journalisation des accès, des appels au modèle et des opérations sensibles, pseudonymisée et purgée automatiquement à 90 jours.

Sauvegarde et restauration

• Sauvegarde de la base de données, du cache et des données utilisateur, avec script de restauration et test de restauration automatisé.

Souveraineté

• Hébergement, calcul, indexation, stockage et envoi d'e-mails assurés par des prestataires français (Scaleway, OVH). Aucune clé d'API vers un fournisseur non souverain n'est présente dans la configuration de production.
• Les seules exceptions possibles sont limitativement énumérées à l'Annexe III, désactivées par défaut, et verrouillables définitivement au niveau de l'organisation cliente sur simple demande.

Écarts connus au 2026-09-17

ANNEXE III — Sous-traitants ultérieurs autorisés

Actifs par défaut

Activables par l'organisation cliente ou l'utilisateur — désactivés par défaut

Verrouillage. Sur demande écrite à dpo@noryzia.com, l'ensemble des sous-traitants situés hors de l'Union européenne peut être désactivé de manière irrévocable au niveau de l'organisation cliente. Cette option est recommandée aux professions soumises au secret.

ANNEXE IV — Instructions documentées du Responsable du traitement

Conformément à l'article 28(3)(a), le Sous-traitant ne traite les données que sur instruction documentée. Constituent les instructions initiales :

1. Fourniture du service tel que décrit au contrat de service et à l'Annexe I.
2. Interdiction absolue d'usage secondaire. Les contenus du Client ne sont utilisés ni pour entraîner, affiner ou évaluer un modèle d'intelligence artificielle, ni à des fins statistiques, commerciales ou publicitaires, ni au profit d'un autre client.
3. Localisation. Traitement en France par défaut. Aucun transfert hors Union européenne hormis les cas de l'Annexe III, subordonnés à une activation explicite.
4. Assistance aux droits des personnes (articles 15 à 22), via les fonctions suivantes :

Le Sous-traitant répond à toute sollicitation du Responsable du traitement sous 15 jours ouvrés, afin de lui permettre de respecter le délai d'un mois de l'article 12(3).

5. Notification de violation. Le Sous-traitant notifie le Responsable du traitement sans délai injustifié et au plus tard 48 heures après en avoir pris connaissance, par courriel à l'adresse de contact figurant à l'Annexe I, en fournissant les éléments de l'article 33(3) dont il dispose. Ce délai de 48 heures est délibérément inférieur aux 72 heures dont dispose le Responsable du traitement pour notifier l'autorité de contrôle.

6. Sort des données en fin de contrat. Au choix du Responsable du traitement, exprimé au plus tard trente (30) jours après le terme :
7. restitution : export structuré et lisible par machine de l'ensemble des contenus ; ou
8. suppression : effacement des contenus, des index dérivés et des sauvegardes.

À défaut de choix exprimé dans ce délai, la suppression s'applique. Une attestation de suppression est délivrée sur demande.

7. Audit. Le Responsable du traitement peut demander, une fois par an et moyennant un préavis de trente (30) jours, la communication de la documentation de conformité (registre, modèle de menace, rapports d'analyse de sécurité) ou diligenter un audit sur pièces. Tout audit sur site fait l'objet d'un accord préalable sur son périmètre et ses modalités.

8. Confidentialité. Toute personne agissant sous l'autorité du Sous-traitant et ayant accès aux données est soumise à une obligation de confidentialité de nature contractuelle.

9. Instructions ultérieures. Elles sont adressées par écrit à dpo@noryzia.com. Le Sous-traitant informe immédiatement le Responsable du traitement si une instruction lui paraît constituer une violation du RGPD ou d'une autre disposition relative à la protection des données (article 28(3), dernier alinéa).

Signatures