Accord de Traitement des Données (ATD) — AI4PLAN

Applicable à compter du 27 août 2026

1. Parties

Responsable du traitement

Le Client, tel que défini dans les Conditions Générales de Vente (CGV).

Sous-traitant

AI4PLAN SAS – SIRET : 847 604 873 00020 8B rue Michelet, 92150 Suresnes rgpd@ai4plan.com

2. Objet et durée

Le présent ATD encadre les traitements réalisés par AI4PLAN pour le compte du Client, conformément à l’article 28 du RGPD et dans les limites définies par les CGV, qui prévalent en cas de contradiction — sans que cette prévalence puisse faire échec aux obligations impératives résultant du RGPD.

Durée : identique au contrat principal.

3. Finalités du traitement

AI4PLAN traite les données uniquement pour :

• l’exécution du service SaaS AI4PLAN ;
• le traitement technique des fichiers importés ;
• la génération des Résultats ;
• le support, la maintenance et la résolution d’incidents ;
• la supervision technique, la sécurité et la prévention d’abus ;
• la journalisation technique.

Toute finalité additionnelle nécessite une instruction conforme aux CGV.

Anonymisation. AI4PLAN peut anonymiser les données traitées pour le compte du Client. Les données ainsi anonymisées, qui ne permettent plus d’identifier une personne physique, cessent d’être des données personnelles et sortent du champ du présent ATD ; leur utilisation est régie par l’article 10.5 des CGV, notamment aux fins d’amélioration du Logiciel et des algorithmes d’AI4PLAN.

4. Catégories de données

• données d’identification professionnelle ;
• logs techniques et journaux d’accès ;
• métadonnées ;
• données contenues dans les fichiers importés.

Catégories particulières de données. Le Service n’est pas conçu pour le traitement des catégories particulières de données mentionnées à l’article 9 du RGPD, ni des données relatives aux condamnations pénales et aux infractions mentionnées à l’article 10. AI4PLAN n’a ni la capacité ni les moyens de les identifier au sein des fichiers importés.

Le Client qui introduit de telles données dans le Service en demeure seul responsable : il lui appartient de disposer d’une base légale valable, d’avoir conduit, le cas échéant, l’analyse d’impact requise, et d’en informer préalablement AI4PLAN afin que des mesures de protection adaptées puissent être envisagées. Les conséquences d’une introduction non signalée relèvent de l’article 14.

5. Personnes concernées

• employés du Client ;
• partenaires ou intervenants du Client ;
• toute personne apparaissant dans les fichiers importés.

6. Obligations du Sous-traitant (AI4PLAN)

AI4PLAN s’engage à :

1. traiter les données selon les instructions écrites et conformes aux CGV ;
2. refuser toute instruction illicite, impossible ou non couverte contractuellement ;
3. limiter l’accès aux seules personnes autorisées, et veiller à ce que celles-ci soient tenues à une obligation de confidentialité, contractuelle ou légale, portant sur les données traitées ;
4. mettre en œuvre les mesures de sécurité définies au présent ATD ;
5. documenter la conformité du traitement.

Toute demande dépassant le périmètre contractuel peut nécessiter un devis ou un avenant, conformément aux CGV.

7. Sous-traitants ultérieurs

AI4PLAN peut recourir à des sous-traitants appartenant aux catégories suivantes :

• hébergement cloud ;
• supervision technique ;
• stockage et sauvegarde ;
• emailing transactionnel ;
• support et ticketing ;
• sécurité informatique ;
• agent conversationnel mis à disposition dans le Service.

Le Client donne à AI4PLAN une autorisation générale de recourir à des sous-traitants ultérieurs relevant de ces catégories. La liste nominative en vigueur est communiquée sur demande.

AI4PLAN impose contractuellement à chacun de ses sous-traitants ultérieurs des obligations de protection des données équivalentes à celles du présent ATD, et demeure pleinement responsable devant le Client de l’exécution de leurs obligations.

AI4PLAN informe le Client de tout ajout ou remplacement de sous-traitant ultérieur, au moins trente (30) jours avant sa mise en œuvre. Le Client peut s’y opposer par écrit et de façon motivée dans ce délai ; à défaut de solution alternative raisonnable, chacune des parties peut alors résilier l’Abonnement dans les conditions de l’article 6 des CGV. Le Client reconnaît qu’une opposition peut limiter tout ou partie des fonctionnalités du Service.

8. Sécurité des traitements

AI4PLAN applique :

• chiffrement des communications ;
• cloisonnement des environnements ;
• gestion des accès par privilèges minimaux ;
• sauvegardes ;
• surveillance et alertes ;
• durcissement des environnements.

Le Client demeure responsable de :

• la sécurité de ses postes et accès ;
• la gestion de ses comptes utilisateurs ;
• ses propres configurations internes.

Ces obligations sont complémentaires des engagements des CGV et CGU.

9. Notification des violations

AI4PLAN notifie au Client toute violation de données à caractère personnel le concernant, sans délai injustifié après en avoir pris connaissance, conformément à l’article 11.8 des CGV.

La notification décrit la nature de la violation, les catégories et le volume approximatif de données et de personnes concernées, les conséquences probables, ainsi que les mesures prises ou proposées pour y remédier. Lorsque ces informations ne peuvent être fournies d’emblée, elles sont communiquées de manière échelonnée à mesure de leur disponibilité.

AI4PLAN apporte au Client l’assistance raisonnable nécessaire à l’accomplissement de ses propres obligations au titre des articles 33 et 34 du RGPD.

10. Assistance RGPD

AI4PLAN fournit une assistance raisonnable concernant :

• les droits des personnes ;
• les analyses d’impact.

Toute assistance supplémentaire ou exceptionnelle peut être facturée dans les conditions prévues par les CGV.

AI4PLAN ne garantit pas la conformité RGPD du Client.

11. Audits

AI4PLAN met à la disposition du Client les informations nécessaires pour démontrer le respect des obligations prévues à l’article 28 du RGPD.

Le Client peut faire réaliser un audit, par lui-même ou par un auditeur indépendant qu’il mandate et qui n’est pas un concurrent d’AI4PLAN, dans les conditions suivantes :

• la demande est adressée par écrit avec un préavis d’au moins trente (30) jours ;
• l’audit se déroule pendant les heures ouvrées, sans perturber l’exploitation du Service, et au plus une fois par an, sauf incident de sécurité avéré ou injonction d’une autorité de contrôle ;
• l’auditeur est tenu à une obligation de confidentialité ;
• AI4PLAN peut satisfaire à la demande en communiquant les rapports d’audit, certifications ou attestations existants, lorsqu’ils couvrent le périmètre concerné ;
• les audits intrusifs, notamment les tests d’intrusion et les accès directs aux systèmes, requièrent l’accord écrit préalable d’AI4PLAN et peuvent être refusés pour des motifs de sécurité ou de confidentialité à l’égard de ses autres clients.

Les coûts de l’audit sont à la charge du Client. Le temps consacré par AI4PLAN au-delà d’une assistance raisonnable peut être facturé dans les conditions de l’article 10.

12. Transferts hors UE

Les données du Client — fichiers importés, Résultats, comptes et journaux applicatifs — sont hébergées dans une région de l’Union européenne du fournisseur d’infrastructure d’AI4PLAN.

Certaines ressources techniques nécessaires à la distribution du Service, notamment celles attachées au réseau de diffusion de contenu, sont administrées depuis une région située aux États-Unis, et ce réseau sert les contenus depuis des points de présence répartis mondialement. Les journaux d’accès qui en résultent peuvent comporter des données techniques telles que des adresses IP.

Ces traitements et transferts sont encadrés par l’accord de traitement des données conclu par AI4PLAN avec son fournisseur d’infrastructure, lequel intègre les clauses contractuelles types approuvées par la Commission européenne, complétées des mesures techniques supplémentaires appropriées.

L’agent conversationnel mis à disposition dans le Service est fourni par un prestataire établi au Canada. Les échanges qui lui sont adressés sont traités par ce prestataire en qualité de sous-traitant ultérieur, dans le cadre d’un accord de traitement des données incorporant les clauses contractuelles types approuvées par la Commission européenne.

Le Client reconnaît que ces transferts sont nécessaires à l’exécution du Service.

13. Fin de contrat

À la cessation du Contrat, AI4PLAN procède, au choix du Client, à la restitution ou à la suppression des données traitées pour son compte, dans les délais et selon les modalités prévus à l’article 6.4 des CGV.

À défaut de choix exprimé par le Client dans le délai qui y est fixé, les données sont supprimées.

AI4PLAN peut conserver des journaux techniques pseudonymisés à des fins de sécurité et de preuve, ainsi que les données dont la conservation lui est imposée par ses obligations légales, comptables et fiscales.

14. Obligations du Client

Le Client garantit :

• la licéité des données importées et l’existence d’une base légale pour leur traitement ;
• le respect des obligations lui incombant en cas d’introduction de catégories particulières de données, dans les conditions de l’article 4 ;
• la sécurité de son propre environnement ;
• l’absence d’usage illicite ou non conforme au service.

Le Client indemnisera AI4PLAN pour tout dommage résultant :

• de données illégales ou illicites ;
• de l’introduction non signalée de catégories particulières de données ;
• d’une violation imputable au Client ;
• d’un usage non conforme.

Ces obligations complètent celles prévues dans les CGV et CGU.

15. Responsabilité

Entre les parties, la responsabilité d’AI4PLAN au titre du présent ATD est alignée sur le régime et les plafonds de l’article 9 des CGV, sans limitation spécifique complémentaire.

Cette stipulation est sans effet sur le droit des personnes concernées d’obtenir réparation auprès du responsable du traitement ou du sous-traitant dans les conditions de l’article 82 du RGPD, ni sur les sanctions prononcées par une autorité de contrôle.

16. Hiérarchie contractuelle

En cas de contradiction entre les documents contractuels, l’ordre de prévalence est celui défini à l’article 1 des CGV : les CGV, puis les conditions particulières convenues par écrit, puis le présent ATD, puis les CGU, puis le SLA.

Le présent ATD complète les CGV pour les éléments relatifs au traitement des données à caractère personnel.

17. Contact RGPD

rgpd@ai4plan.com

18. Conclusion de l’Accord

Le présent ATD est établi par écrit sous forme électronique, conformément à l’article 28.9 du RGPD. Il constitue une composante du Contrat et est accepté par le Client en même temps que les CGV, dans les conditions et selon les modalités de preuve prévues à leur article 1.

Aucune signature manuscrite n’est requise. AI4PLAN peut toutefois, à la demande du Client, établir un exemplaire signé du présent ATD.

Les Parties reconnaissent que cet ATD complète les CGV et s’applique dans les limites qu’elles définissent.

AI4PLAN SAS – SIRET : 847 604 873 00020 – TVA intracom : FR80 847 604 873 – Siège social : ESC 7 BOITE 16, 8B rue Michelet, 92150 Suresnes – RCS Nanterre 847 604 873