Accord de traitement des données

Le présent accord est incorporé aux CGU/CGV. Lorsque le client utilise TenderAI pour traiter des données personnelles présentes dans ses dossiers, le client agit en qualité de responsable de traitement et TenderAI intervient en qualité de sous-traitant, au sens de l’article 28 du RGPD, pour fournir le service.

TenderAI traite les données uniquement sur les instructions documentées du client résultant de l’utilisation du service et des présentes conditions. Les traitements concernent l’hébergement, l’organisation des dossiers, l’analyse IA demandée par l’utilisateur, la collaboration et le support. Les personnes concernées peuvent inclure les salariés, contacts, représentants, sous-traitants ou clients figurant dans les documents. Les catégories de données dépendent du contenu transmis par le client ; le client doit minimiser les données et ne pas transmettre de catégories sensibles sauf nécessité, base légale et mesures adaptées.

TenderAI limite l’accès aux données aux personnes et systèmes nécessaires au service, impose la confidentialité aux personnes autorisées et applique des mesures techniques et organisationnelles proportionnées, notamment l’authentification, la séparation des accès et des espaces, le stockage privé des documents et la protection des clés serveur. Le client reste responsable de la gestion de ses utilisateurs, rôles et invitations.

Le client autorise de manière générale le recours aux prestataires nécessaires au service : Supabase, Vercel, Stripe, Resend et OpenAI, dans la limite de leurs fonctions. TenderAI maintient cette liste dans sa politique de confidentialité et informe le client des changements significatifs par mise à jour de la documentation ou communication appropriée ; le client peut soulever une objection motivée en cas de risque sérieux pour les données.

TenderAI aide raisonnablement le client à répondre aux demandes d’exercice de droits et à documenter les mesures de sécurité, dans la mesure où le service le permet. En cas de violation de données personnelles affectant les données traitées pour le compte du client, TenderAI informe le client sans délai injustifié après en avoir eu connaissance et lui communique les informations disponibles nécessaires à son analyse. À la suppression du compte ou à la fin du service, les contenus sont supprimés des systèmes actifs, sous réserve des sauvegardes techniques et obligations légales.

Sur demande écrite raisonnable et sous réserve de confidentialité, TenderAI met à disposition les informations nécessaires pour démontrer le respect de ses obligations de sous-traitant. Les transferts internationaux éventuels des prestataires sont encadrés par les mécanismes prévus par le RGPD et les documents contractuels des prestataires concernés.

CNIL — travailler avec un sous-traitant