Accord de traitement des données (DPA), version 1.0

Article 1. Objet et durée

Le traitement est décrit à l'annexe 1. L'accord s'applique tant qu'Ojja traite des données pour le compte du Client, y compris pendant les durées de conservation de l'article 10.

Article 2. Rôles

Le Client est responsable du traitement des données lues dans son Tenant. Ojja agit en qualité de sous-traitant. Les traitements qu'Ojja réalise pour son propre compte (gestion des comptes Utilisateur, relation commerciale) ne relèvent pas du présent accord.

Article 3. Instructions

3.1. Ojja ne traite les données que sur instruction documentée du Client. Les conditions du relevé, le présent accord, le Manifeste en vigueur et les choix faits par le Client dans l'Espace constituent ces instructions.

3.2. Ojja informe immédiatement le Client si une instruction lui paraît contraire au RGPD ou à une autre règle de protection des données.

Article 4. Confidentialité

Ojja veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité. L'accès est limité aux personnes qui en ont besoin pour le service ; les personnes chargées de la relation commerciale n'y ont pas accès.

Article 5. Sécurité

Ojja met en œuvre les mesures techniques et organisationnelles de l'annexe 2, au titre de l'article 32 du RGPD. Elle peut les faire évoluer à condition de ne pas réduire le niveau de sécurité.

Article 6. Sous-traitants ultérieurs

6.1. Le Client autorise Ojja à recourir aux sous-traitants ultérieurs de l'annexe 3, dont la liste à jour est aussi publiée sur ojja.ai/confiance.

6.2. Ojja informe le Client de tout ajout ou remplacement au moins trente jours à l'avance. Le Client peut s'y opposer pour un motif légitime lié à la protection des données ; à défaut d'accord, il peut mettre fin au service sans frais.

6.3. Ojja impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes à celles du présent accord, et reste responsable de leur exécution envers le Client.

Article 7. Transferts hors de l'Union européenne

Les données sont traitées et hébergées dans l'Union européenne. Ojja ne les transfère pas hors de l'Espace économique européen sans en informer préalablement le Client et sans garanties appropriées au sens des articles 44 et suivants du RGPD.

Article 8. Droits des personnes

Ojja aide le Client, par des mesures appropriées, à répondre aux demandes d'exercice des droits des personnes concernées. Une demande reçue directement par Ojja est transmise au Client sous cinq jours ouvrés, sans y répondre elle-même.

Article 9. Violation de données

9.1. Ojja notifie au Client toute violation de données personnelles dans les meilleurs délais et au plus tard 48 heures après en avoir eu connaissance.

9.2. La notification comprend, dans la mesure du possible, les informations de l'article 33, paragraphe 3, du RGPD : nature de la violation, catégories et nombre approximatif de personnes et d'enregistrements concernés, conséquences probables, mesures prises ou proposées. Ojja complète ces informations au fur et à mesure.

Article 10. Fin du traitement et conservation

10.1. Relevé non suivi d'un abonnement : aucune lecture après la remise ; extraction brute supprimée trente jours après la lecture ; relevé supprimé douze mois après sa remise.

10.2. Ojja Watch : données conservées pendant l'abonnement, puis douze mois, sauf demande contraire du Client ; extraction brute supprimée trente jours après chaque lecture.

10.3. À tout moment, sur demande du Client, Ojja supprime les données ou les lui restitue dans un format lisible, puis supprime les copies existantes, sauf obligation légale de conservation.

Article 11. Assistance

Ojja aide le Client à respecter ses obligations des articles 32 à 36 du RGPD, compte tenu de la nature du traitement et des informations dont elle dispose, notamment pour une analyse d'impact relative à la protection des données ou une consultation préalable de l'autorité de contrôle.

Article 12. Information et audit

12.1. Ojja met à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord : description des mesures, liste des sous-traitants, journal des accès, historique des versions du Manifeste.

12.2. Le Client peut faire réaliser un audit une fois par an, avec un préavis de trente jours, à ses frais, par un auditeur tenu au secret qui n'est pas un concurrent d'Ojja. L'audit porte d'abord sur pièces ; une vérification sur place n'a lieu que si les pièces ne suffisent pas.

Article 13. Responsabilité

Chaque partie répond des dommages qu'elle cause dans les conditions de l'article 82 du RGPD. Entre les parties, les limites de responsabilité prévues par les conditions du service concerné s'appliquent au présent accord, sauf faute lourde ou dolosive.

Article 14. Ordre de priorité

En cas de contradiction sur la protection des données, le présent accord prévaut sur les conditions du relevé et sur celles d'Ojja Watch.

Annexe 1. Description du traitement

Annexe 2. Mesures de sécurité

• Hébergement et traitement en France, chez Scaleway, y compris les modèles d'IA utilisés pour l'analyse.
• Lecture seule, limitée aux autorisations du Manifeste publié et versé à chaque version.
• Isolation par Espace, avec un secret propre à chaque Espace, détruit à la fin de l'abonnement.
• Secrets conservés dans un coffre, jamais dans le code ni sur un poste de travail.
• Chiffrement en transit (TLS) entre le navigateur, l'Espace et les interfaces de Microsoft et de Brevo, ainsi que vers la base de données.
• Journal du registre et des appels conservé pendant l'abonnement et douze mois après ; journaux techniques conservés trente jours.
• Droits d'accès du personnel d'Ojja au strict nécessaire, revus chaque trimestre et à chaque arrivée ou départ ; séparation entre les données des clients et le catalogue public.
• Suppression de l'extraction brute trente jours après la lecture.

Annexe 3. Sous-traitants ultérieurs