Accord de traitement des données – baseplan.ai

Version 2026-10-24 · En vigueur à compter du 24 octobre 2026

Ceci est une traduction fournie à titre de commodité. Seul le texte anglais fait foi.

Le présent Accord de traitement des données (le « DPA ») fait partie intégrante des Conditions générales d'utilisation conclues entre le Client et Etrog, entreprise individuelle immatriculée en Israël, 139 Keren Kayemet LeIsrael St., Be'er Sheva, Israël (« Etrog »). Il s'applique lorsque Etrog traite des données à caractère personnel pour le compte du Client dans le cadre de la fourniture de baseplan.ai. Il est accepté en même temps que les Conditions générales d'utilisation et ne requiert aucune signature distincte. Un exemplaire contresigné peut être obtenu sur demande à l'adresse privacy@baseplan.ai.

1. Définitions. « RGPD » désigne le Règlement (UE) 2016/679 et, lorsqu'il s'applique, le RGPD britannique. Les termes « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « personne concernée » et « violation de données à caractère personnel » ont le sens qui leur est donné dans le RGPD. « Sous-traitant ultérieur » désigne un tiers auquel Etrog fait appel pour traiter des données à caractère personnel du Client.

2. Rôles. Le Client est le responsable du traitement des données à caractère personnel contenues dans le contenu que lui-même et ses utilisateurs téléversent ou créent dans le Service (les « Données personnelles du Client »). Etrog est son sous-traitant. Pour les données de compte, de sécurité et de facturation qu'Etrog utilise pour ses propres finalités, Etrog est responsable du traitement, comme indiqué dans sa Politique de confidentialité.

3. Instructions. Etrog ne traite les Données personnelles du Client que sur instruction documentée du Client. Ces instructions sont constituées par les Conditions générales d'utilisation, le présent DPA et l'utilisation par le Client des fonctionnalités du Service. Fait exception le traitement exigé par la loi, dont Etrog informera le Client, sauf si la loi l'interdit. Etrog informera le Client s'il estime qu'une instruction constitue une violation du droit de la protection des données.

4. Confidentialité. Toute personne autorisée par Etrog à traiter des Données personnelles du Client est tenue à une obligation de confidentialité. L'accès n'est accordé que dans la mesure nécessaire pour fournir, assister ou sécuriser le Service.

5. Sécurité. Etrog met en œuvre des mesures techniques et organisationnelles appropriées pour protéger les Données personnelles du Client. Elles sont énumérées à l'Annexe 2. Etrog peut les améliorer, mais n'en réduira pas le niveau global.

6. Sous-traitants ultérieurs. Le Client accorde à Etrog une autorisation générale de recourir à des sous-traitants ultérieurs. La liste actuelle figure sur la page Sous-traitants ultérieurs. Etrog s'engage à :

• imposer à chaque sous-traitant ultérieur, par contrat écrit, des obligations en matière de protection des données offrant une protection au moins équivalente à celle du présent DPA ;
• demeurer responsable de ses sous-traitants ultérieurs ;
• annoncer tout nouveau sous-traitant ultérieur ou tout remplacement au moins 30 jours à l'avance, sur cette page et par e-mail aux administrateurs du Client.

Le Client peut s'y opposer pour des motifs raisonnables liés à la protection des données dans ce délai. Si les parties ne parviennent pas à résoudre l'opposition, le Client peut résilier le service concerné et obtenir le remboursement des sommes payées d'avance et non utilisées au titre de celui-ci.

7. Demandes des personnes concernées. Compte tenu de la nature du traitement, Etrog aide le Client à répondre aux demandes des personnes concernées. Il le fait principalement au moyen des fonctions propres au Service, telles que la modification, la suppression et l'exportation des projets et des utilisateurs. Si Etrog reçoit directement une demande, il la transmet au Client et n'y répond pas lui-même, sauf instruction du Client en ce sens.

8. Violations de données à caractère personnel. Etrog notifie au Client, dans les meilleurs délais et en tout état de cause dans un délai de 72 heures après en avoir pris connaissance, toute violation de données à caractère personnel affectant les Données personnelles du Client. La notification comprend les informations alors disponibles dont le Client a besoin pour remplir ses propres obligations. Etrog prend des mesures raisonnables pour circonscrire la violation et en atténuer les effets.

9. Assistance. Etrog apporte au Client une assistance raisonnable, au moyen des informations dont il dispose, pour les analyses d'impact relatives à la protection des données et les consultations préalables des autorités.

10. Transferts internationaux. Etrog est établi en Israël. La Commission européenne et le Royaume-Uni reconnaissent qu'Israël assure un niveau de protection adéquat. Lorsqu'un sous-traitant ultérieur traite des Données personnelles du Client dans un pays ne bénéficiant pas d'une telle reconnaissance, Etrog veille à la mise en place d'un mécanisme de transfert valable. Il s'agit soit des clauses contractuelles types (décision de la Commission 2021/914), assorties le cas échéant de l'Addendum britannique, soit de la certification du prestataire au titre du Data Privacy Framework UE–États-Unis.

11. Suppression et restitution. À la fin du Service, le Client peut exporter ses Livrables et ses projets pendant 30 jours. Etrog supprime ensuite les Données personnelles du Client. Les copies figurant dans les sauvegardes expirent au terme du cycle de sauvegarde : dans un délai de 7 jours pour les sauvegardes de la base de données, et de 30 jours pour les fichiers supprimés récupérables. Font exception les données qu'Etrog est tenu de conserver en vertu de la loi.

12. Audits. Sur demande écrite, Etrog met à disposition les informations nécessaires pour démontrer qu'il respecte le présent DPA, y compris des réponses à des questionnaires de sécurité raisonnables. Si ces informations ne suffisent pas, le Client peut réaliser un audit, lui-même ou par l'intermédiaire d'un auditeur indépendant tenu à la confidentialité, aux conditions suivantes : au maximum une fois par an, moyennant un préavis de 30 jours, pendant les heures ouvrables, aux frais du Client et sans accès aux données des autres clients. Les sous-traitants ultérieurs sont audités au moyen de leurs propres certifications et rapports.

13. Responsabilité et ordre de priorité. La responsabilité au titre du présent DPA est soumise aux limitations prévues par les Conditions générales d'utilisation, dans la mesure permise par la loi. En cas de contradiction entre le présent DPA et les Conditions générales d'utilisation concernant la protection des données à caractère personnel, le présent DPA prévaut. Le présent DPA reste en vigueur aussi longtemps qu'Etrog traite des Données personnelles du Client.

Annexe 1 – Description du traitement

• Objet et finalité : la fourniture de baseplan.ai au Client. Cela comprend l'hébergement, la lecture et la conversion de plans et de maquettes, la planification du coffrage et de l'étaiement, la production de plans, de rapports, de métrés et de maquettes, l'envoi d'e-mails de service et l'assistance aux utilisateurs.
• Nature : stockage, conversion, analyse automatisée (y compris par IA), génération de livrables, transmission et suppression.
• Durée : la durée des Conditions générales d'utilisation, augmentée des délais de suppression prévus à l'article 11.
• Personnes concernées : les utilisateurs du Client et les personnes dont les coordonnées figurent dans le contenu du Client, telles que les concepteurs, les ingénieurs, les maîtres d'ouvrage et les contacts mentionnés sur les plans ou dans les cartouches.
• Catégories de données : noms, adresses e-mail, rôles et fonctions, numéros d'agrément professionnel, signatures ou cachets figurant sur les plans, enregistrements d'activité et autres coordonnées que le Client choisit de téléverser. Aucune catégorie particulière de données n'est nécessaire ni attendue.

Annexe 2 – Mesures techniques et organisationnelles

• Hébergement sur Google Cloud dans l'Union européenne (Belgique ; stockage de fichiers dans la multirégion UE), dans des centres de données certifiés ISO 27001 et SOC 2.
• Chiffrement en transit (TLS) de l'ensemble des échanges, et chiffrement au repos de la base de données, des fichiers et des sauvegardes.
• Vérification en deux étapes obligatoire pour chaque utilisateur. Mots de passe conservés uniquement sous forme d'empreintes Argon2. Sessions de connexion limitées à une journée de travail.
• Les données de chaque entreprise sont séparées de celles de toutes les autres entreprises. L'accès est contrôlé par entreprise et par rôle à chaque requête.
• Les secrets sont conservés dans un coffre-fort de secrets géré. Les comptes de service respectent le principe du moindre privilège. Les modifications de l'environnement de production ne sont effectuées qu'au moyen d'une chaîne de déploiement automatisée.
• Sauvegardes quotidiennes de la base de données avec restauration à un instant donné, et protection contre la suppression de la base de données de production.
• Limitation du débit des requêtes, journalisation de sécurité et piste d'audit des actions des utilisateurs et du personnel.
• Durées de conservation définies avec suppression quotidienne automatisée (voir la Politique de confidentialité).
• Accès du personnel limité à ce qui est nécessaire pour l'assistance, l'exploitation et la sécurité, sous obligation de confidentialité.
• Gestion des incidents comprenant la notification des violations décrite à l'article 8.

Annexe 3 – Sous-traitants ultérieurs

Voir la page Sous-traitants ultérieurs, qui fait partie intégrante du présent DPA.