Accord de traitement des données

Dernière mise à jour : 10 octobre 2026

Modèle d’accord de sous-traitance au sens de l’article 28 du RGPD, accepté par le constructeur à l’ouverture de son espace. Il encadre les données personnelles de ses clients que Constructeur.ai traite pour son compte.

Texte à faire valider par un juriste. Cette version décrit le fonctionnement actuel de Constructeur.ai mais n’a pas encore été relue par un conseil juridique ; elle ne constitue pas un avis juridique. Les champs signalés « à compléter » doivent être renseignés avant l’ouverture publique du service.

1. Parties et objet

Le « responsable de traitement » est l’entreprise titulaire de l’espace Constructeur.ai (le constructeur). Le « sous-traitant » est Switchloop SAS, 28 rue de Bras, 14000 Caen, RCS Caen 991 834 920. Le présent accord précise les conditions dans lesquelles le sous-traitant traite des données personnelles pour le compte du responsable de traitement, en application des conditions générales d’utilisation.

Il est accepté en ligne par l’administrateur qui ouvre l’espace (ou, pour un espace existant, à sa connexion suivant la publication d’une nouvelle version) : la date, la version acceptée et le compte qui l’a acceptée sont enregistrés et peuvent être communiqués sur demande. Version en vigueur : 10 octobre 2026.

2. Description du traitement (annexe 1)

Nature et finalité: Hébergement, enregistrement, partage, sauvegarde et mise en forme des projets de construction du responsable de traitement ; recherche d’informations sur le terrain (cadastre, urbanisme, risques) ; analyse assistée par IA des descriptions de projet et des demandes à l’assistant de l’éditeur, uniquement avec l’accord de l’utilisateur ; envoi des e-mails de service.
Durée: La durée du contrat d’utilisation de Constructeur.ai, puis la durée de restitution ou de suppression prévue à l’article « Sort des données ».
Catégories de personnes: Clients et prospects du responsable de traitement (maîtres d’ouvrage), leurs contacts ; collaborateurs du responsable de traitement titulaires d’un compte.
Types de données: Identité et coordonnées (nom, téléphone, e-mail, adresse), adresse et parcelle du terrain, notes libres, questionnaire de découverte (dont budget et financement), description du projet de construction, plans, visuels, photos et documents importés, historique d’activité de l’espace. Aucune donnée sensible n’est destinée à être saisie.
Durées de conservation: Celles de la politique de confidentialité : corbeille 30 jours, 20 versions par projet, journal d’activité 12 mois, échanges avec l’assistant 90 jours ; données supprimées sur instruction du responsable de traitement (effacement d’un client, suppression de l’espace).

3. Obligations du sous-traitant

Traiter les données uniquement sur instruction documentée du responsable de traitement (les conditions d’utilisation et les actions de ses utilisateurs valent instruction) et l’informer s’il estime une instruction contraire au RGPD.
Garantir la confidentialité : les personnes autorisées à traiter les données sont tenues à une obligation de confidentialité. Le support Constructeur.ai n’accède à un espace qu’à l’occasion d’une demande d’assistance, pour une durée limitée (4 heures au plus) et avec un motif ; chaque accès et chaque requête sont enregistrés et consultables par l’administrateur de l’espace, qui peut subordonner tout accès à son autorisation préalable (valable 24 heures).
Mettre en œuvre les mesures de sécurité de l’annexe 2.
Ne recourir à un sous-traitant ultérieur que dans les conditions de l’annexe 3 : autorisation générale du responsable de traitement, information préalable de tout changement avec un délai raisonnable pour s’y opposer, mêmes obligations imposées par contrat.
Aider le responsable de traitement à répondre aux demandes d’exercice des droits des personnes : export des contacts (tableur) et de toutes les données de l’espace (archive), effacement d’un client de la fiche contact, de ses projets, de leurs versions, de la corbeille et du journal d’activité, rectification dans l’application.
Notifier au responsable de traitement toute violation de données dans les meilleurs délais après en avoir pris connaissance, avec les informations utiles à sa propre notification à la CNIL.
L’aider pour les analyses d’impact et les consultations préalables, dans la limite des informations dont il dispose.
Tenir le registre des catégories de traitements effectués pour son compte.
Mettre à disposition les informations nécessaires pour démontrer le respect de ses obligations (dont le journal de sécurité de l’espace) et permettre des audits, raisonnablement préavisés.

4. Obligations du responsable de traitement

Le responsable de traitement reste responsable de la licéité des données saisies, de la base légale, de l’information de ses clients (articles 13 et 14 du RGPD, y compris l’usage d’un outil d’IA et les sous-traitants listés en annexe 3) et de l’exercice de leurs droits. Il attribue les droits d’accès à ses collaborateurs avec discernement (le budget et le financement des clients ne sont visibles que de la direction et des commerciaux), et ne saisit pas de données sensibles ni d’informations inutiles dans les champs libres.

5. Sort des données

À tout moment, et à la fin du contrat, l’administrateur de l’espace peut exporter toutes les données de l’entreprise dans un format structuré et réutilisable (archive contenant les projets au format de sauvegarde Constructeur.ai, leurs versions et visuels, les contacts en JSON et en tableur, les prospects, les membres et le journal d’activité), puis supprimer l’espace : toutes ses données sont alors supprimées immédiatement de la base active. Les sauvegardes de l’hébergeur sont purgées à l’expiration de leur durée de rétention. Les pièces versées au référentiel partagé des lotissements y restent, détachées de l’entreprise (conditions d’utilisation). Le sous-traitant peut conserver une copie dans la mesure où la loi l’exige, ainsi que le journal de sécurité pendant 12 mois.

6. Transferts hors Union européenne

Les données sont hébergées en France. Les fonctions d’IA impliquent un transfert vers les États-Unis (annexe 3) dans les conditions suivantes : envoi d’un brief ou d’une demande à l’assistant seulement avec le consentement de l’utilisateur, masquage préalable des identifiants personnels, contrats conclus avec les entités européennes des fournisseurs (OpenAI Ireland Ltd, Anthropic Ireland, Limited) et transferts encadrés par les clauses contractuelles types de la Commission européenne (décision d’exécution (UE) 2021/914, modules 2 et 3) incorporées à leurs accords de traitement.

7. Mesures de sécurité (annexe 2)

Hébergement en France chez un hébergeur certifié ISO 27001 et HDS ; chiffrement des échanges (HTTPS) ; sauvegardes automatiques de la base.
Mots de passe stockés sous forme hachée (scrypt) ; session par cookie HttpOnly ; limitation des tentatives de connexion ; double authentification disponible, obligatoire pour les administrateurs de la plateforme ; contrôle de l’origine des requêtes.
Cloisonnement des espaces entre entreprises ; droits par rôle (administrateur, directeur commercial, commercial, dessinateur / bureau d’études, lecture seule) appliqués par le serveur, y compris pour le budget des clients.
Journal de sécurité écrit par le serveur (connexions, droits, exports, suppressions, accès du support), conservé 12 mois ; adresses IP conservées sous forme d’empreinte ; journal d’activité de l’espace ; corbeille de 30 jours.
Masquage des identifiants personnels avant l’envoi d’un texte à une IA, dans le navigateur et sur le serveur ; consentement explicite préalable, enregistré dans le compte.
Copie locale du navigateur effacée à la déconnexion et au changement de compte (seuls les brouillons de nouveau projet restent, rattachés au compte qui les a saisis et illisibles par un autre compte, effacés avec le compte) ; service de rendu accessible uniquement avec un jeton délivré par le serveur.
Procédures d’exploitation documentées : sauvegarde, restauration testée, rotation des secrets, surveillance, gestion des violations de données.

[à compléter : compléter ou ajuster après revue sécurité et juridique]

8. Sous-traitants ultérieurs (annexe 3)

Le responsable de traitement autorise le recours aux prestataires suivants. Les services publics interrogés depuis le navigateur de l’utilisateur (IGN, Géorisques, Géoportail de l’urbanisme, Annuaire des entreprises) sont indiqués par transparence.

Prestataire	Pays	Finalité	Données concernées	Garanties
Scalingo SAS	13 rue Jacques Peirotes, 67000 Strasbourg (SIREN 808 665 483) ; région « osc-fr1 », France	Hébergement de l’application, de la base de données PostgreSQL et de ses sauvegardes, et du service de rendu 3D	Toutes les données de l’application (comptes, projets, versions, visuels, contacts, demandes, journaux) ; scènes 3D transmises au service de rendu	Données hébergées en France ; Scalingo est certifié ISO 27001 et HDS
3DS Outscale (sous-traitant de Scalingo)	France	Infrastructure (serveurs et stockage) de la région osc-fr1 de Scalingo	Mêmes données que Scalingo, sans accès logique de sa part	Données en France ; infrastructure certifiée ISO 27001 et HDS
Brevo SAS (ex-Sendinblue)	Paris, France (RCS Paris 498 019 298) — siège : [à compléter : adresse du siège de Brevo à confirmer : 106 boulevard Haussmann, 75008 Paris, ou 9-17 rue Salneuve, 75017 Paris, selon les documents de Brevo]	Envoi des e-mails transactionnels : confirmation d’adresse, mot de passe oublié, invitations, préavis avant suppression d’un compte inactif	Adresse e-mail du destinataire, prénom, nom de l’entreprise, nom de la personne qui invite et son message	Société française, serveurs dans l’Union européenne ; accord de traitement intégré aux conditions d’utilisation de Brevo. [à compléter : compte Brevo ouvert au nom de l’éditeur de Constructeur.ai et accord de traitement accepté (date)]
OpenAI Ireland Ltd (cocontractant pour l’Europe), traitement par OpenAI aux États-Unis	Irlande ; États-Unis	Analyse du texte libre d’un brief ou d’un programme et lecture des documents d’urbanisme que vous importez (règlement de ZAC, pièces de lotissement) — fonctions d’IA activées uniquement avec votre consentement	Texte transmis par le serveur de Constructeur.ai après masquage des e-mails, téléphones, IBAN, civilités suivies d’un nom, adresses exactes et nom du client ; jamais le compte, les contacts ni les plans	Transfert vers les États-Unis encadré par les clauses contractuelles types de la Commission européenne (décision d’exécution (UE) 2021/914, modules 2 et 3) de l’accord de traitement d’OpenAI ; données de l’API non utilisées pour entraîner les modèles. [à compléter : accord de traitement OpenAI accepté au nom de l’éditeur (date)]
Anthropic Ireland, Limited (cocontractant pour l’Europe), traitement par Anthropic aux États-Unis	Irlande ; États-Unis	Extraction automatique des règles des règlements d’urbanisme (PLU du Géoportail de l’urbanisme) ; assistant de modification du plan dans l’éditeur (avec votre consentement)	Texte et pages des règlements publics ; pour l’assistant : vos demandes et un résumé technique du plan (pièces, surfaces, ouvertures), après masquage des identifiants personnels, sans le nom du projet ni les coordonnées du client	Accord de traitement d’Anthropic intégré à ses conditions commerciales, transferts vers les États-Unis encadrés par les clauses contractuelles types de la Commission européenne (décision d’exécution (UE) 2021/914, modules 2 et 3) (droit irlandais)
IGN — Géoplateforme (data.geopf.fr) et API Carto	France	Géocodage de l’adresse du terrain (base adresse nationale), cadastre, plan local d’urbanisme, voirie	Adresse ou coordonnées du terrain saisies, envoyées depuis votre navigateur ; le service voit aussi votre adresse IP	Service public, données en France (service tiers, pas un sous-traitant de Constructeur.ai)
Géorisques (ministère de la Transition écologique, BRGM)	France	Risques naturels et technologiques au droit de la parcelle (inondation, séisme, retrait-gonflement des argiles…)	Coordonnées de la parcelle, envoyées depuis votre navigateur ; adresse IP	Service public, données en France (service tiers)
Géoportail de l’urbanisme (IGN / ministère)	France	Récupération des documents d’urbanisme opposables	Identifiant du document et de la commune	Service public, données en France (service tiers)
Annuaire des entreprises (DINUM, recherche-entreprises.api.gouv.fr)	France	Recherche des informations publiques d’une entreprise (« Mon entreprise », zone et partenaires)	Nom ou SIREN recherché, envoyé depuis votre navigateur ; adresse IP	Service public, données en France (service tiers)

L’amélioration « effet IA » des rendus photoréalistes est calculée par un poste équipé d’une carte graphique exploité par l’éditeur lui-même ([à compléter : lieu du poste de calcul, par exemple France]) : il reçoit uniquement l’image brute du rendu (la maison, sans donnée de compte) et la renvoie au service de rendu. Les textures et modèles 3D sont servis par l’application elle-même.

9. Droit applicable et contact

Le présent accord est soumis au droit français. Contact : contact@constructeur.ai. Pour les conditions de signature, de durée et de responsabilité propres à votre entreprise : [à compléter : clauses à valider par un juriste].