# ACCISAFE — Accord de traitement des données de dossier

Version **2026-10-19**, texte du **19 octobre 2026**. Cette annexe complète les CGV qui la désignent, pour les opérations effectuées dans l'espace connecté. Le client est identifié dans sa commande; le sous-traitant est KEY FOR AI SAS, capital 5 000 €, RCS Paris 994 487 775, 229 rue Saint-Honoré, 75001 Paris. Contact : **support@accisafe.fr**. En matière de données personnelles, cette annexe prévaut sur une stipulation contradictoire des CGV.

## 1. Rôles, objet et instructions

Le client détermine les finalités et le contenu de ses dossiers ERP. Il est responsable du traitement des données personnelles qu'il y introduit; s'il agit lui-même pour un responsable de traitement, il s'assure d'être autorisé à recourir à KEY FOR AI. KEY FOR AI traite ces données pour le compte du client afin de fournir les fonctions commandées, sur ses instructions documentées. Les opérations demandées dans l'application et la présente annexe constituent les instructions initiales; les instructions complémentaires passent par le contact ci-dessus, après vérification de l'identité et de l'habilitation.

Les opérations sont la réception des dossiers et fichiers transmis, leur stockage, consultation, modification, contrôles et préparation des exports à la demande, archivage de versions, sauvegarde et restauration, restitution et suppression. Elles durent tant que le client demande le service de stockage, y compris un accès conservé en lecture, puis le temps nécessaire à la restitution et à l'effacement convenus. L'arrêt d'un abonnement payant n'est pas une instruction de destruction des dossiers.

KEY FOR AI ne vend pas les dossiers et ne les réutilise pas pour une finalité propre, la publicité ou l'entraînement d'un modèle. Une obligation légale de traitement est portée à la connaissance du client avant son exécution, sauf interdiction légale. KEY FOR AI avertit le client si une instruction lui paraît contraire aux règles de protection des données.

## 2. Données et personnes concernées

Les dossiers peuvent contenir les noms, fonctions, signatures et coordonnées des maîtres d'ouvrage, exploitants, propriétaires, intervenants, auteurs de documents et agents concernés par le projet; les adresses des établissements; les informations et annotations contenues dans notices, plans, programmes, procès-verbaux, images, fichiers CAO et pièces importées. Les données exactes dépendent du contenu choisi par le client. Les métadonnées comprennent les identifiants de compte/projet, noms et caractéristiques des fichiers, versions, dates et empreintes d'intégrité.

Le client limite les données aux besoins du dossier, informe les personnes et dispose d'une base juridique appropriée. Le service n'est pas destiné à recevoir des dossiers médicaux, données biométriques d'identification ou informations pénales; le client s'abstient de les transmettre et retire les données superflues de ses pièces. Cette règle d'usage n'est pas présentée comme un filtre automatique garantissant leur absence.

Les données de gestion de compte, contrat, facturation, sécurité du service et demandes adressées directement à KEY FOR AI sont traitées par KEY FOR AI pour ses propres finalités décrites dans la notice de confidentialité. Elles ne deviennent pas des données de dossier du seul fait que leur titulaire est aussi client.

## 3. Confidentialité et sécurité

KEY FOR AI réserve les accès aux personnes habilitées qui en ont besoin pour la fourniture, la sécurité et l'assistance, et les soumet à une obligation de confidentialité. Les accès d'exploitation privilégiés sont distincts des écrans d'administration de licence et doivent être utilisés uniquement pour une intervention justifiée.

Les contrôles applicatifs comprennent l'authentification, l'isolation des dossiers par propriétaire, les politiques d'accès en base, les buckets privés et les contrôles de session. Les téléchargements de pièces privées utilisent des liens signés de courte durée; leur destinataire peut les utiliser pendant leur validité. Les contrôles de formats et de taille ne constituent pas une analyse antivirus. La modification concurrente des dossiers et des sources fait l'objet de contrôles de révision. Les exports avec sources comportent des contrôles d'intégrité. Les copies opérateur sont chiffrées et leur accès est restreint.

KEY FOR AI maintient des mesures appropriées au risque et examine les incidents et défauts constatés. Aucune certification de l'éditeur, disponibilité permanente, délai de reprise ou absence totale de perte de données n'est annoncée par cette annexe. Les copies locales du navigateur et exports téléchargés par le client relèvent de sa gestion.

## 4. Sous-traitants ultérieurs et transferts

Le client autorise le recours aux prestataires suivants pour les opérations précisées :

| Prestataire        | Opérations et données concernées                                                                                                                                                                                        |
| ------------------ | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| Supabase Pte. Ltd. | Authentification de l'espace connecté, base des dossiers, fichiers privés et opérations d'hébergement; projet principal en région Paris. Des opérations de support et traitements hors région peuvent intervenir.       |
| Vercel Inc.        | Hébergement web et exécution des fonctions serveur; données des requêtes nécessaires aux opérations demandées, métadonnées techniques et journaux d'exploitation. Le stockage principal des dossiers est chez Supabase. |

Les prestataires ont leurs propres sous-traitants, répertoriés dans leurs listes officielles : [Supabase](https://supabase.com/legal/customer-resources/subprocessor-list) et [Vercel](https://vercel.com/legal/sub-processors). Leur intervention ne dispense pas KEY FOR AI de ses obligations. KEY FOR AI impose les obligations de protection requises et reste responsable de l'exécution des obligations du sous-traitant ultérieur envers le client.

Avant un ajout ou remplacement pertinent, KEY FOR AI informe le client et lui laisse la possibilité d'émettre une objection motivée relative à la protection des données avant le traitement concerné. Les parties cherchent une solution; si aucune solution compatible n'est possible, la prestation affectée est arrêtée avec restitution des données et régularisation de la part payée non fournie, sans imposer au client un nouveau sous-traitant contre son objection fondée.

La région Paris ne signifie pas que tout traitement reste en France. Les opérations internationales des prestataires, notamment de support, sont encadrées par les mécanismes applicables, dont les clauses contractuelles types lorsque nécessaires. KEY FOR AI fournit sur demande les informations utiles et une copie des garanties applicables, sous réserve de masquer les informations confidentielles sans priver le client de la substance des garanties. Une simple localisation du projet ou la seule publication d'un DPA fournisseur ne prouve pas le contrat applicable au compte utilisé.

Stripe traite les données de commande et de paiement selon ses rôles propres; il n'est pas destinataire des dossiers ERP dans le circuit de facturation. L'envoi de messages de compte par un prestataire de messagerie ne comprend pas les pièces de dossier. Les fonctions d'IA documentaire, d'assistance et de génération d'images désactivées ne sont pas autorisées par cette annexe; leur activation nécessiterait une information et un encadrement distincts.

## 5. Droits et assistance

Le client répond aux demandes des personnes dont les données figurent dans ses dossiers. KEY FOR AI lui transmet les demandes reçues qui concernent ces traitements et l'assiste, compte tenu de leur nature et des informations disponibles, pour l'accès, la rectification, l'effacement, la limitation, l'opposition et la portabilité applicables. Une demande directe ne permet pas de transmettre le dossier d'un autre client sans contrôle d'habilitation.

KEY FOR AI fournit l'assistance requise pour la sécurité, les analyses d'impact et les consultations de l'autorité compétente, selon les informations dont elle dispose. Le client peut utiliser les exports et sauvegardes avec sources; un JSON seul ne contient pas nécessairement les fichiers joints.

## 6. Incidents de données

KEY FOR AI notifie au client une violation de données personnelles sans délai injustifié après en avoir pris connaissance. Les informations disponibles portent sur la nature de la violation, les personnes/données affectées, ses conséquences probables, les mesures prises ou proposées et le contact de suivi. Des compléments suivent lorsqu'ils deviennent disponibles; l'absence initiale de tous les détails ne retarde pas le premier signalement. Le client décide des notifications aux personnes et autorités qui lui incombent, avec l'assistance requise de KEY FOR AI. Aucun délai commercial chiffré ne remplace les obligations légales.

## 7. Informations et audits

KEY FOR AI met à disposition les informations nécessaires pour démontrer le respect de cette annexe et permet les audits, y compris inspections, par le client ou son auditeur mandaté, et y contribue. Les parties organisent le périmètre et les modalités pour protéger les données des autres clients et la sécurité, sans supprimer le droit d'audit ni conditionner une obligation légale à une prestation supplémentaire. Les demandes d'une autorité compétente et les situations urgentes sont traitées selon leurs exigences.

## 8. Restitution, suppression et copies

À la fin du service de stockage, le client choisit la restitution suivie de suppression ou la suppression directe. KEY FOR AI vérifie l'habilitation, inventorie les dossiers, pièces, originaux, versions archivées et copies d'exploitation, puis exécute l'instruction documentée. En cas de restitution, une copie exploitable avec les sources disponibles est remise par un moyen sécurisé et vérifiée avec le client avant l'effacement demandé. Le client peut demander une suppression sans cette étape.

La suppression d'une ligne en base ne suffit pas à effacer un fichier. Les objets sont retirés par le service de stockage, puis leurs références sont traitées dans l'ordre compatible avec les protections applicatives. Une confirmation distingue les données supprimées, les opérations encore en cours et les exceptions légales motivées. KEY FOR AI ne déclare pas achevée une suppression dont les copies restent à traiter.

Les copies de secours concernées sont retirées ou remplacées par des copies expurgées, sans délai injustifié dans le cadre de l'instruction. Dans l'intervalle elles sont isolées de tout usage courant; toute restauration réapplique les suppressions avant remise en service. Les copies gérées par un fournisseur font l'objet d'une instruction et d'un suivi adaptés à ses mécanismes; leurs limites et l'état du traitement sont communiqués au client. Les obligations légales de conservation constituent une exception limitée aux données et à la durée exigées, avec accès restreint.

Les obligations de confidentialité et de protection persistent tant que des données restent détenues. Cette annexe n'annonce aucune purge automatique ni un délai de rotation de sauvegarde qui ne serait pas exécuté.