Accord de traitement des données

Version 1.7. Le présent accord de traitement des données (« DPA », de l'anglais data processing agreement) décrit le traitement des données personnelles que YUEKI — qui édite le service MIKURA et se présente au client sous ce nom — opère pour le compte du client dans le cadre du service. Il est publié ici pour information ; il est annexé à chaque devis et accepté avec lui, et s'applique à compter de l'acceptation du devis, avant tout début de setup, parce que le setup est déjà un traitement des documents du client. Il est établi selon l'article 28 du règlement (UE) 2016/679 (RGPD).

1. Objet et rôles

Le client utilise MIKURA pour classer, conserver et interroger ses documents. Pour les données personnelles que ces documents contiennent, le client est responsable du traitement ; YUEKI, éditeur de MIKURA, est sous-traitant et ne traite ces données que pour fournir le service, sur instruction documentée du client. Le présent accord et le contrat auquel il est annexé constituent cette instruction.

2. Nature du traitement

Le service lit chaque document déposé, l'identifie, le classe, l'indexe et le restitue : consultation, recherche, et réponses citant les pièces.

Au quotidien, un modèle à poids ouverts, servi en France par OVH, hébergeur de YUEKI, reconnaît le type de chaque document et en extrait des informations ; Mistral AI, sous-traitant ultérieur déclaré à l'article 6, lit le texte du document et en extrait les métadonnées ; le classement lui-même est effectué par le code du service, sans modèle d'intelligence artificielle, à partir du type, des métadonnées et du plan de classement du client. Le service rapproche les tiers des documents de l'annuaire public des entreprises (recherche-entreprises.api.gouv.fr), à partir du SIREN et du nom lus. Dans un espace qui a des affaires, l'adresse d'une affaire et les adresses lues sur ses pièces sont cherchées dans la Base Adresse Nationale, par le service de géocodage de la Géoplateforme de l'IGN, établissement public de l'État : seule l'adresse lui est envoyée, sans nom, sans pièce et sans autre champ, et il en rend la forme officielle. Ce service public, comme l'annuaire, n'est pas un sous-traitant ultérieur. Pendant la préparation d'un nouvel espace, des modèles à poids ouverts lisent les documents du fonds, avec les noms de leurs dossiers et fichiers, sur une machine que YUEKI loue chez Nebius B.V., sous-traitant ultérieur déclaré à l'article 6, en France. Mistral AI ne lit, pendant la préparation, que les pièces que cette machine n'a pas lues.

Les documents d'une entreprise pouvant contenir toute catégorie de données personnelles — identité, coordonnées, données financières, données de paie —, les personnes concernées sont typiquement les salariés, clients, fournisseurs et dirigeants du client. Le service n'est pas proposé aux secteurs de la santé, des mutuelles, des EHPAD et de la médecine du travail.

3. Durée, remise, suppression

Le traitement dure autant que le contrat. À sa fin, YUEKI remet au client l'intégralité de son corpus documentaire — les documents, dans leur format d'origine — dans un délai de trente jours, sans frais, par le moyen convenu avec lui. La remise comprend l'arborescence dans laquelle les documents sont classés. Les données sont ensuite effacées des systèmes de YUEKI dans les trente jours qui suivent la remise ; leurs copies techniques — copies de secours chiffrées, versions antérieures du stockage — disparaissent au plus tard trente jours après ce délai, sauf obligation légale de conservation.

4. Sécurité

YUEKI met en œuvre notamment :

• le chiffrement des données en transit (TLS) ;
• des droits d'accès par personne et par rôle : chacun ne voit que ce que ses droits permettent ;
• un journal horodaté des dépôts, classements, déplacements et suppressions, ainsi que des accès de l'assistant IA connecté par le client, que le client peut consulter dans son espace ; aucun écran ni aucune commande du service ne le modifie ; il est conservé aussi longtemps que l'espace du client, avec le nom des pièces effacées et des personnes qui l'ont quitté, et effacé avec lui ;
• des sauvegardes quotidiennes, conservées à part ;
• une connexion sans mot de passe stocké, par lien à usage unique envoyé par courriel.

5. Obligations de YUEKI

YUEKI s'engage à :

• ne traiter les données que sur instruction documentée du client, y compris pour les transferts de données vers un pays tiers ou une organisation internationale, à moins que le droit de l'Union européenne ou le droit français ne l'y oblige ; dans ce cas, YUEKI informe le client de cette obligation avant le traitement, sauf si ce droit interdit cette information pour des motifs importants d'intérêt public ;
• informer immédiatement le client si, selon YUEKI, une instruction constitue une violation du RGPD ou d'autres dispositions du droit de l'Union européenne ou du droit français relatives à la protection des données ;
• garantir la confidentialité : les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité ;
• notifier au client toute violation de données à caractère personnel sans délai indu après en avoir pris connaissance, avec les éléments lui permettant de remplir ses propres obligations ;
• assister le client, compte tenu de la nature du traitement et des informations dont YUEKI dispose, pour les demandes d'exercice de droits des personnes concernées, et pour le respect de ses obligations prévues aux articles 32 à 36 du RGPD — sécurité du traitement, notification et communication des violations, analyses d'impact et consultation préalable de l'autorité de contrôle ;
• tenir un registre des activités de traitement menées pour le compte du client, et mettre à sa disposition les informations nécessaires pour démontrer le respect du présent accord, audits compris, dans des conditions raisonnables convenues à l'avance ;
• ne recourir à un sous-traitant ultérieur que dans les conditions de l'article 6, et lui imposer les mêmes obligations que celles du présent accord.

6. Sous-traitants ultérieurs

Le client autorise le recours aux sous-traitants ultérieurs suivants. Toute modification de cette liste lui est notifiée par écrit au moins trente jours à l'avance ; il peut s'y opposer pour motif légitime.

7. L'assistant IA connecté par le client

Le client peut connecter à son corpus documentaire l'assistant IA qu'il utilise déjà (Claude, ChatGPT, Copilot, Le Chat ou tout autre), par le protocole MCP. Cet assistant IA est choisi et contracté par le client : son éditeur n'est pas un sous-traitant ultérieur de YUEKI, et le présent accord ne couvre pas les traitements qu'il opère.

De son côté, YUEKI garantit que :

• l'assistant IA n'accède au corpus qu'avec les droits de la personne qui l'interroge — jamais au-delà ;
• les accès de l'assistant IA sont inscrits au journal du client : l'outil appelé, la demande et les pièces servies ;
• la connexion peut être coupée à tout moment par le client, sans effet sur le service.

8. Localisation

Le corpus documentaire du client est hébergé en France. Il est lu par Mistral AI, société française, sous-traitant ultérieur déclaré à l'article 6, et, en France, par les modèles servis par OVH et, pendant la préparation de son espace, par Nebius B.V.

9. Acceptation et contact

Le présent accord est accepté par l'acceptation du devis auquel il est annexé ; il lie YUEKI et le client désigné au devis pour toute la durée du contrat. Pour toute question sur cet accord : contact@mikura.fr.