Accord de sous-traitance

Dernière mise à jour : 24 octobre 2026

Cette traduction est fournie pour faciliter la lecture. En cas de divergence, la version espagnole prévaut.

Le présent document régit le traitement des données personnelles que BIOMAG, S.L.U. (le « Sous-traitant ») réalise pour le compte du Client (le « Responsable ») dans le cadre du service AIM CODEX, conformément à l’article 28 du RGPD. Il fait partie des Conditions générales et s’applique lorsque le Client inclut des données personnelles de tiers dans les documents qu’il traite via le Service.

1. Objet et rôle des parties

Le Responsable (le Client) détermine les finalités et les moyens du traitement des données personnelles contenues dans ses documents et relatives à ses destinataires. Le Sous-traitant (BIOMAG, S.L.U.) les traite uniquement pour fournir le Service et selon les instructions documentées du Responsable, contenues dans le présent accord et dans l’utilisation que le Responsable fait du Service.

2. Description du traitement

• Nature et finalité : héberger, sceller, conserver et vérifier les documents du Responsable, permettre leur partage et leur acceptation, et générer et conserver la preuve associée.
• Durée : tant que la relation de service est en vigueur, sans préjudice des durées de conservation de la preuve fixées par le Responsable.
• Types de données : celles que le Responsable décide d’inclure dans ses documents (généralement d’identification et de contact ; le Responsable doit éviter d’inclure des catégories particulières, sauf s’il dispose d’une base juridique et le signale).
• Catégories de personnes concernées : celles que détermine le Responsable (par ex. clients, salariés, signataires, destinataires).

La chaîne publique d’horodatage ne reçoit que l’empreinte cryptographique (hash) du document ; elle ne reçoit ni le contenu ni aucune donnée personnelle.

3. Obligations du Sous-traitant (art. 28.3 RGPD)

• Ne traiter les données que sur instruction documentée du Responsable, y compris pour les transferts internationaux, sauf obligation légale (auquel cas il l’en informera, si la loi le permet).
• Veiller à ce que les personnes autorisées à traiter les données se soient engagées à la confidentialité.
• Appliquer les mesures de sécurité techniques et organisationnelles appropriées (art. 32 RGPD) : contrôle d’accès, chiffrement en transit, intégrité et scellement de la preuve, journalisation des incidents et sauvegardes.
• Aider le Responsable à répondre aux droits des personnes concernées et à respecter ses obligations (sécurité, notification des violations, analyses d’impact et consultations préalables).
• Notifier sans délai injustifié au Responsable les violations de données dont il a connaissance.
• Au choix du Responsable, supprimer ou restituer les données à la fin de la prestation, sauf conservation exigée par la loi.
• Mettre à la disposition du Responsable les informations nécessaires pour démontrer le respect de ses obligations et permettre la réalisation d’audits, y compris des inspections, et y contribuer.

4. Sous-traitants ultérieurs

Le Responsable autorise le Sous-traitant à recourir aux sous-traitants ultérieurs publiés sur aim-codex.ai/subencargados : Railway (hébergement, serveurs aux Pays-Bas), Resend (e-mail, région européenne), Migadu-Mail GmbH (boîte de réception et e-mail de secours, Suisse) et, uniquement lorsque le Responsable ou ses utilisateurs utilisent les fonctions d’intelligence artificielle, OpenRouter, Inc. (États-Unis), avec un acheminement vers des prestataires qui ne conservent pas les données et ne les utilisent pas pour l’entraînement. Le Sous-traitant impose contractuellement à chaque sous-traitant ultérieur les mêmes obligations de protection des données que celles que le présent document lui impose, et reste responsable envers le Responsable de leur respect. Tout ajout ou changement de sous-traitant ultérieur est publié sur cette page avant de s’appliquer ; le Responsable peut s’y opposer en écrivant à hola@aim-codex.ai.

Les fonctions d’intelligence artificielle sont facultatives et ne traitent que ce qui leur est envoyé : le texte et, pour les procès-verbaux de réunion, l’enregistrement audio, qui est envoyé au fournisseur d’intelligence artificielle pour être transcrit et que CODEX ne conserve pas (seulement son empreinte et sa taille). Le Responsable décide s’il les utilise, informe les personnes concernées dont les données peuvent figurer dans ces documents – et les participants avant d’enregistrer une réunion – et ne les utilise pas avec des catégories particulières de données.

5. Transferts internationaux

Les données sont hébergées dans l’Union européenne. Tout transfert ou accès depuis l’extérieur de l’Espace économique européen – parce que Railway, Resend et OpenRouter sont des entreprises américaines, et parce que le texte et l’audio envoyés à l’intelligence artificielle sont traités aux États-Unis – est couvert par les clauses contractuelles types de la Commission européenne incluses dans les accords de sous-traitance de ces prestataires (le module 2 dans celui d’OpenRouter) et, dans le cas de Resend, également par le cadre de protection des données UE-États-Unis. La Suisse et le Royaume-Uni bénéficient d’une décision d’adéquation.

6. Obligations du Responsable

Le Responsable garantit disposer d’une base juridique pour le traitement des données qu’il inclut dans le Service, avoir informé les personnes concernées le cas échéant et donner au Sous-traitant des instructions licites. Le Responsable est seul responsable de la licéité des contenus qu’il scelle ou partage.

7. Formalisation

L’acceptation des Conditions générales emporte celle du présent Accord de sous-traitance. Si le Responsable a besoin d’un document signé spécifique pour son dossier de conformité, il peut le demander à hola@aim-codex.ai.