Le présent accord (l’« Accord ») est conclu en application de l’article 28 du règlement (UE) 2016/679 (« RGPD »). Il fait partie intégrante des CGV et prévaut sur elles pour tout ce qui concerne les données personnelles. Les termes non définis ont le sens que leur donnent les CGV ou le RGPD.
1. Rôles des parties
Pour les données personnelles contenues dans les Données Client (les « Données »), le Client est responsable de traitement et OGIRY sous-traitant. Lorsque le Client est un Consultant souscripteur agissant pour une Entreprise Bénéficiaire, le Client agit en qualité de sous-traitant de celle-ci et OGIRY en qualité de sous-traitant ultérieur ; le Client répercute alors le présent Accord dans son contrat avec l’Entreprise Bénéficiaire.
2. Description du traitement
L’objet, la nature, la finalité, la durée, les catégories de données et de personnes concernées sont décrits à l’Appendice A.
3. Instructions
OGIRY ne traite les Données que sur instruction documentée du Client. Les CGV, le présent Accord et le paramétrage de l’Espace par le Client constituent ses instructions. OGIRY informe immédiatement le Client si une instruction lui paraît constituer une violation du droit applicable. OGIRY peut anonymiser des données d’usage pour produire les statistiques agrégées prévues à l’article 14.5 des CGV, ce que le Client autorise.
4. Confidentialité
OGIRY veille à ce que les personnes autorisées à traiter les Données soient soumises à une obligation de confidentialité et n’y accèdent que dans la mesure nécessaire à leur mission.
5. Sécurité
OGIRY met en œuvre les mesures décrites à l’Appendice B et les adapte à l’évolution des risques et de l’état de l’art, sans en réduire le niveau global.
6. Sous-traitants ultérieurs
Le Client autorise de manière générale le recours aux sous-traitants ultérieurs listés à l’Appendice C. OGIRY informe le Client, au moins trente (30) jours à l’avance, de tout ajout ou remplacement. Le Client peut s’y opposer par écrit et de manière motivée pendant ce délai ; faute de solution acceptable, il peut résilier le contrat sans pénalité, et la part prépayée non consommée lui est remboursée. OGIRY impose à chaque sous-traitant ultérieur des obligations équivalentes à celles du présent Accord et demeure responsable envers le Client de leur exécution.
7. Transferts hors de l’Union européenne
Tout transfert de Données hors de l’Espace économique européen est encadré par une décision d’adéquation — notamment le Data Privacy Framework UE–États-Unis lorsque le destinataire y est certifié — ou, à défaut, par les clauses contractuelles types de la Commission européenne (décision 2021/914), complétées si nécessaire de mesures supplémentaires.
8. Droits des personnes concernées
OGIRY transmet sans délai au Client toute demande d’exercice de droits reçue au titre des Données, sans y répondre elle-même sauf instruction. Le Service permet au Client de consulter, rectifier, exporter et supprimer les Données ; OGIRY l’assiste pour le surplus, dans une mesure raisonnable.
9. Violations de données
OGIRY notifie au Client toute violation de Données dans les meilleurs délais et au plus tard quarante-huit (48) heures après en avoir pris connaissance. La notification comporte les informations prévues à l’article 33.3 du RGPD, dans la mesure où elles sont disponibles, ainsi que les mesures prises ou envisagées.
10. Assistance
OGIRY assiste raisonnablement le Client pour la réalisation d’analyses d’impact et de consultations préalables de l’autorité de contrôle relatives au Service.
11. Sort des Données
Au terme du contrat, les Données sont restituées et supprimées dans les conditions de l’article 21 des CGV : export sur demande pendant trente (30) jours, suppression définitive au plus tard quatre-vingt-dix (90) jours après la fin du contrat, sauvegardes comprises, sauf obligation légale de conservation.
12. Documentation et audit
OGIRY met à la disposition du Client les informations nécessaires pour démontrer le respect du présent Accord. Le Client peut faire réaliser un audit une fois par an, avec un préavis de trente (30) jours, par un auditeur indépendant tenu à la confidentialité et non concurrent d’OGIRY, pendant les heures ouvrées et sans perturber le Service. L’audit est à la charge du Client, sauf s’il révèle un manquement substantiel d’OGIRY.
13. Registre
OGIRY tient le registre des catégories d’activités de traitement effectuées pour le compte de ses clients (article 30.2 du RGPD).
Appendice A — Description du traitement
Objet et nature
Hébergement, stockage, structuration, recherche, export et restitution des Données ; génération de contenus par Marcel (transmission des requêtes et du contexte nécessaire au prestataire d’intelligence artificielle) ; envoi d’emails liés au Service (invitations, contenus du jeudi, relances).
Finalité
Fourniture du Service au Client, conformément aux CGV.
Durée
Durée du contrat, augmentée de la période de réversibilité (au plus 90 jours).
Personnes concernées
Utilisateurs de l’Espace ; membres de l’équipe du Client décrits dans les fiches Équipe ; personnes mentionnées dans les Contenus Client (clients, partenaires, fournisseurs, prospects du Client).
Catégories de données
Identité et coordonnées professionnelles ; fonction, rôle, responsabilités ; profil « Ma voix » (parcours, style, préférences de rédaction) ; actions, affectations et statuts ; documents et contenus saisis ; historiques d’échanges avec Marcel ; toute donnée personnelle que le Client choisit d’inclure dans ses contenus.
Données sensibles
Aucune attendue. Leur saisie est proscrite par l’article 12 des CGV, sauf nécessité impérieuse et sous la responsabilité du Client.
Appendice B — Mesures de sécurité
- Hébergement en France, sur l’offre d’hébergement Kers, dans des centres de données OVHcloud.
- Chiffrement des échanges (HTTPS/TLS) entre les navigateurs et le Service, et entre le Service et ses sous-traitants.
- Authentification sans mot de passe, par lien ou code à usage unique et à durée limitée ; jetons de session à durée courte, renouvelés et révocables.
- Cloisonnement des données par Espace, appliqué dans l’application et au niveau de la base de données (sécurité au niveau des lignes).
- Contrôle d’accès par rôle, refus par défaut de toute écriture non explicitement autorisée, vérifié par des tests automatisés.
- Clés d’accès aux services tiers (dont le prestataire d’intelligence artificielle) conservées exclusivement côté serveur, hors du code source.
- Journalisation des connexions.
- Chaîne de déploiement automatisée avec tests, revue de code et images conteneurisées.
- Accès du personnel d’OGIRY limité aux personnes habilitées, pour les seuls besoins du support et de la sécurité.
Appendice C — Sous-traitants ultérieurs
| Sous-traitant | Prestation | Localisation | Encadrement |
|---|---|---|---|
| Kers | Hébergement de la Plateforme | France | — |
| OVH SAS | Centres de données (via Kers) | France | — |
| Anthropic | Modèles d’intelligence artificielle de Marcel ; lecture des pages web communiquées | États-Unis | Data Privacy Framework ou clauses contractuelles types |
| Loops | Envoi des emails du Service | États-Unis | Data Privacy Framework ou clauses contractuelles types |
La liste à jour est communiquée sur simple demande à [email protected].
Marcel OS — Version 1.0 du 24 septembre 2026 — OGIRY, RCS Lyon 978 960 672