Accord de traitement des données

Version : 2026-10-draft

Accord de sous-traitance au sens de l'article 28 du Règlement général sur la protection des données (RGPD).

1. Objet et parties

1. Cet accord s'applique lorsqu'un client professionnel (le « Client ») place dans Quorumind Cloud des données personnelles d'autres personnes, par exemple dans la description d'un projet, ses réponses à l'entretien ou les documents ajoutés à un débat.
2. Pour ces données, le Client est responsable du traitement et QUORUMIND, 23 rue des Frères Bonie, 33000 Bordeaux, France, SIRET 821 041 431 00023 (« Quorumind »), est sous-traitant.
3. Cet accord fait partie des conditions générales d'utilisation et de vente. Il est accepté avec elles. Une version signée peut être fournie sur demande à hello@quorumind.com.
4. Il ne couvre pas les données que Quorumind traite pour son propre compte (comptes utilisateurs, facturation, sécurité) : celles-ci relèvent de la politique de confidentialité, Quorumind en étant responsable.
5. Les termes « données personnelles », « traitement », « violation de données » et les autres termes du RGPD ont le sens que leur donne ce règlement.

2. Description du traitement

3. Obligations du Client

Le Client :

1. dispose d'une base légale pour chaque traitement qu'il confie à Quorumind et informe les personnes concernées ;
2. limite les données personnelles placées dans le service à ce qui est nécessaire, et utilise au besoin l'option de masquage des données personnelles, en sachant qu'elle ne masque ni les noms ni les adresses postales ;
3. choisit, pour chaque débat, les modèles d'IA et donc les fournisseurs qui reçoivent le contenu ;
4. répond aux demandes des personnes concernées, avec l'aide de Quorumind si nécessaire (article 10).

4. Instructions

1. Quorumind ne traite les données que sur instruction documentée du Client. Ces instructions sont : les conditions générales, cet accord, et les actions du Client dans le service (lancer un débat, choisir les modèles, partager, exporter, supprimer).
2. Quorumind informe immédiatement le Client si une instruction lui paraît contraire au RGPD.
3. Quorumind n'utilise pas ces données pour ses propres fins, et ne les utilise pas pour entraîner des modèles d'IA. Il peut établir des statistiques de coût et d'usage qui ne contiennent pas le contenu des débats.
4. Si la loi impose à Quorumind un traitement non prévu par les instructions, il en informe le Client avant de le faire, sauf si la loi l'interdit.

5. Confidentialité

1. Seul l'éditeur a accès aux systèmes de Quorumind. Toute autre personne autorisée à y accéder sera tenue à la confidentialité par contrat.
2. Le back-office ne montre pas le contenu des débats, sauf ceux que leur auteur a partagés par un lien. Quorumind n'accède au contenu d'un débat qu'avec l'accord du Client, par exemple pour examiner une erreur signalée, ou si la loi l'y oblige.

6. Sécurité

Quorumind met en œuvre les mesures suivantes (article 32 du RGPD) :

1. hébergement en France, chez OVH ; accès au service uniquement en HTTPS ;
2. cookie de session inaccessible aux scripts, réservé au HTTPS, protégé contre les requêtes d'autres sites, et renouvelé toutes les 15 minutes d'activité ;
3. liens de connexion et identifiants de session enregistrés sous forme d'empreinte ; liens à usage unique valables 15 minutes ;
4. connexion par Google ou GitHub avec OAuth 2, PKCE et « state » ;
5. protection contre les requêtes intersites, limites de débit, politique de sécurité du contenu stricte ;
6. clés d'API et secrets stockés à part, hors du code et des bases de données ;
7. cloisonnement : un débat n'est visible que de son auteur ; les autres membres de l'espace n'en voient que le coût ;
8. accès au back-office réservé à l'éditeur, avec journal d'audit des actions et de leur motif ;
9. suivi des erreurs hébergé par l'éditeur, sans adresse IP ni contenu des requêtes.

Quorumind peut faire évoluer ces mesures, sans réduire le niveau de protection.

7. Sous-traitants ultérieurs

1. Le Client autorise Quorumind à recourir aux sous-traitants ultérieurs suivants :

2. Un fournisseur de modèles ne reçoit le contenu d'un débat que si l'un de ses modèles est choisi pour un rôle de ce débat.
3. Stripe (paiements), Google et GitHub (connexion) ne reçoivent pas le contenu des débats.
4. Umami (mesure d'audience) et Sentry (suivi des erreurs) sont exploités par l'éditeur lui-même, sur ses serveurs chez OVH en France ; ce ne sont pas des sous-traitants tiers.
5. Changement : Quorumind informe les propriétaires des espaces de travail par e-mail au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant ultérieur. Le Client peut s'y opposer pour un motif lié à la protection des données. Si aucune solution n'est trouvée, il peut résilier et obtenir le remboursement des crédits non utilisés et de la part non utilisée de la période d'abonnement en cours.
6. Quorumind impose à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles de cet accord, et reste responsable envers le Client de leur respect.

8. Transferts hors de l'Union européenne

Le contenu des débats est transmis aux fournisseurs de modèles listés ci-dessus, aux États-Unis. Ces transferts reposent sur le Data Privacy Framework pour les sociétés certifiées, et à défaut sur les clauses contractuelles types de la Commission européenne (décision 2021/914). [À confirmer pour chaque fournisseur.] Quorumind fournit au Client, sur demande, les informations utiles sur ces garanties.

9. Personnes concernées

Si une personne concernée s'adresse à Quorumind au sujet de données du Client, Quorumind transmet la demande au Client sans délai injustifié et n'y répond pas lui-même, sauf instruction du Client.

10. Assistance

Quorumind aide le Client, dans la mesure du possible :

1. à répondre aux demandes des personnes concernées : le Client peut lui-même exporter ses données (bouton « Exporter mes données ») et supprimer un débat ou son compte ;
2. à assurer la sécurité du traitement ;
3. à réaliser une analyse d'impact et, le cas échéant, à consulter la CNIL, en lui fournissant les informations dont il dispose.

Cette assistance est gratuite dans des limites raisonnables.

11. Violation de données

1. Quorumind notifie au Client toute violation de données le concernant sans délai injustifié, et au plus tard 72 heures après en avoir pris connaissance, par e-mail aux propriétaires des espaces concernés.
2. La notification indique, dans la mesure du possible : la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, ses conséquences probables, les mesures prises ou proposées, et un contact. Les informations qui ne sont pas encore connues sont fournies dès que possible.
3. Quorumind prend sans attendre les mesures pour limiter les conséquences de la violation.

12. Fin du traitement

1. À tout moment, le Client peut exporter ses données et supprimer un débat ou son compte.
2. À la suppression d'un débat ou du compte, le contenu des débats est supprimé immédiatement des bases de données du service. Les sauvegardes sont effacées au fil de leur rotation, dans un délai de 2 ans au plus.
3. La restitution des données se fait par l'export au format JSON. Quorumind ne garde aucune copie, sauf obligation légale.

13. Audits

1. Quorumind met à la disposition du Client les informations nécessaires pour démontrer le respect de cet accord, et répond à ses questionnaires de sécurité dans un délai raisonnable.
2. Le Client peut faire réaliser un audit au plus une fois par an, avec un préavis écrit de 30 jours, à ses frais, par un auditeur tenu à la confidentialité et qui n'est pas un concurrent de Quorumind. L'audit ne doit pas donner accès aux données d'autres clients ni perturber le service. Un audit supplémentaire est possible après une violation de données.

14. Registre

Quorumind tient un registre des traitements effectués pour le compte de ses clients (article 30.2 du RGPD).

15. Responsabilité et priorité

1. La responsabilité de chaque partie suit les conditions générales et l'article 82 du RGPD.
2. En cas de contradiction sur la protection des données, cet accord prévaut sur les conditions générales.
3. La version française fait foi.

16. Contacts

• Quorumind : hello@quorumind.com
• Client : l'adresse e-mail des propriétaires de l'espace de travail