Annexes DPA — Accord de traitement des données
Ces annexes font partie intégrante du DPA (Accord de traitement des données personnelles) conclu avec chaque client au titre de l'article 28 du RGPD. La version publiée ci-dessous est la version en vigueur et fait foi. Les annexes jointes au contrat signé constituent la version à la date de signature.
Annexe A — Mesures de sécurité techniques et organisationnelles
Version 2.2 — 1er octobre 2026| Catégorie | Mesure |
|---|---|
| Chiffrement | Données chiffrées au repos (stockage S3 et base de données, AES-256) et en transit (TLS 1.2+). |
| Contrôle d'accès | Authentification des utilisateurs, second facteur (OTP), gestion fine des droits par rôle et périmètre (multi-tenant Holding / Société / Agence), cloisonnement des données par client. |
| Gestion des secrets | Identifiants et clés gérés via un coffre centralisé (AWS SSM) et des profils d'instance : aucune clé en clair dans la configuration de production. |
| Sauvegardes et reprise après sinistre | Base de données en haute disponibilité (Multi-AZ, région de Paris) avec rétention des sauvegardes (7 jours). Réplication des sauvegardes de la base et du stockage S3 vers la région eu-west-1 (Irlande, Union européenne) pour la reprise après sinistre. Stockage S3 versionné. |
| Journalisation | Traçabilité des accès et des actions sensibles. |
| Effacement RGPD (art. 17) | Fonction d'effacement d'une personne concernée par anonymisation irréversible des données identifiantes, préservant les enregistrements à rétention légale (paie, pointage, santé au travail) sans ré-identification. Simulation préalable obligatoire, garde-fou (refus d'effacer un salarié encore en poste sauf forçage motivé) et registre d'effacement horodaté (auteur, périmètre, date) au titre de l'accountability (art. 5.2 RGPD). |
| Hébergement | Infrastructure AWS certifiée ISO 27001, région eu-west-3 (Paris). |
Annexe B — Liste des sous-traitants ultérieurs
Version 2.2 — 1er octobre 2026| Sous-traitant | Finalité | Localisation | Transfert hors UE |
|---|---|---|---|
| Amazon Web Services (AWS) | Hébergement (stockage, base, cache), OCR serveur (Textract) | eu-west-3 (Paris) ; sauvegarde eu-west-1 (Irlande) | Non (UE) |
| OVH | Envoi de SMS | France | Non |
| IONOS | Envoi d'e-mails sortants | Allemagne (UE) | Non |
| ViaFleet (Targa Telematics) | Géolocalisation des véhicules | France | Non |
| INSEE (API SIRENE) | Enrichissement d'entreprises (données publiques) | France | Non |
| Anthropic | Intelligence artificielle (voir Annexe C) | États-Unis | Oui — CCT |
| OpenAI | Intelligence artificielle / analyse OCR (voir Annexe C) | États-Unis | Oui — CCT |
| Géocodage d'adresses, mise en correspondance de traces GPS ; messagerie/agenda si activés | États-Unis | Oui — CCT |
Annexe C — Traitements par intelligence artificielle et OCR
Version 2.2 — 1er octobre 2026Ces traitements ne sont activés qu'avec l'accord exprès du client au traitement externe, qu'il peut restreindre fonctionnalité par fonctionnalité ou utilisateur par utilisateur, et uniquement pour les fonctionnalités qu'il utilise.
| Fonctionnalité | Prestataire | Données transmises | Non-entraînement |
|---|---|---|---|
| OCR serveur (extraction de documents, factures, bons) | AWS Textract (UE) | Images / PDF des documents soumis | Oui |
| Analyse et extraction avancée de documents | OpenAI (US) | Texte OCR et images des documents soumis | Oui (API) |
| Enrichissement d'entreprises, génération de signatures, résumés | Anthropic (US) | Données d'entreprise, textes de messages/documents | Oui (API) |
Minimisation : seules les données strictement nécessaires à la finalité sont transmises. Aucune donnée de santé n'est délibérément transmise aux services d'IA, sauf si elle figure dans un document soumis par le client à l'OCR ou à l'analyse.
Non-entraînement : conformément aux conditions des fournisseurs, les données transmises via API ne sont pas utilisées pour l'entraînement des modèles.
Décision humaine : aucun traitement d'IA ne constitue une décision automatisée au sens de l'article 22 du RGPD ; l'utilisateur conserve le contrôle final.
Historique des versions : les versions antérieures des annexes sont conservées et disponibles sur demande à contact@neo-system.com. Toute modification substantielle fait l'objet d'une notification par courriel aux clients concernés, avec un préavis de 30 jours (opposition possible sous 15 jours), conformément à l'article 3 du DPA.