Contrat de sous-traitance

Version du 25 octobre 2026

Contrat conclu au titre de l'article 28 du règlement (UE) 2016/679 (RGPD) entre :

• le Client, l'entreprise ou l'indépendant qui crée un compte Aiguilleuse, responsable de traitement ;
• TTINOV, SAS immatriculée au RCS de Paris sous le numéro 105 863 120, dont le siège est situé 61 rue de Lyon, 75012 Paris, éditrice d'Aiguilleuse, sous-traitant.

Il complète les conditions générales, dont il reprend les définitions (article 1). Le Client l'accepte sous forme électronique, en cochant la case prévue lors de son inscription, avant toute installation de la Balise sur son site.

1. Objet

TTINOV traite, pour le compte du Client, les données personnelles nécessaires au fonctionnement de son Assistant : construire la Fiche de connaissance à partir des Sources, répondre aux Visiteurs, recueillir les Demandes et les transmettre au Client, compter la fréquentation de son site. La nature du traitement, ses finalités, les données et les personnes concernées sont décrites à l'annexe 1.

2. Durée

Le contrat s'applique pendant toute la durée d'utilisation du Service, essai compris, puis jusqu'à la suppression des données prévue à l'article 4.10.

3. Instructions du Client

3.1. TTINOV ne traite les données que sur instruction documentée du Client, y compris pour tout transfert hors de l'Union européenne. Constituent ces instructions : les conditions générales, le présent contrat et les réglages faits par le Client dans le Service (Sources, Informations sensibles, options de Demande).

3.2. Si une instruction lui paraît contraire au RGPD ou à une autre règle de protection des données, TTINOV en informe immédiatement le Client.

3.3. Si le droit de l'Union ou d'un État membre impose à TTINOV un traitement, TTINOV en informe le Client avant de l'effectuer, sauf si ce droit l'interdit.

4. Obligations de TTINOV

4.1. Finalités. TTINOV ne traite les données que pour les finalités de l'annexe 1. Elle ne les réutilise pas pour ses propres fins, ne les vend pas et ne les utilise pas pour entraîner un modèle d'IA ; elle impose la même interdiction à ses sous-traitants ultérieurs.

4.2. Confidentialité. Les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité. Elles n'accèdent aux Conversations et aux Demandes que pour l'assistance demandée par le Client, la résolution d'un incident ou le respect d'une obligation légale.

4.3. Sécurité. TTINOV met en œuvre les mesures de l'article 32 du RGPD décrites à l'annexe 2, et les tient à jour.

4.4. Sous-traitants ultérieurs. Le Client donne à TTINOV une autorisation générale de recourir aux sous-traitants ultérieurs listés à l'annexe 3.

• TTINOV informe le Client par email de tout ajout ou remplacement prévu au moins 30 jours avant qu'il prenne effet. Le Client peut s'y opposer pendant ce délai, par email motivé ; si aucune solution n'est trouvée, il peut résilier sans frais avant la prise d'effet.
• TTINOV impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données au moins équivalentes à celles du présent contrat.
• TTINOV demeure pleinement responsable devant le Client de l'exécution par ses sous-traitants ultérieurs de leurs obligations.

4.5. Localisation et transferts. Les données sont traitées dans l'Union européenne, et hébergées en France. Aucun transfert hors de l'Union européenne n'a lieu. Tout transfert futur serait soumis à la procédure de l'article 4.4 et encadré par les garanties du chapitre V du RGPD.

4.6. Droits des personnes. TTINOV transmet au Client, dans un délai de 5 jours ouvrés, toute demande d'exercice de droits qu'elle reçoit d'un Visiteur. Elle aide le Client à y répondre : recherche d'une Conversation ou d'une Demande, copie, rectification, suppression, dans les 5 jours ouvrés suivant la demande du Client faite par email.

4.7. Violations de données. TTINOV notifie au Client toute violation de données personnelles dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, par email. La notification contient les éléments de l'article 33, paragraphe 3, du RGPD dont elle dispose, complétés au fur et à mesure.

4.8. Assistance. TTINOV aide le Client, compte tenu des informations à sa disposition, à respecter ses obligations de sécurité, d'analyse d'impact et de consultation préalable de la CNIL (articles 32 à 36 du RGPD).

4.9. Durées de conservation. TTINOV supprime automatiquement les données à l'issue des durées de l'annexe 1. Le Client peut demander par email la suppression anticipée d'une Conversation ou d'une Demande.

4.10. Fin du contrat. À la fin du contrat, y compris à la fin d'un essai sans abonnement, TTINOV supprime les Conversations, les Demandes, la Fiche de connaissance et les Sources dans un délai de 30 jours, pendant lequel le Client peut demander par email l'export de ses Conversations et de ses Demandes. Les copies de sauvegarde sont effacées par rotation dans un délai supplémentaire de 30 jours au plus. TTINOV confirme la suppression sur demande.

4.11. Registre. TTINOV tient le registre des catégories d'activités de traitement effectuées pour le compte de ses Clients (article 30, paragraphe 2, du RGPD).

4.12. Documentation et audits. TTINOV met à la disposition du Client les informations nécessaires pour démontrer le respect du présent contrat. Le Client peut faire réaliser un audit une fois par an, à ses frais, par lui-même ou par un auditeur tenu au secret et non concurrent de TTINOV, après un préavis de 30 jours par email ; l'audit ne doit pas donner accès aux données d'autres Clients.

5. Obligations du Client

Le Client :

• s'assure que le traitement repose sur une base légale, et détermine les finalités de l'annexe 1 ;
• informe les Visiteurs : il laisse visibles l'information affichée dans la fenêtre de l'Assistant et son lien, et mentionne l'Assistant dans sa propre politique de confidentialité ;
• ne conserve pas les Demandes reçues par email plus de 3 ans après le dernier contact du Visiteur ;
• ne demande pas aux Visiteurs de données sensibles au sens de l'article 9 du RGPD ;
• ne fournit pas de Sources contenant des données personnelles inutiles aux réponses de l'Assistant ;
• répond aux demandes d'exercice de droits des Visiteurs, avec l'aide de TTINOV ;
• respecte, pour toute prospection, le choix exprimé par le Visiteur dans le formulaire de Demande.

6. Responsabilité

Chaque partie répond de ses manquements au présent contrat et au RGPD, dans les conditions de l'article 82 du RGPD et des conditions générales.

7. Droit applicable

Le présent contrat est soumis au droit français. Les litiges suivent l'article 15 des conditions générales.

Annexe 1 : description du traitement

Nature des opérations : lecture des pages publiques du site du Client, avec une capture de sa page d'accueil, et des documents qu'il dépose ; construction et stockage de la Fiche de connaissance ; envoi des messages des Visiteurs et de la Fiche de connaissance à un modèle d'IA pour produire les réponses ; enregistrement des Conversations et des Demandes ; envoi des Demandes au Client par email ; comptage des pages vues sur le site du Client, aussitôt réduit à des totaux par jour et par page ; affichage dans le tableau de bord du Client.

Finalités :

1. répondre aux questions des Visiteurs sur l'activité du Client ;
2. recueillir les Demandes des Visiteurs et les transmettre au Client ;
3. permettre au Client de relire les Conversations, y compris les questions restées sans réponse ;
4. donner au Client la fréquentation de son site (pages vues, visites), mesurée pour son compte exclusif et sans identifier les Visiteurs.

Personnes concernées :

• les Visiteurs du site du Client qui ouvrent l'Assistant ;
• les Visiteurs des pages où la Balise est collée, pour le comptage des pages vues : rien n'est gardé sur eux, seulement des totaux ;
• les personnes dont les données figurent dans les Sources (par exemple les membres d'une équipe présentés sur le site).

Catégories de données :

L'adresse IP du Visiteur sert à limiter les abus et n'est pas enregistrée avec la Conversation. Elle figure seulement dans les journaux techniques du serveur, qui servent à sa sécurité.

Données sensibles : aucune n'est demandée. Une mise en garde invite les Visiteurs à ne pas en communiquer ; celles qui le seraient malgré tout sont supprimées à la demande du Client.

Durées de conservation :

Lieux de traitement : France ; modèle d'IA en France ou dans l'Union européenne selon l'annexe 3.

Annexe 2 : mesures de sécurité

• Hébergement en France, chez un hébergeur français, sur un serveur réservé au Service.
• Chiffrement de tous les échanges (HTTPS) entre les Visiteurs, le Client, le Service et ses sous-traitants ultérieurs.
• Base de données fermée au public : seul le serveur du Service peut s'y connecter.
• Sauvegardes chiffrées avant de quitter le serveur, et stockées chez un autre hébergeur que la base.
• Sauvegardes quotidiennes de la base de données, conservées 30 jours au plus.
• Cloisonnement : chaque Client n'accède qu'aux données de son propre Assistant, vérifié par des tests automatisés.
• Accès à la production réservé au président de TTINOV, avec authentification à deux facteurs ; secrets et clés rangés dans un gestionnaire de secrets, jamais dans le code.
• Connexion des Clients par un code à usage unique envoyé par email.
• Rien n'est écrit dans le navigateur du Visiteur avant qu'il ouvre l'Assistant ; aucun traceur publicitaire ni outil de mesure tiers dans la Balise : la fréquentation est comptée par TTINOV elle-même, sans cookie ni identifiant, et les totaux de chaque Client sont tenus à part.
• Limites anti-abus par adresse IP, gardée en mémoire et jamais enregistrée.
• Seuls des modèles d'IA autorisés par une liste fixée dans le code répondent aux Visiteurs ; les fournisseurs de modèles n'utilisent pas les données pour l'entraînement.
• Suppression automatique des données à l'issue des durées de l'annexe 1.
• Journaux techniques du serveur conservés 30 jours au plus.

Annexe 3 : sous-traitants ultérieurs

Un seul des deux modèles d'IA répond aux Visiteurs à un moment donné, l'autre restant autorisé en réserve ; celui qui est en service est indiqué sur la page Transparence sur l'IA. Passer de l'un à l'autre ne demande pas le préavis de l'article 4.4, mais le Client en est informé par email.

Le modèle Claude Haiku 5.5 est conçu par Anthropic PBC. Par Amazon Bedrock, Anthropic n'a pas accès aux données traitées : elle n'est pas sous-traitant ultérieur.

Le paiement de l'abonnement (Stripe) ne porte pas sur les données des Visiteurs : il relève de la politique de confidentialité de TTINOV, pas du présent contrat.