Data processing agreement

This document is published in French, which is the authoritative version.

Sous-traitance au sens de l’article 28 du RGPD — version 1.1, en vigueur au 26 septembre 2026.
Annexe des Conditions Générales d’Abonnement et d’Utilisation (les « CGA »), dont les termes définis s’appliquent ici.

1. Objet

Le présent accord (l’« Accord ») définit les conditions dans lesquelles THESR SAS (« THESR »), en qualité de sous-traitant, traite des Données Personnelles pour le compte du Client, en qualité de responsable du traitement, dans le cadre des Services. Il s’applique de plein droit à tout Abonnement et fait partie intégrante des CGA. En matière de protection des Données Personnelles, il prévaut sur toute autre stipulation contractuelle.

2. Description du traitement

• Objet et durée : la fourniture des Services, pendant la durée de l’Abonnement puis la période de réversibilité et de suppression prévue à l’article 17 des CGA.
• Nature des opérations : hébergement et stockage ; extraction du texte, conversion, reconnaissance de caractères, détection de la langue et indexation ; recherche et affichage aux personnes autorisées ; anonymisation à la demande ; partage entre Utilisateurs Finaux ; sauvegarde ; sécurisation et journalisation ; transmission aux Services Tiers choisis par le Client (article 7) ; assistance.
• Finalité : permettre au Client et à ses Utilisateurs Finaux de conserver, rechercher, exploiter et partager leurs documents professionnels et de travailler ensemble sur leurs dossiers.
• Catégories de données : données d’identification et coordonnées professionnelles des Utilisateurs Finaux ; données de connexion et de sécurité (adresses IP, pays, appareils, sessions, journaux d’activité) ; toutes Données Personnelles contenues dans les Contenus du Client, qui peuvent comprendre, selon l’activité du Client et sous sa responsabilité, des données des catégories particulières (article 9 du RGPD) ou relatives à des condamnations pénales et infractions (article 10).
• Personnes concernées : les Utilisateurs Finaux ; les personnes dont les Contenus du Client mentionnent les données (notamment les clients du Client, leurs contreparties, leurs salariés, des tiers).

3. Instructions du Client

THESR ne traite les Données Personnelles que sur instruction documentée du Client. Constituent ces instructions : les CGA et le présent Accord ; la configuration des Services par le Client et ses Administrateurs, et leur utilisation par ses Utilisateurs Finaux (import, partage, suppression, activation d’un Connecteur ou d’un Assistant IA, réglages de sécurité) ; toute instruction écrite complémentaire acceptée par THESR. THESR informe immédiatement le Client si une instruction lui paraît constituer une violation de la réglementation. Elle ne traite les données pour une autre finalité que si le droit de l’Union ou d’un État membre l’y oblige, et en informe alors le Client, sauf si ce droit l’interdit.

4. Confidentialité

THESR veille à ce que les personnes autorisées à traiter les Données Personnelles soient soumises à une obligation de confidentialité et n’y accèdent que dans la mesure nécessaire à leurs missions, dans les cas prévus à l’article 10 des CGA.

5. Sécurité

THESR met en œuvre les mesures techniques et organisationnelles décrites à l’annexe 1, qu’elle peut faire évoluer sans diminuer le niveau global de protection. Le Client reconnaît qu’elles sont appropriées aux risques, compte tenu de l’état de l’art et des réglages qui lui incombent (article 9 des CGA).

6. Sous-traitants ultérieurs

Le Client autorise de manière générale THESR à recourir aux sous-traitants ultérieurs listés à l’annexe 2. THESR informe le Client, par courriel adressé à ses Administrateurs, de tout ajout ou remplacement au moins trente (30) jours avant qu’il prenne effet. Le Client peut s’y opposer par écrit, pour un motif raisonnable lié à la protection des données, dans les quinze (15) jours. À défaut de solution dans les trente (30) jours suivants, il peut résilier sans pénalité les Services concernés.

THESR impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données au moins équivalentes à celles du présent Accord, et demeure responsable envers le Client de leur respect.

Les Services Tiers que le Client choisit de relier à la Plateforme (Connecteurs, Assistants IA, fournisseur d’identité, logiciel d’agenda ; voir l’annexe 3) ne sont pas des sous-traitants ultérieurs de THESR : THESR leur transmet des données, ou en reçoit d’eux, sur l’instruction du Client, qui contracte directement avec leurs éditeurs et répond du choix de ces services et de leur usage.

7. Transferts hors de l’Union européenne

La Plateforme est hébergée en France. Lorsqu’un sous-traitant ultérieur traite des Données Personnelles hors de l’Espace économique européen, le transfert est encadré par une décision d’adéquation (notamment le cadre de protection des données UE–États-Unis, pour les entreprises certifiées) ou par les clauses contractuelles types de la Commission européenne. Les transferts résultant de l’utilisation d’un Service Tiers choisi par le Client, notamment d’un Assistant IA, relèvent de ses instructions et de sa responsabilité.

8. Assistance au Client

• Droits des personnes : THESR transmet sans délai au Client toute demande d’exercice de droits qu’elle reçoit au sujet de données traitées pour son compte, sans y répondre elle-même sauf instruction. Les fonctions de la Plateforme permettent au Client d’accéder aux données, de les rectifier, de les supprimer et de télécharger les documents ; THESR l’assiste pour le surplus.
• Analyses d’impact : THESR fournit au Client les informations nécessaires à ses analyses d’impact et, le cas échéant, à la consultation préalable de l’autorité de contrôle.
• Sécurité : THESR aide le Client à respecter ses obligations de sécurité et de notification des violations, compte tenu des informations dont elle dispose.

9. Violations de données

THESR notifie au Client toute violation de Données Personnelles traitées pour son compte dans les meilleurs délais, et au plus tard quarante-huit (48) heures après en avoir pris connaissance. La notification décrit, dans la mesure où elles sont connues, la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, ses conséquences probables et les mesures prises ou proposées ; les informations sont complétées au fur et à mesure. THESR prend sans délai les mesures raisonnables pour en limiter les effets. Il appartient au Client, responsable du traitement, de notifier la violation à l’autorité de contrôle et, le cas échéant, aux personnes concernées.

10. Fin du traitement

À la fin de l’Abonnement, THESR restitue les Contenus du Client à sa demande et les supprime, ainsi que les comptes de ses Utilisateurs Finaux, dans les conditions et délais de l’article 17 des CGA, sauf obligation légale de conservation. Elle confirme la suppression au Client qui le demande.

11. Documentation et audits

THESR met à la disposition du Client les informations nécessaires pour démontrer le respect du présent Accord : le présent Accord et ses annexes, et, une fois par an, ses réponses à un questionnaire de sécurité raisonnable. Si ces informations ne suffisent pas, le Client peut faire réaliser, au plus une fois par an et à ses frais, un audit par un auditeur indépendant, tenu au secret et qui n’est pas un concurrent de THESR, moyennant un préavis de trente (30) jours, pendant les heures ouvrées, sans perturber les Services ni porter atteinte à la confidentialité des données des autres clients de THESR. Le rapport est communiqué à THESR.

12. Registre et responsabilité

THESR tient un registre des catégories de traitements effectués pour le compte de ses clients (article 30.2 du RGPD). La responsabilité de chaque partie au titre du présent Accord est régie par l’article 15 des CGA, sans préjudice des droits que les personnes concernées tiennent de l’article 82 du RGPD.

Annexe 1 — Mesures techniques et organisationnelles

THESR met en œuvre au minimum les mesures suivantes. Leur description détaillée est communiquée au Client qui la demande, sous engagement de confidentialité : publiée, elle affaiblirait la protection qu’elle décrit.

Hébergement

• Plateforme et sauvegardes hébergées en France par OVH SAS (OVHcloud) ; administration réservée à un nombre restreint de personnes habilitées, par authentification forte ; mises à jour de sécurité appliquées en continu.
• Services cloisonnés entre eux ; ni les bases de données ni les fichiers ne sont exposés directement à Internet.

Réseau et échanges

• Échanges chiffrés (TLS) sur tout le trajet, du navigateur jusqu’aux serveurs de la Plateforme ; filtrage des attaques, limitation de débit et contrôle anti-robot sur les formulaires publics.

Traitement des fichiers

• Fichiers importés ouverts et convertis dans des environnements isolés.
• Reconnaissance de caractères, détection de la langue et anonymisation exécutées sur l’infrastructure de THESR, sans recours à un service tiers ; aucun entraînement de modèle sur les Contenus du Client.

Accès et authentification

• Connexion sans mot de passe par lien à usage unique et de courte durée ; authentification à deux facteurs selon la politique du Client, obligatoire pour le personnel de THESR ; connexion unique (SSO) sur demande.
• Sessions limitées en nombre et en durée selon les réglages du Client ; limitation des tentatives de connexion.
• Cloisonnement des données de chaque Client ; droits par rôle et par bibliothèque ; comptes techniques limités au strict nécessaire.
• Assistants IA : autorisation par un protocole standard (OAuth 2.1), jetons de courte durée, capacités choisies par le Client, limitation de débit, journalisation de chaque appel.

Chiffrement et secrets

• Autorisations d’accès des Connecteurs conservées chiffrées ; jetons et codes d’accès conservés sous forme d’empreintes ; secrets d’exploitation propres à chaque service.

Journalisation et détection

• Journalisation des connexions, des accès aux documents, des actions dans les dossiers, des appels des Assistants IA et des actions d’administration, conservée douze mois au plus.
• Surveillance continue de l’activité, fondée sur des métadonnées et jamais sur le contenu des documents : détection des comportements inhabituels, mesures de protection automatiques, alertes au Client et à THESR.

Continuité

• Sauvegardes quotidiennes de la base de données et des fichiers, conservées quatorze jours, dont la restauration est vérifiée régulièrement.
• Mises en production précédées de tests automatisés, avec retour à la version précédente en cas d’échec.

Organisation

• Personnel habilité tenu à la confidentialité ; accès aux Contenus du Client limité aux cas prévus à l’article 10 des CGA.
• Surveillance des vulnérabilités des composants logiciels et analyse du code ; revues de sécurité régulières ; procédure de gestion des incidents.

Annexe 2 — Sous-traitants ultérieurs

Annexe 3 — Services Tiers choisis par le Client

Ces services ne sont pas des sous-traitants ultérieurs de THESR (article 6) : ils ne reçoivent ou ne fournissent des données que si le Client les relie à la Plateforme, selon leurs propres conditions.

• Connecteurs : Google Drive (Google) ; OneDrive et SharePoint (Microsoft) ; application de bureau Thesr Sync.
• Assistants IA : notamment Claude (Anthropic), ChatGPT (OpenAI), Copilot et Microsoft 365 Copilot (Microsoft), Le Chat (Mistral AI), et tout client compatible avec le protocole MCP que le Client autorise.
• Connexion unique : le fournisseur d’identité du Client (par exemple Microsoft Entra ID ou Google Workspace), lorsqu’elle est mise en place.
• Agendas : les logiciels d’agenda auxquels le Client abonne le calendrier de ses tâches.