Accord de traitement des données

Projet — version du 2 octobre 2026

1. Objet et qualité des parties

Le présent accord de traitement des données (le « DPA ») est conclu en application de l'article 28 du règlement (UE) 2016/679 (« RGPD »). Il est annexé aux conditions générales de vente d'Adjurio et en fait partie intégrante.

Le Service est édité par AURVA SOFTWARE, société par actions simplifiée à associé unique au capital de 100 €, dont le siège social est situé 138 avenue Victor Hugo, 75116 Paris, France, immatriculée sous le numéro SIREN 130 051 519 (RCS Paris) (« Adjurio »).

Le Client agit en qualité de responsable du traitement pour les données personnelles contenues dans les Contenus qu'il traite dans le Service. Adjurio agit en qualité de sous-traitant.

Pour les données de compte et d'usage du Service, qu'Adjurio traite pour ses propres finalités de fourniture, de sécurité et de facturation, Adjurio agit en qualité de responsable du traitement. Ces traitements sont décrits dans la politique de confidentialité et ne relèvent pas du présent DPA.

2. Définitions

• Contenus du Client : les documents, données et informations importés, saisis ou connectés par le Client ou ses Utilisateurs, ainsi que les Résultats produits à partir de ceux-ci.
• Données personnelles : les données à caractère personnel contenues dans les Contenus du Client, au sens de l'article 4 du RGPD.
• Sous-traitant ultérieur : tout prestataire auquel Adjurio recourt pour traiter des Données personnelles pour le compte du Client.
• Les autres termes employés avec une majuscule ont le sens que leur donnent les conditions générales de vente et les conditions générales d'utilisation.

3. Description du traitement

Objet : la fourniture du Service, qui aide le Client à préparer ses réponses aux appels d'offres, aux consultations et aux questionnaires de sécurité à partir de ses propres documents.

Nature et finalité : importation, stockage, indexation, recherche, analyse, génération de textes assistée par intelligence artificielle, contrôle de cohérence, export et suppression des Contenus du Client, aux seules fins de fournir le Service.

Durée : le traitement dure aussi longtemps que le contrat, puis le temps nécessaire aux opérations de restitution et de suppression prévues à l'article 14.

4. Données et personnes concernées

Adjurio ne choisit ni les Données personnelles que le Client dépose dans le Service, ni les personnes qu'elles concernent. Le Client en reste seul maître. À titre indicatif, les Contenus du Client comportent habituellement :

• des données d'identification et professionnelles : nom, prénom, fonction, adresse e-mail professionnelle, numéro de téléphone professionnel, employeur ;
• des éléments de parcours professionnel figurant dans les mémoires techniques, les références et les curriculum vitæ joints aux réponses ;
• des données contenues dans les pièces administratives, les attestations et les échanges avec les acheteurs.

Les personnes concernées sont principalement les salariés, dirigeants, sous-traitants et partenaires du Client, ainsi que les interlocuteurs des organismes acheteurs mentionnés dans les Contenus.

Le Service n'est pas destiné à recevoir des données relevant de l'article 9 du RGPD ni des données relatives à des condamnations pénales. Le Client s'abstient d'en déposer ; s'il le fait, il en assume seul la licéité.

5. Instructions du Client

Adjurio ne traite les Données personnelles que sur instruction documentée du Client. Le contrat, les présentes dispositions et l'utilisation du Service par les Utilisateurs constituent ces instructions.

Adjurio informe le Client si une instruction lui paraît constituer une violation du RGPD ou d'une autre disposition du droit de l'Union ou d'un État membre relative à la protection des données.

Adjurio n'utilise les Contenus du Client ni pour ses propres finalités, ni à des fins statistiques ou commerciales, ni pour entraîner des modèles d'intelligence artificielle. Cette interdiction est répercutée contractuellement sur les fournisseurs de modèles auxquels Adjurio recourt.

Si le droit de l'Union ou d'un État membre oblige Adjurio à un transfert, Adjurio en informe le Client avant le traitement, sauf si ce droit interdit une telle information pour des motifs importants d'intérêt public.

6. Confidentialité

Adjurio veille à ce que les personnes autorisées à traiter les Données personnelles s'engagent à en respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.

L'accès aux Contenus du Client est limité aux personnes qui en ont besoin pour exploiter, maintenir ou dépanner le Service, et il est journalisé.

7. Sécurité

Adjurio met en œuvre les mesures techniques et organisationnelles appropriées exigées par l'article 32 du RGPD, notamment :

• le chiffrement des données en transit (TLS) et au repos ;
• le cloisonnement des espaces clients et un contrôle d'accès par rôles, avec authentification des Utilisateurs ;
• la journalisation des accès et des opérations sensibles ;
• des sauvegardes régulières, chiffrées, et des procédures de restauration éprouvées ;
• la revue périodique des droits d'accès et le retrait des accès à la fin des missions ;
• des tests et des mises à jour de sécurité suivis tout au long du cycle de vie du Service.

Ces mesures peuvent évoluer avec l'état de l'art. Adjurio ne les abaissera pas en deçà du niveau de protection constaté à la date de souscription.

8. Sous-traitants ultérieurs

Le Client autorise de façon générale Adjurio à recourir à des sous-traitants ultérieurs. La liste à jour, avec leur finalité, les données concernées, leur localisation et les garanties applicables, est publiée sur la page Sous-traitants ultérieurs.

Adjurio informe le Client de tout projet d'ajout ou de remplacement d'un sous-traitant ultérieur au moins trente (30) jours avant sa mise en service. Le Client peut s'y opposer pour un motif raisonnable tenant à la protection des données ; à défaut d'accord, il peut résilier la partie du Service concernée sans pénalité.

Adjurio impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes à celles du présent DPA, et demeure pleinement responsable envers le Client de l'exécution de leurs obligations.

9. Transferts hors de l'Union européenne

Les Contenus du Client sont hébergés dans l'Union européenne. Certains sous-traitants ultérieurs sont établis aux États-Unis ou peuvent y accéder pour l'exploitation et le support.

Ces transferts sont encadrés par les garanties prévues au chapitre V du RGPD : décision d'adéquation lorsqu'elle s'applique, à défaut clauses contractuelles types de la Commission européenne, assorties des mesures techniques complémentaires nécessaires. Le détail figure sur la page Sous-traitants ultérieurs.

10. Droits des personnes concernées

Adjurio met à la disposition du Client les fonctions du Service permettant d'accéder aux Contenus, de les rectifier, de les exporter et de les supprimer, afin que le Client puisse répondre lui-même aux demandes des personnes concernées.

Si une personne concernée s'adresse directement à Adjurio, Adjurio ne lui répond pas sur le fond et transmet la demande au Client sans délai injustifié.

Lorsque les fonctions du Service n'y suffisent pas, Adjurio prête au Client une assistance raisonnable, compte tenu de la nature du traitement et des informations dont il dispose.

11. Assistance au Client

Adjurio aide le Client, dans la mesure du raisonnable et compte tenu des informations dont il dispose, à satisfaire aux obligations des articles 32 à 36 du RGPD : sécurité du traitement, notification des violations, analyse d'impact relative à la protection des données et consultation préalable de l'autorité de contrôle.

12. Violations de données

Adjurio notifie au Client toute violation de données personnelles affectant les Contenus du Client sans délai injustifié et au plus tard quarante-huit (48) heures après en avoir pris connaissance.

La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou proposées. Les informations manquantes sont communiquées au fur et à mesure.

La notification à l'autorité de contrôle et, le cas échéant, aux personnes concernées incombe au Client, en qualité de responsable du traitement.

13. Audit et documentation

Adjurio met à la disposition du Client les informations nécessaires pour démontrer le respect des obligations de l'article 28 du RGPD.

Le Client peut faire réaliser un audit par an, à ses frais, par lui-même ou par un auditeur indépendant soumis à une obligation de confidentialité et n'étant pas concurrent d'Adjurio, moyennant un préavis de trente (30) jours. L'audit se déroule pendant les heures ouvrées, sans perturber le Service ni exposer les données d'autres clients.

Adjurio peut satisfaire à cette obligation en communiquant la documentation de ses mesures de sécurité et, lorsqu'ils existent, les rapports d'audit ou certifications de ses sous-traitants ultérieurs.

14. Sort des données en fin de contrat

À la fin du contrat, le Client dispose de trente (30) jours pour exporter ses Contenus au moyen des fonctions du Service.

À l'expiration de ce délai, Adjurio supprime les Contenus du Client de ses systèmes actifs. Les copies présentes dans les sauvegardes sont effacées au terme du cycle de rotation des sauvegardes, qui n'excède pas trente-cinq (35) jours ; elles demeurent protégées jusque-là par les mesures de sécurité du présent DPA.

Adjurio ne conserve au-delà que ce que le droit de l'Union ou d'un État membre l'oblige à conserver, et pour la seule durée exigée.

Une attestation de suppression est remise au Client sur demande.

15. Durée, responsabilité et modifications

Le présent DPA prend effet à la date de souscription et demeure en vigueur tant qu'Adjurio traite des Données personnelles pour le compte du Client.

En cas de contradiction entre le présent DPA et les conditions générales de vente, le présent DPA prévaut pour ce qui concerne le traitement des Données personnelles.

Adjurio peut modifier le présent DPA pour tenir compte d'une évolution du droit ou du Service. Toute modification substantielle est portée à la connaissance du Client au moins trente (30) jours avant son entrée en vigueur.

Questions relatives au présent accord : legal@adjurio.com.