Accord de sous-traitance des données (article 28 du RGPD) : Nawame, offre Organisation

Version 1.1 du 22 octobre 2026

Article 1 : Parties et objet

1.1. Le présent accord est conclu entre :

• l'organisation cliente de l'offre Organisation de Nawame (article 3 bis des CGV), représentée par la personne qui souscrit ou qui l'administre, ci-après « le Client », agissant en qualité de responsable du traitement ;
• HTTP5000, SAS au capital de 15 024 €, immatriculée au RCS de Lyon sous le numéro 431 903 376, dont le siège est 3 rue Passet, 69007 Lyon, France, éditrice du service Nawame, ci-après « l'Éditeur », agissant en qualité de sous-traitant.

1.2. Il fixe les conditions dans lesquelles l'Éditeur traite, pour le compte du Client, les données personnelles contenues dans l'organisation du Client, conformément à l'article 28 du règlement (UE) 2016/679 (« RGPD »).

1.3. Formation et rang. Le présent accord fait partie intégrante du contrat de l'offre Organisation dès la souscription ou dès la création de l'organisation, sans signature séparée. En cas de contradiction sur la protection des données, il prévaut sur les CGU et les CGV. Le Client qui souhaite un exemplaire signé l'obtient sur simple demande à info@nawame.eu.

Article 2 : Ce qui est couvert, et ce qui ne l'est pas

2.1. Couvert : l'organisation du Client. Le contenu de ses espaces, dossiers et mémoires de travail, les comptes de ses membres dans leur rôle de membres (nom affiché, adresse de connexion, rôle, appartenance aux équipes), ses invitations, ses domaines déclarés, ses identités de service et clés de connexion, et le journal d'audit et des lectures de l'organisation.

2.2. Non couvert : l'espace personnel de chaque membre. Chaque membre dispose d'un compte et d'un espace personnel qui lui appartiennent. L'Éditeur en est responsable de traitement vis-à-vis du membre, selon la politique de confidentialité. Le Client n'y a aucun accès, et ce qu'un membre range dans son espace personnel n'entre pas dans le présent accord. Un membre qui appartient à plusieurs organisations a un compte unique : chaque organisation ne voit que ce qui a été rangé chez elle.

2.3. Non couvert : les IA connectées. Lorsqu'un membre connecte une IA tierce (assistant conversationnel, outil de code), le fournisseur de cette IA reçoit ce que le membre lui fait lire, pour son propre compte ou celui du Client, selon le contrat que le membre ou le Client a conclu avec lui. Ce fournisseur n'est pas un sous-traitant de l'Éditeur (politique de confidentialité, §7). L'Éditeur ne fait qu'exécuter les lectures et écritures autorisées par les droits du membre.

2.4. Non couvert : la facturation. Les données de facturation de l'abonnement sont traitées par l'Éditeur pour son propre compte (obligation comptable), et par le prestataire de paiement selon ses propres conditions.

Article 3 : Description du traitement

Article 4 : Obligations du Client

4.1. Le Client documente ses instructions par l'usage du Service et de ses réglages (rôles, équipes, dossiers restreints, politique de domaine, clés de connexion). Ces réglages valent instructions.

4.2. Le Client s'assure d'une base légale pour les données qu'il range, informe les personnes concernées, et réalise l'analyse d'impact qui lui incombe le cas échéant (par exemple pour des données de salariés ou des données de l'article 9 du RGPD).

4.3. Le Client désigne au moins un administrateur et tient ses membres informés des règles de l'organisation.

Article 5 : Obligations de l'Éditeur

5.1. Instructions. L'Éditeur ne traite les données que sur instruction documentée du Client, y compris pour un transfert hors de l'Union européenne, sauf obligation légale à laquelle il est soumis ; dans ce cas, il en informe le Client avant le traitement, sauf si la loi l'interdit. Il informe le Client s'il estime qu'une instruction enfreint le RGPD.

5.2. Aucune autre utilisation. L'Éditeur n'utilise pas le contenu du Client pour entraîner un modèle, pour la publicité, pour établir un profil ou à toute autre fin propre. Aucune donnée n'est vendue.

5.3. Confidentialité du personnel. Seules des personnes habilitées, tenues à la confidentialité par contrat ou par une obligation légale, accèdent techniquement aux données de production, et seulement pour faire fonctionner, maintenir et sécuriser le Service, ou répondre à une réquisition judiciaire régulière. Le diagnostic courant passe par un rôle technique limité qui ne lit aucun contenu, titre, adresse ni nom. Toute écriture en production passe par une opération tracée, jamais par une commande manuelle.

5.4. Sécurité. L'Éditeur met en œuvre les mesures de l'annexe 1 et les maintient à un niveau au moins équivalent pendant toute la durée du contrat.

5.5. Accès opérateur visible. Lorsqu'un accès est ouvert au nom d'un membre (par exemple une clé de diagnostic qu'il a demandée), il est visible du membre dans son compte et tracé avec son motif.

Article 6 : Sous-traitants ultérieurs

6.1. Autorisation générale. Le Client autorise l'Éditeur à recourir aux sous-traitants ultérieurs listés à l'annexe 2. L'Éditeur leur impose par contrat des obligations de protection des données au moins équivalentes à celles du présent accord, et reste responsable envers le Client de leur exécution.

6.2. Changement. L'Éditeur informe les administrateurs du Client par e-mail au moins trente jours avant d'ajouter ou de remplacer un sous-traitant ultérieur qui traite les données de l'organisation. Le Client peut s'y opposer pour un motif raisonnable lié à la protection des données, par écrit pendant ce délai. À défaut de solution dans ce délai, le Client peut résilier l'abonnement sans frais, l'Éditeur remboursant la part payée et non consommée.

6.3. Un changement imposé en urgence pour la sécurité ou la continuité du Service est notifié sans délai, avec le même droit d'opposition et de résiliation.

Article 7 : Localisation et transferts

7.1. Les données de l'organisation sont hébergées dans l'Union européenne (Allemagne ; copie de sauvegarde chiffrée aux Pays-Bas). La localisation dans l'Union européenne n'exclut pas, à elle seule, tout transfert international : un sous-traitant établi hors de l'Union, ou soumis au droit d'un pays tiers, peut avoir un accès à distance ou devoir répondre à la réquisition d'une autorité étrangère. L'Éditeur ne présente jamais cette localisation comme une exclusion automatique de tout transfert.

7.2. Copie de sauvegarde hors site. Elle est confiée à Backblaze, Inc. (société de droit américain), qui stocke des archives déjà chiffrées par l'Éditeur avant l'envoi, avec une clé qu'elle ne détient pas. Le transfert éventuel est encadré par les clauses contractuelles types de son accord de traitement des données (module applicable selon la qualification de chaque donnée) et, à titre complémentaire, par son adhésion déclarée au cadre de protection des données UE-États-Unis (annexe 2). L'Éditeur en documente de façon transparente les éléments au Client, sur demande, y compris les accès possibles du prestataire et les mesures complémentaires.

7.3. L'Éditeur vérifie les mécanismes contractuels et les accès possibles de ses sous-traitants avant de les engager et à chaque modification notable (article 6.2). Tout autre transfert hors de l'Union serait soumis à l'information préalable de l'article 6.2 et encadré par une décision d'adéquation ou des garanties appropriées au sens de l'article 46 du RGPD.

Article 8 : Assistance au Client

8.1. Droits des personnes. Le Service permet au Client de répondre lui-même à l'essentiel des demandes des personnes : consultation, correction et export des mémoires selon les droits des administrateurs, retrait d'un membre, journal d'audit. Une modification ne détruisant pas la version précédente, la suppression définitive d'un contenu est exécutée par l'Éditeur sur instruction écrite du Client, sous trente jours. Si une personne s'adresse à l'Éditeur pour des données de l'organisation, l'Éditeur la renvoie vers le Client et en informe le Client sans délai, sans y répondre lui-même sauf instruction.

8.2. Analyse d'impact et consultation préalable. L'Éditeur fournit au Client, sur demande, les informations dont il dispose pour son analyse d'impact (description des mesures, des flux et des sous-traitants).

8.3. Coût. L'assistance prévue au présent article est sans frais tant qu'elle reste raisonnable et ne demande pas de développement spécifique.

Article 9 : Violation de données

9.1. L'Éditeur notifie au Client toute violation de données personnelles touchant l'organisation sans retard injustifié après en avoir pris connaissance, par e-mail aux administrateurs. Son objectif opérationnel est de 24 heures après la confirmation de la violation ; il n'attend pas cette échéance si la notification peut intervenir plus tôt. Cet objectif n'est pas une garantie de délai et ne limite pas l'obligation légale.

9.2. La notification décrit, dans la mesure où elle est connue : la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, les conséquences probables, les mesures prises ou proposées, et un contact. Les informations complémentaires sont transmises progressivement, sans attendre d'être complètes.

9.3. Il appartient au Client, responsable du traitement, de notifier l'autorité de contrôle et, le cas échéant, les personnes concernées. L'Éditeur l'y assiste.

Article 10 : Fin du contrat

10.1. Restitution. À tout moment, et notamment à la fin du contrat, les administrateurs du Client peuvent exporter les mémoires de l'organisation dans un format ouvert et documenté (export de leur compte, qui couvre ce qu'ils peuvent lire dans les espaces de l'organisation). Sur demande écrite, l'Éditeur fournit sous trente jours un export de tout le contenu partagé de l'organisation. Les brouillons privés d'un membre restent privés : chaque membre les exporte lui-même depuis son compte.

10.2. Suppression. Sur demande écrite du Client, l'Éditeur supprime le contenu de l'organisation de la base active sous trente jours, puis des sauvegardes chiffrées par rotation dans les trente jours suivants. Il confirme la suppression par écrit.

10.3. Conservation légale. Ne sont conservés, sans contenu, que les éléments qu'une obligation légale impose (données de facturation : 10 ans ; journal d'audit dépersonnalisé, aux durées de la politique de confidentialité).

10.4. Sans demande de suppression, une organisation revenue à l'offre gratuite reste accessible à ses membres : la fin de l'abonnement payant ne supprime rien d'elle-même.

Article 11 : Documentation et audit

11.1. L'Éditeur met à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord : description des mesures de sécurité, liste des sous-traitants ultérieurs, et réponse écrite à un questionnaire de sécurité raisonnable.

11.2. Si ces informations ne suffisent pas, le Client peut faire réaliser un audit, par lui-même ou par un auditeur indépendant tenu à la confidentialité, au plus une fois par an (sauf violation avérée ou demande d'une autorité), avec un préavis de trente jours, pendant les heures ouvrées, sans accès aux données des autres clients ni atteinte à la sécurité du Service. Les frais de l'audit sont à la charge du Client.

Article 12 : Responsabilité, durée et droit applicable

12.1. Chaque partie répond de ses manquements au présent accord dans les conditions de l'article 82 du RGPD et des CGV. Les droits des personnes concernées ne sont pas limités par le présent accord. Entre les parties, la responsabilité de l'Éditeur est plafonnée selon les CGV, sous réserve des dispositions impératives applicables (notamment la faute lourde ou dolosive et la responsabilité qui ne peut légalement être limitée).

12.2. Le présent accord dure autant que le contrat, et ses articles 9 à 11 tant que l'Éditeur détient des données de l'organisation.

12.3. L'Éditeur peut faire évoluer le présent accord pour suivre la loi ou le Service ; une évolution qui réduit la protection des données ne s'applique au Client qu'après une information de trente jours, avec le droit de résiliation de l'article 6.2.

12.4. Le présent accord est soumis au droit français. Les litiges relèvent des tribunaux français compétents, après la réclamation préalable prévue à l'article 12 des CGV.

Annexe 1 : Mesures techniques et organisationnelles

• Contrôle d'accès côté serveur : chaque lecture et écriture est vérifiée par le serveur selon le rôle du membre, ses équipes et les dossiers restreints ; une IA connectée hérite au plus des droits du membre, jamais davantage.
• Cloisonnement entre organisations : aucune publication, fusion ou aucun déplacement ne franchit la frontière d'une organisation, et une personne ne lit que les organisations dont elle est membre.
• Clés de connexion restreignables à une organisation ou un espace, conservées sous forme hachée, avec expiration et révocation ; connexion des personnes par code envoyé par e-mail, à usage unique et durée courte.
• Journal d'audit des actions sensibles et journal des lectures faites par une IA connectée (sans contenu), consultables par les administrateurs.
• Chiffrement des échanges (TLS) et du stockage au repos (volume de la base et sauvegardes) ; sauvegardes quotidiennes chiffrées, conservées 30 jours.
• Versionnage : une modification ne détruit pas la version précédente ; une erreur se restaure.
• Accès du personnel : habilitation nominative, rôle de diagnostic limité sans contenu, toute écriture en production par opération tracée et relue.
• Effacement : l'effacement d'un compte retire ses données personnelles et anonymise son rattachement au contenu commun.

Annexe 2 : Sous-traitants ultérieurs (au 22 octobre 2026)

Le calcul des représentations de recherche (embeddings) est réalisé par un service auto-hébergé sur l'infrastructure de l'Éditeur, sans tiers. Aucun fournisseur de modèle de langage ne reçoit le contenu de l'organisation de la part de l'Éditeur. Les fournisseurs utilisés par le compagnon personnel Nawa (politique de confidentialité, §6) ne traitent pas les données de l'organisation.

Annexe 3 : Contact

Pour toute question, demande d'exemplaire signé, d'export, de suppression, d'audit ou d'opposition : info@nawame.eu, en précisant le nom de l'organisation.