Version du 11 novembre 2026.
Sommaire
- Parties
- Article 1 – Objet
- Article 2 – Description du traitement
- Article 3 – Instructions du Responsable
- Article 4 – Engagements du Sous-traitant
- Article 4 bis – Accès d'assistance
- Article 5 – Obligations du Responsable
- Article 6 – Sous-traitants ultérieurs
- Article 7 – Transferts hors de l'Union européenne
- Article 8 – Droits des personnes concernées
- Article 9 – Violation de données
- Article 10 – Sort des données à la fin du contrat
- Article 11 – Documentation et audit
- Article 12 – Assistance et analyse d'impact
- Article 13 – Responsabilité
- Article 14 – Droit applicable ; prévalence
- Annexe A – Mesures techniques et organisationnelles
- Annexe B – Sous-traitants ultérieurs autorisés
- Annexe C – Modèle de mention d'information à l'usage du Responsable
Parties
Le Responsable de traitement : le client professionnel qui souscrit au service Marceau, y compris pour un essai (le « Responsable »), identifié par les informations de son compte et de facturation (dénomination, représentant, adresse électronique, adresse de facturation).
Le Sous-traitant : MARCEAU, société par actions simplifiée à associé unique (SASU), au capital de 1 000 euros, dont le siège social est situé 471 chemin de Montperet, 38410 Vaulnaveys-le-Haut, immatriculée au RCS de Grenoble sous le numéro 912 996 709, représentée par son président, M. Jérémy Bourgeois (le « Sous-traitant »).
Formation et preuve. Le présent contrat, qui constitue l'annexe 2 des conditions générales de vente (les « CGV »), est accepté à la création du compte, avant le premier traitement de données pour le compte du Responsable, y compris pendant l'essai, par la case unique prévue à l'article 20.3 des CGV : « J'accepte les conditions générales et la politique de confidentialité, dont l'envoi de mes données à OpenAI. » Les CGV y renvoient : il est accessible depuis la page https://hellomarceau.fr/conditions, avant l'acceptation puis à tout moment.
Le Sous-traitant enregistre le compte concerné, le document, sa version, la date de l'acceptation et l'empreinte du texte accepté. La conservation de cette preuve, séparée de l'Espace, obéit à l'article 21.5 des CGV.
Article 1 – Objet
Le présent contrat définit les conditions dans lesquelles le Sous-traitant traite, pour le compte et sur les instructions documentées du Responsable, les données personnelles nécessaires à la fourniture du service Marceau (le « Service »), conformément à l'article 28 du règlement (UE) 2016/679 (« RGPD »).
Article 2 – Description du traitement
2.1. Nature des opérations :
- collecte des données saisies, dictées ou déposées par le Responsable ;
- enregistrement et conservation dans l'Espace du Responsable ;
- transcription de la voix ;
- lecture automatisée des photographies, plans et documents ;
- analyse par intelligence artificielle pour préparer des brouillons de devis et de factures ;
- lecture, en consultation seule, des devis enregistrés dans le logiciel connecté par le Responsable, y compris par une relecture périodique, notamment nocturne ;
- transmission des brouillons à ce logiciel, sur action du Responsable ;
- consultation par l'équipe du Sous-traitant, sur autorisation du Responsable, pour l'assister (article 4 bis) ;
- export ;
- sauvegarde et restauration ;
- effacement.
2.2. Finalité unique : permettre au Responsable de préparer ses brouillons de devis et de factures et de gérer ses dossiers de chantier.
2.3. Personnes concernées :
- les clients du Responsable (particuliers et représentants de personnes morales) ;
- les occupants des lieux des chantiers ;
- les contacts professionnels figurant dans les documents (architectes, syndics, maîtres d'œuvre, fournisseurs) ;
- les collaborateurs du Responsable qui utilisent le Service.
2.4. Catégories de données :
- identité : civilité, nom, prénom, raison sociale, SIREN/SIRET ;
- coordonnées : téléphones, adresse électronique, adresse de facturation, adresse du chantier ;
- contenu des notes écrites ou dictées, enregistrements vocaux et transcriptions ;
- photographies, plans, croquis et documents déposés ;
- contenu des devis et factures (lignes, quantités, prix, historique) ;
- identifiants techniques, dont la référence du document dans le logiciel connecté.
2.5. Données interdites. Le Service n'est pas destiné au traitement des données visées aux articles 9 et 10 du RGPD. Le Responsable s'abstient de les saisir, dicter ou joindre. Il décrit les caractéristiques techniques nécessaires aux travaux (« douche de plain-pied sans ressaut ») sans mentionner l'état de santé ou d'autres informations sensibles concernant une personne.
Si le Sous-traitant constate de telles données, il en informe le Responsable et limite leur traitement aux opérations nécessaires à leur sécurisation et à leur retrait ou mise en conformité, sur instruction licite.
2.6. Durée : celle de l'essai puis de l'abonnement, augmentée des seules opérations de restitution, de conservation résiduelle autorisée et d'effacement prévues à l'article 10.
Article 3 – Instructions du Responsable
3.1. Le Sous-traitant ne traite les données que sur instruction documentée du Responsable, y compris en ce qui concerne les transferts hors de l'Union européenne. Ces instructions sont constituées :
- du présent contrat ;
- des CGV ;
- de l'autorisation de transmission à OpenAI donnée par la case d'acceptation, qui ne vaut pas consentement des personnes concernées ;
- des actions du Responsable dans le Service : saisie, dictée, dépôt, lancement d'une préparation, connexion d'un logiciel, dépôt d'un brouillon, export, suppression ;
- des autorisations d'assistance qu'il accorde (article 4 bis) ;
- de toute instruction écrite adressée à contact@hellomarceau.fr.
3.2. Si le droit de l'Union ou d'un État membre impose un traitement, le Sous-traitant en informe le Responsable avant le traitement, sauf si la loi l'interdit pour des motifs importants d'intérêt public.
3.3. Le Sous-traitant informe immédiatement le Responsable d'une instruction qui lui paraît contraire aux règles de protection des données et en suspend l'exécution dans la mesure nécessaire. L'opération ne reprend qu'après mise en conformité ou établissement de sa licéité ; la seule confirmation de l'instruction ne suffit pas.
Article 4 – Engagements du Sous-traitant
Le Sous-traitant s'engage à :
- traiter les données pour la seule finalité de l'article 2.2 ;
- ne pas les utiliser pour son propre compte, ni pour entraîner ou améliorer un modèle d'intelligence artificielle, ni pour améliorer le service rendu à un autre client, ni pour établir des statistiques commerciales ou des fichiers de prospection, ni pour des démonstrations, hors des prix et descriptifs de référence anonymes et agrégés, sans donnée personnelle ;
- ne pas les vendre, les louer, les céder ni les communiquer à des tiers autres que ceux de l'article 6 ;
- n'adresser aucun message aux clients du Responsable. Le Service n'envoie rien au client final ;
- garantir la confidentialité des données. Les accès sont réservés aux personnes individuellement habilitées exerçant des fonctions d'administration technique ou d'assistance, dans la stricte mesure nécessaire. Le dirigeant du Sous-traitant est lié par un engagement écrit de confidentialité ; toute personne habilitée y est tenue ;
- mettre en œuvre les mesures de sécurité de l'annexe A et ne pas les dégrader pendant la durée du contrat ;
- tenir le registre des catégories d'activités de traitement effectuées pour le compte du Responsable (article 30.2 du RGPD) ;
- prendre en compte la protection des données dès la conception et par défaut (article 25 du RGPD).
Article 4 bis – Accès d'assistance
4 bis.1. L'accès humain aux contenus de l'Espace pour assister le Responsable nécessite son accord explicite et écrit, ou celui d'un utilisateur habilité à le donner, y compris pendant l'essai. Cet accord précise l'intervention et vaut instruction documentée ; il ne vaut pas consentement des personnes concernées.
4 bis.2. L'accord est donné par écrit, par courriel à contact@hellomarceau.fr ou dans « Signaler un problème ». Il vaut pour l'intervention demandée, quarante-huit (48) heures au plus, et reste révocable à tout moment. Une case dédiée dans le Service est à venir.
4 bis.3. Chaque intervention a un motif. Elle est nominative, limitée à la durée nécessaire et consignée. Le Responsable peut en obtenir le relevé sur demande.
4 bis.4. Les opérations techniques nécessaires à la sécurité, à la gestion d'un incident ou au respect d'une obligation légale sont limitées au besoin constaté et tracées. Elles ne permettent aucune utilisation commerciale ni démonstration des contenus.
4 bis.5. Les instances de test ou de démonstration, sans utilisateur réel, restent accessibles à l'équipe ; elles ne doivent contenir que des données fictives ou effectivement anonymisées. Un essai contenant des données réelles bénéficie de la même protection qu'un abonnement payant.
Article 5 – Obligations du Responsable
Le Responsable s'engage à :
- disposer d'une base légale pour chaque traitement qu'il confie au Sous-traitant ;
- informer ses clients et les personnes concernées de l'utilisation d'un outil de préparation de devis faisant appel à des prestataires techniques, dont un prestataire d'intelligence artificielle, et recueillir les consentements éventuellement nécessaires, de sorte que le Sous-traitant puisse tenir ses propres engagements envers OpenAI (accord de traitement OpenAI, art. 3.1 ; Services Agreement, art. 3.2 et 4.3). Un modèle de mention, à personnaliser, figure à l'annexe C ;
- ne donner que des instructions licites et respecter l'article 2.5 ;
- répondre aux demandes d'exercice des droits de ses clients ;
- relire les brouillons avant tout usage ;
- protéger ses identifiants et les appareils depuis lesquels il accède au Service. Ces appareils peuvent conserver une copie locale des écrans consultés, effacée à la déconnexion.
Article 6 – Sous-traitants ultérieurs
6.1. Autorisation générale. Le Responsable autorise le Sous-traitant à recourir aux sous-traitants ultérieurs listés à l'annexe B. Le Sous-traitant leur impose, par contrat, les obligations de protection des données requises par l'article 28.4 du RGPD. Pour OpenAI, ce sont celles des conditions publiques citées à l'annexe B, avec les limites qui y sont indiquées. Il demeure pleinement responsable envers le Responsable de leur exécution.
6.2. Changement. Le Sous-traitant informe le Responsable par courriel, au moins trente (30) jours à l'avance, de tout ajout ou remplacement d'un sous-traitant ultérieur. Le Responsable peut formuler une objection motivée dans ce délai. À défaut de solution, il peut résilier son abonnement sans frais. Les sommes versées pour la période non écoulée lui sont alors remboursées au prorata.
L'urgence ne dispense pas de l'autorisation requise. Si le préavis de trente jours ne peut être respecté, le Sous-traitant sollicite une autorisation spécifique préalable ou suspend les opérations concernées jusqu'à la mise en place d'une solution conforme.
Le présent article 6.2 vise les sous-traitants engagés directement par le Sous-traitant. Pour les sous-traitants d'OpenAI, aucun préavis minimal n'est prévu : la liste est publiée par OpenAI, qui annonce ses changements par publication, notification ou courriel (accord de traitement OpenAI, art. 2.9). Le Sous-traitant relaie au Responsable, sans retard, les avis qu'il reçoit, afin de pouvoir exercer le droit d'objection de trente jours ouvert par cet article.
6.3. Services choisis par le Responsable. Les services directement choisis et contractés par le Responsable constituent des destinataires qu'il désigne. Leur qualification dépend de leurs traitements et de leur contrat avec lui. Cette disposition ne couvre pas les prestataires engagés par le Sous-traitant lui-même pour exécuter le Service. Sont notamment concernés :
- le logiciel de devis ou de facturation que le Responsable choisit de connecter (Sellsy, Axonaut, Pennylane, Abby, Henrri ou autre) ;
- les sites de ses fournisseurs, auxquels le Service se connecte avec ses propres identifiants. Aucune donnée de ses clients ne leur est transmise.
Le Sous-traitant ne leur transmet des données que sur action du Responsable. Il n'y supprime jamais rien.
Article 7 – Transferts hors de l'Union européenne
7.1. Suisse. L'hébergement est situé en Suisse, pays reconnu par la Commission européenne comme offrant un niveau de protection adéquat (décision 2000/518/CE, maintenue par le rapport de réexamen du 15 janvier 2024).
7.2. Mécanismes. Les transferts sont encadrés par le mécanisme précisément indiqué pour chaque destinataire dans l'annexe B. Lorsque le Sous-traitant invoque une décision d'adéquation, il vérifie son champ et, le cas échéant, la certification de l'importateur. À défaut, il met en place les garanties appropriées (notamment les clauses contractuelles types de transfert de la décision (UE) 2021/914) et évalue leur efficacité. Toute demande relative aux garanties peut être adressée à contact@hellomarceau.fr : le Sous-traitant transmet les éléments dont il dispose. L'accord de traitement d'OpenAI est public.
7.3. Intelligence artificielle. Le Sous-traitant recourt au prestataire OpenAI précisément identifié dans l'annexe B pour les opérations qui y sont décrites. Il demeure responsable de sa sélection, de sa configuration et du suivi de ses obligations envers le Responsable.
Le paramètre store: false est transmis pour la rédaction, la lecture des photographies et documents, l'assistance « M » et la voie vocale GPT-Live. Aucun paramètre équivalent n'est transmis pour la transcription audio ni pour la voie vocale Realtime. Ce paramètre limite certains stockages applicatifs ; il ne garantit pas l'absence de conservation pour la sécurité ou la prévention des abus. Les durées connues sont indiquées dans l'annexe B.
Le Sous-traitant n'active aucune option autorisant l'utilisation des données pour entraîner les modèles du prestataire : les trois options de partage de son compte étaient désactivées au 4 novembre 2026.
Article 8 – Droits des personnes concernées
8.1. Le Responsable répond aux demandes d'exercice des droits. Le Service lui permet de consulter, de corriger, d'exporter et de supprimer lui-même les données d'un client. Un client mis à la corbeille est effacé automatiquement après trente (30) jours et une marge de sept (7) jours.
8.2. Toute demande reçue d'une personne concernée est transmise sans retard injustifié au Responsable, au plus tard dans les deux (2) jours ouvrés, sans réponse sur le fond par le Sous-traitant.
8.3. Le Sous-traitant fournit l'assistance utile, notamment un extrait structuré des données, dans un délai compatible avec le délai légal de réponse, compte tenu de l'urgence et de la complexité.
Article 9 – Violation de données
9.1. Le Sous-traitant notifie au Responsable toute violation de données personnelles concernant son Espace dans les meilleurs délais, et au plus tard quarante-huit (48) heures après en avoir pris connaissance. Ce plafond n'est pas un délai d'attente : la notification intervient dès que possible. Pour une violation chez OpenAI, ce délai court à compter de l'information du Sous-traitant, OpenAI s'engageant à le prévenir sans retard injustifié, sans délai chiffré (accord de traitement OpenAI, art. 2.7).
9.2. La notification comprend, dans la mesure où ces éléments sont connus :
- la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés ;
- le point de contact ;
- les conséquences probables ;
- les mesures prises ou envisagées.
Les éléments non disponibles sont communiqués par étapes, sans retard indu.
9.3. Il appartient au Responsable de notifier la violation à la CNIL et, le cas échéant, aux personnes concernées, dans les conditions des articles 33 et 34 du RGPD. Le Sous-traitant lui fournit toute information utile à cet effet.
Article 10 – Sort des données à la fin du contrat
10.1. Restitution. Pendant toute la durée du contrat, essai compris, et pendant soixante (60) jours après sa fin, y compris après un essai non poursuivi, le Responsable peut télécharger lui-même, sans frais, une copie complète de ses données depuis son Espace, sauf s'il demande auparavant leur effacement. Cette copie contient :
- des tableaux CSV ;
- les fiches au format JSON ;
- les fichiers d'origine.
Il peut aussi demander cette copie par courriel. Elle lui est alors remise dans un délai de quinze (15) jours. La restitution n'est jamais subordonnée au paiement d'une somme. Le Responsable peut choisir une restitution suivie d'un effacement, ou un effacement sans restitution.
10.2. Effacement. Le Sous-traitant efface automatiquement les données des systèmes actifs trente (30) jours après l'expiration du délai de soixante (60) jours, soit quatre-vingt-dix (90) jours après la fin du contrat. En cas de suppression du compte demandée par le Responsable, l'effacement intervient automatiquement trente (30) jours après la demande, annulable jusque-là. Une confirmation d'effacement est adressée sur demande.
10.3. Sauvegardes. Les données supprimées des systèmes actifs peuvent subsister dans des sauvegardes isolées, chiffrées et à accès restreint pendant au plus treize (13) mois. Elles servent exclusivement à la restauration après incident. Le Sous-traitant veille à ne pas remettre en service des données dont l'effacement a été demandé.
10.4. Le Sous-traitant ne conserve aucune copie des données traitées pour le compte du Responsable au-delà, sauf obligation légale. La preuve de l'acceptation et les pièces comptables, qui ne contiennent pas ces données, relèvent de l'article 21.5 des CGV.
10.5. Données transmises à OpenAI. Le Sous-traitant ne peut pas effacer lui-même ce qu'OpenAI conserve pour la prévention des abus ou ses obligations légales. Ces données subsistent chez OpenAI selon l'annexe B, y compris après leur effacement des systèmes du Sous-traitant.
Article 11 – Documentation et audit
11.1. Le Sous-traitant met à la disposition du Responsable, sur demande écrite et dans un délai de trente (30) jours, les informations nécessaires pour démontrer le respect du présent contrat :
- le registre ;
- la description des mesures de sécurité ;
- la liste et les garanties des sous-traitants ultérieurs ;
- le relevé des interventions d'assistance concernant son Espace ;
- les confirmations d'effacement.
11.2. Le Responsable peut faire réaliser un audit, par lui-même ou par un auditeur indépendant tenu au secret et non concurrent du Sous-traitant. Les contrôles ordinaires sont organisés avec un préavis raisonnable, en principe de trente (30) jours, pendant les heures ouvrées. Cette organisation ne fait pas obstacle à un contrôle plus rapide ou supplémentaire en cas de violation, d'indices sérieux de non-conformité, de changement substantiel ou de demande d'une autorité compétente. Les modalités protègent les données des autres clients sans priver le Responsable de son droit d'audit.
Les frais de l'audit sont à la charge du Responsable, sauf si l'audit révèle un manquement du Sous-traitant.
11.3. Pour ses propres sous-traitants ultérieurs, le Sous-traitant transmet les certifications, rapports et engagements contractuels qu'ils lui fournissent, dans la limite de leur caractère confidentiel. Pour OpenAI, les rapports d'audit sont confidentiels et le contrôle est limité à une fois par an (accord de traitement OpenAI, art. 2.8 ; Services Agreement, art. 5.2 et 7) : le Sous-traitant communique alors un résumé ou les informations qu'il est autorisé à transmettre.
Article 12 – Assistance et analyse d'impact
12.1. Le Sous-traitant aide le Responsable, compte tenu de la nature du traitement et des informations dont il dispose, à garantir la sécurité du traitement et la notification des violations (articles 32 à 34 du RGPD).
12.2. Chaque partie documente l'évaluation de la nécessité d'une analyse d'impact relative à la protection des données (AIPD) pour les traitements relevant de sa responsabilité. Le Sous-traitant fournit au Responsable les informations utiles concernant le Service. Lorsqu'une AIPD est requise, elle est réalisée avant le traitement ; la consultation préalable prévue à l'article 36 du RGPD est effectuée lorsque ses conditions sont réunies.
Article 13 – Responsabilité
Les responsabilités relatives à la protection des données personnelles sont régies par les règles applicables, notamment l'article 82 du RGPD. Entre les parties, les plafonds de l'article 22 des CGV s'appliquent, sous ses réserves ; ils ne limitent jamais les droits des personnes concernées.
Article 14 – Droit applicable ; prévalence
Le présent contrat est soumis au droit français et au RGPD. En cas de contradiction avec les CGV, il prévaut pour les traitements réalisés pour le compte du Responsable.
Annexe A – Mesures techniques et organisationnelles
Mesures en place à la date du présent contrat.
| Domaine | Mesure |
|---|---|
| Séparation des Espaces | Une application commune sert tous les Espaces, sur une infrastructure partagée. Les données de chaque Espace sont rangées dans un dossier qui lui est propre. L'application rattache chaque accès à un seul Espace ; des tests automatisés vérifient l'étanchéité entre Espaces. L'accès à un Espace n'autorise pas l'accès aux données d'un autre Client |
| Transport | HTTPS obligatoire ; en-têtes de sécurité stricts (politique de sécurité du contenu, interdiction d'affichage en cadre) |
| Authentification | Mot de passe de 10 caractères au moins, refus des mots de passe courants, empreinte PBKDF2-SHA256 (600 000 itérations), jamais stocké en clair ; second facteur facultatif (clé d'accès de l'appareil) et codes de secours ; limitation et verrouillage progressif des tentatives |
| Sessions | Cookie signé, HttpOnly, Secure, SameSite=Strict, durée limitée (12 heures par défaut) ; jeton anti-CSRF ; déconnexion des autres appareils |
| Secrets | Coffre propre à chaque Espace, chiffré avec une clé propre à cet Espace : identifiants fournisseurs et connexions aux logiciels chiffrés en AES-GCM ; exclus de l'export |
| Accès de l'équipe | Habilitations individuelles ; accès d'assistance selon l'article 4 bis (accord explicite et écrit, 48 heures au plus, motif, intervention consignée) |
| Logiciels connectés | Écritures limitées à une liste fermée, après confirmation humaine, avec clé d'idempotence ; aucune suppression ; relecture en consultation seule |
| Sauvegardes | Quotidiennes, chiffrées avant envoi chez un hébergeur distinct (France), conservées treize (13) mois au plus |
| Conservation | Purge automatique quotidienne de la corbeille (30 jours), des journaux et des signalements (12 mois), après une marge de 7 jours ; effacement automatique des Espaces selon l'article 10 |
| Signalements | Expurgation automatique des noms, coordonnées et chemins de fichiers avant enregistrement |
| Intelligence artificielle | Paramètre store: false selon l'article 7.3 ; options de partage du compte désactivées au 4 novembre 2026 ; seuil de consommation par Espace |
| Limites connues | Données métier non chiffrées individuellement sur le disque du serveur ; serveur unique sans redondance ; aucun audit de sécurité externe à ce jour |
Annexe B – Sous-traitants ultérieurs autorisés
| Sous-traitant | Prestation | Données | Localisation | Garantie |
|---|---|---|---|---|
| Infomaniak Network SA, rue Eugène-Marziano 25, 1227 Les Acacias (Genève), Suisse | Hébergement des Espaces ; envoi des courriels de service | Toutes | Suisse | Décision d'adéquation (Suisse) |
| Scaleway | Stockage des sauvegardes, chiffrées avant envoi | Toutes, sous forme chiffrée | France (Paris) | Union européenne |
| OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Irlande (contractant désigné pour un client de l'EEE) | Rédaction des brouillons, lecture des photographies et documents, transcription, conversation vocale, assistance « M » | Notes, voix, photographies, documents, éléments utiles du dossier, y compris le nom et l'adresse du client lorsqu'ils figurent dans la note | Irlande pour le contractant ; traitements possibles ailleurs, notamment aux États-Unis | Clauses contractuelles types ou décision d'adéquation (accord de traitement OpenAI, art. 4.1) |
RevenueCat, Stripe et Apple n'apparaissent pas dans cette annexe : ils ne reçoivent pas les contenus de l'Espace. Leurs traitements relèvent de la politique de confidentialité (article 6).
Fiche OpenAI. Les articles cités sont ceux des textes publics d'OpenAI : accord de traitement (« DPA ») et Services Agreement (« SA ») v.010126, Security Measures v.111124. Ils décrivent ce qui s'applique à un client de l'Espace économique européen. OpenAI est un sous-traitant de MARCEAU ; cette fiche ne traduit ni partenariat ni caution de sa part.
| Rubrique | Contenu |
|---|---|
| Entité contractante et adresse | OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Irlande, pour un client établi dans l'EEE ou en Suisse (SA, art. 17 et 16.5 ; DPA, préambule). Facturation de MARCEAU en France |
| Accord de traitement des données applicable | DPA v.010126, intégré au SA par son art. 5.3. Les politiques d'OpenAI (Service-Specific Terms, Usage Policies, Sharing and Publication Policy) font partie du contrat (SA, art. 16.1). OpenAI peut modifier ces textes (SA, art. 16.13) |
| Rôle d'OpenAI | Sous-traitant de son client, sur instructions documentées, qui comprennent les réglages du service (DPA, art. 1.1 et 2.1). MARCEAU étant lui-même sous-traitant du Responsable, OpenAI est ici sous-traitant ultérieur |
| Opérations et interfaces utilisées | Rédaction, lecture des images et documents, assistance « M » : /v1/responses. Transcription : /v1/audio/transcriptions, modèles gpt-4o-transcribe et gpt-4o-mini-transcribe. Conversation vocale : /v1/realtime/client_secrets puis /v1/realtime/calls (voie Realtime), ou /v1/live/sessions (voie GPT-Live, ouverte par un réglage). L'interface /v1/files n'est pas utilisée : images et PDF sont joints à la requête |
| Réglages transmis | store: false sur les appels /v1/responses et sur /v1/live/sessions ; aucun équivalent sur la transcription ni sur la voie Realtime. Ce réglage n'est pas une conservation nulle, et le contrat n'en parle pas. Compte au 4 novembre 2026 : journalisation des appels API sur « Enabled per call », la page indiquant que l'API Responses journalise par défaut sauf store=false. Aucun outil hébergé par OpenAI ni mode d'arrière-plan. Identifiant pseudonyme (empreinte SHA-256) sur une partie des appels, dont la voie GPT-Live ; absent de la transcription et de la voie Realtime |
| Données transmises et minimisation | Notes, transcriptions, voix, photographies, plans, documents et éléments utiles du dossier. Lorsqu'il est actif, le moteur V5 remplace le nom, l'adresse, le téléphone et le courriel du client par des marques avant l'envoi et bloque tout envoi qui les contiendrait encore. Ce masquage ne couvre ni l'ancien moteur, ni la transcription, ni la voix, ni le contenu des images et des documents |
| Pays de traitement et accès à distance | Aucun pays n'est fixé par les textes publics. Les appels passent par l'adresse générale api.openai.com, sans option régionale. Des traitements peuvent avoir lieu aux États-Unis |
| Durées de conservation par opération (y compris surveillance des abus et fichiers) | Le contrat n'en fixe aucune : les réglages de conservation et de suppression sont à la charge du client (DPA, art. 3.3). Documentation publique lue le 4 novembre 2026, non contractuelle : journaux anti-abus jusqu'à 30 jours pour /v1/responses, /v1/realtime et /v1/live/sessions, une durée plus longue restant possible ; aucun pour /v1/audio/transcriptions ; règles propres aux images et fichiers en entrée. MARCEAU ne revendique aucune option de conservation particulière |
| Suppression | Fin du contrat MARCEAU–OpenAI : restitution ou suppression sur instruction (DPA, art. 2.11) ; suppression sous 30 jours, sauf obligation légale ou accord contraire (SA, art. 11.3). Les contenus contraires à l'art. 3.3 du SA peuvent être conservés, et partagés si la loi ou la protection des services ou de tiers l'exige, sans durée fixée (SA, art. 11.3). Suppression possible sur demande (Security Measures, § 5). Aucune clause ne prévoit de suppression par client final du Service |
| Importateur des données et sous-traitants d'OpenAI | Autorisation générale ; liste publiée à l'adresse https://platform.openai.com/subprocessors ; changement annoncé par publication, notification ou courriel ; objection sous 30 jours après l'avis ; à défaut de solution, chaque partie peut résilier (DPA, art. 2.9). Obligations « comparables » ; OpenAI répond de ses sous-traitants dans les limites de responsabilité du contrat (DPA, art. 2.10) |
| Mécanisme de transfert retenu et, le cas échéant, analyse du transfert | OpenAI Ireland transfère hors de l'EEE sur la base d'accords contenant les clauses contractuelles types ou d'une décision d'adéquation (DPA, art. 4.1). Le texte ne dit pas lequel s'applique à chaque destinataire |
| Usage des contenus et entraînement | OpenAI n'utilise les contenus que pour fournir le service, respecter la loi, faire respecter ses règles et prévenir les abus ; il ne les utilise pas pour développer ou améliorer ses services sans accord explicite du client (SA, art. 4.2). La documentation publique ajoute que les données API ne servent pas à l'entraînement, sauf option choisie. Compte au 4 novembre 2026 : les trois partages avec OpenAI (retours de la plateforme, données d'évaluation et d'ajustement, entrées et sorties) sont sur « Disabled » |
| Incidents | Notification sans retard injustifié après connaissance d'une violation, sans délai chiffré, et assistance raisonnable (DPA, art. 2.7) ; plan de réponse aux incidents (Security Measures, § 12) |
| Audits | Sur demande écrite, au plus une fois par an, pour ce qu'exige la loi : informations de conformité ; audit aux frais du client sous accord de confidentialité, ou résumé des rapports si la loi le permet ; résultats confidentiels (DPA, art. 2.8). Rapports d'audit indépendants une fois par an, confidentiels (SA, art. 5.2) |
| Mesures de sécurité | Authentification multifacteur et accès au moindre privilège ; séparation logique par organisation ; chiffrement au repos et en transit ; tests d'intrusion annuels ; audit SOC 2 Type II (Security Measures, § 1, 2, 4, 5, 7 et 8). OpenAI peut les modifier (SA, art. 5.1) |
| Obligations imposées à MARCEAU | Informations, droits, consentements et autorisations nécessaires (DPA, art. 3.1 ; SA, art. 3.2) ; droits sur les contenus transmis (SA, art. 4.3) ; respect de la loi, des droits des tiers et des règles d'OpenAI, interdiction de contourner limites et protections ou de développer des modèles concurrents (SA, art. 3.3) ; pays pris en charge et sanctions (SA, art. 16.11 et 16.12). Repris aux CGV, articles 17 et 19.1, et à l'article 5 du présent contrat |
| Suspension | OpenAI peut demander la suspension d'un utilisateur, ou suspendre le service en cas de violation ou d'urgence de sécurité, au besoin sans préavis (SA, art. 8) |
Annexe C – Modèle de mention d'information à l'usage du Responsable
À personnaliser par le Responsable avant utilisation, notamment pour les informations reçues d'un tiers (articles 13 et 14 du RGPD).
Responsable : [identité, adresse, contact de l'entreprise ; délégué à la protection des données, si applicable].
Nous traitons votre identité, vos coordonnées et les informations nécessaires au chantier pour répondre à votre demande, préparer et exécuter notre contrat. Lorsque vous êtes personnellement partie au contrat, ces opérations reposent sur son exécution ; pour les contacts de personnes morales, elles reposent sur notre intérêt légitime à gérer les relations professionnelles. Les traitements comptables nécessaires reposent sur nos obligations légales.
Les informations demandées comme obligatoires sont nécessaires à l'établissement du devis ou à l'exécution des travaux.
Nos personnes habilitées et prestataires nécessaires, dont Marceau et ses prestataires techniques, notamment OpenAI, identifiés dans [liste accessible], peuvent y accéder. Marceau prépare des brouillons avec l'aide de services d'intelligence artificielle ; nous les vérifions avant utilisation. L'hébergement suisse bénéficie d'une décision d'adéquation. Les autres transferts, notamment vers les États-Unis, sont encadrés par [garanties effectivement applicables], dont une copie communicable peut être obtenue auprès de [contact].
Conservation : [durées distinctes pour les demandes non suivies, les contrats, les pièces comptables, les photographies et les sauvegardes].
Vous pouvez exercer, selon leurs conditions, vos droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité auprès de [contact], et saisir la CNIL (www.cnil.fr). Lorsque des informations nous sont fournies par un tiers, elles proviennent de [source] et concernent [catégories].