ARCHIDECK

Accord de traitement des données

Version du 7 novembre 2026.

Annexe aux conditions générales d’Archideck.

Entre le studio qui utilise Archideck (« le Client »), responsable du traitement, et Garsen, EURL, SIREN 943 532 416, 16 route de Louhans, 71330 Simard (« Garsen »), sous-traitant au sens de l’article 28 du règlement (UE) 2016/679 (« RGPD »).

1. Objet et durée

Garsen traite, pour le compte du Client, les données personnelles nécessaires au service Archideck, pendant la durée de l’abonnement (essai compris) et jusqu’à leur suppression dans les conditions de la clause 11.

2. Nature et finalités

Hébergement, stockage, consultation, envoi d’emails, pages publiques du studio (suivi du client, signature, questionnaire, artisan, consultation, formulaires de contact et de candidature), signature électronique, transcription et synthèse par intelligence artificielle à la demande d’un utilisateur, génération d’images, géocodage. Les catégories de personnes et de données sont décrites en annexe 1.

3. Instructions

Garsen agit sur instruction documentée du Client : les conditions générales, le présent accord, les réglages du studio et les gestes de ses utilisateurs dans Archideck. Garsen informe le Client si une instruction lui paraît contraire au RGPD (article 28.3, second alinéa).

4. Confidentialité

Seules les personnes habilitées de Garsen accèdent aux données, sous engagement de confidentialité, et seulement pour l’assistance demandée par le Client ou pour la sécurité du service (article 28.3.b).

5. Sécurité

Garsen met en œuvre les mesures de l’annexe 2, au sens de l’article 32 : isolation de chaque studio jusque dans la base de données, chiffrement en transit, sauvegardes hors site, double authentification pour l’administration et les finances, accès d’administration par réseau privé, jetons des liens publics conservés par empreinte, journalisation, test de restauration annuel.

6. Sous-traitants ultérieurs

Le Client donne une autorisation générale pour les sous-traitants de l’annexe 3. Garsen l’informe par email, au moins trente jours avant, de tout ajout ou remplacement. Le Client peut s’y opposer pour un motif raisonnable ; à défaut d’accord, il peut résilier sans frais. Garsen impose à chaque sous-traitant ultérieur les mêmes obligations de protection des données et reste responsable de leur exécution (article 28.2 et 28.4).

7. Transferts hors de l’Union européenne

Les données ne sont transférées hors de l’Union que vers un pays reconnu adéquat (y compris les sociétés certifiées au cadre de protection des données UE et États-Unis) ou sous clauses contractuelles types de la Commission européenne (articles 45 et 46). Les fonctions d’intelligence artificielle situées hors de l’Union sont désignées en annexe 3 ; le Client peut choisir de ne pas les utiliser.

8. Droits des personnes

Garsen transmet au Client, sous cinq jours ouvrés, toute demande qu’il reçoit directement d’une personne concernée. Il fournit au Client les moyens de répondre (consultation, export et effacement dans Archideck) ou, à défaut, exécute la demande sous dix jours ouvrés à la demande du Client (article 28.3.e).

9. Assistance (articles 32 à 36)

Garsen aide le Client à garantir la sécurité, à notifier une violation et à mener une analyse d’impact, notamment pour l’enregistrement et la transcription des réunions, en lui fournissant les informations utiles (flux, prestataires, durées, mesures) (article 28.3.f).

10. Violation de données

Garsen notifie le Client sans délai injustifié, et au plus tard 48 heures après en avoir pris connaissance, toute violation de données personnelles le concernant, avec ce que prévoit l’article 33.3 : nature de la violation, catégories et nombre approximatif de personnes et d’enregistrements, conséquences probables, mesures prises ou proposées, et un contact. Garsen suit pour cela une procédure écrite, communiquée au Client sur demande.

11. Fin du contrat

À la fin de l’abonnement, le Client peut demander dans les trente jours la remise de ses données (fichiers tels quels, données des dossiers en tableur). Garsen supprime ensuite les données de la base et du stockage, et les sauvegardes au plus tard huit semaines après. Une attestation de suppression est fournie sur demande (article 28.3.g).

12. Audit

Garsen met à la disposition du Client les informations nécessaires pour démontrer le respect de l’article 28 : registre des traitements, liste des sous-traitants ultérieurs, rapport d’audit annuel. Il permet un audit sur pièces, ou sur place avec un préavis de trente jours, aux frais du Client (article 28.3.h).

13. Responsabilités du Client

Le Client détermine la base légale de ses traitements et informe les personnes concernées (des mentions courtes figurent sous les formulaires et pages publics d’Archideck ; le Client les complète si besoin). Il recueille l’accord des personnes avant d’enregistrer une réunion ou une visite. Il décide d’utiliser ou non les assistants externes (connecteur MCP, que le titulaire du studio peut couper pour tout le studio dans les Réglages) : les données qu’un utilisateur fait lire à un assistant de son choix sont transmises à l’éditeur de cet assistant sous la responsabilité du Client, selon les conditions de ce service, et ne sont pas traitées par Garsen.

14. Annexes

• Annexe 1 : traitements, catégories de personnes et de données.
• Annexe 2 : mesures de sécurité.
• Annexe 3 : sous-traitants ultérieurs.
• Annexe 4 : contact.

Annexe 1 : traitements, personnes et données

Garsen traite ces données pour le compte du Client, pendant l’abonnement et jusqu’à leur suppression (clause 11).

Annexe 2 : mesures de sécurité

• Isolation de chaque studio jusque dans la base de données ; droits de chaque personne vérifiés dans la base et dans l’application.
• Double authentification obligatoire pour l’administration et les finances, possible pour tous ; journal de sécurité lisible par la personne et le titulaire du studio.
• Connexions chiffrées ; accès d’administration des serveurs par réseau privé seulement ; clés d’accès gardées dans un coffre, jamais dans le code.
• Jetons des liens publics et codes conservés par empreinte ; cookie de la page client strictement nécessaire, valable trente jours.
• Journaux techniques sans contenu des dossiers ; conversations avec Kutch gardées dans le navigateur seulement.
• Photos des artisans réencodées, sans métadonnées ni données de localisation ; mesure d’audience sans traceur.
• Sauvegardes hors site, chiffrées : la base toutes les six heures et chaque semaine, les fichiers chaque jour ; test de restauration annuel.

Annexe 3 : sous-traitants ultérieurs

Tout ajout ou remplacement est annoncé aux titulaires des studios au moins trente jours avant, par email, avec un droit d’opposition (clause 6). Garanties des transferts hors de l’Union : CCT, clauses contractuelles types de la Commission européenne (article 46) ; DPF, cadre de protection des données UE et États-Unis, pour une société certifiée (article 45).

Hébergement et fonctionnement

Intelligence artificielle, seulement quand une fonction est utilisée

Pour information : prestataires des traitements dont Garsen est responsable

Selon leurs conditions commerciales, les fournisseurs d’intelligence artificielle n’utilisent pas les contenus transmis par leur API pour entraîner leurs modèles ; ils peuvent les conserver un temps limité pour contrôler les abus.

Services publics, qui ne sont pas des sous-traitants : la Base adresse nationale, la Géoplateforme de l’IGN (cadastre, Géoportail de l’urbanisme), la base des DPE de l’ADEME et Géorisques reçoivent l’adresse ou la position du bien, et rien d’autre.

Assistants externes (Claude, ChatGPT, Cursor ou autre), qui ne sont pas des sous-traitants de Garsen : c’est l’utilisateur qui choisit l’assistant, et le studio qui en répond (clause 13). Le titulaire peut couper ces accès pour tout le studio dans les Réglages, y compris ceux déjà branchés.

Annexe 4 : contact

Pour toute question sur cet accord ou sur vos données : hello@archideck.fr. Référent pour les données chez Garsen : Baptiste Cordier, gérant.