# Projet d'accord de traitement des données — John Version 1.0.0 — 2 septembre 2026. **Statut : projet contractuel à faire valider. Son acceptation reste indisponible jusqu'à la réussite d'une restauration depuis la sauvegarde hors site et à la validation juridique du présent document.** Après levée de ce blocage et validation juridique, cet accord constituera l'annexe relative au traitement des données personnelles du contrat portant sur John. Il ne remplace pas les conditions commerciales, le périmètre fonctionnel ou les niveaux de service convenus séparément. ## 1. Parties et rôles Le **Client**, entreprise utilisant John, agit comme responsable de traitement pour les données métier qu'il introduit ou fait traiter dans le service. **Elliott Oger, entrepreneur individuel, OG Conception Industrielle**, 39 Le Helleux, 97180 Sainte-Anne, SIRET 904 685 393 00012, agit comme sous-traitant, ci-après « OG ». Chaque partie reste responsable des traitements qu'elle détermine pour son propre compte. OG demeure notamment responsable des données nécessaires à la gestion de ses comptes, contrats, factures, sécurité et obligations légales. ## 2. Objet, durée et instructions OG traite les données uniquement pour fournir, maintenir, sécuriser, assister et restituer John pendant la durée du contrat et la période de sortie prévue. Le contrat, les réglages administrateur, les demandes réalisées dans l'interface et les instructions écrites du Client constituent les instructions documentées. OG informe immédiatement le Client lorsqu'une instruction paraît contraire au droit applicable, sauf interdiction légale. ## 3. Nature et finalités Les opérations peuvent comprendre collecte via l'interface, hébergement, organisation, consultation, recherche, extraction, génération de documents, synchronisation de messageries, préparation d'actions, transmission aux intégrations activées, export, limitation, anonymisation et suppression. Les finalités sont la gestion commerciale et opérationnelle du Client, la communication avec ses contacts, la production et le suivi de documents, la facturation électronique et l'assistance par John. Aucune donnée Client n'est vendue ni utilisée par OG pour entraîner un modèle général. ## 4. Données et personnes concernées Les catégories peuvent inclure identité et coordonnées, données professionnelles, informations sur les piscines et interventions, contrats, devis, factures, paiements, achats, stocks, messages, pièces jointes, documents, images, voix transcrite, journaux et contenus fournis à John. Les personnes peuvent être les utilisateurs, salariés, prospects, clients, fournisseurs, partenaires et correspondants du Client. Le service n'est pas conçu pour collecter intentionnellement des données de santé, biométriques, pénales ou relevant de l'article 9 du RGPD. Le Client évite de les introduire ; s'il doit exceptionnellement le faire, il vérifie sa base légale et donne des instructions adaptées. ## 5. Confidentialité et accès OG limite l'accès aux personnes qui en ont besoin pour leurs fonctions, soumises à une obligation de confidentialité et sensibilisées à la protection des données. Les accès d'assistance sont motivés, limités dans le temps, autorisés par un administrateur du Client et journalisés. OG ne révèle pas les données à un tiers sauf instruction, obligation légale ou sous-traitance déclarée. ## 6. Sécurité OG met actuellement en œuvre des mesures proportionnées au risque : chiffrement TLS en transit, chiffrement des secrets applicatifs, mots de passe hachés, contrôle d'accès par rôle et entreprise, isolation des bases et stockages privés, mises à jour, journalisation des actions privilégiées, limitation et expiration des exports, analyse des fichiers et procédures d'incident. Avant l'activation commerciale, le dispositif prévu ajoute des sauvegardes hors site chiffrées côté serveur avec Restic vers OVHcloud Object Storage à Paris. Il vise un point de reprise maximal d'une heure (RPO) et une remise en service sous quatre heures (RTO) pour les données et services CRM inclus. Son activation reste conditionnée à une première restauration hors site réussie ; ces objectifs devront ensuite être contrôlés par des restaurations automatisées hebdomadaires et un exercice trimestriel sur machine propre. Ils ne constituent pas une garantie pour les prestataires externes ou les systèmes explicitement exclus du périmètre. Le détail susceptible d'affaiblir la sécurité n'est pas publié. Le Client protège ses comptes, attribue des droits adaptés et signale sans délai toute compromission. ## 7. Sous-traitants ultérieurs et transferts Le Client donne une autorisation générale aux catégories de sous-traitants listées sur `/sous-traitants/`. OG informe le Client d'un ajout ou remplacement substantiel avant sa prise d'effet, afin qu'il puisse émettre une objection motivée. OG impose au sous-traitant des obligations de protection équivalentes et demeure responsable de leur exécution dans les limites du droit applicable. Lorsque des données sont transférées hors de l'Espace économique européen, OG ou le prestataire met en place un mécanisme reconnu, notamment une décision d'adéquation ou des clauses contractuelles types accompagnées des mesures nécessaires. Une intégration dont les garanties ne sont pas vérifiées ne doit pas être activée. ## 8. Assistance au Client OG aide le Client, compte tenu de la nature du traitement et des informations disponibles, à répondre aux demandes d'accès, rectification, effacement, limitation, opposition et portabilité, à documenter les violations, à réaliser les analyses d'impact et à consulter une autorité. OG transmet au Client toute demande reçue directement concernant ses données, sans y répondre à sa place sauf instruction ou obligation légale. ## 9. Violations OG notifie au Client toute violation confirmée affectant ses données sans délai indu. La notification décrit, selon les éléments disponibles, la nature de l'incident, les catégories et volumes approximatifs, les conséquences probables, les mesures prises et le point de contact. Les compléments sont fournis progressivement. OG conserve un registre interne des incidents. ## 10. Conservation, restitution et suppression Les durées par catégorie figurent dans la politique de confidentialité et le catalogue de conformité. Le Client peut réduire les durées configurables, sans neutraliser une obligation légale. À la fin du contrat, OG permet l'export puis supprime les données opérationnelles sous 30 jours, sauf conservation exigée par la loi ou gel juridique documenté. Les données supprimées des systèmes actifs peuvent subsister temporairement dans des sauvegardes chiffrées et isolées jusqu'à leur rotation. La politique prévue conserve 48 sauvegardes horaires, 14 quotidiennes, 8 hebdomadaires et 12 mensuelles ; le versioning de la destination peut prolonger cette conservation de 30 jours au maximum pour les versions non courantes. Une restauration est d'abord réalisée dans un environnement isolé. Avant réouverture, OG rapproche les demandes d'effacement et oppositions consignées dans un registre indépendant des sauvegardes avec le contenu restauré, puis supprime les données concernées. Tant que ce registre indépendant n'est pas opérationnel, ou si le rapprochement ne peut pas être établi avec une assurance suffisante, le traitement affecté reste suspendu et le Client est informé. ## 11. Preuves et audits OG met à disposition les informations raisonnablement nécessaires pour démontrer le respect du présent accord. Un audit documentaire peut être demandé une fois par an, ou après un incident significatif. Un audit sur site exige un préavis raisonnable, respecte la confidentialité et la sécurité des autres clients, et reste à la charge du Client sauf non-conformité substantielle imputable à OG. ## 12. Hiérarchie et évolution Le présent accord prévaut sur toute stipulation contradictoire concernant le traitement des données, sans modifier les autres obligations commerciales. Sa version et son empreinte sont enregistrées lors de l'acceptation par l'administrateur du Client. Une modification substantielle fait l'objet d'une information et, lorsqu'elle modifie les engagements essentiels, d'une nouvelle acceptation. ## 13. Contact Questions et instructions relatives aux données : **Elliott Oger — `elliott.oger@outlook.fr` — 07 83 94 57 35**.