Annexe de sous-traitance (RGPD, article 28)

Préambule — pourquoi cette annexe existe

En utilisant ArchiProject, le Client saisit dans le Service des données concernant ses propres clients : le nom du maître d'ouvrage, l'adresse du chantier, parfois un téléphone ou une adresse électronique. Ces informations figurent au cartouche de chaque planche, en tête de chaque devis et dans le descriptif de travaux.

Pour ces données, les rôles sont les suivants :

• le Client est responsable de traitement : c'est lui qui décide de les collecter, à quelle fin, et qui répond de leur licéité auprès des personnes concernées ;
• Archi3D est sous-traitant : elle ne les traite que pour fournir le Service, sur instruction du Client.

La présente annexe fixe les obligations d'Archi3D à ce titre. Elle est acceptée en même temps que les conditions générales et en fait partie intégrante.

Elle ne concerne pas les données du compte du Client lui-même — identité, adresse électronique, paiements — pour lesquelles Archi3D est responsable de traitement et qui relèvent de la Politique de confidentialité.

Article 1 — Objet, durée, nature et finalité

Objet. L'hébergement et le traitement, pour le compte du Client, des données personnelles contenues dans ses projets.

Durée. Celle du contrat principal, augmentée des durées de conservation prévues à l'article 8.

Nature des opérations. Collecte, enregistrement, organisation, conservation, modification, consultation, mise en forme dans les documents produits, communication au Client par exportation, et effacement.

Finalité unique. Permettre au Client de composer, chiffrer et remettre un dossier de rénovation. Aucune autre.

Catégories de personnes concernées. Les maîtres d'ouvrage du Client, et le cas échéant les tiers qu'il mentionne dans un projet.

Catégories de données. Identité (nom, prénom ou dénomination), coordonnées (adresse du chantier, adresse postale, téléphone, adresse électronique), informations relatives au bien et au projet de travaux.

Aucune donnée sensible au sens de l'article 9 du RGPD n'est demandée par le Service. Le Client s'engage à ne pas en saisir.

Article 2 — Instructions

Archi3D ne traite les données que sur instruction documentée du Client. Les présentes conditions générales et l'usage normal du Service constituent ces instructions.

Si Archi3D estime qu'une instruction constitue une violation du RGPD, elle en informe le Client sans délai.

Si une obligation légale contraint Archi3D à un traitement non prévu, elle en informe le Client avant, sauf interdiction légale.

Article 3 — Confidentialité

Archi3D veille à ce que toute personne autorisée à traiter les données soit tenue à la confidentialité, par contrat ou par obligation légale, et n'y accède qu'en cas de nécessité.

Aucun accès aux projets du Client n'a lieu à des fins de curiosité, d'analyse ou de démonstration. Un accès technique à un projet identifié, aux seules fins de résoudre un incident signalé par le Client, est possible ; il est consigné.

Article 4 — Sécurité

Archi3D met en œuvre les mesures appropriées, notamment : chiffrement des échanges, empreintes irréversibles pour les mots de passe, cloisonnement des environnements de développement et de production, restriction des accès à la base, journalisation des erreurs, et sauvegardes régulières.

Ces mesures évoluent avec l'état de l'art ; leur modification ne diminue pas le niveau de protection.

Article 5 — Sous-traitants ultérieurs

Le Client autorise Archi3D à recourir aux sous-traitants ultérieurs listés dans la Politique de confidentialité, §5, dont la liste à jour est publiée en permanence sur le site.

Archi3D informe le Client de tout ajout ou remplacement trente jours avant. Le Client peut s'y opposer pour un motif légitime tenant à la protection des données ; en cas de désaccord persistant, il peut résilier sans frais et obtenir le remboursement au prorata de la période non consommée.

Archi3D impose à chaque sous-traitant ultérieur des obligations équivalentes aux présentes et demeure pleinement responsable de leur exécution.

Les transferts hors Union européenne sont encadrés par les clauses contractuelles types de la Commission ou par une décision d'adéquation.

Article 6 — Assistance au Client

6.1 — Droits des personnes. Lorsqu'une personne concernée s'adresse directement à Archi3D pour des données figurant dans un projet, Archi3D ne répond pas à sa place : elle transmet la demande au Client dans les meilleurs délais et l'assiste par les fonctions du Service — export, rectification, suppression.

6.2 — Violation de données. Archi3D notifie le Client sans délai injustifié et au plus tard 48 heures après en avoir pris connaissance, avec la nature de la violation, les catégories et le volume approximatif de données concernées, les conséquences probables et les mesures prises. C'est au Client qu'il appartient de notifier la CNIL dans ses 72 heures, et d'informer les personnes concernées si le risque est élevé.

6.3 Archi3D fournit au Client les informations nécessaires à une analyse d'impact et à ses propres obligations documentaires.

Article 7 — Registre

Archi3D tient le registre des catégories d'activités de traitement effectuées pour le compte de ses clients, conformément à l'article 30.2 du RGPD.

Article 8 — Sort des données à la fin du contrat

Au terme du contrat, le Client dispose de trente jours pour exporter ses projets par les fonctions du Service. À l'issue de ce délai, Archi3D efface les données de manière irréversible, ainsi que les copies existantes, sauf obligation légale de conservation.

Les sauvegardes en rotation sont purgées dans leur cycle normal, d'une durée maximale de trente jours supplémentaires.

Archi3D atteste de l'effacement sur demande écrite.

Article 9 — Audit

Archi3D met à disposition du Client toute information nécessaire pour démontrer le respect des présentes.

Le Client peut demander, une fois par an, un audit documentaire : réponses écrites, attestations des sous-traitants ultérieurs, description des mesures de sécurité. Un audit sur site n'est pas prévu ; il pourrait l'être par avenant, à la charge du demandeur, sous préavis de soixante jours.

Article 10 — Amélioration du Service à partir des projets

Archi3D ne réutilise les données confiées par le Client à aucune fin qui lui soit propre, notamment pas pour améliorer le Service, l'entraîner ou constituer un référentiel.

Article 11 — Responsabilité

Chaque partie répond des dommages causés par un traitement qui méconnaît le RGPD, dans les conditions de son article 82. Le Client garantit Archi3D contre toute réclamation résultant d'un défaut d'information des personnes concernées ou d'une base légale absente, obligations qui lui incombent en sa qualité de responsable de traitement.

Version 1.0 — en vigueur depuis le 2026-08-12.