Accord de Traitement des Données (DPA — Data Processing Agreement)
Plateforme : Bilan+ — https://bilanplus.io Dernière mise à jour : 21/10/2026 Version : 1.1
ENTRE LES SOUSSIGNÉS
Le Responsable du traitement (« le Client ») :
- Dénomination sociale : [À COMPLÉTER par le Client]
- Siège social : [À COMPLÉTER par le Client]
- SIREN : [À COMPLÉTER par le Client]
- Email : [À COMPLÉTER par le Client]
Le Sous-traitant (« l'Éditeur ») :
- Entrepreneur : Théo Tenaguillo, entrepreneur individuel
- Adresse professionnelle : 54 avenue Georges Clémenceau, 33400 Talence
- SIREN : 820 988 616
- Email DPO / données personnelles : theo@bilanplus.io
Préambule
Le présent Accord de Traitement des Données (ci-après « DPA ») est conclu en application de l'article 28 du Règlement (UE) 2016/679 du 27 avril 2016 (RGPD). Il définit les conditions dans lesquelles le Sous-traitant (l'Éditeur de la plateforme Bilan+) traite les données personnelles pour le compte du Responsable du traitement (le Client).
Le présent DPA fait partie intégrante du Contrat de Service Principal (MSA) et des CGV.
Article 1 — Objet
Le présent DPA a pour objet de définir les obligations réciproques des Parties en matière de protection des données personnelles dans le cadre de l'utilisation de la plateforme Bilan+.
Qui est responsable de quoi :
- Les données des bénéficiaires que le Client accompagne (dossier, parcours, résultats des outils, synthèses, séances, messages, documents) : le Client est responsable du traitement, et l'Éditeur sous-traitant. C'est l'objet du présent DPA.
- Les données des clients de l'Éditeur (comptes des consultants et du cabinet, facturation, sécurité de la Plateforme) : l'Éditeur en est lui-même responsable du traitement. Elles relèvent de la Politique de Confidentialité, pas du présent DPA.
Article 2 — Description des traitements
2.1 Nature et finalités des traitements
Le Sous-traitant traite les données personnelles aux fins suivantes, sur instruction du Responsable du traitement :
| Traitement | Finalité |
|---|---|
| Gestion des comptes des bénéficiaires | Création, authentification, gestion du cycle de vie |
| Outils d'évaluation et de bilan | Administration des tests, calcul des scores, génération des résultats |
| Synthèses par intelligence artificielle | Génération de synthèses de sessions, d'analyses de compétences, de suggestions de métiers |
| Transcription audio | Transcription automatique de sessions enregistrées |
| Portefeuille de compétences | Stockage et structuration des compétences, expériences, formations |
| Exploration de métiers | Matching de compétences avec des fiches métiers |
| Messagerie | Acheminement des messages entre consultants et bénéficiaires |
| Gestion documentaire | Stockage, organisation et restitution des documents |
| Bilan 360 | Recueil des retours de l'entourage du bénéficiaire |
| Visioconférence | Séances à distance ; son et image non enregistrés |
| Émargement | Feuilles de présence et signatures des séances |
2.2 Catégories de données traitées
- Données d'identification : nom, prénom, adresse email
- Données professionnelles : expériences, formations, compétences, certifications
- Données psychométriques : réponses aux questionnaires, scores, profils d'intérêts, traits de personnalité — pouvant constituer des données sensibles au sens de l'article 9 du RGPD
- Données de communication : messages échangés, historique des sessions
- Données audio : enregistrements de sessions et transcriptions
- Documents : fichiers téléversés (CV, bilans, livrables)
- Données de connexion : adresses IP, logs d'accès
- Données des répondants d'un Bilan 360 : identité qu'ils donnent (nom, adresse email facultative, lien avec le bénéficiaire), réponses, adresse IP et identifiant de navigateur
2.3 Personnes concernées
- Bénéficiaires de l'accompagnement
- Tiers répondants d'un Bilan 360 (proches, collègues)
- Consultants et administrateurs du cabinet, pour ce qu'ils écrivent et font dans le dossier des bénéficiaires (leur compte et la facturation relèvent de l'Éditeur, voir article 1)
2.4 Durée du traitement
Le traitement est réalisé pendant toute la durée du Contrat de Service Principal. Les durées de conservation des données, prévues et appliquées, sont décrites dans la Politique de Confidentialité, article 6.
Article 3 — Obligations du Sous-traitant
Conformément à l'article 28 du RGPD, le Sous-traitant s'engage à :
3.1 Traitement sur instruction documentée
Le Sous-traitant ne traite les données personnelles que sur instruction documentée du Responsable du traitement, y compris en ce qui concerne les transferts de données vers un pays tiers. Si le Sous-traitant est tenu de procéder à un transfert en vertu du droit de l'Union ou du droit d'un État membre, il en informe le Responsable du traitement avant le traitement, sauf interdiction légale.
Les instructions du Responsable du traitement sont constituées par le présent DPA, le MSA et les CGU.
3.2 Confidentialité
Le Sous-traitant veille à ce que les personnes autorisées à traiter les données personnelles soient soumises à une obligation de confidentialité contractuelle ou légale.
3.3 Sécurité
Le Sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, conformément à l'article 32 du RGPD, et notamment :
- chiffrement des données en transit (HTTPS, TLS 1.2 ou plus) ;
- hachage des mots de passe (bcrypt, coût 12) ;
- chiffrement des jetons d'accès à l'agenda Google en base de données ;
- contrôle d'accès par rôle, et un dossier visible seulement par le bénéficiaire, son consultant, l'administrateur de son cabinet et l'administrateur Bilan+ ;
- isolation des données entre cabinets ;
- journalisation des consultations de documents, des connexions « voir comme » et de certaines actions de l'administrateur Bilan+ sur les comptes des cabinets (statut, quotas) ; la simple lecture d'un dossier n'est pas journalisée ;
- une sauvegarde de la base chaque nuit, conservée 30 jours ;
- remplacement des noms avant l'envoi à l'IA pour les synthèses, l'assistant Billy et les résumés de séance, avec les limites décrites dans la Politique de Confidentialité, article 3.
Ne sont pas en place à ce jour : le chiffrement du disque du serveur et des sauvegardes par l'Éditeur, la double authentification.
3.4 Sous-traitants ultérieurs
Le Sous-traitant est autorisé à faire appel aux sous-traitants ultérieurs listés ci-dessous. Le Responsable du traitement est réputé avoir donné son accord général au sens de l'article 28, paragraphe 2, du RGPD.
| Sous-traitant | Ce qu'il reçoit | Pays | Noms remplacés avant l'envoi ? |
|---|---|---|---|
| Hostinger | Tout : l'application, sa base de données, les sauvegardes quotidiennes | France : serveur situé à Paris (société : Hostinger International Ltd, Chypre) | Non concerné : c'est l'hébergeur |
| Cloudflare (service R2) | Les fichiers téléversés, les enregistrements audio des séances, une copie des sauvegardes | États-Unis (société) ; région de stockage « Europe de l'Ouest », une indication de région donnée par Cloudflare, et non une garantie de stockage dans l'Union européenne | Non concerné : stockage |
| IONOS | La visioconférence intégrée : le son et l'image passent par son serveur | Allemagne | Non concerné : le son et l'image ne sont pas enregistrés ; le serveur garde des journaux techniques ([À CONFIRMER : durée]) |
| Anthropic (IA Claude) | Les textes que l'IA travaille : synthèses, assistant Billy, résumés de séance ; mais aussi les CV importés, la création de formulaires par l'IA, l'audit blanc Qualiopi, l'import de modèles de document | États-Unis | Oui pour les synthèses, Billy et les résumés de séance. Non pour les CV, les formulaires, l'audit blanc et l'import de modèles |
| Mistral AI | Les mêmes textes qu'Anthropic quand Anthropic est indisponible (fournisseur de secours) ; la lecture des documents scannés (PDF et images) ; l'intitulé de poste, l'entreprise et le secteur d'une expérience, quand un consultant ou un bénéficiaire l'ajoute ou cherche des métiers proches, pour la rapprocher des fiches métiers | France | Oui pour les textes de secours, comme chez Anthropic. Non pour les documents scannés et pour les expériences |
| Groq | Le son des séances enregistrées, pour la transcription (fournisseur par défaut) | États-Unis | Non : le son part tel quel |
| Deepgram | Le son des séances enregistrées, pour la transcription en qualité supérieure | États-Unis | Non : le son part tel quel |
| Langfuse | Des mesures sur les échanges avec l'IA (longueurs, outils utilisés), les 200 premiers caractères des réponses de l'IA et les paramètres des actions qu'elle déclenche | Union européenne | Oui : ce qui part est écrit par l'IA, qui ne voit que des marqueurs à la place des noms. Sauf la création de formulaires, qui ne contient pas de données de bénéficiaire et n'utilise pas de marqueurs |
| Sentry | Les erreurs techniques du serveur et un échantillon de mesures de performance : message d'erreur, adresse de la page sans ses paramètres, identifiant interne de l'utilisateur | États-Unis (société) ; données stockées en Allemagne | En partie. Retirés avant l'envoi : nom et adresse email de l'utilisateur, contenu des requêtes, paramètres des adresses, jetons. Limite : un nom écrit dans un message d'erreur n'est pas détecté |
| Pusher | Les messages de la messagerie intégrée et les notifications, au moment où ils sont envoyés, pour qu'ils s'affichent sans recharger la page | Royaume-Uni (société) ; serveurs dans l'Union européenne ([À CONFIRMER : entité]) | Non |
| Resend | Les emails envoyés par la Plateforme : nom et adresse du destinataire, contenu de la notification | États-Unis (société) ; envois traités en Irlande (Union européenne), région eu-west-1 | Non |
| Stripe | La facturation du cabinet abonné | États-Unis | Non concerné |
| L'agenda du consultant, s'il le connecte ; l'adresse IP des visiteurs, au chargement des polices de caractères | États-Unis | Non concerné | |
| Notion | Les signalements de bug et les suggestions envoyés depuis la Plateforme : nom et adresse email de l'auteur, page concernée, texte écrit | États-Unis | Non |
| France Travail, Adzuna, Jooble, QuiForme, Caisse des Dépôts | Les recherches de métiers, d'offres et de formations : mots-clés, lieu, filtres | France (France Travail, QuiForme, Caisse des Dépôts) ; [À CONFIRMER : pays] (Adzuna, Jooble) | La Plateforme ne transmet pas l'identité du bénéficiaire. Un prénom ou un nom seul cité dans une recherche de Billy part tel quel |
État au 19/10/2026 : les accords de traitement des données avec ces sous-traitants ultérieurs ne sont pas encore signés ni archivés par le Sous-traitant.
En cas de changement ou d'ajout d'un sous-traitant ultérieur, le Sous-traitant en informe le Responsable du traitement par email au moins 30 jours avant la mise en œuvre du changement. Le Responsable du traitement peut s'opposer au changement dans ce délai, par écrit motivé. En cas d'opposition légitime, les Parties se rapprochent pour trouver une solution. À défaut, le Responsable du traitement peut résilier le Contrat.
Tant que les accords de traitement avec les sous-traitants ultérieurs ne sont pas signés, leurs obligations de protection des données sont celles de leurs conditions générales ; le Sous-traitant ne peut pas garantir aujourd'hui qu'elles sont équivalentes à celles du présent DPA.
3.5 Assistance au Responsable du traitement
Le Sous-traitant assiste le Responsable du traitement :
- pour répondre aux demandes d'exercice des droits des personnes concernées (articles 15 à 22 du RGPD), sur demande écrite adressée à theo@bilanplus.io. Le bénéficiaire s'adresse d'abord au Responsable du traitement, qui transmet au Sous-traitant ce qui le concerne ; une demande reçue directement d'un bénéficiaire est transmise au Responsable du traitement, sans y répondre à sa place ;
- pour assurer le respect des obligations relatives à la sécurité, à la notification des violations, aux analyses d'impact et à la consultation préalable (articles 32 à 36 du RGPD).
3.6 Notification des violations de données
En cas de violation de données personnelles au sens de l'article 33 du RGPD, le Sous-traitant notifie le Responsable du traitement dans les meilleurs délais et au plus tard dans les 48 heures suivant la prise de connaissance de la violation.
La notification comprend :
- la nature de la violation (catégories de données et de personnes concernées, nombre approximatif) ;
- les conséquences probables ;
- les mesures prises ou envisagées pour y remédier ;
- le point de contact du Sous-traitant.
Le Responsable du traitement reste responsable de la notification à la CNIL (dans les 72 heures, article 33 du RGPD) et aux personnes concernées (article 34 du RGPD) le cas échéant.
3.7 Sort des données en fin de contrat
À l'expiration ou à la résiliation du Contrat :
- le consultant ou l'administrateur du cabinet peut télécharger depuis la Plateforme le dossier de chacun de ses bénéficiaires, sous forme d'une archive de documents PDF. Un export de l'ensemble du cabinet dans un format structuré (JSON, CSV) n'existe pas ;
- la Plateforme ne permet pas de supprimer un cabinet, et aucune suppression automatique ne suit la fin du contrat. Le Sous-traitant supprime les données à la main, sur demande écrite du Responsable du traitement, dans un délai de [À CONFIRMER : délai], sauf obligation légale de conservation (notamment les données de facturation conservées 10 ans conformément au Code de commerce).
Article 4 — Obligations du Responsable du traitement
Le Responsable du traitement s'engage à :
- s'assurer de la licéité des traitements qu'il met en œuvre via la Plateforme ;
- informer les personnes concernées conformément aux articles 13 et 14 du RGPD, en particulier de l'usage des outils d'évaluation : ils font partie de la prestation de bilan que le Client réalise pour le bénéficiaire, dans le cadre du contrat qui les lie et du bilan de compétences prévu par le Code du travail ;
- respecter la décision du bénéficiaire sur l'intelligence artificielle et l'enregistrement audio, recueillie par la Plateforme auprès de lui : un consultant ne peut noter un accord donné à l'oral que si le bénéficiaire n'a jamais répondu, et jamais après un refus ou un retrait ;
- documenter ses propres instructions de traitement ;
- notifier au Sous-traitant toute modification de ses instructions de traitement.
Article 5 — Transferts de données hors de l'Union européenne
Certains sous-traitants ultérieurs sont situés aux États-Unis. Les transferts de données vers ces prestataires sont encadrés par :
- les Clauses Contractuelles Types (SCC) adoptées par la Commission européenne (décision d'exécution 2021/914 du 4 juin 2021), contenues dans l'accord de traitement de chaque sous-traitant ultérieur (non signé à ce jour, voir article 3.4) ;
- le cas échéant, le EU-US Data Privacy Framework lorsque le prestataire est certifié.
Le Sous-traitant s'engage à encadrer ces transferts conformément au chapitre V du RGPD (articles 44 à 49). À ce jour, les accords qui contiennent les clauses types ne sont pas signés (article 3.4).
Article 6 — Audit
Le Responsable du traitement dispose d'un droit d'audit des pratiques du Sous-traitant en matière de protection des données, dans les conditions suivantes :
- fréquence : une fois par an, sauf incident de sécurité justifiant un audit supplémentaire ;
- préavis : 30 jours minimum ;
- modalités : questionnaire écrit et/ou audit sur site (ou à distance) réalisé par le Responsable du traitement ou un tiers mandaté, soumis à une obligation de confidentialité ;
- périmètre : limité aux traitements réalisés pour le compte du Responsable du traitement ;
- restrictions : l'audit ne peut porter atteinte au secret des affaires de l'Éditeur ni perturber le fonctionnement de la Plateforme.
Le Sous-traitant met à la disposition du Responsable du traitement toutes les informations nécessaires pour démontrer le respect du présent DPA.
Article 7 — Responsabilité
Chaque Partie est responsable des dommages résultant de la violation de ses obligations au titre du présent DPA, dans les limites prévues au MSA, article 12.
Le Sous-traitant n'est pas responsable des dommages résultant d'un traitement effectué conformément aux instructions documentées du Responsable du traitement.
Article 8 — Durée
Le présent DPA entre en vigueur à la date de signature du MSA (ou d'acceptation des CGV) et reste en vigueur pendant toute la durée du Contrat, ainsi que pendant la durée nécessaire à la suppression ou à la restitution des données conformément à l'article 3.7.
Article 9 — Droit applicable
Le présent DPA est régi par le droit français et par le Règlement (UE) 2016/679 (RGPD).
Accord de Traitement des Données rédigé conformément à l'article 28 du Règlement (UE) 2016/679 (RGPD), à la loi n° 78-17 du 6 janvier 1978 modifiée et aux recommandations de la CNIL.