HERMETICS
Menu
FRENPTConnexionCréer un compte gratuit
Informations légales

Accord de sous-traitance

Le contrat exigé par l’article 28 du RGPD pour les données à caractère personnel que vous enregistrez dans la plateforme. Il s’applique à toutes les offres, compte gratuit compris.

Version 1.14 du 13 novembre 2026

Accord de sous-traitance de données à caractère personnel (DPA) : Hermetics ↔ Client

Entre les parties

Le Responsable de traitement (« le Client ») : le client identifié lors de la souscription ou, pour un compte gratuit, l’utilisateur identifié lors de la création du compte

Le Sous-traitant (« Hermetics ») : M. Thiago de Jesus Freire, entrepreneur individuel, SIREN 130 271 075, dont l'établissement principal est situé 61 rue du Maréchal de Lattre de Tassigny, 94140 Alfortville, exerçant sous le nom commercial Hermetics, ci-après « Hermetics ». (En cas de transformation en société : substitution selon l'article 12 des CGV, à conditions inchangées.)

Le présent accord complète le contrat de services conclu entre les parties (les « CGV ») et prévaut sur celles-ci pour tout ce qui concerne les traitements de données à caractère personnel effectués pour le compte du Client.

Compte gratuit. Le présent accord s'applique aussi à l'utilisateur d'un compte gratuit, qui a alors la qualité de « Client », dans les conditions des Conditions d'utilisation publiées sur hermetics.fr/conditions-utilisation : celles-ci tiennent lieu de contrat de services, et les stipulations du présent accord qui se rapportent aux CGV, à la Formule ou au délégué à la protection des données désigné s'appliquent sous les adaptations qu'elles prévoient.

1. Objet, nature et finalité du traitement

Hermetics traite, pour le compte du Client, les données à caractère personnel strictement nécessaires à la fourniture de la Plateforme et des opérations qu'elle exécute pour le Client : hébergement et exploitation de la Plateforme, tenue du registre des traitements, réception et suivi des demandes d'exercice de droits (DSAR), gestion des violations de données, production de documents de conformité, et envoi, au nom du Client, des communications prévues à l'article 3 de la lettre de mission.

Le présent accord ne régit pas la mission de délégué à la protection des données. Il régit le seul rôle de sous-traitant d'Hermetics au sens de l'article 28. La mission de délégué, désigné au sens de l'article 37 par la lettre de mission et par la déclaration faite à l'autorité de contrôle, est une prestation distincte, exercée sans instruction du Client (article 38(3)) : les données que le délégué traite pour les besoins propres de cette mission relèvent de l'article 8 de la lettre de mission. Les deux qualités coexistent sans se confondre.

  • Durée : celle du contrat de services, sous réserve de l'exception prévue à l'article 7.
  • Nature des opérations : collecte, enregistrement, structuration, conservation, consultation, extraction, communication au Client, effacement.
  • Types de données : données d'identification et de contact des personnes concernées par les demandes de droits (nom, email, contenu de la demande, pièces justificatives le cas échéant) ; données d'identification des interlocuteurs du Client ; contenu des fiches de traitement (descriptions d'activités, catégories de données, sans données de contenu des fichiers du Client) ; journaux d'audit.
  • Catégories de personnes concernées : personnes exerçant leurs droits auprès du Client (clients, salariés, candidats, prospects du Client) ; personnels du Client utilisateurs de la plateforme.
  • Catégories particulières (Art. 9). La Plateforme n'a pas vocation à héberger des catégories particulières de données au-delà de ce qui est strictement nécessaire à la qualification d'une demande de droits ou à la description d'un traitement (ex. : mention qu'un traitement porte sur des données de santé, sans les données elles-mêmes). Tout dépôt systématique de données de l'Art. 9 requiert un accord écrit préalable et, pour les données de santé, le respect du cadre applicable (dont l'hébergement HDS, art. L.1111-8 CSP, le cas échéant).
2. Instructions documentées (Art. 28(3)(a))

Hermetics traite les données uniquement sur instruction documentée du Client, y compris en matière de transfert hors UE. Le présent accord, les CGV et le paramétrage effectué par le Client dans la plateforme constituent les instructions documentées. Hermetics informe le Client si une instruction constitue, à son avis, une violation du RGPD.

3. Confidentialité (Art. 28(3)(b))

Hermetics garantit que toute personne autorisée à traiter les données est soumise à une obligation de confidentialité contractuelle ou légale appropriée.

4. Sécurité (Art. 28(3)(c) et Art. 32)

Hermetics met en œuvre les mesures techniques et organisationnelles décrites en Annexe 2, notamment : hébergement en Union européenne, cloisonnement des données par client (schéma de base de données dédié), chiffrement en transit, contrôle d'accès par rôles, authentification à deux facteurs pour les personnels Hermetics, journalisation d'audit, sauvegardes.

5. Sous-traitants ultérieurs (Art. 28(2) et (4))

Le Client autorise de manière générale le recours aux sous-traitants ultérieurs listés en Annexe 1. Hermetics informe le Client de tout ajout ou remplacement au moins trente (30) jours avant sa prise d'effet, par email à l'adresse de contact du Client ; le Client peut émettre des objections motivées dans ce délai ; à défaut d'accord, le Client peut résilier le service sans pénalité. Hermetics impose à ses sous-traitants ultérieurs, par contrat, les mêmes obligations de protection des données que celles du présent accord, et demeure pleinement responsable envers le Client de leur exécution. Sur demande, Hermetics communique au Client une copie du contrat conclu avec le sous-traitant ultérieur (expurgée des stipulations commerciales).

6. Assistance au Responsable de traitement (Art. 28(3)(e) et (f))

Hermetics assiste le Client, par des mesures techniques et organisationnelles appropriées :

  • pour donner suite aux demandes d'exercice de droits (la plateforme fournit la réception, la qualification, le suivi des délais et les projets de réponse). Si une personne concernée s'adresse directement à Hermetics, la demande est transmise au Client sans délai injustifié, Hermetics n'y répondant pas de sa propre initiative ;
  • pour les obligations des Art. 32 à 36 : en cas de violation de données affectant les traitements confiés, Hermetics notifie le Client dans les meilleurs délais et sans délai injustifié après en avoir pris connaissance. La notification comporte, dans la mesure des informations disponibles : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, les mesures prises ou proposées, et un point de contact ; les informations peuvent être fournies de manière échelonnée. Hermetics fournit la documentation utile à la notification à l'autorité de contrôle et, le cas échéant, à la communication aux personnes concernées ;
  • pour les analyses d'impact (AIPD) et les consultations préalables de l'autorité de contrôle (art. 36).
7. Sort des données en fin de contrat (Art. 28(3)(g)) : réversibilité

Au terme du contrat, au choix du Client : (i) restitution intégrale des données dans un format structuré, couramment utilisé et lisible par machine (export intégral disponible en libre-service dans la plateforme : archive ZIP contenant les données au format JSON, les fichiers déposés et un manifeste ; les pièces jointes aux demandes d'exercice de droits et les signalements du dispositif d'alerte, dont la confidentialité est protégée, sont remis sur demande), puis suppression ; ou (ii) suppression directe. Les documents de travail du délégué non encore validés (analyses en cours de rédaction, brouillons de réponse) et les journaux de sécurité (adresses IP, navigateurs) ne font pas partie de la restitution ; les analyses sont restituées dès leur validation. La suppression intervient au plus tard trente (30) jours après le terme, copies de sauvegarde purgées au plus tard quatre-vingt-dix (90) jours après, sauf obligation légale de conservation. Hermetics certifie la suppression par écrit, en précisant le périmètre (données de production et sauvegardes) et la date effective. La restitution et l'export des données sont gratuits (art. 27 de la loi n° 2024-449 « SREN » et arrêté du 17 novembre 2025 fixant à zéro euro le montant maximal des frais de transfert de données ; chapitre VI du règlement (UE) 2023/2854 « Data Act »).

Par exception, lorsque le Client n'a pas souscrit le supplément de délégué à la protection des données désigné, le terme de la Formule ne met pas fin à son usage de la plateforme : son espace revient à l'offre gratuite, avec toutes ses données, et rien n'est supprimé à cette occasion. L'usage du service relève alors des Conditions d'utilisation publiées sur hermetics.fr/conditions-utilisation, y compris ce qu'elles prévoient pour un compte resté sans utilisation. Par dérogation à l'article 1, le présent accord continue de régir les traitements de données à caractère personnel effectués pour le compte du Client aussi longtemps qu'Hermetics conserve ces données. Le Client peut à tout moment exporter ses données depuis son espace et en demander la suppression par courriel adressé à contact@hermetics.fr : les délais du présent article courent alors à compter de la demande, et Hermetics certifie la suppression par écrit dans les mêmes conditions.

Compte gratuit. Pour l'utilisateur d'un compte gratuit, le terme est la suppression du compte, dans les conditions des Conditions d'utilisation. Jusqu'à cette date, il peut exporter ses données depuis son espace ; les délais de suppression du présent article courent à compter de la suppression du compte, et la certification écrite est délivrée sur demande.

8. Documentation et audits (Art. 28(3)(h))

Hermetics met à disposition du Client toute information nécessaire pour démontrer le respect du présent accord (documentation de sécurité, registre Art. 30(2), journal d'audit par client exportable). Le Client peut réaliser, à ses frais, un audit une fois par an, sur préavis de trente (30) jours, sans accès aux données des autres clients, y compris par un tiers mandaté non concurrent d'Hermetics.

9. Transferts hors Union européenne et demandes d'autorités

Les données à caractère personnel confiées à Hermetics sont hébergées et traitées au sein de l'Union européenne : l'hébergement, le stockage, l'email transactionnel, la messagerie et l'inférence d'intelligence artificielle sont fournis par les sous-traitants listés en Annexe 1, dont les traitements sont localisés en France et dans l'Union européenne.

Deux précisions, qui valent mieux qu'une affirmation absolue que le présent accord ne pourrait pas tenir. D'une part, certains sous-traitants ultérieurs peuvent opérer depuis un pays tiers des traitements accessoires (supervision technique, support, lutte contre la fraude) : ces transferts sont encadrés conformément au chapitre V du RGPD, par décision d'adéquation ou par clauses contractuelles types, et la liste à jour des sous-traitants de chaque prestataire est publique. D'autre part, le prestataire de paiement agit en qualité de responsable de traitement autonome et non de sous-traitant d'Hermetics : les traitements qu'il opère, y compris toute transmission hors de l'Espace économique européen, relèvent de sa propre politique et non du présent accord.

Enfin, pour organiser le travail du délégué, un modèle de planification hébergé hors de l'Union européenne (Annexe 1) reçoit uniquement des indicateurs de dossier calculés par la plateforme, sans aucune donnée à caractère personnel : aucun document et aucun texte saisi par le Client ou ses équipes ne lui est transmis, ce que la plateforme garantit par construction et vérifie par des tests automatisés. Il ne prend aucune décision juridique ; les questions posées au Client sont rédigées à l'avance, en France. La liste des indicateurs figure dans le dossier de sécurité remis sur demande (article 8).

En résumé, et c'est l'engagement qu'Hermetics tient : aucun sous-traitant ultérieur n'héberge les données du Client hors de l'Union européenne, et aucun transfert n'intervient hors du cadre du chapitre V du RGPD. Toute évolution constituerait un ajout de sous-traitant ultérieur soumis à la procédure de l'article 5.

Si Hermetics reçoit d'une autorité publique une demande d'accès aux données du Client, il en informe le Client sans délai, sauf interdiction légale, en limite la portée au strict nécessaire et conteste toute demande manifestement infondée.

10. Registre et coopération

Hermetics tient le registre des catégories d'activités de traitement effectuées pour le compte du Client (Art. 30(2)) et coopère avec l'autorité de contrôle à sa demande.

11. Transparence et gouvernance de l'usage de l'IA

La plateforme utilise des systèmes d'intelligence artificielle (fournisseur d'inférence : cf. Annexe 1) pour assister la production de projets de documents et l'analyse de demandes. Garanties contractuelles :

  • Aucune décision automatisée produisant des effets juridiques (Art. 22 RGPD) : les documents de conformité et les positions juridiques produits avec l'assistance de l'IA sont des propositions, soumises à une décision humaine avant toute remise. Lorsque le Client a souscrit le supplément de délégué à la protection des données désigné, ils sont validés par le délégué désigné avant toute remise. En l'absence de délégué désigné, ils sont relus et validés par le Client lui-même, qui décide seul de leur usage : aucun délégué à la protection des données ne les valide. Dans les deux cas, le sort de chaque proposition est tracé dans le journal d'audit (acceptée / modifiée / rejetée). L'organisation du travail (relances, demandes de précisions tirées du catalogue de questions d'Hermetics, réouverture d'un dossier incomplet, suivi des délais) est automatisée et tracée dans le journal d'audit ; elle ne comporte aucune appréciation juridique.
  • Information des utilisateurs interagissant avec un assistant IA (Art. 50 du règlement (UE) 2024/1689, AI Act).
  • Pas d'entraînement sur les données du Client : les données ne sont pas utilisées pour entraîner ou réentraîner les modèles ; l'inférence sur les données du Client s'effectue sans conservation des requêtes ni des réponses par le fournisseur au-delà du traitement, sous la seule réserve des exceptions documentées en Annexe 1 (conservation temporaire d'une requête, limitée à deux semaines, en cas d'erreur ou d'abus), conformément aux engagements du fournisseur d'hébergement listé en Annexe 1. Le modèle de planification (article 9) ne reçoit aucune donnée du Client ; son fournisseur n'utilise pas les requêtes pour l'entraînement.
  • Base de connaissance curée (doctrine CNIL/CJUE/EDPB) hébergée dans la base de données de la plateforme, sous curation humaine, elle n'est jamais transmise à un service d'entraînement.
  • Amélioration du service par cas anonymisés. Lorsqu'une suggestion de l'IA est écartée, la personne d'Hermetics en charge du dossier peut décider de verser le cas à un corpus interne d'amélioration. Le versement n'est jamais automatique ; le contenu est anonymisé avant enregistrement et conservé sans lien avec le Client, de sorte qu'il ne se rapporte plus à une personne identifiée ou identifiable (considérant 26 du RGPD). Ce corpus sert uniquement à faire évoluer les instructions rédigées par Hermetics, jamais à entraîner un modèle.
12. Responsabilité

Chaque partie est responsable des dommages causés par son propre manquement. La conformité du Client au RGPD demeure de la responsabilité du Client en sa qualité de responsable de traitement (Art. 24). Le plafond de l'article 10 des CGV s'applique, avec ses seules exceptions (dol, faute lourde, dommages corporels). Pour le compte gratuit, y compris lorsque l'espace est revenu à l'offre gratuite au terme d'une Formule (article 7), la limite applicable est celle que prévoient les Conditions d'utilisation, avec les exceptions qu'elles énoncent.

Annexe 1 : Sous-traitants ultérieurs autorisés

Hermetics recourt à des sous-traitants ultérieurs pour les catégories de services suivantes : l'hébergement de la plateforme (calcul, base de données, stockage objet, email transactionnel) et l'inférence d'intelligence artificielle, en France et au sein de l'Union européenne ; la messagerie électronique d'Hermetics et le stockage des copies de sauvegarde chiffrées de la base de données, en France ; un modèle de planification du travail du délégué, fourni depuis les États-Unis, qui ne reçoit que des indicateurs de dossier, sans aucune donnée à caractère personnel (article 9). L'encaissement des abonnements est confié à un établissement de monnaie électronique agréé, établi aux Pays-Bas, qui agit en qualité de responsable de traitement autonome et non de sous-traitant.

Conformément à l'article 5, Hermetics impose à chacun de ses sous-traitants ultérieurs, par contrat, les mêmes obligations de protection des données que celles du présent accord, demeure pleinement responsable de leur exécution envers le Client, et informe le Client de tout ajout ou remplacement au moins trente (30) jours avant sa prise d'effet, le Client pouvant émettre des objections motivées dans ce délai.

La liste nominative est communiquée sur simple demande à contact@hermetics.fr et figure dans l'accord remis à la souscription d'une offre.

Annexe 2 : Mesures techniques et organisationnelles (Art. 32)
  • Isolation par client : schéma de base de données dédié par client (PostgreSQL) ; contrôle d'appartenance et de rôle à chaque requête, avec le rôle minimal exigé par chaque action.
  • Contrôle d'accès : RBAC (rôles ADMIN / DPO / client) ; principe du moindre privilège ; écriture de la base de connaissance restreinte aux administrateurs.
  • Authentification : connexion par un code envoyé à l'adresse électronique du compte, sans mot de passe ; lorsqu'un compte dispose d'un mot de passe (comptes de l'équipe Hermetics, comptes clients qui en possèdent un), celui-ci ne sert pas à la connexion mais à confirmer l'identité avant certaines opérations sensibles, et n'est conservé que sous forme hachée (bcrypt) ; 2FA TOTP (RFC 6238) avec codes de secours à usage unique (hachés) et protection anti-rejeu, obligatoire pour les comptes à privilèges ; rate-limiting sur l'authentification (par IP et par compte).
  • Chiffrement : TLS en transit ; chiffrement au repos de la base de données assuré par l'infrastructure d'hébergement ; chiffrement applicatif (AES-256-GCM) des pièces déposées ; la copie de sauvegarde externe est chiffrée par Hermetics avant de quitter l'infrastructure d'hébergement, avec une clé dont la partie privée n'est détenue ni par l'hébergeur ni par le prestataire de stockage.
  • Journalisation : journal d'audit horodaté par client (actions, acteur, rôle), tenu en ajout seul : l'application n'y modifie ni n'y supprime aucune ligne. Il enregistre aussi la consultation des pièces déposées, justificatifs d'identité compris. Exportable ; journal global pour les opérations transverses.
  • Protection applicative : validation systématique des entrées (schémas) ; requêtes paramétrées ; en-têtes de sécurité (CSP, X-Frame-Options) ; protection anti-injection de formules dans les exports CSV ; rate-limiting sur les formulaires publics et webhooks ; garde-fous programmatiques sur les sorties d'IA (aucune référence inventée n'est persistée).
  • Sauvegardes : sauvegarde quotidienne de la base de données chez l'hébergeur, conservée trente (30) jours, et copie quotidienne chiffrée, conservée trente-cinq (35) jours hors du compte d'hébergement dans un stockage qui en interdit la modification et la suppression pendant cette durée ; purge des sauvegardes au plus tard quatre-vingt-dix (90) jours après la fin de contrat ou, dans les cas prévus à l'article 7, après la demande de suppression ou la suppression du compte gratuit (cf. §7) ; procédure de restauration documentée et testée.
  • Durées de conservation internes, appliquées par une purge automatique documentée :
  • demandes d'exercice de droits clôturées : cinq (5) ans après la clôture, durée alignée sur la prescription de droit commun (art. 2224 du code civil) ; les éléments transmis par la personne pour la vérification prévue à l'article 12(6) du RGPD, pièces d'identité comprises, sont supprimés dès que la vérification est enregistrée, et au plus tard le lendemain de la clôture, lorsqu'ils ont été déposés sur la page sécurisée prévue à cet effet, et trente (30) jours après la clôture lorsqu'ils ont été joints au dossier par le délégué ; le fichier chiffré correspondant est effacé du stockage objet au plus tard sept (7) jours plus tard ;
  • registre des violations (art. 33(5) du RGPD) : aucun texte n'en fixe la durée ; Hermetics retient cinq (5) ans après la clôture de la violation, au terme desquels les champs identifiants sont supprimés automatiquement et la fiche est revue par le délégué pour en retirer ce qui resterait identifiant dans le texte. Les faits, les effets et les mesures prises, que l'article 33(5) impose de documenter, demeurent ;
  • journaux techniques d'accès et d'authentification : au plus douze (12) mois, la plateforme conservant les événements d'authentification échouée quatre-vingt-dix (90) jours, conformément à la recommandation de la CNIL relative à la journalisation (délibération n° 2021-122 du 14 octobre 2021) ;
  • journal d'audit des actes de conformité (validations, avis, signatures, notifications, formation du contrat, consultation des pièces déposées) : pendant toute la durée du contrat, puis restitué au Client et supprimé dans les conditions de l'article 7. Il constitue la preuve de la diligence exercée pour le Client, dont celui-ci a besoin au titre de sa propre obligation de responsabilité (art. 5(2) du RGPD) ;
  • assistance par intelligence artificielle : le contenu soumis au modèle n'est pas conservé, seule son empreinte l'est ; les suggestions produites sont conservées douze (12) mois, et les métadonnées techniques (horodatage, agent, modèle, volume, acceptation ou refus) trois (3) ans, au titre du contrôle interne de la qualité des suggestions ;
  • événements de sécurité sans client identifié (tentatives d'authentification échouées) : quatre-vingt-dix (90) jours.
  • Gestion des secrets : variables d'environnement hors dépôt de code ; rotation en cas de suspicion.
  • Tests et revues : suite de tests automatisés (délais légaux, contrôles d'accès, schémas) exécutée avant chaque évolution ; revues de sécurité périodiques ; test d'intrusion externe planifié.
Annexe 3 : Points de contact

Hermetics, en qualité de sous-traitant (Plateforme, notifications de l'article 6) : contact@hermetics.fr · Délégué à la protection des données (lettre de mission) : dpo@hermetics.fr · Client : le contact désigné au bordereau de souscription ou, pour un compte gratuit, l'adresse électronique du compte

Version 1.14 du 13 novembre 2026.

Accord de sous-traitance | Hermetics