Convention de sous-traitance

Analyse par IA et autorisations d'entraînement distinctes

L'IA est utilisée pour la fonction demandée par le client avec les contenus nécessaires à cet effet. Les documents, textes, images sélectionnés, le cas échéant les enregistrements vocaux et les résultats d'outils peuvent contenir des données à caractère personnel ; une suppression automatique de toutes les références personnelles n'est pas garantie. Pour les routes des modèles de texte et d'image, l'application exige actuellement des points de terminaison dans l'UE, le refus de la collecte de données et des fournisseurs compatibles ZDR. Ces exigences de routage ne constituent pas un engagement que l'intermédiation, les métadonnées d'exploitation ou l'ensemble des sous-traitants sont traités exclusivement dans l'UE. Zero Data Retention ne signifie pas une absence illimitée de stockage chez tous les intervenants et ne remplace ni une convention de sous-traitance ni une base de transfert vers des pays tiers. La présente convention n'autorise pas l'utilisation des données du client pour un entraînement propre. En particulier, une autorisation d'entraînement distincte ne remplace pas une base juridique ou une habilitation pour des données de tiers ; aucun entraînement propre n'est actuellement actif.

Archive des fichiers importés

Le client autorise PlanElec.be à conserver et à analyser des copies des fichiers qu'il importe via les fonctions d'import (plans au format image, PDF, DXF ou DWG, fichiers Trikker et projets Sketch, modèles pour le lecteur de schémas IA), y compris les formats intermédiaires et journaux techniques qui en sont issus. La seule finalité est d'analyser les erreurs d'import et d'améliorer les fonctions d'import et de reconnaissance ; pour cette finalité, PlanElec.be agit en tant que responsable du traitement distinct, et la limitation de finalité prévue au point 2 ainsi que l'obligation d'agir sur instruction prévue au point 5 ne s'y appliquent pas. Les copies sont stockées chiffrées dans l'espace de sauvegarde situé dans l'UE, séparément des données de projet. Seule l'équipe de PlanElec.be y a accès ; les copies ne sont pas communiquées à des tiers et ne servent pas à entraîner des modèles d'IA. Elles sont supprimées automatiquement, après 90 jours pour Sketch et au plus tard après 24 mois pour Pro. Le client s'assure qu'il est en droit de fournir les fichiers à cette fin. Il peut s'opposer à tout moment à la conservation, par écrit, auprès du contact indiqué ci-dessous ; PlanElec.be supprime alors les copies existantes de son compte et n'en conserve plus d'autres.

Parties

Client: Le client désigné dans le contrat d'utilisation, représenté par une personne habilitée à cet effet. Il agit en qualité de responsable du traitement ou de sous-traitant d'un autre responsable du traitement. Dans le second cas, PlanElec.be agit en qualité de sous-traitant ultérieur ; le client s'assure de l'autorisation requise de son donneur d'ordre et d'une chaîne d'instructions admissible. Le choix d'un compte privé ou professionnel ne détermine pas à lui seul le rôle au regard de la protection des données.

Sous-traitant: Stephan Behm, Heggen 34, 4837 Baelen, Belgique, numéro d'entreprise 1043.329.030 – exploitant de PlanElec.be.

1. Objet et durée

L'objet porte sur les contenus de projet traités pour le compte du client lors de la conception et de la documentation d'installations électriques : schémas, plans, documents téléversés, collaboration, validations, exports et fonctions d'IA expressément demandées. Le traitement ne commence que sur une base convenue. La convention s'applique pendant le traitement confié et au-delà de la fin du contrat d'utilisation, tant que PlanElec.be ou ses sous-traitants ultérieurs conservent encore des données du client.

2. Nature et finalité du traitement

Le traitement comprend la collecte par saisie ou téléversement, l'organisation, la conservation, la consultation, la modification, l'analyse sur instruction, la mise à disposition des collaborateurs autorisés, l'export, la transmission sur instruction, la sauvegarde, la limitation et l'effacement. La finalité est exclusivement la fourniture des services de conception et de documentation confiés. La gestion du compte, du contrat, des paiements et des factures, les obligations légales propres ainsi que l'analyse de produit propre sont traitées sous la propre responsabilité de PlanElec.be conformément à la politique de confidentialité, dans la mesure où PlanElec.be en détermine lui-même les finalités et les moyens. Cette délimitation n'autorise pas l'utilisation des contenus de projet à des fins publicitaires ou pour un entraînement propre. Le Cockpit et le bus d'événements interne sont des systèmes internes du même exploitant, et non des sous-traitants ultérieurs distincts.

3. Catégories de données à caractère personnel

Dans le cadre de l'utilisation, les catégories de données suivantes sont notamment traitées :

• Noms, adresses et coordonnées saisies par le client concernant des donneurs d'ordre, propriétaires, occupants, interlocuteurs et collaborateurs.
• Adresses de biens, plans, répartitions des pièces, photos, dessins, données techniques d'installation et d'équipement, dans la mesure où elles peuvent être rattachées à une personne physique.
• Intitulés de projet, textes libres, documents téléversés, saisies et résultats d'IA sélectionnés ainsi que contenus personnels dans des demandes de support confiées.
• Identifiants d'utilisateur, d'organisation, de projet et d'opération, autorisations, horodatages et états de modification nécessaires à la collaboration et à la traçabilité.
• Les catégories particulières au sens de l'art. 9 RGPD et les données au sens de l'art. 10 RGPD ne font pas partie du service standard confié. Elles ne peuvent pas être saisies sans un accord écrit distinct sur des garanties appropriées. Les données à caractère personnel non nécessaires doivent être supprimées avant le téléversement ou le traitement par l'IA.

4. Catégories de personnes concernées

Les groupes de personnes suivants sont concernés par le traitement :

• Donneurs d'ordre et clients finaux du client, propriétaires, maîtres d'ouvrage, occupants et locataires.
• Salariés, mandataires et autres collaborateurs du client ou de ses donneurs d'ordre.
• Autres personnes physiques dont le client intègre légitimement les informations dans des documents de projet ou une communication confiée.

5. Obligations du sous-traitant

Conformément à l'art. 28, paragraphe 3 RGPD, le sous-traitant s'engage notamment à ce qui suit :

• PlanElec.be ne traite les données du client que sur instruction documentée du client, y compris en ce qui concerne les transferts vers des pays tiers. Le contrat d'utilisation, la présente convention et les actions d'utilisation déclenchées dans le périmètre fonctionnel convenu constituent les instructions initiales. Les instructions supplémentaires doivent être adressées sous forme textuelle au contact indiqué ci-dessous ; PlanElec.be les documente et vérifie l'habilitation de l'expéditeur.
• Si le droit de l'Union ou le droit d'un État membre oblige PlanElec.be à un traitement différent, PlanElec.be informe préalablement le client de cette obligation juridique, sauf si ce droit interdit une telle information pour des motifs importants d'intérêt public. Si PlanElec.be estime qu'une instruction enfreint le droit de la protection des données, il en informe le client sans délai et suspend le traitement concerné jusqu'à clarification.
• PlanElec.be limite l'accès aux personnes autorisées ayant un besoin lié à leurs tâches. Celles-ci se sont engagées à respecter la confidentialité ou sont soumises à une obligation légale appropriée de confidentialité ; cette obligation subsiste après la fin de leur activité.
• Compte tenu de la nature du traitement, PlanElec.be aide le client, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes d'accès, de rectification, d'effacement, de limitation, de portabilité des données et d'opposition. PlanElec.be transmet sans délai les demandes reçues directement des personnes concernées et n'y répond que sur instruction ou en vertu d'une obligation légale.
• Compte tenu des informations à sa disposition, PlanElec.be aide le client en matière de sécurité, de notifications de violations de données à caractère personnel, d'analyses d'impact relatives à la protection des données et de consultations préalables au sens des art. 32 à 36 RGPD. La responsabilité du client pour ses délais légaux demeure.
• Après avoir pris connaissance d'une violation de la sécurité des données du client, PlanElec.be en informe le client sans délai via l'adresse de contact enregistrée de celui-ci. La notification indique, dans la mesure où ils sont connus, la nature et l'étendue, les personnes et enregistrements concernés, les conséquences probables, les mesures correctrices prises ou envisagées et un interlocuteur. Les informations manquantes sont communiquées ultérieurement sans retard injustifié ; une première notification n'attend pas la fin de l'enquête. PlanElec.be documente l'incident et les mesures correctrices et aide le client dans l'évaluation et la notification.
• Le client est responsable de la licéité de ses instructions, des informations et bases juridiques requises à l'égard des personnes concernées, de l'attribution de ses droits d'accès et de l'exactitude des données transmises. Il maintient une adresse de contact joignable. Cela ne diminue pas les obligations légales propres de PlanElec.be.

6. Sous-traitants ultérieurs

Le client donne une autorisation écrite générale pour les prestataires désignés ci-après, dans la mesure où ils traitent effectivement des données du client pour la fonction convenue. Pour les fonctions d'IA, l'intermédiaire et les plateformes de modèles en aval sont mentionnés séparément. Les noms de plateformes désignent la route technique et ne remplacent pas l'identification de l'entreprise contractante dans les justificatifs. Les responsables du traitement indépendants et les systèmes internes ne sont pas des sous-traitants ultérieurs.

Avant leur intervention, PlanElec.be impose contractuellement aux autres sous-traitants les mêmes obligations en matière de protection des données que celles fixées dans la présente convention, notamment des garanties suffisantes quant à des mesures techniques et organisationnelles appropriées, et demeure responsable envers le client de l'exécution par les autres sous-traitants. Les ajouts ou remplacements envisagés sont communiqués au client sous forme textuelle au moins 30 jours avant l'accès à ses données, avec le prestataire, la tâche, les lieux de traitement et la base du transfert ; une modification silencieuse du site web ne suffit pas. Le client peut s'y opposer dans ce délai pour des motifs raisonnables liés à la protection des données. Jusqu'à clarification, le nouveau prestataire contesté n'a pas accès aux données concernées. Les parties recherchent une alternative appropriée. Si aucune solution n'est possible, le client peut mettre fin à la partie de service concernée sans pénalité ; les rémunérations payées d'avance pour des prestations qui ne sont plus fournies par la suite sont remboursées au prorata. Les mêmes obligations de protection s'appliquent aux chaînes de traitement ultérieures.

7. Lieux de traitement et transferts vers des pays tiers

Un traitement exclusivement au sein de l'UE n'est pas convenu. En particulier lors de l'intermédiation de requêtes d'IA, de la distribution d'e-mails et lors de prestations d'accès ou de support de fournisseurs internationaux, des données peuvent être traitées en dehors de l'EEE. PlanElec.be ne peut effectuer de tels transferts que dans le cadre d'instructions documentées et dans le respect du chapitre V RGPD. En l'absence de décision d'adéquation applicable, des garanties appropriées, en particulier les clauses contractuelles types adaptées au titre de la décision (UE) 2021/914, ainsi que l'évaluation requise du niveau de protection, y compris des mesures supplémentaires, doivent être assurées. En cas de recours au cadre de protection des données UE-États-Unis (Data Privacy Framework), le destinataire et le traitement concret doivent être couverts par une certification valable. Une adresse aux États-Unis ne constitue pas à elle seule une preuve. PlanElec.be met les justificatifs pertinents à la disposition du client sur demande, sous réserve de la protection d'intérêts légitimes de confidentialité. En l'absence de base solide, le transfert concerné ne peut pas avoir lieu.

8. Mesures techniques et organisationnelles (annexe)

PlanElec.be garantit un niveau de protection adapté au risque conformément à l'art. 32 RGPD. Les mesures suivantes précisent les garanties dues pour le traitement pour le compte du client ; les évolutions techniques ne doivent pas réduire le niveau de protection convenu :

• Accès et autorisations : accès utilisateur authentifiés, contrôle des droits par projet et par organisation sur le serveur, limitation des accès administratifs aux personnes autorisées et retrait des autorisations qui ne sont plus nécessaires. Les moyens d'accès et les clés de service doivent être protégés contre toute divulgation.
• Transmission et séparation : transmission publique chiffrée des données via HTTPS/TLS ; séparation des clients par des contrôles d'autorisation et protection des fichiers stockés contre toute consultation non autorisée. Un chiffrement de bout en bout excluant également l'exploitant n'est pas garanti.
• Intégrité et traçabilité : contrôle des saisies et des modifications, traçabilité des opérations de traitement pertinentes et journaux de sécurité dont le contenu est limité au nécessaire. Aucune reprise illimitée des contenus de projet dans les journaux d'analyse ou d'erreurs.
• Disponibilité et restauration : sauvegardes de données et procédures de restauration documentées ; protection des accès et conservation limitée également pour les sauvegardes. La restaurabilité et l'efficacité des mesures de protection doivent être vérifiées régulièrement et après des modifications importantes.
• Exploitation et organisation : procédures pour les mises à jour de sécurité, le traitement des vulnérabilités, les incidents de protection des données, les demandes d'effacement et le contrôle des autres sous-traitants ; sensibilisation à la protection des données des personnes autorisées.
• Minimisation et effacement des données : limitation des contenus transmis à la mission concernée, conservation liée à la finalité, verrouillage et effacement sur instruction et traitement contrôlé des copies de sauvegarde conformément à la section 9.

9. Restitution, effacement et fin du contrat

À la fin du traitement confié, le client choisit entre la restitution suivie de l'effacement et l'effacement immédiat. PlanElec.be met les données du client à disposition dans un format électronique couramment utilisé et efface les copies existantes, à moins que le droit de l'Union ou le droit d'un État membre n'exige leur conservation. L'export et le respect des obligations légales en matière de protection des données ne dépendent pas de la souscription d'une formule payante. La simple résiliation d'un abonnement ou le passage à la formule gratuite ne met pas automatiquement fin à un stockage toujours confié. En cas de suppression d'un compte, la procédure normale de récupération prévoit un délai de grâce de 30 jours ; sur instruction expresse et admissible, l'effacement immédiat sans ce délai est possible. Les données à conserver légalement sont limitées au volume obligatoire et verrouillées pour toute autre finalité. Les copies de sauvegarde ne peuvent pas être utilisées pour la poursuite du traitement régulier ; en cas de restauration, les effacements doivent être répercutés avant toute nouvelle utilisation. PlanElec.be communique au client les délais de sauvegarde et d'effacement définitif applicables à sa mission et confirme sur demande l'effacement achevé. Les sous-traitants ultérieurs effacent conformément aux conditions convenues avec eux. Les obligations de la présente convention subsistent jusqu'à l'effacement définitif.

10. Justificatifs et contrôles

PlanElec.be met à disposition toutes les informations nécessaires pour démontrer le respect de l'art. 28 RGPD et permet la réalisation d'audits, y compris des inspections, par le client ou un auditeur mandaté par lui, et y contribue. Des rapports appropriés existants peuvent être utilisés dans un premier temps, mais ne remplacent pas un droit de contrôle lorsque celui-ci est nécessaire. Les audits sont organisés moyennant un préavis raisonnable de manière à protéger les autres clients, les secrets et la sécurité. Les audits du client ont lieu au maximum une fois par année civile, sauf si un soupçon fondé, un incident de protection des données ou une demande d'une autorité exige un audit supplémentaire. Le client supporte les coûts de son audit. À l'égard des sous-traitants ultérieurs, PlanElec.be exerce les droits de contrôle dans le cadre des droits d'audit convenus avec eux, en priorité au moyen de leurs certifications et rapports d'audit. PlanElec.be signale immédiatement une instruction d'audit qu'il estime illicite.

11. Ordre de priorité et responsabilité

En cas de contradiction, les obligations en matière de protection des données de la présente convention pour le traitement pour le compte du client prévalent sur les conditions générales d'utilisation. Le droit impératif de la protection des données, en particulier les droits des personnes concernées et l'art. 82 RGPD, n'est pas affecté. Les clauses contractuelles types convenues au niveau international conservent la priorité qui leur est attribuée. Les modifications de la présente convention nécessitent un accord valable ; la simple modification de cette page ne le remplace pas. La règle relative aux changements annoncés de sous-traitants ultérieurs n'en est pas affectée. Pour le surplus, le droit applicable et la juridiction compétente prévus par les conditions d'utilisation s'appliquent.

12. Contact et instructions

Veuillez adresser les demandes relatives à la protection des données, les instructions documentées et les demandes de justificatifs contractuels à : privacy@planelec.be

Délimitation des autres destinataires

Mollie traite les données de paiement pour ses services de paiement réglementés en qualité de responsable du traitement indépendant. Recommand (BRBX BV) assiste PlanElec.be dans sa propre facturation. PostHog est utilisé pour l'analyse de produit propre et le diagnostic technique ; les contenus de projet n'ont pas leur place dans les événements d'analyse. Dans la mesure où ils ne sont pas effectués pour le compte du client, ces traitements sont expliqués dans la politique de confidentialité et ne sont pas autorisés par la présente convention en tant que traitement pour le compte du client. Pour la prévision de rendement PV, PlanElec.be transmet, uniquement à la demande du client, les coordonnées de l'emplacement du projet et des paramètres techniques de l'installation, sans noms, au service public PVGIS du Centre commun de recherche de la Commission européenne.