Accord de traitement des données — Huuggin

Version 2026-beta-1. Date d’effet : 8 octobre 2026. Les annexes font partie de l’accord.

1. Parties et portée

L’entreprise cliente est responsable des traitements qu’elle définit dans son espace Huuggin. OPTIMASS, SASU au capital de 3 000 €, siège : 1 AV DIVISION GAL LECLERC, 78200 MANTES-LA JOLIE, SIREN 908047475, sous-traitant, traite les données nécessaires à l’exécution du service selon les instructions documentées du client. OPTIMASS est en franchise en base de TVA. Les traitements propres de l’éditeur, notamment compte, facturation et sécurité du service, sont décrits séparément dans la politique de confidentialité.

L’accord couvre les données d’activité, documents, conversations et livrables confiés par le client. Il ne dispense aucune partie de ses propres obligations. Les finalités, personnes, catégories de données et durées figurent en annexe A.

2. Instructions et usages

Le sous-traitant agit uniquement sur instruction documentée du client, y compris pour les transferts, sauf obligation légale applicable, dont il informe le client dans la mesure permise. Les instructions résultent du contrat, des droits configurés et des demandes autorisées dans le service. Une instruction manifestement contraire au droit applicable est signalée ; son exécution peut être suspendue dans l’attente d’une clarification.

Le sous-traitant n’utilise pas les contenus du client pour entraîner un modèle général. DeepSeek et tout fournisseur IA choisi par le client appliquent leurs propres conditions ; Huuggin n’active pas d’option d’entraînement pour son compte. Un fournisseur choisi et contractualisé par le client n’est pas un sous-traitant ultérieur d’OPTIMASS pour les traitements que ce fournisseur réalise directement pour le client.

3. Confidentialité et sécurité

Les personnes ayant accès aux données sont habilitées selon leur mission et soumises à une obligation de confidentialité. Les mesures techniques et organisationnelles sont décrites en annexe B.

Les droits de la GED suivent l’entreprise, le propriétaire et l’agent autorisé. Les documents privés ne deviennent pas communs par l’utilisation d’un agent partagé. Les transferts de livrables privés vers un espace commun nécessitent la décision du propriétaire habilité. Les dossiers de Jade restent dans leur coffre sauf export explicite.

4. Sous-traitants ultérieurs

Le client accorde une autorisation générale pour les sous-traitants listés et leurs fonctions définies en annexe C. Un ajout ou remplacement est annoncé par email au propriétaire de l’espace et par mise à jour du centre juridique, au moins 15 jours avant sa mise en service, sauf urgence de sécurité. Le client peut s’y opposer par écrit à contact@optimass.fr dans ce délai, en motivant un risque concret pour les données. Une objection fondée suspend l’ajout jusqu’à une solution alternative ou, à défaut, jusqu’à la résiliation du service concerné, sans facturation d’un renouvellement postérieur à la date de fin confirmée.

Les garanties contractuelles requises sont répercutées au prestataire. Le sous-traitant demeure responsable envers le client de l’exécution des obligations concernées par ses sous-traitants ultérieurs. Les fournisseurs directement choisis ou contractualisés par le client sont identifiés séparément. L’accord ne vaut pas autorisation indéterminée de transmettre des fichiers à tout outil externe.

5. Assistance et incidents

Le sous-traitant assiste le client, compte tenu du traitement et des informations disponibles, pour répondre aux demandes des personnes, satisfaire aux obligations de sécurité, traiter les violations et réaliser les analyses d’impact ou consultations requises.

Une demande reçue directement est transmise au client sans décision autonome sur les données d’activité, sauf obligation légale. Une violation de données d’activité est notifiée au client sans retard indu et, dans la mesure possible, dans les 72 heures après en avoir pris connaissance, à l’adresse email du propriétaire de l’espace et, si nécessaire, à contact@optimass.fr. La notification précise les éléments disponibles : nature, données et personnes concernées, conséquences probables et mesures prises ou proposées. Les informations manquantes sont complétées progressivement. Canal opérationnel : contact@optimass.fr, suivi par le président d’OPTIMASS.

6. Transferts internationaux

Les traitements hors EEE et accès depuis des pays tiers sont identifiés en annexe C. Les transferts vers les États-Unis (Vercel, Resend, Cal.com, Composio, sous-traitants Stripe) reposent sur les DPA et clauses contractuelles types (ou Data Privacy Framework, le cas échéant) publiés par ces fournisseurs. Le transfert vers la Chine (DeepSeek, modèle par défaut) n’est pas couvert par une décision d’adéquation ; il est limité aux contenus effectivement envoyés au modèle et encadré par les conditions du fournisseur. Aucune garantie d’hébergement exclusivement français ou exclusivement européen n’est donnée.

7. Restitution, suppression et audits

Le client exporte ses documents depuis la rubrique Documents (fichiers et versions disponibles dans la GED). À la suppression du compte, demandée à contact@optimass.fr, les données d’activité sont effacées sous 30 jours, sous réserve des factures et preuves de contrat conservées 10 ans et des copies de sauvegarde jusqu’à la fin de leur cycle (30 jours pour les fichiers GED ; rotation fournisseur pour la base et le VPS). Les index et extraits suivent la même suppression. Une sauvegarde restaurée réapplique les droits et demandes d’effacement courants avant remise en service.

Le sous-traitant met à disposition les informations nécessaires pour démontrer le respect de l’accord. Le client ou son auditeur mandaté peut, avec un préavis de 30 jours, sous engagement de confidentialité et pendant les heures ouvrées, consulter les documents de mesures et, si ces documents sont insuffisants, réaliser un audit sur site ou à distance limité au périmètre Huuggin, sans perturber le service ni accéder aux données d’autres clients. Les constats sont communiqués par écrit ; le sous-traitant propose un plan de correction proportionné. Les coûts de l’audit sont à la charge du client, sauf manquement substantiel démontré.

Annexe A — Description des traitements

• Objet : hébergement, organisation, recherche et préparation de livrables dans l’espace du client et exécution de ses demandes autorisées.
• Opérations : collecte, conservation, consultation, extraction de passages, indexation, génération, restitution et suppression selon les instructions.
• Personnes : utilisateurs et collaborateurs, contacts professionnels, clients, prospects et personnes figurant dans les documents autorisés.
• Données : identité professionnelle, coordonnées, messages, rendez-vous, pièces et informations d’activité nécessaires au service.
• Durée : durée du contrat. Export pendant le service. Après suppression de compte : 30 jours, hors sauvegardes jusqu’à la fin de leur cycle et hors conservation comptable de 10 ans.
• Données sensibles ou dossiers critiques : le service n’est pas conçu pour des données de santé, biométriques ou pénales. Les dossiers juridiques confidentiels de Jade restent dans leur coffre, hors GED, sauf export explicite. Une capacité de dépôt ne vaut pas autorisation générale de traiter toutes catégories de données. Le client reste responsable du contenu qu’il confie.

Annexe B — Mesures techniques et organisationnelles

• Isolation par entreprise et utilisateur (politiques RLS Supabase) ; droits GED distincts (commun / privé) ; index et extraits soumis aux mêmes droits.
• Authentification par session HttpOnly ; secrets d’accès hors conversations ; liens de téléchargement GED temporaires.
• Sauvegarde quotidienne de la base à 23 h Europe/Paris ; copie chiffrée quotidienne des fichiers GED à 23 h Europe/Paris, fenêtre 30 jours, contrôle SHA-256 et restauration de contrôle à chaque copie (preuves du 8 octobre 2026). Restauration possible toutes les 24 h à partir du dernier point quotidien. Aucune restauration automatique en production.
• Sauvegardes hebdomadaires du VPS Hostinger (Allemagne / Lituanie).
• Journal des interventions, habilitations limitées du support, obligation de confidentialité.
• Purge de la corbeille GED à 30 jours ; réapplication des droits et effacements avant toute remise en service d’une sauvegarde.

Ces mesures réduisent les risques ; elles ne permettent pas de promettre une absence d’incident.

Annexe C — Registre des prestataires et transferts

La sauvegarde de base Supabase ne contient pas les fichiers du Storage. La copie GED (restic, VPS Allemagne, 23 h Europe/Paris, 30 jours) couvre les versions confirmées du bucket privé. Une restauration complète combine base, fichiers et VPS ; elle n’est jamais automatique en production et réapplique les droits et effacements courants.