Accord de sous-traitance des données

1. Parties et objet

Le Client, professionnel abonné à DrawThink, agit comme responsable de traitement pour les données de ses propres clients et prospects. La société RENDERTHINK, SAS, 17 rue Louis Pasteur, 38400 Saint-Martin-d’Hères, France, RCS Grenoble 102 977 147 (« RenderThink »), agit comme son sous-traitant.

L’Accord ne couvre pas les données des comptes des Utilisateurs ni celles de l’abonnement : RenderThink les traite comme responsable de traitement, selon sa politique de confidentialité.

Pour ces données, consultez notre politique de confidentialité

Les termes de l’Accord ont le sens que leur donne le RGPD (article 4) et, pour ceux propres au Service, les conditions générales d’utilisation.

2. Description du traitement

Objet :: permettre à l’assistant IA choisi par le Client de travailler dans InSitu ou KitchenDraw sur les projets du Client, et garder ce qu’il faut pour reprendre ces projets d’une séance à l’autre.
Nature des opérations :: lecture, à la demande de l’assistant IA, de la scène, du devis et des images du projet ouvert, et leur transmission à l’assistant IA du Client ; calculs, contrôles et relectures ; conservation des données de projet, du style appris des projets passés d’un Utilisateur, de la mémoire de l’assistant et de la bibliothèque des objets 3D de l’Espace ; préparation des modèles 3D ; hébergement.
Finalité :: la seule fourniture du Service au Client, à l’exclusion de toute autre finalité.
Données traitées :: les données que le Client ou ses Utilisateurs font figurer dans leurs projets, leurs devis, la mémoire de l’assistant, la bibliothèque des objets 3D ou leurs demandes d’assistance : notamment le nom ou la contremarque d’un projet, qui peut nommer le client final ; la demande du client final et ses exigences ; les plans et caractéristiques de son logement (pièces, cotes, ouvertures, points techniques, plafond) ; les articles choisis et les montants des devis ; et, lorsqu’elles figurent dans ce que l’assistant lit, l’identité et les coordonnées du client final.
Données sensibles :: le Service n’est pas destiné à traiter les catégories particulières de données de l’article 9 du RGPD ; le Client s’abstient d’en confier.
Personnes concernées :: les clients et prospects du Client, et toute personne dont le Client fait figurer les données dans ses projets.
Durée :: celle de l’abonnement du Client et de la conservation de son Espace, puis le temps nécessaire à la restitution et à la suppression des données (article « Fin du traitement »).

Ce qui est gardé, et combien de temps

Données de projet (pièces, points techniques, fiche de la demande, plafond, déco importée) et bibliothèque des objets 3D avec leurs fichiers : tant que l’Espace existe ; un objet retiré s’efface avec ses fichiers
Style appris des projets passés (nom de fichier, nom ou contremarque, date d’enregistrement, mesures) et mémoire de l’assistant : tant que le compte de l’Utilisateur existe, ou jusqu’à ce qu’il les efface
Scènes, devis et images lus par l’assistant : dix minutes au plus, le temps de les lui remettre ; ils ne sont enregistrés ni dans la base de données ni dans le stockage des fichiers
Fichier qu’un Utilisateur envoie pour en faire un objet 3D : effacé dès sa lecture par la préparation

Minimisation : les outils ne lisent pas d’eux-mêmes les coordonnées du client final que tient le Logiciel de conception ; l’assistant ne les reçoit que si un Utilisateur les lui donne ou les lui fait lire. L’assistant ne peut retenir dans la mémoire ni le nom, ni l’adresse, ni le téléphone, ni l’e-mail d’un client.

3. Instructions du Client

RenderThink ne traite les données que sur instruction documentée du Client. L’Accord, les conditions générales d’utilisation et l’usage du Service par les Utilisateurs du Client, directement ou par leur assistant IA, constituent ces instructions.

RenderThink informe aussitôt le Client si une instruction lui paraît contraire au RGPD ou à une autre règle de protection des données. Si le droit de l’Union ou d’un État membre l’oblige à un traitement, RenderThink en informe le Client avant de l’effectuer, sauf si ce droit l’interdit.

4. Confidentialité

Les personnes que RenderThink autorise à traiter les données sont tenues à la confidentialité et n’y accèdent que dans la mesure nécessaire au Service (support, sécurité, maintenance). La console de l’équipe ne montre pas les données de projet. Chaque modification que l’équipe fait sur un compte est journalisée.

5. Sécurité

RenderThink met en œuvre des mesures techniques et organisationnelles appropriées au sens de l’article 32 du RGPD, notamment :

Hébergement en France, chez OVHcloud ; fichiers des objets 3D chez Cloudflare, dans l’Union européenne ; copie des sauvegardes de la base chez Cloudflare, en Europe de l’Ouest
Chiffrement des communications (HTTPS et TLS)
Mots de passe hachés et double vérification ; console de l’équipe réservée, avec double vérification, et modifications journalisées
Postes authentifiés par une clé propre au PC, que Windows garde sans permettre de l’exporter ; instructions signées par le serveur et vérifiées par le plugin
Cloisonnement des données de chaque Espace, vérifié dans chaque requête
Secrets confiés par les Utilisateurs (clé Sketchfab) chiffrés au repos
Modèles 3D venus d’Internet préparés dans un processus isolé, sans réseau ni accès à la base de données
Scènes, devis et images en transit seulement ; journaux à durée bornée, sans le contenu des scènes

6. Sous-traitants ultérieurs

Le Client autorise RenderThink à recourir aux sous-traitants ultérieurs suivants pour les données couvertes par l’Accord :

OVH SAS (OVHcloud), France : hébergement du serveur, de la base de données, de ses sauvegardes et des files d’attente, en France
Cloudflare, Inc., États-Unis : stockage des fichiers de la bibliothèque des objets 3D et des fichiers envoyés pour préparation, dans l’Union européenne, et d’une copie des sauvegardes de la base de données, en Europe de l’Ouest
Microsoft (Microsoft 365) : la messagerie qui reçoit les e-mails écrits à contact@drawthink.app

Les autres prestataires de RenderThink (Stripe, Resend, PostHog, et Google et Microsoft pour la connexion) ne reçoivent que des données du compte, de l’abonnement ou de l’usage du Service, que RenderThink traite comme responsable de traitement ; leur liste figure dans la politique de confidentialité.

RenderThink informe le Client par e-mail de tout ajout ou remplacement d’un sous-traitant ultérieur au moins 30 jours à l’avance. Le Client peut s’y opposer pour un motif tenant à la protection des données, dans les 15 jours suivant cette information ; à défaut d’accord, il peut résilier son abonnement sans frais avant l’entrée en fonction du nouveau sous-traitant.

RenderThink impose à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles de l’Accord, et reste responsable envers le Client de leur exécution.

L’éditeur de l’assistant IA n’est pas un sous-traitant ultérieur de RenderThink : le Client le choisit et contracte directement avec lui, et les données que son assistant lit lui sont transmises sur instruction du Client. Il appartient au Client de conclure avec cet éditeur les engagements qu’exige le RGPD, de préférence dans une offre destinée aux professionnels. Sketchfab ne l’est pas non plus : un Utilisateur y relie son propre compte, sous ses propres conditions, et RenderThink n’y envoie que les recherches de l’assistant et la clé de ce compte, jamais une donnée de projet.

7. Lieu du traitement et transferts hors de l’Union européenne

Les données couvertes par l’Accord sont hébergées en France, et les fichiers des objets 3D dans l’Union européenne. Un sous-traitant ultérieur établi hors de l’Union européenne n’y accède qu’avec les garanties prévues aux articles 44 et suivants du RGPD : une décision d’adéquation, comme celle du cadre de protection des données UE-États-Unis, ou les clauses contractuelles types de la Commission européenne.

Les données que le Client fait lire à son assistant IA partent chez l’éditeur de celui-ci, sous la responsabilité du Client.

8. Assistance au Client

Compte tenu de la nature du traitement et des informations dont elle dispose, RenderThink aide le Client :

À répondre aux demandes des personnes concernées : une demande reçue directement est transmise au Client sans délai, et RenderThink n’y répond pas elle-même sauf instruction du Client
À garantir la sécurité du traitement et à notifier les violations de données
À réaliser une analyse d’impact et, le cas échéant, à consulter l’autorité de contrôle

Le Client dispose dans son espace compte des moyens de consulter, corriger, supprimer et réinitialiser la mémoire de l’assistant, de retirer un objet de la bibliothèque, d’exporter ses données, données de projet comprises pour le Titulaire, et d’y demander au support la suppression de son compte. Un Utilisateur fait aussi oublier à son assistant le style appris de ses projets.

9. Violation de données

RenderThink notifie au Client toute violation de données couvertes par l’Accord dans les meilleurs délais après en avoir pris connaissance, afin de lui permettre de respecter son propre délai de 72 heures auprès de l’autorité de contrôle.

La notification décrit, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, ses conséquences probables et les mesures prises ou proposées. Les informations qui ne sont pas encore connues sont communiquées dès que possible.

10. Fin du traitement

Au terme de l’abonnement, l’accès au Service se ferme, mais les données de l’Espace sont gardées tant que l’Espace existe, pour que le Client puisse y revenir ou les récupérer. Le Titulaire les récupère par l’export de son espace compte (les fichiers des objets 3D se trouvent aussi dans le cache des PC de l’Espace), puis les fait supprimer en demandant la suppression de son compte au support depuis son espace compte, ou sur simple demande à contact@drawthink.app.

RenderThink efface alors l’Espace, ses données de projet, sa bibliothèque et ses fichiers, et le compte du Titulaire avec sa mémoire, sauf obligation légale de conservation. Chaque Membre a un compte personnel, dont il demande lui-même la suppression ; son départ de l’Espace ne l’efface pas. Les journaux s’effacent à l’issue des durées de la politique de confidentialité, et les sauvegardes à leur renouvellement (trente jours au plus).

11. Audit

RenderThink met à la disposition du Client les informations nécessaires pour démontrer le respect de l’article 28 du RGPD. Le Client peut faire réaliser un audit, par lui-même ou par un auditeur indépendant tenu au secret, moyennant un préavis écrit raisonnable, sans perturber le Service ni accéder aux données des autres clients ; les frais de l’audit restent à sa charge.

12. Obligations du Client

Le Client s’engage à :

Disposer d’une base légale pour les données qu’il confie au Service, et informer les personnes concernées
Ne confier au Service que les données nécessaires, et aucune donnée sensible ; ne pas faire figurer dans les noms de projets, les demandes et les fichiers plus de données de ses clients qu’il n’en faut
Choisir son assistant IA, conclure avec son éditeur les engagements qu’exige le RGPD et en informer, le cas échéant, les personnes concernées
Veiller au respect de l’Accord par ses Utilisateurs

13. Durée, responsabilité et droit applicable

L’Accord s’applique tant que RenderThink traite des données pour le compte du Client. La responsabilité de chaque partie, le droit applicable et la juridiction compétente sont ceux des conditions générales d’utilisation, sans préjudice des droits que le RGPD donne aux personnes concernées.

Voir nos conditions générales d’utilisation

14. Contact

Pour toute question sur l’Accord, ou pour signaler une demande ou un incident, écrivez à contact@drawthink.app.