Accord de Traitement des Données (DPA)

AVELIOR ANALYTICS

Dernière mise à jour : 12 octobre 2026

1. Objet

Le présent Accord de Traitement des Données (ci-après « DPA ») définit les conditions dans lesquelles :

AVELIOR ANALYTICS agit en qualité de sous-traitant
Le Client agit en qualité de responsable de traitement

dans le cadre de l'utilisation de la plateforme SaaS AVELIOR.

Il couvre les traitements réalisés par AVELIOR pour le compte du Client. Le traitement statistique décrit à l'article 3 bis n'en relève pas : AVELIOR en est responsable de traitement.

Cet accord complète :

les CGV
les CGU

2. Nature du traitement

AVELIOR traite uniquement :

les documents contractuels importés
les données professionnelles associées
les métadonnées techniques nécessaires au fonctionnement du service

Les traitements réalisés :

stockage sécurisé
analyse automatisée
structuration de données
visualisation documentaire

AVELIOR ne prend aucune décision automatisée.

3. Finalité

Le traitement réalisé pour le compte du Client a pour seule finalité la fourniture du service SaaS.

AVELIOR s'interdit :

toute revente des documents ou des données permettant d'identifier le Client, ses clients ou ses utilisateurs
toute exploitation commerciale des documents
toute diffusion de ces documents ou de ces données
toute utilisation marketing

3 bis. Statistiques de marché anonymisées

Le Client autorise AVELIOR à tirer des contrats analysés des statistiques de marché anonymisées, conformément à l'article 5 bis des CGU et au § 5 bis de la Politique de Confidentialité. Pour ce traitement distinct, AVELIOR agit en qualité de responsable de traitement.

éléments retenus : garanties et niveaux, cotisation, segment (convention collective, type de contrat, tranche d'effectif, secteur d'activité, tranche d'âge), organisme assureur ;
jamais retenus : identifiant du Client, de ses clients ou de ses utilisateurs, document PDF ou texte intégral du contrat ;
base séparée, sans identifiant et sans lien avec un compte, un cabinet ou un client ;
diffusion uniquement sous forme agrégée et arrondie, jamais contrat par contrat.

4. Catégories de données

Selon les documents importés, peuvent être traitées :

données professionnelles
données contractuelles
données assurantielles
données économiques
données techniques

Personnes concernées :

salariés et bénéficiaires couverts par les contrats du Client ou de ses clients
assurés travailleurs non salariés (TNS)
interlocuteurs des entreprises clientes du Client
utilisateurs de la plateforme

Le Client s'engage à ne transmettre que les données strictement nécessaires.

5. Données sensibles

Le service n'est pas conçu pour recevoir des données de santé concernant une personne identifiable (remboursements, questionnaires médicaux, arrêts de travail, pièces médicales). Le Client s'engage à ne pas en importer. Si un document en contient malgré tout, le Client le supprime ou demande sa suppression à AVELIOR.

AVELIOR ne réalise aucun profilage.

6. Durée de conservation

Les données sont conservées :

pendant la durée du contrat
puis 30 jours en export possible
puis suppression définitive sous 60 jours, sauf obligation légale de conservation

Sauvegardes techniques : purge progressive sécurisée.

Les statistiques et la base séparée de l'article 3 bis ne sont pas concernées.

7. Mesures de sécurité

AVELIOR met en œuvre :

chiffrement des données en transit et au repos
contrôle strict des accès
authentification sécurisée
surveillance des activités suspectes
détection des vulnérabilités
journalisation des actions
audits réguliers

AVELIOR est tenu à une obligation de moyens.

8. Sous-traitance ultérieure

Le Client donne à AVELIOR une autorisation générale de recourir à des sous-traitants ultérieurs. À la date du présent DPA, ce sont :

Supabase Inc. — stockage de la base de données, des documents importés et des comptes — serveurs situés à Paris (France)
Mistral AI (France) — lecture automatique (OCR) des documents PDF — Union européenne
Google Cloud (Vertex AI) — extraction et comparaison des garanties des contrats santé (traitement principal) — Union européenne (point d'accès multirégion UE : stockage et calcul dans l'Union européenne)
Google (API Gemini) — autres traitements par intelligence artificielle du contenu des contrats, dont le repérage des formules des contrats santé, la lecture d'images et le module responsabilité civile — traitement pouvant avoir lieu hors de l'Union européenne, notamment aux États-Unis, encadré par les clauses contractuelles types de la Commission européenne
Brevo (France) — envoi des e-mails liés au compte (inscription, mot de passe) — Union européenne
Stripe — paiement et facturation — Union européenne (Irlande), avec des transferts possibles aux États-Unis encadrés par les clauses contractuelles types
Vercel Inc. — diffusion des pages du site ; ne stocke ni les documents ni les données des contrats — réseau mondial, société située aux États-Unis

AVELIOR :

impose à chacun, par contrat, les mêmes obligations de protection des données que celles du présent DPA, dont l'interdiction d'utiliser les données pour entraîner ses propres modèles d'intelligence artificielle ;
informe le Client de tout ajout ou remplacement au moins 30 jours à l'avance, par e-mail ;
permet au Client de s'y opposer pendant ce délai, pour un motif lié à la protection des données ; à défaut d'accord, le Client peut résilier sans frais avant le changement ;
reste responsable envers le Client de l'exécution de leurs obligations.

Lorsqu'un sous-traitant ultérieur traite des données hors de l'Union européenne, le transfert est encadré par les clauses contractuelles types de la Commission européenne (article 46 du RGPD).

9. Notification de violation

En cas de violation de données :

AVELIOR informe le Client sans délai excessif
et au plus tard 48 heures après en avoir pris connaissance, pour permettre au Client de notifier la CNIL dans le délai de 72 heures

AVELIOR :

analyse l'incident
limite l'impact
met en œuvre des mesures correctives

10. Assistance RGPD

AVELIOR assiste le Client, dans la limite des informations dont il dispose, pour :

répondre aux demandes d'exercice des droits des personnes (accès, suppression…)
garantir la sécurité des données et gérer une violation
réaliser, si nécessaire, une analyse d'impact relative à la protection des données

AVELIOR met à la disposition du Client les informations nécessaires pour démontrer le respect du présent DPA. Il permet la réalisation d'audits, par le Client ou un auditeur mandaté, sur demande écrite, avec un préavis raisonnable et dans le respect de la confidentialité. AVELIOR informe immédiatement le Client s'il estime qu'une instruction enfreint le RGPD.

11. Droits du Client

Le Client peut :

demander export
demander suppression
demander limitation

AVELIOR agit sur instruction documentée.

12. Localisation des données

Les documents importés et les données de la plateforme sont stockés en France, sur des serveurs situés à Paris. Les traitements réalisés par les sous-traitants de l'article 8 peuvent avoir lieu à l'endroit indiqué pour chacun, avec les garanties décrites dans cet article.

13. Confidentialité

AVELIOR s'engage :

à une confidentialité stricte
à former ses équipes
à limiter les accès

Durée :

pendant le contrat
puis 3 ans après suppression des données

14. Responsabilité

AVELIOR :

agit comme sous-traitant technique pour les traitements réalisés pour le compte du Client
agit comme responsable du seul traitement statistique de l'article 3 bis
ne contrôle pas le contenu
ne vérifie pas la légalité métier

Le Client reste responsable des traitements réalisés pour son compte.

15. Restitution ou suppression

À la fin du contrat :

export possible 30 jours
suppression automatique ensuite, hors statistiques et base séparée de l'article 3 bis

16. Droit applicable

Droit français. Tribunaux compétents : Rennes.