Accord relatif au traitement des données (DPA)
Le présent accord relatif au traitement des données au titre de l’article 28 du RGPD fait partie intégrante des Conditions d’utilisation de Parsurai lorsque Parsurai traite des données à caractère personnel pour le compte du Client.
Dernière mise à jour : 21 septembre 2026
Dr. Sadjad Sadeghi, JadayLix Studio, Schieferkamp 41, 30455 Hannover, Deutschland, contact@parsurai.com
Texte approuvé par le propriétaire. Aucun examen juridique externe n’a été effectué. Un examen juridique externe reste recommandé avant une utilisation entreprise importante, une montée en charge significative ou un litige matériel.
La version allemande fait foi. Les versions anglaise et française sont fournies à titre de traduction informative.
§ 1 Objet, incorporation et priorité
Le présent DPA s’applique aux données à caractère personnel que Parsurai traite pour le compte du Client via l’API d’extraction et les workflows de documents ou de comptes fournisseurs activés. Il fait partie intégrante du contrat principal. Pour les données traitées en sous-traitance, le présent DPA prévaut en cas de contradiction. Les traitements pour lesquels Parsurai détermine ses propres finalités et moyens essentiels – notamment gestion de compte, gestion contractuelle, facturation, sécurité, prévention des abus et obligations légales propres – sont exclus. Les sessions de réviseur externe hébergé restent désactivées et hors périmètre.
§ 2 Objet et durée du traitement
Le traitement couvre les services documentaires commandés, notamment réception et traitement technique de factures et documents professionnels, OCR, analyse de contenu, extraction et structuration, classification, normalisation de format, détection des doublons et anomalies, workflows comptes fournisseurs activés et exports convenus. Le traitement commence lors de l’utilisation d’une fonctionnalité couverte et prend en principe fin avec le contrat principal et la restitution ou suppression convenue des données sous-traitées.
§ 3 Instructions du responsable du traitement
Parsurai traite les données sous-traitées uniquement sur instruction documentée du Client, sauf obligation légale applicable. Les instructions découlent notamment du contrat principal et du DPA, des fonctions et réglages choisis, des documents transmis, des appels API et des instructions supplémentaires documentées. Parsurai informe le Client à l’avance d’un traitement légalement imposé lorsque cela est permis. Parsurai signale sans délai une instruction qu’il estime illicite et peut la suspendre jusqu’à clarification. Les données sous-traitées ne sont pas utilisées pour la publicité, la vente de données personnelles, l’entraînement inter-clients de modèles ou d’autres finalités propres.
§ 4 Obligations du responsable du traitement
Le Client est responsable de la licéité des données fournies, de l’existence d’une base juridique applicable et du respect des obligations d’information. Cela inclut l’examen des obligations de l’article 14 lorsque les données n’ont pas été collectées directement auprès de la personne concernée. Le Client limite les données transmises à ce qui est nécessaire et ne donne pas sciemment d’instructions illicites.
§ 5 Catégories particulières de données
Parsurai n’est pas spécialement conçu pour traiter les catégories particulières de données visées à l’article 9 du RGPD. De telles données peuvent néanmoins apparaître de manière incidente ou involontaire selon le contenu des documents. Lorsque le Client fournit de telles données, il reste responsable du respect des articles 6 et 9 du RGPD. Parsurai ne les traite que sur instruction documentée et peut refuser ou limiter un traitement nécessitant des mesures de sécurité ou de conformité supplémentaires.
§ 6 Confidentialité
Parsurai veille à ce que les personnes autorisées à traiter les données sous-traitées soient soumises à une obligation de confidentialité ou à une obligation légale appropriée. L’accès est limité aux personnes et systèmes qui en ont besoin pour fournir ou sécuriser le service. Cette obligation perdure après la fin de l’activité concernée.
§ 7 Sécurité du traitement
Compte tenu de l’état de l’art, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement, Parsurai met en œuvre des mesures techniques et organisationnelles appropriées conformément à l’article 32 du RGPD. Les mesures actuelles figurent à l’Annexe 2. Elles peuvent évoluer à condition que le niveau global de protection convenu ne soit pas abaissé ; les changements importants sont documentés.
§ 8 Sous-traitants ultérieurs
Le Client accorde à Parsurai une autorisation écrite générale de recourir à des sous-traitants ultérieurs. Les prestataires actuels figurent dans la liste publiée et sont considérés comme approuvés lors de la conclusion du présent DPA. Tout ajout ou remplacement est normalement notifié par écrit au moins 14 jours avant utilisation. Le Client peut s’y opposer pour des motifs raisonnables de protection des données. Parsurai impose les obligations de l’article 28(4) du RGPD et reste responsable dans la mesure prévue par la loi.
§ 9 Transferts internationaux
Les transferts vers des pays tiers n’ont lieu que sur instruction documentée ou par l’intermédiaire de sous-traitants approuvés et conformément aux articles 44 et suivants du RGPD. Selon le destinataire, cela peut reposer sur une décision d’adéquation ou des garanties appropriées, notamment les clauses contractuelles types. Les mécanismes applicables sont indiqués dans la documentation relative aux sous-traitants.
§ 10 Assistance pour les droits des personnes concernées
Compte tenu de la nature du traitement, Parsurai aide le Client, dans la mesure du possible, par des mesures techniques et organisationnelles appropriées à répondre aux demandes fondées sur le chapitre III du RGPD. Les demandes reçues directement par Parsurai concernant des données sous-traitées sont en principe transmises au Client compétent. Parsurai n’y répond pas de manière autonome en qualité de responsable du traitement, sauf obligation légale ou instruction du Client.
§ 11 Assistance en matière de sécurité, violations et analyses d’impact
Compte tenu de la nature du traitement et des informations dont il dispose, Parsurai aide le Client à respecter les articles 32 à 36 du RGPD. Toute violation impliquant des données sous-traitées est notifiée sans retard injustifié après en avoir pris connaissance ; les informations disponibles peuvent être fournies progressivement. L’assistance couvre, si nécessaire, l’évaluation de sécurité, les notifications à l’autorité de contrôle, l’information des personnes concernées, les analyses d’impact et les consultations préalables.
§ 12 Suppression et restitution
À la fin du traitement, Parsurai supprime ou restitue au choix du Client les données sous-traitées et supprime les copies existantes, sauf obligation légale de conservation. À défaut d’instruction documentée différente, la suppression constitue l’instruction par défaut. Des copies techniques de sauvegarde ou de restauration à un instant donné peuvent subsister jusqu’à la fin de leur cycle de rotation et ne sont pas utilisées entre-temps à des fins produit ordinaires. Les obligations légales propres de Parsurai en qualité de responsable – par exemple documents de facturation ou preuves étroitement limitées d’acceptation de documents juridiques – ne constituent pas une conservation de données sous-traitées au titre du présent DPA.
§ 13 Informations et audits
Parsurai fournit les informations raisonnablement nécessaires pour démontrer le respect de l’article 28 du RGPD et permet des audits, y compris des inspections, par le Client ou un auditeur indépendant soumis à confidentialité. Les documents de sécurité, certifications ou autres preuves appropriées existants doivent être utilisés en priorité lorsqu’ils répondent raisonnablement à l’objectif de contrôle ; cela n’exclut pas un audit supplémentaire nécessaire. Les audits planifiés sont effectués avec un préavis raisonnable et dans le respect de la sécurité, de la confidentialité, des secrets d’affaires et des données des autres clients.
§ 14 Responsabilité
Chaque partie respecte les obligations du RGPD correspondant à son rôle. Les règles de responsabilité du contrat principal s’appliquent en complément, sauf disposition impérative contraire, notamment l’article 82 du RGPD. Aucune disposition du présent DPA ne limite les droits des personnes concernées ni les pouvoirs des autorités de contrôle.
§ 15 Durée et modifications
Le présent DPA s’applique pendant toute la durée du traitement en sous-traitance et prend fin lorsque Parsurai ne traite plus de données sous-traitées pour le Client et que le § 12 a été exécuté. Les modifications matérielles sont publiées via le mécanisme contractuel prévu et, lorsque nécessaire, doivent être acceptées de nouveau avant la poursuite de l’utilisation des fonctions concernées. Les changements de sous-traitants ultérieurs relèvent du § 8.
§ 16 Dispositions finales
Le droit convenu dans le contrat principal s’applique. La juridiction compétente est celle prévue dans le contrat principal dans la mesure autorisée par la loi. Si une disposition est invalide, les autres restent en vigueur ; la règle légale s’applique lorsqu’une interprétation valable préservant l’objectif licite n’est pas possible.
Annexe 1 — Description du traitement
Objet : traitement automatisé de factures, reçus et autres documents professionnels fournis par le Client, ainsi que des résultats structurés et données de workflow associés. Finalités : réception de documents, OCR et analyse du contenu, extraction d’informations structurées, classification, normalisation, détection des doublons et anomalies, workflows comptes fournisseurs, exports activés et traitement technique directement lié. Opérations : transmission, réception, lecture, OCR, analyse, extraction, structuration, classification, comparaison, stockage temporaire ou dépendant des fonctions, sortie, export et suppression. Personnes concernées : notamment clients et partenaires commerciaux du responsable, fournisseurs, prestataires, entrepreneurs individuels, contacts, salariés, gestionnaires, approbateurs, signataires, émetteurs et destinataires de factures. Types de données : noms, coordonnées professionnelles, adresses, e-mails, téléphones, fonctions/titres professionnels, informations de facture et de contrat, commandes et prestations, informations de paiement, coordonnées bancaires dont IBAN/BIC, informations fiscales, montants, postes, informations d’approbation, données structurées dérivées et métadonnées techniques. Catégories particulières : non visées par le service mais pouvant apparaître incidemment ; la licéité de leur fourniture reste à la charge du Client. Conservation : les contenus de documents transmis à l’API d’extraction sont en principe traités de manière transitoire sauf utilisation d’une fonction de stockage. Les résultats structurés peuvent être stockés lorsque l’historique des factures est activé ; les fenêtres de visibilité produit ne constituent pas automatiquement des délais de suppression physique. Les documents source des workflows comptes fournisseurs et leurs artefacts dérivés ont actuellement une durée de 0 jour pour Free/Hobby/Starter, 30 jours pour Pro et 90 jours pour Business, puis sont supprimés par le processus mis en œuvre. D’autres données structurées et métadonnées peuvent suivre des mécanismes distincts documentés.
Annexe 2 — Mesures techniques et organisationnelles
Chiffrement en transit : connexions clients et serveurs via HTTPS/TLS. Authentification : les clés API ne sont pas conservées en clair de manière récupérable après émission ; les clés persistées sont hachées avec bcrypt. Les secrets de production sont gérés par configuration de secrets/environnement et non comme valeurs de production dans le code source. Séparation des accès : séparation logique des données clients via association utilisateur/tenant, relations de base de données, contrôles de propriété et contrôles applicatifs. Données au repos : bases de données et stockage objet utilisent les mécanismes de chiffrement au repos fournis par les prestataires d’infrastructure. Minimisation/conservation : les contenus de l’API d’extraction sont en principe transitoires ; les artefacts de workflow et exports temporaires suivent des délais définis. Surveillance : le contenu des documents ne doit pas être journalisé comme donnée applicative ordinaire. Sentry utilise send_default_pii=False ; nettoyage côté serveur, scrubbers par défaut, prévention de stockage des IP et Enhanced Privacy sont activés. Disponibilité : restauration à un instant donné documentée pour la base de production ; processus de sauvegarde/restauration testés opérationnellement ; traitement en arrière-plan séparé du traitement web. Protection contre les abus : limites de débit, taille de document, nombre de pages et concurrence. Gestion des changements : contrôle de version et tests automatisés unitaires, d’intégration, de configuration et de build. Protection des données par configuration : les fonctions non totalement évaluées peuvent être désactivées côté serveur ; Hosted External Reviewer Sessions reste désactivé pour le MVP. Sous-traitants : prestataires, bases contractuelles et mécanismes de transfert pertinents sont documentés. Incidents : processus documenté de réponse aux incidents/violations et systèmes de surveillance/journalisation.
Annexe 3 — Traitements de Parsurai en qualité de responsable indépendant
Sont notamment exclus du présent DPA : création et gestion du compte, authentification et sécurité du compte, gestion des clés API en tant que fonction du compte, acceptation des contrats et versions, facturation et paiements, prévention des abus et fraudes de la plateforme, obligations propres de documentation et de conservation légales, ainsi que support et administration du service. La Politique de confidentialité Parsurai et le droit applicable régissent ces traitements.