Accord de traitement des données

Version 1.0 · 22 septembre 2026

Cette traduction est fournie à titre informatif. Seule la version anglaise (version 1.0 du 22 septembre 2026) fait foi. Lire la version anglaise

Le présent accord couvre ce que nous faisons des données à caractère personnel que vous nous confiez au sujet d'autres personnes : habitants, demandeurs, clients, répondants à une enquête. Il s'applique automatiquement : vous n'avez rien à signer, et aucune offre particulière n'est requise. Ses deux annexes sont des pages distinctes, afin que nous puissions les tenir à jour sans rouvrir le contrat : sous-traitants ultérieurs et mesures techniques et organisationnelles.

Le présent accord de traitement des données (le « DPA ») fait partie des conditions d'utilisation d'ALIGN (le « Contrat ») conclues entre GEO NOVA SRL (« ALIGN », « nous », « sous-traitant ») et l'entité cliente qui accepte le Contrat (« Client », « vous », « responsable du traitement »). Il s'applique chaque fois que vous utilisez le Service pour traiter des données à caractère personnel relatives à des tiers.

Si vous utilisez ALIGN uniquement pour traiter vos propres données à caractère personnel, le présent DPA ne vous est pas applicable : cette relation est alors régie par notre politique de confidentialité.

1. Définitions

Les termes tels que « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « sous-traitant ultérieur », « personne concernée », « violation de données à caractère personnel » et « autorité de contrôle » ont le sens que leur donne le règlement (UE) 2016/679 (« RGPD »). Les « Données à caractère personnel du Client » désignent les données à caractère personnel que nous traitons pour votre compte en vertu du Contrat.

2. Rôles des parties

Vous agissez en tant que responsable du traitement et déterminez les finalités et les moyens du traitement des Données à caractère personnel du Client. Nous agissons en tant que sous-traitant et ne les traitons que pour votre compte. Lorsque vous agissez vous-même en tant que sous-traitant pour un autre responsable du traitement, vous confirmez être habilité à nous désigner comme sous-traitant ultérieur sur les instructions de ce responsable du traitement, et le présent DPA s'applique en conséquence.

Nous restons responsable du traitement indépendant pour les données décrites dans notre politique de confidentialité, à savoir les informations de votre compte, les données de facturation, ainsi que les données techniques et d'utilisation dont nous avons besoin pour exploiter et sécuriser le Service. Ce traitement n'est pas régi par le présent DPA.

3. Objet et durée du traitement

L'objet, la durée, la nature et la finalité du traitement, les types de données à caractère personnel et les catégories de personnes concernées sont décrits à l'annexe A ci-dessous. Le traitement dure pendant toute la durée du Contrat, augmentée de la période limitée décrite à la section 11.

4. Nos instructions

Nous ne traitons les Données à caractère personnel du Client que sur vos instructions documentées, y compris en ce qui concerne les transferts, à moins que le droit de l'Union ou le droit d'un État membre ne nous impose d'agir autrement. Lorsqu'un tel droit nous impose de traiter des Données à caractère personnel du Client, nous vous informons de cette obligation juridique avant le traitement, sauf si ce droit nous interdit de vous en informer pour des motifs importants d'intérêt public. Votre utilisation du Service, vos choix de configuration et le Contrat constituent ensemble vos instructions documentées.

Si nous estimons qu'une instruction constitue une violation du RGPD ou d'autres dispositions du droit de l'Union ou du droit des États membres relatives à la protection des données, nous vous en informons immédiatement. Nous pouvons suspendre le traitement concerné jusqu'à ce que l'instruction soit confirmée, modifiée ou retirée.

Nous ne vendons pas les Données à caractère personnel du Client, et nous ne les utilisons ni à nos propres fins, ni à des fins publicitaires, ni pour entraîner des modèles d'apprentissage automatique.

5. Confidentialité

Nous veillons à ce que les personnes autorisées à traiter les Données à caractère personnel du Client soient soumises à une obligation de confidentialité appropriée, et à ce que l'accès soit limité à celles qui en ont besoin pour exécuter le Contrat.

6. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, comme l'exige l'article 32 du RGPD. Ces mesures sont décrites à l'annexe 2 : mesures techniques et organisationnelles, qui est intégrée au présent DPA.

Nous pouvons faire évoluer ces mesures au fil du temps, à condition que le niveau de protection ne soit pas réduit.

7. Sous-traitants ultérieurs

Vous nous donnez une autorisation écrite générale de recourir à des sous-traitants ultérieurs. Nos sous-traitants ultérieurs actuels figurent à l'annexe 1 : sous-traitants ultérieurs, qui est intégrée au présent DPA.

Avant d'ajouter ou de remplacer un sous-traitant ultérieur, nous mettons à jour cette liste et vous en informons au moins trente (30) jours à l'avance, par e-mail adressé à l'Owner (propriétaire) de votre organisation. Si vous avez une objection raisonnable fondée sur la protection des données, vous pouvez la formuler pendant ce délai ; nous rechercherons de bonne foi une solution avec vous et, si aucune n'est trouvée, vous pourrez résilier sans pénalité la partie du Service concernée pour le reste de sa durée.

Nous imposons à chaque sous-traitant ultérieur des obligations en matière de protection des données qui ne sont pas moins protectrices que celles du présent DPA, et nous demeurons pleinement responsables envers vous de leur exécution. Lorsqu'un fournisseur figure à l'annexe 1 sans qu'un accord de traitement des données soit en place, l'annexe 1 l'indique sur la ligne de ce fournisseur.

8. Fournisseurs de modèles d'IA

Le Service comprend des fonctionnalités d'IA. Lorsque vous les utilisez, les instructions et le contexte que vous fournissez, qui peuvent contenir des Données à caractère personnel du Client si vous choisissez de les y inclure, sont transmis au fournisseur de modèle d'IA que vous sélectionnez pour cette requête. Ces fournisseurs agissent en tant que nos sous-traitants ultérieurs et figurent à l'annexe 1, avec le pays dans lequel ils traitent les données et la garantie sur laquelle repose tout transfert hors de l'Espace économique européen.

Vous choisissez le fournisseur requête par requête, parmi la liste publiée à l'annexe 1. Lorsqu'un fournisseur traite des données hors de l'Espace économique européen, la garantie de transfert sur laquelle nous nous appuyons y est indiquée, à côté de ce fournisseur.

Il vous appartient de décider d'inclure ou non des données à caractère personnel dans une instruction, et de sélectionner un fournisseur dont la localisation et les garanties sont compatibles avec vos propres obligations.

9. Assistance à votre égard

Compte tenu de la nature du traitement et des informations dont nous disposons, nous vous aidons :

• à répondre aux demandes des personnes concernées qui exercent leurs droits au titre du chapitre III du RGPD, en mettant à votre disposition les fonctionnalités du Service qui vous permettent d'accéder vous-même aux Données à caractère personnel du Client, de les rectifier, de les exporter et de les supprimer, et en vous accompagnant lorsque ces fonctionnalités ne suffisent pas ;
• à garantir le respect de vos obligations au titre des articles 32 à 36 du RGPD, notamment en matière de sécurité, de notification des violations, d'analyses d'impact relatives à la protection des données et de consultation préalable.

Si une personne concernée nous contacte directement au sujet de Données à caractère personnel du Client, nous ne lui répondons pas sur le fond ; nous l'orientons vers vous et vous en informons dans les meilleurs délais.

10. Violations de données à caractère personnel

Nous vous notifions dans les meilleurs délais toute violation de données à caractère personnel affectant des Données à caractère personnel du Client, après en avoir pris connaissance. Notre notification décrit la nature de la violation, ses conséquences probables, les mesures prises ou envisagées et un point de contact, dans la mesure où ces informations sont à notre disposition à ce moment, les informations complémentaires étant fournies au fur et à mesure qu'elles deviennent disponibles.

Il vous appartient de notifier la violation à votre autorité de contrôle et, lorsque cela est requis, aux personnes concernées.

11. Suppression et restitution

À la fin du Contrat, et selon votre choix, nous supprimons ou vous restituons les Données à caractère personnel du Client, et nous détruisons les copies existantes, à moins que le droit de l'Union ou le droit d'un État membre n'exige leur conservation.

Vous pouvez exporter les Données à caractère personnel du Client dans des formats ouverts à tout moment pendant la durée du Contrat, au moyen des fonctionnalités du Service. Après la fin du Contrat, vous disposez de trente (30) jours pour les exporter, après quoi nous les supprimons. Jusqu'à ce que la suppression soit achevée dans l'ensemble de nos systèmes, les données restent protégées par le présent DPA et ne sont pas consultées.

12. Audits et informations

Nous mettons à votre disposition les informations nécessaires pour démontrer le respect de l'article 28 du RGPD, et nous permettons la réalisation d'audits, y compris d'inspections, par vous ou par un autre auditeur que vous mandatez, et contribuons à ces audits.

En pratique, nous fournissons d'abord notre documentation publiée, nos mesures de sécurité et, lorsqu'ils existent, les rapports de toute certification par un tiers que nous détenons. Lorsque cela ne suffit pas au regard de vos obligations, vous pouvez demander un audit, moyennant un préavis raisonnable, au plus une fois par période de douze mois, sauf si une violation de données à caractère personnel ou une autorité de contrôle l'exige, pendant les heures de bureau et sous réserve de confidentialité. Les frais de l'audit sont à votre charge, y compris les honoraires de tout auditeur que vous mandatez. Nous prenons en charge le coût de notre propre coopération raisonnable ; lorsqu'un audit exige de notre part un temps ou des ressources importants, ou lorsque vous demandez un audit au-delà d'un par période de douze mois, nous pouvons le facturer à nos tarifs habituels, convenus avec vous avant le début de l'audit.

13. Transferts internationaux

Nous nous efforçons de traiter les Données à caractère personnel du Client au sein de l'Espace économique européen. Lorsqu'un sous-traitant ultérieur les traite hors de l'EEE, nous nous appuyons sur une garantie appropriée au titre du chapitre V du RGPD : une décision d'adéquation, ou les clauses contractuelles types de la Commission européenne, complétées si nécessaire par des mesures supplémentaires.

L'annexe 1 indique, pour chaque sous-traitant ultérieur, le pays de traitement et la garantie sur laquelle repose le transfert. Lorsque vous sélectionnez un fournisseur d'IA établi hors de l'EEE, la section 8 s'applique.

14. Annexes et ordre de priorité

Les annexes suivantes sont intégrées au présent DPA et sont tenues sous la forme de documents distincts et versionnés :

• Annexe 1 : sous-traitants ultérieurs
• Annexe 2 : mesures techniques et organisationnelles

En cas de contradiction entre le présent DPA et le Contrat, le présent DPA prévaut pour les questions de protection des données. En cas de contradiction entre le présent DPA et les clauses contractuelles types, les clauses contractuelles types prévalent.

15. Responsabilité et droit applicable

La responsabilité de chaque partie au titre du présent DPA est soumise aux limitations et exclusions de responsabilité prévues par le Contrat. Le présent DPA est régi par le droit belge, et les tribunaux de Bruxelles sont compétents, sans préjudice de la compétence des autorités de contrôle.

Annexe A : description du traitement

Objet. Fourniture de la plateforme ALIGN : création, stockage, traitement, hébergement et publication de données géospatiales, de cartes web et d'applications SIG, y compris des fonctionnalités assistées par l'IA.

Durée. La durée du Contrat, augmentée de la période décrite à la section 11.

Nature et finalité. Stockage, hébergement, structuration, conversion, analyse spatiale, indexation, transmission, publication et suppression des données que vous importez ou créez, et traitement des instructions que vous soumettez aux fonctionnalités d'IA, dans chaque cas afin de vous fournir le Service.

Types de données à caractère personnel. Déterminés par vous. En général : les identifiants et coordonnées des utilisateurs que vous invitez dans votre organisation ; et toute donnée à caractère personnel contenue dans les jeux de données géospatiales, les tables attributaires, les fichiers, le code ou les instructions que vous choisissez d'importer ou de soumettre, qui peuvent comprendre des adresses, des références de parcelles ou de bâtiments, et tout attribut que vous associez à une personne identifiée ou identifiable.

Catégories de personnes concernées. Déterminées par vous. En général : votre personnel et les membres de votre organisation ; et les personnes auxquelles se rapportent les données que vous traitez, telles que des habitants, des demandeurs, des clients ou des répondants à une enquête.

Catégories particulières. Le Service n'est pas conçu pour le traitement de catégories particulières de données à caractère personnel au sens de l'article 9 du RGPD, ni de données relatives aux condamnations pénales et aux infractions au sens de l'article 10. Si vous envisagez de traiter de telles données, vous devez nous en informer à l'avance afin que nous puissions évaluer si des mesures supplémentaires sont nécessaires.

Contact

Pour toute question sur le présent accord, pour obtenir un exemplaire contresigné ou pour vos registres des activités de traitement : contact@aligngeo.com. L'ensemble de nos documents juridiques est répertorié sur notre page juridique.