Article 28 du RGPD

Accord de traitement

Version 1.0 — 12 novembre 2026

Ce DPA encadre les traitements que STELLARMEET, éditrice de TerritoIA (le sous-traitant), réalise pour le compte d'une collectivité cliente (le responsable de traitement). Il est le pendant, pour TerritoIA, de l'accord publié pour LegalBotik : même société, autre produit, autres flux.

TerritoIA est installé sur le serveur de la collectivité. Les conversations n'y sont pas hébergées par STELLARMEET. Le présent accord vise les cas où STELLARMEET traite malgré tout des données personnelles sur instruction de la collectivité.

1. Objet et durée

Le traitement dure le temps du contrat de licence, puis le temps nécessaire à supprimer ou restituer les données encore détenues par STELLARMEET. Il couvre :

• les échanges de support et d'installation qui contiennent des données personnelles ;
• un accès de maintenance ouvert expressément par la DSI sur l'instance ;
• la restitution ou la suppression demandée à la fin du contrat, pour les copies encore détenues par STELLARMEET.

2. Ce qui n'est pas un traitement STELLARMEET

L'hébergement de la base, des comptes agents, des conversations et des fichiers est opéré par la collectivité, sur sa machine. STELLARMEET fournit le logiciel, le maintient à jour et assure le support. STELLARMEET ne conserve pas les conversations ni les fichiers des agents. L'envoi d'une question se fait avec la clé de la collectivité vers le fournisseur qu'elle a choisi. Mistral peut l'être pour une question de RGPD : hébergement européen, contrat de la collectivité. Le logiciel prend aussi en charge Claude, ChatGPT, ou un modèle local sur une VM Ollama. Rien ici n'affirme que ChatGPT est hébergé en Europe. En mode Ollama, le texte reste sur la VM locale. Un moteur de recherche activé par la DSI est dans le même cas : c'est son accès, pas celui de STELLARMEET. Ces prestataires, lorsqu'il y en a, sont les sous-traitants de la collectivité, pas ceux de STELLARMEET, tant que la clé et le contrat sont les siens.

3. Données et personnes

Selon ce que la collectivité transmet ou rend visible pendant un accès :

• identité professionnelle des agents : identifiant, nom, rôle, service ;
• contenu des questions, réponses et pièces qu'ils ont déposées ;
• coordonnées des interlocuteurs DSI et du contact de facturation.

Personnes concernées : agents de la collectivité, et personnes mentionnées dans les documents que les agents ont choisis d'y mettre. TerritoIA ne demande pas de donnée de l'article 9 du RGPD. Si de telles données sont présentes, l'instruction de les traiter appartient à la collectivité.

4. Obligations de STELLARMEET

• Traiter uniquement sur instruction documentée de la collectivité, y compris pour un transfert vers un pays tiers.
• Limiter l'accès aux personnes habilitées, tenues à la confidentialité.
• Appliquer des mesures adaptées à l'article 32 : accès restreint, chiffrement des échanges, suppression des copies de travail.
• Aider la collectivité à répondre aux droits des personnes, dans la mesure de ce que STELLARMEET détient.
• Signaler une violation dont STELLARMEET a connaissance dans les meilleurs délais, et au plus tard 72 heures après en avoir pris connaissance.
• Mettre à disposition les informations nécessaires pour démontrer le respect de cet accord, et permettre un audit dans les conditions de l'article 7.
• À la fin du contrat, supprimer ou restituer les données encore détenues, sauf obligation légale de conservation.

5. Sous-traitance ultérieure

Pour les courriels et l'hébergement de ce site public, GitHub Pages peut traiter des journaux techniques. Toute autre sous-traitance ultérieure portant sur des données d'une instance cliente sera annoncée avant d'être mise en place, avec un délai pour objection motivée. La liste à jour est envoyée sur demande à [email protected], objet « DPA ».

6. Transferts hors Union européenne

L'instance standard ne transfère pas les conversations vers STELLARMEET. Si un transfert hors UE devenait nécessaire pour un traitement couvert par ce DPA, il serait encadré par les clauses types de la décision d'exécution (UE) 2021/914, avec les mesures supplémentaires utiles. Le transfert vers le fournisseur choisi dépend du contrat conclu par la collectivité avec ce fournisseur. Choisir Mistral peut correspondre à un hébergement européen. Choisir ChatGPT, ou un autre fournisseur, ne vaut pas à lui seul une garantie d'hébergement en Europe. En mode Ollama, le texte de la question reste sur la VM locale.

7. Audits

La collectivité peut demander, une fois par an et avec un préavis raisonnable, une revue documentaire des mesures qui concernent les données que STELLARMEET détient pour elle. Le coût de déplacement ou d'un audit sur place est à sa charge, sauf violation avérée. STELLARMEET ne revendique pas, dans ce document, une certification ISO 27001 ou SOC 2.

8. Fin du contrat

Les copies encore détenues par STELLARMEET sont supprimées ou restituées dans les 30 jours suivant la fin du contrat, sauf conservation légale. Les factures sont conservées 10 ans. Un certificat de suppression des autres copies peut être envoyé sur demande. La base qui est sur le serveur de la collectivité reste sous son contrôle : la supprimer lui appartient.

9. Contact

Un exemplaire signé peut être fourni sur demande à [email protected], objet « DPA TerritoIA ». À défaut de signature séparée, le bon de commande ou le contrat de licence qui renvoie à cette page vaut instruction d'en appliquer les termes.