Accord de traitement des données

Le présent accord (« l'Accord ») définit les conditions dans lesquelles Exact traite des données à caractère personnel pour le compte du Client, dans le cadre de la fourniture du service souscrit.

L'Accord est conclu sans signature manuscrite, l'article 28.9 du RGPD admettant expressément la forme électronique. Il forme, avec les Conditions Générales de Vente, un ensemble contractuel indivisible.

L'acceptation résulte de la case d'acceptation cochée lors du paiement, dont la date est conservée par notre prestataire de paiement et peut être produite à tout moment. À défaut de case présentée — notamment pour une souscription conclue sur devis — elle résulte de la souscription elle-même, ou de la première utilisation du service par un utilisateur désigné par le Client.

Le Client qui souhaite néanmoins disposer d'un exemplaire signé peut en faire la demande à contact@getexact.app.

En cas de contradiction entre l'Accord et tout autre document contractuel, l'Accord prévaut sur les seules questions de traitement de données à caractère personnel.

Exact fournit un service de correction de texte et de dictée vocale assistées par intelligence artificielle. À ce titre, il traite pour le compte du Client :

• le contenu soumis par les utilisateurs (texte à corriger, audio à transcrire) ;
• les données de compte nécessaires à l'ouverture et à la gestion des accès ;
• les données techniques d'usage nécessaires au fonctionnement, à la facturation et à la sécurité.

Nature des opérations : collecte, transmission, traitement automatisé, restitution, conservation limitée et suppression.

Finalité. Le contenu soumis n'est traité que pour produire la correction ou la transcription demandée. Il ne sert ni à entraîner des modèles d'intelligence artificielle, ni à des fins publicitaires, ni à l'amélioration du service, et n'est traité pour aucune finalité propre à Exact.

Données d'usage et techniques. Exact les traite en outre pour son propre compte, en qualité de responsable du traitement et non de sous-traitant, aux fins de sécurité, de diagnostic, de facturation et d'amélioration du service. Ce traitement ne porte sur aucun contenu utilisateur et relève de notre Politique de confidentialité, non du présent Accord.

Durée : la durée de l'abonnement, augmentée des délais prévus à l'article 14.

Personnes concernées : les utilisateurs désignés par le Client.

Aucune catégorie particulière de données n'est requise par le service. Exact ne demande, ne sollicite et n'a besoin d'aucune donnée relevant de l'article 9 du RGPD.

Le Client garantit disposer d'une base légale pour les traitements qu'il confie à Exact, et avoir informé les personnes concernées conformément aux articles 13 et 14 du RGPD.

Le Client demeure seul responsable de la nature du contenu soumis par ses utilisateurs. Exact ne contrôle pas ce qui est saisi et n'en a pas les moyens : le service transmet ce qu'il reçoit. Il appartient au Client d'encadrer l'usage du service au sein de son organisation et, en particulier, d'interdire à ses utilisateurs de soumettre :

• des données relevant de l'article 9 du RGPD (santé, opinions, orientation sexuelle, données biométriques ou génétiques, entre autres) ;
• des données couvertes par un secret professionnel légalement protégé ;
• des données relatives à des condamnations pénales ou infractions (article 10 du RGPD).

Le Client qui souhaite soumettre de telles données doit obtenir l'accord écrit préalable et distinct d'Exact. À défaut d'un tel accord, ces données sont hors du périmètre du présent Accord.

Exact ne traite les données que sur instruction documentée du Client. L'Accord, les Conditions Générales de Vente et l'utilisation normale du service par les utilisateurs désignés constituent ces instructions, y compris s'agissant des transferts hors de l'Union européenne décrits à l'article 10.

Exact informe le Client sans délai s'il estime qu'une instruction constitue une violation du RGPD ou d'une autre disposition du droit de l'Union ou d'un État membre, et peut suspendre l'exécution de l'instruction concernée jusqu'à clarification.

Exact garantit que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité, contractuelle ou légale, qui survit à la fin de leur intervention.

L'accès aux données de production est limité aux personnes dont les fonctions l'exigent, et retiré dès que cette nécessité disparaît.

Exact met en œuvre les mesures techniques et organisationnelles appropriées au sens de l'article 32 du RGPD. Elles sont décrites en Annexe II.

Ces mesures peuvent évoluer avec l'état de l'art et l'architecture du service, sans que le niveau de protection puisse être abaissé pendant la durée de l'Accord.

Le Client donne à Exact une autorisation générale écrite de recourir à des sous-traitants ultérieurs, au sens de l'article 28.2 du RGPD.

La liste à jour est publiée sur la page Sous-traitants, avec pour chacun sa finalité, sa localisation et le mécanisme encadrant les transferts. Cette page constitue l'Annexe III de l'Accord.

Exact informe le Client de tout ajout ou remplacement de sous-traitant ultérieur avec un préavis de trente (30) jours avant sa mise en production. Le Client dispose de ce délai pour formuler une objection motivée par des considérations de protection des données. En cas d'objection qui ne peut être résolue, le Client peut résilier l'abonnement concerné sans pénalité, au prorata.

Conformément à l'article 28.4, Exact impose par contrat à chaque sous-traitant ultérieur des obligations de protection équivalentes à celles de l'Accord, et demeure pleinement responsable devant le Client de leur exécution.

La correction de texte et la transcription de la dictée sont confiées à un unique prestataire d'intelligence artificielle : Mistral AI, société de droit français, RCS Paris 952 418 325.

Il n'existe aucune chaîne de repli. Si ce prestataire est indisponible, le service échoue plutôt que d'adresser le contenu à un tiers. Cette contrainte est assumée : elle réduit à un seul la politique de données que le Client doit auditer.

Sur l'organisation Exact chez ce prestataire, et vérifié le 3 août 2026 :

• l'utilisation des appels d'interface pour l'entraînement des modèles est désactivée ;
• la non-conservation des données (« Zero Data Retention ») est active sur les points d'accès sans état, dont ceux qu'emploient la correction et la transcription ;
• aucun modèle expérimental n'est activé.

Hors du champ de la non-conservation, la conservation de droit commun de ce prestataire est de trente (30) jours glissants, aux seules fins de détection d'abus. Exact s'engage à informer le Client si l'un de ces trois états venait à changer.

Certains sous-traitants ultérieurs sont établis aux États-Unis. Chaque transfert est encadré par un mécanisme du chapitre V du RGPD, précisé prestataire par prestataire en Annexe III : décision d'adéquation (EU-U.S. Data Privacy Framework) et clauses contractuelles types de la Commission européenne (article 46).

Le cumul des deux mécanismes est délibéré. La décision d'adéquation de 2023 est en vigueur, et le Tribunal de l'Union a rejeté le recours formé contre elle le 3 septembre 2025 (aff. T-553/23). Un pourvoi demeure toutefois pendant devant la Cour de justice (aff. C-703/25 P). Si l'adéquation venait à être invalidée, les clauses contractuelles types prennent le relais sans interruption ni avenant.

Lieu de traitement du contenu. Le prestataire mentionné à l'article 9 documente un hébergement dans l'Union européenne par défaut, et l'infrastructure d'inférence qu'il déclare est située en France et dans l'Espace économique européen. Exact n'emploie pas son point d'accès américain, qui suppose une activation explicite.

Ce prestataire indique privilégier les fournisseurs établis dans l'Union européenne et réserver le recours à des fournisseurs hors Union à des « cas exceptionnels », couverts par des clauses contractuelles types. Exact ne garantit donc pas une exécution exclusivement européenne du traitement, et s'interdit de l'affirmer : un tel transfert est licite au titre du chapitre V, et le déclarer relève de l'obligation de transparence de l'article 13, 1, f.

L'analyse des transferts, établie selon les recommandations 01/2020 du Comité européen de la protection des données, figure en Annexe IV.

Droits des personnes concernées. Exact met à disposition les fonctions d'accès, d'export et de suppression permettant au Client de répondre aux demandes d'exercice de droits. Si une demande est adressée directement à Exact, elle est transmise au Client sans délai ; Exact n'y répond pas de sa propre initiative, sauf obligation légale, auquel cas il en informe le Client.

Analyse d'impact et consultation préalable. Exact fournit au Client, sur demande, les informations nécessaires à la réalisation d'une analyse d'impact (article 35) et à une éventuelle consultation préalable de l'autorité de contrôle (article 36).

Exact notifie au Client toute violation de données à caractère personnel sans délai injustifié après en avoir pris connaissance, et au plus tard sous quarante-huit (48) heures, afin de permettre au Client de respecter son propre délai de notification de soixante-douze (72) heures à l'autorité de contrôle.

La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les conséquences probables et les mesures prises ou envisagées. Lorsque ces informations ne peuvent être fournies en une seule fois, elles le sont de manière échelonnée, sans délai injustifié.

Exact ne notifie pas l'autorité de contrôle ni les personnes concernées à la place du Client : cette obligation incombe au responsable du traitement.

Exact met à la disposition du Client les informations nécessaires pour démontrer le respect des obligations de l'Accord, au sens de l'article 28.3, h.

Le Client peut faire réaliser un audit, au plus une fois par an, moyennant un préavis raisonnable, pendant les heures ouvrées, sous engagement de confidentialité et sans perturber l'exploitation du service. Les frais de l'auditeur sont à la charge du Client. Un audit consécutif à une violation de données est de droit et sans limitation de fréquence.

À l'expiration de l'Accord, et au choix du Client, Exact supprime les données à caractère personnel traitées pour son compte ou les lui restitue, puis supprime les copies existantes, sauf obligation légale de conservation.

La suppression d'un compte utilisateur entraîne, de façon automatique :

• la suppression des données de compte et des agrégats d'usage associés ;
• la résiliation de l'abonnement correspondant.

Les enregistrements de diagnostic et de support suivent leurs propres durées, indiquées en Annexe II : journaux techniques, rapports de plantage, rapports d'anomalie transmis volontairement par un utilisateur, et événements de facturation. Ces enregistrements ne contiennent pas de contenu utilisateur.

Le Client peut demander la suppression anticipée de ces enregistrements à contact@getexact.app. Exact y procède dans un délai de trente (30) jours.

Cette clause décrit le comportement réel du service, et non un idéal : Exact préfère énoncer une durée exacte et une voie de suppression sur demande plutôt qu'une promesse de purge instantanée qu'il ne tiendrait pas.

Chaque Partie répond des dommages causés par un traitement qui viole le RGPD, dans les conditions de son article 82. Exact répond des manquements de ses sous-traitants ultérieurs comme des siens.

Chaque Partie supporte les amendes administratives prononcées à son encontre par une autorité de contrôle du fait de ses propres manquements.

L'Accord entre en vigueur à la date indiquée en tête de page et demeure applicable tant que Exact traite des données pour le compte du Client.

Exact peut modifier l'Accord pour tenir compte d'une évolution du droit, du service ou de ses sous-traitants. Toute modification est publiée sur la présente page avec un nouveau numéro de version et une ligne d'historique. Une modification qui réduirait les droits du Client lui est notifiée trente (30) jours avant son entrée en vigueur ; à défaut d'acceptation, le Client peut résilier sans pénalité.

La version applicable à un Client est celle en vigueur à la date de sa souscription, jusqu'à ce qu'une version postérieure lui soit opposable dans les conditions ci-dessus. L'historique complet figure en bas de page.

L'Accord est régi par le droit français, à l'exclusion de ses règles de conflit de lois.

Les Parties s'efforcent de résoudre à l'amiable tout différend relatif à l'Accord, dans un délai de trente (30) jours à compter de sa notification écrite.

À défaut de résolution amiable, et dans la mesure où l'article 48 du code de procédure civile le permet — c'est-à-dire lorsque les deux Parties ont contracté en qualité de commerçant —, tout litige relève de la compétence exclusive du tribunal de commerce de Montpellier.

Lorsque cette condition n'est pas réunie, notamment si le Client exerce une profession civile ou libérale, ou s'il est une association ou une personne morale de droit public, la compétence est déterminée par les règles de droit commun.

Cette réserve est volontaire et fait partie de la clause. Une clause attributive de compétence rédigée sans elle serait réputée non écrite à l'égard d'un Client non-commerçant, et le tribunal la remplacerait par les règles de droit commun : la réserve préserve la clause au lieu de l'exposer.

Le présent article ne fait pas obstacle au droit d'une personne concernée de saisir l'autorité de contrôle ou la juridiction compétente au titre des articles 77 à 79 du RGPD.