Annexe contractuelle

Accord de sous-traitance

Version 1.0 — 19 septembre 2026. Conclu en application de l’article 28 du règlement (UE) 2016/679. Il fait partie intégrante des conditions générales de vente.

1. Les parties, et ce que cet accord ne couvre pas

Responsable de traitement

Le donneur d’ordre, tel qu’identifié à l’article 1 des conditions générales de vente.

Sous-traitant

ULITIA — Ulrich Falcioni, entrepreneur individuel
SIRET 502 344 542 00050 — 259 chemin de l’Ancien Stade, 30700 Saint-Quentin-la-Poterie
serviceclient@ulitia.fr

Le présent accord ne couvre que les traitements réalisés par ULITIA pour le compte du donneur d’ordre, c’est-à-dire les consultations qu’il conduit sur la plateforme.

Il ne couvre pas, et ULITIA y est responsable de traitement pour son propre compte : l’annuaire commun des entreprises — raison sociale, SIRET, adresse et coordonnées de contact, mutualisés entre tous les donneurs d’ordre, fondés sur l’intérêt légitime d’ULITIA à tenir un référentiel professionnel exact ; ainsi que les comptes clients, la facturation et les journaux de sécurité.

Cette distinction n’est pas formelle : elle détermine qui répond à une demande d’accès, qui notifie une violation et qui fixe les durées. ULITIA n’est pas désignée délégué à la protection des données du donneur d’ordre.

2. Objet, nature, finalité, durée

Objet	La mise à disposition et l’exploitation de la plateforme BatAO permettant au donneur d’ordre de conduire des consultations d’entreprises.
Nature	Collecte, enregistrement, organisation, structuration, conservation, consultation, communication par transmission, mise à disposition, effacement.
Finalité	Permettre au donneur d’ordre de consulter des entreprises, de recevoir et comparer leurs offres, et de conserver la trace horodatée des opérations.
Durée	La durée du contrat, prolongée des durées de conservation de l’article 8 des conditions générales.

3. Les données et les personnes concernées

Personnes concernées : les représentants et préposés des entreprises consultées ; les dirigeants et salariés dont l’identité figure dans les pièces administratives déposées (extrait Kbis, attestations de vigilance, attestations d’assurance, qualifications) ; le cas échéant, les personnes physiques mentionnées dans le dossier de consultation établi par le donneur d’ordre.

Catégories de données : identité et fonction, coordonnées professionnelles, données d’identification de l’entreprise, contenu des pièces administratives déposées, contenu des offres et de leurs versions successives, questions et réponses échangées, données de connexion et d’usage du portail.

Aucune catégorie particulière. Les traitements réalisés pour le compte du donneur d’ordre ne portent sur aucune des catégories particulières de données visées à l’article 9 du RGPD, ni sur des données relatives aux condamnations pénales et aux infractions au sens de l’article 10. Le donneur d’ordre s’interdit d’introduire de telles données dans la plateforme, notamment par le dossier de consultation ou par les pièces demandées aux entreprises, et répond des conséquences d’un manquement à cette interdiction.

4. Instructions documentées

ULITIA ne traite les données que sur instruction documentée du donneur d’ordre, y compris en matière de transfert hors Union européenne.

Constituent les instructions documentées du donneur d’ordre : les présentes, les conditions générales de vente, et les opérations qu’il réalise lui-même au moyen des fonctions de la plateforme — création d’une consultation, choix des entreprises invitées, définition des pièces demandées, publication, réponse à une question, attribution d’un lot, export, suppression.

Si ULITIA estime qu’une instruction constitue une violation du RGPD ou d’une autre disposition relative à la protection des données, elle en informe immédiatement le donneur d’ordre et peut suspendre son exécution jusqu’à confirmation écrite. Lorsque le droit de l’Union ou le droit français l’oblige à un traitement, elle en informe le donneur d’ordre avant, sauf interdiction légale.

5. Confidentialité des personnes autorisées

ULITIA veille à ce que les personnes autorisées à traiter les données s’engagent à la confidentialité ou soient soumises à une obligation légale appropriée. L’accès aux données du donneur d’ordre est limité à Ulrich Falcioni. ULITIA n’emploie aucun salarié affecté au traitement à la date des présentes et informera le donneur d’ordre de tout changement.

Ce que l’exploitant peut et ne peut pas voir

Le panneau d’exploitation d’ULITIA ne donne accès qu’à des compteurs — nombre de consultations, de lots, d’entreprises invitées, de plis remis, volume stocké, dates de connexion. Il ne donne accès ni au dossier de consultation, ni à une offre, ni à une question du fil.

Si une intervention de support exige réellement l’accès à un contenu, elle prend la forme d’une prise en main explicite, motivée, limitée dans le temps, journalisée, et dont le donneur d’ordre est informé — jamais d’un droit permanent. Toute lecture par l’exploitant est inscrite au journal du donneur d’ordre, et lui est donc vérifiable.

6. Sécurité

Cloisonnement. Chaque donneur d’ordre dispose d’un espace isolé ; les données d’une organisation ne sont accessibles à aucune autre, par aucune route. Chaque entreprise consultée n’accède qu’à ses propres échanges, pièces et offres, et n’a connaissance ni de l’identité des autres entreprises consultées, ni de leurs offres, ni de leurs montants. Ce cloisonnement est porté par des tests automatisés.

Chiffrement. Les données sont chiffrées en transit. Les sauvegardes sont chiffrées sur le serveur, avant d’en sortir, au moyen d’une clef dont la partie privée n’existe pas sur le serveur.

Contrôle des dépôts. Chaque fichier déposé fait l’objet d’une analyse antivirus avant toute mise à disposition ; un fichier reconnu infecté est écarté.

Intégrité et traçabilité. Les opérations sont enregistrées dans un journal chaîné : chaque entrée porte l’empreinte de la précédente, la modification et la suppression sont refusées par la base de données elle-même, et l’empreinte du dernier maillon est publiée quotidiennement hors de la plateforme.

Stockage. Les pièces sont conservées sur un espace privé, versionné, avec verrouillage des objets, distinct de l’espace des sauvegardes et accessible par des identifiants distincts.

Identification. L’accès des entreprises consultées s’opère par lien personnel, non cessible, limité dans le temps, révocable, et fabriqué une seule fois.

Continuité. Sauvegardes quotidiennes déposées hors de la machine, et restauration effectivement répétée — la dernière l’a été le 10 septembre 2026. ULITIA communique sur demande le délai de reprise mesuré lors de cette répétition.

7. Sous-traitants ultérieurs

Le donneur d’ordre autorise de manière générale le recours aux sous-traitants ci-dessous.

Traitement	Prestataire	Localisation
Hébergement de la plateforme et de la base	Hostinger International Ltd.	Paris, France
Stockage des pièces et des sauvegardes	Scaleway SAS — Object Storage	Paris, France
Courrier électronique transactionnel	Brevo — Sendinblue SAS	France

Aucun transfert hors Union européenne n’est réalisé. ULITIA informe le donneur d’ordre de tout changement envisagé trente jours avant, par courriel. Le donneur d’ordre peut s’y opposer par écrit dans ce délai, pour un motif raisonnable tiré de la protection des données ; à défaut d’accord, il peut résilier sans pénalité ni indemnité. ULITIA impose à chaque sous-traitant ultérieur les mêmes obligations que celles des présentes et demeure pleinement responsable de leur exécution.

8. Droits des personnes concernées

Les demandes relatives aux consultations sont adressées au donneur d’ordre, qui y répond en qualité de responsable de traitement. ULITIA l’assiste par des mesures techniques appropriées : recherche d’une personne dans un espace, extraction en format ouvert, rectification, suppression, export de l’ensemble d’une consultation. Si une demande lui est adressée directement, ULITIA la transmet sans délai au donneur d’ordre et n’y répond pas elle-même.

Exception. Une demande portant sur l’annuaire commun relève d’ULITIA, responsable de ce traitement. Une entreprise peut demander l’accès à sa fiche, sa rectification, son effacement, ou s’opposer à sa conservation, en écrivant à serviceclient@ulitia.fr. ULITIA y répond directement.

9. Assistance et notification d’une violation

ULITIA assiste le donneur d’ordre pour la sécurité (article 32), la notification d’une violation (articles 33 et 34) et l’analyse d’impact (articles 35 et 36).

ULITIA notifie au donneur d’ordre toute violation de données à caractère personnel le concernant dans les meilleurs délais et au plus tard quarante-huit heures après en avoir pris connaissance, par courriel à l’adresse de contact déclarée. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables et les mesures prises ou proposées.

L’assistance ordinaire est comprise dans le prix. Une assistance qui excéderait manifestement ce cadre — notamment une analyse d’impact complète ou des extractions répétées et volumineuses — peut faire l’objet d’une facturation au temps passé, après devis accepté.

10. Sort des données en fin de contrat

Au terme de la prestation, au choix du donneur d’ordre exprimé par écrit, ULITIA supprime ou restitue l’ensemble des données et détruit les copies existantes, sauf obligation légale de conservation. À défaut de choix exprimé, les durées de l’article 8 des conditions générales s’appliquent.

L’export en formats ouverts est possible à tout moment, gratuitement et sans négociation. Une attestation de destruction est délivrée sur demande.

Le journal d’audit n’est pas purgé avec les pièces. Il est conservé pour la durée figurant à la politique de confidentialité, parce qu’il constitue le moyen de preuve convenu entre les parties et les entreprises consultées.

11. Démonstration de conformité et audits

ULITIA met à disposition du donneur d’ordre toutes les informations nécessaires pour démontrer le respect des présentes.

Le donneur d’ordre peut faire réaliser un audit, une fois par période de douze mois, sous réserve d’un préavis écrit de trente jours, pendant les heures ouvrées, sans perturber l’exploitation, et à ses frais. L’auditeur ne doit pas être un concurrent d’ULITIA et est tenu à la confidentialité. L’audit ne peut en aucun cas donner accès aux données d’un autre donneur d’ordre.

ULITIA peut satisfaire à cette obligation par la communication de sa documentation technique et du rapport de son audit d’exploitation, sauf si le donneur d’ordre justifie d’un motif précis rendant cette communication insuffisante.

12. Registre, responsabilité, durée

Chaque partie tient le registre des activités de traitement qui lui incombe : article 30.1 pour le donneur d’ordre, article 30.2 pour ULITIA.

Le plafond de responsabilité de l’article 11 des conditions générales s’applique entre les parties au titre des présentes. Il ne fait pas obstacle à l’application de l’article 82 du RGPD dans les rapports avec les personnes concernées et l’autorité de contrôle, ni aux sanctions administratives, qui ne peuvent être contractuellement limitées.

Les présentes prennent effet à l’acceptation des conditions générales et demeurent en vigueur pendant toute la durée des traitements réalisés pour le compte du donneur d’ordre. Droit français. En cas de contradiction avec les conditions générales sur une question de protection des données, les présentes prévalent.

13. Contact

Toute question relative au présent accord : serviceclient@ulitia.fr. Le donneur d’ordre et les personnes concernées disposent du droit d’introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés.