Cadre de sous-traitance Clean4public et Clean4AI

1. Parties, périmètre et instructions

La collectivité identifiée dans le contrat agit comme responsable des traitements qu’elle confie. GREEN DYNAMICS SAS, SIREN 530 482 926, 5 rue Fénelon, 33000 Bordeaux, agit comme sous-traitant pour ces opérations. Les contacts habilités à donner des instructions et les contacts de protection des données sont identifiés dans la fiche de traitement jointe.

Le périmètre couvre la mise à disposition des outils, l’hébergement et le suivi des dossiers confiés, l’analyse assistée, la préparation des documents, la maintenance, l’assistance et la restitution prévues au contrat. Il dure pendant la prestation et les opérations encadrées de restitution ou de suppression qui lui succèdent.

Cette annexe applique le cadre de sous-traitance du RGPD aux opérations qui en relèvent. La collectivité qualifie séparément les opérations éventuellement soumises au titre III de la loi Informatique et Libertés, dit Police-Justice. Une annexe adaptée à ce régime précise les instructions, habilitations, droits, durées et transferts avant les opérations concernées ; la présente annexe ne constitue pas une autorisation générale de traiter ou transférer des données pénales.

Green Dynamics suit les instructions documentées du responsable. Les opérations demandées par ses utilisateurs habilités dans le cadre convenu peuvent constituer des instructions traçables. Une instruction manifestement contraire au droit de la protection des données est signalée immédiatement. Une obligation légale de traitement est portée à la connaissance du responsable avant exécution, sauf interdiction légale d’informer.

La fiche contractuelle précise : collectivité et contact habilité ; finalités ; opérations et territoire ; durée ; catégories de personnes ; données ; accès et destinataires ; bases et textes déterminés par la collectivité. Les catégories possibles comprennent signaleurs, agents, témoins, propriétaires et personnes concernées par un dossier ; photos, texte, localisation, éléments fonciers, analyses et pièces procédurales seulement dans la mesure nécessaire et autorisée. Les données MAJIC ne constituent pas un fichier librement public ; leur accès nécessite une habilitation appropriée.

2. Finalités propres et confidentialité

Cette annexe n’autorise pas une réutilisation générale des dossiers pour les besoins propres de Green Dynamics ni pour l’entraînement de modèles. Une réutilisation statistique propre de données confiées nécessite un cadre distinct, déterminé et documenté, notamment l’autorisation spécifique du responsable initial lorsque celle-ci est requise. Les traitements propres de Green Dynamics sont décrits séparément dans sa politique et son registre.

Green Dynamics n’active aucun partage volontaire des signalements ou dossiers pour entraîner les modèles de ses prestataires IA. Les demandes d’assistance et retours de bugs utilisent, autant que possible, des exemples fictifs ou des données expurgées. Cet engagement ne supprime pas les traitements techniques de sécurité ou les obligations légales du prestataire, qui doivent être décrits dans l’annexe contractuelle consacrée aux prestataires.

Les personnes ayant accès aux données sont habilitées selon leurs fonctions et soumises à une obligation de confidentialité. Les accès sont limités aux besoins de la prestation. Green Dynamics organise leur sensibilisation à la protection des données.

3. Sécurité et sous-traitants ultérieurs

Les mesures appliquées sont détaillées dans une annexe technique : accès et séparation des territoires, protection des transmissions et du stockage, journalisation, sauvegardes et restauration, maintenance et gestion des incidents, minimisation des données transmises à l’IA. Leur efficacité est régulièrement réexaminée en fonction des risques. L’annexe précise les mesures effectivement démontrées, sans déduire une certification de celle de l’hébergeur.

Green Dynamics ne fait intervenir que les sous-traitants ultérieurs autorisés par écrit selon le régime convenu avec la collectivité. Une liste indique leurs entités, fonctions, données traitées, pays et garanties. En cas d’autorisation générale, tout ajout ou remplacement est annoncé à l’avance avec les informations permettant une objection ; le délai et le traitement d’une objection sont fixés au contrat avant recours au nouveau prestataire. Une autorisation spécifique reste possible selon le marché.

Pour Clean4AI, le prestataire de modèles d’IA est Mistral AI, société française, pour les analyses, descriptions et la recherche documentaire, y compris les embeddings et la vérification de pertinence. Les documents de procédure sont assemblés à partir de modèles et clauses versionnés. Les requêtes d’inférence sont dirigées vers l’endpoint régional européen de Mistral. Les conditions de conservation, les réglages d’entraînement, les exceptions éventuelles des modèles et les transferts de métadonnées doivent figurer dans la liste contractuelle applicable, avec les données transmises et les garanties vérifiées. Ce remplacement de prestataire est soumis aux autorisations et à l’information préalable convenues avec la collectivité ; la présente information publique ne vaut pas, à elle seule, cette autorisation.

Les engagements de protection requis sont répercutés dans la chaîne de sous-traitance. Green Dynamics demeure responsable envers la collectivité de l’exécution des obligations de ses sous-traitants ultérieurs. Les transferts hors Espace économique européen suivent les instructions documentées et un mécanisme juridique applicable au transfert effectif ; les entités et services concernés sont vérifiés.

4. Demandes de droits, incidents et analyses d’impact

Green Dynamics transmet sans retard indu les demandes concernant les traitements confiés et aide la collectivité à y répondre. Il n’efface pas de sa seule initiative une pièce soumise aux instructions ou aux obligations du responsable. Le fonctionnement convenu doit permettre de tenir les délais légaux ; un délai d’assistance courant ne retarde pas une demande urgente ou proche de son échéance.

Toute violation de données confiées est signalée au responsable dans les meilleurs délais après prise de connaissance, avec les informations disponibles : nature et périmètre, conséquences probables, mesures prises ou proposées et contact opérationnel. Les informations manquantes sont complétées progressivement. Cette alerte n’attend pas le terme du délai d’assistance de deux jours ouvrés. Le responsable décide des notifications à la CNIL et aux personnes ; Green Dynamics apporte son assistance.

Selon la nature du traitement et les informations à sa disposition, Green Dynamics aide aux analyses d’impact, consultations préalables et évaluations de sécurité. Les traitements de données relatives aux infractions et l’utilisation des fichiers fonciers sont identifiés séparément.

5. Vérification et fin de prestation

Green Dynamics tient à disposition les éléments nécessaires pour démontrer le respect de ses obligations et permet les audits du responsable ou de son auditeur mandaté. Les modalités pratiques protègent les autres clients et la sécurité sans priver le responsable de son droit de contrôle. Les modalités de coordination et de coûts sont convenues au contrat.

La collectivité choisit la restitution ou la suppression conformément au cadre légal ; toute suppression intervient après la restitution lorsqu’elle est demandée. Les CGU prévoient la restitution sous trente jours à la fin totale de la prestation. La fiche de sortie précise formats, pièces et médias inclus, canal sécurisé, interlocuteurs, calendrier d’effacement et justification de toute conservation imposée par le droit.

Le cycle des sauvegardes est documenté avec une échéance maximale de disparition des données supprimées, des accès restreints et une procédure empêchant leur remise en service en cas de restauration. Une confirmation décrit l’opération réalisée et ses éventuelles exceptions. Le compte citoyen, lorsqu’il relève d’une finalité propre distincte, n’est pas fermé automatiquement à la fin du contrat de la collectivité.

La règle propre à l’historique citoyen — photos pendant le suivi, puis douze mois après clôture — ne constitue pas une instruction de suppression des pièces confiées par la collectivité. Les usages et accès distincts d’une même pièce doivent être identifiés afin d’appliquer la durée de chaque finalité et d’éviter une conservation résiduelle injustifiée.

6. Fiches contractuelles et annexes

Le contrat identifie les parties et contacts, catégories de personnes et de données, finalités, opérations, territoire, durées, instructions et autorisations nécessaires.

Il précise les mesures de sécurité effectivement appliquées et leur vérification, la liste des prestataires et transferts autorisés, les données concernées, les formats de restitution et le calendrier des données actives, archives et sauvegardes. Une certification de l’hébergeur ne vaut pas certification générale de la plateforme.

Ces éléments sont adaptés au marché et au régime du traitement avant les opérations concernées. L’information publique ne constitue ni la signature d’un contrat pour une collectivité ni une autorisation générale de sous-traitance.