Accord de traitement des données

Le présent accord de traitement des données (le « DPA ») est conclu entre :

• NEXT BP, société par actions simplifiée au capital de 100 €, immatriculée au registre du commerce et des sociétés de Paris sous le numéro 920 753 233, dont le siège social est situé 127 rue de la Tour, 75016 Paris (« NEXT BP » ou le « Sous-traitant ») ; et
• la personne morale qui souscrit un abonnement à Blast Audit ou commence un essai gratuit (le « Client »).

Il fait partie intégrante des Conditions générales et du Contrat de licence utilisateur final (CLUF) (ensemble, le « Contrat principal »). Il fixe les conditions dans lesquelles NEXT BP traite des Données à caractère personnel pour le compte du Client lorsqu’elle fournit Blast Audit : le complément Excel, le tableau de bord web, les connecteurs vers le stockage en ligne du Client, le serveur MCP, l’agent d’engagement, la revue des états financiers, les dossiers PBC, les projets d’analyse, l’Académie Blast Audit et toute autre fonction de Blast Audit que NEXT BP ajoute et décrit dans le présent DPA (ensemble, le « Logiciel »). Il constitue le contrat exigé par l’article 28 du RGPD.

Le présent DPA s’inspire des clauses contractuelles types de la décision d’exécution (UE) 2021/915 de la Commission, sans les reproduire là où une clause l’indique : l’Annexe 1 correspond à leurs annexes I et II, l’Annexe 2 à leur annexe III et l’Annexe 3 à leur annexe IV.

---

1. Définitions

Les termes définis par le RGPD (notamment « responsable du traitement », « sous-traitant », « Données à caractère personnel », « traitement », « Personne concernée », « Violation de Données à caractère personnel » et « autorité de contrôle ») ont le sens que leur donne le RGPD. En outre :

• « RGPD » désigne le règlement (UE) 2016/679 du 27 avril 2016.
• « Réglementation applicable » désigne le RGPD, la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, et toute autre disposition du droit de l’Union ou d’un État membre relative à la protection des données qui s’applique au traitement.
• « Données du Client » désigne les documents, fichiers, images, enregistrements audio, textes, instructions, feuilles de travail et résultats que le Client ou ses Utilisateurs soumettent au Logiciel ou que le Logiciel produit à partir d’eux, ainsi que les Données à caractère personnel qu’ils contiennent. Les Données d’utilisation qui permettent d’identifier un Utilisateur en font partie.
• « Données d’utilisation » désigne les données relatives à l’utilisation du Logiciel par les Utilisateurs, décrites à l’article 2.5. Les totaux d’organisation qui ne permettent pas d’identifier un Utilisateur, les données de la mesure d’usage du produit visée à l’article 2.3, et les écritures de facturation de crédits d’intelligence artificielle et de pages soumises à la reconnaissance optique de caractères visées à l’article 2.3, n’en font pas partie. Le volume de crédits affiché par membre est un indicateur de la vue de l’article 2.5, distinct de ces écritures.
• « Sous-traitant ultérieur » désigne tout sous-traitant auquel NEXT BP fait appel pour mener des activités de traitement des Données du Client pour le compte du Client.
• « Utilisateurs » désigne les personnes que le Client autorise à utiliser le Logiciel.
• « Annexes » désigne les quatre annexes du présent DPA, qui en font partie intégrante.

Le présent DPA est lu et interprété à la lumière du RGPD. Il ne peut être interprété d’une manière contraire aux droits et obligations prévus par le RGPD ni d’une manière qui porte atteinte aux libertés ou droits fondamentaux des Personnes concernées.

---

2. Rôles et champ d’application

2.1 Le Client est responsable du traitement des Données à caractère personnel contenues dans les Données du Client. Il détermine les finalités du traitement et décide seul des documents que ses Utilisateurs soumettent au Logiciel. Lorsque le Client traite lui-même ces données en qualité de sous-traitant pour le compte d’un tiers, NEXT BP agit comme son sous-traitant ultérieur et le Client lui transmet les instructions qu’il reçoit.

2.2 NEXT BP est sous-traitant. Elle ne traite les Données du Client que pour fournir le Logiciel au Client, conformément au présent DPA.

2.3 Données hors du DPA. NEXT BP agit en qualité de responsable du traitement distinct, et non au titre du présent DPA, pour les données nécessaires à sa propre activité : comptes et authentification des Utilisateurs, facturation, demandes d’assistance, sécurité du service, mesure d’usage du produit et relations commerciales. Ces données sont décrites dans la Politique de confidentialité.

La mesure d’usage du produit ne comprend pas la consultation de l’usage par membre. Cette consultation est le traitement de l’article 2.5, effectué pour le compte du Client.

La mesure d’usage du produit est faite avec PostHog (Annexe 3, partie B). NEXT BP lui transmet, rattachés à l’identifiant de l’Utilisateur, des événements d’usage du produit, de facturation, d’e-mail et de consommation d’IA, sans contenu de document. Le détail par membre (nom, adresse électronique et indicateurs de l’article 2.5) et les événements d’usage enregistrés pour le compte du Client, ainsi que leurs agrégats, ne lui sont pas transmis. Les événements envoyés par les serveurs de NEXT BP ne dépendent pas du bandeau cookies, qui ne concerne que le navigateur. Ces envois relèvent du présent article.

Les métriques techniques qui ne contiennent aucun contenu de document peuvent être conservées par NEXT BP pour la facturation, les quotas, la sécurité et la fiabilité du service. Ces données, et leurs durées de conservation, sont décrites à titre d’information dans la Politique de confidentialité.

2.4 Portée. Le présent DPA est sans préjudice des obligations auxquelles le Client est soumis en qualité de responsable du traitement en vertu du RGPD. Il ne suffit pas à lui seul à encadrer les transferts hors de l’Espace économique européen, qui relèvent de l’article 8 et de l’Annexe 4.

2.5 Données d’utilisation et vue par membre.

Le Logiciel enregistre des Données d’utilisation relatives aux Utilisateurs. Ce sont des Données à caractère personnel lorsqu’elles se rapportent à une personne identifiée ou identifiable, y compris par un identifiant technique que NEXT BP peut relier à cette personne.

Les Données d’utilisation comprennent :

• les données d’identification du compte : nom, adresse électronique, identifiant technique du compte, rôle dans l’organisation du Client, statut de membre actif, détention d’une licence du complément Excel (oui ou non) ;
• les indicateurs suivants, et ceux-là seulement : date (le jour, sans l’heure) de la dernière activité sur les 13 derniers mois, quelle que soit la période consultée, nombre de jours actifs sur la période consultée, nombre de documents importés, nombre de snips, nombre d’exécutions de rapprochement, nombre de pages soumises à la reconnaissance optique de caractères, nombre d’exécutions des fonctions d’intelligence artificielle, volume de crédits consommés au titre de ces fonctions, exprimé en euros et en part des crédits consommés par l’organisation sur la période consultée.

La dernière activité est le jour du dernier événement d’usage : une action signalée par le complément Excel ou un import de document. Les exécutions des fonctions d’intelligence artificielle et les crédits n’y comptent pas. Une fiche par membre ventile ces totaux par fonctionnalité : nombre d’événements, exécutions des fonctions d’intelligence artificielle, crédits. L’usage des personnes qui ont quitté l’organisation, et celui qui n’est rattaché à aucun membre, est additionné sur une seule ligne « anciens membres », sans nom. Cette ligne n’est pas anonyme : quand une seule personne a quitté l’organisation, elle montre ses totaux.

Les Données d’utilisation ne comprennent pas le contenu des documents du Client, le nom de ces documents, le contenu des échanges avec les fonctions d’intelligence artificielle, ni le détail chronologique des actions. Elles ne comportent ni score, ni classement, ni indicateur de performance individuelle, et ne mesurent pas le temps de travail. La progression des Utilisateurs dans l’Académie Blast Audit, y compris leurs scores aux questionnaires que voient les propriétaires et les administrateurs de l’organisation du Client, ne relève pas des Données d’utilisation : elle est décrite à l’Annexe 1.

La vue par membre est masquée par défaut. Seuls les propriétaires et les administrateurs de l’organisation du Client peuvent la voir, et seulement après qu’un propriétaire ou un administrateur a activé le réglage d’organisation. Avant l’activation, il coche qu’il a informé les membres et consulté le CSE ou le Betriebsrat si nécessaire. L’activation enregistre qui l’a faite et quand. Seul le dernier changement du réglage est gardé : chaque changement remplace le précédent. Cette trace est conservée pendant la durée du Contrat principal puis, comme preuve de l’instruction du Client, pendant cinq (5) ans après sa fin ; elle est ensuite supprimée. Elle est l’instruction documentée, au sens de l’article 4.1, de présenter et d’exporter les Données d’utilisation par membre. Tant que le réglage n’est pas activé, le Logiciel est conçu pour refuser le détail, y compris en réponse à une requête. Le Client peut désactiver le réglage à tout moment. Après la désactivation, le Logiciel est conçu pour refuser toute nouvelle demande du détail ; les chiffres déjà affichés ou exportés ne sont pas retirés des navigateurs ni des fichiers du Client. Les fichiers d’export par utilisateur déjà produits sur la page Exports restent téléchargeables par les propriétaires et les administrateurs jusqu’à leur expiration (Annexe 1).

La période consultée est choisie par le Client, dans la limite des treize (13) derniers mois.

Le Client est le responsable du traitement de cette consultation. Avant d’activer le réglage, il assure la licéité de la consultation : base juridique, information préalable des personnes concernées et, lorsque le droit qui le régit l’exige, information et consultation des représentants du personnel ou codécision de l’instance compétente. La case cochée à l’activation ne prouve pas que ces démarches ont eu lieu. NEXT BP met à la disposition du Client une notice qui décrit la vue. Cette notice ne remplit pas les obligations du Client.

NEXT BP présente et exporte la vue par membre sur cette instruction, et seulement dans les conditions ci-dessus. NEXT BP n’utilise pas cette vue pour son propre compte, en particulier pour évaluer une personne, prospecter, constituer un profil, ou entraîner ou ajuster un modèle. Le détail par membre n’est pas transmis à PostHog ni à un autre outil de mesure d’usage, et il n’est pas reversé à l’annuaire d’identité.

L’export demandé par un propriétaire ou un administrateur reprend les seuls champs de la vue et de la fiche par membre. Le fichier CSV est produit dans le navigateur. NEXT BP ne constitue pas de copie de ce fichier CSV. L’export par utilisateur de la page Exports suit les mêmes règles et donne les mêmes totaux, sans ligne par jour ; il est produit sur les serveurs de NEXT BP et téléchargeable par les propriétaires et les administrateurs jusqu’à son expiration (Annexe 1), puis supprimé.

Les événements d’usage bruts et les agrégats quotidiens par Utilisateur sont conservés pendant la durée fixée à l’Annexe 1. Les agrégats quotidiens par organisation, totaux sans identifiant de personne, sont conservés pendant la durée du Contrat principal. Les écritures de crédits d’intelligence artificielle et de pages soumises à la reconnaissance optique de caractères, réservations de pages comprises, sont des écritures de facturation au sens de l’article 2.3. Elles gardent l’identifiant de l’Utilisateur pour la facturation, les remboursements et le suivi de la période de crédits, pendant la durée fixée à l’Annexe 1 ; l’identifiant est ensuite retiré, et les écritures et leurs montants restent rattachés à l’organisation. Les enregistrements d’exécution des fonctions d’intelligence artificielle (date, fonctionnalité, statut, consommation, identifiants techniques, chemins de stockage, messages de progression et d’erreur, métadonnées techniques) suivent la même règle. La vue par membre ne lit ces écritures et ces enregistrements que sur la période consultée. Les crédits par membre affichés sont un indicateur de cette vue. Les noms de fichiers sont retirés des événements d’usage, historique compris. Les copies encore présentes dans les sauvegardes disparaissent selon l’article 7.3. À la fin du Contrat principal, les événements d’usage bruts, les agrégats quotidiens par Utilisateur et par organisation et les enregistrements d’exécution des fonctions d’intelligence artificielle qui subsistent, quelle que soit leur ancienneté, sont supprimés avec les Données du Client, selon l’article 7.3 ; les écritures de crédits et de pages sont conservées, et l’identifiant de l’Utilisateur en est retiré lors de cette suppression.

Le personnel de NEXT BP n’accède au détail par membre que pour exécuter une demande d’assistance du Client ou pour la sécurité du service, dans la limite du nécessaire. Il reste tenu par l’article 4.3.

---

3. Description du traitement

L’objet, la nature, la finalité et la durée du traitement, les types de Données à caractère personnel et les catégories de Personnes concernées sont décrits à l’Annexe 1. Le traitement dure aussi longtemps que le Contrat principal, puis jusqu’à la suppression ou la restitution des Données du Client prévue à l’article 7.

---

4. Obligations de NEXT BP

4.1 Instructions documentées. NEXT BP ne traite les Données du Client que sur instructions documentées du Client, y compris en ce qui concerne les transferts de Données à caractère personnel vers un pays tiers ou à une organisation internationale, à moins qu’elle ne soit tenue d’y procéder en vertu du droit de l’Union ou du droit de l’État membre auquel elle est soumise. Dans ce cas, NEXT BP informe le Client de cette obligation juridique avant le traitement, sauf si ce droit interdit une telle information pour des motifs importants d’intérêt public. Le Contrat principal, le présent DPA, les actions des Utilisateurs dans le Logiciel et les paramètres choisis par les administrateurs du Client (par exemple l’activation d’un connecteur) constituent les instructions documentées du Client. L’activation du réglage de la vue par membre prévu à l’article 2.5 est l’instruction documentée de présenter et d’exporter ces données. L’absence d’activation est l’instruction de ne pas les présenter : le Logiciel est alors conçu pour refuser le détail. Le Client peut donner des instructions complémentaires pendant toute la durée du traitement ; elles sont toujours documentées, par exemple par e-mail à privacy [at] blast-audit.com. Si NEXT BP ne peut pas exécuter une instruction complémentaire avec les fonctions du Logiciel, elle en informe le Client sans délai et l’article 12 s’applique.

4.2 Instructions illicites. NEXT BP informe immédiatement le Client si, selon elle, une instruction constitue une violation du RGPD ou d’autres dispositions du droit de l’Union ou du droit des États membres relatives à la protection des données. NEXT BP peut suspendre l’exécution de cette instruction jusqu’à ce que le Client la confirme ou la modifie par écrit.

4.3 Confidentialité. NEXT BP veille à ce que les personnes autorisées à traiter les Données du Client se soient engagées à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité, et à ce qu’elles n’accèdent aux Données du Client que dans la mesure strictement nécessaire pour fournir le Logiciel, répondre à une demande d’assistance du Client ou traiter un incident.

4.4 Sous-traitants ultérieurs.

(a) Autorisation générale. Le Client donne à NEXT BP une autorisation écrite générale de recourir à des Sous-traitants ultérieurs. Les Sous-traitants ultérieurs engagés à la date du présent DPA figurent dans la partie A de l’Annexe 3, qui constitue la liste datée des sous-traitants ultérieurs de NEXT BP.

(b) Obligations des Sous-traitants ultérieurs. NEXT BP fait appel à chaque Sous-traitant ultérieur au moyen d’un contrat qui lui impose, en substance, les mêmes obligations en matière de protection des données que celles qui s’imposent à NEXT BP en vertu du présent DPA, notamment des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. NEXT BP impose contractuellement ces obligations à chaque Sous-traitant ultérieur. NEXT BP demeure pleinement responsable devant le Client de l’exécution par ses Sous-traitants ultérieurs de leurs obligations et l’informe de tout manquement d’un Sous-traitant ultérieur à ses obligations contractuelles dont elle a connaissance.

(c) Changements. NEXT BP informe le Client de tout ajout ou remplacement envisagé d’un Sous-traitant ultérieur au moins trente (30) jours avant sa prise d’effet, par e-mail adressé au titulaire du compte du Client et par la publication d’une Annexe 3 mise à jour et datée. L’information précise le nom du Sous-traitant ultérieur, son rôle, le lieu du traitement et le mécanisme de transfert.

(d) Objection. Pendant ce délai de trente jours, le Client peut s’opposer au changement par écrit à privacy [at] blast-audit.com, pour des motifs raisonnables liés à la protection des Données à caractère personnel. NEXT BP et le Client recherchent alors de bonne foi une solution, par exemple une configuration dans laquelle le nouveau Sous-traitant ultérieur ne traite pas les données du Client. À défaut de solution avant la prise d’effet du changement, le Client peut résilier l’abonnement concerné, sans pénalité, avec effet à la date du changement. Il a alors droit au remboursement prévu à l’article 12.5.

(e) Copie des contrats. À la demande du Client, NEXT BP lui fournit une copie du contrat applicable conclu avec un Sous-traitant ultérieur, dans sa version en vigueur, et de ses modifications, y compris lorsque ce contrat est constitué des conditions standard publiées par celui-ci. NEXT BP peut en expurger les secrets d’affaires et les autres informations confidentielles, y compris des Données à caractère personnel.

(f) Disparition de NEXT BP. NEXT BP recourt aux conditions standard de ses Sous-traitants ultérieurs et ne peut pas y faire ajouter de clause au bénéfice du Client. Si NEXT BP a matériellement disparu, a cessé d’exister en droit ou est devenue insolvable, le Client peut demander à l’administrateur ou au liquidateur la suppression ou la restitution des Données du Client ; les Données du Client restent soumises aux durées de conservation de l’Annexe 1.

(g) Remplacement urgent. Lorsqu’un Sous-traitant ultérieur cesse son service ou met en danger la sécurité des Données du Client, NEXT BP peut le remplacer avec un préavis plus court. Aucune Donnée du Client n’est transmise au nouveau Sous-traitant ultérieur avant que le Client en soit informé. Le Client dispose ensuite des droits de l’article 4.4(d) pendant trente (30) jours. S’il s’oppose, NEXT BP cesse de lui transmettre les Données du Client par ce Sous-traitant ultérieur.

4.5 Sécurité. NEXT BP met en œuvre les mesures techniques et organisationnelles décrites à l’Annexe 2 afin de garantir un niveau de sécurité adapté au risque, conformément à l’article 32 du RGPD. NEXT BP peut faire évoluer ces mesures à condition de ne pas réduire le niveau global de protection.

4.6 Demandes des Personnes concernées. Compte tenu de la nature du traitement, NEXT BP aide le Client, par des mesures techniques et organisationnelles appropriées, dans toute la mesure du possible, à s’acquitter de son obligation de donner suite aux demandes des Personnes concernées qui exercent leurs droits (accès, rectification, effacement, limitation, portabilité, opposition). Si NEXT BP reçoit directement une telle demande, elle la transmet au Client dans les meilleurs délais et n’y répond pas elle-même, sauf pour indiquer à la Personne concernée que sa demande a été transmise. Dans un projet d’analyse, le Logiciel ne permet pas d’effacer une personne à l’intérieur d’une source : NEXT BP ne peut exécuter une demande d’effacement qui la vise qu’en supprimant cette source, ce qui reste possible tant qu’aucun jeu de données n’en a été tiré, ou en supprimant le projet ; le Client peut ensuite importer une version expurgée de la source. Les copies contenues dans les sauvegardes disparaissent selon l’article 7.3, et les requêtes et les réponses que Microsoft conserve temporairement pour la surveillance des abus n’en relèvent pas (article 5.4).

4.7 Analyse d’impact et consultation préalable. Compte tenu de la nature du traitement et des informations à sa disposition, NEXT BP aide le Client à garantir le respect des obligations prévues aux articles 32 à 36 du RGPD. En particulier, elle fournit au Client, sur demande, les informations dont il a besoin pour réaliser une analyse d’impact relative à la protection des données (description du traitement, flux de données, Sous-traitants ultérieurs, durées de conservation, mesures de sécurité) et l’assiste dans toute consultation préalable de la CNIL ou d’une autre autorité de contrôle compétente. NEXT BP informe sans délai le Client si elle apprend que des Données à caractère personnel qu’elle traite pour son compte sont inexactes ou sont devenues obsolètes. Pour les Données d’utilisation, cette aide comprend la description des données, des accès, des durées de conservation et du réglage de l’article 2.5, que le Client peut verser à son dossier. NEXT BP ne décide pas à la place du Client si une analyse d’impact est requise, et elle ne la conduit pas à sa place.

L’assistance prévue aux articles 4.6, 4.7, 4.8(d) et 4.9 comprend la documentation du Logiciel et une assistance raisonnable. Au-delà d’un usage raisonnable, ou lorsqu’elle porte sur une Violation de Données à caractère personnel dont NEXT BP n’est pas responsable, NEXT BP la facture au temps passé, au tarif indiqué avant la prestation ; à défaut d’accord sur ce tarif, NEXT BP fournit la seule assistance incluse, sans facturation. Ce désaccord ne constitue pas un impayé.

4.8 Violations de Données à caractère personnel.

(a) NEXT BP notifie au Client toute Violation de Données à caractère personnel affectant les Données du Client dans les meilleurs délais après en avoir pris connaissance, par e-mail adressé au titulaire du compte du Client.

(b) La notification contient, dans la mesure où ces informations sont connues à ce moment : la nature de la violation, y compris, si possible, les catégories et le nombre approximatif de Personnes concernées et d’enregistrements concernés ; le nom et les coordonnées du point de contact de NEXT BP (privacy [at] blast-audit.com) ; les conséquences probables de la violation ; et les mesures prises ou proposées par NEXT BP pour remédier à la violation et en atténuer les éventuelles conséquences négatives. Lorsque toutes les informations ne peuvent pas être fournies en même temps, NEXT BP les communique de manière échelonnée, sans autre retard indu.

(c) NEXT BP coopère avec le Client pour lui permettre de notifier l’autorité de contrôle et, le cas échéant, les Personnes concernées. NEXT BP ne procède pas à ces notifications au nom du Client, sauf instruction écrite de celui-ci.

(d) Lorsqu’une Violation de Données à caractère personnel concerne des données traitées par le Client lui-même, par exemple après la compromission du compte d’un Utilisateur, NEXT BP l’assiste, compte tenu de la nature du traitement et des informations dont elle dispose, pour notifier l’autorité de contrôle, réunir les informations exigées par l’article 33.3 du RGPD et, le cas échéant, communiquer la violation aux Personnes concernées.

4.9 Information. Les parties sont en mesure de démontrer le respect du présent DPA. NEXT BP traite rapidement et de manière appropriée les demandes du Client relatives au traitement des Données du Client. Elle met à la disposition du Client toutes les informations nécessaires pour démontrer le respect de l’article 28 du RGPD et du présent DPA, dans les conditions de l’article 6. Elle met ces informations, y compris les résultats de tout audit, à la disposition de l’autorité de contrôle compétente dès que celle-ci en fait la demande.

---

5. Intelligence artificielle

5.1 Aucun entraînement. NEXT BP n’utilise pas les Données du Client pour entraîner ou ajuster (fine-tuning) un modèle d’intelligence artificielle ou d’apprentissage automatique, qu’il s’agisse du sien ou de celui d’un tiers.

5.2 Fournisseurs d’IA. Sauf lorsque le Client utilise sa propre clé d’API (article 5.7), les modèles d’IA qui traitent les Données du Client sont exploités par Microsoft (Azure OpenAI, le service Azure AI de la zone de données UE qui contrôle les tableaux de résultats de l’agent d’engagement et de l’agent Excel, Azure AI Content Understanding, Azure AI Speech) dans le cadre des conditions de protection des données de Microsoft, selon lesquelles Microsoft n’utilise pas les Données du Client pour entraîner des modèles de fondation d’IA générative sans instructions documentées de NEXT BP, et NEXT BP ne donne pas de telles instructions. NEXT BP ne recourra à aucun autre fournisseur de modèles d’IA sans lui imposer la même interdiction d’entraîner des modèles avec les Données du Client, et uniquement dans les conditions de l’article 4.4. Lecture des pages scannées. Lorsqu’elle a lieu, la lecture d’une page par l’OCR standard de NEXT BP, un logiciel que NEXT BP exploite elle-même, s’exécute dans l’environnement Microsoft Azure qui héberge l’application (Annexe 3), dans la même région ; aucun prestataire d’OCR distinct n’effectue cette lecture. L’OCR standard ne lit pas toutes les pages. Azure AI Content Understanding lit chaque page scannée pour laquelle le résultat fourni au Client ne provient pas de l’OCR standard, notamment les pages relues, automatiquement ou à la demande d’un Utilisateur, et toutes les pages scannées lorsque l’OCR standard n’est pas en service pour le Client. Azure AI Content Understanding peut aussi lire des pages que l’OCR standard lit, notamment pendant l’évaluation de celui-ci. Mesure de la qualité de la lecture. Pour mesurer et maintenir la qualité de la lecture fournie au Client, l’OCR standard peut relire, dans le même environnement, une page déjà lue par Azure AI Content Understanding, dont le résultat est celui fourni au Client. NEXT BP ne garde de cette relecture que des chiffres sans contenu de document (nombres, parts, durées), consultés par ses équipes, pendant la durée fixée à l’Annexe 1 ; les pages relues suivent les durées ordinaires de l’Annexe 1. Lorsque le Client utilise sa propre clé Azure (article 5.7), chaque page scannée est lue par la lecture avancée, avec la clé du Client, dans le cadre du contrat Azure du Client.

5.3 Pas de stockage des requêtes pour consultation ultérieure. NEXT BP configure Azure OpenAI de sorte que le service ne conserve pas les requêtes ni les réponses pour une consultation ultérieure, sous réserve de la surveillance des abus de l’article 5.4, qui conduit Microsoft à conserver temporairement toutes les requêtes et toutes les réponses.

5.4 Surveillance des abus par Microsoft. Microsoft conserve temporairement toutes les requêtes adressées à Azure OpenAI et toutes les réponses, pour détecter et prévenir les usages abusifs ou préjudiciables du service et de ses résultats (abuse monitoring). Le contrat de Microsoft ne fixe pas de durée à cette conservation. Seules les données qui ont déclenché ses systèmes automatisés peuvent être examinées par des employés habilités de Microsoft ; pour les déploiements relevant de la frontière de données de l’UE (EU Data Boundary), ces employés sont situés dans l’Espace économique européen. Les conditions de Microsoft (Privacy & Security Terms) permettent en outre à son personnel situé hors de cette frontière d’accéder à distance aux systèmes de traitement qui s’y trouvent, dans la mesure nécessaire pour exploiter, dépanner, assister et sécuriser ses services. Microsoft n’utilise pas ce contenu pour entraîner des modèles de fondation d’IA générative sans instructions documentées de son client, et NEXT BP ne donne pas de telles instructions (article 5.2). Microsoft n’a pas accordé à NEXT BP d’exemption de cette surveillance : cette conservation a donc lieu. Microsoft peut aussi conserver temporairement, pour la surveillance des abus, les requêtes adressées au service Azure AI de la zone de données UE qui contrôle les tableaux de résultats (article 5.2) et les réponses de ce service ; Microsoft n’a donné à NEXT BP aucun engagement sur la durée de cette conservation. Pour ce service également, seules les données qui ont déclenché les systèmes automatisés de Microsoft peuvent être examinées par des employés habilités de Microsoft, situés dans l’Espace économique européen pour un déploiement relevant de la frontière de données de l’UE, et Microsoft n’utilise pas ce contenu pour entraîner des modèles de fondation d’IA générative sans instructions documentées de NEXT BP, qui n’en donne pas. Ce service repose sur une version de modèle que Microsoft propose en préversion (preview) : les conditions de Microsoft applicables aux préversions d’Azure s’y appliquent, et Microsoft peut appliquer aux préversions des mesures de confidentialité et de sécurité moindres ou différentes de celles que décrit le présent article, y compris d’autres pratiques de surveillance des abus. Microsoft ne prend pas d’engagement de frontière de données de l’UE pour les préversions : les employés de Microsoft qui examinent les données de ce service ne sont donc pas nécessairement situés dans l’Espace économique européen. Pour l’un comme pour l’autre service, le contrat de Microsoft ne fixe qu’une suppression au plus tard : après la fin de l’abonnement Azure de NEXT BP, Microsoft conserve ces données quatre-vingt-dix (90) jours dans un compte à fonctionnalités limitées, puis les supprime dans les quatre-vingt-dix (90) jours suivants. Cet abonnement est celui de NEXT BP : la fin du Contrat principal d’un Client n’y met pas fin.

5.5 Recherche web. L’agent Excel peut proposer une recherche web. La requête de recherche, rédigée par le modèle, est affichée à l’Utilisateur ; le Logiciel est conçu pour ne l’envoyer à Exa (Annexe 3) que si l’Utilisateur l’approuve. Elle peut contenir des noms ou des montants issus des Données du Client. Le Logiciel est conçu pour ne plus proposer la recherche web dans une conversation qui a utilisé les fonctions d’analyse de documents.

5.6 Aucune décision automatisée. Le Logiciel produit des propositions (valeurs extraites, réponses, classements, rapprochements) reliées, lorsque c’est possible, aux mots du document source afin que l’Utilisateur puisse les vérifier. Il ne prend aucune décision produisant des effets juridiques à l’égard des Personnes concernées ou les affectant de manière significative de façon similaire : le Client et ses Utilisateurs valident chaque résultat et restent responsables de leurs conclusions. Dans un projet d’analyse, l’assistant d’IA du projet propose des recettes et des packs d’analyse : le Logiciel est conçu pour qu’aucun ne s’exécute sans l’accord d’un Utilisateur ayant l’accès complet au projet (un Utilisateur en lecture seule ne peut pas le donner), et les résultats sont calculés par le moteur d’analyse du Logiciel, pas par le modèle d’IA.

5.7 Fournisseur choisi par le Client. Lorsque le Client enregistre dans le Logiciel une clé d’API d’un fournisseur d’IA ou d’OCR avec lequel il a lui-même contracté, les requêtes concernées sont envoyées à ce fournisseur, sous le compte du Client et aux conditions que le Client a acceptées. Ce fournisseur est choisi par le Client et lié à lui par son propre contrat : il n’est pas un Sous-traitant ultérieur de NEXT BP et ne figure pas à l’Annexe 3. Il appartient au Client de vérifier que ce contrat satisfait à l’article 28 du RGPD et, en cas de transfert, au chapitre V. Les articles 5.2 à 5.4 ne s’appliquent pas à ces requêtes ; l’article 5.1 continue de s’appliquer à NEXT BP. Le Client peut retirer sa clé à tout moment ; les requêtes suivantes reviennent aux fournisseurs de l’Annexe 3.

---

6. Audits

6.1 Documentation d’abord. Sur demande, NEXT BP fournit au Client la documentation qui démontre sa conformité : le présent DPA et ses Annexes, les réponses à un questionnaire de sécurité raisonnable, les certificats et rapports que NEXT BP détient à la date de la demande (Annexe 2), et les certifications et rapports que Microsoft met à disposition pour ses services d’hébergement (rapport SOC 3 et certificats ISO publiés sur le Service Trust Portal de Microsoft). Le rapport SOC 2 Type 2 est confidentiel : NEXT BP le communique au Client et à ses auditeurs sous engagement de confidentialité.

6.2 Audit sur place. Si le Client estime raisonnablement que cette documentation ne suffit pas à démontrer le respect du présent DPA, il peut réaliser, lui-même ou par l’intermédiaire d’un auditeur indépendant tenu à la confidentialité et non concurrent de NEXT BP, un audit sur place ou par accès à distance, au plus une fois par période de douze mois, moyennant un préavis écrit d’au moins trente (30) jours. Le périmètre, la date et la durée sont convenus à l’avance. L’audit se déroule pendant les heures ouvrées, sans perturber de manière déraisonnable l’activité de NEXT BP et sans accès aux données des autres clients ni aux installations des Sous-traitants ultérieurs, qui sont couvertes par leurs propres rapports d’audit.

6.3 Audits supplémentaires. La limite d’un audit par an ne s’applique pas à un audit exigé par une autorité de contrôle, à un audit réalisé à la suite d’une Violation de Données à caractère personnel affectant les Données du Client, ni à un audit justifié par des indices sérieux de non-conformité de NEXT BP au présent DPA, que le Client étaie par écrit. Une même Violation de Données à caractère personnel, ou un même ensemble d’indices, ne justifie qu’un seul audit supplémentaire. Pour un audit exigé par une autorité de contrôle ou réalisé à la suite d’une Violation de Données à caractère personnel, le préavis est réduit à dix (10) jours ouvrés ; pour un audit justifié par des indices sérieux, le préavis de l’article 6.2 s’applique.

6.4 Frais. Chaque partie supporte ses propres frais. Le temps que NEXT BP consacre aux audits au-delà de deux (2) jours ouvrés par période de douze mois est facturable à un tarif raisonnable indiqué avant la prestation. Un désaccord sur ce tarif ne fait pas obstacle à l’audit. Le Client supporte le coût de l’audit et de son auditeur, sauf si l’audit établit un manquement grave de NEXT BP à ses obligations au titre du présent DPA ; NEXT BP supporte alors les frais raisonnables de l’audit, dans la limite du plafond de l’article 11.2 des Conditions générales, et ne facture pas son temps. NEXT BP corrige sans retard indu tout manquement constaté.

---

7. Fin du traitement : restitution et suppression

7.1 Données déjà supprimées en cours d’abonnement. La plupart des Données du Client sont supprimées en cours d’abonnement selon les durées de conservation de l’Annexe 1 : le contenu des documents soumis à l’OCR ou à l’analyse est supprimé au plus tard 24 heures après son import, dans les copies que NEXT BP contrôle. Le contenu d’une conversation avec l’agent Excel, y compris le nom et le texte des documents du classeur que le complément envoie pour elle, est supprimé au plus tard 24 heures après son arrivée sur les serveurs de NEXT BP, dans les copies que NEXT BP contrôle, et les sauvegardes de la base le gardent jusqu’à sept (7) jours de plus (article 7.3). Si une suppression échoue, elle est relancée et intervient dans les meilleurs délais. Le contenu d’un engagement de l’agent d’engagement, d’une revue des états financiers, d’un dossier PBC ou d’un projet d’analyse ne suit pas ce délai : il suit la durée que l’Annexe 1 lui fixe. Les requêtes et les réponses que Microsoft conserve temporairement pour la surveillance des abus n’en relèvent pas (article 5.4). Les classeurs restent dans les fichiers Excel du Client ; les plages de cellules qu’un Utilisateur envoie dans un projet d’analyse (instantanés de classeur) sont copiées dans ce projet et en suivent la durée.

7.2 Export. Jusqu’à la fin du Contrat principal, le Client peut exporter depuis le Logiciel les données que NEXT BP détient encore, notamment les engagements de l’agent d’engagement, les fichiers des dossiers PBC et les projets d’analyse, sous réserve de ce qui suit. Un nouvel export d’un engagement, d’un projet d’analyse ou d’une revue des états financiers peut être refusé au cours du dernier jour qui précède sa suppression ; un export déjà prêt reste téléchargeable jusqu’à cette suppression. Seule une revue des états financiers clôturée peut être exportée, par un membre disposant de l’accès complet. L’export d’une revue contient les fichiers des documents et leurs PDF préparés que NEXT BP conserve encore, et un manifeste qui liste tous les documents. L’export ne contient ni les annotations, ni les commentaires, ni les listes de contrôle avec leurs réponses et leurs décisions, ni les paramètres de l’analyse, ni les constats envoyés vers Excel.

7.3 Suppression. À la fin du Contrat principal, NEXT BP supprime les Données du Client dans un délai de trente (30) jours, sauf si le Client demande, dans ce délai, la restitution des données encore détenues ; NEXT BP les lui restitue alors dans un format structuré et couramment utilisé, puis les supprime. Le présent article s’applique aussi aux engagements, aux revues des états financiers, aux dossiers PBC et aux projets d’analyse encore ouverts à la fin du Contrat principal. Si une suppression échoue, elle est relancée et intervient dans les meilleurs délais. Les copies contenues dans les sauvegardes de base de données disparaissent à l’expiration de ces sauvegardes, dans les sept (7) jours suivant la suppression. NEXT BP ne conserve aucune copie des Données du Client au-delà des cas prévus à l’Annexe 1, à moins que le droit de l’Union ou le droit de l’État membre n’exige la conservation des Données à caractère personnel. Le présent article ne vise pas les données que NEXT BP traite en qualité de responsable du traitement (article 2.3). La suppression comprend les événements d’usage bruts, les agrégats quotidiens par Utilisateur et par organisation et les enregistrements d’exécution des fonctions d’intelligence artificielle (article 2.5). Les écritures de crédits d’intelligence artificielle et de pages soumises à la reconnaissance optique de caractères, écritures de facturation au sens de l’article 2.3, sont conservées ; l’identifiant de l’Utilisateur en est retiré lors de la suppression. La trace du dernier changement du réglage de la vue par membre est conservée pendant cinq (5) ans après la fin du Contrat principal, comme preuve de l’instruction du Client, puis supprimée (article 2.5). Les requêtes et les réponses que Microsoft conserve temporairement pour la surveillance des abus (article 5.4) relèvent des conditions de Microsoft ; elles ne sont pas couvertes par la suppression dans le délai de trente (30) jours ci-dessus, parce que NEXT BP ne peut pas les supprimer pour chaque Client ; le contrat de Microsoft ne fixe pas de durée à cette conservation, seulement une suppression au plus tard après la fin de l’abonnement Azure de NEXT BP (article 5.4).

7.4 Attestation. Sur demande, NEXT BP remet au Client une attestation de suppression écrite.

---

8. Transferts hors de l’Espace économique européen

8.1 Les Données du Client sont hébergées et traitées dans l’Union européenne, à l’exception des transferts décrits à l’Annexe 4. En acceptant le présent DPA, le Client donne instruction à NEXT BP d’effectuer ces transferts. NEXT BP n’effectue aucun autre transfert vers un pays tiers ou une organisation internationale, sauf sur instructions documentées du Client ou pour satisfaire à une exigence du droit de l’Union ou du droit de l’État membre auquel elle est soumise, et toujours conformément au chapitre V du RGPD.

8.2 Lorsqu’un Sous-traitant ultérieur est établi hors de l’Espace économique européen, ou peut accéder aux données depuis l’extérieur de celui-ci, le transfert est couvert par la décision d’adéquation de la Commission européenne relative au cadre de protection des données UE–États-Unis (Data Privacy Framework) pour les destinataires certifiés, ou par les clauses contractuelles types adoptées par la décision d’exécution (UE) 2021/914 de la Commission. L’Annexe 4 indique le mécanisme utilisé pour chaque destinataire. Le Client peut obtenir une copie de ces garanties en écrivant à privacy [at] blast-audit.com.

---

9. Obligations du Client

9.1 Le Client s’assure que le traitement qu’il confie à NEXT BP repose sur une base légale et que les Personnes concernées ont reçu l’information exigée par les articles 13 et 14 du RGPD.

9.2 Le Client ne soumet au Logiciel que les documents nécessaires à ses missions. Les documents traités peuvent contenir de façon incidente des catégories particulières de Données à caractère personnel ou des données relatives aux condamnations pénales et aux infractions (par exemple une ligne d’arrêt maladie sur un bulletin de paie ou une décision de justice dans un dossier de contentieux). Le Client reste responsable de la décision de les soumettre ; NEXT BP leur applique les garanties supplémentaires décrites à l’Annexe 1.

9.3 Les instructions du Client sont conformes à la Réglementation applicable. Le Client désigne le titulaire de son compte comme interlocuteur de NEXT BP pour le présent DPA et tient son adresse e-mail à jour dans le Logiciel.

---

10. Responsabilité

Chaque partie répond des dommages qu’elle cause en violation du présent DPA dans les conditions de l’article 11 des Conditions générales et dans la limite du plafond de l’article 11.2 des Conditions générales, commun aux Conditions générales, au CLUF et au présent DPA. Ces limites ne sont pas opposables aux Personnes concernées qui exercent leurs droits au titre de l’article 82 du RGPD. Entre les parties, elles s’appliquent, y compris à l’action récursoire prévue à l’article 82, paragraphe 5, du RGPD. Chaque partie supporte les amendes administratives prononcées contre elle. La clause de force majeure de l’article 5 des Conditions générales s’applique au présent DPA ; elle ne déroge pas aux obligations que le RGPD impose aux parties.

---

11. Primauté, durée et droit applicable

11.1 Primauté. En cas de contradiction entre le présent DPA et toute stipulation d’un autre document ou accord entre les parties, antérieur ou postérieur au présent DPA, y compris les Conditions générales, le CLUF et tout bon de commande ou devis, le DPA prévaut pour tout ce qui concerne le traitement des Données à caractère personnel, y compris lorsque l’autre stipulation serait plus protectrice. Une garantie supplémentaire ne lie NEXT BP que si le présent DPA ou un avenant signé par les deux parties la prévoit.

11.2 Durée. Le présent DPA s’applique à compter de l’acceptation des Conditions générales par le Client, y compris au début d’un essai gratuit, et reste en vigueur aussi longtemps que NEXT BP traite des Données du Client.

11.3 Signature. Une version du présent DPA signée par NEXT BP peut être obtenue sur demande à privacy [at] blast-audit.com.

11.4 Langue. Le présent DPA est publié en français, en anglais et en espagnol. En cas de divergence, la version française prévaut.

11.5 Droit applicable. Le présent DPA est régi par le droit français. Tout litige qui s’y rapporte relève de la compétence des juridictions désignées dans les Conditions générales.

11.6 Modification. NEXT BP peut modifier le présent DPA selon les règles suivantes. Chaque version publiée en porte la date. NEXT BP conserve l’historique daté des versions. Une version antérieure peut être obtenue sur demande à privacy [at] blast-audit.com.

(a) Sous-traitants ultérieurs. L’ajout ou le remplacement d’un Sous-traitant ultérieur est régi par l’article 4.4 seul, y compris le préavis de trente (30) jours par e-mail au titulaire du compte et le droit d’opposition de l’article 4.4(d). Les règles des alinéas (b), (c) et (d) ne s’appliquent pas à cet ajout ou à ce remplacement.

(b) Réduction de la protection. Toute autre modification qui réduit la protection des Données du Client, y compris l’allongement d’une durée de conservation déjà prévue à l’Annexe 1, est notifiée par e-mail au titulaire du compte au moins trente (30) jours avant sa prise d’effet. Le Client peut s’y opposer par écrit à privacy [at] blast-audit.com avant cette date ; les parties recherchent alors de bonne foi une solution et, à défaut d’accord, le Client peut résilier l’abonnement concerné, sans frais, avant la prise d’effet, avec le remboursement prévu à l’article 12.5. À défaut, la modification s’applique au Client à sa date d’effet. L’acceptation prévue à l’alinéa (d) vaut accord.

(c) Autres modifications. Toute autre modification prend effet à la publication du DPA mis à jour, qui porte sa date, sauf lorsque NEXT BP soumet cette version à l’acceptation de l’alinéa (d). NEXT BP en informe le Client par e-mail adressé au titulaire du compte ou dans le Logiciel au plus tard à cette date. L’ajout d’une fonction du Logiciel que le Client choisit d’utiliser relève du présent alinéa lorsque le DPA mis à jour décrit cette fonction, sa finalité et sa durée de conservation à l’Annexe 1 et, si elle traite des catégories qui n’y figurent pas encore, ces catégories de Données à caractère personnel et de Personnes concernées, et lorsqu’il ne réduit pas la protection des Données du Client déjà traitées. S’il la réduit, l’alinéa (b) s’applique. S’il ajoute ou remplace un Sous-traitant ultérieur, l’article 4.4 s’applique. Une précision qui n’en change pas le sens relève aussi du présent alinéa, de même qu’une modification exigée par la loi ou par une autorité de contrôle, même si elle réduit la protection. La mise à jour de l’Annexe 2 qui ne réduit pas le niveau global de protection est régie par l’article 4.5 et prend effet selon le présent alinéa.

(d) Acceptation dans le Logiciel. NEXT BP peut soumettre une version du présent DPA à l’acceptation du Client dans le Logiciel. Le propriétaire ou un administrateur de l’organisation du Client l’accepte pour l’organisation, sans délai imposé ; cette acceptation engage le Client, et le Logiciel en enregistre l’auteur et la date. Une version soumise à l’acceptation régit le traitement des Données du Client à compter de cette acceptation ; jusque-là, la version antérieure continue de le régir. Cette faculté ne s’applique pas à l’ajout ou au remplacement d’un Sous-traitant ultérieur. La présente version, datée du 31 octobre 2026, est soumise à cette acceptation. Pour un Client qui ne l’a pas acceptée, la version du 21 octobre 2026 continue de régir le traitement, dans les conditions de son propre article 11.6.

---

12. Non-respect du DPA et résiliation

12.1 Suspension. Sans préjudice du RGPD, si NEXT BP manque à ses obligations au titre du présent DPA, le Client peut lui donner instruction par écrit de suspendre le traitement des Données du Client jusqu’à ce qu’elle s’y conforme ou jusqu’à la résiliation. NEXT BP informe rapidement le Client si elle n’est pas en mesure de respecter le présent DPA, pour quelque raison que ce soit.

12.2 Résiliation par le Client. Le Client peut résilier le Contrat principal, en ce qu’il concerne le traitement des Données à caractère personnel, par e-mail à privacy [at] blast-audit.com, avec effet immédiat, si :

(a) le traitement a été suspendu en application de l’article 12.1 et le respect du présent DPA n’est pas rétabli dans un délai raisonnable et, en tout état de cause, dans un délai d’un mois à compter de la suspension ;

(b) NEXT BP manque gravement ou de manière persistante au présent DPA ou à ses obligations au titre du RGPD, et n’y a pas remédié dans les trente (30) jours suivant une mise en demeure écrite du Client, sauf si le manquement n’est pas remédiable ;

(c) NEXT BP ne se conforme pas à une décision contraignante d’une juridiction compétente ou de l’autorité de contrôle compétente concernant ses obligations au titre du présent DPA ou du RGPD.

Le délai pour remédier prévu au cas (b) remplace, pour ces cas, celui de l’article 13.3 des Conditions générales et de l’article 8.2 du CLUF.

12.3 Résiliation par NEXT BP. NEXT BP peut résilier le Contrat principal, en ce qu’il concerne le traitement des Données à caractère personnel, lorsque, après avoir informé le Client qu’une instruction enfreint la Réglementation applicable (article 4.2), le Client maintient cette instruction.

12.4 Suite de la résiliation. L’article 7 s’applique.

12.5 Remboursement. Lorsque le Client résilie en application de l’article 4.4(d) ou de l’article 12.2, ou encore de l’article 11.6(b), NEXT BP lui rembourse la part des redevances d’abonnement payées d’avance qui correspond à la période restant à courir après la date d’effet de la résiliation, calculée au prorata du nombre de jours. Le remboursement intervient dans les trente (30) jours suivant la date d’effet, sur le moyen de paiement utilisé. Il est la conséquence financière de la résiliation elle-même et ne s’ajoute pas à des dommages et intérêts au titre de la seule résiliation.

---

Annexe 1 — Description du traitement

Parties. Responsable du traitement : le Client, identifié par les informations qu’il fournit lors de son inscription et de sa souscription. Personne de contact : le titulaire du compte, à l’adresse e-mail enregistrée dans le Logiciel, ou la personne que le Client désigne à privacy [at] blast-audit.com ; délégué à la protection des données : celui que le Client indique, le cas échéant. Date d’adhésion : date d’acceptation des Conditions générales. Sous-traitant : NEXT BP, société par actions simplifiée (SAS), 127 rue de la Tour, 75016 Paris, France, RCS Paris 920 753 233. Personne de contact : le président de NEXT BP, privacy [at] blast-audit.com. NEXT BP n’a pas désigné de délégué à la protection des données.

Catégories de Personnes concernées. Personnes physiques dont les données figurent dans les documents soumis par le Client, y compris les grands livres et les autres exports de données importés dans un projet d’analyse, et les plages de classeur qui y sont envoyées depuis Excel : dirigeants, salariés, associés, clients, fournisseurs et autres contreparties des entités que le Client audite ou conseille, titulaires de comptes bancaires, signataires. Les Utilisateurs du Client sont aussi des Personnes concernées au titre des Données d’utilisation, même lorsqu’aucun document ne les nomme, y compris les anciens membres pendant la durée de conservation de l’article 2.5, et au titre de leur progression dans l’Académie Blast Audit. Ils le sont en outre lorsque leur nom ou leurs actions figurent dans les Données du Client, par exemple dans le journal des tâches d’un engagement, dans le journal d’un projet d’analyse, qui indique le membre ayant lancé chaque étape ou approuvé une exécution proposée par l’assistant, ou dans une revue des états financiers : membres de la revue et leur accès, documents ajoutés ou retirés, annotations, commentaires et leurs réponses, listes de contrôle et réponses de l’IA, décisions des réviseurs, paramètres de l’analyse et constats envoyés vers Excel. Les destinataires d’un dossier PBC sont aussi des Personnes concernées : les personnes, chez les clients du Client ou ailleurs, à qui un Utilisateur adresse des demandes de pièces, et les collègues à qui elles confient une demande. Les personnes dont les données figurent dans les fichiers que ces destinataires envoient sont des Personnes concernées au même titre que celles des documents soumis par le Client.

Catégories de Données à caractère personnel. Données d’identification et de contact ; données professionnelles (fonction, employeur) ; données financières et bancaires (numéros de compte, soldes, opérations, écritures comptables avec leurs comptes et leurs libellés, factures, paiements) ; données de paie et de ressources humaines figurant sur les bulletins et les journaux de paie, qui peuvent comprendre le numéro de sécurité sociale ; données fiscales ; données contractuelles ; signatures ; toute autre donnée contenue dans les documents soumis et dans les plages de classeur envoyées dans un projet d’analyse ; contenu d’une revue des états financiers : texte que l’OCR lit dans ses documents, annotations, commentaires et leurs réponses, listes de contrôle, réponses de l’IA avec les passages qu’elles citent, décisions des réviseurs et leurs notes, paramètres de l’analyse (dont le dictionnaire et la liste d’exclusion du contrôle de la langue) et constats envoyés vers Excel ; identité des membres enregistrée dans une revue, avec la date de chaque acte : membres de la revue, leur niveau d’accès (lecture ou complet) et le membre qui les a ajoutés ; membre qui crée la revue ; membre qui la clôture ; membre qui y ajoute ou en retire un document, ou en relance la lecture ; membre qui crée une annotation et membre qui la modifie en dernier ; membre qui crée un commentaire et membre qui le modifie en dernier ; auteur d’une réponse ; membre qui importe une liste de contrôle ; membre qui y lance l’IA ; membre dont la session enregistre une réponse de l’IA ; auteur d’une décision ; dernier membre qui modifie les paramètres de l’analyse ; membre qui envoie des constats vers Excel ; membre qui demande un export ; nom ou adresse électronique affichés sur un commentaire, une réponse ou la décision d’un réviseur, que reprennent les feuilles de liste de contrôle envoyées vers Excel ; dans un projet d’analyse, l’identité du membre qui a lancé chaque étape du journal d’analyse ou approuvé une exécution proposée par l’assistant ; enregistrements de la voix des Utilisateurs lorsqu’ils utilisent la saisie vocale, et les transcriptions qui en résultent. Données d’utilisation définies à l’article 2.5 : nom, adresse électronique, identifiant technique du compte, rôle, statut de membre actif, détention d’une licence du complément Excel (oui ou non), indicateurs d’usage et de consommation énumérés à cet article, ventilation par fonctionnalité. L’usage des anciens membres, et celui qui n’est rattaché à aucun membre, figure seulement dans une ligne « anciens membres » sans nom. Cette ligne n’est pas anonyme : quand une seule personne a quitté l’organisation, elle montre ses totaux. Pour un dossier PBC : les demandes ; l’adresse e-mail et la langue de chaque destinataire ; l’enregistrement de ses actions par son lien, avec la date (lien ouvert, enregistré au plus une fois par jour ; fichier envoyé ou retiré ; message ; demande confiée à un collègue) ; ses messages ; les motifs qu’il donne lorsqu’il n’a rien à envoyer ; les fichiers qu’il envoie et leur contenu ; les résultats des contrôles IA sur ces fichiers, lorsque le Client a fixé des questions (les réponses, avec les passages cités) ; l’identité du membre qui a envoyé chaque demande. Conventions que l’agent retient à la demande d’un Utilisateur, lorsque l’organisation du Client les a activées. Procédures du Client, leurs versions, les conversations qui servent à les rédiger et les propositions de mise à jour. Nom et identifiant des classeurs ouverts dans le complément Excel, que celui-ci signale au serveur MCP. Progression des Utilisateurs dans l’Académie Blast Audit : leçons et parcours terminés, avec leur date, et réponses aux exercices et aux questionnaires, avec leur score.

Catégories particulières de données et données relatives aux infractions. Non recherchées. Elles peuvent figurer de façon incidente dans les documents, les annotations, les commentaires, les notes des réviseurs, les listes de contrôle, les réponses de l’IA, les messages ou le motif qu’un destinataire donne lorsqu’il n’a rien à envoyer (par exemple des données de santé sur un bulletin de paie, une cotisation syndicale ou une décision de justice). Garanties supplémentaires : traitement limité à la tâche demandée par l’Utilisateur ; conservation limitée aux durées ci-dessous ; accès du personnel de NEXT BP limité aux cas prévus à l’article 4.3 ; mesures de l’Annexe 2.

Fréquence. Continue, à chaque action d’un Utilisateur, de l’agent d’engagement, de l’assistant d’un projet d’analyse ou d’un destinataire d’un dossier PBC.

Nature du traitement. Réception, hébergement, reconnaissance optique de caractères (OCR), analyse par des modèles d’IA, extraction de valeurs, réponses aux questions sur les documents, contrôle des tableaux de résultats de l’agent d’engagement et de l’agent Excel avant leur remise, classement, rapprochement entre feuilles de travail et documents, recherche web approuvée par l’Utilisateur, transcription de la saisie vocale, affichage, export et suppression. Pour chaque conversation avec l’agent Excel : réception du nom de chaque document enregistré dans le classeur et du texte que l’OCR y a lu, conservation de ce texte avec le contenu de la conversation, et liste, recherche et lecture de ces documents sur les serveurs de NEXT BP. Dans les projets d’analyse : import de sources de données et constitution de jeux de données, exécution de recettes, de packs et de scripts d’analyse dans un environnement d’exécution isolé (bac à sable) décrit à l’Annexe 2, rejeu du journal d’analyse, et propositions de l’assistant d’IA du projet, qui ne s’exécutent qu’après l’accord d’un Utilisateur ayant l’accès complet au projet ; à chaque lecture, l’assistant ne reçoit du projet que les noms et les colonnes des sources et des jeux de données, des nombres de lignes, des totaux et quelques lignes d’exemple ; l’assistant reçoit en outre les messages des Utilisateurs et l’historique de sa conversation, qui peut reprendre ces extraits. Pour les dossiers PBC : envoi par e-mail des demandes, des relances et des nouveaux liens aux destinataires que les Utilisateurs désignent et aux collègues à qui un destinataire confie une demande, réception des fichiers et des messages des destinataires, analyse antivirus de chaque fichier avant qu’il puisse être utilisé, et copie des fichiers acceptés dans un engagement ou import dans un classeur à la demande d’un Utilisateur. Recherche dans le SharePoint de l’organisation du Client, à la demande d’un administrateur, par le service de récupération de Microsoft 365 Copilot (Microsoft Graph) et avec la connexion Microsoft 365 de cet administrateur : Microsoft traite la requête dans le cadre du contrat Microsoft 365 du Client, et le Logiciel affiche des extraits, avec leur titre et leur auteur, et est conçu pour ne pas les conserver. Constitution d’indicateurs d’usage par Utilisateur et, lorsque le Client active le réglage de l’article 2.5, présentation de ces indicateurs aux propriétaires et aux administrateurs de son organisation, et export de ces indicateurs (dans le navigateur ou par la page Exports). Présentation aux propriétaires et aux administrateurs de l’organisation du Client de la progression de ses Utilisateurs dans l’Académie Blast Audit, y compris le meilleur score de chaque Utilisateur aux questionnaires. Relecture de pages par l’OCR standard pour mesurer la qualité de la lecture (article 5.2).

Finalité. Fournir les fonctions du Logiciel demandées par les Utilisateurs : lecture et analyse des pièces d’audit, y compris, par l’agent Excel, des documents enregistrés dans un classeur, extraction de valeurs dans les feuilles de travail, rattachement des valeurs à leur source lorsque c’est possible, exécution des tâches de l’agent d’engagement et des procédures du Client, conservation des revues des états financiers et du travail que leurs membres y font, réponses de l’IA aux listes de contrôle d’une revue et envoi des constats de la revue vers Excel, collecte, par les dossiers PBC, des pièces que les Utilisateurs demandent à leurs clients ou à d’autres personnes, et leur copie dans un engagement ou leur import dans un classeur, analyse, dans les projets d’analyse, des grands livres et des autres exports de données que les Utilisateurs y importent, import de fichiers depuis le stockage en ligne du Client (Google Drive, Microsoft 365) et recherche dans son SharePoint, réponse aux requêtes des assistants d’IA que le Client connecte au serveur MCP, et formation des Utilisateurs dans l’Académie Blast Audit. Mesurer et maintenir la qualité de la lecture fournie au Client (article 5.2). Lorsque le Client active le réglage de l’article 2.5, présenter et exporter aux propriétaires et aux administrateurs de son organisation les Données d’utilisation par membre.

Durée du traitement. La durée du Contrat principal, puis jusqu’à la suppression ou la restitution des Données du Client prévue à l’article 7 et, pour la seule trace du réglage de la vue par membre, cinq (5) ans après la fin du Contrat principal (article 2.5) ; pour chaque catégorie de données, les durées de conservation ci-dessous s’appliquent.

Durées de conservation.

Les durées ci-dessous sont des durées maximales. Si une suppression échoue, ou si un traitement en cours la retient, elle est relancée et intervient dans les meilleurs délais.

Annexe 2 — Mesures techniques et organisationnelles

Hébergement et localisation. L’application, les bases de données et le stockage de fichiers sont hébergés sur Microsoft Azure dans la région France Central (Paris). L’archive des journaux d’activité de la plateforme Azure est géorépliquée dans la région France South (Marseille) ; les fichiers du Client ne le sont pas. Les traitements d’IA et la lecture avancée des pages scannées (article 5.2) s’exécutent sur des ressources Microsoft situées dans la région Sweden Central, dans la zone de données Union européenne (EU Data Zone). La lecture standard d’une page scannée, lorsqu’elle a lieu, est effectuée par un logiciel que NEXT BP exploite elle-même, dans l’environnement Microsoft Azure qui héberge l’application et dans la même région ; aucun prestataire d’OCR distinct n’intervient.

Bacs à sable d’exécution. Les scripts que l’agent d’engagement, l’agent Excel et les projets d’analyse exécutent tournent dans des environnements d’exécution isolés, hébergés sur Microsoft Azure, conçus pour n’avoir ni accès sortant au réseau ni accès aux secrets de l’application. Chaque exécution d’un projet d’analyse (recette, pack, script ou rejeu) se fait dans son propre environnement, supprimé après l’exécution. Le Logiciel est conçu pour que seul un Utilisateur ayant l’accès complet au projet puisse y importer une source, lancer une exécution ou approuver une proposition de l’assistant. Le journal d’analyse est conçu pour qu’une entrée modifiée ou retirée soit détectée à sa vérification.

Sécurité physique. Les Données du Client sont hébergées dans les centres de données de Microsoft Azure, dont la sécurité physique est couverte par les certifications et rapports de Microsoft (article 6.1).

Chiffrement. Les données sont chiffrées en transit par TLS (version 1.2 ou supérieure) entre le Logiciel, les serveurs de NEXT BP et les Sous-traitants ultérieurs. Les bases de données, le stockage de fichiers et les sauvegardes sont chiffrés au repos par Microsoft Azure, avec des clés gérées par Microsoft. Les jetons d’accès des connecteurs Google Drive et Microsoft 365 sont en outre chiffrés par l’application avant leur stockage.

Pseudonymisation. Le Logiciel doit lire le contenu des documents pour fournir ses fonctions et ne le pseudonymise pas ; il en limite la conservation aux durées de l’Annexe 1.

Cloisonnement et contrôle d’accès. Les données de chaque organisation sont séparées logiquement, et le Logiciel est conçu pour vérifier chaque requête au regard de l’organisation et des droits de l’Utilisateur. Les Utilisateurs s’authentifient via WorkOS, avec authentification unique (SAML ou OpenID Connect) pour les organisations qui l’utilisent. L’accès aux systèmes de production est limité aux personnes de NEXT BP qui en ont besoin.

Gestion des clés et des secrets. Les secrets et clés de l’application sont tenus hors du code source. Les jetons des connecteurs sont chiffrés avec une clé réservée à cet usage.

Configuration des systèmes. Gestion des changements de l’infrastructure, avec revue des modifications.

Minimisation et suppression. Le contenu des documents n’est conservé que pendant les durées de l’Annexe 1 et il est supprimé par des purges automatiques, qui relancent toute suppression qui échoue. Azure OpenAI est configuré pour ne pas conserver les requêtes pour une consultation ultérieure (article 5.3) ; Microsoft conserve toutefois temporairement toutes les requêtes et toutes les réponses pour la surveillance des abus (article 5.4).

Portabilité et effacement. Export depuis le Logiciel (article 7.2), suppression automatique selon les durées de l’Annexe 1, et suppression ou restitution en fin de contrat (article 7.3).

Qualité des données. Le Logiciel est conçu pour relier, lorsque c’est possible, chaque résultat à sa source dans le document afin que l’Utilisateur le vérifie (article 5.6).

Journaux et télémétrie. Les journaux d’exploitation et les rapports d’erreur sont conçus pour ne pas contenir de contenu de document ; les journaux sont conservés pendant la durée fixée à l’Annexe 1. La mesure d’usage du produit enregistre des événements sans contenu de document et sans le détail par membre de l’article 2.5.

Sauvegardes et continuité. Les bases de données sont sauvegardées automatiquement et les sauvegardes sont conservées pendant la durée fixée à l’Annexe 1, ce qui permet une restauration après incident.

Gestion des vulnérabilités. NEXT BP publie une politique de divulgation des vulnérabilités (security [at] blast-audit.com), tient ses dépendances à jour et traite les vulnérabilités selon leur gravité.

Gestion des incidents. Les incidents sont traités par NEXT BP, qui notifie au Client les Violations de Données à caractère personnel conformément à l’article 4.8.

Gouvernance. Le président de NEXT BP est responsable de la sécurité et de la protection des données.

Certifications. À la date du présent DPA, NEXT BP détient un certificat ISO/IEC 27001:2022 pour Blast Audit (conception, développement, exploitation et support) et un rapport SOC 2 Type 2 sur Blast Audit, portant sur les critères de sécurité, de disponibilité et de confidentialité (Trust Services Criteria). Elle communique sur demande les certificats en cours de validité et ses rapports les plus récents, sous accord de confidentialité (article 6.1). Pour l’hébergement, NEXT BP s’appuie en outre sur les certifications de Microsoft Azure.

Annexe 3 — Sous-traitants ultérieurs

Liste au 28 octobre 2026.

A. Sous-traitants ultérieurs (Données du Client)

Les changements sont annoncés conformément à l’article 4.4.

Objet, nature et durée. L’objet et la nature du traitement figurent dans les colonnes « Service » et « Données à caractère personnel ». Chaque Sous-traitant ultérieur traite les Données du Client pendant la durée du Contrat principal, dans la limite des durées de conservation de l’Annexe 1, sauf : Azure OpenAI, qui ne conserve pas les requêtes ni les réponses pour une consultation ultérieure (article 5.3) mais les conserve toutes temporairement pour la surveillance des abus, sans durée fixée par le contrat de Microsoft (article 5.4) ; le service Azure AI de la zone de données UE, dont Microsoft peut conserver temporairement les requêtes et les réponses pour la surveillance des abus, sans engagement de Microsoft sur leur durée (article 5.4) ; Azure AI Content Understanding, dont les résultats sont supprimés après lecture et au plus tard 24 heures après la création de l’opération. Pour Azure OpenAI et pour le service Azure AI de la zone de données UE, l’article 5.4 indique qui, chez Microsoft, peut examiner ces requêtes et ces réponses, et quand Microsoft les supprime au plus tard.

B. Autres prestataires de NEXT BP (article 2.3), pour information

Ces prestataires traitent les données pour lesquelles NEXT BP agit en qualité de responsable du traitement (article 2.3). Ils ne sont pas des Sous-traitants ultérieurs au sens du présent DPA.

Annexe 4 — Transferts hors de l’Espace économique européen

A. Du Client vers NEXT BP. Le Client et NEXT BP sont établis dans l’Union européenne ; la communication des Données du Client à NEXT BP ne constitue pas un transfert vers un pays tiers. Si le Client est établi hors de l’Espace économique européen, les parties conviennent des garanties appropriées avant tout traitement.

B. De NEXT BP vers les Sous-traitants ultérieurs et les autres prestataires. Pour chaque Sous-traitant ultérieur ou autre prestataire de l’Annexe 3 établi aux États-Unis ou susceptible d’accéder aux données depuis ce pays :

• s’il est certifié au titre du Data Privacy Framework UE–États-Unis, le transfert repose sur la décision d’exécution (UE) 2023/1795 de la Commission du 10 juillet 2023 ;
• à défaut, ou en complément, le transfert est encadré par les clauses contractuelles types de la décision d’exécution (UE) 2021/914 de la Commission du 4 juin 2021, module trois (de sous-traitant à sous-traitant) pour les Données du Client, intégrées à l’accord de traitement des données du Sous-traitant ultérieur. Lorsque NEXT BP agit comme responsable du traitement (article 2.3), le module deux (de responsable du traitement à sous-traitant) s’applique.

C. Mesures supplémentaires. Les données sont chiffrées en transit et au repos ; les Données du Client hébergées par NEXT BP restent dans l’Union européenne ; seules les données nécessaires à chaque service sont transmises au Sous-traitant ultérieur.

D. Copie. Le Client peut obtenir une copie des garanties applicables à un Sous-traitant ultérieur en écrivant à privacy [at] blast-audit.com.