Accord de traitement des données

Le présent accord de traitement des données (le « DPA ») est conclu entre :

• NEXT BP, société par actions simplifiée au capital de 100 €, immatriculée au registre du commerce et des sociétés de Paris sous le numéro 920 753 233, dont le siège social est situé 127 rue de la Tour, 75016 Paris (« NEXT BP » ou le « Sous-traitant ») ; et
• la personne morale qui souscrit un abonnement à Blast Audit ou commence un essai gratuit (le « Client »).

Il fait partie intégrante des Conditions générales et du Contrat de licence utilisateur final (CLUF) (ensemble, le « Contrat principal »). Il fixe les conditions dans lesquelles NEXT BP traite des Données à caractère personnel pour le compte du Client lorsqu’elle fournit Blast Audit : le complément Excel, le tableau de bord web, les connecteurs vers le stockage en ligne du Client, le serveur MCP et l’agent d’engagement (ensemble, le « Logiciel »). Il constitue le contrat exigé par l’article 28 du RGPD.

Le présent DPA s’inspire des clauses contractuelles types de la décision d’exécution (UE) 2021/915 de la Commission, sans les reproduire là où une clause l’indique : l’Annexe 1 correspond à leurs annexes I et II, l’Annexe 2 à leur annexe III et l’Annexe 3 à leur annexe IV.

---

1. Définitions

Les termes définis par le RGPD (notamment « responsable du traitement », « sous-traitant », « Données à caractère personnel », « traitement », « Personne concernée », « Violation de Données à caractère personnel » et « autorité de contrôle ») ont le sens que leur donne le RGPD. En outre :

• « RGPD » désigne le règlement (UE) 2016/679 du 27 avril 2016.
• « Réglementation applicable » désigne le RGPD, la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, et toute autre disposition du droit de l’Union ou d’un État membre relative à la protection des données qui s’applique au traitement.
• « Données du Client » désigne les documents, fichiers, images, enregistrements audio, textes, instructions, feuilles de travail et résultats que le Client ou ses Utilisateurs soumettent au Logiciel ou que le Logiciel produit à partir d’eux, ainsi que les Données à caractère personnel qu’ils contiennent.
• « Sous-traitant ultérieur » désigne tout sous-traitant auquel NEXT BP fait appel pour mener des activités de traitement des Données du Client pour le compte du Client.
• « Utilisateurs » désigne les personnes que le Client autorise à utiliser le Logiciel.
• « Annexes » désigne les quatre annexes du présent DPA, qui en font partie intégrante.

Le présent DPA est lu et interprété à la lumière du RGPD. Il ne peut être interprété d’une manière contraire aux droits et obligations prévus par le RGPD ni d’une manière qui porte atteinte aux libertés ou droits fondamentaux des Personnes concernées.

---

2. Rôles et champ d’application

2.1 Le Client est responsable du traitement des Données à caractère personnel contenues dans les Données du Client. Il détermine les finalités du traitement et décide seul des documents que ses Utilisateurs soumettent au Logiciel. Lorsque le Client traite lui-même ces données en qualité de sous-traitant pour le compte d’un tiers, NEXT BP agit comme son sous-traitant ultérieur et le Client lui transmet les instructions qu’il reçoit.

2.2 NEXT BP est sous-traitant. Elle ne traite les Données du Client que pour fournir le Logiciel au Client, conformément au présent DPA.

2.3 Données hors du DPA. NEXT BP agit en qualité de responsable du traitement distinct, et non au titre du présent DPA, pour les données nécessaires à sa propre activité : comptes et authentification des Utilisateurs, facturation, demandes d’assistance, sécurité du service, mesure d’usage du produit et relations commerciales. Ces données sont décrites dans la Politique de confidentialité. Les métriques techniques d’usage (par exemple le nombre de pages traitées ou la durée d’une tâche) relèvent de cette catégorie : elles ne contiennent aucun contenu de document et NEXT BP ne les utilise que pour la facturation, les quotas, la sécurité et la fiabilité du service.

2.4 Portée. Le présent DPA est sans préjudice des obligations auxquelles le Client est soumis en qualité de responsable du traitement en vertu du RGPD. Il ne suffit pas à lui seul à encadrer les transferts hors de l’Espace économique européen, qui relèvent de l’article 8 et de l’Annexe 4.

---

3. Description du traitement

L’objet, la nature, la finalité et la durée du traitement, les types de Données à caractère personnel et les catégories de Personnes concernées sont décrits à l’Annexe 1. Le traitement dure aussi longtemps que le Contrat principal, puis jusqu’à la suppression ou la restitution des Données du Client prévue à l’article 7.

---

4. Obligations de NEXT BP

4.1 Instructions documentées. NEXT BP ne traite les Données du Client que sur instructions documentées du Client, y compris en ce qui concerne les transferts de Données à caractère personnel vers un pays tiers ou à une organisation internationale, à moins qu’elle ne soit tenue d’y procéder en vertu du droit de l’Union ou du droit de l’État membre auquel elle est soumise. Dans ce cas, NEXT BP informe le Client de cette obligation juridique avant le traitement, sauf si ce droit interdit une telle information pour des motifs importants d’intérêt public. Le Contrat principal, le présent DPA, les actions des Utilisateurs dans le Logiciel et les paramètres choisis par les administrateurs du Client (par exemple l’activation d’un connecteur) constituent les instructions documentées du Client. Le Client peut donner des instructions complémentaires pendant toute la durée du traitement ; elles sont toujours documentées, par exemple par e-mail à privacy [at] blast-audit.com. Si NEXT BP ne peut pas exécuter une instruction complémentaire avec les fonctions du Logiciel, elle en informe le Client sans délai et l’article 12 s’applique.

4.2 Instructions illicites. NEXT BP informe immédiatement le Client si, selon elle, une instruction constitue une violation du RGPD ou d’autres dispositions du droit de l’Union ou du droit des États membres relatives à la protection des données. NEXT BP peut suspendre l’exécution de cette instruction jusqu’à ce que le Client la confirme ou la modifie par écrit.

4.3 Confidentialité. NEXT BP veille à ce que les personnes autorisées à traiter les Données du Client se soient engagées à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité, et à ce qu’elles n’accèdent aux Données du Client que dans la mesure strictement nécessaire pour fournir le Logiciel, répondre à une demande d’assistance du Client ou traiter un incident.

4.4 Sous-traitants ultérieurs.

(a) Autorisation générale. Le Client donne à NEXT BP une autorisation écrite générale de recourir à des Sous-traitants ultérieurs. Les Sous-traitants ultérieurs engagés à la date du présent DPA figurent dans la partie A de l’Annexe 3, qui constitue la liste datée des sous-traitants ultérieurs de NEXT BP.

(b) Obligations des Sous-traitants ultérieurs. NEXT BP fait appel à chaque Sous-traitant ultérieur au moyen d’un contrat qui lui impose, en substance, les mêmes obligations en matière de protection des données que celles qui s’imposent à NEXT BP en vertu du présent DPA, notamment des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. NEXT BP veille à ce que chaque Sous-traitant ultérieur respecte ces obligations. NEXT BP demeure pleinement responsable devant le Client de l’exécution par ses Sous-traitants ultérieurs de leurs obligations et l’informe de tout manquement d’un Sous-traitant ultérieur à ses obligations contractuelles dont elle a connaissance.

(c) Changements. NEXT BP informe le Client de tout ajout ou remplacement envisagé d’un Sous-traitant ultérieur au moins trente (30) jours avant sa prise d’effet, par e-mail adressé au titulaire du compte du Client et par la publication d’une Annexe 3 mise à jour et datée. L’information précise le nom du Sous-traitant ultérieur, son rôle, le lieu du traitement et le mécanisme de transfert.

(d) Objection. Pendant ce délai de trente jours, le Client peut s’opposer au changement par écrit à privacy [at] blast-audit.com, pour des motifs raisonnables liés à la protection des Données à caractère personnel. NEXT BP et le Client recherchent alors de bonne foi une solution, par exemple une configuration dans laquelle le nouveau Sous-traitant ultérieur ne traite pas les données du Client. À défaut de solution avant la prise d’effet du changement, le Client peut résilier l’abonnement concerné, sans pénalité, avec effet à la date du changement. Il a alors droit au remboursement prévu à l’article 12.5.

(e) Copie des contrats. À la demande du Client, NEXT BP lui fournit une copie du contrat applicable conclu avec un Sous-traitant ultérieur, dans sa version en vigueur, et de ses modifications, y compris lorsque ce contrat est constitué des conditions standard publiées par celui-ci. NEXT BP peut en expurger les secrets d’affaires et les autres informations confidentielles, y compris des Données à caractère personnel.

(f) Disparition de NEXT BP. NEXT BP recourt aux conditions standard de ses Sous-traitants ultérieurs et ne peut pas y faire ajouter de clause au bénéfice du Client. Si NEXT BP a matériellement disparu, a cessé d’exister en droit ou est devenue insolvable, le Client peut demander à l’administrateur ou au liquidateur la suppression ou la restitution des Données du Client ; les Données du Client restent soumises aux durées de conservation de l’Annexe 1.

(g) Remplacement urgent. Lorsqu’un Sous-traitant ultérieur cesse son service ou met en danger la sécurité des Données du Client, NEXT BP peut le remplacer avec un préavis plus court. Aucune Donnée du Client n’est transmise au nouveau Sous-traitant ultérieur avant que le Client en soit informé. Le Client dispose ensuite des droits de l’article 4.4(d) pendant trente (30) jours. S’il s’oppose, NEXT BP cesse de lui transmettre les Données du Client par ce Sous-traitant ultérieur.

4.5 Sécurité. NEXT BP met en œuvre les mesures techniques et organisationnelles décrites à l’Annexe 2 afin de garantir un niveau de sécurité adapté au risque, conformément à l’article 32 du RGPD. NEXT BP peut faire évoluer ces mesures à condition de ne pas réduire le niveau global de protection.

4.6 Demandes des Personnes concernées. Compte tenu de la nature du traitement, NEXT BP aide le Client, par des mesures techniques et organisationnelles appropriées, dans toute la mesure du possible, à s’acquitter de son obligation de donner suite aux demandes des Personnes concernées qui exercent leurs droits (accès, rectification, effacement, limitation, portabilité, opposition). Si NEXT BP reçoit directement une telle demande, elle la transmet au Client dans les meilleurs délais et n’y répond pas elle-même, sauf pour indiquer à la Personne concernée que sa demande a été transmise.

4.7 Analyse d’impact et consultation préalable. Compte tenu de la nature du traitement et des informations à sa disposition, NEXT BP aide le Client à garantir le respect des obligations prévues aux articles 32 à 36 du RGPD. En particulier, elle fournit au Client, sur demande, les informations dont il a besoin pour réaliser une analyse d’impact relative à la protection des données (description du traitement, flux de données, Sous-traitants ultérieurs, durées de conservation, mesures de sécurité) et l’assiste dans toute consultation préalable de la CNIL ou d’une autre autorité de contrôle compétente. NEXT BP informe sans délai le Client si elle apprend que des Données à caractère personnel qu’elle traite pour son compte sont inexactes ou sont devenues obsolètes.

4.8 Violations de Données à caractère personnel.

(a) NEXT BP notifie au Client toute Violation de Données à caractère personnel affectant les Données du Client dans les meilleurs délais et dans un délai de 48 heures après en avoir pris connaissance, par e-mail adressé au titulaire du compte du Client.

(b) La notification contient, dans la mesure où ces informations sont connues à ce moment : la nature de la violation, y compris, si possible, les catégories et le nombre approximatif de Personnes concernées et d’enregistrements concernés ; le nom et les coordonnées du point de contact de NEXT BP (privacy [at] blast-audit.com) ; les conséquences probables de la violation ; et les mesures prises ou proposées par NEXT BP pour remédier à la violation et en atténuer les éventuelles conséquences négatives. Lorsque toutes les informations ne peuvent pas être fournies en même temps, NEXT BP les communique de manière échelonnée, sans autre retard indu.

(c) NEXT BP coopère avec le Client pour lui permettre de notifier l’autorité de contrôle et, le cas échéant, les Personnes concernées. NEXT BP ne procède pas à ces notifications au nom du Client, sauf instruction écrite de celui-ci.

(d) Lorsqu’une Violation de Données à caractère personnel concerne des données traitées par le Client lui-même, par exemple après la compromission du compte d’un Utilisateur, NEXT BP l’assiste, compte tenu de la nature du traitement et des informations dont elle dispose, pour notifier l’autorité de contrôle, réunir les informations exigées par l’article 33.3 du RGPD et, le cas échéant, communiquer la violation aux Personnes concernées.

4.9 Information. Les parties sont en mesure de démontrer le respect du présent DPA. NEXT BP traite rapidement et de manière appropriée les demandes du Client relatives au traitement des Données du Client et y répond dans un délai de dix (10) jours ouvrés. Elle met à la disposition du Client toutes les informations nécessaires pour démontrer le respect de l’article 28 du RGPD et du présent DPA, dans les conditions de l’article 6. Elle met ces informations, y compris les résultats de tout audit, à la disposition de l’autorité de contrôle compétente dès que celle-ci en fait la demande.

---

5. Intelligence artificielle

5.1 Aucun entraînement. NEXT BP n’utilise pas les Données du Client pour entraîner, ajuster (fine-tuning) ou améliorer de quelque manière que ce soit un modèle d’intelligence artificielle ou d’apprentissage automatique, qu’il s’agisse du sien ou de celui d’un tiers.

5.2 Fournisseurs d’IA. Sauf lorsque le Client utilise sa propre clé d’API (article 5.7), les modèles d’IA qui traitent les Données du Client sont exploités par Microsoft (Azure OpenAI, Azure AI Content Understanding, Azure AI Speech) dans le cadre des conditions de protection des données de Microsoft, selon lesquelles Microsoft n’utilise pas les Données du Client pour entraîner des modèles de fondation d’IA générative sans instructions documentées de NEXT BP, et NEXT BP ne donne pas de telles instructions. NEXT BP ne recourra à aucun autre fournisseur de modèles d’IA sans lui imposer la même interdiction d’entraîner des modèles avec les Données du Client, et uniquement dans les conditions de l’article 4.4. Lecture des pages scannées. Lorsqu’elle a lieu, la lecture d’une page par l’OCR standard de NEXT BP, un logiciel que NEXT BP exploite elle-même, s’exécute dans l’environnement Microsoft Azure qui héberge l’application (Annexe 3), dans la même région ; aucun prestataire d’OCR distinct n’effectue cette lecture. L’OCR standard ne lit pas toutes les pages. Azure AI Content Understanding lit chaque page scannée pour laquelle le résultat fourni au Client ne provient pas de l’OCR standard, notamment les pages relues, automatiquement ou à la demande d’un Utilisateur, toutes les pages d’une organisation qui n’est pas dans le déploiement de l’OCR standard, toutes les pages d’une région où il n’est pas disponible et toutes les pages envoyées par une version du complément qui ne le prend pas en charge. Azure AI Content Understanding peut aussi lire des pages que l’OCR standard lit, notamment pendant l’évaluation de celui-ci. Lorsque le Client utilise sa propre clé Azure (article 5.7), chaque page scannée est lue par la lecture avancée, avec la clé du Client, dans le cadre du contrat Azure du Client.

5.3 Pas de stockage des requêtes pour consultation ultérieure. Les requêtes envoyées à Azure OpenAI portent le paramètre store:false : le service ne conserve pas les requêtes ni les réponses pour une consultation ultérieure. NEXT BP n’utilise pas les fonctions de complétions stockées, d’assistants, de fichiers, de bases vectorielles, de traitement par lots ni d’ajustement d’Azure OpenAI. La surveillance des abus de l’article 5.4 conduit toutefois Microsoft à conserver temporairement toutes les requêtes et toutes les réponses.

5.4 Surveillance des abus par Microsoft. Microsoft conserve temporairement toutes les requêtes adressées à Azure OpenAI et toutes les réponses, pour détecter et prévenir les usages abusifs ou préjudiciables du service et de ses résultats (abuse monitoring). Le contrat de Microsoft ne fixe pas de durée à cette conservation. Seules les données qui ont déclenché ses systèmes automatisés peuvent être examinées par des employés habilités de Microsoft ; pour les déploiements relevant de la frontière de données de l’UE (EU Data Boundary), ces employés sont situés dans l’Espace économique européen. Les conditions de Microsoft (Privacy & Security Terms) permettent en outre à son personnel situé hors de cette frontière d’accéder à distance aux systèmes de traitement qui s’y trouvent, dans la mesure nécessaire pour exploiter, dépanner, assister et sécuriser ses services. Microsoft n’utilise pas ce contenu pour entraîner des modèles de fondation d’IA générative sans instructions documentées de son client, et NEXT BP ne donne pas de telles instructions (article 5.2). Le 2 octobre 2026, NEXT BP a demandé la surveillance des abus modifiée (modified abuse monitoring), qui supprime cette conservation ; Microsoft l’a refusée le 4 octobre 2026, car il la réserve aux clients suivis par ses équipes commerciales. Cette conservation a donc lieu.

5.5 Recherche web. L’agent Excel peut proposer une recherche web. La requête de recherche, rédigée par le modèle, est affichée à l’Utilisateur et n’est envoyée à Exa (Annexe 3) que si l’Utilisateur l’approuve. Elle peut contenir des noms ou des montants issus des Données du Client. La recherche web n’est plus proposée dans une conversation qui a utilisé les fonctions d’analyse de documents.

5.6 Aucune décision automatisée. Le Logiciel produit des propositions (valeurs extraites, réponses, classements, rapprochements) reliées aux mots du document source afin que l’Utilisateur puisse les vérifier. Il ne prend aucune décision produisant des effets juridiques à l’égard des Personnes concernées ou les affectant de manière significative de façon similaire : le Client et ses Utilisateurs valident chaque résultat et restent responsables de leurs conclusions.

5.7 Fournisseur choisi par le Client. Lorsque le Client enregistre dans le Logiciel une clé d’API d’un fournisseur d’IA ou d’OCR avec lequel il a lui-même contracté, les requêtes concernées sont envoyées à ce fournisseur, sous le compte du Client et aux conditions que le Client a acceptées. Ce fournisseur est choisi par le Client et lié à lui par son propre contrat : il n’est pas un Sous-traitant ultérieur de NEXT BP et ne figure pas à l’Annexe 3. Il appartient au Client de vérifier que ce contrat satisfait à l’article 28 du RGPD et, en cas de transfert, au chapitre V. Les articles 5.2 à 5.4 ne s’appliquent pas à ces requêtes ; l’article 5.1 continue de s’appliquer à NEXT BP. Le Client peut retirer sa clé à tout moment ; les requêtes suivantes reviennent aux fournisseurs de l’Annexe 3.

---

6. Audits

6.1 Documentation d’abord. Sur demande, NEXT BP fournit au Client la documentation qui démontre sa conformité : le présent DPA et ses Annexes, les réponses à un questionnaire de sécurité raisonnable, et les certifications et rapports que Microsoft met à disposition pour ses services d’hébergement (rapport SOC 3 et certificats ISO publiés sur le Service Trust Portal de Microsoft).

6.2 Audit sur place. Si le Client estime raisonnablement que cette documentation ne suffit pas à démontrer le respect du présent DPA, il peut réaliser, lui-même ou par l’intermédiaire d’un auditeur indépendant tenu à la confidentialité et non concurrent de NEXT BP, un audit sur place ou par accès à distance, au plus une fois par période de douze mois, moyennant un préavis écrit d’au moins trente (30) jours. Le périmètre, la date et la durée sont convenus à l’avance. L’audit se déroule pendant les heures ouvrées, sans perturber de manière déraisonnable l’activité de NEXT BP et sans accès aux données des autres clients ni aux installations des Sous-traitants ultérieurs, qui sont couvertes par leurs propres rapports d’audit.

6.3 Audits supplémentaires. La limite d’un audit par an ne s’applique pas à un audit exigé par une autorité de contrôle, à un audit réalisé à la suite d’une Violation de Données à caractère personnel affectant les Données du Client, ni à un audit justifié par des indices sérieux de non-conformité de NEXT BP au présent DPA, que le Client indique par écrit. Pour ces audits, le préavis est réduit à dix (10) jours ouvrés.

6.4 Frais. Chaque partie supporte ses propres frais. Le Client supporte le coût de l’audit et de son auditeur, sauf si l’audit révèle un manquement significatif de NEXT BP à ses obligations au titre du présent DPA, auquel cas NEXT BP supporte les frais raisonnables de l’audit. NEXT BP corrige sans retard indu tout manquement constaté.

---

7. Fin du traitement : restitution et suppression

7.1 Données déjà supprimées en cours d’abonnement. La plupart des Données du Client sont supprimées en cours d’abonnement selon les durées de conservation de l’Annexe 1 : le contenu des documents soumis à l’OCR, à l’analyse ou à l’agent Excel est supprimé au plus tard 24 heures après son import, dans les copies que NEXT BP contrôle. Les requêtes et les réponses que Microsoft conserve temporairement pour la surveillance des abus n’en relèvent pas (article 5.4). Les classeurs restent dans les fichiers Excel du Client.

7.2 Export. Jusqu’à la fin du Contrat principal, le Client peut exporter depuis le Logiciel les données que NEXT BP détient encore, notamment les engagements de l’agent d’engagement.

7.3 Suppression. À la fin du Contrat principal, NEXT BP supprime l’ensemble des Données du Client dans un délai de trente (30) jours, sauf si le Client demande, dans ce délai, la restitution des données encore détenues ; NEXT BP les lui restitue alors dans un format structuré et couramment utilisé, puis les supprime. Les copies contenues dans les sauvegardes de base de données disparaissent à l’expiration de ces sauvegardes, dans les sept (7) jours suivant la suppression. NEXT BP n’en conserve aucune copie, à moins que le droit de l’Union ou le droit de l’État membre n’exige la conservation des Données à caractère personnel. Les requêtes et les réponses que Microsoft conserve temporairement pour la surveillance des abus (article 5.4) relèvent des conditions de Microsoft ; elles ne sont pas couvertes par la suppression dans le délai de trente (30) jours ci-dessus, parce que NEXT BP ne peut pas les supprimer pour chaque Client ; le contrat de Microsoft ne fixe pas de durée à cette conservation.

7.4 Attestation. Sur demande, NEXT BP remet au Client une attestation de suppression écrite.

---

8. Transferts hors de l’Espace économique européen

8.1 Les Données du Client sont hébergées et traitées dans l’Union européenne, à l’exception des transferts décrits à l’Annexe 4. En acceptant le présent DPA, le Client donne instruction à NEXT BP d’effectuer ces transferts. NEXT BP n’effectue aucun autre transfert vers un pays tiers ou une organisation internationale, sauf sur instructions documentées du Client ou pour satisfaire à une exigence du droit de l’Union ou du droit de l’État membre auquel elle est soumise, et toujours conformément au chapitre V du RGPD.

8.2 Lorsqu’un Sous-traitant ultérieur est établi hors de l’Espace économique européen, ou peut accéder aux données depuis l’extérieur de celui-ci, le transfert est couvert par la décision d’adéquation de la Commission européenne relative au cadre de protection des données UE–États-Unis (Data Privacy Framework) pour les destinataires certifiés, ou par les clauses contractuelles types adoptées par la décision d’exécution (UE) 2021/914 de la Commission. L’Annexe 4 indique le mécanisme utilisé pour chaque destinataire. Le Client peut obtenir une copie de ces garanties en écrivant à privacy [at] blast-audit.com.

---

9. Obligations du Client

9.1 Le Client s’assure que le traitement qu’il confie à NEXT BP repose sur une base légale et que les Personnes concernées ont reçu l’information exigée par les articles 13 et 14 du RGPD.

9.2 Le Client ne soumet au Logiciel que les documents nécessaires à ses missions. Les documents traités peuvent contenir de façon incidente des catégories particulières de Données à caractère personnel ou des données relatives aux condamnations pénales et aux infractions (par exemple une ligne d’arrêt maladie sur un bulletin de paie ou une décision de justice dans un dossier de contentieux). Le Client reste responsable de la décision de les soumettre ; NEXT BP leur applique les garanties supplémentaires décrites à l’Annexe 1.

9.3 Les instructions du Client sont conformes à la Réglementation applicable. Le Client désigne le titulaire de son compte comme interlocuteur de NEXT BP pour le présent DPA et tient son adresse e-mail à jour dans le Logiciel.

---

10. Responsabilité

Chaque partie est responsable des dommages qu’elle cause en violation du présent DPA dans les conditions et limites du Contrat principal, y compris le plafond spécifique aux manquements aux obligations de protection des données prévu à l’article 11 des Conditions générales. Ces limites ne s’appliquent ni aux droits des Personnes concernées au titre de l’article 82 du RGPD, ni aux amendes administratives prononcées contre une partie, qui restent à la charge de celle-ci.

---

11. Primauté, durée et droit applicable

11.1 Primauté. En cas de contradiction entre le présent DPA et toute stipulation d’un autre accord conclu entre les parties, avant ou après le présent DPA, y compris les Conditions générales, le CLUF et tout bon de commande ou devis, le DPA prévaut pour tout ce qui concerne le traitement des Données à caractère personnel. Une stipulation qui protège davantage les Données à caractère personnel ne constitue pas une contradiction.

11.2 Durée. Le présent DPA s’applique à compter de l’acceptation des Conditions générales par le Client, y compris au début d’un essai gratuit, et reste en vigueur aussi longtemps que NEXT BP traite des Données du Client.

11.3 Signature. Une version du présent DPA signée par NEXT BP peut être obtenue sur demande à privacy [at] blast-audit.com.

11.4 Langue. Le présent DPA est publié en français, en anglais et en espagnol. En cas de divergence, la version française prévaut.

11.5 Droit applicable. Le présent DPA est régi par le droit français. Tout litige qui s’y rapporte relève de la compétence des juridictions désignées dans les Conditions générales.

11.6 Modification. NEXT BP informe le Client de toute modification du présent DPA au moins trente (30) jours avant sa prise d’effet, par e-mail adressé au titulaire du compte du Client. Une modification ne peut pas réduire la protection des Données du Client sans l’accord écrit du Client. La mise à jour de l’Annexe 3 suit l’article 4.4.

---

12. Non-respect du DPA et résiliation

12.1 Suspension. Sans préjudice du RGPD, si NEXT BP manque à ses obligations au titre du présent DPA, le Client peut lui donner instruction par écrit de suspendre le traitement des Données du Client jusqu’à ce qu’elle s’y conforme ou jusqu’à la résiliation. NEXT BP informe rapidement le Client si elle n’est pas en mesure de respecter le présent DPA, pour quelque raison que ce soit.

12.2 Résiliation par le Client. Le Client peut résilier le Contrat principal, en ce qu’il concerne le traitement des Données à caractère personnel, par e-mail à privacy [at] blast-audit.com, avec effet immédiat, si :

(a) le traitement a été suspendu en application de l’article 12.1 et le respect du présent DPA n’est pas rétabli dans un délai raisonnable et, en tout état de cause, dans un délai d’un mois à compter de la suspension ;

(b) NEXT BP manque gravement ou de manière persistante au présent DPA ou à ses obligations au titre du RGPD ;

(c) NEXT BP ne se conforme pas à une décision contraignante d’une juridiction compétente ou de l’autorité de contrôle compétente concernant ses obligations au titre du présent DPA ou du RGPD.

Le délai de trente jours pour remédier prévu à l’article 13.3 des Conditions générales et à l’article 8.2 du CLUF ne s’applique pas à ces cas.

12.3 Résiliation par NEXT BP. NEXT BP peut résilier le Contrat principal, en ce qu’il concerne le traitement des Données à caractère personnel, lorsque, après avoir informé le Client qu’une instruction enfreint la Réglementation applicable (article 4.2), le Client maintient cette instruction.

12.4 Suite de la résiliation. L’article 7 s’applique.

12.5 Remboursement. Lorsque le Client résilie en application de l’article 4.4(d) ou de l’article 12.2, NEXT BP lui rembourse la part des redevances d’abonnement payées d’avance qui correspond à la période restant à courir après la date d’effet de la résiliation, calculée au prorata du nombre de jours. Le remboursement intervient dans les trente (30) jours suivant la date d’effet, sur le moyen de paiement utilisé. Il est sans préjudice des autres droits et recours du Client.

---

Annexe 1 — Description du traitement

Parties. Responsable du traitement : le Client, identifié par les informations qu’il fournit lors de son inscription et de sa souscription. Personne de contact : le titulaire du compte, à l’adresse e-mail enregistrée dans le Logiciel, ou la personne que le Client désigne à privacy [at] blast-audit.com ; délégué à la protection des données : celui que le Client indique, le cas échéant. Date d’adhésion : date d’acceptation des Conditions générales. Sous-traitant : NEXT BP, société par actions simplifiée (SAS), 127 rue de la Tour, 75016 Paris, France, RCS Paris 920 753 233. Personne de contact : le président de NEXT BP, privacy [at] blast-audit.com. NEXT BP n’a pas désigné de délégué à la protection des données.

Catégories de Personnes concernées. Personnes physiques dont les données figurent dans les documents soumis par le Client : dirigeants, salariés, associés, clients, fournisseurs et autres contreparties des entités que le Client audite ou conseille, titulaires de comptes bancaires, signataires ; et les Utilisateurs du Client, dans la mesure où leur nom ou leurs actions figurent dans les Données du Client (par exemple dans le journal des tâches d’un engagement).

Catégories de Données à caractère personnel. Données d’identification et de contact ; données professionnelles (fonction, employeur) ; données financières et bancaires (numéros de compte, soldes, opérations, factures, paiements) ; données de paie et de ressources humaines figurant sur les bulletins et les journaux de paie, qui peuvent comprendre le numéro de sécurité sociale ; données fiscales ; données contractuelles ; signatures ; toute autre donnée contenue dans les documents soumis ; enregistrements de la voix des Utilisateurs lorsqu’ils utilisent la saisie vocale, et les transcriptions qui en résultent.

Catégories particulières de données et données relatives aux infractions. Non recherchées. Elles peuvent figurer de façon incidente dans les documents (par exemple des données de santé sur un bulletin de paie, une cotisation syndicale ou une décision de justice). Garanties supplémentaires : traitement limité à la tâche demandée par l’Utilisateur ; conservation limitée aux durées ci-dessous ; accès du personnel de NEXT BP limité aux cas prévus à l’article 4.3 ; mesures de l’Annexe 2.

Fréquence. Continue, à chaque action d’un Utilisateur ou de l’agent d’engagement.

Nature du traitement. Réception, hébergement, reconnaissance optique de caractères (OCR), analyse par des modèles d’IA, extraction de valeurs, réponses aux questions sur les documents, classement, rapprochement entre feuilles de travail et documents, recherche web approuvée par l’Utilisateur, transcription de la saisie vocale, affichage, export et suppression.

Finalité. Fournir les fonctions du Logiciel demandées par les Utilisateurs : lecture et analyse des pièces d’audit, extraction de valeurs dans les feuilles de travail, rattachement de chaque valeur à sa source, exécution des tâches de l’agent d’engagement, import de fichiers depuis le stockage en ligne du Client (Google Drive, Microsoft 365), et réponse aux requêtes des assistants d’IA que le Client connecte au serveur MCP.

Durée du traitement. La durée du Contrat principal, puis jusqu’à la suppression ou la restitution des Données du Client prévue à l’article 7 ; pour chaque catégorie de données, les durées de conservation ci-dessous s’appliquent.

Durées de conservation.

Annexe 2 — Mesures techniques et organisationnelles

Hébergement et localisation. L’application, les bases de données et le stockage de fichiers sont hébergés sur Microsoft Azure dans la région France Central (Paris). Une partie du stockage de fichiers est géorépliquée dans la région France South (Marseille). Les traitements d’IA et la lecture avancée des pages scannées (article 5.2) s’exécutent sur des ressources Microsoft situées dans la région Sweden Central, dans la zone de données Union européenne (EU Data Zone). La lecture standard d’une page scannée, lorsqu’elle a lieu, est effectuée par un logiciel que NEXT BP exploite elle-même, dans l’environnement Microsoft Azure qui héberge l’application et dans la même région ; aucun prestataire d’OCR distinct n’intervient.

Sécurité physique. Les Données du Client sont hébergées dans les centres de données de Microsoft Azure, dont la sécurité physique est couverte par les certifications et rapports de Microsoft (article 6.1).

Chiffrement. Les données sont chiffrées en transit par TLS (version 1.2 ou supérieure) entre le Logiciel, les serveurs de NEXT BP et les Sous-traitants ultérieurs. Les bases de données, le stockage de fichiers et les sauvegardes sont chiffrés au repos par Microsoft Azure, avec des clés gérées par Microsoft. Les jetons d’accès des connecteurs Google Drive et Microsoft 365 sont en outre chiffrés par l’application avant leur stockage.

Pseudonymisation. Le Logiciel doit lire le contenu des documents pour fournir ses fonctions et ne le pseudonymise pas ; il en limite la conservation aux durées de l’Annexe 1.

Cloisonnement et contrôle d’accès. Les données de chaque organisation sont séparées logiquement et chaque requête est vérifiée au regard de l’organisation et des droits de l’Utilisateur. Les Utilisateurs s’authentifient via WorkOS, avec authentification unique (SAML ou OpenID Connect) pour les organisations qui l’utilisent. L’accès aux systèmes de production est limité aux personnes nommément désignées de NEXT BP qui en ont besoin.

Gestion des clés et des secrets. Les secrets et clés de l’application sont conservés dans les coffres de secrets de Microsoft Azure (secrets de Container Apps et Azure Key Vault), et non dans le code source. Les jetons des connecteurs sont chiffrés avec une clé réservée à cet usage.

Configuration des systèmes. L’infrastructure est décrite en code (Terraform) et chaque modification est revue avant son déploiement.

Minimisation et suppression. Le contenu des documents n’est conservé que pendant les durées de l’Annexe 1 et il est supprimé par des purges automatiques, qui relancent toute suppression qui échoue. Les requêtes à Azure OpenAI sont envoyées avec store:false (article 5.3) ; Microsoft conserve toutefois temporairement toutes les requêtes et toutes les réponses pour la surveillance des abus (article 5.4).

Portabilité et effacement. Export depuis le Logiciel (article 7.2), suppression automatique selon les durées de l’Annexe 1, et suppression ou restitution en fin de contrat (article 7.3).

Qualité des données. Chaque résultat est relié à sa source dans le document afin que l’Utilisateur le vérifie (article 5.6).

Journaux et télémétrie. Les journaux d’exploitation et les rapports d’erreur sont conçus pour ne pas contenir de contenu de document ; les journaux sont conservés 30 jours. La mesure d’usage du produit enregistre des événements sans contenu de document.

Sauvegardes et continuité. Les bases de données sont sauvegardées automatiquement et les sauvegardes sont conservées 7 jours, ce qui permet une restauration après incident.

Gestion des vulnérabilités. NEXT BP publie une politique de divulgation des vulnérabilités (security [at] blast-audit.com), tient ses dépendances à jour et corrige les vulnérabilités selon leur gravité.

Gestion des incidents. Les incidents sont traités par NEXT BP, qui notifie au Client les Violations de Données à caractère personnel conformément à l’article 4.8.

Gouvernance. Le président de NEXT BP est responsable de la sécurité et de la protection des données.

Certifications. NEXT BP détient un certificat ISO/IEC 27001:2022 pour Blast Audit (conception, développement, exploitation et support), délivré le 27 août 2026 par Sensiba Australia Pty Ltd et communiqué sur demande (article 6.1). Pour l’hébergement, elle s’appuie en outre sur les certifications de Microsoft Azure.

Annexe 3 — Sous-traitants ultérieurs

Liste au 5 octobre 2026.

A. Sous-traitants ultérieurs (Données du Client)

Les changements sont annoncés conformément à l’article 4.4.

Objet, nature et durée. L’objet et la nature du traitement figurent dans les colonnes « Service » et « Données à caractère personnel ». Chaque Sous-traitant ultérieur traite les Données du Client pendant la durée du Contrat principal, dans la limite des durées de conservation de l’Annexe 1, sauf : Azure OpenAI, qui ne conserve pas les requêtes ni les réponses pour une consultation ultérieure (article 5.3) mais les conserve toutes temporairement pour la surveillance des abus, sans durée fixée par le contrat de Microsoft (article 5.4) ; Azure AI Content Understanding, dont les résultats sont supprimés après lecture et au plus tard 24 heures après la création de l’opération.

B. Autres prestataires de NEXT BP (article 2.3), pour information

Ces prestataires traitent les données pour lesquelles NEXT BP agit en qualité de responsable du traitement (article 2.3). Ils ne sont pas des Sous-traitants ultérieurs au sens du présent DPA.

Annexe 4 — Transferts hors de l’Espace économique européen

A. Du Client vers NEXT BP. Le Client et NEXT BP sont établis dans l’Union européenne ; la communication des Données du Client à NEXT BP ne constitue pas un transfert vers un pays tiers. Si le Client est établi hors de l’Espace économique européen, les parties conviennent des garanties appropriées avant tout traitement.

B. De NEXT BP vers les Sous-traitants ultérieurs et les autres prestataires. Pour chaque Sous-traitant ultérieur ou autre prestataire de l’Annexe 3 établi aux États-Unis ou susceptible d’accéder aux données depuis ce pays :

• s’il est certifié au titre du Data Privacy Framework UE–États-Unis, le transfert repose sur la décision d’exécution (UE) 2023/1795 de la Commission du 10 juillet 2023 ;
• à défaut, ou en complément, le transfert est encadré par les clauses contractuelles types de la décision d’exécution (UE) 2021/914 de la Commission du 4 juin 2021, module trois (de sous-traitant à sous-traitant) pour les Données du Client, intégrées à l’accord de traitement des données du Sous-traitant ultérieur. Lorsque NEXT BP agit comme responsable du traitement (article 2.3), le module deux (de responsable du traitement à sous-traitant) s’applique.

C. Mesures supplémentaires. Les données sont chiffrées en transit et au repos ; les Données du Client hébergées par NEXT BP restent dans l’Union européenne ; seules les données nécessaires à chaque service sont transmises au Sous-traitant ultérieur.

D. Copie. Le Client peut obtenir une copie des garanties applicables à un Sous-traitant ultérieur en écrivant à privacy [at] blast-audit.com.