Accord de traitement des données
11 octobre 2026
Cet accord complète les conditions d’utilisation et en fait partie. Il encadre, conformément à l’article 28 du RGPD, les traitements de données personnelles réalisés par Kilian Bodet--Canac, entrepreneur individuel (EI), exerçant sous le nom commercial GetYourStack, SIREN 101 741 965 (« Munimen », le sous-traitant), pour le compte du client (le responsable de traitement).
1. Description du traitement
| Objet | Fourniture du service Munimen au client |
| Nature | Hébergement, synchronisation des outils connectés, indexation, extraction et structuration des contenus, recherche, génération de réponses sourcées |
| Durée | La durée des conditions d’utilisation, puis jusqu’à la suppression prévue à la section 9 |
| Données | Contenus des outils connectés et des fichiers importés, conversations, mémoire, comptes des membres de l’organisation |
| Personnes concernées | Membres de l’organisation du client, et toute personne mentionnée dans les contenus du client (salariés, clients, partenaires) |
Le client ne transmet pas de données sensibles au sens de l’article 9 du RGPD, sauf s’il en a la base légale et en a informé Munimen.
2. Instructions du client
Munimen ne traite les données que sur instruction documentée du client : les conditions d’utilisation, le présent accord et les réglages faits dans le Service (outils connectés, espaces, droits, modèle choisi). Si une instruction lui paraît contraire au droit applicable, Munimen en informe le client.
Les données du client ne sont jamais utilisées pour entraîner un modèle d’IA, ni par Munimen ni par ses sous-traitants.
3. Modèles d’IA
La recherche, l’indexation et le classement des contenus reposent sur des modèles exécutés par Munimen sur son infrastructure en France. L’extraction et la structuration des contenus, ainsi que les réponses par défaut, utilisent Mistral AI, dans l’Union européenne.
Le client peut choisir un autre modèle pour générer les réponses, sur son propre compte (par exemple OpenAI, Anthropic, Google, Azure OpenAI, Amazon Bedrock ou Ollama). Ce fournisseur reçoit alors les questions et les passages utiles à la réponse ; ce transfert est réalisé sur instruction du client, sous le contrat qui le lie à ce fournisseur. Le reste du traitement des données reste assuré par Munimen et Mistral AI.
4. Confidentialité
Toute personne autorisée à traiter les données du client est tenue à la confidentialité. Les accès aux données de production sont limités aux personnes qui en ont besoin.
5. Sécurité
Munimen met en œuvre et maintient notamment les mesures suivantes :
- hébergement dans la région AWS de Paris (France) ;
- chiffrement en transit et au repos ; les contenus indexés sont chiffrés avec une clé dédiée à chaque organisation, gérée par AWS KMS ;
- isolation des données de chaque organisation dans un schéma de base de données distinct ;
- droits d’accès définis par espace, authentification forte (SSO SAML et OIDC, double authentification, passkeys) ;
- sauvegardes quotidiennes conservées sept jours ;
- en option, sur demande : clé gérée par le client hors d’AWS (XKS) et traitement dans des enclaves isolées AWS Nitro.
6. Sous-traitants ultérieurs
Le client autorise Munimen à faire appel aux sous-traitants ultérieurs suivants. Munimen leur impose par contrat des obligations équivalentes à celles du présent accord et reste responsable de leurs actes.
| Sous-traitant | Rôle | Localisation | Garantie |
|---|---|---|---|
| Amazon Web Services EMEA SARL (Luxembourg) | Hébergement, base de données, fichiers, chiffrement, sauvegardes et calcul de nos modèles internes | Paris, France | Union européenne |
| Mistral AI (France) | Modèle de réponse par défaut, extraction et structuration des contenus | Union européenne | Union européenne |
| Nango (États-Unis) | Connexion aux outils du client (OAuth) et relais des appels vers ces outils | États-Unis | Clauses contractuelles types |
| Firecrawl (États-Unis) | Lecture des sites web publics ajoutés par le client et recherche web | États-Unis | Clauses contractuelles types |
| Resend (États-Unis) | Envoi des e-mails du Service (vérification, invitations, notifications) | Envoi depuis l’Irlande ; compte et journaux aux États-Unis | Clauses contractuelles types |
| Stripe Payments Europe Ltd (Irlande) | Paiement, taxes et facturation | Irlande, États-Unis | Data Privacy Framework et clauses contractuelles types |
| PostHog, Inc. (EU Cloud) | Mesure d’usage du Service | Allemagne | Union européenne |
| Better Stack | Journaux techniques, supervision et page de statut | Union européenne | Union européenne |
| Featurebase (CORDNET OÜ, Estonie) | Support, retours et nouveautés | Pays-Bas, Allemagne, Irlande | Union européenne |
| Better Auth, Inc. (États-Unis) | Sécurité des connexions : détection des abus et des mots de passe compromis | États-Unis | Clauses contractuelles types |
Munimen informe le client de tout ajout ou remplacement au moins trente jours à l’avance. Le client peut s’y opposer pour un motif raisonnable lié à la protection des données ; à défaut d’accord, il peut résilier sans frais.
7. Transferts hors de l’Union européenne
Les transferts vers un pays tiers sont encadrés par les clauses contractuelles types de la Commission européenne (décision 2021/914), ou par le Data Privacy Framework pour les sociétés certifiées, complétés si nécessaire de mesures supplémentaires.
8. Assistance au client
Munimen aide le client, dans la mesure du possible, à répondre aux demandes d’exercice des droits des personnes, notamment grâce aux fonctions d’export et de suppression du Service, et à mener ses analyses d’impact et consultations préalables.
Munimen notifie au client toute violation de données personnelles dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, à l’adresse de contact de l’organisation, avec les informations disponibles pour sa propre notification.
9. Fin du traitement
À la fin du Service, le client dispose de trente jours pour exporter ses contenus. Les données sont ensuite supprimées des systèmes actifs, la clé de chiffrement dédiée à l’organisation est détruite, et les données disparaissent des sauvegardes sous trente jours, sauf obligation légale de conservation.
10. Audit
Munimen met à la disposition du client les informations nécessaires pour démontrer le respect du présent accord. Le client peut réaliser un audit une fois par an, à ses frais, avec un préavis de trente jours, par un auditeur tenu à la confidentialité et sans accès aux données des autres clients.
11. Dispositions générales
La responsabilité des parties au titre du présent accord suit les conditions d’utilisation. Le présent accord est régi par le droit français ; les tribunaux compétents de Paris sont seuls compétents.
Contact : privacy@munimen.ai, ou Kilian Bodet--Canac, 60 rue François Ier, 75008 Paris, France.
