Accord de traitement des données (DPA)

Objet

Le DPA définit les conditions dans lesquelles Mornn traite, sur les instructions documentées de l'organisation cliente, les données personnelles nécessaires à la fourniture du service de veille : gestion des comptes, génération et envoi des briefs, suivi de lecture lorsqu'il est activé, facturation et journaux techniques. Aucun traitement n'est réalisé à d'autres fins.

Rôles des parties

Responsable de traitement

L'organisation cliente (l'employeur). Elle définit le périmètre métier, les finalités et active ou non la mesure d'ouverture, que chaque salarié autorise ensuite individuellement.

Sous-traitant

Mornn. Traite les données pour le seul compte du responsable, selon ses instructions documentées et le présent accord.

Nature du traitement, données et personnes concernées

Personnes concernées : les salariés bénéficiaires désignés par l'organisation, ses administrateurs du back-office et ses contacts de facturation.

Données traitées : identité professionnelle (nom, prénom, email professionnel), service, domaines suivis, niveau et ton de lecture, objectif de lecture saisi par le salarié, statut de livraison de chaque brief, ouvertures pour les seuls salariés qui les ont autorisées, jeton d'accès chiffré à l'agenda si le salarié l'a connecté, journaux techniques et journal d'audit des actions du back-office. Aucune donnée sensible au sens de l'article 9 du RGPD n'est collectée.

Opérations : collecte à l'invitation, hébergement, génération quotidienne des briefs, envoi par email, comptage de la livraison, restitution agrégée à l'organisation, suppression. Le traitement est automatisé, sans décision produisant d'effet juridique sur les personnes.

Obligations du sous-traitant

• Ne traiter les données que sur instructions documentées du responsable de traitement.
• Garantir la confidentialité : seules les personnes habilitées et tenues à un engagement de confidentialité accèdent aux données.
• Assister le responsable dans la réponse aux demandes d'exercice des droits et dans ses obligations de sécurité, de notification et d'analyse d'impact.
• Mettre à disposition les informations nécessaires pour démontrer le respect de l'article 28 et permettre des audits raisonnables.

Sécurité des données

Mornn met en œuvre des mesures techniques et organisationnelles adaptées au risque : chiffrement des secrets et des données sensibles, cloisonnement par organisation, journalisation des accès et minimisation. L'application et la base de données sont hébergées en France (OVH), hors champ du CLOUD Act. L'IA ne traite, en Union européenne, qu'un profil métier structuré (intitulé de service ou objectif de lecture, domaines, niveau, ton) et des articles publics : aucun identifiant de compte, ni nom, ni email, ni adresse IP ne lui sont transmis.

Les modèles sont exécutés par AWS dans des comptes de déploiement auxquels leur éditeur n'a pas accès : ni les requêtes ni les réponses ne lui sont transmises, aucune n'est conservée par défaut par le service, et aucune donnée traitée pour l'organisation ne sert à entraîner un modèle, ni chez Mornn ni chez ses sous-traitants.

Sauvegardes : copie quotidienne chiffrée de la base de données, clé de déchiffrement détenue par Mornn seul, stockée hors du serveur de production sur un site français distinct, avec une seconde copie chiffrée en Union européenne. Rétention de 30 jours glissants, test de restauration mensuel. Perte de données maximale en cas de sinistre : 24 heures. Remise en service visée : environ 2 heures.

Sous-traitants ultérieurs

Annexe 3 du DPA · localisation des données. Tout changement est notifié à l'organisation, qui peut s'y opposer.

Transferts hors Union européenne : aucun. Mornn contracte avec les entités européennes de ses sous-traitants et les données restent dans l'Union. Deux d'entre eux appartiennent à des groupes américains (AWS, Microsoft) ; si un transfert résiduel devait avoir lieu, il serait encadré par les clauses contractuelles types de la Commission européenne. Mornn ne fait appel à aucun autre sous-traitant ultérieur.

Droits des personnes concernées

Les salariés exercent leurs droits (accès, portabilité, effacement, opposition) auprès de leur organisation, responsable de traitement. Mornn relaie ces demandes et fournit les outils nécessaires : export des données au format JSON depuis l'espace salarié, retrait à tout moment de l'accord à la mesure d'ouverture, et suppression du compte exécutée par l'administrateur de l'organisation.

Notification de violation

En cas de violation de données affectant les traitements couverts par le présent accord, Mornn en informe le responsable de traitement sans retard injustifié et au plus tard 48 heures après en avoir pris connaissance, et lui communique les éléments utiles pour respecter ses obligations de notification au titre des articles 33 et 34 du RGPD.

Durée et sort des données

Le DPA s'applique pendant toute la durée du contrat SaaS. À son terme, et selon le choix du responsable de traitement, Mornn restitue les données sur demande, au format CSV ou JSON sous 30 jours, puis les supprime, ainsi que les copies existantes, sauf obligation légale de conservation. Le contenu des briefs est effacé après 90 jours et les briefs supprimés après 13 mois, avec les ouvertures qui leur sont rattachées ; les journaux techniques sont conservés 90 jours, le journal d'audit et l'historique de livraison pendant la durée du contrat, les sauvegardes 30 jours glissants. La suppression d'un salarié par l'organisation efface son compte, ses préférences et ses briefs sous 7 jours.