ACCORD RELATIF AU TRAITEMENT DES DONNÉES PERSONNELLES

DATA PROCESSING AGREEMENT — ENGINORA

Version 1.0
Date d’effet : 1er septembre 2026

Le présent accord relatif au traitement des données personnelles, ci-après le “DPA”, complète les Conditions Générales de Vente et d’Utilisation d’Enginora.

Il régit les traitements de données à caractère personnel réalisés par I AND YOO pour le compte du Client dans le cadre de l’utilisation d’Enginora.

1. PARTIES

1.1 Sous-traitant

Le Service Enginora est édité par :

I AND YOO
Société par actions simplifiée au capital de 3 000 euros
105 avenue des Grésillons
92230 Gennevilliers
France

SIREN : 831 208 277
SIRET : 831 208 277 00028
RCS Nanterre
TVA intracommunautaire : FR59831208277

Contact contractuel : formulaire de contact
Contact protection des données : privacy@iandyoo.com

Ci-après “Enginora”, “I AND YOO” ou le “Sous-traitant”.

1.2 Client

Le “Client” désigne la personne physique ou morale agissant à titre professionnel qui utilise Enginora conformément aux CGV.

Lorsque le Client détermine les finalités et les moyens d’un traitement de données personnelles réalisé à l’aide d’Enginora, il agit en qualité de responsable du traitement.

Lorsqu’une agence, un consultant ou un autre prestataire utilise Enginora pour le compte de son propre client, I AND YOO peut intervenir comme sous-traitant ultérieur dans la chaîne de traitement.

2. OBJET

Le présent DPA définit les conditions dans lesquelles I AND YOO traite des données personnelles pour le compte du Client conformément notamment à l’article 28 du règlement (UE) 2016/679, dit “RGPD”.

Le DPA s’applique uniquement aux traitements pour lesquels I AND YOO agit pour le compte du Client.

Il ne s’applique pas aux traitements pour lesquels I AND YOO détermine elle-même les finalités et moyens, notamment certains traitements relatifs :

• à la création et à la gestion des Comptes ;
• à la facturation ;
• à la relation commerciale ;
• au support ;
• à la sécurité du Service ;
• au respect des obligations légales de I AND YOO.

Ces traitements sont décrits dans la Politique de confidentialité d’Enginora.

3. DESCRIPTION DU TRAITEMENT

Les caractéristiques du traitement sont détaillées en Annexe 1.

Le traitement est réalisé pendant la durée d’utilisation du Service et, après sa cessation, pendant le temps strictement nécessaire à la restitution, la suppression ou la conservation légalement obligatoire des données concernées.

4. INSTRUCTIONS DU CLIENT

I AND YOO traite les données personnelles pour le compte du Client uniquement sur instruction documentée de celui-ci.

Constituent notamment des instructions documentées :

• les présentes CGV ;
• le présent DPA ;
• les actions et paramètres choisis par le Client dans Enginora ;
• les informations, contenus et instructions transmis par le Client ;
• les demandes adressées à Enginora par les canaux de support ou de contact prévus au contrat.

I AND YOO n’utilise pas les données confiées pour une finalité propre incompatible avec son rôle de sous-traitant.

Si I AND YOO considère qu’une instruction du Client enfreint la réglementation applicable en matière de protection des données, elle en informe le Client.

Lorsqu’un traitement est imposé à I AND YOO par le droit de l’Union européenne ou le droit français indépendamment des instructions du Client, I AND YOO en informe préalablement le Client, sauf interdiction légale.

5. OBLIGATIONS DU CLIENT

Le Client demeure responsable :

• de la licéité des traitements qu’il décide de réaliser ;
• de la détermination des finalités du traitement ;
• de l’existence d’une base juridique appropriée ;
• de l’information des personnes concernées ;
• de l’exercice de leurs droits ;
• des données qu’il choisit de transmettre à Enginora.

Le Client s’engage à ne transmettre que les données nécessaires à son utilisation du Service.

Sauf accord écrit préalable avec I AND YOO, Enginora n’est pas conçu pour traiter volontairement :

• des catégories particulières de données visées à l’article 9 du RGPD ;
• des données relatives aux condamnations pénales et infractions ;
• des données de santé ;
• des données nécessitant un niveau de protection spécifique non prévu par le Service.

Lorsque le Client agit lui-même comme sous-traitant, il garantit disposer de l’autorisation nécessaire pour faire intervenir Enginora comme sous-traitant ultérieur.

6. CONFIDENTIALITÉ

I AND YOO veille à ce que les personnes autorisées à traiter les données personnelles :

• n’y accèdent que dans la mesure nécessaire à leurs fonctions ;
• soient soumises à une obligation appropriée de confidentialité ;
• ne traitent les données que conformément aux instructions applicables.

Cette obligation demeure applicable après la fin de leur accès aux données.

7. SÉCURITÉ

I AND YOO met en œuvre des mesures techniques et organisationnelles proportionnées à la nature du Service et aux risques présentés par les traitements.

À la date d’effet du présent DPA, ces mesures comprennent notamment :

• authentification des utilisateurs par Firebase Authentication ;
• Comptes applicatifs individuels ;
• authentification par email/mot de passe ou Google OAuth ;
• vérification de l’adresse email ;
• contrôles applicatifs d’accès aux projets et données associés au Compte ;
• contrôle distinct des fonctions administrateur ;
• accès au Service par HTTPS ;
• configuration d’en-têtes de sécurité HTTP ;
• authentification des callbacks n8n par HMAC ;
• protection anti-rejeu des callbacks n8n ;
• mécanismes d’idempotence pour les événements concernés ;
• vérification cryptographique des webhooks Stripe ;
• gestion des secrets applicatifs au moyen de variables et mécanismes de credentials dédiés.

L’isolation entre Clients repose actuellement principalement sur des contrôles applicatifs d’autorisation et d’appartenance des projets.

Le présent DPA ne constitue pas une garantie de niveau de service, de RPO, de RTO ou de disponibilité déterminée.

I AND YOO peut faire évoluer ses mesures de sécurité afin de maintenir ou améliorer le niveau global de protection du Service.

8. SOUS-TRAITANTS ULTÉRIEURS

Le Client autorise I AND YOO de manière générale à recourir à des sous-traitants ultérieurs lorsque cela est nécessaire à la fourniture d’Enginora.

I AND YOO impose aux sous-traitants concernés des obligations de protection des données appropriées au traitement qu’ils réalisent.

I AND YOO demeure responsable envers le Client de l’exécution des obligations imposées à ses sous-traitants ultérieurs dans les conditions prévues par l’article 28 du RGPD.

La liste des principaux sous-traitants susceptibles de traiter des données du Client figure en Annexe 2 et est tenue à jour sur la page dédiée aux sous-traitants d’Enginora.

I AND YOO informe le Client des ajouts ou remplacements substantiels afin de lui permettre de formuler une objection raisonnablement motivée relative à la protection des données.

Lorsque les parties ne peuvent résoudre une objection légitime, le Client peut mettre fin au Service concerné dans les conditions prévues par les CGV.

9. FOURNISSEURS D’INTELLIGENCE ARTIFICIELLE

Certaines opérations d’Enginora utilisent des fournisseurs tiers d’intelligence artificielle.

À la date d’effet du présent DPA, les principaux fournisseurs utilisés sont :

• OpenAI ;
• Anthropic ;
• Perplexity.

Les données transmises dépendent de l’opération demandée et peuvent comprendre notamment :

• le sujet traité ;
• le contexte du projet ;
• des informations éditoriales ;
• personas et guidelines ;
• données SEO ou sémantiques ;
• contenus intermédiaires ;
• éléments nécessaires à la génération d’un Draft.

I AND YOO limite ces transmissions aux données nécessaires à l’exécution de l’opération concernée.

I AND YOO n’utilise pas les données du Client pour entraîner un modèle d’intelligence artificielle propre.

OpenAI indique que les données transmises à son API ne sont pas utilisées par défaut pour entraîner ses modèles, sauf opt-in explicite.

Anthropic indique également que les inputs et outputs de ses offres commerciales et de son API ne sont pas utilisés par défaut pour entraîner ses modèles ; son DPA et les clauses contractuelles types sont intégrés à ses conditions commerciales.

Perplexity indique appliquer une politique de Zero Data Retention à son API Chat Completions/Sonar et ne pas utiliser les contenus transmis à l’API pour entraîner ses modèles.

I AND YOO peut modifier les modèles ou fournisseurs utilisés lorsque cela est nécessaire au fonctionnement ou à l’évolution du Service, sous réserve du respect du présent DPA.

10. TRANSFERTS INTERNATIONAUX

Lorsque le traitement implique un transfert de données personnelles hors de l’Espace économique européen, I AND YOO veille à ce qu’un mécanisme prévu par le chapitre V du RGPD soit applicable au transfert concerné.

Ce mécanisme peut notamment reposer sur :

• une décision d’adéquation de la Commission européenne ;
• les clauses contractuelles types de la Commission européenne ;
• tout autre mécanisme légalement applicable.

Les prestataires cloud et IA utilisés par Enginora disposent de cadres contractuels de protection des données destinés à encadrer leurs traitements.

Google publie notamment un Cloud Data Processing Addendum applicable à ses services Cloud.

OVHcloud publie également un Data Processing Agreement encadrant les traitements réalisés pour le compte de ses clients.

OpenAI dispose d’un Data Processing Addendum applicable à ses services professionnels.

Anthropic intègre son DPA et les SCC applicables dans ses conditions commerciales.

Le Client peut demander à privacy@iandyoo.com des informations complémentaires raisonnables concernant les mécanismes de transfert applicables.

11. EXERCICE DES DROITS

Le Client demeure responsable de la réponse aux demandes d’exercice des droits des personnes concernées.

Compte tenu de la nature du traitement, I AND YOO fournit au Client une assistance raisonnable afin de lui permettre de répondre notamment aux demandes :

• d’accès ;
• de rectification ;
• d’effacement ;
• de limitation ;
• d’opposition ;
• de portabilité lorsque celle-ci est applicable.

Lorsqu’une personne contacte directement I AND YOO au sujet de données traitées exclusivement pour le compte du Client, I AND YOO transmet la demande au Client lorsqu’elle peut raisonnablement identifier le Client concerné.

I AND YOO ne répond pas au fond à la place du Client sauf instruction de celui-ci ou obligation légale.

12. VIOLATION DE DONNÉES PERSONNELLES

Lorsqu’I AND YOO prend connaissance d’une violation de données personnelles concernant des données qu’elle traite pour le compte du Client, elle l’en informe sans délai indu.

La notification comprend, dans la mesure où les informations sont disponibles :

• la nature connue de la violation ;
• les catégories de données concernées ;
• les conséquences probables connues ;
• les mesures prises ou envisagées ;
• les informations raisonnablement nécessaires au Client pour satisfaire ses propres obligations.

Lorsque toutes les informations ne sont pas disponibles immédiatement, elles peuvent être fournies progressivement.

Cette notification ne constitue pas une reconnaissance de responsabilité.

L’obligation de notification sans délai indu du sous-traitant au responsable du traitement découle de l’article 33(2) du RGPD.

13. ASSISTANCE À LA CONFORMITÉ

Compte tenu de la nature du traitement et des informations dont elle dispose, I AND YOO fournit une assistance raisonnable au Client concernant :

• la sécurité des traitements ;
• les violations de données personnelles ;
• les analyses d’impact relatives à la protection des données lorsque celles-ci sont nécessaires ;
• les consultations préalables éventuellement requises auprès d’une autorité de contrôle.

Cette assistance ne transfère pas à I AND YOO les obligations qui relèvent du Client en qualité de responsable du traitement.

14. AUDIT ET INFORMATIONS

I AND YOO met à disposition du Client les informations raisonnablement nécessaires pour démontrer le respect des obligations prévues par le présent DPA et l’article 28 du RGPD.

Lorsque cela est suffisant, les parties privilégient :

• les informations écrites ;
• questionnaires ;
• politiques ou documents de sécurité disponibles ;
• autres éléments de preuve appropriés.

Le Client peut demander un audit lorsqu’il dispose d’un motif raisonnable de vérifier le respect du présent DPA.

L’audit doit être organisé de manière proportionnée, en tenant compte notamment :

• de la taille d’Enginora ;
• de la nature et du risque des traitements ;
• de la confidentialité ;
• de la sécurité du Service ;
• des droits des autres Clients.

L’encadrement pratique d’un audit ne peut avoir pour effet de rendre impossible l’exercice des droits prévus par l’article 28 du RGPD.

15. RESTITUTION ET SUPPRESSION

À la cessation des traitements réalisés pour le compte du Client, I AND YOO, selon les instructions documentées du Client :

permet au Client de récupérer les données concernées au moyen des fonctionnalités d’export disponibles dans Enginora ou, lorsque nécessaire, par une procédure de restitution complémentaire ; ou procède à leur suppression,

sauf lorsqu’une disposition légale impose leur conservation.

Les fonctionnalités d’export du Service permettent notamment la récupération des données exportables dans des formats structurés, couramment utilisés et lisibles par machine lorsque cela est applicable. Les modalités de réversibilité et de changement de fournisseur sont décrites dans les CGV et sur la page Data Act / Switching d’Enginora.

15.1 Procédure actuelle

À la date d’effet du présent DPA, la suppression complète d’un Compte n’est pas proposée en libre-service.

Une demande peut être adressée à :

privacy@iandyoo.com

I AND YOO traite la demande manuellement après les vérifications raisonnablement nécessaires concernant l’identité et les pouvoirs du demandeur.

La suppression peut nécessiter des opérations dans plusieurs systèmes utilisés pour fournir le Service.

I AND YOO exécute ces opérations dans un délai raisonnable compte tenu de leur nature et de ses obligations légales.

15.2 Sauvegardes

Lorsque des données supprimées restent temporairement présentes dans une sauvegarde technique, elles ne doivent pas être réintroduites dans les traitements ordinaires, sauf lorsqu’une restauration technique l’impose.

Elles sont supprimées conformément au cycle normal de rotation applicable aux sauvegardes.

15.3 Conservation légale

Les données qui doivent être conservées en application d’une obligation légale peuvent être isolées et conservées pendant la durée légalement requise.

Cette conservation ne permet pas leur réutilisation pour une finalité incompatible avec cette obligation.

16. FIN DU DPA

Le présent DPA entre en vigueur en même temps que le contrat ou dès qu’I AND YOO commence à traiter des données personnelles pour le compte du Client.

Il demeure applicable aussi longtemps qu’I AND YOO conserve ou traite de telles données pour le compte du Client.

Les obligations relatives à la confidentialité, à la sécurité, à la restitution et à la suppression survivent à la cessation du contrat aussi longtemps que nécessaire.

Le DPA est soumis au droit français, sans préjudice de l’application directe du RGPD et des pouvoirs des autorités de contrôle compétentes.

ANNEXE 1 — DESCRIPTION DES TRAITEMENTS

Objet

Fourniture du Service SaaS Enginora et réalisation des opérations demandées par le Client.

Durée

Durée d’utilisation du Service, augmentée de la période nécessaire à la restitution, suppression ou conservation légalement requise.

Nature des opérations

Selon l’utilisation du Service :

• réception ;
• stockage ;
• organisation ;
• consultation ;
• analyse ;
• transformation ;
• génération ;
• transmission aux sous-traitants nécessaires ;
• restitution ;
• suppression.

Finalités

Notamment :

• création et gestion de projets ;
• construction de territoires SEO/GEO ;
• traitement du contexte éditorial ;
• génération de métadonnées ;
• recommandations de maillage interne ;
• génération et conservation de Drafts ;
• exécution technique des workflows ;
• support et diagnostic lorsque nécessaire.

Catégories de personnes concernées

Selon les données volontairement intégrées par le Client :

• utilisateurs et collaborateurs du Client ;
• clients du Client ;
• prospects ou contacts professionnels ;
• auteurs ou personnes mentionnées dans les contenus analysés ;
• toute autre personne dont le Client intègre licitement des données dans Enginora.

Catégories de données

Selon l’utilisation du Client :

• noms et prénoms ;
• fonctions et informations professionnelles ;
• coordonnées professionnelles ;
• contenus de sites ou pages analysées ;
• contexte de projet ;
• personas ;
• instructions et guidelines éditoriales ;
• textes et Drafts ;
• informations contenues dans les contenus fournis ou produits ;
• métadonnées liées aux projets et aux Livrables ;
• identifiants techniques nécessaires au fonctionnement du Service.

Enginora n’est pas conçu pour recevoir volontairement des catégories particulières de données personnelles au sens de l’article 9 du RGPD.

ANNEXE 2 — PRINCIPAUX SOUS-TRAITANTS ULTÉRIEURS

La liste publique à jour est disponible à :

https://enginora.co/fr/legal/subprocessors/

Google dispose d’un Cloud Data Processing Addendum pour les données traitées dans ses services Cloud.

OVHcloud encadre par DPA ses traitements réalisés pour le compte de ses clients.

OpenAI publie son DPA et indique que les données API ne sont pas utilisées pour entraîner ses modèles par défaut.

Anthropic indique que son DPA incluant les SCC est intégré à ses conditions commerciales.

Perplexity indique que son API applique actuellement une politique Zero Data Retention pour le contenu des requêtes et réponses et n’utilise pas ces contenus pour l’entraînement.

Stripe et le service de support Tawk.to ne figurent pas dans cette annexe lorsqu’ils interviennent dans le cadre de traitements pour lesquels I AND YOO agit en qualité de responsable du traitement. Ces traitements sont décrits dans la Politique de confidentialité.

ANNEXE 3 — MESURES TECHNIQUES ET ORGANISATIONNELLES

Les principales mesures mises en œuvre à la date d’effet du présent DPA comprennent :

Authentification et accès

• Firebase Authentication ;
• comptes utilisateurs individuels ;
• connexion par email/mot de passe et Google OAuth ;
• vérification de l’adresse email ;
• rôles distincts pour les fonctions administratives ;
• contrôles serveur sur les fonctions administratives.

Séparation logique

Les projets sont associés à l’identifiant de leur utilisateur.

Les accès applicatifs réguliers vérifient cette appartenance avant de permettre l’accès aux données associées.

L’isolation est principalement assurée au niveau applicatif.

Sécurité des communications et de l’application

• accès public au Service par HTTPS ;
• HSTS configuré ;
• en-têtes HTTP de sécurité ;
• authentification HMAC des callbacks n8n ;
• fenêtre temporelle anti-rejeu ;
• mécanismes d’idempotence des callbacks concernés ;
• vérification des signatures Stripe pour les événements de paiement.

Gestion des secrets

Les secrets nécessaires au fonctionnement du Service sont fournis à l’application et aux workflows via des variables d’environnement ou mécanismes de credentials dédiés.

Ils ne sont pas destinés à être exposés côté Client.

Journalisation technique

Enginora conserve certaines données techniques nécessaires notamment :

• à l’exécution des générations ;
• au diagnostic ;
• à la gestion des erreurs ;
• à l’idempotence des callbacks et événements.

L’accès à ces informations est limité aux personnes qui en ont besoin pour l’exploitation ou le support du Service.

Données et fichiers

Enginora ne propose pas, dans sa version actuelle, de fonctionnalité générale d’upload de fichiers.

Sécurité évolutive

I AND YOO peut adapter et renforcer les mesures décrites dans la présente Annexe en fonction :

• des risques identifiés ;
• des évolutions techniques ;
• des incidents ;
• de l’évolution du Service ;

à condition de ne pas diminuer substantiellement le niveau global de protection des données.

Fin du DPA Enginora — Version 1.0