Annexe « traitement des données »

Annexe aux Conditions générales d'utilisation et de vente de TropicaDouane : traitement de données personnelles pour le compte du client (article 28 du règlement (UE) 2016/679, « RGPD »). Version du 27 octobre 2026. Imprimer ou enregistrer en PDF

1. Les parties et le champ de l'annexe

• Responsable du traitement : le client professionnel, titulaire du compte TropicaDouane, pour le compte de son entreprise.
• Sous-traitant : EI Gestion Systèmes Informatiques (GSI), entrepreneur individuel Maxime ZEDDE, SIRET 914 312 806 00021, 27 Cité Ferdinand, 97400 Saint-Denis, La Réunion, France — contact@gsi.re.

L'annexe s'applique lorsque le client transmet au service des documents qui contiennent des données personnelles de tiers, aujourd'hui les factures déposées dans l'onglet « Facture OCR » du simulateur. Le client l'accepte en cochant la case prévue avant son premier dépôt ; la version acceptée et la date sont conservées, et aucun document n'est enregistré ni lu sans cet accord. Elle s'applique aussi aux factures déposées avant son acceptation.

Si le client agit lui-même pour le compte d'un tiers (par exemple un transitaire pour son client importateur), il garantit que ce tiers a autorisé le recours à GSI et à ses prestataires ; l'annexe s'applique alors à ce titre. Si le client dépose des factures en tant que particulier, l'annexe ne s'applique pas : GSI traite ces données comme responsable, selon la politique de confidentialité, qui régit aussi les données du compte lui-même (adresse e-mail, nom, abonnement). Pour les données personnelles, l'annexe prévaut sur toute autre clause des CGU/CGV.

2. Description du traitement

• Objet et finalité : lire les factures transmises par le client pour en extraire les lignes (désignation, quantité, valeur, pays d'origine, poids) et les références de la facture (numéro, date, nom du fournisseur, devise, montant total, frais, incoterm), proposer un code tarifaire, calculer une estimation des droits et taxes à l'importation, et conserver ces résultats dans l'espace du client.
• Opérations : réception, lecture automatique par un service d'intelligence artificielle (article 5), extraction, enregistrement, consultation par le client, effacement.
• Données concernées : celles qui figurent sur les documents : noms, adresses, téléphones et e-mails des fournisseurs, acheteurs, destinataires et de leurs interlocuteurs ; numéros de facture et de commande ; identifiants d'entreprise (SIRET, numéro de TVA, EORI) ; désignations et montants des marchandises. Le nom du fichier déposé est aussi conservé.
• Personnes concernées : les fournisseurs, clients et destinataires du client, et leurs interlocuteurs.
• Durée : la durée d'utilisation du service par le client, puis l'effacement prévu à l'article 3.

Le client ne transmet pas de données sensibles au sens de l'article 9 du RGPD (santé, opinions, etc.) ni de numéro de sécurité sociale. Si un document en contient par erreur, elles sont lues automatiquement avec le reste du document, mais GSI ne les recherche ni ne les utilise ; le client peut en demander l'effacement.

3. Conservation, effacement et restitution

• Le fichier PDF déposé, et les images de ses pages s'il est scanné, sont effacés du serveur dès la fin de sa lecture, que celle-ci réussisse ou non.
• Les lignes et les références extraites sont conservées dans l'espace du client tant que son compte est ouvert.
• Sur demande écrite du client à contact@gsi.re (factures désignées, ou toutes), ou à la fermeture de son compte, GSI efface ces informations de la base dans un délai de 30 jours et le lui confirme par écrit. Le client peut demander auparavant qu'elles lui soient restituées dans un format électronique courant (CSV ou JSON).
• Les sauvegardes de la base de données (quotidiennes, conservées 7 jours ; hebdomadaires, 28 jours ; mensuelles, environ 25 mois) sont conservées sur le serveur (OVH, France) et copiées par une liaison chiffrée sur un équipement de sauvegarde de GSI situé à La Réunion (France, Union européenne). Elles ne servent qu'à remettre le service en état après un incident ; les données effacées qu'elles contiennent ne sont plus utilisées et disparaissent avec elles. En cas de restauration, les données effacées entre-temps sont effacées de nouveau avant la remise en service.

4. Obligations de GSI

1. Instructions : les instructions du client sont la présente annexe et l'usage qu'il fait du service, y compris le recours aux prestataires de l'article 5 ; toute autre instruction se donne par écrit. GSI ne traite les données qu'à ces fins, sauf obligation découlant du droit de l'Union ou du droit français (elle en informe alors le client, sauf interdiction légale). Si une instruction lui paraît contraire au RGPD ou à une autre règle de protection des données de l'Union ou d'un État membre, GSI en informe le client immédiatement. GSI n'utilise pas ces données à d'autres fins : ni prospection, ni revente, ni entraînement de modèles d'intelligence artificielle.
2. Confidentialité : seul l'exploitant de GSI (Maxime ZEDDE) accède aux données, et seulement pour assurer le service (assistance demandée par le client, correction d'un incident). Toute autre personne qu'il autoriserait serait tenue par écrit à la confidentialité.
3. Sécurité (article 32 du RGPD) : échanges chiffrés (HTTPS) ; serveur hébergé en France, accès d'administration réservé et protégé par clé ; mots de passe des comptes stockés sous forme hachée (non réversible) ; données de chaque client accessibles seulement depuis son compte ; vérification du type déclaré (PDF) et de la taille (10 Mo au plus) des fichiers reçus, nom de fichier attribué par le serveur ; effacement des PDF après lecture ; écrans des factures masqués dans l'outil de mesure d'audience ; sauvegardes régulières.
4. Sous-traitants ultérieurs : le client autorise GSI à recourir aux prestataires de l'article 5. GSI ne recourt qu'à des prestataires liés par un contrat de traitement des données (article 28, paragraphe 4, du RGPD) offrant des garanties au moins équivalentes à celles de la présente annexe, et tient ces contrats et la liste de leurs propres sous-traitants à la disposition du client ; elle reste responsable envers lui de leur respect. GSI informe le client par e-mail de tout ajout ou remplacement au moins 30 jours avant ; le client peut s'y opposer et, à défaut de solution, fermer son compte ou résilier son abonnement sans frais avant la prise d'effet, ses données étant alors effacées comme prévu à l'article 3.
5. Droits des personnes : GSI aide le client à répondre aux demandes d'accès, de rectification, d'effacement, de limitation, d'opposition ou de portabilité. Si une personne s'adresse directement à GSI, celle-ci transmet la demande au client sous 5 jours ouvrés, sans y répondre elle-même.
6. Violation de données : GSI informe le client par e-mail de toute violation de données personnelles dans les meilleurs délais, et au plus tard 48 heures après en avoir eu connaissance, avec les informations dont elle dispose (nature de la violation, catégories et nombre approximatif de personnes et de données, conséquences probables, mesures prises ou proposées, contact), afin que le client puisse, le cas échéant, notifier la CNIL dans les 72 heures et informer les personnes concernées.
7. Aide au client : sur demande, GSI aide le client à respecter ses obligations des articles 32 à 36 du RGPD (sécurité, violations, analyses d'impact, consultation préalable de la CNIL), dans la mesure des informations dont elle dispose.
8. Démonstration et audits : GSI met à la disposition du client les informations nécessaires pour démontrer le respect de la présente annexe. Le client peut faire réaliser un audit, au plus une fois par an (sauf violation de données ou demande d'une autorité de contrôle), avec un préavis de 30 jours, par lui-même ou par un auditeur indépendant tenu au secret et non concurrent de GSI, à ses frais ; l'audit se fait d'abord sur pièces.
9. Registre : GSI tient le registre des traitements effectués pour le compte de ses clients (article 30, paragraphe 2, du RGPD). GSI n'a pas désigné de délégué à la protection des données ; contact : contact@gsi.re.

5. Prestataires (sous-traitants ultérieurs) et transferts hors de l'Union européenne

• OVH SAS (2 rue Kellermann, 59100 Roubaix, France) : hébergement du serveur et de la base de données, en France. OVH s'engage à ne pas traiter ces données aux États-Unis.
• OpenAI Ireland Ltd (1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Irlande) : lecture automatique des factures (texte et images des pages) par son interface de programmation (API). Les données ne servent pas à entraîner ses modèles ; elles sont conservées au plus 30 jours dans ses journaux de lutte contre les abus, sauf obligation légale de conservation plus longue ou image signalée comme illicite. Liste de ses propres sous-traitants : platform.openai.com/subprocessors.
• Anthropic Ireland, Limited (6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irlande) : non utilisé à ce jour ; proposera des codes tarifaires à partir de la désignation des lignes pour l'outil « Dossier transitaire », s'il est ouvert au client. Les données ne servent pas à entraîner ses modèles et sont effacées sous 30 jours au plus, sauf contenu signalé par ses contrôles de sécurité. Liste de ses propres sous-traitants : trust.anthropic.com/subprocessors.

La lecture des factures est effectuée sur les serveurs d'OpenAI et de ses hébergeurs, notamment aux États-Unis. Ces transferts, réalisés par OpenAI Ireland (et Anthropic Ireland lorsqu'il sera utilisé) vers leurs sociétés liées et leurs prestataires, sont encadrés par les clauses contractuelles types de la Commission européenne (décision d'exécution (UE) 2021/914 du 4 juin 2021, module 3), qui leur imposent d'évaluer le droit du pays de destination. Le client donne instruction à GSI de recourir à ces prestataires dans ces conditions ; GSI lui communique sur demande leur documentation sur ces transferts.

6. Obligations du client

• disposer d'une base légale pour le traitement et informer les personnes concernées, notamment du traitement par ces prestataires et des transferts décrits à l'article 5, par exemple dans ses propres conditions ou sa politique de confidentialité ;
• ne transmettre que les documents nécessaires au service ;
• communiquer par écrit à GSI toute instruction particulière ;
• veiller au respect du RGPD pendant toute la durée du traitement.

7. Durée, responsabilité et modification

La présente annexe s'applique dès son acceptation et tant que GSI détient des données qu'elle couvre, sauvegardes comprises ; l'obligation de confidentialité se poursuit ensuite.

Envers les personnes concernées, la responsabilité de chaque partie est régie par l'article 82 du RGPD. Entre les parties, l'article 7 des CGU/CGV s'applique à la présente annexe, sauf faute lourde ou dolosive ; son exclusion relative à la « perte de données ou accès non autorisé » ne s'applique pas à un manquement de GSI à la présente annexe.

L'ajout ou le remplacement d'un prestataire suit l'article 4, point 4. Les autres changements de fond font l'objet d'une nouvelle version, datée en tête de cette page, que le client doit accepter avant son prochain dépôt ; à défaut, la version précédente continue de régir les données déjà enregistrées et aucun nouveau document n'est reçu.

Version du 27 octobre 2026