This data processing agreement is published in French, which is the binding version.

Accord de sous-traitance de données (DPA) du service LinTO Studio (SaaS)

Version : 1.0 du 20 octobre 2026.

1. Parties

Le présent Accord de sous-traitance de données (l'« Accord » ou « DPA ») est conclu entre :

LINAGORA, société par actions simplifiée au capital de 1 552 980 euros, immatriculée au RCS de Nanterre sous le numéro 431 473 669, dont le siège social est situé 37 rue Pierre Poli, 92130 Issy-les-Moulineaux, France, numéro de TVA intracommunautaire FR57 431 473 669, représentée par Alexandre Zapolsky, Président, ci-après désignée le « Sous-traitant » (au sens de l'article 4.8 du RGPD) ;

ET

le Client, professionnel qui a accepté les conditions générales de vente du Service pour une Organisation, identifié par les informations fournies lors de la création de son compte ou de sa commande, ci-après désigné le « Responsable de traitement » ou le « Client » (au sens de l'article 4.7 du RGPD) ;

Ci-après désignées individuellement une « Partie » et collectivement les « Parties ».

Le présent Accord s'applique à tout Client professionnel du Service, sans signature : il est accepté avec les conditions générales de vente, dont il fait partie (article 16.2). Un exemplaire signé peut être demandé à contact@linto.ai.

2. Objet et cadre contractuel

2.1. Le présent Accord a pour objet de définir les conditions dans lesquelles le Sous-traitant s'engage à effectuer, pour le compte et sous l'autorité du Responsable de traitement, les opérations de traitement de données à caractère personnel nécessaires à la fourniture du service LinTO Studio en mode hébergé (la « Plateforme » ou le « Service »), service de transcription de fichiers et en direct, de traduction, d'annotation, d'édition collaborative et de génération de comptes rendus par intelligence artificielle, décrit dans les conditions générales de vente publiées à l'adresse https://linto.ai/cgv/ (le « Contrat principal »).

2.2. Le présent Accord est conclu en application de l'article 28.3 du RGPD. Il complète et fait partie intégrante du Contrat principal. En cas de contradiction relative au traitement des données à caractère personnel, le présent Accord prévaut sur le Contrat principal.

2.3. Le Responsable de traitement détermine les finalités et les moyens du traitement. Le Sous-traitant agit uniquement sur instructions documentées du Responsable de traitement, dans les conditions précisées à l'article 5.

3. Nature, finalité et durée du traitement

3.1. Nature des opérations : collecte, enregistrement, organisation, structuration, conservation, transcription automatique de la parole, séparation et reconnaissance des locuteurs, traduction, génération de comptes rendus et réponses par des modèles de langage, consultation, édition collaborative, communication par transmission, mise à disposition, et suppression de données à caractère personnel. Toutes ces opérations sont réalisées par des logiciels et modèles exploités par le Sous-traitant sur sa propre infrastructure en France.

3.2. Finalité du traitement : permettre au Responsable de traitement et à ses utilisateurs d'importer, de transcrire, d'annoter, d'éditer et de gérer des contenus médias (audio/vidéo) et leurs transcriptions au sein de la Plateforme, ainsi que d'administrer son organisation (gestion des utilisateurs, des rôles et, le cas échéant, de l'abonnement).

3.3. Durée du traitement : le traitement est effectué pendant toute la durée du Contrat principal. Les obligations relatives au sort des données en fin de contrat sont définies à l'article 11.

La description détaillée du traitement figure à l'Annexe 1.

4. Catégories de personnes concernées et de données

4.1. Catégories de personnes concernées :

• les utilisateurs de l'organisation du Client (Membre, Collaborateur, Collaborateur en direct, Producteur, Gestionnaire, Administrateur) ;
• les personnes dont la voix, l'image ou les données figurent dans les contenus médias importés ou diffusés en direct par le Client (locuteurs, participants à des réunions, intervenants, etc.).

4.2. Catégories de données à caractère personnel :

• Données de compte / d'identité : adresse e-mail, prénom, nom des utilisateurs ; nom de l'organisation.
• Données de contenu : enregistrements audio/vidéo importés ou diffusés en direct, transcriptions, annotations, identifications de locuteurs, et toute donnée à caractère personnel que ces contenus peuvent incidemment contenir.
• Données d'usage : registre de consommation indexé par identifiant d'organisation et d'utilisateur (minutes transcrites, crédits IA consommés par les générations et le chatbot, appels API, minutes-langue de direct).
• Journal d'activité : événements liés à la facturation et à l'administration, enregistrant l'e-mail et le nom de l'utilisateur ainsi que le nom de l'organisation (accessible uniquement au back-office / sys-admin), soumis à une expiration automatique de douze (12) mois.

4.3. Données sensibles : en dehors des signatures vocales (article 4.4), la Plateforme n'est pas conçue pour le traitement de catégories particulières de données au sens de l'article 9 du RGPD. Toutefois, les contenus médias importés par le Client peuvent en contenir incidemment. Le Client demeure seul responsable de la licéité des contenus qu'il traite et, le cas échéant, du recueil des bases légales appropriées (notamment au titre des articles 6 et 9 du RGPD).

4.4. Reconnaissance des locuteurs : la Plateforme peut associer un nom à une voix au sein d'une Organisation, à partir de signatures vocales calculées sur les enregistrements du Client. Ces signatures sont des données biométriques au sens de l'article 9 du RGPD : le Client en assume la base légale, en particulier le consentement explicite des personnes concernées, ce que l'Administrateur confirme dans le Service avant de les utiliser. Elles restent dans l'Organisation, ne sont pas partagées entre clients et sont supprimées avec elle.

5. Obligations du Sous-traitant

Le Sous-traitant s'engage à :

5.1. Instructions documentées : Traiter les données à caractère personnel uniquement sur instruction documentée du Responsable de traitement, y compris en ce qui concerne les transferts de données vers un pays tiers ou une organisation internationale, sauf obligation légale à laquelle le Sous-traitant serait soumis (auquel cas il en informe le Responsable de traitement avant le traitement, sauf interdiction légale). Le Contrat principal, le paramétrage du Service par le Client et le présent Accord constituent les instructions initiales et documentées. Le Sous-traitant informe immédiatement le Responsable de traitement s'il estime qu'une instruction constitue une violation du RGPD ou de toute autre disposition applicable en matière de protection des données.

5.2. Confidentialité : Veiller à ce que les personnes autorisées à traiter les données s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité, et reçoivent la formation nécessaire en matière de protection des données.

5.3. Sécurité (art. 32) : Mettre en œuvre les mesures techniques et organisationnelles appropriées définies à l'Annexe 2 afin de garantir un niveau de sécurité adapté au risque, conformément à l'article 32 du RGPD.

5.4. Sous-traitance ultérieure : Ne recourir à un autre sous-traitant (« sous-traitant ultérieur ») que dans les conditions de l'article 6.

5.5. Assistance aux droits des personnes : Aider le Responsable de traitement, dans la mesure du possible et par des mesures techniques et organisationnelles appropriées, à s'acquitter de son obligation de donner suite aux demandes d'exercice des droits des personnes concernées (droit d'accès, de rectification, d'effacement, à la limitation, à la portabilité, d'opposition). Lorsqu'une personne concernée adresse directement au Sous-traitant une demande d'exercice de ses droits, ce dernier la transmet dans les meilleurs délais au Responsable de traitement et n'y répond pas lui-même sauf instruction contraire.

5.6. Assistance à la sécurité et à la conformité : Aider le Responsable de traitement à garantir le respect des obligations prévues aux articles 32 à 36 du RGPD (sécurité, notification des violations, analyses d'impact relatives à la protection des données, consultation préalable de l'autorité de contrôle), compte tenu de la nature du traitement et des informations à la disposition du Sous-traitant.

5.7. Notification des violations de données : Notifier au Responsable de traitement toute violation de données à caractère personnel dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance. Cette notification comporte au minimum : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, les mesures prises ou proposées pour y remédier, et le point de contact pour obtenir davantage d'informations. C'est au Responsable de traitement qu'il appartient, le cas échéant, de notifier la violation à l'autorité de contrôle compétente et aux personnes concernées.

5.8. Documentation et registre : Tenir un registre des catégories d'activités de traitement effectuées pour le compte du Responsable de traitement, conformément à l'article 30.2 du RGPD, et le mettre à disposition sur demande.

5.9. Suppression / restitution : Procéder, au choix du Responsable de traitement, à la suppression ou à la restitution des données en fin de prestation, dans les conditions de l'article 11.

5.10. Mise à disposition d'informations et audits : Mettre à la disposition du Responsable de traitement toutes les informations nécessaires pour démontrer le respect des obligations de l'article 28 du RGPD et permettre la réalisation d'audits, dans les conditions de l'article 9.

6. Recours à des sous-traitants ultérieurs

6.1. Autorisation générale : Le Responsable de traitement autorise le Sous-traitant à recourir à des sous-traitants ultérieurs pour l'exécution d'activités de traitement spécifiques. La liste des sous-traitants ultérieurs autorisés à la date du présent Accord figure à l'Annexe 3.

6.2. Information préalable des changements : Le Sous-traitant informe le Responsable de traitement de tout projet d'ajout ou de remplacement d'un sous-traitant ultérieur, avec un préavis d'au moins trente (30) jours, par e-mail aux Administrateurs de l'Organisation et par mise à jour de la liste publiée à l'adresse https://linto.ai/privacy/, donnant ainsi au Responsable de traitement la possibilité d'émettre des objections motivées.

6.3. Droit d'objection : Si le Responsable de traitement émet une objection légitime et motivée tenant à la protection des données dans le délai de préavis, les Parties s'efforcent de bonne foi de trouver une solution. À défaut d'accord, le Responsable de traitement pourra résilier la partie du Service concernée, sans pénalité.

6.4. Obligations équivalentes : Le Sous-traitant impose à tout sous-traitant ultérieur, par contrat, les mêmes obligations de protection des données que celles fixées par le présent Accord, en particulier en matière de mesures techniques et organisationnelles appropriées. Le Sous-traitant demeure pleinement responsable à l'égard du Responsable de traitement de l'exécution par le sous-traitant ultérieur de ses obligations.

6.5. Sous-traitants ultérieurs identifiés (détail en Annexe 3) :

• OVH SAS (Roubaix, France) : infrastructure physique (machines virtuelles, stockage, réseau), sur des serveurs administrés par LINAGORA ;
• Stripe Payments Europe Ltd (Dublin, Irlande) : paiement, abonnements, factures et portail client, pour les seules données de facturation.

Le Sous-traitant ne recourt à aucun fournisseur tiers pour la transcription, la traduction, la reconnaissance des locuteurs ou les modèles de langage : ces traitements sont exécutés par des logiciels exploités par le Sous-traitant sur l'infrastructure OVH en France. Les fournisseurs d'authentification (Google, GitHub, SSO LINAGORA) ne sont pas des sous-traitants ultérieurs : ils interviennent sur le choix de l'utilisateur, pour son seul identifiant de connexion.

7. Transferts internationaux de données

7.1. Le Sous-traitant traite et stocke les données à caractère personnel en France. Le seul sous-traitant ultérieur susceptible de traiter des données hors de l'Espace économique européen est Stripe, pour les données de facturation, dans les conditions de l'article 7.3.

7.2. Tout transfert de données vers un pays tiers situé hors de l'EEE n'est effectué que dans le respect du chapitre V du RGPD, sur le fondement :

• d'une décision d'adéquation de la Commission européenne ; ou, à défaut,
• de garanties appropriées, en particulier les Clauses Contractuelles Types (« CCT ») adoptées par la Commission européenne (décision d'exécution (UE) 2021/914), assorties le cas échéant de mesures supplémentaires.

7.3. Concernant Stripe, les données de facturation sont traitées par Stripe Payments Europe Ltd dans l'Union européenne ; les transferts intragroupe vers Stripe Inc. (États-Unis) sont couverts par la décision d'adéquation relative au cadre de protection des données UE-États-Unis (Data Privacy Framework), auquel Stripe Inc. est certifié, et par les clauses contractuelles types intégrées au contrat de services de Stripe (https://stripe.com/legal/dpa). Aucun Contenu n'est transmis à Stripe.

8. Sécurité des traitements

8.1. Compte tenu de l'état de l'art, des coûts de mise en œuvre, de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques pour les droits et libertés des personnes physiques, le Sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées décrites à l'Annexe 2.

8.2. Le Sous-traitant s'engage à réévaluer régulièrement ces mesures et à les adapter en fonction de l'évolution des risques et de l'état de l'art.

9. Audits

9.1. Le Sous-traitant met à la disposition du Responsable de traitement toutes les informations nécessaires pour démontrer le respect des obligations de l'article 28 du RGPD.

9.2. Le Responsable de traitement (ou un auditeur tiers indépendant mandaté par lui et soumis à une obligation de confidentialité) peut réaliser des audits, y compris des inspections, dans la limite d'une fois par an (sauf incident de sécurité ou exigence d'une autorité de contrôle), sous réserve d'un préavis d'au moins trente (30) jours, pendant les heures ouvrées, sans perturbation excessive de l'activité du Sous-traitant et dans le respect de la confidentialité et de la sécurité des autres clients.

9.3. Le Sous-traitant peut satisfaire à cette obligation par la communication de rapports d'audit ou d'attestations existants lorsqu'ils couvrent le périmètre concerné. À la date du présent Accord, le Sous-traitant ne détient pas de certification ISO 27001 ni de rapport SOC 2 pour la Plateforme ; le code source du cœur logiciel est public et peut être audité librement.

9.4. Les coûts d'un audit sont supportés par le Responsable de traitement, sauf si l'audit révèle un manquement substantiel imputable au Sous-traitant.

10. Responsabilité

10.1. Chaque Partie est responsable des dommages causés par le traitement dans les conditions prévues à l'article 82 du RGPD.

10.2. Le Sous-traitant n'est tenu pour responsable du dommage causé par le traitement que s'il n'a pas respecté les obligations du RGPD spécifiquement applicables aux sous-traitants ou s'il a agi en dehors des instructions licites du Responsable de traitement ou contrairement à celles-ci.

10.3. Les limitations et plafonds de responsabilité prévus à l'article 20 du Contrat principal s'appliquent au présent Accord, dans la mesure permise par la loi applicable.

10.4. Le Responsable de traitement garantit qu'il dispose de toutes les bases légales et autorisations nécessaires au traitement des données qu'il confie au Sous-traitant, et qu'il a satisfait à ses obligations d'information à l'égard des personnes concernées.

11. Sort des données en fin de contrat

11.1. À l'expiration ou à la résiliation du Contrat principal, le Sous-traitant procède, au choix du Responsable de traitement exprimé par écrit :

• soit à la restitution des données à caractère personnel dans un format réutilisable ;
• soit à la suppression de l'ensemble des données à caractère personnel.

11.2. À défaut d'instruction du Responsable de traitement dans un délai de trente (30) jours suivant la fin du contrat, le Sous-traitant procède à la suppression des données.

11.3. Précisions propres à la Plateforme :

• les transcriptions et les fichiers audio/vidéo sont supprimés lors de la suppression de la conversation ou de l'organisation concernée ;
• le journal d'activité est soumis à une expiration automatique de douze (12) mois ; les données supprimées disparaissent des sauvegardes à mesure de leur rotation ;
• le Sous-traitant supprime également les copies, sauf obligation légale de conservation, auquel cas il en informe le Responsable de traitement et garantit la confidentialité des données conservées.

11.4. Le Sous-traitant atteste par écrit, sur demande, de la suppression effective des données.

12. Dispositions diverses

12.1. Point de contact / DPO : Le point de contact du Sous-traitant pour les questions relatives à la protection des données est Patrick Pereira, délégué à la protection des données, ppereira@linagora.com. Le point de contact du Responsable de traitement est l'adresse e-mail de l'Administrateur de son Organisation, sauf autre contact communiqué à contact@linto.ai.

12.2. Durée : Le présent Accord prend effet à la date d'acceptation du Contrat principal et reste en vigueur tant que le Sous-traitant traite des données pour le compte du Responsable de traitement.

12.3. Modification : Le présent Accord peut être modifié dans les conditions de l'article 22 du Contrat principal, sous réserve des mises à jour de la liste des sous-traitants ultérieurs prévues à l'article 6.

12.4. Droit applicable et juridiction : Le présent Accord est régi par le droit français. Tout litige relève de la compétence exclusive du tribunal des activités économiques de Nanterre, comme le Contrat principal.

Annexe 1. Description du traitement

Note sur les offres : trois Plans (Free, Premium, Business) et des packs de crédits, décrits à l'article 6 et à l'annexe 1 du Contrat principal. Les Organisations en accès offert ou sur contrat dédié (article 13 du Contrat principal) ne transmettent aucune donnée à Stripe.

Annexe 2. Mesures techniques et organisationnelles de sécurité (art. 32)

2.1 Contrôle d'accès et gestion des identités

• Authentification des utilisateurs par identifiant et mot de passe (haché, jamais stocké en clair), ou par fournisseur d'identité (Google, GitHub, SSO LINAGORA) ; adresse e-mail vérifiée avant tout usage des fonctions de traitement.
• Authentification par jeton signé (JWT) pour l'API ; clés API nominatives, révocables par l'utilisateur.
• Modèle de rôles par Organisation (Membre, Collaborateur, Collaborateur en direct, Producteur, Gestionnaire, Administrateur) ; rôle distinct d'administrateur de plateforme pour le backoffice, réservé au personnel LINAGORA.
• Accès aux serveurs par clés SSH nominatives, authentification par mot de passe désactivée, comptes limités à l'équipe d'exploitation, journalisés.
• Accès aux consoles d'administration (hébergeur, Stripe, DNS) protégés par authentification à deux facteurs.

2.2 Cloisonnement et architecture

• Séparation logique des données par Organisation ; chaque requête est contrôlée au regard du rôle de l'utilisateur dans l'Organisation concernée.
• Environnements de production, de préproduction et de test distincts, sur des machines et des bases distinctes ; aucune donnée de production dans les environnements de test.
• Plateforme déployée sur un cluster Kubernetes administré par LINAGORA ; réseau interne privé entre les nœuds, ports exposés limités à l'entrée HTTPS et aux flux de direct ; pare-feu hôte et protection contre les tentatives d'intrusion (blocage automatique des adresses en échec répété).
• Nœuds GPU dédiés aux modèles de transcription, de traduction et de langage, sans accès entrant depuis Internet.

2.3 Chiffrement

• Chiffrement en transit (TLS 1.2 et plus) entre le navigateur et la Plateforme, avec certificats renouvelés automatiquement ; flux de direct chiffrés lorsque le protocole le permet.
• Communications internes sur réseau privé non routé depuis Internet.
• Secrets d'exploitation (mots de passe de bases, clés Stripe, clés de chiffrement applicatives) stockés dans le gestionnaire de secrets du cluster, jamais dans le code source.
• Données au repos : protégées par le contrôle d'accès aux serveurs et par la sécurité physique des centres de données de l'hébergeur en France ; les secrets applicatifs (configuration SSO des Organisations, clés des fournisseurs) sont chiffrés en base ; aucune donnée de carte n'est stockée par LINAGORA.

2.4 Journalisation et traçabilité

• Journal d'activité des événements de facturation et d'administration (auteur, cible, horodatage), conservé douze (12) mois puis expiré automatiquement.
• Journaux applicatifs et système horodatés, conservés au plus douze (12) mois, accessibles à l'équipe d'exploitation seulement.

2.5 Sauvegarde et continuité

• Sauvegarde quotidienne des machines de production, conservée en France.
• Sauvegardes ponctuelles des bases de données avant les mises à jour de la plateforme.
• Procédure documentée de reconstruction de la plateforme à partir du code d'infrastructure et des sauvegardes.

2.6 Suppression des données

• Suppression des transcriptions, traductions, comptes rendus et fichiers audio/vidéo lors de la suppression de la conversation ou de l'Organisation, fichiers stockés compris.
• Cascade de suppression (abonnement, fiche client Stripe, registre d'usage, journal, contenus, compte).
• Données supprimées disparaissant des sauvegardes à mesure de leur rotation.

2.7 Mesures organisationnelles

• Personnel d'exploitation et de support soumis à une obligation contractuelle de confidentialité ; accès limités au besoin d'en connaître, revus à chaque changement d'équipe.
• Veille et application des correctifs de sécurité sur les composants de la plateforme et les dépendances (alertes automatiques sur les dépôts de code).
• Procédure de gestion des incidents : détection, qualification, confinement, notification au Responsable de traitement sous 48 heures (article 5.7), rapport après incident.
• Revue de sécurité de la Plateforme réalisée en septembre 2026, avant l'ouverture du Service.

2.8 Sécurité du développement

• Code source du cœur logiciel public, sous licence libre ; revues par demandes de fusion ; intégration continue construisant des images versionnées ; déploiement par version identifiée.
• Séparation stricte des secrets de configuration hors des dépôts de code.

Annexe 3. Liste des sous-traitants ultérieurs

Liste à jour au 20 octobre 2026. La version courante est publiée à l'adresse https://linto.ai/privacy/.

Notes :

• Aucun fournisseur tiers n'intervient dans la transcription, la traduction, la reconnaissance des locuteurs ni les modèles de langage : ces traitements sont exécutés par LINAGORA sur l'infrastructure OVH en France.
• Les fournisseurs d'authentification (Google, GitHub, SSO LINAGORA) ne traitent que l'identifiant de connexion, sur le choix de l'utilisateur, et ne sont pas des sous-traitants ultérieurs du Service.
• Les e-mails de service sont envoyés par le serveur de messagerie de LINAGORA.
• Les Organisations en accès offert ou sur contrat dédié ne transmettent aucune donnée à Stripe.