Version du 2 novembre 2026 (révision 2). Les versions antérieures sont archivées et communiquées sur demande à contact@marketframe.fr. Le présent accord (le « DPA ») fait partie intégrante des Conditions Générales de Vente de Critéa applicables au Client, les Conditions Générales de Vente Évaluateurs ou les Conditions Générales de Vente Organismes (les « CGV »). Il est accepté en même temps qu'elles, lors de la création du compte ou de la souscription. En cas de contradiction entre les CGV et le DPA sur la protection des données, le DPA prévaut. Il est conclu entre la société MarketFrame (SAS), 199 Impasse de Beaurende, 43110 Aurec-sur-Loire (« MarketFrame »), et le Client. Le « Client » désigne tout professionnel souscrivant au service Critéa, qu'il s'agisse d'un évaluateur exerçant à titre indépendant (personne physique agissant à titre professionnel) ou d'un organisme évaluateur (personne morale). Lorsque le Client est un organisme, il est seul responsable de traitement, y compris pour les opérations réalisées dans Critéa par ses évaluateurs salariés ou sous-traitants, qui agissent sous son autorité. La personne physique qui accepte les CGV garantit avoir le pouvoir d'engager le Client. Si le Client utilise le service pour le compte d'un tiers responsable de traitement, il garantit être autorisé par ce tiers à confier les données concernées à MarketFrame dans les conditions du présent DPA, et demeure l'interlocuteur unique de MarketFrame. Le délégué à la protection des données de MarketFrame est joignable à l'adresse contact@marketframe.fr.
1. Rôles des parties
Pour les contenus d'évaluation saisis ou déposés dans le service (documents institutionnels, notes, cotations, commentaires), ainsi que pour les données de gestion confiées par l'organisme (clients, contrats, missions, pièces professionnelles, factures, signatures, informations internes et satisfaction), le Client est responsable de traitement et MarketFrame agit en qualité de sous-traitant au sens de l'article 28 du RGPD. Le présent DPA régit ces traitements. Pour les données de compte, de contact, de facturation et de prospection de ses utilisateurs et clients, MarketFrame agit en qualité de responsable de traitement ; ces traitements sont décrits dans la Politique de confidentialité, accessible à l'adresse critéa.fr/confidentialite.
2. Objet, durée, nature et finalité du traitement
MarketFrame traite les données pour la seule finalité de fournir le service Critéa : préparation de la visite d'évaluation, cotation, aide à la rédaction assistée par IA, export au format Synaé ; gestion des relations avec les clients et les évaluateurs de l'organisme, préparation et signature des documents, suivi des missions, des justificatifs et des factures, diffusion d'informations et gestion du dossier d'accréditation, y compris, à la demande de l'organisme, son audit à blanc assisté par IA. Le traitement dure pendant toute la durée du contrat ; à son terme, les données sont restituées puis supprimées dans les conditions de l'article 10. Description du traitement (annexe factuelle) : • Catégories de personnes concernées : les utilisateurs du Client (évaluateurs et membres de l'organisme), les évaluateurs que l'organisme enregistre sans leur ouvrir de compte, ses contacts professionnels, les signataires de ses documents et les répondants aux questionnaires de satisfaction ; les professionnels, dirigeants et représentants des établissements évalués, cités dans les documents institutionnels déposés et dans les notes et constats, ou qui déposent des documents par le lien que l'organisme leur adresse ; à titre résiduel, et en méconnaissance de l'interdiction prévue à l'article 10 des CGV, des personnes accompagnées. • Catégories de données : documents institutionnels des établissements évalués ; constats d'évaluation (notes, verbatims, cotations, commentaires, bilan de clôture, appréciation générale) ; préférences de rédaction de l'évaluateur et, le cas échéant, celles qu'impose l'organisme désigné, y compris les mots à exclure saisis en texte libre ; relevé chiffré des retouches apportées par l'évaluateur aux commentaires mis en forme, sans leur texte ; données identifiantes résiduelles, pseudonymisées avant tout envoi à un sous-traitant ultérieur situé hors de l'Union européenne ; journaux d'activité et de supervision. • Données de gestion de l'organisme : coordonnées professionnelles des clients, établissements et évaluateurs, éléments de qualification et justificatifs, honoraires, frais et factures, documents contractuels et leurs versions, réponses aux questionnaires, informations et accusés de lecture, registres du dossier d'accréditation (réclamations, risques d'impartialité, revues de direction, actions correctives, audits internes) et audits à blanc. La preuve de signature comprend l'identité déclarée, la méthode d'identification, le consentement ou le refus, les dates, l'adresse IP et le navigateur, les empreintes des PDF et le journal des étapes. Les jetons et codes ne sont conservés qu'en empreinte dans la base. • Données sensibles : la saisie de données de santé ou de toute donnée permettant d'identifier une personne accompagnée est interdite au Client (CGV, article 10). Le contenu déposé ou saisi relève de la responsabilité du Client ; MarketFrame ne vérifie pas l'absence de telles données. En cas de dépôt non conforme, les mesures d'effacement prévues au présent DPA s'appliquent. • Nature des opérations : réception et stockage, extraction de texte (dont la reconnaissance de texte des PDF), pseudonymisation, analyse préparatoire, mise en forme et rédaction assistées par IA, recherche documentaire dans le référentiel de la HAS, comparaison automatique, sans intelligence artificielle, du commentaire mis en forme et du commentaire validé pour proposer à l'évaluateur des réglages de rédaction qu'il accepte ou refuse, génération de PDF, signature électronique simple, envoi d'emails, recueil d'accusés de lecture et de questionnaires, export, transmission de fichiers à l'espace de stockage connecté par l'organisme et récupération de fichiers depuis celui-ci (article 7), effacement. Les pièces et documents de gestion ne sont pas soumis aux fonctions d'IA par ces outils. • Durée : celle du contrat, dans la limite des durées de conservation prévues à l'article 10.
3. Instructions documentées
MarketFrame ne traite les données que sur instruction documentée du Client, y compris en ce qui concerne les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale (article 12 du présent DPA) : le présent DPA, l'utilisation du service et le paramétrage effectué par le Client valent instruction ; toute instruction complémentaire est donnée par écrit. Toute autre finalité est exclue, sauf obligation issue du droit de l'Union européenne ou du droit d'un État membre auquel MarketFrame est soumise ; dans ce cas, MarketFrame informe le Client de cette obligation juridique avant le traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d'intérêt public. Si MarketFrame estime qu'une instruction constitue une violation du RGPD ou d'une autre disposition relative à la protection des données, elle en informe immédiatement le Client (devoir d'alerte).
4. Interdiction de finalité propre et d'entraînement des modèles d'IA
MarketFrame n'utilise les données traitées pour le compte du Client à aucune finalité propre. En particulier, elle ne les utilise jamais pour entraîner, ré-entraîner, affiner (fine-tuning), évaluer ou améliorer un quelconque modèle d'intelligence artificielle, ni pour améliorer le produit Critéa. Les données du Client ne servent qu'à exécuter le service commandé. Toute réutilisation à une autre fin supposerait une autorisation écrite distincte du Client, un test de compatibilité des finalités et l'information des personnes concernées par le Client ; à défaut, elle est interdite. Cette interdiction est répercutée contractuellement sur les sous-traitants ultérieurs (article 7) : les fournisseurs de modèles d'IA (Anthropic, OpenAI, Mistral AI) sont tenus de ne pas entraîner leurs modèles sur les données transmises.
5. Confidentialité
MarketFrame veille à ce que les personnes autorisées à traiter les données du Client s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité, y compris après la fin de leurs fonctions. L'accès aux données est limité aux personnes qui en ont besoin pour l'exécution du service.
6. Sécurité (article 32 du RGPD)
MarketFrame met en œuvre les mesures techniques et organisationnelles appropriées, notamment : • pseudonymisation automatique en trois couches, appliquée en mode bloquant (fail-closed) avant tout envoi à un sous-traitant ultérieur réalisant un traitement d'IA hors de l'Union européenne ; • chiffrement des données en transit (HTTPS) et au repos ; • effacement des documents déposés pour préparer la visite à l'issue de cette préparation, avec preuve horodatée de l'effacement conservée dans un journal en ajout seul ; • journaux d'audit en ajout seul (non modifiables par les utilisateurs ni par les administrateurs applicatifs ; seule la purge automatique de rétention en supprime les entrées à l'échéance de leur durée de conservation) ; • contrôle d'accès par rôle, double authentification (MFA), fermeture automatique des sessions inactives, cloisonnement des données par organisation ; • chiffrement des accès à l'espace de stockage connecté par un organisme (jetons d'accès ou mots de passe d'application), qui ne sont jamais communiqués au navigateur ; • sauvegardes techniques de la base de données assurées par le sous-traitant d'hébergement. Une description plus détaillée des mesures est communiquée au Client sur demande.
7. Sous-traitance ultérieure
Le Client autorise de manière générale MarketFrame à recourir à des sous-traitants ultérieurs pour l'exécution du service (article 28-2 du RGPD). La liste des sous-traitants ultérieurs (identité, prestation, données concernées, localisation, garanties encadrant les transferts et date d'ajout) est publiée, avec l'historique de ses modifications, à l'adresse critéa.fr/sous-traitants. Elle fait partie du présent DPA. MarketFrame informe le Client de tout projet d'ajout ou de remplacement d'un sous-traitant ultérieur, ainsi que de toute extension significative des données qu'il traite, au moins 30 jours avant sa mise en œuvre, par email adressé au titulaire du compte et par la mise à jour de cette liste. Le Client peut s'y opposer par une objection motivée adressée à contact@marketframe.fr dans ce délai ; à défaut, le changement est réputé accepté. En cas d'objection, MarketFrame recherche avec le Client une solution alternative raisonnable ; à défaut d'accord, le Client peut résilier son abonnement sans frais ni pénalité avant la mise en œuvre du changement. Lorsqu'un changement s'impose en urgence (sécurité des données, défaillance d'un sous-traitant, continuité du service), le délai peut être réduit : MarketFrame en informe alors le Client sans délai, en motivant l'urgence, et le droit d'objection s'exerce dans les mêmes conditions. MarketFrame impose par contrat à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles du présent DPA, notamment des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées (article 28-4 du RGPD), et demeure pleinement responsable envers le Client de l'exécution de leurs obligations. Espace de stockage de l'organisme. Le prestataire de l'espace de stockage en ligne qu'un organisme connecte à Critéa (Conditions Générales de Vente Organismes, article 2) est choisi par l'organisme, qui le connecte lui-même et contracte directement avec lui : il agit pour l'organisme, sous la responsabilité de celui-ci, et n'est pas un sous-traitant ultérieur de MarketFrame. Il ne figure donc pas sur la liste des sous-traitants ultérieurs, et son choix ou son changement ne donne pas lieu à l'information prévue au présent article. La connexion de cet espace vaut instruction de l'organisme (article 3) : MarketFrame y crée le dossier de Critéa, y range les fichiers que le service y envoie et y relit ceux dont le service a besoin, sans jamais y supprimer de fichier. Selon le prestataire, la connexion passe par une application que MarketFrame a enregistrée auprès de lui ou par un mot de passe d'application créé dans l'espace de l'organisme, et l'accès ainsi donné porte sur le seul dossier de Critéa, sur les seuls fichiers créés par Critéa ou sur l'ensemble des fichiers du compte connecté. MarketFrame conserve ces accès chiffrés et les supprime à la déconnexion de l'espace ; l'organisme peut aussi retirer cet accès depuis son compte chez le prestataire.
8. Assistance au Client
Compte tenu de la nature du traitement, MarketFrame assiste le Client, par des mesures techniques et organisationnelles appropriées, pour : • répondre aux demandes d'exercice des droits des personnes concernées : accès, rectification, effacement, limitation, opposition, portabilité ; MarketFrame transmet sans délai au Client toute demande qu'elle recevrait directement d'une personne concernée ; • assurer le respect de ses obligations en matière de sécurité (article 32 du RGPD) ; • notifier les violations de données : en cas de violation de données à caractère personnel affectant les contenus du Client, MarketFrame notifie le Client sans délai injustifié et au plus tard 48 heures après en avoir pris connaissance, par email adressé au titulaire du compte, afin de lui permettre de respecter le délai de 72 heures dont il dispose à l'égard de l'autorité de contrôle. La notification décrit, dans la mesure où ces informations sont disponibles, la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, ses conséquences probables et les mesures prises ou envisagées pour y remédier et en atténuer les effets ; les informations qui ne sont pas disponibles immédiatement sont communiquées dès qu'elles le sont. MarketFrame consigne toute violation dans son registre, qu'elle ait été notifiée ou non ; • réaliser les analyses d'impact relatives à la protection des données (article 35 du RGPD) et, le cas échéant, la consultation préalable de l'autorité de contrôle (article 36 du RGPD). L'information des personnes concernées dont les données ne sont pas collectées directement auprès d'elles (article 14 du RGPD), notamment les agents des établissements cités dans les documents déposés, incombe au Client, responsable de traitement. MarketFrame lui fournit les éléments nécessaires (finalités, catégories de données, sous-traitants ultérieurs, durées, transferts) pour remplir cette obligation.
9. Engagements du Client
Le Client s'engage à appliquer le principe de minimisation (article 5-1-c du RGPD) : ne déposer que les éléments nécessaires à l'évaluation ou à la gestion professionnelle de l'organisme, privilégier les documents institutionnels et pseudonymiser ce qu'il retranscrit. Conformément à l'article 10 des CGV, la saisie ou le dépôt dans le service de toute donnée de santé ou de toute donnée permettant d'identifier une personne accompagnée est strictement interdit, sans exception : les observations recueillies au cours de la visite, y compris dans le cadre de la méthode de l'accompagné traceur, se traitent en dehors de l'outil. Le Client veille au contenu de ce qu'il dépose et saisit, qui relève de sa seule responsabilité ; aucune attestation ne lui est demandée au dépôt. Il garantit MarketFrame contre les conséquences d'un manquement à ces engagements (recours indemnitaire). MarketFrame conserve néanmoins ses obligations propres de sous-traitant (articles 28 et 32 du RGPD) et met en œuvre les mesures techniques prévues au présent DPA (pseudonymisation automatique partielle en trois couches avant tout envoi aux modèles d'intelligence artificielle situés hors de l'Union européenne, qui ne rend pas les contenus anonymes ; avertissements au dépôt et à la saisie ; effacement des documents déposés), qui matérialisent son devoir d'alerte.
10. Sort des données
Pendant le contrat, les données d'une évaluation sont supprimées 90 jours après sa clôture par l'évaluateur, et les documents déposés pour préparer cette visite sont effacés à l'issue de cette préparation, dans les conditions décrites dans la Politique de confidentialité. Par exception, une évaluation ouverte par un organisme, avec les éléments qu'il y a reportés, est conservée tant que l'organisme utilise Critéa, qu'il soit abonné ou non, puis supprimée par lui ou automatiquement 5 ans après la dernière connexion d'un de ses membres. Cette exception porte sur son contenu écrit (fiche, grilles, y compris le classeur Synaé importé, cotations, commentaires, préparation de visite, appréciation générale, éléments importés, dates et journaux), et non sur les documents déposés pour préparer la visite : ceux que dépose l'équipe d'évaluation suivent la règle qui précède, et ceux que dépose l'organisme, ou l'établissement évalué par le lien qu'il lui adresse, sont conservés dans l'espace de stockage de l'organisme (alinéa suivant). Fichiers rangés dans l'espace de stockage de l'organisme. Lorsqu'un organisme a connecté un espace de stockage (article 7), les documents de préparation qu'il dépose ou fait déposer, les documents de sa bibliothèque et les pièces jointes de ses registres déposés après cette connexion, les exports qu'il y envoie et, après la clôture de chaque évaluation qui le désigne, la copie du contenu qu'il peut en consulter, de son journal de supervision et du dossier de preuve de sa conduite y sont conservés, sous sa responsabilité. MarketFrame n'en garde qu'une référence et n'en conserve aucun dans son propre stockage au-delà du temps nécessaire pour le transmettre à cet espace, un effacement qui échoue étant repris automatiquement au-delà de 24 heures. Pour lire un de ces fichiers, MarketFrame en pose une copie temporaire, effacée automatiquement (au plus 7 jours pour un lien adressé par email), et les documents de préparation, récupérés au lancement de la préparation de visite, sont effacés dans les conditions du premier alinéa. Les fichiers conservés dans l'espace de l'organisme ne sont soumis ni aux durées ni aux suppressions prévues au présent article, et MarketFrame n'y supprime rien : il appartient à l'organisme d'en déterminer la durée de conservation. Les données propres à la gestion de l'organisme suivent un cycle distinct : elles sont conservées tant que son compte existe, sous réserve des suppressions permises par le service ou demandées au support, et à l'exception des fichiers rangés dans son espace de stockage. Les documents envoyés ou signés et leur preuve ne peuvent pas être réécrits ; leur conservation n'est pas interrompue par la suppression d'une évaluation ou du compte d'un signataire. Ils sont supprimés avec le compte de l'organisme, fichiers compris. Il appartient à l'organisme de déterminer les durées nécessaires à ses finalités, d'exporter ses archives et de demander l'effacement des données devenues inutiles. Au terme du contrat d'utilisation du compte, ou à tout moment sur demande écrite du Client, MarketFrame restitue les données selon le choix du Client (export des grilles au format Synaé et copie des autres données dans un format structuré et couramment utilisé), puis supprime l'ensemble des données à caractère personnel traitées pour son compte ainsi que leurs copies, y compris auprès des sous-traitants ultérieurs, sauf obligation légale imposant leur conservation. La résiliation de la seule prestation payante ne met pas fin au contrat d'utilisation du compte : celui-ci se poursuit sans abonnement dans les conditions des CGV (article 5.2 des Conditions Générales de Vente Évaluateurs, article 5.6 des Conditions Générales de Vente Organismes), et le présent DPA continue de s'appliquer. La suppression de son compte par le Client vaut demande de suppression : le compte est placé en corbeille pendant 3 jours, puis purgé définitivement, fichiers compris. Les sauvegardes techniques et les journaux conservés par les sous-traitants ultérieurs sont effacés par rotation, au plus tard 30 jours après la suppression. Une attestation de suppression est fournie sur demande. Par exception, MarketFrame conserve, à des fins de preuve : les journaux de conformité et de supervision, sans le contenu des constats, pendant 5 ans à compter de l'enregistrement de chaque événement ; et, pour une évaluation rattachée à un organisme évaluateur accrédité, l'archive de preuve de sa conduite, pendant 5 ans à compter de sa clôture, ou de sa suppression si elle n'avait pas été clôturée ; si l'évaluation avait été clôturée, cette archive comprend aussi le contenu que cet organisme pouvait consulter au moment de la suppression, figé. Ces éléments sont ensuite supprimés automatiquement.
11. Audit
Conformément à l'article 28-3-h du RGPD, MarketFrame met à la disposition du Client toutes les informations nécessaires pour démontrer le respect de ses obligations et pour permettre la réalisation d'audits, y compris des inspections. Le Client peut réaliser, à ses frais, au maximum une fois par an et moyennant un préavis écrit de 30 jours, un audit, directement ou par l'intermédiaire d'un auditeur indépendant qu'il mandate, non concurrent de MarketFrame et tenu à la confidentialité. Cette limite de fréquence et ce préavis ne s'appliquent pas lorsque l'audit fait suite à une violation de données affectant le Client ou est demandé par une autorité de contrôle. L'audit s'exerce d'abord sur pièces (documentation, registres, rapports) ; il ne doit compromettre ni la sécurité des données des autres clients de MarketFrame, ni la confidentialité des informations qui ne concernent pas le Client. MarketFrame contribue à ces audits. Le contrôle des sous-traitants ultérieurs s'exerce au moyen des rapports et attestations qu'ils mettent à disposition.
12. Transferts hors de l'Union européenne
Les contenus du Client sont hébergés et traités par MarketFrame dans l'Union européenne. Font exception : la génération de texte assistée par IA et la recherche documentaire associée, confiées à des sous-traitants ultérieurs situés aux États-Unis, qui ne reçoivent qu'un texte préalablement pseudonymisé ; et les emails du service, dont le prestataire d'envoi stocke le contenu et les journaux aux États-Unis. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne (décision d'exécution (UE) 2021/914) conclues avec chacun des sous-traitants ultérieurs concernés et, pour ceux qui y sont certifiés, par le cadre de protection des données UE–États-Unis (décision d'adéquation (UE) 2023/1795) ; la garantie retenue pour chacun figure dans la liste des sous-traitants ultérieurs (article 7). Plusieurs sous-traitants ultérieurs dont les serveurs sont situés dans l'Union européenne sont des sociétés de droit américain : un accès aux données par une autorité américaine ne peut être totalement exclu. Ce risque est évalué dans une analyse d'impact des transferts, maintenue à jour, et atténué par la pseudonymisation, le chiffrement et la localisation des serveurs dans l'Union européenne. Une copie de ces garanties peut être obtenue sur demande à contact@marketframe.fr. Lorsqu'un organisme connecte un espace de stockage (article 7), les fichiers que le service y range sont transmis, sur son instruction, au prestataire qu'il a choisi : la localisation de cet espace, qui peut se trouver hors de l'Union européenne, et l'encadrement d'un éventuel transfert relèvent de l'organisme, responsable de traitement, et non des garanties décrites ci-dessus. MarketFrame lui recommande une solution européenne.
13. Responsabilité
La responsabilité de chaque partie au titre du présent DPA est régie par l'article 7 des CGV, sans préjudice de la responsabilité de chacune à l'égard des personnes concernées prévue à l'article 82 du RGPD.
14. Dispositions finales
Le présent DPA prend effet à l'acceptation des CGV et demeure en vigueur pendant toute la durée du contrat, puis tant que MarketFrame conserve des données du Client. Ses modifications suivent l'article 14 des CGV. Il est régi par le droit français ; tout litige relatif à son interprétation ou à son exécution relève des tribunaux du ressort du siège social de MarketFrame, dans la mesure permise par la loi. En matière de protection des données, le présent DPA prévaut sur les CGV. Une version signée du présent DPA peut être fournie sur demande à contact@marketframe.fr.