1. Objet et articulation avec les CGV

Le présent accord de traitement des données (le « DPA ») précise les conditions dans lesquelles Mascaret SAS (société par actions simplifiée, RCS Paris 993 670 843, 60 rue François Ier, 75008 Paris), éditrice du service Bazalt.One, traite des données à caractère personnel pour le compte du Client, conformément à l'article 28 du Règlement (UE) 2016/679 (RGPD).

Il s'applique aux seules données à caractère personnel contenues dans les Données Client au sens des conditions générales de vente et d'utilisation (« CGV ») — c'est-à-dire les maquettes IFC, plans, documents, métrés et autres contenus que le Client, ses utilisateurs ou ses invités déposent ou produisent dans le Service — dans la mesure où ces contenus comportent de telles données. Il ne s'applique pas aux données que Mascaret SAS traite en qualité de responsable de traitement (données de compte, de facturation, de sécurité), qui relèvent de la politique de confidentialité.

Le présent DPA complète les CGV et en fait partie intégrante pour tout Client qui y a souscrit ; il n'emporte novation d'aucune de leurs stipulations. En cas de contradiction sur un point qu'il régit spécifiquement — le traitement des données à caractère personnel —, le présent DPA prévaut sur les CGV ; pour tout le reste (prix, durée, résiliation, responsabilité), ce sont les CGV qui font foi.

Le présent DPA est la version 1.0. Il entre en vigueur à la date à laquelle le Client accepte les CGV lors de la souscription ou accepte expressément le DPA, et s'applique aux Données Client traitées à compter de cette date. L'identité et les coordonnées du Client sont celles renseignées dans le compte ou le bon de souscription ; Mascaret SAS est identifiée ci-dessus et agit par l'intermédiaire de son représentant légal.

2. Rôles et instructions

Pour les données régies par le présent DPA, le Client est responsable de traitement et Mascaret SAS est son sous-traitant. Le Client garantit disposer d'une base légale pour les données à caractère personnel qu'il importe ou produit dans le Service, et être en droit de donner à Mascaret SAS les instructions décrites ci-après.

Mascaret SAS ne traite ces données que sur instruction documentée du Client, que constituent : les présentes, les CGV, la configuration que le Client opère dans le Service, et toute instruction complémentaire écrite adressée à elodie@mascaret.ai. Ces instructions couvrent également les transferts éventuels de données vers un pays tiers ou une organisation internationale. Cette instruction consiste, sauf accord contraire, à héberger, stocker, analyser et restituer les Données Client aux seules fins de fournir et maintenir le Service (traitement des maquettes IFC, métré, classification, estimation, génération de documents, sauvegarde et support). Si Mascaret SAS considère qu'une instruction contrevient au RGPD, elle en informe le Client sans délai et peut suspendre son exécution.

Mascaret SAS garantit que les personnes autorisées à traiter les Données Client sont engagées à la confidentialité, par leur contrat de travail ou un engagement équivalent.

3. Sous-traitants ultérieurs

Le Client autorise de façon générale Mascaret SAS à recourir aux sous-traitants ultérieurs nécessaires à la fourniture du Service, aujourd'hui :

Sous-traitant	Rôle	Lieu de traitement
Hetzner Online GmbH	Hébergement de l'application et de la base de données	Allemagne (Union européenne)
Cloudflare, Inc.	Stockage des fichiers déposés (Cloudflare R2)	Juridiction Union européenne
Mistral AI	Fonctionnalités d'assistance par intelligence artificielle, lorsque le Client y recourt	Union européenne

Qonto Technologies SAS et Mollie B.V. interviennent pour le traitement des paiements et des données de facturation. Ces données relèvent de la politique de confidentialité et ne constituent pas des Données Client au sens du présent DPA. Leur qualification juridique exacte (responsable de traitement indépendant ou autre rôle selon le parcours de paiement) doit être déterminée par les contrats et les parcours effectivement utilisés ; le présent DPA ne préjuge pas de cette qualification.

Mascaret SAS informe le Client de tout nouveau sous-traitant ultérieur envisagé avec un préavis d'au moins quinze (15) jours, par un moyen approprié (courriel ou notice sur le Service). Le Client peut s'opposer à ce recours pour un motif raisonnable tenant à la protection de ses données, en écrivant à elodie@mascaret.ai dans ce délai ; à défaut d'opposition, le nouveau sous-traitant est réputé accepté. En cas d'opposition non résolue, chacune des parties peut résilier l'abonnement dans les conditions de l'article 6 des CGV.

Mascaret SAS conclut avec chaque sous-traitant ultérieur un contrat imposant des obligations de protection des données équivalentes à celles du présent DPA, et demeure responsable envers le Client de leur bonne exécution.

4. Assistance au Client

Compte tenu de la nature du traitement, Mascaret SAS assiste le Client, dans une mesure raisonnable et par les moyens appropriés du Service ou du support, pour lui permettre de répondre aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, limitation, opposition, portabilité) portant sur les Données Client. Le Client, responsable de traitement pour ces données, demeure seul destinataire et répondant de ces demandes ; Mascaret SAS lui transmet sans délai toute demande qu'elle recevrait directement à leur sujet.

Mascaret SAS assiste de même le Client dans le respect de ses obligations au titre des articles 32 à 36 du RGPD (sécurité, notification de violation, analyses d'impact, consultation préalable de l'autorité de contrôle), compte tenu de la nature du traitement et des informations dont elle dispose.

5. Sécurité

Mascaret SAS met en œuvre les mesures techniques et organisationnelles appropriées décrites dans la politique de confidentialité, notamment le chiffrement des mots de passe, le chiffrement des échanges (HTTPS), le contrôle des accès, l'hébergement des données dans l'Union européenne et des sauvegardes régulières — proportionnées au risque que présente le traitement des Données Client.

En cas de violation de données à caractère personnel affectant les Données Client, Mascaret SAS en informe le Client dans les meilleurs délais après en avoir pris connaissance, avec les informations alors disponibles utiles à l'appréciation de la violation et, le cas échéant, à la notification du Client à son autorité de contrôle ou aux personnes concernées. Cette information est complétée dès que possible si des éléments nouveaux apparaissent.

6. Documentation et audit

Mascaret SAS met à la disposition du Client les informations raisonnablement nécessaires pour démontrer le respect du présent DPA. À la demande écrite du Client, formulée au plus une fois par an sauf motif légitime (incident de sécurité notamment), Mascaret SAS répond à un questionnaire de sécurité raisonnable ou organise un entretien à cette fin. Un audit sur place ou par un tiers mandaté reste possible d'un commun accord, sur préavis raisonnable, aux frais du Client et dans des conditions qui ne compromettent ni la sécurité ni la continuité du Service pour les autres clients.

7. Transferts internationaux

Les Données Client sont hébergées dans l'Union européenne : la base de données chez Hetzner (Allemagne), les fichiers déposés sur Cloudflare R2 en juridiction Union européenne, et les traitements d'intelligence artificielle par Mistral AI dans l'Union européenne. Le bucket Cloudflare R2 utilisé pour les fichiers est configuré en juridiction UE. Certains sous-traitants ultérieurs, notamment Cloudflare, sont des sociétés établies aux États-Unis ; tout transfert ou accès depuis un pays situé hors de l'Espace économique européen que leur intervention impliquerait est encadré par les clauses contractuelles types adoptées par la Commission européenne (décision d'exécution (UE) 2021/914) ou par un autre mécanisme de transfert reconnu par le RGPD.

8. Durée et sort des données

Le présent DPA s'applique pendant toute la durée où Mascaret SAS traite des Données Client pour le compte du Client, soit la durée de l'abonnement. À l'issue du contrat, les Données Client sont conservées trente (30) jours dans les conditions de l'article 10 des CGV, pour permettre au Client de les récupérer, puis supprimées — sous réserve des durées de conservation imposées par la loi à Mascaret SAS au titre de ses propres obligations légales.

9. Responsabilité et divers

Le régime de responsabilité applicable au présent DPA est celui de l'article 14 des CGV. Le présent DPA est régi par le droit français ; à défaut de résolution amiable, les tribunaux compétents de Paris en connaissent, dans les mêmes conditions que les CGV.

Toute question relative au présent DPA ou à la protection des données peut être adressée à elodie@mascaret.ai.

Annexe 1 — Description du traitement

Objet	Fourniture du Service Bazalt.One : analyse de maquettes IFC, métré, classification, estimation, génération de documents, stockage et sauvegarde des Données Client.
Durée	Durée de l'abonnement, augmentée de la période de récupération de trente (30) jours prévue à l'article 10 des CGV.
Nature des opérations	Collecte, hébergement, stockage, consultation, analyse automatisée, sauvegarde, restitution et suppression.
Catégories de personnes concernées	Utilisateurs et invités du Client, personnes placées au planning, et toute personne identifiée dans les documents ou maquettes que le Client importe dans le Service.
Catégories de données	Données d'identification et de contact professionnelles figurant dans les Données Client, et toute donnée à caractère personnel que le Client choisit d'y faire figurer (les documents et maquettes importés ne sont pas contrôlés par Mascaret SAS quant à leur contenu).
Sous-traitants ultérieurs	Voir article 3.
Lieu de traitement	Union européenne.
Autorité de contrôle de référence	Commission nationale de l'informatique et des libertés (CNIL), cnil.fr.

Dernière mise à jour : 17 septembre 2026.