Annexe relative au traitement des données personnelles

Le portail ibou et son API de recherche, ci-après le « Service », sont exploités par la société Babbar, société par actions simplifiée au capital de 24 023 euros, immatriculée au RCS d’Évreux sous le numéro 879 721 942, dont le siège social est situé 215 route de Paris, 27000 Évreux, France. Dans la présente annexe, la société est désignée par « ibou ». Les autres termes commençant par une majuscule ont le sens que leur donnent les conditions générales d’utilisation, ci-après les « CGU », et les conditions générales de vente, ci-après les « CGV ».

Version 1.0 — applicable à compter du 19 octobre 2026.

1. Parties, objet et périmètre

Le Client est identifié dans son compte professionnel et dans les conditions particulières éventuellement convenues. Pour les traitements décrits à l’article 2, il agit comme responsable du traitement, ou comme sous-traitant autorisé à recourir à ibou pour le compte de son propre donneur d’ordre.

ibou intervient comme sous-traitant du Client pour ces seuls traitements. La présente annexe précise les obligations des parties au titre de l’article 28 du règlement général sur la protection des données, ci-après le « RGPD ».

Les traitements qu’ibou détermine pour ses propres finalités, tels que les obligations comptables, la sécurité du Service, la gestion de sa relation commerciale ou la constitution de son index de recherche, relèvent de la politique de confidentialité et ne sont pas couverts par la présente annexe.

2. Caractéristiques du traitement

3. Instructions du Client

ibou traite les données uniquement sur les instructions documentées du Client, constituées par le contrat, la présente annexe et les demandes réalisées dans le cadre des fonctionnalités convenues. Toute instruction supplémentaire fait l’objet d’une documentation appropriée.

Si ibou estime qu’une instruction méconnaît le RGPD ou une autre règle de protection des données applicable, elle en informe immédiatement le Client et lui demande de la préciser ou de la modifier.

Si un traitement est imposé à ibou par une règle de droit applicable, ibou informe le Client de cette obligation avant le traitement, sauf interdiction légale fondée sur un motif important d’intérêt public.

ibou ne réutilise pas les données traitées pour le compte du Client pour ses propres finalités. Toute opération distincte nécessite l’accord exprès et préalable du Client ; elle ne peut être déduite d’une autorisation générale d’amélioration du Service.

4. Obligations du Client

Le Client détermine les finalités de ses traitements, dispose d’une base légale appropriée, informe les personnes concernées et limite les données transmises à ce qui est nécessaire. Il fournit des instructions conformes au droit et assure la sécurité de ses propres systèmes et habilitations.

Lorsqu’il agit lui-même comme sous-traitant, il vérifie qu’il est autorisé à confier les opérations concernées à ibou et à convenir des présentes conditions.

5. Confidentialité et sécurité

ibou s’assure que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité appropriée. Elle limite leurs accès aux besoins de leurs missions.

ibou met en œuvre les mesures techniques et organisationnelles adaptées aux risques conformément à l’article 32 du RGPD. Ces mesures sont décrites à l’article 12. Elles tiennent compte notamment de la confidentialité, de l’intégrité, de la disponibilité et de la capacité à rétablir l’accès aux données en cas d’incident.

Le niveau de protection ne peut être diminué de manière substantielle sans évaluation des conséquences et information du Client.

6. Sous-traitants ultérieurs

Le Client autorise de manière générale le recours aux sous-traitants ultérieurs figurant à l’article 13. ibou leur impose des obligations de protection des données substantiellement équivalentes à celles de la présente annexe et demeure responsable envers le Client de l’exécution de leurs obligations dans les conditions du RGPD.

ibou informe le Client au moins trente (30) jours avant l’ajout ou le remplacement d’un sous-traitant ultérieur, par notification dans le portail ou par courrier électronique à l’administrateur de l’organisation, afin de lui permettre de formuler une objection motivée relative à la protection des données.

En cas d’objection, les parties recherchent une solution appropriée. Si aucune solution n’est possible, elles organisent l’arrêt du traitement concerné et les conséquences contractuelles correspondantes.

7. Transferts internationaux

Les traitements décrits à l’article 2 sont réalisés en France, sur les infrastructures d’ibou. ibou ne transfère pas les données traitées pour le compte du Client en dehors de l’Espace économique européen, y compris par un accès à distance.

Un transfert ne pourrait intervenir que sur instruction documentée du Client ou en vertu d’une obligation légale applicable, dans le respect du chapitre V du RGPD et après information du Client.

8. Assistance et droits des personnes

En tenant compte de la nature du traitement et des informations dont elle dispose, ibou aide le Client à répondre aux demandes d’exercice des droits des personnes. Elle lui transmet sans retard indu les demandes reçues portant sur les traitements réalisés pour son compte et ne répond sur le fond que sur instruction ou obligation légale.

ibou aide également le Client à respecter ses obligations en matière de sécurité, de notification des violations, d’analyse d’impact et de consultation préalable de l’autorité de contrôle, dans les conditions prévues par le RGPD.

Les demandes d’assistance sont adressées à dpo@ibou.com. ibou y répond sans frais lorsqu’elles restent raisonnables au regard de la nature du traitement. Une assistance excédant ce cadre, par exemple la participation à une analyse d’impact propre au Client, peut faire l’objet d’un devis, sans que cela puisse retarder ou conditionner l’exécution des obligations légales d’ibou.

9. Violations de données

ibou notifie au Client toute violation de données personnelles relevant de la présente annexe dans les meilleurs délais après en avoir pris connaissance. Les informations disponibles sont transmises progressivement si elles ne peuvent être fournies simultanément.

La notification décrit, dans la mesure du possible, la nature de la violation, les catégories et volumes approximatifs de personnes et d’enregistrements concernés, les conséquences probables, les mesures prises ou proposées et le contact permettant d’obtenir des précisions.

ibou coopère pour contenir l’incident, en limiter les effets et permettre au Client d’effectuer les notifications et communications qui lui incombent.

10. Restitution et suppression

Au terme des prestations, ibou supprime les données personnelles traitées pour le compte du Client encore présentes dans ses systèmes actifs dans les trente (30) jours, et dans ses sauvegardes au plus tard quatre-vingt-dix (90) jours après, sauf obligation légale de conservation.

Le Client qui souhaite obtenir la restitution des données encore présentes en fait la demande écrite avant la fin du contrat ; ibou les lui remet dans un format structuré couramment utilisé. Une attestation de suppression est fournie sur demande.

Les données conservées en application d’une obligation légale restent protégées et leur traitement est limité à cette obligation. La conservation des pièces comptables propres à ibou ne s’étend pas au contenu des requêtes.

11. Documentation et audits

ibou met à disposition du Client les informations nécessaires pour démontrer le respect des obligations prévues par l’article 28 du RGPD et permet les audits, y compris les inspections, réalisés par le Client ou par un auditeur qu’il mandate. Elle contribue à ces vérifications.

Les parties organisent les modalités pratiques de manière à protéger les autres Clients, la confidentialité et la sécurité du Service. Un préavis raisonnable peut être convenu sans faire obstacle à une vérification urgente, à une demande de l’autorité de contrôle ou à l’effectivité du droit d’audit.

12. Mesures techniques et organisationnelles

ibou met en œuvre les mesures suivantes :

13. Sous-traitants ultérieurs

À la date de la présente version, aucun sous-traitant ultérieur n’intervient dans les traitements relevant de la présente annexe : les opérations décrites à l’article 2 sont exécutées par ibou sur des infrastructures qu’elle exploite elle-même, en France.

Les prestataires auxquels ibou fait appel pour ses propres traitements, notamment le paiement et l’envoi de courriers électroniques, sont mentionnés dans la politique de confidentialité. Ils n’interviennent pas dans le traitement du contenu des requêtes.

14. Articulation contractuelle

Pour les questions de protection des données relevant de son périmètre, la présente annexe prévaut sur les clauses incompatibles des CGU et des CGV. Elle ne restreint ni les droits des personnes concernées ni les pouvoirs des autorités de contrôle.

La présente annexe fait partie des documents contractuels acceptés avec les CGU. Ses modifications suivent les règles prévues à l’article 13 des CGU.