Agora

Accord de traitement des données

Cet accord, prévu par l'article 28 du RGPD, encadre les données personnelles que l'éditeur traite pour le compte de l'entreprise cliente dans ses espaces Agora. Il fait partie du contrat, avec les conditions générales de vente.

Version du 1er novembre 2026

Projet en cours de validation juridique : ce document n'engage pas encore l'éditeur et peut changer avant sa publication.

Le client, qui a souscrit Agora, est le responsable du traitement. L'éditeur, , SIREN , , , est son sous-traitant.

Les traitements dont l'éditeur est lui-même responsable (site, comptes, inscription, facturation) relèvent de la politique de confidentialité, et non de cet accord.

  • objet : fournir au client les espaces Agora et leurs fonctions ;
  • nature : hébergement, stockage, affichage aux personnes autorisées, transmission audio et vidéo, enregistrement et transcription des réunions, rédaction des comptes rendus, envoi des e-mails de service ;
  • durée : celle du contrat, puis le temps de la suppression prévue à l'article 10 ;
  • personnes concernées : les membres, administrateurs et invités des espaces du client, et les personnes citées dans leurs contenus ;
  • données : identité et coordonnées professionnelles, présence et position dans le bureau virtuel, messages, fichiers et réactions, son et image des réunions, transcriptions, comptes rendus, événements d'agenda reliés, accords d'enregistrement, journal des actions d'administration.

Le client veille à ne pas faire traiter par Agora de données sensibles (santé, opinions, condamnations…) au-delà de ce que son activité et son analyse permettent.

L'éditeur ne traite les données que sur instruction documentée du client : ce contrat, et les réglages que ses administrateurs font dans Agora (fonctions activées, durées de conservation, accès, intégrations). Il ne les utilise pour aucune autre fin, ne les vend pas et ne s'en sert pas pour entraîner des modèles d'intelligence artificielle.

Si une instruction lui paraît contraire au RGPD, l'éditeur en informe aussitôt le client. Si le droit de l'Union ou d'un État membre l'oblige à un traitement, il prévient le client avant, sauf si la loi l'interdit.

Les personnes de l'éditeur qui peuvent accéder aux données sont tenues à la confidentialité et n'y accèdent que pour leurs fonctions. Le support n'entre dans un espace qu'avec l'accord du client, et cet accès est inscrit au journal.

L'éditeur met en œuvre les mesures prévues par l'article 32 du RGPD, notamment :

  • chiffrement des échanges (HTTPS, TLS) ;
  • chiffrement des fichiers et des enregistrements avant leur stockage (AES-GCM, une clé par fichier) ;
  • secrets (clés d'intégration, de modèle de langue, d'agenda) chiffrés et jamais réaffichés ;
  • contrôle des accès par rôle dans chaque espace, double authentification pour la console d'administration de la plateforme ;
  • journal non modifiable des actions d'administration, exportable par le client ;
  • aucune capture de réunion sans l'accord de chaque participant, appliqué par le serveur de visio ;
  • transcription sur les serveurs d'Agora ; masquage des noms, adresses e-mail et numéros de téléphone avant tout envoi à un modèle de langue ;
  • hébergement dans l'Union européenne, limites de ressources par service, mises à jour de sécurité suivies.

[À confirmer : sauvegardes (fréquence, chiffrement, rotation, tests de restauration) et plan de continuité.]

Le client autorise l'éditeur à recourir aux sous-traitants ultérieurs suivants :

  • Hostinger : hébergement des serveurs, dans l'Union européenne [À confirmer : pays du centre de données] ;
  • Resend, ou le serveur de messagerie retenu : envoi des e-mails de service (invitations, codes de connexion, comptes rendus) ;
  • le fournisseur de modèle de langue retenu par la plateforme : rédaction des comptes rendus et réponses de l'assistant, à partir de textes masqués.

Lorsque le client relie lui-même son propre fournisseur de modèle de langue, son agenda ou une intégration, ce prestataire travaille pour le client, et non pour l'éditeur.

L'éditeur impose à chaque sous-traitant ultérieur les mêmes obligations que cet accord et reste responsable de lui devant le client. Il informe le client de tout ajout ou remplacement au moins 30 jours à l'avance ; le client peut s'y opposer pour un motif légitime et, à défaut d'accord, résilier sans frais.

Les données sont hébergées dans l'Union européenne. Un transfert hors de l'Union par un sous-traitant ultérieur n'a lieu qu'avec une décision d'adéquation de la Commission européenne ou ses clauses contractuelles types, complétées si besoin de mesures supplémentaires. [À confirmer : sous-traitant par sous-traitant.]

Agora donne au client les moyens de répondre lui-même aux demandes des personnes : modifier ou retirer un membre, supprimer un message, un fichier ou une réunion, exporter un compte rendu ou une conversation. Si une personne s'adresse directement à l'éditeur, il transmet sa demande au client sans délai et l'aide à y répondre.

L'éditeur aide aussi le client, avec les informations dont il dispose, pour son analyse d'impact et, le cas échéant, la consultation de la CNIL.

L'éditeur notifie au client toute violation de données personnelles dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance [À confirmer : délai], avec ce qu'il en sait : nature, catégories et nombre approximatif de personnes et de données, conséquences probables, mesures prises ou envisagées. Il complète ces informations au fur et à mesure.

Pendant le contrat, le client peut exporter ses contenus : transcriptions et comptes rendus en Markdown, conversations en Markdown ou en JSON, journal d'administration. [À confirmer : export des fichiers et des enregistrements.]

À la fin du contrat, l'espace est verrouillé puis supprimé avec ses contenus au terme de la durée de conservation de l'offre (90 jours par défaut), après avertissement. Sur demande écrite du client, la suppression peut être faite plus tôt. Les copies de sauvegarde sont effacées à leur rotation [À confirmer : durée]. L'éditeur ne conserve que ce que la loi l'oblige à garder.

L'éditeur met à disposition du client les informations nécessaires pour démontrer le respect de cet accord. Le client peut faire réaliser un audit, par lui-même ou par un auditeur indépendant tenu au secret, une fois par an, avec un préavis de 30 jours, sans perturber le service ni accéder aux données des autres clients. [À confirmer : prise en charge des frais.]

Cet accord dure autant que le contrat et jusqu'à la suppression des données. La responsabilité de chaque partie suit les conditions générales de vente, sans exclure ce que le RGPD met à la charge de chacune.