Accord de sous-traitance — DPA (art. 28 RGPD)

Note liminaire

Le présent document est l'accord de sous-traitance (« DPA ») conclu entre LTC Group SRL et chaque étude notariale cliente de Nota ; le tableau final met chaque exigence en regard de l'article qui la couvre. Les champs entre crochets sont complétés à la signature, sans modification des clauses.

Parties

LTC Group SRL, société à responsabilité limitée de droit belge, dont le siège social est établi Rue du Noir Jambon 13, 7830 Thoricourt (Belgique), inscrite à la Banque-Carrefour des Entreprises sous le numéro 1036.831.317, représentée par Cyrille Liétard, gérant, ci-après « LTC » ou le « Sous-traitant » ;

et

[Dénomination de l'étude notariale], établie [adresse], représentée par Maître [nom], notaire, ci-après « l'Étude » ou le « Responsable du traitement » ;

ensemble, les « Parties ».

Préambule

L'Étude utilise Nota, suite logicielle SaaS pour études notariales éditée et opérée par LTC, en vertu du contrat de licence et des conditions générales Nota (le « Contrat »). Cette utilisation implique le traitement par LTC, pour le compte de l'Étude, de données à caractère personnel couvertes par le secret professionnel notarial (article 458 du Code pénal). Le présent DPA encadre ce traitement conformément à l'article 28 du règlement (UE) 2016/679 (« RGPD ») et fait partie intégrante du Contrat.

Article 1 — Définitions

Les termes employés ont le sens que leur donne l'article 4 du RGPD. Les « données de dossiers » désignent l'ensemble des données à caractère personnel traitées via Nota pour le compte de l'Étude : dossiers, fiches de personnes et de biens, pièces, courriers et journaux associés. « Veil™ » désigne le moteur propriétaire de pseudonymisation de LTC, appliqué avant tout appel à un modèle de langage cloud (Annexes B et C).

Article 2 — Rôles des Parties

2.1 L'Étude est responsable du traitement des données de dossiers : elle en détermine les finalités et les moyens, dans le cadre de ses obligations légales et déontologiques de notaire.

2.2 LTC est sous-traitant : il traite les données de dossiers exclusivement pour le compte de l'Étude, aux seules fins de fourniture de Nota et des prestations associées (support, hébergement, sauvegarde).

2.3 Le présent DPA n'institue aucune responsabilité conjointe au sens de l'article 26 du RGPD.

2.4 LTC demeure responsable du traitement pour ses traitements propres (comptes, facturation, relation commerciale), hors périmètre du présent DPA et couverts par la politique de confidentialité de Nota.

2.5 Point de contact protection des données de LTC : Cyrille Liétard, référent protection des données, contact@ltcai.be. Pour l'Étude : les contacts désignés au Contrat.

2.6 LTC n'a pas désigné de délégué à la protection des données. Les conditions de désignation obligatoire de l'article 37.1 du RGPD ne sont pas réunies dans son chef : LTC n'est pas un organisme public, ses activités de base ne consistent pas en un suivi régulier et systématique à grande échelle de personnes concernées, et elle ne traite pas à grande échelle, pour son compte propre, de données visées aux articles 9 et 10 — les données de dossiers étant traitées pour le compte de l'Étude, sur ses instructions. Le rôle de « référent protection des données » est un point de contact interne assumé comme tel, et non un DPO au sens des articles 37 à 39 : il est exercé par un fondateur également responsable technique, cumul qui serait susceptible de soulever une question de conflit d'intérêts au regard de l'article 38.6. Cette qualification est volontairement explicite afin que l'Étude, elle-même soumise à ses propres obligations de désignation, ne présume pas de l'existence d'un DPO chez son sous-traitant. La désignation d'un délégué sera réévaluée avec l'entrée en production et la croissance du parc ; l'Étude en sera informée par la voie de l'article 7.2.

Article 3 — Objet et durée

3.1 Le DPA encadre les traitements de données de dossiers nécessaires à la fourniture de Nota et des prestations associées. La description détaillée du traitement — nature, finalités, personnes concernées, catégories de données, durée — figure en Annexe A.

3.2 Le DPA prend effet à la signature et demeure en vigueur pendant toute la durée du Contrat. Survivent à sa fin : la confidentialité (article 5), le sort des données (article 13) et l'article 11 pour les faits antérieurs.

Article 4 — Traitement sur instructions documentées

4.1 LTC ne traite les données de dossiers que sur instructions documentées de l'Étude, y compris pour tout transfert vers un pays tiers. Constituent les instructions documentées : le DPA et ses annexes, le Contrat, et les paramétrages de l'Étude dans Nota (modules et connecteurs activés, durées de conservation, rôles).

4.2 Toute instruction complémentaire est donnée par écrit (support LTC) ; LTC en conserve la trace.

4.3 Si le droit de l'Union ou le droit belge impose à LTC un traitement particulier, LTC en informe l'Étude avant le traitement, sauf interdiction légale d'intérêt public.

4.4 Si LTC estime qu'une instruction viole le RGPD, il en informe immédiatement l'Étude et peut en suspendre l'exécution jusqu'à confirmation écrite.

4.5 LTC n'utilise les données de dossiers pour aucune finalité propre : ni exploitation commerciale, ni profilage, ni entraînement ou affinage de modèle d'IA (Annexe B).

Article 5 — Confidentialité du personnel

5.1 Toute personne autorisée par LTC à traiter des données de dossiers est soumise à une obligation de confidentialité contractuelle, survivant à la fin de sa mission, ou légale.

5.2 Le personnel est formé au RGPD et sensibilisé au secret professionnel notarial ; accès limité au strict besoin d'en connaître (Annexe C).

Article 6 — Sécurité du traitement (article 32 RGPD)

6.1 LTC met en œuvre et maintient les mesures techniques et organisationnelles appropriées décrites en Annexe C : chiffrement, pseudonymisation Veil, contrôle d'accès, authentification forte, journalisation, sauvegardes.

6.2 LTC peut renforcer ces mesures à tout moment ; toute réduction du niveau de protection requiert l'accord préalable écrit de l'Étude.

6.3 Le document « Mesures de sécurité » du pack de conformité Nota les détaille ; il est disponible sur demande.

Article 7 — Sous-traitance ultérieure

7.1 L'Étude accorde à LTC une autorisation écrite générale de recourir à des sous-traitants ultérieurs. La liste complète et à jour figure en Annexe B ; elle compte trois sous-traitants, chacun lié par contrat.

7.2 Notification préalable de tout changement : LTC informe l'Étude par écrit de tout projet d'ajout ou de remplacement d'un sous-traitant ultérieur au moins 30 jours avant sa prise d'effet, en précisant identité, rôle, localisation du traitement et garanties.

7.3 Droit d'objection : l'Étude peut s'opposer par écrit, dans ce délai de 30 jours, pour tout motif raisonnable tenant à la protection des données. LTC recherche une solution (configuration maintenue, module optionnel, alternative équivalente) ; à défaut, l'Étude peut résilier la partie du service concernée, sans pénalité, avec application de l'article 13.

7.4 LTC impose à chaque sous-traitant ultérieur, par contrat, des obligations équivalentes à celles du présent DPA (article 28.4 RGPD) et demeure pleinement responsable envers l'Étude de leur exécution.

Article 8 — Localisation des données et transferts internationaux

8.1 Principe. Aucun transfert de données hors EEE au sens des articles 44 et suivants du RGPD : tous les traitements ont lieu dans l'Union européenne (OVHcloud France ; AWS Bedrock régions UE ; Microsoft EU Data Boundary si activé). Le risque d'accès par une autorité d'un pays tiers, inhérent au recours à un fournisseur soumis à une législation extraterritoriale (AWS, Microsoft), est traité frontalement : pseudonymisation systématique en amont (Veil™), absence de rétention des données d'inférence, chiffrement avec clés détenues par LTC, et clauses contractuelles types (SCC 2021/914) en garantie résiduelle. OVHcloud (société française) n'est pas concerné.

8.2 Localisation détaillée. L'intégralité du traitement des données de dossiers s'effectue dans l'Union européenne : hébergement sur instance dédiée OVHcloud en France (applicatif, base de données, stockage, sauvegardes, IA propriétaires LTC) ; inférence LLM sur AWS Bedrock en régions UE (Francfort), sur données exclusivement pseudonymisées par Veil ; connecteur Microsoft 365, si l'Étude l'active, dans l'EU Data Boundary. Les clauses contractuelles types (décision (UE) 2021/914) sont intégrées aux DPA d'AWS et de Microsoft (Annexe B).

8.3 Tout transfert futur vers un pays tiers serait subordonné au chapitre V du RGPD et à la notification préalable de l'article 7.

8.4 L'API directe d'Anthropic (États-Unis) n'intervient jamais dans le traitement des données de dossiers : usage limité au développement, sur données fictives ou anonymisées (Annexe B).

Article 9 — Assistance à l'exercice des droits des personnes

9.1 Les demandes d'exercice des droits (accès, rectification, effacement, limitation, portabilité, opposition — articles 15 à 22 du RGPD) sont adressées à l'Étude, seule compétente pour y répondre.

9.2 Outils en autonomie. Nota fournit à l'Étude les fonctions de recherche, d'export, de rectification et de suppression pour répondre à la plupart des demandes sans intervention de LTC.

9.3 Assistance. Lorsque son intervention est nécessaire, LTC apporte son concours sous 5 jours ouvrés au maximum à compter de la demande écrite de l'Étude.

9.4 Relai. Si une personne concernée s'adresse directement à LTC, LTC ne répond pas sur le fond et transmet la demande à l'Étude sous 5 jours ouvrés.

Article 10 — Assistance AIPD et consultation préalable

10.1 LTC assiste l'Étude dans ses analyses d'impact (article 35 RGPD) et ses consultations préalables de l'autorité de contrôle (article 36 RGPD), compte tenu de la nature du traitement et des informations disponibles.

10.2 LTC tient à disposition le DPA et ses annexes, l'analyse d'impact Nota/Veil (tests de ré-identification inclus), le registre de l'article 30 et le document « Mesures de sécurité » ; réponses aux questions complémentaires sous 5 jours ouvrés.

Article 11 — Notification des violations de données

11.1 LTC notifie à l'Étude toute violation de données affectant les données de dossiers sans délai injustifié et au plus tard 24 heures après en avoir fait le constat, par email aux contacts désignés par l'Étude. Ce délai est délibérément inférieur au délai de 72 heures dont l'Étude dispose à l'égard de l'Autorité de protection des données (article 33.1 RGPD), afin de lui laisser une marge utile de qualification et de notification.

11.2 La notification contient au minimum les éléments de l'article 33.3 du RGPD :

• la nature de la violation, avec si possible les catégories et le nombre approximatif de personnes et d'enregistrements concernés ;
• le nom et les coordonnées du point de contact de LTC (article 2.5) ;
• la description des conséquences probables ;
• les mesures prises ou proposées pour remédier à la violation et en atténuer les conséquences.

À défaut d'informations complètes dans ce délai, communication échelonnée sans retard indu (article 33.4).

11.3 La notification à l'Autorité de protection des données sous 72 heures (article 33) et la communication aux personnes concernées (article 34) relèvent de l'Étude ; LTC fournit sans délai tout élément utile.

11.4 LTC documente toute violation dans un registre interne des incidents, conduit une analyse post-incident et coopère avec l'autorité de contrôle à la demande de l'Étude.

Article 12 — Audits et inspections

12.1 LTC met à la disposition de l'Étude toutes les informations nécessaires pour démontrer le respect de l'article 28 du RGPD, dont le présent DPA et le pack de conformité Nota.

12.2 Questionnaires. LTC répond aux questionnaires d'audit et d'évaluation, y compris les questionnaires types du secteur notarial — modalité sans frais, privilégiée en première intention.

12.3 Audits. L'Étude, ou un auditeur mandaté non concurrent de LTC et tenu à la confidentialité, peut réaliser un audit sur pièces ou sur site : au maximum une fois par an, avec préavis écrit de 30 jours, pendant les heures ouvrées, sans perturbation du service ni accès aux données des autres études. Un audit supplémentaire est admis après violation majeure ; les rapports sont confidentiels.

12.4 Frais. Chaque Partie supporte ses propres coûts. Les frais raisonnables de LTC peuvent être facturés au tarif en vigueur, sauf non-conformité significative révélée par l'audit — ils restent alors à charge de LTC.

Article 13 — Sort des données en fin de contrat

13.1 Export intégral. À la fin du Contrat, quelle qu'en soit la cause, l'Étude exporte l'intégralité de ses données en formats ouverts et structurés (CSV/JSON pour les données structurées, format d'origine ou PDF pour les documents), en autonomie via Nota, avec l'assistance de LTC si nécessaire, avant toute suppression.

13.2 Suppression sous 60 jours. Sauf instruction écrite contraire de l'Étude ou obligation légale de conservation, LTC supprime l'ensemble des données de dossiers des systèmes de production au plus tard 60 jours après la fin du Contrat.

13.3 Sauvegardes. Les sauvegardes chiffrées sont purgées par expiration de leur cycle de rétention de 35 jours ; elles ne sont pas restaurées après la fin du Contrat, sauf nécessité technique — la suppression étant alors ré-exécutée immédiatement.

13.4 Attestation écrite. LTC délivre à l'Étude une attestation écrite de suppression à l'issue de ces opérations.

13.5 Les données conservées par LTC au titre d'une obligation légale propre (facturation) ne comprennent pas de données de dossiers et restent isolées jusqu'à l'expiration de l'obligation.

Article 14 — Responsabilité

14.1 Chaque Partie répond des dommages dans les conditions de l'article 82 du RGPD : LTC répond lorsqu'il n'a pas respecté les obligations du RGPD propres aux sous-traitants ou a agi en dehors des instructions licites de l'Étude.

14.2 Chaque Partie supporte les amendes administratives prononcées contre elle.

14.3 Les limitations de responsabilité du Contrat s'appliquent entre les Parties, sauf dol ou faute lourde ; elles ne limitent en rien le droit à réparation des personnes concernées.

Article 15 — Hiérarchie contractuelle

15.1 Le présent DPA et ses Annexes A à C font partie intégrante du Contrat.

15.2 En cas de contradiction sur la protection des données : (1) le RGPD et le droit impératif ; (2) le présent DPA et ses annexes ; (3) le Contrat et tout autre document.

15.3 Toute modification du DPA requiert un écrit signé des deux Parties, hors mise à jour de l'Annexe B selon l'article 7 et renforcement de l'Annexe C selon l'article 6.2.

Article 16 — Droit applicable et juridiction

Le présent DPA est régi par le droit belge. Tout litige relève, à défaut de résolution amiable, des tribunaux de l'arrondissement judiciaire de Bruxelles.

Fait en deux exemplaires, à [lieu], le [date].

---

Annexe A — Description du traitement (article 28.3 RGPD)

A.1 Nature du traitement

Hébergement, enregistrement, structuration, indexation (y compris vectorielle), consultation, reconnaissance optique de caractères, classement et résumé de pièces, pseudonymisation par Veil, génération assistée de textes soumise à validation humaine systématique, tri de courriers, sauvegarde, restitution et suppression.

A.2 Finalités

Exclusivement la fourniture de Nota à l'Étude : gestion des dossiers, personnes et biens ; gestion électronique de documents ; assistance IA à la rédaction d'actes et à la recherche ; mails connectés ; agenda et échéanciers ; portail client ; connecteurs Fednot ; support, sécurité, sauvegarde et continuité du service. Aucune autre finalité.

A.3 Catégories de personnes concernées

• Clients de l'Étude et parties aux actes ;
• Tiers figurant aux dossiers : héritiers, créanciers, témoins, représentants de personnes morales, contreparties ;
• Collaborateurs et utilisateurs de l'Étude (comptes, journaux d'utilisation).

A.4 Catégories de données

• Identification : nom, prénoms, date et lieu de naissance, numéro de registre national (NRN), données de la carte eID ;
• Coordonnées : adresses, téléphones, adresses email ;
• Données patrimoniales et financières : biens et références cadastrales, IBAN, montants, financements, valeurs ;
• Données familiales : état civil, régime matrimonial, composition de famille, successions ;
• Données professionnelles et toute donnée figurant dans les pièces et correspondances des dossiers ;
• Catégories particulières (article 9 RGPD) et données relatives aux condamnations pénales et infractions (article 10 RGPD) : ces données peuvent figurer incidemment dans les pièces des dossiers (certificats de décès, attestations d'incapacité, jugements, saisies…). LTC ne les traite pas de manière ciblée et aucune fonction de Nota ne les exploite spécifiquement ; le fondement juridique de leur traitement relève du responsable du traitement — l'Étude, dans le cadre de ses obligations légales notariales d'officier public. Veil les protège indirectement (identifiants directs masqués, contenu désolidarisé de toute personne identifiée), en complément des protections de l'Annexe C ;
• NRN — régime propre : l'utilisation du numéro de Registre national est réglementée par la loi du 8 août 1983 et soumise à autorisation. Les notaires disposent d'un accès légal dans le cadre de leurs missions ; LTC, sous-traitant, traite le NRN exclusivement pour le compte de l'Étude et sous couvert de l'autorisation de celle-ci, avec chiffrement, masquage Veil (classe C1 à validation par checksum) et traçabilité de chaque accès.

A.5 Durée du traitement

Pendant la durée du Contrat ; durées de conservation paramétrables par l'Étude dans Nota. Fin de Contrat : article 13 (export intégral, suppression sous 60 jours, purge des sauvegardes à 35 jours, attestation écrite).

Annexe B — Sous-traitants ultérieurs autorisés

Liste complète au 12/08/2026 — trois sous-traitants ultérieurs, chacun lié par un contrat conforme à l'article 28.4 RGPD :

Engagement relatif à l'entraînement des modèles. Aucune donnée de l'Étude n'est utilisée pour entraîner, affiner ou améliorer un modèle d'IA — ni par LTC, ni par un sous-traitant ultérieur, ni par un fournisseur de modèle. Jamais. Cette exclusion est contractuelle et structurelle : aucune option, aucune désactivation possible. L'inférence LLM s'effectue sans rétention : ni requêtes ni réponses conservées par AWS ou Anthropic, ni utilisées pour l'entraînement. Les modèles propres de LTC sont entraînés exclusivement sur des corpus propriétaires hors données de production.

Anthropic (API directe, États-Unis). Utilisée uniquement en développement, sur données fictives ou anonymisées ; hors chaîne de production, elle ne constitue pas un sous-traitant ultérieur des données de dossiers.

itsme (Belgian Mobile ID). Fournisseur d'identité pour le service d'authentification, agissant en responsable de traitement autonome : il ne traite pas de données de dossiers pour le compte de LTC et n'est donc pas un sous-traitant ultérieur — il demeure hors chaîne de sous-traitance, qui reste à trois maillons. Démarche d'onboarding B2B engagée ; Nota ne conserve de l'assertion d'authentification que l'identifiant technique (« sub ») et les attributs strictement nécessaires au compte.

Toute évolution de cette liste suit l'article 7 : notification écrite 30 jours avant prise d'effet, droit d'objection.

Annexe C — Mesures techniques et organisationnelles (article 32 RGPD)

Synthèse ; le détail figure dans le document « Mesures de sécurité » du pack de conformité Nota.

Tableau de correspondance des exigences documentaires

---

LTC Group SRL · BCE 1036.831.317 · Rue du Noir Jambon 13, 7830 Thoricourt · contact@ltcai.be