← Conditions Générales

Les parties

Le Client : la personne physique ou morale titulaire d'un compte AUTOMATIT qui utilise le service de montage vidéo, ci-après « le Client » ou « le responsable de traitement » ;

AUTOMATIT : Franck FOLIO, entrepreneur individuel (EI), exerçant sous le nom commercial AUTOMATIT, SIRET 105 174 536 00018, établi au 6 impasse des Durantas, Mont Vert les Bas, 97410 Saint-Pierre, La Réunion, France, joignable à contact@automatit.ai, ci-après « AUTOMATIT » ou « le sous-traitant ».

La présente annexe fait partie des conditions générales d'utilisation (CGU) d'AUTOMATIT (article 13 des CGU). Elle s'applique dès que le Client utilise le service de montage vidéo. En cas de contradiction avec les CGU sur la protection des données personnelles, la présente annexe prévaut.

I. Objet

La présente annexe fixe les conditions dans lesquelles AUTOMATIT traite, pour le compte du Client, les données personnelles des personnes qui apparaissent ou s'expriment dans les vidéos que le Client lui confie pour le montage.

Les parties s'engagent à respecter la réglementation applicable, en particulier le règlement (UE) 2016/679 du 27 avril 2016 (« RGPD ») et la loi n° 78-17 du 6 janvier 1978 (« Informatique et Libertés »).

Champ. La présente annexe couvre les données des personnes filmées ou enregistrées autres que l'utilisateur titulaire du compte. Les données de cet utilisateur (compte, facturation, sa propre image et sa propre voix) sont traitées par AUTOMATIT en tant que responsable de traitement, comme le décrit sa politique de confidentialité (section 12).

II. Description du traitement confié

II.1 Le service

À partir des vidéos brutes (« rushs ») déposées par le Client et de ses consignes, AUTOMATIT réalise un montage : choix des passages, coupes, cadrage, sous-titres, textes, musique et effets, puis livre la vidéo montée et applique les corrections demandées par le Client.

II.2 Les personnes concernées

• les personnes qui apparaissent ou s'expriment dans les rushs du Client : salariés, clients, intervenants, passants ;
• les personnes qui apparaissent dans les vidéos de référence que le Client fournit pour décrire son style ;
• les personnes citées par le Client dans son brief, son script, le titre de ses vidéos ou ses demandes de correction.

II.3 La nature des données

• l'image des personnes filmées : visage, silhouette, gestes, tenue, lieu de tournage, et tout ce qui apparaît à l'écran (badge, écran d'ordinateur, plaque d'immatriculation…) ;
• la voix des personnes enregistrées et leurs propos, sous forme de son puis de transcription écrite ;
• les informations qui les concernent dans les textes du Client : nom, prénom, fonction, propos ;
• des données dérivées, calculées sur le serveur d'AUTOMATIT : silences, changements de plan, contour de la silhouette et position de la tête dans le cadre (servant uniquement à cadrer l'image et à placer les textes).

Aucune reconnaissance faciale ni vocale n'est réalisée : l'image et la voix ne sont jamais utilisées pour identifier une personne. Les données traitées ne constituent donc pas des données biométriques au sens de l'article 4.14 du RGPD.

AUTOMATIT ne recherche aucune donnée sensible au sens de l'article 9 du RGPD (santé, opinions, convictions…). Si une personne filmée en révèle dans ses propos, ces propos sont traités comme le reste du rush, pour le seul montage.

II.4 Les opérations réalisées

Réception des fichiers déposés par le Client ; conservation ; transcription de la parole (réalisée sur le serveur d'AUTOMATIT, à Paris) ; analyse de l'image ; extraction de 10 à 15 images fixes par vidéo (768 pixels de large au plus) ; transmission du brief, du script, de la transcription, des images fixes et des demandes de correction au prestataire d'intelligence artificielle (article IV.6) ; montage et rendu de la vidéo ; mise à disposition du Client ; sauvegarde ; effacement.

II.5 La finalité

Une seule finalité : réaliser les montages commandés par le Client, appliquer ses corrections, lui livrer ses vidéos et l'assister en cas de problème. Aucune autre utilisation : ni publicité, ni revente, ni entraînement de modèles d'intelligence artificielle, ni constitution de bases de visages ou de voix.

II.6 Les lieux de traitement

Donnée	Lieu
Vidéos (rushs, références, vidéos montées), transcription, fichiers de travail	Serveur d'AUTOMATIT à Paris (France), sauvegardes aux Pays-Bas (Union européenne)
Titre, brief, script, demandes de correction et réponses, état des travaux, noms et tailles des fichiers	Base de données en Irlande (Union européenne)
Brief, script, transcription, images fixes, demandes de correction	Prestataire d'intelligence artificielle, aux États-Unis (article IV.6)

III. Durée

La présente annexe prend effet à l'ouverture de l'accès du Client au service de montage. Elle s'applique aussi longtemps que cet accès est ouvert.

Ses obligations continuent de s'appliquer après la fin du service, tant que des données confiées par le Client restent chez AUTOMATIT ou chez ses sous-traitants ultérieurs, sauvegardes comprises (durées à l'article IV.12).

IV. Obligations d'AUTOMATIT envers le Client

IV.1 Finalité

AUTOMATIT traite les données uniquement pour la finalité décrite à l'article II.5.

IV.2 Instructions du Client

AUTOMATIT traite les données uniquement sur instructions documentées du Client. Ces instructions sont :

1. la présente annexe et les CGU, y compris les durées de conservation de l'article IV.12, que le service ne permet pas de prolonger ;
2. ce que le Client saisit sur sa page Montage : brief, script, choix de style, vidéos de référence, demandes de correction. Ces éléments sont enregistrés, ce qui les documente par écrit ;
3. toute instruction écrite envoyée par le Client à contact@automatit.ai.

Si AUTOMATIT estime qu'une instruction enfreint le RGPD ou une autre règle de protection des données, il en informe immédiatement le Client et suspend son exécution jusqu'à ce que le Client la confirme ou la modifie. AUTOMATIT refuse notamment toute demande d'identifier une personne à partir de son visage ou de sa voix.

Le seul transfert hors de l'Union européenne est celui décrit à l'article IV.6. Si le droit de l'Union ou d'un État membre obligeait AUTOMATIT à un autre transfert, il en informerait le Client avant le traitement, sauf si ce droit l'interdit pour des motifs importants d'intérêt public.

IV.3 Confidentialité

AUTOMATIT garantit la confidentialité des données qui lui sont confiées. Il ne les communique à personne en dehors des sous-traitants ultérieurs de l'article IV.6, et seulement pour ce qui leur est nécessaire.

IV.4 Personnes autorisées à traiter les données

À la date de la présente annexe, le dirigeant d'AUTOMATIT est la seule personne habilitée à accéder aux données. Il n'accède au contenu des vidéos que pour traiter un incident, une demande du Client ou une demande d'exercice de droits.

Toute autre personne qui serait habilitée à l'avenir devra, avant tout accès :

• s'engager par écrit à respecter la confidentialité, ou être soumise à une obligation légale de confidentialité ;
• avoir reçu une formation adaptée à la protection des données personnelles.

IV.5 Protection des données dès la conception et par défaut

Le service a été conçu pour limiter les données traitées et la durée de leur conservation :

• transcription de la parole sur le serveur d'AUTOMATIT : l'enregistrement de la voix n'est jamais transmis à un tiers ;
• seules quelques images fixes, et jamais la vidéo complète, sont transmises au prestataire d'intelligence artificielle ;
• aucune reconnaissance faciale ni vocale ;
• effacement automatique selon les durées de l'article IV.12, sans action du Client ;
• liens d'accès aux vidéos temporaires, qui ne contiennent aucun identifiant du Client.

IV.6 Sous-traitants ultérieurs

Autorisation générale. Le Client autorise AUTOMATIT à faire appel aux sous-traitants ultérieurs suivants :

Sous-traitant	Ce qu'il fait	Données reçues	Lieu	Garanties
Hostinger International Ltd (Chypre)	Héberge le serveur de montage (calcul, stockage) et en réalise les sauvegardes hebdomadaires	Toutes les données du montage, vidéos comprises	Paris (France) ; sauvegardes aux Pays-Bas (UE)	Accord de traitement des données de Hostinger (clauses contractuelles types 2021/914 pour tout transfert éventuel)
Supabase Pte. Ltd. (Singapour)	Héberge la base de données du service	Titre, brief, script, demandes de correction et réponses, état des travaux, noms et tailles des fichiers	Irlande (UE)	Accord de traitement des données de Supabase, signé (clauses contractuelles types 2021/914 pour tout accès hors UE)
Anthropic PBC (États-Unis)	Fournit le modèle d'intelligence artificielle Claude, qui prépare le montage et applique les corrections	Brief, script, transcription, 10 à 15 images fixes par vidéo, demandes de correction	États-Unis	Accord de traitement des données d'Anthropic, rattaché à ses conditions commerciales, intégrant les clauses contractuelles types adoptées par la Commission européenne (décision d'exécution (UE) 2021/914, article 46 du RGPD). Anthropic s'interdit d'utiliser ces données pour entraîner ses modèles et les efface de ses serveurs dans les 30 jours, sauf obligation légale ou utilisation contraire à ses règles d'usage

Les prestataires suivants ne reçoivent aucune donnée des personnes filmées : Stripe (facturation), Resend (envoi des alertes techniques à AUTOMATIT, sans contenu des vidéos ni des textes du Client).

Changement. AUTOMATIT informe le Client par écrit (e-mail à l'adresse de son compte) de tout ajout ou remplacement d'un sous-traitant ultérieur, en indiquant les traitements confiés, l'identité et les coordonnées du sous-traitant, et la date de son contrat. Le Client dispose de 30 jours à compter de cette information pour s'y opposer. Le changement n'intervient qu'à défaut d'opposition dans ce délai. En cas d'opposition, le Client peut mettre fin au service de montage sans frais.

Responsabilité. AUTOMATIT impose à chaque sous-traitant ultérieur des obligations de protection des données au moins équivalentes à celles de la présente annexe et s'assure qu'il présente des garanties suffisantes. Si un sous-traitant ultérieur manque à ses obligations, AUTOMATIT reste pleinement responsable envers le Client.

IV.7 Information des personnes concernées

Il appartient au Client d'informer les personnes qu'il filme ou enregistre, au moment de la collecte, conformément aux articles 13 et 14 du RGPD. AUTOMATIT lui fournit, sur simple demande, les informations utiles sur le traitement (sous-traitants, lieux, durées, transfert hors UE). Elles figurent aussi dans la section 12 de la politique de confidentialité d'AUTOMATIT.

IV.8 Exercice des droits des personnes

AUTOMATIT aide le Client, dans la mesure du possible, à répondre aux demandes des personnes concernées : droit d'accès, de rectification, d'effacement, d'opposition, à la limitation du traitement et à la portabilité.

Demande reçue par AUTOMATIT. Si une personne concernée s'adresse directement à AUTOMATIT, celui-ci transmet sa demande au Client, par e-mail à l'adresse de son compte, sans délai et au plus tard sous 3 jours ouvrés. AUTOMATIT ne répond pas lui-même sur le fond ; il informe seulement la personne que sa demande a été transmise au responsable de traitement.

Aide apportée au Client. Sur instruction écrite du Client, adressée à contact@automatit.ai, et sous 3 jours ouvrés :

• effacement anticipé : AUTOMATIT efface une vidéo, ses rushs et les textes qui s'y rattachent avant l'échéance prévue à l'article IV.12 ;
• copie : AUTOMATIT remet au Client une copie des données encore conservées (vidéos livrées, brief, script, transcription, demandes de correction) ;
• rectification ou limitation : AUTOMATIT corrige un texte ou suspend le traitement d'une vidéo.

Le service n'identifiant personne, le Client indique la ou les vidéos concernées par la demande.

IV.9 Notification des violations de données

AUTOMATIT notifie au Client toute violation de données personnelles dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, par e-mail à l'adresse de son compte et, si un numéro est connu, par téléphone. Cela vaut aussi pour une violation survenue chez un sous-traitant ultérieur, dès qu'AUTOMATIT en est informé.

La notification comprend, au besoin en plusieurs fois à mesure que les informations sont connues :

• la nature de la violation et, si possible, les catégories et le nombre approximatif de personnes et de fichiers concernés ;
• le nom et les coordonnées du contact chez AUTOMATIT ;
• les conséquences probables de la violation ;
• les mesures prises ou envisagées pour y remédier et en limiter les effets.

AUTOMATIT aide le Client à notifier, s'il y a lieu, la CNIL (dans les 72 heures, article 33 du RGPD) et les personnes concernées (article 34). Il ne les notifie pas lui-même, sauf mandat écrit du Client.

IV.10 Aide au Client pour ses propres obligations

AUTOMATIT aide le Client, sur demande, à réaliser une analyse d'impact relative à la protection des données (article 35 du RGPD) et, si nécessaire, à consulter la CNIL au préalable (article 36). Il lui fournit pour cela la description du traitement (article II) et des mesures de sécurité (article IV.11).

IV.11 Mesures de sécurité

AUTOMATIT met en œuvre les mesures suivantes (article 32 du RGPD) :

Confidentialité des échanges et des accès

• tous les échanges (envoi des rushs, lecture des vidéos, base de données, prestataire d'IA) sont chiffrés (HTTPS) ;
• chaque vidéo ne s'ouvre que par un lien signé, propre à un fichier, sans identifiant du Client, et de courte durée : 6 heures pour un envoi, 2 heures pour une lecture, 15 minutes pour un téléchargement. Un lien n'est délivré qu'au compte du Client ;
• la base de données refuse tout accès direct : chaque lecture ou écriture passe par une fonction qui vérifie la session du Client. Les jetons de session sont conservés sous forme hachée ;
• l'interface d'administration est protégée par une double authentification et se verrouille après 5 échecs de connexion.

Cloisonnement des traitements

• chaque calcul (transcription, analyse, rendu) s'exécute dans un conteneur neuf, sans accès au réseau, sous un utilisateur sans privilèges ;
• le programme qui communique avec l'extérieur ne lit jamais le contenu des vidéos ;
• les sorties réseau du serveur de montage sont limitées à une liste fermée : la base de données, l'API du prestataire d'IA et le service, hébergé sur le même serveur, qui transmet les alertes techniques à AUTOMATIT ;
• les secrets techniques sont conservés dans des fichiers à accès restreint, ou dans le coffre chiffré de la base de données.

Pseudonymisation et minimisation

• les fichiers sont nommés par un identifiant aléatoire, sans lien apparent avec le Client ni avec les personnes ;
• les alertes techniques adressées à AUTOMATIT ne contiennent aucune donnée des personnes filmées ;
• le journal des traitements ne conserve que des durées et des coûts, sans contenu.

Disponibilité, intégrité, résilience

• la base de données est sauvegardée chaque nuit ; les sauvegardes sont chiffrées et conservées 14 jours sur le serveur de Paris ;
• le serveur, vidéos comprises, est sauvegardé chaque semaine par l'hébergeur, qui conserve les deux dernières sauvegardes aux Pays-Bas ;
• une restauration complète de la base a été testée le 19 octobre 2026 ; ce test est refait tous les trois mois ;
• en cas d'échec d'un traitement ou d'une sauvegarde, une alerte est envoyée automatiquement à AUTOMATIT.

Effacement

• l'effacement des données arrivées à échéance est vérifié par le serveur toutes les 10 minutes, avec une seconde vérification quotidienne qui sert de filet de sécurité.

IV.12 Sort des données

Effacement automatique pendant le service. Les données sont effacées sans intervention du Client, au plus tard :

Données	Effacées
Fichiers d'un envoi interrompu et jamais terminé	48 heures après le début de l'envoi
Rushs et fichiers de travail	7 jours après la livraison de la vidéo (le délai repart à chaque nouvelle version livrée après une correction)
Vidéo montée, brief, script, transcription, demandes de correction et réponses	30 jours après la dernière livraison
Vidéo qui n'a pas pu aboutir	7 jours après l'échec, en totalité
Vidéos de référence du style et leurs images	7 jours après leur analyse
Données transmises au prestataire d'IA (article IV.6)	Dans les 30 jours suivant leur transmission, selon les engagements d'Anthropic

La date jusqu'à laquelle chaque vidéo montée reste disponible est affichée sur la page Montage du Client, qui doit l'avoir téléchargée avant cette date.

Restent ensuite, tant que le compte existe : la description écrite du style du Client (rythme, couleurs, sous-titres…), sans aucune image, et l'historique de ses commandes (titre, dates, noms et tailles des fichiers, nombre de corrections).

Fin du service.

• Suppression du compte (par le Client depuis Paramètres › Compte, ou par AUTOMATIT à sa demande) : tout est effacé, vidéos comprises — la base de données immédiatement, les fichiers du serveur dans l'heure qui suit.
• Fin du service de montage sans suppression du compte : les effacements automatiques ci-dessus se poursuivent ; à la demande du Client, AUTOMATIT efface en outre l'historique de ses commandes et la description de son style.

Sauvegardes. Une donnée effacée peut subsister dans les sauvegardes de sécurité (article IV.11) : environ deux semaines pour un fichier du serveur, un mois au plus pour une information de la base de données. Elle y est ensuite écrasée. Ces sauvegardes ne servent qu'à remettre le service en état après un incident ; une donnée qui en serait restaurée serait de nouveau effacée.

Restitution. Avant l'effacement, le Client peut obtenir, sur demande à contact@automatit.ai, une copie des données encore conservées (article IV.8). Les rushs ne sont pas restitués, le Client en détenant les originaux, sauf demande expresse avant leur effacement.

Justification. Sur demande du Client, AUTOMATIT atteste par écrit de l'effacement, avec les dates relevées dans le journal du serveur.

Seul subsiste, après effacement, un journal technique des traitements (durée et coût), sans contenu et sans lien avec l'identité du Client, conservé pour la comptabilité d'AUTOMATIT.

IV.13 Délégué à la protection des données

AUTOMATIT n'a pas désigné de délégué à la protection des données, cette désignation n'étant pas obligatoire pour son activité (article 37 du RGPD). Toute question relative aux données s'adresse à contact@automatit.ai.

IV.14 Registre des activités de traitement

AUTOMATIT tient par écrit un registre des catégories d'activités de traitement effectuées pour le compte de ses clients, conformément à l'article 30.2 du RGPD.

IV.15 Documentation et audit

AUTOMATIT met à la disposition du Client, sur demande et sous 15 jours, la documentation nécessaire pour démontrer le respect de ses obligations : la présente annexe, la description des mesures de sécurité, la liste des sous-traitants ultérieurs et leurs accords de traitement, l'extrait du journal d'effacement relatif aux vidéos du Client, les dates des derniers tests de restauration.

Le Client peut réaliser, ou faire réaliser par un auditeur indépendant qu'il mandate, un audit du respect de la présente annexe, y compris une inspection, aux conditions suivantes :

• un audit par an au plus ;
• un préavis écrit de 30 jours ;
• un auditeur tenu à la confidentialité, qui n'est pas un concurrent d'AUTOMATIT ;
• un audit réalisé en priorité sur pièces et à distance, sans accès aux données des autres clients ni aux secrets de sécurité ;
• les frais de l'audit sont à la charge du Client.

Pour les sous-traitants ultérieurs, l'audit s'appuie sur les rapports, attestations et documents que chacun publie ou communique.

V. Obligations du Client envers AUTOMATIT

Le Client s'engage à :

1. disposer d'une base légale pour filmer et enregistrer les personnes qui apparaissent dans ses vidéos et pour en confier le montage à AUTOMATIT ;
2. informer ces personnes (article IV.7) et disposer de leur autorisation au titre du droit à l'image ; pour un mineur, l'autorisation est donnée par ses représentants légaux ;
3. ne confier que ce qui est nécessaire au montage : ne pas déposer de rushs montrant des personnes qui s'y sont opposées ; ne pas faire figurer, dans les titres et les noms de fichiers, d'informations sur des tiers qui ne sont pas utiles ; détenir les droits sur les vidéos de référence qu'il fournit ;
4. documenter par écrit toute instruction relative au traitement (article IV.2) ;
5. prévenir AUTOMATIT sans délai du retrait d'une autorisation ou d'une opposition qui touche une vidéo en cours ou conservée, pour qu'elle soit effacée (article IV.8) ;
6. veiller, avant et pendant toute la durée du traitement, au respect par AUTOMATIT de ses obligations, et superviser le traitement, y compris par des audits (article IV.15).

Acceptation

La présente annexe est acceptée avec les CGU dont elle fait partie (article 2 des CGU) : par la case d'acceptation des conditions lors d'une souscription en ligne, ou par écrit (e-mail) pour un compte ouvert par AUTOMATIT. Le Client qui le souhaite peut en obtenir un exemplaire signé sur demande à contact@automatit.ai.