PRÉAMBULE
La présente Politique IA et données (ci-après la « Politique IA ») a pour objet de décrire, en toute transparence, les conditions dans lesquelles Nereva SA conçoit, entraîne, déploie, supervise et fait évoluer les modèles d'intelligence artificielle qui sous-tendent ses Services, ainsi que les conditions dans lesquelles les données collectées via la plateforme sont utilisées à ces fins.
Objet social statutaire de Nereva SA. Conformément à l'article 3 de ses statuts inscrits au Registre du commerce du canton de Vaud, Nereva SA a pour but la conception, le développement, l'édition, la commercialisation, l'intégration et l'exploitation, en Suisse et à l'étranger, de logiciels et solutions numériques d'orchestration et de synchronisation des flux logistiques opérés par véhicules, en particulier des flux de matériaux, déchets, machines, équipements et bennes liés aux activités de construction, de travaux publics, de recyclage, de transport de chantier et aux secteurs connexes.
La société peut notamment fournir, sous forme de logiciel à la demande (Software as a Service) ou de licences, des plateformes de planification, d'exécution, de documentation, de traçabilité et d'archivage des opérations logistiques, ainsi que des services associés de paramétrage, d'intégration, de support, de formation et de conseil.
La société peut acquérir, détenir, valoriser, concéder en licence et défendre tout droit de propriété intellectuelle, en particulier brevets, marques, dessins, modèles, droits d'auteur et savoir-faire, en lien direct ou indirect avec son but principal.
La société peut effectuer, tant en Suisse qu'à l'étranger, pour son propre compte ou pour le compte de tiers, toutes opérations administratives, techniques, commerciales, financières, mobilières et immobilières en relation directe ou indirecte avec son but principal. Elle peut créer des succursales et des filiales en Suisse et à l'étranger, prendre des participations dans des entreprises poursuivant un but similaire ou complémentaire, et accorder des prêts ou garanties à ses filiales et sociétés du groupe.
La société n'opère pas d'activité de transport et n'agit pas comme intermédiaire commercial entre donneurs d'ordre et entreprises de transport. Elle ne capte pas la relation contractuelle commerciale entre ses utilisateurs.
Articulation contractuelle. La présente Politique IA constitue un document annexe aux Conditions Générales d'Utilisation (« CGU ») de Nereva SA et s'articule avec la Politique de confidentialité des données, l'Accord de Traitement des Données (« DPA ») et le document Copyright et propriété intellectuelle. En cas de contradiction, les CGU et le DPA prévalent.
Acceptation expresse. En souscrivant aux Services, en signant le bon de commande ou en accédant à la plateforme, le Client (i) reconnaît expressément avoir pris pleine et entière connaissance de la présente Politique IA ; (ii) déclare avoir disposé du temps et des moyens nécessaires pour l'analyser, le cas échéant avec ses conseils ; (iii) accepte sans réserve l'intégralité des traitements, modalités et limitations décrits ci-après, notamment l'utilisation des données dérivées et anonymisées à des fins d'entraînement des modèles d'intelligence artificielle ; (iv) renonce expressément à se prévaloir d'une quelconque ignorance ou méconnaissance de la présente Politique ; (v) reconnaît que l'utilisation continue des Services constitue une réitération continue de cette acceptation.
Le Client reconnaît en particulier que les stipulations de la présente Politique IA s'appliquent indépendamment des conditions de souscription du Client ou de la qualité de ses Utilisateurs, et que l'acceptation de la présente Politique IA constitue une condition essentielle de l'accès aux Services. La présente Politique IA est régie par les conditions d'indemnisation prévues à l'article 25 bis des CGU.
Article 1 — Objet et champ d'application
La présente Politique IA s'applique à toute conception, entraînement, ré-entraînement, validation, déploiement, supervision et évolution des modèles d'intelligence artificielle utilisés dans le cadre des Services Nereva, ainsi qu'à toute utilisation des données du Client ou des Utilisateurs à des fins de ces opérations.
Elle est applicable à compter de la date d'entrée en vigueur du contrat principal et survit à sa résiliation pour les obligations qui par nature ont vocation à se prolonger.
Article 2 — Définitions
Les termes définis dans les CGU et le DPA conservent leur signification. Les termes spécifiques à la présente Politique IA sont les suivants.
Intelligence artificielle ou IA : ensemble de techniques et de systèmes informatiques permettant à des machines de produire des prédictions, classifications, recommandations, optimisations ou décisions à partir de données, notamment par apprentissage automatique.
Modèle : objet logiciel produit par un processus d'entraînement, capable de produire des sorties à partir d'entrées.
Entraînement : ensemble des opérations de calcul effectuées pour produire ou améliorer un Modèle à partir de Données d'entraînement.
Data lake : infrastructure de stockage et de gouvernance des données collectées et générées via les Services.
Zone A (opérationnelle pseudonymisée) : zone du data lake contenant des données pseudonymisées utilisées pour la fourniture des Services et le pilotage opérationnel par le Client. Aucune donnée de cette zone n'entre dans le pipeline d'entraînement IA.
Zone B (anonymisée et agrégée) : zone du data lake contenant des données ayant fait l'objet d'une anonymisation irréversible et, le cas échéant, d'une agrégation, utilisées exclusivement pour l'entraînement IA et l'amélioration des Services.
Anonymisation irréversible : transformation des données aboutissant à ne plus pouvoir, par des moyens raisonnablement susceptibles d'être mis en œuvre, identifier directement ou indirectement une personne physique.
AI Act : Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024.
Article 3 — Périmètre des modèles d'IA de Nereva
Nereva SA développe et exploite un ensemble de fonctionnalités d'analytique et d'intelligence opérationnelle regroupées sous l'appellation EVA (Engine for Virtual Anticipation), comprenant notamment des fonctions d'optimisation multi-contraintes de planification et de routing, des fonctions d'assistance à l'allocation et à l'arbitrage des ressources, des fonctions d'anticipation et d'estimation de durée et de temps d'attente, des fonctions de reconnaissance d'images opérationnelles, et des fonctions d'analyse statistique sectorielle.
Article 4 — Cadre juridique de référence
La présente Politique IA est conçue pour respecter notamment le RGPD et la nLPD, le Règlement (UE) 2024/1689 (AI Act), le droit suisse du travail et notamment l'article 26 OLT 3, et les recommandations du PFPDT, de la CNIL et du CEPD.
Article 5 — Qualification des Parties
Pour les traitements liés à la fourniture des Services au Client, Nereva SA agit en qualité de sous-traitant et le Client en qualité de responsable du traitement, conformément au DPA.
Pour les traitements d'entraînement, de validation et d'amélioration des Modèles à partir de données anonymisées de manière irréversible, Nereva SA agit en qualité de responsable du traitement, conformément à l'article 10 des CGU.
Cette dualité est expressément acceptée par le Client. Aucun usage à des fins d'entraînement ne porte sur des données non anonymisées.
Article 6 — Architecture du data lake et séparation des zones
L'architecture du data lake repose sur deux zones strictement séparées.
Zone A — Opérationnelle pseudonymisée. Cette zone reçoit les données saisies, transmises ou générées par le Client. Elle est utilisée exclusivement pour la fourniture des Services au Client. Aucune donnée de la Zone A n'entre dans le pipeline d'entraînement IA.
Zone B — Anonymisée et agrégée. Cette zone reçoit exclusivement des données ayant fait l'objet d'une transformation d'anonymisation irréversible et, le cas échéant, d'une agrégation. Elle est utilisée pour l'entraînement IA, l'analyse statistique sectorielle et l'amélioration des Services dans les conditions de l'article 10 des CGU.
La séparation entre la Zone A et la Zone B est documentée et auditable. La transformation d'une donnée de la Zone A vers la Zone B est unidirectionnelle et tracée.
Article 7 — Catégories de données utilisées pour l'entraînement
Les Modèles sont entraînés à partir des catégories de données suivantes, après transformation d'anonymisation au sens de l'article 8 : (i) données de demandes opérationnelles (typologies de flux, quantités, fenêtres temporelles) ; (ii) données de planification et d'exécution (séquences, durées, étapes, statuts) ; (iii) données de positionnement issues de l'application mobile Chauffeurs, après anonymisation irréversible dans les conditions de l'article 9 ; (iv) données de documentation (typologies de bons, attestations) ; (v) données techniques d'usage de la plateforme ; (vi) données de contexte sectoriel produites par Nereva ou issues de sources publiques.
Aucune donnée sensible au sens de l'article 9 du RGPD ou de l'article 5 de la nLPD n'est utilisée pour l'entraînement.
Article 8 — Régimes de transformation des données avant entraînement
Avant entraînement, les données font l'objet d'une transformation d'anonymisation irréversible qui combine (i) la suppression des identifiants directs ; (ii) la suppression ou la substitution des identifiants indirects à fort potentiel de ré-identification ; (iii) l'agrégation temporelle ou spatiale ; (iv) l'ajout contrôlé de bruit statistique le cas échéant ; (v) le contrôle d'unicité avant intégration en Zone B.
Le processus est documenté, versionné et soumis à une revue interne au moins annuelle.
Article 9 — Cas particulier des données de géolocalisation
Les données issues de l'application mobile Chauffeurs présentent un risque structurel de ré-identification. En conséquence, Nereva applique aux données de géolocalisation, avant tout usage pour l'entraînement, les mesures renforcées suivantes : (i) suppression des identifiants techniques de chauffeur et de véhicule ; (ii) agrégation des trajets en segments anonymisés, sans reconstruction possible de parcours individuels continus ; (iii) dégradation contrôlée de la résolution temporelle et spatiale ; (iv) test de ré-identification effectué périodiquement.
Les données de géolocalisation brutes ou pseudonymisées ne sont en aucun cas utilisées pour l'entraînement des Modèles.
Article 10 — Finalités exclusives de l'entraînement
L'entraînement des Modèles poursuit les finalités exclusives suivantes : (i) amélioration de la qualité, de la précision et de la pertinence des fonctionnalités ; (ii) développement de nouvelles fonctionnalités ; (iii) production d'analyses statistiques sectorielles ; (iv) contribution à la propriété intellectuelle de Nereva SA dans les conditions de l'article 9 des CGU.
Les Modèles ne sont en aucun cas utilisés pour évaluer, sanctionner, surveiller ou comparer le comportement de Chauffeurs individuels identifiés, ni pour prendre des décisions individuelles automatisées au sens de l'article 22 du RGPD.
Article 11 — Bases légales du traitement
Le traitement des données aux fins d'entraînement repose sur deux fondements juridiques distincts. D'une part, l'intérêt légitime de Nereva SA à développer et améliorer ses Services, en application de l'article 6.1.f du RGPD et des articles 31 et suivants de la nLPD, après mise en balance documentée. D'autre part, l'exécution contractuelle pour les opérations qui bénéficient directement au Client, en application de l'article 10 des CGU et de l'article 6.1.b du RGPD.
L'utilisation de données anonymisées de manière irréversible fait sortir ces données du champ d'application du RGPD et de la nLPD, conformément au considérant 26 du RGPD et à la doctrine du PFPDT.
Article 12 — Garanties et obligations du Client
Le Client garantit (i) avoir informé les personnes concernées, notamment ses Chauffeurs, des traitements effectués via les Services et des conditions de la présente Politique IA ; (ii) avoir respecté, lorsque applicable, les obligations de consultation des représentants du personnel ; (iii) avoir identifié les bases légales applicables aux traitements mis en œuvre via les Services ; (iv) avoir réalisé ou fait réaliser toute analyse d'impact relative à la protection des données qui pourrait s'imposer.
Le Client accepte expressément l'utilisation des données dérivées et des données anonymisées aux finalités d'entraînement IA prévues à l'article 10 et reconnaît que cette utilisation constitue une condition essentielle de l'équilibre économique des Services.
Article 13 — Droits des personnes concernées
Les personnes concernées disposent de l'ensemble des droits prévus par le RGPD et la nLPD. Toute demande est traitée par le Client en qualité de responsable du traitement pour les opérations relevant du DPA, et par Nereva SA pour les opérations relevant de la présente Politique IA. Nereva SA met à disposition du Client les fonctionnalités techniques nécessaires.
Article 14 — Mesures techniques et organisationnelles spécifiques
Nereva SA met en œuvre les mesures techniques et organisationnelles spécifiques suivantes : (i) séparation logique et technique entre la Zone A et la Zone B ; (ii) journalisation des opérations de transformation d'anonymisation et des accès à la Zone B ; (iii) revue interne périodique du processus d'anonymisation ; (iv) contrôle d'accès renforcé selon le principe du moindre privilège ; (v) documentation versionnée des datasets d'entraînement ; (vi) tests de ré-identification documentés ; (vii) supervision continue de la qualité, des biais et de la dérive des Modèles.
Article 15 — Conformité au Règlement (UE) 2024/1689 (AI Act)
À la date d'entrée en vigueur de la présente Politique IA, les Modèles développés par Nereva SA sont qualifiés de systèmes d'IA à risque limité ou minimal au sens de l'AI Act, en ce qu'ils ne sont pas conçus pour la prise de décisions individuelles automatisées produisant des effets juridiques ou significatifs.
Nereva SA met à la disposition du Client, sur demande, la documentation utile à la démonstration de la conformité à l'AI Act.
Article 16 — Gouvernance interne
La gouvernance interne de Nereva SA en matière d'IA comprend un référent IA point de contact des Clients (privacy@nereva.com), une procédure documentée de validation préalable au déploiement de tout nouveau Modèle, et une procédure documentée de gestion des incidents IA.
Article 17 — Sous-traitants pour l'entraînement
Les conditions de l'article 10 du DPA s'appliquent. La liste des sous-traitants est tenue à disposition du Client sur demande adressée à privacy@nereva.com.
Article 18 — Transferts internationaux
Les opérations d'entraînement IA sont conduites exclusivement sur des infrastructures situées en Suisse ou dans l'Espace économique européen, sauf dérogation expresse dans le respect des garanties prévues par le RGPD et la nLPD.
Article 19 — Durée de conservation des données d'entraînement et des Modèles
Les données anonymisées utilisées pour l'entraînement sont conservées dans la limite de trente-six (36) mois, sauf nécessité documentée de conservation prolongée. Les Modèles constituent des actifs de propriété intellectuelle de Nereva SA et sont conservés pour la durée de leur exploitation.
Article 20 — Sort des données et des Modèles en cas de résiliation
La résiliation entraîne la suppression ou l'anonymisation irréversible des Données du Client conservées en Zone A. Les données déjà transférées en Zone B par anonymisation irréversible, ainsi que les Modèles déjà entraînés, ne sont pas affectés. Le Client le reconnaît et l'accepte expressément.
Article 21 — Documentation des entraînements
Nereva SA tient une documentation interne, versionnée et auditable, des opérations d'entraînement, comprenant la version du Modèle, la description du dataset, le procédé d'anonymisation, les résultats d'évaluation et les responsables internes.
Article 22 — Limites et caractère exclusivement indicatif des sorties
Les sorties produites par les Modèles présentent un caractère exclusivement indicatif. Elles ne dispensent pas le Client de l'exercice de son propre jugement et ne constituent pas des décisions automatisées au sens de l'article 22 du RGPD. Le Client demeure seul responsable de l'utilisation qu'il fait des sorties dans le cadre de ses opérations physiques.
Article 23 — Indemnisation
L'utilisation des Services et l'application de la présente Politique IA sont régies par les conditions d'indemnisation prévues à l'article 25 bis des CGU. Le Client indemnise Nereva SA dans les conditions prévues à cet article en cas de mise en cause de Nereva résultant directement ou indirectement d'un manquement du Client à ses propres obligations, notamment d'information des personnes concernées.
Article 24 — Modification de la Politique IA
Nereva SA se réserve le droit de modifier la présente Politique IA. Toute modification substantielle est notifiée au Client avec un préavis raisonnable, qui ne pourra être inférieur à trente (30) jours.
Article 25 — Droit applicable et juridiction
La présente Politique IA est régie exclusivement par le droit suisse. Tout litige relève de la compétence exclusive des tribunaux ordinaires du canton de Vaud, sous réserve d'un recours impératif au Tribunal fédéral suisse.
Article 26 — Langue de référence
La version française fait seule foi juridiquement.
Article 27 — Contact
Nereva SA, Rue de Rive 22D, CH-1260 Nyon, Suisse.
Contact : privacy@nereva.com.