Conditions générales du service FOD (data.oto.zone)

Version 1.0 du 13 octobre 2026. Ces conditions générales s'appliquent à toute organisation qui utilise FOD, le service de données publiques françaises d'Otomata, avec les conditions particulières qu'elle signe.

Article 1 : Objet et définitions

OTOMATA, SAS à associé unique au capital de 1 000 €, RCS Marseille 106 974 637, 55 rue Grignan, 13006 Marseille (« Otomata »), développe et exploite FOD (« France OpenData »), accessible à https://data.oto.zone (le « Service »). Le Service met à disposition, par une interface de programmation, des données publiques françaises :

• les entreprises et leurs dirigeants ;
• les annonces légales et les comptes annuels ;
• les marchés publics et les aides ;
• les accords d'entreprise, les conventions collectives, les codes et la jurisprudence ;
• des données foncières et territoriales.

Les présentes conditions générales (les « CG ») fixent les conditions d'usage du Service par toute organisation qui y accède (le « Client »). Les conditions particulières signées entre Otomata et un Client (les « CP ») précisent pour lui les environnements couverts, les conditions financières et, le cas échéant, les dérogations aux CG.

Article 2 : Acceptation et ordre de priorité

Les CG s'appliquent dès la signature des CP, ou dès le premier appel au Service avec un jeton remis par Otomata. Elles sont publiées sur https://data.oto.zone/conditions, avec leur numéro de version et leur date.

En cas de contradiction, l'ordre de priorité est le suivant :

1. l'Annexe A (accord de traitement des données), pour tout ce qui concerne les données personnelles ;
2. les CP ;
3. les CG ;
4. tout autre contrat entre Otomata et le Client, pour ce qui n'y est pas réglé.

Otomata peut faire évoluer les CG. Il notifie toute modification au Client au moins 30 jours avant son entrée en vigueur. Une modification défavorable au Client lui ouvre le droit de mettre fin à l'usage du Service avant cette date, sans frais.

Article 3 : Droit d'usage et accès

Otomata concède au Client un droit d'usage du Service, non exclusif, non cessible et non transférable, pour les environnements désignés dans les CP. Les utilisateurs et les clients du Client en bénéficient à travers les fonctions de ses propres produits.

3.1 Jetons. Otomata remet au Client un jeton d'accès par environnement. Le Client les conserve dans un gestionnaire de secrets et ne les communique à personne d'autre. Il informe Otomata sans délai de toute compromission. Otomata révoque alors le jeton et en émet un nouveau.

3.2 Usage raisonnable. Le Service est partagé entre ses utilisateurs. Le Client s'interdit :

• d'exposer le Service ou ses jetons directement à des tiers, autrement qu'à travers les fonctions de ses produits ;
• d'en extraire massivement le contenu pour constituer une base concurrente ;
• de chercher à contourner ses mesures de sécurité ou ses limites de débit.

Otomata peut limiter le débit d'un jeton pour protéger le Service. Il en informe le Client.

Article 4 : Données publiques

Les données servies sont publiées par leurs producteurs : INSEE, DILA, INPI, ministères, opérateurs publics, OpenStreetMap… Chacune l'est sous sa propre licence, le plus souvent la Licence Ouverte v2.0 (Etalab), et l'ODbL pour OpenStreetMap. La liste des sources et de leurs licences est publiée sur le Service (/sources).

Le Client respecte ces licences et les conditions de réutilisation propres à chaque source, en particulier :

• l'interdiction de réidentifier les personnes dans les données de valeurs foncières ;
• le respect du statut de diffusion des personnes physiques au répertoire SIRENE.

Le Client est seul responsable de la réutilisation qu'il fait, ou que font ses utilisateurs, des réponses du Service. Cela vaut notamment au regard du RGPD : base légale, information des personnes au titre de l'article 14, prospection commerciale.

Article 5 : Conditions financières

Les conditions financières sont fixées dans les CP. À défaut de mention contraire, l'usage du Service est gratuit.

Article 6 : Niveau de service

Le Service est fourni au mieux, sans engagement de disponibilité, de performance ni de délai de rétablissement, sauf engagement contraire des CP. Le Client reconnaît que :

• le Service repose à ce jour sur un serveur unique, sans redondance ;
• une partie des réponses dépend de la disponibilité d'interfaces publiques tierces, sur lesquelles Otomata n'a aucune maîtrise ;
• Otomata ne garantit ni l'exactitude, ni l'exhaustivité, ni la fraîcheur des données publiques servies, au-delà de celles de leurs producteurs.

Otomata supervise la disponibilité du Service et intervient en heures ouvrées. Il prévient le Client au moins 48 heures à l'avance de toute intervention programmée susceptible d'interrompre le Service plus de quelques minutes. Il ne supprime ni ne modifie de façon incompatible une interface du Service sans un préavis de 30 jours, sauf urgence de sécurité ou préavis plus long fixé dans les CP.

Article 7 : Responsabilité

Le Service étant fourni en l'état, Otomata n'est pas responsable des dommages résultant de son indisponibilité, d'une erreur ou d'une lacune des données publiques servies, ni de l'usage qu'en fait le Client. Cette exclusion ne s'applique pas en cas de faute lourde ou dolosive, ni aux manquements d'Otomata à l'Annexe A, qui sont régis par l'article 82 du RGPD. Lorsque l'usage est payant, la responsabilité d'Otomata est plafonnée aux sommes versées au titre du Service au cours des douze derniers mois.

Article 8 : Durée, suspension et fin

8.1 Durée. Les CG s'appliquent pour la durée des CP.

8.2 Résiliation. Le Client peut mettre fin à l'usage du Service à tout moment, par écrit. Otomata peut y mettre fin par écrit, avec un préavis de 30 jours, sauf préavis plus long fixé dans les CP.

8.3 Suspension. Otomata peut suspendre un jeton sans préavis en cas de menace pour la sécurité du Service, de compromission du jeton ou de manquement à l'article 3. Il en informe le Client immédiatement, et rétablit l'accès dès que la cause a disparu.

8.4 Effets. À la fin de l'usage, Otomata révoque les jetons du Client dans un délai d'un jour ouvré. L'article A.8 de l'Annexe A s'applique.

Article 9 : Dispositions générales

Le Service, son code et sa documentation restent la propriété d'Otomata ; les données publiques restent celles de leurs producteurs. Chaque partie garde confidentielles les informations non publiques reçues de l'autre, dont les jetons. Les CG sont régies par le droit français. En cas de litige, les parties recherchent une solution amiable ; à défaut, les tribunaux de Marseille sont seuls compétents.

Annexe A : Accord de traitement des données (article 28 du RGPD)

A.1 Rôles et objet

Le Client est responsable du traitement. Lorsqu'il agit lui-même pour le compte de ses propres clients, il est sous-traitant, et ces derniers sont les responsables du traitement. Il garantit alors avoir obtenu leur autorisation de recourir à Otomata, relaie leurs instructions et reste l'unique interlocuteur d'Otomata.

Otomata est sous-traitant, ou sous-traitant ultérieur au sens de l'article 28.4 du RGPD dans le second cas. Il traite, pour le compte du Client, les données personnelles que contiennent ses requêtes au Service (un SIREN d'entrepreneur individuel, un nom de personne, une adresse…), pour la seule finalité d'y répondre. Le traitement est décrit en A.9.

Les données publiques que le Service collecte auprès de leurs producteurs, pour tous ses utilisateurs (le « corpus »), sont traitées par Otomata pour son propre compte et ne relèvent pas de la présente annexe.

A.2 Instructions

Otomata ne traite les données que sur instruction documentée du Client : la présente annexe et les requêtes elles-mêmes. Otomata s'interdit :

• de conserver le contenu des requêtes (A.4) ;
• de les utiliser à une autre fin que d'y répondre ;
• d'établir un profil des personnes recherchées, ou de rapprocher les requêtes d'un Client de celles d'autres utilisateurs ;
• de les exploiter commercialement, ou de les utiliser pour entraîner un modèle d'intelligence artificielle ;
• de les communiquer à un tiers, hors des destinataires de l'A.3 B et d'une obligation légale dont il informe le Client, sauf interdiction légale.

Il informe immédiatement le Client si une instruction lui paraît contraire au RGPD. Les données des articles 9 et 10 du RGPD ne sont pas nécessaires au Service ; le Client s'abstient de les faire transiter intentionnellement dans les requêtes.

A.3 Sous-traitants ultérieurs et destinataires

A. Sous-traitants ultérieurs autorisés

Otomata informe le Client par écrit de tout ajout ou remplacement d'un sous-traitant ultérieur, au moins 30 jours avant qu'il ne prenne effet. Le Client peut s'y opposer pour un motif raisonnable tenant à la protection des données ; faute d'alternative, il peut mettre fin à l'usage du Service. Otomata impose à ses sous-traitants ultérieurs des obligations au moins équivalentes et répond de leur exécution.

B. Sources publiques interrogées en direct (destinataires). Pour certaines requêtes, le Service interroge en temps réel l'interface publique du producteur de la donnée. Il lui transmet les seuls paramètres nécessaires, depuis l'adresse d'Otomata et sans identifiant du Client ni de ses utilisateurs. Plusieurs producteurs confient leur plateforme à un prestataire privé établi dans l'Union européenne, notamment Opendatasoft et Koumoul : ce prestataire reçoit alors ces paramètres. Ces producteurs et leurs prestataires répondent sous leurs propres conditions ; les parties les considèrent comme des destinataires, non comme des sous-traitants ultérieurs. Leur liste, l'hôte appelé, son opérateur et les paramètres transmis sont publiés sur le Service (/sources). Les autres requêtes sont servies par le corpus, sans transmission à un tiers.

C. Transferts. Les requêtes transitent par le réseau de Cloudflare, Inc., société américaine, qui les déchiffre pour les filtrer. Cloudflare peut garder des éléments de ces requêtes, dont leur adresse complète, dans ses journaux de sécurité, selon son accord de traitement des données. Ce transfert est encadré par l'accord de traitement des données de Cloudflare, les clauses contractuelles types de la Commission européenne et le Data Privacy Framework UE–États-Unis. Aucun autre transfert hors de l'Union européenne n'a lieu ; Otomata n'en ajoutera pas sans l'accord préalable et écrit du Client, sous l'une des garanties du chapitre V du RGPD.

A.4 Conservation : aucune conservation du contenu des requêtes

Otomata ne conserve pas le contenu des requêtes. Leurs paramètres ne sont enregistrés ni en base, ni en cache, ni dans un historique, ni dans un outil de suivi d'erreurs, ni dans les journaux. Les journaux techniques ne contiennent que l'horodatage, la méthode, le chemin appelé réduit à sa forme générique, chaque identifiant remplacé par un marqueur et sans paramètre, le statut, la durée et la taille de la réponse, et, pour le frontal, l'adresse IP du serveur émetteur, qui sert à la protection contre les abus. Ils sont conservés 30 jours, puis effacés. Sur une erreur, la base de données journalise le texte de la requête SQL sans ses valeurs, conservé 30 jours. Ce que Cloudflare peut garder est décrit en A.3 C.

A.5 Confidentialité et sécurité

Seules les personnes habilitées par Otomata, tenues à la confidentialité, ont accès aux serveurs du Service. Otomata met en œuvre les mesures de l'A.10 et les tient à jour au regard de l'état de l'art et des risques (article 32 du RGPD). Il ne détient à ce jour aucune certification ni attestation d'audit (notamment SOC 2 ou ISO/IEC 27001). Une mesure dite « en cours » n'est acquise qu'une fois sa mise en place confirmée par écrit.

A.6 Droits des personnes et violations

Otomata ne conserve pas le contenu des requêtes et ne détient donc aucune donnée sur laquelle exercer des droits au titre de la présente annexe. Il transmet au Client, sous 5 jours ouvrés, toute demande qu'il recevrait à ce titre. Une demande portant sur le corpus relève de sa responsabilité propre.

Otomata notifie au Client toute violation de données personnelles concernant le traitement dans un délai maximal de 48 heures après en avoir pris connaissance, avec les informations de l'article 33.3 du RGPD connues à ce stade, complétées dès que possible. Le Client reste seul responsable des notifications à l'autorité de contrôle et aux personnes concernées.

A.7 Assistance, registre et audits

Otomata aide le Client, au moyen des informations dont il dispose, à réaliser une analyse d'impact. Il tient le registre de ses traitements de sous-traitant (article 30.2 du RGPD). Il remet au Client, à sa demande et au plus une fois par an hors incident, ses réponses au questionnaire de sécurité fournisseur sous 30 jours, la fiche sous-traitant à jour et l'historique des incidents des douze derniers mois. Il informe le Client sans délai de toute modification substantielle du traitement.

Le Client peut faire réaliser à ses frais un audit, au plus une fois par an sauf violation ou manquement avéré, avec un préavis de 30 jours, par lui-même ou par un auditeur indépendant tenu au secret et non concurrent d'Otomata. L'audit porte sur des pièces ou se déroule à distance, sauf nécessité justifiée, et ne peut donner accès aux données d'autres utilisateurs. Le temps passé par Otomata au-delà d'une demi-journée est facturé au taux fixé dans les CP.

A.8 Fin du traitement

À la fin de l'usage, Otomata révoque les jetons du Client et le traitement cesse avec la dernière requête. Rien n'est à restituer. Les journaux techniques s'effacent au terme de leurs 30 jours. Otomata remet au Client, à sa demande, une attestation écrite de fin de traitement.

A.9 Description du traitement

A.10 Mesures techniques et organisationnelles