Accord sur le traitement des données
Introduction
Le présent accord régit le traitement des données à caractère personnel par revzper SAS (sous-traitant) pour le compte du client (responsable du traitement).
1. Champ d’application et instructions
Le sous-traitant ne traite les données à caractère personnel que sur la base d’instructions écrites fournies via un canal sécurisé et consignées dans les registres des traitements du responsable du traitement. revzper SAS confirme la réception des instructions et documente toutes les mesures de conformité prises en réponse. Le sous-traitant veille à ce que les personnes autorisées à traiter les données à caractère personnel se soient engagées à respecter la confidentialité. Le sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque. Le sous-traitant assiste le responsable du traitement afin de garantir le respect de ses obligations.
2. Code source et métadonnées du référentiel
Lorsque le responsable du traitement les soumet à des fins d’analyse, les données à caractère personnel traitées au titre du présent Accord comprennent le code source et les métadonnées du référentiel : chemins de fichiers, sujets des commits, dates et nombres, ainsi que lignes de configuration, qui peuvent permettre d’identifier les contributeurs du responsable du traitement, et les noms, numéros de processus et heures de démarrage des programmes s’exécutant sur les ordinateurs du responsable du traitement.
Réf. : RGPD, art. 28(3)
3. Aucun entraînement sur des données à caractère personnel
revzper SAS n’utilise pas les données à caractère personnel traitées au titre du présent Accord pour entraîner ou affiner des modèles d’IA. L’affinement d’un modèle pour le responsable du traitement nécessite un accord écrit distinct avec le responsable du traitement et n’est effectué que sur des données que le responsable du traitement a explicitement désignées à cette fin. La seule exception concerne les commentaires qu’un utilisateur envoie via une application après avoir coché, pour ce commentaire, une case distincte qui est décochée à chaque fois et qui n’est jamais cochée pour l’utilisateur. revzper SAS traite alors ces commentaires en tant que responsable du traitement, sur la base du consentement de l’utilisateur : elle supprime les secrets et les données identifiant une personne avant que les commentaires ne rejoignent un jeu de données ; elle utilise ce jeu de données uniquement pour tester, entraîner et affiner les modèles d’IA qui fournissent les fonctionnalités de la plateforme à tous les utilisateurs, jamais un modèle conçu pour un autre client ; elle peut faire réaliser l’entraînement par un fournisseur d’IA dans l’Union européenne agissant en qualité de sous-traitant, en vertu d’un contrat qui interdit à ce fournisseur d’utiliser le jeu de données pour son propre compte ; et elle conserve chaque élément pendant un an au maximum. Le responsable du traitement reste responsable du fait que ses utilisateurs soient autorisés à partager le contenu qu’ils joignent à leurs commentaires.
Réf. : RGPD, art. 28(3)(a), RGPD, art. 28(10)
4. Mesures postérieures à la fin du contrat
À la fin du présent Accord ou sur instruction du responsable du traitement, revzper SAS doit :
Mesures par défaut
- Supprimer toutes les données à caractère personnel dans les 30 jours suivant la fin du contrat, sauf instruction contraire écrite du responsable du traitement.
- Restituer toutes les données à caractère personnel au responsable du traitement dans un format structuré, couramment utilisé et lisible par machine, si le responsable du traitement en fait la demande par écrit dans les 15 jours suivant la fin du contrat.
- Fournir au responsable du traitement une attestation écrite confirmant l’achèvement de la suppression ou de la restitution, y compris la date et la méthode de l’action.
- Permettre au responsable du traitement de vérifier le respect de la présente clause sur demande raisonnable.
Obligations supplémentaires
- revzper SAS ne doit conserver aucune donnée à caractère personnel au-delà de l’achèvement des actions susmentionnées, sauf si la loi l’exige.
Lieu du traitement et sous-traitants ultérieurs
Tous les traitements de données à caractère personnel effectués au titre du présent Accord ont lieu au sein de l’Union européenne. Les données à caractère personnel sont hébergées en France (région parisienne) par Scaleway SAS, 8 rue de la Ville-l'Évêque, 75008 Paris, France. Les données de paiement sont traitées par Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Pays-Bas, en tant que responsable du traitement indépendant conformément à ses propres conditions. Les fonctionnalités d’IA sont traitées par Microsoft Ireland Operations Limited, Dublin, Irlande (Microsoft Foundry, Azure OpenAI Service, déploiements dans la zone de données de l’Union européenne sur une ressource en France) et par Mistral AI SAS, 15 rue des Halles, 75001 Paris, France (La Plateforme, données hébergées dans l’Union européenne), en tant que sous-traitants ultérieurs. Tout fournisseur d’IA configuré à la demande du responsable du traitement est désigné auprès de celui-ci avant son utilisation. revzper SAS informe le responsable du traitement avant de faire appel à tout autre sous-traitant ultérieur.
2. Fournisseurs et modèles d’IA choisis par le responsable du traitement
Lorsque le responsable du traitement, ou un utilisateur agissant pour son compte, dispose d’une fonctionnalité d’IA fournie par un fournisseur d’IA configuré avec le propre compte du responsable du traitement ou de l’utilisateur, ou par un modèle fonctionnant sur le propre équipement du responsable du traitement, ce fournisseur ou ce modèle est engagé par le responsable du traitement et n’est pas un sous-traitant ultérieur de revzper SAS ; revzper SAS ne fait au plus que lui transmettre les demandes. Le responsable du traitement est responsable de ce choix, de son accord avec ce fournisseur et de la licéité du transfert de données à caractère personnel qui en résulte, quel que soit le rôle dans le service de l’utilisateur qui l’a effectué, y compris créateur ou administrateur.
Réf. : RGPD, art. 24, RGPD, art. 28(2)