Accord de sous-traitance
La version anglaise de ce document fait foi en cas de litige. Lire la version anglaise.
1. Parties et rôles
- Le Client (le responsable du traitement) : l'entreprise qui souscrit une offre hébergée d'Agentivity.
- SMART PIXEL BV, numéro d'entreprise BE 0731.739.690, siège social à Wasseiges, Belgique (« Agentivity », le sous-traitant).
Agentivity traite des données à caractère personnel pour le compte du Client uniquement pour fournir l'espace de travail hébergé décrit dans les Conditions de vente. Pour les données qu'elle traite au sujet du Client en tant que client (compte, facturation), Agentivity est responsable du traitement au titre de sa Politique de confidentialité, et non sous-traitant.
2. Objet, nature et durée
| Objet | Hébergement et fonctionnement de l'espace de travail Agentivity du Client : ses agents, équipes, workflows, exécutions, Data Tables, Knowledge Bases, fichiers et les comptes de ses personnes. |
|---|---|
| Nature du traitement | Stockage, sauvegarde, exécution des workflows et des agents du Client, transmission aux services que le Client connecte. |
| Durée | La durée de l'abonnement, puis jusqu'à la suppression décrite à l'article 9 (au plus 120 jours après la fin de l'offre, sauvegardes comprises). |
| Catégories de personnes concernées | Déterminées par le Client : ses personnes (utilisateurs de l'espace de travail) et toute personne dont le Client traite les données au moyen de ses workflows (clients, prospects, employés, contacts). |
| Catégories de données | Déterminées par le Client. Pour les utilisateurs de l'espace de travail : nom, e-mail, rôle, historique de connexion, journal d'audit (Business). Des catégories particulières de données ne peuvent être traitées que si le Client dispose d'une base légale et de garanties appropriées (Conditions générales d'utilisation, article 7). |
3. Instructions
Agentivity ne traite les données que sur les instructions documentées du Client, à savoir les présentes conditions, la configuration de son espace de travail par le Client (ses workflows, agents, connexions) et toute autre instruction écrite. Agentivity informe le Client si elle estime qu'une instruction enfreint le droit de la protection des données.
Ce que le Client décide seul : les fournisseurs d'IA et les services tiers que ses workflows appellent, avec ses propres identifiants. Les données envoyées à ces services sont traitées par eux selon leurs propres conditions, en tant que sous-traitants ou responsables du traitement du Client, et non en tant que sous-traitants ultérieurs d'Agentivity.
4. Confidentialité
Les personnes autorisées par Agentivity à accéder aux données sont tenues à la confidentialité. Agentivity n'examine pas le contenu d'un espace de travail, sauf lorsque cela est nécessaire pour fournir l'assistance demandée par le Client, pour assurer la sécurité, ou lorsque la loi l'exige.
5. Mesures de sécurité (article 32)
- Chaque espace de travail fonctionne sur sa propre machine et son propre volume de stockage, isolés des autres clients.
- Chiffrement en transit (TLS) pour chaque connexion ; le volume de stockage de chaque espace de travail est chiffré au repos.
- Les secrets des connexions (identifiants auprès des fournisseurs d'IA et d'autres services) sont chiffrés en AES-256-GCM, avec une clé propre à chaque espace de travail ; les mots de passe ne sont conservés que sous forme d'empreinte PBKDF2 et les clés API que sous forme d'empreinte SHA-256, jamais en clair.
- Connexion par e-mail et mot de passe, rôles et permissions par personne, espaces pour séparer les données au sein d'un espace de travail ; clés API par personne, avec des portées ; journal d'audit sur Business.
- Sauvegardes quotidiennes du volume de stockage, conservées 7, 14 ou 30 jours selon l'offre.
- Accès à la production limité au personnel autorisé, via les consoles des prestataires avec authentification multifacteur ; la console d'exploitation est protégée par Cloudflare Access.
- Mises à jour installées par Agentivity, sans interrompre les exécutions en cours.
- Détection et traitement des incidents de sécurité (article 8).
6. Sous-traitants ultérieurs
Le Client donne une autorisation générale aux sous-traitants ultérieurs suivants. Agentivity informe le Client au moins 30 jours avant d'en ajouter ou d'en remplacer un ; le Client peut s'y opposer pour des motifs raisonnables et, si aucune solution n'est trouvée, résilier.
| Sous-traitant ultérieur | Service | Lieu du traitement |
|---|---|---|
| Fly.io, Inc. | Machines et stockage des espaces de travail, sauvegardes | Union européenne (Francfort, Allemagne) ; société établie aux États-Unis |
| Cloudflare, Inc. | Passerelle devant les espaces de travail (TLS, routage), DNS | Réseau mondial ; société établie aux États-Unis |
| Brevo (Sendinblue SAS) | E-mails transactionnels envoyés pour l'espace de travail (invitations, réinitialisations de mot de passe) | UE (France) |
| Stripe Payments Europe, Ltd. | Paiement de l'abonnement (le Client en tant que client, pas le contenu de l'espace de travail) | UE (Irlande), États-Unis |
Stripe ne traite que les données du Client en tant que client (facturation), jamais le contenu de l'espace de travail. Agentivity impose à chaque sous-traitant ultérieur des obligations équivalentes à celles du présent Accord.
7. Transferts internationaux
Les données des espaces de travail sont stockées dans l'Union européenne. Lorsqu'un sous-traitant ultérieur établi hors de l'EEE peut y accéder, le transfert repose sur le cadre de protection des données UE–États-Unis (Data Privacy Framework) lorsque le sous-traitant ultérieur est certifié, ou sur les Clauses contractuelles types adoptées par la Commission européenne, comme le prévoient les conditions de traitement des données de chaque sous-traitant ultérieur.
8. Violations de données à caractère personnel
Agentivity notifie le Client dans les meilleurs délais, et au plus tard dans les 48 heures après avoir pris connaissance d'une violation affectant les données du Client, avec les informations disponibles (nature, catégories et nombre approximatif de personnes concernées et d'enregistrements, conséquences probables, mesures prises), afin que le Client puisse remplir ses propres obligations.
9. Fin du traitement
Lorsque l'offre prend fin, l'espace de travail suit les étapes des Conditions de vente (lecture seule 30 jours, en pause jusqu'au 90e jour, corbeille 30 jours). Pendant ce temps, le Client peut le rétablir ou en exporter le contenu (« Administration › Data »). Au 120e jour, l'espace de travail, ses données et ses sauvegardes sont supprimés, sauf si la loi impose à Agentivity de les conserver. Sur demande, Agentivity supprime l'espace de travail plus tôt.
10. Assistance et droits des personnes concernées
Agentivity aide le Client, par des moyens techniques appropriés, à répondre aux demandes des personnes concernées : le Client peut lui-même retrouver, modifier, exporter et supprimer les données de son espace de travail. Agentivity assiste également le Client, dans une mesure raisonnable, pour les analyses d'impact et les consultations préalables.
11. Audits
Agentivity met à disposition les informations nécessaires pour démontrer le respect du présent Accord et répond aux questionnaires raisonnables. Des audits sur place, aux frais du Client et moyennant un préavis raisonnable, sont possibles au plus une fois par an, sauf si une violation justifie davantage.
12. Préséance
En cas de conflit, le présent Accord prévaut sur les Conditions de vente et les Conditions générales d'utilisation pour le traitement des données à caractère personnel.