Accord de traitement des données (DPA)

Objet

Le présent accord encadre le traitement de données à caractère personnel effectué par Ekaii Hosting (le sous-traitant) pour le compte de son client professionnel (le responsable de traitement), au sens de l’article 28 du RGPD. Il s’applique aux clients professionnels et complète les CGV.

Rôles

• Le client est responsable de traitement pour les données qu’il héberge ou traite via nos services — y compris les données collectées par un produit créé via l’assistant (produit d’essai ou converti).
• Ekaii Hosting est sous-traitant : il n’agit que sur instruction du client et ne détermine pas les finalités.
• Pour les données du client lui-même (compte, commande, brief soumis à l’assistant), Ekaii Hosting est responsable de traitement ; ce volet est couvert par la politique de confidentialité.

Nature et finalité du traitement

Fourniture d’une infrastructure d’hébergement (calcul, stockage, réseau), des services managés souscrits et, le cas échéant, de produits applicatifs générés et déployés par la plateforme (essais et produits convertis). Les catégories de données et de personnes concernées dépendent de l’usage que le client fait du service et relèvent de sa responsabilité.

Mesures de sécurité

• Chiffrement en transit ; possibilité de chiffrement au repos côté client (notamment pour le stockage).
• Cloisonnement des services par client ; effacement vérifié des environnements d’essai avant toute réutilisation.
• Contrôle des accès administratifs et journalisation.
• Sauvegardes selon l’offre souscrite.

Sous-traitants ultérieurs

Le client autorise de manière générale le recours aux sous-traitants ultérieurs listés ci-dessous. Il est informé de tout ajout ou remplacement et peut s’y opposer pour motif légitime.

Localisation des données et transferts hors UE

Les données hébergées sont localisées dans l’Union européenne : en France pour les offres managées et les produits générés, en Allemagne ou en Finlande pour les produits reposant sur l’infrastructure Hetzner. Le contenu hébergé du client (fichiers, bases de données, mondes de jeu, données de ses propres utilisateurs) n’est transféré hors UE par aucun de nos traitements.

Certains traitements auxiliaires impliquent en revanche un transfert vers les États-Unis :

• Anthropic (États-Unis) — lorsque le client utilise l’assistant ou la création de produit, le texte de son brief est transmis à l’API d’Anthropic. Encadrement : clauses contractuelles types (SCC) de la Commission européenne intégrées à l’accord de traitement des données d’Anthropic ; engagement contractuel de non-utilisation des contenus pour l’entraînement des modèles.
• Cloudflare (États-Unis) — métadonnées DNS/TLS et coordonnées de titulaire de domaine. Encadrement : certification au cadre de protection des données UE–États-Unis (Data Privacy Framework, décision d’adéquation) et clauses contractuelles types.
• Stripe — transferts intragroupe de Stripe Payments Europe Ltd (Irlande) vers Stripe Inc. (États-Unis), encadrés par le Data Privacy Framework et les clauses contractuelles types.

Le détail du parcours des données (ce qui quitte l’UE, à quel moment le modèle d’IA voit des données personnelles) et les durées de conservation appliquées sont décrits dans la politique de confidentialité (sections « parcours des données » et « durées de conservation »).

Violation de données

En cas de violation de données affectant les données du client, Ekaii Hosting en informe le client dans les meilleurs délais et lui fournit les éléments utiles pour ses propres obligations de notification.

Fin du contrat

À la fin du contrat, le client peut récupérer ses données pendant le délai de réversibilité prévu aux CGV, après quoi elles sont supprimées de nos systèmes, sauf obligation légale de conservation. Les environnements d’essai non convertis sont effacés automatiquement selon les durées publiées dans la politique de rétention.