Accord de traitement des données

1. Rôles

Pour les données personnelles contenues dans les dépôts, boutiques et contenus que tu connectes à EvonX, tu es le responsable du traitement et EvonX le sous-traitant. Pour les données de compte et d’utilisation que tu nous fournis directement – ton nom, ton adresse e-mail, tes identifiants et les journaux de la plateforme –, EvonX est le responsable du traitement ; ce traitement relève de notre politique de confidentialité et non de ce DPA.

2. Ce que nous traitons

Objet et finalité. La fourniture de la plateforme EvonX : analyser une base de code, planifier et générer des changements, lancer des aperçus en direct et livrer le résultat sous forme de pull request.

Durée. Tant que ton compte est actif, plus la courte période de conservation prévue à la section 9.

Catégories de données. Toutes les données personnelles qui se trouvent par hasard dans le matériel que tu connectes ou transmets – typiquement des identifiants de développeurs dans l’historique des commits, des données d’exemple ou de seed dans un dépôt, des contenus dans les prompts et images importées, et des données personnelles dans un thème de boutique connecté.

Personnes concernées. Tes employés et contributeurs, ainsi que toute personne dont les données figurent dans le matériel que tu connectes.

3. Tes instructions

Nous ne traitons les données personnelles que sur ton instruction documentée. L’utilisation de la plateforme constitue elle-même une instruction : quand tu demandes un changement, tu nous demandes de traiter ce qui est nécessaire pour le réaliser. Nous t’informons si une instruction nous semble contraire au droit applicable de la protection des données et, si la loi nous oblige à traiter des données au-delà de tes instructions, nous te le signalons au préalable, sauf si la loi l’interdit.

Il t’appartient de disposer d’une base légale pour les données que tu connectes et de ne pas connecter de catégories de données pour lesquelles la plateforme n’est pas conçue – les vraies données de santé, financières ou biométriques doivent être masquées ou remplacées par des données synthétiques avant de connecter un dépôt ou un jeu de données.

4. Confidentialité

L’accès aux données clients est limité aux personnes qui en ont besoin pour exploiter et assister la plateforme. Elles sont tenues à des obligations de confidentialité qui perdurent après la fin de leur mission.

5. Sécurité

Nous prenons des mesures techniques et organisationnelles adaptées au risque, notamment le chiffrement du trafic en transit avec TLS, le stockage côté serveur des identifiants des services connectés, la séparation des données clients par espace de travail, des environnements d’aperçu isolés avec leurs propres bases de données éphémères, ainsi qu’un contrôle d’accès basé sur les rôles avec journaux d’audit. Nos mesures actuelles sont décrites sur la page Sécurité et confiance, qui fait partie de ce DPA. Nous pouvons modifier une mesure, mais pas de manière à affaiblir sensiblement la protection dans son ensemble.

6. Sous-traitants ultérieurs

Tu nous accordes une autorisation générale de recourir aux sous-traitants ultérieurs listés dans Sous-traitants. Chacun d’eux est lié par des conditions de protection des données au moins aussi protectrices que ce DPA, et nous restons pleinement responsables envers toi de leur exécution. Avant qu’un nouveau sous-traitant ultérieur commence à traiter tes données personnelles, nous mettons à jour cette page et l’annonçons au moins 30 jours à l’avance ; tu peux t’y opposer pour des motifs légitimes liés à la protection des données et, si nous ne pouvons pas lever l’objection, résilier la partie concernée du service.

7. Demandes des personnes concernées

Compte tenu de la nature du traitement, nous t’aidons à répondre aux demandes des personnes concernées qui exercent leurs droits. Si une telle demande nous parvient directement et concerne des données que nous traitons pour ton compte, nous te la transmettons au lieu d’y répondre nous-mêmes.

8. Violations de données personnelles

Nous t’informons sans délai injustifié, et en tout cas dans les 72 heures après en avoir pris connaissance, de toute violation de données personnelles concernant des données que nous traitons pour toi. La notification décrit ce qui s’est passé, les catégories et le volume approximatif des données concernées, les conséquences probables et les mesures prises ou envisagées. Nous t’aidons à respecter tes propres obligations de notification au titre des articles 33 et 34 du RGPD.

9. Suppression et restitution

Tant que ton compte est actif, tu peux exporter ou supprimer tes données à tout moment. À la fin du service, nous supprimons les données personnelles traitées pour ton compte dans un délai de 30 jours, sauf lorsque leur conservation est légalement requise. Les environnements d’aperçu et leurs bases de données sont éphémères et supprimés dès qu’ils ne sont plus nécessaires.

10. Audits et informations

Nous mettons à disposition les informations nécessaires pour démontrer le respect de l’article 28 et, avec un préavis raisonnable et au maximum une fois par an, répondons à un questionnaire de sécurité ou à un audit réalisé par toi ou par un auditeur indépendant que tu mandates – dans le respect de la confidentialité, sans perturber le service ni exposer d’autres clients. Lorsqu’un rapport d’audit ou une certification couvre le point concerné, nous pouvons le proposer à la place d’un audit sur site.

11. Transferts internationaux

Lorsque des données personnelles quittent l’EEE ou le Royaume-Uni, nous nous appuyons sur un mécanisme de transfert reconnu par le RGPD : une décision d’adéquation lorsqu’elle existe et, à défaut, les clauses contractuelles types de la Commission européenne accompagnées de l’UK International Data Transfer Addendum, intégrées par référence à ce DPA, EvonX agissant en tant qu’importateur de données.

12. Turquie

Lorsque le droit turc s’applique, ce DPA tient lieu d’accord de traitement des données requis par la KVKK, avec toi en tant que veri sorumlusu (responsable du traitement) et EvonX en tant que veri işleyen (sous-traitant). Les transferts vers l’étranger se font sur la base autorisée par l’article 9 de la KVKK. Nos informations en turc se trouvent sur /tr/kvkk.

13. Primauté et modifications

Si ce DPA contredit les conditions d’utilisation en ce qui concerne le traitement des données personnelles, ce DPA prévaut. Nous pouvons le mettre à jour pour refléter les évolutions du droit ou du service ; nous annonçons les changements importants sur cette page avec une date mise à jour. Questions et demandes de signature : legal@evonx.ai.