Mentions légales
Addendum de traitement des données (bêta)
Modèle d'addendum pour les espaces de travail de la bêta, au sens de l'article 28 du RGPD. Un accord sur mesure peut être demandé.
Dernière mise à jour : 26 octobre 2026
1. Objet et champ d'application
Les espaces de travail sont conçus pour ne recevoir aucune donnée personnelle : seuls des étiquettes, des décisions et des niveaux de confiance sont acceptés, et chaque champ est plafonné en longueur. Cet addendum s'applique néanmoins si, malgré cette interdiction, des données personnelles étaient présentes dans les données envoyées.
Le client est l'organisation titulaire de l'espace. Le prestataire est : Théo Coutard, personne physique (projet expérimental, sans activité commerciale à ce jour), non immatriculé, 4 rue des pinsons, 44115 Haute-Goulaine, France — theo@correlationindex.xyz.
2. Rôles
Pour ces données, le client est responsable du traitement et le prestataire est sous-traitant. Pour les données de compte (adresse e-mail, mot de passe), le prestataire est responsable du traitement : voir la politique de confidentialité.
3. Description du traitement
| Élément | Description |
|---|---|
| Nature | Hébergement, stockage, calcul d'indicateurs de concordance, export, suppression |
| Finalité | Fournir au client l'analyse de concordance entre les modèles d'IA de ses systèmes |
| Durée | Durée d'ouverture de l'espace ; décisions conservées sur 24 mois glissants ; journal d'audit 12 mois |
| Données | Étiquettes de systèmes, familles de modèles, références de scénario, décisions (court libellé), confiance, dates, identifiants d'idempotence. Pas de données personnelles prévues. |
| Personnes concernées | Aucune prévue. En cas d'inclusion accidentelle : les personnes dont le client aurait inclus des données. |
4. Instructions et confidentialité
Le prestataire ne traite les données que sur instruction documentée du client, c'est-à-dire l'usage des fonctions du service et les présentes. Il informe le client s'il estime qu'une instruction viole le droit applicable. Les personnes autorisées à accéder aux données sont tenues à la confidentialité.
5. Sécurité (art. 32)
- Chiffrement des connexions (HTTPS) et des données au repos par l'hébergeur de la base.
- Cloisonnement par organisation : règles d'accès par ligne ; aucun accès direct en écriture pour les clients ; écritures par fonctions auditées.
- Clés d'API aléatoires de 256 bits, stockées uniquement sous forme d'empreinte ; révocables à tout moment.
- Minimisation : champs limités en longueur, tout champ inconnu refusé, y compris tout champ de texte brut.
- Journal d'audit des créations, révocations, envois et lectures (sans contenu).
- Limites de débit par clé ; accès administrateur restreint.
6. Sous-traitants ultérieurs
Le client donne une autorisation générale pour ces sous-traitants. Le prestataire informe le client de tout ajout ou remplacement avant sa mise en œuvre, afin qu'il puisse s'y opposer ou supprimer son espace.
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| Supabase | Base de données et authentification | Irlande (AWS eu-west-1, Union européenne) |
| Vercel Inc. | Hébergement de l'application et de l'API | Fonctions exécutées à Paris ; société établie aux États-Unis |
7. Assistance, violations, transferts
Le prestataire aide le client, dans la mesure du possible, à répondre aux demandes d'exercice de droits et à ses obligations de sécurité, d'analyse d'impact et de notification.
Le prestataire notifie au client toute violation de données le concernant sans retard injustifié après en avoir pris connaissance, avec les informations dont il dispose.
Les transferts hors de l'Union européenne éventuels (hébergeur établi aux États-Unis) doivent reposer sur les garanties prévues par le RGPD ; elles sont vérifiées auprès de chaque sous-traitant.
8. Fin, audit, responsabilité
À la fin du service ou sur demande, le client exporte ses données et supprime l'espace, ce qui efface les données et le journal d'audit ; le prestataire n'en conserve aucune copie, hors sauvegardes techniques de l'hébergeur effacées selon leur cycle.
Le prestataire met à disposition les informations nécessaires pour démontrer le respect de cet addendum et accepte les demandes d'audit raisonnables, exercées avec préavis et dans le respect de la confidentialité.
La responsabilité est régie par les conditions d'utilisation. Cet addendum est régi par le droit français.
9. Contact
theo@correlationindex.xyz