Accord de traitement des données

Le présent accord encadre les traitements réalisés par l'éditeur de Central pour le compte de l'organisation cliente. Les rôles de responsable et de sous-traitant sont déterminés traitement par traitement et ne modifient pas les rôles propres au règlement IA.

Central traite les données uniquement pour fournir, sécuriser, mesurer et administrer le service selon les instructions documentées du client. Une instruction portant sur une finalité interdite ou haut risque non validée est refusée.

Les accès sont limités aux personnes autorisées, les secrets sont protégés, les échanges sont chiffrés en transit et les données sont isolées par organisation. Les preuves de conformité sont séparées du contenu.

L'inférence repose par défaut sur OVHcloud en Europe. Certains modèles explicitement validés peuvent être exécutés chez Scaleway en Europe, selon une politique d'organisation et après vérification du dossier fournisseur. Les connecteurs externes sont hors du chemin d'inférence ; une destination hors UE est signalée et exige une activation administrateur documentée.

Le client autorise l'éditeur à recourir aux sous-traitants ultérieurs listés en annexe. Toute addition ou modification est notifiée par courriel à l'administrateur de l'organisation avant sa mise en œuvre. Le client dispose alors de trente jours pour formuler une objection motivée ; à défaut de solution acceptable, il peut cesser d'utiliser le service concerné ou résilier dans les conditions du contrat.

Chaque sous-traitant ultérieur est tenu par des obligations de protection équivalentes à celles du présent accord. L'éditeur reste responsable envers le client de leur exécution.

L'éditeur assiste le client pour les droits des personnes, analyses d'impact et violations. Un incident est qualifié et notifié selon la matrice applicable, sans envoi automatique à une autorité.

Les catégories suivent la politique de confidentialité et la matrice de rétention. À la fin du service, les données sont restituées ou supprimées selon le contrat, sous réserve des obligations légales et gels de preuve justifiés.

Le client peut demander les informations raisonnablement nécessaires pour démontrer le respect du présent accord. Les exports sont expurgés des secrets et des données d'autres organisations.

Chaîne de sous-traitance au 30 août 2026. Les entités contractantes sont celles des contrats en vigueur ; leur mise à jour suit la procédure de notification décrite à l'article 4.

Vos données sont stockées et traitées en France. Deux sociétés du groupe OVHcloud situées hors de l'Union européenne, au Canada et au Royaume-Uni, peuvent y accéder à distance pour la sécurité et la maintenance de l'infrastructure, sur tous les services de l'hébergeur. Ces deux pays bénéficient d'une décision d'adéquation de la Commission européenne, qui constitue le fondement juridique de ces accès : ils ne reposent donc pas sur des clauses contractuelles types. Nous préférons l'écrire plutôt que de laisser croire que la chaîne s'arrête à la frontière française.

Chaque hébergeur d'inférence applique ses propres durées de conservation, qui s'ajoutent à celles de l'article 6. Scaleway déclare une politique de non-conservation des requêtes, avec une exception : en cas de trafic nuisant au service, le contenu des requêtes concernées peut être conservé jusqu'à deux semaines pour investigation technique. Aucun hébergeur n'utilise vos échanges pour entraîner un modèle.