Accord de traitement des données

Dans ces mêmes paramètres, un administrateur peut activer des règles que respecte chaque appel de l’organisation, comme le Zero Data Retention ou des restrictions de région. Une fois activées, Eden AI les applique dans les conditions décrites à la Section 5.

Besoin d’un DPA personnalisé ? Nous sommes ouverts à des conditions de protection des données sur mesure dans le cadre de notre offre Advanced Enterprise. Découvrir l’offre Advanced Enterprise.

Eden AI SAS est une société française soumise au droit de l’Union européenne en matière de protection des données, notamment le RGPD. Pour toute question sur ce DPA : [email protected].

‍

1. Introduction

1.1 Le présent Accord de traitement des données (« DPA ») fait partie intégrante des Conditions d’utilisation, du Contrat-cadre de services, du Bon de commande ou de tout autre accord régissant l’utilisation du Service par le Client (le « Contrat ») et s’applique chaque fois qu’Eden AI Traite des Données personnelles du Client pour le compte de celui-ci.

1.2 Le présent DPA prend effet à la date à laquelle les deux Parties l’ont signé (la « Date d’entrée en vigueur »).

1.3 Aucune disposition du présent DPA ne limite les obligations de l’une ou l’autre Partie au titre de la Législation applicable impérative en matière de protection des données. En cas de conflit, le présent DPA prévaut sur le Contrat uniquement en ce qui concerne le Traitement des Données personnelles du Client. En cas de conflit entre le présent DPA et les CCT applicables ou l’Addendum britannique, ces conditions de transfert prévalent.

‍

2. Définitions

« Données de compte » désigne les données de contact professionnel, de compte, d’authentification, de facturation, fiscales, de prévention de la fraude, commerciales, de support et de communication Traitées par Eden AI à des fins de gestion de compte, de sécurité, de conformité légale ou de relation client.

« Fournisseur d’IA » désigne un tiers fournissant un modèle d’IA, un service d’inférence ou une capacité associée mis à disposition via le Service.

« Législation applicable en matière de protection des données » désigne les lois relatives à la vie privée et à la protection des données applicables au Traitement, y compris, le cas échéant, le RGPD de l’UE, la loi Informatique et Libertés, le RGPD britannique, la législation suisse sur la protection des données et les lois des États américains applicables en matière de vie privée.

« Données du Client » désigne les entrées, prompts, fichiers, médias, sorties et métadonnées associées soumis au Service, générés par celui-ci ou Traités de toute autre manière par le Service pour le Client.

« Données personnelles du Client » désigne les Données personnelles contenues dans les Données du Client qu’Eden AI Traite pour le compte du Client.

« Endpoint UE » désigne l’endpoint d’Eden AI destiné à ce que le contenu de requête éligible soit routé et Traité au sein de l’Union européenne, actuellement https://api.eu.edenai.run/v3/.

« Conservation des logs » désigne un paramètre ou une fonctionnalité optionnels qui conservent le contenu des requêtes ou des réponses à des fins de supervision, de débogage ou de support.

« Sous-traitant ultérieur opérationnel » désigne un tiers auquel Eden AI fait appel pour Traiter des Données personnelles du Client en soutien du Service, tel qu’identifié à l’Annexe 2. Un fournisseur traitant des Données de compte uniquement pour les finalités d’Eden AI en tant que Responsable de traitement indépendant n’est pas un Sous-traitant ultérieur pour cette activité.

« Transfert restreint » désigne un transfert de Données personnelles soumis aux restrictions du chapitre V du RGPD de l’UE, du RGPD britannique ou d’une Législation applicable équivalente en matière de protection des données.

« CCT » désigne les clauses contractuelles types de la Commission européenne adoptées par la décision (UE) 2021/914, selon le module applicable.

« Service » désigne la passerelle IA (AI gateway), les API, le routage, le fallback, la supervision, la gouvernance, la régionalisation et les services associés d’Eden AI.

« ZDR » désigne un fournisseur ou une configuration dans lequel le contenu des requêtes et des réponses n’est pas conservé au-delà du Traitement nécessaire pour fournir le résultat demandé.

Les termes « Responsable de traitement », « Sous-traitant », « Sous-traitant ultérieur », « Personne concernée », « Données personnelles », « Violation de données personnelles », « Traitement » et « Autorité de contrôle » ont le sens qui leur est donné par la Législation applicable en matière de protection des données.

‍

3. Rôles et répartition des responsabilités

3.1 Pour les Données personnelles du Client, Eden AI agit en qualité de Sous-traitant et le Client en qualité de Responsable de traitement ou, le cas échéant, de Sous-traitant agissant pour le compte d’un autre Responsable de traitement. Cette répartition reflète uniquement les rôles légaux des Parties et ne crée aucune relation de mandat, fiduciaire, de supervision ou d’exclusivité.

3.2 Chaque Partie est responsable du respect des obligations applicables à son propre rôle. Le Client est responsable de la licéité de son cas d’usage, de ses instructions et de la communication de Données personnelles du Client au Service.

3.3 Eden AI fournit une couche d’orchestration et de routage. Les Fournisseurs d’IA et les modèles sont mis à disposition par Eden AI, tandis que le Client en autorise l’utilisation via des appels API, les paramètres de projet, des règles de routage ou toute autre configuration du Service.

3.4 Un Fournisseur d’IA peut agir en qualité de Sous-traitant ultérieur lorsqu’il Traite des Données personnelles du Client pour exécuter une requête du Client. Les Données de compte sont généralement Traitées par Eden AI en qualité de Responsable de traitement indépendant, conformément à sa Politique de confidentialité.

‍

4. Périmètre et évolution du Service

4.1 Le Service peut évoluer par l’ajout, le remplacement ou le retrait de fournisseurs, de modèles, d’endpoints, de contrôles et de fonctionnalités. Eden AI Traitera les Données personnelles du Client uniquement sur instructions documentées du Client, y compris le présent DPA et la configuration du Service, sauf obligation légale, auquel cas la Section 5.2 s’applique. Les évolutions du Service n’autorisent pas de nouvelles finalités et ne remplacent pas les restrictions activées.

‍

5. Configuration du Service et instructions

5.1 En utilisant le routage intelligent, le fallback ou un ensemble de modèles candidats, le Client donne instruction à Eden AI de choisir parmi les candidats activés conformément à la configuration retenue. Les requêtes adressées à l’Endpoint UE ne seront pas routées vers des modèles indisponibles sur une infrastructure éligible au sein de l’Union européenne, et le contenu éligible des requêtes et des réponses sera Traité conformément au routage régional décrit à l’Annexe 3 et dans la Documentation en vigueur.

5.2 Lorsque la loi applicable impose un Traitement en dehors de la configuration du Client, Eden AI peut effectuer ce Traitement et en informera le Client lorsque la loi le permet.

5.3 Restrictions administratives de gouvernance des données. Lorsque le Client active un contrôle administratif proposé par le Service restreignant les Fournisseurs d’IA, modèles ou endpoints susceptibles de traiter les Données du Client, Eden AI applique ce contrôle à toutes les requêtes relevant de son périmètre déclaré. Ces contrôles peuvent comprendre le Zero Data Retention (ZDR) ; des restrictions de traitement régional, notamment un traitement limité à l’Europe ou à l’UE ; l’interdiction d’utiliser les Données du Client pour l’entraînement de modèles ; l’interdiction de réutilisation pour l’amélioration des produits du fournisseur ou d’autres finalités secondaires ; des restrictions fondées sur le fournisseur, le lieu d’hébergement ou de traitement ; des restrictions visant certains Fournisseurs d’IA, modèles ou endpoints ; des normes de sécurité ou de conformité des fournisseurs ; des pratiques de conservation des données ; l’examen ou l’accès humain ; et toute autre restriction de gouvernance des données, de confidentialité, de sécurité ou de conformité proposée par le Service le cas échéant. Le périmètre de chaque contrôle, y compris toute définition applicable d’une région, est celui affiché au Client lors de l’activation du contrôle.

5.4 Application et préséance. Eden AI garantit qu’elle appliquera chaque restriction administrative activée au niveau du Service et ne routera les requêtes soumises à cette restriction que vers des Fournisseurs d’IA, modèles et endpoints qui la respectent. Lorsque plusieurs restrictions sont activées, chacune doit être respectée. Les restrictions administratives priment sur le choix du fournisseur, le routage intelligent, le fallback et l’optimisation des coûts ou des performances. Lorsqu’aucune option éligible n’est disponible, Eden AI rejette la requête ou la fait échouer plutôt que de la router en dehors des restrictions activées. Eden AI ne désactive, n’assouplit ni ne contourne silencieusement une restriction activée, y compris à la suite d’un changement de fournisseur, de modèle, d’endpoint ou d’architecture du Service.

5.5 Éligibilité des fournisseurs. Eden AI tient à jour les informations permettant de déterminer si un Fournisseur d’IA, un modèle ou un endpoint est éligible au regard d’une restriction activée. Eden AI évalue cette éligibilité au regard des conditions, engagements et configurations techniques du fournisseur pertinents pour cette restriction. Lorsqu’Eden AI constate qu’une option ne respecte plus une restriction activée, elle la retire sans retard injustifié de l’ensemble des options de routage éligibles. Eden AI maintient avec les Fournisseurs d’IA concernés les dispositions contractuelles nécessaires au respect des restrictions pour lesquelles elle les déclare éligibles.

5.6 Transparence et non-conformité. Sur demande raisonnable, Eden AI fournit au Client les informations raisonnablement disponibles nécessaires pour vérifier l’application de ses restrictions activées, notamment le Fournisseur d’IA, le modèle et l’endpoint utilisés ainsi que les caractéristiques pertinentes de localisation, de conservation, d’entraînement et d’utilisation des données, sous réserve des contraintes de sécurité, de confidentialité et liées aux tiers. Si Eden AI constate que des Données du Client ont été routées en violation d’une restriction activée, elle en informe le Client sans retard injustifié, identifie les requêtes concernées dans la mesure raisonnablement possible et prend des mesures raisonnables de confinement et de correction. Lorsque l’événement constitue également une Violation de données personnelles, la Section 14 s’applique en complément.

‍

6. Minimisation, conservation des données et pratiques des fournisseurs

6.1 Par défaut, Eden AI ne conserve pas le contenu des requêtes ou des réponses des appels API synchrones. Ce contenu n’est normalement Traité que le temps nécessaire pour router la requête et renvoyer le résultat.

6.2 Eden AI peut conserver des métadonnées opérationnelles limitées à des fins de facturation, de sécurité, de fiabilité, d’analyse et d’administration, uniquement pendant la durée indiquée dans la Documentation, un calendrier de conservation applicable ou le Contrat, et pas au-delà de ce qui est raisonnablement nécessaire à ces fins. Les résultats des tâches asynchrones prises en charge peuvent être conservés jusqu’à sept (7) jours pour permettre leur récupération, sauf durée différente expressément prévue dans la Documentation ou un Bon de commande.

6.3 Le contenu des requêtes ou des réponses n’est conservé que lorsqu’une fonctionnalité sélectionnée l’exige, que le Client active la Conservation des logs ou que le contenu est transmis dans le cadre d’une demande de support. Le contenu soumis à la Conservation des logs est conservé pendant la durée choisie par le Client et affichée dans le Service, ou prévue dans un Bon de commande ; à défaut de durée choisie ou convenue, la Conservation des logs est désactivée. Le contenu de support, les registres de sécurité, les données de facturation, les métadonnées opérationnelles et les copies de sauvegarde suivent le cycle de conservation documenté, légal ou système applicable et sont supprimés ou anonymisés à l’expiration de cette période, sauf si leur conservation est requise par la loi, une obligation de conservation légale ou la défense de droits en justice. Les modifications des paramètres de conservation s’appliquent pour l’avenir. La conservation et la suppression des Données personnelles du Client après la résiliation restent régies par la Section 16.

6.4 Les conditions de conservation, d’entraînement et de ZDR des Fournisseurs d’IA varient selon le fournisseur, le modèle, l’endpoint et la configuration. Les informations à jour par fournisseur figurent dans la documentation mentionnée à l’Annexe 3. Lorsque le Client active une restriction administrative, Eden AI applique les Sections 5.3 à 5.6 nonobstant ces différences ou changements. Le ZDR s’applique au contenu et aux étapes de traitement couverts par le contrôle activé. Les fonctionnalités qui exigent la conservation du contenu, notamment le stockage des résultats asynchrones et la Conservation des logs, ne sont pas couvertes par un ZDR de bout en bout, sauf configuration expresse permettant d’éviter cette conservation. Une requête soumise à une restriction doit échouer si une fonctionnalité requise est incompatible avec cette restriction. Les métadonnées opérationnelles limitées restent soumises aux Sections 6.2 et 6.3. L’éligibilité des fournisseurs est évaluée sur la base de leurs engagements contractuels et de leur configuration technique ; elle ne constitue pas une certification indépendante de chaque opération du fournisseur. Ceci ne limite pas les obligations de routage ni la responsabilité d’Eden AI au titre de la Section 10.1.

6.5 Eden AI n’utilise pas les Données du Client pour entraîner des modèles d’IA et ne vend pas les Données du Client.

‍

7. Responsabilités du Client

Le Client s’engage à : (a) disposer d’une base légale et fournir les informations requises pour les Données personnelles du Client ; (b) limiter les données transmises à ce qui est nécessaire et appliquer des garanties appropriées aux données sensibles ou réglementées ; (c) protéger ses identifiants et configurer de manière appropriée les accès, les fournisseurs, le routage, la conservation et les régions ; et (d) utiliser le Service et les résultats des modèles conformément à la loi applicable et au Contrat.

‍

8. Obligations d’Eden AI

Dans la mesure requise par la Législation applicable en matière de protection des données, Eden AI s’engage à : (a) Traiter les Données personnelles du Client uniquement pour le Service et selon la configuration documentée ; (b) veiller à ce que les personnes autorisées soient soumises à une obligation de confidentialité ; (c) maintenir des mesures techniques et organisationnelles appropriées ; (d) imposer aux Sous-traitants ultérieurs les obligations de protection des données requises par la Législation applicable et déployer des efforts commercialement raisonnables pour contrôler leur respect ; (e) fournir une assistance raisonnable concernant les droits des Personnes concernées, les violations et les obligations réglementaires, compte tenu de la nature du Traitement et des informations disponibles ; (f) supprimer ou restituer les Données personnelles du Client conservées conformément au présent DPA ; et (g) informer le Client si, selon l’avis raisonnable d’Eden AI, une instruction documentée enfreint la Législation applicable en matière de protection des données, sauf si la loi le lui interdit.

‍

9. Sécurité et confidentialité

9.1 Eden AI maintient un programme de sécurité fondé sur les risques, adapté au Service et au Traitement. Les principales catégories de contrôles figurent à l’Annexe 5.

9.2 Eden AI détient un certificat ISO/IEC 27001:2022 délivré le 3 septembre 2026, numéro 330AGIE080104, pour le périmètre indiqué dans ce certificat. L’attestation SOC 2 Type II est en cours à la date d’émission du présent DPA. Aucune attestation SOC 2 n’est présentée comme délivrée tant qu’Eden AI n’a pas fourni le rapport final correspondant ou la confirmation de sa délivrance.

9.3 Eden AI peut faire évoluer ses contrôles pour tenir compte des évolutions technologiques, des risques et du Service, à condition que le niveau global de protection ne soit pas sensiblement réduit. Aucune mesure de sécurité n’élimine tout risque, et le Client reste responsable de ses systèmes, identifiants, intégrations et de l’accès de ses utilisateurs finaux.

‍

10. Sous-traitants ultérieurs

10.1 Le Client donne à Eden AI une autorisation générale de recourir aux Sous-traitants ultérieurs opérationnels listés à l’Annexe 2 et aux Fournisseurs d’IA sélectionnés ou activés via le Service, sous réserve des restrictions administratives activées par le Client au titre de la Section 5.3. Eden AI conclut avec chaque Sous-traitant ultérieur un accord écrit imposant des obligations de protection des données adaptées au Traitement et substantiellement équivalentes à celles qui s’imposent à Eden AI au titre du présent DPA. Pour les Fournisseurs d’IA éligibles au regard d’une restriction administrative, Eden AI maintient les engagements du fournisseur nécessaires au respect de cette restriction. Eden AI reste responsable de l’exécution, par ses Sous-traitants ultérieurs, de leurs obligations de protection des données dans la mesure requise par la Législation applicable en matière de protection des données.

10.2 Eden AI informe activement le Client, par l’email du compte ou par une notification dédiée dans le Service, au moins trente (30) jours avant d’ajouter ou de remplacer un Sous-traitant ultérieur appelé à Traiter des Données personnelles du Client au titre d’une autorisation générale, y compris un Fournisseur d’IA ajouté à un ensemble de routage existant. La notification identifie le Sous-traitant ultérieur et le Traitement concerné et permet au Client de s’y opposer pour des motifs raisonnables et documentés liés à la protection des données. La seule publication d’une liste mise à jour ne vaut pas notification. Les Parties feront des efforts raisonnables pour résoudre une opposition fondée. À défaut d’alternative raisonnable, Eden AI peut cesser de fournir la fonctionnalité concernée ou le Client peut résilier le Service ou le Bon de commande concerné avant la prise d’effet du changement. Les sommes déjà dues et les Services non concernés restent exigibles et en vigueur. Le simple ajout d’un nouveau Fournisseur d’IA au catalogue n’autorise pas son utilisation pour les requêtes existantes du Client.

10.3 Le Client peut autoriser spécifiquement un nouveau Fournisseur d’IA ou un autre Sous-traitant ultérieur avant l’expiration du délai de préavis, notamment en sélectionnant expressément ce fournisseur identifié dans le Service une fois les informations pertinentes mises à disposition. En cas de changement urgent nécessaire pour des raisons de sécurité, de continuité ou de conformité légale, Eden AI sollicitera une telle autorisation spécifique si le préavis prévu pour l’autorisation générale ne peut être respecté. Tant que les conditions d’autorisation applicables ne sont pas remplies, Eden AI peut suspendre la fonctionnalité concernée ou utiliser une alternative éligible déjà autorisée ; l’urgence ne permet pas de contourner les restrictions activées ni les obligations de notification impératives.

‍

11. Fournisseurs d’IA et routage

11.1 Eden AI détermine les Fournisseurs d’IA et les modèles disponibles via le Service. Le Client peut choisir parmi les options disponibles, et ce choix ou cette utilisation vaut instruction et autorisation de transmettre les Données du Client concernées au fournisseur sélectionné, toujours sous réserve de toute restriction administrative activée au titre des Sections 5.3 à 5.6. Le Client reste responsable de l’identification de ses propres exigences sectorielles, contractuelles et légales. Eden AI est responsable de l’application des restrictions que le Client active via le Service.

11.2 Eden AI tient à jour les informations relatives à la conservation, à l’entraînement, au ZDR, à la localisation et aux autres caractéristiques des fournisseurs pertinentes pour les restrictions administratives proposées par le Service. Les conditions et pratiques techniques des fournisseurs peuvent évoluer indépendamment d’Eden AI ; ces évolutions n’autorisent pas Eden AI à router une requête restreinte vers une option qui ne respecte pas une restriction activée. La Section 5.5 s’applique lorsqu’Eden AI a connaissance d’un changement pertinent.

11.3 Lorsque le fallback ou le routage intelligent est activé, seuls les candidats respectant toutes les restrictions administratives activées applicables peuvent recevoir la requête. En cas d’utilisation de sa propre clé (Bring Your Own Key) ou d’un compte direct auprès d’un fournisseur, le Traitement côté fournisseur peut être régi par le contrat conclu entre le Client et ce fournisseur ; Eden AI reste responsable de l’application des restrictions administratives de routage proposées et activées via son Service.

11.4 Eden AI ne garantit pas l’exactitude, la licéité ou l’unicité des résultats générés par l’IA. L’utilisation des résultats reste régie par le Contrat.

‍

12. Transferts internationaux et traitement régional

12.1 Les Données personnelles du Client peuvent être Traitées en dehors de l’EEE selon le fournisseur, le modèle, la fonctionnalité et la configuration sélectionnés, sous réserve des restrictions administratives activées par le Client au titre de la Section 5.3. Lorsque cela est requis, Eden AI s’appuie sur une décision d’adéquation, les CCT ou tout autre mécanisme de transfert légalement reconnu.

12.2 Pour le contenu éligible des requêtes et des réponses transmis via l’Endpoint UE, Eden AI applique le routage régional décrit dans sa Documentation en vigueur et ne route pas ce contenu vers une infrastructure d’inférence IA située en dehors de l’Union européenne, sauf obligation légale. Cet engagement ne s’étend pas aux Données de compte, aux échanges de support ni aux activités des Sous-traitants ultérieurs opérationnels, qui restent soumis aux localisations indiquées à l’Annexe 2.

12.3 Les options retenues pour les CCT figurent à l’Annexe 4. Toute coopération relative aux analyses d’impact des transferts ou aux mesures supplémentaires est limitée à ce qui est légalement requis, raisonnablement disponible pour Eden AI et proportionné au Service.

‍

13. Assistance et demandes des Personnes concernées

13.1 Eden AI fournit une assistance raisonnable, principalement au moyen des fonctionnalités standard du Service et de la documentation disponible, pour les demandes des Personnes concernées, les analyses d’impact relatives à la protection des données, les consultations préalables, les Violations de données personnelles et les informations raisonnablement nécessaires pour démontrer la conformité, dans la mesure requise par la Législation applicable en matière de protection des données. Eden AI fournit cette assistance sans retard injustifié et dans un délai raisonnable compte tenu des échéances légales applicables au Client. Une assistance spécifique ou particulièrement lourde peut faire l’objet d’un périmètre, d’un calendrier et de frais raisonnables convenus à l’avance.

13.2 Si Eden AI reçoit une demande concernant des Données personnelles du Client, elle peut rediriger le demandeur vers le Client ou informer le Client lorsque le compte concerné peut raisonnablement être identifié. Eden AI ne répond pas pour le compte du Client, sauf obligation légale ou accord exprès.

‍

14. Violations de données personnelles

14.1 Eden AI informe le Client sans retard injustifié et, en tout état de cause, dans un délai de soixante-douze (72) heures après avoir pris connaissance d’une Violation de données personnelles avérée ou raisonnablement suspectée affectant des Données personnelles du Client. La notification initiale peut se fonder sur les informations alors raisonnablement disponibles, et Eden AI peut fournir des informations complémentaires par étapes au fil de l’enquête. La notification ne vaut pas reconnaissance de faute ou de responsabilité.

14.2 Eden AI prend des mesures raisonnables de confinement et de remédiation. Il appartient au Client de déterminer et d’effectuer les notifications aux Autorités de contrôle, aux Personnes concernées ou à d’autres tiers, sauf si la loi en charge directement Eden AI.

‍

15. Demandes des autorités et demandes légales

Eden AI peut communiquer des Données personnelles du Client lorsque la loi applicable ou une procédure légale contraignante l’exige. Lorsque la loi le permet, Eden AI en informe le Client et limite la communication à ce qui est légalement requis. Pour les données soumises aux CCT ou à un autre instrument de transfert applicable, Eden AI respecte les obligations de notification, d’examen, de contestation et de documentation prévues par cet instrument. Aucune disposition de la présente Section ne limite ces obligations.

‍

16. Restitution et suppression

16.1 Au choix du Client, Eden AI restitue ou supprime les Données personnelles du Client conservées à l’issue du Traitement concerné, et supprime les copies restantes sauf si la loi applicable en impose la conservation. Eden AI effectue la restitution ou la suppression dans ses systèmes actifs dans un délai de trente (30) jours suivant la résiliation ou une instruction valable, sous réserve de la Section 16.2 pour les sauvegardes. Le Client est invité à exporter les données disponibles avant la fin de son accès ; l’expiration de l’accès n’éteint pas son droit de demander la restitution pendant ce délai. Après la restitution, Eden AI supprime les copies actives restantes dans le même délai, sauf instruction contraire ou obligation légale. Toute migration spécifique allant au-delà de la restitution exigée par la Législation applicable peut faire l’objet de frais raisonnables convenus à l’avance.

16.2 Les copies de sauvegarde peuvent subsister jusqu’à quatre-vingt-dix (90) jours après la suppression dans les systèmes actifs ; pendant cette période, elles restent protégées, isolées de tout usage courant et ne sont restaurées qu’en cas de nécessité de reprise. Si une sauvegarde est restaurée, l’instruction de suppression applicable est réappliquée. Les Données personnelles du Client ne peuvent être conservées au-delà de ces délais que si la loi applicable l’exige, leur Traitement étant alors limité à cette finalité légale et leur suppression intervenant dès que l’obligation prend fin. Les Données de compte Traitées par Eden AI en qualité de Responsable de traitement indépendant suivent la Politique de confidentialité applicable et les durées de conservation légales. Toute Donnée personnelle du Client conservée reste protégée par le présent DPA tant qu’elle est détenue.

‍

17. Informations de conformité et audits

17.1 Eden AI met à disposition les politiques, informations de sécurité, documents d’assurance et synthèses de tests raisonnablement disponibles et suffisants pour permettre des revues de conformité raisonnables, sous réserve des contraintes de confidentialité, de sécurité et liées aux tiers.

17.2 Lorsque les informations fournies au titre de la Section 17.1 sont raisonnablement insuffisantes pour démontrer la conformité au présent DPA, le Client peut demander un audit complémentaire. Sauf exigence contraire d’une Autorité de contrôle, un audit est limité à une fois par période de douze mois, requiert un préavis d’au moins trente (30) jours, doit éviter toute perturbation et tout accès aux données d’autres clients ou au code source, et est réalisé aux frais du Client par un tiers indépendant non concurrent tenu à la confidentialité. Eden AI peut répondre à la demande par des preuves équivalentes établies par un tiers ou par une revue à distance encadrée lorsqu’un accès direct créerait un risque de sécurité, de confidentialité ou opérationnel. Ces modalités n’empêchent pas les audits ou inspections complémentaires exigés par la Législation applicable en matière de protection des données, les CCT, une autorité compétente, une Violation de données personnelles ou des éléments raisonnables laissant supposer une non-conformité significative. Les preuves alternatives doivent suffire à démontrer la conformité ; à défaut, Eden AI autorisera un audit ou une inspection proportionnés, assortis de garanties appropriées.

‍

18. Lois des États américains en matière de vie privée

Le cas échéant, Eden AI agit en qualité de prestataire de services (service provider) ou de sous-traitant (processor) pour les Données personnelles du Client et s’engage à ne pas les vendre, ne pas les partager à des fins de publicité comportementale inter-contextes et ne pas les utiliser en dehors des finalités limitées autorisées par le Contrat et la loi applicable. Aucune disposition de la présente Section ne crée d’obligations allant au-delà de celles exigées par la loi américaine applicable en matière de vie privée.

‍

19. Responsabilité

Les exclusions et limitations de responsabilité prévues au Contrat s’appliquent au présent DPA dans toute la mesure permise par la loi. Le présent DPA ne crée aucune indemnisation, garantie, niveau de service, recours en matière d’audit ou droit de résiliation supplémentaire, sauf stipulation expresse ou obligation légale. Rien ne limite les droits ou responsabilités qui ne peuvent légalement être limités, y compris au titre des CCT.

‍

20. Durée et mises à jour

20.1 Le présent DPA reste en vigueur tant qu’Eden AI Traite des Données personnelles du Client au titre du Contrat et, au-delà, uniquement pour les données conservées et les stipulations qui survivent nécessairement.

20.2 Eden AI peut mettre à jour les annexes opérationnelles et les liens pour tenir compte de l’évolution des fournisseurs, de la loi, de la sécurité ou des fonctionnalités, sous réserve de la Section 10, des restrictions activées et de l’absence de réduction significative de la protection. Toute modification des stipulations contractuelles essentielles du présent DPA signé requiert l’accord écrit des représentants habilités des deux Parties, sauf modifications prenant effet en vertu d’un instrument de transfert impératif ou de la loi applicable. La mise à jour de la Documentation en ligne ne modifie pas le présent DPA.

‍

21. Dispositions générales

Si une stipulation est jugée invalide, les autres restent en vigueur. Le Contrat demeure par ailleurs inchangé. Le droit applicable et la juridiction compétente prévus au Contrat s’appliquent, sauf disposition impérative contraire ou stipulation contraire des CCT. Les signatures électroniques et les exemplaires multiples sont valables, et les annexes font partie intégrante du présent DPA.

‍

22. Contact

• Société : Eden AI SAS
• SIREN : 829 046 473
• Siège social : 19 rue Louis Guérin, 69100 Villeurbanne, France
• Contact protection des données : [email protected]
• Support et demandes relatives aux données : [email protected]

‍

Annexe 1 – Description du traitement

La présente Annexe décrit le Traitement effectué par Eden AI pour le compte du Client au sens de l’article 28 du RGPD et de la Législation applicable équivalente en matière de protection des données.

Objet et nature : Réception des requêtes du Client ; routage vers les Fournisseurs d’IA autorisés ; transmission des entrées et fichiers ; réception et renvoi des résultats ; routage optionnel, fallback, supervision, garde-fous et Conservation des logs ; facturation, sécurité, support et stockage temporaire des résultats asynchrones.

Finalité : Fourniture, exploitation, sécurité, administration, dépannage, facturation et support du Service.

Durée et fréquence : Pendant la durée du Contrat et les périodes limitées de suppression, de conservation légale ou de sauvegarde ; en continu ou à la demande selon l’utilisation du Client.

Personnes concernées : Utilisateurs, administrateurs, salariés, prestataires et représentants du Client ; utilisateurs finaux des applications du Client ; personnes dont les informations figurent dans le contenu transmis ; et contacts support.

Données personnelles : Noms, identifiants, coordonnées et informations professionnelles ; texte libre, documents, images, audio, vidéo, prompts, fichiers et résultats ; identifiants de compte et d’utilisateur ; adresses IP, événements d’authentification, données d’appareil et de navigateur ; choix de fournisseurs et de modèles, métriques d’utilisation, coûts, latence, horodatages et logs techniques.

Données sensibles : Non requises par le Service. Si le Client transmet des catégories particulières de données ou d’autres données hautement sensibles, il donne instruction à Eden AI de les Traiter et reste responsable de la base légale, des garanties, du fournisseur, de la région et de la configuration choisis.

Conservation par défaut :

• Contenu des requêtes et réponses synchrones : non conservé par Eden AI par défaut.
• Résultats asynchrones pris en charge : jusqu’à sept (7) jours, sauf indication contraire.
• Contenu soumis à la Conservation des logs : durée choisie par le Client et affichée dans le Service, ou prévue dans un Bon de commande ; désactivée si aucune durée n’est choisie ou convenue.
• Suppression dans les systèmes actifs : dans un délai de trente (30) jours suivant la résiliation ou une demande de suppression valable lorsque la suppression est choisie.
• Copies de sauvegarde : jusqu’à quatre-vingt-dix (90) jours après la suppression dans les systèmes actifs.
• Métadonnées opérationnelles et données de support contenant des Données personnelles du Client : les Sections 6 et 16 s’appliquent. Données de compte traitées en tant que Responsable de traitement indépendant, y compris les données de facturation : Politique de confidentialité applicable et durées de conservation légales.
• Conservation par les Fournisseurs d’IA : propre à chaque fournisseur, modèle, endpoint et configuration, comme décrit à l’Annexe 3.

‍

Annexe 2 – Sous-traitants ultérieurs opérationnels

Ces prestataires techniques agissent en qualité de Sous-traitants ultérieurs lorsqu’ils Traitent des Données personnelles du Client pour le compte d’Eden AI. Leur rôle dépend de l’activité et de la configuration. Les localisations ci-dessous sont distinctes de l’engagement d’inférence exclusivement dans l’UE.

• Amazon Web Services EMEA SARL et les sociétés affiliées AWS concernées – Infrastructure cloud et hébergement : hébergement, stockage, réseau, sécurité, sauvegarde et exploitation du Service. Données : données de compte, d’authentification et Données du Client ; prompts, résultats, données d’utilisation, logs et métadonnées techniques, selon le service et la région. Hébergement : Union européenne – Paris, France (eu-west-3). Traitement : Union européenne ; lieux limités et autorisés pour le support, la sécurité et l’administration, sous réserve de garanties appropriées.
• Cloudflare, Inc. – Infrastructure edge, diffusion de contenu, protection contre les bots et hébergement de modèles d’IA : diffusion du site et de la documentation ; terminaison TLS ; protection Turnstile ; et inférence Workers AI sélectionnée par le Client. Données : adresses IP, URL, User-Agent, référent, cookies, signaux de connexion, d’appareil et comportementaux ; contenu des requêtes et réponses Workers AI lorsque sélectionné. Hébergement : réseau mondial Cloudflare et lieux de service applicables ; stockage persistant uniquement en cas d’utilisation d’une fonctionnalité de stockage. Traitement : pays du réseau mondial de Cloudflare, sous réserve des contrôles de localisation configurés et de garanties appropriées.
• ClickHouse, Inc. – Base de données et infrastructure d’analyse produit : stockage et analyse des données d’utilisation, logs, coûts et événements techniques. Données : identifiants de compte et d’organisation, utilisation de l’API, identifiants de fournisseurs et de modèles, horodatages, coûts, métadonnées de requêtes et logs techniques ; contenu uniquement s’il est inclus dans des jeux de données configurés. Hébergement : Union européenne – Irlande (eu-west-1). Traitement : région UE sélectionnée ; les opérations de plan de contrôle, de support et des sociétés affiliées peuvent impliquer d’autres lieux listés, sous réserve de garanties appropriées.
• Sentry – Supervision applicative et suivi des erreurs : détection, analyse et résolution des erreurs, incidents et problèmes de performance. Données : identifiants d’utilisateur, adresses IP, données d’appareil et de navigateur, événements applicatifs, traces d’exécution, erreurs et diagnostics ; contenu du Client s’il est capturé par inadvertance. Hébergement : Union européenne – Francfort, Allemagne (eu-central-1). Traitement : Union européenne – Francfort, Allemagne (eu-central-1) et lieux autorisés des Sous-traitants ultérieurs pour le support, la sécurité et l’administration.
• Metabase, Inc. – Business intelligence et analyse interne assistée par IA : tableaux de bord internes, reporting et analyse assistée par IA de l’activité des clients et des jeux de données d’utilisation. Données : identifiants de compte, d’organisation, de facturation et d’utilisation ; utilisation des fournisseurs et modèles ; horodatages, métadonnées techniques, métadonnées de base de données, échantillons de valeurs de champs et métriques dérivées. Hébergement : Union européenne – Francfort, Allemagne (eu-central-1). Traitement : Union européenne – Francfort, Allemagne ; États-Unis et autres lieux utilisés par Metabase, ses sous-traitants autorisés et le Fournisseur d’IA prenant en charge les fonctionnalités d’IA activées.

Les prestataires suivants, liés au compte, à l’identité, à la facturation et au support, ne reçoivent pas de contenu dans le cadre du routage d’inférence ordinaire, mais peuvent recevoir du contenu transmis au support. Ils ne sont Sous-traitants ultérieurs que pour les activités réalisées pour le compte du Client ; les autres activités peuvent relever d’un traitement en qualité de Responsable de traitement indépendant.

• WorkOS, Inc. – Gestion des identités et des accès : authentification entreprise, SSO, synchronisation d’annuaire et gestion des organisations. Données : noms, emails professionnels, identifiants d’utilisateur et d’organisation, événements d’authentification, attributs du fournisseur d’identité et appartenances aux groupes et annuaires. Hébergement : États-Unis, sauf indication contraire dans les conditions de commande WorkOS d’Eden AI. Traitement : États-Unis et lieux utilisés par WorkOS et ses Sous-traitants ultérieurs autorisés.
• Stripe Payments Europe, Limited et les sociétés affiliées concernées – Traitement des paiements et facturation : paiements, abonnements, factures, prévention de la fraude et historique des transactions. Données : contacts de facturation, identifiants de paiement, transactions, adresses, factures et données de prévention de la fraude ; Eden AI ne conserve pas les numéros de carte complets. Hébergement : Union européenne, États-Unis et lieux Stripe applicables. Traitement : Union européenne, États-Unis et lieux autorisés des Sous-traitants ultérieurs.
• Brevo, Sendinblue SAS – Emails transactionnels et communications clients : emails transactionnels, messages d’authentification, notifications de compte et communications de service. Données : noms, emails, informations d’organisation et de compte, contenu des emails, statut de distribution, données de suivi lorsqu’il est activé, adresses IP et métadonnées techniques. Hébergement : Union européenne. Traitement : Union européenne et lieux autorisés des Sous-traitants ultérieurs pour le support et l’administration.
• Intercom R&D Unlimited Company et les sociétés affiliées concernées – Support client et communications : demandes de support, communications de service et interactions clients. Données : noms, emails professionnels, informations d’organisation et de compte, messages de support, pièces jointes, métadonnées techniques et informations transmises volontairement. Hébergement : États-Unis – Virginie du Nord (us-east-1). Traitement : États-Unis, Union européenne et lieux autorisés des Sous-traitants ultérieurs.

‍

Annexe 3 – Gouvernance, conservation et ZDR des Fournisseurs d’IA

Les Fournisseurs d’IA sont autorisés lorsqu’ils sont sélectionnés ou activés via le Service, sous réserve des restrictions administratives activées par le Client au titre de la Section 5.3. La disponibilité, les conditions, la conservation, le déploiement régional et les fonctionnalités des modèles des fournisseurs évoluant plus souvent que les Sous-traitants ultérieurs opérationnels, les informations par fournisseur sont tenues à jour dans la Documentation en ligne. Eden AI applique les restrictions activées, tient à jour les informations d’éligibilité des fournisseurs, exclut les options non éligibles et fait échouer les requêtes lorsqu’aucune option éligible n’est disponible, conformément aux Sections 5.3 à 5.6.

• Utilisation des données, entraînement, ZDR et conservation par fournisseur : https://www.edenai.co/docs/v3/data-governance
• Fournisseurs et modèles disponibles : https://app.edenai.run/models
• Endpoint UE : https://api.eu.edenai.run/v3/

Par défaut chez Eden AI : le contenu des requêtes et réponses synchrones n’est pas conservé et n’est pas utilisé par Eden AI pour entraîner des modèles. Les pratiques des Fournisseurs d’IA restent propres à chaque fournisseur, modèle, endpoint et configuration ; lorsque le Client active un contrôle administratif applicable, les engagements contractuels des Sections 5.3 à 5.6 régissent le routage et son application.

‍

Annexe 4 – Conditions de transfert transfrontalier

Lorsqu’un Transfert restreint entre les Parties entre dans le champ des CCT et n’est pas couvert par une décision d’adéquation ou un autre mécanisme valable, les CCT sont intégrées par référence avec les options suivantes. Pour les Transferts restreints ultérieurs vers des Sous-traitants ultérieurs, Eden AI met en place le mécanisme de transfert applicable avec le destinataire concerné ; l’intégration des CCT entre les Parties ne lie pas à elle seule un Fournisseur d’IA ou un Sous-traitant ultérieur opérationnel.

• Module 1 pour les Données de compte transférées entre les Parties en qualité de Responsables de traitement indépendants, le cas échéant.
• Module 2 lorsque le Client est Responsable de traitement et Eden AI Sous-traitant ; Module 3 lorsque le Client est Sous-traitant et Eden AI Sous-traitant ultérieur.
• La clause 7 s’applique ; la clause 9(a), option 2, s’applique avec la procédure de notification de la Section 10 ; la mention optionnelle de la clause 11(a) ne s’applique pas.
• Clause 17, option 1 : droit français. Clause 18(b) : juridictions françaises compétentes.
• Annexe I.A : les coordonnées et contacts des Parties figurant dans le présent DPA et le Contrat, la Partie qui transfère agissant comme exportateur et le destinataire comme importateur pour le transfert concerné ; Annexe I.B : Annexe 1 et configuration du Service ; Annexe I.C : l’autorité de contrôle déterminée conformément à la clause 13, y compris la CNIL lorsqu’elle est compétente ; Annexe II : Annexe 5 ; Annexe III : Annexes 2 et 3. Le module applicable suit les rôles effectifs d’exportateur et d’importateur pour le transfert concerné.

Pour les Transferts restreints depuis le Royaume-Uni, l’Addendum international de transfert de données aux CCT de l’UE, tel qu’émis et mis à jour par l’Information Commissioner’s Office britannique, est intégré par référence. Le Tableau 1 identifie les Parties et leurs principaux contacts par renvoi au présent DPA et au Contrat. Le Tableau 2 intègre les CCT de l’UE approuvées, avec les modules et options précisés dans la présente Annexe 4. Le Tableau 3 est complété par les Annexes 1, 2, 3 et 5 et la configuration du Service concernée. Pour le Tableau 4, aucune Partie ne peut résilier l’Addendum au seul motif d’une révision approuvée par l’ICO. Le droit applicable et les juridictions compétentes pour l’Addendum britannique sont ceux d’Angleterre et du Pays de Galles. Pour les transferts depuis la Suisse, les CCT s’appliquent avec des références adaptées au droit suisse et au Préposé fédéral à la protection des données et à la transparence. Eden AI peut recourir à un autre mécanisme de transfert valable tant qu’il reste légalement disponible.

‍

Annexe 5 – Mesures techniques et organisationnelles

Eden AI maintient un programme de sécurité fondé sur les risques, conçu pour protéger la confidentialité, l’intégrité, la disponibilité et la résilience des Données personnelles du Client. Les mesures s’appliquent en fonction du Service et des risques encourus.

• Gouvernance et risques : Responsabilités documentées en matière de sécurité et de confidentialité, analyse des risques, évaluation des fournisseurs et amélioration des contrôles. Certificat ISO/IEC 27001:2022 délivré le 3 septembre 2026, pour le périmètre indiqué dans le certificat. L’attestation SOC 2 Type II est en cours au 9 octobre 2026 ; le présent DPA ne présente aucune attestation comme délivrée.
• Minimisation des données : Aucune conservation par défaut du contenu des requêtes et réponses synchrones ; métadonnées opérationnelles limitées ; conservation des résultats asynchrones pendant sept jours ; conservation optionnelle et contrôles ZDR par fournisseur.
• Contrôle des accès : Comptes nominatifs, moindre privilège, accès fondé sur les rôles, contrôles d’authentification, encadrement des accès privilégiés, revue et retrait des accès.
• Chiffrement et secrets : Chiffrement en transit conforme aux standards du secteur ; chiffrement au repos lorsqu’il est pris en charge ; gestion encadrée des secrets et des identifiants.
• Sécurité réseau et applicative : Isolation cloud, pare-feu et WAF, protection contre les attaques DDoS et les bots, pratiques de développement sécurisé, revue de code, analyse des dépendances et des vulnérabilités.
• Supervision et incidents : Supervision centralisée, journalisation de sécurité, alertes, gestion des incidents, confinement, investigation et notification du Client conformément au présent DPA.
• Disponibilité et reprise : Sauvegardes lorsque approprié, procédures de continuité et de reprise, gestion des capacités et infrastructure cloud résiliente.
• Personnel et fournisseurs : Obligations de confidentialité, sensibilisation à la sécurité, accès support restreint et revue contractuelle et sécurité des Sous-traitants ultérieurs concernés.