Accord de sous-traitance

Sommaire

1. 01. Objet
2. 02. Catégories
3. 03. Instructions
4. 04. Interdiction d’entraînement
5. 05. Sécurité
6. 06. Sous-traitants ultérieurs
7. 07. Transferts
8. 08. Violation
9. 09. Assistance
10. 10. Audits
11. 11. Fin de contrat
12. 12. Minimisation

1. Objet

EURL OVELIUM traite des données à caractère personnel pour le compte du client uniquement afin d’exécuter Naixhus : connexion du site, lecture des contenus dans le périmètre convenu, construction d’une carte sémantique, génération de suggestions de liens internes, affichage dans l’espace client et le tableau de bord WordPress.

Durée : celle du contrat de service, augmentée des délais de purge ci-dessous. Nature : traitement automatisé. Finalité : aide au maillage interne, sans publication sans validation humaine du client.

2. Catégories de données et de personnes

Données : titres, extraits, slugs, URL, identifiants de publications, ancres, motifs de rapprochement, relations sémantiques, historiques de suggestion et de validation.

Personnes concernées : le cas échéant, auteurs, personnes citées dans les articles, commentateurs si un contenu de cet ordre était malgré tout inclus par le client. Le titulaire du compte Naixhus n’est pas, à ce titre, l’unique personne concernée.

Le client déclare avoir une base légale pour faire traiter ces données et avoir informé les personnes concernées lorsque le RGPD l’exige.

3. Instructions

EURL OVELIUM ne traite les Données Client que sur instruction documentée du client, y compris s’agissant des transferts, sauf obligation légale. Les CGU, les CGV, le présent accord et les réglages du plugin constituent ces instructions.

Si une instruction lui paraît contraire au RGPD, EURL OVELIUM en informe le client.

4. Interdiction d’entraînement

EURL OVELIUM s’interdit d’utiliser les Données Client pour entraîner, affiner, évaluer ou améliorer un modèle d’intelligence artificielle, un jeu de données mutualisé ou un produit destiné à d’autres clients. Aucune option d’entraînement n’est activée par défaut. Toute exception exigerait un avenant exprès.

Lorsqu’un prestataire de modèle de langage est sollicité, l’instruction donnée est de n’utiliser l’entrée que pour produire la suggestion, sans conservation pour entraînement.

5. Sécurité

EURL OVELIUM met en œuvre des mesures appropriées au sens de l’article 32 du RGPD, notamment : chiffrement des flux, contrôle d’accès, cookie de session httpOnly, absence de stockage du mot de passe administrateur WordPress, journalisation, cloisonnement des comptes.

Les personnes autorisées sont tenues à une obligation de confidentialité.

6. Sous-traitants ultérieurs

Le client autorise EURL OVELIUM à recourir à des sous-traitants ultérieurs, notamment Hetzner Online GmbH pour l’hébergement du VPS applicatif, un prestataire d’e-mail transactionnel, Stripe pour le paiement (données de compte) et un prestataire de modèle de langage pour la génération des suggestions. La liste à jour figure dans la politique de confidentialité.

EURL OVELIUM informe le client de tout ajout ou remplacement substantiel. Le client peut s’y opposer pour motif légitime lié à la protection des données. À défaut d’opposition dans un délai de quinze jours, l’autorisation est réputée confirmée. L’opposition peut entraîner la résiliation du service si aucun prestataire de substitution raisonnable n’est disponible.

EURL OVELIUM impose à ses sous-traitants ultérieurs des obligations au moins équivalentes.

7. Transferts hors UE

Tout transfert de Données Client hors de l’Union européenne n’a lieu que sur instruction ou nécessité d’exécution (notamment appel à un modèle de langage), encadré par une décision d’adéquation et/ou les clauses contractuelles types (2021/914) et mesures supplémentaires le cas échéant.

8. Violation de données

EURL OVELIUM notifie au client toute violation de Données Client dans les meilleurs délais après en avoir pris connaissance, afin de lui permettre de respecter le délai de 72 heures vis-à-vis de l’autorité de contrôle. La notification décrit, autant que possible, la nature de l’incident, les catégories de données, les conséquences probables et les mesures prises.

9. Assistance à l’exercice des droits

Compte tenu de la nature du traitement, EURL OVELIUM assiste le client, par des mesures techniques et organisationnelles appropriées, pour répondre aux demandes d’exercice des droits. Les demandes reçues par OVELIUM et relatives aux Données Client sont transmises au client, sauf si elles concernent un traitement dont OVELIUM est responsable.

10. Audits

EURL OVELIUM met à disposition les informations nécessaires pour démontrer le respect du présent accord. Le client peut faire procéder à un audit raisonnable, avec préavis de trente jours, hors secret des autres clients, au plus une fois par an sauf incident. Les coûts sont à la charge du client, sauf manquement grave constaté.

11. Fin de contrat

Au terme du contrat, au choix du client notifié par écrit, EURL OVELIUM restitue les Données Client disponibles dans un format structuré, puis les supprime, ou les supprime sans restitution. La suppression intervient sous 90 jours, hors sauvegardes purgées selon leur cycle (90 jours de plus au plus) et hors conservation légale.

Le client révoque les jetons et désinstalle le plugin. Les liens déjà publiés sur WordPress ne sont pas effacés par Naixhus.

12. Minimisation

Le client configure le plugin de manière à ne pas envoyer commentaires, messages privés, espaces membres, ni identifiants de connexion WordPress. EURL OVELIUM ne demande pas le mot de passe administrateur. Le traitement peut porter sur des pages en noindex.