Avenant relatif au traitement des données

Version 2026-10-09

Le présent Avenant relatif au traitement des données (« DPA ») fait partie du contrat conclu entre Craftkite (« Craftkite », « sous-traitant ») et le client qui l’accepte (« Client », « responsable du traitement ») pour l’utilisation de Craftkite (le « Service »). Il s’applique lorsque Craftkite traite des données personnelles pour le compte du Client, en vertu du Règlement général sur la protection des données de l’UE (RGPD), du UK GDPR, de la loi turque n° 6698 relative à la protection des données personnelles (KVKK) et des autres lois applicables en matière de protection des données (la « Réglementation sur la protection des données »).

1. Rôles et champ d’application

1. Le Client est responsable du traitement des données personnelles que lui-même, ses membres ou les utilisateurs finaux de ses applications publiées fournissent au Service (les « Données personnelles du Client »). Craftkite est son sous-traitant.
2. Craftkite est responsable du traitement des données de compte, de facturation et de sécurité dont il a besoin pour exercer sa propre activité, comme décrit dans la Politique de confidentialité. Le présent DPA ne couvre pas ces données.
3. L’annexe 1 décrit le traitement.

2. Instructions

Craftkite ne traite les Données personnelles du Client que sur instructions documentées du Client : le contrat, le présent DPA ainsi que l’utilisation et la configuration du Service par le Client. Craftkite informe le Client s’il estime qu’une instruction enfreint la Réglementation sur la protection des données, sauf si la loi l’interdit.

3. Confidentialité et accès du personnel

1. Craftkite veille à ce que toutes les personnes autorisées à traiter les Données personnelles du Client soient soumises à une obligation de confidentialité.
2. Le personnel de Craftkite n’accède aux Données personnelles du Client et au contenu du Client (prompts, fichiers de projet, aperçus, données des applications) que lorsque cela est nécessaire pour traiter une demande d’assistance du Client, un signalement d’abus, une obligation légale ou un incident de sécurité. Chaque accès exige un motif documenté, est limité dans le temps et dans sa portée (un compte ou un projet), est consigné dans un journal d’audit en ajout seul avec chaque élément consulté et est présenté au Client dans Compte → Confidentialité. Les données personnelles sont masquées par défaut dans les outils internes.
3. Craftkite n’utilise pas les Données personnelles du Client ni le contenu du Client pour entraîner des modèles d’IA, pour élaborer des exemples, des modèles ou des évaluations, ni à des fins d’analyse, et ne partage du contenu dans sa galerie communautaire que lorsque le Client le soumet avec son consentement explicite, qu’il peut retirer.

4. Sécurité

Craftkite met en œuvre les mesures techniques et organisationnelles décrites à l’annexe 2 et les maintient adaptées au risque. Craftkite peut les mettre à jour, à condition que le niveau global de protection ne diminue pas.

5. Sous-traitants ultérieurs

1. Le Client donne une autorisation générale pour les sous-traitants ultérieurs figurant sur la page Sous-traitants ultérieurs.
2. Craftkite annonce tout nouveau sous-traitant ultérieur sur cette page au moins 30 jours avant qu’il ne commence à traiter des Données personnelles du Client. Le Client peut s’y opposer pour des motifs raisonnables liés à la protection des données pendant ce délai ; si les parties ne parviennent pas à résoudre l’objection, le Client peut mettre fin à la partie concernée du Service et obtenir le remboursement au prorata des sommes payées d’avance à ce titre.
3. Craftkite impose à chaque sous-traitant ultérieur des obligations de protection des données au moins aussi protectrices que le présent DPA et demeure responsable de leur exécution.

6. Transferts internationaux

Lorsque des Données personnelles du Client sont transférées hors de l’EEE, du Royaume-Uni, de la Suisse ou de la Turquie vers un pays ne bénéficiant pas d’une décision d’adéquation, les parties s’appuient sur les clauses contractuelles types de l’UE (module 2 ou 3, selon le cas), l’addendum britannique relatif aux transferts internationaux de données et, pour la Turquie, les contrats types publiés par l’Autorité de protection des données personnelles, qui sont intégrés par référence. Lorsque la Réglementation sur la protection des données exige le consentement explicite de la personne concernée pour un transfert, il incombe au Client de l’obtenir auprès de ses propres utilisateurs.

7. Assistance et demandes des personnes concernées

Craftkite aide le Client, compte tenu de la nature du traitement, à répondre aux demandes des personnes concernées et à respecter ses obligations en matière de sécurité, de notification des violations, d’analyses d’impact relatives à la protection des données et de consultation préalable. Le Service permet au Client d’exporter et de supprimer lui-même ses données.

8. Violations de données personnelles

Craftkite informe le Client dans les meilleurs délais, et en tout état de cause dans les 48 heures après en avoir pris connaissance, de toute violation de données personnelles affectant les Données personnelles du Client, en lui fournissant les informations dont il a besoin pour respecter ses propres obligations.

9. Suppression et restitution

À la fin du contrat, le Client peut exporter ses données pendant 30 jours. Craftkite supprime ensuite les Données personnelles du Client, y compris les sauvegardes dans le cadre de leur rotation normale, sauf si la loi en exige la conservation.

10. Audits

Craftkite met à disposition les informations nécessaires pour démontrer le respect du présent DPA, notamment ses politiques de sécurité et, lorsqu’ils existent, des rapports d’audit indépendants (tels que SOC 2). Si cela ne suffit pas, le Client peut réaliser un audit une fois par an, moyennant un préavis de 30 jours, pendant les heures ouvrables, à ses frais et sous couvert de confidentialité.

11. Responsabilité et prééminence

La responsabilité de chaque partie au titre du présent DPA est soumise aux limites prévues par le contrat. En cas de contradiction entre le présent DPA et le contrat, le présent DPA prévaut pour le traitement des Données personnelles du Client. En cas de divergence entre une traduction du présent DPA et la version anglaise, la version anglaise prévaut.

Annexe 1 — Description du traitement

Annexe 2 — Mesures techniques et organisationnelles

• Chiffrement en transit (TLS) et des secrets au repos ; secrets des applications dans un coffre chiffré.
• Chaque projet s’exécute dans un sandbox isolé avec un réseau restreint ; chaque base de données d’application est distincte.
• Accès fondé sur les rôles pour le personnel de Craftkite, vérification en deux étapes obligatoire pour les administrateurs, liste d’adresses IP autorisées pour la console d’administration et journal d’audit de sécurité en ajout seul.
• Rôles de l’espace de travail (propriétaire, administrateur, éditeur, lecteur) et authentification unique (SAML ou OpenID Connect) pour les espaces de travail Enterprise.
• Sauvegardes, supervision et réponse aux incidents, comme décrit dans les politiques de sécurité de Craftkite.
• Les fournisseurs de modèles d’IA sont contractuellement tenus de ne pas s’entraîner sur les données du Client ; les requêtes utilisent les options de non-conservation des fournisseurs lorsqu’elles existent (OpenAI store: false) et ne contiennent aucun identifiant de membre.
• Accès d’urgence (break-glass) pour le personnel : motif, limite de durée, portée, audit à chaque lecture et transparence envers le Client ; données personnelles masquées dans les outils internes avec révélation auditée ; exports complets de données personnelles réservés aux super-administrateurs.
• Aperçus privés : présentés aux membres du projet ou au moyen de liens signés qui expirent.
• Durées de conservation des journaux, pièces jointes, captures d’écran, tickets d’assistance et journaux d’e-mails, appliquées par une purge planifiée ; rapports d’erreurs et analyses expurgés des données personnelles et du contenu.