Version 2026-11. Il fait partie des Conditions générales d'utilisation d'AIR-Core et est accepté avec elles. Les clients qui ont besoin d'une version signée peuvent la demander à info@air-institute.com (ouvre votre messagerie).
Parties
- Responsable du traitement (« Client ») : la personne physique ou morale titulaire de l'Organisation dans AIR-Core, identifiée dans son compte.
- Sous-traitant (« AIR Institute ») : INSTITUTO INTERNACIONAL DE INVESTIGACIÓN EN INTELIGENCIA ARTIFICIAL Y CIENCIAS DE LA COMPUTACIÓN, NIF G37571627, Av. Santiago Madrigal, 39, 37003 Salamanque. DPD : contacto@delegado-lopd.es (ouvre votre messagerie).
1. Objet
L'AIR Institute traite pour le compte du Client les données personnelles que le Client ou ses Utilisateurs intègrent dans AIR-Core (« Données personnelles du Client »), dans le seul but de fournir le service décrit dans les Conditions. L'annexe I décrit le traitement.
2. Durée
Le présent accord dure aussi longtemps que le contrat et, ensuite, jusqu'à la suppression ou la restitution des données conformément à la clause 12.
3. Instructions
3.1. L'AIR Institute traite les données uniquement sur instruction documentée du Client. Constituent des instructions :
- les Conditions et le présent accord ;
- la configuration et les actions que le Client et ses Utilisateurs effectuent dans AIR-Core : téléverser ou connecter des données, entraîner des modèles, partager des tableaux de bord, configurer des alertes et des webhooks, invoquer des Fonctions d'IA, configurer le BYOK, autoriser des Applications MCP externes ;
- toute autre instruction écrite acceptée par les deux parties.
3.2. Si l'AIR Institute estime qu'une instruction enfreint le RGPD ou une autre règle, il en informe immédiatement le Client et peut en suspendre l'exécution.
3.3. Si le droit de l'UE ou d'un État membre impose à l'AIR Institute un traitement différent, il en informe préalablement le Client, sauf si la loi l'interdit.
4. Confidentialité et accès du personnel
4.1. Les personnes autorisées par l'AIR Institute à traiter les données sont soumises à une obligation de confidentialité, contractuelle ou légale, et sont formées à la protection des données et à la sécurité.
4.2. Le personnel n'accède pas au contenu des Données personnelles du Client, sauf dans les cas suivants :
- (a) lorsque l'accès est nécessaire au fonctionnement automatisé du service ;
- (b) pour traiter une demande d'assistance avec l'autorisation expresse du Client, limitée en portée et dans le temps ;
- (c) pour des raisons de sécurité ;
- (d) en vertu d'une obligation légale.
Les accès relevant des cas (b) à (d) sont journalisés.
5. Sécurité
L'AIR Institute applique les mesures décrites en annexe II, adaptées au risque (art. 32 RGPD), et peut les mettre à jour à condition de ne pas réduire le niveau de protection. Le Client est responsable de ce qui dépend de lui :
- configurer les autorisations de ses Utilisateurs ;
- activer le chiffrement des sources lorsque cela est pertinent ;
- protéger ses identifiants et ses tokens ;
- décider de ce qu'il publie dans des tableaux de bord et des liens publics.
6. Assistance au Client
Compte tenu de la nature du traitement, l'AIR Institute aidera le Client à respecter :
- (a) les droits des personnes concernées. AIR-Core permet de consulter, rectifier, exporter et supprimer les données. Si une personne concernée s'adresse à l'AIR Institute, sa demande sera transmise au Client dans un délai maximal de 5 jours ouvrables et il ne lui sera pas répondu directement, sauf instruction ;
- (b) la sécurité, la notification des violations, les analyses d'impact (AIPD) et les consultations préalables, en fournissant les informations dont il dispose.
L'assistance qui dépasse ce qui est raisonnable, ou qui est due à des causes imputables au Client, pourra être facturée sur devis préalable.
7. Sous-traitants ultérieurs
7.1. Le Client accorde une autorisation générale pour que l'AIR Institute fasse appel aux sous-traitants ultérieurs énumérés en annexe III.
7.2. L'AIR Institute informera les administrateurs par e-mail, au moins 30 jours à l'avance, de l'ajout ou du remplacement de sous-traitants ultérieurs. La liste à jour sera disponible sur [URL]. Le Client peut s'y opposer pour des motifs raisonnables liés à la protection des données dans ce délai. En l'absence d'alternative viable, le Client pourra résilier le contrat sans pénalité et avec remboursement de la partie non utilisée.
7.3. L'AIR Institute impose contractuellement à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles du présent accord et répond de leur respect envers le Client.
8. Services choisis par le Client (qui ne sont pas des sous-traitants ultérieurs)
Les destinataires suivants ne sont pas des sous-traitants ultérieurs de l'AIR Institute. Les données leur sont transmises sur instruction expresse du Client ou de ses Utilisateurs:
- (a) Fournisseurs d'IA tiers en mode BYOK (OpenAI, Anthropic, Groq, Google Gemini ou d'autres points d'accès compatibles).
- (b) Applications MCP externes autorisées par un Utilisateur (par exemple Claude ou ChatGPT).
- (c) Destinations de webhooks, sources et connexions externes, et destinataires d'alertes par e-mail configurés par le Client.
- (d) Outils de mesure d'audience que le Client configure sur des tableaux de bord publics.
C'est le Client qui décide d'utiliser ces destinataires. Il lui incombe donc :
- d'avoir avec eux la relation juridique nécessaire (par exemple, son propre contrat de sous-traitance) ;
- d'évaluer la licéité de l'envoi ;
- s'ils sont hors de l'EEE, de disposer d'une garantie pour le transfert (art. 44 et suiv. RGPD).
L'AIR Institute n'envoie que ce qui est nécessaire à chaque requête et ne répond pas du traitement effectué par ces tiers.
9. Transferts internationaux
9.1. Les Données personnelles du Client sont hébergées et traitées dans l'Union européenne:
- AWS eu-central-1 (Francfort) ;
- Amazon Bedrock avec un profil d'inférence UE, qui n'utilise que des régions de l'UE.
9.2. L'AIR Institute ne transférera pas les données hors de l'EEE, sauf avec l'une des garanties suivantes :
- (a) une décision d'adéquation, y compris le cadre de protection des données UE-États-Unis pour les entités certifiées ;
- (b) les clauses contractuelles types de la Commission (décision (UE) 2021/914), avec les mesures complémentaires appropriées.
Cela s'applique également à un éventuel accès à distance du sous-traitant ultérieur pour l'assistance. Les transferts de la clause 8 sont régis par ce qui y est indiqué.
9.3. Si une autorité d'un pays tiers demande des données, l'AIR Institute agira conformément à la clause 5 de la Politique de confidentialité et en informera le Client, sauf interdiction légale.
10. Violations de sécurité
10.1. L'AIR Institute notifiera au Client toute violation de la sécurité affectant les Données personnelles du Client dans les meilleurs délais et, en tout état de cause, dans un délai maximal de 48 heures après en avoir pris connaissance. La notification sera envoyée à l'e-mail des administrateurs et du titulaire de l'Organisation et comprendra, dans la mesure où ils sont connus :
- la nature de la violation ;
- les catégories et le nombre approximatif de personnes concernées et d'enregistrements touchés ;
- les coordonnées du DPD ;
- les conséquences probables ;
- les mesures prises ou proposées.
Si toutes les informations ne sont pas disponibles, elles seront fournies de manière échelonnée.
10.2. Il appartient au Client, en tant que responsable du traitement, de notifier l'autorité de contrôle et les personnes concernées le cas échéant (art. 33 et 34 RGPD). L'AIR Institute ne le fera pas au nom du Client sauf instruction expresse.
11. Information et audits
11.1. L'AIR Institute mettra à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord : description des mesures, certifications des sous-traitants ultérieurs (par exemple ISO 27001 ou SOC 2 d'AWS) et réponses à des questionnaires raisonnables.
11.2. Si ces informations ne suffisent pas, le Client pourra réaliser un audit, lui-même ou par l'intermédiaire d'un auditeur indépendant tenu à la confidentialité, aux conditions suivantes :
- préavis de 30 jours ;
- une fois par an au maximum, sauf après une violation ou à la demande d'une autorité ;
- pendant les heures ouvrables et sans porter atteinte à la sécurité des autres clients ;
- à ses frais, sauf si un manquement important est constaté.
11.3. Les installations des sous-traitants ultérieurs sont auditées au moyen de leurs rapports et certifications.
12. Fin du traitement : restitution et suppression
12.1. À la fin du contrat, la clause 18 des Conditions (règlement sur les données) s'applique :
- période de transition de 30 jours maximum ;
- au moins 30 jours pour récupérer les données dans des formats ouverts ;
- ensuite, suppression de toutes les Données personnelles du Client et attestation de la suppression à la demande du Client.
12.2. Les sauvegardes sont supprimées selon leur cycle ordinaire de rotation, dans un délai maximal de [35] jours. Jusque-là, elles restent chiffrées et isolées et ne sont pas utilisées.
12.3. Seules les données que le droit de l'Union ou des États membres oblige à conserver seront conservées, bloquées, pendant la durée légale.
12.4. Pour les comptes gratuits inactifs, la clause 16 des Conditions s'applique.
13. Autres obligations du sous-traitant
L'AIR Institute :
- (a) tient un registre des activités de traitement en tant que sous-traitant (art. 30.2 RGPD) ;
- (b) a désigné un DPD ;
- (c) n'utilise pas les Données personnelles du Client à ses propres fins, y compris l'entraînement de modèles d'IA. Il établit uniquement des statistiques agrégées et anonymes d'utilisation du service, sans le contenu des données ;
- (d) ne vend ni ne cède les données.
14. Obligations du Client
Le Client :
- (a) garantit la licéité du traitement et qu'il a informé les personnes concernées et, le cas échéant, obtenu leur consentement ;
- (b) n'intègre pas de catégories particulières de données ni de données pénales sans base juridique et sans activer les mesures adéquates (chiffrement des sources, autorisations restrictives, pas de tableaux de bord publics) ;
- (c) réalise l'AIPD lorsque cela est nécessaire ;
- (d) supervise le traitement et répond de ses instructions et des services de la clause 8.
15. Responsabilité
Chaque partie répond de ses manquements conformément à l'art. 82 RGPD. Entre les parties, le régime de la clause 21 des Conditions s'applique.
16. Primauté
En matière de protection des données, le présent accord prévaut sur toute autre disposition des Conditions.
Annexe I. Description du traitement
| Élément | Description |
|---|---|
| Nature | Hébergement, stockage, structuration, transformation, consultation, analyse statistique, entraînement et application de modèles d'apprentissage automatique, explication de modèles, visualisation, communication à des destinataires configurés par le Client (alertes, webhooks, tableaux de bord publics), envoi du contexte nécessaire à des modèles de langage lors de l'invocation de Fonctions d'IA, sauvegarde et suppression |
| Finalité | Fournir AIR-Core au Client conformément aux Conditions |
| Catégories de personnes concernées | Celles que détermine le Client : par exemple ses clients, salariés, patients, utilisateurs, citoyens, fournisseurs et personnes de contact. Également les Utilisateurs du Client pour ce qui concerne le contenu qu'ils créent |
| Catégories de données | Celles que détermine le Client : données d'identification, de contact, économiques, d'utilisation ou de capteurs, de localisation et autres. Catégories particulières uniquement si le Client dispose d'une base juridique (clause 14.b) |
| Fréquence | Continue, pendant toute la durée du contrat |
| Localisation | UE (AWS eu-central-1, Francfort ; Amazon Bedrock avec profil d'inférence UE) |
| Conservation | Celle que décide le Client. À la fin, la clause 12 |
Annexe II. Mesures techniques et organisationnelles
| Domaine | Mesure |
|---|---|
| Localisation et infrastructure | AWS eu-central-1 (Francfort). Centres de données certifiés (ISO 27001, SOC 2) par AWS. Serveurs en réseau privé ; seuls les équilibreurs de charge sont exposés (HTTPS) |
| Chiffrement en transit | TLS 1.2 ou supérieur sur le site, l'API et le serveur MCP. HSTS. Webhooks sortants signés avec HMAC-SHA256 et protégés contre la réexécution. |
| Chiffrement au repos | Identifiants des connexions externes, clés de chiffrement des sources et secrets des webhooks scellés avec AES-256-GCM au moyen d'une clé maîtresse conservée hors de la base de données. Chiffrement facultatif par source avec une clé propre. Clés BYOK chiffrées. S3 avec chiffrement côté serveur. |
| Intégrité des modèles | Modèles signés (HMAC). Exports signés avec RSA-PSS-SHA256 ; les manipulations sont rejetées au chargement ou à l'import |
| Contrôle d'accès des clients | Organisations, espaces de travail et rôles avec autorisations granulaires. Vérification en deux étapes. Tokens OAuth 2.1 avec PKCE, liés à la ressource et à l'organisation, avec rotation et détection de réutilisation. Tokens et codes stockés sous forme de hachage |
| Contrôle d'accès interne | Moindre privilège. Accès à S3 via un rôle d'instance limité aux buckets de la plateforme. Secrets dans des répertoires restreints. Accès administratif restreint |
| Identifiants des utilisateurs | Mots de passe hachés et salés. |
| Sécurité applicative | Politique de sécurité du contenu (CSP) stricte, protection CSRF, cookies HttpOnly et Secure, limitation du débit, reCAPTCHA à l'inscription et à la connexion, blocage des destinations de réseau privé et de métadonnées dans les sources externes, serveur MCP sans outils de suppression et avec confirmation humaine des modifications proposées par l'assistant |
| IA | Bedrock avec profil d'inférence UE, sans conservation ni entraînement par le fournisseur. Plafonds de dépenses par utilisateur et globaux. Journal d'activité IA avec identifiants masqués |
| Disponibilité et sauvegardes | Bases de données gérées avec sauvegardes automatiques et instantanés avant chaque modification. Versionnage S3 sur les buckets de données et de modèles. Procédure documentée de modification et de retour arrière |
| Journalisation et surveillance | Journaux applicatifs avec rotation. Journal d'activité des utilisateurs et de l'IA. Contrôles de santé |
| Organisationnelles | DPD désigné. Formation du personnel. Confidentialité contractuelle. Procédure de gestion des violations (détection, évaluation, information du Client sous 48 h). Revue annuelle des mesures et des sous-traitants ultérieurs |
| Suppression | Suppression logique immédiate lors de l'effacement. Rotation des sauvegardes dans un délai maximal de [35] jours |
Annexe III. Sous-traitants ultérieurs autorisés
| Sous-traitant ultérieur | Service | Données | Localisation | Garantie |
|---|---|---|---|---|
| Amazon Web Services EMEA SARL (Luxembourg) | Hébergement (EC2, Aurora, DocumentDB, ElastiCache, S3, équilibreurs de charge, Global Accelerator), sauvegardes et Amazon Bedrock (modèles Claude d'Anthropic, profil d'inférence UE) | Toutes les Données personnelles du Client | UE (Francfort ; inférence Bedrock dans des régions de l'UE) | Données dans l'UE. Accord de sous-traitance d'AWS avec CCT. Amazon.com, Inc. certifiée DPF |
| Amazon Web Services EMEA SARL (Luxemburgo), servicio Amazon SES | Envío de los emails del servicio y de las alertas por email que configura el Cliente (pueden contener valores de sus datos) | Contenido de los emails y direcciones de los destinatarios | UE (Fráncfort, eu-central-1) | Données dans l'UE. Accord de sous-traitance d'AWS avec CCT. Amazon.com, Inc. certifiée DPF |
| [VÉRIFIER : Cloudflare, Inc., uniquement s'il agit comme proxy] | Proxy, CDN et protection DDoS | Trafic en transit | Mondial | DPF et CCT |
| [VÉRIFIER : AIR Institute, infrastructure GPU propre] | Modèles de langage propres, s'ils sont utilisés | Requêtes d'IA | [emplacement UE] | Ce n'est pas un sous-traitant ultérieur (c'est le sous-traitant lui-même) ; indiqué par souci de transparence |
Ne sont pas des sous-traitants ultérieurs pour les Données du Client :
- Stripe : ne traite que les données de facturation du Client, en tant que responsable du traitement ou sous-traitant de l'AIR Institute pour cette finalité.
- Google reCAPTCHA et Google ou GitHub comme moyen de connexion : ils traitent des données du compte, pas du contenu.
- Mapbox : reçoit des requêtes de tuiles depuis le navigateur, pas les données du Client.
- Les services de la clause 8.