Accord de traitement des données

1. Objet et périmètre

Le présent accord (l'« Accord ») est conclu entre le client ayant accepté les Conditions générales (le « Client », responsable de traitement) et [raison sociale] (« FORGE », sous-traitant). Il fixe les conditions dans lesquelles FORGE traite des données personnelles pour le compte du Client lors de l'exécution de ses agents, conformément à l'article 28 du RGPD. Il fait partie intégrante des Conditions générales et prévaut sur elles en matière de protection des données. Il ne couvre pas les traitements dont FORGE est responsable, décrits dans la Politique de confidentialité. Il reste en vigueur tant que FORGE détient des données du Client.

2. Description du traitement

3. Obligations des parties

• Le Client détermine les finalités et les moyens du traitement, dispose d'une base légale, informe les personnes concernées, réalise les analyses d'impact requises et respecte la Politique d'usage acceptable. Il s'interdit de faire traiter des données de l'article 9 ou 10 du RGPD sans base légale spécifique.
• FORGE ne traite les données que sur instruction documentée du Client : les Conditions générales, le présent Accord, la configuration de l'organisation et des agents, et les demandes adressées aux agents.
• FORGE informe immédiatement le Client si une instruction lui paraît contraire au RGPD et peut en suspendre l'exécution jusqu'à sa confirmation ou sa modification.
• FORGE n'utilise pas les données du Client pour ses propres finalités et ne les utilise pas pour entraîner ou affiner des modèles d'IA. Elle impose la même interdiction à ses fournisseurs de modèles.
• Les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité. Tout accès d'un administrateur de FORGE à l'espace du Client est enregistré dans le journal d'audit avec son motif.

4. Mesures de sécurité

• Chiffrement applicatif AES-256-GCM avec une clé de données propre à chaque organisation, elle-même chiffrée par une clé maître conservée dans un service de gestion de clés.
• Chiffrement des identifiants de sites, des clés de fournisseurs du Client et des jetons d'intégration ; secrets masqués dans le suivi en direct, les traces et les webhooks.
• Cloisonnement des organisations sur chaque requête ; exécution de chaque run dans un environnement isolé et jetable ; protection contre les requêtes vers des adresses internes (SSRF).
• Rôles par organisation, clés API à périmètre limité, expirantes et révocables ; journal d'audit des actions sensibles ; webhooks signés HMAC-SHA256.
• Sauvegardes avec restauration à un instant donné et tests de restauration réguliers. FORGE peut faire évoluer ces mesures sans réduire le niveau global de sécurité.

5. Sous-traitance ultérieure et transferts

• Le Client accorde une autorisation générale de recourir aux sous-traitants ultérieurs listés sur la page Sous-traitants.
• FORGE informe le Client de tout ajout ou remplacement au moins 30 jours à l'avance. Le Client peut s'y opposer par écrit motivé. À défaut de solution, il peut résilier sans pénalité les services concernés et obtenir le remboursement des crédits achetés non consommés et non expirés.
• FORGE impose à chaque sous-traitant ultérieur des obligations équivalentes à celles de l'Accord et reste responsable de leur exécution.
• Tout transfert hors de l'EEE repose sur une décision d'adéquation (dont le Data Privacy Framework UE–États-Unis) ou sur les clauses contractuelles types de la décision (UE) 2021/914, module 3, complétées si nécessaire par une analyse d'impact des transferts.
• Lorsque le Client active l'option « UE only », seuls des fournisseurs de modèles hébergés dans l'UE sont utilisés, sans repli hors UE, ainsi que des proxies et sorties d'IP situés dans l'UE.

6. Assistance, violations et audits

• FORGE aide le Client à répondre aux demandes des personnes concernées : la plateforme permet de consulter, exporter et supprimer les runs. Toute demande reçue directement est transmise au Client sans délai indu.
• FORGE fournit les informations nécessaires aux analyses d'impact du Client et tient un registre des traitements effectués pour son compte (article 30.2 du RGPD).
• FORGE notifie au Client toute violation de données le concernant dans un délai maximal de 48 heures après en avoir pris connaissance, avec les informations disponibles sur sa nature, son ampleur, ses conséquences et les mesures prises.
• FORGE met à disposition les informations démontrant sa conformité. Si elles ne suffisent pas, le Client peut faire réaliser un audit par un auditeur indépendant tenu au secret, une fois par an au plus, avec un préavis de 30 jours et à ses frais, sauf manquement significatif constaté.

7. Conservation, suppression et restitution

• Le Client choisit la rétention des données de runs : 30, 90 ou 365 jours (90 par défaut). Une purge automatique quotidienne supprime ensuite traces, messages, entrées, rapports et citations.
• Le Client peut à tout moment supprimer des runs ou demander la suppression complète des données de son organisation.
• À la fin du contrat, FORGE restitue les données dans un format structuré au choix du Client, puis les supprime au plus tard 30 jours après la fin de la période d'export. Les sauvegardes sont effacées à l'expiration de leur cycle de rotation. La suppression est confirmée par écrit sur demande.

8. Responsabilité et droit applicable

La responsabilité de chaque partie est régie par les Conditions générales, sous réserve de l'article 82 du RGPD. L'Accord est régi par le droit français ; les litiges relèvent de la juridiction désignée dans les Conditions générales.