Accord de traitement des données (DPA)

Parties contractantes

Identification des parties

Le Responsable de traitement (ci-après « le Client ») : toute personne physique ou morale ayant souscrit au service Netaix et disposant d'un workspace actif.

Le présent Accord de Traitement des Données Personnelles (ci-après « le DPA ») est conclu en application de l'article 28 du Règlement (UE) 2016/679 (RGPD). Il fait partie intégrante de la relation contractuelle entre les parties et prévaut, en cas de contradiction, sur les clauses des Conditions Générales de Vente portant sur le même objet.

Article 1 — Définitions

• Données à caractère personnel : toute information se rapportant à une personne physique identifiée ou identifiable (article 4(1) du RGPD).
• Traitement : toute opération appliquée à des données personnelles (article 4(2) du RGPD).
• Responsable de traitement : le Client, qui détermine les finalités et les moyens du traitement.
• Sous-traitant : NETAIX, qui traite des données personnelles pour le compte du Client.
• Sous-traitant ultérieur : tout prestataire engagé par NETAIX pour effectuer des opérations de traitement pour le compte du Client.
• Violation de données : violation de la sécurité entraînant la destruction, la perte, l'altération ou la divulgation non autorisée de données personnelles (article 4(12) du RGPD).
• Workspace : espace de travail isolé attribué au Client, tel que défini dans les CGV.

Article 2 — Objet et durée du traitement

2.1 Objet

Le présent Accord définit les obligations respectives des parties en matière de protection des données personnelles traitées par NETAIX, agissant en qualité de sous-traitant, pour le compte du Client, agissant en qualité de responsable de traitement, dans le cadre de la fourniture du service Netaix.

2.2 Durée

Le présent Accord est conclu pour la durée de l'utilisation du service par le Client, quel que soit son plan. Il prend effet à la date de création du compte et reste en vigueur aussi longtemps que NETAIX traite des données personnelles pour le compte du Client.

Les obligations relatives à la confidentialité et à la sécurité des données survivent à la résiliation pour une durée de trois (3) ans.

Article 3 — Nature et finalité du traitement

3.1 Nature du traitement

NETAIX effectue les opérations de traitement suivantes pour le compte du Client :

• Collecte : réception des données saisies par le Client et ses membres via l'interface du service.
• Enregistrement et conservation : stockage dans la base de données PostgreSQL hébergée en France (OVH).
• Isolation : cloisonnement des données par workspace (architecture multi-tenant).
• Transmission : envoi des requêtes de conversation aux fournisseurs de modèles d'intelligence artificielle.
• Chiffrement : chiffrement des données sensibles (clés API personnelles) au repos.
• Restitution : mise à disposition des données en cas de demande d'export.
• Effacement : suppression des données en fin de contrat.

3.2 Finalité du traitement

Les données personnelles sont traitées exclusivement aux fins suivantes :

• Fourniture du service : exécution des fonctionnalités de la plateforme Netaix (chat IA, gestion de workspace, suivi de consommation).
• Acheminement des requêtes IA : transmission des requêtes de conversation aux modèles d'intelligence artificielle pour génération de réponses.
• Gestion des comptes : administration des comptes membres du workspace.
• Suivi de consommation : décompte et affichage de l'usage des crédits IA.
• Sécurité et audit : journalisation des accès et des actions sensibles.
• Support technique : traitement des demandes d'assistance.

NETAIX s'engage à ne pas traiter les données personnelles à d'autres fins que celles strictement nécessaires à l'exécution du service.

Article 4 — Types de données personnelles traitées

Article 5 — Catégories de personnes concernées

• Membres du workspace : salariés, collaborateurs, prestataires ou toute personne physique à laquelle le Client accorde un accès à son workspace.
• Personnes mentionnées dans les conversations : toute personne physique dont les données personnelles seraient mentionnées par les membres dans leurs échanges avec les modèles IA.
• Utilisateurs finaux du Client : le cas échéant, toute personne physique dont les données seraient traitées par le Client via le service dans le cadre de ses propres activités.

Engagements NETAIX

Article 6 — Obligations de Netaix (sous-traitant)

Conformément à l'article 28 du RGPD, NETAIX s'engage à :

6.1 Instructions documentées

Traiter les données personnelles uniquement sur instruction documentée du Client. Les présentes CGV, le présent DPA et l'utilisation du service constituent les instructions documentées du Client. Toute instruction supplémentaire doit être communiquée par écrit à contact@netaix.fr.

6.2 Confidentialité

Veiller à ce que les personnes autorisées à traiter les données personnelles s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.

6.3 Sécurité du traitement

Prendre toutes les mesures de sécurité requises en vertu de l'article 32 du RGPD, telles que détaillées à l'Article 9 du présent Accord.

6.4 Coopération — droits des personnes concernées

Aider le Client à s'acquitter de son obligation de donner suite aux demandes d'exercice des droits des personnes concernées (articles 15 à 22 du RGPD), notamment :

• Droit d'accès (art. 15) : fournir au Client les données relatives à une personne concernée.
• Droit de rectification (art. 16) : modifier les données sur instruction du Client.
• Droit à l'effacement (art. 17) : supprimer les données sur instruction du Client.
• Droit à la portabilité (art. 20) : fournir les données dans un format structuré (JSON ou CSV).
• Droit à la limitation et d'opposition (art. 18, 21) : implémenter les restrictions demandées.

NETAIX s'engage à traiter les demandes d'assistance dans un délai de cinq (5) jours ouvrables.

6.5 Registre des activités de traitement

Tenir un registre de toutes les catégories d'activités de traitement effectuées pour le compte du Client, conformément à l'article 30.2 du RGPD.

6.6 Information en cas d'instruction illicite

Informer immédiatement le Client si, de l'avis de NETAIX, une instruction du Client constitue une violation du RGPD ou d'autres dispositions applicables.

Sous-traitants

Article 7 — Sous-traitants ultérieurs

7.1 Autorisation générale

Conformément à l'article 28.2 du RGPD, le Client autorise NETAIX à recourir aux sous-traitants ultérieurs listés ci-dessous (autorisation écrite générale).

7.2 Liste des sous-traitants ultérieurs autorisés

7.3 Information et droit d'opposition

NETAIX informe le Client par email de tout projet d'ajout ou de remplacement d'un sous-traitant ultérieur, avec un préavis minimum de trente (30) jours.

Le Client dispose d'un délai de quinze (15) jours pour émettre une opposition motivée par écrit. En cas d'opposition légitime sans solution alternative mutuellement acceptable, le Client pourra résilier le service sans frais, avec restitution des données conformément à l'Article 12.

7.4 Mode BYOK (Bring Your Own Key)

Lorsque le Client utilise ses propres clés API (mode BYOK), le traitement des conversations par le fournisseur IA concerné s'effectue dans le cadre de la relation contractuelle directe entre le Client et ledit fournisseur. NETAIX agit alors en qualité d'intermédiaire technique acheminant les requêtes. Le Client est seul responsable de vérifier la conformité du fournisseur à la réglementation applicable.

Transferts internationaux

Article 8 — Transferts de données hors Union européenne

8.1 Principe

Les données personnelles sont hébergées en France (OVH, Roubaix). Toutefois, certains traitements effectués par les sous-traitants ultérieurs impliquent des transferts vers les États-Unis.

8.2 Base juridique des transferts

Conformément aux articles 44 à 49 du RGPD, les transferts hors UE sont encadrés par les Clauses Contractuelles Types (CCT) adoptées par la Commission européenne par Décision d'exécution (UE) 2021/914 du 4 juin 2021, Module 3 (sous-traitant à sous-traitant ultérieur).

8.3 Mesures supplémentaires

Conformément aux recommandations 01/2020 du CEPD post-arrêt « Schrems II », NETAIX met en oeuvre les mesures supplémentaires suivantes :

• Chiffrement TLS 1.2/1.3 pour tous les échanges avec les sous-traitants ultérieurs.
• Pas de conservation durable chez les fournisseurs : les conversations sont transmises par appel API et traitées pour produire la réponse. Les fournisseurs ne les conservent pas au titre de leur service, sous réserve de deux points que NETAIX préfère énoncer plutôt que de les taire : leurs journaux de surveillance des abus, conservés jusqu'à trente (30) jours par défaut, et le stockage temporaire décrit à l'article 8.4 lorsqu'un document est fabriqué dans l'environnement du fournisseur. NETAIX ne revendique ni rétention nulle, ni suppression garantie chez le fournisseur.
• Durées propres à Anthropic, énoncées parce qu'elles diffèrent. Pour les appels à son interface de programmation, ce fournisseur documente une suppression des entrées et des sorties sous trente (30) jours. Deux exceptions s'appliquent lorsqu'un contenu est signalé au titre de sa politique d'usage : les entrées et sorties sont alors conservées jusqu'à deux (2) ans, et les scores de classification correspondants jusqu'à sept (7) ans. Ces durées valent aussi pour les images de pages transmises au titre de l'article 8.5. NETAIX ne dispose pas d'un accord de rétention nulle avec ce fournisseur et ne revendique donc aucune absence de conservation de sa part.
• Clés API BYOK protégées : les clés personnelles ne sont jamais transmises aux fournisseurs IA ; elles sont déchiffrées côté serveur au moment de l'appel, puis immédiatement retirées de la mémoire.
• Vérification périodique des DPA des sous-traitants et de leurs engagements en matière de réponse aux demandes d'accès gouvernementales.

8.4 Fabrication d'un document dans l'environnement du fournisseur

Depuis le 4 octobre 2026, les documents libres demandés dans le Service (PDF, document Word, présentation PowerPoint, classeur Excel, sans gabarit fourni par le Client) sont fabriqués par l'outil d'exécution de code d'OpenAI, et non plus par le générateur de NETAIX. Le présent article décrit ce traitement sans rien en retrancher, parce qu'il diffère des autres appels d'inférence sur un point : le fournisseur y ouvre un environnement d'exécution qui porte un système de fichiers et qui subsiste quelques instants après la réponse.

Ce qui entre dans cet environnement d'exécution :

• le texte de la conversation qui sert de matière au document. Ce texte est déjà transmis au même fournisseur pour la rédaction : ce traitement n'élargit donc pas la catégorie de données transférée ;
• la consigne de mise en forme produite par NETAIX (structure, titres, pagination), qui ne comporte aucune donnée personnelle ;
• les éléments de marque du Client (logo, couleurs, polices), dans les conditions de licence prévues à l'article 9.6 des CGV.

Ce qui n'y entre pas : aucune pièce jointe du Client, aucun fichier de projet, aucun extrait de base de connaissances, aucune donnée bloquée par le socle de protection contre la fuite de données. Cette limite est un engagement de NETAIX, et non une simple conséquence technique de l'outil employé.

Durée de ce stockage temporaire. NETAIX rapatrie le fichier produit, puis supprime l'environnement d'exécution par un appel explicite dont l'exécution et l'issue sont journalisées. À défaut de suppression, cet environnement expire après vingt (20) minutes sans activité, conformément à la documentation technique du fournisseur, qui énonce que l'ensemble des données associées est alors écarté de ses systèmes et devient irrécupérable. NETAIX s'engage sur l'appel de suppression et sur sa journalisation, qui sont son fait ; la durée d'expiration relève de la documentation du fournisseur, susceptible d'évoluer.

Ce que NETAIX ne promet pas. Le stockage de cet environnement d'exécution n'est pas couvert par les dispositifs de rétention nulle du fournisseur. NETAIX n'écrit donc ni que rien n'est stocké chez ses fournisseurs, ni que la suppression y est garantie. L'engagement de non-utilisation des données pour l'entraînement des modèles (article 14) est de nature contractuelle : il se vérifie par le contrat, non par une mesure technique.

Maîtrise par le Client. Ce traitement est un réglage de l'espace du Client, actif par défaut, que son administrateur peut refermer à tout moment. La fabrication revient alors au générateur de NETAIX, hébergé en France, sans perte de fonctionnalité. Quatre situations renvoient la fabrication à ce générateur :

• l'administrateur du Client a refermé le réglage ;
• l'offre souscrite impose contractuellement un traitement dans l'Union européenne : le réglage est alors fermé d'office et ne peut pas être ouvert ;
• l'utilisateur a lui-même retenu un modèle européen (Mistral, modèle local). Son choix vaut pour l'ensemble du traitement, fabrication du fichier comprise : celle-ci ne repart pas vers un fournisseur établi hors de l'Union européenne ;
• le document est établi à partir d'un gabarit fourni par le Client, y compris les présentations produites sur un modèle du Client, quel que soit le modèle d'IA retenu.

Coût pour le Client. La fabrication du fichier est décomptée des crédits de l'utilisateur dans les mêmes conditions que toute autre requête adressée à un modèle. NETAIX n'opère aucun traitement non décompté ni facturé hors du compteur de consommation du Client.

L'analyse d'impact de ce transfert, établie selon les recommandations 01/2020 du CEPD, est tenue à jour par NETAIX et communiquée au Client sur simple demande à contact@netaix.fr. Elle est revue au moins une fois par an.

8.5 Fabrication d'un document par du code rédigé par le fournisseur et exécuté par NETAIX

À compter du 5 octobre 2026, un second chemin de fabrication peut être activé pour l'espace du Client. Il est décrit séparément parce qu'il est l'inverse du précédent : ici, aucun environnement d'exécution n'est ouvert chez le fournisseur. Le modèle écrit du code de mise en forme, et ce code est exécuté par NETAIX, sur ses serveurs en France. Le fichier est fabriqué chez NETAIX, et n'existe à aucun moment chez le fournisseur.

Quand ce chemin est employé. Dans deux cas seulement : en secours, lorsque la fabrication décrite à l'article 8.4 a échoué deux fois ; et en premier choix lorsque le Client a écarté OpenAI de ses fournisseurs autorisés tout en conservant Anthropic. Le modèle employé est un modèle Claude d'Anthropic, fournisseur déjà désigné à l'article 7.2 pour le traitement des conversations.

Ce qui est transmis au fournisseur :

• le cadrage produit par NETAIX (structure, titres, pagination), qui ne comporte aucune donnée personnelle ;
• le texte rédactionnel déjà produit dans la conversation, qui sert de matière au document. Ce texte est déjà transmis à un fournisseur de modèle pour sa rédaction : ce traitement n'élargit pas la catégorie de données transférée ;
• la charte graphique de l'organisation (couleurs, polices), dans les conditions de licence prévues à l'article 9.6 des CGV ;
• les sorties techniques des exécutions de code (messages du programme, erreurs, liste des fichiers produits) ;
• des images des pages du document, rendues par NETAIX, afin que le modèle relise son propre travail et corrige les défauts de mise en page. C'est cette relecture visuelle qui rend le résultat utilisable.

Ce qui n'est pas transmis : aucune pièce jointe du Client, aucun fichier de projet, aucun extrait de base de connaissances, et aucun fichier, le fournisseur ne recevant jamais le document lui-même. Le logo du Client est déposé par NETAIX dans son propre environnement d'exécution et n'est pas transmis au fournisseur comme fichier ; NETAIX précise toutefois, pour ne rien laisser dans l'ombre, qu'il peut figurer sur les images de relecture dès lors qu'il apparaît sur une page rendue.

Contrôle préalable des fuites de données. Le socle de protection contre la fuite de données s'applique au texte avant tout dépôt dans l'environnement d'exécution et avant tout envoi au fournisseur, et il fonctionne en tout ou rien : s'il retient quoi que ce soit, ou s'il est lui-même indisponible, aucun appel n'est adressé au fournisseur et le document est fabriqué par le générateur de NETAIX en France. Aucune donnée n'est masquée puis rendue : les images de relecture ne peuvent montrer que du texte qui a passé ce contrôle.

Environnement d'exécution de NETAIX. Le code écrit par le modèle est exécuté dans un conteneur dédié, sans aucun accès réseau, sans privilège d'administration, sans accès aux secrets ni aux variables de configuration de la plateforme, et sans aucun accès à la base de données. Les fichiers de travail résident en mémoire. L'espace de travail est intégralement effacé entre deux documents, et ce vidage est vérifié puis journalisé.

Conservation chez le fournisseur. Aucun environnement d'exécution n'est ouvert chez lui, et aucun fichier n'y est déposé. Seules s'appliquent les durées de conservation propres à ses appels d'interface de programmation, énoncées à l'article 8.3, y compris pour les images de pages transmises.

Maîtrise par le Client. Les quatre situations énumérées à l'article 8.4 renvoient également ce chemin au générateur de NETAIX hébergé en France. Une cinquième s'y ajoute : lorsque le Client a écarté Anthropic de ses fournisseurs autorisés, ou désactivé le modèle employé, la fabrication revient à ce générateur. Un Client qui s'en tient aux modèles traités dans l'Union européenne ne voit donc jamais ce chemin s'activer.

Coût pour le Client. La fabrication est décomptée des crédits de l'utilisateur dans les mêmes conditions que toute autre requête adressée à un modèle, et elle est bornée par un plafond de dépense par document ainsi que par un nombre maximal de fabrications par jour et par organisation. Au-delà de l'un de ces plafonds, la fabrication revient au générateur de NETAIX.

L'analyse d'impact de ce transfert, distincte de celle de l'article 8.4, est tenue à jour par NETAIX et communiquée au Client sur simple demande à contact@netaix.fr.

Sécurité — Article 32 RGPD

Article 9 — Mesures de sécurité techniques et organisationnelles

Conformément à l'article 32 du RGPD, NETAIX met en oeuvre les mesures suivantes :

9.1 Chiffrement

• En transit : TLS 1.2/1.3 obligatoire pour toutes les communications (HTTPS).
• Au repos : les données sensibles (clés API, secrets d'authentification) sont chiffrées par un algorithme symétrique certifié.
• Mots de passe : hashés de manière irréversible, jamais stockés en clair.

9.2 Isolation des données (multi-tenant)

• Chaque workspace dispose d'un identifiant unique (workspace_id).
• Toute requête en base de données est filtrée systématiquement par workspace_id issu du jeton JWT.
• Aucun accès inter-workspace n'est possible, y compris pour l'administration.

9.3 Authentification et contrôle d'accès

• Authentification par jeton signé, stocké de manière non persistante.
• Double authentification (TOTP 2FA) disponible et recommandée.
• Gestion des rôles et permissions par workspace.
• Limitation du débit des requêtes (rate limiting) sur l'authentification et l'API.

9.4 Infrastructure

• Hébergement OVH sur serveurs dédiés en France (datacenter Gravelines / Roubaix).
• Système d'exploitation Debian GNU/Linux, maintenu à jour.
• Conteneurisation Docker avec isolation réseau.
• Reverse proxy Traefik v3 avec certificats TLS Let's Encrypt (renouvellement automatique).
• Accès SSH sur port non standard, authentification par clé uniquement.
• Sauvegardes quotidiennes de la base de données, chiffrées GPG, conservées 30 jours.
• Architecture bi-VPS (production + standby) avec réplication PostgreSQL en streaming.

9.5 Sécurité applicative

• Headers de sécurité HTTP : X-Content-Type-Options, X-Frame-Options, Cache-Control.
• Validation stricte des entrées via schémas Pydantic avec contraintes de longueur.
• Protection contre les injections SQL via l'ORM SQLAlchemy (requêtes paramétrées).
• Journalisation des actions sensibles via un système d'audit trail.
• Masquage des données sensibles dans les réponses API et les logs.

9.6 Mesures organisationnelles

• Accès aux systèmes de production limité au fondateur et aux prestataires expressément autorisés.
• Principe du moindre privilège pour tous les accès.
• Revue de code systématique avant mise en production.
• Veille sur les vulnérabilités (CVE) des dépendances logicielles.

NETAIX s'engage à revoir et mettre à jour les mesures de sécurité au moins une fois par an.

Article 10 — Notification des violations de données

10.1 Délai de notification

En cas de violation de données personnelles, NETAIX notifie le Client dans les meilleurs délais et au plus tard dans les quarante-huit (48) heures après en avoir pris connaissance.

10.2 Contenu de la notification

La notification contient au minimum (article 33.3 du RGPD) :

• La nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés.
• Le nom et les coordonnées du point de contact de NETAIX.
• Les conséquences probables de la violation.
• Les mesures prises ou proposées pour y remédier et en atténuer les conséquences.

10.3 Coopération

NETAIX aide le Client à s'acquitter de ses propres obligations de notification auprès de la CNIL (article 33 du RGPD) et, le cas échéant, de communication aux personnes concernées (article 34), en fournissant toute information utile.

10.4 Documentation

NETAIX documente toute violation de données et met cette documentation à la disposition du Client et de l'autorité de contrôle sur demande.

Article 11 — Droit d'audit du Client

11.1 Principe

Conformément à l'article 28.3.h du RGPD, NETAIX met à la disposition du Client toutes les informations nécessaires pour démontrer le respect des obligations du présent Accord et permet la réalisation d'audits.

11.2 Modalités

• Demande écrite à contact@netaix.fr avec un préavis de trente (30) jours ouvrables.
• Audit réalisé pendant les heures ouvrables, sans perturber le service.
• Auditeur tiers soumis à des obligations de confidentialité, préalablement agréé par NETAIX.
• Limité à un (1) audit par année civile, sauf violation avérée ou demande de la CNIL.
• L'audit porte exclusivement sur les traitements du Client et ne donne pas accès aux données d'autres clients.

11.3 Coûts

Les coûts de l'audit sont à la charge du Client, sauf si l'audit révèle un manquement imputable à NETAIX.

11.4 Suivi

En cas de non-conformité, NETAIX présente un plan d'action correctif dans un délai de quinze (15) jours ouvrables.

Fin de contrat

Article 12 — Sort des données en fin de contrat

12.1 Restitution des données

À l'issue du contrat, le Client peut demander la restitution de l'ensemble de ses données dans un format structuré et lisible par machine (JSON ou CSV). La demande doit être adressée à contact@netaix.fr dans un délai de trente (30) jours suivant la fin du contrat.

NETAIX met les données à disposition dans un délai de quinze (15) jours ouvrables.

12.2 Suppression des données

À l'expiration du délai de trente (30) jours, NETAIX procède à la suppression définitive de l'ensemble des données du workspace, y compris :

• Données en base (conversations, profils membres, paramètres).
• Fichiers joints et documents.
• Sauvegardes contenant des données du Client (dans un délai maximum de 30 jours supplémentaires, correspondant au cycle de rotation).
• Clés API personnelles chiffrées.

12.3 Attestation de suppression

Sur demande, NETAIX fournit une attestation écrite de suppression dans un délai de quinze (15) jours ouvrables.

12.4 Exceptions — conservation légale

Par exception, NETAIX peut conserver certaines données au-delà du délai de suppression :

• Données de facturation : 10 ans (article L.123-22 du Code de commerce).
• Logs de connexion : 12 mois (article 6-II de la LCEN).
• Données de compte : 3 ans après la fin du contrat (prescription civile, article 2224 du Code civil).

Ces données conservées sont isolées, protégées et non accessibles en usage courant.

Article 13 — Responsabilité et indemnisation

13.1 Responsabilité de NETAIX

NETAIX est responsable des dommages causés par le traitement lorsque celui-ci n'a pas été effectué dans le respect des obligations du RGPD applicables aux sous-traitants, ou lorsque NETAIX a agi en dehors des instructions licites du Client (article 82 du RGPD).

13.2 Limitation de responsabilité

Sans préjudice de l'article 82 du RGPD et des cas de dol ou faute lourde, la responsabilité de NETAIX est limitée au montant total des abonnements effectivement payés par le Client au cours des douze (12) mois précédant le fait générateur, conformément aux CGV.

13.3 Obligations du Client

Le Client est responsable de la licéité des traitements qu'il met en oeuvre via le service. Il s'engage notamment à :

• Disposer d'une base légale pour chaque traitement (article 6 du RGPD).
• Informer les personnes concernées (articles 13 et 14 du RGPD).
• Ne pas traiter de catégories particulières de données (article 9) sans base légale appropriée.
• Donner des instructions conformes au RGPD.
• Répondre aux demandes d'exercice de droits dans les délais légaux.

Engagement fort

Article 14 — Non-utilisation pour l'entraînement IA

NETAIX s'engage formellement à ne pas utiliser les données du Client, et notamment les conversations IA, pour entraîner, affiner (fine-tuning) ou améliorer des modèles d'intelligence artificielle, qu'ils soient propres à NETAIX ou fournis par des tiers.

NETAIX utilise exclusivement des API professionnelles dont les conditions contractuelles excluent l'utilisation des données à des fins d'entraînement :

• OpenAI : API Business — les données ne sont pas utilisées pour l'entraînement. Cet engagement couvre aussi l'outil d'exécution de code employé pour la fabrication des documents (article 8.4).
• Anthropic : API commerciale — les données ne sont pas utilisées pour l'entraînement. Les conditions commerciales de ce fournisseur stipulent qu'il ne peut pas entraîner ses modèles sur le contenu du client, défini comme l'ensemble des éléments soumis à ses services et des réponses produites, sans distinction de format. Cet engagement couvre donc aussi les images des pages transmises pour la relecture visuelle décrite à l'article 8.5. Il est de nature contractuelle, et se vérifie par le contrat et non par une mesure technique.
• Mistral AI : API La Plateforme — données non utilisées pour l'entraînement.
• Google : API Gemini — les données ne sont pas utilisées pour l'entraînement.

Article 15 — Dispositions générales

• Hiérarchie : en cas de contradiction entre le présent DPA et les CGV, les dispositions du DPA prévalent pour tout ce qui concerne le traitement des données personnelles.
• Intégralité : le présent Accord constitue, avec les CGV · CGPS et la Politique de confidentialité, l'intégralité de l'accord en matière de protection des données.
• Modifications : toute modification fait l'objet d'un avenant écrit. NETAIX peut mettre à jour les annexes techniques (mesures de sécurité, liste des sous-traitants) dans les conditions prévues au présent Accord.
• Divisibilité : si une stipulation est déclarée non valide, les autres stipulations restent en vigueur.
• Loi applicable : le présent Accord est soumis au droit français.
• Juridiction : tout litige relève des juridictions compétentes par application des règles du droit commun.

Annexe

Annexe 1 — Description des traitements