Le présent Accord de traitement des données ("DPA") fait partie du contrat conclu entre RENVAR INC ("Elai", "sous-traitant") et un client professionnel ou entreprise ("client", "responsable du traitement") utilisant Elai Marketplace pour gérer des Agents IA, des Employés numériques ou des flottes de robots physiques pour le compte de ses propres utilisateurs finaux ou salariés. Il s'applique lorsque le client agit en qualité de responsable du traitement et qu'Elai traite des données à caractère personnel pour le compte et sur instruction du client.
1. Rôles
Pour les données à caractère personnel que le client soumet à la Plateforme ou par son intermédiaire pour le compte de ses propres utilisateurs (par ex. les données d'entrée de tâches envoyées à un Agent installé, ou les enregistrements des installations de ses salariés), le client est le responsable du traitement et Elai le sous-traitant. Pour la relation de compte/facturation propre d'Elai avec le client, Elai agit en qualité de responsable du traitement indépendant — voir notre Politique de confidentialité.
2. Objet et durée
Le traitement porte sur les données à caractère personnel soumises via la Plateforme pendant la durée de l'abonnement actif du client, ainsi que toute période de conservation après résiliation décrite à la Section 7.
3. Nature et finalité du traitement
- Exploitation des installations d'Agents, des plafonds de dépenses et des Agent Passports pour le compte du client ;
- Acheminement des données d'entrée de tâches vers le fournisseur de modèle d'IA configuré via l'AI Gateway de la Plateforme afin de générer les sorties de l'Agent ;
- Tenue du journal d'audit des actions effectuées sous le compte du client ;
- Facturation et mesure de l'utilisation.
4. Sous-traitants ultérieurs
Elai fait actuellement appel aux sous-traitants ultérieurs nommés suivants :
- Stripe (États-Unis) — traitement des cartes de paiement et stockage des cartes enregistrées.
- YooKassa (Russie) — traitement des paiements pour les transactions en roubles russes.
- SendGrid (États-Unis) — remise des e-mails transactionnels (notifications de compte, de commande et de litige).
- Twilio (États-Unis) — remise des SMS, uniquement pour les utilisateurs ayant consenti aux notifications par SMS.
- Sentry (États-Unis) — surveillance des erreurs et plantages de l'application, susceptible de capturer incidemment un identifiant de compte ou une adresse e-mail dans un rapport de plantage.
- Un fournisseur de modèle d'IA (par ex. OpenAI), accessible via l'AI Gateway auto-hébergé d'Elai — reçoit le texte de la tâche avec lequel un Agent installé du client est invoqué, afin de générer la sortie de l'Agent. Elai ne transmet pas au fournisseur de modèle d'identifiants de compte ni de coordonnées de paiement.
Cette liste reflète les intégrations activées dans un déploiement donné ; un opérateur de déploiement qui n'a pas configuré les identifiants d'un fournisseur donné n'utilise pas ce sous-traitant ultérieur. Nous mettrons à jour cette liste si nous ajoutons une nouvelle catégorie de sous-traitant ultérieur.
5. Mesures de sécurité
Elai maintient les mesures techniques et organisationnelles suivantes :
- Les mots de passe sont hachés au moyen d'une dérivation scrypt avec sel ; Elai ne stocke jamais de mot de passe en clair.
- Authentification à deux facteurs optionnelle (TOTP) avec codes de secours à usage unique.
- Contrôle d'accès basé sur les rôles (rôles acheteur/développeur/administrateur) appliqué sur chaque route d'API authentifiée, ainsi que des identifiants d'API à portée restreinte (Agent Passports) avec des plafonds de dépenses configurables pour les installations d'Agents IA.
- Un journal d'audit en ajout seul consignant l'acteur, l'action et le résultat des actions de compte et d'administration.
- Limitation de débit sur les points de terminaison d'authentification et d'API, appuyée par Redis lorsqu'il est disponible.
- Chiffrement TLS en transit pour l'ensemble du trafic vers la Plateforme (provisionné automatiquement via Let's Encrypt).
- Analyse automatique du contenu des annonces à la recherche de schémas connus d'injection de prompt et de commandes malveillantes.
- Outils en libre-service d'export des données et de suppression de compte (voir notre Politique de confidentialité).
Elai ne chiffre pas actuellement les données au repos au niveau applicatif et n'a pas obtenu de certification de sécurité par un tiers (par ex. SOC 2, ISO 27001). Si l'un ou l'autre importe pour votre cas d'usage, contactez-nous au moyen des coordonnées de la Section 10 avant de vous appuyer sur la Plateforme à cet effet.
6. Transferts internationaux
La Plateforme fonctionne sur un serveur auto-hébergé dont la région d'hébergement est choisie par l'opérateur de déploiement et n'est pas fixée à un pays ou à une région de cloud particulière au titre du présent Accord. Elai ne s'appuie pas actuellement sur un mécanisme formel de transfert transfrontalier (tel que les Clauses contractuelles types) car aucun couloir de transfert fixe n'est ici garanti. Si votre utilisation de la Plateforme exige que les données demeurent au sein d'une juridiction particulière, ou soient transférées sous une garantie spécifique à celle-ci, contactez-nous au moyen des coordonnées de la Section 10 avant de vous appuyer sur la Plateforme pour cette exigence.
7. Suppression et restitution des données
À la résiliation de l'abonnement du client, Elai procédera, à la demande du client, à la suppression ou à la restitution des données à caractère personnel traitées pour le compte du client, sous réserve de toute conservation exigée par la loi.
8. Assistance aux demandes des personnes concernées
Elai fournira au client une assistance raisonnable pour répondre aux demandes des personnes concernées (accès, rectification, suppression, portabilité) relatives aux données à caractère personnel traitées au titre du présent DPA.
9. Droits d'audit
Sur demande écrite raisonnable, au plus une fois par période de douze mois, Elai fournira au client les informations de sécurité et de traitement raisonnablement nécessaires pour confirmer la conformité d'Elai au présent DPA (par ex. une description écrite des mesures de la Section 5). Elai ne détient pas actuellement de certification de sécurité par un tiers à proposer en lieu et place d'un audit direct, et ne propose pas d'audits sur site à l'heure actuelle.
10. Contact
Questions relatives au traitement des données / au DPA : renvar.inc@gmail.com.