Mentions légales · UK GDPR & EU GDPR Art. 28

Accord de traitement des données

Dernière mise à jour : 22 octobre 2026

Traduction de courtoisie. En cas de divergence, la version anglaise prévaut.

EN · IT · DE · FR · ES

1. Parties et champ d'application

Cet accord est conclu entre le marchand qui utilise Kosmly (« Responsable du traitement ») et Kosmly Ltd, société immatriculée en Angleterre et au pays de Galles (n° [number]), siège social [address], TVA [GB number] (« Sous-traitant »). Il respecte l'article 28 du UK GDPR et du RGPD, selon celui qui s'applique au Responsable du traitement. Il s'applique à toutes les données personnelles que le Sous-traitant traite pour le Responsable du traitement via le service Kosmly et fait partie des Conditions d'utilisation. En cas de contradiction entre ce DPA et les Conditions, ce DPA prévaut pour la protection des données.

2. Détails du traitement

L'objet, la durée, la nature et la finalité du traitement, ainsi que les catégories de données et de personnes concernées, sont décrits à l'annexe I.

3. Obligations du Sous-traitant

1. Instructions. Le Sous-traitant traite les données personnelles uniquement sur instructions documentées du Responsable du traitement, à savoir les Conditions, ce DPA et les paramètres du Responsable du traitement dans Kosmly. Il informe le Responsable du traitement s'il estime qu'une instruction enfreint la loi.
2. Confidentialité. Toute personne ayant accès est tenue à la confidentialité et formée à la protection des données et à la culture de l'IA.
3. Sécurité. Le Sous-traitant applique les mesures de l'annexe II (art. 32 RGPD).
4. Minimisation. Les agents ne reçoivent que les données dont ils ont besoin. Les noms, e-mails et numéros de téléphone sont remplacés par des marqueurs avant l'envoi d'un texte à un modèle d'IA, lorsque la tâche le permet.
5. Aucun entraînement. Les données personnelles ne sont jamais utilisées pour entraîner ou améliorer des modèles d'IA, ni par le Sous-traitant ni par ses sous-traitants ultérieurs.
6. Demandes des personnes concernées. Le Sous-traitant aide le Responsable du traitement à répondre aux demandes d'accès, de rectification, d'effacement ou d'export, y compris via les webhooks de confidentialité obligatoires des plateformes.
7. Violations. Le Sous-traitant informe le Responsable du traitement dans les meilleurs délais, et au plus tard 48 heures après avoir pris connaissance d'une violation de données personnelles, avec les informations nécessaires à sa propre notification au titre de l'art. 33.
8. Assistance. Le Sous-traitant aide le Responsable du traitement pour les analyses d'impact (art. 35) et les consultations préalables concernant Kosmly.
9. Fin du service. Dans les 30 jours suivant la fin du service, le Sous-traitant supprime toutes les données personnelles, ou les restitue sur demande, sauf si la loi impose leur conservation.
10. Audits. Le Sous-traitant met à disposition les informations nécessaires pour démontrer la conformité et autorise un audit par an avec un préavis de 30 jours, ou après une violation.

4. Sous-traitants ultérieurs

Le Responsable du traitement donne une autorisation générale pour les sous-traitants ultérieurs de l'annexe III. Le Sous-traitant impose contractuellement à chacun les mêmes obligations de protection des données. Il annonce tout nouveau sous-traitant ultérieur au moins 30 jours à l'avance, par e-mail et sur cette page. Le Responsable du traitement peut s'y opposer pour des motifs raisonnables ; à défaut de solution, il peut mettre fin au service concerné avec un remboursement au prorata.

5. Transferts internationaux

Les données personnelles sont conservées et traitées dans l'UE/EEE. Le Sous-traitant est établi au Royaume-Uni, qui bénéficie d'une décision d'adéquation de l'UE ; l'accès à distance de son personnel britannique repose sur cette décision. Tout autre transfert n'a lieu que sur la base d'une décision d'adéquation, des clauses contractuelles types (décision 2021/914 de la Commission) ou, pour les données britanniques, de l'International Data Transfer Agreement ou Addendum, avec une évaluation du risque du transfert et des garanties supplémentaires si nécessaire.

6. Responsabilité

La responsabilité de chaque partie au titre de ce DPA est soumise aux limites des Conditions d'utilisation, sauf disposition contraire de l'article 82 du UK GDPR ou du RGPD.

Annexe I · Description du traitement

Annexe II · Mesures techniques et organisationnelles

• Chiffrement en transit (TLS 1.2+) et au repos (AES-256).
• Séparation stricte des données de chaque marchand, imposée au niveau de la base de données.
• Accès selon le rôle, authentification à deux facteurs et privilèges minimaux pour le personnel ; les accès sont journalisés.
• Pseudonymisation des données personnelles avant qu'elles n'atteignent les modèles d'IA, lorsque la tâche le permet.
• Sauvegardes chiffrées quotidiennes dans l'UE, avec restaurations testées.
• Gestion des vulnérabilités, contrôle des dépendances et contact de sécurité public (security@kosmly.com), conformément au Cyber Resilience Act.
• Procédure écrite de réponse aux incidents et violations, testée au moins une fois par an.
• Formation du personnel à la protection des données et à la culture de l'IA (art. 4 AI Act).

Annexe III · Sous-traitants ultérieurs

Les demandes d'assistance sont traitées au sein de Kosmly, sur l'infrastructure indiquée ci-dessus. Avant le lancement de Nova, un fournisseur de modèles d'images sera ajouté ici, avec un préavis de 30 jours.

Contact pour cet accord : privacy@kosmly.com.