Version du 20 août 2026
Accord de traitement des données
Si tu utilises Union AI pour traiter des données personnelles d’autres personnes, il te faut un accord de sous-traitance au sens de l’article 28 du RGPD. Voici le résumé ; demande-nous le texte à signer.
Ce texte est une traduction : en cas de divergence avec la version anglaise, seule la version anglaise fait foi.
Projet
Obtenir la version à signer
Rôles : responsable du traitement et sous-traitant
Tu es responsable du traitement des données personnelles qui se retrouvent dans tes prompts. Union AI est sous-traitant : nous traitons ces données uniquement pour exécuter ta requête et sur tes instructions. Pour les données de ton propre compte, nous sommes nous-mêmes responsables du traitement, comme l’explique la politique de confidentialité. Savoir quelles données ont leur place dans un outil d’IA est une autre question, traitée dans ChatGPT est-il conforme au RGPD pour les données d’entreprise.
Objet et durée du traitement
Le traitement porte sur le contenu des prompts et les réponses générées, et dure aussi longtemps que tu utilises le service. Les prompts et les réponses ne sont pas conservés : ils n’existent qu’en mémoire pendant le traitement de ta requête. Il n’y a donc aucune durée de conservation à convenir et rien à détruire à la fin.
Sous-traitants ultérieurs et information sur les changements
Nous faisons appel aux sous-traitants ultérieurs listés sur la page Sous-traitants, la liste complète, y compris les acteurs dont la maison mère est américaine. Nous annonçons les changements au moins 30 jours à l’avance, afin que tu puisses t’y opposer. Si tu t’y opposes et que nous ne trouvons pas de solution, tu peux résilier l’accord et obtenir le remboursement du crédit non utilisé.
| Catégorie | Qui | Ce qu’il voit |
|---|---|---|
| Inférence | Scaleway SAS, Union européenne | Le prompt et la réponse |
| Hébergement | Cloudflare, Inc. | Le trafic chiffré, en périphérie du réseau |
| Base de données | Neon (Databricks), région UE | Compte et consommation, aucun contenu de prompt |
| Paiements | Stripe Payments Europe Ltd, Irlande | Données de facturation |
Transferts hors de l’UE
L’inférence a lieu exclusivement dans l’Union européenne. Nos sous-traitants ultérieurs pour l’hébergement, la base de données et les paiements traitent les données dans des régions européennes, mais relèvent d’une maison mère américaine ; les clauses contractuelles types de la Commission européenne s’appliquent à eux, de même que les mesures supplémentaires que prennent ces acteurs. Nous ne prétendons pas que cela règle toutes les questions de juridiction : consulte la page Sous-traitants pour notre lecture sans fard.
Mesures de sécurité
Chiffrement en transit et au repos, accès selon le principe du besoin d’en connaître, clés API stockées uniquement sous forme de hash, secrets conservés dans un coffre-fort de clés et non dans le code, et sauvegardes de la base de données testées périodiquement. Nous ne lisons pas tes prompts.
Violations de données et assistance
En cas de violation, nous t’informons dans les meilleurs délais, avec les informations dont tu as besoin pour remplir ta propre obligation de notification. Nous t’aidons à répondre aux demandes d’exercice des droits des personnes concernées, à réaliser une AIPD et à répondre aux questions de l’autorité de contrôle, dans la mesure de ce qui peut raisonnablement être attendu d’un sous-traitant.
Audits : une fois par an, tu peux faire réaliser un audit par un tiers indépendant, ou demander nos rapports. Les questions relatives au présent accord sont à adresser à hello@europeanailab.eu.
Questions fréquentes
Faut-il un accord de sous-traitance pour utiliser l’IA au travail ?
Oui, si des données personnelles d’autres personnes se retrouvent dans tes prompts. Selon l’article 28 du RGPD, un responsable du traitement doit conclure un contrat écrit avec chaque sous-traitant, et un service d’IA qui traite les données de tes clients ou de tes salariés est un sous-traitant. Les abonnements grand public ne prévoient généralement aucun accord de ce type.
Qui est responsable du traitement et qui est sous-traitant ?
Tu es responsable du traitement des données personnelles contenues dans tes prompts : c’est toi qui décides de ce que tu y mets et pourquoi. Union AI est sous-traitant pour ce contenu et agit sur tes instructions. Pour les données de ton propre compte, nous sommes nous-mêmes responsables du traitement, comme l’explique la politique de confidentialité.
Faut-il une AIPD (analyse d’impact) pour un outil d’IA ?
Oui, lorsque le traitement est susceptible d’engendrer un risque élevé pour les personnes, ce que les autorités associent aux traitements à grande échelle, aux catégories particulières de données et aux décisions qui affectent les droits de quelqu’un. Utiliser l’IA sur des dossiers médicaux, des données biométriques ou des candidatures franchit généralement ce seuil. L’utiliser pour résumer ta propre documentation publique, non.
Comment obtenir l’accord de sous-traitance à signer ?
Écris à hello@europeanailab.eu et nous t’envoyons l’accord de traitement des données complet sous forme de document. Il n’y a volontairement pas de bouton de téléchargement tant que le texte est en cours de relecture juridique, car un fichier daté qui circule est plus difficile à rattraper qu’un e-mail.
Y a-t-il des transferts de données hors de l’UE ?
L’inférence reste dans l’Union européenne. L’hébergement, la base de données et les paiements traitent les données dans des régions européennes, mais relèvent d’une maison mère établie aux États-Unis : les clauses contractuelles types de la Commission européenne s’appliquent donc à eux. Nous ne prétendons pas que cela règle toutes les questions de juridiction, et la page Sous-traitants expose notre lecture sans fard.
Dans quel délai les violations de données sont-elles notifiées ?
Nous t’informons dans les meilleurs délais, avec les informations dont tu as besoin pour remplir ta propre obligation de notification, et l’autorité de contrôle est notifiée dans les 72 heures lorsque la violation présente un risque. Tu peux aussi faire réaliser un audit indépendant une fois par an, ou demander nos rapports à la place.