Mentions légales
Accord de traitement des données
Dernière mise à jour : 12 octobre 2026
Cette traduction est fournie à titre indicatif. En cas de divergence avec la version anglaise, la version anglaise prévaut. Lire la version anglaise.
Voici l’accord standard de traitement des données (DPA) d’Incbury. Il fait partie de nos conditions d’utilisation pour les clients qui utilisent Incbury pour le compte d’une organisation et s’applique sans signature.
Si vous avez besoin d’un exemplaire contresigné, demandez-le en indiquant la dénomination sociale de votre organisation ; nous vous le renverrons signé par Foundry Systems Ltd (numéro de société 16940612, 71–75 Shelton Street, Covent Garden, London WC2H 9JQ, United Kingdom).
1. Champ d’application et rôles
Ce DPA s’applique lorsque Foundry Systems Ltd (« Incbury ») traite des données personnelles pour le compte d’un client (« Client ») via Incbury Chat, Teams, Business ou la plateforme développeurs (le « Service »). Le Client est responsable du traitement et Incbury sous-traitant. Il s’applique au titre du RGPD britannique, du Data Protection Act 2018 et, le cas échéant, du RGPD de l’UE.
2. Instructions
Incbury ne traite les données personnelles du Client que sur ses instructions documentées, à savoir le contrat, ce DPA et l’utilisation et la configuration du Service par le Client. Incbury informe le Client s’il estime qu’une instruction enfreint le droit de la protection des données.
3. Confidentialité
Incbury veille à ce que toute personne autorisée à traiter les données personnelles du Client soit tenue à la confidentialité et n’ait que l’accès nécessaire à sa fonction.
4. Sécurité
Incbury met en œuvre les mesures techniques et organisationnelles de l’annexe 2 et peut les mettre à jour sans réduire le niveau global de protection. Les détails actuels figurent dans notre centre de confiance.
5. Sous-traitants ultérieurs
Le Client autorise Incbury à recourir aux sous-traitants de notre liste des sous-traitants. Incbury notifie tout nouveau sous-traitant au moins 30 jours à l’avance, le Client peut s’y opposer pour des motifs raisonnables liés à la protection des données, et Incbury impose des obligations équivalentes à chaque sous-traitant et en reste responsable.
6. Transferts internationaux
Lorsque des données personnelles du Client sont transférées hors du Royaume-Uni ou de l’EEE, Incbury s’appuie sur des décisions d’adéquation ou sur l’International Data Transfer Agreement ou Addendum britannique et les clauses contractuelles types de l’UE, intégrés par référence.
7. Assistance
Incbury aide le Client à répondre aux demandes des personnes concernées grâce aux fonctions d’export, de suppression, SCIM et d’API de conformité du Service, et apporte une aide raisonnable pour la sécurité, la notification des violations, les analyses d’impact et la consultation des autorités.
8. Violations de données personnelles
Incbury informe le Client dans les meilleurs délais et au plus tard 48 heures après avoir pris connaissance d’une violation touchant les données personnelles du Client, avec les informations disponibles et des mises à jour ensuite.
9. Audits
Incbury met à disposition les informations nécessaires pour démontrer le respect de ce DPA, y compris certificats et rapports d’audit une fois émis. Le Client peut réaliser un audit par an avec un préavis de 30 jours, à ses frais, ou chaque fois qu’une autorité l’exige.
10. Suppression et restitution
Le Client peut exporter ses données à tout moment. À la fin du contrat, Incbury supprime les données personnelles du Client des systèmes de production sous 30 jours et des sauvegardes sous 90 jours, sauf obligation légale de conservation.
11. Ni entraînement ni vente
Incbury n’utilise pas les données personnelles du Client pour entraîner ses modèles et ne les vend pas.
12. Responsabilité et prééminence
La responsabilité au titre de ce DPA est soumise aux plafonds du contrat. En cas de conflit avec le contrat en matière de protection des données, ce DPA prévaut ; en cas de conflit avec les clauses contractuelles types ou l’accord de transfert, ceux-ci prévalent.
Annexe 1 : Description du traitement
| Objet | Fournir le Service au Client. |
|---|---|
| Durée | La durée du contrat, plus les délais de suppression de la clause 10. |
| Nature et finalité | Stocker, transmettre et traiter des contenus avec des modèles d’IA pour générer des réponses, rechercher, exécuter des outils et fournir les fonctionnalités de l’espace de travail. |
| Personnes concernées | Les utilisateurs autorisés du Client et les personnes dont les données apparaissent dans les contenus soumis par le Client. |
| Données personnelles | Informations de compte et de profil, conversations, requêtes et réponses, fichiers importés, contenus de connecteurs que le Client choisit de partager, données d’utilisation et d’appareil. |
| Catégories particulières | Non prévues. Le Client décide s’il en soumet et doit disposer d’une base légale. |
| Fréquence | Continue, tant que le Client utilise le Service. |
Annexe 2 : Mesures techniques et organisationnelles
- Chiffrement en transit avec TLS 1.2 ou supérieur et chiffrement au repos des bases de données, du stockage objet et des sauvegardes.
- Authentification unique, provisionnement SCIM, authentification à deux facteurs et contrôle d’accès par rôle.
- Accès à la production selon le moindre privilège, gestion des secrets et journal d’audit infalsifiable.
- Bacs à sable isolés et éphémères pour l’exécution de code et la navigation.
- Contrôles réseau, dont les listes d’IP autorisées pour les espaces Business.
- Revue de code, tests automatisés et intégration continue avant déploiement.
- Sauvegardes quotidiennes chiffrées des bases de données gérées et procédures de restauration documentées.
- Réponse aux incidents avec notification des violations conformément à la clause 8.
- Conservation et suppression configurables, et export des données à tout moment.
Annexe 3 : Sous-traitants ultérieurs
La liste à jour des sous-traitants, avec leur finalité et leur localisation, est publiée dans notre politique de confidentialité.