Accord de traitement des données

BRIXEL traite pour le client, comme sous-traitant (art. 28 RGPD), les données personnelles que contiennent ses médias, ses voix et ses publications. Cet accord est annexé aux CGU.

1. Objet

Le présent accord fixe les conditions dans lesquelles BRIXEL (le « sous-traitant ») traite, pour le compte du client (le « responsable de traitement »), les données personnelles que contiennent les contenus que le client confie au Service. Ces traitements sont décrits en annexe 1. Les données propres au compte du client (identité, connexion, facturation) relèvent de la politique de confidentialité, BRIXEL en étant alors responsable de traitement.

2. Instructions

BRIXEL ne traite ces données que sur instruction documentée du client : les CGU, le présent accord et les actions du client dans le Service (importer, faire analyser, générer, cloner une voix, publier, supprimer). BRIXEL informe sans délai le client si une instruction lui paraît contraire à la réglementation. Les données ne servent jamais à entraîner des modèles d'IA, ni à d'autres fins que la fourniture du Service.

3. Confidentialité

Seules les personnes habilitées de BRIXEL, tenues à la confidentialité, accèdent aux données, et uniquement pour fournir le Service, assister le client ou diagnostiquer un incident. Ces accès sont journalisés.

4. Sécurité

BRIXEL met en œuvre les mesures techniques et organisationnelles décrites en annexe 2, et les adapte à l'état de l'art.

5. Sous-traitants ultérieurs

Le client autorise BRIXEL à recourir aux sous-traitants listés en annexe 3. BRIXEL informe le client de tout ajout ou remplacement au moins 30 jours à l'avance, par e-mail ou dans l'application ; le client peut s'y opposer pour un motif légitime et, à défaut d'accord, résilier sans frais. BRIXEL impose à chaque sous-traitant ultérieur des obligations de protection équivalentes à celles du présent accord et reste responsable envers le client de leur respect.

6. Transferts hors de l'Union

Un transfert n'a lieu que vers un pays bénéficiant d'une décision d'adéquation, ou avec des garanties appropriées : clauses contractuelles types de la Commission européenne, ou certification Data Privacy Framework du destinataire. L'annexe 3 indique, pour chaque sous-traitant, le pays et la garantie.

7. Assistance

Le Service permet au client de répondre lui-même aux demandes des personnes : supprimer un média, un post ou une voix, exporter ses données. Pour le reste, BRIXEL aide le client, dans la mesure du raisonnable, à répondre aux demandes d'exercice de droits, à réaliser ses analyses d'impact et à consulter l'autorité de contrôle. BRIXEL transmet au client toute demande reçue directement d'une personne concernée.

8. Violations de données

BRIXEL notifie au client toute violation de données personnelles dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, ses conséquences probables et les mesures prises ou proposées.

9. Fin du traitement

À la fin du contrat, le client peut exporter ses données. BRIXEL supprime ensuite les données du client dans un délai de 30 jours, sauf celles qu'une obligation légale impose de conserver, pour la durée de cette obligation.

10. Audit

BRIXEL met à la disposition du client les informations nécessaires pour démontrer le respect du présent accord. Le client peut faire réaliser un audit une fois par an, à ses frais, par un auditeur indépendant tenu à la confidentialité, après un préavis de 30 jours et sans accès aux données des autres clients.

11. Obligations du client

Le client dispose d'une base légale pour chaque donnée qu'il confie au Service. Il informe les personnes concernées, recueille les autorisations de droit à l'image et l'accord écrit des personnes dont il clone la voix, et signale les hypertrucages qu'il publie. Il ne confie au Service aucune donnée sensible au sens de l'article 9 du RGPD sans nécessité.

12. Durée et droit applicable

Le présent accord s'applique tant que BRIXEL traite des données pour le client. La limitation de responsabilité, le droit applicable et la juridiction compétente sont ceux des CGU.

Annexe 1 — Description du traitement

Annexe 2 — Mesures de sécurité

• Chiffrement de toutes les communications (HTTPS/TLS, HSTS).
• Jetons d'accès aux réseaux sociaux chiffrés au repos, jamais exposés au navigateur ; mots de passe hachés (Argon2).
• Médias dans un stockage privé, accessibles uniquement par liens signés temporaires ; un lien remis à une plateforme expire en une heure.
• Cloisonnement des données par compte, vérifié à chaque requête ; accès des administrateurs limités et journalisés.
• Sauvegardes de la base toutes les 6 heures, chiffrées, copiées à Francfort avec versionnage et une clé en écriture seule ; restauration testée.
• Interfaces d'administration fermées au public ; blocage des requêtes vers des adresses internes ; fichiers SVG servis sans exécution de script ; limitation du débit sur les points d'entrée sensibles.
• Minimisation : aucune empreinte vocale conservée ; l'enregistrement brut fait pour un clonage est effacé dès que la voix est prête.
• Transparence : chaque image et vidéo rendue porte un marquage IA dans ses métadonnées.

Annexe 3 — Sous-traitants ultérieurs

Les réseaux sociaux sur lesquels le client publie reçoivent ses contenus sur son instruction, comme responsables de traitement distincts : ils ne sont pas des sous-traitants ultérieurs.