ADDENDUM RELATIF AU TRAITEMENT DES DONNÉES

Dernière mise à jour : 9 avril 2026

Le présent avenant relatif au traitement des données (« ATD ») complète le Conditions d'utilisation d'APIANT (le « Contrat ») entre Apiant, Inc. (« APIANT », « nous », « notre » ou « nos ») et le client (« Client », « vous » ou « votre ») et régit le traitement des données personnelles par APIANT pour le compte du Client dans le cadre des Services, y compris les données traitées via l'infrastructure serveur MCP (Model Context Protocol) du Client.

Le présent accord de protection des données (APD) s'applique dans la mesure où APIANT traite des données personnelles pour le compte du Client en tant que sous-traitant (ou prestataire de services, selon le cas en vertu des lois américaines applicables en matière de protection de la vie privée). En cas de conflit entre le présent APD et le Contrat, le présent APD prévaudra en ce qui concerne le traitement des données personnelles.

1. Définitions

« Données personnelles » désigne toute information relative à une personne physique identifiée ou identifiable traitée par APIANT pour le compte du Client via les Services.

"Traitement" désigne toute opération effectuée sur des données personnelles, y compris la collecte, l'enregistrement, l'organisation, le stockage, l'adaptation, la récupération, la consultation, l'utilisation, la divulgation, la combinaison, la limitation, l'effacement ou la destruction.

« Sous-processeur » désigne toute tierce partie mandatée par APIANT pour traiter des données personnelles au nom du Client.

« Lois sur la protection des données » désigne l'ensemble des lois et réglementations applicables en matière de confidentialité et de protection des données, y compris le Règlement général sur la protection des données (RGPD) de l'UE, le RGPD du Royaume-Uni, la loi californienne sur la protection de la vie privée des consommateurs (CCPA) telle que modifiée par la loi californienne sur les droits à la vie privée (CPRA), la loi de Virginie sur la protection des données des consommateurs (VCDPA) et toute autre loi applicable des États américains en matière de protection de la vie privée.

« Infrastructure serveur MCP » désigne le ou les serveurs compatibles MCP que le Client déploie sur son infrastructure APIANT dédiée (y compris son ou ses propres noms de domaine), par l'intermédiaire desquels les utilisateurs finaux du Client peuvent interagir avec la Plateforme via des plateformes d'IA tierces.

2. Portée et rôles

2.1 En ce qui concerne les Données Personnelles traitées par le biais des Services, le Client est le responsable du traitement (ou l'entreprise, selon le cas) et APIANT est le sous-traitant (ou le prestataire de services, selon le cas).

2.2 APIANT traite les Données Personnelles exclusivement pour le compte du Client et conformément à ses instructions documentées. L’utilisation des Services par le Client, y compris la configuration des automatisations et le traitement des données via son infrastructure serveur MCP, constitue une instruction documentée aux fins du présent Accord de Protection des Données (APD).

2.3 APIANT ne traitera les Données Personnelles à aucune autre fin que la fourniture des Services, sauf si la loi applicable l'exige. Dans ce cas, APIANT informera le Client de cette obligation légale avant tout traitement, à moins que la loi n'interdise une telle notification.

3. Catégories de données traitées

3.1 Services de plateforme

Lorsque le Client utilise directement la Plateforme, APIANT peut traiter les catégories de Données Personnelles suivantes, en fonction de la configuration du Client :

Informations de contact (noms, adresses e-mail, numéros de téléphone)
Identifiants de compte et jetons d'authentification
Données commerciales transmises entre applications tierces
Toute autre donnée que le Client choisit de traiter via la Plateforme

3.2 Infrastructure serveur MCP

Lorsque les données sont traitées via l'infrastructure serveur MCP du client, APIANT (en tant que fournisseur de la plateforme sous-jacente) peut traiter :

Identifiants d'authentification (tels que les jetons OAuth 2.0) utilisés pour vérifier l'identité et autoriser l'accès au serveur MCP du client
Paramètres d'appel d'outil: les entrées structurées transmises par une plateforme d'IA au serveur MCP du client pour exécuter les actions demandées
Réponses aux appels d'outils: les résultats renvoyés par le serveur MCP du client à la plateforme d'IA

APIANT fait pas Recevoir ou traiter l'intégralité du texte des conversations des utilisateurs finaux avec les plateformes d'IA. Seules les données structurées d'appel d'outil nécessaires à l'exécution de l'action demandée sont traitées sur le serveur APIANT du client.

4. Conservation et suppression des données

4.1 APIANT conserve les Données Personnelles traitées par le biais des Services pendant toute la durée du Contrat, sauf si le Client demande leur suppression anticipée.

4.2 Pour les données traitées via l'infrastructure serveur MCP en particulier :

jetons d'authentification sont conservées en mémoire pendant toute la durée de la session et ne sont pas maintenues après la déconnexion.
journaux d'appels d'outils (paramètres et réponses) peuvent être conservés jusqu'à quatre-vingt-dix (90) jours à des fins de débogage et d'exploitation, après quoi ils sont automatiquement purgés.
Aucun profil utilisateur sont construites à partir des données d'interaction MCP.

4.3 Dans les trente (30) jours suivant l'expiration ou la résiliation du Contrat, APIANT supprimera ou restituera toutes les Données Personnelles en sa possession ou sous son contrôle, sauf dans la mesure où la conservation est requise par la loi applicable.

4.4 Le client peut demander la suppression de ses données personnelles à tout moment en contactant privacy@apiant.com. APIANT se conformera à ces demandes dans un délai de trente (30) jours, sous réserve de toute obligation légale de conservation.

5. Aucune formation sur les données clients

APIANT fait pas Nous nous engageons à ne pas utiliser les Données personnelles, les Données utilisateur, les paramètres d'appel d'outils, les réponses aux appels d'outils ni aucune autre donnée client pour entraîner des modèles d'intelligence artificielle, des modèles d'apprentissage automatique ou tout autre système de décision automatisé. Ceci s'applique à toutes les données traitées via la Plateforme, l'Infrastructure serveur MCP et tout autre composant des Services.

6. Sous-processeurs

6.1 Le client autorise APIANT à faire appel aux sous-traitants suivants pour l'aider à fournir les Services :

Sous-processeur	But	Emplacement
Amazon Web Services (AWS)	Infrastructure cloud et hébergement	Etats-Unis
Récursivement	Traitement de la facturation et des paiements	Etats-Unis
Google (Google Analytics)	Analyse du site web	Etats-Unis
HubSpot	Gestion de la relation client et communications	Etats-Unis
Smartlook	Enregistrement des sessions et analyse de l'expérience utilisateur (site web uniquement, données hors plateforme)	UE (République tchèque)
Splunk	Surveillance et journalisation des performances de la plateforme	Etats-Unis

6.2 APIANT informera le Client de toute modification prévue concernant les Sous-traitants en mettant à jour le présent Accord de Protection des Données (APD). Le Client peut s'opposer à la désignation d'un nouveau Sous-traitant en contactant APIANT. legal@apiant.com dans les trente (30) jours suivant la notification.

6.3 APIANT conclura avec chaque sous-traitant des accords écrits lui imposant des obligations de protection des données au moins aussi protectrices que celles énoncées dans le présent accord de protection des données.

7. Mesures de sécurité

APIANT met en œuvre et maintient des mesures techniques et organisationnelles appropriées pour protéger les données personnelles, notamment :

Chiffrement en transit : Toutes les données transmises vers et depuis les serveurs d'APIANT, y compris les communications avec le serveur MCP, sont chiffrées à l'aide du protocole HTTPS/TLS.
Chiffrement au repos : Les données personnelles stockées sur l'infrastructure d'APIANT sont chiffrées au repos à l'aide d'un chiffrement conforme aux normes de l'industrie.
Contrôles d'accès : L'accès aux données personnelles est limité au personnel autorisé et uniquement lorsqu'il en a besoin pour l'exercice de ses fonctions.
Authentification : La plateforme requiert un accès authentifié. L'infrastructure serveur MCP requiert une authentification OAuth 2.0 ou équivalente.
Surveillance: APIANT surveille ses systèmes afin de détecter les incidents de sécurité et les accès non autorisés.
Réponse à l'incident : APIANT dispose d'une procédure de réponse aux incidents et informera le Client sans délai indu (et en tout état de cause dans les 72 heures) dès qu'il aura connaissance d'une violation de données personnelles.
Infrastructure: La plateforme est hébergée sur l'infrastructure d'Amazon Web Services (AWS), qui détient les certifications SOC 2, ISO 27001 et autres certifications sectorielles.

8. Droits des personnes concernées

8.1 APIANT aidera le Client à répondre aux demandes des personnes concernées en vertu des lois applicables en matière de protection des données, y compris les demandes d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition au traitement.

8.2 Si APIANT reçoit une demande directement d'une personne concernée par des données personnelles traitées pour le compte du Client, APIANT redirigera rapidement la personne concernée vers le Client et informera ce dernier de la demande, sauf si la loi l'interdit.

8.3 APIANT apportera une coopération et une assistance raisonnables au Client pour répondre aux demandes des personnes concernées, en tenant compte de la nature du Traitement.

9. Transferts internationaux de données

9.1 L'infrastructure principale d'APIANT est située aux États-Unis. En utilisant les Services, le Client autorise le transfert de ses Données Personnelles vers les États-Unis.

9.2 Dans la mesure où tout transfert de données personnelles de l'Espace économique européen (EEE), du Royaume-Uni ou de la Suisse vers les États-Unis constitue un transfert restreint en vertu des lois applicables en matière de protection des données, ce transfert sera soumis aux clauses contractuelles types (CCT) adoptées par la Commission européenne (module deux : du responsable du traitement au sous-traitant), qui sont incorporées aux présentes par référence.

9.3 Le client peut demander une copie du mécanisme de transfert applicable en contactant legal@apiant.com.

10. Conformité au CCPA et aux lois américaines sur la protection de la vie privée des États

10.1 Dans la mesure où APIANT traite des données personnelles soumises au CCPA ou à d'autres lois américaines sur la protection de la vie privée des États, APIANT agit en tant que « fournisseur de services » (tel que défini dans le CCPA) ou joue un rôle équivalent en vertu de la loi étatique applicable.

10.2 APIANT ne vendra ni ne partagera (au sens du CCPA) les données personnelles reçues du client.

10.3 APIANT ne conservera, n'utilisera ni ne divulguera les Données Personnelles à aucune autre fin que la fourniture des Services, y compris à des fins commerciales autres que la fourniture des Services.

10.4 APIANT ne combinera pas les données personnelles reçues du client avec les informations personnelles reçues d'autres sources, sauf dans les limites autorisées par la loi applicable pour la fourniture des services.

10.5 APIANT certifie qu'elle comprend et respectera les restrictions énoncées dans la présente section 10.

11. Audits

11.1 APIANT mettra à la disposition du Client, sur demande raisonnable et pas plus d'une fois par période de douze (12) mois, les informations nécessaires pour démontrer la conformité au présent DPA.

11.2 Le Client peut, moyennant un préavis écrit de trente (30) jours, faire réaliser un audit des activités de traitement des données d'APIANT ou désigner un auditeur tiers qualifié à cette fin. Ces audits seront effectués pendant les heures ouvrables normales et ne devront pas perturber indûment les opérations d'APIANT. Les frais liés à ces audits seront à la charge du Client.

12. Durée et résiliation

Le présent accord de protection des données (APD) restera en vigueur pendant toute la durée du contrat. Les obligations d'APIANT au titre du présent APD concernant les données personnelles en sa possession ou sous son contrôle survivront à la résiliation du contrat jusqu'à ce que toutes les données personnelles aient été supprimées ou restituées conformément à l'article 4.

13. Contact

Pour toute question ou demande relative à cet accord de protection des données, veuillez contacter :

Apiant, Inc.
196 W Ashland St, Doylestown
Doylestown, PA 18901
Etats-Unis

E-mail: privacy@apiant.com
Légal: legal@apiant.com