Accord de sous-traitance (article 28 RGPD), hébergement, sécurité et confidentialité.
Version 1.8, à jour du 14 juin 2026
La présente annexe complète et fait partie intégrante des Conditions Générales de Service Azuro AI. Elle vaut accord de sous-traitance au sens de l'article 28 du Règlement (UE) 2016/679 (RGPD) et précise les modalités de traitement des données, d'hébergement, de sécurité et de confidentialité applicables au Service. Elle est mise à disposition du Client en annexe des Conditions Générales et lui est transmise sur demande.
Les termes commençant par une majuscule ont le sens qui leur est donné dans les Conditions Générales.
Le Client est responsable de traitement : il détermine les finalités et les moyens des traitements qu'il met en oeuvre au moyen de l'AIOS, ainsi que les données qu'il y dépose et y crée. Azuro est sous-traitant : il traite les données pour le compte du Client, dans la limite de la fourniture du Service, sans en déterminer les finalités.
Azuro s'engage à :
Le Client s'engage à disposer d'une base légale pour les traitements qu'il met en oeuvre, à ne donner que des instructions licites, à informer les personnes concernées lorsque cela est requis, et à ne déposer dans l'AIOS que des données qu'il est en droit de traiter.
Pour la fourniture du Service, Azuro recourt aux sous-traitants suivants :
Azuro se réserve le droit de faire évoluer ces sous-traitants dans les conditions de l'article 2.3.
Le modèle d'intelligence artificielle utilisé par l'AIOS est, à ce jour, celui d'Anthropic (Claude). Il est mobilisé au moyen de l'abonnement personnel du Client auprès de ce fournisseur. La relation relative à ce service, ainsi que les conditions qui lui sont applicables, relèvent du Client et du fournisseur.
Azuro n'utilise pas le contenu du Client pour entraîner un quelconque modèle d'intelligence artificielle. Les conditions applicables à l'utilisation des données par le fournisseur du modèle, y compris en matière d'entraînement, relèvent des conditions de ce fournisseur applicables à l'abonnement du Client.
Azuro se réserve le droit de prendre en charge d'autres fournisseurs de modèle d'IA.
Azuro informe le Client de tout projet de changement concernant ses sous-traitants ultérieurs. Le Client peut s'y opposer pour un motif légitime.
Azuro et les personnes qui interviennent pour son compte sont tenus à une obligation de confidentialité sur les données du Client. Cette obligation survit à la fin de la relation contractuelle.
L'accès d'Azuro au VPS du Client est limité au strict nécessaire aux opérations de maintenance et de correction d'anomalies. Les données d'un Client ne sont pas accessibles depuis l'instance d'un autre Client (cloisonnement). Conformément aux Conditions Générales, cet accès peut être interrompu à la demande du Client.
L'AIOS est déployé sur un VPS dédié au Client (architecture isolée, un serveur par Client). L'hébergement est situé en France par défaut. Un autre emplacement peut être retenu à la demande du Client, dans la limite des emplacements disponibles.
Les communications entre le Client, l'AIOS et les services tiers sont chiffrées en transit (HTTPS / TLS). Les connexions en clair sont redirigées vers le canal chiffré.
La protection des données stockées sur le VPS du Client repose sur une défense en couches :
L'accès à l'application est protégé par les mesures suivantes :
Le Service comprend un dispositif de sauvegarde à plusieurs niveaux, destiné à permettre la récupération des données en cas de perte :
Ces sauvegardes sont activées par défaut et peuvent être désactivées à la simple demande du Client.
Les durées de conservation appliquées sont les suivantes :
Ces durées sont appliquées automatiquement.
À tout moment en cours de relation, le Client peut exporter lui-même depuis l'application, et sans intervention d'Azuro, l'intégralité de ses données (Workspace, conversations, paramètres, mémoire, pièces jointes et historique d'acceptation des documents contractuels), sous la forme d'une archive en formats ouverts. Cette fonction demeure disponible y compris en cas d'abonnement expiré, afin de garantir la réversibilité.
Au terme de la relation, Azuro restitue en outre au Client l'intégralité du contenu de son VPS (Workspace et AIOS tel que configuré par le Client), en formats ouverts.
Au terme de la relation, ou à la demande du Client en cours de relation, Azuro procède à la suppression définitive des données, après confirmation du Client. Lorsque la demande intervient en cours de relation, la suppression est réalisée dans un délai maximum de trente (30) jours. Une attestation de suppression est remise au Client.
Le Client peut, depuis l'application, demander la suppression de l'ensemble de ses données. La demande fait l'objet d'une confirmation préalable (avec possibilité d'exporter d'abord ses données), reste annulable tant qu'elle n'a pas été exécutée, et donne lieu à la remise d'une attestation de suppression dans les conditions de l'article 5.3.
En cas de violation de données susceptible d'affecter les données du Client, Azuro en informe le Client dans les meilleurs délais et l'assiste, dans la mesure du possible, dans la gestion de l'incident.
La présente annexe s'applique pendant toute la durée des Conditions Générales, auxquelles elle est subordonnée et dont elle suit le sort. Les engagements de confidentialité survivent à son terme.