Avenant relatif au traitement des données

1. Champ d’application et intégration

Le présent Avenant relatif au traitement des données (le « DPA ») fait partie des Conditions d’utilisation conclues entre EverXCloud Inc., a Delaware corporation (« EverXCloud », « nous ») et le Client professionnel (le « Client », « vous ») et s’applique chaque fois qu’EverXCloud traite des Données personnelles du Client dans le cadre de la fourniture des Services. Il est intégré par référence aux Conditions d’utilisation et prend effet, sans signature, lorsque le Client accepte les Conditions d’utilisation. Un Client qui souhaite obtenir un exemplaire signé peut en faire la demande à [email protected].

Le présent DPA ne s’applique ni aux Clients particuliers utilisant les Services à des fins purement personnelles, ni aux données personnelles qu’EverXCloud traite en qualité de responsable du traitement indépendant (telles que les données de compte, de facturation, de vérification d’identité, de conformité et de support), qui sont régies par la Politique de confidentialité.

2. Définitions

Les termes qui ne sont pas définis dans le présent DPA ont le sens qui leur est donné dans les Conditions d’utilisation.

• « Lois sur la protection des données » désigne l’ensemble des lois relatives au traitement des données personnelles applicables à une partie dans le cadre des Services, y compris, selon le cas, le RGPD, le UK GDPR et le UK Data Protection Act 2018, la loi fédérale suisse sur la protection des données, le CCPA et les autres lois des États américains relatives à la protection de la vie privée.
• « RGPD » désigne le règlement (UE) 2016/679 ; « UK GDPR » désigne le RGPD tel qu’il fait partie du droit du Royaume-Uni.
• « CCPA » désigne le California Consumer Privacy Act of 1999, tel que modifié, et ses règlements d’application.
• « Données personnelles du Client » désigne les données personnelles contenues dans les contenus, fichiers, logiciels, modèles, jeux de données et autres données que le Client ou ses utilisateurs téléversent sur les Instances et autres ressources des Services, y stockent ou traitent au moyen de ceux-ci (le « Contenu du Client »).
• « Sous-traitant ultérieur » désigne tout sous-traitant auquel EverXCloud fait appel pour traiter des Données personnelles du Client, y compris les Fournisseurs.
• « Incident de sécurité » désigne une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de Données personnelles du Client traitées par EverXCloud ou ses Sous-traitants ultérieurs, ou l’accès non autorisé à de telles données.
• « CCT » désigne les clauses contractuelles types figurant en annexe de la décision d’exécution (UE) 2021/914 de la Commission ; « Addendum britannique » désigne l’International Data Transfer Addendum aux CCT publié par l’Information Commissioner du Royaume-Uni.
• Les termes « responsable du traitement », « sous-traitant », « personne concernée », « données personnelles », « traitement », « business », « service provider », « vendre » (sell) et « partager » (share) ont le sens qui leur est donné dans les Lois sur la protection des données applicables.

3. Rôles des parties

S’agissant des Données personnelles du Client, le Client est le responsable du traitement (ou le « business ») et EverXCloud est un sous-traitant (ou un « service provider »). Lorsque le Client agit en qualité de sous-traitant pour le compte d’un responsable du traitement tiers, EverXCloud agit en qualité de sous-traitant ultérieur du Client, et le Client garantit que ses instructions et le recours à EverXCloud ont été autorisés par ce responsable du traitement.

Chaque partie respecte les obligations que lui imposent les Lois sur la protection des données. Le Client est responsable de la licéité du traitement des Données personnelles du Client, notamment de l’existence d’une base juridique pour ce traitement et de la fourniture des informations requises aux personnes concernées, ainsi que de l’exactitude et de la qualité des Données personnelles du Client et des moyens par lesquels elles ont été obtenues.

4. Description du traitement

• Objet : fourniture au Client d’une infrastructure de calcul GPU (Instances, accès réseau et Services associés).
• Nature : hébergement, stockage, calcul et transmission effectués automatiquement par l’infrastructure sur instruction du Client. EverXCloud ne fournit que l’infrastructure : elle n’accède pas au Contenu du Client et ne l’examine, ne l’analyse ni ne l’utilise, sauf dans la mesure nécessaire pour fournir les Services, prévenir ou résoudre un problème de sécurité ou technique, enquêter sur une violation présumée de la Politique d’utilisation acceptable ou se conformer à la loi, dans chaque cas dans les conditions permises par le présent DPA.
• Finalité : exécution des Conditions d’utilisation et des Commandes du Client.
• Durée : la durée des Conditions d’utilisation et la période allant jusqu’à la suppression des Données personnelles du Client conformément à la section 12.
• Catégories de personnes concernées et de données personnelles : déterminées exclusivement par le Client, en fonction du Contenu du Client qu’il choisit de traiter. Le Client ne doit pas traiter au moyen des Services de catégories particulières de données personnelles, de données personnelles relatives aux condamnations pénales et aux infractions, d’informations de santé protégées ou de données de cartes de paiement, sauf s’il a mis en place des garanties appropriées et, lorsque la Politique d’utilisation acceptable l’exige, obtenu l’accord écrit préalable d’EverXCloud.
• Localisation : le centre de données choisi par le Client pour chaque Instance, tel qu’indiqué dans le Portail.

5. Traitement sur instructions documentées

EverXCloud ne traite les Données personnelles du Client que sur instructions documentées du Client, y compris en ce qui concerne les transferts vers un pays tiers, à moins d’y être tenue en vertu d’une loi à laquelle EverXCloud est soumise ; dans ce cas, EverXCloud informe le Client de cette obligation juridique avant le traitement, sauf si cette loi interdit une telle information pour des motifs importants d’intérêt public.

Les Conditions d’utilisation, le présent DPA, la configuration et l’utilisation des Services par le Client ainsi que ses Commandes constituent l’intégralité des instructions du Client. Toute instruction supplémentaire requiert l’accord écrit d’EverXCloud et peut donner lieu à facturation. EverXCloud informe immédiatement le Client si, selon elle, une instruction constitue une violation des Lois sur la protection des données ; elle n’est pas tenue de procéder à un examen juridique du Contenu du Client.

6. Confidentialité

EverXCloud veille à ce que les personnes autorisées à traiter les Données personnelles du Client se soient engagées à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité, et à ce que l’accès soit limité au personnel qui en a besoin pour fournir les Services.

7. Mesures de sécurité

EverXCloud met en œuvre et maintient les mesures techniques et organisationnelles décrites ci-dessous, compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques pour les droits et libertés des personnes physiques. EverXCloud peut mettre à jour ces mesures à condition que le niveau global de sécurité ne soit pas substantiellement réduit.

• Isolation : chaque Instance s’exécute dans un environnement isolé ; le Contenu du Client n’est pas partagé entre Clients.
• Chiffrement et effacement des espaces de travail : les espaces de travail des Instances sont chiffrés au moyen d’une clé aléatoire qui n’est jamais écrite sur disque et qui est détruite à la fin de l’Instance, rendant les données illisibles ; lorsque le chiffrement n’est pas disponible sur un hôte, l’espace de travail est écrasé avant sa suppression.
• Chiffrement en transit : l’accès au Portail et à l’interface de programmation utilise TLS ; l’accès aux Instances utilise SSH ou des connexions chiffrées.
• Chiffrement au repos des données sensibles de la plateforme et des sauvegardes, les clés étant conservées séparément des données chiffrées.
• Contrôle d’accès : accès selon le principe du moindre privilège, authentification multifacteur pour les accès d’administration, comptes individuels et journalisation des actions d’administration.
• Sécurité du réseau : pare-feu, limitation du débit et protection contre les attaques par déni de service par l’intermédiaire de notre prestataire de diffusion de contenu et de sécurité.
• Sécurité opérationnelle : mises à jour de sécurité, surveillance et alertes, gestion des vulnérabilités et procédure documentée de réponse aux incidents.
• Résilience : sauvegardes quotidiennes chiffrées des données de la plateforme stockées hors site ; le Contenu du Client présent sur les Instances n’est pas sauvegardé par EverXCloud, sauf si le Client utilise un Service le prévoyant expressément.
• Sous-traitants ultérieurs et Fournisseurs : obligations contractuelles offrant au moins le même niveau de protection que le présent DPA, y compris l’isolation, l’effacement du stockage entre les locations et la notification des incidents.

Le Client est responsable de la sécurité de son utilisation des Services, notamment de la protection de ses identifiants de compte, clés API et clés SSH, de la configuration sécurisée de ses Instances, du chiffrement du Contenu du Client le cas échéant et de la conservation de ses propres sauvegardes.

8. Sous-traitants ultérieurs

Le Client accorde à EverXCloud une autorisation générale de faire appel à des Sous-traitants ultérieurs, y compris les Fournisseurs exploitant le matériel sur lequel s’exécutent les Instances et les prestataires de services d’infrastructure d’EverXCloud. La liste à jour des Sous-traitants ultérieurs, avec leur localisation et leur fonction, est communiquée au Client sur demande à [email protected].

EverXCloud informe le Client de tout ajout ou remplacement envisagé d’un Sous-traitant ultérieur au moins 15 jours à l’avance, par e-mail ou via le Portail. Le Client peut s’y opposer pour des motifs raisonnables liés à la protection des données en écrivant à [email protected] dans ce délai. Les parties examinent l’opposition de bonne foi ; EverXCloud peut proposer une alternative, telle que l’exécution des charges de travail du Client uniquement dans des sites qui n’ont pas recours au Sous-traitant ultérieur concerné. Si aucune solution n’est trouvée dans un délai de 30 jours, le Client peut résilier les Services concernés et obtenir le remboursement du Solde prépayé non utilisé conformément à la Politique de remboursement et d’annulation, ce qui constitue le seul recours du Client au titre de l’opposition.

Lorsque le Client sélectionne un Fournisseur, un site ou une offre spécifique dans le Portail, cette sélection constitue l’instruction et l’autorisation du Client de recourir au Fournisseur concerné.

EverXCloud impose à chaque Sous-traitant ultérieur, par contrat écrit, des obligations en matière de protection des données offrant au moins le même niveau de protection que le présent DPA, et demeure responsable envers le Client de l’exécution des obligations du Sous-traitant ultérieur conformément aux Lois sur la protection des données et sous réserve de la section 16.

9. Assistance pour les demandes des personnes concernées

Compte tenu de la nature du traitement, EverXCloud aide le Client, par des mesures techniques et organisationnelles appropriées, dans toute la mesure du possible, à s’acquitter de son obligation de donner suite aux demandes des personnes concernées. Le Client ayant la maîtrise du Contenu du Client, il répondra dans la plupart des cas directement aux demandes au moyen des Services. Si EverXCloud reçoit d’une personne concernée une demande relative à des Données personnelles du Client, elle orientera la personne concernée vers le Client lorsque celui-ci est identifiable et n’y répondra pas elle-même, sauf pour confirmer cette orientation ou lorsque la loi l’exige.

10. Assistance en matière de sécurité, d’analyses d’impact et de consultations

Compte tenu de la nature du traitement et des informations à sa disposition, EverXCloud apporte au Client une assistance raisonnable pour garantir le respect de ses obligations relatives à la sécurité du traitement, aux analyses d’impact relatives à la protection des données et à la consultation préalable des autorités de contrôle, notamment en fournissant des informations sur les Services et les mesures décrites à la section 7. Toute assistance allant au-delà de ces informations peut donner lieu à une facturation raisonnable.

11. Incidents de sécurité

EverXCloud informe le Client dans les meilleurs délais, et en tout état de cause dans les 48 heures, après avoir pris connaissance d’un Incident de sécurité. La notification est envoyée à l’adresse e-mail associée au compte du Client et décrit, dans la mesure où ces éléments sont connus, la nature de l’Incident de sécurité, les catégories et le nombre approximatif de personnes concernées et d’enregistrements concernés, les conséquences probables et les mesures prises ou proposées. Lorsque les informations ne peuvent pas être fournies en une seule fois, elles le sont de manière échelonnée sans autre retard indu.

EverXCloud prend des mesures raisonnables pour contenir l’Incident de sécurité, enquêter à son sujet et en atténuer les effets, et coopère avec le Client afin qu’il puisse satisfaire à ses propres obligations de notification. La notification d’un Incident de sécurité ne vaut pas reconnaissance de faute ou de responsabilité. Les tentatives infructueuses ou les activités qui ne compromettent pas la sécurité des Données personnelles du Client, telles que les pings, les balayages de ports ou les tentatives de connexion échouées, ne constituent pas des Incidents de sécurité.

12. Suppression et restitution

Le Client peut récupérer le Contenu du Client à tout moment pendant la durée du contrat au moyen des Services. À la fin d’une Instance, son espace de travail est détruit comme décrit à la section 7. EverXCloud ne fournit pas de stockage persistant. Tout autre Contenu du Client stocké est supprimé conformément aux Conditions d’utilisation, et au plus tard dans les 30 jours suivant la résiliation des Conditions d’utilisation, sauf si une loi à laquelle EverXCloud est soumise exige une conservation plus longue.

Le Contenu du Client supprimé ne peut pas être récupéré. Il appartient au Client de récupérer le Contenu du Client avant la fin d’une Instance.

13. Informations et audits

EverXCloud met à la disposition du Client les informations nécessaires pour démontrer le respect du présent DPA et de l’article 28 du RGPD et du UK GDPR. Le Client accepte d’exercer ses droits d’audit en premier lieu en examinant ces informations, y compris les réponses écrites à des questionnaires de sécurité raisonnables et tout rapport d’audit établi par un tiers qu’EverXCloud aurait obtenu.

Si ces informations ne suffisent pas à démontrer la conformité, ou lorsqu’une autorité de contrôle l’exige, le Client peut réaliser, lui-même ou par l’intermédiaire d’un auditeur indépendant tenu à la confidentialité et qui n’est pas un concurrent d’EverXCloud, un audit ou une inspection, au plus une fois par période de douze mois (sauf à la suite d’un Incident de sécurité affectant le Client ou à la demande d’une autorité de contrôle), moyennant un préavis écrit d’au moins 30 jours, pendant les heures ouvrables, sans perturber les Services et sous réserve de la protection des informations confidentielles d’EverXCloud, de ses autres clients et des Fournisseurs. Le Client supporte les coûts de l’audit et rembourse les coûts raisonnables d’EverXCloud. Les audits des Fournisseurs sont réalisés au moyen des droits d’information et d’audit dont EverXCloud dispose en vertu de ses contrats avec eux.

14. Transferts internationaux

EverXCloud est établie aux États-Unis et traite les Données personnelles du Client aux États-Unis et dans les sites choisis par le Client. Le Client autorise les transferts de Données personnelles du Client vers les États-Unis et vers les lieux où se trouvent les Sous-traitants ultérieurs, sous réserve de la présente section.

Dans la mesure où le traitement effectué par EverXCloud implique un transfert de Données personnelles du Client soumises au RGPD vers un pays qui ne bénéficie pas d’une décision d’adéquation, les CCT sont intégrées par référence au présent DPA et s’appliquent comme suit : le module 2 (responsable du traitement à sous-traitant) lorsque le Client est responsable du traitement, et le module 3 (sous-traitant à sous-traitant) lorsque le Client est sous-traitant ; le Client est l’exportateur de données et EverXCloud l’importateur de données ; la clause 7 (clause d’adhésion) s’applique ; au titre de la clause 9, point a), l’option 2 (autorisation écrite générale) s’applique avec le délai de préavis prévu à la section 8 ; la formulation facultative de la clause 11, point a), ne s’applique pas ; au titre de la clause 13, l’autorité de contrôle compétente est déterminée conformément à cette clause ; au titre de la clause 17, les CCT sont régies par le droit irlandais ; au titre de la clause 18, les litiges sont tranchés par les juridictions irlandaises ; l’annexe I est complétée par les sections 3 et 4 du présent DPA et par les informations du compte du Client ; l’annexe II est complétée par la section 7 ; l’annexe III est complétée par la liste mentionnée à la section 8.

Pour les transferts soumis au UK GDPR, l’Addendum britannique est intégré par référence et complété par les informations ci-dessus ; aucune des parties ne peut mettre fin à l’Addendum britannique en vertu de sa section 19. Pour les transferts soumis à la loi fédérale suisse sur la protection des données, les CCT s’appliquent moyennant les adaptations nécessaires, le Préposé fédéral à la protection des données et à la transparence étant l’autorité de contrôle compétente et les références aux États membres incluant la Suisse.

En cas de contradiction entre les CCT ou l’Addendum britannique et le présent DPA ou les Conditions d’utilisation, les CCT ou l’Addendum britannique prévalent. EverXCloud peut remplacer le mécanisme de transfert ci-dessus par un autre mécanisme reconnu par les Lois sur la protection des données, y compris une certification au titre du cadre de protection des données UE-États-Unis (EU-U.S. Data Privacy Framework), moyennant notification au Client.

15. Dispositions relatives au « service provider » au sens du CCPA

Dans la mesure où les Données personnelles du Client comprennent des informations personnelles soumises au CCPA ou à une loi similaire d’un État américain relative à la protection de la vie privée, EverXCloud agit en qualité de « service provider » (ou de sous-traitant) et les traite pour la finalité professionnelle limitée et déterminée consistant à fournir les Services décrits dans les Conditions d’utilisation. EverXCloud s’interdit :

• de vendre ou de partager les informations personnelles ;
• de conserver, d’utiliser ou de communiquer les informations personnelles à toute autre fin, y compris toute fin commerciale, que les finalités professionnelles précisées dans le présent DPA, ou en dehors de la relation d’affaires directe entre EverXCloud et le Client, sauf dans la mesure permise par le CCPA ;
• de combiner les informations personnelles avec des informations personnelles qu’elle reçoit d’une autre personne ou pour le compte de celle-ci, ou qu’elle collecte dans le cadre de ses propres interactions avec des consommateurs, sauf dans la mesure permise par le CCPA.

EverXCloud respecte les obligations qui lui incombent en vertu du CCPA et assure le même niveau de protection de la vie privée que celui exigé par le CCPA. Elle informe le Client si elle constate qu’elle n’est plus en mesure de respecter ses obligations. Le Client peut prendre des mesures raisonnables et appropriées, conformément à la section 13, pour s’assurer qu’EverXCloud utilise les informations personnelles d’une manière compatible avec les obligations du Client et, après notification, pour faire cesser et corriger toute utilisation non autorisée. EverXCloud certifie qu’elle comprend les restrictions de la présente section et qu’elle s’y conformera.

16. Responsabilité

La responsabilité de chaque partie découlant du présent DPA ou s’y rapportant, y compris au titre des CCT dans la mesure où celles-ci le permettent, est soumise aux exclusions et limitations de responsabilité prévues dans les Conditions d’utilisation, qui s’appliquent globalement à l’ensemble des réclamations au titre des Conditions d’utilisation et du présent DPA. Aucune disposition de la présente section ne limite les droits des personnes concernées au titre des CCT ni toute responsabilité qui ne peut être limitée en vertu de la loi applicable.

17. Durée, ordre de priorité et modifications

Le présent DPA reste en vigueur aussi longtemps qu’EverXCloud traite des Données personnelles du Client pour le compte du Client.

En cas de contradiction, l’ordre de priorité suivant s’applique : les CCT et l’Addendum britannique, le cas échéant ; puis le présent DPA ; puis les Conditions d’utilisation et les autres politiques qu’elles intègrent. Le présent DPA prévaut sur les Conditions d’utilisation pour toutes les questions relatives au traitement des Données personnelles du Client.

EverXCloud peut modifier le présent DPA lorsqu’une modification des Lois sur la protection des données, une décision d’une autorité de contrôle ou d’une juridiction, ou une modification des Services ne réduisant pas substantiellement la protection des Données personnelles du Client l’exige, en publiant la version mise à jour et en en informant le Client au moins 30 jours à l’avance. Le présent DPA est régi par la loi qui régit les Conditions d’utilisation, à l’exception des CCT et de l’Addendum britannique, qui sont régis par la loi qu’ils désignent.

Date d’entrée en vigueur : 19 octobre 2026. Version 2026-10-19.