Annexe — traitement de données pour le compte du Client

Annexe aux conditions Soluax, version du 2 octobre 2026. Parties : le Client identifié lors de la création de son compte, agissant en qualité de responsable de traitement ou de sous-traitant pour ses propres clients, et l'Éditeur, AXIIZ, société par actions simplifiée à associé unique au capital de 100 €, immatriculée au RCS de Montpellier sous le numéro 881 813 174, dont le siège est situé 222 place Ernest Granier, 34000 Montpellier (TVA intracommunautaire FR50881813174). Cette annexe s'applique à compter de l'acceptation des conditions Soluax par le Client.

1. Instructions et description

Le Client confie à l'Éditeur le traitement des rapports de sauvegarde et métadonnées strictement nécessaires au service. Opérations : réception native par email via Mailgun en région UE, import texte/CSV ou webhook, expurgation, classement déterministe, conservation limitée, présentation, export et suppression. La réception native ne requiert pas n8n ; un workflow n8n reste une option historique facultative sous le contrôle du Client. L'explication IA est facultative : sur demande expresse de l'utilisateur, l'Éditeur transmet le statut et les 2 000 premiers caractères filtrés du rapport au seul fournisseur choisi par cet utilisateur parmi Mistral AI, OpenAI et Anthropic.

Finalité : faciliter la vérification opérationnelle des rapports reçus. Durée : celle du contrat et des opérations de suppression prévues. Personnes possibles : utilisateurs du Client, expéditeurs des rapports et, si présents dans un journal, utilisateurs de ses clients finaux. Données possibles : adresses expéditeur/destinataire, objet et en-têtes email, corps de rapport avant expurgation pendant sa réception, éventuelles pièces jointes pendant leur transit, alias/libellés de machines, identifiants professionnels résiduels, horodatages, états de tâches et messages d'erreur. Les pièces jointes ne sont pas analysées ni archivées dans la base Soluax. Aucune donnée sensible ni secret d'accès n'est requis.

Le Client documente les instructions et dispose des autorisations nécessaires. L'Éditeur traite les données uniquement sur ces instructions, y compris pour les transferts, sauf obligation légale dont il informe le Client si la loi le permet. Il signale sans délai une instruction qui lui paraît contraire au droit des données personnelles.

2. Confidentialité et sécurité

Les personnes autorisées sont tenues à confidentialité et formées à leur périmètre. L'Éditeur applique des mesures proportionnées : droits d'accès, isolation des comptes, stockage des secrets côté serveur, HTTPS, minimisation, absence de corps de rapports dans les logs techniques, export et suppression, limitation de requêtes et gestion des incidents. Le détail des mesures en place et la date des derniers contrôles sont communiqués au Client sur demande.

Le texte des rapports est filtré et limité à 20 000 caractères ; cette opération n'est pas une garantie d'anonymisation. Pour un email entrant, le message transite brut chez Mailgun et jusqu'au serveur de réception avant ce filtrage. Le transfert direct est privilégié sans archivage applicatif du message brut ; les rétentions techniques du prestataire de réception sont précisées dans la politique. L'historique est limité à 90 jours ; les éléments expirés sont supprimés lors du passage quotidien de conservation, exécuté par la tâche planifiée, normalement dans les 24 heures suivant leur expiration. Les messages reçus sur une adresse client sans pouvoir être affectés à une tâche sont supprimés après 30 jours, qu'ils aient ou non été affectés depuis. L'explication IA requiert une action de l'utilisateur et ne transmet que les 2 000 premiers caractères filtrés. Les tickets résolus sont supprimés 36 mois après leur résolution et le journal d'envoi des alertes après 90 jours ; les tickets ouverts sont conservés jusqu'à leur résolution. Le Client reste responsable de la minimisation des données transmises, y compris dans les notes qu'il saisit.

3. Sous-traitants et transferts

Le Client autorise les sous-traitants nommés dans la politique de confidentialité et sa version en vigueur à la date d'acceptation des conditions, dans leur périmètre. Tout ajout ou remplacement susceptible de traiter ses données est annoncé au moins trente jours avant, sauf urgence justifiée. Le Client peut formuler une objection motivée relative à la protection des données ; les parties recherchent une solution, puis une résiliation du périmètre concerné si aucune solution raisonnable n'est possible.

L'Éditeur impose des obligations de protection substantiellement équivalentes et demeure responsable de l'exécution des obligations de ses sous-traitants. Les transferts hors EEE sont encadrés par le mécanisme légal approprié, documenté avec ses garanties et analyses requises. Le choix de l'Irlande (UE) pour la base et de Mailgun EU pour les messages entrants ne vaut pas engagement d'absence de tout transfert international, notamment pour certaines données de compte, métadonnées, facturation et opérations d'assistance.

Les destinations Slack ou Microsoft Teams sont choisies et fournies par le Client, qui les utilise dans le cadre de son propre contrat avec ces services. Elles ne sont pas des sous-traitants de l'Éditeur : sur instruction du Client, l'Éditeur y transmet uniquement le titre de l'alerte, les noms du client et de la tâche, leur état et un lien vers le tableau de bord, sans contenu de rapport. La localisation, la conservation et les transferts des messages reçus relèvent du contrat du Client avec ce service.

4. Assistance et incidents

L'Éditeur aide le Client à répondre aux demandes d'exercice des droits, à apprécier et réaliser les analyses d'impact requises et à remplir ses obligations de sécurité et notification, selon la nature du traitement et les informations disponibles.

En cas de violation concernant les données confiées, il avertit le Client sans retard indu après en avoir pris connaissance, à l'adresse e-mail du compte du Client ou à tout contact incident qu'il a désigné par écrit. Contact incident de l'Éditeur : support@soluax.ai. Il fournit progressivement les informations disponibles sur les faits, données/personnes touchées, conséquences, mesures prises et contact de suivi. Il ne notifie pas une autorité ou des personnes au nom du Client sans instruction ou obligation légale.

5. Fin du traitement

Le Client peut exporter ses données avant suppression. À son choix, les données sont restituées ou supprimées en fin de prestation, sauf obligation légale de conservation. Les copies de sauvegarde expirent dans le délai déclaré dans la politique, sont isolées des usages courants et ne servent qu'à la reprise ; toute restauration réapplique les suppressions. Ce délai dépend du cycle de sauvegarde du plan Supabase souscrit et est communiqué au Client sur demande.

6. Justification et audit

L'Éditeur met à disposition les informations nécessaires pour démontrer ses obligations et permet des audits raisonnables par le Client ou son auditeur, sous confidentialité, avec préavis approprié sauf incident/urgence et en protégeant les données des autres clients. Les modalités pratiques et coûts proportionnés sont convenus sans empêcher l'exercice effectif du droit d'audit.

Cette annexe est acceptée par le Client en même temps que les conditions Soluax, lors de la création de son compte ou de sa souscription.