Cette traduction est fournie pour faciliter la lecture. En cas de divergence, la version anglaise fait foi. Version anglaise

AVE17 LTD

Accord de traitement des données

Exigé par l'article 28 du UK GDPR lorsqu'une organisation traite des données personnelles pour une autre. Fourni gratuitement et applicable à chaque client sans demande préalable.

1. Parties et rôles

Ce document est publié par AVE17 LTD et régit les commandes sur ave17.com, ave17.de, ave17.fr, ave17.es, ave17.it, ave17.uk, ave17.us, ave17.ca ou ave17.eu. ave17.ge est un vendeur distinct, soumis à un autre droit. Ce domaine n’est pas exploité par AVE17 LTD. Rien n’y est encore vendu. Ses propres informations y seront publiées.

Responsable du traitement: Vous, le client. Vous décidez pourquoi et comment les données personnelles de votre déploiement sont traitées.
Sous-traitant: AVE17 LTD, immatriculée en England and Wales, numéro 17254143, 128 City Road, London, EC1V 2NX. Enregistrement ICO ZC225076.

Cet accord est conclu selon l'article 28 du UK GDPR et le Data Protection Act 2018. Responsable du traitement, sous-traitant, données personnelles, traitement et personne concernée ont le sens de l'article 4. Il est écrit sous forme électronique, comme le permet l'article 28(9). Il fait partie de nos conditions de service et prend effet au démarrage du service. En cas de conflit sur la protection des données, il prévaut.

2. Ce qui est traité et pourquoi

Objet: Exploitation de l'infrastructure que vous nous avez demandé de gérer.
Durée: Pendant la durée du service, plus le délai de suppression de la section 9.
Nature et finalité: Installation, configuration, maintenance, surveillance, sauvegarde, restauration et diagnostic des pannes. Rien d'autre.
Personnes concernées: Vos utilisateurs et toute personne avec laquelle ils communiquent par le déploiement.
Catégories de données: Identifiants de compte et données de profil ; messages, fichiers et médias stockés par le déploiement ; métadonnées de connexion, dont adresses et horodatages ; journaux produits par le logiciel.
Catégories particulières de données: Nous ne les traitons pas sciemment. Si votre utilisation en implique, prévenez-nous avant le début du service pour permettre l'évaluation du dispositif.

En cas de chiffrement de bout en bout, le contenu des conversations chiffrées nous est entièrement inaccessible. Toutes les autres données ci-dessus sont techniquement accessibles à l'administrateur du serveur, donc à nous pendant la maintenance.

3. Nos obligations

Nous traitons les données personnelles uniquement selon vos instructions documentées, dont cet accord, vos demandes d'assistance et vos instructions sur les transferts hors du Royaume-Uni
Si nous estimons qu'une instruction enfreint le droit de la protection des données, nous vous le disons et ne l'exécutons pas
Toute personne disposant d'un accès est tenue à la confidentialité, même après la fin de sa mission
Nous maintenons et réexaminons les mesures de sécurité de la section 6
Nous vous aidons raisonnablement à répondre aux demandes des personnes concernées, aux analyses d'impact et aux consultations de l'autorité de contrôle
Nous vous signalons les violations de données personnelles dans les meilleurs délais, selon la section 8
Nous effaçons ou restituons les données à la fin, selon la section 9
Nous vous fournissons les éléments nécessaires pour démontrer la conformité et nous soumettons aux audits de la section 10

Si le droit britannique exige un traitement non demandé de vos données, nous vous indiquons cette exigence avant de l'exécuter, sauf si la même loi interdit cette information pour des motifs importants d'intérêt public.

4. Sous-traitants ultérieurs

Vous donnez une autorisation générale pour les sous-traitants ultérieurs ci-dessous. Nous restons pleinement responsables de leurs actes et omissions.

OVH: OVH SAS, France. Fournit l'infrastructure physique et l'exploitation du centre de données. Les données restent dans l'EEE.

Chaque sous-traitant ultérieur est lié par un contrat écrit lui imposant les mêmes obligations de protection des données que les nôtres, sans réduction. S'il manque à ces obligations, c'est à nous d'en répondre, pas à vous de le poursuivre. Sur votre infrastructure, il n'y a aucun sous-traitant ultérieur : la machine est la vôtre et nous y intervenons. Avant tout ajout ou remplacement, nous vous avertissons par écrit avec 30 jours de préavis à l'adresse prévue pour les notifications au contrat. Il n'y a ni liste d'abonnement ni flux : la notification vous est envoyée, pas publiée pour que vous la cherchiez. Si vous formulez pendant ce délai une objection raisonnable liée à la protection des données, vous pouvez mettre fin au service concerné sans pénalité.

5. Transferts internationaux

Notre infrastructure se trouve en France (EEE), chez OVH SAS. Les systèmes sont administrés à distance par le directeur ; l’accès reste au sein d’AVE17 LTD.

6. Mesures de sécurité

Voici les mesures réellement appliquées, décrites assez clairement pour être vérifiées :

Seuls les ports nécessaires au déploiement sont ouverts ; le pare-feu ferme tous les autres
Blocage automatique des tentatives de connexion échouées répétées et des acteurs malveillants connus
Accès administratif SSH uniquement par clés, sans mots de passe, et sécurisation bien au-delà des valeurs par défaut
Composants isolés au niveau du système d'exploitation et conteneurs sans privilèges inutiles
Chiffrement en transit partout, avec certificats renouvelés selon un calendrier et surveillés
Sauvegardes planifiées et chiffrées, avec restauration testée plutôt que supposée
Chaque connexion et commande administrative est consignée dans les journaux de votre serveur, consultables par vous
La maintenance rétablit une configuration connue et fonctionnelle ; les changements non documentés ne persistent pas
Accès retiré sur demande entre les interventions

L'automatisation est ouverte et ses actions apparaissent dans votre propre journal d'audit.

7. Vos obligations

Vous confirmez disposer d'une base juridique pour le traitement demandé
Vous fournissez à vos utilisateurs les informations de confidentialité auxquelles ils ont droit
Vous ne nous transmettez pas de données personnelles par des canaux étrangers au service
Vous nous avertissez avant d'introduire des données de catégories particulières ou des données d'enfants

8. Violations de données personnelles

Si nous apprenons une violation touchant vos données personnelles, nous vous avertissons dans les meilleurs délais et au plus tard sous 24 heures après en avoir pris connaissance. La notification décrit les faits, les données et le nombre approximatif de personnes touchées, les conséquences probables et nos mesures.

En tant que responsable du traitement, vous décidez de notifier l'autorité et les personnes concernées. Nous vous fournissons les éléments nécessaires pour décider et respecter votre propre délai de 72 heures.

9. Effacement et restitution

À la fin du contrat, nous transférons le déploiement en l'état : base de données, fichiers et configuration dans leurs formats de fonctionnement, sans les convertir en archive de départ.

Les données personnelles détenues comme sous-traitant sont supprimées sous 30 jours après la fin du contrat, y compris des sauvegardes au fil de leur rotation. Vous pouvez demander une suppression plus tôt. Au-delà, nous ne conservons des données que si la loi l'exige et vous en informons.

Sauvegardes après effacement: 35 jours
Données du déploiement après la fin du contrat: 30 jours
Documents à conserver selon la loi: sept ans

10. Audit

Vous pouvez vérifier notre conformité. Nous répondons d'abord par écrit et fournissons les preuves disponibles, principalement les journaux de votre serveur et le code publié de l'automatisation pour la section 6.

Si cela ne suffit pas, vous pouvez nous auditer ou désigner un auditeur indépendant avec 30 jours de préavis, au maximum une fois par an sauf violation ou demande d'une autorité. Les audits se déroulent pendant les heures ouvrées sans perturber les autres clients. Vous payez les frais sauf constat d'un manquement substantiel de notre part.

11. Responsabilité et droit applicable

La responsabilité au titre de cet accord est soumise aux limites de nos conditions de service, sauf lorsque le droit de la protection des données interdit une limitation.

L'article 82 du UK GDPR donne à la personne concernée un recours direct contre le sous-traitant pour un dommage causé par un traitement enfreignant ses obligations ou vos instructions licites. Rien ici ne limite ce recours ni ne le reporte sur vous.

Cet accord est régi par le droit d'Angleterre et du pays de Galles, dont les tribunaux ont compétence exclusive.

En vigueur

Ce document est en vigueur depuis le 10 novembre 2026.

10 novembre 2026: Mis à jour.
5 septembre 2026: Mis à jour.
28 août 2026: Mis à jour.
24 août 2026: Mis à jour.