Accord de traitement des données (DPA)

Le client est responsable de traitement des données de sa marque ; UPgraders agit en sous-traitantpour les besoins exclusifs de la mission (diagnostic, production, mesure, dispatch). Pour les données d'exploitation de la plateforme (télémétrie technique, facturation), UPgraders est responsable de traitement.

• Isolation par défaut (default-deny) : aucune donnée métier d'un client ne traverse vers un autre client. Un client ne voit jamais les piliers, briefs ou assets d'un autre.
• La contribution au pool d'apprentissage est désactivée par défaut, révocable à tout moment à effet futur ; la liste de communauté (PII) n'y entre jamais, opt-in ou pas.

Les contenus ingérés (formulaires, documents, URL, briefs, études) sont rattachés au seul espace du client, indexés pour son usage propre (recherche, génération contextualisée) et soumis au même régime d'isolation. Le client garantit disposer d'une base légale pour les données personnelles qu'il importe (notamment les listes de contacts) ; l'import de communauté est refusé sans cette garantie.

• Aucune donnée client n'est utilisée pour entraîner ou affiner des modèles d'IA — ni par UPgraders, ni par ses fournisseurs de modèles.
• Les appels aux fournisseurs LLM (Anthropic, OpenAI) sont effectués via API avec les garanties contractuelles de ces fournisseurs : les données soumises par API ne servent pas à l'entraînement de leurs modèles et sont soumises à des durées de rétention limitées.
• La plateforme minimise la surface : ~95 % des traitements (scores, prix, gates, compilation) sont déterministes et n'envoient rien à un LLM ; le LLM est réservé à la génération créative explicite.
• Sortie structurée validée par schéma : les réponses LLM non conformes sont rejetées, jamais persistées silencieusement.

• En transit : TLS 1.2+ sur toutes les surfaces (web, API, webhooks).
• Au repos : chiffrement AES-256 des bases et sauvegardes (infrastructure Supabase/PostgreSQL managée).
• Secrets : les clés de paiement et secrets système vivent en variables d'environnement, jamais en base ; les credentials de connecteurs externes sont stockés chiffrés dans un coffre applicatif ; les clés API émises ne sont conservées qu'en empreinte SHA-256.
• Authentification : mots de passe hachés (bcrypt, 12 rounds), double authentification TOTP disponible et exigible pour les administrateurs.
• Cloisonnement : contrôle d'accès par rôle et par espace client à chaque requête.

Le journal de gouvernance de la plateforme est chaîné par empreintes (hash) pour garantir l'infalsifiabilité de l'historique. Il ne contient jamais de données personnelles en clair: les PII vivent hors-chaîne, dans des magasins effaçables. L'effacement d'une personne purge ses données ; la chaîne conserve la seule preuve d'existence (empreinte), vide de contenu. L'immuabilité de la trace et le droit à l'effacement coexistent ainsi sans exception.

Toute évolution de cette liste est notifiée aux clients sous DPA signé avec faculté d'objection motivée.

• Données de marque : durée du contrat + fenêtre de portabilité de 90 jours, puis purge sur demande ou à l'expiration.
• Export en format ouvert (JSON/PDF) à tout moment depuis le Cockpit ou sur demande.
• Journal d'audit : 5 ans (obligation de traçabilité), empreintes seules au-delà.

Notification au client sans retard injustifié et au plus tard 72 haprès prise de connaissance d'une violation affectant ses données, avec nature, périmètre, mesures prises et point de contact. Registre des incidents tenu en gouvernance.

RGPD lorsque des personnes concernées résident dans l'UE ; Convention de Malabo et cadres nationaux de la zone (CDP, ARTCI, APDP et équivalents) pour les traitements africains. Un audit documentaire annuel est disponible sur demande raisonnable ; voir aussi le Trust Center.