Product Terms

Service description, AI functionality, autonomous actions, connected platforms and security.

Version 1.0, in force since August 4, 2026 · Version history

This English version is provided for convenience only. The Agreement is drafted in French and, in the event of any discrepancy, the French version prevails.

These Product Terms form an integral part of, and are incorporated by reference into, the Balt General Terms of Service. Capitalized terms not defined here have the meanings given in the Definitions.

In the event of a conflict between the documents making up the Agreement, the order of precedence set out in the General Terms applies.

1. Service Description and Delivery

1.1 Service Overview

Balt is an artificial intelligence agent for recruitment professionals. It connects to Customer's communication and productivity tools, which constitute Connected Platforms, and executes tasks, generates content, and supports workflows through AI-driven decision-making. The Service includes candidate search and sourcing, meeting transcription and analysis, document generation such as skills profiles, preparation of multi-channel outreach sequences, and generation of priority tasks.

The Service is provided on a software-as-a-service basis. Provider hosts and operates the underlying infrastructure and grants Customer remote access via the Internet. The Service is accessible within the Cobalt platform and is subject to a separate subscription and pricing.

1.2 Access to the Service

Provider delivers the Service by enabling Customer's account upon acceptance of the General Terms and, where applicable, execution of the Order Form. Access requires Customer to connect its integration credentials and designate its Authorized Users. The Service is deemed delivered, and Customer's payment obligations commence, upon enablement of the account or on the date specified in the Order Form.

Customer's acceptance of the General Terms, together with confirmation of the subscribed plan, functionalities, and applicable fees through the online flow, constitutes an Order Form for all purposes of the Agreement, including the commencement of the Subscription Term and of Customer's payment obligations.

1.3 Account Setup

After acceptance of the General Terms or execution of an Order Form, Customer is responsible for setting up its account, connecting its integration credentials, designating Authorized Users, and configuring permission scopes, using the self-service tools made available within the Service and the procedures described in the Documentation.

Provider is not responsible for delays or failures resulting from Customer's setup activities, from Customer's systems, networks, infrastructure, or third-party software, or from any misconfiguration not attributable to Provider.

1.4 Out-of-Scope Services

Unless expressly stated in the Order Form, the Service does not include data migration, custom development, user training, dedicated customer success management, onboarding services beyond the self-service tools described in the Documentation, configuration assistance, integration with systems not listed in the Documentation, or any managed services. Such services may be procured separately at Provider's then-current rates.

2. Artificial Intelligence Functionality

2.1 Nature of Outputs

The Service uses artificial intelligence models to generate Outputs. Outputs are probabilistic and may be inaccurate, incomplete, biased, or otherwise unsuitable for Customer's intended use. Customer acknowledges that Outputs are not a substitute for human judgment or professional advice, including legal, medical, financial, or other regulated advice. Customer is solely responsible for reviewing them before any use, distribution, or decision based on them.

2.2 AI Subprocessors

The Service is powered in part by third-party AI model providers, the AI Subprocessors, the current list of which is set out in the Privacy Policy and in the DPA. Provider has contractual arrangements with each of them which, as of the date of these Product Terms, prohibit the use of Customer Data to train general-purpose AI models or for advertising purposes.

Provider's commitments regarding AI Subprocessor behavior reflect the arrangements in force between Provider and each of them. AI Subprocessors may modify their terms unilaterally. If Provider becomes aware that such a modification would materially reduce the level of protection applicable to Customer Data, it will inform Customer within a reasonable time through the subprocessor change notification process set out in the DPA. Customer may then, as its sole remedy, terminate the affected portion of the Service without penalty and obtain a pro-rata refund of prepaid fees for the unused portion, excluding Credits already consumed and non-refundable Credit purchases.

2.3 Outputs and Third-Party Content

Customer acknowledges that AI-generated Outputs may, in rare cases, contain content that resembles, reproduces, or derives from third-party content, including copyrighted material, even where Provider and its AI Subprocessors take commercially reasonable measures to prevent this.

Customer is solely responsible for reviewing Outputs for potential intellectual property, defamation, privacy, or other third-party rights issues before any use or distribution. Provider's warranty under Section 7.1 of the General Terms does not extend to claims arising from Outputs that incidentally reproduce third-party material.

3. Autonomous Actions

3.1 Principle

The Service may execute actions on Connected Platforms with varying levels of autonomy. Customer acknowledges and accepts that:

(a) Customer is solely responsible for configuring permission scopes, approval policies, and pre-authorization rules in its account settings, and for reviewing those configurations periodically;
(b) Provider executes Pre-Authorized Actions in reliance on that configuration; Customer accepts all consequences of actions executed within the permissions it has configured, except where caused by Provider's gross negligence or wilful misconduct;
(c) Provider does not guarantee that any specific action will be executed correctly, on time, or with the intended business outcome.

3.2 Customer Remains Operator

Customer acknowledges that AI-driven autonomous operations involve inherent uncertainty. Customer remains the operator of its own business processes and bears final responsibility for all business decisions and all actions executed through the Service.

3.3 High-Risk Actions

A limited set of action categories, the High-Risk Actions, always require explicit prior approval by an Authorized User before execution and can never be configured as Pre-Authorized Actions. As of the date of these Product Terms, those categories are:

(a) changing the Service's own permission scopes, or connecting or disconnecting a Connected Platform;
(b) having Balt join an online or in-person meeting and triggering its recording or transcription, given the information and consent obligations borne by Customer under Section 2 of the Acceptable Use Policy;
(c) transmitting Customer Data, conversation excerpts, or reports to Provider for support or Service improvement purposes.

Provider may update the list of High-Risk Actions. Any change is published in the Documentation and notified under Section 16 of the General Terms.

3.4 Action-Type Controls

The Service provides controls allowing Customer to enable, disable, restrict, or require approval for specific categories of actions executed through Connected Platforms. Customer may, for example, prevent Balt from sending a message to a candidate, transmitting a skills profile to an end client, creating or updating a record in a connected system, or triggering a sequence.

The Service assigns default approval levels when an integration is connected: actions assessed as read-only may execute automatically, while actions that modify data or send a communication to an external recipient require approval by default. Customer is responsible for reviewing these defaults and adjusting them to its risk tolerance and internal authorization policies.

Where an action type is enabled, pre-authorized, or not subject to an approval requirement under Customer's configuration, Balt may execute it without separate human review. Changes to action-type controls apply prospectively and affect neither actions already executed nor actions already in progress.

3.5 No Solely Automated Decision

The Service is neither intended nor designed to take, on its own, a decision producing legal effects concerning a person or similarly significantly affecting them within the meaning of Article 22 GDPR, including a decision to reject an application. Outputs are decision support.

Customer undertakes to maintain effective human intervention in any decision relating to an application or an employment relationship, not to configure the Service so as to fully automate such a decision, and to inform data subjects of the use of algorithmic processing in accordance with its obligations as controller. A breach of this Section 3.5 constitutes a material breach of the Agreement.

4. EU Artificial Intelligence Act

The Parties acknowledge that Regulation (EU) 2024/1689 laying down harmonised rules on artificial intelligence classifies as high-risk, in its Annex III, systems intended to be used for the recruitment or selection of natural persons, in particular to analyse and filter applications and evaluate candidates.

As between the Parties, Provider acts as provider of the artificial intelligence system and Customer acts as deployer. Customer accordingly undertakes to use the Service in accordance with the Documentation and the instructions for use communicated to it, to assign human oversight to persons with the necessary competence, training, and authority, to monitor the operation of the Service and promptly report to Provider any serious incident or malfunction of which it becomes aware, and to inform data subjects where the regulation so requires.

The Parties shall provide each other with the information and assistance reasonably necessary to enable each to meet its respective obligations under that regulation as they become applicable. This Section constitutes neither a declaration nor a warranty of conformity of the Service with that regulation.

5. Connected Platforms

5.1 Customer Warranties

When Customer connects a Connected Platform, Customer represents and warrants that:

(a) Customer is duly authorized to grant Provider the access permissions necessary to deliver the Service, including any consent required from the third-party account owner;
(b) Customer has obtained all consents required from individuals whose data will be accessed or processed through the integration;
(c) the connection and Customer's use of the integrated data comply with the Connected Platform's own terms of service and policies.

5.2 Workspace-Shared Model

Integrations operate on a workspace-shared basis: once an integration is connected, Authorized Users with appropriate rights within the Service may invoke it, and actions executed through the integration use the permissions of the account that authorized the connection.

Customer is solely responsible for:

(a) selecting the account used to authorize each integration, taking into account the permissions that account holds on the Connected Platform;
(b) configuring workspace membership, role assignments, and approval policies within the Service to reflect the access controls it intends to apply;
(c) periodically reviewing those configurations.

High-Risk Actions executed through a Connected Platform remain subject to the per-action approval requirement in Section 3.3.

5.3 OAuth Consent and Scope of Access

The Service integrates with Customer's tools using OAuth 2.0 authentication. During installation, the third-party platform presents a consent screen detailing the permissions Provider requests. By granting consent, Customer authorizes Provider to use those permissions to deliver the Service. The requested scopes are presented on that screen and described in the Documentation.

With respect to the Google Workspace APIs, Provider's use of information received complies with the Google API Services User Data Policy, including its Limited Use requirements. Data obtained via the Google APIs is not transmitted to artificial intelligence models, is not used to train, improve, or feed any machine learning or artificial intelligence model, whether generalized or personalized, and is not shared with subprocessors other than those strictly necessary to provide the Service.

5.4 Disconnection

Customer may disconnect a Connected Platform at any time from the Service settings or from the platform concerned. Disconnection immediately stops the collection of new data from that platform, deletes the associated connection credentials including OAuth tokens, and pauses scheduled tasks that depend on it.

Disconnection does not by itself delete previously collected Customer Data. Deletion of such data is governed by Section 11.8 of the General Terms and by the DPA.

5.5 Third-Party Platform Terms

Use of Connected Platforms is governed by Customer's own agreement with each platform provider. Provider is not responsible for their availability, changes to their programming interfaces, changes to their terms of service, or actions taken by their providers that limit or impair the Service.

6. Security

6.1 Security Program

Provider maintains an information security program proportionate to the nature of the Service and the risks involved, the measures of which are described below and supplemented by the DPA.

6.2 Technical and Organizational Measures

Encryption: Customer Data encrypted in transit (TLS 1.3) and at rest;
Access control: strong authentication and application of the least-privilege principle;
Infrastructure: hosting on ISO/IEC 27001 certified infrastructure;
Monitoring: production system logging, continuous monitoring, and anomaly detection;
Continuity: regular backups with restoration testing;
Personnel: data protection awareness and training for staff.

6.3 Data Location

The Service's primary data is hosted in France and in the European Union. Some subprocessors are established outside the European Union; those transfers are framed by the mechanisms described in the Privacy Policy and in the DPA, in particular the European Commission Standard Contractual Clauses and the EU-US Data Privacy Framework.

6.4 Breach Notification

Provider shall notify Customer, without undue delay, of any confirmed data breach affecting Customer Data, in accordance with the timelines and procedures set out in the DPA. The notification will include the information reasonably necessary to enable Customer to meet its own legal obligations.

7. Accessibility

Provider strives to make the Service accessible to users with disabilities and uses commercially reasonable efforts to work towards the Web Content Accessibility Guidelines (WCAG) 2.1, Level AA. Conformance is not warranted and may vary across features and platforms.

8. Service Levels

This Section constitutes the service level agreement applicable to the Service and forms an integral part of the Agreement.

Unless expressly specified in the Order Form, Provider does not provide a guaranteed availability percentage, uptime commitment, or minimum service availability level. Provider will use commercially reasonable efforts to make the production version of the Service available during the Subscription Term, subject to the exclusions below.

Any availability target specified in the Order Form shall be measured on a calendar-month basis and shall apply only to the production version of the Core Service. Unless expressly stated otherwise, availability calculations exclude unavailability, degradation, latency, or failure caused by scheduled or emergency maintenance, Customer's systems, networks, or devices, Connected Platform configuration, AI Subprocessors, hosting infrastructure providers, payment processors, telecommunications providers, force majeure events, suspension of the Service in accordance with the Agreement, Beta Features, trial, demo, or non-production environments, and any circumstances outside Provider's reasonable control.

Provider may perform scheduled maintenance. Provider will use commercially reasonable efforts to give advance notice of maintenance expected to materially affect availability of the production version. Unless otherwise specified in the Order Form, scheduled maintenance does not count as unavailability.

Provider may perform emergency maintenance without prior notice where necessary to address security, legal, operational, infrastructure, or data integrity risks. Provider will use commercially reasonable efforts to minimize the resulting disruption.

The other documents of the agreement

Definitions : The defined terms used across the Balt contractual documents.
General Terms : The core contractual terms governing access to and use of the Balt service.
Acceptable Use Policy : The rules for acceptable and prohibited use of the Balt service, and prohibited data.
Usage Terms : How Credits, allocations, top-ups and accounts work.
License Terms : The license granted to use the Balt service, and its restrictions.

For any questions regarding how the Service works, contact us at: legal@cobalt-ia.com

Version française — la version qui fait foi

Conditions Produit

Description du service, fonctionnement de l'IA, actions autonomes, plateformes connectées et sécurité.

Version 1.0, en vigueur depuis le 4 août 2026 · Historique des versions

Les présentes Conditions Produit font partie intégrante des Conditions Générales de Service Balt et y sont incorporées par référence. Les termes commençant par une majuscule non définis ici ont le sens qui leur est donné dans les Définitions.

En cas de contradiction entre les documents composant le Contrat, l'ordre de priorité fixé aux Conditions Générales s'applique.

1. Description du Service et mise à disposition

1.1 Présentation

Balt est un agent d'intelligence artificielle destiné aux professionnels du recrutement. Il se connecte aux outils de communication et de productivité du Client, qui constituent des Plateformes Connectées, et exécute des tâches, produit des contenus et soutient des flux de travail au moyen de décisions pilotées par l'intelligence artificielle. Le Service comprend notamment la recherche et le sourcing de candidats, la transcription et l'analyse de réunions, la génération de documents tels que les dossiers de compétences, la préparation de séquences de prospection multicanal et la production de tâches prioritaires.

Le Service est fourni en mode logiciel en tant que service. Le Prestataire héberge et exploite l'infrastructure sous-jacente et concède au Client un accès à distance par Internet. Le Service est accessible au sein de la plateforme Cobalt et fait l'objet d'une souscription et d'une tarification distinctes.

1.2 Accès au Service

Le Prestataire met le Service à disposition en activant le compte du Client après acceptation des Conditions Générales et, le cas échéant, signature du Bon de Commande. L'accès suppose que le Client connecte ses identifiants d'intégration et désigne ses Utilisateurs Autorisés. Le Service est réputé délivré, et les obligations de paiement du Client commencent, à l'activation du compte ou à la date précisée au Bon de Commande.

L'acceptation des Conditions Générales par le Client, assortie de la confirmation de l'offre souscrite, des fonctionnalités et des sommes applicables dans le parcours en ligne, vaut Bon de Commande pour l'ensemble des besoins du Contrat, y compris pour le point de départ de la Durée d'Abonnement et des obligations de paiement.

1.3 Paramétrage du compte

Après acceptation des Conditions Générales ou signature d'un Bon de Commande, il appartient au Client de paramétrer son compte, de connecter ses identifiants d'intégration, de désigner ses Utilisateurs Autorisés et de configurer les périmètres de permissions, au moyen des outils en libre-service mis à disposition dans le Service et selon les procédures décrites dans la Documentation.

Le Prestataire n'est pas responsable des retards ou défaillances résultant des opérations de paramétrage du Client, de ses systèmes, réseaux, infrastructures ou logiciels tiers, ni d'une erreur de configuration qui ne lui serait pas imputable.

1.4 Prestations exclues

Sauf stipulation expresse du Bon de Commande, le Service ne comprend pas la reprise de données, les développements spécifiques, la formation des utilisateurs, l'accompagnement dédié au succès client, les prestations de déploiement allant au-delà des outils en libre-service décrits dans la Documentation, l'assistance à la configuration, l'intégration avec des systèmes non listés dans la Documentation, ni aucune prestation d'infogérance. Ces prestations peuvent être commandées séparément aux tarifs alors en vigueur.

2. Fonctionnement de l'intelligence artificielle

2.1 Nature des Résultats

Le Service met en œuvre des modèles d'intelligence artificielle pour produire des Résultats. Ces Résultats sont de nature probabiliste et peuvent être inexacts, incomplets, biaisés ou inadaptés à l'usage envisagé par le Client. Le Client reconnaît que les Résultats ne se substituent ni au jugement humain ni à un conseil professionnel, notamment juridique, médical, financier ou relevant de toute autre profession réglementée. Le Client est seul responsable de leur vérification avant toute utilisation, diffusion ou décision fondée sur eux.

2.2 Sous-traitants IA

Le Service est alimenté en partie par des fournisseurs tiers de modèles d'intelligence artificielle, les Sous-traitants IA, dont la liste à jour figure dans la Politique de Confidentialité et dans le DPA. Le Prestataire a conclu avec chacun d'eux des engagements contractuels qui, à la date des présentes, interdisent l'utilisation des Données Client pour entraîner des modèles d'intelligence artificielle à usage général ou à des fins publicitaires.

Les engagements du Prestataire relatifs au comportement des Sous-traitants IA reflètent les stipulations en vigueur entre le Prestataire et chacun d'eux. Les Sous-traitants IA peuvent modifier unilatéralement leurs conditions. Si le Prestataire a connaissance qu'une telle modification réduirait de manière substantielle le niveau de protection applicable aux Données Client, il en informe le Client dans un délai raisonnable selon la procédure de notification des sous-traitants ultérieurs prévue au DPA. Le Client peut alors, à titre de seul recours, résilier la partie du Service concernée sans pénalité et obtenir le remboursement au prorata des sommes payées d'avance au titre de la période non consommée, à l'exclusion des Crédits déjà consommés et des achats de Crédits non remboursables.

2.3 Résultats et contenus de tiers

Le Client reconnaît que les Résultats générés par l'intelligence artificielle peuvent, dans de rares cas, contenir des éléments ressemblant à des contenus de tiers, les reproduisant ou en dérivant, y compris des contenus protégés par le droit d'auteur, alors même que le Prestataire et ses Sous-traitants IA mettent en œuvre des mesures commercialement raisonnables pour l'éviter.

Le Client est seul responsable de la vérification des Résultats au regard des droits de propriété intellectuelle, du droit de la diffamation, du droit au respect de la vie privée et des autres droits des tiers, avant toute utilisation ou diffusion. La garantie du Prestataire prévue à l'article 7.1 des Conditions Générales ne s'étend pas aux réclamations fondées sur des Résultats reproduisant incidemment des contenus de tiers.

3. Actions autonomes

3.1 Principe

Le Service peut exécuter des actions sur les Plateformes Connectées avec des degrés d'autonomie variables. Le Client reconnaît et accepte que :

(a) il est seul responsable de la configuration des périmètres de permissions, des règles de validation et des règles de pré-autorisation dans les paramètres de son compte, ainsi que de leur réexamen périodique ;
(b) le Prestataire exécute les Actions Pré-Autorisées en se fondant sur cette configuration ; le Client accepte l'ensemble des conséquences des actions exécutées dans les limites des permissions qu'il a configurées, sauf lorsqu'elles résultent d'une faute lourde ou d'une faute dolosive du Prestataire ;
(c) le Prestataire ne garantit pas qu'une action déterminée sera exécutée correctement, dans les délais attendus, ni qu'elle produira le résultat commercial escompté.

3.2 Le Client demeure opérateur de ses processus

Le Client reconnaît que les opérations autonomes pilotées par l'intelligence artificielle comportent une part d'incertitude inhérente. Le Client demeure l'opérateur de ses propres processus métier et conserve la responsabilité finale de toutes les décisions commerciales et de toutes les actions exécutées au moyen du Service.

3.3 Actions à Haut Risque

Un ensemble limité de catégories d'actions, les Actions à Haut Risque, requiert toujours une validation explicite et préalable d'un Utilisateur Autorisé avant exécution et ne peut jamais être configuré en Action Pré-Autorisée. À la date des présentes, ces catégories sont les suivantes :

(a) modifier le périmètre des permissions du Service lui-même, ou connecter ou déconnecter une Plateforme Connectée ;
(b) faire rejoindre à Balt une réunion en ligne ou en présentiel et déclencher son enregistrement ou sa transcription, compte tenu des obligations d'information et de recueil du consentement des participants qui pèsent sur le Client au titre de l'article 2 des Conditions d'Utilisation Acceptable ;
(c) transmettre au Prestataire des Données Client, des extraits de conversation ou des rapports à des fins de support ou d'amélioration du Service.

Le Prestataire peut faire évoluer la liste des Actions à Haut Risque. Toute modification est publiée dans la Documentation et notifiée dans les conditions de l'article 16 des Conditions Générales.

3.4 Contrôles par type d'action

Le Service met à disposition des contrôles permettant au Client d'activer, de désactiver, de restreindre ou de soumettre à validation des catégories d'actions déterminées exécutées via les Plateformes Connectées. Le Client peut ainsi, par exemple, interdire à Balt d'envoyer un message à un candidat, de transmettre un dossier de compétences à un client final, de créer ou de modifier un enregistrement dans un système connecté, ou de déclencher une séquence.

Le Service attribue des niveaux de validation par défaut lors de la connexion d'une intégration : les actions évaluées comme étant en lecture seule peuvent être exécutées automatiquement, tandis que les actions modifiant des données ou émettant une communication vers un destinataire externe requièrent par défaut une validation. Il appartient au Client d'examiner ces valeurs par défaut et de les ajuster à son niveau d'acceptation du risque et à ses règles internes d'autorisation.

Lorsqu'un type d'action est activé, pré-autorisé ou non soumis à validation selon la configuration du Client, Balt peut l'exécuter sans revue humaine distincte. Les modifications apportées aux contrôles par type d'action produisent effet pour l'avenir et n'affectent ni les actions déjà exécutées ni celles en cours d'exécution.

3.5 Absence de décision entièrement automatisée

Le Service n'a ni pour objet ni pour effet de prendre, seul, une décision produisant des effets juridiques à l'égard d'une personne ou l'affectant de manière significative de façon similaire au sens de l'article 22 du RGPD, notamment une décision d'écarter une candidature. Les Résultats constituent une aide à la décision.

Le Client s'engage à maintenir une intervention humaine effective dans toute décision relative à une candidature ou à une relation de travail, à ne pas configurer le Service de manière à automatiser intégralement une telle décision, et à informer les personnes concernées du recours à un traitement algorithmique conformément à ses obligations de responsable de traitement. Un manquement au présent article 3.5 constitue un manquement substantiel au Contrat.

4. Règlement européen sur l'intelligence artificielle

Les Parties reconnaissent que le Règlement (UE) 2024/1689 établissant des règles harmonisées concernant l'intelligence artificielle qualifie de systèmes à haut risque, à son annexe III, les systèmes destinés à être utilisés pour le recrutement ou la sélection de personnes physiques, notamment pour analyser et filtrer les candidatures et évaluer les candidats.

Dans leurs rapports, le Prestataire agit en qualité de fournisseur du système d'intelligence artificielle et le Client en qualité de déployeur. À ce titre, le Client s'engage notamment à utiliser le Service conformément à la Documentation et aux notices d'utilisation communiquées, à confier la supervision humaine à des personnes disposant de la compétence, de la formation et de l'autorité nécessaires, à surveiller le fonctionnement du Service et à signaler sans délai au Prestataire tout incident grave ou tout dysfonctionnement dont il aurait connaissance, ainsi qu'à informer les personnes concernées lorsque la réglementation l'exige.

Les Parties se communiquent les informations et se prêtent l'assistance raisonnablement nécessaires pour permettre à chacune de satisfaire à ses obligations respectives au titre de ce règlement, à mesure de leur entrée en application. Le présent article ne constitue ni une déclaration de conformité, ni une garantie de conformité du Service au regard de ce règlement.

5. Plateformes Connectées

5.1 Garanties du Client

Lorsque le Client connecte une Plateforme Connectée, il déclare et garantit que :

(a) il est dûment habilité à accorder au Prestataire les permissions d'accès nécessaires à la fourniture du Service, y compris tout accord requis du titulaire du compte tiers ;
(b) il a recueilli l'ensemble des consentements requis des personnes dont les données seront consultées ou traitées via l'intégration ;
(c) la connexion et l'utilisation qu'il fait des données intégrées respectent les conditions d'utilisation et les politiques propres à la Plateforme Connectée.

5.2 Modèle partagé au niveau de l'espace de travail

Les intégrations fonctionnent au niveau de l'espace de travail : une fois qu'une intégration est connectée, les Utilisateurs Autorisés disposant des droits appropriés dans le Service peuvent y recourir, et les actions exécutées via l'intégration s'appuient sur les permissions du compte ayant autorisé la connexion.

Le Client est seul responsable :

(a) du choix du compte utilisé pour autoriser chaque intégration, au regard des permissions dont ce compte dispose sur la Plateforme Connectée ;
(b) de la configuration des membres de l'espace de travail, des rôles et des règles de validation dans le Service, afin de refléter les contrôles d'accès qu'il entend appliquer ;
(c) du réexamen périodique de ces configurations.

Les Actions à Haut Risque exécutées via une Plateforme Connectée demeurent soumises à l'exigence de validation au cas par cas prévue à l'article 3.3.

5.3 Consentement OAuth et périmètre d'accès

Le Service s'intègre aux outils du Client au moyen de l'authentification OAuth 2.0. Lors de l'installation, la plateforme tierce présente un écran de consentement détaillant les permissions demandées par le Prestataire. En accordant son consentement, le Client autorise le Prestataire à utiliser ces permissions pour fournir le Service. Les périmètres demandés sont présentés sur cet écran et décrits dans la Documentation.

S'agissant des API Google Workspace, l'utilisation par le Prestataire des informations reçues respecte la Google API Services User Data Policy, y compris ses exigences dites de Limited Use. Les données obtenues via les API Google ne sont ni transmises aux modèles d'intelligence artificielle, ni utilisées pour entraîner, améliorer ou alimenter un quelconque modèle d'apprentissage automatique, généraliste ou personnalisé, ni partagées avec des sous-traitants autres que ceux strictement nécessaires à la fourniture du Service.

5.4 Déconnexion

Le Client peut déconnecter une Plateforme Connectée à tout moment depuis les paramètres du Service ou depuis la plateforme concernée. La déconnexion interrompt immédiatement la collecte de nouvelles données depuis cette plateforme, entraîne la suppression des identifiants de connexion associés, notamment les jetons OAuth, et suspend les tâches programmées qui en dépendent.

La déconnexion n'emporte pas par elle-même la suppression des Données Client précédemment collectées. La suppression de ces données est régie par l'article 11.8 des Conditions Générales et par le DPA.

5.5 Conditions des plateformes tierces

L'utilisation des Plateformes Connectées est régie par le contrat propre liant le Client à l'éditeur de chacune d'elles. Le Prestataire n'est pas responsable de leur disponibilité, des modifications de leurs interfaces de programmation, des évolutions de leurs conditions d'utilisation, ni des mesures prises par leurs éditeurs qui limiteraient ou dégraderaient le Service.

6. Sécurité

6.1 Programme de sécurité

Le Prestataire maintient un programme de sécurité de l'information proportionné à la nature du Service et aux risques encourus, dont les mesures sont décrites ci-dessous et complétées par le DPA.

6.2 Mesures techniques et organisationnelles

Chiffrement : chiffrement des Données Client en transit (TLS 1.3) et au repos ;
Contrôle d'accès : authentification forte et application du principe du moindre privilège ;
Infrastructure : hébergement sur une infrastructure certifiée ISO/CEI 27001 ;
Surveillance : journalisation des systèmes de production, supervision continue et détection d'anomalies ;
Continuité : sauvegardes régulières assorties de tests de restauration ;
Personnel : sensibilisation et formation des équipes à la protection des données.

6.3 Localisation des données

Les données principales du Service sont hébergées en France et dans l'Union européenne. Certains sous-traitants sont établis hors de l'Union européenne ; ces transferts sont encadrés par les mécanismes décrits dans la Politique de Confidentialité et dans le DPA, notamment les Clauses Contractuelles Types de la Commission européenne et le cadre de protection des données UE / États-Unis.

6.4 Notification des violations

Le Prestataire notifie au Client, sans délai injustifié, toute violation de données confirmée affectant les Données Client, selon les délais et modalités prévus au DPA. La notification comporte les informations raisonnablement nécessaires pour permettre au Client de satisfaire à ses propres obligations légales.

7. Accessibilité

Le Prestataire s'efforce de rendre le Service accessible aux personnes en situation de handicap et met en œuvre des moyens commercialement raisonnables pour tendre vers les Règles pour l'accessibilité des contenus Web (WCAG) 2.1, niveau AA. Cette conformité n'est pas garantie et peut varier selon les fonctionnalités et les supports.

8. Niveaux de service

Le présent article constitue la convention de niveau de service applicable au Service et fait partie intégrante du Contrat.

Sauf stipulation expresse du Bon de Commande, le Prestataire ne consent aucun taux de disponibilité garanti, ni engagement de temps de fonctionnement, ni niveau minimal de disponibilité. Le Prestataire met en œuvre des moyens commercialement raisonnables pour rendre la version de production du Service disponible pendant la Durée d'Abonnement, sous réserve des exclusions ci-dessous.

Tout objectif de disponibilité précisé au Bon de Commande se mesure sur une base mensuelle calendaire et ne s'applique qu'à la version de production du Service Principal. Sauf stipulation contraire expresse, sont exclues du calcul les indisponibilités, dégradations, latences ou défaillances imputables aux maintenances planifiées ou d'urgence, aux systèmes, réseaux ou équipements du Client, à la configuration des Plateformes Connectées, aux Sous-traitants IA, aux fournisseurs d'infrastructure d'hébergement, aux prestataires de services de paiement, aux opérateurs de télécommunications, à un événement de force majeure, à une suspension du Service conforme au Contrat, aux Fonctionnalités Bêta, aux environnements d'essai, de démonstration ou hors production, ainsi qu'à toute circonstance échappant au contrôle raisonnable du Prestataire.

Le Prestataire peut procéder à des maintenances planifiées. Il met en œuvre des moyens commercialement raisonnables pour annoncer à l'avance celles susceptibles d'affecter substantiellement la disponibilité de la version de production. Sauf stipulation contraire du Bon de Commande, les maintenances planifiées ne sont pas décomptées comme des indisponibilités.

Le Prestataire peut procéder à des maintenances d'urgence sans préavis lorsque cela est nécessaire pour traiter un risque de sécurité, juridique, opérationnel, d'infrastructure ou d'intégrité des données. Il met en œuvre des moyens commercialement raisonnables pour en limiter l'impact.