Conditions d'utilisation et d'abonnement

Les dispositions complémentaires vérifiées ci-dessous (v1.0-RC1, 8 novembre 2026) prévalent, en cas de contradiction, sur les dispositions générales figurant plus loin dans ce document.

1. CONTRAT-CADRE DE SERVICES (MSA) — DISPOSITIONS TECHNIQUEMENT VÉRIFIÉES

1.1 Modèle de fournisseur d'IA

Govexa peut fournir ses fonctions d'intelligence artificielle selon l'un des modèles suivants :

1. Anthropic géré par Govexa — fournisseur par défaut ;
2. OpenAI géré par Govexa — fournisseur optionnel, lorsqu'il est activé ;
3. IA dirigée par le Client / BYOAI — compte ou clé d'API Anthropic ou OpenAI propre au Client ;
4. IA hébergée par le Client — serveur Ollama du Client ou autre point de terminaison contrôlé par le Client et pris en charge par Govexa.

Sauf demande contraire du Client, Anthropic géré par Govexa peut être utilisé.

1.1.1 Mise en place d'une connexion propre au Client

Un compte/clé d'API d'IA appartenant au Client ou une connexion Ollama n'est configuré que par un administrateur de la plateforme Govexa et uniquement sur instruction écrite du Client.

Les informations de connexion sont stockées chiffrées en AES-256-GCM dans les champs sensibles pris en charge par Govexa et ne sont plus affichées en clair dans les interfaces de l'application.

Pour les points de terminaison Ollama contrôlés par le Client, les contrôles de sécurité de connexion appliqués par Govexa dans la mise en œuvre technique actuelle comprennent l'obligation de HTTPS et une protection SSRF contre les cibles du réseau interne.

Le fait de ne pas écrire les informations de connexion sensibles dans les journaux de décision/d'audit lors d'un test de connexion est le comportement actuel visé.

1.1.2 Absence de bascule silencieuse

Si une IA dirigée ou hébergée par le Client est configurée pour un locataire, l'échec de cette connexion n'entraîne pas de bascule automatique ou silencieuse de Govexa vers son propre compte Anthropic/OpenAI à l'insu du Client. L'utilisation d'un fournisseur alternatif nécessite une configuration/instruction du Client.

1.1.3 Résultats de l'IA et supervision humaine

Govexa ne transforme pas directement les résultats de l'IA en décisions définitives de contrôle, de risque, d'audit ou de conformité. Les suggestions prises en charge sont soumises à un examen/une approbation humaine via le mécanisme proposals.

Les résultats de l'IA peuvent comporter des erreurs, des omissions ou des hallucinations. Ils ne constituent ni un avis juridique, ni une certification, ni une opinion d'audit indépendante, ni une garantie de conformité réglementaire.

1.2 Séparation des locataires

Govexa utilise les contrôles Row Level Security de PostgreSQL pour la séparation logique des données propres à chaque locataire et intègre des tests d'isolation des locataires dans son processus d'intégration continue. Ce contrôle ne dispense pas le Client de sa responsabilité quant à sa propre configuration des utilisateurs/autorisations.

1.3 Sécurité

Dans l'architecture actuelle, Govexa applique TLS, un chiffrement de champ AES-256-GCM pour certains champs sensibles, la gestion des secrets par variables d'environnement, un journal d'audit en ajout seul et des contrôles de développement sécurisé.

« MFA », « hébergement exclusivement UE », « enregistrements certifiés WORM », « RPO/RTO documentés » ou « offboarding automatique en 30 jours » ne sont engagés que s'ils sont effectivement activés et proposés dans le forfait/contrat indiqué séparément.

1.4 Résiliation, export et suppression

Après la résiliation, la restitution, l'export et la suppression des données sont effectués conformément aux capacités techniques actuelles, au droit applicable, aux cycles de sauvegarde, à la nature des enregistrements de sécurité/d'audit et au processus expressément convenu par les parties dans le bon de commande/le DPA.

Tant que le produit actuel ne dispose ni d'un export automatique à l'échelle du locataire ni d'un outil de suppression définitive automatique en 30 jours, Govexa ne s'engage pas à ce que « toutes les données soient définitivement supprimées sous 30 jours ».

Le Contenu Client et les enregistrements de sécurité/d'audit peuvent relever de régimes de conservation différents. Les enregistrements minimaux devant être conservés pour des raisons d'obligation légale, de sécurité, de litige ou d'intégrité peuvent l'être après la suppression des données de contenu, uniquement pour la durée et la finalité nécessaires.

1.5 Statistiques anonymes et agrégées

À l'expiration du contrat ou lors de la suppression des Données Client, Govexa ne peut produire des données statistiques anonymes et agrégées que si toutes les conditions suivantes sont réunies :

• les données ne permettent d'identifier, directement ou indirectement, aucune personne physique ni le Client ;
• le lien avec le locataire et les identifiants directs du client ont été supprimés ;
• les textes libres, noms d'enregistrements, données personnelles, fichiers, secrets et contenus relevant du secret des affaires ne sont pas inclus ;
• les dates sont traitées au plus au niveau d'agrégation nécessaire pour réduire le risque de réidentification — au niveau du mois dans la conception prévue ;
• les petits effectifs et les distributions sensibles sont convertis en plages/classes appropriées ;
• les données ne doivent pas permettre de réidentification lorsqu'elles sont croisées avec d'autres jeux de données raisonnablement accessibles ;
• le risque de réidentification est évalué périodiquement.

Les statistiques anonymes/agrégées remplissant ces conditions peuvent être utilisées sans limitation de durée pour le développement de produits, la planification des capacités et la comparaison/le benchmark.

Le Client peut s'opposer par écrit à la production de telles statistiques anonymes lors de la conclusion du contrat ou ultérieurement. Pour un locataire dont l'opposition est effective, aucun nouveau jeu de données de benchmark anonyme n'est créé à cette fin lors de la résiliation/de l'offboarding.

Les données qui n'atteignent pas le seuil d'anonymat ne peuvent pas être utilisées au titre de la présente clause et restent soumises au régime contractuel et légal applicable aux Données Client/données personnelles.

Dispositions générales

Les présentes Conditions régissent l'utilisation de la plateforme SaaS Govexa fournie par [à compléter], [à compléter], Türkiye.

Govexa est une plateforme GRC assistée par IA couvrant notamment gouvernance, risques, conformité, contrôles, audits, preuves, actions, tiers, constats techniques et reporting. Les fonctionnalités et limites dépendent du forfait ou du bon de commande.

Pendant la période payée, le Client reçoit un droit limité, non exclusif, non transférable d'utiliser le Service à des fins professionnelles internes. Les droits de propriété intellectuelle sur Govexa restent la propriété de Govexa ou de ses concédants.

Pour les transactions traitées par Paddle, Paddle agit comme Merchant of Record / revendeur autorisé et peut gérer paiement, taxes transactionnelles, facturation, abonnements, remboursements et chargebacks. Govexa reste responsable de la fourniture du SaaS.

Un abonnement à renouvellement automatique peut être annulé avant la prochaine échéance. Sauf droit impératif contraire, l'annulation empêche les renouvellements futurs mais n'entraîne pas automatiquement le remboursement de la période commencée.

Intelligence artificielle

Govexa peut proposer:

1. Anthropic comme fournisseur IA intégré par défaut;
2. OpenAI comme fournisseur optionnel;
3. Bring Your Own AI (BYOAI) fourni par le Client.

À défaut d'autre choix compatible, Anthropic peut être utilisé par défaut. Les prompts et données contextuelles nécessaires peuvent être transmis au fournisseur sélectionné afin d'exécuter la fonction demandée.

Pour les intégrations gérées par Govexa, des offres commerciales/API sont utilisées. Govexa n'utilise pas intentionnellement le contenu Client pour entraîner des modèles publics/généralistes sauf accord exprès. En BYOAI, le Client est responsable du fournisseur, du contrat, des clés, de la région, de la rétention et de la base juridique.

Les résultats IA constituent une aide à la décision et non un avis juridique, une certification, une opinion d'audit ou une garantie de conformité. Une supervision humaine appropriée est requise.

Infrastructure et localisation

Govexa peut utiliser Vercel, Railway, Cloudflare, Anthropic, OpenAI et Paddle.

Govexa vise l'utilisation de régions européennes et de contrôles régionaux lorsque cela est techniquement et commercialement approprié. Govexa ne garantit pas que toutes les données restent exclusivement dans l'UE/EEE sauf engagement EU-only écrit et exprès.

Lorsque le RGPD s'applique aux transferts hors EEE, Govexa utilise, selon le cas, une décision d'adéquation, les Clauses Contractuelles Types (CCT/SCC), un mécanisme Data Privacy Framework applicable ou un autre mécanisme autorisé par les articles 44 à 49 du RGPD. Les transferts soumis à la KVKK utilisent les mécanismes turcs applicables.

Les droits impératifs des consommateurs UE/EEE restent applicables. Un droit de rétractation de 14 jours peut exister pour certains contrats numériques à distance, sous réserve des exceptions légales.

• — — — — — — — — — — — — — — — — — — — — — — — --