Accord de traitement des données (DPA)

1.1Les termes tels que « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « personne concernée » et « violation de données à caractère personnel » ont le sens que leur donnent le Règlement général sur la protection des données (UE) 2016/679 (« RGPD ») et, le cas échéant, le UK GDPR. « Sous-traitant ultérieur » désigne un tiers auquel le Sous-traitant fait appel et qui traite des données à caractère personnel pour le compte du Responsable du traitement.

2.1Objet : la fourniture d’agents IA qui réalisent des tâches pour le Responsable du traitement sur leurs propres ordinateurs dans le cloud, jour et nuit si le Responsable du traitement le souhaite, comme décrit dans les Conditions générales.

2.2Nature et finalité : la conservation, l’organisation, la consultation, l’utilisation, la transmission et l’effacement de données à caractère personnel, dans la mesure nécessaire pour réaliser les tâches que le Responsable du traitement explique ou montre à ses agents IA, pour acheminer les messages via les canaux que le Responsable du traitement connecte, et pour sécuriser et assister le Service.

2.3Durée : pendant la durée du contrat et jusqu’à l’effacement des données conformément à la section « Effacement et restitution des données ».

3.1Personnes concernées : les clients et prospects du Responsable du traitement, ses contacts, fournisseurs, membres du personnel et de l’équipe, les destinataires de messages et toute autre personne dont le Responsable du traitement introduit les données dans le Service ou fait traiter les données par ses agents IA, y compris les données figurant sur des sites web et dans des comptes que les agents IA utilisent pour le Responsable du traitement et dans des messages échangés via des canaux connectés.

3.2Catégories de données : données d’identification et de contact, communications (e-mails, messages instantanés, éléments d’agenda), documents et fichiers, données de commande, contractuelles et financières (comme les factures, les prix et le statut des paiements), données affichées sur les sites web et dans les applications que les agents IA utilisent, captures et enregistrements d’écran, et toute autre donnée contenue dans le contenu fourni par le Responsable du traitement.

3.3Le Responsable du traitement n’introduit pas dans le Service de catégories particulières de données à caractère personnel (article 9 du RGPD) ni de données relatives aux condamnations pénales, sauf si cela est nécessaire et licite et que le Responsable du traitement en a lui-même évalué les risques.

4.1Le Sous-traitant ne traite les données à caractère personnel que sur instruction documentée du Responsable du traitement, y compris en ce qui concerne les transferts vers des pays tiers, à moins que le droit de l’Union ou d’un État membre ne l’exige ; dans ce cas, le Sous-traitant informe préalablement le Responsable du traitement, sauf si la loi l’interdit.

4.2Les Conditions générales, le présent Accord, la configuration du Service et les tâches que le Responsable du traitement et les membres de son équipe expliquent ou montrent à leurs agents IA constituent ensemble les instructions du Responsable du traitement.

4.3Le Sous-traitant informe immédiatement le Responsable du traitement si, selon lui, une instruction constitue une violation du RGPD.

4.4Le Responsable du traitement est responsable de la licéité du traitement, y compris de la base légale, de l’information des personnes concernées et du respect des conditions des sites web et canaux tiers utilisés en son nom.

5.1Le Sous-traitant veille à ce que les personnes autorisées à traiter les données à caractère personnel s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité, et n’y aient accès que dans la mesure nécessaire.

6.1Le Sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées conformément à l’article 32 du RGPD, notamment :

• l’hébergement dans l’Union européenne (OVHcloud, Gravelines, France) ;
• le chiffrement en transit (TLS) et au repos, avec une clé de données distincte par espace de travail, protégée par une clé maîtresse ; la suppression de l’espace de travail détruit la clé (crypto-shredding) ;
• la séparation logique des espaces de travail dans la base de données (row-level security) et des ordinateurs isolés dotés de leur propre disque chiffré pour les agents IA, qui accèdent à Internet mais pas aux systèmes internes du Sous-traitant ni aux autres espaces de travail ;
• les identifiants de sites web tiers conservés dans un coffre-fort chiffré, jamais affichés en clair dans les journaux ;
• un accès aux systèmes de production selon le principe du moindre privilège, la gestion des secrets et la journalisation des actions d’administration ;
• l’approbation par le Responsable du traitement avant les actions importantes des agents IA ;
• des sauvegardes quotidiennes et hebdomadaires, des restaurations testées, des journaux conservés 7 jours ;
• la surveillance, l’alerte et une procédure de gestion des incidents.

6.2Le Sous-traitant peut mettre à jour ces mesures pour autant que le niveau global de protection ne diminue pas.

7.1Le Responsable du traitement donne une autorisation générale pour le recours à des sous-traitants ultérieurs. À la date du présent Accord, il s’agit des suivants ; les canaux de messagerie n’interviennent que si le Responsable du traitement les connecte :

7.2Le Sous-traitant informe le Responsable du traitement par e-mail au moins 30 jours à l’avance de tout ajout ou remplacement envisagé d’un sous-traitant ultérieur. Le Responsable du traitement peut s’y opposer pour des motifs raisonnables dans ce délai. À défaut de solution, le Responsable du traitement peut mettre fin sans frais à la partie concernée du Service avant l’entrée en vigueur de la modification.

7.3Le Sous-traitant impose contractuellement à chaque sous-traitant ultérieur des obligations en matière de protection des données offrant au moins le même niveau de protection que le présent Accord, et reste responsable envers le Responsable du traitement de l’exécution des obligations du sous-traitant ultérieur.

8.1Le Sous-traitant conserve les données à caractère personnel dans l’Union européenne. Les données à caractère personnel ne peuvent être consultées ou traitées en dehors de l’EEE qu’avec les garanties du chapitre V du RGPD : par le Sous-traitant lui-même depuis les Émirats arabes unis pour la gestion et l’assistance, et par les sous-traitants ultérieurs mentionnés dans le tableau ci-dessus.

8.2Dans la mesure où un transfert du Responsable du traitement vers le Sous-traitant a lieu, les clauses contractuelles types de la Commission européenne (décision (UE) 2021/914), module deux (responsable du traitement à sous-traitant), sont intégrées par référence dans le présent Accord. Pour les transferts ultérieurs vers des sous-traitants ultérieurs, le Sous-traitant conclut les clauses contractuelles types (module trois) ou s’appuie sur un autre mécanisme de transfert valable, comme le cadre de protection des données UE-États-Unis (Data Privacy Framework).

8.3Pour les clauses contractuelles types, la clause d’adhésion facultative ne s’applique pas, l’option 2 (autorisation générale) s’applique au titre de la clause 9, le droit applicable est le droit belge et les juridictions et l’autorité de contrôle compétentes sont celles de la Belgique.

À confirmer par un juriste: Choix du module des CCT, avenant britannique, analyse d’impact des transferts et détail des annexes I à III à confirmer par un juriste.

9.1Compte tenu de la nature du traitement, le Sous-traitant aide le Responsable du traitement, par des mesures appropriées, à répondre aux demandes des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition). Les demandes que le Sous-traitant reçoit directement sont transmises sans délai au Responsable du traitement.

9.2Le Sous-traitant aide également le Responsable du traitement à respecter ses obligations en matière de sécurité, d’analyses d’impact relatives à la protection des données et de consultation préalable de l’autorité de contrôle, dans la mesure où elles concernent le Service.

10.1Le Sous-traitant notifie au Responsable du traitement, dans les meilleurs délais et si possible dans les 48 heures après en avoir pris connaissance, toute violation de données à caractère personnel affectant les données du Responsable du traitement.

10.2La notification décrit, dans la mesure où ils sont connus, la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d’enregistrements concernés, les conséquences probables et les mesures prises ou proposées. Les informations qui ne sont pas encore disponibles sont communiquées dès que possible.

11.1Pendant la durée du contrat, le Responsable du traitement peut télécharger toutes les données de son espace de travail à tout moment. Après la fin du contrat, le Sous-traitant aide, sur demande, le Responsable du traitement à exporter ses données dans un délai de 30 jours.

11.2Après la fin du contrat, ou lorsque le Responsable du traitement efface son espace de travail, l’espace de travail est suspendu et toutes les données à caractère personnel du Responsable du traitement sont définitivement effacées après 30 jours, y compris les ordinateurs des agents IA et la clé de chiffrement de l’espace de travail, sauf si le droit de l’Union ou d’un État membre exige leur conservation. Les copies dans les sauvegardes chiffrées sont effacées automatiquement à l’expiration de ces sauvegardes, dans un délai maximal de 90 jours (plus 7 jours au maximum pour les versions remplacées). Les journaux sont effacés après 7 jours.

11.3Sur demande, le Sous-traitant confirme l’effacement par écrit.

12.1Le Sous-traitant met à la disposition du Responsable du traitement toutes les informations nécessaires pour démontrer le respect de l’article 28 du RGPD, comme une description de ses mesures de sécurité et les rapports de ses sous-traitants ultérieurs.

12.2Le Responsable du traitement peut réaliser un audit, ou le faire réaliser par un auditeur indépendant tenu à la confidentialité, au maximum une fois par an, moyennant un préavis d’au moins 30 jours et sans perturber le Service, sauf si une violation de données à caractère personnel ou une autorité de contrôle justifie un audit plus précoce. Chaque partie supporte ses propres frais.

13.1La limitation de responsabilité prévue dans les Conditions générales s’applique au présent Accord, sans préjudice de la responsabilité des parties envers les personnes concernées en vertu de l’article 82 du RGPD.

13.2Le présent Accord reste en vigueur tant que le Sous-traitant traite des données à caractère personnel pour le compte du Responsable du traitement. En cas de contradiction avec les Conditions générales, le présent Accord prévaut en ce qui concerne le traitement des données à caractère personnel.