Le présent Accord de traitement des données (l’« Accord de traitement ») fait partie intégrante des Conditions générales d’utilisation ou de tout autre accord écrit (le « Contrat ») conclu entre P30 Sovereign Systems SL (« P30.ai », le « Sous-traitant ») et le client (le « Client », le « Responsable du traitement »), et s’applique lorsque P30.ai traite des Données à caractère personnel pour le compte du Client. Il a pour objet de satisfaire aux exigences de l’article 28 du RGPD et du RGPD du Royaume-Uni. Si vous avez besoin d’un exemplaire signé, écrivez à [email protected].
1. Définitions
Les termes « Données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « personne concernée » et « autorité de contrôle » ont le sens qui leur est donné dans le RGPD. La « Réglementation sur la protection des données » désigne l’ensemble des lois applicables au traitement des Données à caractère personnel dans le cadre du Contrat, notamment le RGPD, le RGPD du Royaume-Uni et le Data Protection Act 2018, ainsi que les lois applicables des États américains en matière de protection de la vie privée.
2. Rôles et champ d’application
Le Client est le responsable du traitement (ou un sous-traitant agissant pour le compte de ses propres responsables du traitement) et P30.ai est le sous-traitant des Données à caractère personnel contenues dans le Contenu du Client. P30.ai ne traitera les Données à caractère personnel que sur instructions documentées du Client, y compris celles qui figurent dans le Contrat et dans le présent Accord de traitement, sauf si la loi l’oblige à agir autrement (auquel cas il en informera le Client, à moins que la loi ne le lui interdise).
3. Description du traitement
- Objet et durée : la fourniture des Services pendant la durée du Contrat.
- Nature et finalité : l’hébergement, le traitement et la transmission du Contenu du Client au moyen de modèles d’IA afin de fournir les Services.
- Catégories de personnes concernées : les utilisateurs du Client et toute personne mentionnée dans le Contenu du Client.
- Types de Données à caractère personnel : ceux que détermine le Client par son utilisation des Services.
4. Non-conservation des données et non-entraînement
P30.ai n’utilisera pas les Données à caractère personnel du Client pour entraîner ses propres modèles d’IA ni ceux de tiers, et ne les vendra pas. P30.ai convient contractuellement avec ses fournisseurs de modèles d’IA que les Données à caractère personnel du Client transmises par l’intermédiaire des Services sont soumises à un accord de non-conservation des données et de non-entraînement, et que ces fournisseurs ne les conservent pas au-delà de ce qui est nécessaire pour renvoyer une réponse. Toute utilisation de données pour améliorer des modèles en dehors de cet accord est limitée à des données agrégées et anonymisées qui ne constituent plus des Données à caractère personnel.
5. Confidentialité
P30.ai veille à ce que les membres de son personnel autorisés à traiter les Données à caractère personnel soient soumis à des obligations de confidentialité et ne traitent les données que conformément aux instructions reçues.
6. Sécurité
P30.ai met en œuvre des mesures techniques et organisationnelles appropriées pour protéger les Données à caractère personnel, compte tenu de l’état des connaissances et des risques que présente le traitement. Ces mesures comprennent des contrôles d’accès, le chiffrement en transit et au repos lorsque cela est approprié, la journalisation et la surveillance, ainsi que le réexamen régulier de ses pratiques de sécurité.
7. Sous-traitants ultérieurs
Le Client autorise P30.ai à faire appel à des sous-traitants ultérieurs (notamment des fournisseurs d’hébergement cloud et de modèles d’IA) pour traiter des Données à caractère personnel. P30.ai impose à chaque sous-traitant ultérieur des obligations en matière de protection des données qui ne sont pas moins protectrices que celles du présent Accord de traitement, et demeure responsable de leur exécution. P30.ai mettra à disposition la liste à jour de ses sous-traitants ultérieurs et donnera au Client une possibilité raisonnable de s’opposer aux modifications importantes.
8. Demandes des personnes concernées
Compte tenu de la nature du traitement, P30.ai aidera le Client, par des mesures techniques et organisationnelles appropriées, dans toute la mesure du possible, à répondre aux demandes des personnes concernées qui exercent leurs droits en vertu de la Réglementation sur la protection des données. Si P30.ai reçoit directement une telle demande, il orientera la personne concernée vers le Client.
9. Violation de données à caractère personnel
P30.ai notifiera au Client, dans les meilleurs délais après en avoir pris connaissance, toute violation de données à caractère personnel affectant des Données à caractère personnel du Client, et lui fournira les informations raisonnablement nécessaires pour qu’il puisse s’acquitter de ses propres obligations de notification.
10. Transferts internationaux
Lorsque le traitement implique des transferts de Données à caractère personnel hors de l’EEE, du Royaume-Uni ou de la Suisse, P30.ai veillera à ce qu’un mécanisme de transfert approprié soit en place, notamment les clauses contractuelles types et l’avenant britannique relatif aux transferts internationaux de données (UK International Data Transfer Addendum), qui sont intégrés par référence au présent Accord de traitement le cas échéant.
11. Audits
P30.ai mettra à disposition les informations raisonnablement nécessaires pour démontrer le respect de l’article 28 du RGPD, et permettra la réalisation d’audits, y compris d’inspections, par le Client ou par un auditeur mandaté par le Client, et contribuera à ces audits, moyennant un préavis raisonnable et sous réserve de confidentialité.
12. Restitution et suppression
Au terme des Services, et au choix du Client, P30.ai supprimera ou restituera les Données à caractère personnel du Client et supprimera les copies existantes, sauf si la loi en exige la conservation.
13. Contact
Comment nous joindre
Vous pouvez adresser les demandes relatives au présent Accord de traitement, y compris celles visant à obtenir un exemplaire signé ou la liste à jour des sous-traitants ultérieurs, à [email protected].
Prestataire du service : P30 Sovereign Systems SL, dont le siège social est situé Calle Muntaner 340, 1-1, 08021 Barcelone, Espagne, NIF B66729336. Adresse électronique : [email protected].
14. Langue
Le présent document est la version française de notre document en anglais Data Processing Addendum. En cas de divergence entre les deux versions, la version anglaise prévaut ; toutefois, la présente version prévaut en ce qui concerne l’identification du sous-traitant.