Accord de Traitement des Données

Le présent Accord de Traitement des Données (l’« ATD ») s’applique lorsque vous agissez en tant que responsable du traitement et que HumanOps B.V. (« nous ») agit en tant que votre sous-traitant au titre de l’article 28 du RGPD. Il couvre les données à caractère personnel d’autres personnes que vous choisissez de saisir dans votre mémoire persistante ou d’exposer via des services connectés (les « Données à Caractère Personnel du Client »). Il fait partie des Conditions Générales d’Utilisation et y est intégré.

Pour les données à caractère personnel que nous traitons en tant que notre propre responsable du traitement (par exemple vos données de compte et de paiement), c’est la Politique de Confidentialité qui s’applique au lieu du présent ATD.

1. Rôles

1.1. Vous êtes le responsable du traitement des Données à Caractère Personnel du Client. Nous sommes votre sous-traitant et ne les traitons que sur vos instructions documentées, lesquelles incluent votre utilisation des fonctionnalités du Service et les présentes mentions légales.

1.2. Vous êtes responsable de disposer d’une base légale pour les Données à Caractère Personnel du Client, de la licéité de vos instructions, et de vos propres obligations de responsable du traitement envers les personnes concernées par les données.

2. Objet, durée, nature et finalité

2.1. Objet et durée : traitement pendant la durée de votre abonnement et jusqu’à la suppression ou la restitution au titre de la Section 9.

2.2. Nature et finalité : exploiter le Service, c’est-à-dire stocker votre mémoire, générer des réponses, et exécuter les tâches et actions que vous demandez ou approuvez.

2.3. Types de données à caractère personnel : tels que déterminés par vous, cela peut inclure des coordonnées, le contenu de communications, et d’autres informations que vous choisissez de stocker.

2.4. Catégories de personnes concernées : telles que déterminées par vous, par exemple vos clients, contacts ou collègues.

3. Nos obligations

Nous nous engageons à :

ne traiter les Données à Caractère Personnel du Client que sur vos instructions documentées, y compris pour les transferts, sauf obligation imposée par le droit de l’UE ou d’un État membre (auquel cas nous vous en informerons, sauf si ce droit l’interdit) ;
veiller à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité ;
mettre en œuvre des mesures techniques et organisationnelles appropriées (Section 4) ;
respecter les règles relatives aux sous-traitants ultérieurs (Section 5) ;
vous aider, compte tenu de la nature du traitement, pour les demandes des personnes concernées (Section 6) et pour vos obligations au titre des articles 32 à 36 du RGPD (sécurité, notification de violation, analyses d’impact) ;
selon votre choix, supprimer ou restituer les données à la fin du service (Section 9) ;
mettre à disposition les informations nécessaires pour démontrer la conformité et permettre la réalisation d’audits, et y contribuer, comme énoncé à la Section 7.

4. Mesures de sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées, notamment : des contrôles d’accès et une authentification ; le chiffrement des données à caractère personnel en transit et au repos ; l’hébergement de vos données de compte et de votre mémoire dans l’UE ; la séparation logique des données des clients ; un journal d’actions/d’audit ; et des processus de rétablissement de la disponibilité après un incident. Nous réexaminons ces mesures et pouvons les mettre à jour, à condition que le niveau de protection ne soit pas réduit.

5. Sous-traitants ultérieurs

5.1. Vous donnez une autorisation générale nous permettant de recourir à des sous-traitants ultérieurs pour fournir le Service. Nos sous-traitants ultérieurs actuels figurent dans la Liste des Sous-traitants Ultérieurs, avec leur rôle et leur lieu.

5.2. Nous imposons à chaque sous-traitant ultérieur des obligations de protection des données qui ne sont pas moins protectrices que celles du présent ATD, et nous demeurons responsables de leur exécution.

5.3. Nous vous informerons des changements envisagés de sous-traitants ultérieurs (en mettant à jour la Liste des Sous-traitants Ultérieurs et, si vous le demandez, par notification), en vous donnant la possibilité de vous y opposer pour des motifs raisonnables tenant à la protection des données.

6. Assistance aux droits des personnes concernées

Compte tenu de la nature du traitement, nous vous aiderons par des mesures techniques et organisationnelles appropriées, dans la mesure du possible, à répondre aux demandes des personnes concernées exerçant leurs droits (accès, rectification, effacement, limitation, portabilité, opposition). Lorsqu’une personne concernée nous contacte directement au sujet des Données à Caractère Personnel du Client, nous la renverrons vers vous, sauf si la loi en dispose autrement.

7. Audits

Nous mettrons à disposition les informations raisonnablement nécessaires pour démontrer la conformité à l’article 28 et permettrons la réalisation d’audits, y compris des inspections, menés par vous ou par un auditeur que vous mandatez, et y contribuerons. Les audits ont lieu sur préavis raisonnable, au maximum une fois par an sauf exigence d’une autorité de contrôle ou à la suite d’une violation de données à caractère personnel, pendant les heures ouvrables, et sans perturbation déraisonnable du Service.

8. Transferts internationaux

Lorsque la fourniture du Service implique un transfert de Données à Caractère Personnel du Client en dehors de l’EEE (par exemple l’inférence IA ou le canal WhatsApp), nous nous appuyons sur un mécanisme de transfert licite au titre du chapitre V du RGPD (une décision d’adéquation ou des Clauses Contractuelles Types, assorties de mesures supplémentaires le cas échéant). La Liste des Sous-traitants Ultérieurs indique le lieu et la base de transfert pour chaque sous-traitant ultérieur.

9. Suppression ou restitution

À la cessation du Service, selon votre choix et sur demande, nous supprimerons ou restituerons les Données à Caractère Personnel du Client et supprimerons les copies existantes, sauf si le droit de l’UE ou d’un État membre nous impose de les conserver. Vous pouvez demander un export avant la fin de l’accès ; votre serveur et vos données restent les vôtres.

10. Notification de violation

Nous vous informerons sans retard injustifié après avoir pris connaissance d’une violation de données à caractère personnel affectant les Données à Caractère Personnel du Client, et fournirons les informations dont vous avez raisonnablement besoin pour respecter vos propres obligations de notification.

11. Responsabilité et préséance

La responsabilité au titre du présent ATD est soumise aux limitations figurant dans les Conditions Générales d’Utilisation, dans la mesure permise par la loi. En cas de conflit entre le présent ATD et le reste des Conditions concernant le traitement des Données à Caractère Personnel du Client, le présent ATD prévaut.

12. Contact

HumanOps B.V., Amsterdam, 1091EE, Pays-Bas. Courriel : hello@intakto.eu. Numéro KvK : [KvK number - to be added]. Numéro de TVA/BTW : [BTW number - to be added].

Ce document est fourni à titre informatif et ne constitue pas un conseil juridique.