Accord de traitement des données

Parties

Responsable du traitement (« Client »)

Sous-traitant (« Alvoru »)

Ci-après conjointement : « les Parties ».

Considérant que

• les Parties ont conclu un contrat principal dans le cadre duquel Alvoru, en qualité de Sous-traitant, traite des données personnelles pour le compte du Client (ci-après : le « Contrat principal »);
• en vertu de l'article 28, paragraphe 3, RGPD, un contrat de sous-traitance écrit est requis, définissant les modalités selon lesquelles le Sous-traitant traite les données personnelles ;
• ce contrat de sous-traitance (ci-après : « DPA ») fait partie intégrante du Contrat principal.

Article 1 — Définitions

Les termes commençant par une majuscule dans le présent DPA ont le sens qui leur est attribué dans le RGPD, complété par les définitions figurant dans les Conditions générales d'Alvoru.

Article 2 — Objet et durée

2.1 Le présent DPA régit le traitement des données personnelles par Alvoru pour le compte du Client dans le cadre du Contrat principal.

2.2 Le présent DPA entre en vigueur à la date de commencement du Contrat principal et prend fin de plein droit à la cessation du Contrat principal, sans préjudice des dispositions qui, par leur nature, sont destinées à demeurer en vigueur.

Article 3 — Nature et finalité du traitement

3.1 La nature et la finalité du traitement consistent à fournir le Service décrit dans le Contrat principal (service client IA, comprenant le chatbot, l'e-mail et l'agenda).

3.2 Alvoru traite les données personnelles exclusivement sur instruction documentée du Client, sous réserve d'obligations légales contraires (art. 28, paragraphe 3, point a, RGPD). Dans ce dernier cas, Alvoru informe le Client avant le traitement, à moins que cette loi ne l'interdise pour des motifs importants.

Article 4 — Types de données personnelles et catégories de personnes concernées

Les catégories particulières de données personnelles (art. 9 RGPD) et les données relatives aux condamnations pénales (art. 10 RGPD) ne sont pas traitées, sauf convention écrite complémentaire.

Article 5 — Obligations du Sous-traitant

5.1 Alvoru traite les données personnelles exclusivement aux finalités définies dans le Contrat principal et le présent DPA, et sur instruction écrite du Client.

5.2 Alvoru garantit que les personnes traitant des données personnelles sont soumises à une obligation de confidentialité, que ce soit en vertu de la loi ou d'un contrat.

5.3 Alvoru apporte au Client, compte tenu de la nature du traitement, une assistance raisonnable pour répondre aux demandes des personnes concernées exerçant leurs droits au titre du RGPD.

5.4 Alvoru met à la disposition du Client toutes les informations nécessaires pour démontrer le respect de l'article 28 RGPD.

5.5 Interdiction d'entraînement de l'IA. Alvoru n'utilisera jamais les données personnelles qu'elle traite pour le compte du Responsable du traitement pour entraîner, affiner ou autrement améliorer des modèles d'IA, ni pour développer ses propres applications d'IA ou celles de tiers.

Article 6 — Mesures de sécurité (article 32 RGPD)

Alvoru prend des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, notamment :

• Chiffrement en transit (TLS 1.2+) et, le cas échéant, chiffrement au repos ;
• Contrôle d'accès fondé sur moindre privilège; authentification à deux facteurs pour les administrateurs ;
• Pare-feu, fail2ban et surveillance des intrusions ;
• Sauvegardes chiffrées quotidiennes avec une durée de conservation maximale de 90 jours ;
• Droits d'accès restrictifs (600) sur les fichiers de configuration et de données ;
• Journalisation et surveillance des accès aux systèmes de production ;
• Évaluation et actualisation périodiques des mesures de sécurité.

Article 7 — Sous-traitants ultérieurs

7.1 Le Client accorde à Alvoru une autorisation écrite générale de faire appel à des sous-traitants ultérieurs, à condition qu'Alvoru respecte les autres dispositions du présent article.

7.2 Les sous-traitants ultérieurs actuellement engagés sont :

7.3 Alvoru impose aux sous-traitants ultérieurs les mêmes obligations de protection des données que celles prévues dans le présent DPA (article 28, paragraphe 4, RGPD).

7.4 Alvoru informe le Client au moins 14 jours à l'avance de tout remplacement ou ajout de sous-traitants ultérieurs. Le Client peut, dans ce délai, formuler une objection motivée. En cas d'objection fondée, le Client a le droit de résilier le Contrat principal sans frais.

Article 8 — Transfert hors de l'EEE

Le transfert de données à caractère personnel vers un pays situé en dehors de l'Espace économique européen s'effectue exclusivement sur la base d'une décision d'adéquation (art. 45 RGPD), de règles d'entreprise contraignantes, des clauses contractuelles types de l'UE (art. 46, paragraphe 2, point c, RGPD) ou d'une autre garantie prévue par le RGPD, complétée par des mesures techniques et organisationnelles supplémentaires lorsque cela est requis.

Article 9 — Droits des personnes concernées

9.1 Alvoru offre au Client une assistance appropriée pour le traitement des demandes des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition) au moyen de fonctionnalités techniques dans le portail client et, si nécessaire, d'une assistance complémentaire.

9.2 Alvoru transmet sans délai au Client les demandes des personnes concernées qui parviennent directement à Alvoru.

Article 10 — Violations de données

10.1 Alvoru informe le Client sans délai et au plus tard dans les 48 heures après la constatation d'une violation de données à caractère personnel (art. 33, paragraphe 2, RGPD), afin que le Client puisse satisfaire en temps utile à son obligation de notification dans les 72 heures auprès de l'autorité de protection des données.

10.2 La notification contient en tout état de cause : la nature de la violation, les catégories et le nombre de personnes concernées, les catégories et le nombre d'enregistrements concernés, les conséquences probables ainsi que les mesures prises ou proposées.

10.3 Alvoru apporte au Client une assistance appropriée pour la notification à l'autorité de protection des données et, le cas échéant, aux personnes concernées.

Article 11 — Audit

11.1 Le Client peut, une fois par année civile, après notification écrite préalable d'au moins 30 jours, faire réaliser à ses propres frais un audit portant sur le respect du présent DPA par Alvoru.

11.2 L'audit est réalisé par un auditeur indépendant tenu à la confidentialité, pendant les heures de bureau et d'une manière qui ne perturbe pas le fonctionnement normal d'Alvoru.

11.3 Au lieu d'un audit sur site, Alvoru peut se contenter d'un rapport à jour d'un tiers indépendant (par exemple ISO 27001 ou SOC 2), pour autant que ce rapport offre raisonnablement des garanties suffisantes.

Article 12 — Résiliation et effacement des données

12.1 À l'issue du Contrat principal, Alvoru procédera, au choix du Client et sur première demande écrite, à l'effacement ou à la restitution de toutes les données à caractère personnel au Client, conformément à l'article 28, paragraphe 3, point g, RGPD.

12.2 Une telle demande peut être introduite dans les 60 jours suivant la résiliation. À défaut, les données sont automatiquement effacées après 60 jours.

12.3 Les sauvegardes hors ligne sont effacées conformément au calendrier de rotation habituel, au plus tard 90 jours après la résiliation.

12.4 Les données qu'Alvoru est légalement tenue de conserver sont conservées pendant la durée légalement prescrite.

Article 13 — Responsabilité

13.1 La responsabilité d'Alvoru au titre du présent DPA est comprise dans les clauses de responsabilité des Conditions générales relatives au Contrat principal et est limitée par celles-ci.

13.2 Les dispositions impératives du RGPD demeurent inchangées.

Article 13a — Registre des activités de traitement

Alvoru tient un registre des activités de traitement conformément à l'article 30 RGPD. Ce registre contient en tout état de cause : le nom et les coordonnées d'Alvoru en tant que sous-traitant, les catégories de traitements effectués pour le compte des Responsables du traitement, les transferts vers des pays tiers et les garanties appliquées, ainsi qu'une description générale des mesures de sécurité techniques et organisationnelles. Le registre est disponible sur demande pour l'autorité de protection des données.

Article 14 — Droit applicable et litiges

Le présent DPA est régi par le droit néerlandais. Les litiges sont soumis au tribunal d'Overijssel, site d'Almelo.

Signature

Envoyez la version signée (numérisée ou signée électroniquement) à info@alvoru.com. Alvoru vous retournera une copie contresignée.