Cette traduction est fournie à titre indicatif uniquement. En cas de divergence, la version anglaise prévaut.

Accord de traitement des données

Le présent Accord de traitement des données (le « DPA ») fait partie du contrat conclu entre vous (le « Responsable du traitement ») et Caliradi LLC, exploitant de Caliradi.ai (le « Sous-traitant »), et s’applique lorsque nous traitons des données à caractère personnel pour votre compte dans le cadre de la fourniture du Service Caliradi.

1. Définitions

Les termes commençant par une majuscule qui ne sont pas définis ici ont le sens qui leur est donné dans le RGPD (règlement (UE) 2016/679) :

• Responsable du traitement — vous, le client Caliradi qui détermine les finalités et les moyens du traitement.
• Sous-traitant — Caliradi LLC, qui traite des données à caractère personnel pour votre compte.
• Personne concernée — vos clients finaux, employés ou contacts dont les données à caractère personnel sont traitées.
• Sous-traitant ultérieur — tout tiers auquel nous faisons appel pour traiter des données à caractère personnel (voir la section 7).

2. Champ d’application et objet

Nous traitons des données à caractère personnel uniquement pour vous fournir le Service Caliradi et selon vos instructions. La durée du traitement correspond à la durée de votre offre, augmentée de toute période de conservation exigée par la loi.

3. Catégories de données à caractère personnel et de personnes concernées

4. Obligations du sous-traitant

Nous nous engageons à :

• Traiter les données à caractère personnel uniquement sur instruction documentée de votre part, y compris en ce qui concerne les transferts internationaux.
• Veiller à ce que les personnes autorisées à accéder aux données à caractère personnel soient soumises à des obligations de confidentialité.
• Mettre en œuvre des mesures de sécurité techniques et organisationnelles appropriées (section 6).
• Vous aider à répondre aux demandes des personnes concernées (accès, suppression, portabilité, etc.).
• Vous aider dans le cadre des analyses d’impact relatives à la protection des données et des consultations préalables des autorités de contrôle.
• Vous notifier les violations de données à caractère personnel dans les meilleurs délais, et dans un délai de 72 heures lorsque cela est possible.
• Restituer ou supprimer les données à caractère personnel au terme des services, sauf si leur conservation est exigée par la loi.
• Mettre à disposition toutes les informations nécessaires pour démontrer la conformité et permettre des audits (section 8).

5. Obligations du responsable du traitement

Vous vous engagez à :

• Traiter les données à caractère personnel conformément aux lois applicables.
• Disposer d’une base juridique valable pour le traitement dont vous donnez instruction (consentement, contrat, intérêt légitime, etc.).
• Fournir des instructions de traitement exactes et licites.
• Informer les Personnes concernées de la manière dont leurs données sont traitées, y compris au sujet du présent DPA le cas échéant.

6. Mesures de sécurité

Nous mettons en œuvre et maintenons les mesures techniques et organisationnelles suivantes :

• Chiffrement. TLS 1.2+ en transit, AES-256 au repos.
• Contrôle d’accès. Accès basé sur les rôles, MFA pour les systèmes de production, principe du moindre privilège.
• Sécurité réseau. WAF Cloudflare, protection DDoS, liste d’adresses IP autorisées pour l’accès administrateur.
• Surveillance. Journalisation d’audit, détection d’intrusion, alertes automatisées en cas d’anomalie.
• Sauvegardes. Sauvegardes chiffrées quotidiennes, conservation de 30 jours, restaurabilité testée chaque trimestre.
• Personnel. Vérification des antécédents, accords de confidentialité signés, formation obligatoire à la sécurité.
• Gestion des fournisseurs. Examen de sécurité et DPA en place avec chaque sous-traitant ultérieur.
• Réponse aux incidents. Procédure documentée, astreinte 24 h/24 et 7 j/7, analyses post-incident.
• Conformité. Démarche en cours vers la certification SOC-2 Type II.

7. Sous-traitants ultérieurs

Vous nous autorisez à faire appel aux sous-traitants ultérieurs suivants pour les finalités décrites :

Nous vous informerons au moins 14 jours avant d’ajouter ou de remplacer un sous-traitant ultérieur. Vous pouvez vous y opposer pour des motifs raisonnables liés à la protection des données ; si aucune solution n’est trouvée, vous pouvez résilier la partie du Service concernée.

8. Audits

Une fois par an, moyennant un préavis écrit d’au moins 30 jours, vous pouvez auditer notre conformité au présent DPA. Nous pouvons satisfaire à nos obligations en matière d’audit en fournissant des rapports d’audit récents établis par des tiers (p. ex. SOC-2). Les audits doivent respecter la confidentialité et ne pas perturber les opérations.

9. Transferts internationaux

Lorsque des données à caractère personnel sont transférées hors de l’Espace économique européen, du Royaume-Uni ou de la Suisse, nous nous appuyons sur les clauses contractuelles types de l’UE (CCT, module 2 — responsable du traitement à sous-traitant) et sur l’avenant britannique relatif aux transferts internationaux de données (UK International Data Transfer Addendum), selon le cas. Ceux-ci sont intégrés par référence au présent DPA.

10. Demandes des personnes concernées

Si une Personne concernée nous contacte directement pour exercer ses droits, nous l’orienterons vers vous et vous en informerons. Nous vous aiderons dans une mesure raisonnable à répondre dans les délais légaux.

11. Responsabilité

Le plafond de responsabilité et les dispositions d’indemnisation de nos Conditions d’utilisation s’appliquent aux réclamations découlant du présent DPA, sauf lorsque le droit impératif en matière de protection des données en dispose autrement.

12. Durée et résiliation

Le présent DPA reste en vigueur aussi longtemps que nous traitons des données à caractère personnel pour votre compte. Les dispositions destinées à survivre (confidentialité, audit, responsabilité, restitution/suppression des données) survivent à la résiliation.

13. Contact