Avenant relatif au traitement des données

Le présent avenant relatif au traitement des données (le « DPA ») complète l’accord conclu entre CITATIONS IO LTD (exerçant sous le nom commercial Citations.io, « Sous-traitant »; enregistrée auprès de l’Information Commissioner’s Office du Royaume-Uni sous le numéro d’enregistrement ZC187049) et le client désigné dans cet accord (« Responsable du traitement ») pour la fourniture des services Citations.io (le « Contrat principal »). Il s’applique lorsque le Sous-traitant traite des Données à caractère personnel pour le compte du Responsable du traitement dans le cadre du Contrat principal. En cas de conflit, le présent DPA prévaut sur le Contrat principal en ce qui concerne les Données à caractère personnel.

• « Législation applicable en matière de protection des données » désigne le RGPD britannique, le RGPD de l’UE, le UK Data Protection Act 2018, le California Consumer Privacy Act (tel que modifié par le CPRA), ainsi que toute autre législation relative à la vie privée ou à la protection des données applicable au traitement des Données à caractère personnel par une partie.
• « Responsable du traitement », « Sous-traitant », « Données à caractère personnel », « Traitement », « Sous-traitant ultérieur » et « Personne concernée » ont le sens qui leur est attribué dans le RGPD britannique / RGPD de l’UE.
• « Violation de données à caractère personnel » désigne une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de Données à caractère personnel ou l’accès non autorisé à de telles données.
• « Clauses contractuelles types » ou « CCT » désigne les clauses du Module 2 (de responsable du traitement à sous-traitant) approuvées par la Commission européenne dans la décision 2021/914.
• « Avenant britannique » désigne l’avenant britannique relatif aux transferts internationaux de données complétant les CCT, publié par l’Information Commissioner.

Le Responsable du traitement agit en qualité de responsable du traitement et le Sous-traitant en qualité de sous-traitant des Données à caractère personnel traitées au titre du Contrat principal. Le Sous-traitant ne traitera les Données à caractère personnel que sur instructions documentées du Responsable du traitement, notamment celles figurant dans le Contrat principal et le présent DPA, ainsi que celles résultant de l’utilisation du Service par le Responsable du traitement. Le Sous-traitant informera le Responsable du traitement s’il estime qu’une instruction enfreint la Législation applicable en matière de protection des données.

Objet et durée

Fourniture du service Citations.io pendant la durée du Contrat principal et toute période suivant sa résiliation nécessaire à la restitution ou à la suppression des Données à caractère personnel.

Nature et finalité

Hébergement, traitement et analyse des Données à caractère personnel afin de permettre au Responsable du traitement de suivre la visibilité de sa marque sur les moteurs de recherche IA et de gérer les prompts, les citations, les concurrents, les intégrations, les rapports et les workflows associés.

Catégories de Personnes concernées

Utilisateurs autorisés du Responsable du traitement ; clients, prospects ou contacts du Responsable du traitement (lorsque celui-ci importe de telles données dans le Service) ; personnes nommées dans des contenus générés par l’IA accessibles au public et analysés par le Service.

Catégories de Données à caractère personnel

Identifiants (nom, e-mail, rôle), informations professionnelles, identifiants de connexion au compte (hachés), journaux d’utilisation, contenu des prompts et des rapports, et toute autre Donnée à caractère personnel que le Responsable du traitement choisit de soumettre. Aucune donnée relevant de catégories particulières n’est requise par le Service ; le Responsable du traitement ne doit pas soumettre de données relevant de catégories particulières ni de données relatives aux condamnations pénales et aux infractions.

Le Sous-traitant veillera à ce que les membres du personnel autorisés à traiter les Données à caractère personnel soient soumis à des obligations de confidentialité et aient reçu une formation appropriée en matière de protection des données et de sécurité de l’information.

Le Sous-traitant mettra en œuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, notamment :

• chiffrement en transit (TLS 1.2+) et au repos (AES-256) ;
• contrôle d’accès fondé sur les rôles et gestion des accès selon le principe du moindre privilège ;
• authentification multifacteur pour les accès administratifs ;
• segmentation du réseau et infrastructure cloud gérée ;
• journalisation centralisée et pistes d’audit ;
• analyses régulières des vulnérabilités et gestion des correctifs ;
• cycle de développement sécurisé comprenant la revue du code et l’analyse des dépendances ;
• plans documentés de réponse aux incidents et de continuité d’activité ;
• revues annuelles de sécurité et formation du personnel.

Les informations complètes sont disponibles à l’adresse /security.

Le Responsable du traitement autorise le Sous-traitant à faire appel aux Sous-traitants ultérieurs répertoriés à l’adresse /subprocessors. Le Sous-traitant imposera à chaque Sous-traitant ultérieur des obligations de protection des données au moins aussi protectrices que celles du présent DPA. Le Sous-traitant informera le Responsable du traitement de tout ajout ou remplacement envisagé d’un Sous-traitant ultérieur avec un préavis d’au moins 30 jours (par e-mail aux abonnés et sur la page des Sous-traitants ultérieurs). Le Responsable du traitement pourra s’y opposer pour des motifs raisonnables liés à la protection des données pendant ce délai de préavis, auquel cas les parties s’efforceront de bonne foi de résoudre l’objection. À défaut de résolution, le Responsable du traitement pourra résilier la partie concernée du Service sans avoir à justifier d’un manquement. Le Sous-traitant demeure responsable des actes et omissions de ses Sous-traitants ultérieurs.

Compte tenu de la nature du traitement, le Sous-traitant fournira une assistance raisonnable au Responsable du traitement au moyen de mesures techniques et organisationnelles appropriées, dans la mesure du possible, afin de lui permettre de répondre aux demandes des Personnes concernées. Le Service propose des outils en libre-service permettant d’accéder aux Données à caractère personnel, de les exporter et de les supprimer ; une assistance supplémentaire est disponible à l’adresse privacy@citations.io.

Le Sous-traitant informera le Responsable du traitement dans les meilleurs délais et, en tout état de cause, dans les 72 heures suivant la prise de connaissance d’une Violation de données à caractère personnel affectant les Données à caractère personnel du Responsable du traitement. La notification comprendra, dans la mesure où ces informations sont connues, la nature de la violation, les catégories et le nombre approximatif de Personnes concernées et d’enregistrements touchés, les conséquences probables, ainsi que les mesures prises ou proposées.

Le Sous-traitant fournira au Responsable du traitement une assistance raisonnable pour les analyses d’impact relatives à la protection des données et les consultations préalables des autorités de contrôle requises au titre des articles 35 et 36 du RGPD, dans chaque cas uniquement en ce qui concerne le traitement des Données personnelles par le Sous-traitant.

Lorsque le Sous-traitant transfère des Données personnelles depuis le Royaume-Uni ou l’EEE vers un pays ne faisant pas l’objet d’une décision d’adéquation, les parties conviennent que les clauses contractuelles types (CCT) sont incorporées par référence (Module 2, avec la clause 7 relative à l’adhésion, la clause 9(a) Option 2 avec un préavis de 30 jours, la clause 11 sans règlement indépendant des litiges, la clause 17 Option 1 régie par le droit irlandais, la clause 18(b) attribuant compétence aux tribunaux irlandais). Pour les transferts depuis le Royaume-Uni, l’Addendum britannique est incorporé et les CCT sont modifiées en conséquence. Les annexes I-III des CCT sont celles décrites dans le présent accord de traitement des données (DPA).

Le Sous-traitant mettra à la disposition du Responsable du traitement les informations nécessaires pour démontrer le respect du présent DPA. Le Responsable du traitement peut, au maximum une fois par an et à ses propres frais, réaliser un audit moyennant un préavis écrit d’au moins 30 jours, pendant les heures ouvrées et sous réserve d’obligations de confidentialité. En lieu et place d’un audit sur site, le Sous-traitant peut fournir au Responsable du traitement des rapports d’audit de tiers (par exemple SOC 2, ISO 27001 dès qu’ils seront disponibles) et des réponses à un questionnaire de sécurité. Les audits sur site faisant suite à une Violation de Données personnelles ne sont pas soumis à la limite d’une fois par an.

À la résiliation du Contrat principal, le Sous-traitant supprimera ou restituera, au choix du Responsable du traitement, toutes les Données personnelles dans un délai de 30 jours et supprimera les copies existantes, sauf si leur conservation est requise par la loi. Les copies de sauvegarde seront écrasées ou supprimées conformément au cycle de conservation des sauvegardes du Sous-traitant, pendant lequel elles resteront soumises aux obligations de sécurité et de confidentialité du présent DPA.

En ce qui concerne les Données personnelles soumises au CCPA, le Sous-traitant est un « Prestataire de services » (« Service Provider ») et le Responsable du traitement est une « Entreprise » (« Business »). Le Sous-traitant ne doit pas (a) vendre ou partager les Données personnelles ; (b) conserver, utiliser ou divulguer les Données personnelles à des fins autres que la finalité commerciale spécifique de fourniture du Service ; (c) conserver, utiliser ou divulguer les Données personnelles en dehors de la relation commerciale directe entre les parties ; ni (d) combiner les Données personnelles reçues du Responsable du traitement avec des Données personnelles provenant d’autres sources, sauf dans la mesure autorisée par la réglementation relative au CCPA. Le Sous-traitant informera le Responsable du traitement s’il n’est plus en mesure de respecter ses obligations au titre du CCPA.

La responsabilité de chaque partie au titre du présent DPA est soumise aux limitations de responsabilité prévues dans le Contrat principal, sauf lorsque le droit applicable n’autorise pas une telle limitation.