Accord de traitement des données

1. Parties et objet

Le présent accord de traitement des données (en néerlandais : verwerkersovereenkomst) est conclu entre le client qui utilise Mentiofy (le responsable du traitement, « vous ») et Trueqrcode, exerçant sous le nom de Mentiofy, KvK 71264558, Nieuwe Gracht 3, 2011 NB Haarlem, Pays-Bas (le sous-traitant, « nous »).

Il s'applique chaque fois que nous traitons des données à caractère personnel pour votre compte dans le cadre de la fourniture du service en vertu de nos Conditions d'utilisation, dont il fait partie intégrante. Il satisfait aux exigences de l'article 28 du Règlement général sur la protection des données (RGPD). Vous l'acceptez en acceptant les Conditions d'utilisation. Si vous avez besoin d'un exemplaire signé, écrivez à info@mentiofy.com.

2. Définitions

Les termes tels que données à caractère personnel, traitement, responsable du traitement, sous-traitant, personne concernée, violation de données à caractère personnel et autorité de contrôle ont le sens que leur donne le RGPD. Les données personnelles du client désignent les données à caractère personnel que vous ou vos clients saisissez dans le service, ou que nous traitons pour votre compte dans le cadre de sa fourniture. Un sous-traitant ultérieur désigne un tiers auquel nous faisons appel pour traiter des données personnelles du client.

3. Ce que nous traitons et pourquoi

Nous traitons les données personnelles du client uniquement pour fournir le service : mesurer des prompts sur des moteurs d'IA, analyser les réponses, établir des rapports, assurer le support et les communications liées à la facturation de votre compte. L'annexe 1 décrit le traitement plus en détail.

Nous traitons les données personnelles du client pendant toute la durée de l'accord, puis uniquement dans la mesure nécessaire pour les restituer ou les supprimer, voir la section 11.

4. Vos instructions

Nous ne traitons les données personnelles du client que sur vos instructions documentées. Les Conditions d'utilisation, le présent accord et la manière dont vous configurez et utilisez le service constituent vos instructions. Si nous estimons qu'une instruction enfreint le RGPD ou une autre législation sur la protection des données, nous vous en informons immédiatement. Si la loi nous oblige à traiter des données d'une autre manière, nous vous en informons au préalable, sauf si la loi l'interdit.

Il vous incombe de disposer d'une base juridique valable pour le traitement, d'informer les personnes concernées et de répondre des données que vous ou vos clients saisissez dans le service. Veuillez ne pas saisir de catégories particulières de données à caractère personnel dans le service.

5. Confidentialité

Toute personne chez Mentiofy, et tout sous-traitant ultérieur, ayant accès aux données personnelles du client est tenue à la confidentialité, par contrat ou par la loi, et n'y a accès que dans la mesure nécessaire à son travail.

6. Sécurité

Nous prenons des mesures techniques et organisationnelles appropriées pour protéger les données personnelles du client contre la perte et le traitement illicite, compte tenu de l'état des connaissances, des coûts et des risques. L'annexe 2 énumère ces mesures. Nous pouvons les mettre à jour, à condition que le niveau global de protection ne diminue pas.

7. Sous-traitants ultérieurs

Vous nous accordez une autorisation générale de faire appel à des sous-traitants ultérieurs. L'annexe 3 énumère les sous-traitants ultérieurs actuels. Nous leur imposons les mêmes obligations en matière de protection des données que celles que le présent accord nous impose, et nous restons responsables d'eux à votre égard.

Nous vous informons au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant ultérieur, par e-mail ou dans l'application. Vous pouvez vous y opposer pour des motifs raisonnables dans ce délai. Si nous ne pouvons pas résoudre l'objection, vous pouvez mettre fin à l'accord pour la partie du service concernée, sans payer la période restante.

8. Transferts hors de l'EEE

Lorsque des données personnelles du client sont transférées hors de l'Espace économique européen, nous veillons à ce que le transfert soit conforme au RGPD, par exemple parce que le destinataire est certifié au titre du EU-US Data Privacy Framework, que le pays bénéficie d'une décision d'adéquation, ou au moyen des clauses contractuelles types de la Commission européenne assorties de mesures supplémentaires si nécessaire.

9. Assistance

Compte tenu de la nature du traitement, nous vous aidons à :

• répondre aux demandes des personnes concernées qui exercent leurs droits, tels que l'accès, la rectification ou l'effacement. Si une personne concernée nous contacte directement, nous vous transmettons la demande et n'y répondons pas nous-mêmes, sauf si vous nous le demandez ;
• respecter vos obligations en matière de sécurité, d'analyses d'impact relatives à la protection des données et de consultation préalable de l'autorité de contrôle ;
• démontrer que vous respectez le RGPD.

Nous pouvons facturer des frais raisonnables pour une assistance allant au-delà de ce que le service offre normalement. Nous vous en informons à l'avance.

10. Violations de données à caractère personnel

Si nous prenons connaissance d'une violation de données à caractère personnel concernant des données personnelles du client, nous vous en informons dans les meilleurs délais et en tout état de cause dans un délai de 48 heures. Nous vous fournissons les informations dont vous avez besoin pour évaluer la violation et, le cas échéant, la notifier à l'autorité de contrôle et aux personnes concernées dans le délai légal. Cela comprend, dans la mesure où ils sont connus : ce qui s'est passé, les données et le nombre de personnes concernées, les conséquences probables et les mesures que nous avons prises ou proposons. Nous prenons des mesures pour limiter les conséquences et éviter que cela ne se reproduise.

La notification d'une violation à l'autorité de contrôle ou aux personnes concernées relève de votre responsabilité en tant que responsable du traitement, sauf accord contraire.

11. À la fin de l'accord

À la fin de l'accord, vous pouvez exporter vos données pendant 30 jours. Ensuite, nous supprimons les données personnelles du client, copies comprises, dans un délai de 90 jours, sauf si la loi nous oblige à les conserver. Les sauvegardes sont écrasées selon le cycle de sauvegarde normal. Sur demande, nous confirmons par écrit que les données ont été supprimées.

12. Audits

Nous vous fournissons les informations dont vous avez besoin pour démontrer que nous respectons le présent accord. Vous pouvez faire réaliser un audit, au maximum une fois par an, par un auditeur indépendant tenu à la confidentialité, moyennant un préavis d'au moins 30 jours et pendant les heures de travail normales. Vous supportez les coûts de l'audit, sauf s'il révèle que nous avons gravement manqué au présent accord. Si nous disposons d'un rapport indépendant récent ou d'une certification couvrant les questions, nous pouvons vous les fournir à la place.

13. Responsabilité

Les limitations de responsabilité prévues dans les Conditions d'utilisation s'appliquent également au présent accord. Chaque partie reste responsable des amendes qui lui sont infligées par une autorité de contrôle, dans la mesure prévue par le RGPD.

14. Durée et modifications

Le présent accord s'applique tant que nous traitons des données personnelles du client pour vous. Les obligations qui, par leur nature, se poursuivent, comme la confidentialité et la suppression, continuent de s'appliquer après sa fin. Nous pouvons modifier le présent accord lorsque la loi ou notre service évolue, de la même manière que celle décrite pour les Conditions d'utilisation. En cas de contradiction entre le présent accord et les Conditions d'utilisation en matière de protection des données, le présent accord prévaut.

15. Droit applicable et litiges

Le droit néerlandais s'applique. Les litiges sont portés devant le tribunal compétent du district de Noord-Holland, siège de Haarlem. Le présent accord est rédigé en anglais, et la version anglaise prévaut toujours sur toute traduction.

16. Annexe 1 : Description du traitement

17. Annexe 2 : Mesures de sécurité

• Toutes les connexions sont chiffrées avec TLS.
• Les données sont stockées chez un hébergeur qui respecte des normes de sécurité reconnues, et protégées contre les attaques par Cloudflare.
• L'accès aux données personnelles du client est limité aux personnes qui en ont besoin, avec une authentification à deux facteurs pour l'accès administrateur.
• Les mots de passe sont stockés sous forme de hachages salés, jamais en clair.
• Des sauvegardes régulières, avec une procédure de restauration testée.
• La journalisation des accès aux données sensibles et la surveillance des activités inhabituelles.
• Nous n'envoyons aux fournisseurs d'IA que les données nécessaires à chaque tâche, dans le cadre de conditions professionnelles qui les excluent de l'entraînement des modèles lorsque le fournisseur le propose.
• Une procédure de gestion et de notification des violations de données à caractère personnel.
• Un réexamen régulier de ces mesures.

18. Annexe 3 : Sous-traitants ultérieurs