Accord de traitement des données

1. Définitions

Les termes responsable du traitement, sous-traitant, sous-traitant ultérieur, personne concernée, données personnelles, traitement et violation de données à caractère personnel ont le sens qui leur est donné dans le UK GDPR et le RGPD de l’UE. Les « Lois sur la protection des données » désignent le UK GDPR, le RGPD de l’UE (règlement 2016/679), le UK Data Protection Act 2018 et toute autre législation applicable à la protection des données ou de la vie privée.

2. Rôles et périmètre

Pour les données personnelles traitées en vertu de l’accord, le Client est le responsable du traitement et Clavio le sous-traitant (ou, si le Client est lui-même sous-traitant pour ses utilisateurs finaux, Clavio est sous-traitant ultérieur). Clavio traite les données personnelles uniquement pour fournir le Service et son assistance. L’objet, la durée, la nature et la finalité du traitement, les types de données personnelles et les catégories de personnes concernées sont décrits à l’Annexe A ci-dessous.

3. Obligations du Sous-traitant (article 28)

Clavio s’engage à :

• Instructions documentées — traiter les données personnelles uniquement sur instructions documentées du Client (y compris celles de l’accord et du présent DPA), sauf obligation légale contraire, auquel cas Clavio en informera préalablement le Client lorsque la loi le permet.
• Confidentialité — veiller à ce que les personnes autorisées à traiter les données personnelles soient soumises à une obligation appropriée de confidentialité.
• Sécurité — mettre en œuvre les mesures techniques et organisationnelles décrites au §6 et à l’Annexe B (article 32).
• Sous-traitants ultérieurs — ne faire appel à des sous-traitants ultérieurs que conformément au §5.
• Assistance concernant les droits des personnes — compte tenu de la nature du traitement, aider le Client par des mesures appropriées à répondre aux demandes des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition).
• Assistance à la conformité — aider le Client à assurer le respect des articles 32–36 (sécurité, notification des violations, analyses d’impact relatives à la protection des données et consultation préalable), compte tenu des informations dont dispose Clavio.
• Suppression ou restitution — au choix du Client, supprimer ou restituer toutes les données personnelles après la fin des prestations et supprimer les copies existantes, sauf obligation légale de conservation (voir §8).
• Audits — fournir les informations nécessaires pour démontrer le respect de l’article 28, permettre les audits, y compris les inspections, réalisés par le Client ou son auditeur mandaté, et y contribuer, sous réserve de dispositions raisonnables de confidentialité et de sécurité.

4. Violation de données personnelles

Clavio notifiera le Client sans retard injustifié après avoir pris connaissance d’une violation touchant les données personnelles du Client et lui fournira les informations raisonnablement disponibles pour l’aider à remplir ses propres obligations de notification aux autorités de contrôle et aux personnes concernées en vertu des articles 33 et 34.

5. Sous-traitants ultérieurs

Le Client accorde à Clavio une autorisation générale de faire appel à des sous-traitants ultérieurs pour fournir le Service. Les sous-traitants ultérieurs actuels figurent dans notre Politique de confidentialité et sont énumérés ci-dessous. Clavio imposera à chacun des obligations de protection des données substantiellement équivalentes à celles du présent DPA et reste responsable de l’exécution de leurs obligations. Clavio informera le Client des changements envisagés et lui donnera la possibilité de s’y opposer pour des motifs raisonnables de protection des données.

• Anthropic — amélioration par IA du texte transcrit ; traite les transcriptions et le contenu dicté.
• OpenAI (Whisper) — transcription de la parole en texte ; traite les enregistrements vocaux.
• Groq — peut assurer la transcription de la parole en texte lorsqu’il est configuré ; traite les enregistrements vocaux et les données d’inférence associées selon les contrôles de données applicables au compte.
• Lemon Squeezy — traitement des paiements et facturation des abonnements en tant que Merchant of Record ; traite les données de compte et d’identité (nom, e-mail), les informations de facturation et de paiement et le pays à des fins fiscales.
• Apple — connexion et vérification d’identité ; traite les données de compte et d’identité.
• Google — connexion et vérification d’identité ; traite les données de compte et d’identité.
• Railway — hébergement de l’application et infrastructure de base de données ; peut traiter toutes les catégories décrites à l’Annexe A.
• GitLab — distribution logicielle et outils d’exploitation ; traite les données de diagnostic et d’exploitation.

6. Mesures de sécurité (article 32)

Clavio maintient des mesures techniques et organisationnelles appropriées pour protéger les données personnelles, notamment : chiffrement en transit (TLS) ; stockage uniquement de jetons d’authentification hachés plutôt que de mots de passe ; contrôles d’accès selon le besoin d’en connaître ; recours à des fournisseurs d’infrastructure reconnus ; et pratiques d’exploitation conçues pour assurer en permanence la confidentialité, l’intégrité, la disponibilité et la résilience du Service. Ces mesures sont résumées à l’Annexe B.

7. Transferts internationaux

Lorsque le traitement prévu par ce DPA implique un transfert de données personnelles hors du Royaume-Uni ou de l’EEE vers un pays sans décision d’adéquation, les parties conviennent que ces transferts sont soumis aux garanties appropriées de l’article 46, à savoir les Clauses contractuelles types de la Commission européenne (EU 2021/914) et, pour les transferts britanniques, l’Accord britannique sur les transferts internationaux de données / l’Avenant britannique, incorporés aux présentes par référence et complétés par les informations des Annexes. Nous signons ces clauses sans négociation à titre habituel.

8. Durée, suppression et restitution

Ce DPA s’applique aussi longtemps que Clavio traite des données personnelles pour le compte du Client. À la résiliation ou à l’expiration du Service, et au choix du Client, Clavio supprimera ou restituera les données personnelles du Client et supprimera les copies existantes, sous réserve de courtes périodes de rotation des sauvegardes et de toute conservation imposée par la loi.

9. Annexe A — Détails du traitement

• Objet et nature : fourniture d’un service de dictée vocale par IA : capture, transmission, transcription et amélioration des dictées, ainsi que gestion des comptes et abonnements.
• Finalité : fournir le Service au Client et à ses utilisateurs autorisés.
• Durée : pendant la durée de l’accord, plus toute période limitée de clôture au titre du §8.
• Catégories de personnes concernées : utilisateurs autorisés du Client (par exemple salariés ou membres de l’équipe).
• Types de données personnelles : données de compte et d’identité (identifiant utilisateur, nom, e-mail, y compris les adresses de relais privé Apple) ; enregistrements vocaux et transcriptions ; informations d’abonnement, de facturation et de paiement (gérées par notre Merchant of Record, Lemon Squeezy), dont le pays à des fins fiscales ; données d’utilisation, de diagnostic et d’appareil/système d’exploitation.
• Catégories particulières de données : enregistrements vocaux, traités temporairement pour produire des transcriptions ; non utilisés pour entraîner des modèles d’IA.

10. Annexe B — Mesures de sécurité (résumé)

• Chiffrement des données personnelles en transit (TLS).
• Authentification via les fournisseurs d’identité connectés ; stockage uniquement de jetons hachés, pas de mots de passe.
• Contrôles d’accès aux systèmes et aux données fondés sur les rôles et le besoin d’en connaître.
• Recours à des sous-traitants ultérieurs d’infrastructure et d’IA reconnus, évalués en matière de sécurité et soumis à des conditions de protection des données.
• Journalisation et surveillance pour détecter les événements de sécurité et y répondre, et procédure de notification au Client des violations de données personnelles.
• Mesures conçues pour rétablir rapidement la disponibilité et l’accès aux données personnelles après un incident.

11. Contact

Pour demander ou signer ce DPA, ou poser des questions à son sujet, contactez office@justetools.co.uk .