Avenant sur la protection des données

COMMENT EXÉCUTER CET ACCORD DE PROCÉDURE ... (DPA) :

Pour finaliser ce DPA, veuillez envoyer un courriel légal @digital.ai. Dès réception d'un DPA dûment rempli par Digital.ai, un tel accord de protection des données deviendra juridiquement contraignant.

Une version PDF du DPA peut être téléchargée. ici Pour avis client.

Avenant sur la protection des données

Le présent avenant relatif à la protection des données («DPA« » fait partie de l’Accord (défini ci-dessous) entre Digital.ai et client pour Digital.ai Fournir des Services au Client. Sauf indication contraire dans les présentes, tous les termes en majuscules ont la signification qui leur est attribuée dans le Contrat applicable.

Digital.ai Dans le cadre de la fourniture des Services au Client conformément au Contrat, nous pouvons être amenés à traiter des Données Personnelles du Client soumises à la Législation sur la Protection des Données. Le présent Accord de Protection des Données (APD) définit les obligations des parties concernant le Traitement des Données Personnelles conformément au Contrat.

En considération des obligations réciproques énoncées aux présentes, les parties conviennent de se conformer aux dispositions suivantes, chacune agissant de manière raisonnable et de bonne foi.

1. DÉFINITIONS

"Affiliés« Désigne toute personne ou entité qui, directement ou indirectement, possède, contrôle ou est contrôlée par, ou est sous contrôle commun avec une partie, le contrôle étant défini comme la possession ou la direction de plus de 50 % des titres de participation donnant droit de vote ou d’une participation similaire dans l’entité contrôlée. »

"Accord« désigne tous les accords actuels et futurs entre Digital.ai et le Client en relation avec lequel Digital.ai fournit des Services impliquant le Traitement de Données Personnelles pour le compte du Client, tels qu'un Contrat d'Abonnement Principal («mondiale) et toutes les commandes applicables aux Services. Le présent accord de protection des données est intégré à ces accords par la présente référence. 

"Contrôleur« désigne l’entité qui, seule ou conjointement avec d’autres, détermine les finalités et les moyens du traitement des données à caractère personnel. »

"Lois sur la protection des données« » désigne l’ensemble des lois, règlements ou traités locaux, étatiques, fédéraux ou internationaux applicables à la protection des droits et libertés fondamentaux des personnes et de leur droit à la vie privée en ce qui concerne le traitement des données personnelles en vertu du présent accord, tels que définis dans ces lois, y compris, mais sans s’y limiter, la loi de l’Espace européen, la loi californienne sur la protection de la vie privée des consommateurs de 2018 telle que modifiée par la loi californienne sur les droits à la vie privée de 2020 (« CCPA”), et tous suppléments, amendements ou remplacements ultérieurs à ceux-ci. 

 "Espace Européen« » désigne l’Union européenne (« EU”), Espace économique européen («EEE), la Suisse et/ou le Royaume-Uni de Grande-Bretagne et d’Irlande du Nord («UK»).

"Droit de l'Espace européen« » désigne (i) le Règlement général sur la protection des données de l’UE (Règlement 2016/679) (« GDPR) ; (ii) le RGPD tel que modifié et intégré au droit britannique en vertu de la loi britannique de 2018 sur le retrait de l’Union européenne et tel que modifié par l’annexe 1 du règlement de 2019 sur la protection des données, la vie privée et les communications électroniques (addenda, etc.) (sortie de l’UE) (SI 2019/419) (collectivement «Loi britannique sur la protection des données) ; (iii) la loi fédérale suisse sur la protection des données du 25 septembre 2020 (en vigueur à compter du 1er septembre 2023) et ses ordonnances correspondantes («DPA suisse) ; ou (iv) toute loi qui lui succède ou toute modification qui y sera apportée (y compris, sans limitation, la mise en œuvre du RGPD par les États membres dans leur droit national) ; ou (v) toute autre loi relative à la protection des données, à la sécurité ou à la vie privée des personnes physiques qui s’applique dans l’Espace européen.

"Données personnelles« » désigne toute donnée client (telle que définie dans le contrat) qui se rapporte à une personne physique identifiée ou identifiable (« Personne concernée« », qui est protégée par les lois sur la protection des données.

"Violation des données personnelles« désigne une violation de sécurité entraînant la destruction, la perte, l’altération, la divulgation non autorisée ou l’accès non autorisé à des données personnelles transmises, stockées ou autrement traitées, de manière accidentelle ou illicite, et pour laquelle un responsable du traitement est tenu, en vertu des lois sur la protection des données, d’en informer les autorités compétentes en matière de protection des données ou les personnes concernées. » 

"En cours» désigne toute opération ou ensemble d'opérations effectuées sur des Données Personnelles ou sur des ensembles de Données Personnelles, par des moyens automatisés ou non, tels que la collecte, l'enregistrement, l'organisation, la structuration, le stockage, l'adaptation ou la modification, la récupération, la consultation, l'utilisation, divulgation par transmission, diffusion ou autre mise à disposition, alignement ou combinaison, restriction, effacement ou destruction.

"Processeur" désigne l'entité qui traite les données personnelles pour le compte du responsable du traitement.

"Services« désigne la fourniture de services de maintenance et d’assistance et/ou la fourniture de logiciels en tant que service (« SaaS) et/ou tout autre service, hébergé, géré ou autre, fourni en vertu du présent Contrat et aux fins duquel Digital.ai Traite les données personnelles pour le compte du client.

"Clauses contractuelles types nous »CSC« » désigne (i) les clauses contractuelles types pour les transferts internationaux publié par la Commission européenne le 4 juin 2021 régissant le transfert de données personnelles de l'Espace européen vers des pays tiers, tel qu'adopté par la Commission européenne et le Préposé fédéral suisse à la protection des données et à la transparence («FDPIC suisse) relatives aux transferts de données vers des pays tiers (collectivement «CCS de l'UE”); (ii) le addendum relatif au transfert international de données ( "Avenant relatif au transfert au Royaume-Uni) adoptée par le Bureau du commissaire à l'information du Royaume-Uni (UK ICO) pour les transferts de données du Royaume-Uni vers des pays tiers ; ou (iii) toute clause similaire d'un organisme de réglementation de la protection des données relative aux transferts de données vers des pays tiers, y compris, sans limitation, toute clause qui lui succéderait. 

"Sous-processeur»Désigne un Digital.ai Affilié ou tiers engagé par Digital.ai en lien avec les Services et qui traite les Données Personnelles conformément au présent DPA. 

"Autorité de surveillance« » désigne une autorité publique indépendante établie en vertu des lois applicables en matière de protection des données. 

"Pays tiers« désigne les pays qui, lorsque les lois applicables en matière de protection des données l’exigent, n’ont pas reçu de décision d’adéquation d’une autorité compétente en matière de transferts de données, y compris des organismes de réglementation tels que la Commission européenne, l’ICO britannique ou le PFPDT suisse en matière de transferts de données. »

2. TRAITEMENT DES DONNÉES PERSONNELLES 
   1. Rôle des partiesLe présent accord de protection des données s'applique au traitement des données personnelles par Digital.ai et ses sous-traitants dans le cadre de la fourniture des Services. Aux fins du présent accord de protection des données, Digital.ai est le processeur et le client est le contrôleur. 
   2. Portée du traitementL’objet et la durée du traitement des données personnelles sont définis dans le contrat, qui décrit la fourniture des services au client. La nature et les finalités du traitement des données personnelles effectué pour le compte du client, ainsi que les types de données personnelles et les catégories de personnes concernées, sont précisés dans le contrat. Pièce 1 à ce DPA. 
   3. Instructions de Pose et d'Entretien. Digital.ai Ne traitera les Données Personnelles que pour le compte et conformément aux instructions documentées du Client, y compris en ce qui concerne les transferts de Données Personnelles vers un pays tiers ou une organisation internationale (comme décrit à la Section 7). Le Contrat (y compris le présent Accord de Protection des Données) constitue ces instructions initiales documentées relatives au Traitement des Données Personnelles du Client, et chaque utilisation des Services constitue ensuite une instruction supplémentaire. Digital.ai s’efforcera raisonnablement de se conformer à toute autre instruction raisonnable du Client, pourvu qu’elle soit conforme aux termes du Contrat, exigée par les lois sur la protection des données et techniquement réalisable. Digital.ai informera le Client s'il ne peut se conformer à une instruction ou dans Digital.aiDe l'avis de [Nom de l'entreprise], toute instruction du client enfreint les lois applicables en matière de protection des données.
   4. Respect des loisLes parties conviennent de se conformer à toutes les lois applicables en matière de protection des données, comme indiqué plus en détail ci-dessous :
   5. Digital.ai se conformer à toutes les lois sur la protection des données applicables Digital.ai dans le cadre de sa fonction de sous-traitant en matière de données personnelles. Lors de la fourniture des Services, Digital.ai peut également traiter des données personnelles lorsque les lois applicables en matière de protection des données l'exigent, auquel cas Digital.ai informera le Client de cette obligation légale avant le Traitement, sauf si la loi interdit une telle notification pour des raisons importantes d'intérêt public. 
   6. Le Client doit se conformer à toutes les lois sur la protection des données qui lui sont applicables en sa qualité de responsable du traitement et obtenir tous les consentements nécessaires, ainsi que fournir toutes les notifications nécessaires, aux personnes concernées afin de leur permettre d'exercer leur droit d'accès, de traitement et d'utilisation des données. Digital.ai Le client est responsable de l'exactitude et de la qualité des données personnelles, ainsi que des moyens par lesquels il les a acquises.
3. DROITS DES PERSONNES CONCERNÉES 
   1. Demandes de la personne concernée. Digital.ai sera, d'une manière compatible avec la fonctionnalité des Services et Digital.aiEn tant que sous-traitant, [Nom de l'entreprise] fournit un soutien raisonnable au Client afin de lui permettre de répondre aux demandes des personnes concernées visant à exercer leurs droits en vertu des lois applicables en matière de protection des données («Demandes de la personne concernée»). 
   2. Réponse aux demandes des personnes concernéesLe client est responsable de répondre aux demandes des personnes concernées. Digital.ai reçoit une demande d'accès aux données ou toute autre réclamation d'une personne concernée concernant le traitement des données personnelles, Digital.ai Dans la mesure permise par la loi, nous informerons sans délai le Client, à condition que la Personne concernée ait fourni des informations suffisantes pour l'identifier. Sauf disposition contraire de la loi applicable, Digital.ai ne répondra à aucune demande d'accès aux données sans l'autorisation ou les instructions écrites préalables du Client, sauf pour confirmer que ladite demande concerne le Client. 
4. CONSERVATION ET SUPPRESSION DES DONNÉES PERSONNELLES 
   1. Conservation des données personnelles. À la résiliation du contrat entre les parties et/ou après la fin de la fourniture des services auxquels s'applique le présent accord de protection des données, Digital.ai supprimera ou restituera toutes les données personnelles du client conformément aux lois sur la protection des données et/ou conformément aux termes du contrat dans les meilleurs délais, sauf si la loi applicable exige une conservation ultérieure.
5. SÉCURITÉ DU TRAITEMENT 
   1. Mesures de sécurité. Digital.ai mettra en œuvre et maintiendra les mesures techniques et organisationnelles appropriées, telles que spécifiées dans Pièce 2 Conformément à la présente convention de protection des données (DPA), le client s'engage à protéger les données personnelles contre toute destruction, perte, altération, divulgation ou accès non autorisé, accidentel ou illicite, conformément à la législation applicable en matière de protection des données. Il lui incombe de vérifier, de manière indépendante, si les mesures techniques et organisationnelles mises en œuvre pour les services répondent à ses exigences, notamment en matière de sécurité, en vertu de la législation applicable en matière de protection des données. 
   2. personnel. Pour traiter les données personnelles, Digital.ai Ses sous-traitants ne pourront donner accès qu'au personnel autorisé ayant souscrit à des obligations de confidentialité au moins aussi strictes que celles prévues par le présent accord de protection des données ou le contrat. Ce personnel sera tenu de traiter les données personnelles conformément aux instructions du client, telles que définies dans le contrat, et uniquement dans la mesure nécessaire à l'exécution des services. 
6. SOUS-TRAITANTS SOUS-TRAITANTS 
   1. Utilisation de sous-processeursLe client autorise Digital.ai pour faire appel à des sous-traitants conformément au présent accord de protection des données, à condition que Digital.ai conclura avec ces sous-traitants un accord écrit conforme aux termes des présentes. Digital.ai sera responsable des actes et omissions de tout sous-traitant dans la même mesure que s'ils étaient commis par celui-ci Digital.ai. 
   2. Liste des sous-traitantsLa liste des sous-processeurs utilisés par Digital.ai pour fournir les Services, à compter de la date d'entrée en vigueur du présent accord de protection des données (APD) ci-joint. Pièce 3 et est publié à Digital.ai FAQ sur la protection des données ( "Liste des sous-traitants»). Digital.ai informera le Client de tout ajout ou remplacement prévu à la Liste des sous-traitants en mettant à jour la Liste des sous-traitants publiée ou par courriel si le Client s'est inscrit pour recevoir des notifications à l'adresse suivante : https://info.digital.ai/subscribe-to-data-processor-updates.html  au moins trente (30) jours avant d’autoriser un nouveau sous-traitant à traiter des données personnelles.  
   3. Droit d'oppositionLa présente section 6.3 s'applique dans la mesure où le Client est établi dans l'Espace européen ou lorsque les lois sur la protection des données qui lui sont applicables l'exigent. Dans ce cas, le Client peut s'opposer, pour des motifs légitimes liés à la protection des données, au traitement de ses données. Digital.ail'utilisation d'un nouveau sous-processeur par en notifiant Digital.ai par écrit sans délai, et dans les quinze (15) jours suivants Digital.ainotification conformément à l'article 6.2 ci-dessus. En cas d'objection, Digital.ai Nous prendrons des mesures commercialement raisonnables pour répondre aux objections soulevées par le Client, nous lui fournirons une explication écrite raisonnable des mesures prises pour y remédier et nous discuterons de bonne foi des préoccupations du Client dans le but de parvenir à une résolution. Digital.ai Si le sous-traitant ne peut être désigné et que l'objection est fondée sur des motifs raisonnables de protection des données, le Client peut résilier le(s) Service(s) concerné(s), uniquement pour les Services qui ne peuvent être fournis par ce dernier. Digital.ai sans l'utilisation du nouveau sous-traitant, en adressant une notification écrite à Digital.ai. Digital.ai remboursera tous les frais prépayés couvrant la durée restante de ces Services après la date effective de résiliation en ce qui concerne les Services résiliés, sans imposer de pénalité au Client pour cette résiliation.
7. TRANSFERTS DE DONNÉES 
   1. TransfertsLe client autorise Digital.ai et ses sous-traitants pour traiter les données personnelles aux fins de la fourniture des services, ce traitement pouvant inclure les transferts nécessaires de données personnelles, conformément aux termes du présent accord de protection des données.  
   2. SCC du contrôleur au processeur : Tout transfert de données personnelles hors de l'Espace européen sera régi par les clauses contractuelles types pertinentes que les parties acceptent et intègrent au présent accord de protection des données par la référence susmentionnée. Ces clauses contractuelles types s'appliqueront à tout transfert de données personnelles du Client (en tant qu'« exportateur de données ») vers Digital.ai (en tant qu’« importateur de données »), comme suit : 
   3. Données personnelles de l'EEETransferts de données personnelles de l'Espace européen par le client vers Digital.ai or Digital.ai Les communications aux clients situés dans des pays tiers sont soumises aux clauses contractuelles types, module 2 (« Responsable du traitement à sous-traitant »), sauf accord explicite des parties pour l’application du module 3 (« Sous-traitant à sous-traitant »), annexé au présent accord de protection des données et intégré par référence. Les informations requises aux fins des clauses contractuelles types sont fournies dans le Pièce 1 au présent DPA. Les parties conviennent que les clauses contractuelles types (CCT) sont incorporées au présent DPA sans qu'il soit nécessaire d'y faire référence, de les incorporer ou de les joindre, et qu'en signant l'accord faisant référence au présent DPA, chaque partie est réputée avoir signé les CCT.
   4. Données personnelles suissesLorsque les données personnelles sont soumises à la RGPD suisse, les clauses contractuelles types mentionnées ci-dessus seront modifiées comme suit, le cas échéant : (i) les références au « Règlement (UE) 2016/679 » et à ses articles seront interprétées comme incluant des références à la RGPD suisse ; et (ii) les références à « UE », « Union » et « État membre » seront interprétées comme incluant des références à la « Suisse ». 
   5. Données personnelles du Royaume-UniPour les transferts de données personnelles soumis à la loi britannique sur la protection des données et effectués conformément à l'avenant de transfert britannique, les parties conviennent de ce qui suit :  
   6.  Chaque partie accepte d'être liée par les termes et conditions énoncés dans l'avenant de transfert britannique, en échange de l'acceptation par l'autre partie d'être également liée par ledit avenant.
   7. Les clauses contractuelles types seront interprétées conformément à la partie 2 de l'avenant de transfert britannique. 
   8. Les sections 9 à 11 de l’avenant de transfert du Royaume-Uni prévalent sur la clause 5 (Hiérarchie) des CPL de l’UE.
   9. Aux fins de l’article 12 de l’avenant de transfert britannique, les clauses contractuelles types de l’UE seront modifiées conformément à l’article 15 de l’avenant de transfert britannique. 
   10. Les informations requises par la partie 1 de l'avenant de transfert britannique sont fournies dans l'annexe 1 du présent DPA.
   11. Dans la mesure où des avenants ou mécanismes de transfert révisés sont publiés par l'ICO du Royaume-Uni, les Parties conviennent d'intégrer ces révisions conformément à la section 18-20 de l'avenant de transfert du Royaume-Uni.
   12. Des clarificationsIl n'est ni l'intention des parties, ni l'effet du présent accord de protection des données (APD), de contredire ou de restreindre les dispositions des clauses contractuelles types (CCT). Le présent APD ne restreint ni ne limite en aucun cas les droits des personnes concernées ou des autorités de contrôle compétentes. Aucune disposition du présent APD ne saurait prévaloir sur une clause contraire des CCT. Lorsque le présent APD précise des règles d'audit et des règles relatives aux sous-traitants, ces spécifications s'appliquent également aux CCT.
   13. Mécanisme alternatif de transfert de donnéesDans la mesure où tout substitut ou supplément approprié safeSi des gardes ou mécanismes prévus par les lois sur la protection des données sont requis pour transférer des données personnelles vers un pays tiers, les parties conviennent de les mettre en œuvre dès que possible et de documenter ces exigences de mise en œuvre dans une annexe au présent accord de protection des données. 
8. NOTIFICATION DE VIOLATION DE DONNÉES PERSONNELLES 
   1. Notification de violation de données personnelles. Digital.ai informera le Client sans délai indu, et en tout état de cause dans les 72 heures, après avoir pris connaissance de toute violation de données personnelles concernant les données personnelles du Client traitées par Digital.ai et fournir les informations raisonnables en sa possession pour aider le Client à remplir ses obligations de signaler une violation de données personnelles conformément aux lois sur la protection des données. Digital.ai L'entreprise déploiera des efforts raisonnables pour identifier la cause de toute violation de données personnelles et prendra les mesures appropriées pour en atténuer les effets et minimiser tout dommage en résultant, dans la mesure où ces mesures correctives sont possibles. Digital.aisous le contrôle raisonnable de [Nom de l'entreprise]. Une notification sera adressée au Client conformément à l'article 8.2. Cette notification ne saurait être interprétée comme une reconnaissance de faute ou de responsabilité de la part de [Nom de l'entreprise]. Digital.ai. 
   2. Avis de livraison. Les notifications de violation de données personnelles, le cas échéant, seront transmises à un ou plusieurs contacts commerciaux, techniques ou administratifs du Client par divers moyens. Digital.ai Le client sélectionne les offres, y compris par courriel. Il lui incombe de fournir et de maintenir à jour ses coordonnées exactes.
9. VÉRIFICATION 
   1. Demandes d'informations. Digital.ai La société mettra à la disposition du Client, sur demande écrite raisonnable, les informations relatives au traitement des données personnelles du Client, dans la mesure nécessaire à sa démonstration. Digital.aile respect par [nom de l'entreprise] des obligations découlant du présent accord de protection des données. 
   2. Audit client. Digital.ai permettra aux clients (ou à leur auditeur indépendant) de formuler des demandes d'inspection concernant les données personnelles traitées par Digital.ai afin de vérifier Digital.aila conformité de à ce DPA, si : (a) Digital.ai n'a pas fourni de preuves écrites suffisantes de sa conformité aux mesures techniques et organisationnelles, par exemple une certification de conformité à la norme ISO 27001 ou à d'autres normes ; (b) une violation de données à caractère personnel s'est produite ; (c) un audit est formellement demandé par l'autorité de contrôle du Client ; ou (d) la loi sur la protection des données confère au Client un droit d'inspection sur site obligatoire ; étant entendu que le Client ne pourra exercer ce droit qu'une fois par an, sauf si la loi sur la protection des données exige des inspections plus fréquentes. Toute information fournie par Digital.ai Conformément à l'article 9, les inspections sont soumises aux obligations de confidentialité prévues par l'Accord. Elles seront menées de manière à ne pas compromettre la sécurité, la confidentialité, l'intégrité, la disponibilité et la continuité des installations, réseaux et systèmes inspectés, ni les données confidentielles qui y sont traitées.
   3. Coût de l'auditLe client est responsable des coûts de tout audit, sauf si cet audit révèle un manquement important de sa part. Digital.ai de ce DPA, alors Digital.ai prendra en charge ses propres frais d'audit. Si un audit détermine que Digital.ai a manqué à ses obligations en vertu de ce DPA, Digital.ai remédiera rapidement à cette infraction à ses propres frais.
10. ÉVALUATIONS D'IMPACT SUR LA PROTECTION DES DONNÉES 
    1. Si le Client est tenu, en vertu de la législation applicable en matière de protection des données, de réaliser une analyse d'impact relative à la protection des données ou de consulter préalablement une autorité de contrôle concernant son utilisation des Services, Digital.ai Sur demande raisonnable du Client, la société fournira les documents généralement disponibles pour les Services ; par exemple, les rapports SOC 2 (Service Organizational Control) en vigueur, les certifications ISO/IEC 27001:2013 et/ou les rapports de conformité aux normes industrielles applicables. 
    2. Toute assistance supplémentaire en matière de coopération ou de consultation préalable avec une autorité de contrôle dans l'exercice de ses fonctions relatives à la présente section 10, dans la mesure requise par la législation sur la protection des données, fera l'objet d'un accord mutuel entre les parties, compte tenu de la nature du traitement et des informations disponibles. Digital.aiDans la mesure permise par la loi, le Client est responsable de tous les frais découlant de Digital.aila fourniture d'une telle assistance.
11. ENQUÊTES GOUVERNEMENTALES 
    1. Si vous êtes contraint de divulguer des données personnelles à une entité policière ou gouvernementale, Digital.ai donnera au Client un préavis raisonnable de la demande afin de lui permettre de solliciter une ordonnance de protection ou tout autre recours approprié, dans la mesure où Digital.ai est légalement autorisé à le faire.
12. GÉNÉRAL 
    1. Affiliés clientsLe client est responsable de la coordination de toutes les communications avec Digital.ai Au nom de ses sociétés affiliées, le Client déclare être autorisé à conclure le présent Accord de Protection des Données (APD) et toutes les clauses contractuelles types qui y sont incorporées ou conclues en vertu du présent APD, à donner des instructions et à effectuer et recevoir toute communication ou notification relative au présent APD au nom de ses sociétés affiliées. 
    2. ConflitLe droit applicable et les tribunaux compétents pour le présent accord de protection des données sont ceux de l'accord principal auquel il se rattache. En cas de conflit ou d'incohérence entre le présent accord et l'accord, le présent accord prévaudra pour ce qui concerne les données personnelles. Sauf modification expresse des présentes, les termes et conditions de l'accord régissent le présent accord.
    3. RésiliationLa durée du présent accord de protection des données prendra fin conformément aux termes de l'accord.
    4. DiversToute référence à l'Accord de protection des données (APD) dans le présent document désigne cet APD, y compris ses annexes et/ou appendices. Les titres des sections figurant dans le présent APD sont fournis à titre indicatif uniquement et n'affectent en aucun cas son sens ou son interprétation.