Accord de traitement des données

Refine Technologies, Inc.

1207 Delaware Ave., Suite 2233, Wilmington, DE 19806, USA

Contact : Yann Calvó López, CEO

Contact sécurité : security@refine.ink

L’entité juridique qui accepte le Contrat et le présent DPA.

Sous-traitant (ou Sous-traitant ultérieur lorsque le Client est lui-même Sous-traitant). Voir la section 3.

Responsable du traitement (ou Sous-traitant lorsqu’il agit pour le compte d’un Responsable du traitement).

La plateforme de Refine de commentaires assistés par IA sur les travaux de recherche, ainsi que les services associés, tels que décrits sur refine.ink.

Publiée à l’adresse https://trust.refine.ink/resources. Le Prestataire est certifié ISO 27001:2022 et a achevé son examen SOC 2 Type I, son audit SOC 2 Type II étant en cours. L’état actuel des certifications est publié sur le Trust Center.

security@refine.ink

Publiés à l’adresse https://trust.refine.ink/subprocessors. Le Prestataire donnera un préavis écrit d’au moins 10 jours ouvrés pour tout ajout ou remplacement.

Le Client ne doit pas soumettre, importer ni transmettre d’une autre manière par l’intermédiaire du Service (i) des données de catégorie particulière au sens de l’article 9 du RGPD, (ii) des informations de santé protégées (PHI) au sens de la loi HIPAA, ni (iii) des données relatives à des comptes financiers, dans chacun de ces cas sans accord écrit préalable du Prestataire. Le Client est seul responsable du respect de cette restriction et de s’assurer que les documents soumis au Service ne contiennent pas de telles données.

Le Service n’est ni conçu ni destiné à traiter les catégories de données décrites ci-dessus, et le Prestataire n’assume aucune obligation de surveiller, de détecter ou de filtrer les soumissions à la recherche de telles données. Si le Prestataire prend connaissance de la soumission de données faisant l’objet de restrictions, il en informera le Client et les parties coopéreront de bonne foi afin de supprimer ou de restituer ces données dès que raisonnablement possible et, en tout état de cause, dans les 30 jours suivant leur découverte par le Prestataire.

En continu, pendant toute la durée du Contrat.

Le Prestataire traitera les Données à caractère personnel du Client aussi longtemps que nécessaire pour fournir le Service ou que l’exigent les Lois applicables. À l’issue du Contrat, le Prestataire supprimera ou restituera les Données à caractère personnel du Client conformément à la section 8 du présent DPA.

Le Prestataire n’utilisera pas les Données à caractère personnel du Client, les documents importés ni aucune donnée dérivée pour entraîner, affiner, valider ou améliorer un modèle d’intelligence artificielle ou d’apprentissage automatique, qu’il soit exploité par le Prestataire ou par un Sous-traitant ultérieur. Les articles importés sont traités uniquement afin de fournir des rapports de commentaires au chercheur qui les a soumis.

L’autorité de contrôle de l’exportateur de données, déterminée conformément à la clause 13 des CCT de l’EEE ou à la disposition correspondante de l’Addendum britannique.

L’État membre de l’EEE dans lequel est situé l’établissement concerné du Client, ou l’Irlande lorsque le Client n’a pas d’établissement dans l’EEE.

Le Module Deux (Responsable du traitement à Sous-traitant) s’applique lorsque le Client est Responsable du traitement. Le Module Trois (Sous-traitant à Sous-traitant ultérieur) s’applique lorsque le Client est Sous-traitant. Les deux modules s’appliquent avec les précisions suivantes : la clause d’adhésion prévue à la clause 7 n’est pas applicable ; la clause 9, option 2 (autorisation écrite générale), avec un préavis minimal de 10 jours ouvrés ; le libellé facultatif de la clause 11 n’est pas inclus ; les crochets de la clause 13 sont supprimés ; le droit applicable et la juridiction compétente sont ceux indiqués à la ligne « État membre dont le droit est applicable » ci-dessus.

Lorsque le RGPD britannique s’applique, l’Addendum britannique (IDTA de l’ICO) s’applique. Aucune des parties ne peut résilier l’Addendum britannique au titre de sa section 19. Les parties s’emploieront de bonne foi à le mettre à jour si l’ICO publie un Addendum approuvé révisé.

Lorsque le droit suisse s’applique, les références au RGPD figurant dans les CCT de l’EEE sont modifiées pour renvoyer à la loi fédérale suisse sur la protection des données, et l’autorité de contrôle inclut le PFPDT suisse.

Les mesures suivantes complètent la Politique de sécurité visée à la section 2 et y sont intégrées.

Le Prestataire s’appuie sur Microsoft Azure pour l’infrastructure physique ; Azure maintient des contrôles de sécurité physique comprenant un accès restreint, une vidéosurveillance et des protections environnementales dans ses centres de données.

Lorsque le Client est Responsable du traitement des Données à caractère personnel du Client, le Prestataire agit en qualité de Sous-traitant traitant des Données à caractère personnel pour le compte du Client.

Lorsque le Client est lui-même Sous-traitant des Données à caractère personnel du Client, le Prestataire agit en qualité de Sous-traitant ultérieur.

La partie 1, section 3 du présent DPA décrit l’objet, la nature, la finalité et la durée du Traitement, ainsi que les catégories de Données à caractère personnel et de Personnes concernées.

Le Client donne au Prestataire l’instruction de traiter les Données à caractère personnel du Client : (a) pour fournir et maintenir le Service ; (b) selon ce qui est spécifié par l’utilisation du Service par le Client ; (c) selon ce qui est documenté dans le Contrat ; et (d) selon ce qui est documenté dans toute autre instruction écrite acceptée par le Prestataire. Le Prestataire se conformera à ces instructions, sauf interdiction résultant des Lois applicables, et informera immédiatement le Client s’il n’est pas en mesure de suivre les instructions de Traitement.

Le Client ne donnera que des instructions conformes aux Lois applicables.

Si le Prestataire met à jour le Service afin d’y inclure de nouveaux produits, fonctions ou fonctionnalités, il peut mettre à jour les catégories décrites à la partie 1, section 3 en notifiant ces modifications au Client.

Lorsque le Client est un Sous-traitant et que le Prestataire est un Sous-traitant ultérieur, le Client se conformera à toutes les Lois applicables régissant son propre Traitement et veillera à ce que son contrat avec le Responsable du traitement concerné impose des obligations équivalentes.

Le Client s’est conformé et continuera de se conformer à toutes les Lois applicables en matière de protection des données lors de la communication des Données à caractère personnel du Client au Prestataire, y compris en procédant aux informations requises, en obtenant les consentements nécessaires et en mettant en œuvre les garanties appropriées.

Le Prestataire ne transférera pas de Données à caractère personnel du Client à un Sous-traitant ultérieur à moins que celui-ci ne figure sur la liste des Sous-traitants ultérieurs approuvés. Le Prestataire notifiera au Client par écrit, au moins 10 jours ouvrables à l’avance, tout ajout ou remplacement envisagé. Le Client dispose de 30 jours à compter de la notification pour s’y opposer par écrit ; à défaut d’opposition, le Client est réputé accepter la modification. Le Prestataire et le Client coopéreront de bonne foi pour résoudre toute opposition formulée dans les délais.

Si les parties ne parviennent pas à résoudre l’opposition formulée dans les délais par le Client dans un délai de 60 jours suivant l’opposition écrite du Client, le Client peut résilier pour motif légitime la partie du Contrat affectée par le changement de Sous-traitant ultérieur, moyennant un préavis écrit de 30 jours adressé au Prestataire. La résiliation prévue à la présente Section constitue le seul et unique recours du Client en cas d’opposition non résolue relative à un Sous-traitant ultérieur.

Le Prestataire conclura avec chaque Sous-traitant ultérieur un contrat écrit limitant l’accès du Sous-traitant ultérieur aux Données à caractère personnel du Client et l’utilisation de celles-ci à ce qui est nécessaire à l’exécution des obligations sous-traitées, et imposant des obligations de protection des données au moins aussi protectrices que le présent DPA. Lorsque le RGPD s’applique, les contrats du Prestataire avec les Sous-traitants ultérieurs intégreront les obligations visées à l’article 28, paragraphe 3, du RGPD.

Le Prestataire demeure pleinement responsable des actes et omissions de ses Sous-traitants ultérieurs dans le cadre du Traitement des Données à caractère personnel du Client. Le Prestataire informera le Client de tout manquement important d’un Sous-traitant ultérieur aux obligations qui lui incombent en vertu de son contrat avec le Prestataire.

Le Client accepte que le Prestataire puisse transférer les Données à caractère personnel du Client en dehors de l’EEE, du Royaume-Uni ou de tout autre territoire géographique concerné, dans la mesure nécessaire à la fourniture du Service. Lorsque le Prestataire transfère des Données à caractère personnel du Client vers un territoire ne faisant pas l’objet d’une décision d’adéquation, le Prestataire mettra en œuvre des garanties appropriées, conformes aux Lois applicables en matière de protection des données.

Lorsque le RGPD régit le transfert, que le transfert est effectué par le Client depuis l’EEE vers le Prestataire situé en dehors de l’EEE et qu’aucune décision d’adéquation ne s’applique, les parties sont réputées avoir signé les CCT EEE et leurs Annexes, telles qu’énoncées à la Partie 1, Section 4.

Lorsque le RGPD britannique régit le transfert, que le transfert est effectué par le Client depuis le Royaume-Uni vers le Prestataire situé en dehors du Royaume-Uni et qu’aucune décision d’adéquation ne s’applique, les parties sont réputées avoir signé l’Addendum britannique, tel que complété à la Partie 1, Section 4.

Lorsque le droit suisse régit le caractère international du transfert, les CCT EEE s’appliquent telles que modifiées à la Partie 1, Section 4.

Le Prestataire communiquera au Client toutes les informations raisonnablement nécessaires pour démontrer sa conformité au présent DPA et permettra la réalisation d’audits et d’inspections, auxquels il contribuera. Le Prestataire peut restreindre l’accès aux informations susceptibles de porter atteinte à ses droits de propriété intellectuelle, à ses obligations de confidentialité ou à ses autres obligations légales. Le Client accepte d’exercer ses droits d’audit exclusivement par les mécanismes de reporting et de diligence raisonnable prévus aux Sections 11.2 et 11.3.

Le Prestataire conservera les registres de conformité pendant 3 ans après la fin du DPA.

Le Prestataire fait l’objet d’audits réguliers au regard des normes définies dans la Politique de sécurité, réalisés par des auditeurs tiers indépendants. Sur demande écrite, le Prestataire fournira au Client, à titre confidentiel, une copie de synthèse de son rapport d’audit alors en vigueur.

Outre les rapports d’audit, le Prestataire répondra aux demandes écrites raisonnables d’informations visant à confirmer sa conformité au présent DPA, y compris aux questionnaires relatifs à la sécurité de l’information, à la diligence raisonnable et aux audits. Ces demandes doivent être adressées à security@refine.ink et ne peuvent être formulées plus d’une fois par année civile.

Si le Prestataire reçoit d’un tiers (y compris une autorité de réglementation ou une personne concernée) une question ou une demande relative aux Données à caractère personnel du Client, le Prestataire en informera promptement le Client et n’y répondra pas sans le consentement préalable du Client, sauf si la Loi applicable l’exige. Le Prestataire suivra les instructions raisonnables du Client quant au traitement de telles demandes.

Si une personne concernée formule une demande valable au titre des Lois applicables en matière de protection des données visant à faire supprimer ses Données à caractère personnel ou à s’opposer à leur transfert au Prestataire, le Prestataire assistera le Client dans l’exécution de cette demande.

Lorsque les Lois applicables en matière de protection des données l’exigent, le Prestataire assistera raisonnablement le Client dans la réalisation d’analyses d’impact relatives à la protection des données (AIPD) et d’analyses d’impact des transferts de données (AITD), ainsi que dans la consultation des autorités de contrôle compétentes, compte tenu de la nature du Traitement et des Données à caractère personnel du Client concernées.

Le Prestataire permettra au Client de supprimer les Données à caractère personnel du Client d’une manière compatible avec les fonctionnalités du Service et se conformera à ces instructions dès que raisonnablement possible, sauf lorsqu’une conservation ultérieure est requise par la Loi applicable.

Après l’expiration ou la résiliation du Contrat, le Prestataire restituera ou supprimera les Données à caractère personnel du Client sur instruction du Client, sans retard injustifié et, en tout état de cause, dans les soixante (60) jours suivant la plus tardive des dates suivantes : (i) la résiliation ou l’expiration du Contrat, ou (ii) la demande écrite du Client, sauf si une conservation ultérieure est requise ou autorisée par la Loi applicable. Lorsque la restitution ou la destruction est impraticable ou interdite, le Prestataire s’efforcera raisonnablement d’empêcher tout Traitement ultérieur et continuera de protéger les Données à caractère personnel du Client en sa possession.

Lorsque les parties ont conclu les CCT EEE ou l’Addendum britannique dans le cadre du présent DPA, le Prestataire fournira une attestation de suppression telle que décrite à la Clause 8.1(d) et à la Clause 8.5 des CCT EEE si le Client en fait la demande.

Dans toute la mesure permise par les Lois applicables en matière de protection des données, la responsabilité cumulée totale de chaque partie envers l’autre, découlant du présent DPA ou s’y rapportant, est soumise aux renonciations, exclusions et limitations de responsabilité énoncées dans le Contrat.

Toute réclamation formulée à l’encontre du Prestataire ou de ses Sociétés affiliées, découlant du présent DPA ou s’y rapportant, ne peut être introduite que par l’entité du Client qui est partie au Contrat.

Le présent DPA ne limite aucune responsabilité envers une personne physique au titre des droits de cette personne en matière de protection des données en vertu des Lois applicables en matière de protection des données, ni aucune responsabilité entre les parties en cas de violation des CCT EEE ou de l’Addendum britannique.