Accord de sous-traitance des données (DPA)

1. Parties et objet

Le présent accord est conclu entre le client professionnel qui utilise le Service (« le Client »), agissant en qualité de responsable du traitement, et l'éditeur de TheNotesOfSally identifié dans le bloc « Éditeur du service » (« le Prestataire »), agissant en qualité de sous-traitant. Il fixe les conditions dans lesquelles le Prestataire traite des données à caractère personnel pour le compte du Client, conformément à l'article 28 du RGPD et à la loi n° 09-08. En cas de contradiction, il prévaut sur les CGU pour ce qui concerne la protection des données.

2. Description du traitement

Nature et finalités : transcription de fichiers audio et vidéo et de réunions, génération de résumés et de comptes rendus, recherche dans l'historique, coach de réunion, envoi des rapports vers les outils connectés par le Client, facturation et quotas. Personnes concernées : utilisateurs du Client, participants aux réunions enregistrées, candidats et autres personnes mentionnées dans les contenus du Client. Données : données de compte (nom, e-mail, identifiant), contenus audio et vidéo, transcriptions, résumés, rapports, documents et CV importés, jetons d'accès aux outils connectés (chiffrés), données techniques (journaux sans contenu de réunion, horodatages, consommation). Données sensibles : non prévues ; le Client s'engage à ne pas en soumettre sans base légale. Durée : celle de l'utilisation du Service, puis suppression selon l'article 11.

3. Obligations du Prestataire

Le Prestataire s'engage à : traiter les données uniquement sur instruction documentée du Client, y compris pour les transferts, et l'informer si une instruction lui paraît contraire à la réglementation ; ne pas utiliser les contenus du Client pour entraîner des modèles d'IA, ni les vendre ou les exploiter à d'autres fins ; garantir la confidentialité des données et soumettre les personnes autorisées à les traiter à une obligation de confidentialité ; mettre en œuvre les mesures de sécurité de l'article 12 ; respecter les conditions de recours aux sous-traitants ultérieurs (article 6) ; aider le Client à répondre aux demandes des personnes concernées et à respecter ses obligations de sécurité, de notification des violations, d'analyse d'impact et de consultation préalable ; mettre à sa disposition les informations nécessaires pour démontrer le respect du présent accord.

4. Obligations du Client

Le Client dispose d'une base légale pour chaque traitement confié, notamment pour l'enregistrement et la transcription des réunions ; informe les participants et recueille leur accord lorsque la loi l'exige, avant toute transcription ; s'abstient de soumettre des données sensibles sans base légale spécifique ; documente ses instructions, l'utilisation des fonctions et des réglages du Service valant instruction documentée.

5. Localisation des données et transferts

Le serveur applicatif, la transcription et les modèles d'IA sont hébergés en Allemagne et la base de données en Irlande (Union européenne). Le Prestataire est établi au Maroc, d'où il administre le Service ; les sous-traitants ultérieurs et leur localisation figurent sur /sous-traitants.

Lorsque le Client est soumis au RGPD, les clauses contractuelles types adoptées par la décision d'exécution (UE) 2021/914 de la Commission du 4 juin 2021 (module 2, responsable du traitement vers sous-traitant) s'appliquent aux transferts de données vers le Prestataire et sont incorporées par référence, le présent accord en tenant lieu d'annexes ; elles prévalent en cas de contradiction et sont régies par le droit de l'État membre où le Client est établi (à défaut, le droit irlandais). Pour les sous-traitants ultérieurs établis hors de l'Union européenne, le Prestataire met en place les garanties de l'article 46 du RGPD ou s'appuie sur une décision d'adéquation. Les transferts depuis le Maroc respectent les articles 43 et 44 de la loi n° 09-08.

6. Sous-traitants ultérieurs

Le Client autorise de manière générale le recours aux sous-traitants ultérieurs listés sur /sous-traitants. Le Prestataire informe le Client de tout ajout ou remplacement au moins 30 jours à l'avance, par la mise à jour de cette page et par e-mail aux administrateurs de l'espace. Le Client peut s'y opposer pour un motif raisonnable ; à défaut d'accord, il peut résilier le Service concerné et être remboursé au prorata de la période payée non utilisée. Le Prestataire impose à chaque sous-traitant ultérieur des obligations au moins équivalentes et reste responsable de leur exécution. Les outils que le Client connecté lui-même ne sont pas des sous-traitants ultérieurs du Prestataire.

7. Droits des personnes concernées

Le Prestataire transmet au Client, dans un délai de 5 jours ouvrés, toute demande d'exercice de droits reçue directement, sans y répondre lui-même sauf instruction du Client. Le Service permet au Client de consulter, d'exporter et de supprimer ses documents et rapports.

8. Violation de données

Le Prestataire notifie au Client toute violation de données à caractère personnel dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, par e-mail aux administrateurs de l'espace. La notification décrit, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou envisagées ; ces informations peuvent être communiquées de manière échelonnée.

9. Audits

Le Prestataire met à la disposition du Client, sur demande écrite, la documentation décrivant les mesures de sécurité. Le Client peut, à ses frais et au plus une fois par an, sauf violation avérée, faire réaliser un audit par un auditeur indépendant tenu au secret, avec un préavis de 30 jours, dans des conditions qui n'affectent ni la sécurité ni la confidentialité des données des autres clients.

10. Responsabilité

La responsabilité de chaque partie au titre du présent accord est soumise aux stipulations de l'article 12 des /cgu, sauf disposition impérative contraire et sans limiter la responsabilité de l'une ou l'autre partie envers les personnes concernées ou les autorités de contrôle.

11. Fin du traitement

À la fin de l'utilisation du Service, le Client exporte ses données (exports disponibles dans le Service) puis les supprime ou ferme son compte ; le Prestataire supprime les données restantes dans un délai de 30 jours après la fermeture du compte, sauf obligation légale de conservation (données de facturation : 10 ans). Les sauvegardes sont effacées au fil de leur rotation : 14 jours sur le serveur principal et 90 jours pour la copie chiffrée hors serveur.

12. Mesures techniques et organisationnelles

Chiffrement en transit (HTTPS obligatoire, HSTS) ; jetons des connecteurs chiffrés en AES-256-GCM avec une clé conservée hors de la base ; base de données chiffrée au repos et copie de sauvegarde hors serveur chiffrée ; IA exécutée sur les serveurs du Prestataire, sans service d'IA tiers ; cloisonnement des espaces de travail et base accessible au seul serveur ; politique de sécurité du contenu (CSP) avec nonce par requête et en-têtes de sécurité ; limitation du débit des API ; rapports d'erreurs nettoyés de tout contenu de réunion ; sauvegarde quotidienne avec test de restauration au moins mensuel ; surveillance de la disponibilité et des erreurs avec alertes ; suppression des fichiers audio après la transcription ; accès d'administration réservé à l'éditeur. Le détail à jour figure sur la page /securite.

13. Droit applicable

Sous réserve des clauses contractuelles types lorsqu'elles s'appliquent, le présent accord est régi par le droit marocain et les litiges qui en découlent relèvent du tribunal de commerce de Meknès, conformément à l'article 16 des /cgu.