Addenda relatif au traitement des données

Le présent Addenda relatif au traitement des données fait partie de nos Conditions d’utilisation. Il indique comment nous traitons les renseignements personnels pour le compte des agences qui utilisent Prosodi. Il comporte deux parties : la Page couverture, qui est notre propre texte, et l’Addenda relatif à la protection des données de Bonterms (version 2.0), un ensemble de conditions types qui la suit, en traduction ici et sans modification dans la version anglaise. La présente version demeure accessible à prosodi.ai/fr/dpa/2026-11-12.

Version française fournie à titre informatif.Seule la version anglaise du présent Addenda lie les parties (Modalité supplémentaire 13).

Page couverture

La présente Page couverture intègre par renvoi l’Addenda relatif à la protection des données de Bonterms, version 2.0 (version avec page couverture), tel que Bonterms, Inc. le publie en anglais sur bonterms.com, dans le texte qui y était accessible le 12 novembre 2026 (les « conditions de Bonterms »). Ensemble, ils forment l’Addenda relatif au traitement des données (l’« Addenda ») entre le Fournisseur et l’Abonné. Les termes commençant par une majuscule ont le sens que leur donnent les conditions de Bonterms. Une copie des conditions de Bonterms suit la Page couverture de la version anglaise, et une traduction française, fournie à titre informatif, suit la présente Page couverture. En cas de divergence entre cette copie ou cette traduction et les conditions de Bonterms, ces dernières s’appliquent à leur place. « Abonné » correspond à « Customer » dans la version anglaise. Les « Données de l’Abonné » correspondent à « Vos Données » dans les Conditions d’utilisation.

Parties

Modalités clés

Détails du traitement : objet et détails du traitement

Détails du traitement : Mesures de sécurité

Voici les Mesures de sécurité en place. Le Fournisseur ne détient aucune certification ni aucun rapport d’audit en matière de sécurité (Entente principale, article 14).

Chiffrement

• Le trafic Web et d’API à destination du Service utilise uniquement le protocole HTTPS, et le Service se connecte aux API de ses fournisseurs au moyen du protocole TLS.
• Les Données personnelles et les données d’affaires de l’Abonné qui se trouvent dans la base de données sont chiffrées colonne par colonne au moyen de l’algorithme AES-256-GCM avant d’être enregistrées. Les clés sont versionnées et peuvent faire l’objet d’une rotation. Les fournisseurs de la base de données et du stockage de fichiers y ajoutent leur propre chiffrement du stockage.
• Les mots de passe ne sont conservés que sous forme d’empreintes bcrypt.

Accès

• Chaque requête est limitée à l’agence et à l’espace de travail de client de l’utilisateur connecté.
• Les rôles déterminent ce que chaque utilisateur peut voir et modifier, et une agence peut restreindre ce à quoi les utilisateurs de chaque client ont accès.
• La connexion repose sur des adresses courriel vérifiées, une politique de robustesse des mots de passe ou la connexion avec Google, des sessions courtes avec rotation des jetons, des limites de débit et un verrouillage après des échecs répétés.
• Les enregistrements se trouvent dans un compartiment de stockage privé. Ils ne sont accessibles qu’au moyen de liens qui expirent après 15 minutes et qui sont délivrés après une vérification d’accès.
• Seuls les membres du personnel du Fournisseur qui en ont besoin peuvent accéder aux systèmes de production et aux Données personnelles de l’Abonné. Chacun est lié par une obligation de confidentialité écrite.

Journalisation

• Une piste d’audit en ajout seulement consigne les connexions, les modifications des réglages et des équipes, chaque appel ouvert, chaque enregistrement écouté ou téléchargé, les exportations et les effacements.
• Les journaux d’application contiennent des identifiants et des décomptes, et non des noms, des numéros de téléphone ou les propos des correspondants. Une vérification automatisée l’impose à chaque modification du code.

Conserver moins de données

• L’enregistrement et les transcriptions sont désactivés tant que l’Abonné ou son client ne les active pas.
• Les périodes de conservation sont appliquées automatiquement (voir les Détails du traitement). L’Abonné peut exporter, corriger et effacer la fiche d’une personne, et effacer les données d’un client lorsque celui-ci part.
• Les sessions d’appel sont nommées sans le numéro ni le nom des correspondants.

Modifications du Service

• Chaque modification du code passe par une demande de tirage ainsi que par des tests et des vérifications automatisés avant son déploiement. Les modifications de la base de données sont scriptées et versionnées.

Incidents et reprise

• Le Fournisseur suit une procédure écrite en cas d’incident de sécurité : contenir, évaluer, informer les abonnés touchés et consigner chaque incident.
• La base de données est sauvegardée chaque jour, et les sauvegardes sont conservées pendant 7 jours.
• La sécurité physique est assurée par les centres de données des Sous-traitants ultérieurs d’hébergement.

Modalités supplémentaires

1. Acceptation. L’Abonné conclut le présent Addenda en acceptant l’Entente principale, par exemple en cochant la case d’acceptation lorsqu’il crée son compte. Le Fournisseur le conclut en publiant la présente Page couverture et en fournissant le Service. Ces actes valent signature de la présente Page couverture, et aucune signature n’est requise.
2. Lois canadiennes sur la protection des renseignements personnels. Les Lois sur la protection des données comprennent la Loi sur la protection des renseignements personnels et les documents électroniques (Canada) et les lois provinciales du Canada sur la protection des renseignements personnels dans le secteur privé. Pour l’application de ces lois, « Responsable du traitement » s’entend de l’organisation qui décide pourquoi et comment les Données personnelles sont traitées et qui en est responsable, et « Sous-traitant » s’entend d’un fournisseur de services qui les traite pour le compte de cette organisation.
3. Portée du présent Addenda.Le présent Addenda vise les Données personnelles de l’Abonné. Les renseignements sur les comptes de l’Abonné et de ses utilisateurs et sur leur utilisation du Service, comme les registres de compte, d’utilisation, de facturation, d’audit et d’acceptation, ne font pas partie des Données de l’Abonné (« Vos Données ») au sens de l’Entente principale. Le Fournisseur les traite pour son propre compte, comme le décrit sa Politique de confidentialité.
4. Clients de l’Abonné. Lorsque l’Abonné utilise le Service pour ses clients, il donne au Fournisseur toutes les instructions concernant leurs Données personnelles et est le seul interlocuteur du Fournisseur à leur égard. Il incombe à l’Abonné de conclure sa propre entente écrite avec chaque client, de ne donner au Fournisseur que les instructions que le client autorise, et de transmettre les avis du Fournisseur à ses clients ainsi qu’à la personne responsable de la protection des renseignements personnels chez l’Abonné et chez chaque client. Les clients de l’Abonné n’ont aucun droit aux termes du présent Addenda.
5. Europe.L’Annexe A ne s’applique pas, et les Modalités clés « Droit applicable désigné de l’UE » et « État membre désigné de l’UE » ne sont pas utilisées. Le Service n’est pas offert pour des Données personnelles protégées par le RGPD de l’UE, le RGPD du Royaume-Uni ou la LPD. L’Abonné confirme que ni lui ni ses clients ne sont assujettis à ces lois à l’égard des Données personnelles qu’ils traitent au moyen du Service, et il en avisera le Fournisseur avant que cela ne change, afin que les parties conviennent d’abord de modalités à cet égard.
6. Sous-traitants ultérieurs.
   • L’article 4.1(b)(i) est remplacé par ce qui suit : « (i) conclut avec chaque Sous-traitant ultérieur une entente écrite qui l’oblige à protéger les Données personnelles de l’Abonné selon la norme qu’exigent les Lois sur la protection des données ».
   • Les Sous-traitants ultérieurs fournissent leurs services selon leurs propres conditions habituelles. L’Abonné autorise le Fournisseur à faire appel à chaque Sous-traitant ultérieur selon ces conditions, y compris lorsqu’elles permettent au Sous-traitant ultérieur de conserver ou d’utiliser des données à ses propres fins, par exemple pour assurer la sécurité de son service, prévenir la fraude et les abus, facturer ses services et respecter ses obligations juridiques.
   • Aux articles 4.3 et 4.4(a), « 30 jours » est remplacé par « 10 jours ».
   • Un « Sous-traitant ultérieur facultatif » est un Sous-traitant ultérieur qui ne Traite des Données personnelles de l’Abonné que lorsque l’Abonné ou son client utilise un modèle, une intégration ou une fonctionnalité qui repose sur lui. La Liste des sous-traitants ultérieurs indique lesquels sont facultatifs. Les articles 4.3 et 4.4 ne s’appliquent pas à un nouveau Sous-traitant ultérieur facultatif. Le Fournisseur l’ajoute à la Liste des sous-traitants ultérieurs, et en avise l’Abonné selon le Mode d’avis relatif aux sous-traitants ultérieurs, au plus tard le jour où il devient disponible. L’Abonné l’autorise en utilisant le modèle, l’intégration ou la fonctionnalité, et peut s’y opposer en ne l’utilisant pas.
   • Dans la mesure permise par les Lois sur la protection des données, le Fournisseur peut faire appel à un Sous-traitant ultérieur de remplacement moyennant un préavis plus court lorsque cela est nécessaire pour maintenir la disponibilité ou la sécurité du Service, et il en informe l’Abonné dès qu’il le peut raisonnablement. L’Abonné peut alors s’y opposer en vertu de l’article 4.4 dans les 10 jours suivant cet avis.
   • Le Fournisseur peut par ailleurs modifier la Liste des sous-traitants ultérieurs en tout temps et sans préavis, par exemple pour en retirer un Sous-traitant ultérieur ou corriger des renseignements à son sujet.
   • Un tiers que l’Abonné ou son client connecte au Service au moyen de son propre compte, de sa propre clé ou de ses propres identifiants (l’une de « Vos Intégrations » au sens de l’Entente principale), comme un fournisseur de modèles d’IA, n’est pas un Sous-traitant ultérieur. Le Fournisseur lui transmet des Données personnelles de l’Abonné selon les instructions de l’Abonné, et il incombe à l’Abonné de conclure sa propre entente avec ce tiers.
7. Incidents de sécurité.À l’article 5.2(b)(i), les mots « et, dans tous les cas, au plus tard à l’expiration du Délai d’avis prévu, » sont supprimés, et le Délai d’avis prévu n’est pas utilisé. Lorsqu’une Loi sur la protection des données oblige un fournisseur de services à informer son client d’une tentative d’atteinte à la confidentialité de Données personnelles de l’Abonné, le Fournisseur le fait comme cette loi l’exige, et l’article 5.2(e) ne l’en empêche pas.
8. Données qui ne sont plus des Données personnelles. L’Abonné donne instruction au Fournisseur de Traiter les Données personnelles de l’Abonné dans la mesure nécessaire pour produire des données qui ne sont pas des Données personnelles selon les Lois sur la protection des données qui s’y appliquent, par exemple parce qu’elles ont été anonymisées ou agrégées comme ces lois l’exigent. Ces données ne sont pas visées par le présent Addenda. Le Fournisseur peut les utiliser à toute fin licite, notamment de la façon décrite à l’article 11 de l’Entente principale, et ne tentera d’identifier personne à partir de celles-ci. Lorsque les Lois sur la protection des données qui s’appliquent aux Données personnelles de l’Abonné permettent à un fournisseur de services de les utiliser à ses propres fins, par exemple pour améliorer son service, le Fournisseur peut aussi le faire dans la mesure où ces lois le permettent.
9. Suppression des données.Pour l’application de l’article 8.1, l’Abonné peut exporter et supprimer des Données personnelles de l’Abonné au moyen du Service pendant la durée de l’entente : en fixant des périodes de conservation, en exportant ou en effaçant la fiche d’une personne, et en effaçant les données d’un client lorsque celui-ci part. Pour l’application de l’article 8.2, l’Entente principale prend fin lorsque le compte de l’Abonné est fermé. Le Fournisseur supprime alors les Données personnelles de l’Abonné dès que cela est raisonnablement possible et ne les restitue pas; l’Abonné doit donc d’abord exporter ce dont il a besoin (Entente principale, article 16). Tant qu’elles ne sont pas supprimées, le Fournisseur ne les détient que pour les supprimer. Les données supprimées demeurent dans les sauvegardes du Fournisseur jusqu’à ce que celles-ci expirent selon leur cycle normal.
10. Mesures de sécurité. Les Mesures de sécurité sont celles qui figurent dans la présente Page couverture. Le Fournisseur peut les modifier en tout temps, pourvu que la modification ne réduise pas de façon importante la protection globale des Données personnelles de l’Abonné.
11. Modification du présent Addenda.Le présent Addenda fait partie de l’Entente principale, et à l’article 2.6, « l’Entente principale » s’entend du reste de l’Entente principale. Dans la mesure permise par les Lois sur la protection des données, le Fournisseur peut le modifier de la façon que l’article 2 de l’Entente principale prévoit pour celle-ci : en publiant la nouvelle version avec sa date d’entrée en vigueur et, lorsqu’il juge la modification importante, en en informant les administrateurs de l’Abonné par courriel ou dans l’application. Le Fournisseur donne cet avis avant l’entrée en vigueur d’une modification qui réduit de façon importante la protection des Données personnelles de l’Abonné, et l’Abonné peut alors cesser d’utiliser le Service comme le prévoit cet article. Chaque version demeure accessible à sa propre adresse.
12. Frais d’assistance. Le Fournisseur peut facturer à l’Abonné ses frais raisonnables pour l’aide qu’il fournit en vertu des articles 6, 7.1 et 9 et qui dépasse ce qu’exige le respect courant du présent Addenda, après avoir informé l’Abonné du montant. Le Fournisseur ne facture rien pour informer l’Abonné d’un Incident de sécurité.
13. Langue. L’article 23 de l’Entente principale s’applique au présent Addenda comme à l’Entente principale. Le présent Addenda est rédigé en anglais, la version anglaise prévaut, et la version française que le Fournisseur offre est fournie à titre informatif. L’Abonné situé au Québec confirme que la version française du présent Addenda lui a été remise avant qu’il l’accepte, et qu’il a exprimé la volonté expresse d’être lié par la version anglaise.

Addenda relatif à la protection des données de Bonterms (version 2.0)

Les conditions types ci-dessous sont une traduction française, établie par Prosodi à titre informatif, de l’Addenda relatif à la protection des données de Bonterms, version 2.0 (version avec page couverture), © 2026 Bonterms, Inc., utilisé aux termes de la licence Creative Commons Attribution 4.0 International. Le texte original anglais, que Bonterms publie sur bonterms.com, est reproduit sans modification dans la version anglaise du présent Addenda. En cas de divergence entre cette traduction ou la version anglaise et le texte publié par Bonterms, ce dernier s’applique (voir la Page couverture). Bonterms ne fournit pas de conseils juridiques, ne garantit pas le caractère exécutoire ni l’effet de ces conditions et n’assume aucune responsabilité relative à leur utilisation. Les Modalités supplémentaires ci-dessus modifient la façon dont certaines de ces conditions s’appliquent.

Le présent Addenda relatif à la protection des données de Bonterms, version 2.0 (version avec page couverture) (l’« Addenda »), est un ensemble de conditions types que l’Abonné et le Fournisseur concluent en signant une Page couverture.

1.1 « Modalités supplémentaires » s’entend de tout ajout ou de toute modification apportés au présent Addenda (y compris ses Annexes) dont les parties ont convenu.

1.2 « Société affiliée » s’entend d’une entité qui est contrôlée par une partie, qui la contrôle ou qui est sous contrôle commun avec elle, le contrôle s’entendant d’une participation d’au moins 50 % ou du pouvoir de diriger la gestion d’une entité.

1.3 « Audit » et « Paramètres d’audit » sont définis à l’article 9.3 ci-dessous.

1.4 « Rapport d’audit » est défini à l’article 9.2 ci-dessous.

1.5 « Responsable du traitement » s’entend de la personne physique ou morale, de l’autorité publique, de l’organisme ou de toute autre entité qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du Traitement de Données personnelles.

1.6 « Page couverture » s’entend d’un document qui (a) intègre le présent Addenda par renvoi, (b) précise les Modalités clés, les Détails du traitement et toute Modalité supplémentaire et (c) est signé par l’Abonné et le Fournisseur.

1.7 « Abonné » est désigné sur la Page couverture.

1.8 « Données de l’Abonné » s’entend des Données de l’Abonné au sens de l’Entente principale.

1.9 « Instructions de l’Abonné » est défini à l’article 3.1 ci-dessous.

1.10 « Données personnelles de l’Abonné » s’entend des Données personnelles comprises dans les Données de l’Abonné.

1.11 « Lois sur la protection des données » s’entend de l’ensemble des lois et règlements applicables au Traitement des Données personnelles de l’Abonné aux termes de l’Entente principale, notamment, selon le cas : (i) les lois des États américains sur la protection de la vie privée, y compris la California Consumer Privacy Act, dans sa version modifiée par la California Privacy Rights Act, et tout règlement contraignant pris en vertu de celle-ci (la « CCPA »), (ii) le Règlement général sur la protection des données (règlement (UE) 2016/679) (le « RGPD de l’UE » ou le « RGPD »), (iii) la Loi fédérale suisse sur la protection des données (la « LPD »), (iv) le RGPD de l’UE tel qu’il fait partie du droit du Royaume-Uni en vertu de l’article 3 de la European Union (Withdrawal) Act 2018, dans sa version modifiée par la Data (Use and Access) Act 2025 (collectivement, le « RGPD du Royaume-Uni ») et (v) la Data Protection Act 2018 du Royaume-Uni; dans chaque cas, dans leur version mise à jour, modifiée ou remplacée à l’occasion.

1.12 « Personne concernée » s’entend de la personne physique identifiée ou identifiable à laquelle se rapportent les Données personnelles de l’Abonné.

1.13 La « Date d’entrée en vigueur de l’Addenda » est précisée sur la Page couverture.

1.14 « EEE » s’entend de l’Espace économique européen.

1.15 « Clauses contractuelles types de l’UE » ou « CCT de l’UE » s’entend des clauses contractuelles types approuvées par la Commission européenne dans sa décision 2021/914.

1.16 « Annexe » s’entend de l’Annexe A (Mécanismes de transfert transfrontalier) et de l’Annexe B (Modalités propres à certaines régions), telles que les parties peuvent les modifier ou les remplacer au moyen de Modalités supplémentaires.

1.17 « Modalités clés » s’entend de l’Entente principale, de la Date d’entrée en vigueur de l’Addenda, de la Liste des sous-traitants ultérieurs, du Droit applicable désigné de l’UE et de l’État membre désigné de l’UE, tels que les parties les précisent sur la Page couverture.

1.18 « Entente principale » s’entend de l’entente entre l’Abonné et le Fournisseur aux termes de laquelle le Fournisseur fournit le Service à l’Abonné.

1.19 « Données personnelles » s’entend des renseignements concernant une personne physique identifiée ou identifiable ou qui constituent par ailleurs des « données à caractère personnel », des « renseignements personnels », des « renseignements permettant d’identifier une personne » ou des termes semblables au sens des Lois sur la protection des données.

1.20 « Traitement » et ses formes dérivées désignent toute opération ou tout ensemble d’opérations effectuées sur des Données personnelles ou sur des ensembles de Données personnelles, à l’aide ou non de procédés automatisés, comme la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction.

1.21 « Détails du traitement » s’entend de l’objet et des détails du Traitement ainsi que des Mesures de sécurité que les parties précisent sur la Page couverture.

1.22 « Sous-traitant » s’entend de la personne physique ou morale, de l’autorité publique, de l’organisme ou de toute autre entité qui Traite des Données personnelles pour le compte du Responsable du traitement.

1.23 « Fournisseur » est désigné sur la Page couverture.

1.24 « Transfert restreint » s’entend : (i) lorsque le RGPD de l’UE s’applique, d’un transfert de Données personnelles de l’Abonné de l’EEE vers un pays situé hors de l’EEE qui ne fait pas l’objet d’une décision d’adéquation, (ii) lorsque le RGPD du Royaume-Uni s’applique, d’un transfert de Données personnelles de l’Abonné du Royaume-Uni vers tout autre pays qui ne fait pas l’objet d’une décision d’adéquation ou (iii) lorsque la LPD s’applique, d’un transfert de Données personnelles de l’Abonné de la Suisse vers tout autre pays qui ne fait pas l’objet d’une décision d’adéquation.

1.25 « Incident de sécurité » s’entend de toute atteinte à la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération ou la communication non autorisée de Données personnelles de l’Abonné Traitées par le Fournisseur, ou l’accès non autorisé à de telles données.

1.26 « Mesures de sécurité » s’entend des mesures de sécurité techniques et organisationnelles applicables au Service qui sont énoncées dans l’Entente principale ou, si elles n’y sont pas énoncées, précisées sur la Page couverture.

1.27 « Service » s’entend des services que le Fournisseur fournit à l’Abonné aux termes de l’Entente principale.

1.28 Le « Délai d’avis prévu » est de 48 heures.

1.29 « Sous-traitant ultérieur » s’entend de tout tiers que le Fournisseur autorise à Traiter des Données personnelles de l’Abonné.

1.30 « Liste des sous-traitants ultérieurs » s’entend de la liste des Sous-traitants ultérieurs du Fournisseur indiquée sur la Page couverture ou à laquelle celle-ci renvoie par un lien.

1.31 « Mode d’avis relatif aux sous-traitants ultérieurs » s’entend d’un courriel ou d’un avis dans le produit adressé à un administrateur.

2.1 Rôles des parties. Le présent Addenda s’applique au Fournisseur à titre de Sous-traitant des Données personnelles de l’Abonné et à l’Abonné à titre de Responsable du traitement ou de Sous-traitant des Données personnelles de l’Abonné.

2.2 Portée de l’Addenda. Le présent Addenda s’applique au Traitement des Données personnelles de l’Abonné par le Fournisseur aux termes de l’Entente principale, dans la mesure où ce Traitement est assujetti aux Lois sur la protection des données. Le présent Addenda est régi par le droit applicable à l’Entente principale, sauf exigence contraire des Lois sur la protection des données.

2.3 Durée de l’Addenda. Le présent Addenda prend effet à la Date d’entrée en vigueur de l’Addenda et prend fin à l’expiration ou à la résiliation de l’Entente principale (ou, si elle est postérieure, à la date à laquelle le Fournisseur a cessé tout Traitement des Données personnelles de l’Abonné).

2.4 Annexes. L’Annexe A (Mécanismes de transfert transfrontalier) et l’Annexe B (Modalités propres à certaines régions) font partie intégrante du présent Addenda.

2.5 Lien avec l’Entente principale. Le présent Addenda (y compris la Page couverture) fait partie intégrante de l’Entente principale.

2.6 Ordre de préséance. En cas de conflit ou d’incompatibilité entre les documents suivants, l’ordre de préséance est le suivant : (1) les Clauses contractuelles types ou les autres mesures prévues à l’Annexe A (Mécanismes de transfert transfrontalier), (2) l’Annexe B (Modalités propres à certaines régions), (3) les Modalités supplémentaires, (4) le présent Addenda et (5) l’Entente principale. Dans toute la mesure permise par les Lois sur la protection des données, toute réclamation présentée relativement au présent Addenda est assujettie aux modalités de l’Entente principale, notamment à ses exclusions et limitations.

3.1 Instructions de l’Abonné.

(a) Le Fournisseur ne Traite les Données personnelles de l’Abonné à titre de Sous-traitant que : (i) conformément aux Instructions de l’Abonné ou (ii) pour se conformer aux obligations que les lois applicables lui imposent, sous réserve des exigences d’avis prévues par les Lois sur la protection des données.

(b) « Instructions de l’Abonné » s’entend : (i) du Traitement nécessaire pour fournir le Service et exécuter les obligations du Fournisseur prévues par l’Entente principale (y compris le présent Addenda) et (ii) des autres instructions raisonnables et documentées de l’Abonné qui sont compatibles avec les modalités de l’Entente principale.

(c) Les détails du Traitement des Données personnelles de l’Abonné par le Fournisseur figurent dans les Détails du traitement.

(d) Le Fournisseur avise l’Abonné s’il reçoit une instruction dont il juge raisonnablement qu’elle contrevient aux Lois sur la protection des données (le Fournisseur n’étant toutefois pas tenu de surveiller activement le respect de ces lois par l’Abonné).

3.2 Confidentialité.

(a) Le Fournisseur protège les Données personnelles de l’Abonné conformément à ses obligations de confidentialité prévues par l’Entente principale.

(b) Le Fournisseur veille à ce que les membres de son personnel qui Traitent des Données personnelles de l’Abonné concluent des ententes de confidentialité écrites ou soient assujettis à des obligations de confidentialité prévues par la loi.

3.3 Respect des lois.

(a) Le Fournisseur et l’Abonné se conforment chacun aux Lois sur la protection des données qui s’appliquent à leur Traitement respectif des Données personnelles de l’Abonné.

(b) L’Abonné se conforme aux Lois sur la protection des données lorsqu’il donne des Instructions de l’Abonné au Fournisseur. L’Abonné veille à disposer de tous les fondements juridiques nécessaires selon les Lois sur la protection des données pour que le Fournisseur puisse Traiter légalement les Données personnelles de l’Abonné aux fins prévues par l’Entente principale (y compris le présent Addenda), notamment, selon le cas, en obtenant tous les consentements des Personnes concernées et en leur donnant tous les avis nécessaires, comme l’exigent les Lois sur la protection des données.

3.4 Modifications des lois. Les parties collaborent de bonne foi pour négocier toute modification du présent Addenda que l’une ou l’autre juge raisonnablement nécessaire pour répondre aux exigences des Lois sur la protection des données, telles qu’elles évoluent.

4.1 Recours aux Sous-traitants ultérieurs.

(a) L’Abonné autorise de façon générale le Fournisseur à faire appel à des Sous-traitants ultérieurs pour Traiter des Données personnelles de l’Abonné. L’Abonné convient en outre que le Fournisseur peut faire appel à ses Sociétés affiliées à titre de Sous-traitants ultérieurs.

(b) Le Fournisseur : (i) conclut avec chaque Sous-traitant ultérieur une entente écrite lui imposant des obligations de Traitement et de protection des données essentiellement identiques à celles qui sont énoncées dans le présent Addenda et (ii) demeure responsable du respect de ses propres obligations aux termes du présent Addenda ainsi que des actes ou omissions d’un Sous-traitant ultérieur qui l’amènent à manquer à l’une de ces obligations.

4.2 Liste des sous-traitants ultérieurs. Le Fournisseur tient à jour une liste de ses Sous-traitants ultérieurs, indiquant notamment leurs fonctions et leurs emplacements, comme le précise la Liste des sous-traitants ultérieurs.

4.3 Avis de nouveaux Sous-traitants ultérieurs. Le Fournisseur peut mettre à jour la Liste des sous-traitants ultérieurs à l’occasion. Au moins 30 jours avant qu’un nouveau Sous-traitant ultérieur ne Traite des Données personnelles de l’Abonné, le Fournisseur l’ajoute à la Liste des sous-traitants ultérieurs et en avise l’Abonné selon le Mode d’avis relatif aux sous-traitants ultérieurs.

4.4 Opposition à de nouveaux Sous-traitants ultérieurs.

(a) Si, dans les 30 jours suivant l’avis d’un nouveau Sous-traitant ultérieur, l’Abonné avise le Fournisseur par écrit qu’il s’oppose à la désignation de ce nouveau Sous-traitant ultérieur en raison de préoccupations raisonnables liées à la protection des données, les parties discutent de ces préoccupations de bonne foi.

(b) Si les parties ne parviennent pas à une solution mutuellement acceptable quant à l’opposition de l’Abonné à un nouveau Sous-traitant ultérieur, l’Abonné peut, à titre de seul et unique recours, résilier la partie touchée du Service au moyen d’un avis écrit au Fournisseur, et le Fournisseur rembourse les frais payés d’avance et inutilisés qui sont attribuables à la partie résiliée du Service à la date de cette résiliation.

5.1 Mesures techniques et organisationnelles. Le Fournisseur met en place et maintient des mesures, des procédures et des pratiques techniques et organisationnelles raisonnables et appropriées, adaptées à la nature des Données personnelles de l’Abonné, qui visent à protéger la sécurité, la confidentialité, l’intégrité et la disponibilité des Données personnelles de l’Abonné et à prévenir les Incidents de sécurité, conformément à ses Mesures de sécurité. Le Fournisseur vérifie régulièrement qu’il respecte ces Mesures de sécurité.

5.2 Avis et intervention en cas d’incident.

(a) Le Fournisseur met en place et applique des procédures pour détecter les Incidents de sécurité et y réagir.

(b) Le Fournisseur : (i) avise l’Abonné sans retard injustifié et, dans tous les cas, au plus tard à l’expiration du Délai d’avis prévu, après avoir pris connaissance d’un Incident de sécurité touchant l’Abonné et (ii) déploie des efforts raisonnables pour déterminer la cause de l’Incident de sécurité, en atténuer les effets et corriger cette cause, dans la mesure où il en a raisonnablement la maîtrise.

(c) À la demande de l’Abonné et compte tenu de la nature du Traitement en cause, le Fournisseur aide l’Abonné en lui fournissant, lorsqu’ils sont disponibles, les renseignements raisonnablement nécessaires pour que l’Abonné s’acquitte de ses obligations d’avis en cas d’Incident de sécurité prévues par les Lois sur la protection des données.

(d) L’Abonné reconnaît que l’avis d’un Incident de sécurité donné par le Fournisseur ne constitue pas une reconnaissance de faute ou de responsabilité de la part de celui-ci.

(e) Les Incidents de sécurité ne comprennent pas les tentatives infructueuses ni les activités qui ne compromettent pas la sécurité des Données personnelles de l’Abonné, notamment les tentatives de connexion infructueuses, les requêtes ping, les balayages de ports, les attaques par déni de service et les autres attaques réseau visant des pare-feu ou des systèmes en réseau.

5.3 Responsabilités de l’Abonné.

(a) Il incombe à l’Abonné d’examiner les renseignements que le Fournisseur met à sa disposition au sujet de la sécurité des données et de déterminer lui-même si le Service répond à ses exigences et à ses obligations juridiques prévues par les Lois sur la protection des données.

(b) L’Abonné est seul responsable de se conformer aux lois sur la notification des Incidents de sécurité qui s’appliquent à lui et de s’acquitter de toute obligation d’aviser les autorités gouvernementales, les personnes touchées ou d’autres personnes au sujet d’un Incident de sécurité.

7.1 Aide à l’Abonné. À la demande de l’Abonné et compte tenu de la nature du Traitement en cause, le Fournisseur aide l’Abonné, par des mesures techniques et organisationnelles appropriées et dans toute la mesure du possible, à s’acquitter des obligations que les Lois sur la protection des données lui imposent de répondre aux demandes des personnes qui souhaitent exercer les droits que ces lois leur confèrent, pourvu que l’Abonné ne puisse raisonnablement y donner suite par lui-même (notamment au moyen du Service).

7.2 Demandes des Personnes concernées. Si le Fournisseur reçoit d’une Personne concernée une demande relative aux Données personnelles de l’Abonné qui la concernent, il en avise l’Abonné et invite la Personne concernée à présenter sa demande à l’Abonné (sans communiquer autrement avec elle au sujet de la demande, sauf si les Lois sur la protection des données l’exigent), et il incombe à l’Abonné de répondre à une telle demande.

8.1 Pendant la durée de l’Entente principale. Pendant la durée de l’Entente principale, l’Abonné peut, au moyen des fonctionnalités du Service ou des autres moyens précisés dans les Modalités supplémentaires, accéder aux Données personnelles de l’Abonné, les récupérer ou les supprimer.

8.2 Après la fin de l’entente.

(a) Après la résiliation ou l’expiration de l’Entente principale, le Fournisseur supprime de ses systèmes toutes les Données personnelles de l’Abonné, conformément à ses obligations prévues par l’Entente principale. Si l’Entente principale ne prévoit aucune obligation de cette nature, le Fournisseur supprime ou restitue à l’Abonné toutes les Données personnelles de l’Abonné qu’il a en sa possession, sous sa garde ou sous son contrôle dès que cela est raisonnablement possible après la résiliation ou l’expiration.

(b) La suppression est effectuée conformément aux pratiques de suppression sécurisée reconnues dans le secteur. Le Fournisseur délivre une attestation de suppression à la demande de l’Abonné.

(c) Malgré ce qui précède, le Fournisseur peut conserver des Données personnelles de l’Abonné : (i) lorsque les Lois sur la protection des données l’exigent ou (ii) conformément à ses politiques habituelles de sauvegarde ou de conservation des documents, pourvu que, dans l’un ou l’autre cas, le Fournisseur (x) préserve la confidentialité des Données personnelles de l’Abonné ainsi conservées et respecte par ailleurs à leur égard les dispositions applicables du présent Addenda et (y) ne Traite pas autrement les Données personnelles de l’Abonné ainsi conservées, sauf aux fins et pour la durée prévues par les Lois sur la protection des données applicables.

9.1 Registres du Fournisseur en général. Le Fournisseur tient des registres de ses activités de Traitement conformément aux Lois sur la protection des données et, à la demande de l’Abonné, met à sa disposition les registres raisonnablement nécessaires pour démontrer qu’il respecte ses obligations prévues par le présent Addenda et les Lois sur la protection des données.

9.2 Programme de conformité de tiers.

(a) À la demande écrite de l’Abonné, présentée à intervalles raisonnables, le Fournisseur décrit ses programmes d’audit et de certification par des tiers (s’il en a) et met à la disposition de l’Abonné des copies sommaires de ses rapports d’audit (chacun, un « Rapport d’audit »), sous réserve de mesures de protection de la confidentialité au bénéfice du Fournisseur.

(b) L’Abonné peut transmettre des copies des Rapports d’audit aux autorités gouvernementales compétentes lorsqu’elles l’exigent.

(c) L’Abonné convient que tout droit d’audit conféré par les Lois sur la protection des données est satisfait par les Rapports d’audit et par la procédure prévue à l’article 9.3 (Audit par l’Abonné) ci-dessous.

9.3 Audit par l’Abonné.

(a) Sous réserve des modalités du présent article 9.3, l’Abonné a le droit de réaliser, à ses frais, un audit d’une portée et d’une durée raisonnables, selon un plan d’audit convenu avec le Fournisseur et conforme aux Paramètres d’audit (un « Audit »).

(b) L’Abonné peut exercer son droit d’Audit : (i) dans la mesure où le Rapport d’audit fourni par le Fournisseur ne lui donne pas suffisamment de renseignements pour vérifier que le Fournisseur respecte le présent Addenda ou que les parties respectent les Lois sur la protection des données, (ii) lorsque cela est nécessaire pour qu’il réponde à un audit d’une autorité gouvernementale ou (iii) relativement à un Incident de sécurité.

(c) Chaque Audit doit respecter les paramètres suivants (les « Paramètres d’audit ») : (i) être réalisé par un tiers indépendant qui conclut une entente de confidentialité avec le Fournisseur, (ii) se limiter aux questions raisonnablement nécessaires pour que l’Abonné évalue le respect du présent Addenda par le Fournisseur et le respect des Lois sur la protection des données par les parties, (iii) avoir lieu à une date et à une heure convenues entre les parties, et uniquement pendant les heures normales d’ouverture du Fournisseur, (iv) n’avoir lieu qu’une fois par année au plus (sauf si les Lois sur la protection des données l’exigent ou relativement à un Incident de sécurité), (v) ne porter que sur les installations que le Fournisseur contrôle, (vi) limiter ses constatations aux seules Données personnelles de l’Abonné et (vii) traiter tout résultat comme un renseignement confidentiel dans toute la mesure permise par les Lois sur la protection des données.

10.1 Transferts transfrontaliers de données.

(a) Le Fournisseur (et ses Sociétés affiliées) peut Traiter et transférer les Données personnelles de l’Abonné partout dans le monde, dans la mesure nécessaire pour fournir le Service.

(b) Si le Fournisseur effectue un Transfert restreint, il se conforme à l’Annexe A (Mécanismes de transfert transfrontalier).

10.2 Modalités propres à certaines régions. Dans la mesure où le Fournisseur Traite des Données personnelles de l’Abonné protégées par les Lois sur la protection des données de l’une des régions énumérées à l’Annexe B (Modalités propres à certaines régions), les modalités qui y sont prévues pour le ou les territoires visés s’appliquent en plus de celles du présent Addenda.

Annexe A : Mécanismes de transfert transfrontalier

1.1 Les CCT de l’UE sont intégrées par renvoi aux présentes, comme suit :

(a) le module 2 (transfert de responsable du traitement à sous-traitant) s’applique lorsque l’Abonné est Responsable du traitement des Données personnelles de l’Abonné et que le Fournisseur en est Sous-traitant;

(b) le module 3 (transfert de sous-traitant à sous-traitant) s’applique lorsque l’Abonné est Sous-traitant des Données personnelles de l’Abonné (pour le compte d’un tiers Responsable du traitement) et que le Fournisseur en est Sous-traitant;

(c) l’Abonné est l’« exportateur de données » et le Fournisseur est l’« importateur de données »;

(d) en concluant le présent Addenda, chaque partie est réputée avoir signé les CCT de l’UE (y compris leurs annexes) à la Date d’entrée en vigueur de l’Addenda.

1.2 Pour chaque module, les dispositions suivantes s’appliquent, selon le cas :

(a) la clause d’adhésion facultative prévue à la clause 7 ne s’applique pas;

(b) à la clause 9, l’option 2 s’applique, le délai minimal de préavis des changements de Sous-traitants ultérieurs est celui qui est prévu à l’article 4.3 du présent Addenda, et le Fournisseur s’acquitte de ses obligations d’avis en avisant l’Abonné de tout changement de Sous-traitant ultérieur conformément à cet article 4.3;

(c) à la clause 11, le texte facultatif ne s’applique pas;

(d) à la clause 13, tous les crochets sont supprimés et le texte qu’ils encadrent est conservé;

(e) à la clause 17, l’option 1 s’applique, et les CCT de l’UE sont régies par le Droit applicable désigné de l’UE;

(f) à la clause 18(b), les différends sont tranchés par les tribunaux de l’État membre désigné de l’UE;

(g) les Détails du traitement contiennent les renseignements exigés à l’annexe I des CCT de l’UE;

(h) les Détails du traitement contiennent les renseignements exigés à l’annexe II des CCT de l’UE.

1.3 Lorsque le contexte le permet et l’exige, toute mention des CCT de l’UE dans le présent Addenda s’entend des CCT de l’UE telles qu’elles sont modifiées de la manière prévue au présent article 1.

2.1 Les CCT de l’UE s’appliquent comme le prévoit l’article 1 (Transferts depuis l’UE) de la présente Annexe A, avec les modifications suivantes :

(a) à la clause 13, l’autorité de contrôle compétente est le Préposé fédéral à la protection des données et à la transparence de la Suisse;

(b) à la clause 17 (option 1), les CCT de l’UE sont régies par le droit suisse;

(c) à la clause 18(b), les différends sont tranchés par les tribunaux de la Suisse;

(d) l’expression « État membre » ne doit pas être interprétée de façon à empêcher les Personnes concernées en Suisse de faire valoir leurs droits au lieu de leur résidence habituelle conformément à la clause 18(c);

(e) toute mention du RGPD de l’UE dans le présent Addenda est réputée viser aussi la LPD.

3.1 Les CCT de l’UE s’appliquent comme le prévoit l’article 1 (Transferts depuis l’UE) de la présente Annexe A, avec les modifications suivantes :

(a) chaque partie est réputée avoir signé l’« International Data Transfer Addendum to the EU Commission Standard Contractual Clauses » (l’« Addenda du Royaume-Uni ») publié par l’Information Commissioner’s Office en vertu de l’article 119A de la Data Protection Act 2018;

(b) les CCT de l’UE sont réputées modifiées de la manière prévue par l’Addenda du Royaume-Uni à l’égard du transfert des Données personnelles de l’Abonné;

(c) au tableau 1 de l’Addenda du Royaume-Uni, les coordonnées principales des parties figurent dans les Détails du traitement;

(d) au tableau 2 de l’Addenda du Royaume-Uni, les renseignements sur la version des CCT de l’UE, les modules et les clauses choisies auxquels l’Addenda du Royaume-Uni est joint figurent ci-dessus dans la présente Annexe A;

(e) au tableau 3 de l’Addenda du Royaume-Uni :

(i) la liste des parties figure dans les Détails du traitement;

(ii) la description du transfert figure dans les Détails du traitement;

(iii) l’annexe II figure dans les Détails du traitement;

(iv) la liste des Sous-traitants ultérieurs figure dans les Détails du traitement.

(f) au tableau 4 de l’Addenda du Royaume-Uni, l’importateur et l’exportateur peuvent tous deux mettre fin à l’Addenda du Royaume-Uni conformément à ses modalités (et la case correspondant à chacun est réputée cochée);

(g) Partie 2 : les clauses obligatoires de l’addenda approuvé, soit le modèle d’addenda B.1.0 publié par l’ICO et déposé devant le Parlement conformément à l’article 119A de la Data Protection Act 2018 le 2 février 2022, dans sa version révisée en vertu de l’article 18 de ces clauses obligatoires.

Annexe B : Modalités propres à certaines régions

A. CALIFORNIE

1.1 Les termes « fin commerciale » (business purpose), « fin mercantile » (commercial purpose), « renseignements personnels » (personal information), « vendre » (sell), « fournisseur de services » (service provider) et « partager » (share) ont le sens que leur donne la CCPA.

1.2 La définition de « Personne concernée » comprend le « consommateur » (consumer) au sens de la CCPA.

1.3 La définition de « Responsable du traitement » comprend l’« entreprise » (business) au sens de la CCPA.

1.4 La définition de « Sous-traitant » comprend le « fournisseur de services » (service provider) au sens de la CCPA.

2.1 L’Abonné fournit les Données personnelles de l’Abonné au Fournisseur aux termes de l’Entente principale aux fins commerciales limitées et précises que sont la fourniture du Service, telle que la décrivent les Détails du traitement, et l’exécution par ailleurs de l’Entente principale.

2.2 Le Fournisseur se conforme aux obligations que la CCPA lui impose et accorde aux Données personnelles de l’Abonné le niveau de protection de la vie privée qu’exige la CCPA.

2.3 Le Fournisseur reconnaît que l’Abonné a le droit : (i) de prendre, en vertu de l’article 9 (Audits) du présent Addenda, des mesures raisonnables et appropriées pour contribuer à faire en sorte que l’utilisation des Données personnelles de l’Abonné par le Fournisseur soit compatible avec les obligations que la CCPA impose à l’Abonné, (ii) de recevoir du Fournisseur les avis et l’aide prévus à l’article 7 (Demandes des Personnes concernées) du présent Addenda au sujet des demandes de consommateurs qui souhaitent exercer des droits prévus par la CCPA et (iii) moyennant un avis, de prendre des mesures raisonnables et appropriées pour faire cesser toute utilisation non autorisée des Données personnelles de l’Abonné et y remédier.

2.4 Le Fournisseur avise l’Abonné sans tarder après avoir établi qu’il ne peut plus s’acquitter de ses obligations prévues par la CCPA.

2.5 Le Fournisseur ne conserve, n’utilise ni ne communique les Données personnelles de l’Abonné : (i) à aucune fin, y compris une fin mercantile, autre que les fins commerciales décrites à l’article A.2.1 de la présente Annexe ni (ii) en dehors de la relation d’affaires directe entre le Fournisseur et l’Abonné, sauf, dans l’un ou l’autre cas, lorsque la CCPA le permet et dans la mesure où elle le permet.

2.6 Le Fournisseur ne vend ni ne partage les Données personnelles de l’Abonné reçues aux termes de l’Entente principale.

2.7 Le Fournisseur ne combine pas les Données personnelles de l’Abonné avec d’autres renseignements personnels, sauf dans la mesure où la CCPA permet à un fournisseur de services de le faire.