En bref
- Rôles : le Client est responsable du traitement, There est sous-traitant et agit uniquement sur ses instructions.
- Hébergement : la base de données et les fichiers sont hébergés dans l’Union européenne. Les transferts hors UE réalisés par certains sous-traitants sont encadrés par les clauses contractuelles types de la Commission européenne.
- IA : les données du Client ne sont pas utilisées pour entraîner des modèles d’IA. Avec l’offre Business, le Client peut limiter les modèles d’IA à Mistral AI, dont les traitements ont lieu dans l’UE.
- Violation de données : There notifie le Client dans les quarante-huit (48) heures après en avoir pris connaissance.
- Sous-traitants ultérieurs : la liste figure en annexe 3. Tout nouveau sous-traitant est annoncé trente (30) jours à l’avance, et le Client peut s’y opposer.
- Audits : There fournit la documentation nécessaire et accepte un audit par an au plus, aux frais du Client qui le demande.
- Fin de la relation : export des données sous trente (30) jours sur demande, puis suppression sous trente (30) jours lorsque le Client supprime son organisation ou en fait la demande.
- Contact : privacy@there.do.
Article 1 — Objet et champ d’application
1.1. Le présent Accord fait partie intégrante des Conditions générales de vente (les « CGV »), acceptées lors de la création d’une organisation. Il s’applique à toute organisation, qu’elle bénéficie d’une offre gratuite ou payante, sans qu’aucune signature distincte ne soit nécessaire. Les administrateurs des organisations existantes sont informés de sa publication par courrier électronique. Un Client qui le souhaite peut obtenir une version signée en écrivant à privacy@there.do. 1.2. L’Accord s’applique aux données à caractère personnel que le Client et ses utilisateurs saisissent, importent, enregistrent ou partagent dans les Services, et que There traite pour le compte du Client (les « Données du Client »). 1.3. L’Accord ne s’applique pas aux données que There traite pour son propre compte en tant que responsable du traitement, notamment la gestion de la relation commerciale, la facturation, la prospection et la mesure d’audience de ses sites. Ces traitements sont décrits dans la Politique de confidentialité. 1.4. En cas de contradiction entre l’Accord et les CGV, les Conditions d’utilisation ou la Politique de confidentialité, l’Accord prévaut pour tout ce qui concerne la protection des Données du Client. Les clauses contractuelles types conclues pour un transfert prévalent sur l’Accord dans leur champ d’application.Article 2 — Définitions
Les termes « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « personne concernée », « violation de données à caractère personnel » et « autorité de contrôle » ont le sens que leur donne le RGPD. Les autres termes commençant par une majuscule ont le sens que leur donnent les CGV. « Sous-traitant ultérieur » désigne tout prestataire auquel There fait appel et qui traite des Données du Client.Article 3 — Rôles des parties
3.1. Le Client agit en qualité de responsable du traitement. There agit en qualité de sous-traitant. 3.2. Lorsque le Client agit lui-même en qualité de sous-traitant pour le compte d’un tiers, There agit en qualité de sous-traitant ultérieur. Le Client garantit alors qu’il est autorisé à recourir à There et que les instructions qu’il donne sont conformes à celles de son propre responsable du traitement.Article 4 — Description du traitement
L’objet, la nature, la finalité et la durée du traitement, les catégories de données et les catégories de personnes concernées sont décrits en annexe 1.Article 5 — Instructions du Client
5.1. There traite les Données du Client uniquement sur instruction documentée du Client, y compris en ce qui concerne les transferts hors de l’Union européenne, sauf obligation légale contraire. Dans ce cas, There informe le Client de cette obligation avant le traitement, sauf si la loi l’interdit. 5.2. Constituent les instructions documentées du Client : les CGV, les Conditions d’utilisation et le présent Accord ; la configuration et l’utilisation des Services par le Client et ses utilisateurs autorisés, notamment le choix des fonctionnalités, des modèles d’IA et des intégrations activés ; toute autre instruction écrite acceptée par There. 5.3. There informe immédiatement le Client si, selon lui, une instruction constitue une violation du RGPD ou d’autres dispositions du droit de l’Union ou d’un État membre relatives à la protection des données. There peut alors suspendre l’exécution de l’instruction concernée jusqu’à ce que le Client la confirme ou la modifie. 5.4. Sous réserve de l’article 5.5, There ne traite pas les Données du Client pour ses propres finalités. En particulier, There ne vend pas les Données du Client et ne les utilise pas pour entraîner des modèles d’intelligence artificielle. Ses sous-traitants ultérieurs fournissant des services d’IA se sont contractuellement engagés à ne pas les utiliser à cette fin. 5.5. There traite, en qualité de responsable du traitement, les données relatives à l’utilisation des Services : données de compte et de connexion, journaux techniques, événements d’usage et échanges avec l’assistance. Il les utilise pour fournir, sécuriser, maintenir et améliorer les Services, assister les utilisateurs et établir des statistiques, comme le décrit la Politique de confidentialité. Ces traitements ne portent pas sur le contenu des notes, documents et fichiers du Client, sauf dans la mesure nécessaire au diagnostic d’un incident ou au traitement d’une demande d’assistance.Article 6 — Obligations du Client
Le Client :- veille à la licéité des traitements qu’il confie à There et dispose d’une base légale pour chacun d’eux ;
- informe les personnes concernées, notamment les personnes enregistrées lors d’une note vocale (voir Informer les participants) ;
- ne saisit dans les Services des catégories particulières de données (article 9 du RGPD) ou des données relatives aux condamnations pénales (article 10 du RGPD) que lorsque c’est strictement nécessaire, et sous sa responsabilité ;
- gère les accès de ses utilisateurs et la visibilité de ses contenus dans les Services.
Article 7 — Confidentialité
There veille à ce que les personnes autorisées à traiter les Données du Client s’engagent à en respecter la confidentialité ou soient soumises à une obligation légale de confidentialité appropriée. L’accès aux Données du Client est limité aux membres de l’équipe qui en ont besoin pour fournir, maintenir ou sécuriser les Services, ou pour répondre à une demande du Client.Article 8 — Sécurité
8.1. There met en œuvre les mesures techniques et organisationnelles appropriées prévues à l’article 32 du RGPD, décrites en annexe 2. 8.2. There teste, analyse et évalue régulièrement l’efficacité de ces mesures. Il peut les faire évoluer, à condition de ne pas réduire le niveau global de sécurité des Données du Client.Article 9 — Sous-traitants ultérieurs
9.1. Le Client donne à There une autorisation générale de recourir à des sous-traitants ultérieurs. La liste des sous-traitants ultérieurs en vigueur figure en annexe 3. 9.2. There informe le Client de tout ajout ou remplacement d’un sous-traitant ultérieur au moins trente (30) jours à l’avance, par courrier électronique adressé aux administrateurs de l’organisation et par la mise à jour de l’annexe 3. Lorsqu’un remplacement est rendu nécessaire par un motif urgent de sécurité ou de continuité du service, There en informe le Client dans les meilleurs délais, et le Client peut s’y opposer dans les conditions de l’article 9.3 à compter de cette information. 9.3. Le Client peut s’opposer à ce changement par écrit avant l’expiration du délai d’information, pour un motif objectif et documenté tenant à la capacité du nouveau sous-traitant ultérieur à respecter la réglementation sur la protection des données. There peut alors proposer une solution, par exemple ne pas confier les Données du Client à ce sous-traitant ultérieur ou désactiver la fonctionnalité concernée pour l’organisation. À défaut de solution dans les trente (30) jours suivant l’opposition, le Client peut, à titre de seul recours, résilier son abonnement et demander la suppression de son organisation selon l’article 14.3, sans pénalité. There lui rembourse alors les sommes prépayées correspondant à la période restant à courir. À défaut d’opposition dans le délai d’information, le changement est réputé accepté. 9.4. There impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données au moins équivalentes à celles du présent Accord. There demeure pleinement responsable envers le Client de l’exécution de ces obligations par ses sous-traitants ultérieurs. 9.5. Les intégrations que le Client active lui-même dans les Services (par exemple une messagerie, un agenda ou une GED) ne sont pas des sous-traitants ultérieurs de There. Les données transmises à ces services le sont sur instruction du Client et relèvent du contrat qui lie le Client à leur éditeur.Article 10 — Transferts hors de l’Union européenne
10.1. La base de données applicative est hébergée à Francfort, en Allemagne, et les fichiers sont stockés dans l’Union européenne. 10.2. Certains sous-traitants ultérieurs sont établis hors de l’Espace économique européen ou peuvent y traiter des Données du Client, y compris par un accès à distance. Ces transferts reposent sur l’un des mécanismes suivants :- une décision d’adéquation de la Commission européenne, y compris le cadre de protection des données UE-États-Unis, uniquement lorsque le destinataire y est certifié pour le service concerné ;
- à défaut, les clauses contractuelles types adoptées par la Commission européenne (décision d’exécution (UE) 2021/914), module 3 (de sous-traitant à sous-traitant), complétées des mesures supplémentaires nécessaires.
Article 11 — Assistance au Client
11.1. Compte tenu de la nature du traitement, There aide le Client, par des mesures techniques et organisationnelles appropriées et dans toute la mesure du possible, à répondre aux demandes d’exercice des droits des personnes concernées. Les Services permettent au Client de consulter, modifier, exporter et supprimer la plupart des Données du Client. Si There reçoit directement une telle demande, il la transmet au Client sans y répondre lui-même, sauf instruction contraire. 11.2. There aide le Client, compte tenu des informations dont il dispose, à respecter ses obligations prévues aux articles 32 à 36 du RGPD : sécurité du traitement, notification des violations de données, analyse d’impact relative à la protection des données et consultation préalable de l’autorité de contrôle.Article 12 — Violation de données à caractère personnel
12.1. There notifie au Client toute violation de données à caractère personnel concernant les Données du Client dans un délai maximal de quarante-huit (48) heures après en avoir pris connaissance, y compris lorsque la violation lui est signalée par un sous-traitant ultérieur. 12.2. La notification est adressée aux administrateurs de l’organisation. Elle décrit, dans la mesure où ces informations sont disponibles : la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d’enregistrements concernés, les conséquences probables, et les mesures prises ou envisagées pour y remédier et en atténuer les effets. Les informations qui ne sont pas disponibles immédiatement sont communiquées au fur et à mesure : la première notification n’attend pas la fin des investigations. 12.3. There prend sans délai les mesures nécessaires pour contenir la violation et en limiter les conséquences. Le Client décide des notifications à l’autorité de contrôle et des communications aux personnes concernées ; There ne les effectue à sa place que sur instruction ou obligation légale. La notification ne vaut pas reconnaissance de responsabilité.Article 13 — Documentation et audits
13.1. There met à la disposition du Client les informations nécessaires pour démontrer le respect des obligations prévues à l’article 28 du RGPD : le présent Accord et ses annexes, la page Sécurité et confidentialité et les réponses aux questionnaires de sécurité raisonnables du Client. 13.2. Si ces informations ne suffisent pas, le Client peut réaliser ou faire réaliser un audit, y compris une inspection, par un auditeur indépendant qui n’est pas un concurrent de There et qui est tenu au secret. L’audit :- est limité à une fois par période de douze (12) mois, sauf violation de données affectant les Données du Client ou demande d’une autorité de contrôle ;
- est notifié avec un préavis d’au moins trente (30) jours et un périmètre défini à l’avance ;
- se déroule de préférence à distance, pendant les heures ouvrées, sans perturber les Services ni donner accès aux données des autres clients ;
- est réalisé aux frais du Client qui le demande, y compris le temps consacré par l’équipe de There, sur devis préalable.