Mentions légales

Accord de traitement des données

Dernière mise à jour : 1 novembre 2026

Cette traduction est fournie pour votre commodité. La version anglaise est la seule juridiquement contraignante et elle prévaut en cas de divergence. Lire la version anglaise.

Le présent accord de traitement des données (l'« Accord ») fait partie des Conditions d'utilisation conclues entre le Client et Astrizon Technology Solutions Private Limited, société enregistrée en Inde (le « Sous-traitant »). Il s'applique chaque fois que le Sous-traitant traite des données personnelles pour le compte du Client par l'intermédiaire de Zolensa. Si le Client agit en tant que sous-traitant pour son propre client, le Sous-traitant est son sous-traitant ultérieur et les conditions s'appliquent en conséquence.

1. Définitions

« Législation sur la protection des données » désigne les lois applicables au traitement, y compris le règlement général sur la protection des données de l'UE (RGPD), le RGPD britannique (UK GDPR) et la loi britannique sur la protection des données de 2018 (Data Protection Act 2018), la loi fédérale suisse sur la protection des données (LPD), la loi indienne de 2023 sur la protection des données personnelles numériques (Digital Personal Data Protection Act) et les lois des États américains, telles que la loi californienne sur la protection de la vie privée des consommateurs (California Consumer Privacy Act, CCPA). « Données personnelles », « Responsable du traitement », « Sous-traitant », « Personne concernée », « Violation de données personnelles » et « Traitement » ont le sens qui leur est donné dans le RGPD. « Données personnelles du Client » désigne les données personnelles traitées par le Sous-traitant pour le Client par l'intermédiaire du Service.

2. Rôles et instructions

Le Client est le Responsable du traitement (ou un Sous-traitant agissant pour son client) et le Sous-traitant ne traite les Données personnelles du Client que sur instructions documentées du Client. Les Conditions, le présent Accord ainsi que l'utilisation et les paramètres du Service choisis par le Client constituent ces instructions. Le Sous-traitant informe le Client s'il estime qu'une instruction enfreint la Législation sur la protection des données. Le détail du traitement figure à l'Annexe I.

3. Confidentialité

Le Sous-traitant veille à ce que toute personne autorisée à traiter les Données personnelles du Client soit tenue à la confidentialité et n'ait que l'accès dont sa fonction a besoin.

4. Sécurité

Le Sous-traitant met en œuvre les mesures techniques et organisationnelles décrites à l'Annexe II, adaptées au risque, et peut les mettre à jour tant que le niveau global de protection ne diminue pas.

5. Sous-traitants ultérieurs

Le Client donne une autorisation générale pour les sous-traitants ultérieurs listés sur la page Sous-traitants ultérieurs. Le Sous-traitant donne un préavis d'au moins 30 jours avant tout nouveau sous-traitant ultérieur, en mettant à jour cette page et en écrivant par e-mail aux propriétaires des espaces de travail. Le Client peut s'y opposer pour des motifs raisonnables de protection des données pendant ce délai ; si les parties ne parviennent pas à convenir d'une solution, le Client peut mettre fin au service concerné et obtenir le remboursement des sommes prépayées pour la période restante. Le Sous-traitant impose à chaque sous-traitant ultérieur des obligations de protection des données au moins aussi protectrices que le présent Accord et reste responsable à leur égard.

6. Transferts internationaux

Le Sous-traitant héberge le Service en Inde et certains sous-traitants ultérieurs se trouvent dans d'autres pays. Pour les transferts de données personnelles depuis l'Espace économique européen, les parties conviennent d'appliquer les clauses contractuelles types adoptées par la décision d'exécution (UE) 2021/914 de la Commission, module deux (de responsable du traitement à sous-traitant) et, lorsque le Client est un sous-traitant, module trois (de sous-traitant à sous-traitant), qui sont incorporées par renvoi avec les choix suivants : la clause 7 ne s'applique pas ; à la clause 9, l'option 2 (autorisation générale) s'applique avec un préavis de 30 jours ; le texte facultatif de la clause 11 ne s'applique pas ; la clause 13 suit l'établissement du Client ; aux clauses 17 et 18, le droit et les tribunaux de l'Irlande s'appliquent ; les Annexes I et II du présent Accord complètent les annexes des clauses. Pour les transferts depuis le Royaume-Uni, l'addendum relatif au transfert international de données publié par l'Information Commissioner s'applique, et pour la Suisse, les clauses s'appliquent, les références étant lues comme des références au droit suisse. En cas de conflit entre ces clauses et le présent Accord, les clauses prévalent.

7. Assistance au Client

Compte tenu de la nature du traitement, le Sous-traitant aide le Client, principalement par les fonctionnalités du Service, à répondre aux demandes des Personnes concernées, ainsi qu'en matière de sécurité, de notification des violations, d'analyses d'impact relatives à la protection des données et de consultations des autorités. Si une Personne concernée contacte directement le Sous-traitant, celui-ci transmet la demande au Client sans y répondre, sauf obligation légale contraire.

8. Violations de données personnelles

Le Sous-traitant notifie au Client, dans les meilleurs délais et en tout état de cause dans les 48 heures après en avoir pris connaissance, toute Violation de données personnelles affectant les Données personnelles du Client, avec les informations dont le Client a besoin pour remplir ses propres obligations, et le tient informé à mesure que de nouveaux éléments sont connus. Le Sous-traitant prend des mesures raisonnables pour contenir la violation et en réduire les effets.

9. Suppression et restitution

Le Client peut exporter et supprimer les Données personnelles du Client à tout moment par l'intermédiaire du Service, et définit la durée de conservation de chaque étude. À la fin du contrat, le Sous-traitant supprime toutes les Données personnelles du Client, y compris les fichiers stockés, dans les 30 jours suivant la période d'export prévue par les Conditions, sauf si la loi l'oblige à en conserver une partie, auquel cas il garde ces données confidentielles et ne les traite qu'à cette fin.

10. Audits

Le Sous-traitant met à disposition les informations raisonnablement nécessaires pour démontrer le respect du présent Accord. Le Client peut réaliser un audit, ou faire réaliser un audit par un auditeur indépendant tenu à la confidentialité, une fois par an moyennant un préavis de 30 jours, pendant les heures ouvrées et sans perturber le Service ni les données des autres clients, à ses propres frais ; ou plus souvent si une Violation de données personnelles ou une autorité l'exige.

11. Lois des États américains sur la vie privée

Lorsque la loi californienne sur la protection de la vie privée des consommateurs (CCPA) ou des lois similaires s'appliquent, le Sous-traitant est un prestataire de services et ne vendra ni ne partagera les Données personnelles du Client, ne les conservera, ne les utilisera ni ne les divulguera en dehors de la relation commerciale directe ou à toute fin autre que le Service, et ne les combinera pas avec d'autres informations personnelles, sauf dans la mesure permise par ces lois. Le Sous-traitant informera le Client s'il ne peut plus remplir ces obligations.

12. Responsabilité et ordre de priorité

La responsabilité de chaque partie au titre du présent Accord est soumise aux limites prévues par les Conditions, sauf lorsque la Législation sur la protection des données ne les permet pas. En cas de conflit entre le présent Accord et les Conditions en matière de protection des données, le présent Accord prévaut.

13. Annexe I : Détails du traitement

14. Annexe II : Mesures techniques et organisationnelles

• Chiffrement en transit par TLS pour toutes les connexions ; enregistrements stockés de manière privée et fournis par des liens signés qui expirent.
• Mots de passe hachés avec Argon2id ; authentification à deux facteurs obligatoire pour les propriétaires d'espaces de travail et le personnel de la plateforme ; clés des prestataires et secrets d'authentification à deux facteurs chiffrés au repos.
• Accès fondé sur les rôles au sein de chaque espace de travail ; les clients ne voient les participants que par leur code ; les coordonnées sont réservées à l'équipe de l'étude.
• Séparation des données des clients dans l'application par espace de travail ; chaque requête est vérifiée au regard de l'espace de travail et du rôle de l'utilisateur.
• Limites de débit sur la connexion, les invitations et les téléversements ; protection contre la falsification de requêtes intersites ; en-têtes de sécurité.
• Journal d'audit des connexions, des invitations, des consentements, des exports, des téléchargements et des suppressions.
• Minimisation des données : données de localisation supprimées des photos ; téléversements contrôlés par type et par taille ; téléchargements qui expirent après sept jours.
• Durée de conservation par étude définie par le Client ; suppression des participants, des études et d'espaces de travail entiers, fichiers compris.
• Durcissement des serveurs, mises à jour de sécurité régulières, pare-feu et sauvegardes conservées par l'hébergeur.
• Personnel ayant accès tenu à la confidentialité, avec un accès limité à ce que son travail exige.
• Un processus pour détecter, évaluer et notifier les Violations de données personnelles dans les 48 heures.