Addenda sur le traitement des données

English version (Data Processing Addendum)

Le présent Addenda sur le traitement des données (l'« Addenda ») fait partie des Conditions d'utilisation, ou du Contrat-cadre de services qui régit l'utilisation des Services par le client (le « Contrat »), conclu entre Neblex LLC (« Neblex ») et le client (le « Client »). Il s'applique chaque fois que Neblex traite des Données personnelles pour le compte du Client dans le cadre de la fourniture des Services. Les termes définis dans le Contrat ont le même sens dans le présent Addenda. En cas de conflit entre le présent Addenda et le Contrat, le présent Addenda prévaut quant au traitement des Données personnelles; en cas de conflit entre les Clauses contractuelles types et le présent Addenda, les Clauses contractuelles types prévalent.

Langue. La présente version française de l'Addenda est remise aux clients situés au Québec avant qu'ils ne l'acceptent. Le Client a reçu la version française du présent Addenda et peut choisir expressément d'être lié par la version anglaise (Data Processing Addendum); dans ce cas, la version anglaise régit les rapports entre les parties. À défaut d'un tel choix exprès, la version française lie les parties.

1. Définitions

« Lois sur la protection des données » désigne l'ensemble des lois qui s'appliquent au traitement des Données personnelles aux termes du Contrat, y compris le Règlement général sur la protection des données (UE) 2016/679 (le « RGPD »), le RGPD tel qu'il fait partie du droit du Royaume-Uni avec la Data Protection Act 2018 du Royaume-Uni (le « RGPD du Royaume-Uni »), la loi fédérale suisse sur la protection des données (la « LPD »), la Loi sur la protection des renseignements personnels et les documents électroniques du Canada et les lois provinciales comparables, notamment la Loi sur la protection des renseignements personnels dans le secteur privé du Québec, ainsi que les lois générales sur la protection de la vie privée des États américains, y compris la California Consumer Privacy Act, telle que modifiée (la « CCPA »).
« Données personnelles » désigne toute information se rapportant à une personne physique identifiée ou identifiable, ou tout « renseignement personnel » au sens des Lois sur la protection des données, que le Client ou ses utilisateurs soumettent aux Services ou traitent au moyen de ceux-ci.
« Violation de données personnelles » désigne une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la communication non autorisée de Données personnelles traitées par Neblex, ou l'accès non autorisé à de telles données.
« Clauses contractuelles types » désigne les clauses annexées à la décision d'exécution (UE) 2021/914 de la Commission européenne.
« Sous-traitant ultérieur » désigne un tiers dont Neblex retient les services pour traiter des Données personnelles pour le compte du Client.
Les termes « responsable du traitement », « sous-traitant », « personne concernée », « traitement », « fournisseur de services », « vendre » et « partager » ont le sens que leur donnent les Lois sur la protection des données.

2. Rôles et instructions

Le Client est le responsable du traitement, ou un sous-traitant agissant pour le compte de ses propres clients, à l'égard des Données personnelles qu'il traite au moyen des Services, et Neblex est son sous-traitant ou son fournisseur de services. Neblex traite les Données personnelles uniquement selon les instructions documentées du Client. Le Contrat, le présent Addenda ainsi que la configuration et l'utilisation des Services par le Client, y compris les flux, connexions, formulaires, applications, agents d'IA et On-Prem Workers que le Client met en place, constituent l'ensemble des instructions du Client. Neblex informe le Client si elle estime qu'une instruction enfreint les Lois sur la protection des données, et n'est pas tenue de suivre cette instruction. Lorsque la loi exige que Neblex traite les Données personnelles d'une autre manière, Neblex en informe d'abord le Client, à moins que la loi ne l'interdise.

Le Client est responsable de la licéité des Données personnelles et de ses instructions, du fait de disposer d'un fondement juridique, de communiquer les avis et d'obtenir les consentements exigés par les Lois sur la protection des données, ainsi que de l'exactitude des Données personnelles. Le Client ne transmet pas de catégories particulières de Données personnelles au moyen des Services, à moins que sa configuration et ses mesures de protection ne soient appropriées pour celles-ci.

3. Description du traitement

Objet et nature : hébergement, transmission, transformation et stockage de données à mesure que les Services les acheminent entre les systèmes que le Client connecte, aussi longtemps que la configuration du Client l'exige.
Finalité : fourniture, sécurisation et soutien des Services aux termes du Contrat.
Durée : la durée du Contrat et la période de récupération qui la suit (article 9).
Personnes concernées : selon ce que le Client détermine, généralement le personnel, les utilisateurs, les clients, les clients potentiels et les fournisseurs du Client, ainsi que leurs personnes-ressources.
Catégories de Données personnelles : selon ce que le Client détermine, généralement des données d'identification et de coordonnées, des données relatives aux comptes et aux transactions, et d'autres données contenues dans les enregistrements que traitent les flux du Client.
Fréquence : continue, au rythme de l'exécution des flux du Client.
On-Prem Workers : les flux que le Client exécute sur un On-Prem Worker traitent les données des enregistrements sur une infrastructure que le Client contrôle; l'état des exécutions, la configuration et les informations de contrôle transitent par les Services, et les données des enregistrements ne parviennent aux Services que lorsque la configuration du Client le demande (par exemple pour afficher un résultat ou un formulaire).

4. Confidentialité

Neblex veille à ce que toute personne qu'elle autorise à traiter des Données personnelles soit liée par des obligations de confidentialité et ne les traite que dans la mesure permise par le présent Addenda.

5. Sécurité

Neblex met en œuvre et maintient des mesures techniques et organisationnelles appropriées pour protéger les Données personnelles, compte tenu de l'état des connaissances, des coûts de mise en œuvre ainsi que de la nature, de la portée, du contexte et des finalités du traitement, tel qu'il est décrit à l'annexe II. Neblex peut mettre à jour ces mesures, mais ne réduira pas le niveau global de protection pendant la durée du Contrat.

6. Sous-traitants ultérieurs

Le Client accorde à Neblex une autorisation générale de faire appel aux Sous-traitants ultérieurs énumérés à l'annexe III. Neblex avise le Client de tout Sous-traitant ultérieur nouveau ou remplacé au moins 30 jours à l'avance, par courriel ou dans les Services. Le Client peut s'y opposer pendant cette période pour des motifs raisonnables liés à la protection des données; les parties discutent alors de l'opposition de bonne foi et, si elles ne parviennent pas à la résoudre, le Client peut résilier les Services visés et obtenir le remboursement des frais payés d'avance pour la période restante. Neblex impose à chaque Sous-traitant ultérieur des obligations en matière de protection des données qui ne sont pas moins protectrices que celles du présent Addenda, et demeure responsable de l'exécution des obligations de ses Sous-traitants ultérieurs. Les fournisseurs que le Client choisit et connecte lui-même, comme les applications, les bases de données et les fournisseurs d'IA intégrés à ses flux, ne sont pas des Sous-traitants ultérieurs de Neblex; ils agissent en vertu des ententes que le Client a lui-même conclues avec eux.

7. Assistance

Compte tenu de la nature du traitement, Neblex aide le Client, par des mesures techniques et organisationnelles appropriées et dans toute la mesure du possible, à donner suite aux demandes des personnes concernées qui exercent leurs droits, ainsi qu'en matière de sécurité, de notification des violations, d'analyses d'impact relatives à la protection des données et de consultation préalable des autorités de contrôle. Les Services permettent au Client de repérer, d'exporter, de corriger et de supprimer les données qu'ils détiennent pour le Client. Si Neblex reçoit d'une personne concernée une demande portant sur les Données personnelles du Client, Neblex dirige cette personne vers le Client et n'y répond pas elle-même, sauf pour confirmer ce renvoi.

8. Violation de données personnelles

Neblex avise le Client sans retard injustifié, et s'efforce de le faire dans les 48 heures, après avoir pris connaissance d'une Violation de données personnelles. L'avis décrit, dans la mesure où ces éléments sont alors connus, la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d'enregistrements visés, les conséquences probables ainsi que les mesures prises ou envisagées, et Neblex le complète à mesure que de nouveaux renseignements sont connus. Neblex prend des mesures raisonnables pour circonscrire la violation et y remédier. L'avis ne constitue pas une reconnaissance de faute.

9. Restitution et suppression

Le Client peut exporter ses Données personnelles en tout temps pendant la durée du Contrat et pendant les 30 jours suivant la fin du Contrat. Après cette période, Neblex supprime les Données personnelles qu'elle détient pour le Client, y compris les copies, dans un délai supplémentaire de 60 jours, et les supprime des sauvegardes à mesure que celles-ci expirent selon le cycle normal de sauvegarde, sauf lorsque la loi oblige Neblex à les conserver, auquel cas Neblex en préserve la confidentialité et ne les traite qu'à cette fin.

10. Audits

Neblex met à la disposition du Client les informations nécessaires pour démontrer le respect du présent Addenda et de l'article 28 du RGPD, y compris sa documentation en matière de sécurité et les résultats des évaluations indépendantes dont elle dispose. Lorsque ces informations ne suffisent pas, ou lorsqu'une autorité de contrôle l'exige, le Client peut vérifier par un audit la conformité de Neblex une fois par période de 12 mois, ou à la suite d'une Violation de données personnelles, moyennant un préavis d'au moins 30 jours, pendant les heures d'ouverture, aux frais du Client, par l'intermédiaire d'un auditeur indépendant tenu à la confidentialité, et d'une manière qui ne compromet pas la sécurité ou la confidentialité des données des autres clients.

11. Transferts internationaux

Neblex traite les Données personnelles aux États-Unis. Dans la mesure où Neblex traite des Données personnelles assujetties au RGPD, au RGPD du Royaume-Uni ou à la LPD dans un pays qui n'assure pas un niveau de protection adéquat, les dispositions suivantes s'appliquent et sont intégrées par renvoi au présent Addenda :

Union européenne : les Clauses contractuelles types, module deux (transfert de responsable du traitement à sous-traitant) lorsque le Client est un responsable du traitement et module trois (transfert de sous-traitant à sous-traitant) lorsque le Client est un sous-traitant, le Client agissant en qualité d'exportateur de données et Neblex en qualité d'importateur de données; la clause d'adhésion facultative de la clause 7 s'applique; l'option 2 de la clause 9 s'applique avec le délai de préavis prévu à l'article 6; l'option de la clause 11 ne s'applique pas; aux fins de la clause 13, l'autorité de contrôle compétente est celle que détermine la clause 13 à l'égard du Client; aux fins des clauses 17 et 18, le droit et les juridictions de l'Irlande s'appliquent; et les annexes I à III du présent Addenda complètent les annexes des Clauses.
Royaume-Uni : l'International Data Transfer Addendum to the EU Commission Standard Contractual Clauses (addenda relatif aux transferts internationaux de données joint aux clauses contractuelles types de la Commission européenne) publié par l'Information Commissioner du Royaume-Uni (version B1.0), complété par les informations figurant dans le présent Addenda; chaque partie peut y mettre fin dans la mesure permise par son article 19.
Suisse : les Clauses contractuelles types selon les modalités qui précèdent, les renvois au RGPD étant interprétés comme des renvois à la LPD, le Préposé fédéral à la protection des données et à la transparence étant l'autorité de contrôle compétente pour les transferts régis par la LPD, et le terme « État membre » étant interprété de manière à permettre aux personnes concernées en Suisse d'intenter une action au lieu de leur résidence habituelle.

Neblex applique des mesures supplémentaires appropriées au transfert, y compris le chiffrement des données en transit et des secrets au repos. Si une autorité demande l'accès à des Données personnelles, Neblex en informe le Client, à moins que la loi ne l'interdise, ne communique que ce qui est légalement exigé et conteste toute demande qu'elle estime illégale.

12. Lois des États américains sur la protection de la vie privée

Lorsque la CCPA ou une autre loi d'un État américain sur la protection de la vie privée s'applique, Neblex agit à titre de fournisseur de services ou de sous-traitant du Client et : a) ne vend ni ne partage de Données personnelles; b) ne conserve, n'utilise ni ne communique de Données personnelles à aucune fin autre que les fins commerciales liées à la fourniture des Services aux termes du Contrat, ni en dehors de la relation d'affaires directe avec le Client; c) ne combine pas les Données personnelles avec des renseignements personnels qu'elle reçoit d'autres sources, sauf dans la mesure permise par la loi; d) respecte la loi qui lui est applicable et offre le même niveau de protection de la vie privée que celui qu'exige la loi; e) avise le Client si elle n'est plus en mesure de respecter ses obligations; et f) permet au Client de prendre des mesures raisonnables et appropriées pour faire cesser toute utilisation non autorisée et y remédier. Neblex atteste qu'elle comprend ces restrictions et qu'elle s'y conformera.

13. Canada

Lorsque les lois canadiennes sur la protection des renseignements personnels s'appliquent, Neblex utilise les Données personnelles uniquement aux fins de la fourniture des Services, les protège au moyen de mesures de sécurité adaptées à leur sensibilité et fournit au Client l'assistance dont il a besoin pour remplir ses obligations en matière de responsabilité.

14. Responsabilité et durée

La responsabilité de chaque partie aux termes du présent Addenda est assujettie aux limitations prévues au Contrat, sauf lorsque les Lois sur la protection des données ou les Clauses contractuelles types n'en permettent pas l'application. Le présent Addenda demeure en vigueur aussi longtemps que Neblex traite des Données personnelles pour le compte du Client.

Annexe I : Parties et description du traitement

Exportateur de données : le Client, tel qu'il est désigné dans le Contrat et dans son compte, agissant en qualité de responsable du traitement ou de sous-traitant; coordonnées telles qu'elles sont fournies dans le compte. Importateur de données : Neblex LLC, agissant en qualité de sous-traitant; à joindre au moyen de la page Contact, en choisissant l'objet « Legal » ou « Privacy ». Les deux parties acceptent ces clauses en concluant le Contrat. La description du traitement figure à l'article 3.

Annexe II : Mesures techniques et organisationnelles

Chiffrement : protocole TLS pour les données en transit; identifiants, clés et autres secrets scellés au repos au moyen de l'algorithme AES-256-GCM sous des clés distinctes pour chaque espace de travail; signatures post-quantiques sur les versions et les identités des Workers.
Contrôle d'accès : autorisations fondées sur les rôles selon le principe du droit d'accès minimal, authentification multifacteur, nouvelle étape de connexion pour les actions sensibles, limites de session et isolement des données de chaque espace de travail assuré dans la base de données.
On-Prem Workers : les données des enregistrements traitées sur les machines du Client y demeurent, à moins que la configuration du Client ne les transmette; chaque Worker possède sa propre identité fondée sur une clé, inscrite au moyen d'un code à usage unique et approuvée par une personne.
Journalisation et surveillance : journaux d'audit et de sécurité des accès et des actions administratives, avec alertes en cas d'activité suspecte.
Résilience : infrastructure redondante, sauvegardes et procédures de reprise mises à l'essai.
Développement sécurisé : revue du code, vérification des vulnérabilités des dépendances et tests de sécurité; signalements de vulnérabilités traités selon un processus de divulgation coordonnée.
Minimisation et suppression des données : données conservées uniquement le temps dont les Services ou la configuration du Client ont besoin, et supprimées selon les modalités décrites à l'article 9.
Intervention en cas d'incident : processus documenté de détection, de confinement, de notification et de correction des Violations de données personnelles.
Personnel : obligations de confidentialité et accès limité aux personnes qui en ont besoin pour fournir les Services.

Annexe III : Sous-traitants ultérieurs

Cloudflare, Inc. (États-Unis) : acheminement réseau et sécurité du trafic destiné aux Services.
Resend (États-Unis) : envoi des notifications par courriel transmises par les Services.

Les Services sont hébergés sur une infrastructure exploitée par Neblex dans des centres de données situés aux États-Unis.