1. Objet et durée

• 1.1 Le présent accord régit le traitement des données à caractère personnel contenues dans les données du client.
• 1.2 Le présent accord sur le traitement des données s'applique pendant toute la durée d'utilisation du service par le client et tant que le sous-traitant traite des données à caractère personnel pour le compte du responsable du traitement.

2. Nature et finalité du traitement
‍

Le sous-traitant traite les données à caractère personnel exclusivement aux fins suivantes :

• la fourniture et l'exploitation du Service,
• permettant au Client d'utiliser le Service,
• assurer le service client,
• garantir la sécurité et l'intégrité du système,
• respecter les obligations légales.

3. Catégories de personnes concernées
‍

Les données à caractère personnel peuvent concerner :

• les collaborateurs du client
• Représentants du service clientèle
• Utilisateurs finaux des projets clients
• Les autres personnes dont les données à caractère personnel figurent dans les données client

4. Types de données à caractère personnel
‍

En fonction de l'utilisation qu'en fait le client, les données à caractère personnel peuvent inclure :

• Noms
• Coordonnées
• Titres professionnels
• Identifiants d'utilisateur
• Adresses IP et données d'utilisation
• Données à caractère personnel figurant dans les documents ou dessins téléchargés

5. Obligations du sous-traitant
‍

Le sous-traitant doit :

• 5.1 Ne traiter les données à caractère personnel que sur la base d'instructions écrites du responsable du traitement.
• 5.2 Garantir la confidentialité du personnel habilité.
• 5.3 Mettre en œuvre des mesures de sécurité techniques et organisationnelles appropriées.
• 5.4 Aider le responsable du traitement à traiter les demandes relatives aux droits des personnes concernées, dans la mesure du possible.
• 5.5 Informer le responsable du traitement sans délai de toute violation de données à caractère personnel.
• 5.6 Ne pas vendre de données à caractère personnel.
• 5.7 Le sous-traitant doit s'assurer que les personnes habilitées à traiter les données à caractère personnel se sont engagées à respecter la confidentialité ou sont soumises à une obligation légale de confidentialité appropriée.

6. Anonymisation et amélioration du service

• 6.1 Le Sous-traitant peut utiliser les Données du client à des fins d'amélioration, de développement, de test et de formation du Service, y compris pour les modèles d'apprentissage automatique, uniquement après que ces données ont été anonymisées de manière irréversible.
• 6.2 Les données anonymisées ne doivent pas permettre d'identifier, ni être susceptibles d'identifier, une personne physique ou le responsable du traitement.
• 6.3 Une fois anonymisées, ces données ne seront plus considérées comme des données à caractère personnel au sens du présent accord sur le traitement des données.
• 6.4 Le Sous-traitant ne doit pas utiliser les données à caractère personnel identifiables contenues dans les données du client à ses propres fins.

7. Sous-traitants

• 7.1 Le responsable du traitement autorise le sous-traitant à faire appel à des sous-traitants.
• 7.2 La liste actualisée des sous-traitants est disponible à l'adresse suivante : https://www.planmetry.com/subprocessors
• 7.3 Le sous-traitant doit s'assurer que les sous-traitants ultérieurs sont liés par des accords écrits leur imposant des obligations en matière de protection des données équivalentes à celles énoncées dans le présent accord de traitement des données.
• 7.4 Le responsable du traitement peut s'opposer à la désignation d'un nouveau sous-traitant pour des motifs raisonnables liés à la protection des données dans un délai de trente (30) jours à compter de la notification.

8. Transferts internationaux
‍

Lorsque des données à caractère personnel sont transférées en dehors de l'EEE, le sous-traitant doit mettre en place des garanties appropriées conformément au RGPD, notamment :

• Décisions d'adéquation, ou
• Clauses contractuelles types (CCT).

9. Mesures de sécurité
‍

Le sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées, notamment :

• Chiffrement en cours de transmission (TLS)
• Contrôle d'accès et autorisations basées sur les rôles
• Séparation logique des données clients
• Surveillance et journalisation
• Infrastructure cloud sécurisée
• Sauvegarde et reprise après sinistre

10. Audit et démonstration de conformité

• 10.1 Le sous-traitant doit mettre à disposition les informations raisonnablement nécessaires pour démontrer la conformité.
• 10.2 Des audits peuvent être menés :

• au maximum une fois par année civile,
• moyennant un préavis écrit d'au moins 30 jours,
• pendant les heures d'ouverture habituelles.

11. Retour et suppression

• À la résiliation du Service, le Sous-traitant supprimera ou anonymisera les Données à caractère personnel à l'issue d'une période de conservation raisonnable, ne dépassant pas quatre-vingt-dix (90) jours, sauf obligation légale contraire.
  ‍
  Il incombe au Responsable du traitement d'exporter les données avant la résiliation.

12. Responsabilité

• La responsabilité prévue par le présent accord de traitement des données est soumise aux limitations énoncées dans les conditions d'utilisation.
  ‍
  Aucune disposition du présent accord de traitement des données ne limite la responsabilité qui ne peut être limitée en vertu de la législation applicable.

Annexe relative à l'entreprise

• (Valable uniquement pour les formules d'abonnement Entreprise)
  ‍
  Cette section s'applique uniquement lorsque le Client a conclu un contrat d'abonnement Entreprise incluant explicitement les fonctionnalités de contrôle des données d'entreprise.

13. Hébergement et contrôle des données d'entreprise

• 13.1 Stockage géré par le client
  ‍
  Lorsque cela est convenu dans le cadre d’un forfait Entreprise, les Données du client peuvent être stockées dans un environnement géré par le client, tel que sa propre infrastructure cloud (par exemple, SharePoint, Azure, AWS ou tout autre environnement de stockage désigné).
  ‍
  Dans ce cas :

• Planmetry traite les données des clients uniquement dans le but de fournir le service.
• Le stockage permanent des données du client s'effectue dans l'environnement contrôlé par le client.
• Planmetry ne conserve pas de copies indépendantes des données des clients au-delà de ce qui est techniquement nécessaire pour leur traitement temporaire.

• 13.2 Traitement temporaire et mise en cache
  
  Afin d'assurer le bon fonctionnement du Service, les Données du client peuvent être temporairement traitées, mises en cache ou stockées en mémoire tampon au sein de l'infrastructure gérée par Planmetry pendant les sessions actives ou les opérations techniques.
  
  Ce stockage temporaire :

• se limite à ce qui est techniquement nécessaire,
• est automatiquement écrasé ou supprimé à la fin de la session ou à l'issue des fenêtres de traitement de courte durée définies,
• N'est pas utilisé pour des analyses indépendantes ni pour l'entraînement de modèles.

• 13.3 Interdiction d'utilisation à des fins d'entraînement (option Entreprise)
  
  Sauf accord écrit contraire expressément stipulé, Planmetry s'engage à ne pas utiliser les données des clients Entreprise, y compris leurs dérivés anonymisés, à des fins d'entraînement ou d'amélioration de modèles d'apprentissage automatique.
  
  L'amélioration du service pour les forfaits Entreprise se limitera à :

• Surveillance de la sécurité,
• Correction de bogues,
• Optimisation des performances,
• Indicateurs opérationnels agrégés qui ne proviennent pas du contenu des clients.

• 13.4 Propriété et contrôle des données
  
  Le client conserve la pleine propriété et le contrôle total des données du client d'entreprise.
  Planmetry s'engage à ne pas :

• exploiter commercialement les données des clients professionnels,
• Utilisez-le pour des analyses indépendantes,
• Associez-les aux données d'autres clients à des fins de formation ou de développement de produits.

• 13.5 Répartition des responsabilités
  
  Lorsque le client opte pour un stockage sous son contrôle :

• Le client est responsable de la sécurité et des contrôles d'accès de l'environnement de stockage qu'il a désigné.
• Planmetry reste responsable de la sécurité des traitements effectués au sein de l'infrastructure gérée par Planmetry.