Traduction fournie à titre informatif. En cas de divergence, la version originale en anglais prévaut, sous la juridiction de l'Irlande (Cuandeoro Limited, CRO 813028).
Contrat de traitement des données de Veripass
Fait partie des Conditions générales de service.
1. Parties et rôles. Le Client est le responsable du traitement. Cuandeoro Limited t/a Veripass est le sous-traitant des données à caractère personnel contenues dans les documents du Client et le contenu de son compte (« Données personnelles du Client »).
2. Objet, nature et finalité. Stockage, extraction, analyse et publication de données de passeports produit et batterie, uniquement afin de fournir le Service.
3. Durée. La durée de l'abonnement, augmentée du délai de suppression prévu à l'article 11.
4. Catégories de personnes concernées. Personnel et utilisateurs du Client ; contacts des fournisseurs, clients et laboratoires du Client nommés dans les documents téléversés.
5. Catégories de données. Noms, coordonnées professionnelles, intitulés de poste, signatures et identifiants figurant dans les documents ; données de compte utilisateur. Aucune catégorie particulière de données n'est attendue. Le Client ne les téléversera pas.
5A. Obligations du Client. Le Client veille à disposer d'une base légale pour le traitement et donne des instructions licites, informe les personnes concernées comme requis, et ne téléverse pas de catégories particulières de données.
6. Obligations du sous-traitant. Veripass :
- (a) ne traitera les données que sur instruction documentée du Client, y compris en ce qui concerne les transferts vers un pays tiers, à moins d'y être tenu par le droit de l'Union ou d'un État membre, auquel cas Veripass informe le Client de cette obligation juridique avant le traitement, sauf si ce droit l'interdit pour des motifs importants d'intérêt public ;
- (b) veillera à ce que les personnes autorisées à traiter les données soient tenues à la confidentialité ;
- (c) mettra en œuvre les mesures techniques et organisationnelles décrites à l'Annexe 2 ;
- (d) aidera le Client à répondre aux demandes des personnes concernées et à respecter les articles 32 à 36 du RGPD, compte tenu de la nature du traitement ;
- (e) mettra à disposition les informations nécessaires pour démontrer le respect des obligations ;
- (f) informera immédiatement le Client si une instruction constitue une violation de la législation sur la protection des données.
7. Sous-traitants ultérieurs.
- Le Client donne une autorisation générale pour les sous-traitants ultérieurs de l'Annexe 3.
- Veripass notifie les nouveaux sous-traitants ultérieurs par courriel 30 jours à l'avance. Le Client peut s'y opposer pour des motifs raisonnables et, à défaut de solution convenue, résilier sans pénalité.
- Veripass impose à chaque sous-traitant ultérieur des obligations équivalentes en matière de protection des données et demeure responsable à leur égard.
8. Transferts internationaux. Les Données personnelles du Client peuvent être traitées aux États-Unis par l'hébergeur de Veripass (Cloud Clusters, Inc.) et par Google (API Gemini, offre payante), au titre des clauses contractuelles types (décision (UE) 2021/914 de la Commission) et, le cas échéant, du cadre de protection des données UE-États-Unis, avec des mesures complémentaires (chiffrement en transit et au repos). Les fichiers de démonstration sont supprimés après 24 heures.
9. Traitement par IA. Les documents sont traités par les prestataires d'IA de l'Annexe 3 dans des conditions qui ne les autorisent pas à utiliser les données du Client pour entraîner leurs modèles. Nous n'utilisons pas vos documents ou données pour entraîner un modèle d'IA.
10. Violations de données à caractère personnel. Veripass notifie le Client dans les meilleurs délais et en tout état de cause dans un délai de 48 heures après avoir pris connaissance d'une violation affectant les Données personnelles du Client, avec les informations requises par l'art. 33(3) du RGPD au fur et à mesure de leur disponibilité.
11. Restitution et suppression. Au choix du Client, Veripass restitue ou supprime les Données personnelles du Client. Dans les 60 jours suivant la résiliation, le Client peut exporter ses données. Passé ce délai, Veripass supprime les Données personnelles du Client dans un délai de 30 jours, y compris les sauvegardes dans leur cycle de rotation (maximum 35 jours), sauf si le droit de l'Union ou d'un État membre impose leur conservation.
12. Audits. Veripass permet la réalisation d'audits, y compris des inspections, par le Client ou par un auditeur indépendant mandaté par celui-ci et tenu à la confidentialité, et y contribue. Les audits ont lieu une fois par période de 12 mois moyennant un préavis de 30 jours (plus souvent après une violation ou lorsqu'une autorité de contrôle l'exige), pendant les heures ouvrables et aux frais du Client. Un questionnaire écrit est utilisé en premier lieu lorsqu'il suffit.
13. Responsabilité. Sous réserve des limitations prévues dans les Conditions générales de service, sauf lorsque le RGPD n'autorise pas de limitation.
14. Primauté. En cas de conflit, le présent DPA prévaut sur les Conditions pour les questions de protection des données.
Annexe 1 · Détails du traitement
Comme aux articles 2 à 5.
Annexe 2 · Mesures techniques et organisationnelles
- TLS 1.2 ou supérieur en transit ; chiffrement AES-256 au repos.
- Accès fondé sur les rôles, MFA pour le personnel, principe du moindre privilège.
- Données des clients séparées logiquement par compte.
- Journal d'audit des validations et des publications.
- Sauvegardes chiffrées quotidiennes, rotation de 35 jours.
- Fichiers de démonstration supprimés après 24 h.
- Correction des vulnérabilités critiques sous 7 jours.
- Réexamen annuel de ces mesures.
Annexe 3 · Sous-traitants ultérieurs
| Sous-traitant ultérieur | Finalité | Localisation |
|---|---|---|
| Cloud Clusters, Inc. | Hébergement de l'application et des pages de passeport | États-Unis |
| Google (Gemini API, paid tier) | Extraction de documents | États-Unis |
| Cloud Clusters, Inc. (serveur de messagerie propre, mailcow) | Courriel | États-Unis |
Stripe traite les données de facturation propres à Veripass ; il ne traite pas les Données personnelles du Client issues des documents.