Accord de traitement des données
1. Définitions
Les termes en majuscules non définis ici ont le sens qui leur est donné dans les Conditions générales principales. Les termes « données à caractère personnel », « traitement », « personne concernée », « responsable du traitement » et « sous-traitant » ont le sens qui leur est donné dans le Règlement général sur la protection des données (Règlement (UE) 2016/679) (« RGPD »).
2. Rôles — répartition entre l'exploitation du Service et le traitement du contenu
La relation entre les parties comporte deux périmètres distincts :
- Exploitation du Service (périmètre responsable du traitement du Prestataire de services). Pour les données de compte, les enregistrements de facturation, les journaux d'audit et les données de sécurité, le Prestataire de services est le responsable du traitement. Ce périmètre est régi par la Politique de confidentialité, et non par le présent DPA.
- Traitement du contenu (périmètre sous-traitant). Pour les images soumises par le Client, les rapports générés et les métadonnées d'analyse associées à ce contenu, le Client est le responsable du traitement et le Prestataire de services est le sous-traitant. Le présent DPA ne régit que ce périmètre.
Les instructions de traitement documentées du Client se composent de : (a) les Conditions générales principales ; (b) le présent DPA ; (c) l'interface du Service et les paramètres d'API que le Client utilise lors de la soumission de contenu (y compris la sélection du prompt, la sélection du modèle et, pour les clients Agency / API, l'identification du model ou de l'utilisateur final pour le compte duquel l'analyse est réalisée) ; et (d) toute commande ou configuration de produit applicable.
3. Objet et durée
- Objet : analyse par IA des images soumises par le Client et génération de rapports.
- Durée : aussi longtemps que le compte du Client reste actif, plus toute durée de conservation requise par la loi ou indiquée dans la Politique de confidentialité.
- Nature et finalité : analyse automatisée d'images et génération de rapports telles que configurées par le Client via l'interface du Service ou l'API.
- Catégories de données : voir /legal/data-processing.
- Catégories de personnes concernées : le Client (s'il est utilisateur du Model Tool) ; les models, clients ou utilisateurs finaux du Client ; les personnes représentées dans le contenu soumis.
4. Responsabilités du Client
Le Client déclare et garantit que :
- le Client dispose d'une base légale valable au titre de la loi applicable pour le Traitement qu'il demande au Prestataire de services d'effectuer, y compris tous les consentements requis des personnes concernées représentées dans le contenu soumis ou associées à celui-ci.
- le Client a fourni à ses propres utilisateurs et aux personnes concernées toutes les informations et communications requises par la loi applicable (y compris, le cas échéant, les articles 13 et 14 du RGPD).
- le Client est seul responsable de la licéité des données qu'il soumet, y compris du respect des lois relatives au contenu applicables à ses activités (y compris, le cas échéant, les obligations de vérification de l'âge, les exigences de tenue de registres pour les producteurs de contenu sexuellement explicite et toute obligation équivalente dans les juridictions où le Client ou ses utilisateurs finaux sont situés).
- le Client est seul responsable du respect des règles de transfert transfrontalier pour toute donnée à caractère personnel qu'il transmet au Prestataire de services.
- le Client ne soumettra pas de données à caractère personnel d'enfants, de données sensibles en dehors du champ ordinaire du Service, ni aucune donnée dont la soumission serait illicite dans la juridiction du Client ou dans toute juridiction où se trouvent les personnes concernées.
- lorsque le Client est un client Agency Tool, il déclare disposer de la relation nécessaire avec les models représentés et des consentements nécessaires pour soumettre leur contenu à l'analyse.
- lorsque le Client est un client API, il déclare que ses propres utilisateurs finaux ont fourni les consentements nécessaires et que son utilisation du Service pour leur compte est licite.
5. Obligations du Prestataire de services
Le Prestataire de services s'engage à :
- ne traiter les données à caractère personnel que sur les instructions documentées du Client, sauf lorsque la loi l'exige.
- veiller à ce que le personnel autorisé à traiter des données à caractère personnel soit tenu à la confidentialité.
- mettre en œuvre des mesures techniques et organisationnelles appropriées, telles que décrites à l'adresse /legal/security.
- aider le Client, compte tenu de la nature du traitement, à répondre aux demandes des personnes concernées, aux incidents de sécurité et aux analyses d'impact, aux frais raisonnables du Client pour l'assistance non courante.
- mettre à disposition les informations nécessaires pour démontrer le respect du présent DPA, notamment en fournissant une liste actualisée des sous-traitants ultérieurs à l'adresse /legal/subprocessors.
- au choix du Client, supprimer ou restituer les données à caractère personnel à la fin du traitement, sous réserve de la conservation requise par la loi.
6. Limitations d'utilisation spécifiques
Le Prestataire de services garantit que le contenu du Client n'est traité qu'aux fins de fournir l'analyse demandée. Le Prestataire de services ne procédera pas à ce qui suit :
- utiliser le contenu du Client pour entraîner, améliorer ou évaluer des modèles d'IA ;
- constituer des profils d'utilisateurs ou des inférences comportementales à partir de l'utilisation du Client ;
- vendre, partager ou divulguer de toute autre manière des données à caractère personnel à des fins de publicité comportementale intercontextuelle ;
- combiner les données du Client avec celles d'autres clients à d'autres fins que des métriques opérationnelles agrégées ne contenant aucune donnée à caractère personnel ;
- procéder à l'identification des personnes représentées dans le contenu soumis (aucune reconnaissance faciale, correspondance biométrique ou consultation de base de données externe).
7. Sous-traitants ultérieurs
Le Client autorise le Prestataire de services à faire appel à des sous-traitants ultérieurs pour l'exploitation du Service. Les sous-traitants ultérieurs actuels sont énumérés à l'adresse /legal/subprocessors. Le Prestataire de services :
- tiendra à jour une liste publique des sous-traitants ultérieurs ;
- fournira un mécanisme raisonnable permettant au Client de recevoir une notification des nouveaux sous-traitants ultérieurs avant qu'ils ne commencent le traitement (généralement un préavis de 30 jours via la liste publiée et, lorsque le Client s'y est inscrit, des notifications par e-mail) ;
- imposera à chaque sous-traitant ultérieur des obligations contractuelles substantiellement équivalentes à celles du présent DPA ;
- restera responsable des actes et omissions des sous-traitants ultérieurs au regard de ses obligations au titre du présent DPA.
Le Client peut s'opposer à un nouveau sous-traitant ultérieur pour des motifs raisonnables de protection des données. Si les parties ne peuvent résoudre l'opposition, le seul recours du Client est de résilier le Service conformément aux Conditions générales principales.
8. Sécurité
Le Prestataire de services met en œuvre des mesures techniques et organisationnelles destinées à garantir un niveau de sécurité adapté au risque, compte tenu de l'état de l'art, des coûts de mise en œuvre, de la nature, de la portée, du contexte et des finalités du Traitement, ainsi que du risque pour les personnes concernées. Les mesures actuelles sont décrites à l'adresse /legal/security.
9. Violation de données à caractère personnel
Le Prestataire de services informera le Client sans retard injustifié après avoir eu connaissance d'une violation de données à caractère personnel affectant les données du Client, en fournissant les informations raisonnablement disponibles pour permettre au Client de remplir ses obligations de notification aux autorités ou aux personnes concernées au titre des articles 33 et 34 du RGPD. La notification du Prestataire de services ne constitue pas une reconnaissance de faute ou de responsabilité.
10. Demandes des personnes concernées
Lorsque le Prestataire de services reçoit une demande d'une personne concernée relative au Traitement du Client, il redirigera, lorsque cela est licite, la demande vers le Client et l'assistera dans sa réponse. Pour les clients Model Tool, la personne concernée et le Client seront généralement la même personne, auquel cas le Prestataire de services peut traiter la demande directement.
11. Transferts internationaux
Le Prestataire de services est établi à the Republic of Cyprus, un État membre de l'UE. La soumission de données à caractère personnel au Service constitue donc un traitement au sein de l'Union européenne et ne constitue pas, en soi, un transfert international au sens du chapitre V du RGPD.
Lorsque le Prestataire de services fait appel à des sous-traitants ultérieurs situés en dehors de l'Espace économique européen, les transferts sont régis par les Clauses contractuelles types de la Commission européenne (Décision (UE) 2021/914), Module Trois (sous-traitant vers sous-traitant), incorporées par référence, le Prestataire de services agissant en qualité d'exportateur de données. Les régions des sous-traitants ultérieurs sont énumérées à l'adresse /legal/subprocessors.
Lorsque le Client, agissant en tant que responsable du traitement, souhaite s'appuyer sur les CCT du Module Deux (responsable du traitement vers sous-traitant) pour ses propres transferts liés au Service, les CCT telles qu'adoptées par la Commission européenne dans la Décision (UE) 2021/914 sont incorporées par référence, le Prestataire de services agissant en tant qu'importateur de données.
12. Audit
Le Prestataire de services mettra à la disposition du Client les informations raisonnablement nécessaires pour démontrer le respect du présent DPA. Lorsque la loi applicable exige la possibilité d'un audit sur site, le Client peut demander un tel audit au plus une fois par an, moyennant un préavis écrit d'au moins 30 jours, pendant les heures ouvrables, sous réserve de restrictions raisonnables de confidentialité et de sécurité, et à ses frais. Les parties peuvent convenir qu'un rapport indépendant d'un tiers (par exemple, SOC 2 Type II, lorsqu'il est disponible) satisfait à l'obligation d'audit.
13. Responsabilité et indemnisation
Le Client indemnise le Prestataire de services contre les réclamations, pertes et responsabilités découlant d'instructions de traitement illicites du Client ou d'un manquement à la section 4. La responsabilité de chaque partie au titre du présent DPA est soumise aux limitations de responsabilité énoncées dans les Conditions générales principales.
14. Droit applicable et for compétent
Le présent DPA est régi par le droit de the Republic of Cyprus, sans égard à ses principes de conflit de lois. Les parties se soumettent à la compétence exclusive des tribunaux de la République de Chypre, sauf lorsque la loi applicable impose un for différent. Les droits impératifs de protection des consommateurs et les droits des personnes concernées au titre du RGPD et d'autres lois impératives applicables ne sont pas abandonnés par la présente clause.
15. Ordre de préséance
En cas de conflit entre le présent DPA et les Conditions générales principales concernant le Traitement de données à caractère personnel, le présent DPA prévaut. En cas de conflit entre le présent DPA et un DPA de contrat Pro signé en contrepartie par le même Client, l'accord signé en contrepartie prévaut pour ce Client.