Annexe C – Accord sur le traitement des données à caractère personnel

Aux fins du présent Accord de Traitement des Données (ci-après dénommé l’ « Accord »), les termes commençant par une majuscule sont définis conformément au Contrat ou à la présente Annexe.

1. Contexte et Objet

Le Client, agissant en qualité de responsable du traitement (ci-après dénommé le « Responsable de Traitement »), a souscrit à un ou plusieurs Services auprès de Partoo, en vertu des Conditions Générales de Partoo (ou « CG ») ou d’un contrat spécifique (ci-après collectivement dénommés le « Contrat », qu’il s’agisse des CG ou d’un contrat spécifique).

Le Responsable de Traitement met à la disposition de Partoo les données personnelles nécessaires à l’exécution du Contrat (ci-après collectivement dénommées les « Données Personnelles »). À cet égard, Partoo se voit attribuer le statut de sous-traitant (ci-après dénommé le « Sous-traitant ») conformément aux directives des autorités de contrôle. Par conséquent, l’objet des présentes clauses est de déterminer les conditions dans lesquelles le Sous-traitant s’engage à effectuer les opérations de traitement de Données Personnelles définies ci-après pour le compte du Responsable de Traitement.

2. Réglementation applicable

Dans le cadre de leurs relations contractuelles, les Parties s’engagent à respecter la réglementation en vigueur en vertu de la législation applicable au Contrat concernant le traitement des Données Personnelles (ci-après dénommée la « Réglementation sur la Protection des Données ») et notamment, le cas échéant, le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 applicable à compter du 25 mai 2018 (ci-après dénommé « RGPD »).

3. Description du traitement

3.1. Nature et objet du traitement

La nature des activités de traitement implique l’utilisation des Données Personnelles pour l’identification des personnes se connectant aux Applications Partoo, ainsi que pour l’hébergement, la transmission, l’organisation, la consultation et la restitution des Données Personnelles chargées, générées ou rendues accessibles par les Utilisateurs et les tiers, y compris les clients du Responsable de Traitement, qui interagissent avec les Services.

Dans le cadre de la fourniture des Services souscrits, le Sous-traitant est autorisé à effectuer les opérations de collecte, consultation, enregistrement, organisation, structuration, conservation, adaptation, extraction, communication par transmission, rapprochement, analyse, limitation et suppression des Données Personnelles, conformément aux instructions documentées du Responsable de Traitement, aux fonctionnalités des Services souscrits et au Contrat.

Il est rappelé que, dans le cadre de sa relation commerciale avec le Responsable de Traitement, le Sous-traitant fournit principalement l’accès aux Applications et Services Partoo. À l’exception des Utilisateurs dont les Données Personnelles sont traitées aux fins de la fourniture des Services, le Sous-traitant n’a aucune obligation générale de surveillance du contenu hébergé sur ses Applications Partoo. Par conséquent, le Sous-traitant n’a pas connaissance du fait que le Client héberge ou non des Données Personnelles au sein des Services. À cet égard, il est expressément précisé que, dans le cadre de l’utilisation du produit Messages, le Responsable de Traitement demeure seul responsable de la fourniture des informations requises aux personnes concernées, du choix de la base légale appropriée pour le traitement, et de l’obtention de tout consentement nécessaire. Le Sous-traitant agit en effet exclusivement en tant que prestataire technique, assurant la transmission et l’hébergement temporaire des messages.

3.2. Description du traitement

Le Sous-traitant est autorisé à traiter les Données Personnelles dans la mesure nécessaire au fonctionnement, à la fourniture, à la maintenance, à la sécurité et à l’amélioration des Applications Partoo dans le cadre du Contrat.

Les traitements relevant du socle commun sont mis en œuvre quels que soient les Services souscrits ; les traitements propres à un produit ne sont mis en œuvre que si le Responsable de Traitement a souscrit ce produit. Ces traitements sont décrits comme suit :

Service	Nature et objet du traitement	Finalités du traitement	Catégories de Données Personnelles
Socle commun (tous Services de Partoo)	Identification des Utilisateurs se connectant aux Applications Partoo. Hébergement, organisation, consultation et restitution des Données Personnelles liées aux comptes des Utilisateurs Partoo.	Gestion des accès et des droits des Utilisateurs Hébergement des Applications Partoo en mode SaaS Support, maintenance et résolution des problèmes : réponse aux demandes par chat en ligne, accès aux comptes en ligne des Utilisateurs, résolution des tickets d’incidents. Conservation des journaux (logs) pour la traçabilité des incidents. Prise en compte des retours des Utilisateurs et développement continu des Applications Partoo	Identification : nom, prénom, pseudonyme. Données professionnelles : intitulé du poste, adresse électronique professionnelle. Connexion : journaux (logs) (informations d’horodatage, informations d’accès telles que l’adresse IP et le navigateur), données de navigation sur les Applications Partoo.
Presence Management	Diffusion et synchronisation des informations des établissements du Responsable de Traitement sur des plateformes tierces (Sites Éditeurs).	Création, mise à jour et diffusion des fiches établissements Publication de contenus sur les fiches établissements Suivi des statistiques de visibilité des établissements	Principalement des données relatives aux établissements, ne constituant pas des Données Personnelles. Le cas échéant : coordonnées nominatives du responsable de la fiche d’un établissement (nom, numéro de téléphone, adresse électronique).
Store Locator	Création et hébergement, pour le compte du Responsable de Traitement, d’un localisateur de points de vente et de pages dédiées à chaque établissement, intégrés à son site internet.	Affichage et mise à jour des informations des établissements Mesure de l’audience des pages	Principalement des données relatives aux établissements. Le cas échéant, visiteurs du site : données de navigation (adresse IP, pages consultées, géolocalisation approximative). Ces données ne sont pas conservées par Partoo.
Review Management	Collecte, hébergement et restitution des avis publiés sur des plateformes tierces (Sites Éditeurs) Publication des réponses du Responsable de Traitement	Centralisation des avis Réponse aux avis Analyse des avis et reporting	Auteur de l’avis : nom ou pseudonyme, contenu de l’avis, tels qu’affichés par la plateforme. Contenu de l’avis : note, texte, date, photographies. Réponses : réponses publiées par les Utilisateurs.
Review Booster	Envoi, pour le compte du Responsable de Traitement, d’invitations à déposer un avis en ligne et suivi de ces invitations.	Envoi des invitations Suivi des envois et des avis déposés Reporting	Destinataires : nom, prénom, numéro de téléphone, transmis par le Responsable de Traitement ou saisis par un Utilisateur. Invitations : contenu, date et statut d’envoi. Utilisateurs : identification de l’Utilisateur Partoo à l’origine de l’envoi.
Messages	Transmission et hébergement temporaire des messages échangés entre le Responsable de Traitement et ses clients via des canaux tiers, en qualité de prestataire technique.	Centralisation des conversations Réponse centralisée ou locale aux messages Attribution des conversations aux Utilisateurs Le cas échéant, collecte de coordonnées (leads)	Correspondants : nom, pseudonyme, numéro de téléphone, identifiant de compte sur le canal. Messages : contenu, pièces jointes, horodatage. Coordonnées : coordonnées communiquées par le correspondant.
Feedback Management	Envoi d’enquêtes de satisfaction aux clients du Responsable de Traitement. Collecte, hébergement et analyse des réponses.	Diffusion des questionnaires (e-mail, SMS, QR code) Collecte et analyse des réponses Reporting	Destinataires : nom, prénom, adresse électronique, numéro de téléphone, transmis par le Responsable de Traitement. Réponses : notes, commentaires libres. Contexte : établissement, date de la visite ou de l’achat. Suivi des envois : ouverture, réponse.

Outre le traitement des Données Personnelles des Utilisateurs aux fins de la fourniture des Services, tel que défini ci-dessus, le Sous-traitant se limite à l’hébergement et à la transmission des Données Personnelles qui peuvent être communiquées par le Responsable de Traitement ou sa personne de contact, le cas échéant, sur les Applications Partoo.

3.3. Catégories de personnes concernées

En fonction de la finalité, les catégories de personnes concernées sont :

• Les Utilisateurs (employés, prestataires ou toutes autres personnes habilitées par le Responsable de Traitement) ;
• Les personnes qui interagissent avec le Responsable de Traitement via le Site Éditeur, comme ses clients ou prospects.

4. Durée

Le présent Accord entre en vigueur à la date d’effet du Contrat par les Parties et reste en vigueur pendant toute la durée du Contrat. Par conséquent, les Données Personnelles seront traitées pendant la durée du Contrat, puis seront archivées pour une durée de quatre-vingt-dix (90) jours après la date de fin du Contrat.

5. Obligations du Sous-traitant envers le Responsable de Traitement

Le Sous-traitant s’engage à :

1. Traiter les Données Personnelles uniquement aux fins de la sous-traitance, telles que définies ci-dessus.
2. Traiter les Données Personnelles conformément aux Services souscrits par le Client. Si le Sous-traitant considère qu’une instruction constitue une violation du RGPD ou de toute autre disposition de la Réglementation sur la Protection des Données, il doit en informer immédiatement le Responsable de Traitement. En outre, si le Sous-traitant est tenu de transférer des Données Personnelles vers un pays tiers ou à une organisation internationale, il doit informer le Responsable de Traitement de cette obligation juridique avant le traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d’intérêt public.
3. Garantir la confidentialité des Données Personnelles traitées au titre du présent Accord (dans la mesure où le Responsable de Traitement ne rend pas son hébergement accessible à des tiers non autorisés et s’assure que les mesures de sécurité permettant la confidentialité sont prises, étant donné que le Responsable de Traitement dispose d’un accès complet aux Données Personnelles hébergées par le Sous-traitant).
4. Veiller à ce que les personnes autorisées à traiter les Données Personnelles en vertu du présent Accord :
   • S’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.
   • Reçoivent la formation nécessaire en matière de protection des Données Personnelles.
5. Prendre en compte, s’agissant de ses outils, produits, applications ou services, les principes de protection des données dès la conception et par défaut (privacy by design and by default).

6. Sous-traitance ultérieure

6.1. Recours à un Sous-traitant Ultérieur

Le Sous-traitant a désigné plusieurs sous-traitants ultérieurs (ci-après dénommé un « Sous-traitant Ultérieur ») pour mener des activités de traitement spécifiques dans le cadre de la fourniture de ses Services, ce que le Responsable de Traitement autorise par la présente. La liste des Sous-traitants Ultérieurs approuvés par le Responsable de Traitement, au jour de la conclusion de l’Accord, est disponible sur la page web dédiée du Sous-traitant (https://www.partoo.co/fr/legal/gdpr-subprocessors-listing/). Le Sous-traitant s’engage à mettre à jour régulièrement cette liste et à communiquer, sur simple demande du Responsable de Traitement, l’extrait de la liste mise à jour de l’ensemble de ses Sous-traitants Ultérieurs.

En cas de modification de la liste des Sous-traitants Ultérieurs, le Sous-traitant en informera le Responsable de Traitement. Cette information devra indiquer clairement les activités de traitement externalisées, l’identité et les coordonnées du Sous-traitant Ultérieur. Le Responsable de Traitement dispose d’un délai maximum de quinze (15) jours à compter de la réception de cette information pour formuler toute objection, pour des motifs raisonnables liés à la protection des données.

Dans le cas où le Responsable de Traitement s’opposerait à un nouveau Sous-traitant Ultérieur, le Sous-traitant pourra, à sa seule discrétion, choisir de : (i) fournir les Services sans faire appel au Sous-traitant Ultérieur objet de l’objection ; ou (ii) désigner un autre Sous-traitant Ultérieur. Si aucune de ces solutions n’est raisonnablement possible le Responsable de Traitement pourra résilier le Service spécifique ou la fonctionnalité affectée par cette objection. Cette résiliation constitue le seul et unique recours du Responsable de Traitement au titre de cette objection.

6.2. Garanties du Sous-traitant Ultérieur

Le Sous-traitant Ultérieur doit respecter les obligations du présent Accord pour le compte et selon les instructions du Responsable de Traitement. Il appartient au Sous-traitant de s’assurer que le Sous-traitant Ultérieur présente les mêmes garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière que le traitement réponde aux exigences du RGPD et de toute autre législation applicable au Contrat.

Si le Sous-traitant Ultérieur ne remplit pas ses obligations en matière de protection des données, le Sous-traitant demeure pleinement responsable envers le Responsable de Traitement de l’exécution par le Sous-traitant Ultérieur de ses obligations.

7. Information des personnes concernées

Il incombe au Responsable de Traitement de fournir l’information aux personnes concernées par les opérations de traitement au moment de la collecte des Données Personnelles. La responsabilité du Sous-traitant ne saurait en aucun cas être engagée à cet égard.

8. Exercice des droits des personnes concernées

Dans la mesure du possible, le Sous-traitant doit aider le Responsable de Traitement à s’acquitter de son obligation de donner suite aux demandes d’exercice des droits des personnes concernées : droit d’accès, de rectification, d’effacement et d’opposition, droit à la limitation du traitement, droit à la portabilité des données et droit de ne pas faire l’objet d’une décision individuelle automatisée (y compris le profilage).

Lorsque les personnes concernées adressent des demandes d’exercice de leurs droits au Sous-traitant, ce dernier doit transmettre ces demandes dès réception par email à l’adresse fournie par le Client lors de la souscription aux Services.

9. Notification des violations de Données Personnelles

Le Sous-traitant notifiera le Responsable de Traitement sans retard injustifié après avoir pris connaissance d’une violation de Données Personnelles et par courriel à l’adresse fournie par le Responsable de Traitement lors de la souscription aux Services.

Cette notification devra être accompagnée de toute la documentation utile pour permettre au Responsable de Traitement, si nécessaire, de notifier cette violation à l’autorité de contrôle compétente.

La notification devra contenir au moins :

• La description de la nature de la violation de Données Personnelles, y compris, si possible, les catégories et le nombre approximatif de personnes concernées par la violation et les catégories et le nombre approximatif d’enregistrements de Données Personnelles concernés ;
• Le nom et les coordonnées du Délégué à la Protection des Données (DPO) ou de tout autre point de contact auprès duquel des informations supplémentaires peuvent être obtenues ;
• La description des conséquences probables de la violation de Données Personnelles ;
• La description des mesures prises ou envisagées par le Sous-traitant pour remédier à la violation de Données Personnelles, y compris, le cas échéant, les mesures pour atténuer toute conséquence négative éventuelle.

Si, et dans la mesure où il n’est pas possible de fournir toutes ces informations en même temps, les informations peuvent être communiquées de manière échelonnée sans retard injustifié.

Le Responsable de Traitement gère la communication avec les personnes concernées par la violation de Données Personnelles. Il est rappelé que le Sous-traitant n’a pas de visibilité sur la nature des Données Personnelles hébergées pour le compte du Responsable de Traitement, et n’est donc pas en mesure d’évaluer le niveau de risque pour les droits et libertés des personnes physiques en cas de violation de Données Personnelles.

10. Assistance du Sous-traitant pour aider le Responsable de Traitement à respecter ses obligations

Le Sous-traitant fournira au Responsable de Traitement la documentation pertinente afin de permettre à ce dernier de réaliser des analyses d’impact relatives à la protection des données (AIPD), uniquement en ce qui concerne les aspects dont le Sous-traitant est responsable.

Le Sous-traitant aidera, dans la mesure du possible et du raisonnable, le Responsable de Traitement lors de la consultation préalable auprès de l’autorité de contrôle en fournissant la documentation requise.

Il est expressément entendu que toute intervention du Sous-traitant pour le compte du Responsable de Traitement dans le cadre du présent Accord, et notamment l’assistance à la réalisation d’analyses d’impact, sera facturée au Responsable de Traitement selon le tarif soumis à l’accord préalable du Responsable de Traitement si une telle intervention dépasse un (1) jour ouvré.

11. Mesures de sécurité

Le Sous-traitant met en œuvre le traitement avec des mesures techniques et organisationnelles garantissant un niveau de sécurité adapté au risque associé au traitement, conformément aux dispositions de l’art. 32 du RGPD.

Ces mesures comprennent le chiffrement des données, un contrôle d’accès robuste, des audits de sécurité réguliers et toute autre mesure nécessaire pour garantir la confidentialité, l’intégrité et la disponibilité des Données Personnelles. Le Sous-traitant se réserve le droit de mettre à jour et d’améliorer ces mesures de sécurité en fonction des exigences réglementaires et des bonnes pratiques du secteur.

Pour évaluer le niveau de sécurité approprié, le Sous-traitant tient compte de l’état des connaissances, des coûts de mise en œuvre, ainsi que de la nature, de la portée, du contexte et de la finalité du traitement, ainsi que des risques pour les personnes concernées.

En particulier, le Sous-traitant dispose d’une procédure et de politiques de sécurité écrites qui répondent au moins aux exigences imposées par la Réglementation sur la Protection des Données et sont conformes aux pratiques établies du secteur. Pendant la durée du Contrat, le Sous-traitant fournira au Responsable de Traitement la documentation de sécurité à sa première demande.

12. Réversibilité des Données Personnelles

La réversibilité des données à la fin de la relation contractuelle entre le Sous-traitant et le Client est stipulée dans le Contrat.

13. Délégué à la Protection des Données

Les coordonnées du Délégué à la Protection des Données (DPO) du Sous-traitant sont les suivantes :

Solène Kulisz – personaldata@partoo.fr

14. Registre des traitements

Le Sous-traitant déclare tenir un registre écrit de toutes les catégories d’activités de traitement effectuées pour le compte du Responsable de Traitement, comprenant :

• Le nom et les coordonnées du Responsable de Traitement pour le compte duquel il agit, des éventuels Sous-traitants Ultérieurs et, le cas échéant, du délégué à la protection des données ;
• Les catégories de traitements effectués pour le compte du Responsable de Traitement ;
• Le cas échéant, les transferts de Données Personnelles vers un pays tiers ou à une organisation internationale, y compris l’identification de ce pays tiers ou de cette organisation internationale et, dans le cas des transferts visés à l’article 49, paragraphe 1, deuxième alinéa du RGPD, les documents attestant de l’existence de garanties appropriées.

15. Transferts des Données Personnelles hors Union Européenne

Le Sous-traitant peut transférer indirectement, par l’intermédiaire de ses Sous-traitants Ultérieurs mentionnés à l’article 6 des présentes, les Données Personnelles hors de l’Union Européenne. Dans un tel cas, le Sous-traitant s’engage à obtenir l’accord préalable écrit du Responsable de Traitement.

Tout transfert de Données Personnelles hors de l’Union Européenne sera effectué en stricte conformité avec le Chapitre V du RGPD, notamment en s’appuyant sur une décision d’adéquation ou en mettant en œuvre des garanties appropriées. Par conséquent, lorsqu’un tel transfert est effectué, le Sous-traitant s’engage à s’assurer qu’il est couvert par :

• Des Clauses Contractuelles Types (CCT) adoptées par la Commission européenne ou une autorité de contrôle conformément à l’article 46 du RGPD ; et/ou
• Des Règles d’Entreprise Contraignantes (Binding Corporate Rules – BCR) approuvées par une autorité de contrôle compétente en vertu de l’article 47 du RGPD ; et/ou
• Un code de conduite approuvé conformément à l’article 46 du RGPD ; et/ou
• Un mécanisme de certification approuvé conformément à l’article 46 du RGPD ; et/ou
• Une décision d’adéquation de la Commission européenne conformément à l’article 45 du RGPD.

En tout état de cause, le Sous-traitant informera le Responsable de Traitement dans un délai raisonnable de tout projet de transfert et fournira simultanément au Responsable de Traitement toutes les informations pertinentes permettant à ce dernier de respecter ses obligations en cas de transfert de Données Personnelles.

16. Analyse d’impact relative à la protection des données

Il incombe au Responsable de Traitement de déterminer si les opérations de traitement effectuées via les Services sont susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes physiques, conformément à l’article 35 du RGPD. Lorsqu’un tel risque est identifié, le Responsable de Traitement doit réaliser une Analyse d’Impact relative à la Protection des Données (ci-après dénommée « AIPD ») avant le traitement.

Le Sous-traitant fournira au Responsable de Traitement toute l’assistance raisonnable, sur demande, pour permettre la réalisation de l’AIPD, notamment en fournissant une documentation relative aux mesures de sécurité techniques et organisationnelles mises en œuvre, ainsi que toute autre information pertinente concernant les opérations de traitement effectuées pour le compte du Responsable de Traitement.

17. Audits

17.1. Cadre

Le Sous-traitant met à la disposition du Responsable de Traitement les informations nécessaires pour démontrer le respect de toutes ses obligations et pour permettre la réalisation d’audits, y compris des inspections, par le Responsable de Traitement ou un autre auditeur mandaté par ce dernier, et contribuer à ces audits.

Les audits prévus au présent article ne peuvent être menés que dans les conditions suivantes :

1. L’audit doit être demandé par lettre recommandée avec accusé de réception, au moins trente (30) jours calendaires avant la date souhaitée pour l’audit, et doit indiquer les motifs justifiant l’audit. Si l’audit peut être réalisé par la mise à disposition de documents, les Parties privilégieront un audit sur pièces ;
2. Il ne peut y avoir qu’un (1) seul audit par an ;
3. L’audit ne devra pas durer plus d’un (1) jour ouvré. Au-delà, le Sous-traitant pourra facturer le temps passé par ses équipes sur l’audit aux tarifs qui seront communiqués au Client au moment de la demande d’audit ou à tout moment sur demande du Client.

17.2. Finalités

L’audit ne doit pas perturber les activités du Sous-traitant au-delà de ce qui est strictement nécessaire ; par conséquent, il ne peut porter que sur le respect par le Sous-traitant des dispositions du présent Accord.

Si le Client décide de confier l’audit à un tiers, ce dernier doit (i) ne pas être un concurrent direct ou indirect du Sous-traitant ; (ii) être strictement tenu par une obligation de confidentialité professionnelle (accord de confidentialité) qui sera communiquée au Sous-traitant avant la réalisation de l’audit ; (iii) en tout état de cause, le Sous-traitant peut s’opposer au choix de l’auditeur, sous réserve de fournir une justification raisonnable ; et (iv) se conformer à l’ensemble des procédures internes du Sous-traitant. Le Client demeure en tout état de cause entièrement responsable de l’auditeur, sans pouvoir opposer une quelconque limitation de responsabilité au Sous-traitant en cas de manquement dudit auditeur.

17.3. Résultats

Il est entendu entre les Parties que les résultats de l’audit ne peuvent être rendus publics et resteront strictement confidentiels. Le Sous-traitant pourra présenter ses observations avant la version définitive du rapport d’audit et disposera de trente (30) jours calendaires pour ce faire, sauf si ce délai est jugé insuffisant, auquel cas il pourra demander trente (30) jours calendaires supplémentaires par notification par courriel.

18. Utilisation de l’intelligence artificielle

18.1. Champ d’application et définitions

Dans le cadre des Services souscrits par le Responsable de Traitement, le Sous-traitant peut mettre à disposition des fonctionnalités reposant sur des technologies d’intelligence artificielle (les « Fonctionnalités IA ») pouvant être amenées à traiter des Données Personnelles. Ces Fonctionnalités IA sont notamment présentes dans les Services suivants :

• Review Management : suggestion de réponses aux avis, analyse et catégorisation des avis ;
• Messages : suggestions de réponses aux messages ;
• Jim Cowork : suggestions visant à optimiser l’utilisation des fonctionnalités des Applications Partoo au sein de la plateforme.

Les Fonctionnalités IA font partie intégrante des Services concernés lorsqu’ils sont souscrits par le Responsable de Traitement. Elles ne font pas l’objet d’une activation ou d’une désactivation distincte.

Aux fins du présent article :

• Les « Inputs IA » désignent les données, contenus, textes, instructions ou informations transmis aux Fonctionnalités IA afin de générer une réponse ou une suggestion ;
• Les « Outputs IA » désignent les contenus, suggestions, résultats ou données générés par les Fonctionnalités IA à partir des Inputs IA ;
• Les « Technologies IA » désignent les logiciels, modèles, algorithmes et infrastructures d’intelligence artificielle utilisés par le Sous-traitant pour fournir les Fonctionnalités IA.

18.2. Rôle des Parties et finalité du traitement

Lorsque les Fonctionnalités IA traitent des Données Personnelles pour le compte du Responsable de Traitement, le Sous-traitant agit exclusivement en qualité de sous-traitant, conformément aux instructions documentées du Responsable de Traitement, au présent Accord et au Contrat.

Les traitements réalisés dans le cadre des Fonctionnalités IA ont pour seules finalités de fournir les Services souscrits, notamment de générer des suggestions de réponses aux avis et aux messages, de catégoriser les avis et de proposer des recommandations d’utilisation des Applications Partoo.

Le Responsable de Traitement demeure responsable :

• De la licéité des Données Personnelles et contenus qu’il rend accessibles via les Services ;
• De la vérification de la pertinence, de l’exactitude et de l’adéquation des Outputs IA avant toute utilisation, communication ou publication ;
• Des décisions métier prises sur le fondement des Outputs IA ;
• Du respect de ses obligations d’information à l’égard des personnes concernées et, le cas échéant, de l’obtention de tout consentement requis.

Les Outputs IA constituent uniquement des suggestions. Ils ne doivent pas être considérés comme des conseils juridiques, professionnels ou comme des décisions automatisées produisant des effets juridiques à l’égard de personnes physiques. Ils doivent par ailleurs, en toute hypothèse, faire l’objet d’une vérification et d’une validation humaine avant toute utilisation.

18.3. Minimisation et pseudonymisation des Données Personnelles transmises

Le Sous-traitant met en œuvre des mesures destinées à limiter les Données Personnelles transmises aux Technologies IA.

En particulier, pour les fonctionnalités de suggestion de réponses aux avis, le Sous-traitant utilise des espaces réservés (placeholders) afin de masquer, lorsque cela est techniquement applicable, certaines Données Personnelles contenues dans les avis ou nécessaires à la réponse proposée, notamment le nom de l’auteur de l’avis ainsi que les coordonnées de l’établissement susceptibles d’être utilisées pour proposer une prise de contact directe.

Le Responsable de Traitement s’engage à ne pas soumettre aux Fonctionnalités IA de catégories particulières de Données Personnelles au sens de l’article 9 du RGPD, ni de données relatives à des condamnations pénales ou infractions, sauf lorsque cela est strictement nécessaire, licite et expressément convenu entre les Parties avec la mise en œuvre de garanties appropriées.

18.4. Absence d’entraînement et traitement sans conservation de contexte

Les Données Personnelles, Inputs IA et Outputs IA du Responsable de Traitement ne sont pas utilisés pour entraîner, ajuster ou améliorer des modèles d’intelligence artificielle destinés à des finalités propres au Sous-traitant, à ses prestataires ou à des tiers, sauf accord préalable, exprès et écrit du Responsable de Traitement.

Les requêtes adressées aux Technologies IA sont traitées de manière ponctuelle et sans conservation de contexte conversationnel entre deux requêtes. Chaque requête est traitée indépendamment, sur la base des seuls éléments transmis pour cette requête, sans constitution d’un historique conversationnel ni préparation d’un modèle à partir des Données Personnelles du Responsable de Traitement.

Sous réserve des journaux techniques strictement nécessaires à la sécurité, à la maintenance, à la prévention des abus et à la résolution d’incidents, le Sous-traitant ne conserve pas les Inputs IA ou Outputs IA au sein des Technologies IA aux fins de constituer un contexte persistant ou d’entraîner les modèles.

18.5. Recours à un Sous-traitant Ultérieur

Pour la fourniture des Fonctionnalités IA, le Sous-traitant peut recourir à Microsoft Azure (Microsoft, sise 39 quai du Président Roosevelt, 92130 Issy-les-Moulineaux, France), notamment aux modèles OpenAI mis à disposition au sein de son environnement Azure, en qualité de Sous-traitant Ultérieur.

Le recours à ce Sous-traitant Ultérieur est soumis aux dispositions de l’article 6 du présent Accord. Le Sous-traitant veille à ce que ce Sous-traitant Ultérieur soit lié par des obligations de protection des Données Personnelles au moins équivalentes à celles prévues au présent Accord.

Tout éventuel transfert de Données Personnelles en dehors de l’Espace économique européen réalisé dans ce cadre demeure soumis aux dispositions de l’article relatif aux transferts de Données Personnelles hors de l’Union européenne et aux garanties applicables prévues par le RGPD.

18.6. Sécurité, transparence et conformité

Le Sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées afin de protéger les Données Personnelles traitées dans le cadre des Fonctionnalités IA, conformément au présent Accord.

Le Sous-traitant fournit au Responsable de Traitement, sur demande raisonnable, les informations disponibles nécessaires pour lui permettre d’apprécier les traitements réalisés via les Fonctionnalités IA et de satisfaire à ses propres obligations de transparence, d’information et de conformité.

Le Sous-traitant s’engage à mettre en œuvre les Fonctionnalités IA conformément à la Réglementation sur la Protection des Données et, dans la mesure où il lui est applicable compte tenu de son rôle et des fonctionnalités concernées, au Règlement (UE) 2024/1689 établissant des règles harmonisées concernant l’intelligence artificielle.

18.7. Responsabilité

Toute responsabilité liée à l’utilisation des Fonctionnalités IA est régie par les stipulations de responsabilité prévues au Contrat.

Le Sous-traitant met en œuvre les mesures raisonnablement disponibles afin de limiter les risques liés aux erreurs, inexactitudes, hallucinations ou biais éventuels des Outputs IA. Pour rappel, le Responsable de Traitement reconnaît toutefois et accepte expressément que les Outputs IA sont générés de manière automatisée et qu’ils doivent être vérifiés par un humain avant toute utilisation ou diffusion.

19. Obligations du Responsable de Traitement envers le Sous-traitant

Le Responsable de Traitement s’engage à:

• Documenter par écrit toutes les instructions concernant le traitement des Données Personnelles par le Sous-traitant.
• S’assurer, avant et pendant toute la durée du traitement, du respect par le Sous-traitant des obligations fixées par la législation applicable.
• Superviser le traitement effectué par le Sous-traitant conformément au Contrat.

20. Portée

Le présent Accord forme un document unique avec le Contrat.

À cet égard, toutes les dispositions du Contrat qui ne sont pas modifiées ou ne sont pas contradictoires avec les termes du présent Accord demeurent pleinement applicables entre les Parties. En particulier, la clause limitative de responsabilité prévue au Contrat (et notamment à l’article 10 des CG le cas échéant) est pleinement applicable en cas de violation du présent Accord. En cas de conflit relatif à la protection des Données Personnelles entre les dispositions du Contrat et celles du présent Accord, le présent Accord prévaudra. Pour toute question relative à la protection des Données Personnelles, par dérogation à la clause du Contrat relative à l’ordre de priorité des documents contractuels.

Si une disposition du présent Accord est jugée nulle et non avenue en vertu d’une règle juridique applicable ou d’une décision de justice définitive, elle sera réputée non écrite, sans affecter la validité du présent Accord ni altérer la validité de ses autres dispositions.