Accord de traitement des données

Le présent accord de traitement des données (l'« Accord ») fait partie des Conditions générales de Seequency conclues entre le Client et seequency, Inc. (« Seequency »). Il est rédigé en anglais ; toute traduction est fournie pour la seule commodité du lecteur, et la version anglaise prévaut. Les termes non définis ici ont le sens que leur donnent les Conditions, le règlement (UE) 2016/679 (le « RGPD ») ou les lois des États américains sur les données personnelles.

1. Rôles

1.1 Pour les données personnelles que le Client dépose ou que ses Clients finaux fournissent par le Service (les « Données du Client »), le Client est responsable de traitement et Seequency est sous-traitant (ou « service provider » au sens des lois des États américains).

1.2 Pour les données du compte et de la facturation du Client, et pour le fonctionnement et la sécurité du Service, Seequency agit comme responsable de traitement distinct, dans les termes de sa politique de confidentialité.

2. Description du traitement

3. Instructions

Seequency ne traite les Données du Client que sur instruction documentée du Client. Les Conditions, le présent Accord et l'usage que le Client fait des fonctions du Service, y compris la connexion d'une intégration, constituent ces instructions. Seequency informe le Client si elle estime qu'une instruction est illicite.

4. Confidentialité et sécurité

4.1 Seequency veille à ce que les personnes autorisées à traiter les Données du Client soient tenues à la confidentialité.

4.2 Seequency met en œuvre les mesures techniques et organisationnelles décrites à l'annexe 1.

5. Sous-traitants ultérieurs

5.1 Le Client autorise Seequency à recourir aux sous-traitants ultérieurs listés à l'annexe 2.

5.2 Seequency impose à chacun des obligations de protection des données équivalentes à celles du présent Accord, et en reste responsable.

5.3 Seequency informe le Client au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant ultérieur, par la mise à jour de la liste publiée et par e-mail. Le Client peut s'y opposer pour des motifs raisonnables tenant à la protection des données pendant ce délai. Si les parties ne résolvent pas l'objection, le Client peut résilier le Service concerné sans pénalité.

5.4 Les services tiers que le Client choisit de connecter ne sont pas des sous-traitants ultérieurs de Seequency. Le Client demande à Seequency de leur envoyer des données, et leur traitement relève du contrat du Client avec leur éditeur.

6. Transferts internationaux

Les Données du Client sont hébergées dans l'Union européenne. Certains sous-traitants ultérieurs les traitent aux États-Unis. Lorsque le RGPD s'applique, ces transferts reposent sur le cadre de protection des données UE-États-Unis (Data Privacy Framework) pour les sous-traitants qui y sont certifiés, et sur les clauses contractuelles types de l'Union européenne pour les autres, comme l'indique l'annexe 2.

7. Assistance

Seequency aide le Client, compte tenu de la nature du traitement, à répondre aux demandes des personnes concernées, et à respecter ses obligations de sécurité, de notification des violations, d'analyse d'impact et de consultation préalable. Une demande que Seequency reçoit directement d'un Client final est transmise au Client.

8. Violation de données

Seequency notifie au Client toute violation de données personnelles affectant les Données du Client dans les meilleurs délais après en avoir pris connaissance, avec les informations disponibles à ce moment, complétées à mesure qu'elles le deviennent.

9. Suppression

9.1 À la suppression du compte, Seequency supprime les Données du Client selon l'article 13 des Conditions.

9.2 Par exception, le Client donne instruction à Seequency de conserver le journal de chaque Seequence pendant 6 ans après la fin de cette Seequence, à titre de preuve pour le Client et son Client final, puis de le supprimer.

9.3 Les sauvegardes sont écrasées dans un délai de 30 jours.

10. Audits

Seequency met à la disposition du Client, sur demande écrite, la documentation nécessaire pour démontrer le respect du présent Accord, dont le présent Accord, ses mesures de sécurité et sa liste de sous-traitants ultérieurs. Cette documentation vaut audit au sens de l'article 28, paragraphe 3, point h, du RGPD. Tout autre audit, y compris une inspection sur place, n'a lieu que lorsqu'une autorité de contrôle l'exige, aux frais du Client, moyennant un préavis de 30 jours.

11. Lois des États américains

Lorsque Seequency agit comme « service provider », elle ne vend ni ne partage les Données du Client, ne les conserve, n'utilise ni ne communique hors de la relation directe avec le Client ou à d'autres fins que la fourniture du Service, et ne les combine pas avec des données reçues d'autres personnes, sauf dans la mesure permise par ces lois.

12. Responsabilité

Les limitations de responsabilité des Conditions s'appliquent au présent Accord.

13. Droit applicable et tribunaux

L'article 19 des Conditions s'applique au présent Accord, sauf lorsque le RGPD en dispose autrement pour les clauses contractuelles types.

Annexe 1. Mesures de sécurité

• Chiffrement en transit (TLS) de tout le trafic.

• Chiffrement au repos de la base, du stockage des fichiers et des secrets par l'hébergeur.

• Jetons d'accès des intégrations gardés dans un coffre de secrets dédié, jamais dans la base.

• Adresses IP jamais conservées en clair ; seulement une empreinte à clé, gardée 30 jours, contre les abus.

• Chaque service tourne sous son propre compte, limité à ses données et à ses secrets.

• Le journal de chaque Seequence est chaîné par empreintes cryptographiques, de sorte que toute altération est détectable.

• Accès humain aux données de production limité au fondateur et, pour les comptes Piloted, au seequencer affecté au compte.

• Sauvegardes quotidiennes, conservées 30 jours.

Annexe 2. Sous-traitants ultérieurs