Accord relatif au traitement des données

• Législation applicable en matière de protection des données désigne l’ensemble des lois applicables au traitement des Données personnelles du Client dans le cadre du Contrat, qui peuvent inclure le RGPD, le RGPD britannique, la loi fédérale suisse sur la protection des données et les lois des États américains relatives à la protection de la vie privée, telles que le California Consumer Privacy Act.
• Données personnelles du Client désigne les données personnelles contenues dans le Contenu du Client que Zurelay traite pour le compte du Client afin de fournir les Services.
• Sous-traitant ultérieur désigne un tiers auquel Zurelay fait appel et qui traite des Données personnelles du Client, y compris les Fournisseurs d’infrastructure.
• Violation de données personnelles désigne une violation de la sécurité des systèmes contrôlés par Zurelay entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de Données personnelles du Client ou l’accès non autorisé à de telles données.
• SCCs désigne les clauses contractuelles types approuvées par la Commission européenne dans sa décision (UE) 2021/914.
• Responsable du traitement, sous-traitant, personne concernée, données personnelles, traitement, entreprise et prestataire de services ont le sens qui leur est donné dans la Législation applicable en matière de protection des données.

Pour les Données personnelles du Client, le Client est le responsable du traitement (ou un sous-traitant agissant pour le compte de ses propres clients) et Zurelay est un sous-traitant (ou un sous-traitant ultérieur). Le présent DPA ne s’applique pas aux données personnelles que Zurelay traite en tant que responsable du traitement indépendant, telles que les données relatives au compte, à la facturation, à l’assistance, à la sécurité et au site web, qui sont couvertes par notre Politique de confidentialité.

3.1 Instructions. Zurelay traitera les Données personnelles du Client uniquement pour fournir et sécuriser les Services et en assurer l’assistance, conformément au Contrat, au présent DPA ainsi qu’à l’utilisation et à la configuration des Services par le Client, qui constituent ensemble l’intégralité des instructions documentées du Client, et lorsque la loi l’exige. Si la loi impose un traitement allant au-delà de ces instructions, Zurelay en informera préalablement le Client, sauf si la loi l’interdit.

3.2 Le routage constitue une instruction. Le Client donne instruction à Zurelay de transmettre le Contenu du Client aux Fournisseurs d’infrastructure choisis par Zurelay et, selon les besoins pour générer les Résultats, de réessayer les requêtes, de les réacheminer et de basculer d’un fournisseur à un autre.

3.3 Instructions non conformes. Zurelay informera le Client si, à son avis, une instruction enfreint la Législation applicable en matière de protection des données. Zurelay n’est pas tenue de procéder à une analyse juridique des instructions du Client.

Le Client doit disposer d’une base juridique pour le traitement des Données personnelles du Client dans le cadre du Contrat, fournir toutes les informations requises et obtenir tous les consentements nécessaires à ce traitement. Le Client ne transmettra pas de Données à usage restreint, notamment de catégories particulières de données personnelles ou de données personnelles d’enfants, sauf si les parties ont signé un accord écrit distinct l’y autorisant. Le Client doit limiter les données personnelles incluses dans les Entrées à ce qui est nécessaire à son utilisation des Services. Il lui appartient également de déterminer si les Services conviennent à ses données, y compris le traitement par des Fournisseurs d’infrastructure dont Zurelay ne divulgue pas l’identité, selon leurs propres conditions, comme décrit à la Section 7.

Zurelay veillera à ce que les personnes qu’elle autorise à traiter les Données personnelles du Client soient soumises à des obligations de confidentialité appropriées et n’y accèdent que dans la mesure nécessaire à la fourniture des Services.

Zurelay mettra en œuvre et maintiendra les mesures techniques et organisationnelles décrites à l’Annexe II, conçues pour protéger les Données personnelles du Client dans les systèmes contrôlés par Zurelay. Zurelay peut mettre à jour ces mesures à condition de ne pas réduire sensiblement le niveau global de protection.

7.1 Autorisation générale. Le Client autorise de manière générale Zurelay à faire appel à des Sous-traitants ultérieurs dans les catégories suivantes : (a) fournisseurs de services d’hébergement, de bases de données, de stockage et de réseau ; (b) prestataires de paiement, de messagerie électronique et d’assistance, dans la mesure où ils traitent des Données à caractère personnel du Client ; et (c) Fournisseurs d’infrastructure qui assurent la mise à disposition des Modèles, lesquels peuvent inclure des Développeurs de modèles, des plateformes cloud, des revendeurs indépendants et d’autres fournisseurs de capacité de modèles.

7.2 Identité des Fournisseurs d’infrastructure. L’identité des Fournisseurs d’infrastructure de Zurelay constitue une information commerciale confidentielle que Zurelay ne divulgue pas. L’autorisation du Client prévue à la Section 7.1 couvre les Fournisseurs d’infrastructure par catégorie, sans que leur identité soit divulguée. Sur demande écrite, Zurelay fournira au Client la liste de ses autres Sous-traitants ultérieurs actuels, sous réserve des obligations de confidentialité du Client au titre du Contrat. Si les obligations légales du Client lui imposent de connaître l’identité de chaque Sous-traitant ultérieur avant de lui transmettre des données à caractère personnel, le Client ne doit pas inclure de telles données dans le Contenu du Client.

7.3 Modifications. Pour assurer la disponibilité des Services, Zurelay peut à tout moment ajouter, supprimer ou remplacer des Fournisseurs d’infrastructure. Zurelay informera le Client de toute nouvelle catégorie de Sous-traitants ultérieurs en mettant à jour le présent DPA. Si le Client s’y oppose pour des motifs raisonnables liés à la protection des données, les parties examineront cette objection de bonne foi ; si aucun accord n’est trouvé, le seul recours du Client sera de cesser d’utiliser les Services concernés et de résilier le Contrat.

7.4 Conditions des Sous-traitants ultérieurs. Lorsque Zurelay peut négocier les conditions d’un Sous-traitant ultérieur, elle exigera des obligations de protection des données qui offrent, sur le fond, un niveau de protection au moins équivalent à celui du présent DPA, dans la mesure où elles s’appliquent aux services fournis par ce Sous-traitant ultérieur. Certains Fournisseurs d’infrastructure proposent leurs services uniquement selon leurs conditions standard. Le Client reconnaît que, pour ces fournisseurs, leurs conditions standard régissent leur traitement du Contenu du Client et que Zurelay peut ne pas être en mesure d’obtenir des engagements supplémentaires de leur part.

7.5 Responsabilité. Zurelay demeure responsable de ses Sous-traitants ultérieurs dans la mesure requise par la Législation applicable en matière de protection des données, sous réserve des limitations de responsabilité prévues au Contrat.

Compte tenu de la nature du traitement, Zurelay fournira au Client une assistance raisonnable pour répondre aux demandes d’exercice des droits des personnes concernées. Si Zurelay reçoit une telle demande concernant des Données à caractère personnel du Client, elle orientera le demandeur vers le Client lorsqu’elle peut identifier celui-ci et ne répondra pas elle-même, sauf pour confirmer cette orientation ou si la loi l’exige. Le Client prendra en charge les frais raisonnables engagés par Zurelay pour toute assistance allant au-delà des fonctionnalités proposées par les Services.

Zurelay informera le Client dans les meilleurs délais après avoir pris connaissance d’une Violation de Données à caractère personnel et lui fournira les informations raisonnablement à sa disposition dont le Client a besoin pour respecter ses propres obligations de notification. Zurelay prendra des mesures raisonnables pour contenir la violation et enquêter à son sujet. Cette notification ne constitue pas une reconnaissance de faute ou de responsabilité. Il incombe au Client d’informer les autorités de contrôle et les personnes concernées lorsque cela est requis. Si un Fournisseur d’infrastructure informe Zurelay d’un incident de sécurité affectant des Données à caractère personnel du Client, Zurelay transmettra les informations pertinentes qu’elle reçoit.

10.1 Assistance. Compte tenu de la nature du traitement et des informations à sa disposition, Zurelay fournira au Client une assistance raisonnable pour les analyses d’impact relatives à la protection des données et les consultations préalables des autorités de contrôle lorsque la Législation applicable en matière de protection des données les exige, aux frais du Client si cette assistance dépasse un niveau minimal.

10.2 Informations. Sur demande écrite, au maximum une fois par période de 12 mois, Zurelay répondra par écrit à un questionnaire raisonnable sur la sécurité et la protection des données et fournira les autres informations raisonnablement nécessaires pour démontrer le respect du présent DPA.

10.3 Audits. Si la Législation applicable en matière de protection des données exige un audit allant au-delà de ces informations, le Client peut en réaliser un, à ses frais, au maximum une fois par période de 12 mois, moyennant un préavis écrit d’au moins 30 jours, pendant les heures normales d’ouverture, sous réserve d’obligations de confidentialité appropriées et par l’intermédiaire d’un auditeur qui n’est pas un concurrent de Zurelay. Les audits ne donneront accès ni aux données d’autres clients, ni aux systèmes des Fournisseurs d’infrastructure, ni à l’identité des Fournisseurs d’infrastructure, sauf si une juridiction ou une autorité de contrôle compétente à l’égard de Zurelay l’exige.

Zurelay ne conserve pas le contenu des requêtes de chat et de texte envoyées via l’API une fois celles-ci traitées. Les conversations du Playground sont conservées pour la personne qui les a eues jusqu’à ce qu’elle les supprime (ses 300 plus récentes par espace de travail), sans les fichiers joints. Les images ajoutées dans le Playground sont conservées pour l’espace de travail et supprimées après 30 jours. Les images et vidéos générées, leurs prompts et images de référence, ainsi que les détails des erreurs liées aux tentatives échouées sont supprimés après 30 jours. Dans les 90 jours suivant la fin du Contrat, Zurelay supprimera toutes les Données personnelles du Client restantes dans les systèmes sous son contrôle, à l’exception des copies qu’elle doit conserver en vertu de la loi et de celles figurant dans les sauvegardes, qui sont supprimées selon leur calendrier habituel. Les Données personnelles du Client traitées par les Fournisseurs d’infrastructure sont conservées conformément à leurs propres conditions.

12.1 Autorisation. Le Client autorise Zurelay et ses Sous-traitants ultérieurs à transférer et à traiter les Données personnelles du Client aux États-Unis et dans les autres pays où ils exercent leurs activités.

12.2 Transferts européens. Dans la mesure où les Données personnelles du Client sont soumises au RGPD et transférées vers un pays ne bénéficiant pas d’une décision d’adéquation, les CCT sont intégrées au présent DPA comme suit : le Module 2 s’applique lorsque le Client est responsable du traitement et le Module 3 lorsqu’il est sous-traitant ; la clause d’adhésion facultative de la Clause 7 s’applique ; dans la Clause 9, l’Option 2 s’applique, avec le préavis décrit à la Section 7.3 ; les dispositions facultatives de la Clause 11 ne s’appliquent pas ; dans la Clause 17, les CCT sont régies par le droit irlandais ; et dans la Clause 18, les tribunaux irlandais sont compétents. Les Annexes I et II du présent DPA complètent les annexes correspondantes des CCT.

12.3 Royaume-Uni et Suisse. Pour les données personnelles soumises au RGPD britannique, les CCT s’appliquent telles que modifiées par l’avenant relatif aux transferts internationaux de données publié par le Commissaire britannique à l’information. Pour les données personnelles soumises au droit suisse, les CCT s’appliquent avec des références adaptées à la loi fédérale suisse sur la protection des données, et le Préposé fédéral à la protection des données et à la transparence est l’autorité compétente.

12.4 Primauté. En cas de conflit entre les CCT et le présent DPA, les CCT prévalent dans la mesure de ce conflit.

Dans la mesure où les lois des États américains sur la protection de la vie privée s’appliquent, Zurelay agit en tant que prestataire de services ou sous-traitant du Client pour les Données personnelles du Client. Zurelay ne vendra ni ne partagera les Données personnelles du Client ; ne les conservera, n’en fera usage ni ne les divulguera à des fins autres que les finalités commerciales prévues dans le Contrat ou en dehors de la relation commerciale directe entre Zurelay et le Client ; et ne les combinera pas avec des données personnelles provenant d’autres sources, sauf dans les cas autorisés par ces lois. Zurelay respectera les obligations applicables prévues par ces lois, informera le Client si elle n’est plus en mesure de les respecter et lui accorde le droit de prendre des mesures raisonnables pour faire cesser toute utilisation non autorisée des Données personnelles du Client et y remédier.

Le présent DPA prévaut sur les Conditions en matière de protection des Données personnelles du Client. Pour le reste, les Conditions s’appliquent, y compris leurs dispositions relatives aux limitations de responsabilité, au droit applicable et au règlement des litiges, sauf si la Législation applicable en matière de protection des données ou les CCT en disposent autrement. Zurelay peut mettre à jour le présent DPA pour tenir compte des évolutions de la législation, des Services ou de ses Sous-traitants ultérieurs, et informera le Client de toute modification importante. Le présent DPA prend fin à l’expiration ou à la résiliation du Contrat, à l’exception des obligations qui, par nature, continuent de s’appliquer.

• Chiffrement: TLS pour les données en transit vers et depuis les Services ; chiffrement au repos assuré par les hébergeurs de Zurelay.
• Identifiants: clés API stockées uniquement sous forme de hachages à sens unique ; connexion par codes à usage unique ; rôles au sein de l’espace de travail définissant qui peut gérer les clés et la facturation.
• Contrôle d’accès: accès aux systèmes et aux données de production limité au personnel qui en a besoin.
• Minimisation des données: contenu des conversations et textes envoyés via l’API traités en mémoire et non stockés ; conversations du Playground conservées uniquement pour la personne qui les a eues, sans pièces jointes ; images ajoutées dans le Playground supprimées après 30 jours ; fichiers générés, prompts associés et détails des erreurs supprimés après 30 jours ; identifiants des utilisateurs finaux des clients retirés des requêtes avant leur envoi aux Fournisseurs d’infrastructure.
• Surveillance: surveillance continue de la disponibilité et du comportement des Services et des Fournisseurs d’infrastructure, avec consignation et analyse des incidents.
• Résilience: nouvelles tentatives automatiques et basculement entre Fournisseurs d’infrastructure.
• Réponse aux incidents: analyse, limitation des conséquences et notification aux clients des Violations de données à caractère personnel, conformément à la section 9.
• Supervision des fournisseurs: tests des Fournisseurs d’infrastructure avant et pendant leur utilisation, notamment pour vérifier qu’ils servent bien le Modèle demandé et avec quelle fiabilité, et exclusion de ceux qui échouent aux contrôles de Zurelay. Ces contrôles portent sur la qualité du service, et non sur la sécurité propre aux Fournisseurs d’infrastructure, qu’ils gèrent selon leurs propres conditions.