Accord de traitement des données (DPA) -- Morlivo

1. Définitions

Aux fins du présent accord de traitement des données :

"Données personnelles" désigne toute information se rapportant à une personne physique identifiée ou identifiable, comme défini à l'article 4(1) du GDPR.
"Traitement" désigne toute opération effectuée sur des données personnelles, y compris la collecte, le stockage, l'utilisation, la divulgation ou la suppression, comme défini à l'article 4(2) du GDPR.
"Responsable du traitement" désigne le client qui détermine les finalités et les moyens du traitement des données personnelles.
"Sous-traitant" désigne Morlivo, qui traite des données personnelles pour le compte du Responsable du traitement.
"Sous-traitant ultérieur" désigne tout tiers engagé par le Sous-traitant pour traiter des données personnelles pour le compte du Responsable du traitement.
"Personne concernée" désigne une personne physique identifiée ou identifiable dont les données personnelles sont traitées.

2. Détails du traitement

Le Sous-traitant ne traitera des Données à caractère personnel que sur instruction documentée du Responsable du traitement, y compris en ce qui concerne les transferts de Données à caractère personnel vers un pays tiers, sauf s'il y est contraint par le droit de l'Union ou le droit d'un État membre auquel le Sous-traitant est soumis.

Les détails du traitement sont les suivants :

Objet : Fourniture de services de traduction, de transcription et de traitement linguistique.
Durée : Pendant la durée du contrat de service sous-jacent.
Nature et finalité : Traitement du contenu client pour fournir des traductions, des transcriptions et des services linguistiques associés.
Catégories de personnes concernées : Utilisateurs finaux et individus dont les données figurent dans le contenu client.
Types de données personnelles : Noms, coordonnées et toute autre donnée personnelle contenue dans les documents soumis au traitement.

3. Mesures de sécurité

Le Sous-traitant mettra en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, conformément à l'article 32 du RGPD. Ces mesures incluent :

Cryptage des données personnelles au repos (AES-256) et en transit (TLS 1.2+).
Capacité à garantir la confidentialité, l’intégrité, la disponibilité et la résilience continues des systèmes et services de traitement.
Capacité à restaurer la disponibilité et l'accès aux données personnelles en temps opportun en cas d'incident physique ou technique.
Tests, évaluations et évaluations réguliers de l'efficacité des mesures techniques et organisationnelles.
Pseudonymisation des données personnelles lorsque cela est techniquement possible et approprié.
Contrôles d'accès stricts basés sur le principe du moindre privilège.
Journalisation d’audit complète et surveillance de l’accès aux données.

Le Sous-traitant veillera à ce que les personnes autorisées à traiter des Données à caractère personnel se soient engagées à la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.

4. Sous-traitants

Le Responsable du traitement (Controller) accorde une autorisation générale au Sous-traitant (Processor) pour faire appel à des sous-traitants (Sub-processors). Le Sous-traitant doit tenir à jour une liste des sous-traitants et la mettre à la disposition du Responsable du traitement sur demande. La liste actuelle des sous-traitants est publiée sur notre page de politique de confidentialité.

Le Sous-traitant informera le Responsable du traitement de tout changement envisagé concernant l'ajout ou le remplacement de sous-traitants, en donnant au Responsable une opportunité raisonnable de s'opposer à ces changements. Lorsque le Sous-traitant fait appel à un sous-traitant, il imposera à ce sous-traitant, par voie contractuelle, les mêmes obligations en matière de protection des données que celles énoncées dans cette DPA.

Le Sous-traitant restera entièrement responsable envers le Responsable du traitement de l'exécution des obligations de tout sous-traitant au titre de cette DPA.

5. Droits des personnes concernées

Le Sous-traitant aidera le Responsable du traitement à s'acquitter de son obligation de répondre aux demandes des personnes concernées exerçant leurs droits en vertu du Chapitre III du RGPD, y compris :

Droit d'accès (article 15).
Droit de rectification (article 16).
Droit à l'effacement (article 17).
Droit à la limitation du traitement (article 18).
Droit à la portabilité des données (article 20).
Droit d’opposition (article 21).

Si le Sous-traitant reçoit directement une demande d'une Personne concernée, le Sous-traitant doit transmettre rapidement la demande au Responsable du traitement et ne doit pas répondre directement à la Personne concernée, sauf autorisation du Responsable du traitement.

6. Transferts internationaux

Le Sous-traitant ne transférera pas de Données à caractère personnel vers un pays tiers ou une organisation internationale sauf si des garanties appropriées sont en place, comme l'exige le Chapitre V du RGPD. Les mécanismes de transfert approuvés incluent :

Clauses contractuelles types (CCS) adoptées par la Commission européenne (Décision d'exécution (UE) 2021/914 de la Commission).
Décisions d’adéquation conformément à l’article 45 du GDPR.
Règles d’entreprise contraignantes approuvées par une autorité de contrôle compétente.

Les clients Enterprise peuvent configurer les paramètres de résidence des données pour limiter le traitement et le stockage des Données personnelles à des régions géographiques spécifiques (EU, US ou APAC), minimisant ainsi le besoin de transferts transfrontaliers.

7. Notification de violation

Le Sous-traitant notifiera le Responsable du traitement sans retard injustifié, et en tout état de cause au plus tard quarante-huit (48) heures après être devenu informé d'une violation de Données à caractère personnel, telle que définie à l'article 4(12) du RGPD.

La notification doit comprendre :

Une description de la nature de la violation des données personnelles, y compris les catégories et le nombre approximatif de personnes concernées et les enregistrements concernés.
Le nom et les coordonnées du point de contact pour la protection des données du sous-traitant.
Une description des conséquences probables de la violation.
Une description des mesures prises ou proposées pour remédier à la violation, y compris les mesures visant à atténuer ses effets négatifs.

8. Audits et inspections

Le Sous-traitant mettra à la disposition du Responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations énoncées à l'article 28 du RGPD. Le Sous-traitant autorisera et contribuera aux audits, y compris aux inspections, réalisés par le Responsable du traitement ou par un auditeur mandaté par celui-ci, sous réserve d'un préavis raisonnable et d'obligations de confidentialité.

9. Durée et suppression des données

Le présent DPA restera en vigueur pendant la durée du contrat de service sous-jacent. À la résiliation du contrat de service, le Sous-traitant devra, au choix du Responsable du traitement, supprimer ou restituer l'ensemble des Données à caractère personnel et supprimer les copies existantes, sauf si le droit de l'Union ou d'un État membre impose la conservation des Données à caractère personnel. Le Sous-traitant certifiera par écrit qu'il s'est conformé à cette obligation à la demande du Responsable du traitement.

Accord de traitement des données (DPA)