1. Objet

Les présentes clauses ont pour objet de définir les conditions dans lesquelles Outmind (le "Sous-traitant") s’engage à effectuer pour le compte du Client (le "Responsable de Traitement") les opérations de traitement de données à caractère personnel définies ci-après.
Dans le cadre de leurs relations contractuelles, les parties s’engagent à respecter la réglementation en vigueur applicable au traitement de données à caractère personnel et, en particulier, le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 applicable à compter du 25 mai 2018 (ci-après, « le Règlement européen sur la protection des données » ou « le RGPD »).

2. Description du traitement faisant l'objet de la sous-traitance

Objet du Traitement : 
Le Prestataire fournit une prestation d’analyse et d’indexation de documents, messages et informations sous tout format, intégrant la reconnaissance de caractères, la reconnaissance de données en fonction des requêtes de l’Utilisateur Autorisé (incluant des Données Personnelles) et nécessaires pour l’affichage et la mise en forme de ces informations, à des fins de recherche et de mise en relation avec un interlocuteur interne pertinent pour l’Utilisateur Autorisé. De plus, le Prestataire peut réaliser une prestation d’hébergement de ces Données (incluant les Données Personnelles) sous la forme d’un ou plusieurs index.
‍
‍Durée du Traitement :
Durée de la relation contractuelle entre les Parties, jusqu’à suppression ou restitution des Données Personnelles, selon la demande du Responsable de Traitement.
‍
‍Nature du Traitement :
Les Données Personnelles seront soumises aux activités de traitement de base suivantes : Collecte ;   Organisation ; Conservation ; Consultation par le Client ; Diffusion par le Client ; Comparaison ; Hébergement ; Maintenance et support informatique ; Saisie ; Enregistrement ; Modification.
‍
‍Finalité du traitement :
Création des comptes utilisateurs, Accompagnement, Usages finaux de recherche pour les utilisateurs.
‍
‍Types de données à caractère personnel traitées
Les Données Personnelles traitées concernent les catégories suivantes de données : Prénom, Nom, adresse email, numéro de téléphone (si signature électronique ou double facteur d’authentification) des Utilisateurs Autorisés et des contacts Clients (CRM).
‍
‍Catégories de Personnes Concernées :
Les catégories de Personnes Concernées par le Traitement sont le Client et les Utilisateurs Autorisés de la Plateforme Outmind.

Les présentes clauses prennent effet rétroactivement à la mise en service et demeureront en vigueur jusqu’au terme de la relation contractuelle entre le Responsable de Traitement et le Sous-Traitant.

3. Obligations du sous-traitant vis-à-vis du responsable de traitement

Le sous-traitant s'engage à :
- Traiter les données uniquement pour la ou les seule(s) finalité(s) qui fait/font l’objet de la sous-traitance.
- Traiter les données conformément aux instructions documentées du Responsable de Traitement figurant en annexe du présent contrat. Si le Sous-Traitant considère qu’une instruction constitue une violation du Règlement européen sur la protection des données ou de toute autre disposition du droit de l’Union ou du droit des Etats membres relative à la protection des données, il en informe immédiatement le Responsable de Traitement.
- Ne pas utiliser les données provenant des APIs d'outils tiers (tels que les APIs Google Worskspace) pour développer, améliorer ou entraîner des modèles génériques d'IA ou de ML.
- Sauf autorisation expresse spécifique contraire du Responsable de Traitement, traiter les données exclusivement sur le territoire d’un État membre de l’EEE. Le Sous-Traitant s’engage à ne divulguer, à ne rendre accessible ou à ne transférer aucune donnée du Responsable de Traitement, même à des fins d’acheminement, à toute entité de traitement ou tout Sous-Traitant établi(e) dans un pays tiers situé en dehors de l’EEE, sauf avec le consentement préalable et écrit du Responsable de Traitement. Le Responsable de Traitement se réserve le droit de procéder à toute vérification qu’il estime nécessaire afin de confirmer l’exécution des obligations découlant du présent article.

En cas de transfert en dehors de l’Espace Economique Européen (EEE) autorisé par le Responsable de Traitement, ce transfert ne pourra intervenir que dans la stricte limite nécessaire à l’exécution des prestations, et pour autant que ce transfert soit opéré vers un État dont la législation en matière de protection des Données Personnelles a été reconnue par la Commission européenne comme présentant un niveau de protection équivalent, ou soit encadré par la conclusion de clauses contractuelles types émises par la Commission européenne ou s’effectue sur la base de tout autre fondement alternatif reconnu par le Règlement européen sur la protection des données, sous réserve de l’accord préalable écrit du Responsable de Traitement sur ce fondement alternatif.

4. Sous-traitance

Le sous-traitant est autorisé à faire appel aux entités suivantes (ci-après, le « sous-traitant ultérieur ») pour mener les activités suivantes : 

Le Sous-Traitant peut faire appel à un autre Sous-Traitant (ci-après, « le Sous-Traitant ultérieur ») pour mener des activités de traitement spécifiques. Dans ce cas, il informe préalablement et par écrit le Responsable de Traitement de tout changement envisagé concernant l’ajout ou le remplacement d’autres Sous-Traitants ultérieurs. Cette information doit indiquer clairement les activités de traitement sous-traitées, l’identité et les coordonnées du Sous-Traitant et les dates du contrat de sous-traitance. Le Responsable de Traitement dispose d’un délai minimum de quinze (15) à compter de la date de réception de cette information pour présenter ses objections. Cette sous-traitance ne peut être effectuée que si le Responsable de Traitement n'a pas émis d'objection pendant le délai convenu. A cet égard, une liste des sous-traitants ultérieurs du Sous-traitant est inscrite ci-dessous :

5. Doit d'information des Personnes Concernées

Il appartient au Responsable de Traitement de fournir l’information aux Personnes Concernées par les opérations de traitement au moment de la collecte des données.

6. Exercice des droits des personnes

Dans la mesure du possible, le Sous-Traitant doit aider le Responsable de Traitement à s’acquitter de son obligation de donner suite aux demandes d’exercice des droits des Personnes Concernées : droit d’accès, de rectification, d’effacement et d’opposition, droit à la limitation du traitement, droit à la portabilité des données, droit de ne pas faire l’objet d’une décision individuelle automatisée (y compris le profilage), droit de retirer son consentement, droit de décider du sort de ses données après sa mort.
Le Sous-traitant s’engage à répondre avec diligence et sans délai à toute sollicitation du Responsable de Traitement relative à l’exercice des droits des Personnes Concernées et, si le Responsable de Traitement en fait la demande, à répercuter les directives de ce dernier sur ses propres Sous-traitants.

7. Notification des violations de données à caractère personnel

Le Sous-Traitant notifie au Responsable de Traitement toute Violation de données à caractère personnel sans délai et au maximum vingt-quatre (24) heures après en avoir pris connaissance. Cette notification est accompagnée de toute documentation utile afin de permettre au Responsable de Traitement, si nécessaire, de notifier cette Violation à l’autorité de contrôle compétente.
Le Sous-Traitant met en place et maintient pendant toute la durée du Contrat, et obtient de chacun de ses Sous-Traitants qu’ils mettent en place et maintiennent pendant toute la durée du Contrat, un processus et des procédures de gestion des incidents de sécurité (y compris notamment des Violations de données à caractère personnel) et de gestion de la continuité des prestations conformes aux standards de l’industrie. Le Sous-Traitant communique au Responsable de Traitement le nom et les coordonnées de l’un de ses employés qui intervient comme principal interlocuteur du Responsable de Traitement en matière de sécurité et est disponible en cas de besoin 24h/24 et 7J/7 pour prendre en charge tout incident de sécurité. Toute demande du Responsable de Traitement relative à la sécurité doit être traitée avec diligence et de manière prioritaire par le Sous-Traitant.
Sans limitation des autres droits et recours du Responsable de Traitement, en cas d’incident de sécurité ou de Violation de données à caractère personnel avéré(e) ou présumé(e), le Sous-Traitant en avisera le Responsable de Traitement sans délai et au plus tard dans les 24 heures après la survenance de l’incident de sécurité ou de la Violation de données à caractère personnel.
Immédiatement après ladite notification, les Parties coordonneront leurs actions afin d’enquêter sur l’incident de sécurité concerné. Le Sous-Traitant s’engage à coopérer pleinement, à ses frais, avec le Responsable de Traitement afin de l’aider à gérer la situation, notamment, sans que cela ne soit limitatif :
- en l’aidant pour toute enquête ;
- en fournissant au Responsable de Traitement ou au tiers indépendant désigné par le Responsable de Traitement un accès physique aux installations et opérations concernées ;
- en organisant des entretiens avec les employés du Responsable de Traitement et toutes autres personnes appropriées ; et
- en fournissant tous les registres, journaux, dossiers, communications de données et autres documents pertinents nécessaires pour se conformer aux lois, réglementations et standards de l’industrie ou tels que requis par le Responsable de Traitement.
Le Sous-Traitant fournira également toute l’aide raisonnable nécessaire au Responsable de Traitement en cas de notification que ce dernier pourrait être contraint ou pourrait choisir de faire relativement à une violation de données à caractère personnel. Le Sous-Traitant s’engage à ne pas informer les tiers, y compris les Personnes Concernées, de toute Violation de données à caractère personnel sans avoir obtenu le consentement préalable et écrit du Responsable de Traitement, sauf dans les cas prévus par le Règlement européen sur la protection des données. Par ailleurs, le Sous-Traitant reconnaît que le Responsable de Traitement est seul habilité à déterminer :
- si la Violation de données à caractère personnel doit ou non être notifiée à toute personne, autorité de régulation, autorité administrative ou à toute autre personne en vertu du Règlement européen sur la protection des données ; et
- le contenu de ladite notification. Lorsque le Règlement européen sur la protection des données exige du Responsable de Traitement qu’il notifie la violation de données à caractère personnel aux Personnes Concernées, il est entendu que le Sous-Traitant supporte l’ensemble des coûts associés à ladite notification. Le Sous-Traitant prend les mesures appropriées, à ses frais, pour atténuer les conséquences de tout incident de sécurité et y remédier, et apporte toutes les modifications jugées nécessaires afin d’éviter que pareil Incident ne se reproduise. Le Sous-Traitant aide, à ses frais, le Responsable de Traitement à restaurer les données du Responsable de Traitement en cas de perte de données occasionnée par tout manquement à ses obligations au titre du Contrat.
Le Sous-Traitant coopère et fournit au Responsable de Traitement l’assistance nécessaire s’agissant de toute plainte formulée par une Personne Concernée ou de toute enquête ou requête émanant d’une autorité de régulation en vertu du Règlement européen sur la protection des données ou de toute autre réglementation applicable.
Le Sous-Traitant remboursera au Responsable de Traitement les coûts réellement encourus par celui-ci afin d’apporter une réponse à tout incident de sécurité et d’atténuer les dommages occasionnés par celui-ci, y compris, entre autres, le coût des enquêtes, des notifications et/ou des mesures correctives. Lorsque le Règlement européen sur la protection des données impose au Responsable de Traitement de notifier une Violation de données à caractère personnel, le Sous-Traitant prend en charge les frais liés à cette notification.
Il est de convention expresse entre les Parties qu’en cas de Violation de données à caractère personnel, les dommages suivants sont considérés comme directs :
- les frais raisonnables et nécessaires d’enquête et de remédiation ;
-les coûts raisonnables et nécessaires de notification lorsqu’un telle notification est requise par la réglementation applicable et
- les pénalités, dommages et intérêts, montants payés au titre de transaction, remboursements, compensation, et autres coûts liés au respect d’obligations résultant d’un jugement, d’une transaction ou de la réglementation applicable (les « Pertes ») dans la mesure où ces Pertes sont dues à un manquement du Sous-Traitant à ses obligations contractuelles.
- Le Sous-Traitant tient, et met à la disposition du Responsable de Traitement, un registre des incidents de sécurité y compris notamment des violations de données à caractère personnel et documente toute information pertinente concernant les circonstances de ces incidents et Violations, les dommages et les mesures correctives prises afin d’atténuer leurs effets, ainsi que les actions et mesures prises afin d’éviter toute répétition de pareils incidents ou Violations.

8. Aide du sous-traitant dans le cadre du respect par le responsable de traitement de ses obligations

Le Sous-Traitant collabore avec le Responsable de Traitement et met tout en œuvre pour aider le Responsable de Traitement à prouver qu’il respecte toute obligation législative ou réglementaire prévue notamment par le Règlement européen sur la protection des données.

9. Mesures de sécurité

Le Sous-Traitant reconnaît que la sécurité est un critère fondamental pour le Responsable de Traitement, et que le respect, par le Sous-Traitant, des exigences de sécurité définies dans les présentes constitue une obligation essentielle et déterminante du consentement du Responsable de Traitement au présent contrat.
Le Sous-Traitant doit tenir compte de la sensibilité des données du Responsable de Traitement et des risques auxquels celles-ci sont exposées pour définir les mesures de sécurité adéquates permettant de traiter ces risques et rendre les risques résiduels acceptables. Lorsque la prestation implique le Traitement de données à caractère personnelles, ces mesures tiennent compte des risques pour les Personnes Concernées générés par le Traitement.
Les mesures de sécurité mises en place par le Prestataire doivent, dans tous les cas, tenir compte de l’état de l’art technologique et être conformes aux standards de sécurité en vigueur.
Les mesures et dispositions de protection ne doivent en aucun cas être moins rigoureuses que celles mises en place par le Sous-Traitant pour ses propres données y compris ses données à caractère personnel et informations confidentielles et doivent dans tous les cas tenir compte des indications fournies par les autorités chargées de la protection des données à caractère personnel.
Le Sous-Traitant s’engage expressément à mettre en place toutes mesures visant à :
- garantir la confidentialité, l’intégrité, la disponibilité et la traçabilité des données du Responsable de Traitement et tenir à jour une documentation écrite décrivant les mesures de sécurité techniques et organisationnelles mises en œuvre à cet effet ;
- permettre la détection, la résolution et la notification dans les délais requis par le Règlement européen sur la protection des Données Personnelles des incidents de sécurité et Violations de données à caractère personnel.
- rétablir rapidement la disponibilité et l’accessibilité des données du Responsable de Traitement en cas d’incident de sécurité physique ou technique ;
- assurer le stockage des données du Responsable de Traitement séparément de ses propres données ou des données appartenant à d’autres clients ou prestataires,
- ne rendre les données du Responsable de Traitement traitées accessibles et lisibles que par le personnel habilité et autorisé à cet effet, du fait de son travail et de ses fonctions, en se limitant au minimum strictement nécessaire à l’accomplissement de leurs tâches. Le Sous-Traitant s’engage à fournir au Responsable de Traitement une liste des personnes habilitées et un journal des connexions en réponse à toute demande formulée par ce dernier, 
- veiller à ce que toute personne qu’il autorise à accéder aux données à caractère personnel traitées dans le cadre de l’exécution du Contrat soit tenue par une obligation de confidentialité aussi contraignante que celle figurant aux présentes et résultant d’un engagement écrit ou d’une obligation légale.

La liste des mesures, procédures et politiques de sécurité mises en place par le Sous-traitant figure au sein de notre PASQ (Plan Assurance Sécurité Qualité) accessible sur simple demande.
Toute modification majeure de ces mesures et politiques doit être documentée et présentée au Responsable de Traitement pour évaluation. Ces modifications ne doivent en aucune façon réduire le niveau de sécurité des prestations pendant la durée du Contrat.
Sans préjudice de la faculté du Responsable de Traitement d’effectuer lui-même ou faire effectuer en son nom et pour son compte, un audit, le Sous-Traitant doit contrôler régulièrement le caractère conforme et suffisant des mesures techniques et organisationnelles de sécurité mises en place et être en mesure de démontrer leur application et leur efficacité, ainsi que la conformité aux politiques de sécurité (la politique tiers et sa propre politique de sécurité) en soumettant ses systèmes d’information à des tests et audits réguliers effectués par des tiers indépendants. 
‍
Sur demande, le Sous-Traitant peut exposer une fois par an au Responsable de Traitement les résultats de ces tests et audits en produisant une copie du rapport de tests et d’audit.
Le Sous-Traitant s’engage à mettre en œuvre les mesures de sécurité suivantes : 
- le chiffrement des données à caractère personnel du Responsable de Traitement sur les divers environnements (test, pré-production, production) ;
- les mesures permettant de s’assurer que toute personne physique agissant sous l’autorité du Sous-Traitant qui accède à des données à caractère personnel du Responsable de Traitement ne puisse les traiter que conformément aux instructions écrites du Responsable de Traitement ;
- la purge des données à caractère personnel du Responsable de Traitement au-delà de la durée de rétention des données à caractère personnel prévue aux présentes ;
- un dispositif de détection des Violations des données à caractère personnel ;
- une traçabilité des connexions (logs de connexions) aux données à caractère personnel du Responsable de Traitement au cours des 2 derniers mois sauf accord contraire des Parties.

10. Sort des données

Au terme de la prestation de services relatifs au Traitement de ces données, le Sous-Traitant s’engage à :
- Détruire toutes les données à caractère personnel dans un délai maximal de trente (30) jours,
- À tout moment, sur demande écrite du Responsable de Traitement, et au plus tard dans les trente-cinq (35) jours calendaires suivant la fin du Contrat, le Sous-Traitant s’engage à retourner, sous une forme lisible ou interopérable convenue entre les Parties, les données à caractère personnel du Responsable de Traitement et à détruire toutes les copies (papier ou électronique) de données à caractère personnel du Responsable de Traitement qu’il pourrait détenir. Le Sous-Traitant devra sur demande attester de la destruction effective des données à caractère personnel du Responsable de Traitement dans les quinze (35) jours calendaires suivant la demande du Responsable de Traitement ou la fin du Contrat.
‍
Le Responsable de Traitement se réserve le droit de procéder à toute vérification qu’il estime nécessaire afin de confirmer l’exécution de ces obligations.
Cet article restera en vigueur après l’expiration ou la résiliation du Contrat pour quelque raison que ce soit.

11. Registre des catégories d'activités de Traitement

Le Sous-Traitant déclare tenir par écrit un registre de toutes les catégories d’activités de Traitement effectuées pour le compte du Responsable de Traitement comprenant :
- le nom et les coordonnées du Responsable de Traitement pour le compte duquel il agit, des éventuels Sous-Traitants et, le cas échéant, du délégué à la protection des données ;
- les catégories de Traitements effectués pour le compte du Responsable du Traitement;
- le cas échéant, les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, y compris l'identification de ce pays tiers ou de cette organisation internationale et, dans le cas des transferts visés à l'article 49, paragraphe 1, deuxième alinéa du Règlement européen sur la protection des données, les documents attestant de l'existence de garanties appropriées ;
- dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles, y compris entre autres, selon les besoins :
    a) le chiffrement des données à caractère personnel;
   b) des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de Traitement;
    c) des moyens permettant de rétablir la disponibilité des données à caractère personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique;
   d) une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du Traitement.

12. Documentation

Le Sous-Traitant met à la disposition du Responsable de Traitement la documentation nécessaire pour démontrer le respect de toutes ses obligations et pour permettre la réalisation d'audits, y compris des inspections, par le Responsable du Traitement ou un autre auditeur qu'il a mandaté, et contribuer à ces audits.

13. Audit

Pendant toute la durée du Contrat, le Responsable de Traitement pourra réaliser lui-même ou par l’intermédiaire d’un tiers indépendant à ses frais – sous réserve d’un préavis de quinze (15) jours ouvrés – des tests et audits de tout ou partie des prestations, y compris auprès des Sous-Traitants autorisés, afin de s’assurer du respect des stipulations du Contrat, en termes de :
-  conformité aux Politiques de Sécurité,
- qualité de service,
- maintien des mesures de sécurité appropriées, pour assurer notamment la protection de l’intégrité et de la confidentialité des données du Responsable de Traitement.

Lorsque les prestations impliquent le Traitement de données à caractère personnel, l’audit pourra également porter sur la vérification du Règlement européen sur la protection des données et sur la vérification :
- des lieux de Traitement et/ou de stockage des données à caractère personnel ;
- des transferts de données à caractère personnel en dehors l’Espace Économique Européen ;
- des mesures prises afin d’assurer la sécurité des données à caractère personnel et de lutter contre les Violations de données à caractère personnel.

Le Sous-Traitant s’engage à autoriser le Responsable de Traitement, ou les sociétés nommées par ce dernier auxquels est confié l’audit, à accéder aux informations nécessaires pour mener leur mission à bien et accéder aux sites où sont assurées les prestations. 
Le Sous-Traitant coopérera pleinement (et, s’agissant des Sous-Traitants et représentants, il veillera à ce que ces derniers coopèrent) avec le Responsable de Traitement et, selon le cas, les représentants de l’audit du Responsable de Traitement, y compris en leur donnant accès aux locaux, au personnel, aux environnements physiques et techniques, à l’équipement, aux logiciels, à la documentation, aux données, registres et systèmes relatifs aux prestations, et à toute information utile dans la mesure raisonnablement nécessaire pour réaliser l’audit.
Un rapport d’audit devra être adressé au Sous-Traitant.
Le Sous-Traitant autorise également le Responsable de Traitement à effectuer ou à faire effectuer des tests de sécurité pour vérifier que les systèmes du Sous-Traitant ne sont pas vulnérables (par exemple du fait d’un défaut de configuration ou d’un défaut de mise à jour) et détecter tout changement susceptible d’exposer les données à des risques d’intrusion. 
‍
Par ailleurs, le Responsable de Traitement peut procéder à toute investigation sur Internet permettant de détecter des Violations de données à caractère personnel avérées.
S’il s’avère suite aux mesures d’audit et de tests décrites ci-dessus que les mesures de sécurité mises en œuvre par le Sous-Traitant ne sont pas appropriées ou suffisantes, ou si ces audits ou tests révèlent certaines lacunes ou non-conformités aux exigences énoncées dans le présent Contrat et/ou aux exigences légales applicables et/ou aux standards en vigueur, le Sous-Traitant mettra en place des actions correctives dans des délais à convenir entre les Parties, et fonction de la gravité du manquement constaté, et ce, sans préjudice des droits supplémentaires du Responsable de Traitement de demander des dommages-intérêts et/ou de résilier le Contrat.

14. Obligations du Responsable de Traitement vis-à-vis du Sous-Traitant

Le Responsable de Traitement s’engage à :
1.  Fournir au Sous-Traitant les données visées aux présentes clauses
2. Documenter par écrit toute instruction concernant le Traitement des données par le Sous-Traitant
3. Veiller, au préalable et pendant toute la durée du Traitement, au respect des obligations prévues par le Règlement européen sur la protection des données de la part du Sous-Traitant
4. Superviser le Traitement, y compris réaliser les audits et les inspections auprès du Sous-Traitant.