Accord de traitement des données

Le présent accord de traitement des données (le « DPA ») fait partie des Conditions générales d'utilisation de Lumiday (le « Contrat ») conclues entre LUMIDAY, SAS au capital de 56 000 €, 38 rue des Mathurins, 75008 Paris, France, RCS Paris 108 184 516 (« Lumiday »), et le client ayant accepté le Contrat (le « Client »). Il s'applique automatiquement, sans signature, dès l'acceptation du Contrat par le Client. Un exemplaire contresigné est disponible sur demande à l'adresse {CONTACT_EMAIL}.

1. Définitions

• « Législation sur la protection des données » désigne le règlement (UE) 2016/679 (le « RGPD »), la loi n° 78-17 du 6 janvier 1978 (loi Informatique et Libertés) et toute autre législation sur la protection des données applicable au traitement des Données personnelles du Client dans le cadre du Contrat.
• « Données personnelles du Client » désigne les données personnelles traitées par Lumiday pour le compte du Client dans le cadre de la fourniture du Service. Elles comprennent les données personnelles contenues dans les contenus du Client, les outils connectés, les dépôts, les bases de données et les fichiers.
• « Sous-traitant ultérieur » désigne tout tiers auquel Lumiday fait appel pour traiter des Données personnelles du Client.
• « Violation de données personnelles » désigne une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de Données personnelles du Client ou l'accès non autorisé à celles-ci.
• « Clauses contractuelles types » ou « CCT » désigne les clauses contractuelles types adoptées par la décision d'exécution (UE) 2021/914 de la Commission du 4 juin 2021.
• Les termes tels que « responsable du traitement », « sous-traitant », « personne concernée », « traitement » et « autorité de contrôle » ont le sens que leur donne le RGPD.

2. Champ d'application et rôle des parties

2.1 Le présent DPA s'applique au traitement des Données personnelles du Client par Lumiday en qualité de sous-traitant pour le compte du Client.

2.2 Le Client agit en qualité de responsable du traitement, ou de sous-traitant pour le compte de ses propres clients ; dans ce dernier cas, Lumiday agit en qualité de sous-traitant ultérieur.

2.3 L'objet, la durée, la nature et la finalité du traitement, ainsi que les catégories de données et de personnes concernées, sont décrits à l'annexe I.

2.4 Le présent DPA ne s'applique pas aux données personnelles que Lumiday traite en qualité de responsable du traitement, telles que les données de compte, de facturation et du site web. Ces données sont régies par la Politique de confidentialité de Lumiday.

3. Obligations du Client

Le Client :

• est responsable de la licéité du traitement des Données personnelles du Client, notamment de l'existence d'une base légale valable et de l'information requise des personnes concernées ;
• garantit que ses instructions sont conformes à la Législation sur la protection des données ;
• est responsable des outils qu'il connecte et des autorisations qu'il accorde au Service ;
• s'interdit de soumettre des catégories particulières de données personnelles (article 9 du RGPD) ou des données relatives aux condamnations pénales (article 10 du RGPD), sauf si cela est strictement nécessaire à son utilisation du Service et que ces données sont protégées de manière adéquate.

4. Traitement sur instructions documentées

4.1 Lumiday ne traite les Données personnelles du Client que sur instructions documentées du Client, sauf obligation imposée par le droit de l'Union ou d'un État membre. Dans ce cas, Lumiday informe le Client de cette obligation juridique avant le traitement, sauf si la loi l'interdit.

4.2 Le Contrat, le présent DPA ainsi que l'utilisation et la configuration du Service par le Client, y compris les instructions données aux agents d'IA, constituent l'intégralité des instructions documentées du Client.

4.3 Lumiday informe immédiatement le Client si, selon elle, une instruction constitue une violation de la Législation sur la protection des données.

4.4 Lumiday ne vend pas les Données personnelles du Client. Lumiday ne les utilise pas pour ses propres finalités, notamment la publicité ou l'entraînement de modèles d'intelligence artificielle.

5. Confidentialité

Lumiday veille à ce que les personnes autorisées à traiter les Données personnelles du Client :

• se soient engagées à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité ;
• n'accèdent qu'aux données nécessaires à leurs missions.

6. Sécurité

6.1 Lumiday met en œuvre et maintient les mesures techniques et organisationnelles décrites à l'annexe II. Ces mesures garantissent un niveau de sécurité adapté au risque, conformément à l'article 32 du RGPD.

6.2 Lumiday peut faire évoluer ces mesures en fonction des évolutions technologiques, à condition que le niveau global de sécurité ne soit pas réduit.

7. Sous-traitants ultérieurs

7.1 Autorisation générale. Le Client accorde à Lumiday une autorisation générale de recourir à des Sous-traitants ultérieurs. Les Sous-traitants ultérieurs en place à la date du présent DPA sont listés à l'annexe III.

7.2 Modifications. Lumiday informe le Client de tout ajout ou remplacement envisagé d'un Sous-traitant ultérieur au moins trente (30) jours à l'avance, par e-mail ou dans la plateforme.

7.3 Opposition. Le Client peut s'opposer à la modification pour des motifs raisonnables liés à la protection des données dans ce délai. Les parties examinent alors l'opposition de bonne foi. À défaut de solution, le Client peut résilier sans pénalité la partie du Service concernée avant l'entrée en vigueur de la modification.

7.4 Répercussion des obligations. Lumiday impose à chaque Sous-traitant ultérieur, par contrat écrit, des obligations de protection des données offrant au moins le même niveau de protection que le présent DPA. Lumiday demeure pleinement responsable envers le Client de l'exécution des obligations de ses Sous-traitants ultérieurs.

7.5 Outils connectés par le Client. Les outils tiers que le Client choisit de connecter au Service, tels que son instance Odoo, Gmail, Slack ou ses dépôts GitHub, ne sont pas des Sous-traitants ultérieurs de Lumiday. Le Client y recourt directement, dans le cadre de ses propres contrats avec eux.

8. Transferts internationaux

8.1 Lumiday et ses Sous-traitants ultérieurs ne peuvent traiter des Données personnelles du Client en dehors de l'Espace économique européen que dans le respect du chapitre V du RGPD.

8.2 Ces transferts reposent sur une décision d'adéquation de la Commission européenne, y compris le cadre de protection des données UE–États-Unis (Data Privacy Framework) pour les destinataires certifiés, ou sur les Clauses contractuelles types conclues avec le destinataire.

8.3 Lorsque cela est requis, Lumiday réalise une analyse d'impact des transferts et met en œuvre des mesures supplémentaires.

8.4 Dans la mesure où Lumiday elle-même transfère des Données personnelles du Client hors de l'EEE, les CCT (module deux : de responsable du traitement à sous-traitant, ou module trois : de sous-traitant à sous-traitant, selon le cas) sont intégrées au présent DPA par référence, avec les options suivantes :

• la clause 7 (clause d'adhésion) s'applique ;
• au titre de la clause 9, l'option 2 (autorisation écrite générale) s'applique, avec le délai de préavis prévu à la section 7.2 ;
• la mention facultative de la clause 11 ne s'applique pas ;
• au titre des clauses 17 et 18, le droit applicable est le droit français et les juridictions compétentes sont les tribunaux de Paris, France ;
• les annexes I à III des CCT sont complétées par les annexes I à III du présent DPA.

9. Violation de données personnelles

9.1 Lumiday notifie le Client dans les meilleurs délais, et en tout état de cause dans un délai de quarante-huit (48) heures, après avoir pris connaissance d'une Violation de données personnelles affectant des Données personnelles du Client.

9.2 La notification décrit, dans la mesure où ces éléments sont connus :

• la nature de la violation, y compris les catégories et le nombre approximatif de personnes concernées et d'enregistrements concernés ;
• ses conséquences probables ;
• les mesures prises ou envisagées pour y remédier et en atténuer les effets ;
• un point de contact auprès duquel obtenir des informations complémentaires.

Lorsque toutes les informations ne sont pas disponibles en même temps, elles peuvent être communiquées de manière échelonnée.

9.3 Lumiday prend toutes les mesures raisonnables pour circonscrire la violation et en atténuer les effets. Elle aide le Client à respecter ses propres obligations de notification auprès des autorités de contrôle et des personnes concernées.

9.4 La notification d'une violation ne constitue pas une reconnaissance de faute ou de responsabilité de la part de Lumiday.

10. Assistance au Client

10.1 Demandes des personnes concernées. Compte tenu de la nature du traitement, Lumiday aide le Client, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes des personnes concernées exerçant leurs droits. Si Lumiday reçoit directement une telle demande, elle la transmet au Client dans les meilleurs délais et n'y répond pas elle-même, sauf autorisation du Client.

10.2 Autres formes d'assistance. Lumiday apporte une assistance raisonnable au Client :

• pour les analyses d'impact relatives à la protection des données et les consultations préalables des autorités de contrôle, compte tenu de la nature du traitement et des informations dont dispose Lumiday ;
• pour répondre aux demandes des autorités de contrôle concernant le traitement.

11. Restitution et suppression

11.1 À la fin du Contrat, ou lors de la suppression d'un projet, d'un espace de travail ou d'un compte par le Client, Lumiday supprime les Données personnelles du Client correspondantes dans un délai de trente (30) jours, sauf si le droit de l'Union ou d'un État membre en exige la conservation.

11.2 Avant la suppression, le Client peut exporter ses contenus et les Résultats dans les conditions prévues par les Conditions générales d'utilisation.

11.3 Les copies résiduelles figurant dans les sauvegardes sont écrasées dans un délai de trente (30) jours supplémentaires et restent protégées par le présent DPA jusqu'à cette date.

11.4 Lumiday confirme la suppression par écrit sur demande.

12. Audits

12.1 Lumiday met à la disposition du Client toutes les informations nécessaires pour démontrer le respect de l'article 28 du RGPD. Cela comprend, lorsqu'elles existent, sa documentation de sécurité et les certifications ou rapports d'audit de tiers.

12.2 Si ces informations sont insuffisantes, ou si une autorité de contrôle l'exige, le Client peut réaliser un audit, lui-même ou par l'intermédiaire d'un auditeur indépendant tenu à la confidentialité, dans les conditions suivantes :

• au plus une fois par an, sauf à la suite d'une Violation de données personnelles ;
• moyennant un préavis écrit d'au moins trente (30) jours ;
• pendant les heures ouvrées et sans perturber l'activité de Lumiday ;
• d'une manière qui ne compromet pas la sécurité ou la confidentialité des données des autres clients.

12.3 Chaque partie supporte ses propres frais liés à l'audit.

13. Responsabilité

La responsabilité de chaque partie au titre du présent DPA est soumise aux limitations et exclusions de responsabilité prévues par le Contrat, dans la mesure permise par la Législation sur la protection des données. Aucune disposition du présent DPA ne limite la responsabilité de l'une ou l'autre partie envers les personnes concernées au titre de l'article 82 du RGPD.

14. Durée et ordre de priorité

14.1 Le présent DPA reste en vigueur tant que Lumiday traite des Données personnelles du Client pour le compte du Client.

14.2 En cas de contradiction, l'ordre de priorité suivant s'applique :

1. les CCT, le cas échéant ;
2. le présent DPA ;
3. le Contrat.

15. Droit applicable et juridiction

Le présent DPA est régi par le droit français. Tout litige s'y rapportant relève de la compétence exclusive des tribunaux compétents de Paris, France.

Annexe I — Description du traitement

Parties

• Exportateur de données / responsable du traitement : le Client, tel qu'identifié dans son compte Lumiday. Contact : le titulaire du compte ou l'administrateur de l'espace de travail.
• Importateur de données / sous-traitant : LUMIDAY, 38 rue des Mathurins, 75008 Paris, France. Contact : {CONTACT_EMAIL}.

Catégories de personnes concernées

• Les utilisateurs du Service autorisés par le Client : salariés, prestataires et consultants.
• Les personnes dont les données figurent dans les systèmes, fichiers et outils connectés du Client. Il s'agit notamment des clients, prospects, fournisseurs, salariés et partenaires du Client et de leurs contacts.

Catégories de données personnelles

• Données d'identification et de contact : noms, adresses e-mail, numéros de téléphone, adresses postales, fonctions, noms d'entreprise.
• Données commerciales et transactionnelles : commandes, devis, factures, paiements, contrats, tickets et communications, tels qu'enregistrés dans l'ERP (Odoo) ou les outils connectés du Client.
• Contenus : contenus soumis au Service, tels que messages, instructions, fichiers, bases de données importées et code.
• Données techniques : identifiants utilisateur, journaux et données d'utilisation relatifs à l'utilisation du Service par le Client.
• Captures d'écran : captures et enregistrements des interfaces en cours de création, susceptibles d'afficher l'une quelconque des données ci-dessus.

Catégories particulières de données

Aucune n'est prévue. Le Client ne soumet pas de catégories particulières de données, sauf si cela est strictement nécessaire, conformément à la section 3.

Fréquence du traitement

Continue, pendant toute la durée du Contrat.

Nature du traitement

Le traitement consiste en :

• la collecte via les outils connectés et les fichiers importés ;
• l'hébergement et le stockage ;
• la structuration et l'analyse, y compris par des modèles d'IA ;
• la génération et la modification de logiciels, de configurations et de données ;
• les tests dans des environnements isolés ;
• la transmission vers les dépôts et environnements désignés par le Client ;
• la suppression.

Finalité du traitement

Fournir le Service au titre du Contrat : créer, connecter, modifier, tester et déployer les logiciels de gestion du Client à sa demande, ainsi que l'assistance, la sécurité et la maintenance associées.

Durée et conservation

Pendant toute la durée du Contrat, puis suppression conformément à la section 11.

Annexe II — Mesures de sécurité techniques et organisationnelles

1. Chiffrement.
   • Les données en transit sont chiffrées en TLS 1.2 ou version supérieure.
   • Les données au repos sont chiffrées, y compris les bases de données, le stockage de fichiers, les sauvegardes, les identifiants d'accès et les jetons OAuth des outils connectés.
2. Contrôle des accès.
   • Tout accès à la plateforme et à ses services est authentifié.
   • Des autorisations fondées sur les rôles s'appliquent au sein des espaces de travail.
   • Les jetons des connecteurs ne sont mis à disposition que de l'environnement du projet pour lequel ils ont été accordés.
   • L'accès à l'ERP du Client est limité aux droits de l'utilisateur connecté et s'effectue en lecture seule, sauf autorisation expresse de modification par le Client.
3. Isolation. Chaque projet s'exécute dans un environnement d'exécution dédié et isolé, avec ses propres identifiants et son propre stockage, logiquement séparé des autres clients.
4. Accès du personnel.
   • Les accès sont accordés selon les principes du moindre privilège et du besoin d'en connaître.
   • L'authentification multifacteur est obligatoire sur les comptes d'administration et d'infrastructure.
   • Les accès sont journalisés et revus périodiquement.
   • Les accès sont révoqués sans délai lorsqu'ils ne sont plus nécessaires.
5. Confidentialité. L'ensemble du personnel et des prestataires ayant accès aux Données personnelles du Client est soumis à des obligations de confidentialité et reçoit une sensibilisation à la protection des données.
6. Développement sécurisé.
   • Une revue de code et des tests automatisés sont réalisés avant chaque mise en production.
   • Les secrets sont gérés en dehors du code source.
   • Les dépendances sont mises à jour régulièrement et les vulnérabilités sont gérées.
7. Disponibilité et résilience. Les données du Client sont hébergées auprès de prestataires disposant de certifications reconnues (telles que ISO 27001 ou SOC 2), avec des sauvegardes régulières et des procédures de restauration documentées.
8. Journalisation et surveillance. Les événements pertinents pour la sécurité sont journalisés et surveillés ; les journaux sont conservés 12 mois.
9. Gestion des incidents. Une procédure documentée de réponse aux incidents couvre la détection, le confinement, l'évaluation, la notification dans les délais prévus à la section 9 et l'analyse post-incident.
10. Gestion des sous-traitants ultérieurs. Les Sous-traitants ultérieurs sont évalués avant d'être retenus et sont tenus par des obligations écrites de protection des données.
11. Minimisation et suppression des données.
    • Seules les données nécessaires à chaque demande sont transmises aux modèles d'IA.
    • Les données sont supprimées selon les durées de conservation de la Politique de confidentialité et de la section 11.
12. Fournisseurs d'IA. Les fournisseurs de modèles d'IA traitent les données dans le cadre de conditions commerciales interdisant leur utilisation pour entraîner leurs modèles.

Annexe III — Sous-traitants ultérieurs autorisés

Les transferts vers des Sous-traitants ultérieurs situés aux États-Unis sont régis par la section 8.