ENTRE :

Le Client, tel que défini dans les Conditions Générales de Service et identifié lors de la création de son compte, ci-après « le Responsable de Traitement »,

ET :

QHSE CONCEPT, ci-après dénommé « le Sous-Traitant »
EURL au capital de 5 000 €
Siège social : VILLAGE D'ENTREPRISES, ZA ROZIER COREN, 15100 COREN
SIRET : 501 876 585 00016
Représentée par : Marie-Amandine SIQUIER, Dirigeant
Email : support.ai@qhse-concept.fr

IL A ÉTÉ CONVENU CE QUI SUIT :

1. OBJET ET DÉFINITIONS

Le présent avenant définit les conditions dans lesquelles QHSE CONCEPT, éditrice de la Solution QHSE.ai (ci-après « le Sous-Traitant ») traite les données à caractère personnel pour le compte du Client (ci-après « le Responsable de Traitement »), dans le cadre de l'utilisation de la Solution QHSE.ai conformément aux Conditions Générales de Service.

Aux fins des présentes, les termes et expressions ci-après, employés avec une majuscule, auront la signification suivante :

Données Client : les données personnelles traitées par le Sous-Traitant pour le compte du Client au moyen de la Solution ;

Sous-traitant ultérieur : tout tiers engagé par le Sous-Traitant pour exécuter une opération de traitement portant sur les Données Client ;

Responsable de Traitement : Le Responsable de Traitement, personne morale qui détermine les finalités et les moyens du traitement des données à caractère personnel.

Sous-Traitant : QHSE.ai, qui traite les données à caractère personnel pour le compte du Responsable de Traitement.

Données à caractère personnel : toute information se rapportant à une personne physique identifiée ou identifiable, traitée via la Solution.

Les termes « données à caractère personnel », « traitement », « personne concernée », « violation de données à caractère personnel » et « autorité de contrôle » ont le sens défini par le RGPD. 

Les termes et expressions commençant par une majuscule et non définis dans les présentes ont la signification qui leur est attribuée aux Conditions Générales auxquelles les présentes renvoient.

2. OBJET, DURÉE, NATURE ET FINALITÉS DU TRAITEMENT

Le Sous-Traitant ne traite les Données Client que pendant la durée du Contrat, augmentée de la période strictement nécessaire à leur restitution, à leur suppression et, le cas échéant, au respect d’une obligation légale. La nature, les finalités, les catégories de données, les personnes concernées, les durées de conservation et les opérations autorisées figurent à l’Annexe 1, laquelle fait partie intégrante du DPA. 

Le Responsable de Traitement détermine les finalités et moyens essentiels du traitement. Il garantit que ses instructions, la collecte des données et l’utilisation de la Solution reposent sur une base juridique valable et respectent les obligations d’information applicables. Le Responsable de Traitement veille également à ne confier au Sous-Traitant que les données nécessaires et, sauf accord écrit contraire, à ne pas saisir de données dont le traitement est interdit ou soumis à des exigences particulières non couvertes par l’Annexe 1. 

3. INSTRUCTIONS DOCUMENTÉES ET DEVOIR D’ALERTE 

Le Sous-Traitant traite les Données Client uniquement sur instruction documentée du Responsable de Traitement. Les CGS, le présent DPA, les paramètres configurés par les utilisateurs autorisés ainsi que les demandes écrites conformes au périmètre des Services constituent les instructions du Responsable de Traitement. 

Si le Sous-Traitant estime qu’une instruction enfreint la réglementation applicable, il en informe sans délai le Responsable de Traitement et peut suspendre l’instruction concernée jusqu’à sa modification ou à la confirmation documentée de sa licéité, sans suspendre les traitements non affectés. 

Le Sous-Traitant n’utilise pas les Données Client pour ses propres finalités, notamment pour entraîner ou améliorer un modèle d’intelligence artificielle à usage général, sauf instruction écrite, spécifique et licite du Client. Il peut néanmoins produire des données agrégées ou anonymisées afin d’améliorer la qualité des Services et de la Solution. 

4. CONFIDENTIALITÉ ET PERSONNES AUTORISÉES 

Le Sous-Traitant limite l’accès aux Données Client aux personnes qui en ont besoin pour fournir, maintenir, sécuriser ou assister la Solution. Il veille à ce que ces personnes soient soumises à une obligation de confidentialité appropriée, reçoivent une sensibilisation adaptée et ne traitent les données que conformément aux instructions applicables. 

5. SÉCURITÉ DU TRAITEMENT 

Compte tenu de l’état des connaissances, des coûts de mise en œuvre, ainsi que de la nature, de la portée, du contexte, des finalités et des risques du traitement, le Sous-Traitant met en œuvre les mesures techniques et organisationnelles appropriées. Ces mesures visent notamment à préserver la confidentialité, l’intégrité, la disponibilité et la résilience des systèmes, à restaurer la disponibilité des données dans des délais appropriés et à évaluer régulièrement l’efficacité des contrôles. 

Le Sous-Traitant peut faire évoluer ces mesures afin de tenir compte de l’état de l’art, sous réserve de ne pas réduire substantiellement le niveau global de sécurité. Il assure une traçabilité proportionnée des accès et événements de sécurité.

6. ASSISTANCE AU CLIENT ET DROITS DES PERSONNES 

Compte tenu de la nature du traitement, le Sous-Traitant aide le Responsable de Traitement, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes d’exercice des droits. Lorsqu’il reçoit directement une demande relative aux Données Client, il la transmet au Client sans délai indu, n’y répond pas sauf instruction ou obligation légale, et communique les informations raisonnablement nécessaires. Sous réserve de la complexité de la demande, cette assistance intervient au plus tard dans les cinq jours ouvrés suivant la demande du Client.

Le Sous-Traitant fournit également une assistance raisonnable pour la sécurité, la notification des violations, les analyses d’impact, les consultations préalables et la démonstration de conformité. Lorsque cette assistance excède les fonctionnalités usuelles ou résulte d’un manquement du Client, elle peut faire l’objet d’une facturation raisonnable préalablement portée à sa connaissance. 

7. VIOLATIONS DE DONNÉES PERSONNELLES 

Le Sous-Traitant notifie au Client toute violation de Données Client sans délai indu après en avoir pris connaissance et, lorsque cela est raisonnablement possible, dans un délai maximal de quarante-huit heures. La notification décrit, selon les informations disponibles, la nature de la violation, les catégories de personnes et de données concernées, les conséquences probables, les mesures prises ou proposées et le point de contact utile. Si toutes les informations ne sont pas immédiatement disponibles, elles sont communiquées de manière échelonnée sans retard injustifié.

Le Sous-Traitant prend sans délai les mesures raisonnables de confinement, de remédiation et de prévention. La notification ne vaut pas reconnaissance de faute ou de responsabilité. Le Responsable de Traitement demeure responsable des notifications à l’autorité de contrôle et, le cas échéant, aux personnes concernées, tandis que le Sous-Traitant lui apporte l’assistance requise. 

8. SOUS-TRAITANTS ULTÉRIEURS 

Le Responsable de Traitement accorde au Sous-Traitant une autorisation générale de recourir à des sous-traitants ultérieurs. La liste en vigueur, comprenant leur identité, leur localisation et la finalité du traitement, est accessible à l’adresse suivante : Liste des sous-traitants – QHSE.ai

Le Sous-Traitant impose à chaque Sous-traitant ultérieur, par contrat écrit, des obligations de protection des données substantiellement équivalentes à celles du présent DPA, dans la mesure applicable aux prestations confiées. Il demeure responsable envers le Responsable de Traitement de l’exécution des obligations de ses Sous-traitants ultérieurs conformément à l’article 28 du RGPD. 

Le Sous-Traitant met à la disposition du Responsable de Traitement un système de notification pour lui permettre d’être informé de tout ajout ou remplacement au moins trente jours avant sa prise d’effet. Toutefois, lorsqu’il s’agit d’un Fournisseur de modèle d’IA à usage général, ce délai est ramené à quinze jours, compte tenu de l’obsolescence rapide de ces modèles et de l’intérêt légitime du Sous-Traitant à sélectionner et fournir le modèle le plus performant pour l’exécution des tâches de la Solution. Cette faculté ne réduit ni les obligations de sécurité et de confidentialité, ni les exigences applicables aux transferts internationaux. 

Le Responsable de Traitement peut s’opposer au changement, dans les dix jours calendaires suivant la notification, pour un motif raisonnable et documenté tenant à la protection des Données Client. À défaut d’opposition dans ce délai, le changement est réputé accepté. En cas d’opposition recevable, les Parties recherchent de bonne foi une solution raisonnable, telle qu’une configuration alternative ou l’absence de recours au Sous-traitant concerné. Si aucune solution n’est techniquement et/ou économiquement raisonnable, chacune des Parties pourra résilier l’abonnement à la Solution. En cas d’urgence nécessaire pour préserver la sécurité ou la continuité des Services, le Sous-Traitant peut engager provisoirement un Sous-traitant et en informe le Responsable de Traitement dans les meilleurs délais, tout en appliquant les garanties du présent article. 

9. TRANSFERTS INTERNATIONAUX 

Tout transfert hors de l’Espace économique européen est réalisé conformément au chapitre V du RGPD. À cet égard, le Sous-Traitant s’appuie, selon le cas, sur une décision d’adéquation, les clauses contractuelles types adoptées par la Commission européenne, des règles d’entreprise contraignantes ou tout autre mécanisme valable. 

Lorsque des clauses contractuelles types sont requises, le module correspondant aux rôles des Parties est réputé incorporé au DPA et complété par les informations des annexes, sous réserve de la signature ou de l’adhésion requise. Le Sous-Traitant évalue, avec l’assistance raisonnable des importateurs concernés, si le droit et les pratiques du pays tiers compromettent les garanties contractuelles et met en œuvre, si nécessaire, des mesures supplémentaires. Il met à disposition du Client, sur demande raisonnable, les informations utiles sous réserve de la confidentialité et de la sécurité. 

10. DEMANDES D’AUTORITÉS PUBLIQUES 

Sauf interdiction légale, le Sous-Traitant informe sans délai le Responsable de Traitement de toute demande contraignante d’une autorité publique portant sur les Données Client. Il vérifie la régularité et la portée de la demande, la conteste lorsqu’il existe des motifs raisonnables de le faire, et ne communique que les données strictement requises. Il documente les demandes reçues dans la mesure permise par la loi. 

11. DÉLÉGUÉ À LA PROTECTION DES DONNÉES

Le Sous-Traitant a désigné un délégué à la protection des données qui peut être contacté à l’adresse suivante : dpo.ai@qhse-concept.fr

12. REGISTRE ET DOCUMENTATION 

Le Sous-Traitant tient un registre des catégories d’activités de traitement réalisées pour le compte de ses clients, conformément à l’article 30, paragraphe 2, du RGPD. Il conserve la documentation nécessaire pour démontrer le respect du présent DPA et la met à la disposition du Client sur demande à l’adresse : dpo.ai@qhse-concept.fr et de l’autorité de contrôle dans les conditions prévues par la réglementation applicable. 

13. AUDITS 

Le Sous-Traitant permet au Responsable de Traitement de vérifier sa conformité au moyen, en priorité, de rapports d’audit indépendants, certifications, questionnaires de sécurité et documents pertinents. Si ces éléments sont insuffisants au regard d’un risque identifié ou d’un incident, le Responsable de Traitement peut réaliser, au maximum une fois par période de douze mois glissants, un audit complémentaire pendant les heures ouvrées, moyennant un préavis d’au moins trente jours.

L’audit est conduit par le Responsable de Traitement ou un auditeur indépendant non concurrent du Sous-Traitant, soumis à confidentialité, sans accès aux données d’autres clients, aux secrets protégés ni aux systèmes au-delà de ce qui est nécessaire. Il ne doit pas compromettre la sécurité ou la continuité des Services. Le Responsable de Traitement supporte intégralement les coûts associés, sauf si l’audit révèle un manquement substantiel du Sous-Traitant, auquel cas le Sous-Traitant prend en charge les coûts raisonnables directement liés à la vérification de ce manquement. 

14. PROTECTION DES DONNÉES DÈS LA CONCEPTION ET PAR DÉFAUT 

Le Sous-Traitant intègre les principes de minimisation, de limitation de la conservation, de sécurité et de maîtrise des accès dans la conception et l’exploitation de la Solution. Il met à disposition des réglages et fonctionnalités raisonnables permettant au Client de configurer le traitement conformément à ses besoins. Lorsque la prestation implique des décisions automatisées ou du profilage, les conditions et garanties correspondantes doivent être décrites à l’Annexe 1. 

15. RESTITUTION ET SUPPRESSION 

À la cessation des Services, le Client peut obtenir un export des Données Client dans un format structuré, couramment utilisé et lisible par machine en en faisant la demande à QHSE.ai. dans un délai de trente (30) jours à compter de la demande ou de la date d’effet de la cessation, sauf délai différent prévu dans les CGS.

Après cette restitution ou l’expiration de la période d’export convenue, le Sous-Traitant supprime les Données Client de ses environnements actifs, puis de ses sauvegardes selon son cycle de rétention, dans le délai indiqué à l’Annexe 1, sauf obligation légale de conservation. 

16. DURÉE, SURVIE ET DISPOSITIONS FINALES 

Le DPA prend effet à compter de la création du compte du Client sur la Solution et demeure applicable tant que le Sous-Traitant traite des Données Client. Les obligations qui, par leur nature, doivent survivre à la cessation restent en vigueur jusqu’à leur complète exécution. 

Toute modification du DPA doit être écrite. Toutefois, le Sous-Traitant peut mettre à jour les annexes pour refléter une évolution non substantielle des Services, sous réserve d’en informer le Responsable de Traitement et de ne pas réduire le niveau de protection. Si une stipulation est invalide, elle est remplacée par une stipulation valide d’effet aussi proche que possible, sans affecter le reste du DPA. 

Signature

Le présent Avenant de sous-traitance constitue l’Annexe 4 des Conditions Générales de Service. Il est accepté par le Client lors de la souscription, en même temps que les CGS (art. I.1 et I.4), et s’applique dès la création du compte.

Une version signée électroniquement peut être obtenue sur demande à l’adresse dpo.ai@qhse-concept.fr.