Accord de sous-traitance

Application et parties

Le présent accord de sous-traitance (DPA) s’applique lorsqu’un contrat de services écrit ou électronique l’incorpore expressément. Il lie le client identifié dans ce contrat (le Client) et Enigma Labs OÜ, code de registre 17166408, dont l’adresse est Juhkentali tn 8, Kesklinna linnaosa, Tallinn, Harju maakond, 10132, Estonie (Enigma). Consulter cette page ou envoyer une demande ne vaut pas conclusion du présent DPA.

Le présent DPA régit les données personnelles qu’Enigma traite pour le compte du Client afin de fournir les services convenus (les Données du Client). Le Client est le responsable du traitement, ou un sous-traitant autorisé par son responsable du traitement à désigner Enigma comme sous-traitant ultérieur. Dans ce dernier cas, les références aux instructions et choix du Client désignent ceux qu’il est autorisé à donner pour le compte du responsable du traitement. Les activités réelles de chaque partie déterminent son rôle juridique.

Le contrat de services, le périmètre de travail convenu et les instructions de traitement documentées constituent le Dossier de mission et sont incorporés au présent DPA. Ils identifient le Client et son contact, les services, les systèmes autorisés et les caractéristiques des traitements. Les parties doivent préciser tout traitement insuffisamment défini avant son commencement. Les traitements qu’Enigma effectue de manière indépendante pour les contacts professionnels, la facturation et les demandes sont décrits dans la notice de confidentialité.

Description des traitements

L’objet est le traitement des Données du Client nécessaire aux services technologiques, de sécurité ou d’assistance précisés dans le Dossier de mission. Le traitement dure pendant la période de service convenue et toute période limitée nécessaire à une restitution, un effacement ou une conservation obligatoire licites au titre du présent DPA.

Le traitement peut comprendre la réception, l’accès, l’organisation, le stockage, l’examen, l’analyse, la rectification, la transmission, l’extraction et l’effacement des Données du Client, uniquement dans la mesure nécessaire au travail et à l’assistance convenus. Sa fréquence dépend de la mission : ponctuelle pour une tâche distincte ou continue pour un service récurrent.

Les personnes concernées autorisées sont les membres du personnel, prestataires, contacts professionnels, clients et utilisateurs du Client dont les informations sont pertinentes pour le travail convenu. Les données ordinaires peuvent comprendre les noms, coordonnées professionnelles, fonctions, identifiants de compte, correspondances, dossiers de service, identifiants d’appareil et de réseau, journaux de sécurité et contenus pertinents des systèmes clients autorisés. Le Dossier de mission limite ces catégories à celles nécessaires au service effectivement fourni ; cette description n’autorise pas l’accès à des systèmes ou dossiers sans rapport avec celui-ci.

Les catégories particulières de données ou données sensibles, les informations relatives aux infractions pénales, les données d’enfants, les dossiers de santé, les données de cartes de paiement et les autres informations réglementées nécessitent, avant leur fourniture ou leur consultation, un accord écrit explicite sur leurs catégories, leur finalité, les modalités de traitement licites et les garanties supplémentaires. Lorsqu’un instrument sectoriel est requis, tel qu’un accord avec un partenaire commercial au sens de la loi HIPAA (« business associate agreement »), celui-ci doit également être conclu au préalable. Le présent DPA ne suffit pas, à lui seul, à autoriser le traitement de tout ensemble de données réglementé.

Instructions et utilisations autorisées

Le Client détermine les finalités licites, les personnes concernées, les catégories de données et le périmètre du traitement, donne des instructions documentées et fournit les informations, autorisations et habilitations du responsable du traitement qui lui incombent. Il doit limiter l’accès et la divulgation aux informations nécessaires aux services et informer Enigma des restrictions particulières applicables.

Enigma traite les Données du Client uniquement sur instructions documentées, y compris celles concernant la divulgation et les traitements internationaux. Toute dérogation imposée par la loi est limitée à ce qu’autorise le régime de protection des données applicable : pour les traitements soumis au RGPD, une exigence du droit de l’Union ou d’un État membre ; pour ceux soumis au RGPD britannique, une exigence du droit britannique. Enigma informe le Client avant ce traitement, sauf si le droit applicable interdit cette information pour des motifs importants d’intérêt public. Enigma informe immédiatement le Client si une instruction lui paraît illicite, suspend l’activité concernée pendant la résolution du problème et n’exécute pas sciemment une instruction illicite.

Enigma ne vend ni ne partage les Données du Client (au sens de ces termes dans le CCPA), ne les utilise pas pour sa propre prospection ou de la publicité ciblée et ne les utilise pas pour entraîner ou affiner des modèles d’IA à usage général. Le traitement des Données du Client assisté par IA nécessite des instructions couvrant cet usage et l’approbation de tout sous-traitant ultérieur concerné. Enigma ne conserve, n’utilise ou ne divulgue pas les Données du Client en dehors des finalités de service spécifiées ou de la relation commerciale directe, et ne les combine pas avec des informations d’autres clients ou de ses propres sources, sauf lorsque le droit applicable autorise ce traitement dans son rôle de sous-traitant ou de prestataire de services. Enigma assure le niveau de protection requis par le droit applicable et certifie comprendre et respecter ces restrictions.

Confidentialité et sécurité

Enigma veille à ce que le personnel ayant accès aux données soit soumis à des obligations de confidentialité ou à une obligation légale équivalente, reçoive des instructions appropriées en matière de protection des données et de sécurité et traite les Données du Client uniquement dans les limites de ses autorisations. L’accès est limité aux besoins opérationnels, revu et supprimé lorsqu’il n’est plus nécessaire. L’authentification multifacteur est obligatoire pour l’accès aux données personnelles des clients.

Enigma met en œuvre et maintient des mesures adaptées à la nature, au contexte, aux finalités et aux risques du traitement, notamment :

le contrôle des accès utilisateurs et administrateurs, le principe du moindre privilège et la séparation des environnements ou dossiers clients ;
la protection des transmissions, un chiffrement ou une pseudonymisation appropriés des informations stockées, et la gestion contrôlée des identifiants d’accès et des clés ;
la configuration sécurisée, la gestion des vulnérabilités et des correctifs, ainsi que la journalisation et l’analyse des accès et événements de sécurité pertinents ;
des mesures de confidentialité, d’intégrité, de disponibilité et de résilience, avec des modalités et tests de reprise adaptés au service ;
la réponse aux incidents, la restitution et la destruction sécurisées, ainsi que l’évaluation régulière de l’efficacité des mesures.

Enigma fournit au Client une description des mesures applicables au service convenu avant le début du traitement et sur demande raisonnable. Les garanties supplémentaires convenues dans le Dossier de mission sont contraignantes. Les modifications ne doivent pas réduire sensiblement la protection requise pour ce traitement. Le présent DPA ne promet aucune certification, aucun lieu d’hébergement particulier ni aucun niveau de disponibilité du service.

Assistance et incidents

Compte tenu du traitement et des informations disponibles, Enigma aide le Client à répondre aux demandes d’exercice des droits des personnes, à respecter ses obligations de sécurité et de notification des violations, à réaliser les analyses d’impact relatives à la protection des données et à mener les consultations requises auprès des autorités de contrôle. Enigma transmet rapidement les demandes concernant les Données du Client et n’y répond pas de manière indépendante, sauf sur instructions ou si la loi l’exige. L’assistance doit permettre au Client de respecter les délais applicables.

Enigma informe le Client sans retard injustifié après avoir pris connaissance d’une violation de données personnelles affectant les Données du Client, en utilisant le contact chargé de la confidentialité ou des incidents désigné par le Client dans le Dossier de mission. La notification décrit, à mesure que les informations sont disponibles, l’incident, les données et personnes affectées, les conséquences probables, les mesures prises ou proposées et un contact pour le suivi. Enigma fournit les informations par étapes si nécessaire, préserve les éléments de preuve pertinents, enquête et coopère pour contenir l’incident et y remédier. Une enquête incomplète ne retarde pas la notification initiale. Enigma n’informe pas les personnes affectées ou une autorité de contrôle pour le compte du Client sans instructions, sauf si la loi l’exige.

Sous-traitants ultérieurs

Enigma ne peut désigner une autre organisation, y compris une autre société du groupe Enigma, pour traiter les Données du Client qu’avec l’autorisation écrite préalable du Client. Avant de solliciter cette autorisation, Enigma fournit l’identité de l’organisation, sa fonction dans le traitement, les lieux concernés et les garanties. Aucune organisation n’est autorisée du seul fait qu’elle figure dans la notice de confidentialité du site ou fournit des services à une autre société Enigma.

Sauf si le Dossier de mission accorde expressément une autorisation écrite générale et précise une liste convenue, l’autorisation est spécifique à chaque sous-traitant ultérieur. Lorsqu’une autorisation générale est convenue, Enigma donne un préavis écrit d’au moins 30 jours pour les ajouts ou remplacements et la possibilité de s’y opposer pour des motifs raisonnables liés à la protection des données. Enigma ne fait pas appel au sous-traitant ultérieur proposé pour les Données du Client concernées tant qu’une opposition formulée dans les délais reste non résolue. Les parties conviennent d’une solution conforme ou mettent fin au traitement concerné si aucune solution appropriée n’est disponible.

Enigma lie chaque sous-traitant ultérieur autorisé par un accord écrit imposant les obligations de protection des données requises pour son travail, évalue les garanties qu’il fournit et reste responsable de son exécution à l’égard du Client. Enigma tient à jour la liste des sous-traitants autorisés, la fournit sur demande et informe le Client des manquements importants affectant les Données du Client. Lorsque le Client est lui-même sous-traitant, les exigences d’autorisation de son responsable du traitement s’appliquent également.

Lieux et transferts internationaux

Enigma traite les Données du Client uniquement dans les lieux autorisés dans le Dossier de mission, y compris les lieux d’accès à distance et de traitement des sous-traitants ultérieurs. Un lieu mentionné pour les demandes du site n’est pas automatiquement autorisé pour les données traitées dans le cadre des services aux clients.

Avant un transfert soumis à restriction, les parties doivent s’assurer que le mécanisme licite applicable couvre l’exportateur, l’importateur, les données, la finalité et les traitements ultérieurs. Lorsque des clauses contractuelles de transfert sont nécessaires, les parties concluent les clauses officielles appropriées, avec les annexes complétées et les mesures supplémentaires requises, avant le début du transfert. Les évaluations de transfert applicables et les garanties continues doivent être maintenues. Enigma informe le Client si elle ne peut plus satisfaire à ces exigences et suspend le transfert concerné jusqu’à ce qu’une solution licite soit disponible.

Le présent DPA ne constitue pas, à lui seul, un instrument de transfert international et n’affirme pas que des clauses types de transfert de l’UE, du Royaume-Uni, du DIFC ou d’un autre régime ont été conclues. Les clauses de transfert impératives prévalent sur les stipulations incompatibles. Enigma transmet au Client les demandes de divulgation juridiquement contraignantes concernant les Données du Client lorsque cela est autorisé, évalue leur validité, les conteste lorsque cela est juridiquement justifié et ne divulgue que ce qu’elle est légalement tenue de divulguer.

Informations et audits

Enigma met à disposition les informations nécessaires pour démontrer la conformité et permet les audits et inspections réalisés par le Client ou son auditeur indépendant, et y contribue. Des modalités raisonnables de confidentialité, de préavis et de sécurité peuvent protéger les autres clients et systèmes, mais ne doivent pas empêcher un audit effectif, une enquête urgente ou l’accès d’une autorité de contrôle. Les rapports d’assurance indépendants existants peuvent faciliter un examen, mais ne remplacent pas les droits d’audit imposés par la loi.

Enigma informe rapidement le Client si elle ne peut plus respecter le présent DPA ou les exigences applicables aux sous-traitants. Le Client peut prendre des mesures raisonnables pour vérifier, arrêter et corriger une utilisation non autorisée et peut suspendre les traitements concernés. Une non-conformité importante ou persistante à laquelle il ne peut être remédié permet au Client de mettre fin au traitement concerné, sans limiter les recours impératifs.

Restitution et effacement

Au choix du Client, Enigma restitue ou efface les Données du Client sans retard injustifié à la fin des services ou sur instruction licite, et efface les copies restantes, sauf si leur conservation est imposée par le droit reconnu à cette fin dans le régime de protection des données applicable, notamment le droit de l’Union ou d’un État membre pour les traitements soumis au RGPD, et le droit britannique pour les traitements soumis au RGPD britannique. Enigma aide à une restitution sécurisée dans un format raisonnablement exploitable et confirme l’exécution sur demande. L’obligation s’étend aux sous-traitants ultérieurs autorisés et aux copies de sauvegarde ; les durées générales de conservation du site ne prévalent pas sur les instructions du Client ou le droit applicable.

Lorsque des dispositions techniques légalement autorisées nécessitent un cycle limité d’effacement des sauvegardes, ce cycle et ses garanties doivent être convenus par écrit. Les copies résiduelles doivent rester isolées de l’usage courant, protégées et effacées selon ce cycle, les suppressions étant réappliquées avant toute remise en usage des données restaurées. Un cycle de sauvegarde ne prolonge pas un délai légal d’effacement. Lorsque la loi impose une conservation, Enigma identifie cette exigence lorsque cela est autorisé, ne conserve que les informations nécessaires à son respect et continue de les protéger jusqu’à leur effacement. Le présent DPA reste applicable tant qu’Enigma détient des Données du Client.

Droit applicable et ordre de priorité

Le droit applicable à la protection des données comprend le RGPD de l’UE et le droit estonien, ainsi que les autres règles impératives de confidentialité ou sectorielles dans la mesure où elles régissent le traitement. Le présent DPA n’écarte pas les protections prévues par le droit britannique, celui du DIFC, des États des États-Unis ou tout autre droit applicable. Les termes tels que responsable du traitement, sous-traitant, données personnelles et violation ont le sens que leur donne le droit concerné.

Le droit estonien régit le présent DPA et les tribunaux estoniens compétents ont compétence, sous réserve du droit impératif et du droit et de la compétence distincts prévus par les clauses de transfert requises. En cas de conflit concernant les Données du Client, le droit impératif et les clauses de transfert applicables prévalent, puis le présent DPA sur les conditions générales de service. Un avenant de traitement convenu séparément peut apporter des protections plus précises sans réduire les exigences impératives. Les stipulations contractuelles ne peuvent supprimer les droits légaux d’une personne ou d’une autorité de contrôle, ni les responsabilités qui ne peuvent être légalement limitées.

Contact et versions

Coordination de la confidentialité et des incidents : privacy@getenigmalabs.com. Délégué à la protection des données : dpo@enigmalabs.ee. Assistance : support@getenigmalabs.com.

La version incorporée au contrat de services s’applique à cette mission. Une mise à jour ultérieure du site ne modifie pas automatiquement un DPA existant. Les modifications nécessitent un accord écrit ou un autre mécanisme de modification valide prévu dans le contrat de services qui préserve les protections impératives. La migration du domaine ne transfère pas les contrats signés existants ou les responsabilités historiques.