Accord de traitement des données

Quand cet accord s'applique

Le présent accord explique comment Verbrio protège les données personnelles qu'il traite pour ses clients professionnels. Il fait partie des Conditions générales de Verbrio et de toute commande applicable.

Un accord de traitement des données applicable accompagne le périmètre signé lorsque Verbrio traite des données personnelles sur instruction du client. L'implémentation, la migration, la reconstruction documentaire et l'exploitation continue peuvent chacune créer des modalités de traitement différentes. Une solution hébergée par le client nécessite également la consignation des accès et responsabilités réels.

Le présent accord de traitement des données est conclu entre Verbrio B.V., sise à Hoedemakerplein 2, 7511 JP Enschede, Pays-Bas, immatriculée auprès de la Chambre de commerce néerlandaise sous le numéro 96023325 et identifiée à la TVA sous le numéro NL867435276B01 (Verbrio), et l'entreprise qui accepte les Conditions générales de Verbrio ou passe une commande auprès de Verbrio (Client). Il s'applique lorsque Verbrio traite des données personnelles pour le compte du Client.

Le présent accord est intégré au contrat entre les parties et devient contraignant lorsqu'un représentant habilité accepte ce contrat. Les termes du RGPD ont le sens que leur donne le RGPD. Les Données personnelles du Client sont les données personnelles que le Client transmet, connecte ou demande à Verbrio de traiter au moyen du service.

Le Client est le responsable du traitement et Verbrio est le sous-traitant des Données personnelles du Client. Verbrio reste un responsable du traitement indépendant pour les données de compte, de facturation, d'assistance, de sécurité et les données professionnelles similaires utilisées pour ses propres finalités licites, comme indiqué dans la Politique de confidentialité.

Si le Client traite des données pour un autre responsable du traitement, Verbrio agit en qualité de sous-traitant ultérieur du Client. Le Client confirme qu'il est habilité à désigner Verbrio et qu'il lui transmettra toutes les instructions et obligations applicables.

L'annexe de traitement

Avant le début du traitement, l'annexe doit identifier les parties et leurs rôles, le service, la finalité, la durée, les systèmes et sources concernés. Elle doit énumérer les catégories de personnes et de données personnelles, les accès autorisés, les opérations de traitement et les éventuelles données sensibles explicitement incluses.

Un projet de reconstruction doit, par exemple, définir l'ensemble des documents, les champs extraits, les liens vers les preuves, les étapes de vérification et la destination de livraison.

Les détails de traitement conservés ci-dessous décrivent les espaces de travail hébergés. Les autres sources, accès, durées et instructions de restitution ou de suppression sont consignés dans l’annexe de traitement complétée du projet ; les protections de l’accord restent applicables.

Objet

La fourniture, l'exploitation, la sécurisation et l'assistance du service logiciel B2B de Verbrio et des intégrations activées par le Client.

Durée

Pendant la durée du service, la période d'exportation de 30 jours suivant sa fin, puis uniquement pour la suppression des données contenues dans les sauvegardes chiffrées ou la conservation imposée par la loi.

Nature et finalité

Hébergement, stockage, récupération, organisation, reconnaissance OCR, extraction, classification, normalisation, transmission, intégration, assistance, sécurisation, exportation et suppression des données afin que le Client puisse gérer ses documents, contacts, commandes, factures et processus associés.

Types de données personnelles

Coordonnées professionnelles et données de compte ; correspondance et métadonnées d'e-mails ; documents, pièces jointes, commandes, factures et références de paiement ; identifiants d'intégration ; données d'activité, d'audit et données techniques. Les catégories particulières de données et les données relatives aux infractions pénales ne sont pas prévues, sauf accord écrit contraire des parties.

Catégories de personnes concernées

Personnel et prestataires du Client, clients et prospects, fournisseurs, contacts de places de marché ou d'intégrations et autres personnes dont le Client place les données dans le service.

Instructions et confidentialité

Le périmètre signé et les instructions de traitement convenues définissent les utilisations autorisées. Le client identifie les contacts habilités et les droits permettant de fournir les éléments.

Les personnes disposant d'un accès doivent être soumises à des obligations de confidentialité appropriées et leur accès doit être limité au travail qu'elles effectuent.

Verbrio ne traite les Données personnelles du Client que sur instruction documentée de celui-ci. Le contrat, l'utilisation et la configuration du service par le Client, les intégrations activées et les demandes écrites d'assistance constituent des instructions documentées. Verbrio peut traiter des données si le droit de l'Union ou d'un État membre l'exige, mais en informe préalablement le Client, sauf interdiction légale.

Verbrio informe rapidement le Client si une instruction semble enfreindre le droit de la protection des données et peut suspendre le traitement concerné pendant que les parties règlent la question. Les instructions hors du périmètre normal du service nécessitent un accord écrit et peuvent entraîner des coûts raisonnables.

Le Client est responsable de la licéité, de la loyauté et de l'exactitude des Données personnelles du Client et des instructions, notamment de l'existence d'une base juridique valable, des informations requises, du traitement des demandes des personnes concernées et des autorisations nécessaires aux intégrations. Le Client utilise les réglages appropriés et limite les données à ce qui est nécessaire.

Le Client ne transmet pas intentionnellement de catégories particulières de données ni de données relatives aux infractions pénales, sauf si les parties ont convenu par écrit de leur nécessité et de garanties supplémentaires.

Verbrio limite l'accès aux personnes qui ont besoin des Données personnelles du Client pour accomplir leur travail. Elles sont soumises à une obligation de confidentialité et reçoivent des consignes appropriées en matière de sécurité et de protection des données.

Sécurité et incidents

L'annexe de traitement doit décrire les mesures utilisées pour la réalisation, notamment les accès, transferts, stockage, sauvegardes et gestion des incidents. Les mesures doivent correspondre aux données et à l'environnement concernés.

Les contacts en cas d'incident, les procédures de notification et de coopération doivent être consignés dans l'annexe de traitement, y compris les informations nécessaires au client pour évaluer un incident.

Verbrio met en œuvre des mesures techniques et organisationnelles adaptées au risque, à l'état de l'art, au coût de mise en œuvre et à la nature du traitement. Elles comprennent :

des contrôles d'identité et d'accès, le principe du moindre privilège et des revues d'accès ;

le chiffrement en transit et au repos, avec protection des identifiants, clés et secrets ;

la journalisation, la surveillance, la gestion des vulnérabilités et les procédures de réponse aux incidents ; et

la résilience, des sauvegardes chiffrées, des procédures de reprise, l'évaluation des fournisseurs et des tests périodiques.

Compte tenu du traitement, Verbrio aide raisonnablement le Client à répondre aux demandes d'exercice des droits des personnes concernées. Verbrio transmet au Client toute demande reçue concernant les Données personnelles du Client et n'y répond pas directement, sauf instruction du Client ou obligation légale.

Verbrio informe le Client dans les meilleurs délais après avoir pris connaissance d'une violation de données personnelles affectant les Données personnelles du Client. À mesure que les informations deviennent disponibles, Verbrio décrit la violation, les données et personnes concernées, les conséquences probables et les mesures d'atténuation, et coopère raisonnablement à la réponse du Client. La notification ne constitue pas une reconnaissance de faute.

Verbrio fournit également une assistance raisonnable pour les obligations du Client au titre des articles 32 à 36 du RGPD, notamment les évaluations de sécurité, notifications de violation, analyses d'impact et consultations préalables. Les travaux dépassant les capacités standard du service peuvent être facturés à un tarif raisonnable, sauf s'ils résultent d'une violation du présent accord par Verbrio.

Prestataires et transferts

L'annexe de traitement doit identifier les sous-traitants ultérieurs, lieux de traitement, procédure d'autorisation et modalités de transfert applicables au service. Les changements de prestataires suivent la procédure de notification et d'opposition du présent accord. Les alternatives évaluées ne sont pas des prestataires engagés.

Le Client donne à Verbrio une autorisation écrite générale de recourir à des sous-traitants ultérieurs. Verbrio choisit des prestataires offrant des garanties appropriées, leur impose des obligations au moins aussi protectrices que les parties pertinentes du présent accord et reste responsable de leur exécution dans la mesure prévue par la loi.

Le Client peut s'opposer pendant le délai de préavis pour des motifs raisonnables liés à la protection des données. Les parties recherchent de bonne foi une solution pratique. À défaut, le Client peut résilier le service concerné avant la prise d'effet du changement, sans frais de résiliation et sous réserve du paiement des services déjà fournis.

Verbrio ne transfère les Données personnelles du Client hors de l'Espace économique européen que sur instruction documentée du Client, y compris le présent accord et les intégrations activées par le Client, et uniquement au moyen d'un mécanisme de transfert licite. Le registre des sous-traitants ultérieurs indique les lieux de traitement concernés.

En l'absence de décision d'adéquation, Verbrio utilise des garanties telles que les clauses contractuelles types de la Commission européenne et, si nécessaire, des mesures supplémentaires, et apporte une aide raisonnable aux évaluations de transfert. Les clauses contractuelles types applicables prévalent sur toute disposition contraire du présent accord.

Les prestataires actuels, leurs rôles, lieux de traitement et statuts figurent dans le registre des sous-traitants ultérieurs. Verbrio informe par e-mail le contact du compte Client au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant ultérieur. Si une urgence juridique ou de sécurité rend ce délai impossible, Verbrio donne le plus de préavis raisonnablement possible.

Assistance et responsabilité

Le présent accord définit la coopération concernant les demandes relatives aux données personnelles, les évaluations de sécurité, la gestion des incidents et les preuves des garanties convenues. Il précise le traitement des demandes d'information et d'audit, y compris le périmètre de l'assistance supplémentaire.

Verbrio fournit les informations raisonnablement nécessaires pour démontrer le respect du présent accord, notamment de la documentation de sécurité, des questionnaires, certifications ou rapports indépendants. Le Client garde confidentielles les informations non publiques et peut tenir compte des certifications ou rapports indépendants disponibles avant de demander un audit.

Si ces informations sont insuffisantes, le Client peut faire réaliser, à ses frais, un audit par an par un auditeur indépendant et non concurrent, avec un préavis d'au moins 30 jours, pendant les heures ouvrables, sans accéder aux données d'autres clients ni créer de risque de sécurité. Ces limites ne s'appliquent pas lorsqu'une autorité exige un audit, après une violation pertinente ou si le Client dispose d'éléments raisonnables indiquant une non-conformité substantielle.

Restitution, suppression et achèvement

L'annexe de traitement du projet doit consigner la manière dont les données clients seront restituées ou supprimées à la fin du travail, notamment les instructions du client, le format des livrables, la fermeture des accès, la gestion des sauvegardes et toute conservation requise. Les délais doivent correspondre aux modalités de réalisation convenues et aux obligations applicables.

Les conditions de service, le présent accord de traitement des données et le périmètre signé définissent les modalités applicables de restitution et de suppression. Les fenêtres d'exportation et délais de suppression dépendent des modalités de réalisation convenues.

À la fin du service, le Client peut choisir la restitution au moyen des outils d'exportation disponibles ou la suppression des Données personnelles du Client. Sauf demande de suppression anticipée, Verbrio maintient les données actives de l'espace de travail disponibles à l'exportation pendant 30 jours après la fin du service. Le Client doit terminer son exportation dans ce délai. Verbrio supprime ensuite les données actives de l'espace de travail.

Les copies de sauvegarde chiffrées restent protégées, expirent selon le cycle de conservation des sauvegardes de Verbrio et ne sont restaurées qu'à des fins de reprise après sinistre ; en cas de restauration, le processus de suppression est réappliqué. Verbrio ne peut conserver que les données exigées par le droit de l'Union ou d'un État membre, en les isolant, en limitant leur accès et sans les utiliser à d'autres fins.

Le présent accord prend effet lorsqu'il est intégré au contrat entre les parties et se poursuit jusqu'à ce que Verbrio ait supprimé toutes les Données personnelles du Client comme indiqué ci-dessus. Les modifications substantielles sont notifiées conformément aux règles de modification et de notification des Conditions.

Pour les questions de traitement des données, les clauses contractuelles types applicables prévalent d'abord, puis le présent accord, puis les Conditions ou la commande. Les limitations de responsabilité et recours des Conditions s'appliquent au présent accord, sauf disposition impérative contraire. Les dispositions des Conditions relatives au droit applicable et aux tribunaux s'appliquent également.

Contact

Adressez les instructions de protection des données, notifications d'incident, objections aux sous-traitants ultérieurs et questions sur le présent accord à :