Addendum sur le traitement des données de Gazelle.ai
ADDENDUM SUR LE TRAITEMENT DES DONNÉES
Cet avenant relatif au traitement des données (l'« avenant ») est conclu entre l'entité identifiée sur le bon de commande (« client ») et Gazelle.ai Inc., une société constituée en vertu des lois du Canada et ayant un bureau au 416, boul. de Maisonneuve. Ouest, bureau 1000, Montréal (Québec) H3A 1C2 (« Gazelle.ai »).
Le présent addendum entre en vigueur dès l'acceptation par le client d'un bon de commande qui nécessite le traitement de données personnelles telles que définies ci-dessous et restera pleinement en vigueur aussi longtemps que le sous-traitant traitera les données personnelles au nom du responsable du traitement conformément à l'accord.
MAINTENANT, PAR CONSÉQUENT, les parties conviennent de ce qui suit :
1. DÉFINITIONS
1.1 Les termes utilisés avec une majuscule et non définis dans les présentes sont définis dans le Contrat cadre de services. Les termes définis dans les présentes s'appliquent à cet addendum sur le traitement des données.
1.2 "Lois applicables de l'UE" désigne tout statut, loi, ordonnance, règlement, règle, code, ordonnance, constitution, traité, droit commun, jugement, décret, autres exigences ou règle de droit applicable dans l'Union européenne.
1.3 "Contrôleur de données" fait référence à la partie qui (seule ou conjointement ou en commun avec d'autres personnes) détermine les finalités pour lesquelles et la manière dont les données personnelles sont ou doivent être traitées. Le client est le responsable du traitement des données personnelles.
1.4 « Sous-traitant des données » désigne la partie qui traite les données personnelles pour le compte du contrôleur des données sur la base de l'accord, mais qui n'est pas un employé du contrôleur des données. Gazelle.ai est le responsable du traitement des données personnelles en vertu du présent addendum.
1.5 « Personne concernée » désigne une personne physique identifiée ou identifiable dont les Données personnelles sont traitées par le Sous-traitant pour le compte du Responsable du traitement, telles que les Utilisateurs finaux.
1.6 « RGPD désigne le Règlement général sur la protection des données (UE) 2016/679, tel que modifié de temps à autre (GDPR).
1.7 « Données personnelles » désigne toute information relative à une personne physique identifiée ou identifiable. Une personne physique identifiable est une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne ou à un ou plusieurs éléments propres à l'état physique, physiologique , l'identité génétique, mentale, économique, culturelle ou sociale de cette personne physique. En vertu du présent addendum, les données personnelles incluent les données personnelles des utilisateurs finaux qui sont traitées par le sous-traitant pour le compte du responsable du traitement afin de fournir les services décrits dans les formulaires de commande au responsable du traitement, et qui sont soumises au RGPD conformément avec les lois applicables de l'UE. Pour éviter tout doute, les données personnelles n'incluent pas les données BI, les ensembles de données BI ou les rapports, qui sont soumis à l'addendum sur le partage de données de Gazelle.ai et pour lesquels les parties sont co-responsables du traitement des données.
1.8 « Violation des données personnelles » désigne une violation de la sécurité entraînant la destruction accidentelle ou illégale, la perte, l'altération, la divulgation non autorisée ou l'accès à des données personnelles transmises, stockées ou autrement traitées par le processeur de données au nom du contrôleur de données.
2. CHAMP D'APPLICATION ET APPLICATION
2.1 Avenant. Cet addendum s'applique aux données personnelles et ne s'applique pas aux informations personnelles qui ne sont pas soumises au RGPD. En cas de conflit avec toute autre partie de l'Accord, le présent Avenant prévaudra et les autres parties de l'Accord resteront pleinement en vigueur.
2.2 Lois applicables de l'UE. Les parties conviennent que le Client est le Responsable du traitement et Gazelle.ai est le Sous-traitant en ce qui concerne les Données personnelles. Nonobstant ce qui précède, il est convenu et compris que chaque partie est seule responsable du respect de ses obligations en vertu des lois applicables de l'UE.
2.3 Traitement. Les parties conviennent que l'objet, la finalité, la nature et la durée du traitement sont tels que définis dans le tableau ci-dessous.
Traitement
La description
Objet
L'objet du traitement est de permettre aux employés du Client (c'est-à-dire les Utilisateurs finaux) d'accéder aux Services et de les utiliser.
Objectif
Les finalités du traitement sont :
· Pour créer et gérer des comptes pour les utilisateurs finaux ;
· Fournir un support technique au Client et aux Utilisateurs Finaux ;
· Pour assurer la maintenance des Services, comme les corrections de bugs ;
· Pour fournir les services de formation ;
Pour permettre aux Utilisateurs Finaux d'utiliser les fonctionnalités des Services
La nature
Le traitement des données personnelles s'effectue via une plate-forme logicielle en tant que service disponible via un navigateur et un portail sécurisé sur le site Web de Gazelle.ai accessible au public. Les données personnelles sont collectées par des moyens techniques, y compris des tickets d'assistance, des e-mails et par la génération automatique de données électroniques telles que des journaux.
Durée
Le traitement des données personnelles se poursuivra pendant la durée de la période d'abonnement, après quoi les données personnelles seront supprimées conformément au contrat.
2.4 Consignes. Le processeur de données traitera les données personnelles conformément aux instructions documentées du contrôleur de données, y compris celles contenues dans l'accord, à moins que le processeur de données ne soit tenu de faire autrement en vertu des lois applicables de l'UE. Dans un tel cas, le responsable du traitement des données informera le responsable du traitement des données de cette exigence légale avant de traiter les données personnelles, à moins que les lois applicables de l'UE n'interdisent ces informations pour des motifs importants d'intérêt public. Le responsable du traitement peut modifier les instructions documentées par notification au sous-traitant, étant convenu qu'une telle modification n'entraînera pas de diminution des frais dus par le responsable du traitement et qu'un non-respect ne sera pas considéré comme une violation du présent accord si le Le sous-traitant des données ne peut pas raisonnablement se conformer aux instructions documentées, par exemple s'il en est empêché par des limitations techniques. Le responsable du traitement des données doit informer le responsable du traitement des données si le responsable du traitement des données estime raisonnablement que les instructions documentées ne sont pas conformes aux lois applicables de l'UE et le responsable du traitement des données accepte de modifier les instructions documentées pour s'assurer qu'elles sont conformes aux lois applicables de l'UE.
3. OBLIGATIONS DU PROCESSEUR DE DONNÉES
3.1 Le responsable du traitement des données doit s'assurer que l'accès aux données personnelles se fait sur la base du besoin d'en connaître et que les personnes autorisées à traiter les données personnelles se sont engagées à respecter la confidentialité ou sont soumises à une obligation légale appropriée de confidentialité.
3.2 Compte tenu de l'état de la technique, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques de probabilité et de gravité variables pour les droits et libertés des Personnes concernées, le Sous-traitant met en œuvre les mesures techniques et organisationnelles conformément à l'article 32 du RGPD.
3.3 Le responsable du traitement des données consent par la présente à la liste des sous-traitants ultérieurs inclus dans l'annexe 1 du présent accord. Le responsable du traitement fournira un préavis écrit d'au moins dix (10) jours pour l'ajout ou le remplacement de sous-traitants ultérieurs, donnant ainsi au responsable du traitement la possibilité de s'opposer à ces modifications. Si le responsable du traitement ne s'y oppose pas dans ce délai de dix (10) jours, le responsable du traitement est présumé avoir consenti à l'ajout ou au remplacement des sous-traitants ultérieurs.
3.4 Avant d'engager un sous-traitant ultérieur pour effectuer des activités de traitement spécifiques au nom du responsable du traitement, le responsable du traitement des données doit conclure un accord énonçant les exigences pour le traitement des données personnelles conformément à la présente annexe A et comme indiqué dans le RGPD.
3.5 Le sous-traitant déploiera des efforts commercialement raisonnables pour s'assurer que les sous-traitants ultérieurs fournissent des garanties suffisantes pour mettre en œuvre les mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du RGPD. Nonobstant toute disposition contraire, si le sous-traitant ne remplit pas ces obligations, le sous-traitant reste pleinement responsable envers le responsable du traitement de l'exécution des obligations de cet autre sous-traitant.
3.6 Compte tenu de la nature du traitement, le responsable du traitement assiste le responsable du traitement par des mesures techniques et organisationnelles appropriées, dans la mesure du possible, pour l'accomplissement de l'obligation du responsable du traitement de répondre aux demandes d'exercice des droits des personnes concernées en vertu de le RGPD.
3.7 Le sous-traitant assiste le responsable du traitement dans le respect des obligations visées à l'art. 32 à 36 GDPR, en tenant compte de la nature du traitement et des informations dont dispose le responsable du traitement. Sans limiter la généralité de ce qui précède, le Sous-traitant doit notifier au Responsable du traitement une Violation des Données à caractère personnel sans retard injustifié et dans les quarante-huit (48) heures suivant sa découverte.
3.8 Lors de la résiliation d'un bon de commande pour quelque raison que ce soit, le responsable du traitement des données supprimera ou retournera les données personnelles relatives au bon de commande au responsable du traitement, et supprimera les copies existantes sans retard injustifié, sauf si ces copies doivent être conservées conformément à Lois applicables de l'UE. Ce qui précède ne s'applique pas si le Bon de Commande est remplacé par un autre, ou si la Durée d'Abonnement est renouvelée pour une Durée de Renouvellement.
3.9 Le responsable du traitement doit s'assurer que des garanties adéquates sont en place conformément à l'art. 44 suiv. RGPD préalablement à tout transfert international de Données Personnelles hors Union Européenne. Le responsable du traitement accepte et comprend que les informations personnelles peuvent être traitées en dehors de l'Union européenne, y compris au Canada et aux États-Unis.
3.10 Le sous-traitant doit mettre à la disposition du responsable du traitement les informations raisonnablement nécessaires pour démontrer le respect des obligations énoncées dans le présent avenant et permettre et contribuer aux audits, y compris les inspections, effectués par le responsable du traitement ou un autre auditeur mandaté par le responsable du traitement. . Le responsable du traitement des données est autorisé à vérifier la conformité du partenaire avec le présent accord sur une base annuelle, que ce soit sur site ou hors site, et le partenaire s'engage à collaborer avec diligence à cet audit, notamment en partageant les documents demandés, en répondant aux questions et en examinant tout élément de correction raisonnable identifié par le responsable du traitement. Des audits ultérieurs peuvent également être nécessaires et autorisés en vertu du présent accord si nécessaire pour assurer le suivi de ces éléments de remédiation. Ce droit de vérification est soumis à un préavis raisonnable et doit être exercé pendant les heures de bureau. Le contrôleur de données s'engage à minimiser les impacts opérationnels sur le partenaire, et si possible, le contrôleur de données peut s'appuyer sur des audits effectués par des tiers indépendants, auquel cas, cette documentation sera disponible pour Gazelle.ai sur demande, et sans frais supplémentaires.
4. DIVERS
4.1 Le présent addendum décrit l'intégralité de l'entente et de l'accord des parties et remplace tous les accords ou ententes oraux et écrits entre elles liés à son objet.
4.2 Le présent addenda, y compris son interprétation et son effet, est régi par les lois applicables dans la province de Québec, Canada, sans égard à ses dispositions relatives aux conflits de lois. Les deux parties acceptent par les présentes de se soumettre à la compétence exclusive des tribunaux situés dans le district judiciaire de Montréal, Québec, à l'égard de toute réclamation, procédure ou action liée ou découlant de la présente Entente ou du Service, quelle qu'en soit la cause.
4.3 Les parties reconnaissent qu'elles ont exigé que cet addendum et tous les documents connexes soient préparés en français uniquement. Les parties admises avoir demandé que le présent contrat ainsi que tous les documents qui s'y rattachent soient rédigés uniquement en langue française.
ANNEXE 1 : LISTE DES SOUS-TRAITANTS
· Mongo DB
· Interphone
· AWS