Accord de traitement des données de Vavus Concierge

Le présent Accord de traitement des données (« DPA ») est conclu entre DCI Brands LLC (« Vavus », « nous », le sous-traitant), 312 W 2nd Street, Casper, WY 82601, États-Unis, et l'entreprise qui exploite un espace de travail Vavus Concierge (le titulaire de l'espace de travail, le responsable du traitement). Il s'applique aux données des visiteurs que Vavus traite sur les instructions du titulaire de l'espace de travail par l'intermédiaire du service Concierge : la console, le widget pour site web, les pages d'agent hébergées, les canaux téléphoniques et de messagerie, et les réservations.

Il complète les Conditions d'utilisation de Vavus Concierge, que le titulaire de l'espace de travail accepte en même temps que le présent DPA. En cas de contradiction entre le présent DPA et les Conditions de Concierge concernant le traitement des données des visiteurs, le présent DPA prévaut. Il est rédigé de manière à satisfaire à l'article 28 du RGPD et du UK GDPR, à l'article 9 de la loi fédérale suisse sur la protection des données (LPD) et à des engagements comparables du sous-traitant applicables ailleurs ; lorsque le droit local impose au sous-traitant des obligations plus strictes, celles-ci prévalent pour le traitement effectué dans ce ressort. L'annexe IV s'applique en outre lorsqu'une loi d'un État américain en matière de vie privée régit les données des visiteurs du titulaire de l'espace de travail.

Le titulaire de l'espace de travail est le responsable du traitement des données des visiteurs : il décide de ce que fait l'assistant, des connaissances qu'il contient, des canaux en service et de ce qui est demandé aux visiteurs. Vavus est le sous-traitant : nous agissons uniquement sur les instructions du titulaire de l'espace de travail, données par l'intermédiaire de la console et du fonctionnement normal du service, et traitons les données des visiteurs dans le seul but de fournir Concierge.

Nous informerons immédiatement le titulaire de l'espace de travail si, selon nous, une instruction constitue une violation du droit applicable en matière de protection des données, et nous ne donnerons pas suite à une instruction manifestement illicite. Si la loi exige un traitement en dehors des instructions documentées, nous en informerons le titulaire de l'espace de travail avant ce traitement, sauf si la loi l'interdit. Nous ne traitons pas les données des visiteurs à nos propres fins, et nous ne les utilisons pas pour entraîner nos modèles ni ne les vendons.

Le présent DPA, y compris les conditions de transfert figurant aux articles 7 et 13 à 15, couvre un titulaire d'espace de travail qui est le responsable du traitement des données de ses visiteurs. Il ne couvre pas un titulaire d'espace de travail qui traite les données pour le compte d'un autre responsable du traitement, car il ne propose pas le module trois (transfert de sous-traitant à sous-traitant) des Clauses ; une telle entreprise ne peut pas l'accepter pour ces données.

Le titulaire de l'espace de travail est responsable de la licéité de ce qu'il nous demande de faire. Il confirme qu'il dispose d'une base juridique pour le traitement, y compris au titre des articles 6, 9 et 10 du RGPD lorsqu'ils s'appliquent ; qu'il a fourni aux visiteurs les informations exigées par les articles 12 à 14 et obtenu tout consentement exigé par la loi, y compris pour l'enregistrement ou la traduction d'un appel ; et que ses instructions sont conformes au droit de la protection des données. Sauf si l'espace de travail est configuré pour le secteur de la santé, le titulaire de l'espace de travail n'introduira pas dans le service des données de visiteurs comprenant des numéros d'identification officiels, des numéros de carte de paiement, des identifiants de comptes financiers, des mots de passe d'autres services, des données biométriques, des données sciemment collectées auprès d'enfants de moins de 16 ans, ou des catégories particulières de données telles que la santé, l'origine raciale ou ethnique, les opinions politiques, la religion ou l'orientation sexuelle, et il supprimera toute donnée de ce type qui parviendrait par erreur. Le titulaire de l'espace de travail assure la sécurité de ses identifiants de console, décide qui, au sein de son équipe, y a accès, conserve sa propre copie de tout ce qu'il ne peut se permettre de perdre, et confirme avoir examiné les mesures figurant à l'article 5 et à l'annexe II et les juger adéquates pour les données qu'il traite par l'intermédiaire de Concierge.

Catégories de données des visiteurs, telles que la configuration du titulaire de l'espace de travail les collecte : identifiants fournis par le visiteur (nom, numéro de téléphone, adresse e-mail), contenu des conversations (messages, audio vocal, transcriptions et tout enregistrement mis en œuvre par le titulaire de l'espace de travail), registres de contacts et de réservations que l'assistant crée à la suite des actions du visiteur, données techniques de session (horodatages, canal, langue), et données à caractère personnel contenues dans les contenus que le titulaire de l'espace de travail importe dans les connaissances de l'assistant ou dans les échantillons vocaux qu'il fournit pour créer une voix personnalisée.

Les personnes concernées sont les visiteurs, clients, clients potentiels et membres du personnel du titulaire de l'espace de travail dont les informations sont fournies au service. Le traitement comprend la collecte, la transmission, l'organisation, la conservation, l'extraction, la traduction, la génération de réponses, la communication au personnel autorisé et aux prestataires connectés, ainsi que la suppression. Finalité : fournir Concierge sur les instructions du titulaire de l'espace de travail. La durée suit les paramètres de conservation applicables et l'article 9, plutôt que de s'étendre automatiquement à toute la durée de vie de l'espace de travail.

Seuls les membres du personnel qui ont besoin d'un accès pour exploiter ou sécuriser le service en disposent, sous réserve d'obligations de confidentialité, et l'accès est journalisé pour les espaces de travail configurés pour le secteur de la santé. Nous ne plaçons pas le contenu des visiteurs dans des données d'analyse d'audience, des conversations d'assistance ou des traceurs publics.

Le service fonctionne sur notre propre infrastructure selon les mesures décrites sur notre page Sécurité : TLS en transit, chiffrement au repos, accès selon le principe du moindre privilège, journalisation d'audit, suppression sécurisée des fichiers dont la durée de conservation est écoulée, et points de terminaison renforcés derrière un pare-feu applicatif web. Les enregistrements sont conservés dans un stockage d'objets à accès contrôlé ; l'accès à la console est authentifié et limité par rôle. Nous pouvons mettre à jour ces mesures en fonction de l'évolution des technologies et des menaces, à condition que la protection globale des données des visiteurs ne diminue pas de manière substantielle.

Nous faisons appel à des sous-traitants ultérieurs par fonction : hébergement et stockage dans le cloud (Google Cloud) ; reconnaissance vocale, synthèse vocale, traduction et modèles d'IA (Google, OpenAI, Anthropic, ElevenLabs et AssemblyAI) ; routage sémantique des tours de conversation, lorsque l'espace de travail l'active (TypeSafe) ; téléphonie et SMS pour les numéros de téléphone que nous fournissons au titulaire de l'espace de travail (Twilio) ; paiements relatifs au forfait et à l'utilisation propres du titulaire de l'espace de travail (Stripe) ; envoi d'e-mails (Resend, ainsi que notre serveur Postal auto-hébergé sur notre propre infrastructure) ; et – lorsque le titulaire de l'espace de travail connecte des systèmes de téléphonie, de messagerie, de paiement, de réservation ou de gestion – les propres prestataires du titulaire de l'espace de travail (tels que son propre compte Twilio, le fournisseur de WhatsApp, son propre compte Stripe, son agenda ou son CRM), auxquels il fait appel directement sous sa propre autorité. L'annexe III nomme chaque sous-traitant ultérieur et sa fonction.

Le titulaire de l'espace de travail donne une autorisation écrite générale pour les sous-traitants ultérieurs figurant sur la liste en vigueur fournie pour son service. Nous imposons à chaque sous-traitant ultérieur, au moyen d'un contrat écrit, des obligations en matière de protection des données équivalentes à celles du présent DPA et demeurons responsables envers le titulaire de l'espace de travail de l'exécution de ses obligations. Le contenu des visiteurs ne doit pas être utilisé pour l'entraînement de modèles sans une instruction licite distincte et une base contractuelle. La liste nominative en vigueur figure à l'annexe III et est également disponible sur demande, et nous informons le titulaire de l'espace de travail au moins 30 jours à l'avance, dans la console ou par e-mail, avant qu'un nouveau sous-traitant ultérieur ne traite des données de visiteurs ; pendant ce délai, le titulaire de l'espace de travail peut s'y opposer pour des motifs raisonnables liés à la protection des données. Nous recherchons alors de bonne foi, avec le titulaire de l'espace de travail, une solution à l'objection ; si nous ne pouvons pas y parvenir, le titulaire de l'espace de travail peut résilier l'espace de travail avant que le nouveau sous-traitant ultérieur ne traite ses données, et il s'agit du seul recours au titre de l'objection. Les sommes déjà exigibles restent dues, et tout remboursement suit les Conditions de Concierge.

Le service fonctionne aux États-Unis et, pour réduire la latence, sur un nœud périphérique dans l'Union européenne (Francfort). Les données des visiteurs peuvent donc être traitées dans l'une ou l'autre région selon ce qu'exige l'acheminement des sessions. Avant qu'un transfert international soumis à restrictions n'ait lieu, les parties doivent mettre en place le mécanisme de transfert licite applicable et documenter les destinations et les garanties. Lorsque des clauses contractuelles types sont utilisées, les clauses, le module, les options et les annexes complétées applicables doivent faire partie de l'accord de transfert.

Pour les transferts de données des visiteurs vers nous aux États-Unis, le présent DPA constitue cet accord de transfert, et le titulaire de l'espace de travail s'appuie sur celui-ci sans signature distincte : pour les transferts régis par le RGPD (depuis l'Espace économique européen), les Clauses telles que prévues à l'article 13 et ses annexes ; pour les transferts régis par le droit britannique de la protection des données, les Clauses complétées par l'Addendum relatif aux transferts internationaux de données (International Data Transfer Addendum) du Royaume-Uni tel que prévu à l'article 14 ; et pour les transferts régis par la LPD suisse, les Clauses assorties des adaptations suisses prévues à l'article 15. Chacun de ces instruments s'applique à tout transfert régi par sa loi, quelle que soit la réponse donnée par le titulaire de l'espace de travail dans la console au sujet des données britanniques ou suisses. Lorsque plusieurs de ces lois régissent un même transfert, chaque ensemble de conditions s'applique dans la mesure de sa propre loi, et aucun ne réduit la protection qu'un autre confère.

Les transferts régis par les règles de transfert de tout autre pays nécessitent le mécanisme qu'exige cette loi ; contactez-nous avant d'activer un traitement qui en nécessite un. Nous ne sommes pas certifiés au titre du cadre de protection des données UE–États-Unis (EU-US Data Privacy Framework), de son extension britannique (UK Extension) ou du Swiss-US Data Privacy Framework, et aucun transfert au titre du présent DPA ne repose sur ceux-ci.

Les visiteurs sont les clients du titulaire de l'espace de travail : les demandes d'un visiteur concernant ses données (accès, rectification, effacement, opposition) sont adressées au titulaire de l'espace de travail en sa qualité de responsable du traitement, et celui-ci y répond au moyen de la fonction de suppression par contact de la console. Compte tenu de la nature du traitement, nous apportons notre aide, par des mesures techniques et organisationnelles appropriées, pour les demandes relevant du chapitre III du RGPD et pour les droits équivalents prévus par le UK GDPR et la LPD. Compte tenu des informations à notre disposition, nous apportons également notre aide en matière de sécurité, de notification des violations, d'analyses d'impact relatives à la protection des données et de consultation préalable des autorités de contrôle au titre des articles 32 à 36 du RGPD et des dispositions équivalentes du UK GDPR et de la LPD. L'aide qui va au-delà de ce que le service fournit déjà, comme la compilation de documents pour une analyse d'impact relative à la protection des données, peut être facturée à nos tarifs de services professionnels alors en vigueur, communiqués à l'avance au titulaire de l'espace de travail.

Si nous avons connaissance d'un incident de sécurité affectant des données de visiteurs dans un espace de travail, nous en informons le titulaire de l'espace de travail dans les meilleurs délais après avoir pris connaissance d'une violation de données à caractère personnel. Nous n'attendons pas la fin d'une enquête et ne considérons pas le délai de notification réglementaire du responsable du traitement comme notre délai de notification. Nous fournissons les informations disponibles sur la violation, les données et les personnes concernées, les conséquences probables, le point de contact et les mesures d'atténuation, et nous fournissons des informations complémentaires de manière échelonnée à mesure qu'elles deviennent disponibles. Le titulaire de l'espace de travail se charge, en sa qualité de responsable du traitement, de toute notification à ses propres visiteurs ou aux autorités de régulation.

Les tentatives infructueuses qui ne compromettent pas les données des visiteurs, telles que les tentatives de connexion bloquées, les analyses (scans) ou les pings, ne constituent pas des incidents et ne sont pas signalées. Une notification ne constitue pas une reconnaissance de faute ou de responsabilité. Lorsque la loi le permet, le titulaire de l'espace de travail nous informe avant de nommer Vavus dans une notification relative à un incident adressée à une autorité de régulation, aux visiteurs ou au public, et examine de bonne foi toute rectification que nous demandons concernant notre rôle dans cet incident.

La suppression de l'espace de travail efface la configuration de l'espace de travail et les éléments des conversations, y compris les enregistrements figurant dans le stockage d'objets, sous réserve de l'expiration des sauvegardes chiffrées selon notre politique de cycle de vie et des registres que la loi nous oblige à conserver (registres de facturation pendant la durée légale en matière fiscale). La suppression par contact efface les éléments des conversations de ce contact. Au choix du titulaire de l'espace de travail à la fin du contrat, nous lui restituons ses données à caractère personnel restantes dans un format exploitable ou nous les supprimons, et nous supprimons les copies existantes, sauf si le droit applicable en exige la conservation. Une demande de restitution doit précéder une instruction de suppression irréversible. Les copies de sauvegarde conservées restent protégées, ne sont pas utilisées pour le traitement ordinaire et sont supprimées selon le cycle de vie documenté applicable ; en cas de restauration, les instructions de suppression doivent être appliquées à nouveau.

Si le titulaire de l'espace de travail ne donne aucune instruction dans les 30 jours suivant la fin de l'espace de travail, nous supprimons les données à caractère personnel restantes. Nous confirmons la suppression par écrit sur demande.

Nous mettons à disposition les informations nécessaires pour démontrer le respect du présent DPA et permettons la réalisation d'audits, y compris des inspections, par le titulaire de l'espace de travail ou un auditeur indépendant mandaté par celui-ci, et y contribuons. Ces droits sont accessibles à chaque titulaire d'espace de travail et ne sont pas subordonnés à un abonnement Enterprise.

Les audits commencent par des documents. Sur demande, nous fournissons notre documentation de sécurité, les mesures figurant à l'annexe II et les réponses à un questionnaire de sécurité raisonnable, et lorsqu'un rapport récent d'un auditeur indépendant couvre les contrôles en question, nous fournissons ce rapport au lieu d'un nouvel audit de ceux-ci. Lorsque les documents sont réellement insuffisants, après une violation confirmée affectant les données du titulaire de l'espace de travail, ou lorsqu'une autorité de contrôle l'exige, le titulaire de l'espace de travail peut procéder à une inspection : une fois par période de 12 mois, sauf si une violation ou une autorité de régulation en exige davantage, moyennant un préavis écrit de 30 jours accompagné d'un périmètre proposé, pendant les heures ouvrables, dans le cadre d'un accord de confidentialité, sans accès aux données d'autres clients, et en recourant à un auditeur qui n'est pas notre concurrent. Les audits sont à la charge du titulaire de l'espace de travail, qui nous communique ses conclusions. Rien de ce qui précède n'empêche une inspection légalement exigée par une autorité de régulation.

Le présent DPA s'applique tant que l'espace de travail du titulaire existe et prend fin lorsque l'espace de travail est supprimé, et ses obligations en matière de protection des données perdurent aussi longtemps que nous ou nos sous-traitants ultérieurs conservons des données à caractère personnel de visiteurs. Les dispositions des Conditions de Concierge relatives aux litiges, à la responsabilité et au droit applicable ne s'appliquent que dans la mesure où elles ne restreignent pas des droits impératifs en matière de protection des données, des pouvoirs réglementaires ou un accord de transfert applicable ; cet accord prévaut en cas de contradiction.

Questions relatives à la protection des données, listes des sous-traitants ultérieurs, clauses contractuelles types, Addendum du Royaume-Uni et adaptations suisses : support@vavusai.com.

Pour les transferts de données à caractère personnel des visiteurs depuis l'Espace économique européen vers nous aux États-Unis, le présent DPA intègre les clauses contractuelles types pour le transfert de données à caractère personnel vers des pays tiers adoptées par la décision d'exécution (UE) 2021/914 de la Commission du 4 juin 2021 (les « Clauses »), module deux (transfert de responsable du traitement à sous-traitant), complétées par les annexes qui suivent. Pour les transferts régis par le RGPD, les Clauses sont intégrées sans modification ; les articles 14 et 15 précisent comment ces mêmes Clauses s'appliquent aux transferts régis par le droit britannique et le droit suisse. Elles sont conclues au moyen de l'acceptation enregistrée, par le titulaire de l'espace de travail, des Conditions de Concierge et du présent DPA : la version et l'horodatage de cette acceptation enregistrés par le service, conjointement avec notre publication du présent DPA dans cette version, constituent l'accord écrit des parties sur les Clauses, de sorte qu'aucune signature distincte n'est nécessaire.

Les options des Clauses sont exercées comme suit. La clause d'adhésion facultative (clause 7) n'est pas utilisée. La clause 9, point a), s'applique selon son option d'autorisation écrite générale : le régime des sous-traitants ultérieurs de l'article 6 constitue l'autorisation convenue, et son préavis de 30 jours tient lieu de délai de préavis de la clause. L'organe indépendant de règlement des litiges facultatif prévu à la clause 11, point a), n'est pas proposé. L'autorité de contrôle compétente au titre de la clause 13 est déterminée selon les critères de la clause 13, point a), comme indiqué à l'annexe I.C. Conformément à la clause 17, les Clauses sont régies par le droit de l'État membre dans lequel le titulaire de l'espace de travail est établi ou, lorsque le titulaire de l'espace de travail n'est pas établi dans un État membre ou que ce droit ne reconnaîtrait pas de droits aux tiers bénéficiaires, par le droit de l'Irlande ; conformément à la clause 18, point b), les juridictions de cet État membre ou, dans ce cas, les juridictions de l'Irlande sont compétentes, et conformément à la clause 18, point c), une personne concernée peut également intenter une action en justice dans l'État membre de sa résidence habituelle. Dans les Clauses telles qu'elles s'appliquent au titre du présent article, les États membres comprennent les États de l'Espace économique européen qui ne sont pas membres de l'Union européenne.

En cas de contradiction entre les Clauses et le présent DPA, les Clauses prévalent dans la mesure de la contradiction, conformément à l'article 11. Conformément à la clause 8.3 (module deux), le titulaire de l'espace de travail met les Clauses, y compris les présentes annexes, à la disposition de toute personne concernée qui en fait la demande ; nous en fournissons le texte sur demande pour le permettre.

Pour les transferts de données à caractère personnel des visiteurs auxquels s'applique le droit britannique de la protection des données (transferts restreints (Restricted Transfers) au sens du UK GDPR), le présent DPA intègre l'Addendum relatif aux transferts internationaux de données (International Data Transfer Addendum) aux clauses contractuelles types de la Commission européenne, publié par l'Information Commissioner en vertu de l'article 119A(1) du Data Protection Act 2018, version B1.0 en vigueur depuis le 21 mars 2022 (l'« Addendum »), complété par les tableaux du présent article. Il s'applique à chacun de ces transferts, quelle que soit la réponse donnée par le titulaire de l'espace de travail dans la console au sujet des données britanniques. Comme le permet la section 2 de l'Addendum, les parties le concluent au moyen de l'acceptation enregistrée, par le titulaire de l'espace de travail, du présent DPA dans cette version et de notre publication du présent DPA dans cette version, ce qui le rend juridiquement contraignant pour les deux parties et permet aux personnes concernées de faire valoir les droits qu'il leur confère ; aucune signature distincte n'est nécessaire.

Tableau 1 – Parties. Date de début : la date à laquelle la console enregistre l'acceptation de cette version par le titulaire de l'espace de travail. Exportateur : le titulaire de l'espace de travail, avec la dénomination sociale complète, le nom commercial, l'adresse principale, le numéro d'immatriculation officiel et le contact principal (nom et fonction de la personne ayant accepté, et adresse e-mail de contact de l'entreprise pour les questions de confidentialité) enregistrés avec son acceptation dans la console. Importateur : DCI Brands LLC, exerçant sous le nom Vavus ; adresse principale 312 W 2nd Street, Casper, WY 82601, United States ; numéro d'immatriculation officiel : numéro de dépôt auprès du Secretary of State du Wyoming 2017-000762309 ; contact principal : Dragos Ignat, propriétaire et fondateur, support@vavusai.com. Signature : non requise, comme indiqué ci-dessus.

Tableau 2 – CCT, modules et clauses sélectionnés. Les CCT de l'UE approuvées (Approved EU SCCs), y compris les informations de l'appendice (Appendix Information), seuls les modules, clauses et dispositions facultatives suivants prenant effet aux fins de l'Addendum : le module 2 (transfert de responsable du traitement à sous-traitant) est applicable, et les modules 1, 3 et 4 ne le sont pas ; la clause 7 (clause d'adhésion) n'est pas utilisée ; l'option de la clause 11 (organe indépendant de règlement des litiges) n'est pas utilisée ; la clause 9, point a), s'applique selon l'autorisation écrite générale, avec un délai de préavis de 30 jours.

Tableau 3 – Informations de l'appendice. Annexe 1A (Liste des parties) : annexe I.A du présent DPA. Annexe 1B (Description du transfert) : annexe I.B du présent DPA. Annexe II (mesures techniques et organisationnelles, y compris celles visant à garantir la sécurité des données) : annexe II du présent DPA. Annexe III (Liste des sous-traitants ultérieurs) : annexe III du présent DPA.

Tableau 4 – Résiliation du présent Addendum en cas de modification de l'Addendum approuvé. Parties pouvant résilier le présent Addendum conformément à la section 19 de l'Addendum : aucune des parties. Lorsque l'Information Commissioner publie un Addendum approuvé révisé en vertu de la section 18 de l'Addendum, le présent Addendum est modifié comme le prévoit la révision, à compter de la date de début qu'elle fixe.

Clauses obligatoires : la partie 2, Clauses obligatoires (Mandatory Clauses), de l'Addendum approuvé (Approved Addendum), à savoir le modèle d'Addendum B.1.0 publié par l'ICO et déposé devant le Parlement conformément à l'article 119A du Data Protection Act 2018 le 2 février 2022, tel que révisé en vertu de la section 18 de ces Clauses obligatoires. En vertu de ces Clauses obligatoires, l'Addendum est régi par le droit de l'Angleterre et du pays de Galles, les litiges sont tranchés par les juridictions de l'Angleterre et du pays de Galles, une personne concernée peut également intenter une action contre l'une ou l'autre des parties devant les juridictions de tout pays du Royaume-Uni, et l'Information Commissioner est l'autorité de contrôle. Nous fournissons le texte de l'Addendum sur demande.

Évaluation des risques liés au transfert (transfer risk assessment) au Royaume-Uni. Pour le transfert vers nous aux États-Unis, le titulaire de l'espace de travail, en sa qualité d'exportateur, s'appuie, pour l'évaluation du droit et des pratiques des États-Unis en matière d'accès des autorités publiques aux données à caractère personnel et de l'opposabilité de l'Addendum, sur l'analyse des lois et pratiques pertinentes des États-Unis réalisée par le gouvernement britannique et élaborée par le Department for Science, Innovation and Technology, comme le permettent les lignes directrices de l'Information Commissioner relatives à la réalisation d'une évaluation des risques liés aux transferts vers les États-Unis, y compris pour un destinataire qui n'est pas certifié au titre de l'extension britannique (UK Extension) de l'EU-US Data Privacy Framework. Selon cette analyse, la protection des données transférées, avec l'Addendum en place, n'est pas substantiellement inférieure à celle prévue par le droit britannique de la protection des données. Nous ne sommes pas certifiés au titre de ce cadre, et la présente évaluation ne repose pas sur une certification. Le transfert qu'elle couvre est celui décrit à l'annexe I.B, avec les transferts ultérieurs figurant à l'annexe III et les garanties figurant à l'annexe II et dans le résumé de l'analyse d'impact des transferts. Nous informerons le titulaire de l'espace de travail dans les meilleurs délais si le gouvernement britannique retire ou modifie de manière substantielle cette analyse ou si nous ne sommes plus en mesure de respecter l'Addendum, et les parties réexamineront alors la présente évaluation.

Pour les transferts de données à caractère personnel des visiteurs auxquels s'applique la loi fédérale suisse du 25 septembre 2020 sur la protection des données (LPD), les Clauses telles qu'intégrées à l'article 13 s'appliquent en tant que clauses types de protection des données reconnues par le Préposé fédéral à la protection des données et à la transparence (PFPDT) au sens de l'article 16, alinéa 2, lettre d, LPD, avec les adaptations ci-dessous. Elles s'appliquent à chacun de ces transferts, quelle que soit la réponse donnée par le titulaire de l'espace de travail dans la console au sujet des données suisses. Lorsqu'un transfert est régi à la fois par la LPD et par le RGPD, les parties conservent des dispositifs distincts : les présentes adaptations ne s'appliquent que dans la mesure où la LPD régit le transfert, et l'article 13 continue de s'appliquer sans modification dans la mesure où le RGPD le régit.

• Les références au règlement (UE) 2016/679 doivent être comprises comme des références à la LPD, dans la mesure où le transfert est soumis à la LPD.
• Le PFPDT est l'autorité de contrôle compétente au titre de la clause 13 et de l'annexe I.C pour les transferts régis par la LPD ; lorsque le RGPD régit également un transfert, l'autorité déterminée au titre de la clause 13, point a), reste compétente pour cette partie, en parallèle.
• Pour les transferts régis uniquement par la LPD, les Clauses sont régies par le droit suisse en vertu de la clause 17, et les litiges entre les parties au titre de la clause 18, point b), sont tranchés par les tribunaux suisses du siège du titulaire de l'espace de travail.
• Le terme « État membre » figurant dans les Clauses ne doit pas être interprété de manière à exclure les personnes concernées en Suisse de la possibilité de faire valoir leurs droits à leur lieu de résidence habituelle, la Suisse, conformément à la clause 18, point c).
• Le résumé de l'analyse d'impact des transferts s'applique à ces transferts, lu en référence à la LPD. Nous ne sommes pas certifiés au titre du Swiss-US Data Privacy Framework ; la reconnaissance des États-Unis par le Conseil fédéral pour les entreprises certifiées ne couvre donc pas les transferts vers nous. La LPD n'exige pas que l'utilisation de ces clauses soit communiquée au PFPDT.

Exportateur de données : le titulaire de l'espace de travail, responsable du traitement des données des visiteurs, établi dans le pays enregistré pour l'espace de travail dans la console, qui peut être un État membre de l'Espace économique européen, le Royaume-Uni, la Suisse ou un autre pays ; lorsqu'un titulaire d'espace de travail établi ailleurs est soumis au RGPD, au droit britannique de la protection des données ou à la LPD pour son traitement des données des visiteurs, il est l'exportateur de données pour les transferts régis par cette loi. Ses activités en rapport avec le transfert consistent à exploiter son entreprise et à piloter l'espace de travail Concierge au moyen de la console. Sa dénomination sociale complète, son nom commercial, son adresse, son numéro d'immatriculation, son adresse e-mail de contact pour les questions de confidentialité, ainsi que le nom et la fonction de la personne qui a accepté en son nom, sont ceux enregistrés avec son acceptation dans la console. Rôle : responsable du traitement.

Importateur de données : DCI Brands LLC (« Vavus », le sous-traitant), 312 W 2nd Street, Casper, WY 82601, United States (numéro de dépôt auprès du Secretary of State du Wyoming 2017-000762309) ; activités en rapport avec le transfert : fourniture du service Concierge au titre du présent DPA ; contact pour les questions de protection des données : support@vavusai.com. Rôle : sous-traitant.

Signature et date : pour l'exportateur de données, son acceptation du présent DPA enregistrée dans la console (version, date et heure, et personne ayant accepté) ; pour l'importateur de données, notre publication du présent DPA dans cette version, comme le prévoit l'article 13.

Catégories de personnes concernées : les visiteurs, clients, clients potentiels et membres du personnel du titulaire de l'espace de travail dont les informations sont fournies au service.

Catégories de données à caractère personnel : identifiants fournis par le visiteur (nom, numéro de téléphone, adresse e-mail), contenu des conversations (messages, audio vocal, transcriptions et tout enregistrement mis en œuvre par le titulaire de l'espace de travail), registres de contacts et de réservations que l'assistant crée à la suite des actions du visiteur, données techniques de session (horodatages, canal, langue), et données à caractère personnel contenues dans les contenus que le titulaire de l'espace de travail importe dans les connaissances de l'assistant ou dans les échantillons vocaux qu'il fournit pour créer une voix personnalisée.

Données sensibles : le service ne collecte pas systématiquement de données relevant des catégories particulières. Lorsque la configuration d'un titulaire d'espace de travail rend prévisible la présence d'informations de santé (espaces de travail configurés pour le secteur de la santé), l'accès est limité aux membres du personnel qui en ont besoin et est journalisé, et le titulaire de l'espace de travail reste responsable de veiller à ce que leur collecte repose sur sa propre base juridique et ses propres instructions.

Fréquence et durée : en continu, pendant toute la durée de vie de l'espace de travail, au fil des sessions, des réservations et de l'utilisation de la console ; la conservation suit les articles 3 et 9. Nature et finalité : collecte, transmission, organisation, conservation, extraction, traduction, génération de réponses, communication au personnel autorisé et aux sous-traitants ultérieurs figurant à l'annexe III, et suppression, afin de fournir Concierge sur les instructions du titulaire de l'espace de travail. Les transferts ultérieurs sont limités à ceux prévus par la clause 9, l'article 6 et la liste figurant à l'annexe III.

Pour les transferts régis par le RGPD, l'autorité de contrôle compétente est déterminée par la clause 13, point a) : lorsque le titulaire de l'espace de travail (en qualité d'exportateur de données) est établi dans un État membre, l'autorité de contrôle chargée de veiller au respect du RGPD par le titulaire de l'espace de travail en ce qui concerne le transfert ; lorsque le titulaire de l'espace de travail n'est pas établi dans un État membre mais relève de l'article 3, paragraphe 2, du RGPD et a désigné un représentant conformément à l'article 27, paragraphe 1, l'autorité de contrôle de l'État membre dans lequel ce représentant est établi ; et lorsque le titulaire de l'espace de travail n'est pas établi dans un État membre, relève de l'article 3, paragraphe 2, et n'est pas tenu de désigner un représentant conformément à l'article 27, paragraphe 2, l'autorité de contrôle de l'un des États membres dans lesquels se trouvent les personnes concernées dont les données à caractère personnel sont transférées dans le cadre de l'offre de biens ou de services qui leur est faite, ou dont le comportement fait l'objet d'un suivi.

Pour les transferts régis par le droit britannique de la protection des données, l'Information Commissioner, comme le prévoit l'article 14. Pour les transferts régis par la LPD, le Préposé fédéral à la protection des données et à la transparence, comme le prévoit l'article 15, en parallèle avec l'autorité susmentionnée lorsque le RGPD régit également le transfert.

Les mesures que l'importateur de données applique pour protéger les données, telles que décrites aux articles 4, 5, 8 et 9 du présent DPA :

• TLS pour les données en transit et chiffrement au repos dans l'ensemble du service
• Accès selon le principe du moindre privilège, limité par rôle, via la console authentifiée ; personnel soumis à des obligations de confidentialité
• Journalisation des accès pour les espaces de travail configurés pour le secteur de la santé et journalisation d'audit des actions administratives
• Enregistrements conservés dans un stockage d'objets à accès contrôlé
• Suppression sécurisée des fichiers dont la durée de conservation est écoulée ; sauvegardes chiffrées selon un cycle de vie documenté
• Sauvegardes chiffrées horaires, avec vérifications de restauration, pour la continuité et la reprise
• Surveillance des vulnérabilités des logiciels et des dépendances du service, avec application des correctifs
• Modifications déployées via un système de gestion de versions et un déploiement scripté avec contrôles de santé et retour arrière
• Mots de passe stockés uniquement sous forme de hachages salés ; comptes verrouillés après des échecs de connexion répétés
• Sécurité physique des centres de données assurée par Google Cloud dans le cadre de ses certifications
• Points de terminaison renforcés derrière un pare-feu applicatif web avec limitation du débit
• Notification des violations de données à caractère personnel au titulaire de l'espace de travail dans les meilleurs délais après en avoir pris connaissance, avec des informations et un suivi de manière échelonnée
• Aide pour les demandes des personnes concernées et pour les obligations du titulaire de l'espace de travail au titre des articles 32 à 36 du RGPD et des dispositions équivalentes du UK GDPR et de la LPD
• Contrats écrits avec les sous-traitants ultérieurs comportant, en substance, les mêmes obligations en matière de protection des données que le présent DPA

Les sous-traitants ultérieurs autorisés au titre de la clause 9, point a) (autorisation écrite générale), et de l'article 6, par fonction. Les modifications suivent les conditions de préavis et d'objection de l'article 6.

Les prestataires que le titulaire de l'espace de travail connecte lui-même – ses propres comptes de téléphonie ou de messagerie (tels que son propre compte Twilio ou le fournisseur de WhatsApp), son propre compte Stripe pour les paiements qu'il encaisse auprès de ses clients, et les systèmes d'agenda, de CRM, de gestion des tickets ou de boutique qu'il connecte – sont engagés directement par le titulaire de l'espace de travail sous sa propre autorité et ne sont pas nos sous-traitants ultérieurs.

• Google Cloud – hébergement et stockage dans le cloud (région principale aux États-Unis, nœud périphérique de l'UE à Francfort)
• Google – reconnaissance vocale, synthèse vocale, traduction et modèles d'IA
• OpenAI – modèles d'IA, reconnaissance vocale et synthèse vocale
• Anthropic – modèles d'IA
• ElevenLabs – reconnaissance vocale, synthèse vocale et voix personnalisées (non utilisé pour les espaces de travail configurés pour le secteur de la santé)
• AssemblyAI – reconnaissance vocale, lorsque le paramètre vocal de l'espace de travail l'utilise
• TypeSafe – routage sémantique des tours de conversation, lorsque les paramètres de l'assistant de l'espace de travail l'activent
• Twilio – téléphonie et SMS pour les numéros de téléphone que nous fournissons au titulaire de l'espace de travail
• Stripe – paiements relatifs au forfait Concierge et à l'utilisation propres du titulaire de l'espace de travail
• Resend – envoi d'e-mails
• Postal auto-hébergé sur notre propre infrastructure – envoi d'e-mails

Lorsque le California Consumer Privacy Act ou une autre loi d'un État américain en matière de vie privée s'applique aux données des visiteurs, le titulaire de l'espace de travail est le « business » ou le responsable du traitement (controller) et Vavus est son « service provider », son « contractor » ou son sous-traitant (processor), et les termes de la présente annexe ont le sens que leur donnent ces lois. Le titulaire de l'espace de travail ne nous communique des données de visiteurs qu'aux fins limitées et déterminées de la fourniture de Concierge telle que décrite dans le présent DPA et dans les Conditions de Concierge.

Nous nous engageons à : ne traiter les données des visiteurs qu'à cette fin et sur les instructions du titulaire de l'espace de travail, et ne jamais les vendre ni les partager ; ne pas les conserver, les utiliser ou les divulguer à une autre fin, y compris à une fin commerciale, ou en dehors de notre relation commerciale directe avec le titulaire de l'espace de travail ; ne pas les combiner avec des informations personnelles que nous recevons de quiconque ou que nous collectons nous-mêmes, sauf dans la mesure où ces lois le permettent pour fournir le service ; respecter les obligations que ces lois imposent aux service providers et accorder aux données des visiteurs le même niveau de protection de la vie privée que celui qu'elles exigent ; informer par écrit le titulaire de l'espace de travail si nous décidons que nous ne pouvons plus respecter ces obligations ; permettre au titulaire de l'espace de travail de prendre des mesures raisonnables et appropriées pour vérifier que nous utilisons les données des visiteurs d'une manière compatible avec ses propres obligations, y compris au moyen de l'article 10, et pour faire cesser et corriger toute utilisation non autorisée ; et informer le titulaire de l'espace de travail des nouveaux sous-traitants ultérieurs conformément à l'article 6, ce qui satisfait à l'obligation d'information prévue par ces lois. Nous certifions comprendre ces restrictions et nous engageons à les respecter.

Les demandes des visiteurs au titre de ces lois sont adressées au titulaire de l'espace de travail, et nous apportons notre aide comme le décrit l'article 8.

Le droit des États-Unis permet aux autorités publiques d'exiger, dans des circonstances définies, la divulgation de données à caractère personnel détenues par des prestataires de services (notamment l'article 702 du FISA (Foreign Intelligence Surveillance Act) et le décret présidentiel (Executive Order) 12333). Avant d'accepter les présentes Clauses, nous avons évalué le transfert au regard de ces lois et pratiques comme l'exige la clause 14, en tenant compte des circonstances particulières du transfert : des données d'assistance aux entreprises (identifiants, contenu des conversations, registres de réservations, données techniques de session), une chaîne de traitement courte (le titulaire de l'espace de travail, nous-mêmes et les sous-traitants ultérieurs figurant à l'annexe III), notre appréciation selon laquelle, en fournissant Concierge, nous n'agissons pas en tant que fournisseur de services de communications électroniques pour ce trafic, et les garanties contractuelles, techniques et organisationnelles en place. Nous maintenons cette évaluation à jour, la documentons et la mettons à la disposition de l'autorité de contrôle compétente sur demande.

Mesures supplémentaires : les mesures techniques et organisationnelles figurant à l'annexe II, la minimisation grâce à une collecte configurée par le titulaire de l'espace de travail, les droits d'audit prévus à l'article 10, et les obligations que nous acceptons au titre des clauses 14 et 15 – informer le titulaire de l'espace de travail d'une demande de divulgation juridiquement contraignante lorsque la loi le permet, chercher à obtenir la levée de toute interdiction de notification et fournir des informations agrégées à intervalles réguliers, examiner la légalité d'une demande et la contester lorsqu'il existe des motifs raisonnables de la considérer comme illicite, et ne divulguer que le minimum d'informations autorisé. Si nous concluons que nous ne sommes plus en mesure de respecter les Clauses, nous en informerons rapidement le titulaire de l'espace de travail, qui pourra suspendre le transfert comme le prévoient les Clauses. Si une décision d'adéquation vient à couvrir un transfert (par exemple, si nous obtenons une certification au titre de l'EU-US Data Privacy Framework), les Clauses ne s'appliquent à ce transfert que dans la mesure où la décision d'adéquation ne le couvre pas.

Pour les transferts depuis le Royaume-Uni, l'évaluation des risques liés au transfert prévue à l'article 14 s'applique. Pour les transferts depuis la Suisse, la présente évaluation s'applique, lue en référence à la LPD, comme le prévoit l'article 15.