Traitement des données

1. Portée et incorporation

Ces Conditions font partie de l’accord lorsque Zayloft traite des Données Personnelles pour le compte du Client. Un accord de traitement signé qui les remplace expressément prévaut.

Si les parties ont signé un accord distinct de traitement des données qui remplace expressément les présentes Conditions pour le même traitement, l’accord signé prévaut. Les termes commençant par une majuscule qui ne sont pas définis ici ont le sens qui leur est donné dans les Conditions d’utilisation ou le Bon de commande applicables.

2. Rôles des parties

Le Client agit comme responsable du traitement, entreprise ou rôle équivalent pour les Données Personnelles Client, sauf lorsqu’il agit lui-même comme sous-traitant d’un autre responsable. Zayloft agit comme sous-traitant, prestataire, contractant ou rôle équivalent lorsqu’elle traite selon les instructions documentées du Client.

Chaque partie reste indépendamment responsable des Données personnelles qu’elle traite pour ses propres finalités en tant que responsable du traitement ou entreprise, notamment pour l’administration des comptes, la facturation, la sécurité, la conformité légale et ses propres opérations commerciales, le cas échéant.

3. Instructions du Client

Zayloft ne traite les Données Personnelles Client que sur instructions documentées figurant dans l’Accord, les paramètres produit, requêtes API, demandes de support ou autres instructions écrites licites. Si la loi impose un traitement différent, Zayloft informe le Client lorsque cela est légalement permis et peut suspendre une instruction manifestement problématique.

Si la loi applicable oblige Zayloft à traiter des Données personnelles du Client en dehors des instructions du Client, Zayloft en informera le Client avant le traitement, sauf si la loi interdit cette notification.

Zayloft notifiera le Client si, selon son appréciation raisonnable, une instruction enfreint la législation applicable en matière de protection des données. Zayloft peut suspendre le traitement concerné pendant que les parties examinent l’instruction.

4. Détails du traitement

L’objet, la durée, la nature, les finalités, les catégories de données et les personnes concernées figurent à l’Annexe 1 et peuvent être précisés dans un Order Form ou la configuration du service. Le Client détermine les données soumises et doit fournir des instructions licites et suffisamment précises.

Le Client détermine quelles Données personnelles du Client sont soumises aux Services et doit s’assurer que ses instructions sont licites, suffisamment précises et adaptées aux données concernées.

5. Confidentialité et personnel

Zayloft limite l’accès au personnel autorisé soumis à des obligations appropriées de confidentialité. Les accès sont gérés selon les rôles, projets, environnements et besoins opérationnels.

L’accès sera géré au moyen de contrôles de rôle, de projet, d’environnement et d’exploitation adaptés au Service et à la sensibilité des données.

6. Mesures de sécurité

Zayloft maintient des mesures techniques et organisationnelles appropriées en tenant compte de l’état de l’art, des coûts, de la nature, du contexte, des finalités et des risques. Les mesures de l’Annexe 2 s’appliquent selon le Service et peuvent évoluer sans réduire matériellement le niveau global de protection.

Les mesures comprennent les contrôles décrits à l’Annexe 2 selon leur applicabilité aux Services concernés. Zayloft peut mettre à jour les mesures de sécurité lorsque la mise à jour ne réduit pas de manière importante la protection globale des Données personnelles du Client.

7. Violations de Données Personnelles

Zayloft notifie le Client sans retard injustifié après avoir pris connaissance d’une Violation de Données Personnelles affectant des données traitées comme sous-traitant. Elle fournit les informations raisonnablement disponibles nécessaires à l’évaluation et aux obligations légales du Client.

La notification comprendra les informations raisonnablement disponibles pour Zayloft dont le Client a besoin pour évaluer l’incident et respecter les obligations de notification applicables, notamment la nature de l’incident, les données ou systèmes concernés, les conséquences probables et les mesures prises ou proposées.

La notification d’un incident ne constitue pas une reconnaissance de faute ou de responsabilité. Le Client reste responsable de déterminer si des notifications aux autorités ou aux Personnes concernées sont légalement requises, sauf si la loi applicable attribue directement cette obligation à Zayloft.

8. Demandes des personnes

Zayloft fournit une assistance raisonnable au Client pour répondre aux demandes d’exercice de droits. Si Zayloft reçoit directement une demande concernant des données contrôlées par le Client, elle peut renvoyer le demandeur vers le Client sauf instruction ou obligation légale contraire.

Si Zayloft reçoit directement une demande concernant des Données personnelles du Client pour lesquelles le Client est responsable du traitement, Zayloft peut orienter le demandeur vers le Client et ne répondra pas de manière indépendante sur le fond, sauf autorisation du Client ou obligation légale.

9. DPIA, consultations et assistance

Compte tenu de la nature du traitement et des informations disponibles, Zayloft apporte une assistance raisonnable concernant sécurité, violations, analyses d’impact et consultations préalables liées aux Services. Un travail personnalisé substantiel peut faire l’objet de frais convenus sauf lorsqu’il résulte d’un manquement de Zayloft.

L’assistance nécessitant un travail personnalisé important peut faire l’objet de frais convenus d’un commun accord, sauf si le besoin d’assistance résulte d’un manquement de Zayloft à l’Accord ou à la loi applicable.

10. Registres, informations et audits

Zayloft met à disposition les informations raisonnablement nécessaires pour démontrer le respect de ses obligations de sous-traitant. Lorsqu’un audit est requis, les parties privilégient les rapports, certifications, questionnaires ou documents disponibles; tout audit sur site doit être proportionné et protéger les autres clients.

Lorsque la loi applicable l’exige, le Client peut demander un audit ou une inspection concernant le traitement des Données personnelles du Client par Zayloft. Les parties utiliseront d’abord les rapports indépendants, certifications, questionnaires ou documents disponibles lorsqu’ils répondent raisonnablement à la demande.

Tout audit sur site doit être proportionné, coordonné à l’avance, éviter toute perturbation déraisonnable, protéger la confidentialité et les systèmes des autres clients et respecter des exigences raisonnables de sécurité.

11. Sous-traitants ultérieurs

Le Client donne une autorisation générale à Zayloft pour utiliser des sous-traitants ultérieurs. Zayloft impose des obligations écrites appropriées, reste responsable dans la mesure exigée par la loi et fournit le mécanisme de notification et d’opposition requis lorsqu’il s’applique.

Zayloft reste responsable de l’exécution de ses sous-traitants ultérieurs dans la mesure requise par la loi applicable et l’Accord.

Lorsque la loi applicable exige une notification des nouveaux sous-traitants ultérieurs et une possibilité d’opposition, Zayloft fournira le mécanisme de notification applicable. Toute opposition doit être fondée sur des motifs raisonnables de protection des données. Les parties travailleront de bonne foi à une solution commercialement raisonnable.

12. Informations sur les sous-traitants

Les catégories peuvent comprendre infrastructure cloud, réseaux et canaux de communication, sécurité et monitoring, support, outils opérationnels, facturation et infrastructure IA ou données si activée. La liste réelle et actuelle doit être fournie via le canal compte, confiance, juridique ou support approprié.

Une liste actuelle des sous-traitants ultérieurs propre au service doit être disponible, lorsque nécessaire, via le compte, le canal de confiance, juridique ou d’assistance applicable. Zayloft n’inventera ni ne publiera de fournisseurs qui ne sont pas réellement utilisés.

13. Retour et suppression

À la fin des Services, Zayloft supprime ou restitue les Données Personnelles Client selon le choix du Client et les fonctionnalités disponibles, sauf conservation imposée par la loi. Les backups, logs et cycles techniques peuvent nécessiter un délai supplémentaire pendant lequel les données restent protégées.

La suppression peut être soumise à des cycles raisonnables de sauvegarde, de reprise après sinistre, de journaux de sécurité et de suppression technique. Les données conservées uniquement parce que la suppression n’est pas encore techniquement terminée ou parce que la loi l’exige resteront protégées et ne seront pas utilisées à des fins sans rapport.

Le Client est responsable de l’exportation des informations dont il a besoin avant la fermeture du compte ou l’expiration d’une période d’exportation applicable.

14. Transferts transfrontaliers

Zayloft et ses sous-traitants peuvent traiter les données dans d’autres pays lorsque l’Accord et la loi le permettent. Lorsqu’un transfert restreint exige un mécanisme juridique, les parties utilisent une décision d’adéquation, des clauses contractuelles approuvées, des règles d’entreprise contraignantes ou un autre mécanisme valide.

Lorsqu’un transfert restreint nécessite un mécanisme juridique de transfert, les parties utiliseront un mécanisme valable applicable au transfert, tel qu’une décision d’adéquation, des clauses contractuelles types approuvées, des règles d’entreprise contraignantes, un mécanisme de certification approuvé lorsqu’il est disponible, ou un autre mécanisme reconnu par la loi applicable.

Lorsque les Clauses contractuelles types de l’UE, l’IDTA ou l’Addendum du Royaume-Uni, les clauses suisses de transfert ou un autre instrument prescrit doivent être complétés par des choix propres aux parties, celles-ci exécuteront ou incorporeront le module et les informations d’annexe adaptés au transfert concerné plutôt que d’inventer une juridiction ou un choix ne correspondant pas à la relation contractuelle réelle.

15. EEE, Royaume-Uni et Suisse

Pour les traitements soumis au GDPR ou UK GDPR, Zayloft respecte les obligations applicables de sous-traitant concernant instructions, confidentialité, sécurité, sous-traitants, assistance, restitution ou suppression et démonstration de conformité. Les instruments UE, Royaume-Uni ou Suisse seront complétés selon les rôles et lieux réels.

Pour un transfert soumis au Chapitre V du RGPD ou aux règles de transfert correspondantes du Royaume-Uni, le mécanisme de transfert applicable et les garanties supplémentaires seront identifiés en fonction du transfert réel, des lieux et des rôles des parties.

Lorsque la législation suisse sur la protection des données s’applique, les références aux concepts du RGPD seront interprétées comme incluant les exigences suisses équivalentes dans la mesure nécessaire au traitement concerné.

16. Californie et autres États américains

Lorsque Zayloft agit comme service provider, contractor ou processor au titre d’une loi d’un État américain, elle traite les Informations Personnelles uniquement pour les finalités limitées permises. Elle ne vend pas les Informations Personnelles Client et ne les combine, conserve, utilise ou divulgue pas d’une manière interdite par la loi applicable.

Zayloft ne vendra pas les Informations personnelles du Client et ne les conservera, utilisera ou divulguera pas en dehors de la relation commerciale directe ni à des fins interdites à un prestataire de services, contractant ou sous-traitant par la loi applicable. Zayloft ne combinera pas les Informations personnelles du Client avec d’autres Informations personnelles lorsque cette combinaison est interdite, sauf dans la mesure légalement permise.

Zayloft fournira l’assistance requise pour les demandes vérifiées des consommateurs et informera le Client si elle détermine qu’elle ne peut plus respecter une obligation applicable de prestataire de services, contractant ou sous-traitant.

17. Brésil

Lorsque la LGPD brésilienne s’applique et que le Client est controlador tandis que Zayloft est operador, Zayloft suit les instructions licites et les obligations applicables à l’operador. Les parties coopèrent sur sécurité, droits, incidents, registres et mécanismes de transfert requis par la loi brésilienne et l’ANPD.

Les parties maintiendront des mesures appropriées de sécurité et de gouvernance et coopéreront dans la mesure raisonnablement nécessaire concernant les droits des Personnes concernées, les incidents de sécurité et les dossiers ou évaluations légalement requis.

Les transferts transfrontaliers impliquant des Données personnelles soumises à la LGPD utiliseront, lorsque cela est requis, un mécanisme de transfert autorisé par le droit brésilien et la réglementation applicable de l’ANPD.

18. Communications et vérification

Les services de communication peuvent nécessiter le passage de données par réseaux, opérateurs, mailbox providers, infrastructure voix, canaux et participants de livraison. Le Client donne instruction pour ces transmissions nécessaires et reste responsable de ses listes, expéditeurs, contenus, consentements, opt-outs et exigences de destination.

Le Client demande à Zayloft d’effectuer les divulgations et transmissions nécessaires à la livraison, la réception, la vérification, le routage, le dépannage et au fonctionnement connexe du Service, sous réserve de l’Accord et de la loi applicable.

Le Client reste responsable de la licéité de ses listes de destinataires, identités d’expéditeur, contenus de communication, preuves de consentement, gestion des désinscriptions et instructions propres aux destinations.

19. IA et NLP

Si le Client active l’IA ou le NLP, il charge Zayloft de traiter prompts, documents, contenu récupéré, embeddings, outputs et métadonnées nécessaires. Les règles relatives aux sous-traitants et transferts s’appliquent aussi aux fournisseurs externes de modèles ou infrastructure.

Zayloft appliquera à ce traitement les paramètres du service et restrictions contractuelles applicables. Le Client ne doit pas soumettre de données sensibles ou réglementées à une fonctionnalité d’IA sauf si cela est nécessaire, autorisé et adapté au service configuré.

Si un fournisseur externe de modèle ou d’infrastructure est utilisé comme sous-traitant ultérieur, les dispositions des présentes Conditions relatives aux sous-traitants et aux transferts s’appliquent à ce traitement.

20. Obligations du Client

Le Client est responsable des avis légaux, de la base juridique, des réponses aux personnes lorsqu’il est responsable et de la légalité de ses instructions. Il protège aussi ses systèmes, credentials, endpoints, appareils, utilisateurs et intégrations.

Le Client utilisera des mesures de sécurité raisonnables pour ses propres systèmes, identifiants, points de terminaison, appareils, utilisateurs et intégrations et informera rapidement Zayloft de tout identifiant compromis ou incident de sécurité côté Client pouvant affecter les Services.

Le Client ne demandera pas à Zayloft de traiter des données qu’il lui est interdit de collecter, utiliser ou divulguer.

21. Demandes gouvernementales et tierces

Si Zayloft reçoit une demande gouvernementale juridiquement contraignante visant des Données Personnelles Client, elle informe le Client lorsque la loi le permet et peut contester ou limiter la demande lorsqu’une base légale raisonnable existe. Elle ne divulgue que ce qu’elle estime légalement requis.

Zayloft ne divulguera que les informations qu’elle estime raisonnablement être légalement requises et appliquera les garanties disponibles adaptées à la demande et à la loi applicable.

22. Responsabilité et priorité

La responsabilité liée à ces Conditions est soumise aux exclusions, plafonds et recours de l’Accord sauf interdiction par la loi de protection des données. Un DPA ou instrument de transfert signé prévaut sur les conditions générales incompatibles pour les questions de traitement.

Pour les questions de traitement des données, un Accord de traitement des données ou instrument de transfert expressément signé par les parties prévaut sur des conditions générales incompatibles. Le Bon de commande applicable peut compléter les détails du traitement sans réduire les protections obligatoires.

23. Durée et survie

Ces Conditions s’appliquent tant que Zayloft traite des Données Personnelles pour le compte du Client. Les obligations de confidentialité, suppression et protections qui doivent survivre continuent pendant la période applicable.

24. Contact confidentialité

Les questions de confidentialité ou traitement peuvent être envoyées à support@zayloft.com avec “Data Processing” ou “Privacy request”. Pour un instrument de transfert, une revue sécurité ou un annexe spécifique, le Client doit identifier le compte, les Services, l’entité contractante et les lieux concernés.

Si le Client exige la signature d’un instrument de transfert, un examen de sécurité ou un calendrier de traitement propre à un service, il doit identifier le compte, les services, l’entité contractante et les lieux de traitement concernés afin que les documents appropriés puissent être complétés.