Accord de sous-traitance des données

Objet. Fournir au client un outil de vérification des tiers : lecture des pièces déposées, confrontation aux registres publics, criblage contre des listes de sanctions et de personnes politiquement exposées, conservation des dossiers et du journal d'audit, production de rapports.

Durée. Celle du contrat, prolongée du délai de restitution et de suppression prévu à l'article 9.

Nature des opérations. Collecte par dépôt, extraction du texte des pièces, enregistrement, organisation, consultation, rapprochement avec des listes publiques, conservation, export et suppression.

Personnes concernées. Les dirigeants, représentants légaux, bénéficiaires effectifs, associés et contacts des entreprises que le client vérifie ; les utilisateurs du client.

Catégories de données. Identité (nom, prénom), qualité ou fonction, nationalité et pays de résidence lorsqu'ils figurent sur une pièce, part détenue dans le capital, date de la déclaration ; le contenu des pièces déposées ; les correspondances relevées lors du criblage et les décisions prises à leur sujet ; les notes de conformité ; la trace des actions des utilisateurs.

Le service n'est pas conçu pour traiter des données de santé, des opinions ou d'autres catégories particulières de données. Le résultat d'un criblage peut toutefois révéler qu'une personne figure sur une liste de sanctions : le client traite cette information sous sa propre responsabilité et selon le fondement que lui confère la loi.

L'éditeur ne traite les données que sur instruction documentée du client. Les conditions générales, cet accord et l'usage que le client fait des fonctions du service constituent ces instructions. L'éditeur n'utilise pas les données à ses propres fins : il ne les vend pas, ne les communique pas à des fins commerciales et ne s'en sert pas pour entraîner un modèle.

Si une instruction lui paraît contraire au RGPD, l'éditeur en informe le client sans délai. S'il est tenu par la loi de traiter des données autrement, il en informe le client avant le traitement, sauf si la loi l'interdit.

Les personnes autorisées par l'éditeur à accéder aux données sont tenues à la confidentialité. L'accès aux données d'un client par l'administration de la plateforme n'est pas ouvert par défaut : les données de chaque organisation sont cloisonnées dans la base elle-même, et non par l'interface seule.

L'éditeur met en œuvre les mesures techniques et organisationnelles décrites en annexe, appropriées au risque au sens de l'article 32 du RGPD. Il peut les faire évoluer, à condition de ne pas en abaisser le niveau.

Le client donne une autorisation générale à l'éditeur de recourir aux sous-traitants ultérieurs listés ci-dessous. L'éditeur informe le client de tout ajout ou remplacement au moins trente jours à l'avance ; le client peut s'y opposer pour un motif raisonnable lié à la protection des données, et, à défaut d'accord, résilier sans pénalité avant la date du changement. L'éditeur impose à chaque sous-traitant ultérieur des obligations de protection au moins équivalentes et reste responsable de leur exécution.

Certains sous-traitants ultérieurs sont établis aux États-Unis ou peuvent y accéder aux données, comme l'indique le tableau ci-dessus. Ces transferts reposent sur une décision d'adéquation lorsqu'elle s'applique au prestataire, ou sur les clauses contractuelles types adoptées par la Commission européenne.

La synthèse rédigée par un modèle d'Anthropic n'est produite que lorsqu'un utilisateur la demande. Elle ne reçoit pas le nom des bénéficiaires effectifs : seulement leur rang, leur part et leur pays.

8.1. Droits des personnes. Le service permet au client de consulter, corriger, exporter et supprimer les données qu'il y a déposées. L'éditeur transmet au client, sans y répondre lui-même, toute demande d'une personne concernée qui lui parviendrait directement.

8.2. Violations de données. L'éditeur notifie au client toute violation de données personnelles le concernant dans les quarante-huit heures suivant sa découverte, avec les informations prévues à l'article 33.3 du RGPD disponibles à ce moment, puis les complète au fur et à mesure.

8.3. Analyses d'impact. L'éditeur fournit au client les informations dont il dispose pour conduire une analyse d'impact ou consulter l'autorité de contrôle.

À la fin du contrat, le client dispose de trente jours pour exporter ses dossiers et rapports. À l'issue de ce délai, l'éditeur supprime les données du client de la base et du stockage des pièces, et en confirme la suppression par écrit sur demande.

Deux réserves, qui tiennent à la façon dont le service est construit : le journal d'audit est inaltérable, parce qu'il sert de preuve des diligences du client ; les entrées rattachées à un utilisateur supprimé y sont pseudonymisées, pas effacées. Et les sauvegardes quotidiennes, chiffrées, sont remplacées au fil de l'eau et disparaissent au plus tard quatre-vingt-dix jours après la suppression ; elles ne sont pas restaurées pour un autre usage que la reprise après incident.

Le client qui est lui-même tenu de conserver ses dossiers de vigilance après la fin de la relation d'affaires en assure la conservation à partir de son export.

L'éditeur met à la disposition du client les informations nécessaires pour démontrer le respect de cet accord, et répond à ses questionnaires de sécurité. Le client peut, à ses frais et moyennant un préavis de trente jours, faire réaliser un audit par un auditeur indépendant tenu au secret, au plus une fois par an sauf violation de données avérée. L'audit ne peut porter atteinte à la sécurité du service ni aux données d'autres clients.

• Cloisonnement des organisations dans la base de données par des politiques d'accès appliquées à chaque ligne, éprouvées par un jeu de vérifications automatiques.
• Pièces déposées conservées dans un espace privé, accessibles seulement par des liens signés à durée limitée, et vérifiées à l'entrée sur leur contenu réel, pas sur leur extension.
• Second facteur d'authentification disponible pour chaque utilisateur et exigé par la base elle-même dès qu'il est activé ; codes de secours conservés sous forme d'empreinte ; à l'inscription, un mot de passe figurant dans une fuite connue est refusé.
• Chiffrement des échanges entre le navigateur et le service (HTTPS).
• Journal d'audit inaltérable des actions portant sur les dossiers, rattaché à l'utilisateur qui les accomplit.
• Sauvegarde quotidienne de la base, chiffrée avant d'être conservée, et restauration éprouvée dans une base distincte puis comparée table par table à l'original.
• Base de données et stockage hébergés dans l'Union européenne (Irlande) ; rendu du site épinglé à Paris.