Accord de traitement des données de DIRI AI

Le présent Accord de traitement des données (DPA) fait partie du contrat conclu entre un client professionnel, public ou autre client organisationnel (le Client) et František Mráz, IČO 07961731, exerçant sous le nom DIRI AI (le Sous-traitant), lorsque DIRI AI traite des Données personnelles du Client pour le compte de celui-ci.

1. Définitions et rôles

Droit applicable en matière de protection des données désigne le RGPD, le droit tchèque de la protection des données et toute autre loi sur la vie privée applicable au traitement concerné. Données personnelles du Client désigne les données à caractère personnel figurant dans le Contenu du Client que DIRI AI traite uniquement sur instructions documentées du Client. Incident de sécurité a le sens défini à la section 8.

Le Client est responsable du traitement ou sous-traitant, selon le cas. DIRI AI est sous-traitant ou sous-traitant ultérieur pour les Données personnelles du Client. DIRI AI demeure un responsable du traitement indépendant pour ses propres besoins de compte, de facturation, de prévention de la fraude, de conformité légale et d'administration de la sécurité décrits dans la Politique de confidentialité.

2. Champ d'application et durée

DIRI AI traitera les Données personnelles du Client uniquement pour fournir, sécuriser, assister et supprimer le service, comme décrit à l'Annexe 1 et dans les instructions documentées. Le présent DPA prend effet avec le contrat de service et se poursuit jusqu'à la suppression ou la restitution des Données personnelles du Client, sous réserve des conservations licites.

Le contrat de service, les paramètres, les demandes d'assistance et l'utilisation licite des fonctions documentées du produit constituent des instructions. Une instruction sortant du cadre du service standard peut exiger une modification écrite, une rémunération ou un examen technique. DIRI AI informera sans délai le Client si, selon son appréciation raisonnable, une instruction enfreint le Droit applicable en matière de protection des données et pourra suspendre le traitement concerné le temps que les parties règlent la question.

3. Obligations du Sous-traitant

DIRI AI :

• traitera les Données personnelles du Client uniquement sur instructions documentées, sauf si le droit de l'Union ou d'un État membre en dispose autrement ; lorsque cela est permis, elle en informera le Client avant ce traitement ;
• veillera à ce que les personnes autorisées à les traiter soient tenues à la confidentialité ;
• mettra en œuvre et maintiendra des mesures adaptées au risque, décrites à l'Annexe 2 ;
• aidera le Client, compte tenu de la nature du traitement et des informations disponibles, pour les droits des personnes concernées, la sécurité, l'évaluation des violations, les analyses d'impact relatives à la protection des données (AIPD) et les consultations des autorités de contrôle ;
• tiendra les registres et les informations nécessaires pour démontrer le respect de l'article 28 du RGPD ;
• avisera le Client si elle reçoit une demande contraignante d'une autorité concernant les Données personnelles du Client, sauf si la loi interdit cette information ; et
• ne vendra pas les Données personnelles du Client, ne les utilisera pas à des fins de publicité par des tiers, n'effectuera pas d'identification biométrique ni de reconnaissance des émotions, et n'entraînera pas de modèle à usage général à partir de celles-ci sans accord écrit distinct et base légale.

4. Obligations du Client

Le Client est responsable de la licéité, de la loyauté et de l'exactitude de ses instructions et des Données personnelles du Client. Il doit :

• fournir les informations requises et établir une base juridique valable ;
• configurer de manière proportionnée les accès, la conservation et les rôles ;
• éviter les données de catégories particulières, relatives aux infractions pénales, de cartes de paiement, d'identifiants de connexion, de santé ou de secrets de véritables clients, lorsqu'elles ne sont pas nécessaires ;
• assumer la consultation des salariés et collaborateurs, les règles de surveillance, les obligations envers les syndicats ou comités d'entreprise et la supervision humaine ;
• répondre aux personnes concernées et réaliser toute AIPD requise ; et
• veiller à ce que ses instructions n'utilisent pas DIRI AI à des fins interdites ou à haut risque.

5. Sous-traitants ultérieurs

Le Client donne une autorisation générale pour les sous-traitants ultérieurs figurant dans la Liste des sous-traitants ultérieurs en vigueur. DIRI AI imposera à chaque sous-traitant ultérieur des obligations de protection des données qui ne sont pas moins protectrices, en substance, que les obligations pertinentes du présent DPA et demeure responsable de son exécution dans la mesure requise par la loi.

DIRI AI doit donner un préavis d'au moins 30 jours d'un nouveau sous-traitant ultérieur qui traitera des Données personnelles du Client. Le Client peut s'y opposer pendant ce délai pour des motifs raisonnables de protection des données. Les parties rechercheront une garantie raisonnable ou une solution alternative. Si aucune n'est raisonnablement disponible, l'une ou l'autre partie peut résilier la fonction ou le service concerné sans pénalité pour la période prépayée non utilisée concernée.

Un remplacement urgent nécessaire pour des raisons de sécurité, de droit ou de continuité du service peut intervenir plus tôt, avec un avis donné dès que cela est raisonnablement possible. DIRI AI consigne et envoie ces avis par un canal de contact professionnel durable.

6. Transferts internationaux

DIRI AI n'effectuera pas de transfert restreint sans mécanisme licite. Selon le transfert, il peut s'agir d'une décision d'adéquation, des clauses contractuelles types applicables de la Commission européenne, de l'addendum britannique ou d'une autre garantie valable. DIRI AI réalisera et documentera une évaluation du transfert ainsi que des mesures supplémentaires raisonnables lorsque cela est requis.

À la demande raisonnable du Client, DIRI AI fournira les informations pertinentes sur les garanties, sous réserve des caviardages de confidentialité et de sécurité. La Liste des sous-traitants ultérieurs identifie les prestataires et les finalités ; le Registre des fournisseurs et des transferts de DIRI AI consigne les localisations et mécanismes de transfert applicables. Le siège d'un prestataire ou la région sélectionnée ne suffit pas, à lui seul, à prouver qu'aucun transfert n'a lieu.

7. Demandes des personnes concernées et assistance

Si DIRI AI reçoit une demande concernant des Données personnelles du Client, elle n'y répondra pas sur le fond, sauf sur instruction du Client ou lorsque la loi l'exige. Elle transmettra sans délai la demande lorsque le Client peut être identifié et fournira les fonctions disponibles d'exportation, de rectification et de suppression en libre-service.

Une assistance standard raisonnable est incluse. Une assistance disproportionnée, répétitive ou sur mesure peut être facturée, pour les clients professionnels et lorsque la loi le permet, à un tarif raisonnable convenu, mais DIRI AI ne facturera pas le travail causé par son propre manquement.

8. Incidents de sécurité et violations de données à caractère personnel

Un Incident de sécurité est une destruction, perte ou altération accidentelle ou illicite confirmée, ou une divulgation non autorisée de Données personnelles du Client ou un accès non autorisé à celles-ci. Il exclut les tentatives infructueuses qui ne compromettent pas les Données personnelles du Client, telles que les analyses bloquées ou les échecs de connexion.

DIRI AI notifiera le Client dans les meilleurs délais après avoir pris connaissance d'un Incident de sécurité. L'objectif opérationnel est une première notification dans un délai de 48 heures lorsque cela est raisonnablement possible, mais la norme juridique est celle des meilleurs délais. La notification comprendra les informations disponibles sur :

• la nature, le moment et les systèmes ou personnes concernées touchés ;
• les conséquences probables ;
• l'endiguement, l'atténuation et la remédiation ;
• un point de contact ; et
• les informations raisonnablement nécessaires aux obligations de notification du Client.

Les informations peuvent être fournies par phases. DIRI AI conservera les preuves pertinentes, coopérera avec le Client et fournira des mises à jour appropriées. La notification ne constitue pas un aveu de faute ou de responsabilité. Le Client décide s'il doit notifier une autorité de contrôle ou les personnes concernées, sauf si DIRI AI est soumise à une obligation légale indépendante.

Le délai de 48 heures est un objectif opérationnel et non une échéance garantie, et ne retarde aucune notification plus précoce exigée par la loi ou par le présent DPA.

9. Restitution et suppression

Pendant l'abonnement et la période d'exportation documentée, le Client peut exporter le Contenu du Client disponible dans un format couramment utilisé et lisible par machine. À la résiliation ou sur demande écrite, DIRI AI supprimera ou restituera les Données personnelles du Client, au choix du Client, sauf si la loi impose une conservation.

La suppression dans les systèmes actifs devrait être achevée dans un délai de 30 jours après la période de clôture ou d'exportation applicable. Les sauvegardes chiffrées isolées peuvent subsister jusqu'au cycle d'expiration vérifié du prestataire ; elles restent protégées, ne sont pas restaurées pour un usage ordinaire et seront de nouveau supprimées si elles sont restaurées dans le cadre d'une reprise après sinistre. Les enregistrements de facturation, de sécurité, de fraude, de réclamations et de conservation pour motif juridique ne sont conservés qu'au titre des finalités de DIRI AI en tant que responsable du traitement et de la Politique de conservation des données.

DIRI AI maintient des contrôles du cycle de vie pour la période d'exportation applicable, les tâches de suppression et le cycle d'expiration des sauvegardes du prestataire, et les réexamine après toute modification importante du cycle de vie ou du prestataire.

10. Audit et preuves

Sur demande écrite raisonnable, au plus une fois par an, DIRI AI fournira les informations nécessaires pour démontrer sa conformité, telles que le présent DPA, les informations sur les sous-traitants ultérieurs, la documentation de sécurité et les rapports indépendants disponibles. Des demandes supplémentaires sont admises après un Incident de sécurité important ou une exigence d'une autorité de contrôle.

Si ces informations sont insuffisantes, le Client peut demander un audit à distance proportionné, réalisé par un auditeur indépendant qualifié tenu à la confidentialité. Un audit sur site est un dernier recours, pendant les heures ouvrables normales, sans accès aux données d'autres clients ni atteinte à la sécurité. Le Client supporte les frais raisonnables de l'audit, sauf si celui-ci révèle un manquement important de DIRI AI. Aucune certification d'un prestataire n'est présentée comme une certification de DIRI AI.

11. Responsabilité et primauté

La responsabilité au titre du présent DPA suit le contrat de service, sauf dans la mesure où le Droit applicable en matière de protection des données n'autorise pas une limitation. En cas de conflit entre le présent DPA et le contrat de service sur le traitement des Données personnelles du Client, le présent DPA prévaut. Le droit impératif et les clauses contractuelles types applicables dûment signées prévalent sur l'un et l'autre.

12. Contact et conclusion

Contact vie privée : privacy@diriai.com. Le présent DPA ne fait partie d'un contrat que lorsque la version exacte 1.2.0 est mise à disposition avant la commande et incorporée par un contrat de service valable ou un bon de commande signé.

Version : 1.2.0. Date : 30 août 2026.

Annexe 1 — Détails du traitement

Annexe 2 — Mesures techniques et organisationnelles

Il s'agit d'exigences contractuelles minimales de conception, et non d'une certification :

1. Contrôle d'accès : comptes uniques, autorisation fondée sur les rôles et cloisonnée par locataire, moindre privilège, appartenance contrôlée par l'administrateur et revue des accès privilégiés.
2. Authentification et sessions : cookies de session protégés, transport sécurisé, limitation du débit, séparation des identifiants et des secrets et authentification multifacteur lorsqu'elle est proposée.
3. Séparation des locataires : identifiants de locataire et autorisation côté serveur pour le Contenu du Client et les actions d'administration ; tests d'accès inter-locataires.
4. Chiffrement : TLS pour les données prises en charge en transit et chiffrement au repos géré par le prestataire lorsqu'il est vérifié ; clés et secrets exclus du code source et des journaux.
5. Minimisation des données : enregistrement désactivé par défaut, télémétrie contrôlée, débogage restreint en production, aucune donnée complète de carte, filtrage du contenu dans les journaux et conservation configurable et courte.
6. Journalisation et surveillance : événements de sécurité et d'administration auditables, surveillance des erreurs assainie, alertes et preuves protégées avec limites d'accès et de conservation.
7. Disponibilité et reprise : surveillance de l'état du service, files d'attente et nouvelles tentatives lorsqu'elles sont appropriées, sauvegardes du prestataire, procédures de restauration et revue périodique de la reprise ; les offres standard n'incluent aucun objectif contractuel de reprise, sauf accord exprès.
8. Développement sécurisé : revue des modifications, tests automatisés, contrôles des dépendances et des secrets, séparation des environnements et modifications contrôlées en production.
9. Réponse aux incidents : processus documenté de tri, d'endiguement, de preuves, de notification et de retour d'expérience, avec un responsable du contact désigné.
10. Gestion des fournisseurs : examen du DPA et de la sécurité, évaluation de la région et des transferts, configuration au minimum de données et examen de la sortie et de la suppression.
11. Suppression et continuité : tâches de cycle de vie pour le contenu, les exportations, les journaux et les objets du prestataire ; expiration des sauvegardes et conservations pour motif juridique documentées séparément.
12. Personnel et gouvernance : confidentialité, accès selon le besoin d'en connaître, revue périodique des accès, formation à la vie privée et à la sécurité et registres des traitements.

Annexe 3 — Sous-traitants ultérieurs approuvés

La liste en vigueur à l'adresse https://diriai.com/en/legal/subprocessors est incorporée par renvoi. Un prestataire n'est autorisé par la présente Annexe que pour la fonction indiquée que DIRI AI utilise effectivement au titre d'un contrat applicable avec ce prestataire.