A.1 Objet. La présente annexe encadre, conformément à l'article 28 du RGPD, les traitements de données personnelles réalisés par CircleMind (le « Sous-traitant ») pour le compte du Client (le « Responsable de traitement ») dans le cadre des Services.
A.2 Description des traitements.
- Finalités : adaptation des Documents en Versions accessibles, reconnaissance et structuration de texte, traduction automatique, hébergement et diffusion des Versions accessibles, statistiques de lecture.
- Opérations : réception, extraction, transformation, traduction, stockage, mise à disposition, restitution et suppression.
- Données : données personnelles éventuellement contenues dans les Documents (noms, coordonnées, photographies, autres informations figurant dans les supports) ; données de lecture associées à un identifiant aléatoire (progression, durée, aides à la lecture utilisées).
- Personnes concernées : personnes mentionnées dans les Documents ; Lecteurs.
- Durée : durée du Contrat, puis période de réversibilité et de suppression prévue à l'article 19.
A.3 Instructions documentées. CircleMind traite les données uniquement sur instruction documentée du Client, sauf obligation légale. Le Contrat, le Devis et les paramétrages réalisés par le Client dans son Organisation constituent les instructions initiales. CircleMind informe le Client si une instruction lui paraît contraire à la réglementation.
A.4 Confidentialité. Les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité, et l'accès aux données est limité à celles qui en ont besoin pour fournir les Services ou en assurer la maintenance.
A.5 Sécurité. CircleMind met en œuvre des mesures techniques et organisationnelles adaptées aux risques, conformément à l'article 32 du RGPD, notamment :
- le chiffrement des échanges (HTTPS) ;
- l'authentification des Utilisateurs autorisés et le contrôle, à chaque accès, des droits sur chaque Document ;
- la séparation logique des données entre Organisations ;
- la limitation des accès internes aux seules personnes habilitées.
A.6 Sous-traitants ultérieurs. Le Client autorise CircleMind à recourir aux sous-traitants ultérieurs suivants :
- WISTEE S.A.S. (France) : hébergement de la Plateforme Pro et des Documents ;
- Mistral AI (France) : reconnaissance de texte et adaptation automatisée ;
- DeepL SE (Allemagne) : traduction automatique.
CircleMind impose à ses sous-traitants ultérieurs des obligations de protection des données conformes à l'article 28 du RGPD et demeure responsable de leur respect. Elle informe le Client de tout ajout ou remplacement au moins trente (30) jours à l'avance, sauf urgence légale ou technique. Le Client peut présenter une objection motivée ; à défaut de solution acceptable, il peut résilier le Contrat sans frais.
A.7 Transferts hors de l'Espace économique européen. Tout transfert de données personnelles hors de l'Espace économique européen est encadré conformément au chapitre V du RGPD, notamment par les clauses contractuelles types de la Commission européenne et les mesures complémentaires nécessaires.
A.8 Assistance. Compte tenu de la nature du traitement et des informations dont elle dispose, CircleMind aide le Client à répondre aux demandes d'exercice des droits des personnes concernées, à gérer les incidents de sécurité, à réaliser les analyses d'impact et à préparer les consultations préalables de l'autorité de contrôle.
A.9 Violations de données. CircleMind notifie au Client toute violation de données personnelles concernant les traitements réalisés pour son compte dans un délai de quarante-huit (48) heures après en avoir pris connaissance. La notification décrit la nature de l'incident, les données concernées, ses conséquences probables et les mesures prises ou envisagées ; les informations complémentaires sont transmises à mesure de leur disponibilité. Le Client demeure responsable de ses propres notifications à l'autorité de contrôle et aux personnes concernées.
A.10 Audits. CircleMind met à la disposition du Client les informations nécessaires pour démontrer le respect de la présente annexe. Le Client peut faire réaliser un audit une fois par an au plus, moyennant un préavis de trente (30) jours, à ses frais sauf manquement avéré de CircleMind. Ces limites ne s'appliquent pas aux vérifications rendues nécessaires par un incident ou une obligation légale.
A.11 Données sensibles. Le Client limite les données transmises à celles nécessaires. Il s'abstient d'inclure dans les Documents des catégories particulières de données au sens de l'article 9 du RGPD, notamment des données de santé, sauf nécessité, après s'être assuré d'une base légale appropriée et en avoir informé CircleMind. CircleMind peut refuser un traitement lorsque les garanties nécessaires ne sont pas disponibles.
A.12 Fin du traitement. Au terme des Services, CircleMind permet au Client de récupérer ses données dans les conditions de l'article 19, puis les supprime, sauf obligation légale de conservation. Les données conservées en application de la loi restent protégées et ne sont pas utilisées à d'autres fins.
A.13 Obligations du Client. En tant que responsable de traitement, le Client détermine les finalités, bases légales et durées de conservation, informe les personnes concernées, respecte le principe de minimisation, fournit des instructions licites, réalise les analyses d'impact nécessaires et sécurise les accès de ses Utilisateurs autorisés.
A.14 Durée. La présente annexe s'applique aussi longtemps que CircleMind traite des données personnelles pour le compte du Client, y compris pendant la réversibilité et la suppression.