Le présent Contrat de Sous-traitance des Données (« DPA ») fait partie intégrante du contrat conclu entre Emris AI Ltd. (« Emris », le « Sous-traitant ») et le client (le « Client », le « Responsable du traitement ») pour l'utilisation du Service. Il régit le traitement par Emris des données à caractère personnel pour le compte du Client.
Les termes commençant par une majuscule utilisés mais non définis ici ont le sens qui leur est donné dans le RGPD. « Législation applicable en matière de protection des données » désigne le Règlement général sur la protection des données de l'Union européenne (RGPD), le RGPD Royaume-Uni, la Loi fédérale suisse sur la protection des données, le California Consumer Privacy Act (CCPA/CPRA), ainsi que toute autre législation régissant le traitement des données à caractère personnel applicable aux parties.
Le Client est le Responsable du traitement des données à caractère personnel contenues dans les Données Client. Emris est le Sous-traitant (ou « Service Provider » au sens du CCPA) et ne traite les données à caractère personnel que sur la base des instructions documentées du Client, notamment telles qu'énoncées dans le présent DPA, dans la Commande et dans le cadre de l'utilisation du Service.
| Objet | Fourniture du Service Emris au Client. |
|---|---|
| Durée | Pendant la durée de l'abonnement et toute période postérieure à la résiliation requise par les présentes conditions. |
| Nature et finalité | Hébergement, traitement, transmission, affichage et analyse des Données Client afin de fournir au Client une intelligence de flotte assistée par IA. |
| Catégories de personnes concernées | Conducteurs, répartiteurs, gestionnaires de flotte, administrateurs et autres personnels autorisés du Client. |
| Catégories de données à caractère personnel | Identifiants (nom, matricule salarié, coordonnées) ; données opérationnelles (événements moteur, position GPS, vitesse, consommation de carburant, temps d'arrêt) ; données de planning et de dépenses lorsqu'elles sont connectées (entrées d'agenda, lignes de dépenses par carte) ; données d'utilisation du produit (requêtes, paramètres). |
| Données sensibles | Non traitées sciemment. Le Client ne doit pas soumettre de données à caractère personnel de catégorie particulière sans accord préalable. |
Emris ne traitera les données à caractère personnel que sur la base des instructions documentées du Client, notamment telles que configurées via le Service, sauf obligation légale contraire. Emris informera le Client si elle estime qu'une instruction enfreint la Législation applicable en matière de protection des données.
Emris veille à ce que les membres du personnel autorisés à traiter les données à caractère personnel soient soumis à des obligations de confidentialité appropriées.
Emris met en œuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, notamment :
Le Client autorise Emris à faire appel à des sous-traitants ultérieurs pour exécuter certaines parties du Service. Une liste à jour est disponible dans le produit et sur demande. Emris informera le Client de toute modification envisagée au moins 30 jours avant l'ajout ou le remplacement d'un sous-traitant ultérieur. Le Client peut s'y opposer pour des motifs raisonnables tenant à la protection des données ; les parties travailleront alors de bonne foi à résoudre l'objection, à défaut de quoi le Client pourra résilier la portion concernée du Service moyennant un remboursement au prorata des frais prépayés.
Emris demeure responsable des actes et omissions de ses sous-traitants ultérieurs comme s'il s'agissait des siens.
Lorsque des données à caractère personnel sont transférées hors de l'EEE, du Royaume-Uni ou de la Suisse vers un pays ne bénéficiant pas d'une décision d'adéquation, les parties intègrent les Clauses Contractuelles Types de la Commission européenne (Module 2 : Responsable du traitement vers Sous-traitant, dans leur version mise à jour) ainsi que l'Avenant britannique aux transferts internationaux de données lorsque applicable. La signature de la Commande par le Client vaut acceptation de ces clauses.
Emris assistera le Client, par des mesures techniques et organisationnelles appropriées, dans l'exécution de ses obligations relatives aux demandes des personnes concernées au titre de la Législation applicable en matière de protection des données. Lorsque Emris reçoit directement une telle demande, elle la transmettra au Client sans retard injustifié.
Emris notifiera au Client, sans retard injustifié et en tout état de cause dans un délai de 72 heures, toute violation de données à caractère personnel affectant les Données Client dont elle aurait connaissance. La notification comprendra les informations raisonnablement nécessaires au Client pour respecter ses propres obligations de notification.
Sur demande, et compte tenu de la nature du traitement et des informations à la disposition d'Emris, Emris fournira une assistance raisonnable pour les analyses d'impact relatives à la protection des données (AIPD) et pour les consultations préalables auprès des autorités de contrôle.
Emris mettra à la disposition du Client toutes les informations raisonnablement nécessaires pour démontrer le respect du présent DPA, y compris les rapports d'audit tiers (tels que SOC 2 ou ISO 27001) lorsque cela est applicable. Le Client peut réaliser un audit au maximum une fois par an, moyennant un préavis d'au moins 30 jours, à ses propres frais, dans des limites raisonnables de confidentialité et de périmètre, sauf lorsqu'une autorité de contrôle exige une fréquence supérieure.
À la résiliation ou à l'expiration du Service, et au choix du Client, Emris restituera ou supprimera l'ensemble des données à caractère personnel dans un délai de 30 jours, sauf dans la mesure où leur conservation est requise par la loi. Les sauvegardes contenant des données à caractère personnel sont supprimées conformément au calendrier normal de rotation des sauvegardes.
La responsabilité des parties au titre du présent DPA est soumise aux limitations de responsabilité prévues dans le contrat principal. Aucune stipulation du présent DPA ne limite les droits d'une personne concernée au titre de la Législation applicable en matière de protection des données.
En cas de contradiction entre le présent DPA et le contrat principal, le présent DPA prévaut s'agissant du traitement des données à caractère personnel.
Emris peut mettre à jour le présent DPA de temps à autre afin de refléter les évolutions de la législation, des orientations des autorités de contrôle ou du Service. Toute modification substantielle sera notifiée au Client moyennant un préavis d'au moins 30 jours.
Emris AI Ltd.
Dublin, Irlande
privacy@emris.ai