ACCORD DE TRAITEMENT DES DONNÉES À CARACTÈRE PERSONNEL

POLYWARE SAS, société par actions simplifiée, immatriculée sous le numéro SIREN 103 977 302, dont le siège social est situé 47 rue Vivienne, 75002 Paris, représentée par son Président, ci-après « Polyware » ou le « Sous-traitant »,

POLYWARE SAS, a French simplified joint-stock company, registered under number 103 977 302, having its registered office at 47 rue Vivienne, 75002 Paris, France, represented by its President, hereinafter “Polyware” or the “Processor”,

ET

AND

Le client identifié en page de signature, ci-après le « Client » ou le « Responsable du traitement »,

The client identified on the signature page, hereinafter the “Client” or the “Controller”,

Ci-après désignés ensemble les « Parties ».

Hereinafter together the “Parties”.

Les termes « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « personne concernée », « violation de données à caractère personnel » et « autorité de contrôle » ont le sens qui leur est donné par le RGPD.

The terms “personal data”, “processing”, “controller”, “processor”, “data subject”, “personal data breach” and “supervisory authority” have the meaning given to them in the GDPR.

« RGPD » désigne le Règlement (UE) 2016/679.

“GDPR” means Regulation (EU) 2016/679.

« Loi Informatique et Libertés » désigne la loi n° 78-17 du 6 janvier 1978 modifiée.

“French Data Protection Act” means Law No. 78-17 of 6 January 1978, as amended.

« Service » désigne la plateforme brome.ai et les services associés fournis par Polyware.

“Service” means the brome.ai platform and related services provided by Polyware.

« Contrat Principal » désigne les conditions générales d'utilisation et/ou le contrat d'abonnement conclu entre les Parties.

“Main Agreement” means the terms of service and/or subscription agreement entered into between the Parties.

« Sous-traitant Ultérieur » désigne tout sous-traitant engagé par Polyware pour l'exécution du Service.

“Sub-processor” means any processor engaged by Polyware to perform the Service.

« CCT » désigne les clauses contractuelles types adoptées par la décision d'exécution (UE) 2021/914 de la Commission.

“SCCs” means the standard contractual clauses adopted by Commission Implementing Decision (EU) 2021/914.

2.1. Le présent accord (« DPA ») complète le Contrat Principal et définit les conditions dans lesquelles Polyware traite des données à caractère personnel pour le compte du Client, conformément à l'article 28 du RGPD.

2.1. This data processing agreement (“DPA”) supplements the Main Agreement and sets out the terms on which Polyware processes personal data on behalf of the Client, in accordance with Article 28 GDPR.

2.2. Le Client agit en qualité de responsable du traitement (ou de sous-traitant lorsqu'il traite lui-même des données pour le compte d'un tiers). Polyware agit en qualité de sous-traitant (ou de sous-traitant ultérieur).

2.2. The Client acts as controller (or as processor where it itself processes data on behalf of a third party). Polyware acts as processor (or sub-processor).

2.3. La nature, la finalité, la durée du traitement, les catégories de données et les catégories de personnes concernées sont décrites en Annexe I.

2.3. The nature, purpose and duration of the processing, the categories of data and the categories of data subjects are described in Annex I.

2.4. Le présent DPA prend effet à la date de souscription au Service et demeure en vigueur tant que Polyware traite des données à caractère personnel pour le compte du Client.

2.4. This DPA takes effect on the date of subscription to the Service and remains in force for as long as Polyware processes personal data on behalf of the Client.

2.5. En cas de contradiction entre le présent DPA et le Contrat Principal, le présent DPA prévaut pour les questions relatives à la protection des données à caractère personnel.

2.5. In the event of a conflict between this DPA and the Main Agreement, this DPA prevails on matters relating to the protection of personal data.

2.6. Le présent DPA est publié à l'adresse https://brome.ai/legal/dpa et incorporé par référence au Contrat Principal. Il est réputé accepté par le Client lors de la souscription au Service. Un exemplaire signé par les deux Parties est remis sur simple demande écrite adressée à [email protected].

2.6. This DPA is published at https://brome.ai/legal/dpa and incorporated by reference into the Main Agreement. It is deemed accepted by the Client upon subscription to the Service. A copy signed by both Parties is provided on written request to [email protected].

3.1. Le Client garantit qu'il dispose d'une base légale valable au titre des articles 6 et, le cas échéant, 9 du RGPD pour l'ensemble des données à caractère personnel qu'il soumet au Service, y compris celles contenues dans les requêtes (prompts), les fichiers téléversés et les contenus générés.

3.1. The Client warrants that it has a valid legal basis under Articles 6 and, where applicable, 9 GDPR for all personal data it submits to the Service, including data contained in prompts, uploaded files and generated content.

3.2. Le Client est seul responsable de l'information des personnes concernées et du respect de leurs droits à son égard.

3.2. The Client is solely responsible for informing data subjects and for complying with their rights vis-à-vis the Client.

3.3. Le Client s'engage à ne pas soumettre au Service de données relevant des catégories particulières visées à l'article 9 du RGPD, ni de données relatives à des condamnations pénales (article 10), sauf accord écrit préalable de Polyware précisant les mesures complémentaires applicables.

3.3. The Client undertakes not to submit to the Service any special categories of data within the meaning of Article 9 GDPR, nor data relating to criminal convictions (Article 10), unless Polyware has given prior written agreement specifying the additional measures that apply.

3.4. Le Client est responsable de la configuration du Service, de la gestion des comptes utilisateurs et des droits d'accès au sein de son organisation.

3.4. The Client is responsible for the configuration of the Service, for managing user accounts and for access rights within its organisation.

3.5. Le Client reconnaît que le Service recourt à des modèles d'intelligence artificielle fournis par des tiers, listés en Annexe III, et que la sélection du modèle utilisé relève de son choix.

3.5. The Client acknowledges that the Service relies on third-party artificial intelligence models, listed in Annex III, and that the selection of the model used is the Client's choice.

3.6. Lorsque l'offre souscrite le permet, l'administrateur désigné par le Client détermine les modèles accessibles à ses utilisateurs et, en particulier, si ceux-ci peuvent recourir à des modèles non compatibles avec la rétention nulle (article 7.4). Ce paramétrage relève du Client, qui en assume les conséquences au regard des traitements qu'il confie au Service.

3.6. Where the subscribed plan allows it, the administrator designated by the Client determines which models are accessible to its users and, in particular, whether they may use models that are not compatible with zero data retention (clause 7.4). That configuration is the Client's, and the Client bears its consequences with regard to the processing it entrusts to the Service.

4.1. Polyware traite les données à caractère personnel uniquement sur instruction documentée du Client, y compris en ce qui concerne les transferts vers un pays tiers, sauf obligation légale contraire au titre du droit de l'Union ou du droit français. Dans ce cas, Polyware informe le Client de cette obligation avant le traitement, sauf si le droit applicable l'interdit pour des motifs importants d'intérêt public.

4.1. Polyware processes personal data only on documented instructions from the Client, including with regard to transfers to a third country, unless required to do so by Union or French law; in such a case, Polyware shall inform the Client of that legal requirement before processing, unless the applicable law prohibits this on important grounds of public interest.

4.2. Le Contrat Principal, le présent DPA et l'utilisation du Service par le Client conformément à sa documentation constituent les instructions documentées du Client. Toute instruction complémentaire doit être formulée par écrit.

4.2. The Main Agreement, this DPA and the Client's use of the Service in accordance with its documentation constitute the Client's documented instructions. Any additional instruction must be given in writing.

4.3. Polyware informe immédiatement le Client si, à son avis, une instruction constitue une violation du RGPD ou d'une autre disposition du droit de l'Union ou du droit d'un État membre relative à la protection des données.

4.3. Polyware shall immediately inform the Client if, in its opinion, an instruction infringes the GDPR or other Union or Member State data protection provisions.

5.1. Polyware veille à ce que les personnes autorisées à traiter les données à caractère personnel s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.

5.1. Polyware ensures that persons authorised to process the personal data have committed themselves to confidentiality or are under an appropriate statutory obligation of confidentiality.

5.2. L'accès aux données du Client est limité aux personnes qui en ont besoin pour l'exécution du Service, selon le principe du moindre privilège, et fait l'objet d'une journalisation.

5.2. Access to Client data is limited to persons who need it to perform the Service, on a least-privilege basis, and is logged.

6.1. Polyware met en œuvre les mesures techniques et organisationnelles appropriées visées à l'article 32 du RGPD, décrites en Annexe II.

6.1. Polyware implements the appropriate technical and organisational measures referred to in Article 32 GDPR, as described in Annex II.

6.2. Polyware peut mettre à jour ces mesures, à condition que le niveau de sécurité ne soit pas dégradé.

6.2. Polyware may update those measures, provided that the level of security is not degraded.

6.3. Le Client reconnaît avoir évalué ces mesures et les juger appropriées au regard des risques présentés par ses traitements.

6.3. The Client acknowledges that it has assessed those measures and considers them appropriate to the risks presented by its processing.

7.1. Le Client autorise de manière générale Polyware à faire appel à des sous-traitants ultérieurs. La liste des sous-traitants ultérieurs en vigueur figure en Annexe III et est tenue à jour à l'adresse indiquée dans cette annexe.

7.1. The Client gives Polyware general authorisation to engage sub-processors. The current list of sub-processors is set out in Annex III and is kept up to date at the address stated in that annex.

7.2. Polyware informe le Client de tout ajout ou remplacement de sous-traitant ultérieur avec un préavis d'au moins trente (30) jours, par courriel et/ou par publication sur la page dédiée.

7.2. Polyware shall inform the Client of any addition or replacement of a sub-processor with at least thirty (30) days' prior notice, by email and/or by publication on the dedicated page.

7.3. Le Client peut s'opposer à un changement pour des motifs raisonnables et documentés liés à la protection des données, dans un délai de trente (30) jours à compter de la notification. À défaut de solution alternative raisonnable, le Client peut résilier le Service concerné sans pénalité, avec remboursement au prorata des sommes prépayées.

7.3. The Client may object to a change on reasonable and documented data protection grounds within thirty (30) days of the notification. Failing a reasonable alternative, the Client may terminate the affected Service without penalty, with a pro-rata refund of prepaid amounts.

7.4. Fournisseurs de modèles et rétention nulle. Pour chaque requête adressée à un modèle compatible, le Service impose au prestataire de routage le mode de rétention nulle (« zero data retention »), de sorte que ni le prestataire de routage ni le fournisseur du modèle ne conservent la requête ni la réponse. Certains modèles ne sont pas compatibles avec ce mode. Ils sont identifiés comme tels dans l'interface du Service, avant utilisation. Dans les offres le permettant, l'administrateur de l'organisation du Client détermine si ses utilisateurs peuvent recourir à de tels modèles. Le recours à un modèle non compatible constitue une instruction documentée du Client au sens de l'article 4.

7.4. Model providers and zero data retention. For every request sent to a compatible model, the Service instructs the routing provider to apply zero data retention, so that neither the routing provider nor the model provider retains the prompt or the response. Certain models are not compatible with that mode; they are identified as such in the Service interface, before use. On plans that allow it, the administrator of the Client's organisation determines whether its users may use such models. Using a non-compatible model constitutes a documented instruction of the Client within the meaning of clause 4.

7.5. Polyware impose contractuellement à chaque sous-traitant ultérieur des obligations de protection des données substantiellement équivalentes à celles du présent DPA et demeure pleinement responsable envers le Client de l'exécution par ce sous-traitant de ses obligations.

7.5. Polyware imposes on each sub-processor, by contract, data protection obligations substantially equivalent to those in this DPA, and remains fully liable to the Client for the performance by that sub-processor of its obligations.

8.1. Les requêtes, fichiers et contenus soumis par le Client sont transmis aux fournisseurs de modèles listés en Annexe III aux seules fins de générer la réponse demandée par le Client.

8.1. Prompts, files and content submitted by the Client are transmitted to the model providers listed in Annex III for the sole purpose of generating the output requested by the Client.

8.2. Polyware n'utilise pas les données du Client pour entraîner, affiner ou améliorer des modèles d'intelligence artificielle, qu'ils soient développés par Polyware ou par un tiers.

8.2. Polyware does not use Client data to train, fine-tune or improve artificial intelligence models, whether developed by Polyware or by a third party.

8.3. Polyware configure ses comptes auprès de ses prestataires d'inférence et de routage de sorte qu'aucune donnée du Client ne soit utilisée à des fins d'entraînement, d'affinage ou d'amélioration de produit. La rétention des requêtes et des réponses est régie par l'article 7.4. L'état de ces options par fournisseur est indiqué en Annexe III.

8.3. Polyware configures its accounts with its inference and routing providers so that no Client data is used for training, fine-tuning or product improvement. Retention of prompts and responses is governed by clause 7.4. The status of those options per provider is stated in Annex III.

8.4. Les sorties générées (outputs) sont conservées dans l'espace du Client et traitées selon les mêmes conditions que les autres données du Client.

8.4. Generated outputs are stored within the Client's workspace and processed under the same conditions as other Client data.

8.5. Le Client reconnaît qu'un modèle génératif peut produire des contenus inexacts. Lorsque ces contenus comportent des données à caractère personnel, il incombe au Client, en sa qualité de responsable du traitement, d'en vérifier l'exactitude avant tout usage produisant des effets à l'égard des personnes concernées.

8.5. The Client acknowledges that a generative model may produce inaccurate content. Where such content contains personal data, it is for the Client, as controller, to verify its accuracy before any use producing effects with regard to data subjects.

9.1. Les données du Client sont hébergées et traitées au sein de l'Union européenne par défaut, conformément à l'Annexe III.

9.1. Client data is hosted and processed within the European Union by default, in accordance with Annex III.

9.2. Lorsqu'un transfert vers un pays tiers est nécessaire, Polyware s'assure qu'il repose sur un mécanisme valable au titre du chapitre V du RGPD : décision d'adéquation (y compris, pour les entités américaines certifiées, le cadre de protection des données UE–États-Unis), clauses contractuelles types, ou autre garantie appropriée.

9.2. Where a transfer to a third country is necessary, Polyware ensures that it relies on a valid mechanism under Chapter V GDPR: an adequacy decision (including, for certified US entities, the EU–US Data Privacy Framework), standard contractual clauses, or another appropriate safeguard.

9.3. Lorsque les CCT s'appliquent, elles sont réputées incorporées au présent DPA, Module Deux (responsable du traitement vers sous-traitant) ou Module Trois (sous-traitant vers sous-traitant ultérieur) selon le rôle du Client, selon les modalités suivantes. Clause 9(a), option « autorisation générale écrite », avec un préavis de trente (30) jours. Clause 11(a), sans l'option d'organe de règlement des litiges. Clause 17, droit français. Clause 18(b), juridictions françaises. Les Annexes I, II et III du présent DPA valent Annexes I, II et III des CCT.

9.3. Where the SCCs apply, they are deemed incorporated into this DPA, Module Two (controller to processor) or Module Three (processor to sub-processor) according to the Client's role, with: the clause 9(a) “general written authorisation” option and a thirty (30) day notice period; clause 11(a) without the independent dispute resolution option; clause 17, French law; clause 18(b), French courts. Annexes I, II and III of this DPA serve as Annexes I, II and III of the SCCs.

9.4. Polyware met à disposition du Client, sur demande raisonnable, les informations nécessaires à la réalisation d'une analyse d'impact du transfert.

9.4. Polyware shall make available to the Client, on reasonable request, the information necessary to carry out a transfer impact assessment.

10.1. Droits des personnes concernées. Polyware met à disposition du Client des fonctionnalités permettant l'accès, la rectification, l'effacement et l'export des données. Si une demande d'une personne concernée est adressée directement à Polyware, celle-ci la transmet au Client sans délai indu et n'y répond pas elle-même, sauf instruction du Client.

10.1. Data subject rights. Polyware provides the Client with functionality enabling access, rectification, erasure and export of data. If a data subject request is addressed directly to Polyware, Polyware shall forward it to the Client without undue delay and shall not respond itself, unless instructed by the Client.

10.2. Polyware assiste le Client, compte tenu de la nature du traitement et des informations dont elle dispose, dans le respect des obligations prévues aux articles 32 à 36 du RGPD (sécurité, notification des violations, analyses d'impact et consultation préalable).

10.2. Polyware assists the Client, taking into account the nature of the processing and the information available to it, in ensuring compliance with the obligations under Articles 32 to 36 GDPR (security, breach notification, impact assessments and prior consultation).

10.3. Une assistance excédant de manière significative les efforts raisonnables peut faire l'objet d'une facturation au tarif horaire en vigueur, après information préalable du Client.

10.3. Assistance significantly exceeding reasonable effort may be charged at the then-current hourly rate, after prior notice to the Client.

11.1. Polyware notifie au Client toute violation de données à caractère personnel affectant les données du Client dans les meilleurs délais et, en tout état de cause, dans un délai de soixante-douze (72) heures après en avoir pris connaissance.

11.1. Polyware shall notify the Client of any personal data breach affecting Client data without undue delay and in any event within seventy-two (72) hours of becoming aware of it.

11.2. La notification décrit, dans la mesure des informations disponibles : la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d'enregistrements, les conséquences probables, les mesures prises ou proposées, et le point de contact.

11.2. The notification shall describe, to the extent information is available: the nature of the breach, the categories and approximate number of data subjects and records concerned, the likely consequences, the measures taken or proposed, and the contact point.

11.3. Polyware coopère avec le Client et documente la violation afin de permettre au Client de satisfaire à ses obligations au titre des articles 33 et 34 du RGPD. La notification à l'autorité de contrôle et aux personnes concernées incombe au Client.

11.3. Polyware shall cooperate with the Client and document the breach so as to enable the Client to meet its obligations under Articles 33 and 34 GDPR. Notification to the supervisory authority and to data subjects is the Client's responsibility.

12.1. Le Client peut exporter ses données à tout moment pendant la durée du Contrat Principal au moyen des fonctionnalités du Service.

12.1. The Client may export its data at any time during the term of the Main Agreement using the functionality of the Service.

12.2. À la fin de la fourniture du Service, Polyware supprime les données du Client dans un délai de trente (30) jours, ou les restitue au Client sur demande écrite formulée avant l'expiration de ce délai.

12.2. On termination of the provision of the Service, Polyware shall delete Client data within thirty (30) days, or return it to the Client on written request made before the expiry of that period.

12.3. Les sauvegardes chiffrées sont supprimées selon le cycle de rotation décrit en Annexe II, et en tout état de cause dans un délai de quatre-vingt-dix (90) jours.

12.3. Encrypted backups are deleted according to the rotation cycle described in Annex II, and in any event within ninety (90) days.

12.4. Polyware peut conserver les données dans la mesure requise par le droit de l'Union ou le droit français, pour la durée prévue par ce droit et dans les seules finalités qu'il impose.

12.4. Polyware may retain data to the extent required by Union or French law, for the period prescribed by that law and solely for the purposes it imposes.

13.1. Polyware met à la disposition du Client toutes les informations nécessaires pour démontrer le respect des obligations prévues à l'article 28 du RGPD.

13.1. Polyware shall make available to the Client all information necessary to demonstrate compliance with the obligations laid down in Article 28 GDPR.

13.2. Le Client peut, à ses frais, réaliser un audit ou le faire réaliser par un auditeur indépendant soumis à une obligation de confidentialité et n'étant pas un concurrent de Polyware, une fois par période de douze (12) mois, moyennant un préavis écrit de trente (30) jours, pendant les heures ouvrées, sans perturbation déraisonnable des activités de Polyware.

13.2. The Client may, at its own cost, conduct an audit or mandate an independent auditor bound by confidentiality and not a competitor of Polyware, once per twelve (12) month period, on thirty (30) days' written notice, during business hours, without unreasonable disruption to Polyware's operations.

13.3. Un audit supplémentaire peut être réalisé à la suite d'une violation de données confirmée affectant le Client ou d'une demande contraignante d'une autorité de contrôle.

13.3. An additional audit may be carried out following a confirmed personal data breach affecting the Client or a binding request from a supervisory authority.

13.4. Polyware peut satisfaire à son obligation en fournissant des rapports d'audit, certifications ou questionnaires de sécurité complétés lorsqu'ils répondent raisonnablement aux demandes du Client.

13.4. Polyware may satisfy this obligation by providing audit reports, certifications or completed security questionnaires where these reasonably address the Client's requests.

14.1. La responsabilité de chaque Partie au titre du présent DPA est soumise aux limitations et exclusions de responsabilité prévues au Contrat Principal, sous réserve des dispositions impératives de l'article 82 du RGPD.

14.1. Each Party's liability under this DPA is subject to the limitations and exclusions of liability set out in the Main Agreement, without prejudice to the mandatory provisions of Article 82 GDPR.

14.2. Aucune stipulation du présent DPA ne limite les droits des personnes concernées au titre du RGPD.

14.2. Nothing in this DPA limits the rights of data subjects under the GDPR.

15.1. Le présent DPA est régi par le droit français.

15.1. This DPA is governed by French law.

15.2. Tout litige relatif à son interprétation ou à son exécution relève de la compétence exclusive des tribunaux compétents de Paris, sous réserve des règles impératives de compétence.

15.2. Any dispute relating to its interpretation or performance falls within the exclusive jurisdiction of the competent courts of Paris, subject to mandatory rules of jurisdiction.

15.3. Le présent DPA est rédigé en français et en anglais. En cas de divergence, la version française prévaut.

15.3. This DPA is drawn up in French and in English. In the event of a discrepancy, the French version prevails.

15.4. Si une stipulation est jugée invalide, les autres stipulations demeurent en vigueur.

15.4. If any provision is held invalid, the remaining provisions remain in force.

15.5. Polyware peut modifier le présent DPA pour tenir compte d'une évolution du droit applicable, moyennant un préavis de trente (30) jours.

15.5. Polyware may amend this DPA to reflect a change in applicable law, on thirty (30) days' notice.