Accord de traitement des données

01Parties et objet

Le présent accord est conclu entre le client professionnel (« le responsable du traitement ») et Benchmaven SAS, 22 Rue de Rathsamhausen, 67100 Strasbourg, France (« le sous-traitant »). Il fait partie du contrat formé par l'acceptation d'un devis et nos conditions générales de vente, et il prévaut sur ceux-ci pour tout ce qui concerne le traitement des données personnelles pour le compte du client. Il est réputé accepté, avec ses annexes, à la date d'acceptation du devis.

Il s'applique lorsque le client nous confie l'enregistrement, le montage ou la conservation de la voix et des données de personnes qu'il fait intervenir : narrateurs d'un livre audio, invités d'un podcast, comédiens, musiciens de séance. Il ne couvre pas les données que nous collectons pour nous-mêmes (demandes de devis, facturation), décrites dans notre politique de confidentialité.

02Définitions

Les termes « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « personne concernée » et « violation de données » ont le sens de l'article 4 du règlement (UE) 2016/679 (RGPD). « Réglementation applicable » désigne le RGPD et la loi n° 78-17 du 6 janvier 1978. « Sous-traitant ultérieur » désigne tout prestataire auquel nous faisons appel pour traiter les données du client. Les autres termes ont le sens de nos CGV.

03Instructions et étendue du traitement

Nous traitons les données uniquement dans la mesure nécessaire à la prestation décrite dans le devis, selon cet accord et les instructions écrites du client, y compris en ce qui concerne les transferts hors de l'Union européenne. Si une instruction nous paraît contraire à la réglementation, nous en informons immédiatement le client. Nous ne traitons pas les données à d'autres fins, sauf obligation légale, dont nous informerions le client avant le traitement si la loi le permet.

Nous ne vendons pas les données, ne les utilisons pas pour nos propres besoins et ne les utilisons pas pour entraîner des systèmes d'intelligence artificielle.

04Nos engagements

• Les deux personnes de l'équipe autorisées à traiter les données sont soumises à une obligation de confidentialité et informées de leurs obligations.
• Nous mettons en œuvre les mesures techniques et organisationnelles de l'article 32 du RGPD, décrites à l'annexe B, compte tenu de l'état des connaissances, des coûts, de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques. Ces mesures peuvent évoluer, sans jamais descendre sous le niveau de l'annexe B.
• Nous aidons le client, dans la mesure du possible, à répondre aux demandes d'exercice des droits des personnes et à respecter ses obligations de sécurité, de notification, d'analyse d'impact et de consultation préalable (articles 32 à 36).
• Nous mettons à la disposition du client les informations nécessaires pour démontrer le respect de cet accord.

05Engagements du client

Le client garantit que le traitement repose sur une base légale, qu'il a informé les personnes concernées et, lorsque c'est nécessaire, obtenu leur autorisation, notamment celle des artistes-interprètes au sens de l'article L.212-3 du Code de la propriété intellectuelle. Il nous transmet uniquement les données nécessaires à la prestation et nous donne ses instructions par écrit. Il applique de son côté des mesures de sécurité adaptées.

L'assistance prévue par cet accord est incluse lorsqu'elle reste simple. Une assistance importante (audit sur place, analyse d'impact détaillée, restitution dans un format particulier) peut être facturée à son coût raisonnable, sur devis préalable.

06Sous-traitants ultérieurs

Le client nous donne une autorisation générale de recourir à des sous-traitants ultérieurs. À la date de cet accord, nous faisons appel à un seul sous-traitant ultérieur :

Nous informons le client par e-mail au moins 30 jours avant tout ajout ou remplacement. Le client peut s'y opposer par écrit, pour un motif raisonnable, dans un délai de 10 jours ouvrés. Si la prestation ne peut être réalisée sans ce prestataire, le client peut résilier la partie concernée et nous remboursons les sommes versées pour la partie non exécutée. Chaque sous-traitant ultérieur est lié par un contrat imposant des obligations équivalentes ; nous restons responsables envers le client de leur exécution.

Nous ne transférons pas les données du client hors de l'Espace économique européen. Tout transfert futur ne pourrait intervenir qu'après information écrite du client et sur la base d'un mécanisme prévu aux articles 45 à 49 du RGPD.

07Demandes des personnes concernées

Si une personne concernée s'adresse directement à nous, nous transmettons sa demande au client sans délai et ne lui répondons pas nous-mêmes, sauf instruction du client ou obligation légale. À la demande du client, nous rectifions, supprimons, limitons ou exportons les données concernées.

08Audit

Nous fournissons au client, sur demande, les informations raisonnablement nécessaires pour démontrer le respect de cet accord. Si ces informations ne suffisent pas, le client peut réaliser, à ses frais, un audit portant sur ses seules données, pendant nos heures d'ouverture, avec un préavis d'au moins quatre semaines, sauf violation avérée, et sans perturber les séances d'autres clients. L'auditeur est tenu à la confidentialité. Ces modalités organisent le droit d'audit sans le limiter.

09Violation de données

Nous notifions au client toute violation de données le concernant dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, par e-mail et par téléphone. La notification décrit, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou proposées. Nous prenons les mesures raisonnables pour en limiter les effets et aidons le client à respecter ses obligations de notification à la CNIL et aux personnes.

10Coopération

Nous informons rapidement le client de toute demande d'une autorité ou de toute réclamation le concernant, sauf interdiction légale. Les parties coopèrent avec la CNIL à sa demande. Si une évolution de la réglementation impose de modifier cet accord ou nos mesures, nous le proposons dans un délai raisonnable ; à défaut d'accord, le client peut mettre fin à la partie de la prestation devenue non conforme.

11Responsabilité

La responsabilité de chaque partie au titre de cet accord est régie par nos CGV, sans préjudice des articles 82 et 83 du RGPD. Nous répondons des sous-traitants ultérieurs comme de nous-mêmes. Un même préjudice ne peut être indemnisé deux fois.

12Durée, suppression et restitution

Cet accord s'applique pendant toute la durée de la prestation et de l'archivage des sessions. Les sessions sont conservées 6 mois après la dernière séance, sauf instruction écrite contraire du client. À l'issue de cette période, ou plus tôt sur demande écrite du client, nous restituons les données dans un format audio standard ou les supprimons, au choix du client exprimé dans les 30 jours suivant la fin de la prestation. Les copies de sauvegarde sont écrasées au fil de leur rotation, au plus tard trois mois après la suppression des données actives, sauf obligation légale de conservation.

13Dispositions générales

Si une clause est nulle, les autres restent applicables et elle est remplacée par la disposition valable la plus proche. Cet accord est soumis au droit français ; les litiges relèvent de la juridiction prévue par nos CGV, soit, entre professionnels, la chambre commerciale du tribunal judiciaire de Strasbourg.

14Annexe A — Description du traitement

15Annexe B — Mesures de sécurité