INVIE
Accord de traitement des données (DPA)
Ceci est une traduction de référence qui n’a pas fait l’objet d’une revue juridique. En cas de divergence avec la version vietnamienne ou anglaise, la version en vietnamien prévaut.
Le présent Accord de traitement des données (le « DPA ») fait partie intégrante des Conditions d’utilisation conclues entre le Client et Lê Bùi Hoàng Viên (« INVIE »). Il s’applique lorsque INVIE traite des données à caractère personnel pour le compte du Client dans le cadre de la fourniture du Service, et prend effet lorsque le Client accepte les Conditions. Les clients professionnels qui ont besoin d’un exemplaire contresigné peuvent écrire à legal@invie.net.
1. Définitions
Les « Données personnelles du Client » désignent les données à caractère personnel figurant dans le Contenu du Client qu’INVIE traite pour le compte du Client. La « Législation sur la protection des données » désigne la législation applicable en matière de protection des données à caractère personnel, y compris le RGPD (lorsqu’il s’applique) et le décret 13/2023/NĐ-CP du Vietnam. Un « Sous-traitant ultérieur » désigne un tiers auquel INVIE fait appel et qui est susceptible de traiter des Données personnelles du Client. Les autres termes ont le sens qui leur est donné par la Législation sur la protection des données.
2. Rôles
Le Client est le responsable du traitement (ou un sous-traitant agissant pour le compte de son propre responsable du traitement) et INVIE est le sous-traitant des Données personnelles du Client. Pour les données de compte, de facturation et techniques, INVIE est un responsable du traitement indépendant conformément à la Politique de confidentialité. Les données de marché publiques collectées par INVIE elle-même n’entrent pas dans le champ d’application du présent DPA.
3. Instructions
INVIE ne traite les Données personnelles du Client que sur instruction documentée du Client. Les Conditions, le présent DPA ainsi que l’utilisation et la configuration du Service par le Client constituent l’intégralité des instructions. INVIE informe le Client si elle estime qu’une instruction enfreint la Législation sur la protection des données, sauf si la loi l’interdit. Il incombe au Client de disposer d’une base juridique pour les données qu’il saisit dans le Service, de fournir les informations et de recueillir les consentements requis à l’égard des personnes concernées.
4. Confidentialité
INVIE veille à ce que les personnes autorisées à traiter les Données personnelles du Client soient soumises à une obligation de confidentialité et n’y aient accès que lorsque cela est nécessaire à l’exploitation et au support du Service ou à la demande du Client.
5. Sécurité
INVIE applique les mesures techniques et organisationnelles décrites à l’Annexe 2 et peut les mettre à jour, à condition que le niveau global de protection ne soit pas réduit.
6. Sous-traitants ultérieurs
- Le Client autorise de manière générale INVIE à recourir à des Sous-traitants ultérieurs relevant des catégories suivantes : infrastructure cloud et sécurité réseau ; e-mails transactionnels ; traitement des paiements ; et, uniquement lorsque le Client utilise les fonctionnalités d’IA, fournisseurs de modèles d’IA.
- La liste à jour des Sous-traitants ultérieurs (nom, fonction, localisation) est communiquée au Client sur demande adressée à legal@invie.net, sous réserve d’un accord de confidentialité.
- INVIE impose à chaque Sous-traitant ultérieur des obligations de protection des données offrant une protection au moins équivalente à celle du présent DPA et demeure responsable envers le Client de leur exécution.
- INVIE informe, au moins 30 jours avant l’ajout ou le remplacement d’un Sous-traitant ultérieur, les Clients qui se sont inscrits pour recevoir ces notifications à l’adresse legal@invie.net. Le Client peut s’y opposer pour des motifs raisonnables liés à la protection des données. À défaut de solution, le Client peut résilier la partie du Service concernée et obtenir le remboursement des sommes prépayées non utilisées.
7. Assistance
Dans une mesure raisonnable, INVIE assiste le Client dans le traitement des demandes des personnes concernées (accès, rectification, effacement, limitation, portabilité), dans la réalisation d’analyses d’impact relatives à la protection des données et dans ses relations avec les autorités. Si INVIE reçoit directement une demande d’une personne concernée du Client, elle la transmet au Client et n’y répond pas elle-même, sauf autorisation du Client ou obligation légale.
8. Violations de données à caractère personnel
INVIE notifie le Client dans les meilleurs délais, et au plus tard dans les 48 heures suivant la confirmation d’une violation affectant des Données personnelles du Client, en fournissant les informations disponibles sur sa nature, les catégories et le volume approximatif des données concernées, ses conséquences probables et les mesures prises ou envisagées. INVIE coopère afin de permettre au Client de respecter ses propres obligations de notification (par exemple 72 heures en vertu du RGPD et du décret 13/2023/NĐ-CP).
9. Suppression ou restitution
À la fin du contrat, le Client peut exporter les données de Projet au moyen des fonctionnalités d’export du Service ou demander un export dans un délai de 30 jours. INVIE supprime ensuite les Données personnelles du Client des systèmes de production dans un délai de 30 jours. Les sauvegardes sont renouvelées et supprimées dans un délai supplémentaire de 30 jours, sauf si la loi impose une conservation plus longue.
10. Audits
Sur demande raisonnable (au maximum une fois par an, sauf en cas d’incident ou à la demande d’une autorité), INVIE fournit les informations nécessaires pour démontrer le respect du présent DPA, telles qu’une description des mesures de sécurité et des réponses à des questionnaires de sécurité. Tout audit sur site doit faire l’objet d’un accord préalable quant à son périmètre, son calendrier, sa confidentialité et son coût.
11. Transferts internationaux
Les données peuvent être traitées en dehors du pays du Client, comme décrit dans la Politique de confidentialité. Lorsque la Législation sur la protection des données l’exige, les parties s’appuient sur un mécanisme de transfert valable, tel que les clauses contractuelles types de la Commission européenne, et INVIE accomplit les formalités de transfert transfrontalier exigées par le droit vietnamien.
12. Responsabilité et ordre de priorité
La responsabilité de chaque partie au titre du présent DPA est soumise aux limites prévues par les Conditions, sauf lorsque la loi n’autorise pas de telles limites. En cas de contradiction entre le présent DPA et les Conditions en matière de protection des données à caractère personnel, le présent DPA prévaut.
Annexe 1 – Détails du traitement
| Objet | Stockage et traitement du Contenu du Client afin de fournir le Service d’études de marché |
|---|---|
| Durée | Pendant toute la durée du Service, augmentée du délai de suppression prévu à la section 9 |
| Nature et finalité | Stockage, affichage, recherche, agrégation et export ; traitement par l’IA à la demande du Client ; sauvegardes |
| Personnes concernées | Les membres des espaces de travail du Client ; les personnes figurant dans les contenus ajoutés par le Client (par exemple les auteurs d’avis, les personnes apparaissant dans les fichiers téléversés) |
| Catégories de données | Nom, adresse e-mail, rôle ; texte des avis et notes ; images, vidéos et PDF téléversés par le Client ; autres données que le Client choisit d’ajouter |
| Catégories particulières | Non prévues. Le Client ne doit pas ajouter de données à caractère personnel sensibles au Service. |
Annexe 2 – Mesures techniques et organisationnelles
- HTTPS/TLS pour toutes les connexions ; cookies de session transmis uniquement via HTTPS et inaccessibles à JavaScript.
- Clés et secrets du système conservés sous forme chiffrée, jamais dans le code source.
- Connexion au moyen de liens à usage unique à durée limitée ; seuls les hachages des liens et des sessions sont conservés.
- Les administrateurs utilisent des identités distinctes des comptes de l’application, avec authentification à deux facteurs obligatoire et sessions de courte durée ; les actions d’administration sont journalisées.
- Contrôle d’accès fondé sur les rôles (Owner, Editor, Viewer) ; données cloisonnées par espace de travail ; contrôle d’accès appliqué côté serveur.
- Limitation de débit, détection des robots et limites d’utilisation ; protection au niveau du réseau contre les attaques par déni de service.
- Sauvegardes automatisées avec restauration à un instant donné ; mises en production déployées de manière à pouvoir restaurer immédiatement la version précédente.
- Tests automatisés avant chaque mise en production ; accès à l’infrastructure limité au personnel habilité.