Accord de traitement des données PhotoRobot (DPA)

Ce document représente l’Accord de traitement des données PhotoRobot : Version 1.0 — PhotoRobot Edition, uni-Robot Ltd., République tchèque.

‍

‍

1. Partis

Cet accord de traitement des données (« DPA ») est conclu entre :

Contrôleur (Client)
La personne ou l’entité juridique qui a signé les Conditions d’utilisation de PhotoRobot et utilise le Service.

et

Processeur :
uni-Robot Ltd.
Vodičkova 710/31
110 00 Prague 1
République tchèque
ID de l’entreprise : 01478061
ID TVA : CZ01478061
Email : legal@photorobot.com

ci-après collectivement désignés par les « Parties ».

Cette DPA complète les Conditions d’utilisation de PhotoRobot et s’applique lorsque PhotoRobot traite des données personnelles au nom du Client.

‍

‍

2. Sujet et nature du traitement

PhotoRobot (« Processeur ») fournit des services cloud, des extensions logicielles locales, la gestion du firmware et l’infrastructure d’hébergement nécessaires au traitement des images, métadonnées et contenus numériques connexes téléchargés par le Client (« Contrôleur »).

Le traitement comprend :

• Collection
• Stockage
• Transmission
• Extraction des métadonnées
• synchronisation entre CL ↔ Cloud
• hébergement de contenu téléchargé par les clients
• Création de journaux et diagnostics
• Opérations de secours

Le traitement est effectué strictement au nom du Responsable, conformément à ses instructions documentées.

‍

‍

3. Durée

Cette DPA reste en vigueur pendant toute la durée de la relation contractuelle entre les parties, et par la suite tant que le Processeur stocke ou traite toute donnée personnelle au nom du Contrôleur.

‍

‍

4. Données personnelles et catégories de personnes concernées

4.1. Types de données personnelles

Selon la manière dont le Service est utilisé, les données traitées peuvent inclure :

• Données d’identification (nom, nom de famille, entreprise)
• Données de contact (email, téléphone)
• Contenu visuel (images, vidéos)
• Métadonnées associées au contenu téléversé
• données de journal, adresses IP, identifiants techniques
• Données au niveau du projet
• identifiants (hachés), jetons d’accès

Le traiteur n’exige pas et ne traite pas intentionnellement des catégories particulières de données (art. 9 RGPD).

‍

4.2. Catégories de sujets de données

• Employés du client
• Clients ou partenaires du client
• Utilisateurs autorisés
• Toute personne présentée dans un contenu visuel téléchargé par le Client

Le client est seul responsable de garantir la collecte légale des données auprès des personnes concernées.

‍

‍

5. Instructions du contrôleur

Le Processeur traite uniquement les données personnelles :

1. selon les instructions documentées du contrôleur,
2. comme nécessaire pour fournir le Service,
3. pour garantir la sécurité, l’intégrité et la disponibilité des systèmes,
4. selon les exigences de la législation européenne ou tchèque.

Si le Processeur considère une instruction comme illégale, il doit en informer le Contrôleur.

‍

‍

6. Confidentialité

Le responsable garantit que toutes les personnes autorisées à traiter des données personnelles :

• sont soumis à des obligations de confidentialité,
• avoir reçu une formation appropriée,
• traiter les données uniquement sous instructions du Contrôleur.

‍

‍

7. Sous-processeurs

Le processeur utilise certains tiers (« sous-processeurs ») pour supporter le Service.

‍

7.1. Sous-processeurs approuvés

Le contrôleur accorde une autorisation générale au Processeur pour engager les catégories suivantes de sous-processeurs :

• Fournisseurs d’infrastructures cloud (par exemple, Google Cloud Platform)
• Fournisseurs de diffusion par e-mail
• Fournisseurs d’analytique
• Systèmes de billetterie
• Services de surveillance de la sécurité
• Systèmes de sauvegarde et de reprise après sinistre

Une liste complète est tenue dans la liste des sous-processeurs PhotoRobot et peut être mise à jour.

‍

7.2. Notification des changements

Le Traiteur doit informer le Contrôleur de tout changement prévu aux Sous-Traiteurs au moins 15 jours à l’avance, permettant ainsi au Contrôleur de s’opposer pour des motifs raisonnables.

‍

‍

8. Transferts internationaux de données

Lorsque des sous-processeurs ou des infrastructures sont situés en dehors de l’EEE, le processeur veille à :

• application des clauses contractuelles standard (SCC 2021),
• des garanties techniques et organisationnelles supplémentaires,
• accès et chiffrement minimisés,
• Audits de conformité par le fournisseur sous-jacent.

Google Cloud Platform propose :

• ISO 27001, ISO 27017, ISO 27018
• Rapports SOC 1/2/3
• Documentation de conformité au RGPD

Détails disponibles sur https://cloud.google.com/security.

‍

‍

9. Mesures de sécurité

Le transformateur doit mettre en œuvre des mesures techniques et organisationnelles (TOM) standard de l’industrie, notamment :

‍

9.1. Mesures techniques

• Chiffrement TLS des données en transit
• Stockage sécurisé avec jetons d’accès chiffrés
• Environnements de traitement isolés
• Hachage des mots de passe
• Limites de débit et systèmes de détection d’intrusion
• Pare-feu multi-couches
• sécurité physique des centres de données (via Google Cloud)

‍

9.2. Mesures organisationnelles

• Contrôle d’accès basé sur les rôles
• Journalisation et surveillance des accès
• Politiques internes pour la gestion des données
• Obligations de confidentialité des employés
• Formation périodique à la sécurité
• Gestion des risques fournisseurs

Une liste complète des TOM est disponible sur demande.

‍

‍

10. Droits des personnes concernées

Le processeur assiste le Contrôleur dans la réponse à :

• Demandes d’accès
• Rectification
• Suppression
• Restriction
• Portabilité des données
• Objections

Le Traiteur doit transmettre toute demande directe d’une personne concernée au Contrôleur sans délai indu.

‍

‍

11. Notification de violation de données

En cas de violation de données personnelles, le Responsable doit informer le Responsable de traitement :

• sans délai,
• y compris toutes les informations requises par l’article 33 du RGPD,
• et fournir des mises à jour continues jusqu’à la fin de la remédiation.

Le contrôleur reste responsable de la notification des autorités et des personnes concernées.

‍

‍

12. Suppression ou retour des données

À la résiliation du contrat :

• Le processeur supprime les données clients après 30 jours,
• sauf indication contraire du Contrôleur,
• sauf lorsque la rétention est exigée par la loi.

Les sauvegardes sont écrasées pendant leur cycle de vie normal.

‍

‍

13. Audits

Le contrôleur a le droit de :

• recevoir des documents prouvant la conformité au RGPD
• demander un rapport sur les TOMs
• effectuer des audits raisonnables, limités à une fois par an
• s’appuyer sur des certifications tierces (rapports ISO/SOC de Google Cloud)

Les audits ne doivent pas compromettre la sécurité ni perturber les opérations.

‍

‍

14. Responsabilité

La responsabilité des parties suit les Conditions d’utilisation.
Le traiteur n’est responsable que des violations causées par sa propre violation des obligations du RGPD.

‍

‍

15. Droit et juridiction

Cette DPA est régie par les lois de la République tchèque.

Les litiges seront résolus par les tribunaux de Prague, en République tchèque.

‍

‍

16. Clauses contractuelles types (CSE)

Lorsque nécessaire, le SCC 2021 (Module 2 : Contrôleur → Processeur) s’applique en annexe à cette DPA.

PhotoRobot :

• incorpore le SCC par référence,
• comprend toutes les clauses obligatoires,
• met en œuvre des mesures techniques complémentaires
• assure la conformité des transferts vers des sous-traiteurs hors de l’EEE.

Le SCC peut être fourni intégralement sur demande.

‍

‍

17. Contact

uni-Robot Ltd.
Vodičkova 710/31
110 00 Prague 1
République tchèque

Email : legal@photorobot.com

‍