Accord de traitement des données

Sommaire

1. 1. Champ d'application, rôles et définitions
2. 2. Détails du Traitement
3. 3. Instructions du Client
4. 4. Confidentialité des personnes autorisées
5. 5. Mesures de sécurité
6. 6. Sous-traitants ultérieurs
7. 7. Localisation des données et transferts internationaux
8. 8. Assistance pour les demandes des Personnes Concernées
9. 9. Notification des Violations de Données à Caractère Personnel
10. 10. Analyses d'impact et consultation des autorités de régulation
11. 11. Informations et audits
12. 12. Restitution et suppression des données
13. 13. Demandes des autorités publiques
14. 14. Responsabilité
15. 15. Durée et primauté
16. 16. Contact en matière de protection des données et registre des traitements
17. Annexe 1 : Détails du Traitement
18. Annexe 2 : Mesures techniques et organisationnelles
19. Annexe 3 : Sous-traitants ultérieurs

Version : 1.2 · Publié le : 16 octobre 2026 · En vigueur : à l'acceptation pour les nouveaux Espaces de travail ; pour les Espaces de travail qui ont accepté une Version antérieure, à la date indiquée par STAK dans sa notification conformément à la clause 20 des Conditions de Service du Client · Texte faisant foi : Anglais (clause 23.9 des Conditions de Service du Client)

Émis par : STAK Global, LLC, société à responsabilité limitée constituée dans l'État du Delaware, États-Unis d'Amérique (numéro de dossier 10798493), qui détient STAK (ستاك) et les Services. Contact : [email protected].

1. Champ d'application, rôles et définitions

1.1 Le présent Accord de Traitement des Données fait partie intégrante du Contrat en vertu de la clause 3.1 des Conditions de Service du Client STAK (les « Conditions »). Il régit le Traitement par STAK des Données à Caractère Personnel du Client. Les expressions définies dans les Conditions ont le même sens dans le présent Accord de Traitement des Données.

1.2 Le Client est le Responsable du traitement des Données à Caractère Personnel du Client, et STAK est un Sous-traitant qui les traite pour le compte du Client et sur ses instructions.

• Responsable du traitement et Sous-traitant s'entendent de leurs équivalents au sens de la Loi Applicable en matière de Protection des Données, tels que l'entité de contrôle et l'entité de traitement dans le Royaume d'Arabie saoudite.
• Si le Client traite les données en qualité de sous-traitant pour le compte d'un autre responsable du traitement, STAK les traite en qualité de sous-traitant agissant pour le Client, et n'est pas un Sous-traitant ultérieur au sens de la clause 1.3. Le Client veille à ce que ses instructions soient cohérentes avec celles de ce responsable du traitement.
• STAK traite les Données de Compte en tant que Responsable du traitement, comme décrit dans la Politique de Confidentialité, et le présent Accord de Traitement des Données ne s'y applique pas. Ni cette référence ni celle de l'Annexe 3 ne crée d'obligations contractuelles au titre de la clause 3.2 des Conditions.

1.3 Les expressions suivantes ont le sens indiqué en regard de chacune :

• Données à Caractère Personnel du Client : Données à Caractère Personnel contenues dans les Données du Client, y compris les données relatives aux Clients Finaux, aux employés, aux fournisseurs et aux Utilisateurs du Client, autres que les Données de Compte.
• Données à Caractère Personnel Sensibles : les données de santé et cliniques, ainsi que toute donnée que la Loi Applicable en matière de Protection des Données classe comme sensible.
• Traitement : toute opération effectuée sur des Données à Caractère Personnel, telle que la collecte, l'enregistrement, le stockage, la consultation, l'utilisation, la divulgation, le transfert et la suppression.
• Sous-traitant ultérieur : toute partie que STAK engage pour Traiter des Données à Caractère Personnel du Client aux fins de la fourniture des Services.
• Personne Concernée : la personne physique à laquelle se rapportent des Données à Caractère Personnel.
• Incident de Sécurité : tout événement qui menace, ou est soupçonné de menacer, la confidentialité, l'intégrité ou la disponibilité des Services.
• Violation de Données à Caractère Personnel : toute atteinte à la sécurité entraînant la destruction, la perte ou l'altération accidentelle ou illicite de Données à Caractère Personnel du Client, ou leur divulgation ou accès non autorisés.
• Sauvegarde : toute copie des Données du Client réalisée à des fins de rétablissement, conformément à la clause 12.3 et à l'Annexe 2.
• Environnement de Production : les systèmes et bases de données sur lesquels les Services fonctionnent et que le Client utilise, à l'exclusion des Sauvegardes.
• Loi Applicable en matière de Protection des Données : la législation sur la protection des données à caractère personnel qui s'applique au Traitement, chacune telle qu'elle s'applique, y compris ce qui suit :
  • dans l'État du Koweït : la loi n° 20 de 2014 relative aux transactions électroniques, ainsi que le Règlement sur la protection de la vie privée des données, le Cadre réglementaire de l'informatique en nuage et la Politique de classification des données publiés par l'Autorité de régulation des communications et des technologies de l'information, chacun dans son propre champ ;
  • la Loi sur la protection des données à caractère personnel du Royaume d'Arabie saoudite, promulguée par le décret royal n° (M/19) en date du 9/2/1443 de l'Hégire, telle que modifiée, son Règlement d'application et le Règlement sur le transfert de données à caractère personnel en dehors du Royaume ;
  • aux Émirats arabes unis : le décret-loi fédéral n° (45) de 2021 sur la protection des données à caractère personnel, la loi fédérale n° (2) de 2019 sur l'utilisation des technologies de l'information et de la communication dans les domaines de la santé, ainsi que les lois sur la protection des données du Dubai International Financial Centre et de l'Abu Dhabi Global Market pour les personnes qui y sont soumises ;
  • Loi n° (30) de 2018 portant promulgation de la loi sur la protection des données à caractère personnel du Royaume de Bahreïn ;
  • Loi n° (13) de 2016 sur la protection de la vie privée des données à caractère personnel de l'État du Qatar ;
  • la Loi sur la protection des données à caractère personnel promulguée par le décret royal n° (6/2022) du Sultanat d'Oman ;
  • le Règlement général sur la protection des données de l'Union européenne (règlement (UE) 2016/679), lorsqu'il s'applique au Client ;
  • le Règlement général sur la protection des données du Royaume-Uni et la Data Protection Act 2018 ; la loi fédérale suisse sur la protection des données ; la California Consumer Privacy Act telle que modifiée, et les autres lois générales des États américains sur la protection de la vie privée ; la Loi sur la protection des renseignements personnels et les documents électroniques du Canada et les lois provinciales ; la Lei Geral de Proteção de Dados du Brésil (loi n° 13.709/2018) ; le Digital Personal Data Protection Act, 2023 de l'Inde ; la loi turque n° 6698 sur la protection des données à caractère personnel ; la loi égyptienne n° 151 de 2020 ; le Protection of Personal Information Act, 2013 d'Afrique du Sud ; le Personal Data Protection Act 2012 de Singapour ; le Privacy Act 1988 d'Australie ; et toute autre loi sur la protection des données à caractère personnel qui s'applique au Traitement.

2. Détails du Traitement

L'Annexe 1 précise l'objet, la durée, la nature et la finalité du Traitement, les catégories de Personnes Concernées et les catégories de Données à Caractère Personnel.

3. Instructions du Client

3.1 STAK Traite les Données à Caractère Personnel du Client uniquement sur les instructions documentées du Client. Ces instructions sont :

• le Contrat ;
• les paramètres de l'Espace de travail ;
• les actions que les Utilisateurs effectuent au sein des Services ;
• toute autre instruction écrite convenue par les Parties.

3.2 STAK peut Traiter les données autrement que selon ces instructions lorsque la Loi Applicable l'exige. Elle en informe le Client à l'avance, sauf si la loi interdit cette notification.

3.3 STAK informe le Client si elle estime qu'une instruction enfreint la Loi Applicable en matière de Protection des Données. Elle peut refuser d'exécuter cette instruction jusqu'à ce que le Client la modifie pour supprimer la violation, ou la confirme par écrit avec une déclaration de sa base légale que STAK accepte raisonnablement.

3.4 Le Client est responsable de la licéité de ses instructions et de l'existence d'une base légale pour collecter et Traiter les Données à Caractère Personnel du Client. Cela comprend l'information des Personnes Concernées et l'obtention de leur consentement lorsque nécessaire, y compris le consentement au transfert de leurs données conformément à la clause 7.

4. Confidentialité des personnes autorisées

STAK limite l'accès aux Données à Caractère Personnel du Client aux employés et prestataires qui en ont besoin pour leur travail, et les astreint à la confidentialité. Les employés et prestataires de STAK n'accèdent aux Données du Client que dans les cas suivants, et le début de chaque accès de ce type à l'environnement de Production est consigné :

• (a) fournir l'assistance que le Client demande ;
• (b) exploiter et maintenir les Services et les rétablir à partir des Sauvegardes ;
• (c) enquêter sur un Incident de Sécurité ou sur un manquement présumé à la Politique d'Utilisation Acceptable ;
• (d) lorsque la loi l'exige.

5. Mesures de sécurité

5.1 STAK applique des mesures techniques et organisationnelles appropriées pour protéger les Données à Caractère Personnel du Client, compte tenu de la nature et des risques du Traitement. Elles comprennent au minimum les mesures de l'Annexe 2.

5.2 STAK peut mettre à jour ces mesures, à condition que le niveau global de protection ne diminue pas.

5.3 Le Client est responsable des mesures de sécurité qui relèvent de son propre contrôle, telles que la gestion des Utilisateurs et des permissions, l'activation de la connexion en deux étapes, la sécurisation de ses appareils et équipements et la conservation en lieu sûr des données qu'il exporte.

6. Sous-traitants ultérieurs

6.1 Le Client autorise STAK à recourir aux Sous-traitants ultérieurs énumérés à l'Annexe 3.

6.2 STAK doit conclure un contrat écrit avec chaque Sous-traitant ultérieur. Le contrat doit imposer des obligations de protection des données offrant un niveau de protection approprié au Traitement et substantiellement équivalent à celui du présent Accord de Traitement des Données. STAK demeure responsable envers le Client de l'exécution des obligations de ses Sous-traitants ultérieurs.

6.3 STAK informe le Client de tout nouveau Sous-traitant ultérieur au moins 30 jours avant qu'il ne commence à Traiter des Données à Caractère Personnel du Client, au sein des Services ou par courrier électronique.

6.4 Pendant le délai de préavis, le Client peut s'opposer par écrit au nouveau Sous-traitant ultérieur pour des motifs raisonnables tenant à la protection des données. Si les Parties ne parviennent pas à convenir d'une solution, le Client peut résilier l'abonnement concerné, ou le Contrat, avant le début du Traitement et obtenir le remboursement des Frais prépayés pour la période restante.

6.5 Les Prestataires Connectés que le Client connecte par l'intermédiaire de ses propres comptes ne sont pas des Sous-traitants ultérieurs de STAK. Ils comprennent les Prestataires de Services de Paiement, Meta pour le propre compte WhatsApp Business du Client, et les plateformes de livraison. L'envoi de données à ces prestataires sur instruction du Client constitue un transfert effectué sur les instructions du Client et pour son compte.

6.6 Des données ne sont envoyées au fournisseur des Fonctionnalités d'IA que lorsqu'un Utilisateur demande l'une de ces fonctionnalités, lorsqu'un Utilisateur téléverse un document pour que l'une d'elles le lise, comme un reçu, ou lorsqu'une automatisation configurée par un Utilisateur exécute une étape qui utilise l'IA, et seules les données nécessaires à l'exécution de cette demande ou de cette étape sont envoyées. Le fournisseur ne peut pas les utiliser pour entraîner ses modèles. Les Données à Caractère Personnel sensibles ne lui sont envoyées que si la demande ou l'étape elle-même en contient.

7. Localisation des données et transferts internationaux

7.1 Les Services sont hébergés, et les Données à Caractère Personnel du Client sont principalement stockées, dans l'environnement de Production d'Amazon Web Services dans la région de Francfort, en République fédérale d'Allemagne. Les Sauvegardes sont conservées dans la même région, et des copies en sont faites vers une région distincte d'Amazon Web Services en République d'Irlande.

7.2 Le Client reconnaît ce qui suit et autorise expressément les transferts qui en résultent :

• (a) l'hébergement a lieu dans l'Union européenne, ce qui peut être en dehors du pays dans lequel le Client est établi ou exerce son activité ;
• (b) Cloudflare traite en permanence le trafic réseau par l'intermédiaire de son réseau mondial ;
• (c) les autres Sous-traitants ultérieurs énumérés à l'Annexe 3 traitent des données dans d'autres pays, y compris les États-Unis d'Amérique, uniquement lorsque le service concerné est utilisé ;
• (d) les employés de STAK peuvent accéder aux données depuis l'État du Koweït, uniquement dans les cas prévus à la clause 4.

7.3 Pour les transferts de Données à Caractère Personnel du Client en dehors du pays où elles ont été collectées, STAK applique les garanties suivantes :

• (a) les contrats mentionnés à la clause 6.2, y compris les clauses contractuelles types que STAK a conclues avec des Sous-traitants ultérieurs situés en dehors de l'Union européenne ;
• (b) chiffrement en transit et au repos ;
• (c) les mécanismes de transfert reconnus par la Loi Applicable en matière de Protection des Données lorsqu'elle les exige, y compris ceux visés à la clause 7.6.

7.4 Le Client doit obtenir toute autorisation ou tout consentement que le droit de son pays exige pour transférer des Données à Caractère Personnel du Client en dehors de ce pays, qu'il s'agisse d'une autorité de régulation ou de Personnes Concernées. STAK fournit sur demande les informations nécessaires à cet effet.

7.5 STAK peut déplacer l'hébergement principal ou les Sauvegardes vers une autre région après en avoir informé le Client au moins 30 jours à l'avance, et le Client peut s'y opposer conformément à la clause 6.4, toute résiliation en vertu de cette clause prenant effet avant la date du déplacement. L'exploitation temporaire des Services à partir des Sauvegardes en République d'Irlande après la perte de la région d'hébergement principale n'est pas un déplacement au sens de la présente clause, et STAK en informe le Client sans délai.

7.6 Mécanismes de transfert exigés par la loi : sans préjudice de la clause 7.4 :

• (a) Lorsque le Règlement général sur la protection des données de l'Union européenne s'applique au Client, les clauses contractuelles types adoptées par la décision d'exécution (UE) 2021/914 de la Commission européenne (les « CCT de l'UE ») sont incorporées par renvoi au présent Accord de Traitement des Données : le Module Deux (de responsable du traitement à sous-traitant) lorsque le Client est un responsable du traitement, et le Module Trois (de sous-traitant à sous-traitant) lorsqu'il traite les données pour le compte d'un autre responsable du traitement. Le Client est l'exportateur de données et STAK l'importateur de données. La Clause 7 (clause d'adhésion) s'applique. Au titre de la Clause 9(a), l'Option 2 (autorisation écrite générale) s'applique, avec le délai de préavis prévu à la clause 6.3. La formulation facultative de la Clause 11(a) ne s'applique pas. Au titre des Clauses 17 et 18, le droit et les tribunaux de la République d'Irlande s'appliquent. L'autorité de contrôle compétente est déterminée conformément à la Clause 13. Leurs annexes sont complétées par les Annexes 1, 2 et 3. Elles prévalent sur le Contrat en cas de conflit entre les deux.
• (b) Lorsque la Loi sur la protection des données à caractère personnel du Royaume d'Arabie saoudite s'applique au Client, les Clauses contractuelles types pour le transfert de données à caractère personnel publiées par l'Autorité saoudienne des données et de l'intelligence artificielle, second modèle (de responsable du traitement à sous-traitant), sont incorporées par renvoi au présent Accord de Traitement des Données. Le Client est l'exportateur de données et STAK l'importateur de données, et leurs appendices sont complétés par les Annexes 1, 2 et 3. STAK fournit au Client les informations dont il a besoin pour l'évaluation des risques liés au transfert qu'il doit effectuer en vertu du Règlement sur le transfert de données à caractère personnel en dehors du Royaume. Elles prévalent sur le Contrat en cas de conflit entre les deux.
• (c) Lorsque le décret-loi fédéral n° (45) de 2021 des Émirats arabes unis s'applique au Client, STAK applique aux données transférées les dispositions, mesures et contrôles de cette loi, dans la mesure où ils s'appliquent à un sous-traitant.
• (d) Lorsque le Règlement général sur la protection des données du Royaume-Uni s'applique au Client, l'Addendum relatif au transfert international de données aux CCT de l'UE publié par l'Information Commissioner du Royaume-Uni (version B1.0, en vigueur depuis le 21 mars 2022, tel que modifié ultérieurement) est incorporé par renvoi. Les Tableaux 1 à 3 sont complétés avec les coordonnées des Parties figurant dans le Contrat et les Annexes 1 à 3. Pour le Tableau 4, chacune des Parties peut mettre fin à l'Addendum comme le permet sa Section 19.
• (e) Lorsque la loi fédérale suisse sur la protection des données s'applique au Client, les CCT de l'UE s'appliquent avec les modifications suivantes : le Préposé fédéral à la protection des données et à la transparence est l'autorité de contrôle compétente pour les transferts régis par cette loi ; les références au RGPD incluent cette loi ; et « État membre » s'entend de manière que les personnes concernées en Suisse puissent former des demandes en Suisse.
• (f) Lorsqu'une autre Loi Applicable en matière de Protection des Données exige un instrument de transfert particulier, tel que les clauses contractuelles types de l'autorité nationale brésilienne de protection des données ou le contrat type prévu par la loi turque n° 6698, STAK signe ou incorpore cet instrument à la demande du Client, ses éléments étant complétés à partir des Annexes 1 à 3.
• (g) Lorsque la loi californienne sur la protection de la vie privée des consommateurs (California Consumer Privacy Act) ou une loi similaire d'un État américain sur la protection de la vie privée s'applique, STAK agit en tant que prestataire de services, contractant ou sous-traitant du Client. STAK ne vend ni ne partage les Données à Caractère Personnel du Client. Elle ne les conserve, ne les utilise ni ne les divulgue à aucune fin autre que la fourniture des Services en vertu du Contrat, ni en dehors de la relation commerciale directe avec le Client. Elle ne les combine pas avec des informations personnelles provenant d'autres sources, sauf dans la mesure où ces lois le permettent. Elle respecte ces lois et assure le même niveau de protection de la vie privée que celui qu'elles exigent. Elle informe le Client si elle ne peut plus respecter ces obligations. Le Client peut prendre des mesures raisonnables pour faire cesser et corriger toute utilisation non autorisée. STAK certifie qu'elle comprend ces restrictions.

7.7 Données qui doivent rester dans un pays déterminé : le Client ne doit pas conserver dans les Services de données que la Loi Applicable impose de stocker ou de traiter dans un pays déterminé, sauf si les Services indiquent, conformément à la clause 9.5 des Conditions, que l'hébergement dans ce pays est disponible pour l'Application concernée. Cela découle de la clause 13.4 des Conditions et de la clause 5.4 de la Politique d'Utilisation Acceptable.

8. Assistance pour les demandes des Personnes Concernées

8.1 Les Services donnent au Client des outils pour consulter, exporter et corriger les Données à Caractère Personnel de ses Clients Finaux, un outil pour les effacer en remplaçant leur identité par un pseudonyme tout en conservant les enregistrements que la loi impose de conserver, et des outils pour consulter et corriger les données de ses employés. Le Client utilise ces outils pour répondre aux demandes des Personnes Concernées, et STAK assiste le Client conformément à la clause 8.3 pour tout ce qu'ils ne couvrent pas, y compris l'export et la suppression des données des employés.

8.2 Si STAK reçoit directement d'une Personne Concernée une demande relative à des Données à Caractère Personnel du Client, elle la transmet au Client sans délai et ne répond que sur les instructions du Client.

8.3 STAK apporte au Client une assistance raisonnable pour tout ce que les outils disponibles ne couvrent pas.

9. Notification des Violations de Données à Caractère Personnel

9.1 STAK informe le Client sans retard injustifié après avoir pris connaissance de toute Violation de Données à Caractère Personnel touchant des Données à Caractère Personnel du Client. Elle le fait dans les 24 heures suivant la prise de connaissance lorsque c'est possible, et en tout état de cause dans les 48 heures.

9.2 La notification comprend, dans la mesure où les informations sont disponibles :

• (a) la nature de la violation ;
• (b) les catégories de données et de Personnes Concernées et leur nombre approximatif ;
• (c) les conséquences probables ;
• (d) les mesures prises et proposées pour remédier à la violation ;
• (e) un point de contact chez STAK.

STAK fournit des informations complémentaires dès qu'elles sont disponibles.

9.3 STAK prend immédiatement des mesures raisonnables pour contenir la violation et en limiter les effets. Elle coopère avec le Client pour notifier les autorités de régulation et les Personnes Concernées lorsque le Client doit le faire, en tenant compte des délais que la loi impose au Client. Lorsque la Loi Applicable impose à STAK elle-même de notifier la violation à une autorité de régulation, STAK le fait dans le délai requis et en informe le Client.

9.4 La notification d'une violation par STAK, ou sa coopération pour y remédier, ne constitue pas une reconnaissance de faute ou de responsabilité.

10. Analyses d'impact et consultation des autorités de régulation

À la demande du Client, STAK fournit les informations raisonnables nécessaires pour réaliser une analyse d'impact relative à la protection des données ou pour consulter une autorité de régulation, dans la mesure où cela concerne les Services.

11. Informations et audits

11.1 À la demande du Client, STAK fournit les informations raisonnablement nécessaires pour démontrer sa conformité au présent Accord de Traitement des Données. Cela comprend la documentation de sécurité et les réponses à un questionnaire de sécurité par an.

11.2 Le Client peut, à ses frais, effectuer un audit, ou le faire effectuer par un auditeur indépendant astreint à la confidentialité, dans les cas suivants :

• (a) lorsqu'une autorité de régulation l'exige ;
• (b) après une Violation de Données à Caractère Personnel touchant ses données ;
• (c) lorsque les informations fournies en vertu de la clause 11.1 ne sont pas suffisantes.

L'audit est soumis aux conditions suivantes :

• Le Client notifie l'audit à STAK au moins 30 jours à l'avance.
• Elle a lieu pendant les heures ouvrables des Jours Ouvrables.
• Un audit au titre du paragraphe (c) a lieu au plus une fois par an.
• Aucun audit ne s'étend aux installations des Sous-traitants ultérieurs. Leurs certifications et rapports indépendants suffisent à la place.
• Aucun audit n'inclut l'accès aux données d'autres clients ni quoi que ce soit qui affecte leur sécurité.

12. Restitution et suppression des données

12.1 Le Client peut exporter les Données à Caractère Personnel du Client à tout moment, et pendant 30 jours après la fin du Contrat, conformément à la clause 19.5 des Conditions.

12.2 À l'issue de la période d'export, STAK supprime les Données à Caractère Personnel du Client de l'environnement de Production dans un délai de 30 jours, sauf si la Loi Applicable exige leur conservation, et sous réserve de la suspension prévue à la clause 19.5 des Conditions tant que STAK a été informée d'un litige judiciaire, d'une enquête ou d'une demande d'une autorité compétente.

12.3 Les Sauvegardes sont conservées pendant les durées de conservation suivantes :

• (a) restauration à un instant donné et Sauvegardes quotidiennes : 35 jours à compter de la date de chaque Sauvegarde ;
• (b) Sauvegardes logiques nocturnes de la base de données (exports de base de données) : 35 jours ;
• (c) Sauvegardes mensuelles : 12 mois à compter de la date de chaque Sauvegarde ;
• (d) versions antérieures des fichiers téléversés : 90 jours à compter de la date de leur remplacement ou de leur suppression.

Règles applicables à ces Sauvegardes :

• Les Sauvegardes quotidiennes et mensuelles et leurs copies sont conservées dans des coffres de sauvegarde dont la politique empêche quiconque, y compris le personnel de STAK, de supprimer une Sauvegarde avant la fin de sa durée de conservation ou de modifier cette durée, et dont le verrouillage en mode de conformité du fournisseur d'hébergement empêche la suppression de toute Sauvegarde pendant au moins ses 35 premiers jours.
• Les Sauvegardes logiques nocturnes sont protégées contre toute modification et suppression jusqu'à la fin de leur durée de conservation.
• STAK ne supprime aucune Sauvegarde avant la fin de sa durée de conservation, même à la demande du Client.
• Toutes les Sauvegardes sont mises hors d'usage et ne sont utilisées que pour un rétablissement technique, sous réserve de la clause 12.4, ou lorsque la loi l'exige.
• Toutes les Sauvegardes contenant des données supprimées expirent à la fin de ces périodes, soit dans un délai maximal de 12 mois, et les données supprimées sont alors détruites définitivement.
• Sur demande, STAK indique au Client la date à laquelle la dernière Sauvegarde contenant des données supprimées expire, afin que le Client puisse en informer la Personne Concernée.

12.4 Si STAK restaure une Sauvegarde pendant ces périodes, elle applique de nouveau, avant que les données soient rendues disponibles, les effacements effectués en vertu de la clause 8.1 et les suppressions effectuées en vertu de la clause 12.2 après la date de cette Sauvegarde, en s'appuyant sur les enregistrements qu'elle détient de ces opérations.

13. Demandes des autorités publiques

Si STAK reçoit d'une autorité gouvernementale ou judiciaire une demande contraignante de divulgation de Données à Caractère Personnel du Client, elle en informe le Client, sauf si la loi interdit cette notification. STAK limite la divulgation au minimum exigé par la demande. Elle conteste, par les voies légales disponibles, les demandes qu'elle estime raisonnablement illicites.

14. Responsabilité

La responsabilité de chaque Partie au titre du présent Accord de Traitement des Données, y compris sa responsabilité envers l'autre Partie au titre des clauses contractuelles types visées à la clause 7.6, est soumise aux dispositions de limitation de responsabilité de la clause 16 des Conditions, dans la mesure où ces clauses le permettent et sans préjudice des droits des Personnes Concernées en vertu de celles-ci.

15. Durée et primauté

15.1 Le présent Accord de Traitement des Données s'applique aussi longtemps que STAK Traite des Données à Caractère Personnel du Client.

15.2 En cas de conflit entre le présent Accord de Traitement des Données et les Conditions, il prévaut pour les questions concernant les Données à Caractère Personnel du Client.

15.3 Lorsque la Loi Applicable en matière de Protection des Données impose une obligation impérative plus stricte que le présent Accord de Traitement des Données, cette obligation s'applique dans son champ.

16. Contact en matière de protection des données et registre des traitements

STAK a désigné un contact en matière de protection des données, joignable par courrier électronique à [email protected]. STAK tient un registre des activités de traitement qu'elle effectue pour le compte de ses clients et le fournit à l'autorité de régulation compétente lorsque la loi l'exige.

Annexe 1 : Détails du Traitement

• Objet : fournir les Services au Client conformément aux Conditions.
• Durée : la durée du Contrat, la période d'export et de suppression qui la suit conformément à la clause 12, les durées de conservation des Sauvegardes visées à la clause 12.3, et les durées de conservation des Sous-traitants ultérieurs précisées à l'Annexe 3.
• Nature et finalité :
  • le stockage et l'hébergement des Données du Client ;
  • le traitement des ventes, commandes, réservations et factures ;
  • la gestion des stocks, de la comptabilité, des ressources humaines et de la paie ;
  • l'envoi des messages que le Client demande via ses propres comptes auprès des Prestataires Connectés, ou via les prestataires de messagerie que STAK utilise une fois qu'ils sont énumérés à l'Annexe 3 ;
  • fournir les Fonctionnalités d'IA lorsqu'elles sont utilisées ;
  • Sauvegardes, sécurité et Assistance.
• Catégories de Personnes Concernées :
  • les Clients Finaux, invités et patients du Client ;
  • ses employés et candidats à l'emploi ;
  • Utilisateurs ;
  • ses fournisseurs et leurs contacts ;
  • les livreurs et coursiers.
• Catégories de Données à Caractère Personnel :
  • les données d'identité et de contact, telles que le nom, le téléphone, l'adresse électronique, l'adresse postale et le lieu de livraison ;
  • les enregistrements de transactions, commandes, réservations et factures ;
  • les références liées aux paiements, sans numéros de carte complets ;
  • les données de fidélité, les préférences et les consentements ;
  • les données relatives aux employés du Client, telles que le numéro de carte d'identité civile, les informations de résidence, le salaire, le numéro de compte bancaire international (IBAN), la présence et les congés ;
  • les photos et documents que le Client téléverse ;
  • les journaux de messages et la piste d'audit.
• Données à Caractère Personnel Sensibles : les données de santé et cliniques lorsque les Applications de clinique sont utilisées, sous réserve de la clause 7.7 et de la clause 13.4 des Conditions, en vertu de laquelle les fonctionnalités de dossier patient ne doivent pas être utilisées pour des patients recevant des services de santé dans l'État du Koweït ou aux Émirats arabes unis ; et les données de santé figurant dans les dossiers de ressources humaines, telles que les arrêts maladie. Les dossiers cliniques et les dossiers de ressources humaines sont chiffrés avec des clés distinctes, et ces données ne sont visibles que des Utilisateurs qui détiennent les rôles autorisés à les voir. Les codes de diagnostic et de procédure figurant dans les demandes de remboursement et autorisations préalables d'assurance, ainsi que les images de cartes d'assurance, sont protégés par le chiffrement des bases de données et du stockage décrit à l'Annexe 2.

Annexe 2 : Mesures techniques et organisationnelles

1. Chiffrement :
   • Les données en transit sont chiffrées avec TLS version 1.2 ou ultérieure, et l'identité du serveur de base de données est vérifiée à chaque connexion.
   • Les données au repos dans les bases de données, les disques, les fichiers, les Sauvegardes et le coffre de secrets sont chiffrées avec AES-256, au moyen de clés gérées par l'AWS Key Management Service (AWS KMS) ou par le fournisseur d'hébergement.
   • Les dossiers des ressources humaines et les dossiers cliniques sont en outre chiffrés au sein de l'application avec des clés distinctes, et les informations de connexion aux Prestataires Connectés sont conservées dans un coffre de secrets distinct chiffré avec une clé distincte.
2. Isolation des données de chaque client : chaque enregistrement des Données du Client porte l'identifiant de l'Entreprise à laquelle il appartient. Des politiques de sécurité au niveau des lignes de la base de données s'appliquent au rôle de l'application, et ce rôle n'a pas la permission de les contourner. Des contraintes de clé composite empêchent que des enregistrements d'une Entreprise soient liés à ceux d'une autre.
3. Contrôle d'accès :
   • L'accès est accordé selon le principe du moindre privilège.
   • L'accès à l'environnement de Production est limité à des employés de STAK nommément désignés, exige une authentification multifacteur, et le début de chaque accès est consigné.
   • L'accès administratif aux serveurs passe uniquement par AWS Systems Manager, sans connexion directe (SSH).
4. Sécurité de la connexion des Utilisateurs :
   • Pour les Utilisateurs, les Services proposent des clés d'accès (passkeys), des applications d'authentification et des codes de vérification envoyés à un téléphone vérifié.
   • Pour le Client, ils proposent des rôles et permissions personnalisables, un accès restreint par Succursale et, sur les Formules qui les incluent, des règles d'inactivité de session et des alertes aux Propriétaires pour les connexions depuis de nouveaux appareils.
5. Piste d'audit : une piste d'audit des modifications est conservée, qu'aucun Utilisateur ne peut altérer ou supprimer. Elle consigne l'auteur, l'heure, la source et l'adresse IP. Lorsque le Client efface les Données à Caractère Personnel d'un Client Final conformément à la clause 8.1, les entrées perdent les informations d'identification de cette personne mais conservent ce qui a été fait, par qui et quand. La piste d'audit est supprimée avec les Données du Client conformément à la clause 12. Les écritures comptables sont reliées en chaîne, ce qui révèle toute altération.
6. Sauvegardes et rétablissement :
   • des Sauvegardes automatisées et continues permettent une restauration à un instant donné dans un délai de 35 jours ;
   • les Sauvegardes quotidiennes sont conservées pendant 35 jours et les Sauvegardes mensuelles pendant 12 mois, et elles sont copiées vers une région géographique distincte en République d'Irlande. La politique des coffres de sauvegarde empêche leur suppression avant la fin de leur durée de conservation ou toute modification de cette durée, et un verrouillage en mode de conformité empêche la suppression de toute Sauvegarde pendant au moins ses 35 premiers jours ;
   • une Sauvegarde logique de la base de données est effectuée chaque nuit et conservée pendant 35 jours dans un stockage protégé contre la modification et la suppression ;
   • la restauration de la base de données à partir des Sauvegardes est testée chaque mois.
7. Données de paiement : les Services sont conçus de sorte que STAK ne stocke pas de numéros de carte complets. Les paiements s'effectuent sur des pages hébergées par les Prestataires de Services de Paiement ou sur leurs terminaux et applications certifiés d'acceptation des cartes. Les écrans des Services ne comportent aucun champ de saisie de données de carte, et les Services permettent au Client d'analyser les champs de texte libre pour détecter des numéros de carte saisis par erreur afin de les supprimer.
8. Réseau et infrastructure : les bases de données fonctionnent dans des réseaux privés non accessibles publiquement, derrière des pare-feu. Un pare-feu d'application web et une protection contre les attaques par déni de service sont fournis par Cloudflare.
9. Gestion des vulnérabilités et développement sécurisé : le code est revu et des tests automatisés sont exécutés avant chaque publication. Les bibliothèques logicielles sont vérifiées, et les mises à jour de sécurité sont appliquées sans délai.
10. Surveillance et réponse aux incidents :
    • l'infrastructure en nuage est surveillée automatiquement en permanence, avec des alertes immédiates ;
    • chaque action administrative sur l'infrastructure en nuage est consignée, et les menaces et les permissions excessives sont détectées automatiquement par des services dédiés d'Amazon (AWS CloudTrail, GuardDuty et IAM Access Analyzer) ;
    • des procédures documentées s'appliquent pour répondre aux Incidents de Sécurité et pour les notifier conformément à la clause 9.
11. Continuité d'activité : des plans de continuité et de rétablissement s'appliquent, conformément aux objectifs de rétablissement de l'Accord de Niveau de Service.
12. Personnel : Les employés et prestataires de STAK sont astreints à la confidentialité et reçoivent une formation de sensibilisation à la sécurité.
13. Suppression sécurisée : les données sont supprimées conformément à la clause 12, et le fournisseur d'hébergement détruit les supports conformément à ses normes.

Annexe 3 : Sous-traitants ultérieurs

Prestataires utilisés uniquement lorsqu'ils sont activés. STAK a configuré les prestataires suivants mais ne les utilise pas aujourd'hui pour Traiter des Données à Caractère Personnel du Client. Elle ne commence à utiliser l'un d'eux qu'après notification conformément à la clause 6.3, au moins 30 jours à l'avance, et la notification indique où le prestataire Traite les données et combien de temps il les conserve.

Dès que STAK active son propre numéro WhatsApp, Meta envoie depuis celui-ci des codes de connexion aux Utilisateurs et des codes de vérification aux Clients Finaux qui vérifient leur numéro de téléphone sur les Pages Publiques. Ce faisant, elle traite des données que STAK traite en qualité de Responsable du traitement au titre de la Politique de Confidentialité, et non des Données à Caractère Personnel du Client.

Hormis les prestataires ci-dessus, STAK n'utilise pas de prestataires de SMS, de notifications push, de portefeuilles numériques, ni de prestataires de recherche, de vérification et de cartographie d'adresses pour Traiter des Données à Caractère Personnel du Client.