Avenant de Protection des Données

Date d'entrée en vigueur:

Le présent Avenant de Protection des Données (le présent « Avenant ») constitue un accord juridiquement contraignant entre vous et Powertokens.ai (la « Société », « nous », « notre » ou « nos »), régissant le traitement, l'accès et l'utilisation des données personnelles dans le cadre de votre utilisation du site web, de la plateforme, de la documentation et des services connexes (collectivement, les « Services »).

En créant un compte, en accédant aux Services, en achetant des crédits, en générant ou en acheminant des requêtes via la plateforme, ou en utilisant autrement les Services, vous acceptez les termes du présent Avenant. Si vous n'êtes pas d'accord, vous ne pouvez pas accéder aux Services ni les utiliser.

Les termes utilisés dans le présent Avenant de Données ont la signification qui leur est attribuée dans le présent Avenant de Données. Sauf disposition complémentaire ou modificative ci-dessous, les conditions du Contrat d'Utilisation restent pleinement en vigueur.

1. Définitions

1.1

« Législation Applicable en matière de Protection des Données » désigne toute loi, tout règlement ou tout autre instrument contraignant relatif au traitement des données personnelles qui s'applique à l'Exportateur de Données (et à tout autre responsable du traitement concerné) de temps à autre, y compris mais sans s'y limiter : la Loi de 2012 sur la Protection des Données Personnelles de Singapour (PDPA) ; le Règlement Général sur la Protection des Données de l'UE (UE 2016/679) (le « RGPD de l'UE ») ; la version du RGPD de l'UE incorporée dans le droit de l'Angleterre et du pays de Galles, de l'Écosse et de l'Irlande du Nord par la Loi de 2018 sur le Retrait de l'Union Européenne (le « RGPD du Royaume-Uni ») ; la Loi Fédérale Suisse sur la Protection des Données (la « LPD ») ; les lois et règlements fédéraux et/ou étatiques des États-Unis en matière de protection des données ou de la vie privée, y compris mais sans s'y limiter le California Privacy Rights Act de 2020, le California Consumer Privacy Act de 2018 (avec ses règlements d'application, le « CPRA »), et toute autre loi et réglementation relative au traitement des données personnelles.

1.2

« Responsable du Traitement » désigne généralement l'entité qui, seule ou conjointement avec d'autres, détermine les finalités et les moyens du traitement des données personnelles. Dans la mesure où le traitement des données personnelles en vertu du présent Avenant est soumis à la Législation Applicable en matière de Protection des Données, ce terme a la même signification que le terme similaire défini dans la Législation Applicable en matière de Protection des Données.

1.3

« Exportateur de Données » désigne le responsable du traitement ou le sous-traitant qui transfère des données personnelles au-delà des frontières conformément au présent Avenant.

1.4

« Importateur de Données » désigne le sous-traitant situé dans un pays différent de celui de l'Exportateur de Données.

1.5

« Personne Concernée » désigne toute personne physique dont les données personnelles peuvent être traitées conformément au présent Avenant.

1.6

« Données Personnelles » désigne généralement toute information se rapportant à une personne physique identifiée ou identifiable qui est traitée dans le cadre de la fourniture des Services. Dans la mesure où le traitement des données personnelles en vertu du présent Avenant est soumis à la Législation Applicable en matière de Protection des Données, ce terme a la même signification que le terme similaire défini dans la Législation Applicable en matière de Protection des Données.

1.7

« Traitement », « Traité » ou « Traiter » désigne toute opération ou ensemble d'opérations effectuées sur des données personnelles ou sur des ensembles de données personnelles, que ce soit ou non par des moyens automatisés, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, la récupération, la consultation, l'utilisation, la divulgation par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction des données personnelles. Aux fins du présent Avenant, les activités de traitement sont effectuées de manière transfrontalière et incluent donc les transferts transfrontaliers, c'est-à-dire le transfert de données personnelles par l'Exportateur de Données à l'Importateur de Données situé dans un pays ou une région différent, ou l'Exportateur de Données permettant à l'Importateur de Données situé dans un pays ou une région différent de traiter des données personnelles.

1.8

« Sous-traitant » désigne généralement l'entité qui traite des données personnelles pour le compte du Responsable du Traitement. Dans la mesure où le traitement des données personnelles en vertu du présent Avenant est soumis à la Législation Applicable en matière de Protection des Données, ce terme a la même signification que le terme similaire défini dans la Législation Applicable en matière de Protection des Données.

1.9

« Sous-traitant Ultérieur » désigne tout tiers engagé par le Sous-traitant pour traiter des données personnelles pour le compte du Responsable du Traitement.

1.10

« Services » désigne les services ou les offres de produits tels que définis dans le Contrat d'Utilisation.

1.11

« Violation de Données Personnelles » désigne une violation de la sécurité entraînant la destruction, la perte, l'altération, la divulgation non autorisée de données personnelles, ou l'accès non autorisé à celles-ci, de manière accidentelle ou illicite.

2. Date d'Entrée en Vigueur

2.1

Le présent Avenant entre en vigueur à la même date d'entrée en vigueur que le Contrat d'Utilisation et a la même durée.

3. Activités de Traitement et Rôles

3.1

Vous acceptez que, sauf disposition contraire autorisée par le présent Avenant, le traitement des données personnelles soit effectué conformément à la Section 4.1 et, le cas échéant, aux autres descriptions des activités de traitement énoncées dans « l'Annexe I – Dispositions Juridictionnelles Spécifiques ».

3.2

Vous acceptez que, aux fins de la fourniture des Services,

(i)

vous agissez en tant que Responsable du Traitement et acceptez par la présente que PowerTokens et les Fournisseurs de Modèles agissent en tant que Sous-traitants et que les données personnelles soient transférées au-delà des frontières pour traitement ; et

(ii)

vous agissez en tant que Sous-traitant et acceptez par la présente que PowerTokens et les Fournisseurs de Modèles agissent en tant que Sous-traitants Ultérieurs et que les données personnelles soient transférées au-delà des frontières pour traitement.

4. Obligations des Parties

Le Sous-traitant, en tant qu'Importateur de Données, doit :

(a)

Traiter les données personnelles uniquement dans le but de vous fournir les Services, y compris mais sans s'y limiter la prestation de services, le support opérationnel, le dépannage, l'analyse de données, la génération de rapports et d'autres fonctions commerciales expressément demandées par vous. Le Sous-traitant doit traiter les données personnelles strictement conformément à vos instructions écrites pendant toute la durée d'exécution des Services. À moins que le Sous-traitant ne reçoive d'autres instructions écrites de votre part, il ne doit pas traiter les données personnelles au-delà des finalités énoncées ci-dessus. Si le Sous-traitant estime raisonnablement que l'une de vos instructions peut être contraire à la Législation Applicable en matière de Protection des Données, il doit vous en informer rapidement. Vous devez alors fournir des instructions modifiées ou complémentaires conformes à la Législation Applicable en matière de Protection des Données.

(b)

Si la Législation Applicable en matière de Protection des Données, une ordonnance judiciaire, une citation à comparaître ou toute autre procédure judiciaire ou légale exige que le Sous-traitant traite les données personnelles d'une manière incompatible avec vos instructions, vous informer de cette exigence légale avant ce traitement, à moins que la loi applicable obligatoire (notamment pour des motifs d'intérêt public important) n'interdise une telle notification.

(c)

Déployer des efforts commercialement raisonnables pour se conformer à la Législation Applicable en matière de Protection des Données relative aux transferts transfrontaliers de données personnelles.

(d)

S'assurer que les personnes autorisées à traiter les données personnelles se sont engagées à respecter la confidentialité ou sont soumises à une obligation légale appropriée de confidentialité.

(e)

En cas de Violation de Données Personnelles impliquant des données personnelles traitées par le Sous-traitant en vertu du présent Avenant, prendre les mesures appropriées pour remédier à cette violation et vous informer dans les meilleurs délais après avoir pris connaissance de la violation et de son impact négatif sur la sécurité des données personnelles reçues de votre part, à moins que l'accès ou le traitement de vos données personnelles ne soit conforme à vos instructions.

(f)

À la résiliation du présent Avenant pour quelque raison que ce soit, cesser le traitement des données personnelles et, sur votre demande écrite,

(i)

restituer ou permettre la restitution des données personnelles en sa possession ou sous son contrôle, ou

(ii)

supprimer de manière sécurisée ou rendre définitivement illisibles ou inaccessibles les copies existantes des données personnelles ; à moins que la conservation et le traitement continus ne soient requis ou autorisés par la Législation Applicable en matière de Protection des Données et/ou la loi applicable obligatoire.

Vous, en tant qu'Exportateur de Données, devez :

(a)

Vous conformer à la Législation Applicable en matière de Protection des Données lors de l'utilisation des Services, y compris en vous assurant que la collecte, la conservation et le transfert transfrontalier de vos données personnelles sont conformes à la Législation Applicable en matière de Protection des Données, et en particulier, que vous avez obtenu tous les consentements/autorisations nécessaires et que vous disposez autrement d'une base légale permettant au Sous-traitant d'effectuer le traitement des données personnelles en vertu du présent Avenant.

(b)

Vous assurer que la Législation Applicable en matière de Protection des Données, en particulier les règles relatives aux transferts transfrontaliers de données personnelles, n'empêche pas le Sous-traitant d'exécuter le présent Avenant et de mettre en œuvre vos instructions.

(c)

Si vous agissez en tant que Sous-traitant, vous devez informer PowerTokens par écrit que vous agissez en tant que Sous-traitant conformément aux instructions de votre Responsable du Traitement, et vous devez fournir ces instructions à PowerTokens avant le traitement. Étant donné que vous avez une relation directe avec votre Responsable du Traitement, vous êtes responsable de transmettre toutes les informations, l'assistance et les notifications au Responsable du Traitement afin de remplir ses obligations en vertu de la Législation Applicable en matière de Protection des Données et des détails du traitement des données personnelles en vertu du présent Avenant, et de transmettre à PowerTokens toutes les instructions du Responsable du Traitement concernant le traitement des données personnelles en vertu du présent Avenant. Vous devez vous assurer que vos instructions supplémentaires n'entrent pas en conflit avec les instructions de votre Responsable du Traitement.

5. Sous-traitance Ultérieure – Applicable aux Fournisseurs de Modèles

5.1

Vous accordez par la présente aux Fournisseurs de Modèles une autorisation générale d'engager des Sous-traitants Ultérieurs aux fins de vous fournir les Services, ce qui peut impliquer des transferts ultérieurs de données personnelles.

5.2

Les Fournisseurs de Modèles doivent tenir à jour une liste de tous les Sous-traitants Ultérieurs, qui sera disponible sur la « page web des Sous-traitants Ultérieurs » des Fournisseurs de Modèles. Si un Fournisseur de Modèles désigne un Sous-traitant Ultérieur, le Fournisseur de Modèles doit s'assurer qu'un accord écrit est conclu avec ce Sous-traitant Ultérieur contenant des dispositions de protection des données offrant un niveau de protection au moins équivalent aux dispositions du présent Avenant. Le Fournisseur de Modèles doit vous informer de toute nouvelle désignation de Sous-traitant Ultérieur en mettant à jour la page web des Sous-traitants Ultérieurs. Si vous ne formulez pas d'objection écrite (fondée sur des motifs raisonnables relatifs à la protection des données personnelles) dans un délai de sept (7) jours suivant cette mise à jour, vous serez réputé avoir consenti à cette désignation.

5.3

Si vous utilisez les services de modèles d'un Fournisseur de Modèles et que ce Fournisseur de Modèles fournit une liste de Sous-traitants Ultérieurs, les dispositions de la présente Section s'appliquent. Pour plus de clarté, tous les Fournisseurs de Modèles ne fournissent pas de liste de Sous-traitants Ultérieurs ; le fait que le Fournisseur de Modèles impliqué dans votre utilisation fournisse une liste de Sous-traitants Ultérieurs est régi par les conditions figurant sur le site web officiel de ce Fournisseur de Modèles ; vous devez consulter ces conditions avant toute utilisation. Par conséquent, indépendamment du fait que les Fournisseurs de Modèles aient pris des mesures raisonnables pour s'assurer que les Sous-traitants Ultérieurs respectent le présent Avenant, PowerTokens ne saurait être tenu responsable de tout acte ou omission des Fournisseurs de Modèles et des Sous-traitants Ultérieurs.

6. Demandes des Personnes Concernées

6.1

Si le Sous-traitant reçoit directement une demande d'une Personne Concernée ou de toute personne agissant en son nom pour exercer des droits en vertu de la Législation Applicable en matière de Protection des Données (une « Demande de Personne Concernée »), et que le Sous-traitant peut raisonnablement identifier cette demande comme vous concernant et/ou concernant vos données personnelles sur la base des informations fournies, le Sous-traitant doit :

(i)

vous informer rapidement de cette demande ;

(ii)

ne pas répondre lui-même à une telle demande, sauf autorisation du Responsable du Traitement ou exigence de la Législation Applicable en matière de Protection des Données ; si la loi l'exige, le Sous-traitant doit, dans la mesure permise par la Législation Applicable en matière de Protection des Données, vous informer de cette exigence légale avant de répondre à cette demande.

6.2

Pour éviter toute ambiguïté, PowerTokens et les Fournisseurs de Modèles, en tant que Sous-traitants ou Sous-traitants Ultérieurs, ne sont pas responsables de répondre aux Demandes des Personnes Concernées. Les Services fournis par le Sous-traitant peuvent contenir des mesures techniques et organisationnelles conçues, compte tenu de la nature du traitement, pour vous aider à remplir votre obligation de répondre aux Demandes des Personnes Concernées dans la mesure du possible. Vous reconnaissez et acceptez que vous êtes seul responsable de la vérification de la validité de toute Demande de Personne Concernée et de donner des instructions en conséquence au Sous-traitant.

6.3

Pour éviter toute ambiguïté, rien dans le présent Avenant ne supprime ou ne modifie les droits que les Personnes Concernées peuvent avoir en vertu de la Législation Applicable en matière de Protection des Données.

7. Sécurité

7.1

Les Parties conviennent que, lors du traitement des données personnelles (y compris les transferts transfrontaliers et les transferts ultérieurs), des mesures techniques et organisationnelles appropriées doivent être prises pour garantir la sécurité des données personnelles en vertu du présent Avenant.

7.2

Le Sous-traitant n'a aucune obligation d'évaluer le contenu ou l'exactitude des données personnelles, y compris l'identification des informations soumises à des exigences légales, réglementaires ou autres particulières, sauf convention contraire dans le présent Avenant et ses Annexes. Vous êtes seul responsable de déterminer de manière indépendante si votre utilisation des Services répondra à vos exigences et à vos obligations légales en vertu de la Législation Applicable en matière de Protection des Données.

8. Assistance et Notification

8.1

Si vous demandez raisonnablement l'assistance de PowerTokens (que ce soit pour son propre compte ou pour le compte de votre Responsable du Traitement) afin de remplir vos obligations légales en vertu de la Législation Applicable en matière de Protection des Données, ou pour répondre aux demandes d'informations des autorités de régulation, des Personnes Concernées ou d'autres parties concernant le traitement des données personnelles par PowerTokens, et que PowerTokens ou ses représentants sont en mesure de fournir cette assistance, PowerTokens doit fournir cette assistance, à moins que PowerTokens n'en soit empêché par la Législation Applicable en matière de Protection des Données. PowerTokens se réserve le droit de vous facturer des frais raisonnables pour cette assistance demandée.

8.2

Toutes les informations fournies aux fins de l'assistance en vertu de la Section 8.1 sont des informations confidentielles de PowerTokens et ne doivent pas être divulguées sans le consentement écrit préalable de PowerTokens, sauf si la loi applicable obligatoire l'exige.

8.3

Aucune notification ou réponse en vertu de la Section 4.1(e) ne sera considérée comme une reconnaissance de faute ou de responsabilité de la part du Sous-traitant ou du Sous-traitant Ultérieur en ce qui concerne l'exécution des Services.

Les Parties conviennent que : tout avis, instruction, document ou autre communication relatif au présent Avenant est invalide à moins de satisfaire aux conditions suivantes :

(a)

Par écrit ;

(b)

En anglais ou accompagné d'une traduction en anglais (en cas de conflit, la traduction anglaise prévaut) ;

(c)

Remis ou envoyé par [courrier, service de messagerie, télécopie, communication électronique] ou tout autre moyen capable de transmettre des communications écrites sous une forme lisible et permanente.

9. Responsabilité

9.1

Vous êtes responsable envers PowerTokens des dommages résultant d'une violation du présent Avenant. En aucun cas, PowerTokens ne sera responsable des dommages indirects, spéciaux, accessoires ou consécutifs découlant de toutes les Violations de Données Personnelles et de toute violation du présent Avenant, y compris mais sans s'y limiter la perte d'activité ou l'atteinte à la réputation.

9.2

Sauf dans la mesure où la responsabilité ne peut être limitée ou exclue en vertu de la loi applicable obligatoire, la responsabilité totale globale de PowerTokens pour toutes les Violations de Données Personnelles et toute violation du présent Avenant (que ce soit sur la base d'un contrat, d'une fausse déclaration, d'une négligence, d'une responsabilité stricte ou de toute autre théorie juridique) ne dépassera pas 10 000 USD.

9.3

En outre, sauf en cas de faute intentionnelle ou de négligence grave, la responsabilité totale globale de PowerTokens pour toutes les réclamations découlant du présent Avenant est plafonnée à 50 000 USD.

10. Droit Applicable et Juridiction

10.1

Vous acceptez irrévocablement que toute réclamation, tout litige ou toute controverse découlant de ou en relation avec le présent Avenant ou tout Bon de Commande (un « Litige »), y compris les litiges concernant l'existence, la formation, la validité, l'interprétation, l'exécution ou la résiliation du présent Avenant ou de tout Bon de Commande ou les conséquences de sa nullité, ainsi que tout droit ou obligation non contractuel découlant de, en relation avec ou ayant un lien avec le présent Avenant ou tout Bon de Commande, soit soumis et définitivement résolu par arbitrage administré par le Centre d'Arbitrage International de Singapour (SIAC) conformément au Règlement d'Arbitrage du Centre d'Arbitrage International de Singapour en vigueur à ce moment, ces règles étant réputées incorporées par référence dans la présente Section 10. Le siège de l'arbitrage est Singapour. Le tribunal arbitral est composé de trois (3) arbitres. Chaque partie désigne un (1) arbitre, et les deux arbitres désignés par les parties désignent conjointement le troisième (3e) arbitre, qui agit en tant qu'arbitre président. Si une partie ne désigne pas son arbitre, ou si les arbitres désignés par les parties ne parviennent pas à s'entendre sur l'arbitre président dans un délai de quatorze (14) jours, cette ou ces désignations sont effectuées par le Président du SIAC. La langue de l'arbitrage est l'anglais.

Annexe I – Dispositions Juridictionnelles Spécifiques

Selon la Législation Applicable en matière de Protection des Données qui peut s'appliquer au transfert transfrontalier de données personnelles entre les Parties, certaines dispositions juridictionnelles spécifiques s'appliquent. En cas de lacune dans le présent Avenant, ou de toute incohérence entre les dispositions juridictionnelles spécifiques applicables et le présent Avenant, les dispositions juridictionnelles spécifiques applicables prévalent.

Espace Économique Européen (l'« EEE »), Suisse ou Royaume-Uni

Lorsque des données personnelles provenant de l'EEE, de la Suisse ou du Royaume-Uni sont transférées vers une juridiction qui n'a pas été reconnue comme offrant un niveau de protection des données adéquat, les Parties conviennent que ce transfert est régi par les Clauses Contractuelles Types conformément à la Décision d'Exécution de la Commission (UE) 2021/914 du 4 juin 2021 (les « CCT »). Dans les CCT, les dispositions suivantes s'appliquent spécifiquement :

(a)

Lorsque vous agissez en tant que Responsable du Traitement, le Module Deux : Transferts de Responsable du Traitement à Sous-traitant s'applique.

(b)

Lorsque vous agissez en tant que Sous-traitant, le Module Trois : Transferts de Sous-traitant à Sous-traitant s'applique.

(c)

Les Parties conviennent d'incorporer la Clause 7 (Clause d'Adhésion).

(d)

Dans la Clause 9 (Recours aux Sous-traitants Ultérieurs), paragraphe (a) :

Module Deux : Transferts de Responsable du Traitement à Sous-traitant : Vous acceptez d'incorporer l'Option 2 : Autorisation écrite générale.

Module Trois : Transferts de Sous-traitant à Sous-traitant : Vous acceptez d'incorporer l'Option 2 : Autorisation écrite générale.

(e)

Dans la Clause 11 (Recours), paragraphe (a) : Vous n'acceptez pas d'incorporer cette option.

(f)

Dans la Clause 17 (Droit Applicable) : L'option applicable est mutuellement convenue par les Parties et incorporée en conséquence.

(g)

Dans la Clause 18 (Choix du for et de la juridiction), paragraphe (b) : Le tribunal et la juridiction applicables sont mutuellement convenus par les Parties et incorporés en conséquence.

DESCRIPTION DU TRANSFERT

Catégories de Personnes Concernées dont les données personnelles sont transférées par vous :

Utilisateurs finaux des Services (personnes physiques)

Catégories de données personnelles transférées :

Données de Service : Contenu (par exemple, texte, images, vidéo) soumis via l'API pour traitement. Les données personnelles (par exemple, les données faciales et vocales) sont traitées conformément à la loi applicable.

Données sensibles transférées (le cas échéant) et restrictions ou garanties applicables tenant pleinement compte de la nature des données et des risques encourus, telles qu'une stricte limitation des finalités, des restrictions d'accès (y compris un accès limité au personnel spécialement formé), la tenue de registres d'accès aux données, des restrictions aux transferts ultérieurs ou des mesures de sécurité supplémentaires :

Photographies ou vidéos pouvant contenir des données biométriques.

Fréquence du transfert (par exemple, si les données sont transférées de manière ponctuelle ou continue) :

Les données sont transférées en continu pendant l'utilisation des Services par l'utilisateur final.

Nature du traitement :

Stockage, enregistrement, combinaison, classification, analyse et génération aux fins de la fourniture des Services.

Finalité(s) du transfert de données et du traitement ultérieur :

Fourniture et maintenance des Services, etc.

La durée pendant laquelle les données personnelles seront conservées ou, si cela n'est pas possible, les critères utilisés pour déterminer cette durée :

La durée de conservation est basée sur les exigences de service, les exigences légales, la prévention de la fraude et les obligations de conservation des registres.

Pour les transferts aux sous-traitants (ultérieurs), préciser également l'objet, la nature et la durée du traitement :

Veuillez vous référer à la Section 5 du présent Avenant pour plus de détails.

Autorité de Contrôle Compétente

Détermination de l'autorité de contrôle compétente conformément à la Clause 13 :

La commission de protection des données de la juridiction concernée telle que déterminée conformément à la Clause 13 des CCT de l'UE.

Annexe II – Mesures Techniques et Organisationnelles, Y Compris les Mesures Visant à Assurer la Sécurité des Données

(a)

Sécurité des Données. Mise en œuvre de :

Normes de classification et de gradation des données ;
Un ensemble de capacités d'authentification et de contrôle d'accès aux niveaux physique, réseau, système et application ; et
Des mécanismes de détection des comportements anormaux basés sur l'analyse de mégadonnées.

(b)

Sécurité du Réseau. Mise en œuvre de règles strictes d'isolation du réseau interne, avec contrôle d'accès et protection des périmètres pour les réseaux internes (y compris les réseaux de bureau, de développement, de test et de production) réalisés par isolation physique et logique.

(c)

Sécurité Physique et Environnementale. Mise en œuvre de contrôles d'accès stricts aux infrastructures et à l'environnement pour l'accès aux données, basés sur les exigences de sécurité régionales pertinentes. Une matrice de contrôle d'accès est établie en fonction des types de personnel et de leurs autorisations d'accès respectives pour assurer une gestion et un contrôle efficaces du personnel accédant et opérant.

(d)

Gestion des Incidents. Fonctionnement d'une surveillance proactive des services en temps réel, combinée à des mécanismes de réponse et de traitement rapides pour permettre la détection et la résolution rapides des incidents de sécurité.

(e)

Conformité aux Normes. Conformité aux normes suivantes :

Système de Management de la Sécurité de l'Information (SMSI) – ISO/IEC 27001:2022.
Système de Management de la Protection des Données Personnelles (PIMS) – ISO/IEC 27701:2025.

Chargement de PowerTokens

Veuillez patienter...