Accord de traitement des données

1. Définitions

Les termes définis dans le Contrat ont le même sens dans le présent DPA. Les termes responsable du traitement, sous-traitant, personne concernée, données à caractère personnel, traitement et autorité de contrôle ont le sens que leur donne le RGPD.

Données Personnelles du Client

Les données à caractère personnel contenues dans le Contenu Client, que nous traitons pour le compte du Client en vertu du Contrat.

Réglementation sur la Protection des Données

Le RGPD (règlement (UE) 2016/679), la loi Informatique et Libertés (loi n° 78-17 du 6 janvier 1978) et, lorsqu'ils s'appliquent au traitement, le RGPD britannique (UK GDPR) et la loi fédérale suisse sur la protection des données.

Violation de Données

Une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération ou la divulgation non autorisée de Données Personnelles du Client, ou l'accès non autorisé à de telles données.

CCT

Les clauses contractuelles types adoptées par la Commission européenne dans sa décision d'exécution (UE) 2021/914 du 4 juin 2021.

Sous-traitant Ultérieur

Un tiers auquel nous faisons appel et qui traite des Données Personnelles du Client.

Nous

Beam SAS, 106 avenue de Versailles, 75016 Paris, France, immatriculée au registre du commerce et des sociétés de Paris sous le numéro 953 048 345.

2. Rôles et champ d'application

Le Client est responsable du traitement des Données Personnelles du Client et nous sommes son sous-traitant. Lorsque le Client agit lui-même en qualité de sous-traitant pour ses propres clients, nous sommes son sous-traitant ultérieur, et le Client confirme que son responsable du traitement a autorisé notre intervention aux conditions du présent DPA.

Nous traitons les Données Personnelles du Client uniquement pour fournir le Service. L'annexe 1 précise l'objet, la durée, la nature et la finalité du traitement, ainsi que les types de données à caractère personnel et les catégories de personnes concernées.

Pour les données de compte, de facturation et de service que nous traitons pour nos propres finalités (gestion de la relation client, facturation, sécurisation et amélioration du Service, respect de nos obligations légales), nous agissons en qualité de responsable du traitement indépendant, comme le décrit notre politique de confidentialité. Le présent DPA ne s'applique pas à ces traitements.

3. Instructions

Nous ne traitons les Données Personnelles du Client que sur instruction documentée du Client, sauf obligation contraire prévue par le droit de l'Union ou le droit d'un État membre ; dans ce cas, nous en informons le Client avant le traitement, sauf si ce droit l'interdit.

Les instructions du Client sont constituées par le Contrat, le présent DPA et les choix que ses administrateurs et Utilisateurs effectuent dans le Service : les modèles activés, les applications connectées, ce que font les agents et les workflows, ce qui est partagé et avec qui, l'activation ou non de la recherche web, et les paramètres de conservation. Toute autre instruction doit faire l'objet d'un accord écrit.

Nous informons sans délai le Client si, selon nous, une instruction constitue une violation de la Réglementation sur la Protection des Données.

4. Obligations du Client

Le Client est responsable de la licéité des traitements qu'il ordonne : disposer d'une base légale, informer les personnes concernées et veiller à l'exactitude des Données Personnelles du Client. Il décide quels modèles, applications et fonctionnalités traitent ses données et, par conséquent, quels Sous-traitants Ultérieurs les reçoivent et où (sections 7 et 8).

Le Service n'est pas conçu pour les catégories particulières de données à caractère personnel ni pour les données relatives aux condamnations pénales. Le Client n'y introduit de telles données que s'il dispose d'une base légale et a estimé que les mesures décrites à l'annexe 2 sont appropriées.

5. Confidentialité

Nous veillons à ce que toute personne autorisée à traiter les Données Personnelles du Client soit soumise à une obligation de confidentialité et n'y accède que dans la mesure nécessaire : pour fournir l'assistance demandée par le Client, pour exploiter et sécuriser le Service, ou pour respecter la loi.

6. Sécurité

Nous mettons en œuvre les mesures techniques et organisationnelles décrites à l'annexe 2, qui garantissent un niveau de sécurité adapté au risque, comme l'exige l'article 32 du RGPD. Nous pouvons les faire évoluer, à condition que le niveau global de protection ne diminue pas.

7. Sous-traitants ultérieurs

Le Client nous accorde une autorisation générale de faire appel à des Sous-traitants Ultérieurs. Ceux auxquels nous faisons appel à ce jour sont listés à l'annexe 3 et sur la page des sous-traitants ultérieurs, qui constitue la liste à jour.

Beam fait appel aux sous-traitants ultérieurs suivants : Amazon Web Services (la machine sur laquelle tourne ce produit), Clerk (connexion, sessions et appartenance aux espaces de travail), le fournisseur de modèle qui répond (génère les réponses, les documents et les synthèses, et reçoit donc la conversation et tout ce qu'on lui confie), Pipedream (exécute les connecteurs managés vers vos autres outils et conserve l'autorisation d'y accéder), Stripe (abonnements, paiement et factures), Resend (envoie les e-mails transactionnels), Twilio SendGrid (envoie les e-mails transactionnels), Tavily (répond à une recherche web avec des pages de l'Internet public), Voyage AI (réordonne les passages retrouvés pour que les plus pertinents parviennent au modèle), Sentry (collecte les erreurs pour qu'elles puissent être corrigées) et Pexels (fournit les photos d'illustration des présentations générées).

Plusieurs d'entre eux ne sont sollicités que lorsque le Client active la fonctionnalité qui en a besoin, et les fournisseurs de modèles qui reçoivent des requêtes sont ceux dont le Client active les modèles. Lorsque le Client fournit sa propre clé de fournisseur, ou un modèle qu'il héberge, les requêtes sont adressées directement à ce fournisseur dans le cadre du contrat que le Client a conclu avec lui, et ce fournisseur n'est pas notre Sous-traitant Ultérieur pour ces requêtes.

Nous imposons à chaque Sous-traitant Ultérieur, par contrat écrit, des obligations en matière de protection des données offrant au moins la protection prévue par le présent DPA, et nous demeurons responsables envers le Client de l'exécution par chaque Sous-traitant Ultérieur de ses obligations.

Avant qu'un nouveau Sous-traitant Ultérieur ne commence à traiter des Données Personnelles du Client, nous publions le changement sur la page des sous-traitants ultérieurs et en informons par e-mail les contacts administratifs de chaque espace de travail au moins 15 jours à l'avance. Le Client peut s'y opposer par écrit dans ce délai de 15 jours pour des motifs raisonnables liés à la protection des données. Nous recherchons alors de bonne foi une solution de remplacement ; à défaut, le Client peut résilier l'abonnement concerné avant que le changement ne prenne effet, et nous remboursons les sommes payées pour la période postérieure à la résiliation. Si nous devons remplacer un Sous-traitant Ultérieur en urgence pour des raisons indépendantes de notre volonté, nous en informons le Client dès que possible et le même droit d'opposition s'applique à compter de cette information.

8. Transferts internationaux

Nous hébergeons le Service et les Données Personnelles du Client en France. Nous ne transférons de Données Personnelles du Client hors de l'Espace économique européen qu'à des Sous-traitants Ultérieurs établis hors de cet espace, dans la mesure nécessaire aux fonctionnalités utilisées par le Client, ou sur d'autres instructions documentées du Client.

Chacun de ces transferts repose sur une décision d'adéquation de la Commission européenne, y compris le cadre de protection des données UE-États-Unis (EU-U.S. Data Privacy Framework) pour les destinataires certifiés à ce titre, ou sur les CCT (module trois, de sous-traitant à sous-traitant) conclues entre nous et le Sous-traitant Ultérieur, assorties de mesures supplémentaires lorsqu'une évaluation montre qu'elles sont nécessaires. Sur demande, nous fournissons une copie de ces garanties, expurgée des conditions commerciales. Lorsque le droit britannique ou suisse s'applique à un transfert, nous mettons en place, sur demande, les garanties supplémentaires qu'il exige.

Un fournisseur de modèles peut traiter des requêtes hors de l'Union européenne selon ses propres conditions (annexe 3). Un Client qui a besoin que ses requêtes restent chez un fournisseur donné peut restreindre son espace de travail aux modèles de ce fournisseur et utiliser sa propre clé.

Si une autorité publique nous demande des Données Personnelles du Client, nous nous efforçons de la réorienter vers le Client, informons le Client sauf si la loi l'interdit, contestons toute demande que nous estimons illicite et ne divulguons que ce que nous sommes légalement tenus de divulguer.

9. Demandes des personnes concernées

Si une personne concernée nous demande directement d'exercer ses droits sur des Données Personnelles du Client, nous transmettons la demande au Client dans les meilleurs délais et n'y répondons pas nous-mêmes, sauf si le Client nous le demande.

Le Service permet au Client de traiter lui-même la plupart des demandes : chacun peut supprimer ses propres conversations, fichiers, agents et workflows et télécharger des fichiers ; les administrateurs peuvent retirer des membres, exporter la liste des membres et définir des durées de conservation ; et le propriétaire peut supprimer l'ensemble de l'espace de travail. Lorsque cela ne suffit pas, nous aidons le Client par des mesures techniques et organisationnelles appropriées, dans la mesure de ce qui est raisonnablement possible.

10. Violations de données à caractère personnel

Nous notifions au Client toute Violation de Données dans les meilleurs délais après en avoir pris connaissance, par e-mail adressé aux administrateurs de son espace de travail.

La notification décrit, dans la mesure où ces éléments sont alors connus, la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d'enregistrements concernés, ses conséquences probables, les mesures prises ou envisagées, ainsi qu'un point de contact. Nous complétons ces informations à mesure qu'elles deviennent disponibles.

Nous prenons des mesures raisonnables pour contenir la violation et en limiter les effets, et aidons le Client à respecter ses obligations de notification à l'autorité de contrôle et de communication aux personnes concernées. La notification d'une violation ne vaut pas reconnaissance de faute.

11. Analyses d'impact et consultations

Sur la base des informations dont nous disposons, nous apportons une assistance raisonnable au Client pour ses analyses d'impact relatives à la protection des données (AIPD) et ses consultations préalables des autorités de contrôle lorsqu'elles concernent le Service. Une assistance nécessitant un effort important au-delà de la fourniture de la documentation existante peut être facturée à un tarif convenu à l'avance.

12. Informations et audits

Nous mettons à disposition les informations nécessaires pour démontrer le respect de l'article 28 du RGPD et du présent DPA : le présent DPA et ses annexes, la liste des sous-traitants ultérieurs et des réponses écrites aux questionnaires de sécurité raisonnables. Nous tenons le registre des traitements qu'exige l'article 30.2 du RGPD.

Lorsque ces informations ne suffisent pas, le Client peut auditer notre conformité, lui-même ou par l'intermédiaire d'un auditeur indépendant tenu à la confidentialité et qui n'est pas notre concurrent : au plus une fois par an, sauf si une autorité de contrôle l'exige ou si une Violation de Données s'est produite ; moyennant un préavis écrit raisonnable ; pendant les heures ouvrables ; et sans perturber le Service ni exposer les données d'autres clients. Le coût de l'audit est à la charge du Client.

13. Suppression et restitution

Pendant la durée du Contrat, le Client peut supprimer à tout moment des Données Personnelles du Client à l'aide des outils du Service, et les durées de conservation définies par ses administrateurs entraînent la suppression automatique des conversations, fichiers, exécutions de workflows et entrées du journal d'audit dès qu'ils atteignent l'ancienneté choisie.

Avant la fin du Contrat, le Client peut télécharger ses fichiers et nous demander un export des enregistrements de son espace de travail.

À la fin du Contrat, nous supprimons les Données Personnelles du Client dans un délai de 30 jours, sauf si le droit de l'Union ou le droit d'un État membre nous impose de les conserver ; les données ainsi conservées restent protégées par le présent DPA et ne sont traitées qu'à cette fin. Un espace de travail supprimé par son propriétaire est supprimé immédiatement. Nous confirmons la suppression par écrit sur demande.

14. Responsabilité

La responsabilité de chaque partie au titre du présent DPA est soumise aux limitations prévues par le Contrat, sans préjudice des droits des personnes concernées en vertu de l'article 82 du RGPD.

15. Durée, ordre de priorité et droit applicable

Le présent DPA s'applique aussi longtemps que nous traitons des Données Personnelles du Client pour le compte du Client. En cas de contradiction avec le Contrat en matière de protection des données à caractère personnel, le présent DPA prévaut ; lorsque les CCT s'appliquent, elles prévalent sur l'un et l'autre.

Lorsque le California Consumer Privacy Act s'applique, nous agissons en qualité de prestataire de services (« service provider ») : nous ne vendons pas et ne partageons pas les informations personnelles reçues du Client, et ne les utilisons que pour fournir le Service.

Le présent DPA est publié en français et en anglais. En cas de divergence entre les deux versions, la version française prévaut.

Le présent DPA est régi par le droit français, et les juridictions de Paris (France) sont compétentes, sans préjudice des stipulations propres aux CCT en matière de droit applicable et de juridiction compétente.

Annexe 1 : Détails du traitement

Objet

La fourniture du Service en vertu du Contrat.

Durée

La durée du Contrat, augmentée du délai de suppression prévu à la section 13.

Nature

Hébergement et stockage ; indexation et recherche ; transmission aux fournisseurs de modèles activés par le Client et aux applications connectées qu'il choisit ; exécution des agents, des workflows et des tâches planifiées ; transcription des enregistrements ; génération de documents, de présentations, de tableurs et d'images ; envoi de notifications ; assistance à la demande du Client.

Finalité

Fournir le Service au Client et à ses Utilisateurs, selon la configuration et l'utilisation qu'en fait le Client.

Personnes concernées

Les Utilisateurs du Client ; les personnes dont le Client ou ses Utilisateurs introduisent les données à caractère personnel dans le Service, telles que collègues, clients, fournisseurs, candidats, participants à des réunions et autres contacts ; les personnes qui interagissent avec les agents ou les pages que le Client partage.

Données à caractère personnel

Données d'identification et de contact des Utilisateurs (nom, adresse e-mail, photo de profil, rôle) ; contenus : messages, prompts, fichiers, enregistrements et transcriptions, connaissances et Résultats ; paramétrage contenant des données à caractère personnel : instructions, mémoire, agents et workflows ; données issues des applications connectées ; données d'utilisation et journaux : horodatages, modèle utilisé, nombre de requêtes et entrées du journal d'audit.

Catégories particulières

Aucune n'est requise par le Service ; voir la section 4.

Fréquence

Continue, tant que le Client utilise le Service.

Conservation

Selon les paramètres de conservation et les suppressions du Client, et en tout état de cause jusqu'à 30 jours après la fin du Contrat.

Localisation

La France pour l'hébergement ; les Sous-traitants Ultérieurs selon la liste figurant à l'annexe 3.

Annexe 2 : Mesures techniques et organisationnelles

Annexe 3 : Sous-traitants ultérieurs

La même liste que sur la page des sous-traitants ultérieurs. La colonne du lieu d'établissement indique l'établissement principal de chaque fournisseur, tel que ce fournisseur le publie.

Historique des versions