Addenda de traitement

1. Objet de cet addenda et entrée en vigueur

Le présent addenda sur le traitement des données (le « DPA ») fait partie intégrante des Modalités de service (les « Conditions ») entre vous (ou l'organisation que vous représentez) et Hedgeling LLC, une société à responsabilité limitée de l'Utah (« Hedgeling », « nous »). Il s'applique chaque fois que nous traitons des données personnelles du client pour votre compte dans le cadre du service.

Vous n'avez rien à signer pour que ce DPA s'applique. Il prend effet automatiquement lorsque vous acceptez les Conditions et reste en vigueur tant que nous traitons des données personnelles du client. Si votre organisation a besoin d'une copie contresignée, envoyez un courriel à support@thehedgeling.com et nous vous en enverrons une.

Si vous avez un contrat Entreprise ou un autre accord signé avec nous contenant ses propres clauses de traitement des données, ces clauses s'appliquent à la place de cet addenda. En cas de conflit entre cet addenda et les Conditions concernant le traitement des données personnelles, cet addenda prévaut.

2. Définitions

• Le Contenu du client a la signification donnée dans les Conditions : les chaînes sources, le contexte de code, les traductions, glossaires, personas, guides de style, documents et autres éléments que vous soumettez au Service.
• Données personnelles du client désigne les données personnelles contenues dans le Contenu du client que nous traitons pour votre compte.
• Lois sur la protection des données désigne les lois s'appliquant au traitement des données personnelles du client dans le cadre de cet addenda. Selon votre emplacement et celui des personnes concernées, celles-ci peuvent inclure le Règlement général sur la protection des données (RGPD) de l'UE, le RGPD du R.-U., la Loi fédérale suisse sur la protection des données et les lois des États américains comme la Loi sur la protection de la vie privée des consommateurs de Californie.
• Sous-traitant désigne un tiers auquel nous faisons appel pour traiter des données personnelles du client.
• Clauses contractuelles types désigne les clauses annexées à la décision d'exécution (UE) 2021/914 de la Commission européenne.
• Addenda du R.-U. désigne l'addenda de transfert international de données aux clauses contractuelles types publié par le commissaire à l'information du Royaume-Uni.

Les termes « responsable du traitement », « sous-traitant », « données personnelles », « traitement », « personne concernée » et « violation de données personnelles » ont la signification donnée par le RGPD et englobent les termes équivalents des autres lois sur la protection des données (« entreprise », « fournisseur de services »). Les autres termes majuscules ont le sens défini dans les Conditions.

3. Rôles

Pour les données personnelles du client, vous êtes le responsable du traitement et Hedgeling est votre sous-traitant. Si vous êtes vous-même un sous-traitant agissant pour le compte d'un tiers, Hedgeling est votre sous-traitant ultérieur, et vous confirmez que vos instructions à notre égard sont autorisées par le responsable du traitement.

Ce DPA ne couvre pas les données que nous traitons à titre de responsable du traitement : données de compte, historiques d'utilisation et de facturation, identifiants, journaux de sécurité et analyses du site Web. La Confidentialité décrit ce que nous faisons avec ces données.

Si vous connectez votre propre clé de fournisseur d'IA, ce fournisseur traite vos données selon votre accord avec lui. Il s'agit de votre fournisseur, et non de notre sous-traitant ultérieur. Lorsque vous exécutez le package en ligne de commande sur votre propre machine avec votre propre clé, les données vont directement de votre appareil à ce fournisseur et nous ne les traitons aucunement.

4. Détails du traitement

• Objet et finalité : vous fournir le Service : extraction, stockage, traduction, révision et livraison de vos chaînes, ainsi que la sécurisation et l'assistance du Service.
• Nature du traitement : hébergement et stockage, envoi de chaînes et de contexte aux fournisseurs d'IA pour la traduction et le clavardage, affichage du contenu aux utilisateurs autorisés, lecture et écriture dans les dépôts connectés, sauvegarde et suppression.
• Durée : tant que votre espace de travail existe, puis jusqu'à ce que la suppression soit complète, comme décrit à la section 11.
• Types de données personnelles : toute donnée personnelle que vous incluez dans le Contenu du client. Le Contenu du client consistant principalement en du texte d'interface utilisateur, cela se limite normalement aux noms, adresses de courriel et identifiants similaires apparaissant dans les chaînes sources, le contexte de code, les glossaires, les documents importés, les commentaires de révision ou les messages de clavardage de la console.
• Personnes concernées : les personnes physiques auxquelles les données personnelles se rapportent, par exemple vos employés, vos sous-traitants et les utilisateurs finaux de vos produits.
• Données sensibles : le Service n'est pas conçu pour les catégories particulières de données personnelles, les données de santé, les données de carte de paiement ou les identifiants gouvernementaux, et vous acceptez de ne pas les inclure dans le Contenu du client.

5. Vos instructions

Nous traitons les données personnelles du client uniquement selon vos instructions documentées. Les Conditions, ce DPA et la façon dont vous et vos utilisateurs configurez et utilisez le service constituent vos instructions complètes. Pour toute demande particulière, écrivez-nous à support@thehedgeling.com et nous vous indiquerons si cela est réalisable.

Nous vous informerons si nous estimons qu'une instruction enfreint les lois sur la protection des données, et nous pourrons suspendre ce traitement jusqu'à ce que vous confirmiez ou modifiiez l'instruction. Si une loi nous oblige à traiter les données personnelles du client d'une autre manière, nous vous en informerons au préalable, à moins que cette loi ne l'interdise.

Nous ne vendons ni ne partageons les données personnelles du client, nous ne les utilisons pas pour entraîner des modèles d'IA, et nous ne les conservons, n'utilisons ni ne divulguons à d'autres fins que la fourniture, la sécurisation, l'assistance et l'amélioration du Service à votre intention, comme décrit dans les Conditions.

6. Confidentialité

L'accès aux données personnelles du client est limité aux personnes qui en ont besoin pour faire fonctionner et soutenir le Service, et toute personne que nous autorisons à les traiter est tenue à une obligation de confidentialité.

7. Mesures de sécurité

Nous protégeons les données personnelles du client au moyen du chiffrement en transit (HTTPS) et au repos, du contrôle d'accès basé sur les rôles, de l'isolation des locataires, du stockage chiffré des clés de fournisseur, du stockage haché des identifiants de service, de baux d'autorisation signés à durée limitée, de la limitation du débit et de la journalisation d'audit.

Nous pouvons modifier ces mesures à mesure que le Service évolue, mais nous ne réduirons pas de manière substantielle le niveau global de protection. Vous êtes responsable de votre utilisation du Service, notamment du choix des éléments transmis, de la gestion des accès à votre espace de travail et de la sécurité de vos identifiants et clés API.

8. Sous-traitants

Vous nous donnez une autorisation générale de faire appel à des sous-traitants, y compris ceux figurant à la section 17. Nous faisons appel à chaque sous-traitant en vertu d'un contrat écrit l'obligeant à protéger les données personnelles, et nous demeurons responsables envers vous de leurs prestations.

Avant d'ajouter ou de remplacer un sous-traitant, nous mettrons à jour la liste de la section 17 et aviserons le propriétaire de votre espace de travail par courriel ou dans la console au moins 30 jours avant que le nouveau sous-traitant ne traite des Données personnelles du client. En cas de remplacement urgent pour des raisons de sécurité ou de continuité, nous vous en informerons dans les plus brefs délais.

Vous pouvez vous opposer à un nouveau sous-traitant pour des motifs raisonnables de protection des données en écrivant à support@thehedgeling.com pendant ce délai de préavis. Nous travaillerons de bonne foi avec vous pour trouver une solution de rechange, comme une façon d'utiliser le service sans ce sous-traitant. À défaut d'alternative, vous pourrez cesser d'utiliser la fonctionnalité concernée ou résilier le service comme prévu aux Conditions.

9. Demandes des personnes concernées et autre assistance

Vous pouvez consulter, corriger, exporter et supprimer le Contenu client dans la console en tout temps, et utiliser ces outils pour répondre aux demandes des personnes exerçant leurs droits. Si une personne nous contacte au sujet de Données personnelles du client, nous vous trasmettrons la demande ou l'inviterons à vous contacter directamente, sans y répondre nous-mêmes, sauf si la loi l'exige.

Compte tenu de la nature du traitement et de nos informations, nous vous apporterons une aide raisonnable pour les évaluations d'impact et consultations réglementaires requises par les lois sur la protection des données.

10. Incidents de confidentialité

Si nous prenons connaissance d'une violation de données personnelles touchant les Données personnelles du client, nous en aviserons sans délai le propriétaire de votre espace de travail par courriel. Nous vous communiquerons les faits connus, les données concernées, les conséquences probables et les mesures prises, puis nous vous tiendrons informé. Nous prendrons des mesures raisonnables pour limiter l'incident.

La notification d'un incident ne constitue pas une reconnaissance de faute ou de responsabilité. Vous êtes responsable des avis dus aux autorités ou aux personnes; nous vous fournirons les renseignements disponibles pour vous aider.

11. Suppression et retour

Vous pouvez exporter vos catalogues en tout temps. La fin d'un abonnement ne supprime pas vos données : vous gardez un accès en lecture et exportation vérifiée pendant une période de grâce d'au moins 30 jours, et nous conservons le Contenu client jusqu'à sa demande de suppression.

La suppression commence lorsqu'un utilisateur autorisé demande la suppression d'un projet ou d'une organisation dans la console. Cette demande ouvre une fenêtre de 30 jours réservée à l'exportation. Après cette période, nous purgeons le contenu : chaînes sources, traductions, contexte, glossaires, invites, personas, documents importés, données de clavardage et d'IA, ainsi que les aperçus de contenu des journaux d'audit. Le contenu purgé peut subsister dans des sauvegardes chiffrées pendant une courte période (actuellement jusqu'à sept jours).

Après la suppression définitive, nous ne conservons que les dossiers administratifs, de sécurité et d'audit minimaux décrits dans la Confidentialité, le contenu ayant été retiré. Si vous ne pouvez utiliser la console pour exporter ou supprimer vos données, écrivez à support@thehedgeling.com et nous vous aiderons.

12. Information et vérifications

Sur demande écrite, nous vous fournirons les renseignements raisonnablement nécessaires pour démontrer le respect de nos obligations en vertu de la présente CFD, y compris les réponses à un questionnaire de sécurité raisonnable. Sauf exigence contraire d'un organisme de réglementation ou violation de données touchant vos données, vous pouvez effectuer cette demande une fois par période de 12 mois.

Si les lois sur la protection des données vous donnent droit à plus que ces renseignements, vous pouvez demander un audit. Un audit exige un préavis écrit d'au moins 30 jours et un périmètre convenu, a lieu pendant les heures normales de bureau, à vos frais, sous le sceau de la confidentialité, et ne doit pas exposer les données d'autres clients ni perturber le Service. Le Service fonctionnant sur l'infrastructure d'Amazon Web Services, nous ne pouvons pas donner d'accès physique aux centres de données.

13. Transferts internationaux

La console est hébergée sur AWS aux États-Unis, et nos sous-traitants peuvent traiter des données aux États-Unis ainsi que dans d'autres pays. En utilisant le Service, vous nous donnez instruction de traiter les données personnelles du client dans ces emplacements.

Lorsque vous nous transférez des données personnelles du client protégées par le RGPD et que ce transfert n'est pas couvert par une décision d'adéquation, les clauses contractuelles types sont intégrées à la présente DPA et s'appliquent comme suit :

• Le module deux (responsable du traitement à sous-traitant) s'applique si vous êtes un responsable du traitement, et le module trois (sous-traitant à sous-traitant) s'applique si vous êtes un sous-traitant.
• Vous êtes l'exportateur de données et Hedgeling est l'importateur de données.
• La clause d'adhésion facultative (clause 7) et le libellé facultatif de la clause 11 ne s'appliquent pas.
• Pour la clause 9, l'autorisation écrite générale s'applique, avec le préavis défini à la section 8.
• Pour les clauses 17 et 18, la loi applicable est celle de l'Irlande et les tribunaux compétents sont les tribunaux d'Irlande.
• L'annexe I est complétée avec les renseignements des sections 1, 3 et 4, l'annexe II avec la section 7, et l'annexe III avec la section 17. L'autorité de contrôle compétente est celle déterminée conformément à la clause 13.

Pour les transferts protégés par le RGPD du Royaume-Uni, l'Addenda du RU est intégré à la présente DPA et ses tableaux sont complétés avec les mêmes renseignements; aucune des parties ne peut mettre fin à l'Addenda du RU en vertu de sa section 19. Pour les transferts protégés par le droit suisse, les clauses contractuelles types s'appliquent, les références au RGPD devant être lues comme des références à la Loi fédérale suisse sur la protection des données et au Préposé fédéral à la protection des données et à la transparence comme autorité de contrôle.

Si les clauses contractuelles types ou l'Addenda du RU entrent en conflit avec le reste de la présente DPA ou avec les Conditions, les clauses contractuelles types ou l'Addenda du RU prévalent.

14. Vos responsabilités

Vous êtes responsable des données personnelles du client que vous soumettez : vous devez disposer d'une base juridique et de tous les avis ou consentements requis pour les soumettre, veiller à leur exactitude et vous assurer que vos instructions respectent les lois sur la protection des données. Veuillez éviter d'inclure des données personnelles dans le contenu du client lorsque cela est possible.

15. Responsabilité et loi applicable

La responsabilité de chaque partie en vertu de la présente DPA est soumise à la limitation de responsabilité de la section 15 des Conditions. Rien dans la présente DPA ne limite les droits des personnes concernées en vertu des clauses contractuelles types ni toute responsabilité qui ne peut être limitée par la loi.

La présente DPA est régie par le droit qui régit les Conditions, et les litiges sont traités de la manière décrite dans les Conditions, sauf si les clauses contractuelles types ou l'Addenda du RU en disposent autrement.

16. Modifications de l'addenda

Nous pouvons mettre à jour la présente DPA en cas de modification du Service, de nos sous-traitants ou de la loi. Chaque version porte une date de version dans le haut de cette page. En cas de modification importante, nous vous en informerons au moins 30 jours à l'avance par courriel ou dans la console avant l'entrée en vigueur de la nouvelle version. Les modifications relatives aux sous-traitants suivent la section 8.

17. Sous-traitants actuels

Voici les fournisseurs auxquels nous faisons actuellement appel pour exploiter le Service, ainsi que leur rôle respectif.

• Amazon Web Services (AWS) : hébergement, bases de données, stockage et sauvegardes pour la console, et Amazon Cognito pour la création de compte, la connexion, le stockage des mots de passe et le courriel de vérification. Situé aux États-Unis.
• Google (Gemini): Inférence d'IA. Si vous utilisez l'IA gérée sur notre clé de plateforme et que Gemini est le fournisseur sélectionné, les chaînes, le contexte et les messages de clavardage de la requête sont envoyés à son API.
• Meta (Llama): Inférence d'IA. Si vous utilisez l'IA gérée sur notre clé de plateforme et que Llama est le fournisseur sélectionné, les chaînes, le contexte et les messages de clavardage de la requête sont envoyés à son API.
• GitHub : lorsque vous connectez un dépôt, nous lisons les fichiers source choisis et, à votre demande, ouvrons des pull requests avec des traductions, selon les accès accordés.
• Stripe: paiement, modes de paiement, factures et portail de facturation client.
• Google Workspace : courriels envoyés à nos adresses de soutien et de vente.

Stripe et Google Workspace gèrent la facturation et la correspondance, et non le contenu du client. Ils figurent ici afin que la liste corresponde à la Confidentialité. Les fournisseurs d'IA que vous connectez avec votre propre clé n'y figurent pas, car ils agissent pour vous, et non pour nous.

18. Contact

Questions sur ce DPA, demandes de copie contresignée et objections envers un sous-traitant : support@thehedgeling.com.