Accord de traitement des données

Article 1 — Préambule et identification des parties

Le présent Accord de Traitement des Données (ci-après le « DPA ») est conclu en application de l'article 28 du RGPD. Le présent DPA fait partie intégrante du contrat conclu entre Haark et le Client lorsqu'Haark traite des données personnelles pour le compte du Client.

Le présent DPA a pour objet de définir les conditions dans lesquelles Haark, en qualité de sous-traitant au sens de l'article 4(8) du RGPD, traite des données à caractère personnel pour le compte du Client, responsable du traitement au sens de l'article 4(7) du RGPD, dans le cadre de la fourniture des Services SaaS Haark.

Le présent DPA constitue une annexe indissociable des Conditions Générales de Vente (CGV), des Conditions Générales d'Utilisation (CGU) et du contrat principal liant les Parties. En cas de contradiction sur une question relative aux traitements de données personnelles effectués pour le compte du Client, le présent DPA prévaut.

Article 2 — Définitions

Aux fins du présent DPA, les termes suivants ont la signification donnée par le RGPD, complétée le cas échéant comme suit :

Données personnelles

Art. 4(1) RGPD — Toute information se rapportant à une personne physique identifiée ou identifiable.

Données Client

Les données personnelles importées, saisies, transmises, générées ou autrement traitées via la Plateforme pour le compte du Client, y compris, selon les fonctionnalités utilisées, les données relatives aux clients, prospects et collaborateurs du Client.

Traitement

Art. 4(2) RGPD — Toute opération appliquée à des données personnelles (collecte, enregistrement, conservation, consultation, suppression, etc.).

Responsable de traitement

Art. 4(7) RGPD — La personne morale qui détermine les finalités et les moyens du traitement. En l'espèce : le Client.

Sous-traitant

Art. 4(8) RGPD — La personne morale qui traite des données pour le compte du responsable. En l'espèce : Haark, pour les Données Client.

Sous-traitant ultérieur

Art. 28(2) RGPD — Tout prestataire tiers auquel Haark fait appel pour exécuter des activités de traitement des Données Client pour le compte du Client.

Violation de données

Art. 4(12) RGPD — Toute violation de la sécurité entraînant destruction, perte, altération, divulgation non autorisée ou accès non autorisé.

Personne concernée

Art. 4(1) RGPD — Toute personne physique dont les données sont traitées dans le cadre du présent DPA.

DPIA

Data Protection Impact Assessment — Analyse d'impact relative à la protection des données, requise par l'art. 35 RGPD pour certains traitements à risque élevé.

CCT

Clauses Contractuelles Types adoptées par la Commission européenne pour encadrer les transferts hors UE (décision 2021/914).

Instructions documentées

Toute instruction écrite donnée par le Client à Haark relative aux finalités, moyens et modalités du traitement, y compris celles résultant de l'utilisation configurée de la Plateforme.

Article 3 — Objet, portée et durée du DPA

Le présent DPA encadre les traitements de Données Client réalisés par Haark pour le compte du Client dans le cadre de l'utilisation de la Plateforme. Il ne s'applique pas aux données dont Haark est responsable de traitement en son nom propre (notamment gestion des comptes Haark, facturation des abonnements Haark, relation commerciale et mesure d'audience du site marketing), lesquelles sont régies par la Politique de confidentialité Haark.

Le présent DPA prend effet à la date de souscription aux Services et reste en vigueur pendant toute la durée d'utilisation. Il prend fin automatiquement à la résiliation ou à l'expiration du contrat principal, sous réserve des obligations subsistantes prévues aux articles 13 et 15.

Article 4 — Description des traitements

Conformément aux exigences de l'article 28(3) du RGPD, le présent article décrit les caractéristiques essentielles des traitements réalisés par Haark pour le compte du Client.

Lorsque le Client utilise des fonctionnalités d'analyse d'échanges professionnels, d'import audio, de transcription, de simulation ou de coaching, Haark peut traiter des contenus audio, des transcriptions, des enregistrements et des données relatives à ces échanges. La voix n'est pas, par elle-même, traitée par Haark comme une donnée biométrique relevant de l'article 9 du RGPD. Le Client demeure responsable de la licéité de l'enregistrement, de l'information des participants, de la détermination de la base légale et du respect des obligations particulières applicables dans son contexte.

Article 5 — Obligations de Haark en qualité de sous-traitant

Conformément à l'article 28(3) du RGPD, Haark s'engage à respecter les obligations suivantes :

5.1 Traitement sur instruction documentée

Haark traite les Données Client exclusivement sur instruction documentée du Client, y compris celles résultant de l'utilisation configurée de la Plateforme. Si Haark estime qu'une instruction viole le RGPD, elle en informe le Client par écrit dans les meilleurs délais et se réserve le droit de suspendre l'exécution de l'instruction jusqu'à sa rectification ou confirmation écrite.

5.2 Confidentialité des données

Haark veille à ce que les personnes autorisées à traiter les Données Client soient soumises à une obligation appropriée de confidentialité et n'accèdent aux données que dans la mesure nécessaire à leurs fonctions.

5.3 Interdiction d'utilisation à des fins propres

Haark s'interdit de vendre, louer, céder ou monétiser les Données Client, et de les utiliser à des fins de marketing propre. Haark configure et encadre contractuellement les services d'intelligence artificielle utilisés afin de limiter l'utilisation des Données Client aux traitements nécessaires à la fourniture des Services, conformément aux conditions applicables du fournisseur concerné.

5.4 Notification des violations

Haark informe le Client sans délai injustifié après avoir pris connaissance d'une violation de données personnelles affectant les Données Client. Haark s'efforce d'effectuer une première notification dans un délai de quarante-huit (48) heures lorsque les informations disponibles le permettent. Cette notification initiale peut être complétée progressivement.

Dans la mesure où les informations sont disponibles, la notification contient : la nature de la violation ; les catégories de données concernées ; les catégories et, le cas échéant, le volume approximatif de personnes concernées ; les conséquences probables ; les mesures prises ou envisagées ; et les informations utiles au Client pour remplir ses propres obligations.

Cette notification ne libère pas le Client de ses propres obligations, notamment de notification à la CNIL dans les conditions de l'article 33 du RGPD et d'information des personnes concernées dans les conditions de l'article 34 du RGPD.

5.5 Coopération avec les autorités

Haark coopère de bonne foi avec la CNIL et toute autre autorité de contrôle dans le cadre de leurs missions concernant les traitements effectués pour le compte du Client, et informe le Client sans délai injustifié de toute demande reçue d'une autorité, sauf si le droit applicable l'interdit.

Article 6 — Obligations du Client en qualité de responsable de traitement

Le Client, en sa qualité de responsable du traitement, reconnaît et garantit :

• disposer d'une base légale valide au sens de l'article 6 du RGPD pour chaque traitement effectué via la Plateforme ;
• avoir informé les personnes concernées conformément aux articles 13 et 14 du RGPD avant toute importation, saisie ou transmission de leurs données ;
• respecter l'ensemble de la réglementation applicable en matière de protection des données ;
• ne pas importer de données relevant de l'article 9 du RGPD (données sensibles) sans en avoir informé Haark préalablement et sans base légale documentée ;
• s'agissant des fonctionnalités d'enregistrement, d'import audio, de transcription ou d'analyse d'échanges, être responsable de la licéité de l'enregistrement, de l'information des participants et des éventuelles obligations particulières applicables dans son contexte ;
• s'assurer que ses Utilisateurs respectent les présentes dispositions et les CGU Haark ;
• assumer la responsabilité du contenu, de l'exactitude, de la licéité et de la pertinence des données importées, saisies ou transmises.

Article 7 — Mesures de sécurité

Conformément à l'article 32 du RGPD, Haark met en œuvre des mesures techniques et organisationnelles adaptées aux risques, comprenant notamment, selon les composants concernés :

Le Client reconnaît qu'aucun système ne peut garantir une sécurité absolue et s'engage à mettre en œuvre ses propres mesures complémentaires. Le Client signale à Haark sans délai injustifié tout incident de sécurité dont il aurait connaissance concernant la Plateforme.

Article 8 — Sous-traitance ultérieure

Le Client accorde à Haark une autorisation générale écrite de recourir aux sous-traitants ultérieurs nécessaires à la fourniture des Services. Haark demeure responsable vis-à-vis du Client de l'exécution des obligations de ses sous-traitants ultérieurs dans les conditions prévues par l'article 28 du RGPD.

À la date du présent DPA, Haark recourt notamment aux sous-traitants ultérieurs suivants pour le traitement des Données Client :

Les prestataires utilisés par Haark pour ses traitements propres, notamment la facturation des abonnements Haark (Stripe) et la mesure d'audience du site marketing (Google Analytics 4 via Google Tag Manager), ne sont pas des sous-traitants ultérieurs au titre du présent DPA. Ils sont décrits dans la Politique de confidentialité.

8.1 Intégrations activées par le Client

Certaines fonctionnalités permettent au Client de connecter la Plateforme à des services tiers qu'il utilise déjà, tels que des outils CRM, de messagerie, de calendrier ou d'autres applications professionnelles.

Lorsque cette connexion est initiée et configurée par le Client, les rôles respectifs de Haark et du fournisseur tiers dépendent de la nature de l'intégration et des traitements concernés. Ces services ne sont pas automatiquement considérés comme des sous-traitants ultérieurs de Haark au seul motif qu'une intégration avec la Plateforme est disponible.

À la date du présent DPA, les intégrations que le Client peut lui-même activer comprennent notamment : HubSpot, Airtable, Google Calendar, Microsoft Outlook / Microsoft Graph, Odoo, Brevo, Slack, une connexion directe à une base PostgreSQL du Client, ainsi que les clés API, webhooks et mécanismes d'ingestion d'usage de la Plateforme. D'autres connecteurs peuvent être affichés dans l'interface sans être encore opérationnels.

Le Client demeure responsable de disposer des droits et autorisations nécessaires pour connecter ces services et transmettre les données concernées. Lorsque le Client ou ses Utilisateurs choisissent de s'authentifier via un fournisseur d'identité tiers (Google ou Microsoft), ce fournisseur traite des données d'identification selon ses propres conditions.

8.2 Information et opposition

Haark informe le Client préalablement, dans un délai raisonnable et en principe d'au moins trente (30) jours, de tout ajout ou remplacement de sous-traitant ultérieur, afin de lui permettre d'exercer un droit d'opposition motivé. Ce préavis peut être réduit ou écarté en cas d'urgence, d'impératif de sécurité, d'obligation légale ou d'indisponibilité imprévisible d'un prestataire.

Haark s'engage à imposer à chaque sous-traitant ultérieur des obligations de protection des données substantiellement équivalentes à celles du présent DPA, dans la mesure applicable aux traitements concernés.

Article 9 — Transferts de données hors Union européenne

Lorsqu'un transfert de Données Client vers un pays situé hors de l'Espace économique européen est nécessaire, Haark veille à ce qu'il repose sur un mécanisme prévu par les articles 44 et suivants du RGPD, notamment une décision d'adéquation, le EU-U.S. Data Privacy Framework lorsque le destinataire est effectivement certifié, ou les Clauses Contractuelles Types de la Commission européenne lorsque celles-ci sont applicables.

Lorsque la réglementation ou la nature du transfert l'exige, Haark évalue les risques associés et met en œuvre les mesures complémentaires appropriées.

Pour toute demande d'information relative aux garanties applicables à un transfert spécifique, le Client peut contacter Haark à gianluca@haark.fr.

Article 10 — Assistance au responsable de traitement

Conformément à l'article 28(3)(e) et (f) du RGPD, Haark s'engage à assister le Client, compte tenu de la nature du traitement et des informations à sa disposition, pour :

10.1 Exercice des droits des personnes concernées

Haark fournit une assistance technique raisonnable pour permettre au Client de répondre aux demandes d'exercice de droits (accès, rectification, effacement, limitation, opposition, portabilité), notamment via les fonctionnalités d'export disponibles et la mise en œuvre des opérations techniques raisonnablement requises.

10.2 Analyses d'impact (DPIA)

Si le Client est tenu de réaliser une DPIA au sens de l'article 35 du RGPD, Haark met à disposition, dans la mesure des informations dont elle dispose, les informations techniques nécessaires et coopère de bonne foi à sa réalisation.

10.3 Coopération avec les autorités de contrôle

Haark coopère avec la CNIL et toute autre autorité compétente dans le cadre de missions d'audit ou d'enquête relatives aux traitements effectués pour le compte du Client.

Haark assiste également le Client, compte tenu de la nature du traitement et des informations à sa disposition, dans le respect des obligations prévues aux articles 32 à 36 du RGPD.

Les demandes d'assistance qui dépassent raisonnablement le fonctionnement normal du Service et qui ne résultent pas d'un manquement de Haark pourront faire l'objet d'une facturation spécifique, uniquement si le tarif a été communiqué et accepté préalablement par le Client.

Article 11 — Gestion des demandes de droits des personnes concernées

Lorsque Haark reçoit directement une demande d'exercice de droits portant sur des Données Client dont le Client est responsable de traitement, Haark s'engage à :

• transmettre la demande au Client sans délai injustifié et, dans la mesure du possible, dans un délai de cinq (5) jours ouvrés suivant sa réception ;
• ne pas répondre elle-même à la demande, sauf instruction documentée du Client ou obligation légale applicable à Haark ;
• informer, lorsqu'il est possible et approprié de le faire, la personne concernée que sa demande est transmise au responsable du traitement compétent.

Le Client s'engage à répondre aux demandes dans les délais légaux prévus par le RGPD et à informer Haark des suites données nécessitant une intervention technique sur la Plateforme.

Article 12 — Violation de données personnelles

En cas de violation de données personnelles au sens de l'article 4(12) du RGPD affectant les Données Client, la procédure suivante s'applique :

Haark n'est pas responsable des violations directement imputables à une faute, négligence ou omission du Client ou de ses Utilisateurs (par exemple : divulgation d'identifiants, mauvaise configuration des droits d'accès, utilisation non conforme de la Plateforme), sous réserve des responsabilités qui ne peuvent légalement être exclues ou limitées.

Article 13 — Sort des données en fin de contrat

À l'expiration ou à la résiliation du Contrat, Haark, au choix du Client et sous réserve d'une obligation légale de conservation, restitue les Données Client dans un format raisonnablement exploitable parmi les formats disponibles ou procède à leur suppression conformément aux modalités prévues ci-dessous.

Le Client dispose d'un délai de trente (30) jours à compter de la date effective de résiliation pour demander cette restitution ou réaliser l'export via les fonctionnalités disponibles sur la Plateforme.

Après expiration de la période de restitution, les Données Client présentes dans les systèmes actifs sont supprimées ou rendues anonymes de manière irréversible, sans délai injustifié et en principe dans un délai de trente (30) jours supplémentaires, sauf obligation légale de conservation contraire.

Les copies résiduelles éventuellement contenues dans les sauvegardes sont supprimées ou écrasées conformément aux cycles de rétention techniques applicables, en principe dans un délai maximum de quatre-vingt-dix (90) jours à compter de l'expiration de la période de restitution. Dans l'intervalle, elles demeurent protégées, soumises aux obligations du présent DPA et ne sont pas réutilisées à d'autres fins, sauf nécessité de restauration ou obligation légale.

Certains journaux techniques et d'audit peuvent subsister pour des finalités de sécurité, de traçabilité ou d'obligation légale. Ils ne couvrent pas nécessairement l'ensemble des Données Client et ne sont pas conservés selon une durée unique. Les durées applicables aux journaux concernés, lorsqu'elles sont indiquées, figurent dans la Politique de confidentialité. Les données comptables et de facturation des abonnements Haark, dont Haark est responsable de traitement, sont conservées selon les obligations légales applicables.

Haark peut confirmer par écrit, sur demande raisonnable du Client, l'achèvement du processus de suppression applicable.

Article 14 — Droit d'audit

Conformément à l'article 28(3)(h) du RGPD, le Client dispose du droit de procéder à des audits et inspections des activités de traitement effectuées par Haark pour son compte. L'exercice de ce droit est soumis aux conditions suivantes :

• Préavis : notification écrite à gianluca@haark.fr avec un préavis raisonnable, en principe d'au moins trente (30) jours, sauf incident de sécurité, demande d'une autorité ou autre urgence dûment justifiée ;
• Périmètre : l'audit est limité aux traitements de Données Client concernés par le présent DPA ;
• Confidentialité et sécurité : l'auditeur mandaté s'engage préalablement à la confidentialité ; Haark peut imposer des mesures raisonnables de sécurité et de confidentialité, notamment l'absence d'accès aux données d'autres Clients ;
• Modalités : un audit documentaire est privilégié avant tout audit sur site ;
• Fréquence : sauf incident de sécurité, demande d'une autorité, suspicion raisonnable de non-conformité ou autre circonstance exceptionnelle justifiant un contrôle supplémentaire, le Client ne peut demander plus d'un audit par période de douze (12) mois.

Chaque Partie supporte ses propres coûts liés à un audit ordinaire. Les coûts raisonnables engendrés par des demandes supplémentaires, répétitives ou manifestement excessives peuvent être facturés au Client après information préalable, sauf lorsque l'audit révèle un manquement significatif imputable à Haark.

Haark peut, lorsqu'ils existent et sous réserve des exigences de confidentialité et de sécurité, mettre à disposition des documents ou informations permettant au Client d'évaluer le respect des obligations prévues par le présent DPA.

Article 15 — Limitation de responsabilité

Sous réserve des responsabilités qui ne peuvent légalement être exclues ou limitées, la responsabilité de Haark au titre du présent DPA s'aligne sur les limitations prévues aux CGU et aux CGV. En particulier, le montant cumulé de la responsabilité de Haark est plafonné au montant hors taxes effectivement payé par le Client au titre des Services au cours des douze (12) mois précédant le fait générateur. Si l'abonnement a une durée inférieure à douze (12) mois, le plafond correspond aux montants hors taxes effectivement versés depuis le début du contrat.

Chaque Partie demeure responsable des manquements aux obligations qui lui incombent en vertu de la réglementation applicable. Lorsqu'une sanction, réclamation ou condamnation résulte directement d'un manquement imputable à l'une des Parties, la répartition de la charge financière tient compte de la responsabilité respective de chacune, sous réserve des règles impératives applicables.

Article 16 — Durée et modification du DPA

Le présent DPA entre en vigueur à la date de souscription aux Services et reste applicable pendant toute la durée d'utilisation. Il prend fin automatiquement à la résiliation ou à l'expiration du contrat principal, sous réserve des obligations subsistantes (articles 13 et 15).

Haark peut modifier le présent DPA pour se conformer à une évolution réglementaire, à une évolution des Services, à une évolution des sous-traitants ou à une évolution des mécanismes de transfert. Une modification ne peut toutefois réduire unilatéralement de manière substantielle le niveau de protection contractuellement accordé au Client au titre du présent DPA.

Toute modification substantielle est notifiée au Client avec un préavis raisonnable, en principe de trente (30) jours. Le Client dispose du droit de résilier sans pénalité en cas de refus des nouvelles dispositions, sauf lorsque la modification est nécessaire pour respecter une obligation légale ou réglementaire.

Article 17 — Droit applicable et juridiction compétente

Le présent DPA est soumis au droit français et au RGPD dans leurs champs d'application respectifs.

Les Parties s'efforcent de résoudre amiablement tout différend relatif au présent DPA.

Dans les autres cas, les règles de compétence territoriale de droit commun s'appliquent.

Article 18 — Contact RGPD et réclamations

Pour toute question, demande ou notification relative au présent DPA, les parties utilisent les coordonnées suivantes :