ACCORD DE TRAITEMENT DES DONNÉES (DPA)

conclu le [**] (ci-après dénommé « le » “ Accord ”)

entre :

[Nom du client], une [type d'entité] constituée en vertu des lois de [juridiction], dont le siège social est situé à [Adresse], numéro de TVA / numéro d'identification fiscale : [numéro], représentée par : [Nom] – [Fonction], ci-après dénommée « la “ Contrôleur ”,

Brand24 Global Inc., société constituée dans le Delaware, dont le siège social est situé au 121 Executive Circle, Daytona Beach, FL 32114, États-Unis, représentée par : [Nom] – [Fonction], ci-après dénommée « la “ Processeur ”,

(Les parties sont désignées collectivement sous le nom de “ Parties ”)

Étant donné que le responsable du traitement et le sous-traitant sont parties à un contrat de prestation de services (par exemple, les conditions générales d'utilisation des services Brand24, Chatbeat ou Insights24), ci-après dénommé le “ Accord principal ”, dont l'exécution nécessite le traitement de données à caractère personnel par le sous-traitant, les parties concluent par la présente le présent accord conformément à l'article 28 du règlement (UE) 2016/679 (RGPD) et aux autres lois applicables en matière de protection des données.

§ 1. Objet

Le responsable du traitement confie au sous-traitant le traitement des données à caractère personnel conformément à l'article 28 du RGPD, selon les modalités et aux fins précisées dans le présent accord.
Le sous-traitant s'engage à traiter les données à caractère personnel qui lui sont confiées conformément au présent accord, au RGPD et aux autres lois applicables en matière de protection des données visant à protéger les droits des personnes concernées.
Le présent accord s'applique à tous les traitements de données à caractère personnel effectués par le sous-traitant dans le cadre des services fournis au titre du contrat principal, y compris, sans s'y limiter, les services Brand24 (brand24.com), Chatbeat (chatbeat.com) et Insights24 (insights24.com).

§ 2. Finalité, nature, portée et durée du traitement

Objectif : Le traitement des données est effectué exclusivement aux fins de l'exécution du contrat principal (fourniture au responsable du traitement de services SaaS de surveillance, d'analyse et/ou basés sur l'intelligence artificielle).
Nature : Le traitement est continu, automatisé et s'effectue au sein des systèmes informatiques du sous-traitant et de ses sous-traitants secondaires (collecte, enregistrement, organisation, stockage, consultation, analyse, effacement).
Champ d'application (types de données) : L'accord porte sur les données à caractère personnel nécessaires à la fourniture du service, telles que : les noms, les coordonnées, les images figurant parmi les photos de profil accessibles au public, ainsi que d'autres données accessibles au public sur Internet et sur les réseaux sociaux.
Catégories de personnes concernées : Les données concernent les clients, les salariés ou les prestataires du responsable du traitement, ainsi que les personnes dont les données font l'objet d'un suivi dans le cadre du service (personnalités publiques, utilisateurs des réseaux sociaux).
Durée : Le présent accord est conclu pour la durée du contrat principal.

§ 2a. Obligations du responsable du traitement

Le Responsable du traitement déclare être habilité à confier le traitement des données à caractère personnel visées par le présent accord et que ce traitement est effectué conformément à la législation applicable.
Le responsable du traitement s'engage à :

a) ne donner au sous-traitant que des instructions licites concernant le traitement des données à caractère personnel ;

b) informer sans délai le sous-traitant de toute circonstance susceptible d'affecter le traitement des données ;

c) coopérer avec le sous-traitant pour s'acquitter des obligations liées aux droits des personnes concernées ;

d) s'acquitter en temps voulu des obligations de paiement prévues par le contrat principal.

Le responsable du traitement est seul responsable de la licéité des finalités et des moyens du traitement des données à caractère personnel, tels que définis dans les instructions données au sous-traitant.

§ 2b. Traitement des données dans le cadre des services d'intelligence artificielle

Dans le cadre de la prestation du service prévue par le Contrat-cadre, le Sous-traitant peut recourir à des technologies d’intelligence artificielle et d’apprentissage automatique (“Services d'IA“ ») conformément aux Conditions générales relatives à l'intelligence artificielle Brand24 disponibles à l'adresse https://brand24.com/legal/ai-terms/.
Les données à caractère personnel traitées dans le cadre des Services d'IA sont soumises à l'ensemble des obligations en matière de protection des données prévues dans le présent Contrat.
Le sous-traitant n'utilise pas les données à caractère personnel qui lui sont confiées pour entraîner, développer ou améliorer des modèles d'IA publics tiers. Les données à caractère personnel du responsable du traitement ne sont pas transmises à des prestataires de services d'IA tiers dans le but d'entraîner leurs modèles.
Dans le cadre de la fourniture des services d’IA, des données à caractère personnel peuvent être transmises à des prestataires de services d’IA tiers (en tant que sous-traitants) à des fins de traitement. Ces prestataires sont soumis aux dispositions relatives au sous-traitement énoncées au § 4 du présent contrat et figurent dans le registre des sous-traitants visé au § 4, alinéa 2.
Certains services d’IA, tels que l’analyse thématique, peuvent utiliser les données traitées au sein du service pour créer et mettre à jour des modèles spécifiques au projet du responsable du traitement. Ces modèles spécifiques au projet sont isolés au sein du compte du responsable du traitement et ne sont ni partagés avec d’autres clients du sous-traitant, ni accessibles par ceux-ci.
Toutes les données spécifiques à un compte traitées dans le cadre des services d'IA — y compris les conversations assistées par l'IA, les rapports et les requêtes — sont entièrement isolées et ne sont pas accessibles aux autres clients du sous-traitant.

§ 3. Obligations du sous-traitant

Le sous-traitant s'engage à :

Traiter les données à caractère personnel uniquement sur la base d’instructions documentées émanant du Responsable du traitement — ces instructions comprennent le présent Contrat, la configuration du compte au sein du service, l’utilisation des fonctionnalités mises à disposition au sein du service conformément à sa documentation et à ses conditions d’utilisation, ainsi que toute instruction écrite fournie par le Responsable du traitement.
Veiller à ce que les personnes habilitées à traiter les données à caractère personnel se soient engagées à respecter la confidentialité ou soient soumises à une obligation légale de confidentialité appropriée.
Mettre en œuvre les mesures techniques et organisationnelles appropriées, conformément à l'article 32 du RGPD, afin de garantir un niveau de sécurité adapté au risque.
Une description détaillée des mesures techniques et organisationnelles mises en œuvre figure à l'annexe 1 du présent accord.
Respecter les conditions relatives au recours à un autre sous-traitant (sous-traitance) telles que prévues au § 4 du présent accord.
Compte tenu de la nature du traitement, aider le responsable du traitement, par des mesures techniques et organisationnelles appropriées, dans la mesure du possible, à s’acquitter de son obligation de répondre aux demandes d’exercice des droits de la personne concernée (par exemple, le droit d’accès, le droit à l’oubli).
Assister le responsable du traitement dans la mise en œuvre des obligations prévues aux articles 32 à 36 du RGPD (sécurité, notification des violations, analyse d'impact relative à la protection des données), en tenant compte de la nature du traitement et des informations dont dispose le sous-traitant.
Informer immédiatement le responsable du traitement si, de l’avis du sous-traitant, une instruction enfreint le RGPD ou d’autres dispositions applicables en matière de protection des données. Dans ce cas, le sous-traitant est en droit de suspendre l’exécution de l’instruction contestée jusqu’à ce qu’elle soit confirmée ou modifiée par le responsable du traitement.
Au choix du responsable du traitement, supprimer ou restituer toutes les données à caractère personnel au responsable du traitement à l'issue de la prestation des services liés au traitement, et supprimer les copies existantes, sauf si la législation applicable impose la conservation de ces données.

§ 4. Sous-traitance

Le Responsable du traitement autorise de manière générale le Sous-traitant à faire appel à d'autres sous-traitants (sous-traitants secondaires) dans la mesure nécessaire à l'exécution du Contrat principal.
La liste actuelle des sous-traitants est disponible à l'adresse suivante : https://brand24.com/legal/sub-processors/ .
Brand24 S.A. (ul. Powstańców Śląskich 9, 53-332 Wrocław, Pologne, KRS : 0000395367) est le sous-sous-traitant principal du sous-traitant. Brand24 S.A. fournit l’infrastructure de base, assure les opérations techniques, le stockage des données, le développement et les services d’assistance nécessaires à la prestation des services prévus par le Contrat principal. Brand24 S.A. traite les données à caractère personnel pour le compte du sous-traitant conformément à un accord de sous-traitance intragroupe distinct et est soumise à des obligations en matière de protection des données au moins aussi strictes que celles énoncées dans le présent accord.

Le sous-traitant doit informer le responsable du traitement de tout projet d'ajout ou de remplacement de sous-traitants au moins 14 jours avant la modification prévue, en envoyant les informations à l'adresse e-mail indiquée dans le compte.
Le responsable du traitement peut formuler une objection motivée à l'égard du nouveau sous-traitant dans un délai de 14 jours de la réception de ces informations. L'opposition doit être formulée par écrit ou sous forme documentaire (e-mail) et doit être motivée par des préoccupations objectives en matière de protection des données.
En cas de contestation, les parties négocieront de bonne foi afin de trouver une solution satisfaisante pour les deux parties. Si les parties ne parviennent pas à un accord dans un délai de 30 jours En cas d'objection, le Responsable du traitement peut résilier le Contrat-cadre moyennant un préavis de 30 jours, sans encourir de pénalités contractuelles.
L'absence d'opposition dans le délai prévu au paragraphe 5 vaut acceptation du nouveau sous-traitant.
Le sous-traitant doit veiller à ce que chaque sous-traitant secondaire soit lié par un contrat lui imposant les mêmes obligations en matière de protection des données que celles énoncées dans le présent accord, notamment l'obligation de mettre en œuvre les mesures techniques et organisationnelles appropriées.
Le sous-traitant reste pleinement responsable envers le responsable du traitement de l'exécution des obligations du sous-traitant secondaire, comme s'il s'agissait de ses propres actes et omissions.

§ 5. Transferts de données en dehors de l'EEE

Les données à caractère personnel confiées en vertu du présent accord peuvent être traitées tant au sein de l'Espace économique européen (EEE) qu'en dehors de celui-ci.
Le sous-traitant principal du Responsable du traitement, Brand24 S.A., stocke et traite les données principalement au sein de l'EEE (Pologne).
Le sous-traitant est constitué aux États-Unis. Dans la mesure où des données à caractère personnel sont transférées vers les États-Unis ou consultées depuis ce pays, ces transferts sont effectués sur la base de mécanismes juridiques appropriés, notamment :

a) une décision d'équivalence de la Commission européenne (par exemple, en vertu de la Cadre UE-États-Unis sur la protection des données), dont le sous-traitant ou ses sous-traitants secondaires sont des participants certifiés ; ou

b) les clauses contractuelles types (CCT) approuvées par la Commission européenne en vertu de l'article 46, paragraphe 2, point c), du RGPD ; ou

c) d’autres garanties appropriées, telles qu’autorisées en vertu du chapitre V du RGPD.

Dans le cadre de la fourniture des services d’IA visés au § 2b, des données à caractère personnel peuvent être transférées à des prestataires de services d’IA tiers situés en dehors de l’EEE, y compris aux États-Unis. Ces prestataires figurent dans le registre des sous-traitants visé au § 4, alinéa 2, et sont soumis aux mécanismes de transfert appropriés spécifiés au paragraphe 3 ci-dessus.
Dans le cas où une décision d'adéquation ou tout autre mécanisme de transfert invoqué serait invalidé par un tribunal compétent ou une autorité de contrôle, le sous-traitant mettra sans délai en œuvre d'autres mécanismes de transfert, conformément à la législation applicable.
Sur demande, le sous-traitant fournit au responsable du traitement des informations concernant les mécanismes de transfert spécifiques appliqués à un transfert de données donné.

§ 6. Représentant de l'UE

La société Brand24 Global Inc. a désigné Brand24 S.A. (ul. Powstańców Śląskich 9, 53-332 Wrocław, Pologne) en tant que représentant au sein de l'Union européenne, conformément à l'article 27 du RGPD.
Les personnes concernées et les autorités de contrôle peuvent contacter Brand24 S.A. pour toute question relative au traitement des données à caractère personnel par Brand24 Global Inc.
Coordonnées : Délégué à la protection des données chez Brand24 S.A., e-mail : dpo@brand24.com.

§ 7. Droits de contrôle

Le responsable du traitement est habilité à vérifier le respect du présent accord.
Le responsable du traitement peut exercer son droit de contrôle en demandant au sous-traitant de lui fournir des documents attestant du respect du RGPD (par exemple, des certificats de sécurité, des rapports d'audit indépendants, des rapports SOC 2 ou tout autre document équivalent).
Dans les cas justifiés où la documentation visée au paragraphe 2 s'avère insuffisante, le responsable du traitement peut procéder à un audit dans les locaux du sous-traitant ou dans ceux de son sous-traitant principal (Brand24 S.A.). Un tel audit doit être notifié au moins 14 jours à l'avance, avoir lieu pendant les heures de travail et ne doit pas perturber le fonctionnement de l'entreprise.
Les coûts de l'audit, y compris la rémunération des auditeurs, sont à la charge exclusive du Responsable du traitement. En outre, le Sous-traitant se réserve le droit de facturer des honoraires pour l'assistance fournie par son personnel (ou celui de Brand24 S.A.) lors de l’audit, sur la base de tarifs horaires standard, dont le Sous-traitant informera le Responsable du traitement avant le début de l’audit, sauf si l’audit révèle une violation de la protection des données imputable au Sous-traitant.
Les audits sont limités à un (1) par période de douze (12) mois, sauf si une autorité de contrôle l'exige ou en cas de violation confirmée des données à caractère personnel.

§ 8. Violations de données à caractère personnel

Le sous-traitant doit informer le responsable du traitement sans retard injustifié, et au plus tard dans un délai de 48 heures, après avoir pris connaissance d'une violation de données à caractère personnel.
La notification doit comporter au moins les éléments suivants :
- une description de la nature de la violation, y compris, dans la mesure du possible, les catégories et le nombre approximatif de personnes concernées, ainsi que les catégories et le nombre approximatif d'enregistrements de données à caractère personnel concernés ;
- le nom et les coordonnées de la personne désignée comme interlocuteur pour toute question relative à la violation ;
- une description des conséquences probables de la violation ;
- une description des mesures prises ou proposées pour remédier à la violation, y compris, le cas échéant, des mesures visant à atténuer ses effets négatifs éventuels.
Lorsqu'il n'est pas possible de fournir ces informations en une seule fois, le sous-traitant doit les fournir par étapes, sans autre retard injustifié.
Le sous-traitant s'engage à coopérer pleinement avec le responsable du traitement pour remédier à la violation, notamment en mettant en œuvre les mesures correctives indiquées par ce dernier.
Le sous-traitant n'est pas habilité à notifier de sa propre initiative la violation de données à caractère personnel à l'autorité de contrôle ou aux personnes concernées ; cette obligation incombe exclusivement au responsable du traitement, sauf disposition contraire de la loi.
Le sous-traitant s'engage à consigner toutes les violations de données à caractère personnel, y compris les circonstances de la violation, ses conséquences et les mesures correctives prises, et à mettre ces informations à la disposition du responsable du traitement sur simple demande.

§ 9. Responsabilité

Le sous-traitant n'est responsable des dommages causés par le traitement que s'il n'a pas respecté les obligations du RGPD qui s'adressent spécifiquement aux sous-traitants ou s'il a agi en dehors ou en contradiction avec les instructions légitimes du responsable du traitement.
Sous réserve du paragraphe 1, les parties excluent la responsabilité du sous-traitant en cas de manque à gagner (lucrum cessans).
Limitation de responsabilité : La responsabilité globale du Sous-traitant envers le Responsable du traitement en cas de non-exécution ou d'exécution défectueuse du présent Contrat, ainsi qu'en cas de responsabilité civile délictuelle, sera limitée à un montant équivalent à 6 fois la rémunération nette mensuelle moyenne due au Sous-traitant en vertu du Contrat-cadre (calculée sur les 12 derniers mois de collaboration).
La limitation visée au paragraphe 3 ne s'applique pas aux cas où la responsabilité ne peut être limitée en vertu de dispositions légales impératives (par exemple, en cas de faute intentionnelle).
Les limitations de responsabilité prévues dans la présente section ne s'appliquent pas aux dommages-intérêts :

a) résultant d'une faute intentionnelle ou d'une négligence grave de la part du sous-traitant ;

b) résultant d'un manquement aux obligations de confidentialité ;

c) résultant d’un traitement de données à caractère personnel non conforme aux instructions documentées du responsable du traitement ;

d) dans la mesure où l'exclusion ou la limitation de responsabilité n'est pas autorisée par le droit impératif.

Le sous-traitant ne saurait être tenu responsable des dommages résultant :

a) les actes ou omissions du responsable du traitement, y compris la délivrance d’instructions illégales ;

b) le traitement de données conformément aux instructions documentées du responsable du traitement qui se sont avérées illégales, à condition que le sous-traitant ait préalablement fait part de ses réserves au responsable du traitement ;

c) les actes de tiers dont le sous-traitant n'est pas responsable ;

d) cas de force majeure.

§ 10. Droit applicable et règlement des litiges

Loi applicable. Le présent Contrat est régi et interprété conformément à la législation de l’État du Delaware, aux États-Unis, sans égard à ses principes de conflit de lois ; toutefois, le traitement des données à caractère personnel doit à tout moment être conforme au RGPD et aux autres lois applicables en matière de protection des données, lesquelles prévaudront sur la loi applicable au présent Contrat en cas de conflit.
Règlement des litiges. Tout litige, différend ou réclamation découlant du présent Contrat ou s’y rapportant sera réglé, au choix de la partie à l’origine du litige, soit :

a) Contentieux : la compétence exclusive des tribunaux d'État et fédéraux situés à New York, dans l'État de New York, aux États-Unis. Chaque partie se soumet irrévocablement à la compétence de ces tribunaux et renonce à toute objection quant à leur lieu de juridiction ; ou

b) Arbitrage : un arbitrage contraignant géré par l'American Arbitration Association (“AAA“ ») conformément à son Règlement d’arbitrage commercial. L’arbitrage se déroulera à New York, dans l’État de New York, aux États-Unis, devant un arbitre unique. La langue de l’arbitrage sera l’anglais. La décision de l’arbitre sera définitive et exécutoire, et un jugement sur la sentence arbitrale pourra être rendu par tout tribunal compétent.

Litiges relatifs à la protection des données. Nonobstant ce qui précède, tout litige portant exclusivement sur le respect du RGPD ou sur les droits des personnes concernées peut également être porté devant les tribunaux compétents ou les autorités de contrôle de l'Union européenne, conformément aux dispositions du RGPD.
Mesures injonctives. Aucune disposition de la présente section n'empêche l'une ou l'autre des parties de solliciter une mesure injonctive ou toute autre mesure équitable auprès de tout tribunal compétent afin d'empêcher toute atteinte, détournement ou violation, avérée ou potentielle, des obligations en matière de protection des données.

§ 11. Dispositions diverses

Le présent contrat peut être signé en plusieurs exemplaires, y compris sous forme électronique ou sur support papier au moyen d'une signature électronique (par exemple, DocuSign, signature électronique qualifiée), chacun de ces exemplaires étant considéré comme un original.
Le présent accord entrera en vigueur à la date de sa signature par les deux parties et restera en vigueur pendant toute la durée de l'accord principal. Il prendra fin automatiquement en cas de résiliation ou d'expiration de l'accord principal, étant entendu que les obligations relatives à la confidentialité, à la suppression ou à la restitution des données, ainsi qu'à la responsabilité, resteront en vigueur.
Toute modification apportée au présent contrat doit être effectuée par écrit ou sous forme de document (e-mail avec confirmation) signé par les représentants habilités des deux parties.
En cas de conflit entre les dispositions du présent accord et celles de l'accord principal, les dispositions du présent accord prévaudront en matière de protection des données à caractère personnel.
Si une disposition du présent contrat est jugée nulle ou inapplicable, les autres dispositions resteront pleinement en vigueur, et la disposition nulle sera modifiée dans la mesure minimale nécessaire pour la rendre applicable.
Aucune des parties ne peut céder le présent contrat sans le consentement écrit préalable de l'autre partie, sauf à une société affiliée ou dans le cadre d'une fusion, d'une acquisition ou de la cession de la quasi-totalité des actifs, à condition que le cessionnaire s'engage par écrit à être lié par le présent contrat.

SIGNATURES :

Au nom du responsable du traitement :	Au nom du sous-traitant :
Date :	Date :
Nom :	Nom :
Titre :	Titre :
Signature :	Signature :

Annexe 1 de l'ACCORD RELATIF AU TRAITEMENT DES DONNÉES

Mesures techniques et organisationnelles (MTO)

mises en œuvre par Brand24 Global Inc. et son sous-traitant principal, Brand24 S.A., afin de garantir la sécurité des données à caractère personnel

Conformément à l’article 32 du règlement (UE) 2016/679 (RGPD), le sous-traitant déclare avoir mis en œuvre et maintenir, notamment par l’intermédiaire de son sous-traitant principal Brand24 S.A., des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque de violation des droits et libertés des personnes physiques. Ces mesures comprennent notamment :

1. Mesures de confidentialité

a) Contrôle d'accès physique :

Les locaux de la société Brand24 S.A. (sous-traitant principal chargé de l'infrastructure et des opérations) sont situés dans des bâtiments bénéficiant d'une protection physique 24 heures sur 24 et d'un système de vidéosurveillance (CCTV).
L'accès aux locaux de l'entreprise est contrôlé à l'aide de systèmes de contrôle d'accès (cartes de proximité/codes) et de clés physiques délivrées uniquement aux employés autorisés, conformément à la politique interne en matière de clés.
Les zones sensibles (par exemple, les salles de serveurs, les armoires contenant de la documentation) font l'objet de mesures de sécurité supplémentaires et ne sont accessibles qu'à un personnel restreint.

b) Contrôle de l'accès aux systèmes :

L'accès aux systèmes informatiques est sécurisé au moyen d'identifiants uniques (identifiants de connexion) et de mots de passe.
Une politique de mots de passe sécurisée est en place, imposant un niveau de complexité adéquat et des changements réguliers.
Des procédures sont en place pour attribuer et retirer les droits d'accès en cas d'embauche ou de cessation d'emploi (“ processus d'intégration/de départ ”).

c) Sécurité des réseaux et des équipements :

La transmission des données sur les réseaux publics est chiffrée à l'aide de protocoles standard (par exemple, SSL/TLS, VPN).
Les postes de travail sont équipés d'un pare-feu et d'un logiciel antivirus.
Les procédures “ Clean Desk ” et “ Clean Screen ” (verrouillage automatique des postes de travail) ont été mises en place.

2. Mesures d'intégrité

Les données sont protégées contre toute modification non autorisée grâce au système d'autorisations des utilisateurs : seules les personnes dont le rôle l'exige ont le droit de modifier les données.
Des mécanismes sont mis en place pour identifier les personnes qui saisissent des données ou y apportent des modifications (journaux système).

3. Mesures relatives à la disponibilité et à la résilience

Des sauvegardes régulières des données essentielles sont effectuées afin de garantir leur restauration en cas d'incident physique ou technique.
Les infrastructures critiques sont équipées de systèmes d'alimentation sans coupure (UPS).
Les logiciels et les systèmes d'exploitation sont régulièrement mis à jour afin d'éliminer les failles de sécurité.

4. Tests et évaluations réguliers

Des audits internes réguliers et des examens des mesures de sécurité en place sont menés.
Une analyse des risques liés aux traitements de données à caractère personnel est réalisée.

5. Mesures organisationnelles

Délégué à la protection des données (DPD) : Un délégué à la protection des données a été nommé au sein de la société Brand24 S.A. afin de veiller à la conformité des processus avec le RGPD. Contact : dpo@brand24.com.
Représentant de l'UE : La société Brand24 S.A. agit en tant que représentant désigné de Brand24 Global Inc. au sein de l'Union européenne, conformément à l'article 27 du RGPD.
Politiques et procédures : Une documentation complète relative à la protection des données a été mise en place, comprenant notamment la politique de protection des données, la procédure de gestion des incidents et les procédures de conservation des données.
Équipe : Tous les salariés et collaborateurs sont tenus de respecter la confidentialité et suivent régulièrement des formations dans le domaine de la protection des données à caractère personnel et de la sécurité de l'information.
Sous-traitants : Le responsable du traitement et son sous-traitant principal vérifient les sous-traitants en aval et concluent avec eux les accords de sous-traitance appropriés.

6. Mesures de sécurité relatives aux services d'IA

Les données traitées dans le cadre des services d'IA sont transmises à des prestataires tiers exclusivement via des connexions cryptées (API via HTTPS/TLS).
Les prestataires de services d'IA tiers sont contractuellement tenus de ne pas conserver les données du responsable du traitement une fois la demande traitée (aucune conservation des données d'entrée et de sortie par le prestataire, à l'exception de la mise en mémoire tampon de courte durée nécessaire à l'exécution de la demande).
Les données spécifiques à chaque compte traitées par les services d'IA (conversations, rapports, requêtes) sont isolées logiquement des données des autres clients.
Des mécanismes de surveillance des modèles d'IA (suivi des erreurs, indicateurs de performance, surveillance du comportement des modèles) sont mis en œuvre afin de garantir la qualité et la sécurité du traitement.
Des mécanismes de secours sont mis en place pour permettre de basculer vers d'autres fournisseurs d'IA en cas de panne du fournisseur principal.