Accord de traitement des données

Le client est l'organisation qui possède l'espace de travail, le responsable du traitement des données à caractère personnel qu'elle place dans nerix.ai (et sous-traitant de celles-ci lorsqu'elle agit pour ses propres clients). Respiresoft LLC, 32 N Gould St, Sheridan, WY 82801, États-Unis, est le sous-traitant.

Le présent accord couvre les données à caractère personnel se trouvant dans l'espace de travail du client : documents, conversations, Sheets, enregistrements de travail, réunions et enregistrements, embeddings de la bibliothèque, noms et adresses e-mail des membres, et la piste d'audit. Il ne couvre pas les données à caractère personnel pour lesquelles nerix décide elle-même des finalités, comme le compte de connexion d'une personne ou les données de facturation. Celles-ci sont décrites dans la politique de confidentialité.

Si le présent accord et les Conditions divergent au sujet des données à caractère personnel, le présent accord prévaut.

nerix ne traite les données à caractère personnel que sur les instructions documentées du client. Les Conditions, le présent accord, les paramètres que le client choisit dans le produit (par exemple la région d'IA, les fournisseurs, les périodes de conservation et le masquage des noms pour l'IA) et ce que ses membres demandent au produit constituent les instructions. Cela inclut les transferts vers un pays tiers : ils n'ont lieu que dans la mesure permise par ces instructions et la liste des sous-traitants ultérieurs.

nerix informe immédiatement le client si elle estime qu'une instruction enfreint la législation sur la protection des données. Si la loi oblige nerix à traiter autrement, elle en informe le client au préalable, sauf si la loi l'interdit.

Toute personne chez nerix qui peut accéder aux données à caractère personnel du client est tenue par une obligation écrite de confidentialité, n'y accède que lorsque le travail l'exige, et chaque consultation par le personnel d'une conversation d'un client est enregistrée dans la piste d'audit propre au client.

nerix met en œuvre les mesures de l'article 32 GDPR. L'annexe 2 énumère celles qui existent aujourd'hui. nerix peut les modifier si le niveau de protection ne diminue pas.

Le client donne une autorisation écrite générale pour les sous-traitants ultérieurs figurant à l'annexe 1. nerix lie chacun d'eux aux mêmes obligations de protection des données par contrat et reste entièrement responsable envers le client à leur égard.

nerix informe le propriétaire de chaque espace de travail au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant ultérieur, dans le produit et par e-mail, et met à jour la liste publique sur nerix.ai/legal/subprocessors. Le client peut s'y opposer pour des motifs raisonnables liés à la protection des données dans ces 30 jours. nerix s'efforce alors de fournir le service sans ce sous-traitant ultérieur, par exemple en maintenant l'espace de travail sur des fournisseurs exclusivement EU. Si cela n'est pas possible, le client peut mettre fin au contrat et obtient un remboursement des frais prépayés pour la période non utilisée.

Un client choisit la région d'IA et les fournisseurs pour son propre espace de travail. Un fournisseur que le client active lui-même dans les Paramètres relève de son propre choix et ne constitue pas une modification par nerix.

Les données du client sont stockées dans l'Union européenne (France, avec les fichiers chiffrés et les sauvegardes aux Pays-Bas). nerix est établie aux États-Unis. Lorsque des données à caractère personnel sont transférées vers un pays sans décision d'adéquation ou accessibles depuis un tel pays, les parties conviennent des Clauses contractuelles types (CCT) de la Commission européenne (décision (EU) 2021/914) comme suit. Le Module deux (responsable du traitement à sous-traitant) s'applique lorsque le client est responsable du traitement, et le Module trois (sous-traitant à sous-traitant) lorsque le client est lui-même sous-traitant. Elles font partie du présent accord par référence.

• Clause 7 (clause d'adhésion) : incluse.
• Clause 9(a) : option 2, autorisation générale, avec le préavis de 30 jours prévu à la section 6.
• Clause 11(a) : l'organe indépendant facultatif de règlement des litiges ne s'applique pas.
• Clause 17 : le droit de la République d'Irlande. Clause 18(b) : les tribunaux d'Irlande.
• Les parties de l'annexe I.A figurent à la section 1 ; l'annexe I.B correspond à la section 2 ; l'autorité de contrôle compétente est celle de l'établissement du client (ou, à défaut, la Commission irlandaise de protection des données). L'annexe II correspond à l'annexe 2 ci-dessous. L'annexe III correspond à l'annexe 1 ci-dessous.

Pour les données à caractère personnel relevant du UK GDPR, les parties conviennent également de l'Avenant international relatif aux transferts de données aux CCT de l'EU émis par le Commissaire à l'information du Royaume-Uni (version B1.0, en vigueur le 21 mars 2022). Ses tableaux sont remplis à partir de la présente section et des annexes, et chaque partie peut y mettre fin comme le prévoit sa section 19.

Pour les données à caractère personnel relevant de la loi suisse sur la protection des données, les CCT s'appliquent avec les modifications suivantes : le Préposé fédéral suisse à la protection des données et à l'information est l'autorité compétente ; les références au GDPR incluent la loi suisse ; le lieu de juridiction pour les actions des personnes en Suisse est la Suisse ; et « État membre » n'empêche pas une personne en Suisse d'agir à son lieu de résidence habituelle.

Si nerix est certifiée au titre du cadre de protection des données EU-US pour le transfert, cette certification constitue la garantie principale et les CCT s'appliquent à titre subsidiaire si le cadre cesse d'être valide. Une demande d'accès gouvernementale est traitée comme le prévoient les CCT : nerix conteste les demandes illégales, communique le minimum possible et en informe le client, sauf si la loi l'interdit.

Si une personne interroge nerix au sujet de données qu'elle détient pour le client, nerix ne répond pas sur le fond et transmet la demande au client sans retard injustifié (dans les cinq jours ouvrables). nerix met à la disposition du client des outils d'aide : export d'un espace de travail et des données de compte propres à une personne, suppression, rectification et piste d'audit. Au-delà de ces outils, nerix aide avec des efforts raisonnables et sans frais lorsqu'il s'agit d'une tâche mineure.

nerix informe le propriétaire de chaque espace de travail concerné sans retard injustifié et au plus tard 24 heures après avoir pris connaissance d'une violation de données personnelles affectant les données du client, dans le produit et par e-mail. La notification indique ce qui est connu : ce qui s'est passé, quelles données et environ combien de personnes, les effets probables, ce que nerix a fait et ce qu'elle conseille au client de faire. Les faits supplémentaires sont communiqués au fur et à mesure qu'ils sont établis. nerix tient un registre des violations et fournit au client ce dont il a besoin pour sa propre notification à l'autorité (article 33) et aux personnes (article 34).

nerix aide le client en matière de sécurité, de notification des violations, d'analyses d'impact relatives à la protection des données et de consultation préalable, en tenant compte de ce qu'elle peut voir. nerix fournit, sur demande, un résumé de son analyse d'impact relative à la protection des données des fonctionnalités d'IA.

Le client peut exporter l'intégralité de l'espace de travail à tout moment, gratuitement, depuis les Paramètres (documents dans leurs fichiers d'origine, conversations, Sheets, enregistrements, piste d'audit), et peut supprimer des données et l'espace de travail lui-même. À la fin du contrat, nerix conserve l'espace de travail pendant une période de récupération d'au moins 30 jours afin que le client puisse l'exporter, puis supprime les données personnelles, sauvegardes comprises, dans les 30 jours suivants, sauf si la loi impose à nerix de les conserver. nerix confirme la suppression sur demande.

nerix fournit au client les informations nécessaires pour démontrer que l'article 28 est respecté, et permet au client ou à un auditeur qu'il désigne d'effectuer un audit, moyennant un préavis de 30 jours, pendant les heures ouvrables, sous obligation de confidentialité, au plus une fois par an sauf si une violation ou une autorité exige une fréquence plus élevée, et aux frais du client. nerix peut d'abord satisfaire à cette obligation au moyen de rapports indépendants récents et de ses réponses au questionnaire de sécurité du client.

La responsabilité au titre du présent accord suit les Conditions, sauf que rien ne limite une responsabilité qui ne peut pas être limitée par la loi et que les clauses contractuelles types, lorsqu'elles s'appliquent, prévalent sur tout le reste. Le présent accord est régi par le droit de la République d'Irlande pour les clauses contractuelles types, et, pour le reste, par les Conditions.

Le client accepte le présent accord dans le produit : le propriétaire de l'espace de travail le confirme, et nerix enregistre la date, la version et l'identité de la personne qui a accepté. Une nouvelle version est présentée au propriétaire avec les changements apportés, et s'applique une fois acceptée ; la version acceptée reste visible dans les Paramètres. Les clients Enterprise peuvent demander une copie avec des lignes de signature. Questions : info@nerix.ai.

La liste publique disponible à l'adresse nerix.ai/legal/subprocessors est la liste actuelle. À la date de la présente version :

Ces mesures existent aujourd'hui dans le produit.

• Séparation des clients : chaque enregistrement porte son espace de travail, et chaque requête dans le code doit nommer l'espace de travail, sinon elle échoue ; les fichiers sont stockés par espace de travail.
• Chiffrement : les connexions utilisent TLS. Les clés des fournisseurs et les identifiants stockés des clients sont chiffrés par chiffrement par enveloppe, la clé maître est conservée hors de la base de données dans un fichier que seul le service peut lire.
• Accès : connexion avec un mot de passe, des clés d'accès ou Google ou GitHub ; connexion en deux étapes ; rôles de propriétaire, administrateur, membre et lecteur ; les sessions peuvent être listées et terminées ; les clés API peuvent être révoquées immédiatement.
• Accès du personnel : identité du personnel distincte avec sa propre connexion et une deuxième étape ; le personnel ne voit une conversation d'un client qu'avec un motif enregistré, et chaque consultation est inscrite dans la piste d'audit du client ; l'usurpation d'identité est indiquée au client dans la piste d'audit.
• Piste d'audit : registre en ajout seul de ce que chacun a fait dans l'espace de travail, avec exports ; conservée pendant la durée de conservation définie par le propriétaire.
• Sécurité de l'IA : les noms de personnes et de clients, ainsi que les détails personnels tels que les adresses e-mail et les numéros de téléphone et de compte, peuvent être remplacés par des codes avant que le texte n'atteigne un modèle et rétablis dans la réponse ; les propriétaires peuvent verrouiller ce paramètre ; un fournisseur de modèle n'est jamais autorisé à s'entraîner sur les données des clients ; la région de l'IA peut être limitée à l'EU exclusivement ou aux modèles sur nos propres serveurs.
• Conservation et suppression : le propriétaire peut définir la durée de conservation des documents et des conversations, qui sont ensuite supprimés par le service ; la suppression retire les fichiers du disque, et pas seulement les lignes ; la suppression d'un espace de travail intervient après un délai de grâce de 30 jours.
• Sauvegardes : conservées dans l'EU ; les données supprimées quittent les sauvegardes dans un délai de 30 jours.
• Résilience : processus distincts pour le web, le travail en arrière-plan et le hub d'IA, contrôles de santé et redémarrages sans perte de tâches ; les changements sont testés avant publication.
• Processus en cas de violation : une procédure écrite, un registre, une notification aux propriétaires concernés dans les 24 heures, et un avis de sécurité dans le produit.
• Personnel : une obligation de confidentialité et un accès uniquement lorsque le travail l'exige.