Accord relatif au traitement des données (DPA)

Le présent DPA est conclu entre :

le Client, à savoir l’entreprise, le professionnel, l’organisme ou l’organisation qui utilise DutyTask et détermine les finalités et les moyens essentiels du traitement des données personnelles saisies dans le Service, ci-après le « Client » ou « responsable du traitement » ;

et

GR SOLUZIONI DI GIUSEPPE RICCIO Entreprise individuelle TVA IT: 11121011214 REA: NA-1156478 Email: hello@dutytask.com

ci-après « DutyTask » ou « sous-traitant ».

Les données d’identification de l’entreprise figurent au registre des entreprises de Naples.

DutyTask fournit au Client un service SaaS de gestion opérationnelle des tâches d’entreprise, attributions, échéances, récurrences, zones opérationnelles, pièces jointes, signalements, notifications, rapports et historique des tâches.

Dans la mesure où ces fonctions impliquent le traitement de données personnelles saisies par le Client ou ses utilisateurs pour des finalités déterminées par le Client, DutyTask agit en qualité de sous-traitant au titre de l’art. 28 GDPR.

Le Client agit en qualité de responsable du traitement.

Le présent DPA ne couvre pas les traitements pour lesquels DutyTask agit de manière autonome en qualité de responsable du traitement, par exemple la gestion de sa relation commerciale avec le Client, la facturation, la sécurité de la plateforme, la prévention de la fraude et les obligations fiscales ou légales. Ces traitements sont décrits dans la politique de confidentialité de DutyTask.

Le présent DPA produit ses effets pendant toute la relation contractuelle entre DutyTask et le Client et, limité aux obligations qui, par leur nature, survivent à la cessation, jusqu’à la suppression complète ou la restitution des données personnelles traitées pour le compte du Client.

La phase de conservation postérieure à la résiliation prévue à l’article 14 constitue, aux seules fins du présent DPA, une partie du cycle de fourniture du Service.

DutyTask traite les données personnelles exclusivement :

• pour fournir DutyTask conformément aux Conditions générales ;
• selon les configurations et les opérations effectuées par le Client par l’intermédiaire de l’application ;
• selon les instructions documentées supplémentaires légitimement données par le Client ;
• ou lorsque le traitement est exigé par le droit applicable.

Les Conditions, le présent DPA, les paramètres utilisés par le Client dans la plateforme et les éventuelles communications écrites convenues avec DutyTask constituent les instructions documentées du Client.

Si DutyTask estime qu’une instruction du Client enfreint le GDPR ou une autre disposition applicable en matière de protection des données, elle en informe le Client sans délai injustifié, sauf interdiction légale.

Le Client garantit qu’il a le droit de traiter et de confier à DutyTask les données personnelles saisies dans le Service.

Le Client est responsable, en particulier, de la détermination des finalités et des bases juridiques du traitement ; des informations à fournir à ses salariés, collaborateurs et autres personnes concernées ; de l’exactitude des données saisies ; de l’attribution des rôles et des autorisations aux utilisateurs ; et de la licéité des éventuelles pièces jointes, photographies, notes et autres contenus téléversés.

Le Client s’engage à ne pas utiliser DutyTask pour traiter des catégories particulières de données personnelles ou des données hautement sensibles lorsque cela n’est pas nécessaire à ses finalités opérationnelles ou lorsque les conditions juridiques et les garanties exigées par le droit applicable ne sont pas réunies.

DutyTask veille à ce que les personnes autorisées à traiter des données personnelles pour son compte soient soumises à des obligations de confidentialité appropriées et n’aient accès aux données que dans la mesure nécessaire à l’exercice de leurs fonctions.

L’accès aux données doit être limité selon le principe du besoin d’en connaître et aux privilèges minimaux requis.

DutyTask adopte des mesures techniques et organisationnelles appropriées au risque, destinées à protéger les données personnelles contre la destruction, la perte, l’altération, la divulgation non autorisée ou l’accès illicite.

Les principales mesures actuellement adoptées sont décrites à l’annexe B.

DutyTask peut modifier ou améliorer au fil du temps ses mesures techniques et organisationnelles, à condition que le niveau global de sécurité ne soit pas substantiellement réduit.

Le fonctionnement actuel du produit comprend, entre autres, l’isolation des données entre organisations, des pièces jointes privées et la séparation des autorisations entre titulaire/administrateur et personnel.

Le Client accorde à DutyTask une autorisation générale de désigner les sous-traitants ultérieurs nécessaires à la fourniture du Service.

DutyTask impose à ses sous-traitants ultérieurs des obligations de protection des données substantiellement équivalentes, pour autant qu’elles s’appliquent à la nature du service fourni, à celles du présent DPA.

DutyTask demeure responsable vis-à-vis du Client de l’exécution des obligations découlant du présent DPA relativement aux activités déléguées à ses sous-traitants ultérieurs, dans les limites du droit applicable.

La liste actuelle des principaux sous-traitants ultérieurs figure à l’annexe C.

Nouveaux sous-traitants ultérieurs

DutyTask informera le Client des modifications substantielles de la liste des sous-traitants ultérieurs, par e-mail, communication dans l’application ou publication sur la page concernée du Service, avec un préavis raisonnable lorsque cela est possible.

Le Client peut formuler une objection motivée pour des raisons documentées relatives à la protection des données personnelles.

Les Parties coopéreront de bonne foi pour trouver une solution raisonnable. S’il n’est pas raisonnablement possible de résoudre l’objection sans compromettre la fourniture du Service, le Client peut cesser d’utiliser la fonction spécifique concernée ou, lorsque cela n’est pas possible, résilier le Service selon les conditions contractuelles applicables.

Cette structure est cohérente avec la pratique des DPA des principaux fournisseurs utilisés par DutyTask : Vercel, par exemple, utilise une autorisation générale des sous-traitants ultérieurs et des obligations contractuelles substantiellement analogues ; Stripe et Supabase incorporent également un DPA dans leur contrat.

Compte tenu de la nature du traitement, DutyTask assiste le Client, dans la mesure raisonnablement possible, pour satisfaire aux obligations relatives à l’exercice des droits des personnes concernées.

Si DutyTask reçoit directement une demande relative à des données personnelles traitées exclusivement pour le compte du Client, DutyTask peut orienter la personne concernée vers le Client ou transmettre la demande au Client, sauf autres obligations légales.

DutyTask ne répond pas de manière autonome pour le compte du Client aux demandes des personnes concernées, sauf instructions spécifiques ou obligations légales.

DutyTask informe le Client sans délai injustifié après avoir pris connaissance d’une violation de données personnelles traitées pour le compte du Client.

La communication contiendra, dans la mesure où les informations sont disponibles :

• la nature de la violation ;
• les catégories de données et de personnes concernées impliquées ;
• les conséquences possibles de la violation ;
• les mesures prises ou proposées pour y remédier ou en limiter les effets.

Si toutes les informations ne sont pas immédiatement disponibles, elles peuvent être fournies progressivement.

DutyTask coopère raisonnablement avec le Client afin que ce dernier puisse satisfaire à ses obligations de notification à l’autorité de contrôle ou aux personnes concernées.

DutyTask, compte tenu de la nature du traitement et des informations dont elle dispose, fournit une assistance raisonnable au Client en ce qui concerne :

• les analyses d’impact relatives à la protection des données ;
• les consultations préalables auprès des autorités ;
• les mesures de sécurité ;
• la gestion des violations de données ;
• les autres obligations prévues aux articles 32–36 GDPR.

L’assistance impliquant une activité extraordinaire et significative au-delà de la fourniture ordinaire du Service peut faire l’objet d’un accord séparé, dans la mesure permise par la loi.

DutyTask met à la disposition du Client les informations raisonnablement nécessaires pour démontrer le respect des obligations prévues à l’art. 28 GDPR.

Le Client peut demander des informations ou une documentation pertinentes relatives aux mesures adoptées.

Si les informations disponibles ne sont pas suffisantes, le Client peut demander un audit avec un préavis raisonnable.

Les audits doivent être effectués de manière à ne pas compromettre la sécurité, la confidentialité, le fonctionnement du Service ou les données appartenant à d’autres clients.

Sauf situations exceptionnelles, soupçon fondé de violation, ou demandes de l’autorité compétente, il ne peut être demandé plus d’un audit au cours d’une période de douze mois.

Les éventuels coûts extraordinaires et raisonnables supportés par DutyTask pour des audits demandés exclusivement par le Client peuvent être facturés d’un commun accord préalable.

L’infrastructure primaire de base de données de DutyTask est configurée dans la région West EU (Ireland), AWS eu-west-1.

Certains sous-traitants ultérieurs peuvent toutefois traiter des données personnelles en dehors de l’Espace économique européen.

DutyTask veille à ce que ces transferts soient effectués sur le fondement d’un mécanisme prévu par le GDPR, lorsque cela est nécessaire, y compris les décisions d’adéquation, les Data Privacy Framework applicables ou les clauses contractuelles types de la Commission européenne.

La Commission européenne reconnaît les SCC comme l’un des instruments susceptibles de fournir des garanties appropriées pour les transferts vers des pays tiers.

OpenAI, par exemple, prévoit dans son DPA le rôle de sous-traitant pour les Customer Data ; pour un client établi dans l’EEE, le DPA est conclu avec OpenAI Ireland Ltd.

À la cessation de l’abonnement, DutyTask interrompt l’accès opérationnel ordinaire au Service.

Période de conservation pour réactivation

Sauf instruction contraire du Client, celui-ci autorise DutyTask à conserver les données personnelles de l’organisation pendant un maximum de 6 mois à compter de la cessation de l’abonnement, uniquement afin de permettre une éventuelle réactivation du compte et la récupération de l’historique précédemment existant.

Pendant cette période, DutyTask n’utilise pas les données personnelles à des fins incompatibles avec cette conservation.

Suppression anticipée

Le Client peut, à tout moment pendant la période de six mois, donner à DutyTask l’instruction de procéder à la suppression anticipée des données.

La demande peut être adressée à :

hello@dutytask.com

DutyTask peut procéder à des vérifications raisonnables de l’identité et des pouvoirs du demandeur.

Restitution des données

Avant la suppression définitive, le Client peut demander la restitution des données personnelles au moyen d’une exportation raisonnablement utilisable, compte tenu de la nature des données et des fonctions techniques du Service.

Suppression après 6 mois

Après 6 mois, en l’absence de réactivation, d’instructions différentes ou d’obligations légales, les données opérationnelles sont supprimées.

La suppression porte, le cas échéant, sur :

• les comptes et profils de l’organisation ;
• les tâches et récurrences ;
• les notes et l’historique ;
• les pièces jointes ;
• les zones opérationnelles ;
• les associations entre utilisateurs et organisation ;
• les autres données traitées pour le compte du Client.

Les copies résiduelles présentes dans les sauvegardes peuvent subsister jusqu’à leur écrasement selon les cycles techniques ordinaires de sauvegarde et de reprise après sinistre des fournisseurs, tout en restant protégées et non utilisées à d’autres fins.

La présente obligation ne couvre pas les données que DutyTask doit conserver de manière autonome en qualité de responsable du traitement pour satisfaire à des obligations légales, comptables ou fiscales ou pour la protection de ses propres droits.

DutyTask utilise OpenAI en qualité de sous-traitant ultérieur pour des fonctions spécifiques du Service.

Dictée

Lorsqu’un manager utilise la dictée vocale, l’audio est transmis pour la transcription et l’interprétation nécessaires à la préparation de la tâche.

DutyTask ne conserve pas l’audio après traitement.

Daily AI Brief

Pour générer le Daily AI Brief, des informations relatives aux tâches et à leurs statuts sont transmises à OpenAI, dans la mesure nécessaire à la production du résumé.

Indexation des documents Clients

Lorsque le cabinet marque comme important un fichier du module Clients, DutyTask peut transmettre à OpenAI le document (fichier PDF ou image, et un extrait textuel lorsqu’il est disponible) afin de générer un titre, un résumé et des mots-clés de recherche.

Les fichiers laissés uniquement dans la conversation, ainsi que les messages de la conversation, ne sont pas transmis à OpenAI. DutyTask n’utilise pas d’assistant conversationnel dans la conversation Clients.

DutyTask utilise les services OpenAI destinés aux entreprises et aux développeurs. Le DPA actuel d’OpenAI régit le traitement des Customer Data en qualité de sous-traitant, et OpenAI indique que les données d’entreprise/API ne sont pas utilisées pour entraîner les modèles par défaut.

Le Client autorise ce traitement en tant que partie des fonctions d’IA qu’il choisit d’utiliser.

Chaque Partie est responsable de l’exécution des obligations qui lui incombent au titre du GDPR et des autres règles applicables.

La responsabilité contractuelle entre DutyTask et le Client demeure soumise aux limitations prévues dans les Conditions générales, dans les limites permises par la loi.

Aucune disposition du présent DPA ne limite les droits des personnes concernées ni les responsabilités qui ne peuvent être exclues au titre du GDPR.

En cas de contradiction entre le présent DPA et les Conditions générales de DutyTask relativement au traitement des données personnelles effectué par DutyTask en qualité de sous-traitant, le présent DPA prévaut.

Pour tout autre aspect, les Conditions générales continuent de s’appliquer.

Le présent DPA est régi par le droit italien et par le GDPR.

Pour les aspects contractuels non régis par le GDPR ou par des dispositions impératives, s’appliquent les dispositions relatives au droit applicable et au for compétent contenues dans les Conditions générales de DutyTask.

A.1 Objet

Traitement des données personnelles nécessaire à la fourniture du service SaaS DutyTask au Client.

A.2 Durée

Pendant la durée de l’abonnement et, après la cessation, pendant la période maximale de conservation de 6 mois prévue pour permettre la réactivation, sauf demande de suppression anticipée, réactivation du compte ou obligations légales applicables.

A.3 Nature des opérations

Le traitement peut comprendre :

• la collecte ;
• l’enregistrement ;
• l’organisation ;
• la structuration ;
• la conservation ;
• la consultation ;
• l’affichage ;
• la mise à jour ;
• la transmission ;
• le traitement ;
• la génération de notifications et de rapports ;
• le traitement par des fonctions d’IA ;
• l’exportation ;
• la limitation ;
• la suppression.

A.4 Finalités

Fournir les fonctions DutyTask demandées par le Client, y compris la gestion des utilisateurs, des tâches, des attributions, des récurrences, des zones opérationnelles, des échéances, des signalements de problèmes, des pièces jointes, des notifications, des rapports, de l’historique et des fonctions d’IA.

A.5 Catégories de personnes concernées

Peuvent être concernées par le traitement :

• les salariés du Client ;
• les collaborateurs ;
• les administrateurs ;
• les responsables d’équipes, de services ou de sites ;
• le titulaire de l’organisation ;
• les autres utilisateurs invités par le Client ;
• toute personne dont les données sont licitement saisies par le Client dans des pièces jointes, notes ou tâches.

A.6 Catégories de données personnelles

Peuvent être traitées :

• le prénom et le nom ;
• l’adresse e-mail ;
• le rôle et l’appartenance organisationnelle ;
• la zone opérationnelle ;
• les données relatives aux tâches attribuées ;
• les dates, échéances et heures ;
• l’état des tâches ;
• les informations sur les problèmes signalés et les solutions associées ;
• les notes ;
• l’historique des opérations ;
• les pièces jointes et photographies ;
• les données relatives aux implications et attributions ;
• les identifiants techniques ;
• les données relatives aux notifications ;
• les contenus transmis aux fonctions d’intelligence artificielle.

Les tâches du produit et leurs historiques sont conçus de sorte que le personnel ne puisse pas réécrire arbitrairement les événements déjà enregistrés.

A.7 Catégories particulières de données

DutyTask n’est pas conçu spécifiquement pour le traitement systématique de catégories particulières de données personnelles au titre de l’art. 9 GDPR.

Le Client doit éviter de saisir de telles données sauf nécessité stricte et, s’il les traite, demeure responsable de l’existence d’une base juridique adéquate et des garanties supplémentaires exigées.

Les mesures actuellement mises en œuvre ou prévues par l’architecture DutyTask comprennent :

DutyTask pourra progressivement ajouter d’autres mesures, y compris des fonctions d’authentification renforcée, de surveillance et des contrôles de sécurité supplémentaires.

Supabase publie également dans son DPA la liste de ses propres sous-traitants ultérieurs, y compris AWS pour l’hébergement. Vercel publie et met à jour sa liste de sous-traitants ultérieurs et prévoit des obligations contractuelles substantiellement analogues à leur égard. Stripe publie un DPA et les garanties de transfert applicables. OpenAI publie de même la liste actuelle des sous-traitants ultérieurs utilisés pour les API et les services professionnels. Resend publie un DPA pour l’e-mail transactionnel. Les notifications push utilisent le protocole Web Push (VAPID) vers le navigateur de l’utilisateur et ne constituent pas un service d’e-mail.