> For the complete documentation index, see [llms.txt](https://help.aphex.co/docs/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://help.aphex.co/docs/aphex-help-fr/politiques/terms-and-agreements/avenant-au-traitement-des-donnees.md). # Avenant au traitement des données ### 1. Généralités Le présent avenant relatif au traitement des données (**DPA**) complète nos Conditions d'utilisation de la plateforme Aphex (**Conditions**) conclues entre Aphex Software Limited, société immatriculée en Angleterre et au pays de Galles sous le numéro de société **09681747** (**nous**, **nous** ou **notre**), et le Client (**vous** ou **vos**). Le présent DPA s'applique à la fourniture de nos Services à votre égard au titre des Conditions. Le présent DPA s'applique à compter de la date à laquelle vous acceptez nos Conditions et restera en vigueur conformément aux termes du présent DPA. ### 2. Définitions **2.1** Les termes commençant par une majuscule dans le présent DPA ont la signification qui leur est donnée dans les Conditions, les Annexes et comme indiqué ci-dessous : **Client** désigne l'entité contractante qui achète des services auprès de nous, comme indiqué dans les Conditions. **RGPD de l'UE** désigne le règlement 2016/679 du Parlement européen et du Conseil relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données). **Plateforme** désigne la plateforme Aphex. **Données transférées** désigne toute donnée à caractère personnel traitée par nous ou par notre Personnel pour votre compte en lien avec les Conditions. **Transfert restreint** désigne un transfert de données à caractère personnel du Royaume-Uni vers tout autre pays qui n'est pas soumis à des réglementations d'adéquation conformément à l'article 17A de la loi britannique de 2018 sur la protection des données. **Services** désigne les services que nous convenons de vous fournir conformément aux Conditions. **RGPD britannique** désigne le RGPD de l'UE tel qu'incorporé dans le droit du Royaume-Uni en vertu de l'article 3 de la loi de 2018 du Royaume-Uni sur le retrait de l'Union européenne. **Annexe britannique** désigne l'avenant relatif au transfert international de données aux clauses contractuelles types de la Commission européenne pour les transferts internationaux de données approuvé par l'Information Commissioner's Office en vertu de l'article 119A de la loi sur la protection des données de 2018 le 21 mars 2022 (version B.1.0), tel que mis à jour de temps à autre. **2.2** Les termes « Commission », « Responsable du traitement », « Personne concernée », « État membre », « Données à caractère personnel », « Violation de données à caractère personnel », « Sous-traitant », « Traitement » et « Sous-traitant ultérieur » ont la même signification que dans le RGPD britannique. ### 3. Rôles des Parties Les Parties reconnaissent et conviennent que, dans le cadre des Conditions, lorsque vous nous fournissez des Données transférées, vous serez le Responsable du traitement et nous traiterons les Données transférées selon vos instructions en tant que Sous-traitant. ### 4. Traitement des données à caractère personnel **4.1** Chaque Partie convient de se conformer à la Loi applicable sur la protection des données lors du Traitement des Données transférées. **4.2** Vous nous donnez instruction de traiter les Données transférées conformément au présent DPA (y compris conformément à l'Annexe 1). **4.3** Nous convenons de ne pas traiter les Données transférées autrement que selon vos instructions documentées. ### 5. Notre Personnel Nous convenons de prendre des mesures raisonnables pour garantir la fiabilité de tout membre de notre Personnel pouvant avoir accès aux Données transférées, en veillant dans chaque cas à ce que : (a) l'accès soit strictement limité aux personnes qui ont besoin de connaître / d'accéder aux Données transférées concernées, dans la stricte mesure nécessaire aux fins des Conditions ; et (b) le Personnel concerné soit soumis à des engagements de confidentialité ou à des obligations de confidentialité professionnelles ou légales. ### 6. Sécurité **6.1** Compte tenu de l'état de l'art, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du Traitement, ainsi que du risque, de probabilité et de gravité variables pour les droits et libertés des personnes physiques, nous convenons de mettre en œuvre des mesures techniques et organisationnelles appropriées concernant les Données transférées afin d'assurer un niveau de sécurité adapté à ce risque conformément à la Loi applicable sur la protection des données, et comme précisé plus en détail à l'Annexe 2. **6.2** Lors de l'évaluation du niveau de sécurité approprié, nous convenons de prendre en compte les risques présentés par le Traitement, en particulier ceux résultant d'une Violation de données à caractère personnel. ### 7. Sous-traitance ultérieure **7.1** Si nous souhaitons faire appel à un nouveau Sous-traitant ultérieur, nous convenons de vous fournir un préavis écrit des détails de son engagement au moins 14 jours avant de le recruter (y compris les détails du traitement qu'il effectuera). Vous pouvez vous opposer par écrit à notre nomination d'un nouveau Sous-traitant ultérieur dans les 7 jours suivant cet avis, à condition que cette opposition repose sur des motifs raisonnables liés à la protection des données. Dans ce cas, les Parties discuteront de bonne foi de ces préoccupations en vue de parvenir à une résolution. Si les Parties ne parviennent pas à une résolution, nous pourrons, à notre discrétion : (a) ne pas nommer le Sous-traitant ultérieur proposé ; (b) ne pas divulguer au Sous-traitant ultérieur proposé les Données transférées que nous traitons en votre nom ; ou (c) vous informer que nous pouvons résilier les Conditions (y compris le présent DPA) pour convenance, auquel cas la clause 14.2 s'appliquera. **7.2** Vous acceptez que les recours décrits ci-dessus aux clauses 7.1(a)-(c) soient les seuls recours dont vous disposez si vous vous opposez à notre recours à un Sous-traitant ultérieur proposé par nous. **7.3** Lorsque nous faisons appel à un Sous-traitant ultérieur pour traiter des Données transférées, nous convenons de conclure avec lui un accord écrit contenant des obligations de protection des données au moins aussi protectrices que celles du présent DPA en ce qui concerne les Données transférées, et de demeurer responsables envers vous de l'exécution par ce Sous-traitant ultérieur de ses obligations en matière de protection des données au titre de ces conditions. **7.4** Lorsque le transfert des Données transférées de notre part à un Sous-traitant ultérieur constitue un Transfert restreint, il sera soumis à l'Annexe britannique (et aux documents ou textes législatifs qui y sont visés), laquelle sera réputée intégrée au présent DPA, et l'Annexe britannique est considérée comme une garantie appropriée. ### 8. Droits de la personne concernée **8.1** Compte tenu de la nature du Traitement, nous convenons de vous assister en mettant en œuvre des mesures techniques et organisationnelles appropriées, dans la mesure du possible, pour l'exécution de vos obligations, telles que vous les comprenez raisonnablement, de répondre aux demandes d'exercice des droits des Personnes concernées au titre de la Loi applicable sur la protection des données. **8.2** Nous convenons de : (a) vous informer rapidement si nous recevons une demande d'une Personne concernée en vertu d'une quelconque Loi applicable sur la protection des données concernant des Données transférées ; et (b) veiller à ne pas répondre à cette demande, sauf selon vos instructions documentées ou si la Loi applicable sur la protection des données à laquelle nous sommes soumis l'exige, auquel cas, dans la mesure permise par la Loi applicable sur la protection des données, nous vous informerons de cette obligation légale avant que nous (ou notre Sous-traitant ultérieur) répondions à la demande. ### 9. Violation de données à caractère personnel **9.1** Nous convenons de vous notifier sans retard indu dès que nous avons connaissance d'une Violation de données à caractère personnel affectant les Données transférées, et de vous fournir des informations suffisantes pour vous permettre de remplir toute obligation de signaler ou d'informer les Personnes concernées de la Violation de données à caractère personnel en vertu des Lois sur la protection des données. **9.2** Nous convenons de coopérer avec vous et de prendre des mesures commerciales raisonnables, selon vos निर्देश, pour aider à l'enquête, à l'atténuation et à la remédiation de chaque telle Violation de données à caractère personnel. **9.3** Si vous décidez de notifier à une Autorité de contrôle, aux Personnes concernées ou au public une Violation de données à caractère personnel, vous acceptez de nous fournir à l'avance des copies des notifications proposées et, sous réserve de la Loi applicable sur la protection des données (y compris tout délai imposé par le RGPD britannique), de nous donner la possibilité de fournir toute clarification ou correction à ces notifications. ### 10. Analyse d'impact relative à la protection des données et consultation préalable Nous convenons de vous fournir une assistance raisonnable, à vos frais (facturés sur une base raisonnable de temps et de matériel), pour toute analyse d'impact relative à la protection des données, ainsi que pour toute consultation préalable avec des Autorités de contrôle ou d'autres autorités compétentes en matière de confidentialité des données, que vous estimez raisonnablement requises par l'article 35 ou 36 du RGPD britannique ou par des dispositions équivalentes de toute autre Loi sur la protection des données (dans la mesure où vous n'avez pas autrement accès aux informations pertinentes et où ces informations sont sous notre contrôle). ### 11. Suppression ou restitution des données à caractère personnel Sous réserve de la présente clause 11, et sous réserve de toute obligation légale de conservation des documents, nous convenons de supprimer rapidement et, en tout état de cause, dans les 30 jours ouvrables suivant toute demande valable impliquant le Traitement des Données transférées (Date de cessation), et de faire supprimer toutes les copies de ces Données transférées. ### 12. Droits d'audit **12.1** Sous réserve de la présente clause 12, lorsque la loi l'exige, nous mettrons à votre disposition, sur demande, toutes les informations raisonnablement nécessaires pour démontrer la conformité au présent DPA, et permettrons et contribuerons à des audits, y compris des inspections, menés par vous ou par un auditeur mandaté par vous concernant le Traitement des Données transférées à caractère personnel par nos soins. **12.2** Lorsque la clause 12.1 s'applique, tout audit (ou toute inspection) : (a) doit être effectué pendant nos heures normales d'ouverture, avec un préavis raisonnable (qui ne peut être inférieur à 30 jours ouvrables) ; (b) sera soumis à nos procédures raisonnables de confidentialité ; (c) doit être limité dans sa portée aux questions qui vous concernent spécifiquement et convenues à l'avance avec nous ; (d) ne doit pas nous obliger à vous divulguer des informations susceptibles de nous faire manquer à l'une quelconque de nos obligations en vertu de la Loi applicable sur la protection des données ; (e) dans la mesure où nous devons consacrer du temps pour vous aider dans l'audit (ou l'inspection), cela sera financé par vous, conformément aux tarifs convenus à l'avance ; et (f) ne peut être demandé par vous qu'une fois par an au maximum, sauf si cela est requis par une Autorité de contrôle compétente ou s'il y a eu une Violation de données à caractère personnel concernant des Données transférées à caractère personnel, causée par nous. **12.3** Vos droits d'information et d'audit ne naissent au titre de la clause 12.1 que dans la mesure où les Conditions ne vous accordent pas autrement des droits d'information et d'audit répondant aux exigences pertinentes de la Loi applicable sur la protection des données. ### 13. Responsabilité Nonobstant toute disposition contraire des Conditions ou du présent DPA, dans toute la mesure permise par la loi, la responsabilité de chaque Partie et de ses sociétés affiliées au titre du présent DPA est soumise aux exclusions et limitations de responsabilité énoncées dans les Conditions. ### 14. Résiliation **14.1** Chaque Partie convient qu'un manquement ou une incapacité à respecter les termes du présent DPA et/ou de la Loi applicable sur la protection des données constitue une violation substantielle des Conditions. Dans un tel cas, vous pouvez, sans pénalité : (a) nous exiger de suspendre le traitement des Données transférées jusqu'à ce que cette conformité soit rétablie ; ou (b) résilier les Conditions avec effet immédiat par notification écrite. **14.2** En cas d'une telle suspension ou résiliation de votre part, nous procéderons rapidement à un remboursement au prorata de toutes les sommes payées d'avance au titre des Conditions, correspondant à la période de suspension ou à la période postérieure à la date de résiliation (selon le cas). **14.3** Nonobstant l'expiration ou la résiliation du présent DPA, celui-ci restera en vigueur jusqu'à la suppression par nos soins de toutes les Données transférées couvertes par le présent DPA, conformément au présent DPA, et prendra automatiquement fin à cette date. **14.4** Vous autorisez notre recours aux Sous-traitants ultérieurs déjà engagés par nous à la date du présent DPA, lesquels sont indiqués à [trust.aphex.co](http://trust.aphex.co). . *** ### ANNEXE 1 ### DESCRIPTION DES TRANSFERTS | **Données à caractère personnel transférées** |

Données à caractère personnel des utilisateurs que vous invitez sur la Plateforme, y compris :

| | ----------------------------------------------------------------------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | **Catégories particulières de données à caractère personnel et condamnations pénales et infractions** | Les Catégories particulières de données ne seront pas traitées. | | **Personnes concernées** | | | **Fréquence du transfert** | Continue | | **Nature du transfert** |

Comme précisé dans les Conditions et le présent DPA, y compris, sans limitation :

| | **Finalité du traitement** | La finalité du transfert et du traitement est celle indiquée dans les Conditions et le présent DPA. | | **Durée du traitement** | La durée des Conditions, et une période de 30 jours après la résiliation ou l'expiration des Conditions, sauf exigence contraire de la loi. | *** ### ANNEXE 2 ### MESURES TECHNIQUES ET ORGANISATIONNELLES, Y COMPRIS LES MESURES TECHNIQUES ET ORGANISATIONNELLES VISANT À ASSURER LA SÉCURITÉ DES DONNÉES Lors de l'évaluation du niveau de sécurité approprié, nous convenons de prendre en compte les risques présentés par le Traitement, en particulier ceux résultant d'une Violation de données à caractère personnel. Nous avons mis en œuvre et maintiendrons les mesures techniques et organisationnelles suivantes pour protéger les Données transférées : **Mesures techniques de sécurité** **6.2.1** Chiffrement et protection des données * Données au repos : toutes les Données transférées sont chiffrées au repos à l'aide du chiffrement AES-256 conforme aux normes du secteur * Données en transit : toutes les transmissions de données sont protégées à l'aide de protocoles de chiffrement TLS 1.2 ou supérieurs * Gestion des clés : les clés cryptographiques sont gérées via des systèmes sécurisés de gestion des clés avec rotation automatisée, contrôles d'accès basés sur les rôles et journalisation d'audit complète * Sécurité des bases de données : les bases de données de production sont chiffrées et l'accès est limité au seul personnel autorisé via des mécanismes d'authentification sécurisés **6.2.2** Contrôles d'accès et authentification * Authentification multifacteur (MFA) : exigée pour tout accès des employés aux systèmes contenant ou traitant des Données transférées * Contrôle d'accès basé sur les rôles (RBAC) : l'accès aux Données transférées est accordé selon le principe du moindre privilège et du besoin professionnel de savoir * Revues d'accès régulières : examen et audit systématiques des droits d'accès des utilisateurs effectués chaque trimestre afin de garantir leur pertinence continue * Authentification unique (SSO) : système d'authentification centralisé avec gestion sécurisée des identités * Gestion des sessions : délais d'expiration automatiques des sessions et protocoles sécurisés de gestion des sessions **6.2.3** Sécurité du réseau * Pare-feu applicatif web (WAF) : tous les points de terminaison exposés au public sont protégés par des solutions WAF gérées afin de prévenir les attaques courantes contre les applications web * Segmentation du réseau : les environnements de production sont logiquement séparés des environnements de développement et de test * Systèmes de détection et de prévention des intrusions (IDS/IPS) : systèmes de surveillance basés sur le réseau et sur les hôtes pour détecter et empêcher les tentatives d'accès non autorisées * Protection contre les DDoS : mécanismes de protection contre les attaques par déni de service distribué mis en œuvre au niveau du réseau * Réseaux privés virtuels (VPN) : canaux d'accès à distance sécurisés pour le personnel autorisé **6.2.4** Sécurité et surveillance des systèmes * Gestion des informations et des événements de sécurité (SIEM) : journalisation complète et surveillance en temps réel des événements de sécurité sur tous les systèmes traitant des Données transférées * Gestion des vulnérabilités : analyses régulières des vulnérabilités et tests d'intrusion, avec processus de remédiation documentés * Protection des terminaux : solutions avancées de détection et de réponse aux menaces déployées sur tous les terminaux * Sauvegarde et reprise : sauvegardes quotidiennes automatisées de toutes les Données transférées avec un chiffrement correspondant aux normes des données de production * Durcissement des systèmes : systèmes d'exploitation et applications configurés conformément aux références de sécurité du secteur **6.2.5** Sécurité des applications * Cycle de développement sécurisé (SDLC) : les considérations de sécurité sont intégrées tout au long du processus de développement logiciel * Analyse du code : outils d'analyse statique et dynamique du code utilisés pour identifier les vulnérabilités de sécurité * Modélisation des menaces : évaluations des menaces de sécurité réalisées pour les nouvelles fonctionnalités et les modifications du système * Évaluation de la sécurité par des tiers : tests d'intrusion et évaluations de sécurité réguliers réalisés par des sociétés externes de sécurité qualifiées **Mesures organisationnelles de sécurité** **6.2.6** Gestion de la sécurité de l'information * Certification ISO 27001 : notre système de management de la sécurité de l'information est certifié conforme aux normes ISO 27001:2022 * Gouvernance de la sécurité : équipe dédiée à la sécurité de l'information avec rôles, responsabilités et procédures d'escalade définis * Gestion des risques : évaluations régulières des risques de sécurité et plans documentés de traitement des risques * Plan de réponse aux incidents : procédures complètes de réponse aux incidents avec rôles définis, protocoles de communication et processus de reprise * Continuité d'activité : plans documentés de continuité d'activité et de reprise après sinistre testés au moins une fois par an **6.2.7** Sécurité du personnel * Vérifications des antécédents : contrôle de sécurité du personnel ayant accès aux Données transférées conformément aux lois applicables * Accords de confidentialité : tout le personnel susceptible d'avoir accès aux Données transférées est lié par des obligations de confidentialité * Formation à la sécurité : formation obligatoire de sensibilisation à la sécurité pour tous les employés, dispensée chaque année avec une formation supplémentaire spécifique au rôle pour le personnel technique * Attribution et retrait des accès : processus formels d'octroi et de révocation des accès aux systèmes, y compris la révocation immédiate des accès à la fin de l'emploi **6.2.8** Gestion des fournisseurs et des sous-traitants ultérieurs * Diligence raisonnable : évaluations de sécurité de tous les sous-traitants ultérieurs et fournisseurs ayant accès aux Données transférées * Exigences contractuelles : tous les sous-traitants ultérieurs sont soumis à des obligations de protection des données équivalentes à celles du présent DPA * Audits réguliers : évaluation périodique des contrôles de sécurité et de la conformité des sous-traitants ultérieurs * Sécurité de la chaîne d'approvisionnement : surveillance et évaluation des pratiques de sécurité des tiers et des notifications d'incidents **6.2.9** Sécurité physique et environnementale * Sécurité des centres de données : contrôles de sécurité physique gérés par des fournisseurs d'infrastructure cloud certifiés (avec certifications SOC 2 Type II et ISO 27001) * Sécurité des bureaux : contrôles d'accès, gestion des visiteurs et politique de bureau propre dans les locaux de l'entreprise * Sécurité des équipements : élimination et effacement sécurisés du matériel contenant des Données transférées * Contrôles environnementaux : surveillance et contrôles environnementaux appropriés pour les systèmes traitant des Données transférées **6.2.10** Conformité et audit * Audits réguliers : audits internes de sécurité effectués au moins une fois par an, avec audits de conformité externes pour les certifications pertinentes * Documentation : documentation complète de tous les contrôles et procédures de sécurité * Gestion des politiques : révision et mise à jour régulières des politiques et procédures de sécurité afin de refléter les menaces actuelles et les meilleures pratiques * Surveillance de la conformité : surveillance et évaluation continues de la conformité aux réglementations applicables en matière de protection des données et aux normes du secteur Révision et amélioration Nous nous engageons à : * Examiner et mettre à jour régulièrement ces mesures pour faire face à l'évolution des menaces de sécurité et des développements technologiques * Réaliser des évaluations annuelles de l'efficacité des contrôles de sécurité mis en œuvre * Mettre en œuvre des améliorations fondées sur les conclusions des audits, les évaluations de sécurité et les meilleures pratiques du secteur * Vous informer de tout changement important apporté à nos mesures de sécurité pouvant affecter la protection des Données transférées Ces mesures sont conçues pour garantir un niveau de sécurité approprié compte tenu de l'état de l'art, des coûts de mise en œuvre, ainsi que de la nature, de la portée, du contexte et des finalités du traitement, et des risques de probabilité et de gravité variables pour les droits et libertés des personnes physiques. *** ### ANNEXE 3 ### LISTE DES SOUS-TRAITANTS ULTÉRIEURS Disponible à
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://help.aphex.co/docs/aphex-help-fr/politiques/terms-and-agreements/avenant-au-traitement-des-donnees.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.