Parties

1. [Nom du client], avec siège social à [adresse], immatriculé sous le numéro d'entreprise [numéro], dûment représenté par [nom, fonction], ci-après dénommé « Responsable du traitement » ou « Client »;
2. SalesNote BV, opérant sous le nom Claritalk, avec siège social à Staatsbaan 305, 9870 Zulte, immatriculé sous le numéro d'entreprise BE 0765.323.961, ci-après dénommé « Sous-traitant » ou « Claritalk ».

Considérants

• Claritalk fournit une plateforme d'intelligence conversationnelle (la « Plateforme ») qui enregistre ou reçoit des conversations commerciales (réunions, appels téléphoniques, entretiens), les transcrit et les convertit à l'aide de l'IA en résumés, tâches, connaissances de dossier et insights.
• Les parties ont conclu un accord principal ou un abonnement (l'« Accord principal »), selon lequel Claritalk traite les données personnelles sur instruction du Client.
• Cet accord de traitement des données (l'« Accord ») fait partie intégrante de l'Accord principal. En cas de conflit concernant le traitement des données personnelles, cet Accord prévaut.

Article 1. Définitions

Les termes de cet Accord ont le sens défini par le Règlement (UE) 2016/679 (le « RGPD »). En outre, les dispositions suivantes s'appliquent :

• Données personnelles : toutes les données personnelles que Claritalk traite au nom du Client, tel que décrit à l'Annexe 1.
• Contenu du client : enregistrements audio, transcriptions, résumés, tâches, notes, pièces jointes, messages de chat avec l'assistant IA (« Clara ») et tout autre contenu placé ou généré par ou pour le Client sur la Plateforme.
• Sous-traitant : un tiers que Claritalk engage et qui a accès aux Données personnelles (Annexe 3).
• Intégration client : une connexion avec un système du Client (par exemple CRM, logiciel comptable ou calendrier) que le Client active lui-même (Annexe 4).
• Violation : une violation relative aux données personnelles tel que défini à l'article 4, 12) du RGPD.
• EEE : l'Espace économique européen.

Article 2. Objet, nature et finalité du traitement

1. Claritalk traite les Données personnelles uniquement pour fournir la Plateforme tel que convenu dans l'Accord principal. La nature, la finalité, la durée et les catégories de données et de personnes concernées sont énumérées à l'Annexe 1.

2. Le traitement comprend notamment :

   1. l'enregistrement ou la réception d'audio via l'application web et mobile, un bot de réunion (Microsoft Teams, Google Meet, Zoom) ou des intégrations de téléphonie;
   2. la transcription (en temps réel ou ultérieurement) de cet audio, y compris la reconnaissance du locuteur et la traduction;
   3. la génération de résumés, de tâches, d'analyses de conversations et de réponses par des modèles de langage IA;
   4. l'indexation et la recherche du Contenu client;
   5. la synchronisation des données avec les Intégrations client sur demande du Client;
   6. l'envoi d'e-mails et de notifications push liées à l'utilisation de la Plateforme.
3. Claritalk traite les Données personnelles uniquement sur la base d'instructions écrites du Client. L'Accord principal, cet Accord et la configuration que le Client choisit dans la Plateforme sont considérés comme de telles instructions.
4. Claritalk n'utilise pas le Contenu client pour entraîner ses propres modèles IA ou ceux des Sous-traitants, sauf si le Client y consent préalablement par écrit de manière explicite.
5. Claritalk peut utiliser des données d'utilisation anonymisées ou agrégées (par exemple, nombre de réunions, consommation de tokens IA) à des fins de facturation, de planification de la capacité et d'amélioration des produits, à condition qu'elles ne soient pas rattachables à des personnes.

Article 3. Obligations du sous-traitant

1. Claritalk traite les Données personnelles uniquement selon les instructions documentées du Client, y compris en cas de transfert vers un pays tiers, sauf si une disposition du droit de l'Union ou du droit national l'y oblige. Dans ce cas, Claritalk informe préalablement le Client de cette obligation, sauf si la loi l'interdit.
2. Claritalk informe immédiatement le Client si une instruction risque, selon son avis, de violer le RGPD ou d'autres lois sur la protection de la vie privée.
3. Claritalk veille à ce que les personnes autorisées à traiter les Données personnelles soient liées par une obligation de confidentialité et n'aient accès que dans la mesure où leur tâche l'exige.
4. L'accès par les employés de Claritalk à un compte client (par exemple, pour le support via la fonction « impersonate ») se fait uniquement sur demande ou avec l'autorisation du Client, et est consigné.
5. Claritalk tient un registre des activités de traitement tel que visé à l'article 30, paragraphe 2 du RGPD.
6. Claritalk apporte une aide raisonnable au Client dans les analyses d'impact relatives à la protection des données (AIPD) et les consultations préalables des autorités de contrôle.
7. Le Client reste responsable de la légalité du traitement, en particulier de l'information aux participants aux conversations sur l'enregistrement et, le cas échéant, de l'obtention de leur consentement.

Article 4. Sous-traitants

1. Le Client donne à Claritalk une autorisation écrite générale d'engager les Sous-traitants énumérés à l'Annexe 3.
2. Claritalk informe le Client au moins 30 jours à l'avance de l'ajout ou du remplacement d'un Sous-traitant, par e-mail ou via la Plateforme. Le Client peut s'opposer de manière motivée dans ce délai. Si aucune solution n'est trouvée dans un délai raisonnable, le Client peut résilier le service concerné sans droit à indemnisation pour l'une ou l'autre partie.
3. Claritalk impose à chaque Sous-traitant, par écrit, les mêmes obligations de protection des données que celles énoncées dans cet Accord, notamment les mesures techniques et organisationnelles appropriées.
4. Claritalk reste entièrement responsable vis-à-vis du Client du respect des obligations de ses Sous-traitants.
5. Les fournisseurs d'Intégrations client (Annexe 4) ne sont pas des Sous-traitants de Claritalk. Ils sont choisis et activés par le Client lui-même; le Client a une relation contractuelle distincte avec ces parties.

Article 5. Transferts en dehors de l'EEE

1. Claritalk traite et stocke les Données personnelles uniquement au sein de l'EEE. L'hébergement et le stockage se font chez TransIP aux Pays-Bas; tous les Sous-traitants traitent les données dans une région de l'UE (Annexe 3).

2. Certains Sous-traitants font partie d'un groupe basé en dehors de l'EEE, par exemple aux États-Unis. En cas de transfert ou d'accès depuis un pays tiers (par exemple pour le support ou la maintenance), cela se fait uniquement avec une garantie appropriée selon le chapitre V du RGPD :

   1. certification en vertu du Cadre de confidentialité des données UE-US; ou
   2. les clauses contractuelles types de la Commission européenne (Décision (UE) 2021/914), complétées par une évaluation d'impact de transfert et, le cas échéant, des mesures supplémentaires.
3. Claritalk ne transfère pas le traitement en dehors de l'EEE sans informer préalablement le Client selon l'article 4.2.
4. Sur demande, Claritalk fournit au Client une copie des garanties pertinentes.

Article 6. Sécurité

1. Claritalk met en place des mesures techniques et organisationnelles appropriées selon l'article 32 du RGPD, compte tenu de l'état de la technique, des coûts et des risques pour les personnes concernées. Les enregistrements de conversations peuvent contenir des informations confidentielles et sensibles; le niveau de sécurité en tient compte.
2. Les mesures en vigueur à la date de cet Accord sont énumérées à l'Annexe 2. Claritalk peut les modifier, à condition que le niveau global de protection ne diminue pas.
3. Claritalk teste, évalue et examine régulièrement l'efficacité de ces mesures.

Article 7. Violations relatives aux données personnelles

1. Claritalk notifie une Violation sans retard injustifié et au plus tard dans les 48 heures après en avoir pris connaissance au Client, via [adresse e-mail/personne de contact du Client].
2. La notification contient, dans la mesure du possible : la nature de la Violation, les catégories et le nombre estimé de personnes concernées et de dossiers de données, les conséquences probables, les mesures prises et proposées, ainsi qu'un point de contact chez Claritalk. Les informations qui ne sont pas encore disponibles seront fournies dès que possible.
3. Claritalk prend immédiatement les mesures raisonnables pour endiguer la Violation et limiter les conséquences, et documente chaque Violation.
4. Le Client décide si la Violation est signalée à l'autorité de contrôle et/ou aux personnes concernées. Claritalk ne le fait pas elle-même, sauf si la loi l'y oblige.

Article 8. Droits des personnes concernées et assistance

1. Claritalk aide le Client par des mesures techniques et organisationnelles appropriées pour répondre aux demandes des personnes concernées (accès, rectification, suppression, limitation, portabilité et opposition).
2. La Plateforme offre au Client des fonctionnalités à cet effet, notamment la consultation, la modification et la suppression de réunions, transcriptions et dossiers, l'exportation de rapports (PDF, Word, Excel) et la suppression d'utilisateurs.
3. Si Claritalk reçoit directement une demande d'une personne concernée, elle la transmet sans retard injustifié au Client et n'y répond pas elle-même, sauf si le Client lui en donne instruction.
4. L'assistance dépassant les fonctionnalités standard de la Plateforme peut être facturée par Claritalk selon ses tarifs courants, après accord préalable du Client.

Article 9. Audit

1. Claritalk met à la disposition du Client toutes les informations nécessaires pour démontrer le respect de l'article 28 du RGPD.
2. Le Client peut faire effectuer un audit au maximum une fois par année civile, par lui-même ou par un auditeur indépendant ayant une obligation de confidentialité. Cette limitation ne s'applique pas en cas de suspicion de Violation grave ou sur ordre d'une autorité de contrôle.
3. Le Client notifie un audit par écrit au moins 30 jours à l'avance. L'audit ne doit pas perturber déraisonnablement les opérations de Claritalk et n'accorde pas accès aux données d'autres clients.
4. Les frais d'audit sont à la charge du Client, sauf si l'audit révèle un manquement important de Claritalk à ses obligations.
5. Claritalk répond d'abord par écrit à une demande d'audit, avec un questionnaire de sécurité standard rempli et, si disponible, les certifications ou rapports d'audit récents de Claritalk ou de ses Sous-traitants. Un audit sur site n'est possible que si ces informations sont raisonnablement insuffisantes pour démontrer le respect.

Article 10. Durée, conservation et suppression

1. Cet Accord s'applique aussi longtemps que l'Accord principal est en vigueur et aussi longtemps que Claritalk traite par la suite les Données personnelles du Client.
2. Pendant la durée, le Client détermine les périodes de conservation. La Plateforme permet à chaque organisation de définir une période de conservation pour les réunions et une période séparée pour les enregistrements audio; une tâche quotidienne supprime automatiquement les données concernées à l'expiration.
3. Par défaut, les périodes suivantes s'appliquent en outre :

4. À l'expiration de l'Accord principal, Claritalk supprime toutes les Données personnelles dans les 30 jours, ou les restitue sur demande du Client dans un format standard. Les copies dans les sauvegardes sont écrasées selon le cycle normal de sauvegarde d'un maximum de 2 mois et ne sont pas activement utilisées jusqu'à ce moment-là.
5. Claritalk confirme la suppression par écrit sur demande. La conservation reste possible dans la mesure où une obligation légale l'exige.

Article 11. Responsabilité et dispositions finales

1. La responsabilité des parties en vertu de cet Accord est soumise à la régulation de responsabilité de l'Accord principal, sans préjudice de l'article 82 du RGPD.
2. Les modifications de cet Accord n'ont d'effet que si les deux parties les acceptent par écrit. Une mise à jour de l'Annexe 3 selon l'article 4 ne nécessite pas une nouvelle signature.
3. Si une disposition est nulle ou inapplicable, les autres dispositions restent en vigueur. Les parties remplacent la disposition invalide par une disposition valide qui s'en rapproche autant que possible.
4. Cet Accord est régi par le droit belge. Les litiges sont portés devant les tribunaux compétents de Courtrai.

Signature

Établi à [lieu] le [date], en deux exemplaires.

Annexe 1. Description du traitement

Catégories de personnes concernées

• Utilisateurs de la Plateforme (employés et administrateurs du Client)
• Participants aux conversations : clients, prospects, fournisseurs, candidats, collègues et autres personnes qui participent à ou sont mentionnées dans des conversations enregistrées
• Contacts et relations provenant des systèmes connectés du Client (CRM, comptabilité, calendrier)

Catégories de données personnelles

• Données de compte et d'identité : nom, adresse e-mail, photo de profil, fonction, langue, organisation et équipe, rôle et droits, identifiants de connexion (mots de passe hachés, paramètres 2FA, connexion SSO avec Microsoft ou Google)
• Contenu de conversation : enregistrements audio, transcriptions avec étiquettes de locuteur, résumés, tâches, notes, sujets de conversation, analyses et évaluations de conversations
• Données de calendrier et de réunion : titre, heure, participants (nom, adresse e-mail), lien de réunion
• Données de dossier et de relation : noms, coordonnées et données commerciales des relations, synchronisés à partir des Intégrations client
• Pièces jointes : documents que les utilisateurs joignent aux réunions ou dossiers
• Données de chat : questions et réponses de l'assistant IA
• Données de téléphonie (si activé) : numéro de téléphone, heure et durée des appels
• Données techniques : adresse IP, données d'appareil et de navigateur, jetons de notification push, fichiers journaux, messages d'erreur, statistiques d'utilisation

Catégories spéciales

La Plateforme n'est pas conçue pour les catégories spéciales de données personnelles (article 9 du RGPD) ou les données relatives à des condamnations pénales (article 10 du RGPD). Parce que les conversations se font librement, elles peuvent les contenir (par exemple, santé lors d'un entretien RH). De plus, un enregistrement vocal est techniquement une donnée biométrique, mais la Plateforme n'utilise pas les voix pour identifier les personnes de manière unique. Le Client évalue si son utilisation nécessite une AIPD.

Annexe 2. Mesures techniques et organisationnelles

Annexe 3. Liste des sous-traitants

Claritalk engage les Sous-traitants ci-dessous à la date de cet Accord. La liste est dérivée de la configuration et des dépendances de la Plateforme. Tous les Sous-traitants traitent les Données personnelles dans une région de l'UE.

Infrastructure et stockage

Transcription et voix

Modèles de langage IA

Communication

Monitoring, analytics et support

Annexe 4. Intégrations optionnelles à l'initiative du client

Le Client peut connecter la Plateforme aux systèmes ci-dessous. Les données ne sont échangées que si le Client active et autorise lui-même la connexion (généralement via OAuth). Ces fournisseurs ne sont pas des Sous-traitants de Claritalk (article 4.5).