Accord de traitement des données

"Données personnelles" désigne toute information se rapportant à une personne physique identifiée ou identifiable. "Traitement" désigne toute opération effectuée sur des Données personnelles, y compris la collecte, le stockage, l'utilisation, la divulgation et la suppression. "Sous-traitant ultérieur" désigne tout tiers engagé par le Sous-traitant pour traiter des Données personnelles pour le compte du Responsable du traitement.

Le Sous-traitant ne traite les Données personnelles que sur instructions documentées du Responsable du traitement, dans la mesure nécessaire à la fourniture des services de la plateforme Sentinel. Les activités de traitement comprennent la veille médiatique, l'analyse narrative, l'analyse de sentiment et le reporting dans les médias en arabe, anglais et français.

Le Sous-traitant s'engage à : (a) ne traiter les Données personnelles que sur instructions documentées du Responsable du traitement ; (b) s'assurer que le personnel est soumis à des obligations de confidentialité ; (c) mettre en œuvre des mesures de sécurité techniques et organisationnelles appropriées ; (d) assister le Responsable du traitement pour répondre aux demandes des personnes concernées ; (e) supprimer ou restituer toutes les Données personnelles à la fin des services.

Le Sous-traitant met en œuvre des mesures de sécurité conformes aux normes de l'industrie, notamment : le chiffrement en transit (TLS 1.2+) et au repos (AES-256), les contrôles d'accès basés sur les rôles, l'isolation des données multi-locataires, les audits de sécurité réguliers, les procédures de sauvegarde automatisées et les protocoles de réponse aux incidents.

Le Sous-traitant peut engager des sous-traitants ultérieurs pour l'aider à fournir les services. Le Responsable du traitement sera notifié de tout nouveau sous-traitant ultérieur au moins 30 jours avant son engagement. Les sous-traitants ultérieurs actuels comprennent les fournisseurs d'infrastructure cloud, les fournisseurs de modèles d'IA (Anthropic, OpenAI en secours) et les fournisseurs de services de communication (e-mail, SMS).

Les Données personnelles sont principalement stockées sur une infrastructure auto-hébergée. Tout transfert international de données sera effectué conformément aux lois applicables en matière de protection des données, avec des garanties appropriées en place, y compris des clauses contractuelles types le cas échéant.

En cas de violation de Données personnelles, le Sous-traitant notifiera le Responsable du traitement sans retard injustifié et au plus tard 72 heures après en avoir pris connaissance. La notification comprendra la nature de la violation, les catégories de données affectées, le nombre estimé de personnes concernées et les mesures prises pour remédier à la violation.

Le Responsable du traitement a le droit d'auditer la conformité du Sous-traitant avec ce DPA. Le Sous-traitant fournira un accès raisonnable à la documentation, aux systèmes et au personnel pertinents moyennant un préavis raisonnable. Les audits seront effectués pendant les heures ouvrables normales et pas plus d'une fois par année civile.

À la fin des services, le Sous-traitant supprimera toutes les Données personnelles dans un délai de 30 jours, sauf si la conservation est requise par la loi applicable. Le Responsable du traitement peut demander l'exportation des données dans un format standard avant la suppression.

La responsabilité de chaque partie en vertu de ce DPA est soumise aux limitations énoncées dans l'accord de service principal. Le Sous-traitant indemnisera le Responsable du traitement pour toute perte résultant de la violation de ce DPA ou des lois applicables en matière de protection des données par le Sous-traitant.

Ce DPA est régi par les lois de la République libanaise. Tout litige sera soumis à la compétence exclusive des tribunaux de Beyrouth, Liban.

Pour toute question concernant cet Accord de traitement des données, contactez-nous à [email protected] ou à notre bureau : Santa Maria Plaza Center, 3e étage, Hadath, Liban.