Accord de traitement des données

Le présent accord s’applique lorsque Kadryn traite des données personnelles pour le compte d’une organisation cliente dans le cadre de l’utilisation du service.

Il complète les conditions générales de service, la politique de confidentialité et, le cas échéant, les conditions commerciales spécifiques conclues avec le client.

Ce document constitue un modèle opérationnel de DPA pour Kadryn. Il doit être validé par un conseil juridique avant usage contractuel formel avec des clients sensibles ou grands comptes.

L’organisation cliente agit en principe comme responsable de traitement pour les données qu’elle décide d’importer, connecter, transmettre ou traiter dans Kadryn.

Kadryn agit comme sous-traitant lorsque le service traite ces données pour le compte du client, sur la base de ses instructions documentées et dans le périmètre nécessaire à la fourniture du service.

L’objet du traitement est la fourniture d’un service SaaS d’observation, de gouvernance, de contrôle et d’optimisation de l’usage de l’intelligence artificielle.

La durée du traitement correspond à la durée d’utilisation du service par le client, augmentée des périodes nécessaires à l’export, à la suppression, à la sécurité, à la preuve, à la facturation ou au respect d’obligations légales.

• Nature des opérations : collecte, réception, hébergement, organisation, consultation, analyse, journalisation, agrégation, restitution, export et suppression.
• Finalités : fourniture du service, mesure de coûts IA, alertes, gouvernance, reporting, audit, support, sécurité et maintenance.
• Personnes concernées : utilisateurs autorisés du client, administrateurs, membres d’équipe, prestataires du client et personnes éventuellement présentes dans les métadonnées transmises par le client.
• Catégories de données : données de compte, emails professionnels, rôles, journaux techniques, journaux d’audit, métadonnées d’usage IA, informations de coûts, projets, intégrations, alertes et paramètres de workspace.

Kadryn traite les données client uniquement pour fournir le service, exécuter les fonctionnalités demandées, assurer la sécurité, fournir le support, respecter les obligations applicables ou selon les instructions documentées du client.

Le client est responsable de la licéité, de la pertinence, de la qualité et de la minimisation des données qu’il transmet à Kadryn.

Kadryn n’est pas conçu pour recevoir volontairement des données sensibles, secrets non protégés, clés d’accès exposées, mots de passe, données de santé, données bancaires complètes ou contenus que le client n’est pas autorisé à traiter.

Le client doit configurer ses intégrations, projets, prompts, payloads et champs libres afin de limiter les données transmises au strict nécessaire.

Kadryn veille à ce que les personnes autorisées à traiter les données client soient soumises à une obligation de confidentialité appropriée ou à une obligation légale équivalente.

L’accès aux données client est limité aux personnes et systèmes qui en ont besoin pour fournir, maintenir, sécuriser ou supporter le service.

Kadryn met en œuvre des mesures techniques et organisationnelles destinées à protéger les données contre l’accès non autorisé, la perte, l’altération, la divulgation ou la destruction accidentelle.

Ces mesures peuvent inclure le contrôle d’accès, la séparation logique des environnements, la journalisation, le chiffrement lorsque pertinent, la gestion des secrets, la limitation des privilèges, la surveillance des erreurs et des procédures de réponse aux incidents.

Kadryn peut recourir à des sous-traitants ultérieurs pour l’hébergement, la base de données, l’email transactionnel, la facturation, l’observabilité, l’orchestration de tâches, le stockage et les intégrations activées par le client.

La liste des sous-traitants est publiée sur la page dédiée. Kadryn impose à ses sous-traitants des obligations de protection des données adaptées à la nature des services fournis.

Lorsque le traitement implique un transfert de données hors de l’Espace économique européen, Kadryn met en œuvre les garanties appropriées lorsque la réglementation l’exige.

Ces garanties peuvent inclure des clauses contractuelles types, des mesures contractuelles, techniques ou organisationnelles complémentaires, ou tout autre mécanisme reconnu par la réglementation applicable.

Dans la mesure raisonnablement possible, Kadryn aide le client à répondre aux demandes d’exercice de droits des personnes concernées lorsque ces demandes portent sur des données traitées dans le service.

Kadryn peut également fournir une assistance raisonnable concernant la sécurité, les violations de données, les analyses d’impact et les obligations de conformité liées au service.

En cas de violation de données personnelles affectant des données client traitées par Kadryn comme sous-traitant, Kadryn informe le client dans les meilleurs délais après en avoir pris connaissance.

La notification contient, lorsque ces informations sont disponibles, la nature de l’incident, les catégories de données concernées, les conséquences probables et les mesures prises ou proposées.

À la fin de la relation contractuelle, Kadryn supprime ou restitue les données client selon les fonctionnalités disponibles, les instructions applicables et les obligations légales ou probatoires en vigueur.

Certaines données peuvent être conservées temporairement dans des sauvegardes, journaux de sécurité, archives comptables ou traces nécessaires à la preuve, puis supprimées selon les cycles de conservation applicables.

Kadryn met à disposition des informations raisonnables permettant au client d’évaluer les mesures de sécurité et de conformité applicables au service.

Les audits doivent rester raisonnables, proportionnés, encadrés par des obligations de confidentialité et ne pas compromettre la sécurité, la disponibilité ou la confidentialité des autres clients.