Accord de traitement des données (article 28 du RGPD)

« RGPD » désigne le règlement (UE) 2016/679. Les termes « Responsable du traitement », « Sous-traitant », « Personne concernée », « Données à caractère personnel », « Violation de données à caractère personnel » et « traitement » ont la signification qui leur est donnée dans le RGPD. « Données à caractère personnel du Client » désigne les données à caractère personnel traitées par Kerna pour le compte du Responsable du traitement en vertu du Contrat. « Contrat » désigne les Conditions d’utilisation ou le contrat relatif à Kerna, dont le présent DPA fait partie. « Bon de commande » désigne un document signé par les deux parties consignant les conditions particulières d’un compte sur mesure ; la plupart des abonnements sont souscrits sur le site web et ne comportent pas de Bon de commande. « Sous-traitant ultérieur » désigne un autre sous-traitant recruté par Kerna au sens de l’article 28, paragraphes 2 et 4, du RGPD. Les notifications, confirmations et accords donnés « par écrit » ou sous forme « écrite » au titre du présent DPA peuvent l’être par e-mail.

Ordre de priorité. En matière de protection des données, le présent DPA prévaut sur le Contrat. Lorsqu’un Bon de commande est signé, il prévaut sur le présent DPA dans la mesure où il le modifie expressément ; une stipulation d’un Bon de commande qui ne traite pas expressément d’une question couverte ici laisse cette question régie par le présent DPA.

Le présent DPA fait partie du Contrat et prend effet lorsque le Responsable du traitement accepte le Contrat : pour l’offre gratuite, lors de l’installation des Services ou de la création d’un compte ; pour un abonnement souscrit sur le site web, lors de la finalisation de l’achat ; pour un compte sur mesure, lors de la signature du Bon de commande.

Aucune signature distincte n’est requise pour un compte ou un abonnement obtenu sans Bon de commande : l’article 28, paragraphe 9, du RGPD exige que le contrat revête la forme écrite, y compris la forme électronique, et l’acceptation du Contrat satisfait à cette exigence. Kerna enregistre le compte et la date d’acceptation et conserve toutes les versions publiées du présent DPA, afin que la version acceptée puisse toujours être établie ; pour un achat effectué sur le site web, Kerna enregistre également la version acceptée.

La personne qui accepte le Contrat garantit qu’elle est habilitée à engager l’entreprise, l’organisation ou le professionnel identifié comme titulaire du compte, et cette entreprise, cette organisation ou ce professionnel est le Responsable du traitement aux fins du présent DPA.

Versions. Kerna publie la version en vigueur du présent DPA à l’adresse kerna.io/dpa et informe le contact administratif de toute modification substantielle au moins 30 jours à l’avance. Une modification qui est imposée par la loi ou par une autorité de contrôle, ou qui ne réduit ni la protection ni les droits du Responsable du traitement au titre du présent DPA et ne modifie ni la nature ou les finalités du traitement ni les catégories de données à caractère personnel, peut prendre effet à l’issue de ce préavis ; le Responsable du traitement peut, avant la date de prise d’effet, résilier les Services concernés sans pénalité et obtenir le remboursement au prorata des frais payés d’avance correspondant à la période non utilisée. Toute autre modification substantielle requiert l’acceptation électronique expresse du Responsable du traitement ; tant que le Responsable du traitement ne l’a pas acceptée, la version qu’il a acceptée en dernier lieu continue de s’appliquer. Les corrections non substantielles prennent effet dès leur publication.

Lorsqu’un Bon de commande a été signé, la version du présent DPA en vigueur à la date de sa signature s’applique pendant la durée de ce Bon de commande et ne peut être modifiée que d’un commun accord entre les parties.

Signature sur demande. Un Responsable du traitement qui n’a pas de Bon de commande peut demander un exemplaire contresigné du présent DPA, et Kerna le lui fournira aux conditions publiées. Pour ces Responsables du traitement, la version publiée s’applique à tous de manière identique et n’est pas négociée. Des conditions particulières en matière de protection des données ne sont proposées que pour un compte sur mesure, dans le cadre d’un Bon de commande.

Le Responsable du traitement a la qualité de responsable du traitement, et Kerna celle de sous-traitant, à l’égard des Données à caractère personnel du Client. Kerna traite les Données à caractère personnel du Client uniquement pour fournir les Services et uniquement sur instruction documentée du Responsable du traitement. Le Contrat, l’abonnement du Responsable du traitement, tout Bon de commande ainsi que la configuration et l’utilisation des Services par le Responsable du traitement constituent les instructions documentées du Responsable du traitement ; toute instruction supplémentaire doit être convenue par écrit. Kerna informe immédiatement le Responsable du traitement si, à son avis, une instruction constitue une violation du RGPD ou d’autres dispositions du droit de l’Union ou du droit des États membres relatives à la protection des données (sans obligation de fournir un conseil juridique). L’objet, la durée, la nature, la finalité, les types de données et les personnes concernées sont décrits à l’annexe I.

• (a) ne traiter les Données à caractère personnel du Client que sur instruction documentée du Responsable du traitement, y compris en ce qui concerne les transferts, à moins que le droit de l’Union ou le droit d’un État membre ne l’exige – auquel cas Kerna en informe le Responsable du traitement avant le traitement, sauf si ce droit l’interdit ;
• (b) veiller à ce que les personnes autorisées à traiter les données soient tenues à une obligation de confidentialité ;
• (c) prendre toutes les mesures de sécurité requises en vertu de l’article 32 (annexe II) ;
• (d) ne recruter de Sous-traitants ultérieurs que dans les conditions prévues à la clause 5 ;
• (e) compte tenu de la nature du traitement, aider le Responsable du traitement, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes des Personnes concernées (chapitre III) ;
• (f) aider le Responsable du traitement à garantir le respect des articles 32-36 (sécurité, notification des violations, analyse d’impact relative à la protection des données, consultation préalable) ;
• (g) selon le choix du Responsable du traitement, supprimer toutes les Données à caractère personnel du Client ou les lui restituer après la fin des Services, et supprimer les copies existantes, à moins que leur conservation ne soit exigée par la loi ;
• (h) mettre à disposition toutes les informations nécessaires pour démontrer le respect de la présente clause, et permettre la réalisation d’audits et y contribuer (clause 11).

Kerna met en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, comme décrit à l’annexe II. Les principales mesures comprennent le chiffrement en transit et au repos, le traitement transitoire en mémoire du contenu des e-mails sans stockage persistant sur les serveurs de Kerna, la limitation des données d’entrée et l’expurgation des numéros de carte de paiement et de compte bancaire ainsi que de certains numéros d’identification nationaux avant toute transmission au sous-traitant ultérieur d’IA, des conditions de non-conservation des données (« zero data retention ») et d’interdiction contractuelle d’entraînement convenues avec ce sous-traitant ultérieur, le filtrage des résultats, des contrôles d’accès et des analyses statistiques pseudonymisées. L’annexe II précise également où les données issues des e-mails sont conservées temporairement, y compris sur le propre appareil de l’utilisateur.

Le Responsable du traitement donne à Kerna une autorisation écrite générale de recruter les Sous-traitants ultérieurs énumérés à l’annexe III, que Kerna tient à jour à l’endroit où le présent DPA est publié. Kerna impose par contrat à chaque Sous-traitant ultérieur les mêmes obligations en matière de protection des données que celles fixées dans le présent DPA, comme l’exige l’article 28, paragraphe 4, du RGPD, en particulier pour ce qui est de présenter des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. Lorsque les conditions standard d’un Sous-traitant ultérieur ne reproduisent pas une obligation sous la même forme, Kerna consigne la manière dont cette obligation est respectée sur le fond. Kerna adressera au Responsable du traitement une notification écrite préalable, au moins 30 jours à l’avance, de tout ajout ou remplacement envisagé d’un Sous-traitant ultérieur. Le Responsable du traitement peut émettre une objection, pour des motifs raisonnables liés à la protection des données, dans un délai de 15 jours à compter de la réception de cette notification. Si les parties ne parviennent pas à résoudre l’objection dans un délai supplémentaire de 30 jours, le Responsable du traitement peut résilier les Services concernés sans pénalité et avec un remboursement au prorata des frais payés d’avance correspondant à la période non utilisée. Tant qu’une objection n’est pas résolue, Kerna n’a pas recours au nouveau Sous-traitant ultérieur pour traiter les Données à caractère personnel du Client de ce Responsable du traitement ; lorsque cela n’est pas techniquement possible, Kerna l’indique avant la prise d’effet du changement, et le Responsable du traitement peut résilier les Services concernés avant cette date aux mêmes conditions. Kerna demeure pleinement responsable devant le Responsable du traitement de l’exécution, par chaque Sous-traitant ultérieur, de ses obligations.

Lorsqu’un Sous-traitant ultérieur notifie à Kerna une violation de données à caractère personnel, une demande d’une personne concernée qu’il a reçue, l’ajout ou le remplacement de ses propres sous-traitants ultérieurs, ou toute question relative aux clauses contractuelles types, Kerna transmet cette notification au Responsable du traitement concerné promptement et dans les meilleurs délais dès sa réception.

La transmission n’est pas subordonnée à la conclusion, par Kerna, que la question concerne les données du Responsable du traitement ou présente un risque : cette appréciation relève du Responsable du traitement. Les notifications sont transmises dès leur réception, et non après appréciation, afin que le Responsable du traitement conserve l’intégralité du délai dont il dispose pour faire part de ses préoccupations et l’intégralité du délai dont il dispose au titre des articles 33 et 34. Lorsqu’un Sous-traitant ultérieur ne permet d’émettre des objections à l’égard de ses propres sous-traitants ultérieurs qu’à des conditions prévoyant la résiliation comme seul recours, Kerna le signale lors de la transmission.

Compte tenu de la nature du traitement, Kerna aide le Responsable du traitement, par des mesures techniques et organisationnelles appropriées, dans toute la mesure du possible, à s’acquitter de son obligation de répondre aux demandes des Personnes concernées. Si Kerna reçoit directement d’une Personne concernée une demande relative aux Données à caractère personnel du Client, Kerna n’y répondra pas, sauf sur instruction documentée du Responsable du traitement, et transmettra promptement la demande au Responsable du traitement.

La fonctionnalité de suppression de compte décrite à la clause 10 ne constitue pas une exception à ce qui précède. Lorsqu’un utilisateur supprime son propre compte au moyen des Services, Kerna agit sur instruction documentée du Responsable du traitement au sens de la clause 2, le Responsable du traitement ayant autorisé cette fonctionnalité par sa configuration et son utilisation des Services. Kerna ne donne pas suite à une demande d’une Personne concernée reçue en dehors des Services sans instruction du Responsable du traitement.

Kerna notifie au Responsable du traitement toute Violation de données à caractère personnel affectant les Données à caractère personnel du Client, dans les meilleurs délais après en avoir pris connaissance, et fournit les informations raisonnablement disponibles pour aider le Responsable du traitement à respecter ses obligations au titre des articles 33 et 34. Une violation notifiée à Kerna par un Sous-traitant ultérieur est en outre transmise dès sa réception conformément à la clause 5a, sans attendre la propre appréciation de Kerna.

Compte tenu de la nature du traitement et des informations à sa disposition, Kerna apporte une assistance raisonnable au Responsable du traitement pour les analyses d’impact relatives à la protection des données et la consultation préalable de l’autorité de contrôle prévues aux articles 35 et 36.

Les communications directes de données effectuées par Kerna en vertu du présent DPA sont faites aux entités contractantes établies dans l’EEE énumérées à l’annexe III, à une exception près : les données relatives aux erreurs et aux performances envoyées à Sentry, dont l’entité contractante, Functional Software, Inc., est établie aux États-Unis. La chaîne de traitement comprend également des transferts internationaux ultérieurs effectués par certains Sous-traitants ultérieurs, notamment le traitement, aux États-Unis, de contenus destinés à l’IA par OpenAI à la suite de leur communication à OpenAI Ireland Limited.

Lorsqu’un Sous-traitant ultérieur effectue un transfert ultérieur, il doit appliquer un mécanisme valable au titre du chapitre V. Kerna documente la structure du transfert, vérifie le mécanisme contractuel et les mesures supplémentaires dans le cadre de ses vérifications préalables au titre de l’article 28, et met les informations pertinentes à la disposition du Responsable du traitement. Cette répartition ne réduit pas les obligations de Kerna en qualité de Sous-traitant au titre du présent DPA.

Le contenu des e-mails envoyé pour une action IA est traité aux États-Unis par le sous-traitant ultérieur d’IA dans le cadre de ce dispositif, sous réserve de conditions de non-conservation des données et d’interdiction contractuelle d’entraînement : le contenu envoyé pour une action IA n’est ni conservé ni utilisé pour entraîner des modèles. L’analyse de ce traitement, y compris l’évaluation de la destination et des mesures supplémentaires appliquées, figure dans l’Analyse d’impact des transferts de données de Kerna, qui est mise à la disposition du Responsable du traitement sur demande.

Le transfert effectué par Kerna vers Sentry repose sur la décision d’adéquation de la Commission européenne relative à l’EU-U.S. Data Privacy Framework (cadre de protection des données UE-États-Unis), au titre duquel Sentry dispose d’une certification, les clauses contractuelles types figurant dans l’avenant relatif au traitement des données de Sentry constituant le mécanisme alternatif. Sentry stocke ces données dans sa région de données de l’Union européenne (Frankfurt), mais peut y accéder depuis les États-Unis. Les transferts ultérieurs effectués par d’autres Sous-traitants ultérieurs reposent sur le mécanisme appliqué par chaque Sous-traitant ultérieur, comme décrit dans l’Analyse d’impact des transferts de données.

L’hébergement et le stockage se situent dans l’UE : calcul sur Google Cloud Run en europe-west1 (Belgique) et stockage dans Firestore en europe-central2 (Varsovie).

La position exposée à la clause 9 repose sur le lieu d’établissement de l’entité contractante de chaque Sous-traitant ultérieur, qui est consigné à l’annexe III et réexaminé lors de tout changement. Lorsque l’entité contractante d’un Sous-traitant ultérieur change, ou lorsque Kerna recrute un autre Sous-traitant ultérieur établi hors de l’EEE, un mécanisme approprié au titre du chapitre V est mis en place avant la prise d’effet du changement, et le Responsable du traitement en reçoit notification conformément à la clause 5.

Le module utilisé dans ce cas est fonction du rôle de Kerna : module deux, transfert de responsable du traitement à sous-traitant, lorsque Kerna transfère en qualité de responsable du traitement de ses propres données ; module trois, transfert de sous-traitant à sous-traitant, lorsque Kerna transfère en qualité de sous-traitant pour le compte du Responsable du traitement. Le module, la version et la date des clauses éventuellement invoquées sont consignés dans l’Analyse d’impact des transferts de données.

Le présent DPA régit uniquement les traitements effectués par Kerna en qualité de sous-traitant pour le compte du Responsable du traitement. Kerna traite également des données à caractère personnel en qualité de responsable du traitement pour son propre compte : administration des comptes (identité de connexion, statut de l’abonnement et communications de Kerna avec les titulaires de comptes), facturation, surveillance de la sécurité, analyse de l’utilisation du produit et son site web. Ces activités ne relèvent pas du présent DPA, sont régies par la politique de confidentialité de Kerna, et le Responsable du traitement n’a pas la qualité de responsable du traitement à leur égard. Aucune stipulation du présent DPA ne fait de Kerna un sous-traitant pour ces traitements, et aucune stipulation du présent DPA ne rend le Responsable du traitement responsable de ceux-ci.

Les droits du Responsable du traitement en matière de changement de fournisseur et les obligations correspondantes de Kerna – préavis, période transitoire, période de récupération des données, catégories et formats de données exportables, assistance et traitement des frais de changement de fournisseur – sont définis à l’annexe IV, qui s’applique dans les conditions qui y sont prévues et fait partie du Contrat. Le contenu des e-mails n’est pas stocké sur les serveurs de Kerna et ne nécessite donc aucune migration ; il demeure en permanence dans l’environnement de messagerie propre au Responsable du traitement.

À l’expiration ou à la résiliation des Services, Kerna supprime ou restitue les Données à caractère personnel du Client, au choix du Responsable du traitement, et supprime les copies existantes, à moins que leur conservation ne soit exigée par la loi. En tout état de cause, le contenu des e-mails n’est pas stocké sur les serveurs de Kerna pendant la fourniture des Services (traitement transitoire), de sorte que cette obligation concerne les données de paramétrage des utilisateurs, de configuration et d’équipe décrites à l’annexe I. Les données issues des e-mails que le complément Outlook conserve dans le stockage du navigateur sur le propre appareil d’un utilisateur expirent selon le calendrier prévu à l’annexe II ; la suppression effectuée par l’utilisateur lui-même les efface sur l’appareil sur lequel elle est utilisée.

Deux voies

L’article 28, paragraphe 3, point g), exige la suppression ou la restitution au choix du Responsable du traitement. Il n’en prescrit pas le mécanisme, et Kerna procède à la suppression du compte d’équipe sur demande plutôt qu’au moyen d’une fonction en libre-service.

Ce qui est conservé, et pourquoi

Factures et documents comptables. Kerna conserve les factures et les documents comptables associés à un abonnement pendant la durée exigée par la législation comptable et fiscale polonaise, indépendamment de toute suppression. Cette conservation constitue une obligation légale incombant à Kerna en qualité de responsable du traitement de ses propres documents de facturation et ne relève pas du champ d’application du présent DPA ; elle est mentionnée ici parce que c’est la question la plus fréquente que suscite une suppression.

Sauvegardes. Les copies conservées dans la récupération à un moment précis de Firestore (7 jours) et dans les sauvegardes quotidiennes (90 jours) ne font pas l’objet d’une purge sélective et expirent selon ce calendrier. Une sauvegarde peut être restaurée à des fins de reprise après sinistre. Le processus de rapprochement exigé par la Politique de conservation et de suppression des données est appliqué après chaque restauration et avant la remise en service de la base de données, de sorte que les suppressions effectuées pendant la période couverte par la sauvegarde restaurée sont réappliquées.

Kerna met à la disposition du Responsable du traitement les informations nécessaires pour démontrer la conformité, notamment les certifications et validations pertinentes (par exemple CASA Tier 2 pour l’extension Gmail), le présent DPA et sa liste des sous-traitants ultérieurs (annexe III), l’Analyse d’impact des transferts de données et un extrait du registre des activités de traitement. Kerna permet la réalisation d’audits, y compris d’inspections, par le Responsable du traitement ou par un auditeur qu’il mandate, et y contribue, moyennant un préavis raisonnable d’au moins 30 jours et au plus une fois par an, pendant les heures ouvrables et sous réserve de confidentialité. Lorsqu’une autorité de contrôle l’exige, à la suite d’une Violation de données à caractère personnel affectant les données du Responsable du traitement, ou lorsque le Responsable du traitement dispose d’éléments crédibles indiquant que Kerna ne respecte pas le présent DPA, le Responsable du traitement peut réaliser un audit supplémentaire, moyennant un préavis plus court qui soit raisonnable au regard des circonstances.

Kerna peut refuser l’accès lorsque cela est nécessaire pour protéger : la sécurité ou les données à caractère personnel d’autres clients ; des informations couvertes par le secret professionnel ou par une obligation de confidentialité envers un tiers ; ou les secrets d’affaires de Kerna, étant entendu que la protection des secrets d’affaires ne peut être utilisée pour faire échec à la capacité du Responsable du traitement de vérifier la conformité. Lorsque l’accès est refusé, Kerna fournit les informations nécessaires pour vérifier la conformité par d’autres moyens. Un auditeur mandaté par le Responsable du traitement ne doit pas être un concurrent de Kerna et doit signer un engagement de confidentialité. Le Responsable du traitement supporte le coût de tout audit dont il est à l’initiative, à l’exception d’un audit faisant suite à une Violation de données à caractère personnel causée par Kerna.

Le présent DPA prend effet en même temps que le Contrat et reste en vigueur aussi longtemps que Kerna traite des Données à caractère personnel du Client. La responsabilité de chaque partie au titre du présent DPA est soumise aux limitations et exclusions de responsabilité prévues par le Contrat, étant entendu qu’aucune stipulation du Contrat ou du présent DPA ne limite ni n’exclut : la responsabilité qui ne peut être limitée ou exclue en vertu de la loi ; la responsabilité envers les personnes concernées au titre de l’article 82 du RGPD ; la responsabilité en cas de fraude, de faute intentionnelle ou de négligence grave ; ni les obligations de l’une ou l’autre des parties en vertu du droit applicable en matière de protection des données.

Le présent DPA est régi par le droit polonais et, le cas échéant, par le RGPD. Les litiges relèvent de la compétence des juridictions du ressort du siège social de Kerna, sauf stipulation contraire du Contrat.

Langue. Le présent DPA est conclu en polonais et en anglais. Les deux versions linguistiques font partie de l’accord conclu et peuvent être signées ensemble ; les parties ne sont pas tenues de signer le seul texte polonais, et un Responsable du traitement qui signe le texte anglais signe l’accord.

Si une divergence irréconciliable subsiste, la version polonaise prévaut pour un Responsable du traitement établi (ayant son siège social ou son lieu d’activité) en Pologne et la version anglaise prévaut pour un Responsable du traitement établi ailleurs. Un Bon de commande peut désigner expressément la version polonaise ou la version anglaise comme celle qui prévaut. Cette règle s’applique uniquement à la résolution des divergences et n’exclut du Contrat aucune des deux versions.

Il s’agit d’une règle d’interprétation applicable au cas résiduel, et non d’une déclaration selon laquelle l’un ou l’autre texte se situerait en dehors de l’accord. Kerna tient à jour les deux versions à partir d’une source unique et les modifie conjointement, de sorte qu’une divergence devrait être rare ; lorsqu’elle survient, elle constitue une erreur à corriger et non un choix entre deux accords. Les traductions du présent DPA dans d’autres langues sont fournies à titre informatif uniquement ; elles ne font pas partie du Contrat et ne prévalent sur aucune des deux versions.

• Chiffrement TLS en transit sur l’ensemble du parcours (TLS 1.3 entre le client et le backend ; TLS 1.2 ou supérieur au-delà). HSTS imposé.
• Chiffrement AES-256 au repos de toutes les données stockées, avec des clés gérées par Google et une rotation automatique.
• Le contenu des e-mails est traité en mémoire et n’est jamais écrit dans les bases de données, journaux ou sauvegardes de Kerna.
• Lieux de conservation des données issues des e-mails : dans le stockage persistant sur les serveurs de Kerna, rien d’autre que les enregistrements de flux de travail décrits ci-dessous, qui ne contiennent aucun contenu d’e-mail ; dans la mémoire du serveur, des copies de travail conservées afin qu’un utilisateur puisse revenir à un résultat, pendant environ 30 minutes dans l’extension Gmail et quelques minutes pour les boîtes aux lettres partagées, puis supprimées, ou plus tôt si le serveur redémarre ; sur le propre appareil de l’utilisateur, dans le stockage du navigateur du complément Outlook, les résultats relatifs à un e-mail pendant une heure, les brouillons de réponse et de composition ainsi que les résultats du tri pendant 24 heures, et, pendant 30 jours, les éléments du tri restés sans réponse (objet, expéditeur, date et bref résumé établi par Kerna) ainsi que les identifiants des messages marqués comme traités, chacun de ces éléments étant supprimé, une fois expiré, lors de la prochaine ouverture de Kerna sur cet appareil, et effacé par la suppression effectuée par l’utilisateur lui-même sur cet appareil ; dans les enregistrements de flux de travail stockés, tels que les enregistrements de statut des boîtes aux lettres partagées et le journal Envoyer vers…, uniquement des identifiants, des statuts et des horodatages, jamais l’objet ni le texte ; dans les sauvegardes, uniquement ce que contient la base de données, donc aucun contenu d’e-mail.
• Limitation des données d’entrée : chaque action n’envoie que le texte dont elle a besoin, dans la limite d’une longueur fixe. Expurgation avant transmission : les numéros de carte de paiement, les IBAN et les numéros de compte bancaire polonais, les numéros PESEL polonais et les numéros de sécurité sociale américains, dans les formats que Kerna reconnaît, sont remplacés par des marqueurs de substitution dans le contenu des e-mails qu’une action envoie, y compris les objets et aperçus du Tri de la boîte de réception et les pièces jointes utilisées par Envoyer vers… ou Répondre avec les pièces jointes. Les autres données à caractère personnel, telles que les noms, les adresses e-mail, les numéros de téléphone et les adresses postales, sont transmises telles qu’elles apparaissent. Les fichiers lus avec la fonction Pièces jointes, afin que des informations telles que des numéros de compte puissent en être extraites, ainsi que le texte rédigé par l’utilisateur, comme les instructions et les brouillons, ne sont pas expurgés.
• Non-conservation des données et interdiction contractuelle d’entraînement auprès du sous-traitant ultérieur d’IA : le contenu envoyé pour une action IA n’est ni conservé ni utilisé pour l’entraînement. Vérifié sur la plateforme du sous-traitant ultérieur, qui indique que les journaux ne peuvent pas être enregistrés dans un projet soumis à la non-conservation des données.
• Filtrage des résultats afin de détecter les secrets divulgués.
• Authentification au moyen de jetons d’identité Google et Microsoft vérifiés, avec épinglage imposé de l’audience, de l’émetteur, de l’expiration et de l’algorithme, et isolation des chemins de documents par utilisateur, circonscrite à l’identifiant de compte vérifié.
• Limitation du débit des actions IA par utilisateur. En-têtes de sécurité Helmet ; CSP et CORS restrictifs ; filtrage des injections dans les données d’entrée.
• Analyses statistiques pseudonymisées (HMAC-SHA256 avec un secret côté serveur, dit « pepper ») ; conservation des données analytiques pendant 90 jours.
• Les points de terminaison d’administration sont protégés par une liste d’autorisation et une clé d’API vérifiée en temps constant, en plus d’un jeton utilisateur valide, et refusent l’accès en cas de défaillance en production. Les autorisations des comptes de service selon le principe du moindre privilège font l’objet d’un réexamen ; la situation actuelle est consignée dans la Politique de sécurité de l’information de Kerna, mise à la disposition du Responsable du traitement sur demande.
• Cloud Audit Logs pour toutes les actions administratives ; révisions Cloud Run immuables et attribuables.
• Hébergement et stockage dans des régions de l’UE : Cloud Run europe-west1 (Belgique) ; Firestore europe-central2 (Varsovie).
• Récupération à un moment précis de Firestore (7 jours) et sauvegardes quotidiennes (conservation de 90 jours).
• Validation CASA Tier 2 pour l’extension Gmail.

Fonctionnement des contrôles. Les secrets pouvant être réémis suivent le calendrier de rotation défini dans la Politique de sécurité de l’information, avec une rotation immédiate en cas de suspicion de compromission. La limitation du débit par utilisateur est appliquée au moyen d’un stockage partagé entre les instances du service. Les éléments probants relatifs aux contrôles sont conservés conformément au Registre de la documentation.

Cette liste est tenue à jour à l’endroit où le présent DPA est publié, à l’adresse kerna.io/dpa, et les modifications sont notifiées conformément à la clause 5. À la date de la présente version :

Google Analytics, Brevo et Stripe, également mentionnés dans la politique de confidentialité de Kerna, sont utilisés pour le site web de Kerna, pour les e-mails que Kerna envoie à ses utilisateurs et pour la facturation propre de Kerna, activités que Kerna exerce en qualité de responsable du traitement (clause 9b). Ils ne sont pas des Sous-traitants ultérieurs au sens du présent DPA.

La présente annexe s’applique aux Services, que le règlement (UE) 2023/2854 (le « règlement sur les données ») leur soit applicable ou non. Kerna applique aux Services le chapitre VI du règlement sur les données à titre de socle contractuel : si une autorité compétente constate que les Services ne relèvent pas de ce chapitre, le Responsable du traitement conserve les droits prévus par la présente annexe, sauf si les parties en conviennent expressément autrement.

Lancement du changement de fournisseur. Le Responsable du traitement peut à tout moment demander à changer de fournisseur ou à passer à sa propre infrastructure, ou à faire effacer ses données exportables, en écrivant à privacy@kerna.io. Le changement de fournisseur ou l’effacement commence à la réception de la demande par Kerna ou à une date ultérieure, au plus tard deux mois après cette réception, indiquée par le Responsable du traitement (dans les deux cas, la « date de début »). Le délai applicable à une demande portant uniquement sur l’effacement est fixé au paragraphe « Effacement ».

Période transitoire. Kerna mène à bien le changement de fournisseur dans une période transitoire de 30 jours calendaires à compter de la date de début. Le Contrat reste en vigueur pendant cette période : Kerna continue de fournir les Services, apporte une assistance raisonnable au Responsable du traitement et à tout fournisseur choisi par celui-ci, signale les risques connus pour la continuité et maintient un niveau élevé de sécurité tout au long du changement de fournisseur, y compris pendant le transfert des données et pendant la période de récupération des données. Si le délai de 30 jours est techniquement impossible à respecter, Kerna en informe le Responsable du traitement dans un délai de 14 jours ouvrables à compter de la demande, en explique les raisons et fixe une période alternative n’excédant pas sept mois, pendant laquelle les mêmes obligations s’appliquent. Le Responsable du traitement peut prolonger une fois la période transitoire, pour une durée qu’il estime plus appropriée.

Période de récupération des données. Le Responsable du traitement dispose d’au moins 30 jours calendaires après la fin de la période transitoire pour récupérer ses données exportables.

Données exportables et actifs numériques. Le tableau ci-dessous constitue la liste exhaustive des données et actifs numériques pouvant être exportés. Kerna procède à l’exportation sur demande, au moyen d’un lien de téléchargement sécurisé, dans les formats indiqués ; les Services ne comportent pas de fonction d’exportation en libre-service. Kerna met à jour cette liste avant que les Services ne commencent à conserver une nouvelle catégorie de données du Responsable du traitement. Kerna ne revendique, pour aucune catégorie, d’exemption au titre des secrets d’affaires.

Effacement. Une fois le changement de fournisseur mené à bien, Kerna efface les données exportables dans un délai de 30 jours à compter de la fin de la période de récupération des données ou d’une date ultérieure convenue avec le Responsable du traitement, sous la seule réserve de la conservation exigée par la loi (clause 10). Lorsque le Responsable du traitement a demandé uniquement l’effacement, Kerna efface les données exportables dans un délai de 30 jours à compter de la date de début, soit le même délai que pour la suppression du compte d’équipe prévue à la clause 10, et confirme l’effacement par écrit. Le Contrat est réputé résilié, et Kerna notifie cette résiliation au Responsable du traitement, dès l’aboutissement du changement de fournisseur ou, en cas de demande portant uniquement sur l’effacement, à la date de début. La résiliation intervenue à l’aboutissement d’un changement de fournisseur ne met pas fin à la période de récupération des données : le Responsable du traitement peut continuer à récupérer ses données exportables jusqu’à la fin de cette période, les obligations de sécurité prévues au paragraphe « Période transitoire » continuent de s’appliquer jusque-là, et le délai d’effacement de 30 jours ne court qu’à compter de la fin de cette période ou d’une date ultérieure convenue avec le Responsable du traitement. Les copies figurant dans les sauvegardes expirent comme prévu à la clause 10.

Frais. Kerna ne facture ni frais de changement de fournisseur ni frais d’exportation des données.

Absence d’obstacles. Kerna n’oppose aucun obstacle précommercial, commercial, technique, contractuel ou organisationnel à un changement de fournisseur.

Infrastructure et accès par les autorités publiques. L’infrastructure d’hébergement et de stockage de Kerna est située dans l’Union européenne ; le traitement par l’IA effectué par OpenAI et l’accès par Sentry ont lieu aux États-Unis (clause 9 et annexe III). Les mesures de l’annexe II protègent les données à caractère non personnel présentes dans les Services contre tout accès illicite, y compris l’accès international par des autorités publiques qui serait contraire au droit de l’Union ou au droit d’un État membre, de la même manière que les données à caractère personnel.