Accord de sous-traitance.

1. Définitions

2. Objet et durée

Le présent DPA a pour objet de définir les conditions dans lesquelles STELLARR STUDIO s'engage à effectuer, pour le compte du responsable de traitement, les opérations de traitement de données personnelles nécessaires à la fourniture des services Moon AI.

Le présent accord prend effet à la date d'acceptation des CGU par le client et reste en vigueur pendant toute la durée de la relation contractuelle. Les obligations relatives à la confidentialité et à la sécurité des données survivent à la fin du contrat.

3. Nature et finalité du traitement

STELLARR STUDIO traite des données personnelles dans le cadre de :

• •La fourniture des services de chat IA multi-modèles
• •La protection des données via Moon Guard (anonymisation automatique)
• •La génération de documents et contenus
• •L'exécution des workflows automatisés
• •La gestion des comptes utilisateurs et des organisations
• •Le support technique et la maintenance de la plateforme

4. Types de données et catégories de personnes concernées

5. Obligations de STELLARR STUDIO en tant que sous-traitant

Conformément à l'article 28 du RGPD, STELLARR STUDIO s'engage à :

6. Mesures de sécurité (Article 32 RGPD)

STELLARR STUDIO met en œuvre les mesures techniques et organisationnelles suivantes pour garantir un niveau de sécurité adapté au risque :

Les mesures de sécurité sont régulièrement testées, analysées et évaluées conformément à l'article 32(1)(d) du RGPD. Le détail des conformités est consultable sur notre centre légal.

7. Notification de violation de données

En cas de violation de données personnelles au sens de l'article 4(12) du RGPD, STELLARR STUDIO s'engage à :

• •Notifier le responsable de traitement dans les meilleurs délais et, en tout état de cause, dans un délai maximum de 48 heures après en avoir pris connaissance
• •Documenter la nature de la violation, les catégories et le nombre de personnes concernées, les conséquences probables et les mesures prises ou proposées
• •Coopérer avec le responsable de traitement pour l'aider à respecter ses obligations de notification auprès de la CNIL (art. 33) et, le cas échéant, des personnes concernées (art. 34)
• •Remédier à la violation et prendre toutes les mesures nécessaires pour en atténuer les effets et prévenir sa récurrence

8. Sous-traitants ultérieurs

Le responsable de traitement autorise STELLARR STUDIO à faire appel aux sous-traitants ultérieurs listés ci-dessous pour les opérations de traitement nécessaires à la fourniture des services Moon AI. STELLARR STUDIO informera le responsable de traitement de tout changement prévu concernant l'ajout ou le remplacement de sous-traitants ultérieurs, lui donnant ainsi la possibilité d'émettre des objections (art. 28(2) RGPD).

* Pour les sous-traitants situés hors UE, des garanties appropriées sont mises en place (clauses contractuelles types de la Commission européenne, politique Zero Data Retention contractuellement imposée, anonymisation préalable via Moon Guard). Le détail des transferts est consultable dans notre politique de confidentialité.

9. Transferts hors UE

Lorsque le traitement implique un transfert de données personnelles vers un pays tiers (hors Espace Économique Européen), STELLARR STUDIO s'assure que des garanties appropriées sont en place conformément au chapitre V du RGPD :

• •Clauses contractuelles types (CCT) adoptées par la Commission européenne (Décision d'exécution 2021/914)
• •Zero Data Retention : politique contractuellement imposée à tous les fournisseurs d'API — aucune donnée n'est conservée par les sous-traitants ultérieurs au-delà du temps strictement nécessaire au traitement de la requête
• •Moon Guard : anonymisation automatique des données personnelles avant tout transfert vers les modèles d'IA
• •Évaluation d'impact du transfert (TIA) : réalisée conformément aux recommandations du CEPD (EDPB) pour chaque sous-traitant ultérieur situé hors UE

10. Droit d'audit

Conformément à l'article 28(3)(h) du RGPD, STELLARR STUDIO met à la disposition du responsable de traitement toutes les informations nécessaires pour démontrer le respect de ses obligations et permet la réalisation d'audits, y compris des inspections, par le responsable de traitement ou un auditeur qu'il a mandaté.

Les audits sont soumis aux conditions suivantes :

• •Notification écrite au moins 30 jours à l'avance
• •Réalisation pendant les heures ouvrables, sans perturbation des services
• •Signature d'un accord de confidentialité par l'auditeur mandaté
• •Limitation à un audit par an, sauf en cas de violation de données ou d'injonction d'une autorité de contrôle

STELLARR STUDIO informe immédiatement le responsable de traitement si, à son avis, une instruction viole le RGPD ou toute autre disposition applicable en matière de protection des données (art. 28(3) dernier alinéa).

11. Sort des données en fin de contrat

À l'expiration ou à la résiliation du contrat, et au choix du responsable de traitement exprimé par écrit, STELLARR STUDIO s'engage à :

À défaut de choix exprimé par le responsable de traitement dans les 60 jours suivant la fin du contrat, STELLARR STUDIO procèdera à la suppression sécurisée de l'ensemble des données personnelles. Un certificat de destruction sera fourni sur demande.

12. Registre des activités de traitement

Conformément à l'article 30(2) du RGPD, STELLARR STUDIO tient un registre de toutes les catégories d'activités de traitement effectuées pour le compte du responsable de traitement, comprenant :

• •Le nom et les coordonnées du sous-traitant et du responsable de traitement
• •Les catégories de traitements effectués
• •Les transferts de données hors UE et les garanties appropriées
• •Une description générale des mesures de sécurité techniques et organisationnelles

13. Responsabilité

Chaque partie est responsable de ses propres manquements au RGPD conformément aux articles 82 et 83 du Règlement. STELLARR STUDIO n'est responsable du dommage causé par le traitement que lorsqu'elle n'a pas respecté les obligations prévues par le RGPD qui incombent spécifiquement aux sous-traitants, ou lorsqu'elle a agi en dehors des instructions licites du responsable de traitement ou contrairement à celles-ci.

14. Droit applicable et juridiction

Le présent accord est régi par le droit français. En cas de litige relatif à l'interprétation ou l'exécution du présent accord, et à défaut de résolution amiable, les tribunaux du ressort du siège social de STELLARR STUDIO seront compétents, sans préjudice du droit de toute personne concernée de saisir l'autorité de contrôle compétente (CNIL) ou les juridictions de son lieu de résidence habituelle (art. 79 RGPD).

15. Contact