Accord de traitement des données

Le présent Accord de traitement des données (le « DPA ») fait partie des Conditions d'utilisation (les « Conditions ») conclues entre Melaya Labs LLC (« Melaya ») et le client professionnel qui accepte les Conditions (le « Client »). Il énonce les modalités applicables lorsque Melaya traite des données à caractère personnel pour le compte du Client dans le cadre de la fourniture de la plateforme Melaya, y compris l'Agentic Framework, l'Assistant, les connecteurs, Device Control, Browser Control, Computer Control, et les services connexes (les « Services »). Le présent DPA est intégré aux Conditions par référence et lie le Client et Melaya sans qu'une signature soit requise. Le Client peut demander une copie contresignée par Melaya en écrivant à info@melaya.org.

1. Définitions et interprétation

Dans le présent DPA, les termes suivants ont la signification indiquée ci-dessous. Les autres termes commençant par une majuscule ont le sens qui leur est attribué dans les Conditions.

• « Lois sur la protection des données » désigne l'ensemble des lois relatives à la protection des données à caractère personnel applicables au traitement des Données à caractère personnel du Client au titre des Conditions, y compris le Règlement (UE) 2016/679 (le « RGPD »), le RGPD tel qu'il s'applique en droit du Royaume-Uni (le « RGPD britannique ») et le Data Protection Act 2018 du Royaume-Uni, ainsi que la loi fédérale sur la protection des données du 25 septembre 2020 (la « LPD »), chacun tel que modifié ou remplacé.
• « Données à caractère personnel du Client » désigne les données à caractère personnel que Melaya traite pour le compte du Client dans le cadre de la fourniture des Services, telles que décrites à l'Annexe I, y compris les données à caractère personnel contenues dans le Contenu Utilisateur et les données à caractère personnel que les agents, pipelines et conversations de l'Assistant du Client lisent depuis les Services connectés ou leur transmettent.
• « Utilisateur autorisé » désigne toute personne que le Client autorise à utiliser les Services dans le cadre de son compte ou de ses projets.
• « Service connecté » désigne toute application, tout compte, tout service, tout appareil ou tout fournisseur de modèle tiers que le Client ou ses Utilisateurs autorisés connectent ou sélectionnent pour une utilisation avec les Services, tels que Odoo, HubSpot, Google Workspace, Microsoft Teams, Slack, un compte sur une plateforme d'échange, ou un fournisseur de modèle de langage.
• « Sous-traitant ultérieur » désigne tout tiers que Melaya mandate pour traiter des Données à caractère personnel du Client pour le compte de Melaya. Un Service connecté n'est pas un Sous-traitant ultérieur, sauf dans les cas prévus à la Section 3.5.
• « Violation de données à caractère personnel » désigne une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de Données à caractère personnel du Client transmises, stockées ou autrement traitées par Melaya ou ses Sous-traitants ultérieurs, ou l'accès non autorisé à de telles données. Elle n'inclut pas les tentatives infructueuses ni les activités qui ne compromettent pas la sécurité des Données à caractère personnel du Client, telles que les pings, les balayages de ports (port scans) ou les tentatives de connexion échouées.
• « Clauses contractuelles types » désigne les clauses contractuelles types relatives au transfert de données à caractère personnel vers des pays tiers, énoncées à l'Annexe de la Décision d'exécution (UE) 2021/914 de la Commission du 4 juin 2021.
• « Addendum britannique » désigne l'International Data Transfer Addendum aux clauses contractuelles types de la Commission européenne (l'Addendum de transfert international de données du Royaume-Uni), publié par l'Information Commissioner du Royaume-Uni en vertu de la section 119A du Data Protection Act 2018, dans sa version B1.0, en vigueur depuis le 21 mars 2022.
• « Responsable du traitement », « sous-traitant », « personne concernée », « données à caractère personnel », « traitement » et « autorité de contrôle » ont la signification qui leur est donnée dans le RGPD et incluent les termes équivalents dans les autres Lois sur la protection des données.

2. Champ d'application et rôles des parties

2.1 Le présent DPA s'applique lorsque le Client utilise les Services à des fins commerciales ou professionnelles et que Melaya traite des Données à caractère personnel du Client pour le compte du Client. Il ne s'applique pas à une personne physique qui utilise les Services à des fins strictement personnelles ou domestiques ; cette utilisation relève de la Politique de confidentialité.

2.2 S'agissant des Données à caractère personnel du Client, le Client est le responsable du traitement, ou un sous-traitant agissant pour le compte de son propre responsable du traitement, et Melaya est le sous-traitant, ou un sous-traitant ultérieur lorsque le Client agit en tant que sous-traitant. Lorsque le Client agit en tant que sous-traitant, il garantit que son responsable du traitement a autorisé ses instructions ainsi que le recours à Melaya, et le Client demeure l'unique point de contact de Melaya.

2.3 Melaya agit en tant que responsable du traitement indépendant, en dehors du cadre du présent DPA, pour les données à caractère personnel qu'elle traite à ses propres fins : la création et l'administration des comptes, l'authentification des Utilisateurs autorisés, la facturation et les paiements, la prévention de la fraude et des abus, la sécurité et l'intégrité des Services, l'assistance et les communications de service, les analyses d'utilisation agrégées, la conformité légale, et l'établissement ou la défense de droits en justice. La Politique de confidentialité décrit ce traitement.

2.4 Le présent DPA s'applique aussi longtemps que Melaya traite des Données à caractère personnel du Client, y compris après la fin des Conditions, jusqu'à ce que Melaya ait supprimé les Données à caractère personnel du Client conformément à la Section 11.

3. Traitement sur instructions du Client

3.1 Melaya ne traite les Données à caractère personnel du Client que sur instructions documentées du Client, y compris en ce qui concerne les transferts vers un pays tiers, sauf si le droit auquel Melaya est soumise l'exige autrement. Dans ce cas, Melaya informe le Client de cette obligation légale avant le traitement, sauf si ce droit l'interdit pour des motifs importants d'intérêt public.

3.2 Les instructions documentées du Client comprennent les Conditions et le présent DPA ; la configuration et l'utilisation des Services par le Client et ses Utilisateurs autorisés, y compris les pipelines, agents, prompts, conversations de l'Assistant, planifications, déclencheurs, documents téléversés, index de récupération, connecteurs, le modèle et le fournisseur sélectionnés, et le mode d'approbation ou d'autonomie sélectionné ; ainsi que toute instruction écrite supplémentaire convenue entre les parties. Le Client est responsable des instructions données par ses Utilisateurs autorisés et par les automatisations qu'il configure.

3.3 Melaya informe le Client sans retard injustifié si, selon elle, une instruction enfreint les Lois sur la protection des données, et peut suspendre le traitement concerné jusqu'à ce que le Client confirme ou modifie l'instruction. Melaya n'est pas tenue de procéder à un examen juridique des instructions du Client.

3.4 Lorsque le Client connecte un Service connecté, par exemple une base de données Odoo via le module Melaya pour Odoo, un compte HubSpot, un compte Google, Microsoft Teams ou un espace de travail Slack, Melaya traite les données que les agents, pipelines et conversations de l'Assistant du Client lisent depuis ce service ou y écrivent uniquement pour exécuter les tâches demandées par le Client, et uniquement dans la limite de l'accès que le Client accorde à cette connexion, tels que les scopes OAuth approuvés par le Client ou, pour Odoo, les droits d'accès de l'utilisateur Melaya Agent. Le Client décide quels services, comptes, scopes et enregistrements sont connectés, et peut les déconnecter à tout moment.

3.5 Les données que le Client charge les Services d'envoyer à un Service connecté, y compris les prompts et le contexte envoyés à un fournisseur de modèle sélectionné par le Client, sont divulguées sur instructions du Client, et le Service connecté les traite selon ses propres conditions avec le Client. Melaya n'est pas responsable du traitement effectué par un Service connecté selon ces conditions. Lorsqu'un fournisseur traite des Données à caractère personnel du Client en vertu d'un contrat conclu avec Melaya plutôt qu'avec le Client, Melaya traite ce fournisseur comme un Sous-traitant ultérieur au sens de la Section 6.

3.6 Melaya ne vend pas les Données à caractère personnel du Client et ne les utilise pas à des fins publicitaires. Sauf dans les cas prévus à la présente Section 3.6, Melaya n'utilise pas les Données à caractère personnel du Client pour entraîner ou améliorer des modèles d'intelligence artificielle. Melaya peut utiliser les données d'interaction issues de Computer Control et des applications de bureau, comme décrit dans la Politique de confidentialité, pour entraîner, évaluer et améliorer ses propres modèles et fonctionnalités, sauf si le Client s'y oppose en écrivant à info@melaya.org. Après une opposition, Melaya cesse cette utilisation des données du Client pour l'avenir.

3.7 Le Client est responsable de disposer d'une base légale pour le traitement qu'il demande, de fournir les informations et d'obtenir les consentements requis par les Lois sur la protection des données, de disposer de l'autorité nécessaire sur les Services connectés, appareils, ordinateurs et comptes qu'il connecte, et de l'exactitude des Données à caractère personnel du Client. Le Client ne demande pas de traitement que les Lois sur la protection des données interdisent.

4. Confidentialité

Melaya veille à ce que les personnes qu'elle autorise à traiter les Données à caractère personnel du Client se soient engagées à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité, et à ce que leur accès soit limité à ce qui est nécessaire pour fournir, soutenir et sécuriser les Services. Melaya ne divulgue pas les Données à caractère personnel du Client à des tiers, sauf dans les cas autorisés par le présent DPA, sur instructions du Client, ou lorsque la loi l'exige. Si une autorité publique demande l'accès aux Données à caractère personnel du Client, Melaya, lorsque la loi le permet, en informe le Client et oriente l'autorité vers le Client, et ne divulgue que les données minimales légalement requises par la demande.

5. Sécurité

5.1 Melaya met en œuvre et maintient des mesures techniques et organisationnelles appropriées pour protéger les Données à caractère personnel du Client contre toute Violation de données à caractère personnel, conformément à l'article 32 du RGPD. Ces mesures sont décrites à l'Annexe II et dans l'Aperçu de sécurité à l'adresse melaya.org/legal/security.

5.2 Le Client a pris connaissance de l'Annexe II et de l'Aperçu de sécurité, y compris des contrôles qui y sont décrits comme en cours ou non encore mis en œuvre, et reconnaît que, compte tenu de l'état de l'art, des coûts de mise en œuvre, ainsi que de la nature, de la portée, du contexte et des finalités du traitement, ces mesures assurent un niveau de sécurité adapté au risque pour les Données à caractère personnel du Client que le Client choisit de traiter avec les Services.

5.3 Melaya peut faire évoluer ses mesures dans le temps, à condition qu'une telle évolution ne réduise pas de manière substantielle le niveau de sécurité global des Services.

5.4 La sécurité est partagée. Le Client est responsable de la sécurité de ses propres comptes, identifiants, appareils, ordinateurs et Services connectés, de la configuration appropriée des Services, y compris les permissions, les scopes connectés, les listes d'autorisation d'applications et les modes d'approbation, ainsi que du contenu qu'il choisit de soumettre.

6. Sous-traitants ultérieurs

6.1 Le Client donne à Melaya une autorisation écrite générale de recourir à des Sous-traitants ultérieurs. Les Sous-traitants ultérieurs que Melaya utilise à un moment donné sont répertoriés à l'adresse melaya.org/legal/subprocessors, qui constitue l'Annexe III.

6.2 Avant qu'un Sous-traitant ultérieur ne traite des Données à caractère personnel du Client, Melaya conclut avec lui un contrat écrit imposant des obligations de protection des données au moins aussi protectrices que celles du présent DPA, dans la mesure applicable au service fourni par ce Sous-traitant ultérieur. Melaya demeure responsable envers le Client de l'exécution des obligations de chaque Sous-traitant ultérieur.

6.3 Melaya donne un préavis d'au moins quinze (15) jours avant qu'un nouveau Sous-traitant ultérieur ne commence à traiter des Données à caractère personnel du Client, en mettant à jour la page des Sous-traitants et en informant le Client par courriel ou via les Services. Lorsque Melaya doit remplacer un Sous-traitant ultérieur en urgence pour se conformer à la loi ou pour faire face à un risque de sécurité ou de continuité de service, elle peut donner un préavis plus court, et en informe alors le Client dès que raisonnablement possible.

6.4 Le Client peut s'opposer à un nouveau Sous-traitant ultérieur pour des motifs raisonnables de protection des données en écrivant à info@melaya.org dans le délai de préavis. Les parties examinent l'objection de bonne foi. Si elles ne parviennent pas à la résoudre dans un délai raisonnable, le Client peut résilier, par notification écrite, les Services concernés par le nouveau Sous-traitant ultérieur, et Melaya remboursera les frais prépayés correspondant à la période postérieure à la résiliation. La résiliation et ce remboursement constituent le recours exclusif du Client en cas d'objection non résolue.

7. Transferts internationaux

7.1 Melaya Labs LLC est établie aux États-Unis, et l'infrastructure de production principale de Melaya, y compris la base de données et le cache principaux, est hébergée à Singapour. Les Données à caractère personnel du Client peuvent également être traitées dans les lieux d'établissement des Sous-traitants ultérieurs répertoriés sur la page des Sous-traitants. Melaya ne transfère des Données à caractère personnel du Client au-delà des frontières que conformément à la présente Section 7 et aux Lois sur la protection des données.

7.2 Dans la mesure où le transfert par le Client de Données à caractère personnel du Client à Melaya constitue un transfert vers un pays tiers soumis au RGPD et non couvert par une décision d'adéquation ou un autre mécanisme de transfert valable, les Clauses contractuelles types sont intégrées au présent DPA et s'appliquent comme suit :

• Le Module Deux (responsable du traitement à sous-traitant) s'applique lorsque le Client est responsable du traitement, et le Module Trois (sous-traitant à sous-traitant) s'applique lorsque le Client est sous-traitant. Le Client est l'exportateur de données et Melaya est l'importateur de données.
• La clause 7 (clause d'adhésion) s'applique.
• Au titre de la clause 9(a), l'option 2 (autorisation écrite générale) s'applique, avec le délai de préavis prévu à la Section 6.3.
• La formulation facultative de la clause 11(a) ne s'applique pas.
• Au titre de la clause 13, l'autorité de contrôle compétente est déterminée conformément à la clause 13(a).
• Au titre de la clause 17, l'option 1 s'applique et les Clauses contractuelles types sont régies par le droit de l'Irlande. Au titre de la clause 18(b), les litiges sont résolus par les tribunaux d'Irlande.
• Les Annexes I, II et III des Clauses contractuelles types sont complétées par les informations figurant aux Annexes I, II et III du présent DPA.
• Les audits prévus à la clause 8.9 sont réalisés conformément à la Section 10, et l'attestation de suppression visée à la clause 8.5 est fournie sur demande écrite du Client.

7.3 Dans la mesure où le transfert est soumis au RGPD britannique, les Clauses contractuelles types s'appliquent telles que modifiées par l'Addendum britannique, lequel est intégré au présent DPA. Le Tableau 1 de l'Addendum britannique est complété par les informations relatives aux parties figurant à l'Annexe I, le Tableau 2 par les modules et options sélectionnés à la Section 7.2, et le Tableau 3 par les Annexes I à III du présent DPA. S'agissant du Tableau 4, aucune des parties ne peut mettre fin à l'Addendum britannique au titre de sa Section 19.

7.4 Dans la mesure où le transfert est soumis à la LPD, les Clauses contractuelles types s'appliquent avec les adaptations suivantes : les références au RGPD se lisent comme des références à la LPD ; le Préposé fédéral à la protection des données et à la transparence est l'autorité de contrôle compétente pour les transferts régis par la LPD ; le terme « État membre » n'empêche pas les personnes concernées en Suisse d'introduire une action devant les juridictions de leur lieu de résidence habituelle, conformément à la clause 18(c) ; et, lorsque le transfert est soumis à la fois à la LPD et au RGPD, le droit applicable et le for choisis à la Section 7.2 s'appliquent.

7.5 Lorsque Melaya transfère des Données à caractère personnel du Client à un Sous-traitant ultérieur situé dans un pays tiers, Melaya veille à ce que ce transfert soit couvert par un mécanisme de transfert valable, tel que les Clauses contractuelles types, et par les mesures supplémentaires décrites à l'Annexe II lorsque cela est requis.

7.6 Si un mécanisme de transfert invoqué dans la présente Section 7 est invalidé ou remplacé, les parties coopèrent de bonne foi pour mettre en place une alternative valable.

8. Assistance au Client

8.1 Compte tenu de la nature du traitement, Melaya assiste le Client, par des mesures techniques et organisationnelles appropriées, dans la mesure du possible, pour répondre aux demandes des personnes concernées souhaitant exercer leurs droits. Les Services permettent aux Utilisateurs autorisés d'exporter, de corriger et de supprimer les données de leur propre compte, et de supprimer les conversations, documents, index de récupération et connexions. Si Melaya reçoit une demande d'une personne concernée relative à des Données à caractère personnel du Client, elle la transmet au Client sans retard injustifié lorsqu'elle peut identifier le Client, et n'y répond pas elle-même, si ce n'est pour orienter la personne concernée vers le Client ou selon les instructions du Client.

8.2 Compte tenu de la nature du traitement et des informations dont dispose Melaya, Melaya apporte au Client une assistance raisonnable pour les analyses d'impact relatives à la protection des données et les consultations préalables des autorités de contrôle que les Lois sur la protection des données imposent au Client en lien avec les Services, principalement en mettant à disposition le présent DPA, l'Aperçu de sécurité et les informations décrites à la Section 10.

8.3 Dans la mesure où les Lois sur la protection des données le permettent, Melaya peut facturer des frais raisonnables pour toute assistance au titre de la présente Section 8 qui excède les fonctionnalités en libre-service des Services et la documentation que Melaya met généralement à disposition.

9. Violation de données à caractère personnel

9.1 Melaya notifie au Client toute Violation de données à caractère personnel sans retard injustifié, et en tout état de cause dans un délai de soixante-douze (72) heures après en avoir eu connaissance. Melaya envoie la notification à l'adresse électronique associée au compte du Client et à tout contact de sécurité que le Client a communiqué à Melaya par écrit.

9.2 La notification décrit, dans la mesure où ces éléments sont alors connus, la nature de la Violation de données à caractère personnel, y compris les catégories et le nombre approximatif de personnes concernées et d'enregistrements concernés ; ses conséquences probables ; les mesures prises ou envisagées pour y remédier et pour atténuer ses éventuelles conséquences négatives ; ainsi qu'un point de contact pour obtenir des informations supplémentaires. Lorsque ces informations ne sont pas disponibles simultanément, Melaya les fournit par étapes, sans autre retard injustifié.

9.3 Melaya prend des mesures raisonnables pour contenir, examiner et remédier à la Violation de données à caractère personnel, et apporte au Client l'assistance raisonnable dont il a besoin pour satisfaire à ses propres obligations de notification aux autorités de contrôle et aux personnes concernées. Melaya ne notifie pas une Violation de données à caractère personnel aux personnes concernées ou aux autorités de contrôle du Client pour le compte de ce dernier, sauf instruction du Client ou obligation légale en ce sens.

9.4 La notification par Melaya d'une Violation de données à caractère personnel, ou sa réponse à celle-ci, ne constitue pas une reconnaissance de faute ou de responsabilité.

10. Audits et démonstration de la conformité

10.1 Melaya met à la disposition du Client les informations raisonnablement nécessaires pour démontrer sa conformité à l'article 28 du RGPD et au présent DPA : le présent DPA et l'Aperçu de sécurité ; sur demande écrite à info@melaya.org, la matrice de contrôle actuelle de Melaya et la liste des remédiations en cours ; et les réponses écrites de Melaya à un questionnaire raisonnable de sécurité et de confidentialité, au maximum une fois par période de douze (12) mois. Melaya ne dispose pas actuellement d'un rapport SOC 2, d'un certificat ISO/IEC 27001, ni d'une attestation équivalente délivrée par un tiers, et en informera le Client si cela change. Les informations non publiques sont fournies sous réserve d'obligations de confidentialité.

10.2 Si ces informations ne suffisent pas à démontrer la conformité, lorsqu'une autorité de contrôle l'exige, ou à la suite d'une Violation de données à caractère personnel, le Client peut auditer la conformité de Melaya au présent DPA, lui-même ou par l'intermédiaire d'un auditeur indépendant soumis à des obligations de confidentialité et qui n'est pas un concurrent de Melaya. Le Client doit donner un préavis écrit d'au moins trente (30) jours accompagné d'un périmètre proposé, et les parties conviennent à l'avance du périmètre, du calendrier et de la durée. Les audits ont lieu au maximum une fois par période de douze (12) mois, sauf lorsqu'une autorité de contrôle l'exige autrement ou à la suite d'une Violation de données à caractère personnel, pendant les heures normales d'ouverture, et d'une manière qui ne perturbe pas de façon déraisonnable les activités de Melaya.

10.3 Melaya proposera d'abord de réaliser l'audit à distance, par examen de documents et entretiens. Un audit sur site n'a lieu que lorsqu'un audit à distance ne peut raisonnablement atteindre son objectif. Un audit ne s'étend pas aux données des autres clients de Melaya, aux informations protégées par le secret professionnel, ni aux locaux des Sous-traitants ultérieurs, pour lesquels Melaya mettra à disposition les informations pertinentes qu'elle reçoit de ces Sous-traitants ultérieurs.

10.4 Le Client supporte ses propres coûts d'audit et rembourse à Melaya les coûts raisonnables liés au soutien d'un audit sur site, sauf lorsque l'audit révèle un manquement substantiel de Melaya au présent DPA. Le Client remet à Melaya une copie du rapport d'audit, lequel constitue une information confidentielle de Melaya.

11. Restitution et suppression des Données à caractère personnel du Client

11.1 Pendant la durée des Conditions, le Client peut exporter et supprimer les Données à caractère personnel du Client au moyen des Services, y compris grâce aux fonctionnalités d'exportation des données et de suppression de compte accessibles dans les paramètres du compte, ainsi qu'à la suppression des conversations, documents, index de récupération et connexions.

11.2 Lorsque le compte du Client est clôturé ou que les Conditions prennent fin, Melaya supprime les Données à caractère personnel du Client de ses systèmes actifs sans retard injustifié, et en tout état de cause dans un délai de trente (30) jours, sauf si le droit auquel Melaya est soumise l'oblige à conserver ces données. Le Client doit exporter toutes les Données à caractère personnel du Client qu'il souhaite conserver avant de clôturer son compte. Sur demande écrite du Client formulée avant la clôture, Melaya apporte une assistance raisonnable pour la restitution des Données à caractère personnel du Client dans un format couramment utilisé et lisible par machine.

11.3 Les copies des Données à caractère personnel du Client figurant dans les sauvegardes chiffrées de Melaya sont supprimées au fur et à mesure de l'expiration de ces sauvegardes, selon le calendrier de conservation des sauvegardes décrit dans l'Aperçu de sécurité. Jusque-là, elles demeurent protégées au titre du présent DPA et ne sont utilisées à aucune autre fin.

11.4 Pendant la durée du contrat, les journaux d'exécution, traces et données de télémétrie sont supprimés selon les durées de conservation dépendant du plan tarifaire décrites dans la Politique de confidentialité. Melaya ne peut pas rappeler les données que le Client a chargé les Services d'envoyer à un Service connecté. Sur demande écrite du Client, Melaya confirme la suppression par écrit.

12. Responsabilité

La responsabilité de chaque partie découlant du présent DPA ou s'y rapportant, y compris au titre des Clauses contractuelles types et de l'Addendum britannique dans la mesure où ceux-ci le permettent, est soumise aux exclusions et limitations de responsabilité prévues dans les Conditions, et toute référence dans les Conditions à la responsabilité au titre des Conditions inclut la responsabilité au titre du présent DPA. Aucune disposition du présent DPA ne limite les droits des personnes concernées au titre des Clauses contractuelles types, ni aucune responsabilité qui ne peut être limitée en vertu des Lois sur la protection des données.

13. Ordre de priorité

En cas de contradiction entre les documents constituant l'accord entre le Client et Melaya, l'ordre suivant s'applique dans la mesure de la contradiction : premièrement, les Clauses contractuelles types, l'Addendum britannique et les dispositions suisses de la Section 7, lorsqu'ils s'appliquent ; deuxièmement, le présent DPA ; troisièmement, les Conditions. Un accord de traitement des données ou un accord d'entreprise signé par les deux parties qui remplace expressément le présent DPA prévaut sur celui-ci.

14. Modifications du présent DPA

Melaya peut mettre à jour le présent DPA pour refléter des évolutions des Lois sur la protection des données, des lignes directrices des autorités de contrôle, de nouveaux mécanismes de transfert ou leur remplacement, ou des modifications des Services. Melaya notifie les modifications substantielles de la même manière que pour les modifications substantielles des Conditions. Une mise à jour ne réduit pas de manière substantielle la protection des Données à caractère personnel du Client au titre du présent DPA, sauf lorsque la loi l'exige. La date de « Dernière mise à jour » figurant en haut de cette page indique la version en vigueur. Une copie signée du présent DPA ne peut être modifiée que par accord écrit des deux parties.

15. Droit applicable et juridiction

Le présent DPA est régi par le droit qui régit les Conditions, actuellement les lois de l'État du Delaware, États-Unis, et les litiges découlant du présent DPA ou s'y rapportant sont résolus selon les modalités prévues dans les Conditions, sauf lorsque les Clauses contractuelles types, l'Addendum britannique ou les Lois sur la protection des données imposent un autre droit applicable ou un autre for.

16. Date d'effet, signature et exemplaires contresignés

Le présent DPA prend effet à la plus tardive des deux dates suivantes : la date à laquelle le Client accepte les Conditions, et la date de première publication du présent DPA. Aucune signature n'est requise : l'acceptation des Conditions par le Client vaut acceptation du présent DPA ainsi que des Clauses contractuelles types et de l'Addendum britannique qui y sont intégrés. Le Client peut demander une copie du présent DPA contresignée par Melaya en écrivant à info@melaya.org, en indiquant la dénomination sociale, l'adresse et les coordonnées de contact du Client.

Annexe I. Détails du traitement

• Exportateur de données : le Client, tel qu'identifié dans son compte Melaya ou son bon de commande. Contact : l'adresse électronique associée au compte du Client. Activités : utilisation des Services. Rôle : responsable du traitement, ou sous-traitant pour le compte de son propre responsable du traitement. Signature et date : acceptation des Conditions.
• Importateur de données : Melaya Labs LLC, États-Unis. Contact : équipe Vie privée, info@melaya.org. Activités : fourniture des Services. Rôle : sous-traitant, ou sous-traitant ultérieur. Signature et date : publication du présent DPA, et contresignature sur demande.
• Catégories de personnes concernées : les Utilisateurs autorisés du Client, y compris les employés et prestataires ; les clients, prospects, contacts et fournisseurs du Client, ainsi que les autres personnes physiques dont les données à caractère personnel figurent dans le Contenu Utilisateur ou dans les enregistrements, messages, fichiers et pages que les agents du Client lisent depuis les Services connectés ; les personnes figurant sur les écrans, pages ou fenêtres d'application que les agents du Client observent ; et les personnes qui interagissent avec les agents que le Client déploie.
• Catégories de données à caractère personnel : données d'identification et de contact, telles que noms, adresses électroniques, numéros de téléphone, noms d'utilisateur, intitulés de poste et noms d'entreprises ; le contenu des prompts, conversations, sorties d'agents, documents téléversés, index de récupération, courriels, messages de chat, entrées de calendrier, enregistrements CRM et ERP, et fichiers ; les données lues depuis ou écrites vers les Services connectés ; les images d'écran, captures d'écran, arbres d'accessibilité, contenu des pages, titres de fenêtres, texte reconnu et enregistrements d'actions produits par Device Control, Browser Control et Computer Control ; ainsi que les données techniques, telles que les adresses IP, les identifiants d'appareil et de session, les journaux et les traces d'exécution. Les données exactes dépendent de la configuration et de l'utilisation des Services par le Client.
• Catégories particulières de données à caractère personnel : aucune n'est prévue. Le Client ne soumettra pas de catégories particulières de données à caractère personnel, ni de données à caractère personnel relatives aux condamnations pénales et aux infractions, sauf si cela est nécessaire, licite et assorti de garanties appropriées. Si le Client le fait, les mesures prévues à l'Annexe II s'appliquent.
• Fréquence du transfert : continue, pendant toute la durée d'utilisation des Services par le Client.
• Nature du traitement : hébergement, stockage, organisation, récupération, indexation et vectorisation (embedding), analyse et transformation par des modèles de langage, transmission à destination et en provenance des Services connectés, exécution des actions des agents, affichage, exportation et suppression, selon les instructions du Client données via les Services.
• Finalité du traitement : fournir, soutenir et sécuriser les Services au titre des Conditions, y compris l'exécution des agents, pipelines, conversations de l'Assistant, connecteurs, déclencheurs, et des sessions Device Control, Browser Control et Computer Control que le Client configure.
• Durée et conservation : pendant la durée des Conditions et jusqu'à la suppression prévue à la Section 11. Les conversations, documents et index de récupération sont conservés jusqu'à ce que le Client les supprime ou clôture son compte. Les journaux d'exécution, traces et données de télémétrie suivent les durées de conservation dépendant du plan tarifaire, et les données d'intégration suivent les durées propres à chaque intégration, décrites dans la Politique de confidentialité. Les sauvegardes expirent selon le calendrier décrit dans l'Aperçu de sécurité.
• Transferts vers des Sous-traitants ultérieurs : tels que décrits à l'Annexe III, pour l'objet, la nature et la durée énoncés à la présente Annexe I.
• Autorité de contrôle compétente : déterminée conformément à la clause 13 des Clauses contractuelles types, ou, selon le cas, l'Information Commissioner du Royaume-Uni ou le Préposé fédéral à la protection des données et à la transparence suisse.

Annexe II. Mesures techniques et organisationnelles

Melaya applique les mesures suivantes aux Services. L'Aperçu de sécurité à l'adresse melaya.org/legal/security les décrit plus en détail, y compris les contrôles en cours ou non encore mis en œuvre.

• Chiffrement en transit : TLS 1.2 ou supérieur pour le trafic entre les clients et les Services, terminé au niveau de Cloudflare, avec HSTS et une politique stricte de sécurité du contenu (Content Security Policy). Les appels internes de service à service transitent par des liaisons en boucle locale (loopback) ou sur des réseaux privés.
• Chiffrement au repos : les valeurs sensibles, y compris les identifiants API d'exchange, les identifiants de connecteurs et jetons OAuth, ainsi que les secrets MFA et codes de récupération, sont chiffrés par chiffrement d'enveloppe AES-256-GCM dans le processus serveur avant leur stockage, avec des clés conservées séparément des identifiants de base de données et de coffre-fort et renouvelées sans interruption de service. Les sauvegardes sont chiffrées. Le chiffrement intégral des volumes de production n'est pas encore activé et figure sur la feuille de route sécurité.
• Isolation des locataires : chaque requête est limitée à l'utilisateur authentifié au niveau de la couche applicative, la sécurité au niveau des lignes de PostgreSQL est appliquée comme second niveau sous un rôle de base de données qui ne peut pas la contourner, et les index de récupération ne sont restitués qu'au pipeline qui en est propriétaire.
• Contrôle d'accès : mots de passe hachés avec bcrypt ; authentification multifacteur TOTP disponible pour tous les utilisateurs et obligatoire pour ajouter des identifiants d'exchange ou créer des clés API de plateforme ; jetons de session signés avec des clés de signature renouvelées périodiquement ; autorisation fondée sur les rôles et sur le plan tarifaire appliquée côté serveur ; limitation de débit sur les points d'accès d'authentification et d'API ; jetons runner et téléphone stockés uniquement sous forme de hachages et révocables.
• Accès du personnel : l'accès aux systèmes de production est accordé à chaque ingénieur dans le cadre d'un processus d'approbation à deux personnes, limité à ce que requiert son rôle, revu selon une cadence trimestrielle documentée, et retiré lors du départ, y compris par la révocation des clés et des sessions.
• Journalisation et surveillance : journaux structurés d'application, d'hôte et de périphérie, transmis en temps réel hors de l'hôte de production vers un entrepôt de journaux situé dans la même région, et un journal d'audit de sécurité en ajout seul, chaîné par hachage, qui ne conserve les adresses IP que sous forme de condensés HMAC à clé et qui est vérifié quotidiennement.
• Développement sécurisé et gestion des vulnérabilités : revue par les pairs avant fusion, vérification statique des types, détection de secrets dans les hooks pre-commit et en intégration continue, analyse des vulnérabilités des dépendances et des conteneurs à chaque build, actions CI figées à une version précise, chemin de déploiement restreint, et mises à jour de sécurité automatiques du système d'exploitation. Melaya n'a pas encore fait l'objet d'un test d'intrusion externe.
• Réponse aux incidents : une procédure écrite de réponse aux incidents comportant des niveaux de gravité, des rôles définis, des mesures de confinement incluant le renouvellement des clés, une matrice de notification à 72 heures, et des analyses post-incident.
• Sauvegarde et continuité : sauvegardes chiffrées quotidiennes nocturnes des bases de données de production et des documents téléversés, conservées selon un calendrier de 7 instantanés quotidiens, 4 hebdomadaires et 6 mensuels, avec un contrôle d'intégrité hebdomadaire et un test de restauration, ainsi qu'un plan écrit de continuité d'activité. Les sauvegardes sont actuellement stockées dans la même région que la production, et les Services fonctionnent depuis une région principale unique, sans bascule automatique.
• Minimisation et suppression des données : purges automatisées de conservation des données d'exécution selon le plan tarifaire ; exportation et suppression en libre-service ; effacement par le biais de pierres tombales qui préservent l'intégrité du journal d'audit ; Computer Control ne lit ni ne saisit de données dans les champs sécurisés et recouvre les fenêtres des applications non autorisées ; l'extension de navigateur omet les valeurs des champs de mot de passe dans les captures de page.
• Garde-fous des agents : listes d'autorisation d'applications et niveaux de permission, demandes d'approbation pour les actions à conséquences détectées en mode Safe, commandes d'arrêt et d'interruption forcée, et vérifications des règles côté serveur sur les commandes relatives aux appareils et aux ordinateurs.
• Gestion des Sous-traitants ultérieurs : contrats écrits comportant des obligations de protection des données, liste publiée des Sous-traitants ultérieurs, et préavis en cas de modification.
• Certifications : Melaya conçoit ses contrôles en tenant compte des Trust Services Criteria de SOC 2 et de la norme ISO/IEC 27001, mais ne détient actuellement aucune certification ni attestation délivrée par un tiers.

Annexe III. Sous-traitants ultérieurs

Les Sous-traitants ultérieurs auxquels Melaya a recours, avec leur localisation, leur finalité et leur garantie de transfert, sont répertoriés à l'adresse melaya.org/legal/subprocessors. Cette liste, telle que mise à jour conformément à la Section 6, constitue la présente Annexe III. À la date du présent DPA, l'hébergement principal du calcul, de la base de données et du cache de Melaya est assuré par Alibaba Cloud à Singapour.

Les Services connectés choisis par le Client, y compris les fournisseurs de modèles que le Client sélectionne pour ses agents, sont sollicités sur instructions du Client au titre de la Section 3 et ne constituent pas des Sous-traitants ultérieurs, sauf dans les cas prévus à la Section 3.5.

Contact

Les questions relatives au présent DPA, les demandes de copie contresignée et les notifications au titre du présent DPA doivent être adressées à :