Accord de traitement des données personnelles

Journal des modifications

1. Parties et rôles

1.1. Responsable du traitement (titulaire de la banque de données personnelles) : le Client, qui décide de la finalité et du contenu des données qu'il charge dans XEN.

1.2. Sous-traitant : Xeneural Technologies E.I.R.L., RUC 20606521261.

1.3. Xeneural n'acquiert aucune propriété sur les données, ne les utilise pas à ses propres fins et ne les utilise pas pour entraîner des modèles d'intelligence artificielle, propres ou de tiers.

2. Objet, nature et durée

2.1. Xeneural traite les données personnelles exclusivement pour fournir le Service XEN conformément au contrat, à la configuration que le Client effectue sur la plateforme et à ses instructions écrites.

2.2. Catégories de personnes concernées : salariés, clients, fournisseurs, contacts et signataires désignés par le Client.

2.3. Catégories de données : identification, contact, données professionnelles, de présence, économiques et fiscales, documents et signatures, et toutes celles que le Client décide d'intégrer. Si le Client intègre des données sensibles, il garantit disposer du consentement écrit ou de la base légale exigés par la loi.

2.4. Durée : celle du contrat principal. Les obligations de confidentialité, de restitution et de suppression survivent à sa résiliation.

3. Instructions

3.1. Xeneural ne traite les données que selon les instructions documentées du Client : le contrat, le présent Accord, la configuration de XEN et les demandes écrites de son contact désigné. Elle ne traite pas les données à d'autres fins et ne les transfère pas au-delà de ce qui est prévu ici.

3.2. Si Xeneural estime qu'une instruction enfreint la réglementation sur la protection des données, elle en informe immédiatement le Client et peut en suspendre l'exécution jusqu'à clarification.

3.3. Lorsqu'une loi oblige Xeneural à traiter les données autrement, elle en informe le Client avant de le faire, sauf si cette loi l'interdit.

4. Obligations de Xeneural

4.1. Confidentialité du personnel. Toute personne ayant accès aux données est soumise à une obligation écrite de confidentialité avant d'y accéder, reçoit une formation à la protection des données à son arrivée puis chaque année, et n'accède qu'à ce qui est nécessaire à sa fonction. Xeneural conserve le registre de cette formation et de ces engagements.

4.2. Mesures techniques et organisationnelles. Xeneural applique les mesures de l'Annexe de sécurité (section 9), les maintient dans un système de management conforme à la norme ISO/IEC 27001:2022 et les révise au moins une fois par an. Xeneural peut les actualiser à condition de ne pas réduire de manière substantielle le niveau de sécurité du Service, et informe le Client des modifications pertinentes à sa demande.

4.3. Assistance au Client. Xeneural assiste le Client dans le traitement des droits des personnes concernées (transmission de toute demande reçue dans un délai maximal de deux (2) jours ouvrables), dans les analyses d'impact, dans les consultations de l'autorité et dans la notification des incidents. XEN permet au Client d'accéder aux données, de les rectifier, de les exporter et de les supprimer lui-même.

4.4. Registre. Xeneural tient un registre des activités de traitement qu'elle effectue pour le compte du Client et de tout accès d'assistance à ses données, disponible sur demande.

4.5. Démonstration de la conformité. Xeneural met à la disposition du Client les informations nécessaires pour démontrer le respect du présent Accord et de la réglementation applicable.

5. Incidents de sécurité

5.1. « Incident de sécurité » désigne toute violation de la sécurité de Xeneural ou de ses sous-traitants ultérieurs entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée des données personnelles traitées pour le compte du Client ou l'accès non autorisé à celles-ci ; n'en sont pas les tentatives infructueuses qui ne compromettent ni leur confidentialité, ni leur intégrité, ni leur disponibilité. Xeneural notifie au Client tout Incident de sécurité dans les meilleurs délais et au plus tard dans les vingt-quatre (24) heures suivant le moment où elle a raisonnablement connaissance de sa survenance, par courriel au contact désigné, avec les informations disponibles : nature de l'incident, catégories et nombre approximatif de personnes concernées et d'enregistrements affectés, mesures adoptées et recommandées, et point de contact.

5.2. Xeneural complète les informations par étapes, au fur et à mesure qu'elle les obtient, et remet un rapport avec la cause première, l'impact et les mesures correctives dans un délai maximal de dix (10) jours ouvrables. La notification d'un Incident de sécurité ou la réponse à celui-ci ne vaut pas reconnaissance de faute ni de responsabilité.

5.3. Cette notification permet au Client de respecter ses propres délais auprès de l'Autorité nationale de protection des données personnelles du Pérou (48 heures) ou de l'autorité de contrôle dont il relève (72 heures selon le RGPD). Xeneural ne communique pas l'incident à des tiers ni au public au nom du Client sans son autorisation écrite, sauf obligation légale propre.

6. Sous-traitants ultérieurs

6.1. Le Client autorise de manière générale les sous-traitants ultérieurs figurant sur la liste publique de xeneural.com/legal/subencargados, intégrée au présent Accord, chacun lié par un contrat écrit comportant des obligations équivalentes à celles du présent Accord.

6.2. Xeneural publie tout ajout ou remplacement d'un sous-traitant ultérieur, avec son nom, sa finalité et le pays de traitement, et le communique par courriel aux abonnés de l'avis, au moins trente (30) jours avant qu'il n'accède aux données. Dans ce délai, le Client peut s'y opposer par écrit en indiquant des motifs raisonnables liés à la protection des données. Xeneural répond dans un délai maximal de dix (10) jours ouvrables par l'une des options suivantes : (i) ne pas utiliser ce sous-traitant ultérieur pour les données du Client ; (ii) proposer une configuration qui l'évite ; ou (iii) si aucune n'est viable, reconnaître au Client le droit de résilier le service concerné sans pénalité et avec remboursement des sommes payées d'avance. Si le Client ne s'y oppose pas dans le délai, il est réputé accepter le sous-traitant ultérieur.

6.3. Xeneural répond envers le Client des actes et omissions de ses sous-traitants ultérieurs comme s'ils étaient les siens.

7. Transferts internationaux

7.1. Les données sont traitées dans les lieux suivants, selon la finalité : hébergement de l'application, de la base de données et des documents aux États-Unis d'Amérique ; diffusion et protection du trafic dans le réseau mondial du fournisseur de bordure, avec des copies temporaires en cache ; et réponses de XENI dans l'infrastructure mondiale de Google. Chaque sous-traitant ultérieur figure sur la liste avec sa localisation. Pour les clients du Pérou, Xeneural communique le flux transfrontalier au Registre national de protection des données personnelles et remet au Client la fiche nécessaire pour inscrire ou actualiser sa propre banque de données.

7.2. Pour les clients de l'Espace économique européen, du Royaume-Uni ou de la Suisse, les Parties intègrent sans modification les clauses contractuelles types de la Commission européenne (décision 2021/914, module deux, responsable vers sous-traitant) et, le cas échéant, l'addendum du Royaume-Uni, avec les annexes complétées par les informations du présent Accord et de la liste des sous-traitants ultérieurs.

7.3. Xeneural ne déplace pas l'hébergement des données en dehors des lieux indiqués sans le consentement écrit préalable du Client et sans les garanties exigées par la loi.

8. Droits d'audit

8.1. Le Client, lui-même ou par un auditeur indépendant soumis à la confidentialité, peut auditer le respect du présent Accord une fois par an et, en outre, en cas d'incident affectant ses données ou de demande d'une autorité, avec un préavis de trente (30) jours, pendant les heures ouvrables, sur la documentation, la configuration et les contrôles, sans accès aux données d'autres clients.

8.2. Les rapports de certification (ISO/IEC 27001) et les résumés exécutifs des tests d'intrusion et des audits internes satisfont à l'audit, sauf indice raisonnable de non-conformité. Tant que la certification est en cours, Xeneural remet l'état documenté de son système de management et son plan avec des dates.

8.3. Ce droit survit à la résiliation tant que Xeneural conserve des données du Client.

9. Annexe de sécurité : mesures techniques et organisationnelles

10. Restitution et suppression

10.1. Après la résiliation, le Client dispose de trente (30) jours pour exporter ses données dans des formats ouverts avec dictionnaire de données. À son choix, Xeneural remet une exportation complète dans un délai maximal de dix (10) jours ouvrables à compter de la demande.

10.2. Xeneural supprime les données des systèmes actifs dans un délai maximal de trente (30) jours après ce délai et des copies de sauvegarde dans un délai maximal de quatre-vingt-dix (90) jours, et le certifie par écrit à la demande du Client.

10.3. Les enregistrements soumis à une obligation légale de conservation (justificatifs de paiement, écritures comptables, bulletins de paie : cinq ans au Pérou) sont conservés dans une archive à accès restreint et avec vérification d'intégrité, et supprimés à l'expiration du délai légal.

11. Responsabilité

Chaque Partie répond des dommages qu'elle cause par manquement au présent Accord ou à la réglementation sur la protection des données, et Xeneural répond de ses sous-traitants ultérieurs. La responsabilité découlant du présent Accord est soumise au plafond renforcé des Conditions de service : deux (2) fois les sommes payées par le Client au cours des douze (12) mois précédant le premier fait ayant donné lieu à la réclamation. Ce plafond ne s'applique pas au dol ni à la faute inexcusable (article 1328 du Code civil).

12. Désignations et contact

Xeneural a désigné le 21 septembre 2026 son Gérant-titulaire comme Délégué aux données personnelles. Contact : privacy@xeneural.com. Contact sécurité et incidents : security@xeneural.com.

13. Durée de validité

À compter de l'acceptation des Conditions de service ou de la signature du présent document, et pendant toute la durée du contrat principal. Les sections 4.1, 5, 8, 10 et 11 survivent à la résiliation.

Signatures, lorsque l'accord est formalisé comme document distinct : pour le Client, son représentant autorisé, avec nom, fonction et date ; pour Xeneural Technologies E.I.R.L., son Gérant-titulaire.