Accord de traitement des données

Le présent accord de traitement des données (« DPA ») fait partie des Conditions générales conclues entre le client (l'entreprise qui souscrit à LetsBot, « vous ») et BOT FOR DIGITAL SOLUTIONS LIMITED, société immatriculée en Angleterre et au pays de Galles sous le numéro 15477940, dont le siège est situé 71-75 Shelton Street, Covent Garden, London WC2H 9JQ, Royaume-Uni (« LetsBot », « nous »).

En acceptant les Conditions générales, vous concluez également le présent DPA, y compris les clauses de transfert intégrées par référence dans les Annexes IV à VI. Elles s'appliquent automatiquement à chaque client dès l'acceptation, avant tout transfert de Données personnelles du client, et aucune signature n'est requise.

Exemplaires signés et documents sur mesure. Sur demande adressée à support@letsbot.net, nous fournirons un exemplaire du présent DPA contresigné par nos soins, ou un accord ou document sur mesure dont votre organisation a besoin, tel qu'un jeu de clauses de transfert complété.

Ordre de priorité. En cas de conflit, les clauses de transfert des Annexes IV à VI prévalent, puis le présent DPA, puis les Conditions générales.

Langue. La version anglaise du présent DPA fait foi ; la version arabe est fournie à titre de commodité. Pour les clauses types de l'ANPD brésilienne, le texte officiel en portugais fait foi.

• Données personnelles du client : les données personnelles que nous traitons pour votre compte dans le cadre de la fourniture du service, y compris les coordonnées de vos contacts, les messages, les médias et les commandes. L'Annexe I en fournit le détail.
• Sous-traitant ultérieur : tout tiers auquel nous faisons appel pour traiter des Données personnelles du client.
• Violation de données personnelles : une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de Données personnelles du client ou l'accès non autorisé à celles-ci.
• Lois sur la protection des données : les lois applicables au traitement, notamment le GDPR de l'UE, le UK GDPR et le Data Protection Act 2018, la loi saoudienne sur la protection des données personnelles et ses règlements, la LGPD brésilienne, ainsi que la loi égyptienne n° 151 de 2020 et son règlement d'application.
• Les termes « responsable du traitement », « sous-traitant », « personne concernée » et « traitement » ont le sens que leur donnent les Lois sur la protection des données. Le terme « sous-traitant » inclut un « operador » au sens de la LGPD.

1. Vous êtes le responsable du traitement des Données personnelles du client (ou un sous-traitant agissant pour le compte d'un autre responsable du traitement), et nous sommes le sous-traitant.
2. Nous traitons les Données personnelles du client uniquement sur vos instructions documentées, y compris en ce qui concerne les transferts vers d'autres pays. Vos instructions sont constituées des Conditions générales, du présent DPA, des paramètres que vous choisissez dans le panneau (tels que les canaux, les intégrations, les fonctionnalités d'IA et les durées de conservation) et de toute autre instruction écrite convenue entre nous.
3. Si une loi nous oblige à traiter des Données personnelles du client autrement que sur vos instructions, nous vous en informerons avant de le faire, sauf si cette loi l'interdit.
4. Nous vous informerons immédiatement si nous estimons qu'une instruction enfreint les Lois sur la protection des données.
5. Il vous incombe de collecter les données de manière licite et de disposer d'une base légale pour envoyer des messages à vos contacts, y compris tout consentement exigé par Meta ou par la loi.
6. Nous n'utilisons pas les Données personnelles du client à nos propres fins, nous ne les vendons pas et nous ne les utilisons pas pour entraîner des modèles d'IA.

Seuls les employés et prestataires qui ont besoin d'un accès pour fournir, assister ou sécuriser le service peuvent accéder aux Données personnelles du client, et tous sont tenus d'en préserver la confidentialité.

Les personnes ayant accès aux Données personnelles du client travaillent principalement en Égypte, par l'intermédiaire de notre société affiliée Bot for Digital Solutions LLC («بوت للحلول الرقمية» ش.ذ.م.م), selon nos instructions et à des conditions offrant une protection au moins équivalente à celle du présent DPA.

Nous appliquons les mesures techniques et organisationnelles décrites à l'Annexe II, les réexaminons régulièrement et ne réduirons pas le niveau global de protection pendant votre abonnement.

En outre, nous nous engageons à :

• effectuer des sauvegardes chiffrées des bases de données des espaces de travail : chaque nuit pour les espaces de travail payants, en essai et offerts, et selon une rotation de 10 jours pour les autres espaces de travail, ainsi qu'une sauvegarde quotidienne de la base de données centrale des comptes. Les sauvegardes sont conservées dans un stockage privé, distinct du serveur de production, sur Google Cloud aux États-Unis (us-east1), pendant 30 jours, puis supprimées ;
• conserver les fichiers multimédias échangés dans les conversations dans un stockage qui ne peut être ni parcouru ni listé, et les servir via des liens longs et aléatoires difficiles à deviner (à l'exception des photos de profil des contacts). Toute personne disposant du lien exact peut ouvrir le fichier. Nous migrons les médias vers des liens signés à durée limitée ;
• consigner chaque accès du support à un espace de travail, ainsi que chaque connexion, dans le journal de sécurité de cet espace de travail.

1. Autorisation générale. Vous nous autorisez à faire appel aux sous-traitants ultérieurs répertoriés sur notre page des sous-traitants ultérieurs (Annexe III).
2. Préavis. Nous donnerons un préavis d'au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant ultérieur, par e-mail à toutes les personnes qui se sont inscrites et par la mise à jour de la page. Pour vous inscrire, écrivez à support@letsbot.net avec l'objet « Subprocessor updates ».
3. Opposition. Vous pouvez vous opposer par écrit pendant la période de préavis pour des motifs raisonnables liés à la protection des données. Nous nous efforcerons de résoudre votre opposition, par exemple en n'utilisant pas ce sous-traitant ultérieur pour vos données. À défaut, vous pouvez résilier la partie concernée du service et obtenir le remboursement des frais prépayés pour la période restante.
4. Remplacement d'urgence. Si nous devons remplacer immédiatement un sous-traitant ultérieur pour protéger la sécurité ou la continuité du service, nous vous en informerons dès que possible, et vous conservez le même droit d'opposition.
5. Obligations équivalentes. Nous lions chaque sous-traitant ultérieur tiers par un contrat écrit comportant des obligations de protection des données offrant une protection au moins équivalente à celle du présent DPA, et nous restons responsables envers vous de son exécution.
6. Les intégrations que vous choisissez, telles que Meta (WhatsApp, Messenger, Instagram), les plateformes d'e-commerce et les CRM, ne sont pas nos sous-traitants ultérieurs. Vous les connectez, et elles traitent les données selon leurs propres conditions conclues avec vous.

1. Nous vous notifierons toute Violation de données personnelles affectant des Données personnelles du client dans les meilleurs délais et, en tout état de cause, dans les 24 heures suivant le moment où nous en avons connaissance. C'est notre norme dans tous les pays.
2. Nous envoyons la notification à l'adresse e-mail du titulaire du compte et, si possible, dans le panneau. Dans la mesure où les informations sont disponibles, elle décrit : la nature et la cause de la violation ; les catégories et le nombre approximatif de personnes concernées et d'enregistrements ; les conséquences probables ; les mesures prises ou envisagées pour la contenir ; et notre point de contact.
3. Si nous ne disposons pas de toutes les informations en une fois, nous les fournirons par étapes dans les meilleurs délais et vous tiendrons régulièrement informé jusqu'à la clôture de l'incident.
4. Nous vous aiderons à remplir vos propres obligations de notification aux autorités et aux personnes concernées, y compris les délais de 72 heures dans l'UE, au Royaume-Uni et en Arabie saoudite, et le délai de trois jours ouvrables au Brésil.
5. Une notification ne constitue pas une reconnaissance de faute ou de responsabilité.

1. Si nous recevons une demande d'une personne concernée relative à des Données personnelles du client, nous vous la transmettrons dans un délai de 48 heures et n'y répondrons pas sans votre autorisation, si ce n'est pour indiquer que nous l'avons transmise.
2. Le panneau vous permet d'exporter, de corriger et de supprimer des contacts, des conversations et des messages. Lorsque ces outils ne suffisent pas, nous vous apporterons une aide raisonnable.
3. Notre aide tient compte de vos délais légaux, y compris le délai de six jours ouvrables en Égypte.

Nous vous fournirons les informations dont vous avez raisonnablement besoin pour réaliser une analyse d'impact relative à la protection des données, une évaluation des risques liés aux transferts ou une consultation préalable d'une autorité. Lorsque la loi vous oblige à nous communiquer l'analyse d'impact pertinente, nous la recevrons.

1. Pendant votre abonnement, vous pouvez à tout moment exporter vos données, supprimer une conversation (ce qui efface ses messages et ses médias) ou supprimer l'intégralité de votre espace de travail depuis le panneau. Indiquer un motif est facultatif.
2. À la fin du service, vos données restent disponibles à l'export pendant 30 jours. Lorsqu'un espace de travail est supprimé, nous supprimons les Données personnelles du client de nos systèmes actifs dans un délai de 30 jours, y compris les médias, la copie archivée, les fichiers et les réponses stockés chez notre fournisseur d'IA, ainsi que les messages détenus par notre service de connexion par code QR. Les copies figurant dans les sauvegardes expirent dans un délai supplémentaire de 30 jours.
3. Nous ne conservons que ce que la loi nous oblige à conserver, et continuons à le protéger conformément au présent DPA jusqu'à sa suppression.
4. Sur demande, nous confirmerons la suppression par écrit.

1. Nous mettrons à disposition les informations nécessaires pour démontrer notre conformité au présent DPA et répondrons aux questionnaires de sécurité raisonnables.
2. Si ces informations ne suffisent pas, vous ou un auditeur indépendant tenu à la confidentialité pouvez nous auditer une fois tous les 12 mois, moyennant un préavis de 30 jours, pendant les heures ouvrables et sans mettre en danger les données des autres clients. Cette limite ne s'applique pas après une Violation de données personnelles ni lorsqu'une autorité exige l'audit.
3. Chaque partie supporte ses propres frais, sauf si l'audit révèle un manquement substantiel de notre part.
4. Nous coopérerons avec les autorités de contrôle compétentes, y compris l'Autorité saoudienne des données et de l'intelligence artificielle (SDAIA), à leur demande.

1. Lieu de traitement des données. Les Données personnelles du client sont hébergées sur Google Cloud aux États-Unis (région us-east1), consultées à distance par notre personnel, qui travaille principalement en Égypte par l'intermédiaire de notre société affiliée, et traitées par des sous-traitants ultérieurs dans les lieux indiqués sur leur page. Tous nos serveurs et sauvegardes se trouvent aux États-Unis ; nous ne proposons d'hébergement dans aucune autre région.
2. Mécanismes de transfert. Les clauses de l'Annexe IV (UE et Royaume-Uni), de l'Annexe V (Brésil) et de l'Annexe VI (Arabie saoudite) font partie du présent DPA pour chaque client et régissent chaque transfert auquel s'applique la loi correspondante.
3. Lois étrangères auxquelles nous sommes soumis. Nous sommes une société britannique soumise au droit britannique. Les données sont hébergées chez un fournisseur américain, et les autorités américaines peuvent exiger des fournisseurs américains qu'ils divulguent des données en vertu du droit américain, notamment du CLOUD Act et de la Section 702 du Foreign Intelligence Surveillance Act. Notre société affiliée en Égypte est soumise au droit égyptien. Nous n'avons connaissance d'aucune de ces lois qui nous empêcherait de respecter le présent DPA, et vous informerons rapidement si cela change.
4. Demandes des autorités publiques. Si nous recevons d'une autorité publique une demande contraignante de divulgation de Données personnelles du client, nous vous en informerons, sauf si la loi l'interdit, demanderons à l'autorité de s'adresser à vous, contesterons les demandes illicites ou excessives et ne divulguerons que le minimum requis.

1. Lorsque vous activez les réponses IA, les agents IA, la transcription des notes vocales ou les outils d'IA, nous envoyons les données nécessaires à la fonctionnalité à l'un de nos fournisseurs de services d'IA, qui sont des sous-traitants ultérieurs situés aux États-Unis : messages, historique des conversations, notes vocales, fichiers de connaissances et catalogue de produits, ainsi que le nom et le numéro du contact lorsque la fonctionnalité les utilise.
2. Nos fournisseurs de services d'IA sont OpenAI, le fournisseur par défaut, qui assure toujours la transcription des notes vocales ainsi que le stockage et la recherche des fichiers de connaissances ; et Anthropic (Claude) et Google (Gemini API), vers lesquels nous pouvons acheminer des tâches d'IA à la place d'OpenAI ou en secours, ou envoyer un échantillon limité de requêtes afin de comparer la qualité des réponses. Les réponses de comparaison ne sont jamais envoyées à vos clients. La liste et les mécanismes de transfert figurent sur notre page des sous-traitants ultérieurs.
3. Conformément à leurs conditions commerciales, aucun de ces fournisseurs n'utilise les données envoyées via son API pour entraîner ses modèles (voir les conditions commerciales d'OpenAI, les Commercial Terms d'Anthropic et les Gemini API Additional Terms), et nous n'avons consenti à aucune utilisation à des fins d'entraînement. Chaque fournisseur conserve une copie temporaire à des fins de surveillance des abus conformément à ses conditions, et OpenAI conserve les réponses qu'il génère conformément à sa politique relative aux données de l'API.
4. Nous n'utilisons pas les Données personnelles du client pour entraîner un quelconque modèle. Ce que la fonctionnalité « apprendre de l'historique » apprend reste au sein de votre espace de travail.
5. Ces fonctionnalités sont facultatives et vous pouvez les désactiver à tout moment. Lorsque vous supprimez votre espace de travail, nous supprimons les fichiers stockés pour celui-ci chez OpenAI.
6. Il vous incombe d'informer vos clients que les réponses peuvent être générées par l'IA lorsque la loi l'exige.

1. Notre personnel de support n'accède à votre espace de travail que pour vous fournir une assistance.
2. Chaque accès est consigné dans le journal de sécurité de votre espace de travail, que vous pouvez consulter.
3. Si vous activez l'authentification à deux facteurs pour votre espace de travail, notre personnel ne peut y accéder qu'avec votre approbation explicite.

La responsabilité de chaque partie au titre du présent DPA est soumise aux limitations prévues par les Conditions générales, à l'exception de la responsabilité qui ne peut être limitée par la loi, et sans préjudice des droits des personnes concernées au titre des clauses de transfert des Annexes IV à VI, qu'aucune disposition du présent DPA ou des Conditions générales ne limite.

1. Le présent DPA s'applique aussi longtemps que nous traitons des Données personnelles du client.
2. Nous pouvons mettre à jour le présent DPA pour tenir compte de l'évolution de la loi ou du service. Nous donnerons un préavis de 30 jours pour toute modification substantielle, et aucune modification ne réduira le niveau de protection pendant la durée de votre abonnement payant.
3. Le présent DPA est régi par le droit de l'Angleterre et du pays de Galles, dont les tribunaux sont compétents, à l'exception de chaque jeu de clauses de transfert des Annexes IV à VI, qui est régi par la loi et les tribunaux qu'il désigne.

Au titre de la loi sur la protection des données personnelles et de son règlement d'application (article 17) :

• La finalité, les catégories de données et la durée du traitement figurent à l'Annexe I.
• Nous vous notifions toute violation dans les meilleurs délais et dans les 24 heures (section 7).
• Les lois étrangères auxquelles nous sommes soumis, et leur incidence, sont décrites à la section 12.
• Si la loi saoudienne nous oblige à procéder à une divulgation, nous vous en informerons.
• Les sous-traitants ultérieurs et autres destinataires sont identifiés à l'Annexe III, et nous vous informons avant tout changement, avec un droit d'opposition (section 6).
• Nous transmettons les demandes des personnes concernées dans un délai de 48 heures (section 8) et acceptons les évaluations et audits (section 11).
• Clauses de transfert : Annexe VI.

Au titre de la LGPD, nous agissons en tant qu'« operador » :

• Nous traitons les données sur vos instructions (article 39) et tenons un registre des opérations de traitement (article 37).
• Nous appliquons les mesures de sécurité décrites à l'Annexe II, et notre obligation de sécurité perdure après la fin du traitement (articles 46 et 47).
• Nous vous notifions toute violation dans les 24 heures afin que vous puissiez la notifier à l'ANPD et aux personnes concernées dans un délai de trois jours ouvrables (article 48).
• Nous supprimons les données à la fin du traitement, conformément à la section 10 (article 16).
• Aucune disposition du présent DPA ne limite notre responsabilité envers les personnes concernées lorsque la LGPD l'impose.
• Clauses de transfert : Annexe V. Sur demande, nous fournissons un résumé en portugais du transfert international que vous pouvez publier à l'intention de vos clients.

Au titre de la loi n° 151 de 2020 et de son règlement d'application :

• Notre société affiliée en Égypte est Bot for Digital Solutions LLC («بوت للحلول الرقمية» ش.ذ.م.م), immatriculée au registre du commerce sous le n° 223572 (bureau du registre de Cairo Investment), Tower 22, 3e étage, Masaken Sidi Abdel Rahim, Seger, Tanta 1st, Gharbia, Égypte.
• Nous obtenons toute licence ou autorisation exigée par la loi pour nos traitements et nos transferts transfrontaliers avant de nous en prévaloir, et nous désignons un délégué à la protection des données enregistré auprès du Personal Data Protection Center.
• Outre la notification qui vous est adressée sous 24 heures, nous notifions une violation au Personal Data Protection Center sous 72 heures lorsque la loi nous y oblige en tant que sous-traitant, en coordination avec vous.
• Nous collaborons avec vous pour répondre aux demandes des personnes concernées dans un délai de six jours ouvrables.
• Il vous appartient d'obtenir le consentement des personnes concernées lorsque la loi l'exige, y compris pour les transferts hors d'Égypte.

Le présent DPA contient les clauses exigées par l'article 28(3) du RGPD de l'UE et du RGPD du Royaume-Uni : instructions (section 3), confidentialité (section 4), sécurité (section 5 et Annexe II), sous-traitants ultérieurs (section 6), assistance pour les demandes des personnes concernées (section 8) ainsi qu'en matière de sécurité, de violations et d'analyses d'impact (sections 5, 7 et 9), suppression et restitution (section 10), et information et audits (section 11).

Le Royaume-Uni, où nous sommes établis, bénéficie d'une décision d'adéquation de la Commission européenne. L'Annexe IV (les Clauses contractuelles types de l'UE et l'Addendum britannique) est néanmoins intégrée pour chaque client et régit tout transfert de Données personnelles du Client que le RGPD de l'UE ou le RGPD du Royaume-Uni n'autorise pas par ailleurs, y compris nos transferts ultérieurs vers les États-Unis.

Les mesures suivantes sont en place à ce jour :

• Chiffrement en transit : TLS 1.3 en périphérie Cloudflare avec HSTS, et certificats TLS sur le serveur d'origine.
• Chiffrement au repos : chiffrement par défaut de Google Cloud avec des clés gérées par Google pour les disques et les buckets de stockage, complété par un chiffrement au niveau applicatif des jetons d'accès aux canaux, des secrets d'intégration et de webhook, des secrets d'authentification à deux facteurs, des réponses aux enquêtes et des registres de consentement.
• Mots de passe et jetons : mots de passe hachés avec bcrypt ; jetons API stockés sous forme de hachages.
• Isolation : une base de données distincte pour chaque espace de travail.
• Réseau : bases de données et caches inaccessibles depuis Internet ; protection DDoS et pare-feu applicatif web de Cloudflare ; protection anti-bots Turnstile sur les formulaires publics.
• Durcissement des serveurs : isolation des comptes CageFS, pare-feu et analyse antimalware Imunify360, et application à chaud des correctifs de sécurité du noyau (KernelCare).
• Contrôle d'accès : rôles et permissions par utilisateur, mécanisme de connexion distinct pour les outils d'administration internes, authentification à deux facteurs disponible pour chaque espace de travail, et restrictions d'adresses IP à la connexion.
• Journalisation : un journal de sécurité pour chaque espace de travail couvrant les connexions et tentatives échouées, les modifications de l'authentification à deux facteurs et des rôles, les accès du support et la rotation des clés API.
• Intégrations : vérification de signature des données entrantes de Meta, Salla et Zid, et secret de signature distinct pour chaque nouveau webhook sortant.
• Stockage privé : documents, pièces jointes d'e-mails, enregistrements d'appels, sauvegardes et espaces de travail archivés sont conservés dans des buckets de stockage privés dont l'accès public est bloqué.
• Médias des conversations : conservés dans un stockage qui ne peut être ni parcouru ni listé, et servis via des liens longs et aléatoires difficiles à deviner (à l'exception des photos de profil des contacts) ; le passage à des liens signés à durée limitée est en cours.
• Sauvegardes : sauvegardes nocturnes des bases de données des espaces de travail payants, en essai et offerts, rotation sur 10 jours pour les autres espaces de travail, et sauvegarde quotidienne de la base centrale des comptes ; conservées 30 jours dans un stockage privé aux États-Unis (us-east1).
• Suppression : chaque client peut supprimer l'intégralité de son espace de travail depuis le panneau, y compris ses médias, sa copie archivée et ses fichiers IA chez OpenAI ; la suppression d'une conversation efface ses messages et ses médias.
• Minimisation des données : données entrantes des plateformes supprimées au bout de 14 jours, journaux serveur au bout de 14 jours, et enregistrements d'appels au bout de 90 jours par défaut.
• Surveillance : surveillance externe de la disponibilité, et surveillance interne de la mémoire, des bases de données, des sessions et des files d'attente avec alertes en temps réel, dans lesquelles les numéros de téléphone et adresses e-mail sont masqués.

La liste à jour des sous-traitants ultérieurs, avec les données qu'ils traitent, leur localisation et les garanties encadrant les transferts, est publiée sur notre page des sous-traitants ultérieurs et fait partie intégrante du présent DPA.

Les Clauses contractuelles types adoptées par la décision d'exécution (UE) 2021/914 de la Commission sont intégrées par référence :

• Module Deux (responsable du traitement à sous-traitant) lorsque vous êtes responsable du traitement, et Module Trois (sous-traitant à sous-traitant) lorsque vous agissez en tant que sous-traitant pour le compte d'un tiers.
• Clause 7 (clause d'adhésion) : incluse.
• Clause 9(a) : Option 2 (autorisation écrite générale), avec un préavis de 30 jours.
• Clause 11(a) : la mention facultative ne s'applique pas.
• Clause 13 : l'autorité de contrôle compétente est déterminée conformément à la Clause 13(a) selon votre situation.
• Clause 17 : Option 1, droit irlandais applicable. Clause 18 : juridictions irlandaises.
• Annexe I.A : les parties visées à la section 1 (vous en tant qu'exportateur de données, nous en tant qu'importateur de données). Annexe I.B : Annexe I du présent DPA. Annexe I.C : telle que déterminée conformément à la Clause 13. Annexe II : Annexe II du présent DPA. Annexe III : Annexe III du présent DPA.

Pour les transferts régis par le droit britannique, l'International Data Transfer Addendum aux Clauses contractuelles types de l'UE de l'ICO est intégré par référence : Tableau 1, les parties ci-dessus ; Tableau 2, les clauses retenues ci-dessus ; Tableau 3, les Annexes I à III ; Tableau 4, chaque partie peut mettre fin à l'Addendum dans les conditions prévues à sa Section 19.

Pour les transferts internationaux de données régis par la LGPD, en acceptant les Conditions générales, les parties adoptent les clauses contractuelles types figurant à l'Annexe II de la Résolution CD/ANPD n° 19/2024 dans leur intégralité et sans aucune modification. Le texte officiel en portugais fait foi.

• Section I : vous êtes l'exportateur (responsable du traitement) et nous sommes l'importateur (opérateur) ; le transfert est décrit à l'Annexe I.
• Section III (mesures de sécurité) : Annexe II.
• Section IV : aucune clause supplémentaire.

Aucune autre disposition du présent DPA ou des Conditions générales ne peut exclure, modifier ou contredire ces clauses.

Pour les transferts de données personnelles hors du Royaume, en acceptant les Conditions générales, les parties adoptent les Clauses contractuelles types pour le transfert de données personnelles publiées par la Saudi Data and AI Authority (SDAIA), Modèle 2 (responsable du traitement à sous-traitant), sans modification.

• Parties : vous êtes l'exportateur et nous sommes l'importateur.
• Appendices 1 à 3 du modèle : la section 1, l'Annexe I et l'Annexe II du présent DPA.
• Ces clauses sont régies par le droit du Royaume d'Arabie saoudite, dont les juridictions sont compétentes, conformément aux clauses.
• Nous vous notifions toute violation sous 24 heures, vous transmettons les demandes des personnes concernées sous 48 heures et coopérons avec la SDAIA lors de tout audit.
• Nous vous indiquons quels sous-traitants ultérieurs situés hors du Royaume ont adhéré à ces clauses, et lesquels n'y ont pas adhéré, avant de recourir à eux pour vos données.