Accord de sous-traitance des données personnelles

Le présent accord est conclu en application de l'article 28 du règlement (UE) 2016/679 (« RGPD ») entre le Client, responsable de traitement, et UNRUSH.IO, société par actions simplifiée, 47 rue Vivienne, 75002 Paris, RCS Paris 108 577 214 (« Unrush »), sous-traitant. Il fait partie intégrante des conditions générales et s'applique dès leur acceptation, sans signature séparée. Un exemplaire signé peut être fourni sur demande à contact@unrush.io.

1. Objet

Les rushes que le Client confie au Service contiennent des données personnelles de tiers : image, voix, propos, parfois nom et fonction des personnes filmées. Le Client détermine seul les finalités et les moyens de ce traitement ; Unrush traite ces données pour son compte, aux seules fins de fournir le Service.

Le présent accord ne couvre pas les données de compte et de facturation, qu'Unrush traite comme responsable de traitement selon sa politique de confidentialité.

2. Description du traitement

Le traitement est décrit en annexe 1. Sa durée est celle du contrat, augmentée du délai de suppression prévu à l'article 10.

3. Instructions du Client

Unrush ne traite les données que sur instruction documentée du Client. Constituent des instructions : les conditions générales, le présent accord, et les actions que le Client et ses Utilisateurs réalisent dans le Service (import, lancement d'une analyse, partage, suppression). Si Unrush estime qu'une instruction enfreint la réglementation, elle en informe le Client sans délai.

Si Unrush est tenue par le droit de l'Union ou d'un État membre de procéder à un traitement, elle en informe le Client au préalable, sauf interdiction légale.

4. Obligations du Client

Le Client garantit que le traitement repose sur une base légale, que les personnes concernées ont été informées, et qu'il détient les autorisations nécessaires, notamment au titre du droit à l'image et à la voix.

Le Service n'est pas conçu pour des contenus dont la finalité est de traiter des données sensibles au sens de l'article 9 du RGPD, des données relatives à des condamnations pénales, ou des données de mineurs à grande échelle. Le Client qui envisage un tel usage en informe Unrush au préalable afin d'évaluer les garanties nécessaires ; à défaut, il en assume seul les conséquences.

5. Confidentialité

Unrush veille à ce que les personnes autorisées à accéder aux données soient soumises à une obligation de confidentialité et n'y accèdent que dans la mesure nécessaire : assistance demandée par le Client, résolution d'incident, sécurité.

6. Sécurité

Unrush met en œuvre les mesures techniques et organisationnelles décrites en annexe 2 et les fait évoluer sans en réduire le niveau global.

7. Sous-traitants ultérieurs

Le Client donne à Unrush une autorisation générale de recourir à des sous-traitants ultérieurs. Les catégories en vigueur figurent en annexe 3 ; l'identité de chacun est communiquée au Client sur simple demande. Unrush impose à chacun, par contrat, des obligations de protection des données équivalentes à celles du présent accord, et demeure responsable de leur exécution à l'égard du Client.

Unrush informe le Client de tout ajout ou remplacement au moins trente jours à l'avance, par courriel ou dans l'application. Le Client peut s'y opposer pendant ce délai pour un motif légitime lié à la protection des données. Si les parties ne trouvent pas de solution, le Client peut résilier le Service concerné sans pénalité, avec remboursement au prorata des sommes payées d'avance.

Les sous-traitants ultérieurs n'utilisent pas les données du Client pour entraîner des modèles d'intelligence artificielle.

8. Transferts hors de l'Union européenne

Les fichiers vidéo sont stockés dans l'Union européenne. La base de données de l'application est hébergée au Royaume-Uni, pays reconnu par la Commission européenne comme assurant un niveau de protection adéquat. Certains sous-traitants ultérieurs traitent des données aux États-Unis, comme indiqué en annexe 3, qui précise le lieu de traitement de chaque catégorie. Ces transferts sont encadrés par la décision d'adéquation relative au cadre de protection des données UE–États-Unis lorsque le destinataire y est certifié, et à défaut par les clauses contractuelles types adoptées par la Commission européenne (décision 2021/914), complétées si nécessaire par des mesures supplémentaires.

9. Assistance au Client

Droits des personnes. Unrush transmet sans délai au Client toute demande reçue directement d'une personne concernée et n'y répond pas elle-même. Le Client peut rechercher, exporter et supprimer ses contenus depuis le Service ; au-delà, Unrush l'assiste dans une mesure raisonnable.

Violation de données. Unrush notifie au Client toute violation de données personnelles affectant ses contenus dans les meilleurs délais, et au plus tard quarante-huit heures après en avoir pris connaissance, avec les informations disponibles : nature de la violation, catégories et volume approximatif de données, conséquences probables, mesures prises. Les informations manquantes sont communiquées au fur et à mesure.

Analyses d'impact. Unrush fournit au Client les informations utiles à la réalisation d'une analyse d'impact et, le cas échéant, à la consultation de l'autorité de contrôle.

10. Sort des données à la fin du contrat

À la fin du contrat, les données restent accessibles au Client pendant trente jours pour récupération, puis sont supprimées des systèmes actifs, y compris chez les sous-traitants ultérieurs. Les sauvegardes sont écrasées dans un délai supplémentaire de trente jours au plus. Le Client peut demander une suppression anticipée, et une attestation de suppression. Unrush ne conserve au-delà que ce que la loi lui impose.

11. Documentation et audit

Unrush tient un registre des traitements effectués pour le compte de ses clients et met à disposition du Client les informations nécessaires pour démontrer le respect du présent accord.

Le Client peut faire réaliser un audit, au plus une fois par an sauf violation avérée, moyennant un préavis de trente jours, pendant les heures ouvrées, par un auditeur tenu à la confidentialité et non concurrent d'Unrush. L'audit porte sur les seuls éléments relatifs au traitement des données du Client. Les frais de l'audit sont à la charge du Client ; au-delà d'une journée de mobilisation, le temps passé par Unrush est facturé au tarif en vigueur. Pour les sous-traitants ultérieurs, l'audit s'exerce par la communication de leurs certifications et rapports.

12. Responsabilité

La responsabilité de chaque partie au titre du présent accord est régie par les conditions générales, y compris leur plafond, sans préjudice des droits que les personnes concernées tiennent du RGPD.

Annexe 1 — Description du traitement

Annexe 2 — Mesures de sécurité

• Chiffrement : échanges chiffrés en transit (TLS) ; fichiers chiffrés au repos par le prestataire de stockage ; clés d'accès de tiers chiffrées en base (AES-256-GCM) ; mots de passe hachés (bcrypt).
• Cloisonnement : chaque contenu est rattaché à un compte et une organisation ; contrôle d'accès à chaque requête ; espaces de stockage privés, accessibles uniquement par liens signés à durée limitée ; possibilité d'un environnement d'analyse dédié par client.
• Accès internes : accès d'administration nominatifs et restreints ; consultation des contenus limitée à l'assistance et aux incidents.
• Minimisation chez les prestataires d'analyse : lecture des fichiers sur place lorsque c'est possible ; copies de travail supprimées automatiquement sous quarante-huit heures ; suppression propagée lorsque le Client supprime une vidéo ; service de transcription configuré sans aucune conservation des pistes audio ni des textes après traitement.
• Exploitation : hébergement chez des prestataires professionnels ; mises à jour de sécurité ; sauvegardes de la base de données ; journalisation technique.
• Développement : revue de code, tests automatisés, environnements de test séparés de la production.
• Incidents : procédure interne de qualification, de notification et de retour d'expérience.

Annexe 3 — Sous-traitants ultérieurs

L'identité de chaque sous-traitant ultérieur est communiquée au Client sur simple demande à contact@unrush.io, sans condition et sans frais. Elle n'est pas publiée afin de ne pas exposer l'architecture technique du Service ; cette réserve n'est opposable ni au Client, ni à une autorité de contrôle.