Accord de traitement des données IA
Modèle
Un accord de traitement des données IA fixe les conditions dans lesquelles un fournisseur traite des données personnelles pour votre compte. Ce modèle Word modifiable couvre les usages autorisés, les restrictions d’entraînement, les sous-traitants, la sécurité, les transferts et la suppression.
Que vérifier dans un accord avec un fournisseur IA ?
Commencez par le rôle du fournisseur et les flux de données réels. Vérifiez ensuite les prompts, les sorties, l’entraînement, la conservation et les sous-traitants. Adaptez les clauses au service et au droit applicable.
Le modèle de DPA
Développez chaque section pour consulter les clauses du modèle. Faites examiner et personnaliser le document par votre conseil juridique avant sa signature. Remarque : il s'agit d'un modèle, et non d'un conseil juridique.
1Section 1, Portée et objet
Le présent accord de traitement des données (« Accord ») fait partie de l'accord-cadre de services conclu entre [Nom du responsable du traitement] (« Responsable du traitement ») et [Nom du sous-traitant/fournisseur] (« Sous-traitant »).
Le Sous-traitant traitera des données personnelles pour le compte du Responsable du traitement aux fins de fournir [décrire le service d'IA, p. ex. analyse de documents par IA, assistance à la rédaction par IA, génération de code par IA] tel que défini dans l'accord-cadre de services.
Les activités de traitement peuvent inclure la collecte, le stockage, l'analyse, la structuration, la récupération, l'utilisation, la divulgation et la suppression de données personnelles nécessaires à la fourniture des services contractés. Le traitement s'effectuera exclusivement sous forme automatisée, sauf accord écrit contraire.
[p. ex. salariés et prestataires du Responsable du traitement ; clients et prospects du Responsable du traitement ; utilisateurs finaux des produits du Responsable du traitement, à personnaliser selon le cas]
[p. ex. noms, adresses e-mail, intitulés de poste, communications professionnelles, contenu de documents, données d'usage, à personnaliser selon les flux de données réels. Précisez séparément si des données de catégorie particulière au titre de l'article 9 du RGPD sont traitées]
Le traitement se poursuivra pendant la durée de l'accord-cadre de services et jusqu'à ce que toutes les données personnelles soient restituées ou supprimées conformément à la Section 6 du présent Accord.
Important : clause spécifique à l'IA, le Sous-traitant n'utilisera pas les données personnelles, les prompts ou les sorties du Responsable du traitement pour entraîner, affiner ou améliorer ses modèles d'IA ou des modèles d'IA tiers. Le traitement se limitera exclusivement à la fourniture des services contractés.
2Section 2, Obligations du responsable du traitement et du sous-traitant
Obligations du sous-traitant
- Ne traiter les données personnelles que sur instructions documentées du Responsable du traitement, y compris en ce qui concerne les transferts vers des pays tiers
- Veiller à ce que les personnes autorisées à traiter les données personnelles se soient engagées à la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité
- Mettre en œuvre et maintenir les mesures de sécurité techniques et organisationnelles décrites à la Section 4
- Informer immédiatement le Responsable du traitement si, de l'avis du Sous-traitant, une instruction enfreint la législation applicable en matière de protection des données
- Ne recourir à aucun sous-traitant ultérieur sans autorisation écrite préalable, spécifique ou générale, du Responsable du traitement, comme précisé à la Section 3
- Aider le Responsable du traitement à répondre aux demandes d'exercice des droits des personnes concernées (accès, effacement, portabilité, limitation) dans les 5 jours ouvrés suivant la réception d'une demande
- Aider le Responsable du traitement à garantir le respect des obligations relatives à la sécurité, à la notification des violations, aux AIPD et à la consultation préalable des autorités de contrôle
- Supprimer ou restituer toutes les données personnelles au Responsable du traitement à la fin de la relation de service, conformément à la Section 6
- Mettre à disposition toutes les informations nécessaires pour démontrer le respect du présent Accord et permettre les audits du Responsable du traitement ou d'un auditeur mandaté, et y contribuer
Obligations du responsable du traitement
- Garantir l'existence d'une base légale valable pour toutes les données personnelles fournies au Sous-traitant
- Veiller à ce que les personnes concernées aient été informées du traitement via l'avis de confidentialité du Responsable du traitement avant la soumission des données au Sous-traitant
- Fournir des instructions conformes à la législation applicable en matière de protection des données
- Réaliser une analyse d'impact relative à la protection des données (AIPD) lorsque cela est requis avant de déployer le service d'IA
3Section 3, Gestion des sous-traitants ultérieurs
Les fournisseurs d'IA recourent généralement à plusieurs sous-traitants ultérieurs pour l'hébergement de modèles, le calcul, le stockage et l'infrastructure. La présente section régit ces relations.
Consentement général et notification
Le Responsable du traitement accorde une autorisation écrite générale au Sous-traitant pour recourir aux sous-traitants ultérieurs énumérés à l'Annexe B (Liste des sous-traitants ultérieurs). Le Sous-traitant doit notifier le Responsable du traitement par écrit au moins [30] jours avant l'ajout ou le remplacement d'un sous-traitant ultérieur. Le Responsable du traitement a le droit de s'opposer à de nouveaux sous-traitants ultérieurs dans les [14] jours suivant la notification. Si le Responsable du traitement s'oppose et que les parties ne peuvent résoudre l'objection, le Responsable du traitement peut résilier les services concernés sans pénalité.
Exigences relatives à la liste des sous-traitants ultérieurs (l'Annexe B doit inclure)
- Nom et adresse enregistrée du sous-traitant ultérieur
- Pays de traitement (y compris l'emplacement de l'infrastructure des centres de données)
- Services fournis par le sous-traitant ultérieur
- Catégories de données personnelles traitées
- Mécanisme de transfert appliqué (décision d'adéquation de l'UE, SCC, BCR ou autre)
Obligations de répercussion
Le Sous-traitant imposera à tous les sous-traitants ultérieurs, par voie contractuelle, les mêmes obligations de protection des données que celles énoncées dans le présent Accord. Le Sous-traitant demeure pleinement responsable envers le Responsable du traitement de l'exécution des obligations des sous-traitants ultérieurs. Le Sous-traitant fournira la preuve des contrats des sous-traitants ultérieurs sur demande.
4Section 4, Mesures de sécurité des données
Le Sous-traitant mettra en œuvre et maintiendra, au minimum, les mesures techniques et organisationnelles suivantes. La preuve de conformité doit être fournie sur demande ou par audit.
- Toutes les données personnelles chiffrées au repos avec AES-256 ou équivalent
- Toutes les données en transit chiffrées avec TLS 1.2 ou supérieur
- Clés de chiffrement gérées au moyen d'un HSM ou d'un système de gestion de clés équivalent
- Données client stockées dans des environnements logiquement isolés
- Contrôle d'accès basé sur les rôles (RBAC) selon le principe du moindre privilège
- Authentification multifacteur (MFA) requise pour tous les accès privilégiés
- Journaux d'accès conservés et examinés ; accès privilégiés revus trimestriellement
- Vérifications des antécédents pour le personnel ayant accès aux données personnelles
- Test d'intrusion annuel par une société de sécurité tierce indépendante
- Analyse des vulnérabilités exécutée au moins une fois par mois
- Vulnérabilités critiques corrigées sous 72 heures ; élevées sous 14 jours
- Programme de bug bounty ou processus équivalent de divulgation responsable
- Certification ISO 27001 (ou équivalente), certificat fourni sur demande
- Rapport d'audit SOC 2 Type II, fourni sur demande sous NDA
- Évaluation de sécurité annuelle par un tiers
- Droit d'audit par le Responsable du traitement ou un tiers mandaté avec un préavis de 30 jours
- Données soumises par le Responsable du traitement isolées des données des autres clients
- Journaux de prompts et de sorties conservés pendant [X jours] puis supprimés
- Entraînement des modèles cloisonné des données client, confirmé par une attestation technique
- Processus de versionnage et de gestion du changement des modèles d'IA documenté
- Objectif de temps de reprise (RTO) : [X heures], à confirmer avec le fournisseur
- Objectif de point de reprise (RPO) : [X heures], à confirmer avec le fournisseur
- Plan de continuité d'activité testé annuellement
- SLA de disponibilité : [X] %, tel que précisé dans l'accord-cadre
5Section 5, Transferts transfrontaliers de données
La présente section s'applique lorsque des données personnelles originaires de l'Espace économique européen (EEE) ou du Royaume-Uni sont transférées vers un pays non couvert par une décision d'adéquation de l'UE ou du Royaume-Uni, ou accessibles depuis un tel pays.
Lorsque des données personnelles sont transférées de l'EEE vers un pays tiers, le Sous-traitant exécutera les clauses contractuelles types de l'UE (décision d'exécution 2021/914 de la Commission) selon le cas. Le module pertinent (responsable du traitement vers sous-traitant) sera incorporé par référence au présent Accord. Le Sous-traitant maintiendra des SCC exécutées avec tous les sous-traitants ultérieurs traitant des données personnelles de l'EEE.
Lorsque des données personnelles sont transférées depuis le Royaume-Uni, le Sous-traitant exécutera l'IDTA britannique ou l'addendum britannique aux SCC de l'UE, selon le cas. Le Sous-traitant fournira la preuve des mécanismes de transfert britanniques exécutés sur demande.
Le Sous-traitant coopérera avec le Responsable du traitement pour réaliser toute analyse d'impact des transferts requise par la législation applicable en matière de protection des données. Le Sous-traitant fournira des informations sur le cadre juridique du pays de destination et sur tout droit d'accès des autorités publiques susceptible d'affecter la protection des données personnelles transférées au titre du présent Accord.
Lorsque des données personnelles sont transférées vers un pays couvert par une décision d'adéquation de l'UE ou du Royaume-Uni (p. ex. transferts vers les États-Unis couverts par le cadre de protection des données UE-États-Unis), le Sous-traitant certifiera ou maintiendra sa certification au titre du cadre applicable et notifiera immédiatement le Responsable du traitement en cas de perte ou de suspension de cette certification.
6Section 6, Notification des violations et résiliation
Notification des violations
Le Sous-traitant notifiera le Responsable du traitement sans retard injustifié et dans les 24 heures après avoir pris connaissance d'une violation de données personnelles affectant les données du Responsable du traitement. Ce délai est requis pour permettre au Responsable du traitement de respecter son obligation, au titre de l'article 33 du RGPD, de notifier les autorités de contrôle dans les 72 heures.
La notification de violation doit inclure, lorsque disponible :
- Description de la nature de la violation de données personnelles, y compris les catégories et le nombre approximatif de personnes concernées et d'enregistrements affectés
- Nom et coordonnées du délégué à la protection des données ou d'un autre point de contact
- Conséquences probables de la violation
- Mesures prises ou proposées pour remédier à la violation, y compris les mesures visant à atténuer ses éventuels effets négatifs
- Chronologie indiquant quand la violation a été détectée pour la première fois et par qui
Contact pour la notification des violations : [e-mail du contact Sécurité/DPO du Responsable du traitement]
Restitution et suppression des données à la résiliation
- À l'expiration ou à la résiliation de l'accord-cadre de services, le Sous-traitant cessera immédiatement de traiter les données personnelles du Responsable du traitement
- Le Sous-traitant, au choix du Responsable du traitement, restituera toutes les données personnelles au Responsable du traitement dans un format lisible par machine couramment utilisé sous [30] jours, ou supprimera de manière sécurisée toutes les données personnelles sous [30] jours
- Le Sous-traitant fournira une confirmation écrite de la suppression, indiquant la méthode de suppression utilisée et la date de suppression
- Le Sous-traitant ne peut conserver des données personnelles que dans la mesure requise par la législation applicable, et uniquement pour la durée imposée par cette législation
- Les sous-traitants ultérieurs seront soumis aux mêmes obligations de restitution/suppression et le Sous-traitant confirmera la suppression par les sous-traitants ultérieurs dans les [45] jours suivant la résiliation
Droits d'audit
Le Responsable du traitement ou son auditeur mandaté peut auditer le respect du présent Accord par le Sous-traitant moyennant un préavis écrit de [30] jours, au maximum une fois par année civile (sauf en cas de violation). Le Sous-traitant coopérera pleinement à tous les audits et fournira l'accès aux systèmes, processus et personnels pertinents. Le Sous-traitant peut satisfaire aux droits d'audit en fournissant un certificat ISO 27001 en cours de validité ou un rapport SOC 2 Type II sous NDA, le cas échéant.
Comment négocier un DPA avec un fournisseur d'IA
Suivez ces étapes pour examiner, négocier et exécuter un DPA avec vos fournisseurs d'IA. Impliquez votre conseil juridique et votre DPO tout au long du processus.
FAQ
Questions fréquentes
Ai-je besoin d'un DPA avec chaque fournisseur d'IA ?
Les fournisseurs d'IA peuvent-ils utiliser mes données pour entraîner leurs modèles ?
Que dois-je vérifier dans la liste des sous-traitants ultérieurs d'un fournisseur d'IA ?
Qu'est-ce que l'exigence de notification des violations sous 72 heures ?
Suivez le statut des DPA pour tous vos fournisseurs d'IA
Aona tient à jour un registre des fournisseurs en temps réel qui indique quels outils d'IA ont signé des DPA, lesquels sont en attente d'examen et lesquels sont signalés pour renouvellement. Obtenez une visibilité complète sur la posture de conformité de vos fournisseurs d'IA sans la maintenance d'un tableur.