Addendum relatif au traitement des données

Date de la dernière mise à jour : 1^er mai 2026

Le présent Addendum relatif au traitement des données (ATD) est intégré et fait partie intégrante des Conditions générales d’utilisation commerciale ou de tout autre contrat conclu par les parties et régissant l’utilisation des Services par le Client (le « Contrat »). En cas de contradiction entre les dispositions du présent ATD et le Contrat, les dispositions du présent ATD prévaudront s’agissant de l’objet des présentes. Les termes commençant par une majuscule utilisés dans le présent ATD, mais n’étant pas définis, ont le sens qui leur est attribué dans le Contrat.

1. Définitions

« Législation applicable en matière de protection des données » désigne toutes législations applicables en matière de protection des données et de la vie privée, en ce compris : (a) le règlement général sur la protection des données de l'UE (règlement (UE) 2016/679) (le « RGPD ») ; (b) le RGPD britannique et le Data Protection Act de 2018 ; (c) la LFPD suisse ; et (d) la législation des États américains applicable en matière de vie privée, notamment le CCPA et toutes autres réglementations similaires, dans chaque cas tel que modifié à tout moment.

« Données personnelles du client » désigne toutes données personnelles contenues dans les Données du client envoyées par l’intermédiaire des Services, par ou pour le compte du Client ou d’une Société affiliée du client.

« Société affiliée du client » désigne toute entité (a) étant autorisée à utiliser les Services en vertu du Contrat conclu entre Plaud et le Client, et (b) contrôlant directement ou indirectement, étant contrôlée par ou étant sous contrôle commun avec le Client, étant précisé que « contrôle » désigne la détention de plus de 50 % des droits de vote de l’entité concernée.

« Demande de personne concernée » désigne une demande introduite par un particulier exerçant les droits dont il dispose en vertu de la Législation applicable en matière de protection des données s’agissant de Données personnelles du client (par exemple, accès, correction, suppression, portabilité ou restriction).

« CCT » désigne les Clauses contractuelles types annexées à la Décision d’exécution (UE) 2021/914 de la Commission du 4 juin 2021 relative aux clauses contractuelles types pour le transfert de données à caractère personnel vers des pays tiers en vertu du RGPD.

« Incident de sécurité » désigne une faille confirmée des mesures de sécurité de Plaud donnant lieu à la destruction, la perte, l’altération, la divulgation non autorisée ou l’accès non autorisé, accidentel ou illicite, aux Données personnelles du client.

« Sous-traitant de traitement » désigne tout tiers embauché par Plaud (ou des Sociétés affiliées de Plaud) aux fins de traiter des Données personnelles du client dans le cadre de la fourniture des Services.

« Addendum britannique » désigne l’Addendum relatif aux transferts internationaux de données (International Data Transfer Addendum) aux Clauses contractuelles types de la Commission européenne, publié par le Bureau du Commissaire à l’information britannique (UK Information Commissioner’s Office) en vertu de l’article 119A(1) du Data Protection Act de 2018.

Les termes « données à caractère personnel », « personne concernée », « traitement », « responsable du traitement » ont le sens qui leur est attribué dans la Législation applicable en matière de protection des données ou, en l’absence de telles définitions, dans le RGPD. Les termes « responsable du traitement » et « sous-traitant » incluent les « entreprises » et les « prestataires de services », tel que requis par la Législation applicable en matière de protection des données.

2. Rôles et champ d'application

2.1 Rôles. S’agissant des Données personnelles du client, le Client agit en qualité de responsable du traitement (ou entreprise) et Plaud agit en qualité de sous-traitant (ou prestataire de services) pour le compte du Client. Chaque partie respectera ses obligations respectives en vertu de la Législation applicable en matière de protection des données.

2.2 Finalité et instructions. Plaud traitera uniquement les Données personnelles du client : (a) pour fournir, maintenir et apporter une assistance aux Services ; (b) pour se conformer à la législation applicable ; (c) pour protéger la sécurité et l’intégrité des Services ; et (d) conformément aux autres instructions documentées du Client, tel que convenu par écrit d’un commun accord. Le Contrat et le présent ATD constituent les instructions documentées du Client à la Date d’entrée en vigueur. Plaud informera le Client dans les plus brefs délais dans l’hypothèse où une instruction de traitement serait, selon l’opinion raisonnable de Plaud, contraire à la Législation applicable en matière de protection des données.

2.3 Absence d’utilisation pour l’entraînement. Conformément à l’article 4.4 du Contrat, Plaud n’utilisera pas les Données personnelles du client pour entraîner ou améliorer les modèles d’IA généraux de Plaud ou ceux de ses Sous-traitants de traitement, sauf si le Client l’accepte expressément par écrit.

3. Obligations de Plaud

3.1 Confidentialité du traitement. Plaud s’assurera que tous les membres du personnel autorisé à traiter les Données personnelles du client soient soumis à des obligations de confidentialité adéquates et soient formés aux exigences de protection des données applicables à leurs fonctions.

3.2 Notification. Plaud notifiera le Client dans les plus brefs délais si Plaud détermine qu’il ne lui est plus possible de respecter ses obligations en vertu du présent ATD, et le Client pourra prendre des mesures raisonnables pour cesser ou remédier au traitement non autorisé.

3.3 Sous-traitants de traitement. Le Client octroie à Plaud une autorisation générale de recourir aux Sous-traitants de traitement énumérés à l’adresse https://www.plaud.ai/pages/trust/ (la « Liste des sous-traitants de traitement »), telle que mise à jour conformément au présent article. Plaud informera le Client moyennant un préavis écrit d’au moins trente (30) jours avant de recourir à un nouveau Sous-traitant de traitement qui traitera des Données personnelles du client. Le Client peut notifier son opposition dans un délai de quinze (15) jours sur le fondement de motifs de protection des données raisonnables. Si aucune alternative commercialement réalisable n’est disponible et si l’opposition n’est pas résolue, le Client peut résilier le Service affecté pour motif valable et recevoir un remboursement au prorata des Frais payés par anticipation et non utilisés. Ledit droit de résiliation constitue le seul recours du Client en cas d’opposition à un nouveau Sous-traitant de traitement.

Plaud imposera à chaque Sous-traitant de traitement des obligations de protection des données au moins aussi protectrices que celles prévues par le présent ATD et restera responsable du respect par chaque Sous-traitant de traitement de ces obligations, comme si Plaud fournissait les services directement.

3.4 Droits des personnes concernées. Plaud fournira une assistance technique et organisationnelle raisonnable aux fins d’aider le Client à répondre aux Demandes de personnes concernées et, si la Législation applicable en matière de protection des données l’impose, de réaliser des analyses d’impact sur la protection des données et des consultations auprès des autorités de contrôle.

3.5 Sécurité. Plaud mettra en œuvre et maintiendra les mesures de sécurité techniques et organisationnelles décrites en Annexe 2, conçues pour protéger les Données personnelles du client contre tout accès, destruction, perte, altération ou divulgation non autorisés. Plaud pourra modifier ces mesures, sous réserve que ces modifications ne réduisent pas de manière significative le niveau global de protection.

4. Obligations du Client

4.1 Fondement juridique et autorisations. Le Client déclare et garantit qu’il dispose de tous les droits, consentements, notifications et autorisations nécessaires en vertu de la Législation applicable en matière de protection des données pour soumettre des Données personnelles du client aux Services et autoriser Plaud à les traiter conformément aux dispositions du présent ATD. Sans préjudice de ce qui précède, il incombe exclusivement au Client d’obtenir toutes les autorisations d’enregistrement requises et d’envoyer les notifications nécessaires aux personnes dont la voix ou les données personnelles sont collectées par le biais des Services ou des appareils Plaud.

4.2 Configuration. Le Client est responsable de configurer les Services d’une manière conforme à ses obligations légales. Le Client s’abstiendra de transmettre des Données personnelles du client par le biais de canaux non sécurisés ou dans les tickets d’assistance technique.

4.3 Coopération. Le Client coopérera raisonnablement avec Plaud pour aider Plaud à respecter ses obligations en vertu de la Législation applicable en matière de protection des données s’agissant des Données personnelles du client.

5. Incidents de sécurité

5.1 Notification. Plaud informera le Client par écrit dans les plus brefs délais et, en toutes hypothèses, dans un délai de soixante-douze (72) heures, après avoir eu connaissance d’un Incident de sécurité. Cette notification ne constitue pas une reconnaissance d’une quelconque faute ou responsabilité.

5.2 Contenu. Dans la mesure du possible, la notification précisera : (a) la nature de l’Incident de sécurité et, si possible, les catégories et le nombre approximatif de personnes concernées et de fichiers affectés ; (b) les conséquences probables ; et (c) les mesures prises ou envisagées pour remédier à l’incident. Plaud fournira toutes informations complémentaires à mesure qu’elles deviennent disponibles.

5.3 Coopération. Plaud coopérera avec l’enquête mise en œuvre par le Client et prendra les mesures raisonnables ordonnées par ce dernier pour atténuer l’Incident de sécurité et faciliter la mise en conformité du Client avec la Législation applicable en matière de protection des données.

6. Audits et conformité

6.1 Certifications. Au moins une fois par an, Plaud fait l’objet d’un audit par un organisme tiers indépendant pour déterminer sa conformité avec les normes de sécurité reconnues (par exemple, SOC 2 Type II). Sur demande écrite du Client (une fois par période de 12 mois maximum, sauf si la Législation applicable en matière de protection des données l’impose ou en cas d’Incident de sécurité), Plaud fournira son rapport d’audit ou sa certification le plus récent. Les certifications actuellement détenues sont consultables à l’adresse https://www.plaud.ai/pages/trust/.

6.2 Audits du Client. Le Client peut, sur demande écrite et moyennant un préavis raisonnable (d’au moins trente (30) jours), réaliser ou commander un audit du respect par Plaud du présent ATD, sous réserve : (a) d’un accord mutuel quant au périmètre, au calendrier et aux contrôles de confidentialité applicables ; (b) que l’audit soit réalisé pendant les heures ouvrées avec un impact minimal sur l’activité ; et (c) que tous les coûts associés soient pris en charge par le Client. Les conclusions de l’audit constituent des Informations confidentielles relatives aux deux parties et ne peuvent être utilisées que pour confirmer le respect du présent ATD.

7. Retour et suppression des données

7.1 Retour et suppression. À la suite de la résiliation ou de l’expiration du Contrat, Plaud procédera, sur instruction du Client, à la restitution ou à la suppression de toutes les Données personnelles du client, ainsi que des copies existantes.

7.2 Exceptions. Plaud peut uniquement conserver les Données personnelles du client au-delà du délai prévu par l’article 7.1 dans la mesure requise par la Législation applicable en matière de protection des données ou par toutes autres obligations légales, aux fins de résoudre tout litige entre les parties ou de prévenir toute utilisation abusive ou frauduleuse des Services. Les données conservées restent soumises au présent ATD.

8. Transferts de données internationaux

8.1 Généralités. Le Client reconnaît que Plaud et ses Sous-traitants de traitement peuvent traiter des Données personnelles du client aux États-Unis et dans tous autres pays dans lesquels Plaud ou ses Sous-traitants de traitement exercent leurs activités. Plaud fera en sorte que lesdits transferts respectent la Législation applicable en matière de protection des données, notamment en mettant en œuvre des mécanismes de transfert appropriés.

8.2 Transferts depuis l'UE/EEE. Dans la mesure où les transferts de Données personnelles du client de l’EEE vers Plaud nécessitent un mécanisme de transfert en vertu du RGPD, le module 2 (Responsable du traitement vers Sous-traitant) des CCT est intégré par référence au présent ATD et réputé signé par les parties, le Client étant l’exportateur de données et Plaud l’importateur de données. Les CCT sont complétées tel que précisé en Annexe 3(A).

8.3 Transferts vers et depuis le Royaume-Uni. Dans la mesure où les transferts sont soumis à la législation britannique sur la protection des données, l’Addendum britannique figurant à l’Annexe 3(B) est intégré par référence et réputé signé par les parties.

8.4 Transferts vers et depuis la Suisse. Dans la mesure où les transferts sont soumis à la Loi fédérale suisse sur la protection des données (LFPD), l’Avenant suisse figurant à l’Annexe 3(C) est intégré par référence et réputé signé par les parties.

8.5 Priorité. En cas de contradiction entre les mécanismes de transfert applicables (CCT, Addendum britannique ou Addendum suisse), le présent ATD et le Contrat, le mécanisme de transfert applicable prévaut, suivi du présent ATD.

9. Législation des États américains sur la protection de la vie privée

Dans la mesure où la législation des États américains sur la protection de la vie privée (y compris le CCPA) s’appliquent, Plaud agit en tant que « prestataire de services » ou « sous-traitant » et certifie que :

• les Données personnelles du client seront uniquement traitées aux fins commerciales décrites dans le présent ATD et le Contrat ;

• les Données personnelles du client ne seront pas « vendues » ni « partagées » (au sens du CCPA) ;

• les Données personnelles du client ne seront pas conservées par ses soins, et que Plaud ne les utilisera ni ne les divulguera en dehors de la relation commerciale directe entre les parties, sauf si la loi l’impose ;

• les Données personnelles du client ne seront pas combinées par ses soins avec des données personnelles provenant d’autres sources, sauf tel qu’autorisé par la loi applicable ou sur instruction du Client ;

• le Client aura le droit de prendre des mesures raisonnables pour s’assurer que le traitement effectué par Plaud est conforme à ses obligations en vertu de la loi applicable ; et

• si Plaud constate ne plus être en mesure de se conformer au présent article 9, le Client en sera informé.

10. Durée et modification

10.1 Durée. Le présent ATD restera en vigueur pendant toute la durée du Contrat et continuera de s’appliquer après sa résiliation, jusqu’à ce que Plaud ait rempli ses obligations de suppression en vertu de l’article 7.

15.2 Modification. Plaud peut modifier le présent ATD moyennant un préavis écrit raisonnable, si cela est imposé par toute modification de la Législation applicable en matière de protection des données ou de directives réglementaires contraignantes. Toute modification substantielle réduisant sensiblement les droits du Client peut être contestée dans un délai de quinze (15) jours suivant la notification. À défaut de résolution dans un délai de trente (30) jours, chaque partie peut résilier le Contrat moyennant un préavis écrit de trente (30) jours.

Annexe 1 Informations détaillées relatives au traitement

A. Parties

Exportateur de données : Client et/ou Sociétés affiliées du Client. Les coordonnées sont précisées dans le Bon de commande.

Importateur de données : Plaud, Inc., 8 The Green, Ste A, Dover, Delaware 19901. Interlocuteur en matière de protection des données : privacy@plaud.ai.

B. Description du traitement

Catégories de Personnes concernées. (a) Utilisateurs autorisés ; (b) tiers dont les données personnelles sont collectées dans des enregistrements audio ou d’autres Données du client communiquées aux Services (par exemple, participants à une réunion, clients, collègues).

Catégories de Données personnelles. Déterminées par le Client ; peuvent inclure :

• Coordonnées (noms, adresses e-mail)

• Enregistrements audio et données vocales collectés via les appareils Plaud (par exemple, NotePin, Note) ou chargés par le Client

• Données dérivées : transcriptions générées par IA, synthèses de réunion et listes d’actions

• Métadonnées de réunion (date, durée, participants)

• Données d’utilisation de l’appareil et du compte

• Toute autre donnée personnelle contenue dans les Données du client communiquées aux Services

Catégories spéciales. Les enregistrements audio et leurs transcriptions peuvent contenir des données de catégories spéciales (par exemple, informations de santé ou opinions politiques). Il incombe au Client de s’assurer de l’existence d’un fondement juridique pour le traitement de ces données.

Durée. Traitement continu pendant toute la durée du Contrat, tel que déterminé par la configuration et l’utilisation des Services par le Client.

Nature et finalité. Fourniture de services de transcription, de synthèse automatique par IA et de Services connexes. Le traitement des données comprend la collecte, le stockage, la transcription, la synthétisation et la suppression des Données personnelles du client, tel que nécessaire aux fins de fournir les Services.

C. Autorité de contrôle compétente

Lorsque l’exportateur de données est établi dans un État membre de l’UE : l’autorité de contrôle de cet État membre. Lorsque l’exportateur de données n’est pas établi dans l’UE, mais relève du champ d’application territorial du RGPD : l’Irish Data Protection Commission.

Annexe 2 Mesures de sécurité techniques et organisationnelles

Plaud a mis en place un programme de sécurité de l’information écrit visant à protéger les Données personnelles du client contre tout accès, destruction, perte, altération ou divulgation non autorisés. Plaud pourra modifier ces mesures, sous réserve que ces modifications ne réduisent pas de manière significative la protection globale. Les certifications actuellement détenues et autres informations sont consultables à l’adresse https://www.plaud.ai/pages/trust/.

Annexe 3 Mécanismes de transfert de données internationaux

A. Clauses contractuelles types de l’UE (module deux : transfert de responsable du traitement à sous-traitant)

Les CCT de l’UE sont intégrées par référence et réputées signées par les parties, avec les options suivantes :

•  Clause 7 (Clause d’adhésion) : Ne s’applique pas.

•  Clause 9 (Recours à des sous-traitants de traitement) : Option 2 (Autorisation écrite générale) ; délai de notification tel que prévu par l’article 3.2(c).

•  Clause 11 (Voies de recours) : La clause de recours indépendant facultatif ne s’applique pas.

•  Clause 17 (Droit applicable) : Option 1 (droit de la République d’Irlande).

•  Clause 18 (Élection de for) : Tribunaux de la République d’Irlande.

•  Annexe I.A (Parties) : Annexe 1, Section A.

•  Annexe I.B (Description du transfert) : Annexe 1, Section B.

•  Annexe I.C (Autorité de contrôle) : Annexe 1, Section C.

•  Annexe II (Mesures techniques et organisationnelles) : Annexe 2.

•  Annexe III (Sous-traitants de traitement) : https://www.plaud.ai/pages/trust/.

B. Addendum britannique

L’Addendum britannique (version B.1.0) est intégré par référence et réputé signé par les parties. Les CCT sélectionnées sont celles figurant à l’Annexe 3(A). Conformément au tableau 4, Plaud (en tant qu’importateur de données) peut résilier l’Addendum britannique en cas de modification approuvée des CCT de l’UE.

C. Addendum suisse

Pour les transferts soumis exclusivement à la Loi fédérale suisse sur la protection des données (LFPD), les CCT figurant en Annexe 3(A) sont modifiées comme suit : les références au RGPD et à l’UE/EEE sont remplacées par des références à la législation suisse en matière de protection des données et à la Suisse ; l’autorité de contrôle compétente est le PFPDT ; le droit applicable est le droit suisse ; et les litiges sont soumis à la compétence des tribunaux suisses. Lorsque les transferts sont soumis à la fois au droit suisse et au RGPD, les deux ensembles de règles s’appliquent.

Annexe 4 Sous-traitants de traitement autorisés

La liste actuelle des Sous-traitants de traitement autorisés de Plaud (y compris leur nom, leur pays et la finalité du traitement) est disponible à l’adresse https://www.plaud.ai/pages/trust/.