Addenda de traitement des données

Date de la dernière mise à jour : 1er mai 2026

Le présent Addenda de traitement des données (ATD) est intégré à et fait partie intégrante des Conditions d’utilisation commerciale ou de tout autre contrat conclu entre les Parties et régissant l’utilisation des Services par le Client (le « Contrat »). En cas de conflit entre les dispositions du présent ATD et le Contrat, les dispositions du présent ATD prévaudront en ce qui concerne l'objet des présentes. Les termes commençant par une majuscule utilisés mais non définis dans le présent ATD ont le sens qui leur est attribué dans le Contrat.

1. Définitions

« Législations applicables en matière de protection des données » désigne l'ensemble des lois applicables en matière de protection des données et de confidentialité, y compris : (a) le Règlement général sur la protection des données de l'UE (Règlement (UE) 2016/679) (« RGPD ») ; (b) le RGPD britannique et la loi britannique de 2018 sur la protection des données (Data Protection Act 2018) ; (c) la nLPD suisse ; et (d) les lois américaines applicables en matière de confidentialité au niveau des États, notamment la CCPA (Californie) et les lois des États similaires, dans chaque cas telles que modifiées de temps à autre.
« Données personnelles du client » désigne toutes les données personnelles contenues dans les Données client envoyées par l’intermédiaire des Services, par ou pour le compte du Client ou d’une Société affiliée du Client.
« Société affiliée du Client » désigne une entité qui (a) est autorisée à utiliser les Services conformément au Contrat conclu entre Plaud et le Client, et (b) contrôle directement ou indirectement le Client, est contrôlée par celui-ci ou est sous contrôle commun avec celui-ci, le terme « contrôle » désignant la détention de plus de 50 % des droits de vote de l’entité concernée.
« Demande de personne concernée » désigne une demande émanant d’une personne physique exerçant les droits dont elle dispose en vertu des Législations applicables en matière de protection des données concernant les Données personnelles du client (par exemple, accès, rectification, effacement, portabilité ou restriction).
« CCT » désigne les Clauses contractuelles types annexées à la Décision d’exécution (UE) 2021/914 de la Commission du 4 juin 2021 relative aux clauses contractuelles types pour le transfert de données personnelles vers des pays tiers en vertu du RGPD.
« Incident de sécurité » désigne une atteinte confirmée aux mesures de sécurité de Plaud entraînant la destruction, la perte, l'altération, la divulgation non autorisée de Données personnelles du client, ou l'accès non autorisé à celles-ci, de manière accidentelle ou illicite.
« Sous-traitant ultérieur » désigne tout tiers sollicité par Plaud (ou des Sociétés affiliées de Plaud) aux fins de traiter des Données personnelles du client dans le cadre de la fourniture des Services.
« Addenda britannique » désigne l’Addenda relatif aux transferts internationaux de données (International Data Transfer Addendum) aux Clauses contractuelles types de la Commission européenne, publié par le Bureau du Commissaire à l’information britannique (UK Information Commissioner’s Office) en vertu de l’article 119A(1) de la Loi britannique de 2018 sur la protection des données (Data Protection Act 2018).
Les termes « données personnelles », « personne concernée », « traitement », « responsable du traitement », « sous-traitant » ont le sens qui leur est attribué dans les Législations applicables en matière de protection des données ou, en l’absence de telles définitions, dans le RGPD. Les termes « responsable du traitement » et « sous-traitant » incluent les « entreprises » et les « prestataires de services », tels que requis par les Législations applicables en matière de protection des données.

2. Rôles et champ d'application

2.1 Rôles. En ce qui concerne les Données personnelles du client, le Client agit en tant que responsable du traitement (ou entreprise) et Plaud agit en qualité de sous-traitant (ou prestataire de services) pour le compte du Client. Chaque partie respectera ses obligations respectives en vertu des Législations applicables en matière de protection des données.
2.2 Finalité et instructions. Plaud traitera uniquement les Données personnelles du client : (a) pour fournir, maintenir et soutenir les Services ; (b) pour se conformer à la législation applicable ; (c) pour protéger la sécurité et l'intégrité des Services ; et (d) conformément aux autres instructions documentées du client, telles que convenues d'un commun accord par écrit. Le Contrat et le présent ATD constituent les instructions documentées du Client à la Date d’entrée en vigueur. Plaud informera le Client sans délai dans l’hypothèse où une instruction de traitement serait, selon l’avis raisonnable de Plaud, contraire aux Législations applicables en matière de protection des données.
2.3 Absence d’utilisation pour l’entraînement. Conformément à l’article 4.4 du Contrat, Plaud n’utilisera pas les Données personnelles du client pour entraîner ou améliorer les modèles d’IA généraux de Plaud ou ceux de ses Sous-traitants ultérieurs, sauf si le Client y consent expressément par écrit.

3. Obligations de Plaud

3.1 Confidentialité du traitement. Plaud veillera à ce que l'ensemble du personnel autorisé à traiter les Données personnelles du client soit soumis à des obligations de confidentialité appropriées et ait reçu une formation sur les exigences en matière de protection des données applicables à ses fonctions.
3.2 Avis. Plaud avisera sans délai le Client s’il constate qu’il ne peut plus respecter ses obligations au titre du présent ATD, et le Client pourra prendre des mesures raisonnables pour cesser le traitement non autorisé ou y remédier.
3.3 Sous-traitants ultérieurs. Le Client octroie à Plaud une autorisation générale de recourir aux Sous-traitants ultérieurs énumérés à l’adresse https://ca.plaud.ai/pages/trust/ (la « Liste des sous-traitants de traitement »), telle que mise à jour conformément au présent article. Plaud adressera un préavis écrit d’au moins trente (30) jours avant de faire appel à un nouveau sous-traitant chargé du traitement des Données personnelles du client. Le Client pourra s’y opposer dans un délai de quinze (15) jours pour des motifs raisonnables liés à la protection des données. Si aucune alternative commercialement viable n'est disponible et que l'opposition n'est pas résolue, le Client peut résilier le Service concerné pour motif valable et recevoir un remboursement au prorata des frais payés d'avance et non utilisés. Ledit droit de résiliation constitue le seul recours du Client en cas d’opposition à un nouveau Sous-traitant ultérieur.
Plaud imposera à chaque Sous-traitant ultérieur des obligations de protection des données au moins aussi protectrices que celles prévues par le présent ATD et restera responsable du respect par chaque Sous-traitant ultérieur de ces obligations, comme si Plaud fournissait les services directement.
3.4 Droits des personnes concernées. Plaud fournira une assistance technique et organisationnelle raisonnable pour aider le Client à répondre aux demandes des personnes concernées et, lorsque les Législations applicables en matière de protection des données l'exigent, à réaliser des analyses d'impact relatives à la protection des données et à mener les consultations nécessaires auprès des autorités de contrôle.
3.5 Sécurité. Plaud mettra en œuvre et maintiendra les mesures de sécurité techniques et organisationnelles décrites en Annexe 2, conçues pour protéger les Données personnelles du client contre tout accès, destruction, perte, altération ou divulgation non autorisés. Plaud peut mettre à jour ces mesures à condition que ces mises à jour ne donnent pas lieu à une réduction sensible du niveau global de protection.

4. Obligations du Client

4.1 Fondement juridique et autorisations. Le Client déclare et garantit qu’il dispose de tous les droits, consentements, notifications et autorisations nécessaires requis en vertu des Législations applicables en matière de protection des données pour soumettre les Données personnelles du client aux Services et pour autoriser Plaud à les traiter comme décrit dans le présent ATD. Sans limiter la portée de ce qui précède, le Client est seul responsable de l’obtention de tous les consentements d’enregistrement requis et de la fourniture des notifications requises aux personnes dont la voix ou les données personnelles sont capturées via les Services ou les appareils Plaud.
4.2 Configuration. Le Client est responsable de configurer les Services d’une manière conforme à ses obligations légales. Le Client s’abstiendra de transmettre des Données personnelles du client par le biais de canaux non sécurisés ou dans les tickets d’assistance technique.
4.3 Coopération. Le Client coopérera de manière raisonnable avec Plaud afin de l'aider à remplir ses obligations en vertu des Législations applicables en matière de protection des données concernant les Données personnelles du client.

5. Incidents de sécurité

5.1 Avis. Plaud avisera le Client par écrit sans retard injustifié, et en tout état de cause dans un délai de soixante-douze (72) heures, après avoir pris connaissance d’un Incident de sécurité. Cet avis ne constitue pas une reconnaissance d’une quelconque faute ou responsabilité.
5.2 Contenu. Dans la mesure du possible, l’avis précisera : (a) la nature de l’Incident de sécurité et, si possible, les catégories et le nombre approximatif de personnes concernées et de fichiers affectés ; (b) les conséquences probables ; et (c) les mesures prises ou envisagées pour remédier à l’incident. Plaud fournira toutes informations complémentaires à mesure qu’elles deviennent disponibles.
5.3 Coopération. Plaud coopérera avec le Client dans le cadre de son enquête et prendra les mesures raisonnables qu'il lui demandera afin d'atténuer les conséquences de l'incident de sécurité et de l'aider à se conformer aux Législations applicables en matière de protection des données.

6. Audits et conformité

6.1 Certifications. Plaud fait l'objet d'un audit au moins une fois par an par des auditeurs tiers indépendants, qui vérifient sa conformité aux normes de sécurité reconnues (par exemple, SOC 2 Type II). Sur demande écrite du Client (au maximum une fois par période de 12 mois, à moins que les Législations applicables en matière de protection des données ne l'exigent ou qu'il ne s'agisse d'une réponse à un incident de sécurité), Plaud fournira son rapport d'audit ou sa certification applicable la plus récente. Les certifications actuellement détenues sont consultables à l’adresse https://ca.plaud.ai/pages/trust/.
6.2 Audits du Client. Le Client peut, sur demande écrite et moyennant un préavis raisonnable (d'au moins trente (30) jours), mener ou faire réaliser un audit de la conformité de Plaud au présent ATD, sous réserve : (a) d'un accord mutuel sur la portée, le calendrier et les mesures de confidentialité applicables ; (b) que l'audit soit mené pendant les heures de bureau avec un minimum de perturbation opérationnelle ; et (c) que le Client prenne en charge tous les coûts associés. Les conclusions de l'audit constituent des informations confidentielles des deux parties et ne peuvent être utilisées que pour confirmer la conformité au présent ATD.

7. Retour et suppression des données

7.1 Retour et suppression. À la suite de la résiliation ou de l’expiration du Contrat, Plaud procédera, sur instruction du Client, à la restitution ou à la suppression de toutes les Données personnelles du client, ainsi que des copies existantes.
7.2 Exceptions. Plaud peut conserver les Données personnelles du client au-delà de la période prévue à l'article 7.1 uniquement dans la mesure requise par les Législations applicables en matière de protection des données ou d'autres obligations légales, pour régler un litige entre les parties, ou pour empêcher une utilisation préjudiciable ou frauduleuse des Services. Les données conservées restent soumises au présent ATD.

8. Transferts de données internationaux

8.1 Généralités. Le Client reconnaît que Plaud et ses sous-traitants peuvent traiter les Données personnelles du client aux États-Unis et dans d'autres pays où Plaud ou ses sous-traitants ultérieurs exercent leurs activités. Plaud veillera à ce que tous ces transferts soient conformes aux Législations applicables en matière de protection des données, notamment en mettant en œuvre des mécanismes de transfert appropriés.
8.2 Transferts depuis l'UE/EEE. Dans la mesure où les transferts de Données personnelles du client de l’EEE vers Plaud nécessitent un mécanisme de transfert en vertu du RGPD, le module 2 (Responsable du traitement vers Sous-traitant) des CCT est intégré par référence au présent ATD et réputé signé par les parties, le Client étant l’exportateur de données et Plaud l’importateur de données. Les CCT sont complétées tel que précisé en Annexe 3(A).
8.3 Transferts vers et depuis le Royaume-Uni. Dans la mesure où les transferts sont soumis à la législation britannique sur la protection des données, l’Addenda britannique figurant à l’Annexe 3(B) est intégré par référence et réputé signé par les parties.
8.4 Transferts vers et depuis la Suisse. Dans la mesure où les transferts sont soumis à la Loi suisse sur la protection des données (nLPD), l'addenda suisse figurant à l'annexe 3(C) est incorporé par référence et réputé signé par les parties.
8.5 Priorité. En cas de conflit entre les mécanismes de transfert applicables (CCT, addenda britannique ou addenda suisse), le présent ATD et le Contrat, le mécanisme de transfert applicable prévaut, suivi du présent ATD.

9. Législation des États américains sur la protection de la vie privée

Dans la mesure où les lois des États américains en matière de protection de la vie privée (y compris la CCPA) s'appliquent, Plaud agit en tant que « prestataire de services » ou « sous-traitant » et certifie qu'elle :
  • ne traitera les Données personnelles du client qu'aux fins commerciales décrites dans le présent ATD et dans le Contrat ;
  • ne « vendra » ni ne « partagera » (au sens de la CCPA) les Données personnelles du client ;
  • ne conservera, n’utilisera ni ne divulguera les Données personnelles du client en dehors de la relation commerciale directe entre les parties, sauf si la loi l’exige ;
  • ne combinera pas les Données personnelles du client avec des données personnelles provenant d’autres sources, sauf si la loi applicable l’autorise ou sur instruction du Client ;
  • accordera au Client le droit de prendre des mesures raisonnables pour s’assurer que le traitement effectué par Plaud est conforme aux obligations du Client en vertu de la loi applicable ;
  • et avisera le Client sans délai si Plaud détermine qu’il ne peut plus se conformer au présent article 9.

10. Durée et modification

10.1 Durée. Le présent ATD restera en vigueur pendant toute la durée du Contrat et continuera de s’appliquer après sa résiliation, jusqu’à ce que Plaud ait rempli ses obligations de suppression en vertu de l’article 7.
10.2 Modification. Plaud peut modifier le présent ATD moyennant un préavis écrit raisonnable lorsque cela est requis par des modifications apportées aux Législations applicables en matière de protection des données ou aux directives réglementaires contraignantes. Les modifications substantielles qui donne lieu à une réduction significative des droits du Client peuvent faire l'objet d'une contestation dans un délai de quinze (15) jours à compter de la date du préavis ; si le différend n'est pas résolu dans un délai de trente (30) jours, l'une ou l'autre des parties peut résilier le Contrat moyennant un préavis écrit de trente (30) jours.
Annexe 1 Informations détaillées relatives au traitement
A. Parties
Exportateur de données : Client et/ou Sociétés affiliées du Client. Les coordonnées comme précisées dans le Bon de commande.
Importateur de données : Plaud, Inc., 8 The Green, Ste A, Dover, Delaware 19901. Interlocuteur pour la protection des données : privacy@plaud.ai.
B. Description du traitement
Catégories de Personnes concernées. (a) Utilisateurs autorisés ; (b) tiers dont les données personnelles sont collectées dans des enregistrements audio ou d’autres Données client communiquées aux Services (par exemple, participants à une réunion, clients, collègues).
Catégories de Données personnelles. Déterminées par le Client ; peuvent inclure :
  • Coordonnées (noms, adresses de courriel)
  • Enregistrements audio et données vocales collectés via les appareils Plaud (par exemple, NotePin, Note) ou téléversés par le Client
  • Données dérivées : transcriptions générées par IA, synthèses de réunion et listes d’actions
  • Métadonnées de réunion (date, durée, participants)
  • Données d’utilisation de l’appareil et du compte
  • Toute autre donnée personnelle figurant dans les Données client soumises aux Services
Catégories spéciales. Les enregistrements audio et leurs transcriptions peuvent contenir des données de catégories spéciales (par exemple, informations de santé ou opinions politiques). Le Client est seul responsable de s'assurer de l'existence d'une base légale pour le traitement de ces données.
Durée. Un traitement continu pendant toute la durée du Contrat, tel que déterminé par la configuration et l'utilisation des Services par le Client.
Nature et finalité. Fourniture de services de transcription, de synthèse automatique par IA et de Services connexes. Les activités de traitement comprennent la collecte, le stockage, la transcription, la synthèse et la suppression des Données personnelles du client, dans la mesure où cela est nécessaire à la fourniture des Services.
C. Autorité de contrôle compétente
Lorsque l’exportateur de données est établi dans un État membre de l’UE : l’autorité de contrôle de cet État membre. Lorsque l’exportateur de données n’est pas établi dans l’UE, mais relève du champ d’application territorial du RGPD : la Commission irlandaise de protection des données (Irish Data Protection Commission).
Annexe 2 Mesures de sécurité techniques et organisationnelles
Plaud maintient un programme écrit de sécurité de l’information conçu pour protéger les Données personnelles du client contre tout accès non autorisé, toute destruction, perte, altération ou divulgation. Plaud peut mettre à jour ces mesures, à condition que ces mises à jour ne donnent pas lieu à une réduction substantielle de la protection globale. Les certifications actuellement détenues et autres informations sont consultables à l’adresse https://ca.plaud.ai/pages/trust/.
Annexe 3 Mécanismes de transfert de données internationaux
A. Clauses contractuelles types de l’UE (module deux : transfert de responsable du traitement à sous-traitant)
Les CCT de l’UE sont intégrées par référence et réputées signées par les parties, avec les options suivantes :
• Clause 7 (Clause d’adhésion) : Ne s’applique pas.
• Clause 9 (Recours à des sous-traitants ultérieurs) : Option 2 (Autorisation écrite générale) ; délai de notification tel que prévu par l’article 3.2(c).
• Clause 11 (Voies de recours) : La clause de recours indépendant facultatif ne s’applique pas.
• Clause 17 (Droit applicable) : Option 1 (droit de la République d’Irlande).
• Clause 18 (Élection de for) : Tribunaux de la République d’Irlande.
• Annexe I.A (Parties) : Annexe 1, Section A.
• Annexe I.B (Description du transfert) : Annexe 1, Section B.
• Annexe I.C (Autorité de contrôle) : Annexe 1, Section C.
• Annexe II (Mesures techniques et organisationnelles) : Annexe 2.
• Annexe III (Sous-traitants ultérieurs) : https://ca.plaud.ai/pages/trust/.
B. Addenda britannique
L’Addenda britannique (version B.1.0) est intégré par référence et réputé signé par les parties. Les CCT sélectionnées sont celles figurant à l’Annexe 3(A). Conformément au tableau 4, Plaud (en tant qu’importateur de données) peut résilier l’Addenda britannique en cas de modification approuvée des CCT de l’UE.
C. Addenda suisse
Pour les transferts soumis exclusivement à la Loi fédérale suisse sur la protection des données (nLPD), les CCT figurant en Annexe 3(A) sont modifiées comme suit : les références au RGPD et à l’UE/EEE sont remplacées par des références à la Loi suisse sur la protection des données et à la Suisse ; l’autorité de contrôle compétente est le PFPDT ; le droit applicable est le droit suisse ; et les litiges sont soumis à la compétence des tribunaux suisses. Lorsque les transferts sont soumis à la fois au droit suisse et au RGPD, les deux ensembles de règles s’appliquent.
Annexe 4 Sous-traitants ultérieurs autorisés
La liste actuelle des Sous-traitants ultérieurs autorisés de Plaud (y compris leur nom, leur pays et la finalité du traitement) est disponible à l’adresse https://ca.plaud.ai/pages/trust/.