Addendum sur le Traitement des Données (DPA)

Le présent Addendum sur le Traitement des Données (« DPA ») est incorporé dans l'accord entre le Client et Vilulia LLC (« Vilulia ») régissant les Services. Ce DPA s'applique aux Données Personnelles traitées par Vilulia pour le compte du Client en relation avec les Services. En cas de conflit entre le présent DPA et les Conditions d'Utilisation ou un Bon de Commande, le présent DPA prévaut en ce qui concerne les questions de protection des données.

1. Définitions

« Données Personnelles » désigne les informations relatives à une personne physique identifiée ou identifiable. « Traitement » désigne toute opération effectuée sur les Données Personnelles. « Responsable du Traitement » et « Sous-traitant » ont les significations données par le droit applicable en matière de protection des données (par ex., GDPR).

2. Rôles

Le Client est le Responsable du Traitement des Données Personnelles et Vilulia est le Sous-traitant, dans la mesure où Vilulia traite les Données Personnelles pour le compte du Client. Vilulia peut agir en tant que Responsable du Traitement pour l'administration des comptes, la facturation, la sécurité et les communications marketing aux contacts du Client.

3. Portée du Traitement

3.1 Objet et Durée

L'objet est la fourniture des Services. Le traitement se poursuit pendant la durée des Services et autant que nécessaire pour répondre aux exigences légales et opérationnelles.

3.2 Nature et Finalité

Le traitement comprend l'hébergement, le stockage, la transmission, l'analyse et tout autre traitement des Données Personnelles nécessaire pour fournir, sécuriser et soutenir les Services, y compris les fonctionnalités basées sur l'IA demandées par le Client.

3.3 Catégories de Données et Personnes Concernées

• Personnes Concernées : utilisateurs autorisés du Client ; parties aux litiges ; demandeurs ; témoins ; et autres personnes dont les données sont soumises par le Client.
• Données Personnelles : identifiants, coordonnées, communications, documents, données de dossier et métadonnées associées telles que soumises par le Client.
• Données Sensibles : le Client contrôle s'il soumet des données sensibles ; lorsqu'elles sont soumises, elles sont traitées uniquement pour fournir les Services.

4. Instructions du Client

Vilulia ne traitera les Données Personnelles que sur instructions documentées du Client, y compris dans la mesure nécessaire pour fournir les Services. Le Client donne instruction à Vilulia de traiter les Données Personnelles selon les besoins pour fournir les Services, maintenir la sécurité et se conformer à la loi. Le Client est responsable de s'assurer qu'il dispose d'une base juridique pour le traitement et le partage des Données Personnelles avec Vilulia.

5. Confidentialité

Vilulia s'assurera que les personnes autorisées à traiter les Données Personnelles sont soumises à des obligations de confidentialité. Les employés et prestataires de Vilulia ayant accès aux Données Personnelles sont liés par des obligations de confidentialité et reçoivent une formation sur les exigences en matière de protection des données.

6. Mesures de Sécurité

Vilulia mettra en œuvre des mesures techniques et organisationnelles appropriées conçues pour protéger les Données Personnelles contre la destruction, la perte, l'altération, la divulgation ou l'accès accidentels ou illicites.

6.1 Mesures Minimales (Illustratives)

• Chiffrement en transit (TLS) et au repos (AES-256 lorsque pris en charge et configuré).
• Contrôles d'accès, autorisation basée sur les rôles et options d'authentification multifacteur.
• Journalisation et surveillance (y compris la journalisation d'audit pour les flux de travail sensibles).
• Pratiques de développement logiciel sécurisé et gestion des vulnérabilités.
• Pratiques de sauvegarde et de reprise après sinistre.
• Revue et test réguliers des mesures de sécurité.

7. Sous-traitants Ultérieurs

Le Client autorise Vilulia à utiliser les sous-traitants ultérieurs listés ci-dessous pour traiter les Données Personnelles dans le cadre des Services. Vilulia imposera aux sous-traitants ultérieurs des obligations de protection des données au moins aussi protectrices que le présent DPA.

Vilulia fournira au Client un préavis raisonnable de tout changement substantiel à cette liste de sous-traitants ultérieurs (tel que l'ajout d'un nouveau sous-traitant ultérieur qui accédera aux Données Personnelles), par notification dans le produit ou par e-mail. Lorsque le droit applicable l'exige, le Client peut s'opposer à un nouveau sous-traitant ultérieur pour des motifs raisonnables liés à la protection des données en fournissant un avis écrit dans les trente (30) jours suivant la mise à jour ; les parties travailleront de bonne foi pour résoudre l'objection.

7.1 Sous-traitants Ultérieurs Approuvés

Dernière mise à jour : March 20, 2026

Les intégrations listées comme modules complémentaires optionnels (Twilio, Daily.co, DocuSign) ne sont engagées que lorsque la fonctionnalité correspondante est activée par le Client. Les intégrations tierces configurées directement par le Client (telles que Google Calendar, Outlook, Salesforce, Slack ou QuickBooks) ne sont pas des sous-traitants ultérieurs de Vilulia ; l'accord du Client avec ces fournisseurs régit leur traitement des données.

8. Assistance au Client

Compte tenu de la nature du traitement, Vilulia fournira une assistance raisonnable au Client pour répondre aux demandes des personnes concernées et satisfaire aux obligations en vertu des lois applicables en matière de protection des données (y compris le GDPR), dans la mesure requise et raisonnablement faisable. Vilulia répondra aux demandes d'assistance raisonnables dans les trente (30) jours suivant leur réception.

9. Violation de Données Personnelles

Vilulia notifiera le Client sans délai injustifié — et en aucun cas plus de 72 heures — après avoir pris connaissance d'une Violation de Données Personnelles affectant les Données Personnelles traitées en vertu du présent DPA. La notification inclura, dans la mesure connue : la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d'enregistrements affectés, les conséquences probables et les mesures prises ou proposées pour remédier à la violation. Vilulia fournira les informations supplémentaires raisonnablement demandées par le Client pour soutenir la conformité aux obligations de notification de violation.

10. Restitution et Suppression des Données

À la résiliation des Services, Vilulia supprimera ou restituera les Données Personnelles conformément aux capacités des Services et aux conditions contractuelles du Client, sauf si la conservation est requise par la loi. La suppression des sauvegardes suit les cycles de conservation normaux. Sur demande, Vilulia confirmera par écrit que la suppression a été effectuée.

11. Transferts Internationaux ; CCT

Si des Données Personnelles sont transférées depuis l'EEE/le Royaume-Uni/la Suisse vers un pays ne bénéficiant pas d'une protection adéquate reconnue, les parties s'appuieront sur des mécanismes de transfert appropriés. Le cas échéant, les parties incorporent par référence les Clauses Contractuelles Types de l'UE (Décision d'Exécution de la Commission (UE) 2021/914) comme suit : Module Deux (Responsable du Traitement à Sous-traitant), avec le Client comme « exportateur de données » et Vilulia comme « importateur de données ». Pour les transferts vers le Royaume-Uni, les parties utiliseront l'Addendum britannique aux CCT de l'UE ou un autre mécanisme de transfert britannique valide le cas échéant.

Si les CCT s'appliquent, les parties compléteront les détails pertinents (par exemple : les informations de l'Annexe I/II et l'autorité de contrôle compétente) dans un Bon de Commande ou un autre addendum écrit selon les besoins.

12. Audit

Vilulia mettra à disposition les informations raisonnablement nécessaires pour démontrer la conformité au présent DPA et permettra les audits requis par la loi et sous réserve de limitations raisonnables de confidentialité, de sécurité et de planification. Vilulia peut satisfaire les demandes d'audit via des rapports tiers (par ex., SOC 2) le cas échéant. Les demandes d'audit doivent être soumises par écrit avec un préavis raisonnable, et tout audit sera mené aux frais du Client sauf si une violation substantielle par Vilulia est confirmée.

13. Exclusions d'Entraînement IA

Les métriques agrégées et dé-identifiées (telles que la latence, les taux d'erreur et les statistiques d'utilisation des fonctionnalités qui ne peuvent être liées à un client ou un dossier spécifique) peuvent être utilisées pour l'amélioration des performances et de la sécurité de la plateforme.

14. Droit Applicable

Le présent DPA est régi par les lois du Commonwealth de Virginie, dans la mesure où elles ne sont pas supplantées par le droit applicable en matière de protection des données.