Contrat de sous-traitance de données personnelles

【Raison sociale du responsable du traitement】 (le « Responsable ») et AlienPeoples (le « Sous-traitant ») concluent le présent contrat conformément à l’article 26 de la loi coréenne sur la protection des informations personnelles pour confier au Sous-traitant les opérations de traitement du Responsable.

Article 1Objet

Le présent contrat définit les droits et obligations des parties lorsque le Responsable confie au Sous-traitant le traitement nécessaire au service client IA SiCusto, que le Sous-traitant exécute avec diligence conformément au contrat et aux lois applicables.

Article 2Définitions

• Client final — Personne concernée utilisant la page d’assistance du Responsable (https://sicusto.com/chat/{identifiant-du-responsable}).
• Sous-traitant ultérieur — Tiers auquel le Sous-traitant confie une partie des opérations. Il figure à l’annexe 1.
• Page de gestion — Interface fournie par le Sous-traitant permettant au personnel du Responsable de consulter conversations, utilisation et paramètres (/portal/).
• Les autres termes suivent la loi coréenne sur la protection des informations personnelles et les conditions d’utilisation du service.

Article 3Périmètre des opérations et données traitées

① Le Sous-traitant effectue uniquement les opérations suivantes.

② Le Sous-traitant n’élargit pas les données traitées sans instruction du Responsable. Celui-ci contribue au maintien des avis demandant aux clients finaux de ne pas saisir de numéro coréen d’identification des résidents, de carte, de compte bancaire ou de mot de passe sur la page d’assistance (le Sous-traitant les masque côté serveur, mais la méthode par expressions régulières peut en omettre).

Article 4Durée de la sous-traitance

La durée correspond à celle du contrat de service (【Date de début】 jusqu’à la fin du contrat de service). Les clauses de confidentialité, destruction et réparation restent applicables après sa fin jusqu’à l’accomplissement de leur objet.

Article 5Restrictions à la sous-traitance ultérieure 【Examen juridique】 Modalités du consentement

1. Le Sous-traitant ne confie pas les opérations à un tiers sans accord préalable du Responsable. En signant, le Responsable accepte les sous-traitants ultérieurs de l’annexe 1.
2. Lors de la phase 1, les fournisseurs d’IA sont les mêmes 3 fournisseurs pour toutes les entreprises clientes (annexe 1), sans fournisseur réservé à chaque Responsable.
3. Pour ajouter ou remplacer un sous-traitant ultérieur, le Sous-traitant en informe le Responsable par écrit (e-mail compris) 【N】 jours avant l’application. En cas d’opposition dans ce délai, la modification n’est pas appliquée à ce Responsable, ou celui-ci peut résilier le contrat de service sans pénalité.
4. Le Sous-traitant impose aux sous-traitants ultérieurs des obligations de protection équivalentes et répond de leur traitement envers le Responsable.

Article 6Mesures de sécurité

Le Sous-traitant prend les mesures suivantes conformément à l’article 29 de la loi coréenne sur la protection des informations personnelles et aux textes d’application concernés.

• Lieu de stockage et séparation — Stockage dans la région de Séoul, République de Corée (Google Cloud asia-northeast3), avec chemins de données distincts par Responsable. Le stockage est réservé au serveur ; le navigateur ne peut y lire ou écrire directement.
• Contrôle d’accès — Côté Sous-traitant, l’accès est limité à la personne chargée de l’exploitation. Côté Responsable, seuls les membres de la page de gestion (rôles propriétaire/membre) y accèdent ; les actions du propriétaire comme l’application des connaissances, la modification des membres et l’export exigent une nouvelle vérification d’une connexion récente (moins de 12 heures).
• Stockage minimal — Seules les copies masquant les données sensibles (numéros coréens d’identification des résidents et étrangers, de carte, de compte, mots de passe), téléphones et e-mails sont stockées et envoyées aux fournisseurs d’IA. Les coordonnées des demandes de transfert sont conservées en clair pour permettre une réponse (durées de l’annexe 2).
• Journaux d’accès — Consultation de conversations complètes, exports, modifications des paramètres, suppressions et changements de membres sont consignés dans les journaux d’audit (durées de l’annexe 2).
• Transmission — Page d’assistance, page de gestion et appels aux API d’IA utilisent HTTPS (TLS).
• Sauvegarde et restauration — Restauration à un instant donné et sauvegardes quotidiennes (conservation de 7 jours) sont exploitées ; la restauration suit une procédure distincte (document d’exploitation D-5).

Article 7Interdiction d’utilisation hors finalité

1. Le Sous-traitant n’utilise ni ne communique à des tiers les données personnelles à des fins autres que l’exécution des opérations confiées.
2. Le Sous-traitant n’utilise pas les données pour entraîner des modèles d’IA ou améliorer ses services et n’utilise les fournisseurs d’IA sous-traitants ultérieurs que sous des conditions excluant l’entraînement (annexe 3).
3. Le Sous-traitant ne divulgue pas les données connues dans le cadre des opérations, pendant ou après le contrat.

Article 8Gestion et contrôle

1. Le Responsable peut demander des documents sur les traitements, les mesures de protection et la sous-traitance ultérieure ; le Sous-traitant les fournit sans délai. Les documents de base sont l’annexe 1, l’annexe 2, le document d’exploitation D-5 et les journaux d’activité de la page de gestion.
2. Le Responsable peut effectuer 【1】 contrôle écrit par an. Si une correction est demandée à l’issue du contrôle, le Sous-traitant la réalise dans un délai raisonnable et en communique le résultat.

Article 9Formation

Le Sous-traitant forme au moins une fois par an les personnes traitant les données (y compris la personne chargée de l’exploitation) à leur protection et fournit les justificatifs sur demande. Le Responsable peut proposer le contenu de formation si nécessaire.

Article 10Garantie des droits des personnes

1. Le Responsable reçoit et traite les demandes d’accès, de rectification, de suppression et de suspension du traitement des clients finaux ; le Sous-traitant l’assiste sur demande. Toute demande directement reçue par le Sous-traitant est transmise sans délai au Responsable.
2. Le Responsable peut supprimer directement une conversation via l’outil de suppression de session et solliciter le Sous-traitant si les données d’un client final sont difficiles à retrouver. Le périmètre et les délais suivent l’annexe 2.

Article 11Notification des incidents de données personnelles 【Examen juridique】 Délais et répartition des déclarations

1. Dès qu’il apprend une perte, un vol ou une fuite de données liées aux opérations (« Incident »), le Sous-traitant informe le Responsable sans délai. L’objectif de notification initiale est de 24 heures après découverte ; les informations non confirmées sont d’abord communiquées avec la mention « en cours de vérification ».
2. La notification précise les circonstances, les données et volumes concernés (estimations comprises), les mesures prises, celles à prendre par le Responsable et un point de contact. Des compléments suivent au fur et à mesure des confirmations.
3. La notification aux personnes et la déclaration à la Commission coréenne de protection des informations personnelles et aux organismes spécialisés (article 34) incombent au Responsable ; le Sous-traitant fournit les documents et l’assistance nécessaires. Cet engagement contractuel est distinct des obligations légales de déclaration.
4. Les modalités (canaux de signalement · conservation des preuves · remplacement en l’absence du représentant) suivent la section « Réponse aux incidents et notification » du document d’exploitation D-5.

Article 12Restitution et destruction à la fin du contrat

1. À la fin du contrat, le Sous-traitant remet conversations, demandes de transfert et registres d’utilisation au Responsable sous forme de fichiers d’export (JSON · CSV) dans le délai demandé. Le Responsable peut aussi télécharger les conversations intégrales pendant le contrat depuis la page de gestion.
2. Après restitution (ou, si elle n’est pas souhaitée, dans les 【30】 jours suivant la fin), le Sous-traitant supprime les originaux de production et en informe le Responsable. Les sauvegardes expirent après 7 jours ; les copies des sous-traitants ultérieurs et les e-mails déjà envoyés suivent l’annexe 2.
3. Les pièces de transaction légalement obligatoires (factures fiscales, etc.) sont conservées séparément pour la durée prescrite puis détruites. Les agrégats sans données personnelles peuvent être conservés pour la comptabilité pendant les durées de l’annexe 2.

Article 13Traitement à l’étranger 【Examen juridique】 Fondement du transfert à l’étranger (article 28-8 de la loi)

1. Les messages masqués et documents de connaissance sont envoyés aux fournisseurs d’IA de l’annexe 1 (États-Unis et autres pays) pour générer les réponses ; les e-mails peuvent transiter par des infrastructures étrangères. Le stockage se situe dans la région de Séoul, République de Corée.
2. Ce contrat fixe uniquement les conditions entre les parties et ne constitue pas en lui-même un fondement juridique pour transférer les données des clients finaux à l’étranger. Le Responsable publie dans sa politique de confidentialité les données, pays, dates, modalités, destinataires et coordonnées, finalités, durées, modalités de refus et effets, ou recueille le consentement nécessaire. Le Sous-traitant fournit les textes (ensemble de mentions IA D-3).
3. Le Responsable détermine après examen juridique le fondement à utiliser (consentement · publication de la sous-traitance et du stockage nécessaires à l’exécution du contrat, etc.).

Article 14Réparation des dommages 【Examen juridique】 Plafonds et exclusions

1. Si une violation du contrat par le Sous-traitant ou un sous-traitant ultérieur cause un dommage au Responsable ou à une personne concernée, le Sous-traitant le répare.
2. Le plafond est 【Choisir : frais des 12 mois précédant le mois du dommage / montant fixe de ○○ KRW】 ; il ne s’applique ni aux dommages dus au dol ou à la faute lourde du Sous-traitant ni aux responsabilités légalement non limitables.
3. Si le Responsable indemnise une personne pour une cause imputable au Sous-traitant, il peut exercer un recours contre celui-ci.

Article 15Priorité et autres dispositions

• Pour le traitement de données personnelles, ce contrat prime les conditions d’utilisation et devis.
• Les questions non prévues suivent les lois applicables, dont la loi coréenne sur la protection des informations personnelles ; la juridiction compétente est celle des conditions d’utilisation.

Date de signature 【YYYY-MM-DD】

Annexe 1Liste des sous-traitants ultérieurs (sous-traitants)

Joindre la version du registre des sous-traitants et sous-traitants ultérieurs (D-2) en vigueur à la signature.

Annexe 2Tableau de conservation et suppression

Les durées sont vérifiées à la signature à partir du tableau et de la politique de confidentialité.

Suppression par client final (demande du Responsable)

Annexe 3Engagements concernant l’absence d’entraînement et la non-conservation