Accord de traitement des données

Portée et rôles

Le client est le responsable et Onur Öztürk, auto-entrepreneur commercialisant sous le nom d'Ozan Soft ("GenderAPI"), est le traiteur des données personnelles du client soumises via l'API, les outils de traitement de fichiers ou les fonctions de feuille de calcul connectées.

Chaque partie reste responsable de manière indépendante des données personnelles qu'elle traite en tant que controller, y compris la gestion des comptes, des facturations et des contacts professionnels par GenderAPI.

Le client détermine s'il s'agit de données personnelles et assume la responsabilité de leur fondement juridique, des avis, des autorisations et des instructions. Le client ne doit pas soumettre de données que le Service n'est pas conçu pour traiter, ni utiliser les résultats d'inférence comme unique base pour une décision produisant des effets juridiques ou de nature similaire concernant une personne.

Instructions de traitement

GenderAPI traitera les données personnelles du client uniquement afin de fournir, de sécuriser et de soutenir le Service conformément à l'accord, à ce document de confidentialité des données (DPA), à l'utilisation documentée du Service par le client et aux lois applicables. GenderAPI informera le client s'il estime raisonnablement qu'une instruction viole une loi de protection des données, sauf si cette loi interdit cette notification.

GenderAPI ne vendra pas les données personnelles du client, ne les utilisera pas pour des publicités comportementales transcontextuelles, ne les utilisera pas pour entraîner le modèle d'inférence privé, ni les conserver dans les journaux d'IA. Les règles de conservation figurant dans la Politique de confidentialité font partie de ces instructions de traitement documentées.

Confidentialité et sécurité

GenderAPI s'engage à ce que les personnes autorisées à traiter les données personnelles du Client soient soumises à une obligation appropriée de confidentialité et ne puissent accéder aux données que dans la mesure nécessaire à leurs tâches attribuées. GenderAPI met en œuvre des mesures techniques et organisationnelles appropriées au caractère du Service et aux risques liés au traitement des données.

• Transmission protégée par TLS pour les données échangées avec le Service.
• Restrictions d'accès pour les systèmes de production, les données clients et les sauvegardes protégées d'accès.
• Séparation et protection des identifiants de compte et des clés API de production.
• Journalisation des événements de sécurité et technique soumise au calendrier de conservation publié.
• Des sauvegardes progressives avec une période d'écriture standard allant jusqu'à 15 jours.
• Traitement par intelligence artificielle privé, sans formation sur les données clients ni enregistrement des prompts ou résultats d'IA.
• Procédures de minimisation des données et de suppression conformes au calendrier de conservation du service.

Sous-traitants

Le client accorde à GenderAPI une autorisation générale écrite d'utiliser les prestataires identifiés comme sous-traitants DPA sur la page des sous-traitants. GenderAPI exigera de chaque tel sous-traitant de protéger les données personnelles du client sous des obligations largement conformes à ce contrat DPA, conformément aux services effectués par le sous-traitant.

GenderAPI reste responsable de ses obligations prévues par ce DPA. Les prestataires utilisés uniquement pour les activités de gestion de GenderAPI, tels que les facturations ou les communications relatives aux comptes, sont identifiés séparément et ne sont pas considérés comme des traiteurs du Client simplement parce qu'ils apparaissent dans le registre des prestataires.

GenderAPI fournira au moins 30 jours d'avance, via la page des sous-traitants, le service ou l'e-mail du compte du client, avant d'ajouter ou de remplacer un sous-traitant qui traitera des données personnelles du client. Le client peut formuler un objet raisonnable et documenté en matière de protection des données pendant cette période.

Les parties s'engageront à trouver une solution commercialement raisonnable en bonnes intentions ; si aucune solution n'est disponible, le Client peut arrêter l'utilisation de la fonction concernée.

Assistance et incidents liés aux données personnelles

En tenant compte de la nature du traitement et des informations disponibles, GenderAPI fournira une assistance raisonnable aux demandes des personnes concernées, aux obligations de sécurité, aux notifications relatives aux fuites de données personnelles, aux évaluations d'impact en matière de protection des données et aux consultations requises par la loi en vigueur en matière de protection des données.

Si une personne concernée contacte GenderAPI concernant des données personnelles du client, GenderAPI peut renvoyer la demande au client, sauf si la loi applicable exige une réponse directe.

GenderAPI informera le Client sans délai inutile et, dans la mesure du possible, dans les 48 heures suivant la prise de conscience d'un défaut de données personnelles confirmé affectant les données personnelles du Client. L'avis fournira les informations disponibles et raisonnablement nécessaires à l'évaluation et aux obligations de notification du Client. Cette notification ne constitue ni une admission de faute ni de responsabilité.

Retour et Suppression

Pendant la période de service, le Client peut récupérer les résultats disponibles via les fonctions de service prises en charge. En cas de fermeture du service, de fin du traitement pertinent ou d'une demande de suppression valable, GenderAPI supprimera ou anonymisera irréversiblement les données personnelles du Client restant dans les systèmes actifs dans les 30 jours, sauf si la loi applicable exige une conservation.

Les données supprimées des systèmes actifs peuvent rester dans des sauvegardes progressives restreintes d'accès jusqu'à 15 jours supplémentaires avant surécriture automatique.

La conservation légale des factures, des transactions, des enregistrements de prévention du fraude ou des litiges ne permet pas l'utilisation continue du contenu des requêtes du client ou des fichiers téléversés. Le calendrier spécifique au domaine prévus dans la Politique de confidentialité reste valable dans les cas où un délai plus court est indiqué.

Informations et audits

GenderAPI mettra à la disposition du Client les informations raisonnablement nécessaires pour démontrer la conformité à ce Règlement, initialement via les politiques actuelles, les documents et une question de sécurité raisonnable.

Si ces informations ne sont pas suffisantes pour une obligation légale, le Client peut demander un audit proportionnel au plus une fois par an, sauf après une violation confirmée ou une demande de régulateur contraignante.

Un audit doit être effectué avec une notification raisonnable, pendant les heures de fonctionnement normales, sans exposer les données d'un autre client ni compromettre la sécurité. Le client assume les frais d'audit sauf si l'audit révèle une violation matérielle par GenderAPI. Les parties conviennent d'abord des termes appropriés de confidentialité et de portée.

Transferts internationaux

Les données personnelles du client peuvent être traitées en Turquie et, par l'intermédiaire d'infrastructures contractées, aux États-Unis. GenderAPI utilisera un mécanisme de transfert juridiquement reconnu lorsque cela s'applique.

Si les clauses contractuelles standard de l'Union adoptées par la décision de la Commission implémentant (UE) 2021/914 sont requises, le module de transfert contrôleur-vers-entrepreneur intégré dans ce document de politique de protection des données (DPA) prévaut sur les dispositions contradictoires relatives à ce transfert. Les parties compléteront tout choix ou détail d'annexe juridiquement requis pour leur transfert spécifique lors de la signature du DPA.

Détails du traitement

Objet et durée

Traitement nécessaire pour fournir GenderAPI pendant l'utilisation du Service par le Client et pour les périodes limitées de suppression, de sauvegarde, de sécurité et de conservation légale décrites dans ce DPA et la Politique de confidentialité.

Nature et finalité

Réception, transmission, analyse et retour de résultats pour des requêtes API, des fichiers Excel ou CSV téléversés, et des opérations de feuille de calcul connectées ; ainsi que les prestations associées d'hébergement, de sécurité, de dépannage et de support.

Categories de personnes concernées

Les personnes dont les noms, adresses e-mail, pseudos ou enregistrements associés sont soumis par le Client ; les utilisateurs, les personnel, les contacts ou les utilisateurs finaux du Client ; et les personnes figurant dans les données de feuille de calcul téléchargées ou connectées.

Types de données personnelles

Noms, adresses e-mail, noms d'utilisateurs, pays ou contexte de localisation, champs de feuilles de calcul fournis par le client, résultat inféré de genre et informations de confiance, ainsi que des métadonnées limitées relatives aux demandes, aux appareils, à l'authentification et à la sécurité nécessaires au fonctionnement du Service. Le client ne doit pas soumettre de données de catégorie spéciale sauf si cela est expressément convenu par écrit et légalement autorisé.