Juridique

Conditions générales d’utilisation

Les conditions qui s’appliquent à l’utilisation de DarknetSearch.

Cette traduction est fournie à titre informatif. Seule la version anglaise fait foi.

  • Document Kaduu SaaS ToS 2025
  • Version 2025 · novembre 2025

1Application des conditions#

1.1

Les présentes conditions générales d’utilisation (ou les « Conditions ») s’appliquent à l’utilisation du Service (tel que défini ci-dessous) par vous (le Client). En accédant au Service et en l’utilisant :

  1. a
    vous acceptez les présentes Conditions ; et
  2. b
    lorsque votre accès et votre utilisation s’effectuent pour le compte d’une autre personne (par exemple une société), vous confirmez être autorisé à accepter les présentes Conditions au nom de cette personne, et les accepter effectivement ; en les acceptant en son nom, cette personne est liée par les présentes Conditions.
1.2

Si vous n’acceptez pas les présentes Conditions, vous n’êtes pas autorisé à accéder au Service ni à l’utiliser, et vous devez cesser immédiatement de le faire (exception 1.3).

1.3

Conditions particulières : nonobstant ce qui précède, vous reconnaissez que nous pouvons convenir de conditions particulières avec certains clients, qui peuvent modifier ou remplacer les présentes conditions générales d’utilisation, ou s’y ajouter. Ces conditions particulières lient les parties dès leur accord écrit mutuel et uniquement dans la mesure où elles dérogent expressément aux présentes conditions générales d’utilisation. En cas de conflit entre les présentes conditions générales d’utilisation et les conditions particulières convenues par écrit entre nous et un client, les conditions particulières prévalent.

2Modifications#

2.1

Les présentes Conditions ne peuvent être modifiées que si les Parties conviennent par écrit de ces modifications. Sauf indication contraire, toute modification prend effet à la date indiquée dans la notification. Il vous incombe de vous assurer de connaître les dernières Conditions en vigueur. En continuant d’accéder au Service et de l’utiliser à compter de la date de modification des Conditions, vous acceptez d’être lié par les Conditions modifiées. Si nous modifions les Conditions et que vous choisissez de ne plus utiliser le Service en raison de cette modification, vous pouvez résilier le présent Contrat immédiatement en nous le notifiant, et nous vous rembourserons au prorata les Frais payés d’avance pour le Service.

2.2

Les présentes Conditions ont été mises à jour pour la dernière fois en novembre 2025.

3Interprétation#

Dans les présentes Conditions :

  • Informations confidentielles désigne toute information qui n’est pas du domaine public et qui est obtenue de l’autre partie dans le cadre de la fourniture et de l’utilisation du Service, ou en lien avec celles-ci. Nos Informations confidentielles comprennent la propriété intellectuelle que nous détenons (ou que détiennent nos concédants de licence), y compris le Logiciel Kaduu et toutes ses données associées au service.
  • Logiciel ou Application Kaduu désigne le logiciel dont nous sommes propriétaires et qui sert à fournir le Service de Cyber Threat Intelligence.
  • Données Kaduu : données de Cyber Threat Intelligence collectées par nos crawlers et nos analystes de données sur le dark web et le deep web.
  • Données désigne toutes les données, tous les contenus et toutes les informations (y compris les informations à caractère personnel) détenus, conservés, utilisés ou créés par vous ou en votre nom, qui sont stockés au moyen du Service ou saisis dans celui-ci.
  • Frais désigne les frais applicables, tels que convenus autrement par écrit entre vous et nous, qui peuvent être mis à jour de temps à autre.
  • Utilisateur(s) autorisé(s) désigne votre organisation et vos employés, ainsi que ceux de vos sociétés affiliées, autorisés à accéder au Service et à l’utiliser.
  • Service désigne le service dont les fonctionnalités essentielles sont décrites sur le Site web, tel que le Site web est mis à jour de temps à autre.
  • Date de début désigne la date de début définie de la licence ou du service.
  • Conditions désigne les présentes conditions intitulées Kaduu SaaS Terms of Service 2024.
  • Systèmes sous-jacents désigne le logiciel Kaduu utilisé pour fournir le Service, y compris les solutions, systèmes et réseaux tiers.
  • Nous, notre, nos ou Kaduu désigne Kaduu AG.
  • Site web désigne le site internet www.kaduu.ch ou tout autre site que nous vous indiquons.
  • Année désigne une période de 12 mois commençant à la Date de début ou à la date anniversaire de celle-ci.
  • Les mots au singulier incluent le pluriel et inversement.
  • Toute référence à une loi inclut les références aux règlements, arrêtés ou avis pris en vertu de cette loi ou de ces règlements, ou en lien avec eux, ainsi que toutes les modifications, tous les remplacements et tous les autres changements les concernant.

4Fourniture du service#

4.1

Nous devons déployer des efforts raisonnables pour fournir le Service :

  1. a
    conformément aux présentes Conditions et au droit suisse ;
  2. b
    en faisant preuve de soin, de compétence et de diligence ; et
  3. c
    en recourant à un personnel suffisamment compétent, expérimenté et qualifié.
4.2

La fourniture du Service à votre intention est non exclusive. Aucune disposition des présentes Conditions ne nous empêche de fournir le Service à toute autre personne ou organisation.

4.3

Nous devons déployer des efforts raisonnables pour garantir la disponibilité du Service 24/7. Il est toutefois possible que le Service soit parfois indisponible afin de permettre des opérations de maintenance ou d'autres activités de développement, ou en cas de force majeure.

4.4

Par l’utilisation de services web et d’API, le Service interagit avec diverses fonctionnalités de tiers. Nous ne donnons aucune garantie ni déclaration quant à la disponibilité de ces fonctionnalités. Sans limiter la phrase précédente, si un fournisseur tiers cesse de proposer une fonctionnalité ou de la rendre disponible à des conditions raisonnables, nous pouvons cesser de vous la proposer. Pour éviter tout doute, si nous exerçons notre droit de cesser de proposer une fonctionnalité tierce, vous n’avez droit à aucun remboursement, remise ni autre compensation.

4.5

Le client accède par l’intermédiaire de Kaduu à des données divulguées. Ces données peuvent comprendre des comptes d’utilisateurs et des mots de passe, des documents généraux, des bases de données, des informations d’utilisateurs issues des réseaux sociaux, des documents techniques, du code issu de développements, des informations sur des domaines, des archives d’attaques de ransomware, des botnet logs, des données de cartes de crédit et des vulnérabilités techniques. La liste n’est pas exhaustive. Kaduu collecte ces données sur le darknet, sur internet et sur le deep web, et les met à disposition dans son service. Kaduu indexe ces données, mais ne peut pas vérifier manuellement chaque enregistrement. Kaduu prend des mesures de protection techniques et des précautions de sécurité conformes à l’état de l’art afin que la plateforme elle-même ne contienne aucun code malveillant, mais nous ne pouvons pas exclure que certains liens mènent à des sites web susceptibles de contenir des logiciels malveillants, ni que les jeux de données piratés (par exemple des documents ou des fichiers) contiennent des logiciels malveillants.

5Vos obligations#

5.1

Vous et votre personnel devez :

  1. a
    Soit utiliser le Service conformément aux présentes Conditions, exclusivement pour :
    1. i
      Vos propres activités commerciales internes ou celles de vos sociétés affiliées, le terme « sociétés affiliées » désignant les entités qui sont directement contrôlées par vous, qui vous contrôlent ou qui sont placées sous un contrôle commun avec vous. Cela exclut la revente ou l’utilisation par des tiers, sauf autorisation expresse de l’offre ; et
    2. ii
      à des fins licites.
  2. b
    Ou revendre le Service à des tiers
    1. i
      Si vous achetez une licence MSSP (Managed Security Service Provider) ou OEM (Original Equipment Manufacturer), vous êtes autorisé à revendre ou à fournir les données et les services à vos propres clients, dans les limites d’API précisées dans l’offre.
    2. ii
      Si vous utilisez la solution Darknet Kaduu pour fournir des services à des tiers, cette utilisation doit être expressément indiquée dans l’offre, et le terme MSSP doit y figurer clairement.
    3. iii
      Dans tous les autres cas, vous ne pouvez revendre le Service ou le mettre à la disposition d’un tiers qu’après en avoir informé Kaduu au préalable.
5.2

Lorsqu’il accède au Service, l’Utilisateur autorisé doit :

  1. a
    ne pas usurper l’identité d’une autre personne ni prétendre à tort être autorisé à agir au nom d’autrui ou en notre nom ;
  2. b
    veiller à ce que toutes les données confidentielles extraites du service soient sécurisées et ne puissent pas être exploitées par des tiers non autorisés ;
  3. c
    être conscient que vous n’êtes pas autorisé à utiliser les identifiants de connexion obtenus via Kaduu pour accéder à un système sans l’autorisation préalable du titulaire d’origine du compte ;
  4. d
    être conscient que nous n’exploitons pas activement de système pour accéder à des données confidentielles et que toutes les informations affichées dans Kaduu sont des données déjà divulguées sur internet ou sur le dark web ;
  5. e
    ne pas tenter de porter atteinte à la sécurité ou à l’intégrité des Systèmes sous-jacents ;
  6. f
    ne pas utiliser le Service, ni en faire un usage abusif, d’une manière susceptible de nuire au fonctionnement des Systèmes sous-jacents ou à la capacité de tout autre utilisateur à utiliser le Service ;
  7. g
    ne pas tenter de consulter, d’accéder à ou de copier des documents ou données autres que :
    1. i
      ce à quoi vous êtes autorisé à accéder ; et
    2. ii
      dans la mesure nécessaire pour que vous puissiez utiliser le Service conformément aux présentes Conditions ; et
  8. h
    ne pas utiliser le Service d’une manière qui porte atteinte aux droits d’un tiers ou qui est répréhensible, inexacte ou trompeuse, ni transmettre, saisir ou stocker de Données qui le font.
5.3

Vous et vos sociétés affiliées pouvez autoriser tout membre de votre personnel respectif à devenir Utilisateur autorisé ; vous devez alors nous communiquer le nom de l’Utilisateur autorisé et les autres informations dont nous avons raisonnablement besoin le concernant. Vous devez veiller à ce que chaque Utilisateur autorisé respecte les clauses 5.1 et 5.2. L’accès à Kaduu est établi pour une entité juridique. Toutes les sociétés affiliées du Client peuvent bénéficier de l’accès à Kaduu.

5.4

Toute violation des présentes Conditions par votre personnel, y compris, pour éviter toute ambiguïté, un Utilisateur autorisé, est réputée constituer une violation des présentes Conditions de votre part.

5.5

Il vous appartient d’obtenir toutes les licences, autorisations et tous les consentements requis pour que vous et votre personnel puissiez utiliser le Service, y compris pour utiliser, stocker et saisir des Données dans le Service, et pour traiter et distribuer des Données par son intermédiaire.

6Utilisation de l’API#

Par défaut, afin d’éviter les délais d’attente dépassés et de garantir la stabilité du service, les limites d’utilisation de l’API suivantes s’appliquent : un maximum de 10 000 appels API sur toute période glissante de 24 heures et un débit maximal de 1 appel API par seconde. Les appels API simultanés ne sont pas autorisés.

Kaduu peut toutefois convenir avec le Client de limites d’utilisation de l’API ou de conditions de licence personnalisées. Ces conditions particulières doivent être expressément indiquées dans l’offre écrite ou le contrat fourni par Kaduu.

Lorsque de telles conditions particulières existent, elles prévalent sur les restrictions d’utilisation de l’API par défaut définies dans les présentes Conditions générales d’utilisation.

Dépassement des limites d’appels API et politique d’utilisation équitable

Si vous dépassez les limites d’appels API ci-dessus et l’usage raisonnable de l’API, Kaduu peut, à sa seule discrétion et à son choix, moyennant un préavis écrit, et en plus de tous les autres droits ou recours dont elle dispose en droit ou en équité : (i) décider de facturer les dépassements aux tarifs alors en vigueur de Kaduu ; ou (ii) suspendre votre utilisation du logiciel Kaduu jusqu’à ce que les limites d’appels et l’usage raisonnable ne soient plus dépassés.

7Restrictions#

Entre les parties, Kaduu détient tous les droits, titres et intérêts afférents à chaque Application et aux Données Kaduu, ainsi que tous les droits de propriété intellectuelle qui s’y rattachent. Kaduu se réserve tous les droits qui ne vous sont pas expressément accordés dans les présentes Conditions. Vous reconnaissez et acceptez que, sauf autorisation expresse contraire dans le présent Contrat ou dans le bon de commande applicable, vous ne pouvez pas :

  1. (a)
    modifier, divulguer, altérer, traduire ou créer des œuvres dérivées de toute Application ou de toute donnée Kaduu ;
  2. (b)
    concéder sous licence, sous-licencier, revendre, distribuer, louer, prêter, transférer, céder ou autrement disposer de toute Application ou de toute donnée Kaduu (ou de l’un de leurs composants) ;
  3. (c)
    proposer toute partie d’une Application ou des données Kaduu sur la base d’un temps partagé ou d’un bureau de services ;
  4. (d)
    autoriser ou permettre à un tiers d’accéder à une Application ou aux données Kaduu, ou de les utiliser ;
  5. (e)
    utiliser une Application pour stocker ou transmettre des virus, des routines logicielles ou tout autre code conçu pour permettre à quiconque d’accéder de manière non autorisée à des logiciels, du matériel ou des données, de les désactiver, de les effacer ou de leur nuire de toute autre manière, ou pour accomplir toute autre action nuisible ;
  6. (f)
    créer un produit ou un service concurrent, ou copier des caractéristiques ou des fonctions d’une Application (y compris, sans s’y limiter, son aspect et son ergonomie) ou les données Kaduu ;
  7. (g)
    perturber ou entraver l’intégrité ou les performances d’une Application ;
  8. (h)
    divulguer publiquement à un tiers toute information de performance ou toute analyse relative à une Application ;
  9. (i)
    supprimer, modifier ou masquer toute mention de propriété figurant dans ou sur une Application ou sur toute donnée de Kaduu, y compris les mentions de droit d’auteur ;
  10. (j)
    utiliser une Application, les données de Kaduu ou tout produit qui en est issu à des fins illégales ou non autorisées, ou d’une manière qui enfreint les lois ou règlements applicables dans votre juridiction ;
  11. (k)
    utiliser une Application ou des données Kaduu à une fin autre que celle prévue dans le présent Contrat et dans le bon de commande applicable ;
  12. (l)
    procéder à de l’ingénierie inverse, décompiler, désassembler ou tenter de toute autre manière de découvrir le code source, le code objet ou la structure, les idées ou les algorithmes sous-jacents d’une Application ou de tout logiciel, document ou donnée relatif à une Application, sauf dans la mesure limitée où le droit applicable interdit une telle restriction ;
  13. (m)
    dans la mesure où la licence prévoit un nombre précis de licences utilisateur, permettre à plusieurs utilisateurs d’utiliser la même licence (nonobstant ce qui précède, vous pouvez transférer des licences d’un utilisateur à un autre) ; ou
  14. (n)
    amener ou autoriser un tiers (y compris, sans limitation, tout client) à accomplir l’un des actes précités.

8Droit de modifier l’application#

Vous reconnaissez que nous nous réservons le droit, à tout moment et sans préavis ni responsabilité envers vous, de modifier chaque Application, ou toute partie de celle-ci, de manière temporaire ou permanente. Nous pouvons modifier une Application pour diverses raisons, notamment pour proposer de nouvelles fonctionnalités, mettre en œuvre de nouveaux protocoles, maintenir la compatibilité avec des normes émergentes ou respecter des exigences réglementaires. Nous ne modifierons pas une Application d’une manière qui réduise sensiblement ses fonctionnalités pendant la durée d’abonnement en cours, conformément au bon de commande correspondant. Toutefois, nous n’apporterons aucune modification à la syntaxe de l’API sans en informer le Client par écrit au moins une semaine à l’avance.

9Droit de suspendre l’accès à l’application#

Sans limiter nos autres droits au titre de la présente section, nous avons le droit, à notre seule discrétion, moyennant un préavis écrit, de suspendre votre accès à toute Application (en tout ou en partie), sans engager notre responsabilité, dans les circonstances suivantes :

  1. (i)
    pour une maintenance programmée ou d’urgence de l’Application, ou de toute partie de celle-ci ;
  2. (ii)
    si nous avons des motifs raisonnables de croire que vous utilisez l’Application ou les données Kaduu en violation du présent Contrat ou de la loi applicable ;
  3. (iii)
    si nous estimons raisonnablement que votre utilisation de l’Application présente un risque de sécurité pour nous ou pour un tiers ;
  4. (iv)
    si les forces de l’ordre ou une autorité publique l’exigent, ou si cela est nécessaire pour se conformer à la loi ou à la réglementation applicable ;
  5. (v)
    si vous utilisez l’Application ou les données Kaduu à d’autres fins que celle convenue ; ou
  6. (vi)
    si vous ne respectez pas vos obligations de paiement en vertu des présentes, malgré l’envoi d’une première relance.

10Indemnisation#

Indemnisation par le client

Vous vous engagez à indemniser, défendre et dégager de toute responsabilité Kaduu AG, ses dirigeants, administrateurs, employés et agents contre toute réclamation, tout dommage, toute responsabilité, perte, tout coût et toute dépense (y compris des frais juridiques raisonnables) découlant de ou liés à votre utilisation du Service en violation des présentes Conditions, ou à tout acte ou omission illicite ou négligent de votre part ou de celle de votre personnel en lien avec le Service.

Indemnisation par Kaduu

Kaduu AG s’engage à indemniser, défendre et garantir contre toute réclamation, tout dommage, toute responsabilité, perte, tout coût et toute dépense (y compris les honoraires juridiques raisonnables) découlant de toute réclamation selon laquelle le Service porterait atteinte à un droit de propriété intellectuelle d’un tiers, ou s’y rapportant.

Conditions

Les obligations d’indemnisation de chaque partie sont soumises aux conditions suivantes :

  1. a.
    La partie indemnisée doit notifier rapidement à la partie qui indemnise toute réclamation ;
  2. b.
    la partie qui indemnise dispose du contrôle exclusif de la défense et du règlement de la réclamation (sous réserve que la partie indemnisée puisse y participer à ses propres frais) ; et
  3. c.
    La partie indemnisée doit apporter une coopération, des informations et une assistance raisonnables, selon les demandes de la partie qui indemnise.

Ces garanties d’indemnisation constituent les recours uniques et exclusifs des parties à l’égard des réclamations de tiers décrites ci-dessus.

11Renonciation aux dommages indirects#

Sauf disposition contraire de la loi applicable, et à l’exclusion des réclamations qui impliquent une violation de la confidentialité ou qui mettent en jeu les obligations de défense et d’indemnisation de Kaduu (détaillées à la Section 10), Kaduu ne saurait en aucun cas être tenue responsable envers vous ou envers un tiers de toute perte de bénéfices, perte d’usage, perte de chiffre d’affaires, perte de clientèle, interruption d’activité, perte de données, ni de tout dommage indirect, spécial, accessoire, exemplaire, punitif ou consécutif de quelque nature que ce soit, découlant du présent Contrat ou en lien avec celui-ci, ou avec votre utilisation (ou impossibilité d’utiliser) toute partie de toute application, les données Kaduu ou les services professionnels, que ce soit sur une base contractuelle, délictuelle, de responsabilité stricte ou autre, même si Kaduu a été informée ou a connaissance par ailleurs de la possibilité de tels dommages.

12Protection des données#

12.1

Vous reconnaissez que :

  1. a
    Lors de la mise en place du Service, le Client peut fournir des informations sur ses employés ou des Informations confidentielles internes, qui serviront de termes de recherche dans Kaduu. Il est courant que les clients nous communiquent des Informations confidentielles pour configurer la surveillance (par exemple des personnes surveillées via la surveillance des réseaux sociaux ou des comptes e-mail surveillés dans le cadre de la surveillance des fuites). Nous pouvons avoir besoin d’accéder aux Données que vous fournissez lors de la mise en place du Service, uniquement pour exercer nos droits et remplir nos obligations au titre des présentes Conditions ; et
  2. b
    dans la mesure où cela est nécessaire, nous pouvons autoriser un ou plusieurs membres de notre personnel à accéder aux Données à cette fin.
12.2

Vous reconnaissez et acceptez que :

  1. a.
    les données du Client ne sont jamais utilisées, sous quelque forme que ce soit, dans l’application Kaduu Threat Intelligence ;
  2. b.
    à la résiliation ou à l’annulation de votre contrat avec nous, nous supprimerons toutes les données propres au client (y compris les alertes, les informations de compte, etc.) de notre application SaaS. Nous nous réservons toutefois le droit de conserver des enregistrements relatifs au client à des fins administratives, par exemple dans notre système de gestion de contenu (CMS), dans nos écritures comptables et dans des domaines similaires, lorsque cette conservation est nécessaire à l’intégrité de nos opérations et au respect des obligations légales. Les droits relatifs à l’utilisation des Données analytiques, décrits ci-dessous, survivent à la résiliation ou à l’expiration des présentes Conditions ;
  3. c.
    nonobstant ce qui précède, nous pouvons utiliser des données sans lien avec nos clients, issues de sources externes, pour produire des données statistiques et analytiques anonymisées et agrégées (Données analytiques) destinées à notre recherche interne et au développement de produits, ainsi que pour mener des analyses statistiques et identifier des tendances et des enseignements ;
  4. d.
    la propriété de l’ensemble des Données analytiques et de tous les droits de propriété intellectuelle qui s’y rattachent nous appartient et nous reste acquise, et nos droits d’utilisation de ces Données analytiques subsistent après la résiliation ou l’expiration des présentes Conditions. Nous prendrons les mesures standard du secteur pour sauvegarder toutes les Données stockées au moyen du Service.
12.3

Vous acceptez que nous puissions stocker les Données sur des serveurs Kaduu sécurisés en Allemagne, chez l’hébergeur Hetzner.

13Protection des données#

13.1

Chaque partie reconnaît que certaines des informations fournies par l’autre partie dans le cadre du présent Contrat constituent des données à caractère personnel (les « Données personnelles ») au sens des règles applicables en matière de protection des données (les « Règles de protection des données »). Chaque partie reconnaît qu’aux fins des Règles de protection des données, elle agit en qualité de responsable du traitement (indépendant) pour toutes les Données personnelles fournies par l’autre partie en vertu du présent Contrat. Le « responsable du traitement » désigne l’entité qui détermine les finalités et les moyens du traitement des données à caractère personnel.

13.2

Dans ce contexte, chaque partie s’engage à respecter ses obligations découlant des Règles de protection des données à l’égard des Données personnelles. Sans préjudice de ce qui précède, chaque partie traite les Données personnelles d’une manière qui (i) est compatible avec les finalités conformes et légitimes pour lesquelles elle les a collectées dans le cadre du présent Contrat et (ii) garantit leur sécurité appropriée, c’est-à-dire par des mesures de sécurité techniques et organisationnelles appropriées. Chaque partie est seule responsable de toute violation éventuelle des Règles de protection des données relative à son propre traitement des Données personnelles.

13.3

Chaque partie reconnaît et veille à tout moment à ce que tout transfert de Données personnelles vers un pays considéré comme non adéquat par la réglementation de l’UE, du Royaume-Uni ou de la Suisse soit effectué dans le respect des Règles de protection des données, que ce transfert soit initié directement ou indirectement par la partie ou par un sous-traitant. Chaque partie est seule responsable de se tenir informée des dernières exigences légales en matière de transferts internationaux de données.

14Frais#

14.1

Paiement des frais : vous devez payer les frais d’utilisation des Services. Les frais sont ceux prévus par les conditions d’un accord écrit, qui peut prendre la forme d’un contrat signé ou d’un e-mail confirmé, ou être indiqués dans une commande officielle.

14.2

Facturation : Nous émettrons régulièrement des factures valides et veillerons à ce qu’elles vous soient remises avant la date d’échéance du paiement. La durée minimale d’abonnement aux Services est de 6 mois, des durées plus longues pouvant être convenues d’un commun accord.

14.3

Conditions de paiement :

  1. a.
    Le paiement des Frais doit être effectué dans un délai de 30 jours à compter de la réception de la facture.
  2. b.
    Les paiements doivent être effectués par voie électronique, en fonds compensés et sans aucune déduction ni compensation.
  3. c.
    D’autres conditions de paiement peuvent être établies d’un commun accord dans un contrat distinct.
14.4

Renouvellement de licence et tarifs : Les licences Kaduu ne se renouvellent pas automatiquement. Nous nous réservons le droit d’ajuster les tarifs des licences à l’avenir. Pour bénéficier des tarifs actuels, vous pouvez opter pour un abonnement SaaS de 2 ou 3 ans, dont le montant total est payable d’avance.

15Propriété intellectuelle#

15.1

Tous les droits de propriété intellectuelle relatifs au Service, au Site web et à tous les Systèmes sous-jacents sont et demeurent notre propriété (et celle de nos concédants de licence). Vous ne devez pas contester cette propriété ni la validité de ces droits de propriété intellectuelle.

15.2

Si vous nous transmettez des idées, commentaires ou suggestions non confidentiels relatifs au Service ou aux Systèmes sous-jacents :

  1. a
    tous les droits de propriété intellectuelle sur ces Retours, et sur tout élément créé à partir de ces Retours (y compris les nouveaux contenus, améliorations, modifications ou œuvres dérivées), nous appartiennent exclusivement ; et
  2. b
    nous pouvons utiliser ou divulguer les Retours anonymisés à toute fin.
15.3

Vous reconnaissez que le Service peut renvoyer vers des sites web ou des flux de tiers liés ou pertinents au regard du Service. Aucun lien figurant dans le Service n’implique que nous approuvions ou recommandions ces sites web ou flux, leur contenu ou leurs exploitants, ni que nous en soyons responsables. Dans toute la mesure permise par la loi, nous excluons toute responsabilité à l’égard de ces sites web ou flux.

16Confidentialité#

16.1

Si les parties ont conclu un accord de non-divulgation distinct, les termes de cet accord prévalent pour les informations partagées en vertu des présentes (sauf dans la mesure où une ou plusieurs stipulations des présentes renvoient expressément à cet accord de non-divulgation).

16.2

Chaque partie doit, sauf si elle a obtenu le consentement écrit préalable de l’autre partie :

  1. a
    préserver en tout temps la confidentialité des Informations confidentielles de l’autre partie ;
  2. b
    mettre en œuvre et maintenir des mesures de sécurité adéquates pour protéger les Informations confidentielles de l’autre partie contre tout accès ou usage non autorisé ; et
  3. c
    ne divulguer les Informations confidentielles de l’autre partie qu’à son personnel ou à ses conseillers professionnels ayant besoin d’en connaître et, dans ce cas, veiller à ce que tout membre du personnel ou conseiller professionnel auquel elle les divulgue ait connaissance de ces obligations de confidentialité.
16.3

L’obligation de confidentialité ne s’applique pas à la divulgation ou à l’utilisation des Informations confidentielles :

  1. a
    qui est accessible au public sans faute du destinataire des Informations confidentielles ni de son personnel, ou
  2. b
    qui a été légitimement reçue par une partie d’un tiers, sans restriction et sans violation d’aucune obligation de confidentialité ;
  3. c
    Par souci de clarté, si l’une des parties est tenue, en vertu de la loi ou de la réglementation applicable, de divulguer les Informations confidentielles de l’autre partie, la partie tenue de les divulguer doit, si la loi le permet, informer l’autre partie de la divulgation prévue au moins 30 jours à l’avance et coopérer avec elle dans ses démarches visant à contester ou à limiter cette divulgation. En outre, et pour clarifier l’applicabilité des exceptions décrites ci-dessus, Kaduu traite toutes les données du Client ayant fuité et toutes les autres informations du Client détectées au moyen du Service et/ou de toute Application comme des Informations confidentielles du Client, même si ces données ou informations relèvent de l’une des exceptions détaillées aux points (a) ou (b) ci-dessus.
16.4

Le présent Contrat ne constitue aucune garantie quant à l’exactitude, à l’exhaustivité ou à l’applicabilité des Informations confidentielles échangées. Aucune des parties n’est tenue d’échanger des Informations confidentielles avec l’autre partie. La partie destinataire a le droit de refuser les Informations confidentielles qui n’ont pas encore été divulguées par la partie qui les communique. Sauf accord écrit contraire, les parties ne se sont réciproquement accordé aucune licence.

16.5

La durée de l’échange d’Informations confidentielles court à compter du début du présent Contrat et pendant toute la durée de validité du Contrat. En cas de violation de l’obligation de non-divulgation ou de la restriction d’utilisation par l’une des parties, l’autre partie est en droit de mettre fin à la coopération de projet sans préavis. La fin de la coopération de projet ne libère pas les parties de leur obligation de continuer à respecter l’obligation de non-divulgation et la restriction d’utilisation des Informations confidentielles, qui subsistent jusqu’à ce que ces Informations confidentielles ne soient plus considérées comme confidentielles par la partie qui en a le contrôle. La fin de l’échange d’informations n’entraîne pas la fin de l’obligation de non-divulgation ni de la restriction d’utilisation des Informations confidentielles.

17Secret bancaire#

17.1

Dans la mesure où le client est une banque, nous sommes soumis au secret professionnel prévu à l’article 47 de la loi fédérale suisse sur les banques (ci-après la « LB »). Nous nous engageons à informer tout représentant de ses obligations de confidentialité et du secret des affaires exigé par Vous (art. 47 LB). Nous Vous remettrons la déclaration relative au secret bancaire (jointe au présent Contrat en Annexe 1), dûment datée et signée par Vos signataires autorisés, et garantissons que le contenu de la déclaration jointe sera présenté à chacun de Vos employés et/ou consultants qui fourniront les Services au titre du présent Contrat, afin qu’ils en aient connaissance avant le début des Services.

18Garanties#

18.1

Chaque partie garantit qu’elle dispose de tous les pouvoirs et de toute l’autorité nécessaires pour conclure les présentes Conditions et exécuter ses obligations à ce titre. Kaduu garantit que les services ne portent pas atteinte aux droits de propriété intellectuelle d’un tiers et ne les violent pas.

18.2

Dans toute la mesure permise par la loi :

  1. a
    nos garanties se limitent à celles énoncées dans les présentes Conditions, et toutes les autres conditions, garanties ou assurances, qu’elles soient expresses ou implicites en vertu de la loi ou autrement (y compris toute garantie au titre de la Partie 3 du Contrat), sont expressément exclues et, dans la mesure où elles ne peuvent l’être, la responsabilité à leur égard est limitée au montant maximal du volume contractuel ; et
  2. b
    nous ne faisons aucune déclaration quant à la qualité du Service et ne promettons pas que le Service :
    1. i
      répondra à vos exigences ou conviendra à un usage particulier, y compris que l’utilisation du Service remplira ou satisfera tout rôle ou toute responsabilité légale qui vous incombe ; ou
    2. ii
      être ininterrompu ou exempt d’erreurs.
18.3

Vous convenez et déclarez que vous acquérez le Service et acceptez les présentes Conditions dans le but d’une utilisation licite du service. Les parties conviennent que :

  1. a
    dans toute la mesure permise par la loi ; et
  2. b
    il est juste et raisonnable que les parties soient liées par cette clause.

19Responsabilité#

19.1

La responsabilité totale maximale de chaque partie au titre des présentes Conditions ou en lien avec celles-ci ou avec le Service, que ce soit en matière contractuelle, délictuelle (y compris la négligence), de violation d’une obligation légale ou autre, ne peut excéder, pour une Année donnée, le double (2x) des Frais dus ou payés par vous pour le Service au cours de l’Année précédente.

19.2

Aucune partie n’est responsable envers l’autre, au titre des présentes Conditions ou du Service ou en lien avec ceux-ci, pour :

  1. a
    perte de bénéfices, de chiffre d’affaires, d’économies, d’activité, d’utilisation, de données (y compris les Données) et/ou de clientèle ; ou
  2. b
    tout dommage ou toute perte indirect, accessoire, spécial ou consécutif, de quelque nature que ce soit.
19.3

Nonobstant la clause 17.2 ci-dessus, la responsabilité des parties n’est ni limitée ni exclue dans les cas suivants :

  1. a
    dommage corporel ou décès ;
  2. b
    faute lourde, fraude ou faute intentionnelle ;
  3. c
    violation des obligations de confidentialité ou atteinte aux droits de propriété intellectuelle.
19.4

La présente clause ne s’applique pas pour limiter votre responsabilité :

  1. a
    de payer les Frais ;
19.5

Aucune des parties ne sera responsable ni réputée en violation des présentes Conditions pour tout manquement à ses obligations au titre des présentes Conditions ou autrement, dans la mesure où ce manquement est causé par le non-respect, par l’autre partie, de ses obligations au titre des présentes Conditions, ou par la négligence ou la faute de l’autre partie ou de son personnel.

19.6

Chaque partie doit prendre des mesures raisonnables pour atténuer toute perte, tout dommage, coût ou dépense qu’elle pourrait subir ou engager du fait de tout acte ou omission de l’autre partie au titre des présentes Conditions ou du Service, ou en lien avec ceux-ci.

20Durée, résiliation et suspension#

20.1

Sauf résiliation, les présentes Conditions et votre droit d’accéder au Service et de l’utiliser :

  1. a
    débute à la Date de début ; et
  2. b
    se poursuit pendant une période de 12 mois à compter de la Date de début ou jusqu’à ce qu’une partie envoie un préavis écrit de 30 jours indiquant que les présentes Conditions ainsi que votre accès au Service et son utilisation prendront fin à l’expiration de ce préavis, la première de ces échéances prévalant.
20.2

Chaque partie peut, par notification à l’autre partie, résilier immédiatement les présentes Conditions et votre droit d’accéder au Service et de l’utiliser si l’autre partie :

  1. a
    viole une disposition essentielle des présentes Conditions et que cette violation n’est pas :
    1. i
      il n’y a pas été remédié dans les 10 jours suivant la réception d’une notification de la première partie exigeant qu’elle y remédie ; ou
    2. ii
      susceptible d’être corrigé ; ou
  2. b
    devient insolvable, est liquidée ou en faillite, fait l’objet de la nomination d’un administrateur, d’un séquestre, d’un liquidateur, d’un gestionnaire légal ou d’un mandataire d’un créancier hypothécaire ou gagiste, fait l’objet de toute forme de procédure d’insolvabilité ou d’administration externe, ou cesse son activité pour quelque raison que ce soit.
20.3

La résiliation des présentes Conditions n’affecte pas les droits et obligations de chaque partie acquis avant cette résiliation.

20.4

En cas de résiliation des présentes Conditions, vous devez payer tous les Frais dus pour la fourniture du Service avant cette résiliation.

20.5

Aucune indemnité ne vous est due par nous du fait de la résiliation des présentes Conditions, et vous n’aurez droit au remboursement d’aucun des Frais que vous avez déjà payés, sauf si nous avons violé le présent Contrat. Si nous avons violé le présent Contrat, nous rembourserons tous les Frais payés pour les Conditions en cours.

20.6

Sauf dans la mesure où une partie dispose de droits continus d’utilisation des Informations confidentielles, à la demande de l’autre partie, une partie doit restituer rapidement à l’autre partie ou détruire toutes les Informations confidentielles de l’autre partie qui sont en sa possession ou sous son contrôle.

20.7

À tout moment jusqu’à un mois après la date de résiliation, vous pouvez demander :

  1. a
    une copie de toutes les données client stockées à l’aide du Service, à condition que vous preniez en charge nos coûts raisonnables de fourniture de cette copie. À réception de cette demande, nous devons fournir une copie des données client sous une forme électronique courante. Nous ne garantissons pas que le format des Données sera compatible avec un logiciel quelconque ; et/ou
  2. b
    la suppression des données client stockées au moyen du Service ; dans ce cas, nous devons déployer des efforts raisonnables pour supprimer rapidement ces données client et vous confirmer cette suppression par écrit.
20.8

Sans limiter tout autre droit ou recours dont nous disposons, nous pouvons restreindre ou suspendre votre accès au Service et son utilisation et/ou supprimer, modifier ou retirer les Données concernées si nous considérons que vous ou l’un des membres de votre personnel avez :

  1. a
    a porté atteinte, ou tenté de porter atteinte, à la sécurité ou à l’intégrité du Service ou de tout Système sous-jacent ;
  2. b
    a utilisé le Service, ou tenté de l’utiliser :
    1. i
      à des fins abusives ; ou
    2. ii
      d’une manière, autre qu’à des fins opérationnelles normales, qui réduit sensiblement les performances opérationnelles du Service ;
  3. c
    transmis, saisi ou stocké des Données qui enfreignent ou sont susceptibles d’enfreindre les présentes Conditions ou un droit de tiers (y compris les droits de propriété intellectuelle et les droits relatifs à la vie privée), ou qui sont ou peuvent être Répréhensibles, inexactes ou trompeuses ; ou
  4. d
    a par ailleurs commis une violation substantielle des présentes Conditions.

21Dispositions générales#

21.1

Aucune des parties n’est responsable envers l’autre de l’inexécution de ses obligations au titre des présentes Conditions dans la mesure où elle est causée par un cas de force majeure.

21.2

Sauf disposition contraire des présentes Conditions, aucune personne autre que vous et nous n’a de droit à un avantage découlant des présentes Conditions ni de droit de les faire appliquer.

21.3

Les parties sont des contractants indépendants, et aucune autre relation (par exemple coentreprise, mandat, fiducie ou partenariat) n’existe en vertu des présentes Conditions.

21.4

Si nous devons vous contacter, nous pouvons le faire par e-mail. Vous acceptez que cela satisfasse à toutes les exigences légales relatives aux communications écrites. Vous pouvez nous adresser une notification au titre des présentes Conditions, ou en lien avec celles-ci, en nous écrivant par e-mail.

21.5

Les présentes Conditions, ainsi que tout litige relatif à celles-ci ou au Service, sont régis par le droit suisse et doivent être interprétés conformément à celui-ci. Chaque partie se soumet à la compétence non exclusive des tribunaux de Zoug (Suisse) pour tout litige lié aux présentes Conditions ou au Service. Nonobstant ce qui précède, les parties peuvent convenir d’un commun accord de modifier la juridiction et le for applicables par un avenant écrit distinct, si les deux parties jugent ce changement nécessaire ou souhaitable.

21.6

Si une partie ou une disposition des présentes Conditions est ou devient illégale, inapplicable ou invalide, elle est réputée modifiée dans la mesure nécessaire pour remédier à l’illégalité, à l’inapplicabilité ou à l’invalidité. Si une modification n’est pas possible, la partie ou la disposition concernée est réputée, à toutes fins, dissociée des présentes Conditions. Le reste des présentes Conditions demeure contraignant.

21.7

Les présentes Conditions énoncent l’intégralité de ce dont les parties sont convenues concernant le Service, et remplacent et annulent tout ce qui a été discuté, échangé ou convenu avant la Date de début.

21.8

Aucune des parties ne peut céder, nover, sous-traiter ou transférer un droit ou une obligation au titre des présentes Conditions sans le consentement écrit préalable de l’autre partie, ce consentement ne pouvant être refusé de manière déraisonnable. Chaque partie reste responsable de ses obligations au titre des présentes Conditions malgré toute cession, sous-traitance ou tout transfert approuvé.

21.9

En cas de divergence entre les présentes Conditions et un bon de commande ou tout autre document contractuel, les présentes Conditions prévalent.

22Documentation technique#

Les indications figurant dans les brochures, la documentation technique et les catalogues de Kaduu ne sont pas contraignantes. Les données contenues dans les documents techniques ne sont contraignantes que si leur caractère contraignant est expressément précisé dans la présente offre ou dans les documents techniques correspondants.

23Lutte contre la corruption#

Chaque partie garantit qu’elle respectera, à ses propres frais, toutes les lois applicables, y compris, sans s’y limiter, la législation sur les sanctions, les lois relatives à la lutte contre le blanchiment d’argent, à la lutte contre la corruption ou à la lutte contre le terrorisme (telles que, selon le cas, le Code pénal suisse, le US Foreign Corrupt Practices Act de 1977 ou le UK Bribery Act 2010), ainsi que ses propres codes de conduite professionnelle et politiques et procédures internes qui interdisent les comportements illégaux ou contraires à l’éthique, ayant un lien direct ou indirect avec le présent Contrat ou avec l’exercice par l’une ou l’autre partie de ses droits ou l’exécution des obligations de l’autre partie au titre du présent Contrat.

Chaque Partie garantit qu’elle n’a pas pris, et qu’à sa connaissance aucun de ses affiliés, dirigeants, administrateurs, employés ou représentants n’a pris, de mesure tendant à offrir, verser, promettre de verser, autoriser ou approuver le versement ou la remise d’argent, de biens, de cadeaux ou de toute autre chose de valeur, directement ou indirectement, à toute personne ou entité afin d’influencer un acte officiel ou d’obtenir un avantage indu.

Lorsque la partie concernée agit en qualité d’intermédiaire et/ou fait intervenir d’autres parties (par exemple des clients sous-jacents, des sous-traitants), elle prend les mesures nécessaires pour mettre en œuvre des procédures similaires et une due diligence appropriée à l’égard de ces tiers.

24Utilisation du nom#

Sauf si cela est nécessaire pour fournir les services conformément au présent Contrat, aucune des parties ne peut utiliser le nom, les logos, les marques ou les sociétés affiliées de l’autre partie, ni publier de communiqué public concernant l’existence du présent Contrat ou des Services à fournir en vertu de celui-ci, sans le consentement écrit préalable de l’autre partie et sous une forme acceptable pour la partie qui l’accorde, ce consentement pouvant être refusé à la seule discrétion de celle-ci. Chaque partie supprime toute référence de ce type dans les meilleurs délais à la première demande écrite de l’autre partie.

1Accord RGPD#

L’accord est conclu entre l’entité identifiée ci-dessous en tant que responsable du traitement et Kaduu AG (sous-traitant). Le présent DPA s’applique au traitement des Données personnelles, dans le champ d’application du Règlement général de l’UE sur la protection des données 2016/679 (tel que défini plus avant à la Section 11, ci-après « RGPD »), par Kaduu AG pour le compte du responsable du traitement. Depuis le 23 juillet 2018, Kaduu AG traite les Données personnelles conformément aux exigences du RGPD directement applicables à la fourniture de ses Services par Kaduu AG.

Les parties au présent DPA conviennent d’être liées par les termes et conditions des clauses contractuelles ci-jointes. Pour que le présent DPA soit effectif, le responsable du traitement doit d’abord :

Remplissez et signez le bloc d’informations ci-dessous

Envoyer le DPA complété et signé à info@kaduu.io

2Traitement des données à caractère personnel#

Les parties conviennent que, pour le traitement des données à caractère personnel, le Client est le responsable du traitement, Kaduu AG est un sous-traitant et Kaduu AG fait appel à des sous-traitants ultérieurs conformément aux exigences énoncées à la section 5 « Sous-traitants ultérieurs » ci-dessous.

Le Client doit, dans son utilisation ou sa réception des Services, traiter les Données personnelles conformément aux exigences des Lois sur la protection des données et veille à ce que ses instructions relatives au traitement des Données personnelles soient conformes aux Lois sur la protection des données. Le Client est seul responsable de l’exactitude, de la qualité et de la licéité des Données personnelles ainsi que des moyens par lesquels il a acquis les Données personnelles.

Kaduu AG traitera les Données personnelles conformément aux Lois sur la protection des données applicables et aux exigences du RGPD directement applicables à la fourniture de ses Services par Kaduu AG. Kaduu AG ne traitera les Données personnelles que pour le compte du Client et conformément à ses instructions documentées, et les considérera comme des Informations confidentielles. Le Client donne instruction à Kaduu AG de traiter les Données personnelles aux fins suivantes :

  1. (i)
    traitement conforme au Contrat et aux commandes applicables ; (ii) traitement visant à se conformer à d’autres instructions raisonnables données par le Client (par exemple via un ticket de support), lorsque ces instructions sont conformes aux termes du Contrat, et
  2. (ii)
    (iii) traitement des Données personnelles exigé par le droit applicable auquel Kaduu AG ou une Société affiliée de Kaduu AG est soumise, y compris, sans s’y limiter, les Lois sur la protection des données applicables ; dans ce cas, Kaduu AG ou la Société affiliée concernée informe le Client de ce traitement légalement requis des Données personnelles, dans la mesure permise par le droit applicable.
  3. (iii)
    Conformément à l’article 28, paragraphe 3, du RGPD, l’objet et la durée du Traitement, la nature et la finalité du Traitement, les types de Données à caractère personnel et les catégories de Personnes concernées sont définis à l’Annexe I du présent Addendum DPA (intitulée « Annexe 1 : Détails du Traitement des données à caractère personnel du Client »). L’objet du Traitement des Données à caractère personnel par Kaduu AG est l’exécution des Services fournis en vertu du Contrat. Moyennant un préavis écrit, le Client peut demander les modifications raisonnables qu’il juge raisonnablement nécessaires pour satisfaire aux exigences de l’article 28, paragraphe 3, du RGPD, et Kaduu AG examinera ces modifications demandées.

3Droits des personnes concernées#

Kaduu AG s’engage, dans la mesure où la loi l’autorise, à informer sans délai le Client si elle reçoit d’une Personne concernée une demande d’exercice de son droit d’accès, de son droit de rectification, de limitation du Traitement, d’effacement (« droit à l’oubli »), de portabilité des données, d’opposition au Traitement, ou de son droit de ne pas faire l’objet d’une décision individuelle automatisée (« Demande de la personne concernée »). Compte tenu de la nature du Traitement, Kaduu AG assiste le Client par des mesures techniques et organisationnelles appropriées, dans la mesure du possible, afin de lui permettre de satisfaire à son obligation de répondre à une Demande de la personne concernée au titre du chapitre III du RGPD. Sauf dans la mesure requise par la loi applicable, Kaduu AG ne répond à aucune Demande de la personne concernée sans le consentement écrit préalable du Client, si ce n’est pour confirmer que la demande concerne le Client.

En outre, dans la mesure où le Client, dans son utilisation des Services, n’est pas en mesure de traiter une demande de personne concernée, Kaduu AG fournira, à la demande du Client, des efforts commercialement raisonnables pour l’aider à répondre à cette demande, dans la mesure où Kaduu AG y est légalement autorisée et où cette demande de personne concernée est requise par les lois applicables en matière de protection des données. Tous les frais découlant de cette assistance sont à la charge du Client, dans la mesure permise par la loi.

4Personnel#

Kaduu AG veille à ce que son personnel participant au traitement des données à caractère personnel soit informé du caractère confidentiel de ces données, ait reçu une formation appropriée sur ses responsabilités et soit soumis à des obligations de confidentialité, et à ce que ces obligations subsistent après la fin de la mission de la personne concernée auprès de Kaduu AG.

Kaduu AG prend des mesures commercialement raisonnables pour garantir la fiabilité de tout membre du personnel de Kaduu AG participant au traitement des Données personnelles.

Kaduu AG veille à ce que l’accès du Groupe Kaduu AG aux données à caractère personnel soit limité aux membres du personnel qui ont besoin de cet accès pour exécuter le Contrat.

Délégué à la protection des données. Les membres de Kaduu AG ont désigné un délégué à la protection des données lorsque cette désignation est requise par les Lois sur la protection des données. Cette personne peut être jointe à l’adresse gdpr@kaduu.io.

5Sous-traitants ultérieurs#

Le Client reconnaît et accepte que (a) les Sociétés affiliées de Kaduu AG peuvent être engagées en tant que Sous-traitants ultérieurs ; et (b) Kaduu AG et ses Sociétés affiliées peuvent respectivement faire appel à des Sous-traitants ultérieurs tiers pour la fourniture des Services. Ces Sous-traitants ultérieurs ne sont autorisés à accéder aux Données à caractère personnel que pour fournir les services pour lesquels Kaduu AG les a engagés, et il leur est interdit d’utiliser ces Données à caractère personnel à toute autre fin.

Kaduu AG est responsable des actes et omissions de ses sous-traitants ultérieurs dans la même mesure que si elle exécutait directement les services de chaque sous-traitant ultérieur selon les termes du présent DPA, sauf disposition contraire du Contrat.

Kaduu AG ou la Société affiliée de Kaduu AG a conclu avec chaque sous-traitant ultérieur un accord écrit contenant des obligations en matière de protection des données au moins aussi protectrices que les termes du présent Avenant en ce qui concerne la protection des Données personnelles et satisfaisant aux exigences de l’article 28(3) du RGPD ou aux dispositions équivalentes de toute autre Loi sur la protection des données, dans la mesure applicable à la nature des Services fournis par ce sous-traitant ultérieur.

Le Client autorise Kaduu AG et chaque Société affiliée de Kaduu AG à désigner des sous-traitants conformément à la présente section.

Le Client peut s’opposer au recours de Kaduu AG à un nouveau sous-traitant ultérieur en en informant Kaduu AG sans délai par écrit dans un délai de dix (10) jours ouvrables. En cas d’opposition du Client, Kaduu AG prendra des mesures commercialement raisonnables pour répondre aux objections soulevées par le Client et lui fournira une explication écrite raisonnable des mesures prises pour y répondre.

Transferts de données. Kaduu AG ne transfère les Données personnelles du Client que de manière licite, dans le respect des Lois applicables en matière de protection des données. Uniquement aux fins de la fourniture des Services au Client au titre du Contrat et sous réserve de la présente section, le Client autorise par les présentes Kaduu AG à effectuer des transferts courants de Données personnelles vers l’entité locale de Kaduu AG et/ou vers des Sous-traitants ultérieurs agréés de Kaduu AG. Toutefois, lorsque des Données personnelles du Client sont transférées depuis l’Union européenne, l’Espace économique européen et/ou leurs États membres, la Suisse et le Royaume-Uni vers des pays qui n’assurent pas un niveau de protection des données adéquat au sens des Lois sur la protection des données des territoires précités (« Transferts restreints »), Kaduu AG respecte les dispositions de la section 5 à l’égard de ces Transferts restreints.

6Sécurité#

Compte tenu de l’état de l’art, des coûts de mise en œuvre ainsi que de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le Client et Kaduu AG mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque. Kaduu AG maintiendra des mesures techniques et organisationnelles appropriées pour protéger la sécurité, la confidentialité et l’intégrité des Données personnelles, qui répondent aux exigences applicables à un sous-traitant au titre du RGPD, telles qu’énoncées à l’Annexe 2 « Sécurité du traitement – art. 32 RGPD ». Kaduu AG contrôle régulièrement le respect de ces garanties. Kaduu AG ne réduira pas sensiblement la sécurité globale des Services pendant la durée de la fourniture de ces Services par Kaduu AG en vertu du Contrat applicable ou du bon de commande correspondant.

Sur demande écrite du Client, à intervalles raisonnables, Kaduu AG fournit une copie de ses audits ou certifications de tiers les plus récents, selon le cas, ou de leurs synthèses, relatifs au Traitement des Données personnelles du Client, que Kaduu AG met généralement à la disposition de ses clients au moment de la demande. Kaduu AG met à la disposition du Client, sur demande écrite raisonnable, les informations nécessaires pour démontrer le respect du présent Avenant, et autorise les demandes d’audit écrites du Client ou d’un auditeur indépendant relatives au Traitement des Données personnelles, afin de vérifier que Kaduu AG applique des procédures raisonnables conformes au présent Avenant, étant précisé que le Client n’exerce pas ce droit plus d’une fois par an. Ces droits à l’information et d’audit sont accordés au titre de la présente section 6 dans la mesure où le Contrat ne prévoit pas de tels droits d’audit répondant aux exigences des Lois applicables en matière de protection des données (y compris, le cas échéant, l’article 28, paragraphe 3, point h), du RGPD). Toute information fournie par Kaduu AG et/ou tout audit réalisé en application de la présente section est soumis aux obligations de confidentialité prévues par le Contrat.

Kaduu AG apporte au Client l’assistance raisonnable nécessaire pour qu’il satisfasse à son obligation de réaliser une analyse d’impact relative à la protection des données au titre de l’article 35 ou 36 du RGPD, en lien avec son utilisation des Services. Kaduu AG fournit cette assistance à la demande raisonnable du Client, dans la mesure où celui-ci n’a pas déjà accès aux informations pertinentes et où ces informations sont à la disposition de Kaduu AG. En outre, Kaduu AG apporte une assistance raisonnable au Client dans le cadre de la coopération ou de la consultation préalable avec l’Autorité de contrôle dans l’exercice de ses missions relatives à la présente Section 6, dans la mesure requise par le RGPD.

7Gestion et notification des failles de sécurité#

Kaduu AG notifiera promptement le Client, sans retard injustifié, dès qu’elle aura connaissance de toute destruction, perte, altération ou divulgation non autorisée accidentelle ou illicite, ou de tout accès illicite, concernant des Données personnelles du Client transmises, stockées ou autrement traitées par Kaduu AG ou ses sous-traitants ultérieurs et dont Kaduu AG a connaissance (« Violation de sécurité »). Kaduu AG déploiera des efforts raisonnables pour identifier la cause de cette Violation de sécurité et, promptement et sans retard injustifié : (a) enquêtera sur la Violation de sécurité et fournira au Client des informations à son sujet, y compris, le cas échéant, les informations qu’un sous-traitant doit fournir à un responsable du traitement en vertu de l’article 33(3) du RGPD, dans la mesure où ces informations sont raisonnablement disponibles ; et (b) prendra des mesures raisonnables pour atténuer les effets de la Violation de sécurité et en limiter les dommages, dans la mesure où la remédiation relève du contrôle raisonnable de Kaduu AG. Les obligations prévues ici ne s’appliquent pas à une violation causée par le Client ou ses Utilisateurs autorisés. La notification sera transmise au Client conformément à la Section 7 ci-dessous.

L’obligation de Kaduu AG de signaler une Faille de sécurité ou d’y répondre en vertu de la présente section ne saurait être interprétée comme une reconnaissance par Kaduu AG d’une faute ou d’une responsabilité relative à la Faille de sécurité.

Les notifications de Violations de sécurité, le cas échéant, seront adressées à un ou plusieurs contacts commerciaux, techniques ou administratifs du Client par tout moyen choisi par Kaduu AG, y compris par e-mail. Il incombe exclusivement au Client de veiller à tout moment à ce que ses coordonnées soient exactes dans les systèmes de support de Kaduu AG.

8Restitution et suppression des données du client#

Kaduu AG restituera les Données du Client au Client et/ou les supprimera conformément aux procédures de Kaduu AG et aux Lois sur la protection des données et/ou conformément aux termes du Contrat.

À la demande du Client, Kaduu AG supprime ou restitue au Client toutes les Données personnelles à l’issue de la fourniture des Services relatifs au Traitement, et supprime les copies existantes.

9Conditions supplémentaires pour les données à caractère personnel de l’UE#

Les Clauses contractuelles types s’appliquent uniquement aux Données personnelles transférées de l’Espace économique européen (EEE) ou de la Suisse vers un pays ou un destinataire situé en dehors de l’EEE ou de la Suisse, directement ou par transfert ultérieur : (i) que la Commission européenne ne reconnaît pas comme offrant un niveau de protection adéquat des données à caractère personnel (tel que décrit conformément à la Loi sur la protection des données applicable), et (ii) qui n’est pas couvert par un cadre approprié reconnu par les autorités ou juridictions compétentes comme offrant un niveau de protection adéquat des données à caractère personnel, y compris, sans s’y limiter, les règles d’entreprise contraignantes pour les sous-traitants.

Les clauses contractuelles types s’appliquent (i) à l’entité juridique qui a signé les clauses contractuelles types en qualité d’exportateur de données et (ii) à toutes les Sociétés affiliées (telles que définies dans le Contrat) du Client établies dans l’Espace économique européen (EEE) et en Suisse qui ont acheté des Services sur la base d’une commande passée au titre du Contrat. Aux fins des clauses contractuelles types et de la présente Section 9, le Client et ses Sociétés affiliées sont réputés être des « exportateurs de données ».

Le présent DPA et le Contrat constituent les instructions complètes et définitives de l’Exportateur de données à l’Importateur de données pour le traitement des données à caractère personnel. Toute instruction supplémentaire ou différente doit faire l’objet d’un accord distinct. Aux fins de la clause 5(a) des Clauses contractuelles types, est réputé constituer une instruction de l’Exportateur de données de traiter des données à caractère personnel : (a) le traitement conforme au Contrat et aux commandes applicables qui en relèvent ; et (b) le traitement conforme aux autres instructions raisonnables données par le Client (par exemple via un ticket de support), lorsque ces instructions sont compatibles avec les termes du Contrat.

Conformément à la clause 5(h) des Clauses contractuelles types, l’Exportateur de données reconnaît et accepte expressément que les Sociétés affiliées de Kaduu AG peuvent être retenues en tant que sous-traitants ultérieurs ; et (b) que Kaduu AG et ses Sociétés affiliées peuvent respectivement faire appel à des sous-traitants ultérieurs tiers dans le cadre de la fourniture des Services. L’Importateur de données met à la disposition du Client une liste à jour des sous-traitants ultérieurs pour les Services concernés, avec l’identité de ces sous-traitants ultérieurs, conformément à la Section 5 du présent DPA.

Les parties conviennent que les copies des contrats de sous-traitance ultérieure que l’Importateur de données doit transmettre à l’Exportateur de données conformément à la clause 5 des Clauses contractuelles types peuvent être préalablement expurgées par l’Importateur de données de toute information commerciale ou de toute disposition étrangère aux Clauses contractuelles types ou à leur équivalent ; et que ces copies ne seront fournies par l’Importateur de données que sur demande raisonnable de l’Exportateur de données.

Les parties conviennent que les audits relatifs aux Clauses contractuelles types sont réalisés selon les modalités suivantes : à la demande de l’Exportateur de données, et sous réserve des obligations de confidentialité prévues par le Contrat, l’Importateur de données met à la disposition de l’Exportateur de données (ou de son auditeur tiers indépendant qui n’est pas un concurrent de Kaduu AG), dans un délai raisonnable suivant cette demande, des informations sur le respect par le Groupe Kaduu AG des obligations énoncées dans le présent DPA, sous la forme des certifications et audits de tiers qu’il réalise, tels que décrits dans le Contrat et/ou dans le Document sur les pratiques de sécurité, dans la mesure où Kaduu AG les met généralement à la disposition de ses clients. Le Client peut contacter l’Importateur de données conformément à la section « Notifications » du Contrat pour demander un audit sur site des procédures relatives à la protection des données à caractère personnel. Le Client rembourse à l’Importateur de données le temps consacré à tout audit sur site de ce type, aux tarifs de services professionnels en vigueur du Groupe Kaduu AG, qui sont communiqués à l’Exportateur de données sur demande. Avant le début de tout audit sur site, l’Exportateur de données et l’Importateur de données conviennent d’un commun accord de la portée, du calendrier et de la durée de l’audit, ainsi que du tarif de remboursement dont l’Exportateur de données est redevable. Tous les tarifs de remboursement sont raisonnables, compte tenu des ressources mobilisées par l’Importateur de données. L’Exportateur de données informe sans délai l’Importateur de données de tout manquement constaté au cours d’un audit.

Les parties conviennent que l’importateur de données ne fournira à l’exportateur de données l’attestation de suppression des Données personnelles que sur demande de ce dernier.

10Parties au présent DPA#

Limitation de responsabilité. Kaduu AG, Inc. est partie aux Clauses contractuelles types de l’Annexe 1. Si Kaduu AG, Inc. n’est pas partie au Contrat, la section « Limitation de responsabilité » du Contrat s’applique entre le Client et Kaduu AG, Inc., et toute référence à « Kaduu AG » dans ce cadre inclut à la fois Kaduu AG, Inc. et l’entité Kaduu AG qui est partie au Contrat. La responsabilité de chaque partie et de toutes ses Sociétés affiliées, prise ensemble de manière globale, découlant du présent DPA ou s’y rapportant, ainsi que de tous les DPA conclus entre les Sociétés affiliées autorisées et Kaduu AG, que ce soit sur une base contractuelle, délictuelle ou sur tout autre fondement juridique, est soumise à la section « Limitation de responsabilité » du Contrat régissant les Services concernés, et toute référence dans cette section à la responsabilité d’une partie désigne la responsabilité globale de cette partie et de toutes ses Sociétés affiliées au titre du Contrat et de tous les DPA pris ensemble. Pour éviter toute ambiguïté, chaque référence au DPA dans le présent DPA désigne le présent DPA, y compris ses Annexes, Appendices et/ou Addenda.

Sociétés affiliées autorisées et relation contractuelle. En signant le présent DPA, le Client conclut celui-ci en son nom propre et, dans la mesure requise par les Lois applicables en matière de protection des données, au nom et pour le compte de ses Sociétés affiliées autorisées, si et dans la mesure où Kaduu AG Traite des Données à caractère personnel pour lesquelles ces Sociétés affiliées autorisées ont la qualité de responsable du traitement. Chaque Société affiliée autorisée accepte d’être liée par les obligations du présent DPA et, le cas échéant, par le Contrat. Pour éviter toute ambiguïté, une Société affiliée autorisée n’est pas partie au Contrat et ne le devient pas ; elle est uniquement partie au DPA. Tout accès aux Services et toute utilisation de ceux-ci par les Sociétés affiliées autorisées doivent respecter les conditions du Contrat, et toute violation des conditions du Contrat par une Société affiliée autorisée est réputée être une violation par le Client. Aux seules fins du présent DPA, le terme « Client » désigne le Client et les Sociétés affiliées autorisées, sauf indication contraire.

Communication. Le Client partie contractante au Contrat reste responsable de la coordination de toute communication avec Kaduu AG au titre du présent DPA et est habilité à émettre et à recevoir toute communication relative au présent DPA au nom de ses Sociétés affiliées autorisées.

11Obligation d’informer en cas d’instructions#

Respect des instructions:
Le sous-traitant (Kaduu AG) traite les données à caractère personnel uniquement sur instructions documentées du responsable du traitement (le Client), y compris en ce qui concerne les transferts de données à caractère personnel vers un pays tiers ou une organisation internationale, à moins d’y être tenu par le droit de l’Union ou le droit d’un État membre. Dans ce cas, le sous-traitant informe le responsable du traitement de cette obligation juridique avant le traitement, sauf si le droit interdit une telle information pour des motifs importants d’intérêt public.

Obligation de notifier les instructions contraires à la réglementation:
Si, de l’avis du Sous-traitant, une instruction donnée par le Responsable du traitement enfreint la législation applicable en matière de protection des données, notamment le Règlement général sur la protection des données (RGPD) ou d’autres réglementations relatives à la protection des données, le Sous-traitant en informe le Responsable du traitement dans les meilleurs délais. Cette notification comprend :

  • Une description détaillée de la violation supposée.
  • Une référence aux dispositions applicables du RGPD ou d’autres réglementations pertinentes en matière de protection des données.
  • Le cas échéant, des recommandations d’alternatives licites à l’instruction.

Suspension de l’exécution:
Le sous-traitant est en droit de suspendre temporairement l’exécution de toute instruction réputée enfreindre le RGPD ou d’autres lois sur la protection des données, jusqu’à ce que la question soit clarifiée entre les Parties ou avec une autorité de contrôle compétente.

Documentation:
Le Sous-traitant documente ces notifications et la correspondance y afférente afin de démontrer le respect de la présente clause et des lois applicables.

12Annexe#

12.1Annexe 1 Détails du traitement des données à caractère personnel du Client

Dans le cadre de la fourniture de Kaduu Threat Intelligence SaaS, il est essentiel de définir les modalités et l’étendue du traitement des données à caractère personnel effectué pour le compte de nos clients. Kaduu AG s’engage à garantir la transparence et la conformité avec le Règlement général sur la protection des données (RGPD) et les autres lois applicables en matière de protection des données. Cette section détaille les activités de traitement relatives aux données à caractère personnel que Kaduu AG réalise dans le cadre de la fourniture de nos services.

Nature du traitement des données : Kaduu AG exploite un service proactif de threat intelligence conçu pour identifier les menaces de sécurité et les vulnérabilités potentielles associées aux noms de domaine de nos clients. Notre service surveille et analyse automatiquement les domaines par rapport à une base de données de menaces de sécurité et de vulnérabilités, que notre équipe met à jour de manière indépendante chaque jour.

Collecte limitée de données à caractère personnel : Les données à caractère personnel traitées dans le cadre de nos services comprennent principalement les adresses e-mail des destinataires désignés au sein de votre organisation, configurés pour recevoir les alertes. Il est important de noter que Kaduu AG n’exige ni ne conserve aucune information personnelle sensible en dehors de ces adresses e-mail. Notre système ne collecte pas de données à caractère personnel pour le compte des clients ; il utilise les informations de domaine des clients comme filtre pour les comparer à notre base de données de menaces, tenue de manière indépendante.

Pourquoi le stockage de données confidentielles est inutile : Par conception, notre système exploite les informations de votre domaine pour rechercher et identifier les expositions ou menaces potentielles qui ont été identifiées de manière indépendante et stockées dans notre base de données. Lorsqu’une correspondance est trouvée, des alertes sont générées et envoyées aux adresses e-mail prédéfinies associées à votre domaine. Cette approche supprime la nécessité de stocker ou de traiter toute donnée confidentielle supplémentaire, ce qui limite l’étendue du traitement des données à caractère personnel et renforce la sécurité des données.

Collecte indépendante de données : Notre base de données est alimentée et mise à jour par le travail rigoureux et quotidien de notre équipe d’experts, qui explorent diverses sources à la recherche de menaces de sécurité et de vulnérabilités potentielles. Ce processus est mené indépendamment de toute donnée client, de sorte que nos efforts de détection des menaces sont proactifs et ne dépendent d’aucune information fournie par le client, hormis le domaine utilisé pour configurer le service.

Grâce à cette approche structurée, Kaduu AG veille à ce que le traitement des données à caractère personnel soit limité à ce qui est strictement nécessaire pour fournir le service efficacement, tout en maintenant les normes les plus élevées de protection des données et de conformité en matière de sécurité. Cette méthode est non seulement conforme aux exigences légales, mais réduit aussi les risques liés au traitement des données en limitant les données à caractère personnel à ce qui est essentiel à la fourniture de nos services.

  • Objet : Le traitement des noms de domaine détenus ou gérés par le Client afin de surveiller et d’identifier les menaces de sécurité potentielles.
  • Nature et finalité du traitement : Le traitement consiste à collecter et à analyser des données de domaines afin de détecter des menaces et des vulnérabilités. Des alertes sont générées à partir de l’analyse, et des notifications sont envoyées par e-mail aux destinataires désignés au sein de l’organisation du Client.
  • Types de données à caractère personnel : adresses e-mail des destinataires des alertes.
  • Catégories de personnes concernées : Employés ou représentants du Client désignés pour recevoir les alertes de threat intelligence.
  • Durée du traitement : Les données à caractère personnel seront traitées pendant toute la durée de l’abonnement du Client à Kaduu Threat Intelligence SaaS, sauf suppression anticipée demandée par le Client conformément au RGPD.

12.2Annexe 2 Sécurité du traitement

Compte tenu de l’état de l’art, des coûts de mise en œuvre, ainsi que de la nature, de la portée, du contexte et des finalités du traitement, Kaduu AG s’engage à maintenir des mesures techniques et organisationnelles robustes afin de garantir un niveau de sécurité adapté au risque lié au traitement des Données personnelles.

  • Sécurité du centre de données : Toutes les données à caractère personnel sont stockées et traitées dans notre centre de données sécurisé situé en Allemagne, conforme aux normes ISO/IEC 27001:2013. Voir https://www.hetzner.com/de/unternehmen/zertifizierung/
  • Chiffrement : Les données à caractère personnel sont chiffrées en transit et au repos à l’aide de méthodes de chiffrement conformes aux standards du secteur.
  • Contrôle d’accès : des contrôles d’accès stricts sont appliqués afin que seul le personnel autorisé ait accès aux données à caractère personnel, selon le principe du moindre privilège.
  • Audits réguliers : Des audits de sécurité réguliers sont menés afin de garantir le respect continu des politiques de sécurité établies et des lois sur la protection des données.
  • Réponse aux incidents : Nous disposons d’un plan de réponse aux incidents établi pour traiter rapidement et efficacement toute violation présumée de la sécurité des données. Il prévoit notamment d’informer les clients sans retard injustifié après avoir eu connaissance de la violation.
  • Conformité à l’article 32 du RGPD : Toutes les mesures sont conçues pour respecter les exigences de l’article 32 du RGPD, afin de garantir la confidentialité, l’intégrité, la disponibilité et la résilience constantes des systèmes et services de traitement.

12.3Annexe 3 Sociétés affiliées et sous-traitants

12.3.1Annexe 3 A : Hébergeur

Pour fournir les services décrits dans le présent contrat, le Fournisseur recourt à certains affiliés et sous-traitants ultérieurs pour l’hébergement et le stockage des données à caractère personnel. L’hébergeur Hetzner Online GmbH, situé en Allemagne, intervient en tant que sous-traitant ultérieur pour les services d’infrastructure serveur.

Hetzner Online GmbH fournit des services d’hébergement, mais n’a pas accès au contenu des serveurs, car toutes les données sont gérées et contrôlées exclusivement par le Fournisseur. Hetzner Online GmbH agit uniquement en tant que fournisseur d’infrastructure de serveurs et respecte les exigences de protection des données du RGPD, y compris des mesures techniques et organisationnelles appropriées pour garantir la sécurité et la confidentialité des données à caractère personnel.

Le Fournisseur veille à ce que :

  • Un accord de traitement des données (DPA) est en place avec Hetzner Online GmbH.
  • Hetzner Online GmbH exerce ses activités dans le respect du RGPD et ne traite les données à caractère personnel que sur instruction et sous le contrôle du Fournisseur.
  • Toutes les données transférées à Hetzner Online GmbH restent stockées dans l’Espace économique européen (EEE).

Le Client reconnaît et accepte le recours à Hetzner Online GmbH en tant que sous-traitant ultérieur pour les services fournis au titre du présent contrat.

12.3.2Annexe 3 B : Recours à du personnel externe

Pour soutenir le développement et la maintenance des services fournis au titre du présent accord, le Fournisseur peut faire appel à du personnel externe, y compris des indépendants, disposant d’un accès limité au service et aux données à caractère personnel associées. Ces personnes travaillent dans le cadre d’accords contractuels stricts garantissant le respect des lois sur la protection des données, y compris le Règlement général sur la protection des données (RGPD).

Le Fournisseur veille à ce que :

  1. 1.
    Accords de confidentialité et de protection des données : Tous les indépendants sont liés par des accords de confidentialité et de protection des données, qui comprennent l’obligation de protéger les données à caractère personnel, d’empêcher tout accès non autorisé et de respecter les politiques de protection des données du Fournisseur.
  2. 2.
    Limitation de l’accès : L’accès aux données à caractère personnel n’est accordé que selon le principe du besoin d’en connaître et est strictement limité à ce qui est nécessaire à l’exécution des tâches confiées. Lorsque c’est possible, l’accès aux données à caractère personnel est pseudonymisé ou minimisé afin de réduire l’exposition.
  3. 3.
    Formation à la protection des données : Les indépendants reçoivent des consignes et, le cas échéant, une formation afin de comprendre leurs responsabilités au titre du RGPD et des protocoles internes du Fournisseur relatifs au traitement des données.
  4. 4.
    Suivi et audit : le Fournisseur suit et audite les activités des freelances afin de garantir le respect des obligations contractuelles et des lois applicables.
  5. 5.
    Responsabilité : le Fournisseur demeure pleinement responsable des actes des freelances en ce qui concerne le traitement des données à caractère personnel.

Le Client reconnaît et accepte le recours à ce personnel externe, à condition que son accès et ses activités respectent les conditions décrites ci-dessus et les obligations du Fournisseur au titre du RGPD.