Annexe Faira relative aux sous-traitants ultérieurs

La présente annexe relative aux sous-traitants ultérieurs (l’« Annexe ») fait partie intégrante de l’Accord de traitement des données (« DPA ») conclu entre FAIRA PLATFORMS LTD (« Faira ») et le Client concerné.

Elle identifie les sous-traitants ultérieurs tiers auxquels Faira peut recourir pour traiter des données à caractère personnel pour le compte de ses clients.

Faira peut mettre à jour la présente Annexe conformément aux stipulations du DPA relatives aux modifications et au droit d’opposition.

1. Sous-traitants ultérieurs actuels

Prestataire

Amazon Web Services, Inc.

Fonction

AWS fournit l’infrastructure cloud sous-jacente de Faira, notamment :

• l’hébergement applicatif ;
• les bases de données ;
• le stockage objet ;
• le réseau ;
• les sauvegardes ;
• la sécurité de l’infrastructure ; et
• les services cloud associés.

Données traitées

Selon le service Faira utilisé, AWS peut traiter :

• les informations de compte client ;
• les fiches clients ;
• les coordonnées ;
• les communications ;
• les transcriptions vocales ;
• les informations de flux de travail ;
• les informations d’intégration ;
• les informations techniques ;
• les journaux ; et
• d’autres données à caractère personnel traitées via la plateforme Faira.

Architecture régionale

L’architecture AWS prévue par Faira est la suivante :

L’architecture régionale de Faira ne signifie pas que chaque service annexe, journal opérationnel, processus de support ou intégration tierce demeure nécessairement dans la même région.

Prestataire

OpenAI

La documentation publiée par OpenAI identifie notamment OpenAI OpCo, LLC, OpenAI, LLC, OpenAI Ireland Ltd. et OpenAI UK Ltd. parmi ses entités pertinentes, selon le service et la juridiction concernés.

Fonction

Faira peut utiliser les services OpenAI pour des fonctionnalités d’IA telles que :

• le traitement du langage naturel ;
• la compréhension des conversations ;
• la génération de réponses ;
• la classification ;
• la synthèse ;
• le traitement de la parole ; et
• d’autres fonctionnalités d’IA.

Données traitées

Selon la fonctionnalité Faira concernée, cela peut inclure :

• les invites (prompts) ;
• le contenu des conversations ;
• les transcriptions ;
• les informations fournies par le client ;
• les résultats produits par l’IA ; et
• d’autres informations soumises à l’API OpenAI applicable.

Lieu de traitement

OpenAI propose actuellement des options de localisation des données aux clients API éligibles, notamment des options de traitement aux États-Unis et en Europe, ainsi que des options complémentaires de localisation régionale des données au repos.

En conséquence, Faira ne devrait pas affirmer qu’OpenAI traite toujours les données britanniques au Royaume-Uni, sauf si Faira a spécifiquement configuré et contractualisé cette capacité.

Pour l’architecture actuelle de Faira, le lieu de traitement applicable dépendra :

• du service OpenAI utilisé ;
• de la configuration retenue par Faira ;
• de l’option de localisation des données applicable ; et
• des dispositions contractuelles OpenAI pertinentes.

Le DPA publié par OpenAI prévoit des mécanismes pour les transferts de données depuis le Royaume-Uni et l’EEE, notamment l’addendum britannique et les clauses contractuelles types de l’UE, le cas échéant.

Prestataire

Vapi

Fonction

Faira peut utiliser Vapi pour :

• l’orchestration d’agents vocaux ;
• l’interaction vocale en temps réel ;
• la gestion des appels ;
• le traitement de la parole ;
• l’orchestration de modèles d’IA ; et
• les fonctionnalités d’agents vocaux associées.

Données traitées

Selon la configuration Faira, Vapi peut traiter :

• des numéros de téléphone ;
• des métadonnées d’appel ;
• des fichiers audio ;
• des transcriptions ;
• des invites ;
• des réponses d’IA ;
• l’historique des conversations ;
• des informations de flux de travail ; et
• des informations techniques.

Lieu de traitement

Le lieu de traitement de Vapi peut dépendre des services et de la configuration Vapi spécifiquement utilisés par Faira.

Faira ne devrait pas publier de pays ou de région Vapi déterminés tant que le DPA Vapi applicable et la configuration de l’infrastructure n’ont pas été confirmés.

Pour cette raison, la version publique de la présente Annexe devrait indiquer :

« Lieux de traitement Vapi applicables aux services et à la configuration utilisés par Faira. »

Une fois l’entité juridique exacte de Vapi et son dispositif de traitement régional confirmés, cette mention devra être remplacée par le ou les lieux précis.

Prestataire

Twilio

L’entité Twilio cocontractante dépend de la juridiction du client. Les conditions actuelles de Twilio désignent Twilio Ireland Limited pour les clients domiciliés ou immatriculés au Royaume-Uni, dans l’EEE et dans certaines autres juridictions, tandis que Twilio Inc. intervient pour de nombreux clients situés hors de ces juridictions.

Fonction

Faira peut utiliser Twilio pour :

• les numéros de téléphone ;
• les appels vocaux ;
• l’acheminement des appels ;
• les télécommunications ;
• la messagerie ;
• les métadonnées d’appel ; et
• l’infrastructure de communication associée.

Données traitées

Selon le service :

• numéros de téléphone ;
• informations relatives à l’appelant et à l’appelé ;
• métadonnées d’appel ;
• fichiers audio ;
• contenu des communications ;
• informations de compte ; et
• informations techniques.

Lieu de traitement

Faira prévoit d’utiliser Twilio pour :

• le Royaume-Uni
• les États-Unis
• l’Europe

La propre documentation de Twilio indique clairement que l’infrastructure de son groupe peut impliquer un traitement aux États-Unis, tandis que les produits Twilio régionaux pris en charge permettent de stocker et de traiter le contenu client dans des régions sélectionnées. Twilio précise également que certaines données de compte et d’utilisation continuent d’être traitées aux États-Unis.

En conséquence, Faira ne devrait pas décrire Twilio simplement comme un « traitement au Royaume-Uni / aux États-Unis / dans l’UE » sans nuance.

Prestataire

Africa’s Talking

Fonction

Faira peut utiliser Africa’s Talking pour des services de télécommunications et de voix :

• au Nigeria ; et
• au Kenya.

Données traitées

Selon le service :

• numéros de téléphone ;
• informations relatives à l’appelant et au destinataire ;
• métadonnées d’appel ;
• voix / fichiers audio ;
• informations de communication ; et
• informations techniques.

Lieu de traitement

Nigeria et Kenya, sous réserve de l’infrastructure et des services effectivement utilisés par Faira.

La documentation contractuelle applicable d’Africa’s Talking doit être conservée dans le cadre des dossiers de diligence raisonnable fournisseurs de Faira.

Prestataire

Meta Platforms

Services

Faira peut s’intégrer à :

• WhatsApp Business Platform ;
• Instagram ;
• les pages Facebook ;
• Messenger ; et
• les API et services de plateforme Meta associés.

Fonction

Les services Meta permettent aux clients de Faira :

• de recevoir les messages de leurs clients ;
• d’envoyer les réponses autorisées ;
• de gérer les conversations ;
• de connecter des comptes professionnels ;
• de recevoir des événements de messagerie ; et
• d’automatiser les communications clients prises en charge.

Données traitées

Selon l’intégration :

• nom ;
• numéro de téléphone ;
• identifiant utilisateur Meta ;
• informations de profil ;
• contenu des messages ;
• pièces jointes ;
• horodatages ;
• informations de conversation ;
• informations de page / de compte ; et
• autres informations mises à disposition via l’API Meta concernée.

Distinction importante quant aux rôles

Meta peut traiter des informations en vertu de ses propres conditions et de son propre cadre de protection de la vie privée.

En conséquence, Faira ne déclare pas que Meta agit exclusivement en qualité de sous-traitant ultérieur de Faira pour chaque aspect des données de plateforme Meta.

Lorsque Meta détermine de manière indépendante les finalités et les moyens du traitement, Meta peut agir en qualité de responsable du traitement indépendant.

Le rôle de Faira se limite au traitement et aux fonctionnalités qu’elle réalise dans le cadre de l’intégration.

Faira peut désigner des sous-traitants ultérieurs supplémentaires lorsque cela est nécessaire pour :

• fournir les services ;
• maintenir l’infrastructure ;
• améliorer la fiabilité ;
• assurer la sécurité ;
• fournir le support client ;
• introduire de nouvelles fonctionnalités ; ou
• se conformer à des exigences légales ou réglementaires.

Faira tiendra à jour une version actualisée de la présente Annexe.

Lorsque le DPA l’exige, Faira informera les clients des modifications substantielles.

Lorsque le DPA prévoit un droit d’opposition à un nouveau sous-traitant ultérieur, le Client peut s’y opposer pour des motifs raisonnables tenant à la protection des données.

Une opposition doit :

• identifier le sous-traitant ultérieur concerné ;
• exposer la préoccupation raisonnable en matière de protection des données ; et
• être formulée dans le délai de préavis applicable.

Faira examinera l’opposition de bonne foi.

Lorsque cela est techniquement et commercialement réalisable, Faira peut :

• proposer une configuration alternative ;
• proposer un service alternatif ;
• mettre en œuvre des garanties supplémentaires ; ou
• prendre d’autres mesures raisonnables pour répondre à la préoccupation.

Si les parties ne parviennent pas à résoudre l’opposition, les conséquences seront traitées conformément au DPA et au Contrat.

Certains sous-traitants ultérieurs de Faira peuvent traiter des données à caractère personnel en dehors du Royaume-Uni ou de l’Espace économique européen.

Lorsque cela constitue un transfert international restreint, Faira recourt à un mécanisme de transfert juridiquement approprié.

Selon les circonstances, il peut s’agir :

• d’une décision d’adéquation ;
• de l’accord international de transfert de données du Royaume-Uni (UK IDTA) ;
• de l’addendum britannique aux clauses contractuelles types de l’UE ;
• des clauses contractuelles types de l’UE ; ou
• d’un autre mécanisme de transfert licite.

Faira conservera la documentation de transfert appropriée lorsque cela est requis.

Faira exige de ses sous-traitants ultérieurs qu’ils maintiennent des mesures de sécurité techniques et organisationnelles appropriées au regard des services qu’ils fournissent.

Les propres contrôles de sécurité de Faira sont décrits dans sa documentation Sécurité et conformité.

Le cas échéant, Faira évalue les prestataires avant leur intégration et peut examiner :

• leur documentation de sécurité ;
• leurs conditions relatives à la protection des données ;
• leurs sous-traitants ultérieurs ;
• leurs lieux de traitement ;
• leurs certifications de sécurité ;
• leurs contrôles techniques ;
• leurs processus de gestion des incidents ; et
• leurs mécanismes de transfert international.

Les fournisseurs de technologies peuvent modifier :

• leurs entités juridiques ;
• leur infrastructure ;
• leurs lieux de traitement ;
• leurs sous-traitants ultérieurs ;
• leurs contrôles de sécurité ;
• leurs API ; ou
• leurs conditions contractuelles.

Faira mettra à jour la présente Annexe lorsqu’un changement affecte de manière substantielle le traitement des données à caractère personnel du Client et lorsqu’une notification est requise par le DPA ou par la législation applicable en matière de protection des données.

Les questions relatives aux sous-traitants ultérieurs de Faira doivent être adressées à :

compliance@getfaira.com

FAIRA PLATFORMS LTD Numéro d’immatriculation : 17059377