Accord de sous-traitance

1. Parties et intégration

Client est l'organisation désignée dans le contrat principal, le bon de commande ou le compte d'administration. Selon le traitement, elle agit comme responsable du traitement ou comme sous-traitant pour un autre responsable. Raison sociale, adresse, représentant habilité, contact protection des données, rôle et date d'adhésion résultent des documents contractuels.

Sous-traitant ist Ouhud GmbH, Kaiserswerther Straße 135, 40474 Düsseldorf, Deutschland, E-Mail: info@ouhud.com. Ouhud Digital GmbH (en cours de constitution) n'est pas partie au présent accord avant son inscription et une adhésion expresse au contrat.

Handelt der Kunde selbst als Auftragsverarbeiter, gilt er für diese Vereinbarung als weiterer Auftragsverarbeiter und Ouhud GmbH als Unterauftragsverarbeiter. Der Kunde bestätigt, zur Beauftragung von Ouhud GmbHund zur Erteilung der Weisungen durch den jeweiligen Verantwortlichen befugt zu sein.

2. Objet, étendue et durée

Gegenstand ist die Verarbeitung personenbezogener Daten zur Bereitstellung von OUHUD Search Intelligence im Umfang des Hauptvertrags. Dazu können je nach gebuchten und aktivierten Modulen Website-Analyse und Crawling, Wissensverarbeitung, Themenrecherche, Content-Erstellung und Qualitätsprüfung, Messung von Such- und KI-Sichtbarkeit, Berichte, Integrationen sowie eine vom Kunden ausgelöste Veröffentlichung gehören.

Diese Vereinbarung gilt ab ihrer wirksamen Einbeziehung für die Dauer des Hauptvertrags und darüber hinaus, solange Ouhud GmbH Auftragsdaten für den Kunden verarbeitet. Art, Zweck, Datenkategorien, betroffene Personen und Frequenz sind in Anlage B konkretisiert. Verarbeitungen, bei denen Ouhud GmbH eigene Zwecke festlegt, fallen ausschließlich unter Ziffer 13.

3. Instructions documentées et obligations du client

Le contrat principal, la description des prestations, le présent accord ainsi que les paramètres définis et fonctions déclenchées par le client dans la plateforme constituent les instructions documentées. Les instructions supplémentaires sont données par le client via les fonctions produit prévues à cet effet ou sous forme de texte au contact protection des données. Les instructions orales dans un cas d'urgence exceptionnel doivent être confirmées sans délai sous forme de texte.

Ouhud GmbH informiert den Kunden unverzüglich, wenn eine Weisung nach ihrer Auffassung gegen anwendbares Datenschutzrecht verstößt, und darf die betroffene Verarbeitung bis zur Klärung aussetzen. Muss Ouhud GmbH aufgrund von Unionsrecht oder mitgliedstaatlichem Recht ohne Weisung verarbeiten, wird der Kunde vorab über diese Pflicht informiert, soweit das Recht eine Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.

Der Kunde bleibt insbesondere verantwortlich für Rechtsgrundlage, Transparenz, Datenminimierung, Richtigkeit, Speicherfristen, die Erfüllung von Betroffenenrechten und die Zulässigkeit seiner Weisungen. Er übermittelt nur Daten, die Ouhud GmbH nach seiner Weisung verarbeiten darf, und informiert vorab über besondere Schutzbedarfe, Berufsgeheimnisse oder gesetzliche Geheimhaltungspflichten.

4. Obligations de Ouhud GmbH

Ouhud GmbH verpflichtet sich,

• à traiter les données confiées exclusivement selon des instructions documentées et uniquement aux fins convenues, y compris les instructions relatives aux transferts internationaux,
• à n'accorder l'accès qu'à des personnes habilitées qui, avant l'accès, sont tenues à la confidentialité ou soumises à une obligation légale de secret appropriée,
• à instruire ces personnes de manière appropriée et à limiter leurs droits d'accès à ce qui est nécessaire à leur mission,
• à respecter les exigences applicables aux sous-traitants ultérieurs prévues au point 9,
• à assister le client dans l'accomplissement de ses obligations en matière de protection des données conformément au présent accord,
• à tenir les registres et preuves requis et à coopérer avec les autorités de contrôle compétentes.

Ouhud GmbH verwendet Auftragsdaten nicht für Werbung, den Verkauf von Daten oder das Training beziehungsweise die Verbesserung eigener oder fremder KI-Modelle. Das gilt auch für eingesetzte Unterauftragsverarbeiter. Eine abweichende Nutzung setzt eine ausdrücklich gesondert dokumentierte Weisung des Kunden, eine zulässige datenschutzrechtliche Rollenverteilung und alle erforderlichen Rechtsgrundlagen voraus. Die bloße Aktivierung einer KI-Funktion ist keine solche Weisung zum Modelltraining.

5. Sécurité du traitement

Ouhud GmbH trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie Art, Umfang, Umständen, Zwecken und Risiken der Verarbeitung angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Anlage C unterscheidet den nachweisbaren Entwicklungsstand von den dort ausdrücklich als vor Produktivbetrieb abzuschließen gekennzeichneten Betriebsmaßnahmen. Solange diese offenen Maßnahmen nicht umgesetzt und dokumentiert sind, ist diese Fassung nicht zur Einbeziehung in einen Produktivvertrag freigegeben.

Les mesures peuvent être adaptées aux évolutions techniques à condition que le niveau de protection convenu ne soit globalement pas réduit. Les modifications substantiellement défavorables sont documentées et communiquées au client sur demande ou, si elles concernent un risque important, de manière active. Aucune sécurité absolue n'est promise.

6. Assistance en matière de droits des personnes concernées

Unter Berücksichtigung der Art der Verarbeitung unterstützt Ouhud GmbH den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei Anträgen nach Art. 12 bis 22 DSGVO sowie den entsprechenden Rechten nach Schweizer DSG. Dies umfasst, soweit technisch verfügbar und vom Kunden angewiesen, Suche, Auskunft, Berichtigung, Export, Einschränkung und Löschung von Auftragsdaten.

Unmittelbar bei Ouhud GmbH eingehende Anfragen, die Auftragsdaten betreffen, werden unverzüglich an den Kunden weitergeleitet. Ouhud GmbH beantwortet sie nur auf dokumentierte Weisung oder aufgrund einer eigenen zwingenden gesetzlichen Pflicht. Der Kunde bleibt für die inhaltliche Prüfung und fristgerechte Antwort verantwortlich.

7. Assistance complémentaire et autorités

Unter Berücksichtigung von Art der Verarbeitung und verfügbaren Informationen unterstützt Ouhud GmbH den Kunden bei seinen Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Risikobewertungen, Datenschutz-Folgenabschätzungen, Vorabkonsultationen sowie Anfragen oder Prüfungen einer Aufsichtsbehörde. Die für Ouhud GmbH als Auftragsverarbeiter erforderlichen Verzeichnisse werden nach Art. 30 Abs. 2 DSGVO geführt; der Kunde wird bei seinen eigenen Dokumentationspflichten im erforderlichen Umfang unterstützt.

Unterstützung, die wegen eines Verstoßes von Ouhud GmbH erforderlich wird, ist mit der vereinbarten Vergütung abgegolten. Sonstige außergewöhnliche, kundenspezifische Zusatzleistungen können nach vorheriger Abstimmung zu den vereinbarten oder üblichen Sätzen berechnet werden.

8. Verletzungen des Schutzes personenbezogener Daten

Ouhud GmbH meldet dem Kunden eine Verletzung des Schutzes von Auftragsdaten unverzüglich nach Bekanntwerden. Die Erstmeldung enthält, soweit verfügbar, die Art der Verletzung, Kategorien und ungefähre Zahl betroffener Personen und Datensätze, eine Kontaktstelle, wahrscheinliche Folgen sowie bereits ergriffene oder geplante Abhilfemaßnahmen. Fehlende Angaben werden ohne unangemessene Verzögerung schrittweise nachgereicht.

Ouhud GmbH ergreift angemessene Maßnahmen zur Eindämmung, Beweissicherung, Ursachenanalyse und Vermeidung einer Wiederholung und unterstützt den Kunden bei Meldungen nach Art. 33 und 34 DSGVO sowie Art. 24 DSG. Eine Meldung an Betroffene oder Behörden im Namen des Kunden erfolgt nur auf dokumentierte Weisung oder aufgrund einer eigenen gesetzlichen Pflicht. Die Meldung an den Kunden ist kein Anerkenntnis eines Rechtsverstoßes oder einer Haftung.

9. Unterauftragsverarbeiter

Der Kunde erteilt eine allgemeine Genehmigung ausschließlich für Anbieter, die bei Vertragsschluss in der Liste prestataires et destinataires des données portent le statut « en service » et le rôle « sous-traitant ». Les destinataires prévus, non encore sélectionnés ou activés par le client ne sont pas couverts par cette autorisation.

Ouhud GmbH informiert die im Kundenkonto hinterlegte Administratoradresse mindestens 30 Tage vor der Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters aktiv in Textform. Die Mitteilung nennt Anbieter, Aufgabe, Datenkategorien, Verarbeitungsorte und gegebenenfalls die Transfergrundlage. Der Kunde kann innerhalb dieser Frist aus nachvollziehbaren datenschutzrechtlichen Gründen widersprechen.

Bei einem berechtigten Widerspruch suchen die Parteien eine zumutbare Lösung. Ist keine Lösung möglich, darf Ouhud GmbH die betroffene Funktion nicht über den beanstandeten Anbieter erbringen; der Kunde kann den betroffenen Leistungsteil zum Änderungstermin ohne zusätzliche Kosten kündigen. Ouhud GmbH auferlegt dem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten, die fürOuhud GmbH aus dieser Vereinbarung gelten, bleibt für deren Einhaltung und Pflichtverletzungen verantwortlich und stellt dem Kunden auf Anfrage eine erforderlichenfalls zum Schutz von Geschäftsgeheimnissen geschwärzte Vertragskopie bereit.

10. Transferts vers des pays tiers

Les transferts vers des pays tiers ou vers des organisations internationales n'ont lieu que sur instruction documentée et dans le respect du chapitre V du RGPD ainsi que, le cas échéant, des art. 16 à 18 LPD. Le présent accord seul ne constitue pas un instrument de transfert.

Soweit kein anwendbarer Angemessenheitsbeschluss besteht, verwendet Ouhud GmbHinsbesondere die Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/914 im jeweils passenden Modul, führt die erforderliche Transferprüfung durch und ergreift erforderliche ergänzende Maßnahmen. Eine Zertifizierung nach einem Datenschutzrahmen wird nur herangezogen, wenn der konkrete Empfänger und die konkrete Datenkategorie aktuell von ihr umfasst sind.

Pour les données provenant de Suisse, des clauses types de protection des données reconnues, avec les adaptations suisses exigées par le PFPDT, sont utilisées. La base de transfert concrète de chaque prestataire autorisé figure dans la liste des prestataires.

11. Restitution et suppression

Nach Beendigung der Auftragsverarbeitung löscht Ouhud GmbH nach Wahl des Kunden sämtliche Auftragsdaten und bestätigt die Löschung oder gibt die Daten in einem verfügbaren, gängigen Format zurück und löscht anschließend bestehende Kopien. Der Kunde teilt seine Wahl spätestens zum Vertragsende mit. Ohne rechtzeitige Weisung werden aktive Auftragsdaten nach Ablauf einer 30-tägigen Abholfrist gelöscht.

Les données soumises à conservation légale sont séparées, bloquées pour d'autres finalités et traitées uniquement pour la durée et la finalité de l'obligation légale. Les copies de sauvegarde, dans la mesure où elles sont exploitées en production, sont bloquées contre tout retraitement régulier et supprimées à la fin du cycle de sauvegarde maximal à fixer de manière contraignante avant la mise en production. En cas de restauration, les ordres de suppression échus sont appliqués à nouveau.

12. Informations, preuves et audits

Ouhud GmbH stellt dem Kunden alle Informationen bereit, die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlich sind. Aktuelle Zertifikate, Prüfberichte, TOM-Dokumentation und standardisierte Fragebögen können vorrangig zur Nachweisführung verwendet werden.

Le client ou un auditeur indépendant mandaté par lui et tenu à la confidentialité peut contrôler le traitement objet du contrat à intervalles raisonnables et, en outre, en cas d'indices concrets d'une violation ou après un incident pertinent. Les inspections nécessaires ont lieu moyennant un préavis raisonnable pendant les heures ouvrables habituelles, sauf urgence ou injonction officielle contraire, et sans perturbation inutile de l'exploitation ni des droits d'autres clients.

Die Parteien stimmen Umfang, Sicherheitsvorkehrungen und Zeitplan vorab ab. Der Kunde trägt angemessene Kosten einer von ihm veranlassten Sonderprüfung, es sei denn, die Prüfung weist einen wesentlichen Verstoß von Ouhud GmbH nach. Gesetzliche Prüf- und Zugriffsrechte von Aufsichtsbehörden bleiben unberührt.

13. Verarbeitungen in eigener Verantwortlichkeit

Nicht Gegenstand dieser AVV sind Verarbeitungen, bei denen Ouhud GmbH eigene Zwecke und wesentliche Mittel festlegt. Dazu gehören insbesondere Vertragsanbahnung und -verwaltung, Abrechnung und Steuern, Verwaltung eigener Geschäftskontakte, Nachweis rechtlicher Erklärungen, Sicherheit eigener Konten und Infrastruktur sowie die Erfüllung eigener gesetzlicher Pflichten. Sicherheitsmaßnahmen, Protokolle und Prüfungen, die der geschuldeten Verarbeitung von Auftragsdaten dienen, bleiben dagegen Teil dieser AVV. Für die eigenen Verarbeitungen gilt die politique de confidentialité.

14. Suspension et résiliation en cas de violations de la protection des données

Kann Ouhud GmbH diese Vereinbarung aus rechtlichen oder tatsächlichen Gründen nicht mehr einhalten, informiert sie den Kunden unverzüglich und setzt die betroffene Verarbeitung aus, soweit dies zum Schutz der Daten erforderlich ist. Behebt Ouhud GmbH einen wesentlichen Verstoß nicht innerhalb einer angemessenen Frist, darf der Kunde den betroffenen Leistungsteil oder, wenn eine Fortsetzung unzumutbar ist, den Hauptvertrag außerordentlich kündigen.

Entsprechendes gilt zugunsten von Ouhud GmbH, wenn eine rechtswidrige Weisung oder ein erheblicher Verstoß des Kunden trotz Hinweis und angemessener Frist fortbesteht. Zwingende Rechte von Betroffenen und Aufsichtsbehörden bleiben unberührt.

15. Dispositions complémentaires pour la Suisse

Dans la mesure où la loi suisse sur la protection des données s'applique, les notions du présent accord recouvrent également les « données personnelles », le « responsable du traitement » et le « sous-traitant » au sens du droit suisse. L'art. 9 LPD, les exigences en matière de sécurité des données, l'autorisation préalable d'autres sous-traitants, l'assistance aux annonces selon l'art. 24 LPD ainsi que les art. 16 à 18 LPD s'appliquent en complément.

Les violations de la sécurité des données sont annoncées dans les meilleurs délais. En cas de contradiction, la disposition impérative offrant la protection la plus forte aux personnes concernées prévaut. Ouhud Digital GmbH (en cours de constitution) ne devient partie au présent accord qu'après son inscription au registre du commerce, la définition de son rôle et une adhésion expresse au contrat.

16. Ordre de priorité, responsabilité et dispositions finales

En cas de contradiction avec d'autres éléments du contrat, le présent accord prime pour le traitement des données confiées. Pour les transferts internationaux, les dispositions impératives de clauses contractuelles types valablement intégrées priment sur les règles contractuelles contraires. Pour le reste, les règles de responsabilité du contrat principal s'appliquent, sans limiter les droits légaux des personnes concernées ni la responsabilité impérative en matière de protection des données.

Les modifications et compléments requièrent une forme électronique documentée ou la forme textuelle, sauf si le droit de la protection des données exige une forme plus stricte. Le choix de loi et le for du contrat principal s'appliquent. La nullité d'une disposition n'affecte pas le reste de l'accord ; la règle légale s'y substitue.

Annexe A – Parties et adhésion

Annexe B – Description du traitement

Objet, finalité, nature et fréquence

Fourniture continue ou déclenchée par le client de la plateforme : collecte, enregistrement, organisation, structuration, conservation, lecture, interrogation, rapprochement, analyse, indexation, conversion, génération, transmission, mise à disposition, publication, limitation et effacement. Le traitement a lieu lors de l'utilisation de la plateforme, lors de tâches de fond planifiées et sur instructions concrètes du client pendant la durée du contrat principal.

Catégories de données

• données de contact et données de profil de ses utilisateurs, rôles et affectations d'équipe gérées par le client
• données d'organisation, de projet, de domaine, de site et de configuration
• URL accessibles au public, contenus de sites, données techniques d'exploration et de SEO
• documents téléversés, textes extraits, segments, sources, faits, entités et — si activé — embeddings
• sujets, mots-clés, intentions de recherche, prompts, briefs, brouillons, résultats d'IA, constats qualité et validations
• paramètres d'intégration, identifiants OAuth ou CMS chiffrés et transferts déclenchés par le client
• données de recherche, d'analytique, de visibilité, de publication, d'utilisation, d'erreur et d'audit, dans la mesure où elles sont traitées pour le compte du client
• autres données à caractère personnel que le client insère licitement dans des contenus ou documents

Catégories de personnes concernées

• salariés, indépendants et autres utilisateurs autorisés du client
• clients, prospects, fournisseurs et interlocuteurs commerciaux du client
• auteurs, visiteurs du site et personnes figurant dans des contenus de sites accessibles au public
• personnes nommées dans des documents téléversés, du savoir opérationnel, des évaluations, des brouillons ou des contenus publiés

Données particulièrement protégées

Les données visées aux art. 9 ou 10 du RGPD ainsi que les données personnelles sensibles au sens de la LPD suisse ne sont pas prévues pour le service ordinaire. Leur traitement suppose une instruction documentée préalable, une base juridique solide et des mesures de protection supplémentaires expressément convenues. Sans ces conditions, le client ne doit pas transmettre de telles données.

Annexe C – Mesures techniques et organisationnelles

1. Organisation et contrôle des accès

• concept d'autorisations basé sur les rôles et comptes utilisateurs nominatifs selon le principe du besoin d'en connaître
• les mots de passe sont stockés sous forme d'empreintes Argon2id irréversibles
• les tâches système privilégiées sont séparées des processus locataires normaux et des rôles utilisateurs
• les accès des personnes habilitées sont limités à l'exploitation, à la sécurité et au support autorisé

2. Séparation des locataires et autorisations

• les tables liées aux locataires sont protégées par la sécurité au niveau des lignes de PostgreSQL et un contexte d'organisation lié à la transaction
• l'application régulière se connecte avec un rôle de base de données non privilégié ; des tâches système strictement délimitées empruntent un chemin distinct
• des tests d'isolation automatisés vérifient les accès entre différentes organisations clientes

3. Transmission, secrets et clés

• les accès externes de production sont transmis de manière chiffrée ; des cookies sécurisés et HTTPS sont prévus pour la configuration de production
• les jetons OAuth, identifiants CMS, secrets MFA et secrets d'intégration comparables sont stockés chiffrés au niveau applicatif
• les accès aux services, à la base de données et au stockage objet sont séparés par rôle et ne sont pas intégrés au code source

4. Sécurité du téléversement et du traitement

• des limites de type de fichier, de taille, de nombre de pages et d'archive réduisent les risques d'abus et de ressources
• les téléversements sont analysés à la recherche de logiciels malveillants avant l'analyse syntaxique ; en exploitation de production prévue, le traitement échoue en mode fermé en l'absence d'autorisation univoque
• l'analyseur de documents est conçu comme un service isolé sans accès direct à la base de données, au stockage objet ou aux fournisseurs d'IA

5. Journalisation et traçabilité

• les opérations de compte, de rôle, de validation, d'intégration et système pertinentes pour la sécurité sont journalisées de manière traçable
• les métadonnées techniques de connexion et les enregistrements d'audit sont soumis à des règles de conservation documentées et distinctes
• les tâches de fond utilisent des identifiants uniques, des limites de répétition et des transitions d'état traçables

6. Intégrité, disponibilité et reprise

• un traitement idempotent, des transactions, des mécanismes outbox et de réessai réduisent les doublons et les tâches perdues
• les ordres de suppression pour le stockage objet sont suivis par des marqueurs persistants
• les sauvegardes de production, les tests de restauration et leur cycle de suppression maximal sont fixés de manière contraignante dans le concept d'exploitation avant la mise en production

7. Contrôle et amélioration

• les modifications sont versionnées, contrôlées et soumises à des tests automatisés de typage, de sécurité et d'isolation avant validation
• les incidents de sécurité sont endigués, documentés, analysés et traduits en mesures d'amélioration
• les sous-traitants ultérieurs sont examinés avant validation quant au contrat, au rôle, au lieu, à la sécurité et à la base de transfert

Anlage D – Genehmigte Unterauftragsverarbeiter

Genehmigt sind ausschließlich Anbieter, die in der aktuellen liste des prestataires portent expressément le statut « en service » et le rôle « sous-traitant ». Selon l'état de développement actuellement documenté, aucun prestataire externe n'est encore confirmé comme utilisé en production. Les candidats prévus et les destinataires activés par le client ne sont pas des sous-traitants autorisés.

Avant la première exploitation en production, le prestataire, la société contractante, l'adresse, la prestation, les catégories de données, les lieux de traitement, la date de début et la base de transfert sont complétés de manière contraignante. Les modifications ultérieures relèvent du point 9 du présent accord.