Business Terms and Conditions

0. Acceptation de l'Accord

En (i) cliquant sur « S'inscrire », « J'accepte » ou un bouton similaire sur la Console Business ou le site web de Didit, (ii) en signant un Bon de Commande qui fait référence aux présentes Conditions, ou (iii) en accédant ou en utilisant les Services de toute autre manière, vous (le « Client ») acceptez légalement et vous engagez à être lié par le présent Accord au nom de l'entité juridique ou de l'organisation que vous représentez.

En acceptant le présent Accord, le Client déclare et garantit qu'il a la pleine autorité légale pour engager cette entité ou organisation aux présentes Conditions et à toute Annexe ou Bon de Commande y afférent. Si vous n'avez pas une telle autorité, ou si vous n'êtes pas d'accord avec les présentes Conditions, vous ne devez pas utiliser ou accéder aux Services.

L'UTILISATION CONTINUE DE LA PLATEFORME DIDIT CONSTITUE UNE ACCEPTATION INÉQUIVOQUE ET CONTRAIGNANTE DU PRÉSENT ACCORD DANS SON INTÉGRALITÉ.

1. Parties à l'Accord

Les parties suivantes sont impliquées dans le présent Accord :

• Fournisseur de Services (« Didit », « nous », « notre », « nos ») : l'entité Didit contractant avec le Client. L'entité contractante applicable est déterminée par la Section 16.6 (Loi Applicable et Juridiction) :
  • Didit Identity Spain, S.L., CIF B22929327, Calle Nápoles 227, P. 1, 08013 Barcelone, Espagne. Contracte avec les Clients établis dans l'Union Européenne, l'Espace Économique Européen, le Royaume-Uni, la Suisse et l'Amérique Latine.
  • Didit Identity, Inc., EIN 39-2860573, 1111B S Governors Ave STE 34855, Dover, Delaware 19904, États-Unis. Contracte avec les Clients établis aux États-Unis, au Canada, en Asie-Pacifique, au Moyen-Orient et dans toutes les autres juridictions non attribuées à Didit Identity Spain, S.L.
• Client (« vous », « votre », « vos ») :

L'entité juridique ou la personne qui s'inscrit pour un compte sur la Plateforme Didit ou utilise les Services. Le Client sera la partie contractante de Didit.

• Notifications :

Toutes les notifications et communications formelles relatives au présent Accord doivent être adressées à legal@didit.me ou à l'adresse physique de l'entité contractante applicable ci-dessus.

2. Structure et Ordre de Préférence

Le présent Accord est composé des documents suivants, qui seront interprétés conjointement. En cas de conflit entre les dispositions de l'un de ces documents, ils prévaudront dans l'ordre décroissant suivant :

1. Bons de Commande (documents commerciaux spécifiques au Client détaillant l'acquisition des Services, les volumes et les prix).
2. Annexe 2, Accord de Traitement des Données (DPA) (régissant le traitement des Données Personnelles).
3. Les présentes Conditions Générales de Service.
4. Annexe 1, Accord de Niveau de Service (SLA) (établissant les engagements de disponibilité des Services).

3. Table des Matières

1. Acceptation de l'Accord
2. Parties à l'Accord
3. Structure et Ordre de Préférence
4. Table des Matières
5. Définitions et Interprétations
6. Durée de l'Accord
7. Accès et Utilisation des Services
8. Droits de Propriété Intellectuelle
9. Frais et Conditions de Paiement
10. Confidentialité
11. Protection des Données et Sécurité
12. Exclusion de Garanties
13. Limitation de Responsabilité
14. Indemnisation
15. Déclarations et Garanties
16. Suspension et Résiliation
17. Dispositions Générales

Annexe 1, Accord de Niveau de Service (SLA) Annexe 2, Accord de Traitement des Données (DPA)

4. Définitions et Interprétations

Aux fins du présent Accord, les termes suivants auront les significations qui leur sont attribuées ci-dessous :

• Accord : Désigne les présentes Conditions Générales de Service, ainsi que tout Bon de Commande, Annexe 1 (SLA) et Annexe 2 (DPA), et toute autre politique ou annexe y faisant référence.
• API : Désigne les interfaces de programmation d'applications fournies par Didit pour l'intégration avec les Services.
• Console Business : Désigne le portail d'administration web de Didit, accessible via https://business.didit.me ou toute autre URL que Didit pourrait désigner, qui permet au Client de gérer son compte et les Services.
• Crédits : Sont les unités prépayées libellées en USD que le Client acquiert pour payer l'utilisation des Services, selon les prix et conditions spécifiés par Didit.
• Identifiants d'Accès : Incluent, sans s'y limiter, les mots de passe, les clés API, les jetons d'authentification ou toute autre information de sécurité fournie par Didit au Client pour accéder aux Services.
• Données Client : Toutes les données, y compris les Informations Confidentielles et les Données Personnelles des Utilisateurs Finaux, que le Client ou les Utilisateurs Autorisés soumettent, téléchargent ou traitent via les Services.
• Données Personnelles : Aura la signification attribuée dans le Règlement Général sur la Protection des Données (RGPD) (Règlement (UE) 2016/679) et/ou toute autre loi applicable en matière de protection des données.
• Documentation : Désigne tout manuel d'utilisation, spécification technique, guide d'implémentation, guide API, politique ou matériel de support relatif aux Services que Didit met à la disposition du Client.
• Date d'Effet : La date à laquelle le Client accepte pour la première fois le présent Accord tel que stipulé à la Section 0.
• Bon de Commande : Tout document physique ou formulaire en ligne qui formalise l'achat de Crédits ou de Services spécifiques par le Client, qui fait référence aux présentes Conditions et fait partie du présent Accord.
• Force Majeure : Tout événement ou circonstance échappant au contrôle raisonnable d'une Partie qui empêche ou retarde l'exécution de ses obligations en vertu du présent Accord, tels que les catastrophes naturelles, la guerre, le terrorisme, l'insurrection, la pandémie, les pannes d'internet mondiales, les pénuries d'énergie, les grèves, le sabotage ou les décisions gouvernementales.
• Informations Confidentielles : Toutes les informations non publiques divulguées par une Partie à l'autre, oralement, par écrit ou par des moyens électroniques, qui sont désignées comme confidentielles ou qui, par la nature de l'information ou les circonstances de la divulgation, devraient raisonnablement être comprises comme confidentielles. Cela inclut, sans s'y limiter, les informations techniques, financières, commerciales, clients, de tarification, les plans marketing, les logiciels, le code source et les Données Client.
• Propriété Intellectuelle : Inclut les brevets, droits d'auteur, droits de base de données, droits de conception, marques, noms commerciaux, savoir-faire, secrets commerciaux et tout autre droit de propriété intellectuelle, qu'ils soient enregistrés ou non, et les demandes y afférentes, partout dans le monde.
• SDK : Désigne les kits de développement logiciel fournis par Didit pour faciliter l'intégration et l'utilisation des Services.
• Services : Désigne la plateforme d'infrastructure d'identité et de fraude de Didit, y compris la Console Business, les API, les SDK, la Documentation et toute ligne de produits que Didit met à la disposition du Client, y compris la Vérification d'Utilisateur (KYC), la Vérification d'Entreprise (KYB), la Surveillance des Transactions, le Filtrage de Portefeuille (KYT), l'Orchestrateur de Flux de Travail, le serveur Model Context Protocol (MCP), et tout autre service que Didit pourrait lancer en vertu du présent Accord.
• Utilisateur Autorisé : Toute personne, telle qu'un employé ou un sous-traitant du Client, que le Client a autorisée à accéder et à utiliser les Services au nom du Client, sous réserve des termes du présent Accord.
• Utilisateur Final : La personne physique dont le Client cherche à vérifier l'identité à l'aide des Services de Didit.
• Vérification : Le processus effectué par Didit pour vérifier l'identité d'un Utilisateur Final, qui aboutit à un résultat Approuvé ou Rejeté ou à tout autre statut défini par Didit ou dans un Bon de Commande.
• Fonctionnalité de Vérification : Un composant individuel du flux de vérification, tel que la Vérification de Document d'Identité, la Détection de Vivacité, la Correspondance Faciale, la Recherche Faciale, le Filtrage AML, la Preuve d'Adresse, la Lecture NFC, la Validation de Base de Données, les Questionnaires Personnalisés, la Vérification Téléphonique, la Vérification d'Email, l'Analyse d'Appareil et d'IP, les recherches dans les registres commerciaux, l'extraction d'UBO, les données d'officier, l'AML d'entité, le KYC lié, l'évaluation des règles de surveillance des transactions, les recherches de filtrage de portefeuille, ou toute autre étape discrète offerte par Didit à travers les lignes de produits.

Interprétation :

• Les titres de section sont uniquement destinés à faciliter la lecture et n'affecteront pas l'interprétation du présent Accord.
• Les mots au singulier incluent le pluriel et vice versa.
• Le mot « y compris » ou « inclut » signifie « y compris, sans limitation ».
• Toute référence à une loi ou un règlement fait référence à cette loi ou ce règlement tel qu'en vigueur de temps à autre, y compris ses amendements ou remplacements.

5. Durée de l'Accord

5.1 Durée de l'Accord : Le présent Accord prendra effet à la Date d'Effet et restera pleinement en vigueur jusqu'à sa résiliation par l'une ou l'autre des Parties conformément à la Section 16 des présentes.

5.2 Pas d'Engagement Minimum (sauf spécification dans le Bon de Commande) : Sauf indication contraire dans un Bon de Commande signé par le Client (par exemple, pour les plans Entreprise avec des engagements de volume), le Client peut cesser d'utiliser les Services à tout moment. Cependant, les Crédits non utilisés ne seront en aucun cas remboursables, comme stipulé à la Section 9.4. Les Bons de Commande stipulant un engagement de consommation minimum prévaudront sur cette clause.

6. Accès et Utilisation des Services

6.1 Création de Compte et Sécurité : Pour accéder et utiliser les Services, le Client doit créer un compte dans la Console Business. Le Client est seul responsable du maintien de la confidentialité et de la sécurité de ses Identifiants d'Accès (y compris les mots de passe et les clés API) et de toutes les activités qui se produisent sous son compte, qu'elles soient autorisées ou non. Le Client doit immédiatement notifier Didit de toute utilisation non autorisée ou suspectée d'utilisation non autorisée de ses Identifiants d'Accès ou de son compte. Didit ne sera pas responsable de toute perte ou dommage résultant du non-respect de cette obligation par le Client.

6.2 Licence : Sous réserve du respect continu par le Client du présent Accord et du paiement en temps voulu de tous les frais applicables, Didit accorde au Client une licence non exclusive, mondiale, pendant la durée de l'Accord, pour accéder et utiliser les Services et la Documentation à des fins commerciales, spécifiquement pour : (i) Vérifier l'identité de ses Utilisateurs Finaux. (ii) Contribuer à la prévention et à la détection de la fraude. (iii) Se conformer aux obligations légales et réglementaires applicables (par exemple, KYC/AML).

6.3 Droits de Revente et de Sous-Licence : Le Client peut revendre, sous-licencier ou autrement mettre les Services à la disposition de tiers, à condition que : (i) Le Client s'assure que ces tiers se conforment à toutes les conditions applicables du présent Accord. (ii) Le Client reste entièrement responsable envers Didit de tout acte ou omission de ces tiers. (iii) Le Client conclue des accords écrits avec ces tiers qui incluent des conditions non moins protectrices pour Didit que celles contenues dans le présent Accord. (iv) Le Client notifie Didit de tout arrangement de sous-licence significatif sur demande.

6.4 Restrictions d'Utilisation : Le Client s'engage à ne pas, et ne permettra pas à des tiers de, effectuer l'une des actions suivantes :

• Copier, modifier, adapter, traduire, désosser, décompiler, désassembler ou tenter de découvrir le code source ou les algorithmes des Services ou de toute partie de ceux-ci, sauf dans la mesure où une telle activité est expressément permise par la loi applicable et non dérogatoire.
• Construire ou tenter de construire un service de vérification d'identité concurrent en utilisant les Services ou toute information obtenue de ceux-ci.
• Utiliser les Services à des fins illégales, discriminatoires, frauduleuses, trompeuses, diffamatoires, obscènes, abusives, nuisibles, ou d'une manière qui enfreint les droits de tiers ou les lois applicables.
• Utiliser les résultats de Vérification ou toute Donnée Client obtenue via les Services pour entraîner, développer ou améliorer des modèles d'apprentissage automatique (ML) ou d'intelligence artificielle (IA), ou tout autre algorithme ou technologie similaire, sans le consentement écrit préalable de Didit.
• Interférer ou tenter d'interférer avec le bon fonctionnement des Services, y compris, sans limitation, l'introduction de virus, chevaux de Troie, vers, bombes logiques ou tout autre matériel malveillant ou technologiquement nuisible.
• Tenter d'obtenir un accès non autorisé aux Services, aux systèmes informatiques ou aux réseaux connectés aux Services.
• Supprimer, altérer ou masquer les avis de droits de propriété intellectuelle ou les marques de Didit ou de tiers contenus dans les Services ou la Documentation.
• Utiliser les Services d'une manière qui dépasse les limites d'utilisation ou les volumes de Crédits achetés, ou qui impose une charge déraisonnable ou disproportionnée sur l'infrastructure de Didit.
• Abuser ou contourner les limitations de tout plan gratuit ou d'essai en créant plusieurs organisations ou comptes dans la Console Business (https://business.didit.me), directement ou indirectement, en utilisant les mêmes identités ou des identités différentes, dans le but d'obtenir des avantages de niveau gratuit supplémentaires au-delà de ce qui est prévu pour un seul Client. Lorsque Didit a des preuves raisonnables qu'une personne ou une entité a créé ou exploite plusieurs organisations pour exploiter le plan gratuit, Didit peut suspendre ou résilier les organisations et comptes affectés, avec préavis si cela est réalisable.

6.5 Responsabilités du Client : Le Client sera seul responsable de :

• Conformité Légale : S'assurer que son utilisation des Services, y compris la collecte, le traitement et l'utilisation des Données Client et des Données Personnelles des Utilisateurs Finaux, est pleinement conforme à toutes les lois, réglementations et normes applicables dans sa juridiction, y compris, mais sans s'y limiter, les lois sur la protection des données, les lois anti-blanchiment d'argent (AML) et de lutte contre le financement du terrorisme (CFT).
• Notifications et Consentements des Utilisateurs Finaux : Obtenir, et conserver des enregistrements de, toutes les notifications nécessaires, les consentements explicites et les autorisations des Utilisateurs Finaux pour la collecte, le traitement et le transfert de leurs Données Personnelles (y compris les données biométriques, le cas échéant) à Didit et à ses sous-traitants, comme l'exigent les lois applicables en matière de protection des données.
• Sécurité du Client : Mettre en œuvre et maintenir des mesures de sécurité raisonnables et appropriées pour protéger les Données Client avant qu'elles ne soient soumises à Didit et pour sécuriser ses Identifiants d'Accès. Cela inclut, sans limitation, l'utilisation de connexions sécurisées (HTTPS), la mise en œuvre de webhooks signés et d'autres bonnes pratiques en matière de sécurité de l'information.
• Exactitude des Données : S'assurer de l'exactitude, de l'intégrité et de la légalité des Données Client soumises à Didit via les Services.

6.6 Gestion et Suppression des Données : Les résultats de Vérification et les Données Client associées seront livrés au Client via des webhooks ou l'API de Didit. Le Client aura la possibilité de supprimer définitivement tout enregistrement de Vérification ou Donnée Client via l'API ou la Console Business à tout moment, sous réserve des politiques de rétention de Didit et des obligations légales en tant que sous-traitant de données, comme détaillé dans l'Annexe 2 (DPA).

7. Droits de Propriété Intellectuelle

7.1 Propriété de Didit : Didit (et ses concédants de licence, le cas échéant) conservent tous les droits, titres et intérêts relatifs aux Services (y compris les logiciels, le code, les API, les SDK, les modèles, les algorithmes, la technologie sous-jacente), à la Documentation, aux marques de Didit, ainsi qu'à toute amélioration, modification, mise à jour, dérivé ou développement de ceux-ci. Rien dans le présent Accord ne doit être interprété comme un transfert de propriété intellectuelle de Didit au Client. Les droits accordés au Client sont uniquement des licences, et aucune licence implicite n'est accordée en vertu du présent Accord.

7.2 Données Client : Le Client est et restera le seul propriétaire de tous les droits, titres et intérêts relatifs aux Données Client. Le Client accorde à Didit une licence mondiale, non exclusive, libre de redevances, sous-licenciable et transférable pour traiter les Données Client uniquement dans le but de fournir les Services au Client et d'améliorer les Services, conformément à l'Annexe 2 (Accord de Traitement des Données) et à la Politique de Confidentialité de Didit.

7.3 Commentaires : Dans le cas où le Client ou l'un de ses Utilisateurs Autorisés fournirait à Didit des suggestions, idées, demandes d'amélioration, commentaires, recommandations ou toute autre information relative aux Services (« Commentaires »), le Client accorde par la présente à Didit une licence mondiale, perpétuelle, irrévocable, libre de redevances, entièrement payée, transférable, sous-licenciable pour utiliser, exploiter, copier, modifier, créer des œuvres dérivées, distribuer, afficher publiquement, exécuter publiquement et commercialiser autrement ces Commentaires à toute fin et de toute manière, sans aucune obligation ni compensation envers le Client.

8. Frais et Conditions de Paiement

8.1 Crédits Prépayés et Non-Expiration : Les Services de Didit sont basés sur un modèle de Crédits prépayés. Les Crédits achetés par le Client n'expirent pas et peuvent être utilisés tant que l'Accord est en vigueur.

8.2 Paiement pour les Fonctionnalités de Vérification Complétées : Le Client sera facturé pour chaque Fonctionnalité de Vérification qui est complétée avec succès par l'Utilisateur Final pendant le flux de vérification, selon les tarifs applicables. Cela signifie : (i) Si un Utilisateur Final complète l'étape de Vérification de Document d'Identité, le Client sera facturé pour cette fonctionnalité. (ii) Si un Utilisateur Final complète l'étape de Détection de Vivacité, le Client sera facturé pour cette fonctionnalité. (iii) Chaque Fonctionnalité de Vérification supplémentaire complétée (telle que le Filtrage AML, la Preuve d'Adresse, la Vérification NFC, etc.) entraînera sa facturation respective. (iv) Aucuns frais ne s'appliqueront pour les Fonctionnalités de Vérification qui échouent en raison d'une défaillance du système de Didit.

Le prix spécifique de chaque Fonctionnalité de Vérification est indiqué sur la page de tarification de Didit ou dans le Bon de Commande applicable.

8.3 Tarification : Les prix applicables aux Services sont publiés sur la page de tarification de Didit ou, pour les plans personnalisés ou Entreprise, dans le Bon de Commande correspondant. Didit se réserve le droit de modifier ses prix à tout moment, ce qui sera notifié à l'avance conformément à la Section 17.2.

8.4 Processus de Paiement et Non-Remboursabilité : L'achat de Crédits sera effectué via la plateforme de paiement désignée par Didit (actuellement Stripe ou les méthodes de paiement convenues dans le Bon de Commande). Tous les paiements sont définitifs, et les Crédits achetés ne sont pas remboursables, sauf indication contraire expresse dans le présent Accord ou un Bon de Commande. Les prix indiqués n'incluent pas les taxes (telles que la TVA) ni les frais bancaires ou de traitement, qui seront à la charge du Client.

8.5 Échecs de Paiement / Annulations et Suspension de Compte : En cas de trois tentatives de paiement automatique consécutives échouées (pour le réapprovisionnement automatique des Crédits, si configuré) ou en cas de non-paiement des factures émises pour les plans Entreprise, Didit peut, à sa seule discrétion, suspendre l'accès du Client aux Services ou résilier le présent Accord conformément à la Section 16. Didit se réserve le droit de facturer des intérêts sur les paiements en retard au taux maximal autorisé par la loi applicable, calculés quotidiennement à partir de la date d'échéance jusqu'à la date de paiement intégral.

8.6 Plans Entreprise : Pour les Clients ayant contracté un plan Entreprise ou personnalisé via un Bon de Commande signé, les conditions de tarification spécifiques, les modalités de paiement, les engagements de consommation minimum et la facturation énoncés dans ce Bon de Commande prévaudront ou compléteront les dispositions de la présente Section 8.

9. Confidentialité

Chaque Partie (« Partie Réceptrice ») s'engage à protéger les Informations Confidentielles de l'autre Partie (« Partie Divulgatrice ») avec au moins le même degré de diligence qu'elle utilise pour protéger ses propres informations de nature similaire, mais jamais moins qu'une diligence raisonnable. La Partie Réceptrice n'utilisera les Informations Confidentielles de la Partie Divulgatrice que pour remplir ses obligations en vertu du présent Accord ou tel que permis par la loi applicable.

9.1 Exclusions des Informations Confidentielles : Les Informations Confidentielles n'incluront aucune information qui : (a) est ou devient publiquement connue sans faute de la Partie Réceptrice ; (b) était légalement en possession de la Partie Réceptrice avant sa divulgation par la Partie Divulgatrice, sans obligation de confidentialité ; (c) est divulguée à la Partie Réceptrice par un tiers sans restriction ni violation d'une obligation de confidentialité ; (d) est développée indépendamment par la Partie Réceptrice sans référence aux Informations Confidentielles de la Partie Divulgatrice ; ou (e) est une Donnée Client traitée par Didit sous forme agrégée ou pseudonymisée pour l'amélioration de ses algorithmes, comme stipulé dans l'Annexe 2 (DPA).

9.2 Divulgation Forcée : La Partie Réceptrice peut divulguer des Informations Confidentielles si requis par la loi, une ordonnance d'un tribunal ou une autorité gouvernementale compétente, à condition que, dans la mesure où cela est légalement permis, la Partie Réceptrice donne à la Partie Divulgatrice un préavis suffisant pour permettre à la Partie Divulgatrice de demander une ordonnance de protection ou une renonciation.

9.3 Obligation du Personnel : Chaque Partie s'assurera que ses employés, agents et sous-traitants qui ont accès aux Informations Confidentielles de l'autre Partie sont soumis à des obligations de confidentialité au moins aussi restrictives que celles énoncées dans la présente Section 9.

9.4 Survie : Les obligations de confidentialité énoncées dans la présente Section 9 resteront en vigueur pendant la durée du présent Accord et pendant une période de cinq (5) ans à compter de la date de sa résiliation, sauf en ce qui concerne les secrets commerciaux, pour lesquels l'obligation de confidentialité sera indéfinie tant que ces informations conserveront leur statut de secret commercial.

10. Protection des Données et Sécurité

Le traitement des Données Personnelles par Didit au nom du Client sera régi par l'Annexe 2, Accord de Traitement des Données (DPA), qui fait partie intégrante du présent Accord. Le DPA détaille les obligations de chaque Partie concernant la conformité aux lois sur la protection des données, les mesures de sécurité et les responsabilités du sous-traitant et du responsable du traitement des données.

11. Exclusion de Garanties

LES SERVICES DE DIDIT, Y COMPRIS LA PLATEFORME, LES API, LES SDK ET LA DOCUMENTATION, SONT FOURNIS « EN L'ÉTAT » ET « TELS QUE DISPONIBLES », SANS GARANTIE D'AUCUNE SORTE. DANS TOUTE LA MESURE PERMISE PAR LA LOI APPLICABLE, DIDIT DÉCLINE EXPRESSÉMENT TOUTES LES GARANTIES, EXPRESSES OU IMPLICITES, Y COMPRIS, MAIS SANS S'Y LIMITER, LES GARANTIES IMPLICITES DE QUALITÉ MARCHANDE, D'ADÉQUATION À UN USAGE PARTICULIER, DE NON-CONTREFAÇON DES DROITS DE TIERS, D'EXACTITUDE DES DONNÉES, DE DISPONIBILITÉ ININTERROMPUE OU SANS ERREUR.

DIDIT NE GARANTIT PAS QUE LES SERVICES FONCTIONNERONT SANS INTERRUPTION, DE MANIÈRE SÉCURISÉE OU SANS ERREUR, QUE LES DÉFAUTS SERONT CORRIGÉS, OU QUE LES SERVICES OU LES SERVEURS QUI LES RENDENT DISPONIBLES SONT EXEMPTS DE VIRUS OU D'AUTRES COMPOSANTS NUISIBLES. DIDIT NE FAIT AUCUNE GARANTIE CONCERNANT LES RÉSULTATS QUI PEUVENT ÊTRE OBTENUS DE L'UTILISATION DES SERVICES OU L'EXACTITUDE, LA FIABILITÉ OU L'EXHAUSTIVITÉ DE TOUTE INFORMATION OBTENUE VIA LES SERVICES. LE CLIENT ASSUME TOUS LES RISQUES ASSOCIÉS À L'UTILISATION DES SERVICES.

EN PARTICULIER, LE CLIENT RECONNAÎT QUE LES VÉRIFICATIONS D'IDENTITÉ SONT DES PROCESSUS COMPLEXES BASÉS SUR DIVERSES SOURCES DE DONNÉES ET ALGORITHMES. DIDIT NE GARANTIT PAS L'IDENTITÉ D'UN UTILISATEUR FINAL, LA VÉRACITÉ OU L'AUTHENTICITÉ D'UN DOCUMENT D'IDENTITÉ, OU L'ABSENCE DE FRAUDE. LES RÉSULTATS FOURNIS PAR LES SERVICES DE DIDIT SONT UNIQUEMENT À DES FINS D'INFORMATION ET SOUTIENNENT LE PROCESSUS DE PRISE DE DÉCISION DU CLIENT. LE CLIENT EST SEUL RESPONSABLE DE SES DÉCISIONS FINALES BASÉES OU NON SUR LES RÉSULTATS DE DIDIT, ET DIDIT N'ASSUME AUCUNE RESPONSABILITÉ QUELCONQUE POUR CES DÉCISIONS OU LEURS CONSÉQUENCES.

12. Limitation de Responsabilité

Dans toute la mesure permise par la loi applicable, en aucun cas Didit, ses sociétés affiliées, administrateurs, employés, agents, fournisseurs ou concédants de licence ne seront responsables de dommages indirects, accessoires, spéciaux, consécutifs, punitifs, exemplaires, ou de dommages pour perte de profits, de revenus, de données, d'utilisation ou de clientèle, encourus par le Client ou tout tiers, que ce soit dans le cadre d'une action contractuelle, délictuelle (y compris la négligence), ou autre, même si Didit a été informé de la possibilité de tels dommages.

La responsabilité totale et cumulative de Didit en vertu du présent Accord pour toute cause et en vertu de toute théorie de responsabilité sera limitée au montant des Crédits ou des frais de service effectivement payés par le Client à Didit au cours des douze (12) mois précédant l'événement donnant lieu à la réclamation.

Les limitations énoncées dans la présente section ne s'appliqueront pas à la responsabilité découlant de la négligence grave ou de la faute intentionnelle de Didit, aux obligations d'indemnisation réciproques énoncées à la section 14, ou dans les cas où la loi applicable n'autorise pas l'exclusion ou la limitation de certains dommages.

13. Indemnisation

13.1 Indemnisation par le Client : Le Client défendra, indemnisera et dégagera de toute responsabilité Didit, ses sociétés affiliées, administrateurs, employés, agents et fournisseurs (« Parties Indemnisées de Didit ») contre toutes réclamations, demandes, dommages, responsabilités, pertes, coûts et dépenses (y compris les honoraires d'avocat raisonnables) découlant de ou liés à : (i) La violation par le Client de l'une de ses obligations, déclarations ou garanties en vertu du présent Accord, y compris, mais sans s'y limiter, celles relatives à la sécurité, à la protection des données ou aux restrictions d'utilisation. (ii) Toute réclamation d'un Utilisateur Final ou d'un tiers liée à la collecte ou au traitement des Données Personnelles par le Client (y compris le défaut d'obtenir les consentements nécessaires), ou aux décisions du Client basées sur les résultats de Vérification. (iii) L'utilisation des Services par le Client d'une manière non conforme aux lois ou réglementations applicables. (iv) La violation par le Client ou ses Données Client de tout droit de Propriété Intellectuelle ou de confidentialité d'un tiers.

13.2 Indemnisation par Didit : Didit défendra, indemnisera et dégagera de toute responsabilité le Client, ses sociétés affiliées, administrateurs, employés et agents contre toutes réclamations, demandes, dommages, responsabilités, pertes, coûts et dépenses (y compris les honoraires d'avocat raisonnables) découlant de ou liés à une réclamation d'un tiers selon laquelle les Services, tels que fournis par Didit au Client et utilisés conformément au présent Accord, enfreignent directement un brevet, un droit d'auteur ou une marque de ce tiers.

Exclusions : L'obligation d'indemnisation de Didit ne s'appliquera pas aux réclamations découlant de : (a) l'utilisation des Services par le Client en combinaison avec tout logiciel, matériel ou donnée non fourni par Didit ; (b) la modification des Services par une partie autre que Didit ; ou (c) l'utilisation de versions obsolètes des Services si une version plus récente et non contrefaisante a été fournie par Didit.

13.3 Procédure d'Indemnisation : La Partie demandant l'indemnisation (« Partie Indemnisée ») devra : (i) notifier rapidement par écrit la partie indemnisante (« Partie Indemnisante ») de toute réclamation ; (ii) permettre à la Partie Indemnisante le contrôle exclusif de la défense et du règlement de la réclamation (à condition que le règlement n'impose pas d'obligation non monétaire à la Partie Indemnisée ou n'admette pas de responsabilité de la part de la Partie Indemnisée sans son consentement écrit préalable) ; et (iii) fournir à la Partie Indemnisante toute l'assistance et la coopération raisonnables, aux frais de la Partie Indemnisante.

14. Déclarations et Garanties

14.1 Déclarations et Garanties du Client : Le Client déclare et garantit à Didit que : (i) Il a la pleine capacité juridique et l'autorité pour conclure et exécuter le présent Accord. (ii) Il se conformera à toutes les lois, réglementations et normes applicables dans son utilisation des Services et dans la collecte, le traitement et le transfert des Données Client et des Données Personnelles. (iii) Il a obtenu et maintiendra tous les consentements, permissions et autorisations nécessaires des Utilisateurs Finaux et de toute autre personne physique pour que Didit traite leurs Données Personnelles conformément au présent Accord et au DPA. (iv) Toutes les Données Client fournies à Didit sont exactes, complètes et légales, et le Client a le droit de fournir ces données à Didit pour traitement.

14.2 Déclarations et Garanties de Didit : Didit déclare et garantit au Client que : (i) Elle a la pleine capacité juridique et l'autorité pour conclure et exécuter le présent Accord. (ii) Les Services seront fournis de manière professionnelle et conformément aux normes de l'industrie. (iii) Les Services seront substantiellement conformes aux descriptions contenues dans la Documentation.

15. Suspension et Résiliation

15.1 Résiliation pour Convenance :

• Par le Client : Le Client peut fermer son compte et résilier le présent Accord à tout moment, ce qui entraînera la perte des Crédits non utilisés.
• Par Didit : Didit peut résilier le présent Accord et l'accès du Client aux Services pour convenance, sans motif, moyennant un préavis écrit de trente (30) jours. Dans un tel cas, Didit remboursera au Client la valeur de tous les Crédits non utilisés.

15.2 Résiliation pour Motif : L'une ou l'autre des Parties peut résilier le présent Accord immédiatement par notification écrite à l'autre Partie si : (i) L'autre Partie viole matériellement l'une de ses obligations en vertu du présent Accord et ne remédie pas à cette violation dans les trente (30) jours suivant la réception d'une notification écrite spécifiant la violation. (ii) L'autre Partie devient en faillite, insolvable, liquide, dissout, entre dans un arrangement volontaire avec les créanciers, ou toute procédure similaire.

Didit peut immédiatement suspendre ou résilier l'accès du Client aux Services, sans préavis ni période de remède, dans les cas suivants : (a) Violation grave ou répétée des Sections 6.4 (Restrictions d'Utilisation) ou 6.5 (Responsabilités du Client). (b) Utilisation illégale, frauduleuse ou abusive des Services. (c) Non-paiement ou violation répétée des conditions de paiement. (d) Lorsque Didit détermine, à sa seule discrétion, que la sécurité ou l'intégrité des Services ou des Données Client peut être compromise. (e) En conformité avec une ordonnance d'un tribunal ou une exigence légale. (f) Abus du plan gratuit ou d'essai par la création de plusieurs organisations ou comptes, tel que décrit dans la Section 6.4, où les organisations et comptes affectés peuvent être suspendus ou résiliés.

15.3 Effets de la Résiliation : À la résiliation du présent Accord pour quelque raison que ce soit : (i) Toutes les licences et droits accordés au Client en vertu du présent Accord cesseront immédiatement. (ii) Le Client cessera toute utilisation des Services et de la Documentation. (iii) Tous les montants dus par le Client à Didit à la date de résiliation deviendront immédiatement exigibles et payables. (iv) Si la résiliation est due à une faute imputable au Client, les Crédits non utilisés seront perdus et non remboursables. (v) Les obligations de rétention et de suppression des Données Client seront régies par l'Annexe 2 (DPA). (vi) Les sections du présent Accord qui, par leur nature, devraient survivre à la résiliation, y compris, sans limitation, celles relatives à la Propriété Intellectuelle, à la Confidentialité, à l'Exclusion de Garanties, à la Limitation de Responsabilité, à l'Indemnisation, à la Loi Applicable et à la Juridiction, et aux Dispositions Générales, resteront pleinement en vigueur.

16. Dispositions Générales

16.1 Force Majeure : Aucune Partie ne sera tenue responsable de tout retard ou manquement à l'exécution de ses obligations en vertu du présent Accord si ce retard ou manquement est causé par un cas de Force Majeure. La Partie affectée notifiera l'autre Partie de l'événement de Force Majeure dès que possible et fera des efforts raisonnables pour en atténuer les effets.

16.2 Modifications de l'Accord : Didit se réserve le droit de modifier ou de mettre à jour les présentes Conditions Générales, les Annexes ou les politiques de service à tout moment. Didit notifiera le Client de ces modifications au moins trente (30) jours à l'avance en publiant les Conditions révisées sur son Site Web ou sa Console Business, ou en envoyant une notification directe au Client. Si le Client n'est pas d'accord avec les modifications, il peut résilier l'Accord par notification écrite avant la date d'entrée en vigueur des nouvelles conditions. L'utilisation continue des Services par le Client après la date d'entrée en vigueur des modifications constituera une acceptation contraignante des conditions révisées.

16.3 Cession : Le Client ne peut céder ou transférer ses droits ou obligations en vertu du présent Accord, en tout ou en partie, sans le consentement écrit préalable de Didit. Toute tentative de cession ou de transfert non conforme à cette disposition sera nulle et non avenue. Didit peut librement céder ou transférer le présent Accord, en tout ou en partie, à une société affiliée ou dans le cadre d'une fusion, acquisition, restructuration d'entreprise ou vente de tout ou partie substantielle de ses actifs.

16.4 Divisibilité : Si une disposition du présent Accord est jugée invalide ou inapplicable par un tribunal compétent, cette disposition sera limitée ou éliminée dans la mesure minimale nécessaire, et les autres dispositions du présent Accord resteront pleinement en vigueur.

16.5 Non-Renonciation : Le fait que l'une ou l'autre des Parties n'exerce pas ou retarde l'exercice d'un droit ou d'un recours en vertu du présent Accord ne constitue pas une renonciation à ce droit ou à ce recours, ni n'empêche tout exercice ultérieur de ce droit ou de ce recours. Une renonciation expresse à toute violation ne constitue pas une renonciation à toute violation ultérieure.

16.6 Loi Applicable et Juridiction : La loi applicable et la juridiction exclusive dépendent du lieu d'établissement du Client, qui détermine également l'entité Didit contractante (voir Section 1) :

• Les Clients établis dans l'Union Européenne, l'Espace Économique Européen, le Royaume-Uni, la Suisse ou l'Amérique Latine contractent avec Didit Identity Spain, S.L. Le présent Accord est régi par les lois d'Espagne (sans référence à ses principes de conflit de lois), et les Parties se soumettent irrévocablement à la juridiction exclusive des tribunaux de la ville de Barcelone, Espagne pour tout litige découlant de ou lié au présent Accord.
• Les Clients établis aux États-Unis, au Canada, en Asie-Pacifique, au Moyen-Orient et dans toutes les autres juridictions contractent avec Didit Identity, Inc. Le présent Accord est régi par les lois de l'État du Delaware, États-Unis d'Amérique (sans référence à ses principes de conflit de lois), et les Parties se soumettent irrévocablement à la juridiction exclusive des tribunaux d'État et fédéraux situés dans le Comté de New Castle, Delaware pour tout litige découlant de ou lié au présent Accord.

La présente Section 16.6 ne prive pas un consommateur des protections obligatoires de la loi du pays de sa résidence habituelle. La Convention des Nations Unies sur les Contrats de Vente Internationale de Marchandises ne s'applique pas.

16.7 Intégralité de l'Accord : Le présent Accord, y compris tous les Bons de Commande et Annexes, constitue l'accord intégral et exclusif entre le Client et Didit concernant son objet et remplace toutes les communications, propositions et accords antérieurs ou contemporains, qu'ils soient oraux ou écrits, entre les Parties.

16.8 Relation des Parties : Les Parties sont des entrepreneurs indépendants. Le présent Accord ne crée pas de partenariat, de coentreprise, d'emploi, de franchise ou de relation d'agence entre le Client et Didit. Aucune Partie n'a l'autorité d'engager l'autre ou d'encourir des obligations au nom de l'autre.

16.9 Notifications : Toutes les notifications requises ou permises en vertu du présent Accord doivent être faites par écrit et seront réputées livrées lorsque : (a) livrées personnellement ; (b) envoyées par courrier certifié ou recommandé, avec accusé de réception ; (c) envoyées par e-mail aux adresses de notification spécifiées à la Section 1 ou dans le Bon de Commande (avec confirmation de réception) ; ou (d) dans le cas de notifications générales de Didit au Client, publiées dans la Console Business ou sur le Site Web.

16.10 Lois de Conformité à l'Exportation : Le Client déclare et garantit que ni lui ni ses Utilisateurs Autorisés ne sont soumis à des sanctions économiques ou embargos imposés par l'Union Européenne, les États-Unis ou d'autres autorités compétentes, et qu'il n'utilisera pas les Services à des fins interdites par ces lois de contrôle des exportations.

16.11 Publicité : Le Client accepte que Didit puisse utiliser le nom et le logo du Client dans les supports marketing de Didit et la liste de ses clients, à moins que le Client ne notifie Didit par écrit de son objection à une telle utilisation.

16.12 Survie : Les Sections 7 (Droits de Propriété Intellectuelle), 8 (Frais et Conditions de Paiement, en relation avec les montants dus), 9 (Confidentialité), 11 (Exclusion de Garanties), 12 (Limitation de Responsabilité), 13 (Indemnisation), 15.3 (Effets de la Résiliation) et 16 (Dispositions Générales) survivront à toute résiliation ou expiration du présent Accord.

Annexe 1, Accord de Niveau de Service (SLA)

Pour les Plans Entreprise, les conditions opérationnelles et les métriques de service signées dans votre Bon de Commande prévaudront sur la présente Annexe.

1. Portée : Le présent Accord de Niveau de Service (« SLA ») s'applique à la disponibilité opérationnelle de l'API de vérification principale de Didit, du Tableau de Bord de la Console Business et des points d'accès SDK directement gérés par Didit.

2. Engagement de Disponibilité : Didit s'engage à maintenir une disponibilité mensuelle pour les Services principaux selon la métrique suivante :

3. Mesure de la Disponibilité : La disponibilité est mesurée minute par minute à l'aide des outils de surveillance internes de Didit. Un temps d'arrêt sera considéré comme toute minute pendant laquelle l'API principale ou le Tableau de Bord ne répond pas avec succès à une requête HTTPS (codes de statut 2XX/3XX), tel que détecté par le système de surveillance de Didit ou signalé et validé par le Client via une alerte de support.

4. Exclusions de Disponibilité : La disponibilité mensuelle n'inclura pas les temps d'arrêt ou les interruptions de service résultant de :

• Force Majeure : Événements échappant au contrôle raisonnable de Didit, tels que définis à la Section 16.1 de l'Accord principal.
• Maintenance Planifiée : Périodes de maintenance planifiée pour les Services. Didit s'efforcera de limiter la maintenance planifiée à un maximum de cinq (5) heures par mois, avec un préavis d'au moins quarante-huit (48) heures fourni via la Console Business ou par e-mail.
• Maintenance Urgente : Maintenance non planifiée requise pour résoudre des problèmes critiques de sécurité ou de performance. Didit tentera de fournir un préavis raisonnable, mais cela pourrait ne pas être possible dans tous les cas.
• Facteurs échappant au contrôle raisonnable de Didit : Y compris, mais sans s'y limiter, les problèmes matériels ou logiciels côté Client, les pannes de réseau Internet non attribuables à Didit, les attaques par déni de service dépassant les seuils d'atténuation standard, ou les défaillances de fournisseurs de services tiers (tels que les fournisseurs de cloud, sauf si une négligence grave de Didit dans leur sélection ou leur gestion est démontrée).
• Actes ou omissions du Client ou de ses Utilisateurs Autorisés : Y compris toute violation de l'Accord.

5. Crédits de Service (Crédits SLA) : Si Didit ne respecte pas l'Engagement de Disponibilité Mensuelle énoncé à la Section 2, le Client peut demander un crédit sur son compte Didit (sous forme de Crédits Didit non remboursables) conformément au tableau suivant :

5.1 Processus de Demande de Crédit : Pour demander un crédit, le Client doit soumettre une demande écrite à billing@didit.me dans les trente (30) jours calendaires suivant la fin du mois au cours duquel la violation du SLA s'est produite. La demande doit inclure la date et l'heure de l'interruption de service et une brève description de l'interruption. Le crédit de service est le seul et unique recours du Client pour toute violation de l'Engagement de Disponibilité en vertu du présent SLA. La valeur du crédit sera automatiquement appliquée au compte du Client lors du prochain cycle de facturation ou réapprovisionnement de Crédits.

Annexe 2, Accord de Traitement des Données (DPA)

Le présent Accord de Traitement des Données (« DPA ») fait partie intégrante de l'Accord principal et est applicable chaque fois que Didit traite des Données Personnelles au nom du Client, conformément au Règlement Général sur la Protection des Données (RGPD) et aux autres lois applicables en matière de protection des données.

1. Contexte et Portée : Le présent DPA énonce les droits et obligations des Parties en ce qui concerne le traitement des Données Personnelles par Didit en tant que Sous-traitant, agissant au nom du Client en tant que Responsable du Traitement.

2. Rôles et Nature du Traitement :

2.1 Détails du Traitement :

• Finalité du Traitement : Le traitement des Données Personnelles par Didit a pour seule finalité de fournir des Services de vérification d'identité au Client, y compris, mais sans s'y limiter, les obligations de conformité KYC/AML du Client, la vérification de l'âge et la prévention de la fraude.
• Catégories de Personnes Concernées : Les Données Personnelles traitées concernent les Utilisateurs Finaux dont l'identité est vérifiée par le Client via les Services.
• Catégories de Données Personnelles : Les données traitées peuvent inclure : les informations de document d'identité (nom, date de naissance, nationalité, numéro de document), les images de selfie/vidéo (y compris les données biométriques, telles que les données faciales), les données de contact (e-mail, téléphone), les données d'appareil et de connexion (adresse IP, type d'appareil, localisation) et les données de filtrage AML/sanctions.
• Durée du Traitement et de la Rétention : La période de rétention par défaut pour les Données Personnelles traitées dans les flux de vérification est indéfinie (« illimitée ») sauf si le Client configure une période plus courte. Le Client peut configurer la rétention par application dans la Console Business entre 30 jours et 10 ans, et peut supprimer toute session individuelle ou enregistrement de Vérification à tout moment via le point d'accès API `POST /v3/sessions/:session_id/delete/` ou la Console Business. Didit supprimera ou retournera les Données Personnelles sur instruction du Client ou à la résiliation de l'Accord, sauf si la loi applicable exige leur rétention. La rétention des données biométriques est dans tous les cas soumise à, et plafonnée par, les lois et réglementations applicables en matière de confidentialité biométrique, y compris l'article 9 du Règlement Général sur la Protection des Données (RGPD) de l'UE, la loi sur la confidentialité des informations biométriques de l'Illinois (BIPA), la loi sur la capture ou l'utilisation d'identifiants biométriques du Texas (CUBI), la loi H.B. 1493 de Washington, et toute autre loi applicable en matière de confidentialité biométrique ; lorsque cette loi prescrit une période de rétention plus courte ou une obligation de destruction antérieure, cette règle plus courte ou plus stricte prévaut sur toute période de rétention par défaut ou configurée par le Client.

2.2 Base Légale du Traitement : Le Client est seul responsable de la détermination de la base légale valide pour la collecte et le traitement des Données Personnelles des Utilisateurs Finaux, ainsi que pour le transfert de ces données à Didit. Cela peut inclure, par exemple, le consentement explicite de la personne concernée (en particulier pour les données biométriques), l'exécution d'un contrat, le respect d'une obligation légale ou un intérêt légitime. Le Client s'engage à fournir les avis de confidentialité nécessaires et à obtenir les consentements requis des Utilisateurs Finaux conformément à la loi applicable avant d'envoyer des Données Personnelles à Didit.

2.3 Formation de Modèles Anonymisés / Pseudonymisés et Détection de Fraude (Didit en tant que Responsable du Traitement Indépendant) : Le Client reconnaît et accepte que Didit puisse utiliser des données anonymisées ou pseudonymisées dérivées des Données Client aux fins suivantes en tant que Responsable du Traitement Indépendant :

(i) Formation et amélioration des modèles de vérification, biométriques et de détection de fraude, y compris les classificateurs de documents, la vivacité, la correspondance faciale, la détection de deepfake, la détection d'attaques par injection et les modèles de notation des risques, pour améliorer la sécurité, réduire la fraude et améliorer la précision des Services pour tous les clients.

(ii) Mesures de prévention de la fraude inter-clients, identification et signalement des acteurs frauduleux connus, des schémas d'attaque et des tentatives de fraude répétées à travers les différentes applications Client utilisant les Services de Didit.

Didit traite ces données sur la base de son intérêt légitime à exploiter une infrastructure d'identité et de fraude sûre et précise, et applique des contrôles d'anonymisation, de pseudonymisation, d'agrégation et d'accès afin que les données utilisées à ces fins ne puissent pas être raisonnablement liées à une personne identifiable en dehors de l'enregistrement de Vérification sous-jacent.

Option de retrait. Le Client (ou un Utilisateur Final concerné) peut se désengager du traitement décrit dans la présente Section 2.3 en (a) supprimant l'enregistrement de Vérification sous-jacent via l'API ou la Console Business, ce qui supprime l'enregistrement des pipelines de formation lors du prochain cycle de rafraîchissement, ou (b) en envoyant un e-mail à privacy@didit.me avec l'identifiant de session ou le compte pertinent, demandant un retrait. Les retraits s'appliquent prospectivement à partir de la date de la demande ; Didit fera également des efforts commercialement raisonnables pour purger les enregistrements éligibles des ensembles de données de formation actifs.

3. Obligations de Didit (Sous-traitant) : Didit s'engage à : (i) Traiter les Données Personnelles uniquement sur instructions documentées du Client, sauf si requis par le droit de l'Union ou de l'État membre, auquel cas Didit informera le Client de cette exigence légale avant le traitement, à moins que cette loi n'interdise une telle information pour des motifs importants d'intérêt public. (ii) Assurer la confidentialité des Données Personnelles. Didit veillera à ce que les personnes autorisées à traiter les Données Personnelles s'engagent à respecter la confidentialité ou soient soumises à une obligation légale de confidentialité appropriée. (iii) Mettre en œuvre des mesures techniques et organisationnelles (MTO) appropriées et robustes pour assurer un niveau de sécurité adapté au risque, y compris le chiffrement des données au repos (AES-256) et en transit (TLS 1.3), la gestion des clés dans un service de gestion des clés (KMS) dédié, le contrôle d'accès basé sur les rôles, la séparation des environnements, la résilience des systèmes et services de traitement, la surveillance continue et les tests de sécurité réguliers. Didit maintient la certification SOC 2 Type 1 (Sécurité, Disponibilité, Confidentialité ; examen SOC 2 Type 2 en cours), ISO/IEC 27001:2022, la détection d'attaque de présentation (PAD) iBeta Niveau 1 selon ISO/IEC 30107-3, et l'attestation du bac à sable Tesoro / SEPBLAC / CNMV délivrée en vertu de la Ley 7/2020 espagnole sur le bac à sable financier. (iv) Assister le Client dans l'exécution de ses obligations en tant que Responsable du Traitement, en tenant compte de la nature du traitement et des informations dont Didit dispose, y compris :

(v) Notifier le Client sans délai excessif de toute violation de la sécurité des Données Personnelles dont Didit a connaissance. Didit fournira au Client les informations connues sur la violation et coopérera avec le Client pour en atténuer les effets et remplir les obligations de notification.

4. Obligations du Client (Responsable du Traitement) : Le Client s'engage à : (i) Établir et maintenir une base légale adéquate pour le traitement et le transfert des Données Personnelles à Didit. (ii) Fournir les avis de confidentialité nécessaires et obtenir les consentements requis des Utilisateurs Finaux, conformément aux lois applicables en matière de protection des données, avant d'utiliser les Services de Didit. (iii) Configurer les périodes de rétention des données via la Console ou l'API de Didit conformément à ses propres obligations légales et politiques internes. (iv) Répondre aux demandes des autorités de contrôle ou des personnes concernées que Didit redirige vers le Client.

5. Sous-traitants : Le Client accorde à Didit une autorisation générale pour l'engagement de sous-traitants pour le traitement des Données Personnelles. Didit maintient une liste à jour de ses sous-traitants, qui est partagée avec les Clients et les Clients potentiels par e-mail après la signature d'un Accord de Non-Divulgation (NDA). Pour demander la liste actuelle, envoyez un e-mail à security@didit.me. Didit notifie les Clients abonnés par e-mail de toute addition ou modification à la liste des sous-traitants avec un préavis suffisant pour permettre au Client de s'y opposer. Didit impose à ses sous-traitants des obligations de protection des données substantiellement similaires à celles énoncées dans le présent DPA et reste entièrement responsable envers le Client de la conformité de ses sous-traitants à ces obligations. Le Client peut s'opposer à un nouveau sous-traitant pour des motifs raisonnables de protection des données, auquel cas les Parties travailleront de bonne foi pour trouver une solution, y compris la possibilité de résilier le Service affecté.

6. Violations de Sécurité : En cas de violation de la sécurité des Données Personnelles : (i) Didit notifiera le Client sans délai excessif après en avoir pris connaissance. (ii) Didit fournira au Client des détails sur la violation, y compris la nature de la violation, les catégories de données affectées, le nombre approximatif de personnes concernées et d'enregistrements de données affectés, les conséquences probables et les mesures prises ou proposées pour y remédier et en atténuer les éventuels effets néfastes. (iii) Didit coopérera raisonnablement avec le Client dans l'enquête sur la violation et dans l'exécution de ses obligations de notification aux autorités de contrôle et aux personnes concernées, bien que la décision finale concernant ces notifications incombe au Client.

7. Transferts Internationaux de Données : Les données primaires traitées par Didit sont hébergées dans l'Espace Économique Européen (EEE). Tout transfert de Données Personnelles en dehors de l'EEE par Didit ou ses sous-traitants ne sera effectué que sur la base d'un mécanisme de transfert légalement reconnu en vertu du RGPD, tel que les Clauses Contractuelles Types (CCT) approuvées par la Commission Européenne, une décision d'adéquation, ou tout autre mécanisme légal applicable pour assurer un niveau de protection adéquat.

8. Suppression / Retour des Données Personnelles : Sur demande écrite du Client ou à la résiliation du présent Accord, Didit, au choix du Client, supprimera ou retournera toutes les Données Personnelles au Client, à moins que la loi applicable n'exige que Didit conserve les Données Personnelles. Le Client peut gérer la suppression de ses Données Personnelles via l'API ou la Console de Didit conformément à sa propre politique de rétention.

9. Audit et Documentation : Didit mettra à la disposition du Client, sur demande et moyennant un préavis raisonnable (pas moins de 30 jours), toutes les informations raisonnablement nécessaires pour démontrer la conformité aux obligations énoncées dans le présent DPA. Dans le cas où le Client exigerait un audit direct des installations ou des systèmes de Didit, un tel audit sera limité et non intrusif, sous réserve d'un accord mutuel sur la portée et la méthodologie, et le Client supportera les coûts raisonnables y afférents. Sur demande et sous NDA signé, Didit fournit son rapport SOC 2 Type 1 (SOC 2 Type 2 en cours), son certificat ISO/IEC 27001:2022, son rapport de test iBeta Niveau 1 PAD, et la conclusion du bac à sable Tesoro / SEPBLAC / CNMV publiée comme preuves d'audit.

10. Durée du DPA : Le présent DPA aura la même durée que l'Accord principal. Les clauses du présent DPA relatives à la confidentialité, à la suppression, à la responsabilité et à l'audit survivront à la résiliation de l'Accord tel que requis pour se conformer aux lois applicables.