Conditions générales de Cicora relatives aux Données commerciales et au traitement des données

Version datée du 16 septembre 2026. La présente page définit le cadre général B2B applicable à une Organisation qui utilise Cicora par l’intermédiaire d’un Espace de travail, d’une API ou d’une autre commande d’entreprise. La commande B2B particulière et l’avenant relatif au traitement des données déterminent les rôles, routes, audits, durées, conditions de transfert et paramètres particuliers applicables. Les présentes conditions s’appliquent à un Client lorsqu’elles sont expressément incorporées à l’accord B2B conclu par ce Client avec RIZZ TRADE.

Pour un Compte personnel ordinaire, RIZZ TRADE détermine généralement les finalités du traitement relatif au Compte, au paiement, à la sécurité et à l’assistance en qualité de responsable du traitement indépendant ; la Politique de confidentialité s’applique. Pour les Données à caractère personnel qu’un Client Organisation fournit par l’intermédiaire de Cicora au sujet de son personnel, de ses clients ou d’autres personnes, lorsque ce Client détermine les finalités et les moyens essentiels, le cadre ci-dessous s’applique en tant que « Client en qualité de partie responsable — RIZZ TRADE en qualité de sous-traitant », dans le cadre de l’accord B2B effectivement conclu.

1. Rôles, champ d’application et hiérarchie

Sur la présente page :

• le Client désigne une Organisation ou un entrepreneur ayant conclu une commande B2B Cicora avec RIZZ TRADE ;
• la Partie responsable désigne le Client lorsqu’il détermine les finalités et les moyens essentiels du traitement des Données à caractère personnel relatives à ses utilisateurs, son personnel, ses clients ou d’autres personnes ;
• le Sous-traitant désigne RIZZ TRADE lorsqu’elle traite les Données à caractère personnel du Client selon les instructions documentées du Client afin de fournir Cicora ;
• les Données du Client désignent les données qu’un Client, son administrateur, un utilisateur de l’API ou un participant à l’Espace de travail fournit à Cicora pour le Client, y compris les Données à caractère personnel ;
• les Données à caractère personnel du Client désignent la partie des Données du Client qui constitue des Données à caractère personnel au sens du droit applicable ;
• le Sous-traitant ultérieur désigne une partie engagée par RIZZ TRADE pour traiter les Données à caractère personnel du Client pour le Client dans le rôle applicable ; et
• les Instructions documentées désignent l’accord ou la commande écrits, la configuration sélectionnée par le Client, les paramètres de l’Espace de travail ou de l’API et les autres instructions d’une personne autorisée que RIZZ TRADE peut légalement et techniquement exécuter.

La commande B2B individuelle ou l’accord sur le traitement des données prévaut sur la présente page générale pour les questions qu’il régit spécifiquement. Pour les questions relatives aux Données à caractère personnel, cet accord prévaut sur les conditions commerciales générales en cas de conflit. Le droit impératif prévaut sur l’accord. Aucune disposition de la présente page ne supprime les droits des personnes concernées au titre du droit applicable et ne fait automatiquement de chaque fournisseur externe un Sous-traitant ultérieur : le rôle découle du flux de données effectif, de l’accord et de la finalité du traitement.

RIZZ TRADE demeure un responsable du traitement indépendant pour les données minimales nécessaires à l’administration de son propre accord et de son produit : création et administration du Compte Client, facturation et fiscalité, prévention de la fraude et des violations, protection de l’infrastructure, conservation des enregistrements obligatoires, résolution des litiges et défense de droits en justice. La Politique de confidentialité de Cicora s’applique à ces finalités indépendantes, et non une instruction illimitée du Client.

2. Traitement uniquement sur instruction et aux fins autorisées

Lorsque RIZZ TRADE agit en qualité de Sous-traitant, elle traite les Données à caractère personnel du Client uniquement afin de fournir, d’assurer l’assistance, de protéger et d’exécuter Cicora conformément à l’accord B2B, à la commande, à la configuration sélectionnée et aux instructions légales du Client. Le traitement peut comprendre la collecte, l’enregistrement, l’organisation, le stockage, l’accès, la transmission vers une Route sélectionnée, la présentation d’un résultat, la mise en cache limitée, la suppression ou la désidentification, le diagnostic technique et les mesures de sécurité, uniquement dans la mesure nécessaire à la fonctionnalité concernée.

Le Client doit veiller à ce que ses instructions soient licites, transparentes pour les personnes concernées, respectent les droits de tiers, correspondent à sa base légale et comportent les informations et consentements nécessaires. Le Client ne demande à Cicora de traiter que des données qu’il est en droit de traiter et n’utilise pas l’interface pour effectuer un transfert dissimulé de données particulières, biométriques, médicales, relatives aux enfants ou d’autres informations à haut risque sans évaluation, accord et protection appropriés.

RIZZ TRADE informe le Client lorsqu’elle estime raisonnablement qu’une instruction expresse est incompatible avec le droit applicable ou l’accord B2B, sauf lorsque la loi interdit cette divulgation. RIZZ TRADE peut traiter les Données à caractère personnel du Client différemment lorsque le droit impératif l’exige et, lorsque la loi le permet, en informe le Client avant ce traitement ou sans retard indu après celui-ci.

Le Client désigne les administrateurs autorisés et tient leurs coordonnées à jour. Une instruction modifiant le modèle, la route, la conservation, l’accès des administrateurs, l’exportation, le type de données ou un transfert international doit provenir de cette personne autorisée et être expressément reflétée dans une configuration ou une commande disponible. Un e-mail ambigu, une instruction d’un participant ordinaire ou une demande extérieure à la configuration documentée ne doit pas nécessairement être exécuté comme une instruction de la Partie responsable.

3. Détails du traitement : annexe requise pour chaque commande B2B

Chaque commande B2B comporte une annexe factuelle relative au traitement des Données à caractère personnel du Client. L’annexe identifie les données et finalités particulières et ne s’étend pas à un champ indéfini de « toutes données à toutes fins ». Elle comprend au minimum :

Un Fournisseur de Modèle ne reçoit les Données du Client que par l’intermédiaire de la Route applicable sélectionnée. Le Répertoire des Modèles et des politiques donne accès aux conditions publiées des fournisseurs. Il ne remplace pas les informations convenues avec le Client sur les destinataires effectifs, le traitement des données et les transferts internationaux. Une disposition prévoyant l’absence d’entraînement, une conservation limitée ou un territoire particulier s’applique au Client lorsqu’elle est expressément incluse dans la configuration applicable ou l’accord B2B.

Le répertoire public des conditions des modèles ne remplace pas l’annexe factuelle relative au traitement ni le registre des destinataires convenus avec le Client pour sa commande B2B.

4. Confidentialité et accès des personnes autorisées

RIZZ TRADE n’autorise le traitement des Données à caractère personnel du Client que par les personnes qui ont besoin d’y accéder pour fournir le service, assurer la sécurité ou l’assistance, respecter la loi ou exécuter l’accord B2B. Ces personnes sont soumises à des obligations de confidentialité adaptées à la nature des données et au moins aussi protectrices que l’exigent l’accord et la loi. L’accès est organisé selon les principes de nécessité et de proportionnalité pour la fonction concernée.

Le Client limite également l’accès à sa configuration, à ses clés d’API, aux identifiants de ses administrateurs et à son Espace de travail. Le fait de donner une clé à une personne non autorisée, d’utiliser un Compte partagé sans contrôle fondé sur les rôles ou d’utiliser les données d’une autre Organisation en dehors de l’instruction peut créer un risque dont RIZZ TRADE n’est pas responsable comme de son propre acte. Cela ne libère pas RIZZ TRADE de son obligation de protéger les systèmes et de répondre à un incident confirmé relevant de son contrôle.

Les informations confidentielles ne comprennent pas les informations qui deviennent accessibles au public autrement que par un manquement du destinataire, qui sont obtenues légalement auprès d’un tiers sans obligation de confidentialité, qui sont développées indépendamment sans accès aux informations confidentielles ou qui doivent être divulguées en vertu de la loi. Lorsque la divulgation est obligatoire, RIZZ TRADE informe le Client si la loi le permet et limite la divulgation à ce qui est nécessaire.

5. Sous-traitants ultérieurs, Fournisseurs de Modèles et modifications de Route

RIZZ TRADE peut engager des Sous-traitants ultérieurs lorsque cela est nécessaire pour fournir, assister, sécuriser ou exécuter Cicora. Avant qu’un Sous-traitant ultérieur n’accède aux Données à caractère personnel du Client, RIZZ TRADE lui impose les obligations contractuelles pertinentes en matière de confidentialité, de sécurité et de traitement limité à la finalité autorisée. RIZZ TRADE reste responsable envers le Client, dans le cadre de l’accord B2B, de l’exécution des obligations de ses Sous-traitants ultérieurs, sauf disposition contraire du droit impératif.

L’accord sur le traitement des données ou la commande individuelle indique comment obtenir le registre actuel des Sous-traitants ultérieurs importants et des Routes de modèles. Le registre contient les informations confirmées à la date de l’enregistrement sur le destinataire ou la catégorie, la fonction, le statut de la Route et le pays ou le transfert lorsque la divulgation est requise. Le registre est déterminé par le produit, le modèle et la configuration du Client.

Lorsqu’un accord B2B prévoit la notification du Client ou le droit de s’opposer raisonnablement à un nouveau Sous-traitant ultérieur important, il définit le canal, le délai, la justification requise, les solutions de remplacement possibles et les conséquences en l’absence de solution techniquement autorisée. Ce droit s’exerce dans les limites de la loi, de la sécurité, de la disponibilité des fournisseurs et du produit. Lorsque l’accord B2B individuel ne prévoit pas ce droit, une modification de Route est régie par les conditions générales et le droit applicable.

Une modification de modèle ou de Route qui change substantiellement les conditions relatives aux Données à caractère personnel du Client est traitée comme une modification de configuration : RIZZ TRADE la communique au Client autorisé dans la mesure prévue par l’accord et obtient la confirmation ou l’action requise avant l’utilisation lorsque la loi, la commande ou un paramètre convenu l’exige. Une solution de repli automatique n’est pas utilisée pour contourner une restriction convenue relative aux données.

6. Incidents relatifs à la sécurité et aux données à caractère personnel

RIZZ TRADE applique des mesures proportionnées au risque lié au traitement effectif des Données à caractère personnel du Client. L’avenant B2B contient un ensemble vérifié de mesures organisationnelles et techniques applicables. Une certification, un algorithme particulier, un audit, un pays d’infrastructure, un délai de reprise ou une évaluation indépendante ne fait partie des obligations de RIZZ TRADE que si cela est expressément prévu dans l’accord ou l’avenant B2B.

Lorsqu’elle prend connaissance d’un incident relatif à des données à caractère personnel relevant du contrôle de RIZZ TRADE, celle-ci prend des mesures raisonnables pour le contenir, l’examiner et en atténuer les effets. Lorsque l’incident affecte des Données à caractère personnel du Client et qu’une notification est requise par la loi ou l’accord B2B, RIZZ TRADE en informe le Client sans retard indu après avoir obtenu suffisamment d’informations initiales. La notification comprend les informations connues à ce moment-là sur la nature de l’événement, les catégories ou systèmes affectés, les mesures prises ou prévues et un canal pour tout contact ultérieur. Les informations peuvent être complétées à mesure que l’enquête progresse.

Le Client détermine s’il doit informer les personnes concernées ou une autorité de contrôle dans son rôle de Partie responsable, sauf si la loi impose directement une autre obligation à RIZZ TRADE. RIZZ TRADE fournit une assistance raisonnable dans les limites des informations disponibles, du produit effectif et de l’accord. Le calendrier de notification est déterminé par le droit applicable, l’accord B2B et la procédure convenue en cas d’incident.

7. Demandes des personnes concernées, autorités publiques et coopération

Si RIZZ TRADE reçoit une demande d’une personne concernée portant sur des Données à caractère personnel du Client dont le Client est responsable en qualité de Partie responsable, RIZZ TRADE la transmet au Client lorsque cela est possible ou oriente la personne concernée vers le Client. Elle fournit une assistance raisonnable dans le cadre de l’accord B2B, des informations disponibles et de la loi. RIZZ TRADE limite sa réponse afin de ne pas divulguer les données d’une autre personne, des informations confidentielles du Client, des mesures de sécurité ou des informations protégées par la loi.

À la demande raisonnable du Client, RIZZ TRADE peut fournir une assistance proportionnée pour une analyse d’impact relative à la protection des données, une consultation avec une autorité ou une autre obligation de la Partie responsable liée au service effectivement fourni. Le périmètre, les coûts, le calendrier et les éléments autorisés dépendent de l’accord B2B, de la nature de la demande et de la sécurité. Une telle assistance ne fait pas de RIZZ TRADE le conseiller juridique du Client.

En cas de demande licite d’une autorité publique, RIZZ TRADE l’évalue dans les limites de sa compétence et ne divulgue que ce qui est nécessaire. Lorsque l’accord et la loi le permettent, RIZZ TRADE informe le Client avant la divulgation ou rapidement après celle-ci. La notification peut être retardée ou omise lorsqu’elle est interdite, lorsqu’elle pourrait entraver une enquête, créer un risque ou enfreindre une obligation légale.

8. Informations sur la conformité et audit

Le Client peut demander les informations raisonnablement nécessaires pour confirmer l’exécution du cadre B2B convenu. RIZZ TRADE examine la demande en tenant compte de la confidentialité, de la sécurité, des droits des autres clients, des preuves disponibles et de la nature du traitement. Les documents disponibles, les réponses à un questionnaire, un résumé des mesures ou des preuves indépendantes peuvent remplacer un audit lorsqu’ils existent effectivement et suffisent à la finalité.

Un audit sur site ou à distance est mené lorsqu’il est expressément prévu par l’accord B2B et que son périmètre, sa durée, l’indépendance de l’auditeur, la confidentialité, la protection du système, la fréquence et les coûts sont convenus. Un audit ne donne pas accès à l’infrastructure, au code source, aux clés, aux données d’autres clients, à la sécurité d’un Fournisseur de Modèle ou à d’autres éléments dont la divulgation enfreindrait la confidentialité, la sécurité, les droits de tiers ou la loi.

9. Restitution, suppression et résiliation d’une commande B2B

Lors de la résiliation d’une commande B2B, le Client dispose d’une possibilité raisonnable de demander la restitution ou l’exportation des Données du Client dans un format disponible, lorsque cela est techniquement possible et ne porte pas atteinte aux droits de tiers, à la sécurité, à la loi ou aux conditions des fournisseurs. La commande B2B ou l’avenant relatif au traitement précise le délai, le format, le coût, le périmètre et le contact pour cette demande.

Après la période applicable de restitution ou d’exportation, RIZZ TRADE supprime ou désidentifie les Données à caractère personnel du Client dans le cadre de son rôle, sauf si la loi, la sécurité, un litige, la comptabilité, la défense de droits ou l’accord exigent une conservation limitée. Les sauvegardes et copies isolées sont effacées suivant leur cycle effectif, ne sont pas remises en usage ordinaire et ne donnent pas accès à un Espace de travail restauré sans base indépendante. Les Fournisseurs de Modèles peuvent conserver des données selon leurs propres conditions contractuelles ; le chemin pertinent et l’assistance disponible sont indiqués dans le registre ou l’avenant.

La restitution et la suppression suivent les critères de la commande B2B, du produit effectif, du cycle de sauvegarde et du droit applicable. Une durée particulière, une résidence des données, un verrouillage de conservation, un certificat de destruction ou une exportation distincte s’applique lorsqu’il en a été convenu avant le traitement et que cela figure dans l’avenant.

10. Transferts internationaux

Pour les Données à caractère personnel du Client soumises à des restrictions de transfert international, les parties déterminent d’abord le flux effectif : exportateur, importateur, rôles, pays, catégories de données, destinataires, Route du modèle et droit applicable. Elles concluent ensuite un avenant individuel ou utilisent un autre mécanisme reconnu lorsque cela est nécessaire. Cela peut inclure des conditions contractuelles pour l’EEE, le Royaume-Uni, la Suisse ou un autre territoire, mais uniquement après que les parties, annexes et informations requises ont été renseignées.

Un avenant individuel relatif aux transferts internationaux devient partie intégrante de l’accord B2B après la détermination du mécanisme applicable et des informations nécessaires sur les parties, la Route et les données. La Politique de confidentialité générale sert d’avis public ; une garantie de traitement dans un seul pays, des CCT, un Avenant britannique ou un autre mécanisme de transfert particulier ne s’applique que lorsqu’il est expressément prévu dans l’avenant individuel.

11. Responsabilité, modifications et relation avec les autres conditions

Les obligations et recours relatifs au traitement des données s’appliquent dans le cadre de l’accord B2B et du droit impératif. Une limite de responsabilité, une indemnisation, une obligation de confidentialité et une procédure de règlement des litiges s’appliquent dans la mesure expressément prévue par l’accord B2B. Une limitation B2B ne s’applique pas à un consommateur lorsque la loi ne l’autorise pas et ne limite pas les droits des personnes concernées auxquels il ne peut être renoncé.

RIZZ TRADE peut mettre à jour le cadre général B2B lorsque la loi, le produit, un Sous-traitant ultérieur effectif ou les exigences de sécurité changent. Une modification substantielle s’applique conformément à la procédure de notification et d’effet prospectif convenue avec le Client et ne modifie pas rétroactivement une Route ou un avenant relatif au traitement déjà convenus, ni les droits conférés par le droit impératif. Les questions des Organisations peuvent être envoyées à support@cicora.ai ; une commande B2B peut préciser un contact opérationnel distinct.

Annexe : forme minimale d’une annexe relative au traitement

Le formulaire suivant est renseigné avec les informations actuelles propres à la commande B2B concernée :