ATD mai 2026

2.1. Aux fins du présent ATD, et conformément aux définitions du RGPD, MyScript agit en tant que Sous-traitant et Vous agissez en tant que Responsable du traitement.

2.2. Le Sous-traitant doit :

• se conformer à toutes les Dispositions Relatives à la Protection des Données applicables dans le cadre du Traitement des Données Personnelles de l'Utilisateur, et
• ne pas traiter les Données Personnelles de l'Utilisateur autrement que selon Vos instructions documentées.

2.2. Par le présent ATD, Vous donnez instruction au Sous-traitant de traiter les Données Personnelles de l'Utilisateur afin de fournir les Services.

Le Sous-traitant doit prendre des mesures raisonnables pour garantir la fiabilité de tout employé, agent ou sous-traitant du Sous-traitant qui peut avoir accès aux Données Personnelles de l'Utilisateur, en s'assurant dans chaque cas que l'accès est strictement limité aux personnes qui ont besoin d'accéder aux Données Personnelles concernées de l'Utilisateur pour la fourniture des Services ou pour remplir leur rôle au sein de l'organisation du Sous-traitant, et de se conformer aux lois applicables dans le cadre des devoirs de cette personne envers le Sous-traitant, en veillant à ce que toutes ces personnes soient soumises à des engagements de confidentialité ou à des obligations professionnelles ou statutaires de confidentialité.

4.1. Responsabilités du Sous-traitant en matière de sécurité

4.1.1. Compte tenu de la technologie, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du Traitement ainsi que du risque de probabilité et de gravité variables pour les droits et libertés des personnes physiques, le Sous-traitant doit, en concernant les Données Personnelles de l'Utilisateur, mettre en œuvre les mesures techniques et organisationnelles appropriées pour assurer un niveau de sécurité adapté à ce risque, y compris, le cas échéant, les mesures visées à l'article 32, paragraphe 1, du RGPD.

4.1.2. Lors de l'évaluation du niveau de sécurité approprié, le Sous-traitant doit tenir compte, en particulier, des risques présentés par le Traitement, en particulier d'une Violation de données à caractère personnel.

4.1.3. Les mesures de sécurité du Sous-traitant sont détaillées dans l'Annexe 2 du présent ATD.

4.2. Vos responsabilités en matière de sécurité

Vous acceptez que, sans préjudice des obligations du Sous-traitant en vertu de la Section 4.1 (Mesures de sécurité) et de la Section 7 (Violation de données à caractère personnel) :

4.2.1. Vous êtes seul responsable de Votre utilisation du Service, notamment (i) en Vous assurant d'avoir obtenu toutes les autorisations nécessaires de toute personne physique dont les Données Personnelles sont traitées via le Service, et (ii) en conservant tous Vos identifiants de connexion et mots de passe en toute sécurité et en les changeant régulièrement.

4.2.2. Le Sous-traitant n'a aucune obligation de protéger les Données Personnelles de l'Utilisateur que Vous choisissez de stocker ou de transférer en dehors des systèmes du Sous-traitant (ou des Sous-traitants Ultérieurs).

4.2.3. Vous êtes seul responsable de l'examen des mesures de sécurité et de l'évaluation par Vous-même si le Service, les mesures de sécurité, les informations de sécurité supplémentaires et les engagements du Sous-traitant en vertu de la présente Section 4 (Sécurité des données) répondront à Vos besoins, y compris en ce qui concerne les obligations de sécurité des lois applicables en matière de protection des données de Votre juridiction.

5.1. Le Sous-traitant ne doit pas transférer les Données Personnelles de l'Utilisateur à des tiers et ne doit pas nommer (ni divulguer de Données Personnelles de l'Utilisateur à) un Sous-traitant ultérieur, sauf si cela est requis ou autorisé par Vous.

5.2. Vous autorisez par les présentes les sous-traitants ultérieurs listés à l’Annexe 1 du présent DPA à recevoir et traiter les Données personnelles des Utilisateurs si nécessaire à la fourniture des Services. Le Sous-traitant Vous informera de toute modification de l’Annexe 1 avant le Traitement de toute Donnée Personnelle de l’Utilisateur par tout nouveau Sous-traitant ultérieur et Vous pourrez cesser d’utiliser les Services.

5.3. Le Sous-traitant sera responsable des actes et omissions de ses Sous-traitants Ultérieurs dans la même mesure que le Sous-traitant serait responsable s'il exécutait les services de chaque Sous-traitant Ultérieur directement en vertu des termes du présent ATD et des Mentions légales et Conditions d'utilisation.

6.1. Compte tenu de la nature du Traitement, le Sous-traitant Vous assistera en mettant en œuvre les mesures techniques et organisationnelles appropriées, dans la mesure du possible, pour l'exécution de Vos obligations, telles que raisonnablement comprises par le Sous-traitant, à répondre aux demandes d'exercice des droits de la Personne Concernée en vertu des Dispositions Relatives à la Protection des Données, à savoir le droit d'accès, le droit de rectification, la limitation du Traitement, l'effacement, la portabilité des données, l'opposition au Traitement, ou son droit de ne pas faire l'objet d'une prise de décision individuelle automatisée (ci-après « Demande de la Personne concernée »).

6.2. Le Sous-traitant doit :

• vous notifier rapidement s'il reçoit une demande d'une Personne Concernée en vertu de toute loi relative à la protection des données concernant les Données Personnelles de l'Utilisateur, et
• s'assurer qu'il ne répond pas à cette demande, sauf sur Vos instructions documentées ou tel que requis par les lois applicables auxquelles le Sous-traitant est soumis, auquel cas le Sous-traitant doit, dans la mesure permise par les lois applicables, Vous informer de cette exigence légale avant que le Sous-traitant ne réponde à la demande.

6.3. Compte tenu de la nature du Traitement, le Sous-traitant Vous assistera, par des mesures techniques et organisationnelles appropriées, dans la mesure du possible, afin de Vous permettre de Vous acquitter de Votre obligation de répondre à une demande d'une personne concernée au titre des lois européennes sur la protection des données. En outre, dans la mesure où Vous, dans le cadre de votre utilisation du Service, n’avez pas la capacité de répondre à une demande d’une Personne Concernée, le Sous-traitant devra, sur Votre demande écrite, Vous fournir une coopération et une assistance raisonnables afin de faciliter Votre réponse à cette demande, dans la mesure où le Sous-traitant est légalement autorisé à le faire et où une réponse à cette demande est requise en vertu des lois européennes relatives à la protection des données. Dans la mesure permise par la loi, Vous serez responsable de tous les coûts résultant de la fourniture d’une telle assistance par le Sous-traitant.

7.1. Le Sous-traitant doit Vous informer, ainsi que l'Autorité de contrôle compétente, sans retard indu dès qu'il prend connaissance d'une Violation de données à caractère personnel affectant les Données Personnelles de l'Utilisateur, en Vous fournissant des informations suffisantes pour Vous permettre de respecter toute obligation de signaler ou d'informer les Personnes Concernées de la Violation de données à caractère personnel en vertu des Lois sur la protection des données.

7.2. Le Sous-traitant doit coopérer avec Vous et prendre des mesures commerciales raisonnables selon Vos instructions pour aider à l'enquête, à l'atténuation et à la correction de chacune de ces Violations de données à caractère personnel.

7.3. Notification(s) de toute violation de données à caractère personnel vous seront adressées par communication directe. Vous êtes seul responsable de Vous assurer que toutes les informations de contact, y compris l'adresse e-mail de notification, fournies au Sous-traitant sont à jour et valides.

7.4. Le Sous-traitant n’évaluera pas le contenu des Données à caractère personnel de l’Utilisateur afin d’identifier des informations soumises à des exigences légales spécifiques. Vous êtes seul responsable du respect des lois applicables en matière de notification des incidents et de l’exécution de toute obligation de notification à des tiers liée à toute violation de données à caractère personnel.

7.5. La notification ou la réponse du Sous-traitant à une Violation de données à caractère personnel en vertu de la présente Section 7.1 (Violation de données à caractère personnel) ne sera pas interprétée comme une reconnaissance par le Sous-traitant de toute faute ou responsabilité concernant la Violation de données à caractère personnel.

Le Sous-traitant doit Vous fournir une assistance raisonnable pour toute analyse d'impact relative à la protection des données et pour les consultations préalables avec les autorités de contrôle ou d'autres autorités compétentes en matière de protection des données, que Vous considérez raisonnablement comme requises par les articles 35 ou 36 du RGPD ou des dispositions équivalentes de toute autre Disposition Relative à la Protection des Données, dans chaque cas uniquement en ce qui concerne le Traitement des Données Personnelles de l'Utilisateur par le Sous-traitant, et en tenant compte de la nature du Traitement et des informations à la disposition du Sous-traitant.

9.1. À Votre demande expresse ou lors de la suppression de Votre compte par Vous-même, le Sous-traitant supprimera les Données Personnelles de l'Utilisateur qui ont été traitées ou sont en cours de traitement par le Sous-traitant. La suppression est définitive et le Sous-traitant ne conservera aucune copie de ces Données à caractère personnel de l’Utilisateur.

9.2. À la cessation des Services, le Sous-traitant doit rapidement, et en tout état de cause dans les 12 mois suivant la date de cessation de tout Service impliquant le Traitement des Données Personnelles de l'Utilisateur, supprimer et obtenir la suppression de toutes les copies (le cas échéant) des Données Personnelles de l'Utilisateur qui ont été transférées au Sous-traitant (ou à tout Sous-traitant Ultérieur) lors de la fourniture du Service.

10.1. Le Sous-traitant doit effectuer régulièrement des audits et s'assurer que tous les Sous-traitants Ultérieurs font de même, afin de garantir le respect du présent ATD et de leurs obligations en vertu des lois applicables en matière de protection des données.

10.2. Sous réserve de la présente Section 10, le Sous-traitant mettra à Votre disposition sur demande, et à condition qu'un accord de confidentialité suffisant soit en place, toutes les informations nécessaires pour démontrer la conformité avec le présent ATD, en ce qui concerne le Traitement des Données Personnelles de l'Utilisateur par le Sous-traitant et/ou les Sous-traitants ultérieurs.

10.3. Vous pouvez demander la réalisation de tout audit, y compris toute inspection, Vous avez le droit de demander ou de mandater en Votre nom, et au nom de Vos responsables de traitement lorsque Vous agissez en tant que sous-traitant, en vertu de la législation applicable en matière de protection des données, en donnant instruction au Sous-traitant de réaliser l’audit décrit à la section 10.1.

10.4. Si Vous souhaitez modifier la présente instruction relative à l’audit, Vous avez le droit de demander une modification de cette instruction en envoyant au Sous-traitant une notification écrite à legal@myscript.com. Si le Sous-traitant refuse de suivre toute demande et/ou instruction demandée par Vous concernant des audits, y compris des inspections, Vous êtes en droit de résilier immédiatement les Services.

11.1. Le Sous-traitant ne peut pas transférer, ni autoriser le transfert de, les Données personnelles des Utilisateurs vers des pays situés en dehors de l’UE et/ou de l’EEE sans Votre consentement écrit préalable. Si des données à caractère personnel traitées en vertu du présent ATD sont transférées d’un pays situé au sein de l’Espace économique européen vers un pays situé en dehors de l’Espace économique européen, les Parties veilleront à ce que les Données Personnelles de l’Utilisateur soient adéquatement protégées. À cette fin, les Parties s’appuieront, sauf accord contraire, sur les décisions d’adéquation de l’UE pour les pays tiers et/ou sur les clauses contractuelles types approuvées par l’UE pour le transfert de données à caractère personnel.

11.2. Une liste des sous-traitants ultérieurs qui reçoivent des données personnelles de l’Utilisateur, ainsi que des pays dans lesquels ils sont établis, est fournie à l’Annexe 1 du présent DPA. Aux fins de la section 11.1 ci-dessus, Vous consentez au transfert des Données Personnelles de l’Utilisateur aux sous-traitants ultérieurs listés à l’Annexe 1.

12.1. Durée

Le présent ATD prend effet dès Votre acceptation des Mentions Légales et des Conditions d'utilisation et restera en vigueur aussi longtemps que le Sous-traitant Vous fournira les Services.

12.2. Avis

Tous les avis et communications donnés dans le cadre du présent ATD doivent être faits par écrit et envoyés par e-mail à l'adresse utilisée pour créer un compte MyScript dans le cas où MyScript Vous contacte, et doivent être envoyés à legal@myscript.com si Vous souhaitez notifier MyScript.

12.3. Loi et juridiction

Le présent ATD est régi par les lois françaises, à l’exclusion de ses règles de conflit de lois. Tout litige découlant de ou en relation avec le présent ATD, que les Parties ne pourront pas résoudre à l'amiable, sera soumis à la compétence exclusive des tribunaux ou autorités françaises compétentes.

12.4. Divisibilité

Si une disposition du présent ATD est invalide ou inapplicable, le reste du présent ATD restera valide et en vigueur. La disposition invalide ou inapplicable sera soit (i) modifiée si nécessaire pour assurer sa validité et son applicabilité, tout en préservant autant que possible l’intention des Parties, soit, si cela n’est pas possible, (ii) interprétée comme si la partie invalide ou inapplicable n’y avait jamais été incluse.

12.5. Autorité de contrôle compétente

L'Autorité de contrôle compétente à contacter en cas de réclamation, plainte ou demande est la Commission Nationale des Informations et des Libertés (CNIL) et peut être contactée via ce lien.

13.1. Annexe 1 – Liste des sous-traitants ultérieurs

Fonctionnalités cloud des apps MyScript

Sous-traitant ultérieur : AWS, fournisseur d’infrastructure cloud basé dans l’Union européenne.

Sous-traitant ultérieur : Freshdesk (Freshworks), réception et gestion des demandes de support pouvant inclure le transfert de fichiers (Contenu), basé dans l’Union européenne.

Sous-traitant ultérieur : Brevo, fournisseur de services d’envoi d’e-mails basé dans l’Union européenne.

Reconnaissance de MyScript Cloud via le portail développeur

Sous-traitant ultérieur : AWS, fournisseur d’infrastructure cloud basé en Oregon, États-Unis (CCT en place).

Sous-traitant ultérieur : Brevo, fournisseur de services d’envoi d’e-mails basé dans l’Union européenne.

13.2. Annexe 2 – Mesures de sécurité

Le Sous-traitant mettra en œuvre et maintiendra les mesures de sécurité techniques et organisationnelles suivantes lors du Traitement des Données Personnelles de l'Utilisateur en Votre nom :

Contrôles d'accès physique

Le Sous-traitant doit prendre des mesures raisonnables pour empêcher l'accès physique, tels que des bâtiments sécurisés et des salles de serveurs sécurisées, pour empêcher les personnes non autorisées d'accéder aux Données Personnelles de l'Utilisateur, ou s'assurer que les Sous-traitants Ultérieurs qui exploitent des centres de données en son nom adhèrent à ces contrôles.

Contrôles d'accès au système

Le Sous-traitant doit prendre des mesures raisonnables pour empêcher que les Données Personnelles de l'Utilisateur soient utilisées sans autorisation. Ces contrôles varient en fonction de la nature du Traitement entrepris et peuvent inclure, entre autres, une authentification par mots de passe, combinée à une authentification multifacteur le cas échéant, des processus d'autorisation documentés, des pare-feu, des processus documentés de gestion des modifications et/ou une journalisation des accès à plusieurs niveaux et des mises à jour de sécurité automatiques.

Contrôles d'accès aux données

Le Sous-traitant doit prendre des mesures raisonnables pour garantir que les Données Personnelles de l'Utilisateur ne sont accessibles et gérables que par du personnel dûment autorisé, que l'accès direct aux requêtes de la base de données est restreint et que les droits d'accès aux applications sont établis et appliqués pour garantir que les personnes autorisées à utiliser un système de traitement de données n'ont accès qu'aux Données Personnelles de l'Utilisateur pour lesquelles ils ont un privilège d'accès, et que les Données Personnelles de l'Utilisateur ne peuvent être lues, copiées, modifiées ou supprimées sans autorisation au cours du Traitement.

Commandes de transmission

Le Sous-traitant doit prendre des mesures raisonnables pour s'assurer qu'il est possible de vérifier et d'établir à quelles entités le transfert des Données Personnelles de l'Utilisateur au moyen d'installations de transmission de données est envisagé, afin que les Données Personnelles de l'Utilisateur ne puissent pas être lues, copiées, modifiées ou supprimées sans autorisation lors de la transmission électronique ou du transport. Ces mesures incluent l'utilisation de connexions de serveur sécurisées certifiées et limitent le partage de ressources entre origines sur toutes les API.

Commandes d'entrée

Le Sous-traitant doit prendre des mesures raisonnables pour garantir qu'il est possible de vérifier et d'établir si des métadonnées ont été introduites dans les systèmes de traitement des données, modifiées ou supprimées. Le Sous-traitant doit recourir aux meilleures pratiques du secteur, y compris des protocoles cryptographiques pour l'authentification et une journalisation d’audit sécurisée.

Sauvegarde de données

Les sauvegardes des bases de données du Service sont effectuées régulièrement, sont sécurisées et chiffrées au repos afin de garantir que les Données Personnelles de l'Utilisateur sont protégées contre la destruction ou la perte accidentelle. Des instantanés sont effectués toutes les 12 heures (AWS). Une sauvegarde chiffrée est effectuée tous les trois jours sur nos serveurs.

13.3. Annexe 3 – Description des activités de traitement

Nom : MyScript SAS

Adresse : 3 rue de la Rainière, 44339 Nantes Cedex 3, France

Nom, fonction et coordonnées de la personne de contact : Emilie Fowell, DPO, legal@myscript.com

Activités pertinentes pour les données transférées : Exécution des Services

Rôle (responsable du traitement/sous-traitant) : Sous-traitant

13.3.1. Fonctionnalités cloud des apps MyScript

a. Catégories de personnes concernées dont les données personnelles sont transférées

Vous pouvez soumettre des Données Personnelles d'Utilisateur aux Services, dont l'étendue est déterminée et contrôlée exclusivement par Vous.

b. Catégories de données personnelles transférées

Données Personnelles de l'Utilisateur non structurées contenues dans le contenu MyScript Notes ou MyScript Math envoyé par Vous au Sous-traitant via le Service pour être partagées avec MyScript ou stockées via les fonctionnalités cloud des apps MyScript.

c. Catégories particulières de données à caractère personnel

MyScript ne collecte aucune catégorie particulière de données à caractère personnel (telles que l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, les données génétiques ou biométriques, la santé et la vie sexuelle). Cependant, le contenu des Données Personnelles de l'Utilisateur non structurées, tel que décrit ci-dessus, est inconnu de MyScript.

d. Fréquence du transfert

Les Données Personnelles non structurées de l’Utilisateur sont transférées à nos Sous-traitants énumérés à l'Annexe 1 et de manière continue en fonction de Votre fréquence d'utilisation du Service.

e. Nature du traitement

La nature du Traitement est l'exécution des Services.

f. Finalité(s) du transfert de données et traitement ultérieur

MyScript traitera les Données Personnelles de l'Utilisateur si nécessaire pour exécuter les Services que Vous avez demandés.

g. Durée de conservation des données personnelles ou, si cela n'est pas possible, critères utilisés pour déterminer cette durée

Les Données Personnelles de l'Utilisateur non structurées sont transférées vers les serveurs du Sous-traitant aussi longtemps que Vous décidez de stocker ou de partager des Données Personnelles de l'Utilisateur via les fonctionnalités cloud des apps MyScript. Si Vous supprimez Votre compte MyScript, alors toutes les Données Personnelles de l'Utilisateur sont automatiquement supprimées de tous les points de stockage.

h. Pour les transferts vers des sous-traitants (ultérieurs), précisez également l'objet, la nature et la durée du traitement

Le Sous-traitant ultérieur traitera les Données Personnelles de l'Utilisateur selon les besoins pour fournir les Services. Le Sous-traitant ultérieur traitera les Données Personnelles de l'Utilisateur aussi longtemps que Vous disposez d’un compte MyScript, sauf accord écrit contraire ou si Vous avez demandé une suppression préalable des Données Personnelles de l'Utilisateur. L’identité des Sous-traitants ultérieurs utilisés pour la fourniture des Services ainsi que leur pays d’implantation sont indiquées à l’Annexe 1 du présent ATD.

13.3.2. Reconnaissance de MyScript Cloud via le portail développeur

a. Catégories de personnes concernées dont les données personnelles sont transférées

Vous pouvez soumettre des Données Personnelles d'Utilisateur aux Services, dont l'étendue est déterminée et contrôlée exclusivement par Vous.

b. Catégories de données personnelles transférées

• Données Personnelles de l'Utilisateur non structurées contenues dans des documents que Vous envoyez au Sous-traitant via le Service pour transformation de notes manuscrites en texte dactylographié.
• Adresse IP de l'utilisateur final.

c. Catégories particulières de données à caractère personnel

MyScript ne collecte aucune catégorie particulière de données à caractère personnel (telles que l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, les données génétiques ou biométriques, la santé et la vie sexuelle). Cependant, le contenu des Données Personnelles de l'Utilisateur non structurées, tel que décrit ci-dessus, est inconnu de MyScript.

d. Fréquence du transfert (par exemple, si les données sont transférées de manière ponctuelle ou continue)

Toutes les catégories de données énumérées ci-dessus sont transférées à nos Sous-traitants énumérés à l'Annexe 1 et de manière continue en fonction de l'utilisation du Service.

e. Nature du traitement

La nature du Traitement est l'exécution des Services.

f. Finalité(s) du transfert de données et traitement ultérieur

MyScript traitera les données personnelles nécessaires pour exécuter les Services.

g. Durée de conservation des données personnelles ou, si cela n'est pas possible, critères utilisés pour déterminer cette durée

Les Données Personnelles de l'Utilisateur non structurées sont transférées vers les serveurs du Sous-traitant le temps nécessaire au Traitement, puis sont renvoyées à l’Utilisateur Final et ne sont pas stockées par le Sous-traitant. Les adresses IP sont conservées dans des journaux pendant 12 mois. Les Données Personnelles de l'Utilisateur non structurées ne sont pas stockées par le Sous-traitant sauf demande spécifique et expresse de Votre part par écrit.

h. Pour les transferts vers des sous-traitants (ultérieurs), précisez également l'objet, la nature et la durée du traitement

Le Sous-traitant ultérieur traitera les Données Personnelles de l'Utilisateur selon les besoins pour fournir les Services. Le Sous-traitant ultérieur traitera les données personnelles aussi longtemps que Vous utilisez les Services, sauf accord écrit contraire. L’identité des Sous-traitants ultérieurs utilisés pour la fourniture des Services ainsi que leur pays d’implantation sont indiquées à l’Annexe 1 du présent ATD.