Le contrat-cadre « GDPRLocal » et les conditions supplémentaires qui y figurent régissent nos produits, nos services et nos relations avec la clientèle.
Il n'y a aucune obligation d'achat de services. Aucune carte bancaire n'est requise pour s'inscrire, et une fois inscrit, vous pouvez acheter et activer des services à tout moment.
La présente annexe fait partie intégrante du Contrat-cadre de services (« Contrat ») conclu entre le Client et GDPRLocal Ltd (« GDPRLocal »). Elle définit le périmètre des services de gouvernance de l’IA fournis par GDPRLocal, destinés à accompagner le Client dans la conception, la gouvernance, la maintenance et l’amélioration continue de son système de gestion de l’IA (« AIMS »), tel que décrit dans le cahier des charges figurant en annexe à la présente annexe. Les termes utilisés dans la présente annexe ont la même signification que dans le contrat-cadre de services.
Dans la présente annexe : le terme « AIMS » désigne le système de gestion de l’IA du Client, c’est-à-dire l’ensemble des politiques, procédures, rôles, contrôles, registres et activités de surveillance mis en place par le Client pour assurer la conception, la gouvernance et l’exploitation responsables de ses systèmes d’IA ; le terme « AI Tracker » désigne le registre tenu sur le portail de GDPRLocal, qui recense les systèmes d’IA du Client, les risques associés, les contrôles et les événements liés à leur cycle de vie.
1.1 Présentation générale. GDPRLocal fournira au Client un accompagnement-conseil continu et des orientations générales concernant la conception, la gouvernance, la maintenance et l'amélioration continue de son système AIMS, comme décrit à la clause 1.2 et dans le cahier des charges.
1.2 Piliers fondamentaux. GDPRLocal fournira un accompagnement-conseil autour des quatre piliers fondamentaux suivants de l'AIMS :
(a) Gouvernance et responsabilité en matière d'IA
(b) Gestion des risques liés à l'IA
(c) Éthique et transparence
(d) Suivi et amélioration continus
1.3 Accès aux ressources de GDPRLocal. Outre les services fournis chaque mois, le Client disposera d’un accès permanent au portail de GDPRLocal ainsi qu’à la documentation produite par GDPRLocal à son intention dans le cadre du présent Contrat.
2.1 Prestation des services. GDPRLocal fournira les services décrits dans le cahier des charges (SOW) conformément au périmètre défini dans la présente annexe et selon une fréquence convenue entre le représentant désigné du Client et le responsable de la conformité de GDPRLocal, en tenant compte de la nature, de la portée, du contexte et du profil de risque de la stratégie de gouvernance de l’IA du Client.
2.2 Conseils et rapports. GDPRLocal fournira des conseils, des recommandations et des rapports dans les délais convenus entre les parties dans le cahier des charges, en tenant compte de la complexité et de l'urgence du dossier. La forme, la fréquence et le calendrier des rapports, réunions ou autres livrables seront ceux définis dans le cahier des charges applicable.
Outre les obligations prévues à l'article 6 du MSA, le Client est tenu :
3.1 désigner un interlocuteur principal chargé d'assurer la coordination avec GDPRLocal concernant les Services ;
3.2 garantir un accès en temps opportun aux parties prenantes concernées, notamment aux représentants des services Données et Ingénierie, Informatique, Juridique, Gestion des risques, Ressources humaines et de tout autre service concerné, dans la mesure où cela est raisonnablement nécessaire à la prestation des Services ;
3.3 déterminer ou confirmer, chaque mois, les priorités et les axes d'action des Services ;
3.4 fournir, en temps utile, toutes les données, informations, instructions, autorisations, accès et autres formes de coopération raisonnablement nécessaires à GDPRLocal pour assurer la prestation des Services ; et
3.5 assumer l'entière responsabilité de l'identification, de l'évaluation, de l'acceptation, de l'atténuation et du signalement des risques et incidents liés à l'IA, ainsi que de l'adoption, de la mise en œuvre et du fonctionnement continu de toutes les politiques, procédures ou documentations fournies par GDPRLocal.
4.1 GDPRLocal fournit exclusivement des services de supervision, de conception de cadres réglementaires et de conseil, et n'assume aucun rôle opérationnel, de gestion ou de prise de décision au sein de l'organisation du Client.
4.2 GDPRLocal n'assume pas le rôle de responsable des risques liés à l'IA ni celui de responsable des incidents liés à l'IA. La responsabilité finale en matière d'identification, d'évaluation, d'acceptation, d'atténuation et de signalement des risques et incidents liés à l'IA incombe exclusivement au Client.
4.3 Les Services relèvent du conseil en matière de gouvernance et de conformité et ne constituent en aucun cas des conseils juridiques formels ni des avis juridiques. Il incombe au Client de faire procéder à un examen juridique indépendant de l’ensemble des politiques, procédures et documents avant leur adoption ou leur mise en œuvre.
4.4 Les Services n'incluent pas de conseils ni d'orientations relatifs à la mise en œuvre technique ou aux activités de développement de produits, y compris, sans s'y limiter, l'écriture de code, la réalisation de tests logiciels ou de tests de sécurité, la création ou l'entraînement de modèles, la conception d'architectures système, ou l'exercice des fonctions de développeurs, d'ingénieurs ou de data scientists.
4.5 Les recherches ciblées sur l'évolution de la réglementation en matière d'IA et sur la législation applicable, ainsi que le conseil au Client concernant les mises à jour des AIMS nécessaires pour rester en conformité avec l'évolution des exigences, ne relèvent pas du champ d'application des Services et seront considérées comme un Service supplémentaire au sens de la clause 5.
4.6 Tout service ne relevant pas du champ d'application des clauses 1 et 2 peut faire l'objet d'une demande en tant que « Services supplémentaires » facturables, conformément à la clause 5.
5.1 Champ d'application. Les Services se limitent aux livrables et aux activités définis dans le cahier des charges applicable.
5.2 Services supplémentaires. Lorsque GDPRLocal identifie une demande ou une exigence ne relevant pas du champ d’application du cahier des charges (y compris l’un des éléments énumérés à la clause 4.5), GDPRLocal en informera le Client par écrit (un e-mail suffit), en joignant une estimation de bonne foi du temps ou des coûts supplémentaires impliqués. Les services supplémentaires ne débuteront qu’après autorisation écrite du Client (un e-mail suffit).
5.3 Facturation. Les services supplémentaires autorisés en vertu de la clause 5.2 sont facturés au tarif figurant dans la grille tarifaire applicable, sauf si les parties conviennent expressément par écrit d'un tarif différent avant le début des travaux.
5.4 Modification du cahier des charges. Lorsque les services supplémentaires constituent une extension significative de la mission, les parties conviennent d’un avenant écrit au cahier des charges précisant le périmètre révisé, le calendrier et les honoraires.
5.5 Registres. GDPRLocal tient des registres du temps consacré et des activités réalisées dans le cadre du cahier des charges, et s'engage à les mettre à la disposition du Client sur simple demande raisonnable.
6.1 Caractère consultatif. Les parties reconnaissent que les Services ont un caractère consultatif. GDPRLocal ne garantit pas le résultat d’une évaluation des risques liés à l’IA, d’une évaluation d’impact de l’IA, d’un examen ou d’une activité de gouvernance, et décline toute responsabilité quant aux décisions prises ou aux actions menées par le Client sur la base des conseils ou des livrables de GDPRLocal. Le Client reste seul responsable de l’adoption, de la mise en œuvre et de l’application de toute politique, procédure ou recommandation fournie par GDPRLocal.
6.2 Limitation de responsabilité. Sous réserve de la clause 6.4, la responsabilité globale de chacune des parties au titre de la présente annexe ne saurait dépasser le montant total des honoraires versés ou dus par le Client au titre des Services au cours de la période de douze (12) mois précédant immédiatement l'événement donnant lieu à la réclamation. Aucune des parties ne saurait être tenue responsable des pertes indirectes, consécutives, spéciales ou punitives.
6.3 Responsabilité du Client. Sans préjudice de la clause 6.2, GDPRLocal décline toute responsabilité et le Client assume l’entière responsabilité de : tout préjudice, dommage ou perte causé par ou découlant des systèmes d’IA du Client eux-mêmes, de leurs résultats, de leurs performances ou de leur sécurité ; toute amende, pénalité ou sanction réglementaire infligée au Client ; toute perte résultant du manquement du Client à mettre en œuvre, adopter ou maintenir les politiques, procédures ou contrôles recommandés par GDPRLocal ; et toute perte imputable à l’inaction, au retard ou au défaut de coopération du Client, tels que décrits à la clause 6.5 ou au §5.9 du MSA.
6.4 Exclusions de la limitation de responsabilité. Le plafond de responsabilité prévu à la clause 6.2 ne s'applique pas : à la responsabilité en cas de décès ou de préjudice corporel résultant d'une négligence ; à la fraude ou à une déclaration frauduleuse ; ni à toute autre responsabilité qui ne peut être limitée en vertu de la loi applicable.
6.5 Manque de coopération (spécifique au service). Si le Client ne répond plus ou ne fournit pas les priorités mensuelles requises ou les informations nécessaires en temps voulu, l’article 5.9 du MSA (Manque de coopération) s’applique. Pour ce service, la période de service concernée au sens de l’article 5.9 du MSA correspond à la période de service mensuelle.
7.1 Durée. La présente annexe prend effet à la date de début du service et s'applique pour une durée initiale de douze (12) mois (la « durée initiale »), sauf résiliation anticipée conformément à la présente clause 7 ou à l'article 12 du contrat-cadre (MSA). Elle est automatiquement renouvelée pour des périodes de renouvellement successives de douze (12) mois, sauf si l'une des parties notifie par écrit son intention de ne pas la renouveler conformément à la clause 7.2.
7.2 Résiliation pour motif de convenance. Nonobstant les dispositions de l’article 12.3 du MSA, chacune des parties peut résilier la présente annexe pour motif de convenance en adressant à l’autre partie un préavis écrit d’au moins trente (30) jours par e-mail, ce préavis prenant effet avant le début du prochain cycle de facturation mensuel.
7.3 Exportation après résiliation. En cas de résiliation, et sous réserve du paiement de tous les frais dus, GDPRLocal fournira au Client une exportation finale de l’AI Tracker.
7.4 Maintien en vigueur. Les clauses 4, 6 et la présente clause 7 restent en vigueur après la résiliation.
Le présent cahier des charges (« SOW ») est annexé à l’annexe 5 relative aux services (Services de gouvernance de l’IA) et en fait partie intégrante ; cette annexe fait elle-même partie intégrante du contrat-cadre de services conclu entre le client et GDPRLocal Ltd. Les termes en majuscules ont la même signification que dans l’annexe ou dans le contrat.
Le cahier des charges est généré et enregistré par GDPRLocal au moment de l'activation du service. Les champs de remplacement indiqués entre crochets sont renseignés à partir du compte du client et de l'enregistrement d'activation du service.
| Nom de l'entreprise | [Nom de l'entreprise] |
| Siège social | [Siège social] |
| Interlocuteur principal | [Nom de la personne à contacter] |
| Fonction | [Fonction du contact] |
| [E-mail de contact] | |
| Téléphone | [Numéro de téléphone] |
| Couverture AIMS | [liste des unités opérationnelles, des fonctions ou des systèmes d'IA relevant du champ d'application de l'AIMS] |
| Domaines d'action prioritaires lors de la mise en service | [priorités initiales convenues lors de l'intégration] |
| Fréquence des réunions mensuelles | [par exemple, le premier jeudi de chaque mois à 14 h (heure du Royaume-Uni)] |
| Fréquence des rapports | [par exemple : rapport d'avancement écrit mensuel ; synthèse trimestrielle] |
| Zone d'intervention | [juridictions dans lesquelles les systèmes d'IA du client sont déployés ou accessibles] |
Tous les tarifs applicables à ce service sont indiqués dans la grille tarifaire MSA. Le service comprend les catégories tarifaires suivantes :
| Abonnement à « AI Governance » | Conformément à la grille tarifaire. Payable mensuellement à compter de la date de début du service. |
| Services supplémentaires (études réglementaires, missions de projet ou de conseil ne relevant pas du champ d'application de l'abonnement, ou éléments expressément désignés comme « Services supplémentaires » au paragraphe 4.5 de l'annexe) | Au tarif prévu dans la grille tarifaire applicable, sous réserve d'une autorisation écrite préalable conformément à l'annexe §5. |
| Fréquence de facturation | [mensuel / annuel] |
| Devise | GBP, hors TVA et autres taxes applicables. |
| Responsable de la gouvernance de l'IA au niveau local dans le cadre du RGPD | [Nom à indiquer lors de l'activation] |
| Entité locale au sens du RGPD | GDPRLocal Ltd |
| Siège social | Appartement côté rue, 1er étage, 27-29 North Street, Brighton, Angleterre, BN1 1EB |
| [email protected] | |
| Tél. | +44 1772 217 800 |
Chaque partie doit informer l'autre de tout changement définitif concernant son personnel désigné dans un délai de trente (30) jours ouvrables à compter de ce changement.
Le tableau ci-dessous présente la gamme de livrables en matière de gouvernance de l'IA susceptibles d'être fournis dans le cadre du présent cahier des charges, sur la base des priorités convenues lors des réunions mensuelles et confirmées dans les plans mensuels.
| Zone de desserte d'AIMS | Livrables |
|---|---|
| Gouvernance et responsabilité en matière d'IA | Politique relative à l'IA Politique de gouvernance de l'IA Politique relative au champ d'application de l'AIMS Matrice des rôles et responsabilités Politique relative au soutien et aux opérations en matière d'IA Processus de gestion des ressources liées à l'IA Alignement de la politique de confidentialité sur l'AIMS Alignement des conditions générales sur l'AIMS Alignement du plan de continuité des activités sur l'AIMS Registre des exigences légales et réglementaires aligné sur l'AIMS |
| Gestion des risques liés à l'IA | Registre des risques liés à l'IA Politique de gestion des risques liés à l'IA Processus d'évaluation d'impact de l'IA Méthodologie d'évaluation des risques liés à l'IA Modèle d'évaluation des risques liés à l'IA (NIST) Traitement des risques liés à l'IA Plan de traitement des risques liés à l'IA Méthodologie d'évaluation d'impact de l'IA Modèle d'évaluation d'impact de l'IA (Microsoft) Rapport d'évaluation d'impact de l'IA Processus d'approbation des outils d'IA Évaluation des risques liés aux outils d'IA Registre des outils d'IA Plan de réponse aux incidents liés à l'IA Liste de contrôle pour la réponse aux incidents liés à l'IA Registre des incidents liés à l'IA Système de classification des incidents liés à l'IA |
| Éthique et transparence | Fiche descriptive du modèle d'IA (externe)Politique d'utilisation opérationnelle des modèles d'IA (interne)Politique d'utilisation de l'IA (externe)Politique d'utilisation acceptable de l'IA (interne)Processus de formation à l'IA avec formulaires associésPlan de formation à l'IAGuide du collaborateur sur la maîtrise de l'IA |
| Suivi et amélioration continus | Politique d'amélioration de l'IA, outil de suivi de l'IA, évaluation des performances de l'IA, formulaire de mesures correctives relatives à l'IA, plan de surveillance post-commercialisation des systèmes d'IA, processus d'audit interne avec formulaires associés (programme d'audit interne, rapport d'audit interne, liste de contrôle d'audit interne) |
Remarque : les recherches ciblées sur l'évolution de la réglementation en matière d'IA et des lois applicables, ainsi que le conseil au Client concernant les mises à jour des AIMS nécessaires pour rester en conformité avec les exigences en constante évolution, ne relèvent pas du champ d'application de l'abonnement et sont considérées comme un service supplémentaire au sens de l'annexe §5 (voir également l'annexe §4.5).
Le présent cahier des charges peut être révisé et mis à jour par accord écrit entre les parties lorsque cela s'avère nécessaire afin de refléter des changements significatifs apportés aux objectifs AIMS du Client, à ses exigences en matière de service ou à ses priorités en matière de conformité. Toute mise à jour de ce type sera consignée sous la forme d'un cahier des charges révisé associé au compte du Client.
Le présent cahier des charges est réputé accepté par le Client dès l'activation du Service (que ce soit via une activation sur le portail ou une confirmation écrite acceptée par GDPRLocal).