Le contrat-cadre « GDPRLocal » et les conditions supplémentaires qui y figurent régissent nos produits, nos services et nos relations avec la clientèle.
Il n'y a aucune obligation d'achat de services. Aucune carte bancaire n'est requise pour s'inscrire, et une fois inscrit, vous pouvez acheter et activer des services à tout moment.
La présente annexe fait partie intégrante du contrat-cadre de services (« Contrat ») conclu entre le Client et GDPRLocal Ltd (« GDPRLocal »). Elle définit le champ d’application du service de représentant autorisé au titre de l’article 22 de la loi européenne sur l’IA, fourni par GDPRLocal par l’intermédiaire de sa filiale, Instant EU GDPR Representative Ltd (le « Représentant désigné »), une entité établie dans l’Union européenne et mandatée par GDPRLocal pour exercer la fonction de représentant autorisé en vertu de la présente annexe. Sauf indication contraire du contexte, les références à GDPRLocal dans la présente annexe incluent le représentant désigné agissant en sa qualité statutaire. Les termes utilisés dans la présente annexe ont la même signification que dans le contrat-cadre de services ou dans la réglementation applicable.
Dans la présente annexe : on entend par « loi sur l’IA » le règlement (UE) 2024/1689 du Parlement européen et du Conseil établissant des règles harmonisées en matière d’intelligence artificielle ; on entend par « système d’IA à haut risque » un système d’IA classé comme présentant un risque élevé en vertu de l’article 6 et des annexes I et III de la loi sur l’IA ; on entend par « fournisseur » la définition donnée à l’article 3 de la loi sur l’IA ; «documentation technique» désigne la documentation technique requise en vertu de l’article 11 et de l’annexe IV de la loi sur l’IA ; «déclaration de conformité de l’UE» désigne la déclaration requise en vertu de l’article 47 ; «évaluation de la conformité» désigne la procédure d’évaluation de la conformité applicable en vertu de l’article 43 ; et «autorités compétentes» désigne les autorités de surveillance du marché concernées, les autorités nationales compétentes et l’Office de l’IA.
Contexte réglementaire. Les parties reconnaissent que les obligations prévues par la loi sur l’IA, y compris celle relative au représentant désigné visée à l’article 22, s’appliquent de manière progressive et que les obligations applicables à certains systèmes d’IA à haut risque ne sont pas encore en vigueur à la date de la présente annexe. Le Client a choisi de désigner le représentant désigné à titre volontaire, dès qu’il se sent prêt, avant la date d’application pertinente. Les Services sont fournis à compter de la Date de début des services, quelle que soit la date d’application de l’obligation légale sous-jacente.
1.1 Cycle de vie du service. Le service comprend trois phases :
1.2 Nomination. À compter de la « Date de prise d’effet de la nomination », le Client, en tant que fournisseur du ou des systèmes d’IA à haut risque identifiés dans le cahier des charges, nomme le Représentant désigné pour agir en tant que son représentant autorisé dans l’Union conformément à l’article 22 de la loi sur l’IA. La présente annexe, ainsi que le cahier des charges, constitue le mandat écrit requis en vertu de l’article 22, paragraphe 1, de la loi sur l’IA. Les activités de mise en place prévues à la clause 1.1(a) débutent à compter de la date de début du service. La désignation en tant que représentant autorisé prend effet contractuellement dès l’achèvement avec succès de la phase de vérification, moment à partir duquel les obligations fondamentales énoncées à la clause 1.3 s’appliquent de manière permanente. Le représentant désigné accepte cette désignation et s’engage à fournir les services conformément à l’article 22 de la loi sur l’IA. Le mandat ne fait pas du représentant désigné le fournisseur du système d’IA à haut risque, ne transfère aucune obligation du fournisseur au représentant désigné, ne confère pas le pouvoir de prendre des décisions de fond au nom du client et ne constitue pas une représentation juridique dans le cadre de litiges ou de procédures d’exécution.
1.3 Obligations fondamentales (mandat prévu à l’article 22, paragraphe 3). À compter du moment où GDPRLocal assume le rôle actif prévu à la clause 1.1(c), GDPRLocal devra (par l’intermédiaire du représentant désigné), conformément aux termes du mandat :
1.4 Rapport de vérification et mesures correctives. Si GDPRLocal identifie des écarts de conformité significatifs ou des lacunes au cours de la phase de vérification, GDPRLocal remettra au Client un rapport de vérification détaillant les constatations et les mesures correctives recommandées. Les services de conseil, de projet ou autres nécessaires pour accompagner le Client dans la mise en œuvre de ces mesures correctives sont disponibles conformément à la clause 1.9 (Services supplémentaires et dérivés), au tarif réduit des services professionnels indiqué dans la grille tarifaire.
1.5 Interlocuteur. Conformément à l'article 22, paragraphe 4, de la loi sur l'IA, le mandat habilite les autorités compétentes à s'adresser au représentant désigné, en plus ou à la place du prestataire, pour toutes les questions relatives à la mise en conformité du système d'IA à haut risque avec la loi sur l'IA.
1.6 Résiliation obligatoire et obligation de notification. Le Client reconnaît qu’en vertu de l’article 22, paragraphe 4, de la loi sur l’IA, le Représentant désigné est tenu de résilier le mandat s’il estime ou a des raisons de considérer que le Prestataire agit en violation des obligations qui lui incombent en vertu de la loi sur l’IA, et, dans ce cas, d’informer l’autorité de surveillance du marché compétente, ainsi que l’organisme notifié concerné le cas échéant, de la résiliation et des motifs de celle-ci. Il s’agit d’une obligation légale impérative. Son exercice de bonne foi par le représentant désigné ne constitue pas une violation du présent contrat, et les conséquences de la résiliation prévues à la clause 6.8 s’appliquent. Le client assume l’entière responsabilité de toute conséquence réglementaire découlant d’une telle résiliation, y compris toute lacune de couverture qui en résulterait.
1.7 Nature de la vérification. La vérification prévue par la présente annexe confirme que la déclaration de conformité de l’UE, la documentation technique et toute évaluation de conformité applicable ont été établies et sont, à première vue, complètes et organisées sous une forme adaptée à un contrôle réglementaire, sur la base des documents et informations fournis par le client. La vérification ne constitue pas, et ne doit pas être présentée comme, une réévaluation de fond, un audit, une certification ou une garantie de la conformité, de la sécurité ou des performances du système d’IA à haut risque, qui relèvent de la seule responsabilité du Prestataire.
1.8 Accompagnement réglementaire continu. Dans le cadre de l’abonnement actif, GDPRLocal fournira des mises à jour réglementaires et des conseils continus et raisonnables concernant la loi sur l’IA au fur et à mesure de son évolution, de manière proportionnée à la nature, à l’ampleur et au profil de risque des activités du Client en matière d’IA. Cet accompagnement réglementaire continu revêt un caractère consultatif et n’inclut pas les travaux de projet de fond, la rédaction de documents ou les prestations de conseil, qui sont disponibles au titre de la clause 1.9.
1.9 Services supplémentaires et dérivés. Tous les services demandés par le Client qui ne relèvent pas des obligations principales énoncées à la clause 1.3, y compris, sans s’y limiter, la mise en œuvre d’un cadre de gouvernance de l’IA, les cadres de gestion des risques, les évaluations des risques, l’assistance à l’évaluation de la conformité, les politiques et procédures relatives à l’IA, la documentation relative à la gouvernance interne, la formation des employés, les ateliers de gestion ou les prestations de conseil continues relatives à la loi sur l’IA au-delà de la clause 1.8, ne relèvent pas de la présente annexe. Ces services sont proposés sous forme de services de conseil ou de services de projet et sont facturés en tant que « Services et tâches supplémentaires » conformément à l’article 5.5 du Contrat-cadre de services (MSA), au tarif réduit des services professionnels indiqué dans la grille tarifaire.
2.1 Prestation de services. GDPRLocal agira conformément aux instructions du contact client indiqué dans le profil du compte du client, ou de toute autre personne expressément autorisée par écrit par le client.
2.2 Attribution des heures de vérification. Les frais ponctuels d’intégration et de vérification comprennent une allocation initiale de soixante (60) heures de services professionnels pour la vérification de la documentation, comme indiqué dans la grille tarifaire. Lorsque la vérification nécessite des heures supplémentaires en raison de l’ampleur, de la complexité, du champ d’application juridictionnel ou du niveau de maturité en matière de conformité des activités d’IA du Client, les heures supplémentaires sont facturées au tarif réduit des services professionnels indiqué dans la grille tarifaire. Lorsque des lacunes importantes sont identifiées, des mesures correctives sont disponibles conformément à la clause 1.9.
2.3 Demandes motivées et délais. Lorsque GDPRLocal reçoit une demande motivée émanant d’une autorité compétente, ou toute communication nécessitant une réponse dans un délai défini, GDPRLocal en informe le contact client sans retard injustifié et précise le délai de réponse. Si le Client ne fournit pas les informations, les documents ou les instructions nécessaires dans les délais impartis, GDPRLocal peut (a) adresser un accusé de réception provisoire à l’autorité, ou (b) informer l’autorité que le dossier est transmis au Prestataire. Le Client reconnaît que GDPRLocal ne saurait être tenu responsable des délais non respectés résultant du défaut du Client de fournir en temps utile les informations ou les instructions nécessaires.
Outre les obligations prévues à l'article 6 du MSA, le Client est tenu :
3.1 fournir à GDPRLocal les informations, documents et coopération raisonnablement nécessaires à l’exécution des Services, notamment : les coordonnées exactes de l’entité juridique du Client en tant que Prestataire ; l’identification et la description du ou des systèmes d’IA à haut risque entrant dans le champ d’application et leur finalité ; la documentation technique ; la déclaration de conformité de l’UE ; le cas échéant, le certificat délivré par l’organisme notifié et les dossiers d’évaluation de la conformité ; ainsi que l’accès aux journaux générés automatiquement, dans la mesure où ceux-ci relèvent du contrôle du Prestataire ;
3.2 pendant la phase de vérification, accorder à l'équipe de vérification un accès raisonnable, lui apporter sa coopération et lui fournir des réponses en temps utile ;
3.3 veiller à ce que la documentation technique, la déclaration de conformité UE et tous les documents connexes soient, et restent tout au long de la durée du contrat, complets, exacts et à jour, et fournir sans délai à GDPRLocal les versions mises à jour dès qu’un changement intervient ;
3.4 répondre sans délai à toutes les communications transmises par GDPRLocal et fournir en temps utile les instructions, informations et décisions nécessaires au traitement de ces communications ;
3.5 informer sans délai GDPRLocal : (a) de tout incident grave ou dysfonctionnement du système d’IA à haut risque ; (b) de toute modification substantielle apportée au système d’IA à haut risque, ou de tout changement de sa finalité, susceptible d’affecter sa conformité ou la portée de la présente désignation ; (c) toute communication reçue par le Client de la part d’une autorité compétente, du Bureau de l’IA ou d’un organisme notifié ; (d) toute mesure corrective, tout retrait ou tout rappel concernant le système d’IA à haut risque ; et (e) tout litige, toute mesure d’exécution ou toute procédure réglementaire relative au système d’IA à haut risque ;
3.6 s'acquitter, en tant que prestataire, des obligations d'enregistrement prévues à l'article 49 de la loi sur l'intelligence artificielle (avec l'aide de GDPRLocal telle que prévue à la clause 1.3(e)), et veiller à ce que les informations visées à l'annexe VIII soient exactes et tenues à jour ;
3.7 assumer l’entière responsabilité de la conformité, de la sécurité et des performances du système d’IA à haut risque, ainsi que de l’exactitude, de l’exhaustivité et de l’actualité de la documentation technique, de la déclaration de conformité de l’UE, de l’évaluation de la conformité et des registres ; et
3.8 ne pas prendre de mesure qui : (a) exposerait GDPRLocal ou le représentant désigné à des procédures d’exécution ou à des sanctions réglementaires, sauf si cela constitue une conséquence inévitable de son rôle de représentant autorisé ; (b) obligerait GDPRLocal ou le représentant désigné à faire une déclaration inexacte auprès d’une autorité compétente ; ou (c) amènerait GDPRLocal ou le représentant désigné à agir en violation de la réglementation applicable.
4.1 Sauf accord exprès en tant que « Service supplémentaire », les Services n’incluent pas la préparation de la Documentation technique, de la Déclaration de conformité de l’UE ou de l’Évaluation de conformité, ni la fourniture de conseils de fond à ce sujet, ni aucune mesure visant à mettre le Système d’IA à haut risque en conformité, ni la fourniture de conseils juridiques ou la représentation juridique. Si de tels travaux s’avèrent nécessaires, ils peuvent faire l’objet d’une demande en vertu de la clause 1.9 ; à défaut, le Client devra faire appel à un conseiller juridique indépendant.
4.2 GDPRLocal et le représentant désigné n’assumeront aucune responsabilité en matière de gestion, aucun contrôle opérationnel ni aucun pouvoir de décision concernant le système d’IA à haut risque ; ces responsabilités, contrôles et pouvoirs restent la prérogative exclusive du prestataire.
4.3 Le représentant désigné ne certifie pas, ne garantit pas et n'assume aucune responsabilité quant à la conformité, à la sécurité, aux performances ou aux résultats du système d'IA à haut risque.
4.4 Tout service ne relevant pas du rôle de mandataire prévu à l'article 22 de la loi peut faire l'objet d'une demande en tant que « Services et tâches supplémentaires » facturables, conformément au Contrat-cadre de services et à la grille tarifaire.
5.1 Cadre de reconnaissance de la responsabilité. Les parties reconnaissent ce qui suit :
5.2 Limitation de responsabilité (spécifique au service).
5.2.1 Sous réserve de la clause 5.5, la responsabilité globale de chacune des parties au titre de la présente annexe ne saurait dépasser le montant total des honoraires versés ou dus par le Client au titre du Service (à l’exclusion des frais de conservation de la documentation prévus à la clause 6.6 et des frais d’exportation de la documentation prévus à la clause 6.7) au cours de la période de douze (12) mois précédant immédiatement l’événement donnant lieu à la réclamation.
5.2.2 Aucune des parties ne saurait être tenue responsable de tout préjudice indirect, consécutif, particulier ou punitif.
5.2.3 Sans préjudice de la clause 5.2.1, GDPRLocal et le représentant désigné déclinent toute responsabilité, et le Client assume l’entière responsabilité : de tout préjudice, blessure, décès, dommage ou perte causé par ou découlant du système d’IA à haut risque lui-même, de ses résultats, de ses performances ou de sa sécurité ; de toute réclamation en matière de responsabilité du fait des produits, de défaut ou de sécurité relative au système d’IA à haut risque ; toute amende, pénalité ou sanction infligée au Client ; toute perte résultant du non-respect par le Client de la loi sur l’IA ou de son incapacité à fournir une documentation technique, une déclaration de conformité UE, des journaux ou des instructions exacts, complets ou en temps opportun ; toute perte imputable au manquement du Client à son obligation de notifier un événement pertinent en vertu de la clause 3 ; et toute perte résultant de la transmission de bonne foi par GDPRLocal de communications, ou de l’exercice de bonne foi de l’obligation prévue à la clause 1.6, lorsque le Client n’a pas répondu de manière adéquate.
5.3 Indemnisation par le Client. Le Client s’engage à indemniser, défendre et dégager de toute responsabilité GDPRLocal, le Représentant désigné, ainsi que leurs filiales, dirigeants, employés et agents respectifs (chacun étant une « Personne indemnisée ») contre toutes les pertes (y compris les frais juridiques raisonnables sur la base d’une indemnisation intégrale) découlant : de procédures d’application de la loi ou de procédures réglementaires relatives au Système d’IA à haut risque ; toute réclamation de tiers, en matière de responsabilité du fait des produits, de préjudice corporel ou de sécurité, découlant du système d’IA à haut risque ou liée à celui-ci ; toute responsabilité en vertu du droit national imposée au représentant désigné en raison du non-respect des obligations par le Fournisseur ; du manquement du Client à ses obligations au titre de la clause 3 ; de l’inexactitude ou du caractère incomplet de la documentation technique, de la déclaration de conformité UE ou des journaux ; et des frais engagés pour répondre à des demandes motivées ou dans le cadre de procédures au nom du Client.
5.4 Procédure de défense. Dès notification de toute réclamation susceptible de donner lieu à une indemnisation : GDPRLocal en informe sans délai le Client ; le Client prend en charge la conduite de la défense à ses frais (la Personne indemnisée peut y participer aux frais du Client, et aucun règlement défavorable à la Personne indemnisée ne peut être conclu sans son consentement) ; la Personne indemnisée coopère de manière raisonnable ; et, à défaut de prise en charge de la défense dans un délai de 15 jours ouvrés, GDPRLocal peut prendre le relais aux frais du Client.
5.5 Exclusions de la limitation de responsabilité. Le plafond de responsabilité prévu à la clause 5.2 ne s'applique pas : aux obligations d'indemnisation du Client prévues à la clause 5.3 ; à la responsabilité en cas de décès ou de préjudice corporel résultant d'une négligence ; à la fraude ou à une déclaration frauduleuse ; ni à toute autre responsabilité qui ne peut être limitée en vertu de la réglementation applicable.
5.6 Assurance responsabilité civile professionnelle. GDPRLocal devra souscrire, pendant toute la durée du contrat, une assurance responsabilité civile professionnelle d'un montant minimum de 1 000 000 £ par sinistre et au total par année d'assurance. Une attestation peut être fournie sur demande écrite raisonnable.
6.1 Durée. La présente annexe prend effet à la date de début du service et s’applique pour une durée initiale de douze (12) mois (la « durée initiale »), calculée à compter de la date à laquelle GDPRLocal assume le rôle actif prévu à la clause 1.1(c), sauf résiliation anticipée conformément à la présente clause 6 ou à l’article 12 du MSA. Elle est automatiquement renouvelée pour des périodes de renouvellement successives de douze mois, sauf si un préavis de non-renouvellement est donné au moins quatre-vingt-dix (90) jours avant la fin de la période alors en cours.
6.2 Tarifs. Les tarifs du Service sont indiqués dans la grille tarifaire et comprennent :
Tous les tarifs s'entendent hors TVA et hors taxes applicables.
6.3 Résiliation pour convenance. Nonobstant l’article 12.3 du MSA, chacune des parties peut résilier la présente annexe moyennant un préavis écrit d’au moins nonante (90) jours, qui ne peut être exercé qu’après l’expiration de la durée initiale. Ce préavis de 90 jours tient compte de l’intérêt légitime de GDPRLocal en matière de continuité et de la nécessité pour le Client de désigner un représentant autorisé de remplacement afin d’éviter toute violation de l’article 22 de la loi sur l’IA.
6.4 Résiliation obligatoire prévue par la loi. GDPRLocal peut résilier la présente annexe avec effet immédiat lorsque l’article 22, paragraphe 4, de la loi sur l’IA l’y oblige, comme indiqué à la clause 1.6.
6.5 Droit de résiliation supplémentaire. GDPRLocal peut en outre résilier le contrat avec effet immédiat si (a) le Client fournit des documents comportant des inexactitudes substantielles, de sorte que l’exécution du contrat impliquerait de faire une déclaration trompeuse à une autorité compétente ; ou (b) les instructions du Client exigeraient une action illicite ou exposeraient GDPRLocal ou le représentant désigné à une responsabilité disproportionnée.
6.6 Conservation de la documentation (obligation légale de 10 ans) et frais de résiliation obligatoires. Le Client reconnaît que l’obligation du Représentant désigné, en vertu de la clause 1.3(b), de conserver la documentation technique, la déclaration de conformité de l’UE, le certificat de l’organisme notifié (le cas échéant), ainsi que les coordonnées du Prestataire à la disposition des autorités compétentes pendant dix (10) ans à compter de la mise sur le marché ou de la mise en service du système d’IA à haut risque, constitue une obligation légale impérative qui survit à la résiliation ou à l’expiration de la présente annexe et se poursuit pendant toute la durée de la période de conservation légale, que l’abonnement reste actif ou non. Cette obligation étant impérative et survivant au non-paiement de l’abonnement, des frais de résiliation sont dus en cas de résiliation ou d’expiration, conformément à la grille tarifaire. Ces frais de résiliation sont obligatoires (et non facultatifs), non remboursables, et sont facturés sous la forme d’une somme forfaitaire unique prépayée lors de la résiliation ou de l’expiration. Ils financent le stockage sécurisé et conforme de la documentation conservée, ainsi que l’accès à la demande des autorités compétentes et du Client pendant la période de conservation. GDPRLocal mettra la documentation conservée à la disposition des autorités compétentes, conformément aux exigences de la loi sur l’IA, ainsi qu’à celle du client sur simple demande.
6.7 Exportation facultative de la documentation. À tout moment jusqu’à l’expiration de la période de conservation de dix ans, le Client peut demander à GDPRLocal de regrouper et de transmettre l’ensemble de la documentation technique conservée, la déclaration de conformité UE, le certificat de l’organisme notifié (le cas échéant), les registres d’entretien, la correspondance réglementaire et la documentation de conformité associée à un mandataire nouvellement désigné ou au Client, moyennant les frais forfaitaires indiqués dans la grille tarifaire (l’« Exportation complète de la bibliothèque de conformité »). L’exercice de cette option ne décharge pas le Client de son obligation de désigner un mandataire autorisé de remplacement lorsque la loi sur l’IA l’exige, ni GDPRLocal de sa propre obligation légale de conservation pour le reste de la période de conservation, sauf si et dans la mesure où ces documents ont été légalement transférés au nouveau mandataire.
6.8 Conséquences de la résiliation. Dans un délai de cinq (5) jours ouvrés à compter de la résiliation, GDPRLocal cesse de se présenter comme le représentant autorisé du Client et, le cas échéant, en informe l’autorité compétente concernée. Dans un délai de quinze (15) jours ouvrés, GDPRLocal remet une copie du registre des communications et confirme la documentation conservée conformément à la clause 6.6. Le Client s'acquitte de tous les frais et coûts impayés, y compris les frais de résiliation obligatoires prévus à la clause 6.6. Les clauses 1.3(b), 1.6, 5, 6.6, 6.7 et la présente clause 6.8 restent en vigueur après la résiliation.
6.9 Avis réglementaire. Le Client assume l'entière responsabilité de désigner un représentant autorisé de remplacement avant ou immédiatement après la résiliation afin d'éviter toute violation de l'article 22 de la loi sur l'IA. GDPRLocal coopérera à titre gracieux avec tout remplaçant, selon ses tarifs standard en vigueur à ce moment-là.
Le présent cahier des charges (« SOW ») est annexé à l’annexe 10 relative aux services (Service de représentant autorisé au titre de l’article 22 de la loi européenne sur l’IA) et en fait partie intégrante ; cette annexe fait elle-même partie intégrante du contrat-cadre de services conclu entre le client et GDPRLocal Ltd. Les termes en majuscules ont la même signification que dans l’annexe ou dans le contrat.
Le cahier des charges (SOW) est généré et enregistré par GDPRLocal au moment de l'activation du service. Les champs de remplacement (mis en évidence ci-dessous) sont renseignés à partir du compte du client et de l'enregistrement d'activation du service.
| Nom de l'entreprise | [Nom de l'entreprise] |
| Nom de la personne à contacter | [Nom de la personne à contacter] |
| E-mail de contact | [E-mail de contact] |
| Numéro de téléphone | [Numéro de téléphone] |
| Système(s) d'IA à haut risque visé(s) par le champ d'application | [nom / description de chaque système] |
| Objectif visé | [objectif visé] |
| Critères de classification « à haut risque » | [Cas d'utilisation de l'annexe III / produit de l'annexe I et catégorie] |
| Date de mise sur le marché / de mise en service | [date à laquelle le système d'IA à haut risque a été mis sur le marché de l'UE ou mis en service pour la première fois ; indiquer « à préciser » s'il n'a pas encore été mis sur le marché] |
| Territoire | Union européenne |
| Exclusions du champ d'application (le cas échéant) | [sinon « aucun »] |
Tous les tarifs applicables à ce service sont indiqués dans la grille tarifaire du contrat-cadre (MSA).
4. Personnel désigné et conservation des documents
| Entité représentante désignée | Instant EU GDPR Representative Ltd |
| Siège social | Bureau 2, 12A Lower Main Street, Lucan, comté de Dublin, K78 X5P8, Irlande |
| [email protected] | |
| Tél. | +44 1772 217 800 |
| Stockage de la documentation | Stockage sécurisé et conforme aux réglementations, géré par GDPRLocal ; accès à la demande pour les autorités compétentes et pour le client |
Le nom de la personne désignée au sein du représentant désigné, qui assumera ponctuellement le rôle de représentant autorisé, sera communiqué au Client après l'activation. GDPRLocal informera le Client de tout changement définitif concernant la personne de contact désignée dans un délai de trente (30) jours ouvrés.
Le client doit veiller à ce que les coordonnées du mandataire mentionnées ci-dessous soient communiquées aux autorités compétentes et conservées avec la documentation technique, conformément aux exigences de la loi sur l'IA, et qu'elles figurent dans tout registre ou toute déclaration où l'identification du mandataire est requise :
« Représentant désigné au titre de la loi européenne sur l'IA (article 22 du règlement (UE) 2024/1689) : Instant EU GDPR Representative Ltd, Bureau 2, 12A Lower Main Street, Lucan, comté de Dublin, K78 X5P8, Irlande. Contact : [email protected], +44 1772 217 800. »
| Service | Inclus | Chronologie |
|---|---|---|
| Nomination et mandat | Désignation d'un interlocuteur dédié et accompagnement lors de la mise en place du service. | Paiement unique (intégration) |
| Cartographie des scénarios | Évaluation de haut niveau de l'organisation, des systèmes d'IA, du cadre réglementaire et de l'état de préparation en matière de conformité, afin de déterminer la portée, le calendrier et l'approche de la vérification | Paiement unique (intégration) |
| Vérification des documents | Vérifier que la déclaration de conformité de l'UE et l'évaluation de conformité applicable ont été établies, et que la documentation obligatoire est disponible et classée en vue d'un contrôle réglementaire (article 22, paragraphe 3, point a)) | Phase de vérification et en cas de changement significatif signalé ; forfait calculé sur la base des 60 premières heures de prestation de services professionnels |
| Rapport de vérification | Lorsque des lacunes sont identifiées, GDPRLocal remet au client un rapport de vérification détaillant les constatations et les mesures correctives recommandées. | Fin de la phase de vérification |
| Validation de la désignation d'un représentant autorisé | La nomination en tant que représentant habilité prend effet dès l'achèvement de la phase de vérification. | Fin de la phase de vérification |
| Conservation des documents | Conserver les coordonnées du fournisseur, la déclaration de conformité UE, la documentation technique et le certificat délivré par l'organisme notifié à la disposition des autorités pendant 10 ans (article 22, paragraphe 3, point b)) | En cours / 10 ans |
| Point de contact en matière de réglementation | Recevoir les demandes et communications motivées émanant des autorités compétentes ; les transmettre au client ; coordonner les réponses (article 22, paragraphe 3, point c), et paragraphe 4) | En cours (actif). Expédition sous 1 à 3 jours ouvrés |
| Accès aux informations et aux journaux sur demande | Fournir des informations et des documents attestant de la conformité, y compris l'accès aux registres détenus par le prestataire, sur demande motivée (article 22, paragraphe 3, point c)) | Sur demande motivée |
| Coopération en matière de réglementation | Coopérer avec les autorités compétentes dans le cadre des actions relatives au système d'IA à haut risque, y compris les mesures d'atténuation des risques (article 22, paragraphe 3, point d)) | Conformément aux exigences |
| Aide à l'inscription | Aider le client à se conformer aux obligations d’enregistrement prévues à l’article 49 et à l’annexe VIII (article 22, paragraphe 3, point e)) ou, lorsque ces obligations sont assumées par GDPRLocal, s’y conformer | Le cas échéant |
| Mises à jour et recommandations réglementaires en cours | Des mises à jour réglementaires régulières et raisonnables, ainsi que des orientations concernant la loi sur l’IA au fur et à mesure de son évolution, proportionnées aux activités du client | En cours (actif) |
| Accompagnement des spin-offs | Gouvernance de l'IA, gestion des risques, évaluations des risques, accompagnement en matière de conformité, politiques relatives à l'IA, formation et services de conseil | Sur demande. Au tarif réduit des services professionnels (barème tarifaire) |
Le présent cahier des charges peut être révisé et mis à jour par accord écrit entre les parties lorsque cela s'avère nécessaire afin de refléter des changements significatifs apportés au(x) système(s) d'IA à haut risque, aux obligations du Client ou aux priorités en matière de conformité. Toute mise à jour de ce type sera consignée sous la forme d'un cahier des charges révisé associé au compte du Client.
Le présent cahier des charges est réputé accepté par le Client dès l'activation du Service (que ce soit via une activation sur le portail ou une confirmation écrite acceptée par GDPRLocal).