Le présent Accord de traitement des données partenaires SpaceX Super Intelligence (« DPA partenaire ») fait partie intégrante du Contrat SpaceX Super Intelligence Partner Network conclu entre Anysphere, Inc., société constituée au Texas (« Anysphere »), et l’entité ayant accepté ce contrat (le « Partenaire ») (le « Contrat de partenariat »). Le présent DPA partenaire constitue l’Accord de traitement des données partenaires visé à la Section 12.2 (Accord de traitement des données) du Contrat de partenariat et régit le traitement des Données à caractère personnel que chacune des parties reçoit de l’autre en lien avec le Programme partenaires. Le présent DPA partenaire constitue un avenant au Contrat de partenariat, lequel est disponible à l’adresse https://cursor.com/terms/spn (ou à toute URL qui lui succéderait, désignée par Anysphere) ainsi que sur le Portail partenaires, et il est administré via le Portail partenaires.

Le Partenaire accepte le présent DPA partenaire en acceptant le Contrat de partenariat, en cliquant pour accepter le présent DPA partenaire sur le Portail partenaires, ou en participant de toute autre manière au Programme partenaires après que le présent DPA partenaire lui a été présenté ou rendu accessible. La personne qui accepte le présent DPA partenaire pour le compte du Partenaire déclare être habilitée à engager le Partenaire ainsi que toute Société affiliée du Partenaire dont la participation au Programme partenaires a été approuvée conformément à la Section 2.3 du Contrat de partenariat.

1. Définitions.

   1. Interprétation. Les termes commençant par une majuscule qui sont utilisés sans être définis dans le présent DPA Partenaire ont le sens qui leur est attribué dans le Contrat Partenaire. Les termes « responsable du traitement », « sous-traitant », « personne concernée », « traitement » (et « traiter »), « entreprise », « prestataire de services », « contractant », « tiers », « vendre », « partager » et « autorité de contrôle » ont le sens qui leur est attribué dans les Lois applicables sur la protection des données et incluent tout terme équivalent employé dans ces lois.

   2. Termes définis. Dans le présent DPA Partenaire :

      « Données de vérification de conformité » désigne les données à caractère personnel relatives aux propriétaires, dirigeants, administrateurs, membres du personnel ou agents du Partenaire, collectées par Anysphere afin d’évaluer l’éligibilité du Partenaire au Programme partenaires et le maintien de sa participation à celui-ci, y compris les informations concernant tout emploi ou toute affiliation, actuels ou passés, au sein d’une administration publique, les relations d’emploi ou d’affaires avec Anysphere ou son personnel, le statut au regard des sanctions et des listes de parties soumises à restrictions, ainsi que toute violation, divulgation volontaire, investigation, enquête, allégation ou mesure coercitive relative à la législation en matière de lutte contre la corruption, de lutte contre le blanchiment de capitaux, de sanctions ou de contrôle des exportations.

      « Lois sur la protection des données » désigne l’ensemble des lois et réglementations relatives à la vie privée, à la protection des données, à la sécurité des données ou au marketing électronique applicables au traitement des Données à caractère personnel du Programme par une partie, y compris, le cas échéant : (a) le Règlement général sur la protection des données (UE) 2016/679 (« RGPD ») et la directive 2002/58/CE (directive vie privée et communications électroniques), ainsi que leurs lois nationales de transposition ; (b) le RGPD tel qu’intégré au droit du Royaume-Uni (« RGPD britannique »), le Data Protection Act 2018 du Royaume-Uni et les Privacy and Electronic Communications Regulations 2003 ; (c) la loi fédérale suisse sur la protection des données (« LPD ») ; (d) les Lois des États américains sur la protection de la vie privée ; (e) la Loi sur la protection des renseignements personnels et les documents électroniques du Canada et la Loi canadienne anti-pourriel ; (f) le Privacy Act 1988 et le Spam Act 2003 de l’Australie ; (g) le Personal Data Protection Act 2012 de Singapour ; (h) la loi japonaise sur la protection des informations personnelles (Act on the Protection of Personal Information) ; (i) le Digital Personal Data Protection Act, 2023 de l’Inde ; et (j) la Lei Geral de Proteção de Dados du Brésil ; dans chaque cas, telles que modifiées, remplacées ou complétées le cas échéant.

      « Partie divulgatrice » désigne la partie (y compris ses Sociétés affiliées et toute personne agissant pour son compte) qui fournit des Données à caractère personnel du Programme à l'autre partie ou les met à sa disposition, et « Partie destinataire » désigne la partie (y compris ses Sociétés affiliées) qui les reçoit.

      « Données fournies par le Partenaire » désigne les Données à caractère personnel du Programme que le Partenaire, ses Sociétés affiliées ou toute personne agissant en leur nom fournissent à Anysphere ou à ses Sociétés affiliées, ou mettent à leur disposition.

      « Données à caractère personnel » désigne toute information se rapportant à une personne physique identifiée ou identifiable, ainsi que toute autre information définie comme « données à caractère personnel », « informations personnelles » ou par un terme analogue en vertu des Lois sur la protection des données.

      « Violation de données à caractère personnel » désigne une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération ou la divulgation non autorisée de Données à caractère personnel du Programme, ou l’accès non autorisé à celles-ci, lorsqu’elles se trouvent en la possession, sous la garde ou sous le contrôle de la Partie destinataire ou de toute personne qui les traite pour son compte.

      « Données à caractère personnel du Programme » désigne les données à caractère personnel qu'une Partie divulgatrice fournit à la Partie destinataire, ou met à sa disposition, en lien avec le Programme partenaires, que ce soit par l'intermédiaire du Portail partenaires, des formulaires du Programme partenaires, des demandes d'enregistrement d'opportunités, des outils de mise en correspondance de comptes, des canaux de collaboration partagés, par e-mail, lors de réunions ou par tout autre moyen, à l'exclusion des données et activités décrites à la Section 2.2.

      « Transfert restreint » désigne tout transfert de Données à caractère personnel du Programme soumis au RGPD, au RGPD britannique ou à la LPD vers un pays ou un territoire que l’autorité compétente n’a pas reconnu comme assurant un niveau de protection adéquat des Données à caractère personnel, lorsqu’aucun autre mécanisme de transfert licite ne s’applique.

      « SCCs » désigne les clauses contractuelles types figurant en annexe de la décision d'exécution (UE) 2021/914 de la Commission européenne du 4 juin 2021, telle que modifiée ou remplacée le cas échéant, et « Module Un » et « Module Deux » désignent respectivement les modules « responsable du traitement à responsable du traitement » et « responsable du traitement à sous-traitant » des SCCs.

      « Données sensibles » désigne : (a) les catégories particulières de données à caractère personnel, les données à caractère personnel sensibles ou les informations personnelles sensibles au sens des Lois sur la protection des données, y compris les données qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que les données génétiques, biométriques ou concernant l’état de santé, ou les données concernant la vie sexuelle ou l’orientation sexuelle d’une personne ; (b) les Données à caractère personnel relatives aux condamnations pénales, aux infractions ou aux allégations d’infractions ; (c) les identifiants délivrés par une autorité publique, y compris les numéros de sécurité sociale, d’identification fiscale, de passeport et de permis de conduire ; (d) les numéros de compte financier, de compte bancaire ou de carte de paiement ; (e) les données de géolocalisation précises ; (f) les mots de passe de compte et autres informations d’authentification ; et (g) les Données à caractère personnel concernant des enfants.

      « Données fournies par Anysphere » désigne les Données à caractère personnel du Programme qu’Anysphere, ses Sociétés affiliées ou toute personne agissant pour leur compte fournissent au Partenaire ou à ses Sociétés affiliées, ou mettent à la disposition de ceux-ci.

      « SpaceXSI Privacy Notice » désigne la politique de confidentialité d’Anysphere disponible à l’adresse https://cursor.com/privacy (ou à toute autre URL qui lui succéderait et que désignerait Anysphere), telle que mise à jour ponctuellement.

      « Avenant britannique » désigne l’avenant relatif aux transferts internationaux de données (International Data Transfer Addendum) aux clauses contractuelles types de la Commission européenne (version B.1.0), publié par l’Information Commissioner du Royaume-Uni, tel que modifié ou remplacé, le cas échéant.

      « Lois des États américains sur la protection de la vie privée » désigne le California Consumer Privacy Act de 2018, tel que modifié par le California Privacy Rights Act de 2020, ainsi que ses règlements de mise en œuvre (« CCPA »), et toutes les autres lois générales des États américains relatives à la protection de la vie privée des consommateurs, dans chaque cas dans leur version en vigueur à la date considérée.

2. Cadrer.

   1. Application. Le présent DPA Partenaire s’applique au traitement, par chaque partie, des Données à caractère personnel du Programme qu’elle reçoit de l’autre partie. Les Données à caractère personnel du Programme proviennent généralement des activités du Programme partenaires décrites à l’Annexe 1 (Description du traitement), telles que ces activités sont mises à jour ponctuellement dans les Règles du programme.

   2. Exclusions. Le présent DPA Partenaire ne s’applique pas aux éléments suivants, lesquels sont également exclus des Données à caractère personnel du Programme :

      1. Utilisation du Service par le Partenaire. Les Données à caractère personnel traitées en lien avec l’achat, l’accès ou l’utilisation du Service par le Partenaire (ou ses Sociétés affiliées) en tant que client, y compris dans le cadre de tout forfait entreprise, de toute Licence d’évaluation, de toute sandbox ou de tout accès non destiné à la revente, lesquelles sont régies par le Master Services Agreement ou toutes autres conditions client applicables, par l’avenant relatif au traitement des données disponible à l’adresse https://cursor.com/terms/dpa, ainsi que par toutes conditions d’utilisation applicables ;

      2. Services du Partenaire et Données Client. Les Données Client, ainsi que toutes autres Données à caractère personnel que le Partenaire traite pour le compte d’un Client ou en vertu d’un contrat conclu avec celui-ci dans le cadre de la fourniture des Services du Partenaire, lesquelles sont régies exclusivement par le contrat conclu entre le Partenaire et ce Client. Lorsque le Partenaire fournit des Services du Partenaire à un Client et qu’Anysphere fournit le Service à ce même Client, chaque partie traite les Données à caractère personnel de ce Client en vertu de son propre contrat avec celui-ci, et aucune des parties n’agit en qualité de sous-traitant ou de sous-traitant ultérieur de l’autre ;

      3. Activités sur la Place de marché. Les Données à caractère personnel traitées en lien avec tout Plugin ou avec la participation du Partenaire à la Place de marché (y compris toutes données désignées comme « Données du plugin » ou « Contenu Utilisateur » dans les SpaceXSI Marketplace Terms), lesquelles sont régies par les SpaceXSI Marketplace Terms ;

      4. Contrats distincts. Les Données à caractère personnel traitées en vertu de tout contrat écrit distinct autorisant le Partenaire à revendre, distribuer ou sous-traiter le Service, ou de tout autre contrat distinct entre les parties comportant ses propres conditions en matière de protection des données, dans les limites du champ d’application de ce contrat ; et

      5. Données collectées de manière indépendante. Les Données à caractère personnel qu’une partie collecte de manière indépendante, et non auprès de l’autre partie, même si elles concernent les mêmes personnes ou organisations, y compris les Données à caractère personnel qu’Anysphere collecte directement auprès d’un Client ou d’un Client potentiel.

   3. Articulation avec la Section 12.1. Le présent DPA Partenaire complète, sans les limiter, les obligations du Partenaire au titre de la Section 12.1 (Information et consentement) du Contrat de partenariat.

3. Rôles des parties.

   1. Responsables du traitement indépendants. Sauf disposition contraire de la Section 8 (Accords de sous-traitance), chaque partie agit en qualité de responsable du traitement indépendant (et, le cas échéant en vertu des US State Privacy Laws, en qualité de « business » ou de tiers) à l'égard des Données à caractère personnel du Programme qu'elle reçoit de l'autre partie. Chaque partie détermine de manière indépendante les finalités et les moyens de ses propres traitements. Les parties ne sont pas responsables conjoints du traitement, et aucune d'elles ne traite de Données à caractère personnel du Programme pour le compte de l'autre.

   2. Conformité propre à chaque partie. Chaque partie est responsable de sa propre conformité aux Lois sur la protection des données dans le cadre de son traitement des Données à caractère personnel du Programme, y compris en ce qui concerne l'information des personnes, la détermination d'une base légale, la réponse aux demandes des personnes concernées, la tenue des registres des activités de traitement et le respect de ses obligations envers les autorités de contrôle. Aucune des parties ne traitera sciemment des Données à caractère personnel du Programme d'une manière qui conduirait l'autre partie à enfreindre les Lois sur la protection des données.

4. Divulgation des données à caractère personnel du Programme.

   1. Communication licite. Chaque Partie divulgatrice veille à ce que sa collecte de Données à caractère personnel du Programme, ainsi que la communication de ces données à la Partie destinataire, soient conformes aux Lois sur la protection des données. Sans préjudice de la Section 12.1 (Information et consentement) du Contrat de partenariat, le Partenaire déclare et garantit que, pour toutes les Données fournies par le Partenaire, il a fourni toutes les informations, obtenu tous les consentements et établi toutes les bases légales requises en vertu des Lois sur la protection des données pour : (a) permettre au Partenaire de communiquer les données à Anysphere ; et (b) permettre à Anysphere de traiter les données aux fins décrites à la Section 5.1(a), y compris pour contacter le Client ou le Client potentiel concerné au sujet du Service et pour vérifier l’engagement du Partenaire auprès de ce Client.

   2. Information des Clients et des Clients potentiels. Lorsque le droit applicable l’exige, avant de soumettre un enregistrement d’opportunité ou de communiquer de toute autre manière à Anysphere les Données à caractère personnel du personnel d’un Client ou d’un Client potentiel, le Partenaire informe les personnes concernées (ou s’assure qu’elles ont été informées) que le Partenaire peut partager leurs coordonnées et les informations relatives à l’opportunité avec Anysphere, qu’Anysphere peut utiliser ces informations conformément à la Politique de confidentialité de SpaceXSI, et que le Partenaire peut bénéficier d’avantages au titre du Programme partenaires si le Client ou le Client potentiel effectue un achat auprès d’Anysphere. Le Partenaire ne communique pas à Anysphere les Données à caractère personnel d’une personne qui s’est opposée au partage de ses Données à caractère personnel avec Anysphere ou qui a refusé ce partage.

   3. Information du personnel du Partenaire. Le Partenaire informe son personnel et celui de ses Sociétés affiliées, ainsi que leurs sous-traitants, propriétaires, dirigeants et administrateurs dont le Partenaire fournit les Données à caractère personnel à Anysphere (y compris les utilisateurs et Administrateurs du Portail partenaires, les personnes préparant des accréditations, les membres des canaux de collaboration partagés et les personnes identifiées dans les Données de contrôle de conformité), qu’Anysphere traitera leurs Données à caractère personnel conformément au présent DPA Partenaire et à la Politique de confidentialité de SpaceXSI, notamment en mettant la Politique de confidentialité de SpaceXSI à leur disposition.

   4. Minimisation des données et Données sensibles. Chaque Partie divulgatrice ne communique que les Données à caractère personnel du Programme raisonnablement nécessaires à la finalité concernée du Programme partenaires. Le Partenaire ne fournit pas de Données sensibles à Anysphere, sauf : (a) lorsqu’Anysphere les demande via un formulaire du Portail partenaires, les Règles du programme ou toute autre requête écrite, par exemple les informations de routage des paiements et les informations fiscales nécessaires au paiement des frais, ou les Données de contrôle de conformité ; ou (b) dans la mesure où Anysphere l’autorise par ailleurs par écrit. Toute requête de ce type constitue une requête écrite expresse d’Anysphere aux fins de la Section 12.1 (Information et consentement) du Contrat de partenariat, limitée aux Données sensibles demandées. Lorsqu’il soumet des justificatifs d’activités marketing, des résultats d’événements ou des informations similaires, le Partenaire utilise, dans la mesure du possible, des métriques agrégées, des domaines d’entreprise ou des intitulés de poste plutôt que des Données à caractère personnel individuelles.

   5. Exactitude et mises à jour. Chaque Partie divulgatrice prend des mesures raisonnables pour s’assurer que les Données à caractère personnel du Programme qu’elle communique sont exactes et à jour, et informe sans délai la Partie destinataire si elle apprend que des Données à caractère personnel du Programme qu’elle a communiquées sont inexactes ou obsolètes, ou qu’une personne a retiré son consentement au traitement effectué par la Partie destinataire ou s’y est opposée. Le Partenaire tient à jour les informations relatives aux utilisateurs de son Portail partenaires et informe sans délai Anysphere, via le Portail partenaires ou à l’adresse partnersupport@x.ai, lorsqu’une personne disposant d’un compte sur le Portail partenaires, d’une accréditation active ou membre d’un canal de collaboration partagé quitte l’organisation du Partenaire ou ne participe plus aux activités du Partenaire dans le cadre du Programme partenaires.

5. Traitement par la Partie destinataire.

   1. Limitation des finalités.

      1. Anysphere. Anysphere peut traiter les Données fournies par le Partenaire : (i) pour exploiter, administrer et améliorer le Programme partenaires, y compris aux fins décrites à l’Annexe 1 ; (ii) pour commercialiser, vendre et fournir le Service et en assurer le support, ainsi que pour gérer ses relations avec les Clients et les Clients potentiels identifiés dans les Données fournies par le Partenaire, conformément à l’Avis de confidentialité de SpaceXSI et aux Lois sur la protection des données ; (iii) pour vérifier que le Partenaire respecte le Contrat de partenariat, les Règles du programme et le droit applicable, ainsi que pour détecter et prévenir la fraude, les abus et les incidents de sécurité ; (iv) pour se conformer à ses obligations légales et pour constater, exercer ou défendre des droits en justice ; et (v) à toute autre fin autorisée par les Lois sur la protection des données et décrite dans l’Avis de confidentialité de SpaceXSI.

      2. Partenaire. Le Partenaire ne traitera les Données fournies par Anysphere qu’aux fins spécifiques du Programme partenaires pour lesquelles Anysphere les a fournies (par exemple, la co-commercialisation dans le cadre d’une opportunité identifiée, la planification de comptes avec Anysphere ou l’administration de la participation du Partenaire au Programme partenaires), et conformément au Contrat de partenariat, aux Règles du programme, au présent DPA Partenaire et aux Lois sur la protection des données. Le Partenaire s’interdit : (i) de vendre, de louer ou de concéder sous licence les Données fournies par Anysphere ; (ii) d’utiliser les Données fournies par Anysphere pour commercialiser ou promouvoir tout produit ou service concurrent du Service, ou à toute fin marketing sans rapport avec l’objet pour lequel Anysphere les a fournies ; (iii) de combiner les Données fournies par Anysphere avec d’autres données afin de créer ou d’enrichir des bases de données de contacts, des profils ou des listes de prospects à des fins sans rapport avec le Programme partenaires ; ou (iv) de divulguer les Données fournies par Anysphere à un tiers, sauf dans les cas autorisés par la Section 5.4.

      3. Autres traitements. Chacune des parties peut également traiter les Données à caractère personnel du programme à une autre fin lorsque le droit applicable l’exige, lorsque cela est nécessaire à la sauvegarde des intérêts vitaux d’une personne, ou lorsque la personne concernée a consenti à ce traitement ultérieur.

   2. Transparence. Chaque partie doit tenir à jour et mettre à disposition une politique de confidentialité conforme aux exigences des Lois sur la protection des données pour son traitement des Données à caractère personnel du Programme. Lorsqu’Anysphere contacte une personne dont elle a reçu les Données à caractère personnel de la part du Partenaire, Anysphere doit fournir les informations requises par les Lois sur la protection des données dans le délai prescrit, qui peut correspondre au moment de la première communication d’Anysphere avec cette personne.

   3. Confidentialité et sécurité. Chaque Partie destinataire doit : (a) mettre en œuvre et maintenir des mesures techniques et organisationnelles appropriées pour protéger les Données à caractère personnel du Programme contre les Violations de données à caractère personnel, compte tenu de l’état des connaissances, des coûts de mise en œuvre, de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les personnes physiques, ces mesures devant inclure au minimum celles décrites à l’Annexe 2 (Mesures de sécurité minimales) ; (b) limiter l’accès aux Données à caractère personnel du Programme au personnel, aux sous-traitants et aux prestataires de services qui ont besoin d’y accéder aux fins autorisées en vertu de la Section 5.1 ; et (c) veiller à ce que les personnes autorisées à traiter les Données à caractère personnel du Programme soient soumises à des obligations de confidentialité appropriées. Le Partenaire est responsable de la sécurisation de ses comptes et informations d’authentification du Portail partenaires conformément à la Section 8 (Accès au Portail partenaires) du Contrat de partenariat.

   4. Prestataires de services et transferts ultérieurs.

      1. Sous-traitants. Chaque Partie destinataire peut faire appel à des sous-traitants et à des prestataires de services pour traiter les Données à caractère personnel du Programme pour son compte, y compris des fournisseurs de plateformes de portail partenaires et de gestion de la relation partenaires, de systèmes de gestion de la relation client, d’outils de mise en correspondance de comptes, d’outils de collaboration et de communication, de systèmes de gestion de l’apprentissage, de services de paiement et de fiscalité, d’hébergement cloud et d’outils de productivité basés sur l’IA. La Partie destinataire ne peut faire appel à de tels sous-traitants qu’en vertu d’un contrat écrit les obligeant à protéger les Données à caractère personnel du Programme d’une manière cohérente avec le présent DPA Partenaire et les Lois sur la protection des données, et demeure responsable du traitement qu’ils effectuent.

      2. Sociétés affiliées d’Anysphere. Anysphere peut communiquer les Données fournies par le Partenaire à ses Sociétés affiliées aux fins décrites à la Section 5.1(a). Chaque Société affiliée d’Anysphere qui reçoit des Données fournies par le Partenaire les traite conformément au présent DPA Partenaire.

      3. Autres communications. Sauf dans la mesure permise par la présente Section 5.4, une Partie destinataire ne communique les Données à caractère personnel du Programme à aucun tiers, à l’exception : (i) de ses conseillers professionnels et de ceux de ses Sociétés affiliées tenus à des obligations de confidentialité ; (ii) d’un successeur en lien avec une fusion, une acquisition, une réorganisation d’entreprise ou la cession de la totalité ou de la quasi-totalité de ses actifs, dans la mesure permise par le Contrat de Partenariat ; (iii) des cas où le droit applicable, une décision de justice ou une autorité gouvernementale compétente l’exige, sous réserve de la Section 5.7 ; ou (iv) des autres cas permis par les Lois sur la protection des données et, s’agissant du Partenaire, avec le consentement écrit préalable d’Anysphere.

   5. Demandes des personnes concernées. Il incombe à chaque partie de répondre aux demandes des personnes exerçant leurs droits en vertu des Lois sur la protection des données à l’égard des Données à caractère personnel du Programme dont elle est responsable du traitement. Si une partie reçoit une demande relative au traitement effectué par l’autre partie, elle doit, dans la mesure où la loi le permet, transmettre la demande à l’autre partie dans les plus brefs délais (et en tout état de cause dans un délai de cinq (5) jours ouvrables) ou indiquer à la personne concernée comment contacter l’autre partie, et les parties coopèrent raisonnablement pour y répondre. Si une personne s’oppose aux communications marketing, retire son consentement ou demande la suppression de ses données, et que la demande concerne le traitement des Données à caractère personnel du Programme effectué par l’autre partie, la partie qui reçoit la demande en informe sans délai l’autre partie afin que celle-ci puisse prendre toute mesure requise par les Lois sur la protection des données.

   6. Violations de données à caractère personnel. La Partie destinataire notifie la Partie divulgatrice dans les meilleurs délais, et en tout état de cause dans un délai de soixante-douze (72) heures, après avoir pris connaissance d’une Violation de données à caractère personnel portant sur des Données à caractère personnel du Programme reçues de la Partie divulgatrice. La notification décrit, dans la mesure où ces éléments sont alors connus, la nature de la Violation de données à caractère personnel, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables, ainsi que les mesures prises ou envisagées pour remédier à la Violation de données à caractère personnel et en atténuer les effets, et la Partie destinataire complète la notification à mesure que de nouvelles informations deviennent disponibles. La Partie destinataire prend des mesures raisonnables pour contenir la Violation de données à caractère personnel, enquêter sur celle-ci et y remédier, et coopère raisonnablement avec la Partie divulgatrice. Chaque partie est responsable des notifications aux autorités de contrôle et aux personnes concernées que les Lois sur la protection des données lui imposent en tant que responsable du traitement, et les parties se coordonnent de bonne foi quant au contenu et au calendrier de ces notifications. Sauf obligation légale, aucune partie ne peut nommer l’autre partie dans une notification ou une déclaration publique relative à une Violation de données à caractère personnel sans le consentement écrit préalable de celle-ci. Le Partenaire envoie les notifications prévues à la présente Section 5.6 à legal@cursor.com, et ces notifications satisfont également à la Section 5(g) (Obligations du Partenaire) du Contrat de Partenaire en ce qui concerne la Violation de données à caractère personnel.

   7. Demandes des autorités publiques et de régulation. Si une Partie destinataire reçoit d’une autorité de contrôle, d’un service répressif ou de toute autre autorité publique une demande portant sur des Données à caractère personnel du Programme reçues de l’autre partie, la Partie destinataire doit, dans la mesure où la loi le permet, en informer sans délai la Partie divulgatrice, ne divulguer que le minimum de Données à caractère personnel du Programme nécessaire pour y répondre, et coopérer raisonnablement avec la Partie divulgatrice dans ses démarches visant à répondre à la demande ou à la contester.

   8. Conservation et suppression.

      1. Généralités. Chaque Partie destinataire ne conserve les Données à caractère personnel du Programme que pendant la durée nécessaire aux finalités autorisées en vertu de la Section 5.1, puis les supprime ou les anonymise, sauf si le droit applicable l'exige ou l'autorise.

      2. Données fournies par Anysphere. À l'expiration ou à la résiliation du Contrat de partenariat, ou sur demande écrite antérieure d'Anysphere, le Partenaire cesse d'utiliser les Données fournies par Anysphere et, dans un délai de trente (30) jours, les supprime (ou, à la demande d'Anysphere, les restitue) et, sur demande d'Anysphere, certifie par écrit s'être acquitté de cette obligation, sauf dans la mesure où le droit applicable impose au Partenaire de les conserver. Les Données à caractère personnel du Programme conservées dans des sauvegardes courantes peuvent être supprimées selon le cycle de sauvegarde habituel du Partenaire, à condition qu'elles demeurent protégées conformément au présent DPA Partenaire et ne fassent l'objet d'aucune utilisation active.

      3. Données fournies par le Partenaire. Anysphere peut conserver les Données fournies par le Partenaire après l'expiration ou la résiliation du Contrat de partenariat dans la mesure raisonnablement nécessaire pour : (i) gérer les frais d'enregistrement, les commissions d'apport d'affaires et les autres montants dus au titre de la période antérieure à la résiliation ; (ii) tenir les registres relatifs au Programme partenaires, y compris pendant la période prévue à la Section 20.5 (Registres) du Contrat de partenariat ; (iii) poursuivre ses relations directes avec les Clients et les Clients potentiels ; (iv) se conformer à ses obligations légales ; et (v) constater, exercer ou défendre des droits en justice. Anysphere ne conserve les Données de vérification de conformité que pendant la durée nécessaire aux finalités de conformité pour lesquelles elles ont été collectées et dans la mesure requise par le droit applicable.

   9. Outils automatisés et IA. Anysphere peut utiliser des outils automatisés, y compris des modèles d’IA et des agents exploités par Anysphere, ses Sociétés affiliées ou ses prestataires de services, pour l’aider à examiner et à traiter les demandes de Partenaire, les enregistrements d’opportunités, les demandes d’avantages, les soumissions d’activités marketing ainsi que les autres soumissions et communications relevant du Programme partenaires. La décision d’approuver, de refuser, d’assortir de conditions ou de révoquer une demande de Partenaire ou un enregistrement d’opportunité est prise par le personnel d’Anysphere, et Anysphere ne soumettra aucune personne à une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques la concernant ou l’affectant de manière significative de façon similaire, sauf dans la mesure permise par les Lois sur la protection des données. Anysphere n’utilisera pas les Données à caractère personnel contenues dans les Données fournies par le Partenaire pour entraîner des modèles d’IA qu’Anysphere met à la disposition générale de tiers. Le Partenaire s’interdit de saisir les Données fournies par Anysphere dans un outil d’IA ou tout autre service tiers qui utilise ces données pour entraîner des modèles au profit de toute personne autre que le Partenaire, ou qui les utilise de toute autre manière à ses propres fins.

   10. Coopération. Chaque partie fournit à l’autre, à ses propres frais, les informations et la coopération raisonnables dont l’autre partie a besoin pour se conformer à ses obligations au titre des Lois sur la protection des données relatives aux Données à caractère personnel du Programme, notamment en ce qui concerne les analyses d’impact relatives à la protection des données, les registres des activités de traitement et les demandes des autorités de contrôle.

6. Lois des États américains relatives à la protection de la vie privée.

   1. Absence de vente. Les parties reconnaissent que les frais d’enregistrement, les frais d’apport d’affaires ou tout autre Avantage Partenaire fourni dans le cadre du Programme partenaires constituent la contrepartie des activités d’apport d’affaires, de prospection, de co-commercialisation et des prestations connexes du Partenaire, telles que décrites à la Section 7 (Enregistrement des opportunités, Frais et Paiement) du Contrat de Partenariat, et non celle des Données à caractère personnel du Programme. Aucune des parties ne communique de Données à caractère personnel du Programme à l’autre en échange d’une contrepartie financière ou de toute autre contrepartie de valeur, et les parties n’entendent pas qu’une communication effectuée en vertu du présent DPA Partenaire constitue une vente (« sale ») ou un partage (« sharing ») de Données à caractère personnel au sens des Lois des États américains sur la protection de la vie privée.

   2. Conditions applicables aux tiers. Dans la mesure où une Partie Destinataire reçoit des Données à caractère personnel du Programme en qualité de tiers au sens des Lois des États américains sur la protection de la vie privée, ou si une communication effectuée en vertu du présent DPA Partenaire est par ailleurs considérée comme une vente ou un partage, la Partie Destinataire s’engage à : (a) traiter ces Données à caractère personnel du Programme uniquement aux fins limitées et déterminées énoncées à la Section 5.1 et à l’Annexe 1 ; (b) respecter les obligations qui lui incombent au titre des Lois des États américains sur la protection de la vie privée et assurer à ces Données à caractère personnel du Programme le même niveau de protection de la vie privée que celui exigé par ces lois ; (c) autoriser la Partie Divulgatrice, sur notification écrite, à prendre des mesures raisonnables et appropriées pour s’assurer que la Partie Destinataire utilise ces Données à caractère personnel du Programme de manière cohérente avec les obligations de la Partie Divulgatrice au titre des Lois des États américains sur la protection de la vie privée, ainsi que pour faire cesser et corriger toute utilisation non autorisée ; (d) informer la Partie Divulgatrice si elle estime ne plus être en mesure de respecter ses obligations au titre des Lois des États américains sur la protection de la vie privée ; et (e) donner suite à toute demande d’opposition (opt-out) ou à toute autre requête de consommateur que la Partie Divulgatrice lui transmet, conformément aux exigences des Lois des États américains sur la protection de la vie privée.

7. Transferts internationaux de données.

   1. Généralités. Chaque partie peut traiter les Données à caractère personnel du Programme aux États-Unis et dans tout autre pays où elle-même, ses Sociétés affiliées ou ses sous-traitants exercent leurs activités, à condition de se conformer aux exigences en matière de transfert prévues par les Lois sur la protection des données.

   2. Transferts depuis l’EEE. Dans la mesure où une communication de Données à caractère personnel du Programme par la Partie divulgatrice à la Partie destinataire constitue un Transfert restreint soumis au RGPD, les parties conviennent d’appliquer le Module Un des CCT (ou, lorsque la Section 8 s’applique et que la Partie destinataire agit en qualité de sous-traitant de la Partie divulgatrice, le Module Deux des CCT), lesquelles sont intégrées par référence au présent Partner DPA, étant entendu que :

      1. la Partie divulgatrice est l’« exportateur de données » et la Partie destinataire est l’« importateur de données » ;

      2. la clause d’adhésion facultative de la Clause 7 s’applique ;

      3. à la Clause 9 du Module Deux, l’Option 2 (autorisation écrite générale) s’applique, avec le délai de préavis prévu à la Section 8.2(d) ;

      4. la formulation facultative de la Clause 11(a) ne s’applique pas ;

      5. à la Clause 13, l’autorité de contrôle compétente est déterminée conformément à la Clause 13(a) et, lorsque l’exportateur de données n’est pas établi dans l’EEE et n’a pas désigné de représentant en vertu de l’article 27 du RGPD, l’autorité de contrôle compétente est l’Irish Data Protection Commission ;

      6. à la Clause 17, l’Option 1 s’applique et les CCT sont régies par le droit irlandais ;

      7. à la Clause 18(b), les litiges sont portés devant les tribunaux irlandais ;

      8. l’Annexe I des CCT est complétée par les informations figurant à l’Annexe 1 du présent Partner DPA ; et

      9. l’Annexe II des CCT est complétée par les informations figurant à l’Annexe 2 du présent Partner DPA.

   3. Transferts depuis le Royaume-Uni. Dans la mesure où un Transfert restreint est soumis au RGPD britannique, les CCT s’appliquent conformément à la Section 7.2, telles que modifiées par l’Avenant britannique, lequel est intégré par référence au présent Partner DPA, étant entendu que : (a) les tables 1 à 3 de l’Avenant britannique sont complétées par les informations figurant à la Section 7.2 et aux Annexes 1 et 2 du présent Partner DPA ; et (b) s’agissant de la table 4, aucune des parties ne peut résilier l’Avenant britannique en vertu de la Section 19 de celui-ci.

   4. Transferts depuis la Suisse. Dans la mesure où un Transfert restreint est soumis à la LPD, les CCT s’appliquent conformément à la Section 7.2, sous réserve des modifications suivantes : (a) les références au RGPD s’entendent comme des références à la LPD ; (b) les références à l’« UE », à l’« Union » et à l’« État membre » incluent la Suisse, et le terme « État membre » n’empêche pas les personnes concernées en Suisse d’introduire des réclamations dans leur lieu de résidence habituelle ; et (c) l’autorité de contrôle compétente est le Préposé fédéral à la protection des données et à la transparence.

   5. Mécanismes de transfert alternatifs. Une partie peut, au lieu des CCT, s’appuyer sur une décision d’adéquation, sur l’EU-U.S. Data Privacy Framework et ses extensions britannique et suisse (lorsque cette partie est certifiée), ou sur tout autre mécanisme de transfert reconnu par les Lois sur la protection des données. Si un mécanisme de transfert invoqué en vertu de la présente Section 7 est invalidé ou cesse d’être disponible, les parties coopèrent de bonne foi afin de mettre en œuvre un autre mécanisme de transfert licite, et Anysphere peut, à cette fin, mettre à jour le présent Partner DPA en vertu de la Section 11.2.

   6. Autres juridictions. Lorsque les Lois sur la protection des données de toute autre juridiction exigent des clauses contractuelles spécifiques pour le transfert de Données à caractère personnel du Programme hors de cette juridiction, les parties conviennent que le présent Partner DPA (y compris, lorsque cela est autorisé, les CCT adaptées à cette juridiction) constitue ces clauses, et chaque partie conclut toutes conditions de transfert supplémentaires qu’Anysphere met raisonnablement à disposition sur le Portail partenaires afin de satisfaire à ces exigences.

   7. Conflit. En cas de conflit entre le présent Partner DPA et les CCT (y compris telles que modifiées par l’Avenant britannique ou la Section 7.4), les CCT prévalent dans la mesure de ce conflit.

8. Accords avec les sous-traitants.

   1. Application. La présente Section 8 s’applique uniquement lorsque les parties conviennent expressément, dans un Avenant, dans les Règles du programme ou dans tout autre écrit, que l’une des parties (la « Partie chargée du traitement ») traitera des Données à caractère personnel du programme pour le compte de l’autre partie (la « Partie donneuse d’instructions ») et sur ses instructions documentées, par exemple lorsque le Partenaire collecte des inscriptions pour le compte d’Anysphere dans le cadre d’un événement organisé par Anysphere. Pour ce traitement, la Partie donneuse d’instructions est le responsable du traitement et la Partie chargée du traitement est son sous-traitant (et, le cas échéant, son prestataire de services ou contractant au sens des Lois des États américains sur la protection de la vie privée), et les Sections 3.1 et 5.1 ne s’appliquent pas à ce traitement.

   2. Obligations du sous-traitant. La Partie chargée du traitement s’engage à :

      1. ne traiter les Données à caractère personnel du programme que sur instructions documentées de la Partie donneuse d’instructions, y compris en ce qui concerne les transferts, sauf si le droit applicable en dispose autrement (auquel cas elle en informe la Partie donneuse d’instructions avant le traitement, sauf si la loi l’interdit), et informer sans délai la Partie donneuse d’instructions si, selon elle, une instruction constitue une violation des Lois sur la protection des données ;

      2. veiller à ce que les personnes autorisées à traiter les Données à caractère personnel du programme soient soumises à des obligations de confidentialité ;

      3. mettre en œuvre les mesures décrites à l’Annexe 2 ainsi que toute autre mesure requise par l’article 32 du RGPD, le cas échéant ;

      4. ne pas recourir à un autre sous-traitant sans l’autorisation écrite générale de la Partie donneuse d’instructions, laquelle est accordée pour les sous-traitants identifiés par la Partie chargée du traitement lors de la conclusion de l’accord ; informer la Partie donneuse d’instructions, moyennant un préavis d’au moins trente (30) jours (qu’Anysphere peut donner via le Portail partenaires ou sa page relative aux sous-traitants ultérieurs), de tout ajout ou remplacement envisagé, période durant laquelle la Partie donneuse d’instructions peut s’y opposer pour des motifs raisonnables liés à la protection des données ; imposer à chaque sous-traitant des conditions écrites offrant au moins le même niveau de protection que la présente Section 8 ; et demeurer responsable de l’exécution des obligations de chaque sous-traitant ;

      5. compte tenu de la nature du traitement, aider la Partie donneuse d’instructions, par des mesures appropriées, à répondre aux demandes des personnes concernées et à respecter ses obligations relatives à la sécurité, à la notification des Violations de données à caractère personnel, aux analyses d’impact relatives à la protection des données et à la consultation préalable des autorités de contrôle ;

      6. notifier à la Partie donneuse d’instructions, dans les meilleurs délais et en tout état de cause dans un délai de quarante-huit (48) heures après en avoir pris connaissance, toute Violation de données à caractère personnel affectant les Données à caractère personnel du programme qu’elle traite pour le compte de la Partie donneuse d’instructions ;

      7. au choix de la Partie donneuse d’instructions, supprimer ou restituer les Données à caractère personnel du programme au terme du traitement et supprimer les copies existantes, sauf si le droit applicable en exige la conservation ;

      8. mettre à la disposition de la Partie donneuse d’instructions les informations raisonnablement nécessaires pour démontrer le respect de la présente Section 8, et permettre la réalisation d’audits, y compris d’inspections, par la Partie donneuse d’instructions ou par un auditeur indépendant qu’elle mandate, et y contribuer, au maximum une fois par période de douze (12) mois (sauf à la suite d’une Violation de données à caractère personnel ou lorsqu’une autorité de contrôle l’exige), moyennant un préavis d’au moins trente (30) jours, sous réserve d’obligations de confidentialité raisonnables et aux frais de la Partie donneuse d’instructions, étant entendu que la Partie chargée du traitement peut, à la place, fournir des certifications indépendantes ou des rapports d’audit à jour lorsqu’ils couvrent raisonnablement le périmètre de l’audit ; et

      9. lorsque les Lois des États américains sur la protection de la vie privée s’appliquent : ne pas vendre ni partager les Données à caractère personnel du programme ; ne pas les conserver, les utiliser ou les divulguer à des fins autres que les finalités commerciales spécifiées par la Partie donneuse d’instructions, ni en dehors de la relation commerciale directe entre les parties ; ne pas les combiner avec des Données à caractère personnel reçues d’autres sources, sauf dans la mesure permise par les Lois des États américains sur la protection de la vie privée ; se conformer aux Lois des États américains sur la protection de la vie privée et assurer le niveau de protection de la vie privée qu’elles exigent ; informer la Partie donneuse d’instructions si elle n’est plus en mesure de respecter ses obligations ; et permettre à la Partie donneuse d’instructions de prendre des mesures raisonnables et appropriées pour faire cesser et corriger toute utilisation non autorisée.

9. Responsabilité et recours.

   1. Responsabilité. La responsabilité de chaque partie découlant du présent Partner DPA ou s’y rapportant, y compris au titre des SCC dans les relations entre les parties, est soumise à la Section 17 (Limitation de responsabilité) du Contrat de Partenaire, y compris aux dispositions relatives aux Réclamations exclues, telle que modifiée par tout Avenant applicable. Aucune disposition du présent Partner DPA ne limite la responsabilité de l’une ou l’autre des parties envers les personnes concernées au titre des SCC, ni toute responsabilité qui ne peut être limitée en vertu du droit applicable.

   2. Indemnisation. Toute violation du présent Partner DPA par le Partenaire constitue une violation du Contrat de Partenaire aux fins de la Section 16.1 (Indemnisation par le Partenaire) du Contrat de Partenaire.

   3. Suspension. Si le Partenaire enfreint le présent Partner DPA, ou si Anysphere estime raisonnablement que continuer à communiquer des Données à caractère personnel du Programme au Partenaire contreviendrait aux Lois sur la protection des données, Anysphere peut, sans engager sa responsabilité, suspendre la communication des Données fournies par Anysphere au Partenaire ainsi que la capacité du Partenaire à soumettre des Données à caractère personnel du Programme, sans préjudice des droits dont elle dispose au titre de la Section 18 (Durée et résiliation) du Contrat de Partenaire.

10. Vérification de la conformité.

    1. Partenaire. Sur demande écrite raisonnable d’Anysphere, au plus une fois par période de douze (12) mois (sauf à la suite d’une Violation de données à caractère personnel, à la demande d’une autorité de contrôle ou lorsqu’Anysphere a des motifs raisonnables de soupçonner une non-conformité), le Partenaire remplit un questionnaire écrit raisonnable portant sur la confidentialité et la sécurité, et fournit une documentation justificative raisonnable attestant de sa conformité au présent DPA Partenaire. Les droits d’Anysphere au titre de la Section 20.5 (Registres) du Contrat de partenariat s’étendent à la conformité du Partenaire au présent DPA Partenaire.

    2. Anysphere. Anysphere met à disposition des informations sur son programme de sécurité, y compris son rapport SOC 2 Type II, via son Centre de confiance accessible à l’adresse https://trust.cursor.com (ou à toute autre URL qu’Anysphere pourra désigner, le cas échéant, par notification au Partenaire), et répond aux questions écrites raisonnables du Partenaire concernant le traitement qu’elle effectue des Données fournies par le Partenaire.

11. Durée, mises à jour et dispositions générales.

    1. Durée. Le présent DPA Partenaire prend effet à la première des dates suivantes : (a) la date à laquelle le Partenaire accepte le présent DPA Partenaire (y compris en acceptant le Contrat Partenaire) via le Portail partenaires ; ou (b) la date de la première participation du Partenaire au Programme partenaires, telle qu’autorisée par Anysphere, après que le présent DPA Partenaire lui a été présenté ou que l’accès à celui-ci lui a été donné. Il demeure en vigueur aussi longtemps que l’une ou l’autre des parties traite des Données à caractère personnel du Programme reçues de l’autre partie. Les Sections 5.8, 9 et 11 survivent à l’expiration ou à la résiliation du présent DPA Partenaire ou du Contrat Partenaire, quelle qu’en soit la cause.

    2. Mises à jour. Anysphere peut mettre à jour le présent DPA Partenaire conformément à la Section 20.4 (Modifications et mises à jour du programme) du Contrat Partenaire, en publiant le DPA Partenaire mis à jour sur le Portail partenaires ou à l’URL applicable. Les mises à jour requises pour se conformer aux Lois sur la protection des données, ou aux orientations ou décisions d’une autorité de contrôle, peuvent prendre effet dès leur publication ou selon toute autre modalité prévue par la loi. Aucune mise à jour ne modifiera les CCT ni l’Addendum britannique, sauf pour adopter une version modifiée ou de remplacement publiée par l’autorité compétente.

    3. Ordre de priorité. Le présent DPA Partenaire constitue l’une des Annexes du Contrat Partenaire. Sauf disposition contraire du présent DPA Partenaire, le Contrat Partenaire demeure inchangé et pleinement en vigueur. En ce qui concerne le traitement des Données à caractère personnel du Programme, en cas de conflit, l’ordre de priorité suivant s’applique dans la limite de ce conflit : (a) les CCT, dans la mesure où elles s’appliquent ; (b) le présent DPA Partenaire ; (c) le Contrat Partenaire et toute autre Annexe ; et (d) les Règles du programme.

    4. Droit applicable et litiges. Sauf exigence contraire des CCT ou des Lois sur la protection des données, le présent DPA Partenaire est régi par le droit désigné à la Section 19 (Règlement des litiges) du Contrat Partenaire, et les litiges qui en découlent seront réglés selon les modalités prévues à cette même Section.

    5. Sociétés affiliées. Lorsque des Sociétés affiliées du Partenaire participent au Programme partenaires en vertu de la Section 2.3 du Contrat Partenaire, le Partenaire accepte le présent DPA Partenaire en leur nom, veille à ce qu’elles le respectent et demeure responsable de leur conformité. Les Sociétés affiliées d’Anysphere qui traitent des Données fournies par le Partenaire peuvent se prévaloir du présent DPA Partenaire et le faire respecter en tant que tiers bénéficiaires exprès, en sus des droits des tiers bénéficiaires prévus à la Section 20.6 (Tiers bénéficiaires) du Contrat Partenaire.

    6. Contacts en matière de confidentialité. Le Partenaire désigne un contact en matière de confidentialité dans le Portail partenaires ; à défaut, Anysphere peut adresser les notifications prévues par le présent DPA Partenaire à l’Administrateur du Portail partenaires du Partenaire. Le contact d’Anysphere en matière de confidentialité est legal@cursor.com, ou toutes autres coordonnées qu’Anysphere pourra désigner, le cas échéant, via le Portail partenaires ou par e-mail adressé au contact en matière de confidentialité désigné par le Partenaire.

    7. Absence d’autres tiers bénéficiaires. Sous réserve de la Section 11.5 et des droits conférés aux personnes concernées par les CCT, le présent DPA Partenaire ne crée aucun droit au profit d’un tiers.

ANNEXE 1 – Description du traitement

La présente Annexe 1 constitue également l’Annexe I des CCT lorsque les CCT s’appliquent en vertu de la Section 7.

Partie A – Liste des parties

Partie B – Traitement par activité du Programme partenaires

Partie C – Autres détails du traitement

Finalités du traitement : Telles que décrites à la Section 5.1.

Nature du traitement : Collecte, enregistrement, organisation, structuration, conservation, extraction, consultation, utilisation, analyse (y compris l’examen automatisé et assisté par l’IA en vertu de la Section 5.9), communication par transmission, rapprochement ou interconnexion, limitation, effacement et destruction.

Données sensibles : Les parties n’ont pas l’intention d’échanger de Données sensibles autres que (a) les Données de contrôle de conformité, qui peuvent inclure des informations relatives à l’affiliation au secteur public et à des infractions présumées, et (b) les identifiants de paiement et fiscaux. Garde-fous : limitation des finalités, restriction des accès selon le principe du besoin d’en connaître, chiffrement en transit et au repos, et durée de conservation limitée, comme décrit aux Sections 4.4 et 5.8.

Fréquence du transfert : Continue, pendant toute la durée du Contrat de partenariat.

Durée de conservation : Telle que décrite à la Section 5.8.

Destinataires et transferts ultérieurs : Tels que décrits à la Section 5.4.

Autorité de contrôle compétente : Telle que décrite à la Section 7.2(e) pour les transferts depuis l’EEE ; l’Information Commissioner du Royaume-Uni pour les transferts depuis le Royaume-Uni ; et le Préposé fédéral à la protection des données et à la transparence pour les transferts depuis la Suisse.

ANNEXE 2 – Mesures de sécurité minimales

La présente Annexe 2 constitue également l’Annexe II des CCT lorsque les CCT s’appliquent en vertu de la Section 7. Chaque partie doit maintenir au minimum les mesures suivantes pour les Données à caractère personnel du Programme en sa possession, sous sa garde ou sous son contrôle :

1. Gouvernance. Un programme écrit de sécurité de l’information, assorti d’une personne responsable désignée, ainsi que des politiques de sécurité et de confidentialité revues au moins une fois par an.

2. Contrôle d’accès. Accès basé sur les rôles selon le principe du moindre privilège, identifiants utilisateur uniques, authentification multifacteur pour les systèmes qui stockent des Données à caractère personnel du Programme (y compris les comptes du Portail partenaires, lorsque cette option est disponible), et retrait des accès dans les meilleurs délais, et en tout état de cause dans un délai de cinq (5) jours ouvrés, lorsqu’une personne change de rôle ou quitte l’organisation.

3. Personnel. Obligations de confidentialité pour l’ensemble du personnel disposant d’un accès, vérification des antécédents lorsque la loi le permet et que le rôle le justifie, et formation à la sécurité et à la confidentialité au moins une fois par an.

4. Chiffrement. Chiffrement des Données à caractère personnel du Programme en transit au moyen de TLS 1.2 ou d’une version ultérieure, et au repos au moyen d’un chiffrement conforme aux normes du secteur.

5. Sécurité des points de terminaison et du réseau. Appareils gérés dotés d’une protection des points de terminaison, application rapide des correctifs de sécurité, et contrôles réseau tels que pare-feu et détection d’intrusion.

6. Journalisation et surveillance. Journalisation des accès aux systèmes qui stockent des Données à caractère personnel du Programme, et surveillance conçue pour détecter les accès non autorisés.

7. Gestion des vulnérabilités. Analyses régulières des vulnérabilités et remédiation rapide des vulnérabilités identifiées en fonction de leur gravité.

8. Gestion des sous-traitants. Vérifications préalables en matière de sécurité et de confidentialité des sous-traitants avant leur engagement, et protections contractuelles écrites conformes au présent DPA Partenaire.

9. Réponse aux incidents. Un plan de réponse aux incidents documenté et testé périodiquement, permettant à la partie de respecter les délais de notification prévus par le présent DPA Partenaire.

10. Continuité des activités. Procédures de sauvegarde et de restauration adaptées au risque.

11. Minimisation et élimination. Collecte limitée au strict nécessaire, et suppression sécurisée ou anonymisation des Données à caractère personnel du Programme lorsqu’elles ne sont plus nécessaires.

12. Outils approuvés. Traitement des Données à caractère personnel du Programme uniquement dans des systèmes professionnels approuvés, et non dans des comptes de messagerie personnels, des appareils personnels dépourvus de contrôles appropriés ou des outils d’IA non approuvés.

En outre, Anysphere maintient les mesures techniques et organisationnelles décrites dans son rapport SOC 2 Type II et dans son Centre de confiance à l’adresse https://trust.cursor.com (ou à toute autre URL qu’Anysphere pourra désigner ponctuellement par notification au Partenaire).