Addendum sur le traitement des données Perplexity

Dernière mise à jour : 8 juillet 2025

Cet Addendum sur le traitement des données (« DPA ») fait partie intégrante de certaines conditions d'utilisation et autres accords qui y font expressément référence entre Perplexity AI, Inc. (« Perplexity ») et les clients professionnels (« Client »), y compris, sans limitation, les Conditions d'utilisation de Perplexity Pro for Enterprise et les Conditions d'utilisation de l'API Perplexity, régissant l'utilisation par le Client des services de Perplexity (les « Services », et ces conditions d'utilisation ou autre accord pertinent, l'« Accord »). Dans la mesure où Perplexity traite des données personnelles dans le cadre de l'utilisation des Services par le Client, cet DPA définit les instructions du Client pour le traitement de ces données personnelles ainsi que les droits et obligations des deux Parties. Sauf disposition expresse contraire du présent DPA, l'Accord demeure inchangé et en vigueur. En cas de conflit entre le présent DPA et l'Accord, le DPA prévaudra.

Définitions. Aux fins du présent DPA, les termes suivants ont les significations indiquées ci-dessous. Les termes en majuscules utilisés mais non définis dans le présent DPA ont la signification donnée dans les Conditions générales de Perplexity Pro for Enterprise. Tous les autres termes en majuscules dans ce DPA non définis par ailleurs dans l'Accord ont la signification correspondante qui leur est donnée dans les lois sur la protection de la vie privée.

« Clauses Responsable du traitement à Sous-traitant » désigne (i) en ce qui concerne les transferts de données personnelles soumis au RGPD, les clauses contractuelles types pour le transfert de données personnelles vers des pays tiers énoncées dans la décision 2021/914 de la Commission du 4 juin 2021, incluant spécifiquement le module 2 (Responsable du traitement à Sous-traitant) (« SCC UE ») ; et (ii) en ce qui concerne les transferts de données personnelles soumis au RGPD britannique, l'Addendum relatif au transfert international de données aux clauses contractuelles types de la Commission européenne (version B.1.0) émis par le Commissaire à l'information du Royaume-Uni (« Addendum britannique »), dans chaque cas tel que modifié, mis à jour ou remplacé de temps à autre.

« Lois sur la vie privée UE/UK » signifie, le cas échéant : (i) le Règlement général sur la protection des données 2016/679 (le « RGPD ») ; (ii) la directive 2002/58/CE concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ; (iii) le UK Data Protection Act 2018, le Règlement général sur la protection des données du Royaume-Uni tel que défini par le UK Data Protection Act 2018 tel que modifié par les règlements de 2019 sur la protection des données, la vie privée et les communications électroniques (modifications, etc.) (sortie de l'UE) (conjointement avec le UK Data Protection Act 2018, le « RGPD britannique »), et le règlement de 2003 sur la protection des données, la vie privée et les communications électroniques ; et (iv) toute loi, directive, arrêté, règle, règlement ou autre instrument contraignant pertinent qui met en œuvre l'un des éléments ci-dessus, dans chaque cas, tel qu'applicable et en vigueur de temps à autre, et tel que modifié, consolidé, réadopté ou remplacé de temps à autre.

« Données personnelles » désigne toute information que Perplexity traite pour le compte du Client afin de fournir les Services qui est définie comme « données personnelles », « informations personnelles » ou « informations personnellement identifiables » en vertu de toute loi sur la protection de la vie privée.

« Lois sur la protection de la vie privée » signifie, le cas échéant, les lois sur la vie privée UE/UK, les lois sur la vie privée américaines et toute loi similaire de toute autre juridiction qui concerne la protection des données, la vie privée ou l'utilisation des données personnelles et exige que les Responsables du traitement et les Sous-traitants conviennent d'engagements contractuels spécifiques concernant le traitement des données personnelles, dans chaque cas, tel qu'applicable et en vigueur de temps à autre, et tel que modifié, consolidé, réadopté ou remplacé de temps à autre.

« Clauses Sous-traitant à Sous-traitant » désigne (i) en ce qui concerne les transferts de données personnelles soumis au RGPD, les clauses contractuelles types pour le transfert de données personnelles vers des pays tiers énoncées dans la décision 2021/914 de la Commission du 4 juin 2021, incluant spécifiquement le module 3 (Sous-traitant à Sous-traitant) ; et (ii) en ce qui concerne les transferts de données personnelles soumis au RGPD britannique, l'Addendum relatif au transfert international de données aux clauses contractuelles types de la Commission européenne (version B.1.0) émis par le Commissaire à l'information du Royaume-Uni, dans chaque cas tel que modifié, mis à jour ou remplacé de temps à autre.

« Pays tiers » désigne tout pays ou territoire situé en dehors du champ d'application des lois sur la protection des données de l'Espace économique européen ou du Royaume-Uni, le cas échéant, à l'exclusion des pays ou territoires approuvés comme offrant une protection adéquate aux données personnelles par l'autorité compétente pertinente de temps à autre.

« Lois américaines sur la vie privée » désigne, le cas échéant, le California Consumer Privacy Act, le Colorado Privacy Act, le Connecticut Data Privacy Act, l'Utah Consumer Privacy Act, le Virginia Consumer Data Protection Act, toute loi similaire de tout autre État relative au traitement des données personnelles, et tout règlement promulgué en vertu de l'un des précédents, dans chaque cas, tel qu'applicable et en vigueur de temps à autre, et tel que modifié, consolidé, réadopté ou remplacé de temps à autre.

Les termes « Business », « Responsable du traitement », « Sous-traitant », « Vente », « Prestataire de services » et « Partage » ont la signification qui leur est donnée en vertu des lois applicables sur la vie privée.

Rôles des Parties. Les Parties reconnaissent qu'en ce qui concerne toute donnée personnelle reçue du Client dans le cadre de la fourniture des Services, aux fins des lois sur la protection de la vie privée, le Client est le Responsable du traitement ou le Sous-traitant ou le Business et Perplexity est le Prestataire de services ou le Sous-traitant.

Obligations du Client : Le Client doit se conformer à toutes les lois sur la protection de la vie privée lors de la fourniture de données personnelles à Perplexity dans le cadre de son utilisation des Services, y compris l'utilisation de toute intégration avec les Services. Le Client déclare et garantit que (a) toutes les données personnelles ont été collectées et à tout moment traitées et conservées par ou pour le compte du Client conformément à toutes les lois sur la protection de la vie privée, y compris en ce qui concerne toute obligation de notifier et/ou d'obtenir le consentement des individus et (b) le Client s'est conformé aux lois sur la protection de la vie privée (y compris en ayant une base légale), et dispose par ailleurs de tous les droits, autorisations, consentements et autorisations nécessaires pour divulguer les données personnelles à Perplexity et permettre à Perplexity de traiter les données personnelles comme indiqué dans l'Accord et le présent DPA. Le Client ne doit prendre aucune mesure qui rendrait la fourniture de données personnelles à Perplexity en vertu des présentes une Vente ou un Partage en vertu des lois américaines sur la vie privée ou qui rendrait Perplexity autre qu'un Prestataire de services ou un Sous-traitant en vertu des lois américaines sur la vie privée. Le Client doit notifier Perplexity sans retard injustifié si le Client détermine que le traitement des données personnelles dans le cadre de l'Accord ne respecte pas ou ne respectera pas les lois sur la protection de la vie privée, auquel cas Perplexity ne sera pas tenue de continuer à traiter ces données personnelles.

Traitement des données personnelles. Les Parties conviennent que les détails du traitement sont tels que décrits dans l'Annexe 1. Lors du traitement des données personnelles dans le cadre de l'Accord, Perplexity doit :

traiter les données personnelles uniquement sur instructions documentées du Client, aux fins limitées et spécifiques décrites dans l'Annexe 1, sauf autorisation contraire de traiter ces données personnelles par les lois applicables sur la vie privée, et à tout moment en conformité avec les lois sur la protection de la vie privée et les termes de ce DPA, en fournissant le même niveau de protection de la vie privée que celui requis par les lois sur la protection de la vie privée ;

notifier le Client rapidement si : (i) elle détermine qu'elle ne peut plus se conformer aux instructions du Client pour le traitement des données personnelles, à ses obligations en vertu des lois sur la protection de la vie privée ou aux termes du présent DPA ou (ii) elle estime que l'instruction du Client enfreint les lois applicables sur la vie privée ;

dans la mesure requise par les lois sur la protection de la vie privée, accorder au Client le droit de prendre des mesures raisonnables et appropriées pour aider à garantir que Perplexity utilise les données personnelles d'une manière conforme aux obligations du Client en vertu du présent DPA et des lois sur la protection de la vie privée, et arrêter et remédier à toute utilisation non autorisée des données personnelles ; et

exiger que chaque employé ou autre personne traitant des données personnelles soit soumis à un devoir de confidentialité approprié concernant ces données personnelles.

Interdictions. Dans la mesure requise par les lois sur la protection de la vie privée, Perplexity ne doit pas (a) Vendre ou Partager des données personnelles, (b) conserver, utiliser ou divulguer les données personnelles en dehors de la relation commerciale directe entre Perplexity et le Client et à toute autre fin que celle spécifique de fournir les Services au Client ou (c) combiner les données personnelles reçues du, ou pour le compte du, Client avec toute donnée personnelle pouvant être collectée à partir des interactions distinctes de Perplexity avec la ou les personnes auxquelles les données personnelles se rapportent ou à partir de toute autre source. Pour éviter toute ambiguïté, les données personnelles ne seront pas utilisées pour l'entraînement des grands modèles de langage de Perplexity. Si Perplexity reçoit (i) toute demande légalement contraignante de divulgation de données personnelles par une autorité répressive ; ou (ii) tout avis, enquête ou investigations concernant les données personnelles de la part de toute autorité de contrôle/régulateur (ou similaire) ; ou (iii) toute plainte ou demande de la part d'une personne concernée, dans chaque cas lié au traitement des données personnelles par Perplexity pour ou au nom du Client en vertu de ce DPA, alors (dans la mesure permise par la loi) Perplexity doit notifier le Client.

Utilisation de sous-traitants.

Le Client accorde par la présente à Perplexity une autorisation générale écrite d'engager les sous-traitants indiqués dans l'Annexe 2, sous réserve des exigences de la présente Section 6.

Si Perplexity désigne un nouveau sous-traitant ou a l'intention d'apporter des modifications concernant l'ajout ou le remplacement de tout sous-traitant qui n'est pas un Fournisseur de modèle (tel que défini ci-dessous), elle doit fournir au Client un préavis écrit de dix jours ouvrables (un e-mail suffit), au cours duquel le Client peut s'opposer à la désignation ou au remplacement pour des motifs raisonnables et documentés liés à la confidentialité ou à la sécurité des données personnelles ou à la conformité du sous-traitant avec les lois sur la protection de la vie privée (et si le Client ne s'y oppose pas, Perplexity peut procéder à la désignation ou au remplacement). Si le Client s'y oppose dans les cinq jours, le Client et Perplexity travailleront ensemble de bonne foi pour convenir d'une résolution à l'objection (par exemple, restreindre l'utilisation des données personnelles ou que le Client cesse temporairement ou définitivement d'utiliser un aspect ou une fonctionnalité particulier des Services). Si malgré ces discussions de bonne foi, une résolution ne peut être trouvée, alors le Client (en tant que seul recours) peut résilier l'Accord et recevoir un remboursement de tous les Frais prépayés non utilisés (tels que définis dans l'Accord).

Si Perplexity désigne un nouveau sous-traitant ou a l'intention d'apporter des modifications concernant l'ajout ou le remplacement de tout sous-traitant qui fournit des grands modèles de langage ou d'autres modèles d'intelligence artificielle générative (un « Fournisseur de modèle »), Perplexity notifiera le Client (un e-mail suffit) et mettra à jour la liste des « Fournisseurs tiers » figurant sur www.perplexity.ai/hub/legal/third-party-models (chacun étant, pour plus de clarté, un Fournisseur de modèle en vertu de ce DPA). Si le Client s'oppose à la désignation ou au remplacement, le seul recours du Client est de (et le Client doit) cesser toute utilisation du Modèle tiers concerné via les Services (ce que, pour plus de clarté, le Client peut faire à tout moment après la désignation ou le remplacement).

Perplexity doit engager des sous-traitants uniquement en vertu d'un accord écrit qui contient des obligations pour le sous-traitant qui ne sont pas moins onéreuses pour le sous-traitant concerné que les obligations pesant sur Perplexity en vertu du présent DPA.

Dans le cas où Perplexity engage un sous-traitant pour mener des activités de traitement spécifiques pour le compte du Client conformément aux lois sur la vie privée UE/UK, lorsque ce sous-traitant ne remplit pas ses obligations, Perplexity restera pleinement responsable envers le Client, en vertu des lois applicables sur la vie privée UE/UK, de l'exécution des obligations de ce sous-traitant.

Assistance. Perplexity doit, en relation avec le traitement des données personnelles et pour permettre au Client de se conformer à ses obligations découlant de ce fait, fournir une assistance au Client en :

notifiant au Client les demandes des individus conformément à leurs droits en vertu des lois sur la protection de la vie privée, y compris en fournissant, supprimant ou corrigeant les données personnelles pertinentes, ou en permettant au Client de faire de même, dans la mesure du possible ;

dans la mesure requise par les lois sur la protection de la vie privée, menant des analyses d'impact sur la protection des données et, si nécessaire, une consultation préalable avec les autorités compétentes concernées ; et

notifiant au Client tout accès, destruction, utilisation, perte, modification ou divulgation non autorisé ou illégal de données personnelles (« Violation de données personnelles ») sans retard injustifié après que Perplexity a pris connaissance d'une telle Violation de données personnelles.

Mesures de sécurité. Perplexity doit, en tenant compte de l'état de la technique, des coûts de mise en œuvre et de la nature, de la portée, du contexte et de la finalité du traitement, mettre en œuvre des mesures techniques, physiques et organisationnelles appropriées conçues pour fournir un niveau de sécurité approprié au risque, comme indiqué dans l'Annexe 3, ou convenu et documenté par ailleurs entre le Client et Perplexity de temps à autre, et continuera à s'y conformer pendant la durée de l'Accord. Perplexity fournira une formation sur la protection des données et la sécurité aux employés et autres personnes autorisées à accéder aux données personnelles.

Accès et Audits. Sur demande écrite raisonnable du Client et dans la mesure où Perplexity est tenue par les lois sur la protection de la vie privée, Perplexity permettra et contribuera aux inspections et audits concernant la conformité de Perplexity avec ses obligations en vertu du présent DPA et des lois sur la protection de la vie privée en fournissant, à la demande du Client, au Client les informations en possession de Perplexity raisonnablement nécessaires pour démontrer cette conformité et/ou en organisant pour un auditeur qualifié et indépendant la conduite d'une évaluation des politiques et des mesures techniques et organisationnelles de Perplexity pour cette conformité, en utilisant une norme ou un cadre de contrôle approprié et accepté ainsi qu'une procédure d'évaluation pour ces évaluations. Perplexity fournira un rapport de cette évaluation au Client sur demande raisonnable. Le Client sera autorisé à demander ces informations et/ou cet audit (dans la mesure requise par les lois sur la protection de la vie privée) pas plus d'une fois tous les 12 mois, avec un préavis écrit de 30 jours à Perplexity, et seulement après que les Parties soient convenues de la portée de l'audit et à condition que l'auditeur soit lié par un devoir de confidentialité. Nonobstant ce qui précède, en aucun cas le Fournisseur ne sera tenu de donner au Client accès à des informations, installations ou systèmes dans la mesure où cela amènerait le Fournisseur à violer des obligations de confidentialité dues à d'autres clients ou ses obligations légales.

Suppression des données personnelles. Perplexity supprimera (ou, au choix du Client, renverra) toutes les données personnelles dans les trente jours suivant la fin de la fourniture des Services au Client, sauf si la conservation des données personnelles est requise par la loi, auquel cas Perplexity notifiera le Client sans retard injustifié de cette exigence légale et supprimera (ou, au choix du Client, renverra) les données personnelles à l'expiration de cette obligation de conservation.

Transferts de données. Dans la mesure où Perplexity traite des données personnelles soumises aux lois sur la protection de la vie privée UE/UK dans un Pays tiers, et qu'elle agit en tant qu'importateur de données, Perplexity doit se conformer aux obligations de l'importateur de données énoncées dans les Clauses Responsable du traitement à Sous-traitant ou les Clauses Sous-traitant à Sous-traitant (le cas échéant), qui sont par la présente incorporées et font partie intégrante du présent DPA, et :

aux fins de l'Annexe I ou de la Partie 1 (le cas échéant), (i) le Client est un responsable du traitement ou un sous-traitant (le cas échéant) et Perplexity est un sous-traitant, et (ii) les détails des parties, de la personne de contact et du traitement énoncés dans l'Accord, le présent DPA et l'Annexe 1 s'appliqueront et la Date de début est la date d'effet de l'Accord ;

le cas échéant, aux fins de la Partie 1 de l'Addendum britannique, les SCC UE de l'Addendum pertinentes (telles que ce terme est défini dans l'Addendum britannique) sont les SCC UE telles qu'incorporées dans le présent DPA en vertu de cette Section 11 ;

aux fins de l'Annexe II ou de la Partie 1 (le cas échéant), les mesures de sécurité techniques et organisationnelles, et les mesures techniques et organisationnelles prises par Perplexity pour aider le Client, telles qu'énoncées dans l'Annexe 3, s'appliqueront ;

le cas échéant, aux fins de l'Annexe III ou de la Partie 1 (le cas échéant), la liste des sous-traitants autorisés figurant dans l'Annexe 2 s'appliquera ; et

le cas échéant, aux fins de : (i) la Clause 9, l'Option 2 (« Autorisation générale écrite ») est réputée sélectionnée et il est fait référence aux Sections 6.b et 6.c concernant les délais de préavis ; (ii) la Clause 11(a), le libellé optionnel relatif à la résolution indépendante des litiges est réputé inclus ; (iii) la Clause 13 et l'Annexe I.C, l'autorité de contrôle compétente sera le régulateur irlandais ; (iv) les Clauses 17 et 18, l'Option 1 est réputée sélectionnée et la loi applicable ainsi que les tribunaux compétents seront respectivement le droit irlandais et les tribunaux irlandais ; et (v) la Partie 1, le Client en tant qu'exportateur peut résilier l'Addendum britannique conformément à la Section 19 dudit Addendum britannique.

Dans la mesure où Perplexity désigne une société affiliée ou un sous-traitant tiers pour traiter les données personnelles dans un Pays tiers, Perplexity doit exécuter les Clauses Sous-traitant à Sous-traitant avec tout sous-traitant pertinent (y compris les sociétés affiliées) qu'elle désigne pour le compte du Client. À la demande du Client, Perplexity conclura séparément les Clauses Responsable du traitement à Sous-traitant avec le Client et prendra toute autre mesure alternative ou supplémentaire raisonnablement demandée par le Client afin de garantir que le traitement des données personnelles par Perplexity a lieu conformément aux exigences des lois sur la protection de la vie privée.

Responsabilité. Sous réserve de la clause 12 des CCT de l'UE et de toute loi applicable ne pouvant être limitée par contrat, la responsabilité globale totale de chaque partie découlant de ou liée au présent APD, aux CCT de l'UE et à l'avenant britannique, qu'elle relève du contrat, de la responsabilité délictuelle ou autre, est soumise aux exclusions et limitations de responsabilité énoncées dans l'Accord, et toute responsabilité au titre du présent APD, des CCT de l'UE ou de l'avenant britannique s'impute sur cette limite et ne l'augmente pas. Rien dans la présente section ne limite la responsabilité de l'une ou l'autre des parties envers une personne concernée en vertu de la clause 12(b) ou 12(c) des CCT de l'UE, ni aucune responsabilité qui ne peut être limitée en vertu de la loi applicable en matière de protection des données.

ANNEXE 1

Détails du traitement :

Nature du traitement

La fourniture des Services au Client tels qu'énoncés dans l'Accord.

Finalité(s) du traitement

La fourniture des Services au Client tels qu'énoncés dans l'Accord.

Catégories de personnes dont les données personnelles sont traitées

Utilisateurs autorisés des Services, et autrement tel que déterminé par le Client.

Catégories de données personnelles traitées

Informations de compte des Utilisateurs autorisés et informations personnelles contenues dans les Entrées soumises via les Services tel que déterminé par le Client. Toute information personnelle contenue dans les Entrées sera stockée jusqu'à la plus tardive des dates suivantes : (a) la date à laquelle elle est supprimée par le Client via l'interface des Services et (b) la date qui est trente jours après que Perplexity ne fournit plus les Services au Client.

Types de données personnelles faisant l'objet du traitement qui sont considérées comme « sensibles » ou de « catégorie particulière » en vertu des lois sur la protection de la vie privée

Aucune donnée sensible n'est destinée à être traitée à moins qu'un Utilisateur autorisé ne l'inclue de manière inattendue dans une Entrée.

Fréquence (par exemple, ponctuelle ou continue) et durée du traitement

Sur une base continue, pour la durée de l'Accord et toute période de conservation post-résiliation telle qu'énoncée dans l'Accord.

L'objet, la nature et la durée du traitement effectué par tout sous-traitant autorisé conformément à la Section 6 sont tels qu'énoncés dans la présente Annexe 1 et dans l'Annexe 2.

ANNEXE 2

Sous-traitants autorisés :

Tel qu'indiqué sur https://perplexity.coolkeypoint.com/__p/trust.perplexity.ai/subprocessors (la « liste des sous-traitants du Trust Center »).

ANNEXE 3

Mesures de sécurité :

Perplexity maintient des Mesures de sécurité raisonnables proportionnelles au risque présenté par le traitement des données personnelles et s'appuie par ailleurs sur les mesures de sécurité mises en œuvre et maintenues par les sous-traitants indiqués dans l'Annexe 2, y compris Amazon et Microsoft. Veuillez vous référer à l'Accord pour plus de détails sur les engagements de sécurité de Perplexity.