Conditions de Traitement des Données

Dernière mise à jour : 1 juillet 2026

1. À propos des présentes conditions

Les présentes Conditions de Traitement des Données font partie des Conditions-cadres Client conclues entre nuaxia Limited et le Client.

Elles ne s'appliquent que lorsque nuaxia traite des Données à Caractère Personnel du Client :

en qualité de sous-traitant pour le compte du Client ou d'un Client Final ; ou
en qualité de sous-traitant ultérieur lorsque le Client agit lui-même en qualité de sous-traitant.

Les présentes conditions s'appliquent automatiquement à ce traitement, sauf si les parties conviennent expressément par écrit de conditions de traitement des données différentes.

2. Lorsque nuaxia agit en qualité de responsable du traitement

nuaxia agit ordinairement en qualité de responsable du traitement indépendant lorsqu'elle détermine pourquoi les données à caractère personnel sont collectées ou utilisées ainsi que les moyens essentiels de ce traitement.

Cela peut inclure des traitements liés à :

la tenue et le développement des propres bases de données de nuaxia relatives aux professionnels de santé, aux organisations de santé et à d'autres contacts professionnels ;
la vérification de l'identité, des qualifications, des rôles, des lieux de travail et de l'éligibilité professionnels ;
la tenue des profils de Participants et des historiques de relation ;
l'identification et la décision de qui inviter à des enquêtes, des activités de formation et d'autres engagements ;
la gestion des communications et des relations avec les Participants ;
l'administration des comptes de Participants et des indemnités ;
la prévention de la fraude, de la duplication, de l'usage abusif et des incidents de sécurité ;
la tenue des registres de qualité, de conformité et d'activité ;
la gestion des propres site web, alertes, applications et services de nuaxia ; et
le respect des propres obligations légales, réglementaires, de pharmacovigilance et professionnelles de nuaxia.

Les données à caractère personnel traitées par nuaxia en qualité de responsable du traitement indépendant sont régies par l'Avis de Confidentialité de nuaxia et les Lois sur la Protection des Données applicables, et non par les présentes Conditions de Traitement des Données.

Le fait que nuaxia détienne ou traite des informations dans le cadre d'un projet du Client ne détermine pas, à lui seul, si nuaxia est responsable du traitement ou sous-traitant. Chaque activité de traitement sera appréciée selon les rôles réels des parties.

3. Lorsque nuaxia agit en qualité de sous-traitant

nuaxia n'agit en qualité de sous-traitant ou de sous-traitant ultérieur que lorsqu'elle traite des données à caractère personnel pour le compte, et sur instructions documentées, du Client ou d'un Client Final.

Cela peut se produire, par exemple, lorsque :

le Client fournit une liste de contacts destinée à être utilisée uniquement dans le projet du Client ;
nuaxia héberge ou traite des données identifiables contrôlées par le Client ;
le Client fournit des données identifiables à des fins d'analyse, de validation ou de production de rapports ;
nuaxia traite des informations relatives au personnel du Client ou du Client Final pour fournir un service propre au Client ; ou
une agence désigne nuaxia en qualité de sous-traitant ultérieur pour le compte d'un Client Final.

Lorsque nuaxia agit en qualité de sous-traitant pour une activité et en qualité de responsable du traitement indépendant pour une autre, les présentes conditions ne s'appliquent qu'à l'activité de sous-traitance.

4. Définitions

Dans les présentes conditions :

Données à Caractère Personnel du Client désigne les données à caractère personnel traitées par nuaxia en qualité de sous-traitant ou de sous-traitant ultérieur au titre du Contrat.
Elles n'incluent pas les données à caractère personnel pour lesquelles nuaxia agit en qualité de responsable du traitement indépendant.
Lois sur la Protection des Données désigne l'ensemble des lois relatives à la protection des données et à la vie privée applicables au traitement concerné, y compris le RGPD britannique, le Data Protection Act 2018 tel que modifié, le RGPD de l'UE le cas échéant et toute législation les remplaçant ou les complétant.
Violation de Données à Caractère Personnel désigne une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de Données à Caractère Personnel du Client, ou l'accès non autorisé à celles-ci.
Sous-traitant ultérieur désigne une autre organisation désignée par nuaxia pour traiter des Données à Caractère Personnel du Client.
Les termes responsable du traitement, sous-traitant, données à caractère personnel, traitement, personne concernée et catégories particulières de données ont le sens qui leur est donné par les Lois sur la Protection des Données applicables.
Les autres termes commençant par une majuscule ont le sens qui leur est donné dans les Conditions-cadres Client.

5. Description par défaut du traitement

Sauf indication contraire expresse de la Proposition, la description suivante s'applique chaque fois que nuaxia traite des Données à Caractère Personnel du Client en qualité de sous-traitant ou de sous-traitant ultérieur.

5.1 Objet

L'objet du traitement est la fourniture des Services décrits dans la Proposition lorsque ces Services impliquent des Données à Caractère Personnel du Client.

5.2 Durée

Le traitement se poursuivra pendant :

la durée des Services concernés ;
toute période raisonnablement nécessaire pour achever les Services ;
toute période de conservation convenue ; et
le temps raisonnablement nécessaire pour restituer, supprimer ou effacer de manière sécurisée les Données à Caractère Personnel du Client des systèmes de sauvegarde de routine.

5.3 Nature du traitement

Le traitement peut inclure :

la réception et la collecte ;
l'enregistrement et l'organisation ;
le stockage et l'accès ;
l'examen et la validation ;
l'adaptation et la structuration ;
l'analyse et la production de rapports ;
la transmission et la mise à disposition de destinataires autorisés ;
la limitation et la sécurisation ;
la restitution ; et
la suppression ou l'anonymisation des Données à Caractère Personnel du Client.

nuaxia n'effectuera que les opérations de traitement raisonnablement nécessaires pour fournir les Services et respecter les instructions documentées du Client.

5.4 Finalité

La finalité du traitement est de fournir les Services décrits dans la Proposition et de respecter les instructions documentées licites concernant ces Services.

5.5 Types de données à caractère personnel

Les Données à Caractère Personnel du Client peuvent inclure :

les noms et coordonnées ;
les informations d'emploi et professionnelles ;
les intitulés de poste, rôles, qualifications et affiliations organisationnelles ;
les identifiants professionnels ;
les informations d'enquête, d'entretien, de recherche ou de consultation ;
les informations de compte, de portail et d'utilisation des services ;
les informations de correspondance et d'administration de projet ; et
d'autres données à caractère personnel fournies par le Client ou pour son compte pour les Services convenus.

nuaxia ne traitera pas de catégories particulières de données ou de données relatives aux condamnations pénales en qualité de sous-traitant, sauf si ce traitement est expressément convenu dans la Proposition ou dans d'autres instructions documentées.

5.6 Catégories de personnes concernées

Les personnes concernées peuvent inclure :

les employés et représentants du Client et du Client Final ;
les contacts professionnels identifiés ou fournis par le Client ;
les clients, fournisseurs, conseillers ou sous-traitants du Client ou du Client Final ;
les répondants aux enquêtes, recherches ou entretiens dont les informations sont fournies ou contrôlées par le Client ; et
d'autres personnes identifiées dans les Documents du Client.

5.7 Variations

La Proposition ou d'autres instructions écrites de projet convenues peuvent compléter ou modifier cette description par défaut lorsque les Services impliquent un traitement différent ou supplémentaire.

Si aucune variation n'est consignée, la description par défaut figurant dans la présente clause s'applique.

6. Responsabilités et droits du Client

Le Client est responsable de veiller à ce que :

lui-même, ou le Client Final concerné, soit en droit d'agir en qualité de responsable du traitement des Données à Caractère Personnel du Client ;
le traitement ait une base légale ;
toute condition requise pour le traitement de catégories particulières de données ou de données relatives aux condamnations pénales soit satisfaite ;
toutes les informations de confidentialité requises aient été fournies ;
les Données à Caractère Personnel du Client aient été collectées et divulguées licitement ;
ses instructions soient conformes aux Lois sur la Protection des Données ;
les Données à Caractère Personnel du Client soient adéquates, pertinentes et limitées à ce qui est raisonnablement nécessaire ;
les Données à Caractère Personnel du Client soient raisonnablement exactes et à jour ; et
il soit autorisé à émettre des instructions pour le compte de tout Client Final.

Le Client a le droit de :

émettre des instructions documentées licites concernant le traitement ;
recevoir des informations raisonnables démontrant la conformité de nuaxia aux présentes conditions ;
exiger la restitution ou la suppression des Données à Caractère Personnel du Client lorsque les Services concernés prennent fin ; et
exercer les droits d'audit énoncés ci-dessous.

Lorsque le Client agit pour un Client Final, le Client confirme que :

il a le pouvoir de désigner nuaxia ;
toute approbation nécessaire pour désigner nuaxia en qualité de sous-traitant ultérieur a été obtenue ;
il est autorisé à émettre des instructions pour le compte du Client Final ; et
il communiquera les instructions du Client Final de manière exacte.

Le Client ne doit pas ordonner à nuaxia de traiter des données à caractère personnel d'une manière qui enfreindrait les Lois sur la Protection des Données.

7. Instructions de traitement

nuaxia ne traitera les Données à Caractère Personnel du Client que :

sur les instructions documentées du Client ;
dans la mesure raisonnablement nécessaire pour fournir les Services ;
dans la mesure permise par le Contrat ; ou
lorsque la loi applicable l'exige.

Les instructions documentées peuvent figurer dans :

les Conditions-cadres Client ;
les présentes Conditions de Traitement des Données ;
la Proposition ;
des documents de projet approuvés ;
une demande de modification convenue ; ou
des communications écrites d'un représentant autorisé du Client.

Si nuaxia estime raisonnablement qu'une instruction enfreint les Lois sur la Protection des Données, nuaxia en informera le Client et pourra suspendre le traitement concerné jusqu'à ce que l'instruction soit clarifiée, modifiée ou retirée.

Si la loi applicable exige que nuaxia traite des Données à Caractère Personnel du Client autrement que sur les instructions du Client, nuaxia en informera le Client avant de le faire, sauf si la loi interdit cette notification.

8. Confidentialité et accès

nuaxia veillera à ce que les personnes autorisées à traiter les Données à Caractère Personnel du Client :

soient soumises à des obligations de confidentialité appropriées ;
ne reçoivent un accès que lorsque cela est raisonnablement nécessaire à leur rôle ;
ne traitent les informations que pour les Services convenus et conformément aux instructions autorisées ; et
reçoivent une formation appropriée en matière de protection des données et de sécurité.

nuaxia supprimera ou modifiera l'accès lorsqu'il n'est plus nécessaire.

Ces obligations de confidentialité perdurent après que la personne concernée a cessé de travailler sur les Services.

9. Sécurité

nuaxia maintiendra des mesures techniques et organisationnelles appropriées pour protéger les Données à Caractère Personnel du Client, en tenant compte de :

la nature, la portée, le contexte et les finalités du traitement ;
l'état de la technologie disponible ;
les coûts de mise en œuvre ; et
la probabilité et la gravité des risques pour les personnes.

Les mesures peuvent inclure, le cas échéant :

des exigences de confidentialité et une formation du personnel ;
des comptes individuels et des contrôles d'accès basés sur les rôles ;
des contrôles de mot de passe et une authentification multifacteur ;
une transmission et un stockage sécurisés ;
le chiffrement le cas échéant ;
la protection des systèmes, réseaux et terminaux ;
les mises à jour de sécurité et la gestion des vulnérabilités ;
des dispositifs de sauvegarde et de récupération ;
des procédures de détection et de réponse aux incidents ;
la séparation logique des projets et des données ;
la suppression et l'élimination sécurisées ; et
des contrôles appropriés sur les Sous-traitants ultérieurs.

nuaxia peut mettre à jour ses mesures de sécurité lorsque la modification ne réduit pas de manière substantielle le niveau global de protection.

Le Client :

conservera ses comptes et identifiants en sécurité ;
limitera l'accès au personnel autorisé ;
informera nuaxia sans délai de tout accès non autorisé suspecté ;
utilisera les méthodes sécurisées convenues pour transmettre les Données à Caractère Personnel du Client ; et
respectera les instructions de sécurité raisonnables relatives aux Services.

10. Sous-traitants ultérieurs

Le Client donne à nuaxia une autorisation écrite générale de désigner des Sous-traitants ultérieurs lorsque cela est raisonnablement nécessaire pour fournir les Services.

nuaxia :

mettra à la disposition du Client, sur demande ou au moyen d'une liste en ligne tenue à jour, des informations sur les Sous-traitants ultérieurs importants qui traitent des Données à Caractère Personnel du Client ;
donnera un préavis raisonnable de tout Sous-traitant ultérieur important nouveau ou de remplacement ;
conclura des accords écrits obligeant le Sous-traitant ultérieur à fournir des garanties de protection des données substantiellement équivalentes aux exigences pertinentes des présentes conditions ; et
demeurera responsable de l'exécution de ces obligations par le Sous-traitant ultérieur dans la mesure requise par les Lois sur la Protection des Données.

Le Client peut s'opposer à un Sous-traitant ultérieur proposé pour des motifs raisonnables se rapportant spécifiquement à la protection des Données à Caractère Personnel du Client.

Le Client doit soulever une objection sans délai après réception du préavis et en exposer les motifs.

Les parties travailleront de bonne foi pour répondre à une objection valable. Si aucune solution raisonnable n'est disponible, l'une ou l'autre partie peut résilier la partie concernée des Services.

nuaxia peut procéder à un changement urgent de Sous-traitant ultérieur lorsque cela est raisonnablement nécessaire pour faire face à un incident de sécurité, à une défaillance d'un fournisseur, à une exigence légale ou à un autre risque opérationnel important. nuaxia en informera le Client dès que raisonnablement possible.

11. Transferts internationaux

nuaxia n'effectuera pas de transfert international restreint de Données à Caractère Personnel du Client, sauf si un mécanisme de transfert licite ou une exception s'applique.

Lorsque cela est requis, nuaxia utilisera des garanties appropriées, qui peuvent inclure :

les règlements ou décisions d'adéquation applicables ;
des clauses contractuelles types approuvées ;
un accord ou un addendum britannique de transfert international approuvé ;
des règles d'entreprise contraignantes ; ou
un autre mécanisme de transfert licite.

nuaxia exigera des Sous-traitants ultérieurs concernés qu'ils respectent les exigences applicables en matière de transfert international.

Sauf indication contraire expresse de la Proposition, les Services ne garantissent pas que l'ensemble des Données à Caractère Personnel du Client demeurera dans un pays particulier.

12. Demandes des personnes concernées

Si nuaxia reçoit une demande d'une personne concernée relative aux Données à Caractère Personnel du Client, nuaxia :

informera le Client sans retard indu ;
fournira les détails pertinents disponibles ; et
ne répondra pas sur le fond, sauf sur instruction du Client ou si la loi l'exige.

Le Client demeure responsable de :

vérifier l'identité du demandeur ;
déterminer si la demande est valable ;
décider comment répondre ; et
respecter le délai légal applicable.

En tenant compte de la nature du traitement, nuaxia fournira une assistance raisonnable pour permettre au Client ou au Client Final de répondre à la demande.

13. Assistance en matière de conformité

En tenant compte de la nature du traitement et des informations dont elle dispose, nuaxia fournira une assistance raisonnable pour les obligations du Client relatives à :

la sécurité du traitement ;
les droits des personnes concernées ;
les Violations de Données à Caractère Personnel ;
les analyses d'impact relatives à la protection des données ;
les consultations avec une autorité de protection des données ; et
la démonstration de la conformité aux Lois sur la Protection des Données.

Le Client doit fournir un préavis raisonnable et des informations suffisantes lorsqu'il demande une assistance.

nuaxia peut facturer des Honoraires supplémentaires raisonnables lorsqu'une demande :

est d'une ampleur inhabituelle ;
sort du champ ordinaire des Services ;
nécessite un travail important de développement technique ou de récupération ; ou
résulte d'instructions du Client incomplètes, inexactes ou modifiées.

nuaxia informera le Client des frais supplémentaires importants avant de les engager, lorsque cela est raisonnablement possible.

14. Violations de Données à Caractère Personnel

nuaxia informera le Client sans retard indu après avoir eu connaissance d'une Violation de Données à Caractère Personnel affectant des Données à Caractère Personnel du Client.

Dans la mesure où elles sont disponibles, nuaxia fournira des informations sur :

la nature de la violation ;
les catégories de Données à Caractère Personnel du Client affectées ;
les catégories et le nombre approximatif de personnes et d'enregistrements affectés ;
les conséquences probables ;
les mesures prises ou proposées pour contenir, examiner et traiter la violation ; et
un contact approprié pour de plus amples informations.

Lorsque l'ensemble des informations n'est pas immédiatement disponible, nuaxia peut les fournir par étapes à mesure que l'enquête progresse.

nuaxia :

prendra des mesures raisonnables pour contenir et examiner la violation ;
prendra des mesures raisonnables pour atténuer les éventuels effets préjudiciables ;
conservera les informations pertinentes ; et
apportera une coopération raisonnable aux obligations d'évaluation et de notification du Client.

Le Client ou le Client Final concerné est responsable de déterminer si une notification doit être faite à :

une autorité de protection des données ;
des personnes concernées affectées ;
un autre régulateur ;
un commanditaire de projet ; ou
un autre tiers.

nuaxia ne procédera pas à une notification identifiant le Client ou le Client Final, sauf :

sur instruction du Client ;
en cas d'accord entre les parties ; ou
si la loi l'exige.

Une notification de violation ne constitue pas une reconnaissance de responsabilité.

15. Informations de conformité et audits

Sur demande raisonnable, nuaxia fournira les informations raisonnablement nécessaires pour démontrer la conformité aux présentes conditions.

Cela peut inclure :

les informations de sécurité pertinentes ;
des questionnaires de sécurité complétés ;
des résumés de politiques ;
des informations sur les Sous-traitants ultérieurs ;
les rapports d'assurance indépendants disponibles ; et
des réponses écrites raisonnables aux questions de conformité.

Lorsque ces informations sont raisonnablement insuffisantes, le Client peut auditer la conformité de nuaxia aux présentes conditions.

Sauf lorsqu'un audit est requis à la suite d'une violation importante ou par un régulateur compétent :

le Client doit fournir un préavis écrit raisonnable ;
au maximum un audit peut être réalisé au cours d'une période de 12 mois ;
l'audit doit avoir lieu pendant les heures normales de bureau ;
il doit être limité au traitement couvert par les présentes conditions ;
il doit minimiser la perturbation des opérations de nuaxia ; et
il doit être réalisé par une personne dûment qualifiée soumise à des obligations de confidentialité.

Un auditeur ne doit pas être un concurrent direct de nuaxia sans l'accord écrit préalable de nuaxia.

Un audit ne doit pas exposer :

les données à caractère personnel ou les informations confidentielles d'un autre client ;
le code source de nuaxia ;
des documents couverts par le secret professionnel ;
des identifiants de sécurité ; ou
des informations détaillées qui créeraient une vulnérabilité de sécurité importante.

Le Client supportera ses propres frais d'audit et les frais raisonnables de nuaxia liés au soutien d'un audit d'une ampleur inhabituelle. nuaxia supportera ses propres frais raisonnables lorsque l'audit identifie une violation importante des présentes conditions par nuaxia.

Aucune disposition de la présente clause ne restreint les pouvoirs d'une autorité de protection des données compétente.

16. Restitution et suppression

Lorsque les Services concernés prennent fin, nuaxia, au choix écrit du Client :

restituera les Données à Caractère Personnel du Client ;
les supprimera ; ou
en restituera une partie et supprimera le reste,

sauf si la loi applicable exige une conservation continue.

Le Client doit fournir ses instructions de restitution ou de suppression dans un délai de 30 jours après l'achèvement ou la résiliation des Services concernés.

Si le Client ne fournit pas d'instructions dans ce délai, nuaxia peut supprimer les Données à Caractère Personnel du Client conformément à ses procédures ordinaires de conservation et de suppression.

Les Données à Caractère Personnel du Client contenues dans des sauvegardes sécurisées peuvent subsister jusqu'à leur suppression ou leur écrasement dans le cadre du cycle de sauvegarde ordinaire, à condition qu'elles :

demeurent protégées de manière appropriée ;
ne soient pas utilisées à une autre fin ; et
ne soient restaurées que lorsque cela est raisonnablement nécessaire à des fins de reprise après sinistre, de sécurité ou juridiques.

La présente clause n'oblige pas nuaxia à supprimer :

les données à caractère personnel pour lesquelles nuaxia agit en qualité de responsable du traitement indépendant ;
les informations dont la loi exige la conservation ;
les informations irréversiblement anonymisées ;
les informations statistiques qui n'identifient plus une personne, un Client ou un Client Final ; ou
les informations que le Contrat autorise séparément nuaxia à conserver.

17. Relation avec les Conditions-cadres Client

La responsabilité au titre des présentes Conditions de Traitement des Données est régie par les dispositions relatives à la responsabilité figurant dans les Conditions-cadres Client.

Aucune disposition des présentes conditions ne limite la responsabilité lorsqu'elle ne peut être limitée licitement.

En cas de conflit concernant les Données à Caractère Personnel du Client, l'ordre de priorité suivant s'applique :

un accord ou instrument impératif de transfert international ;
toutes conditions de traitement des données expressément signées par les deux parties pour les Services concernés ;
les présentes Conditions de Traitement des Données ;
la Proposition applicable ; et
les Conditions-cadres Client.

18. Durée

Les présentes Conditions de Traitement des Données s'appliquent tant que nuaxia traite des Données à Caractère Personnel du Client en qualité de sous-traitant ou de sous-traitant ultérieur au titre du Contrat.

Les dispositions relatives à la confidentialité, à la sécurité, à la restitution et à la suppression, aux audits et à la responsabilité perdurent tant que nuaxia conserve les Données à Caractère Personnel du Client concernées.

Langue

Le présent document a été traduit de l’anglais. En cas de divergence ou de conflit entre la présente version traduite et la version en langue anglaise, la version en langue anglaise prévaudra, sauf dans la mesure où la loi applicable en dispose autrement.