Version du 6 septembre 2026 · service réservé aux professionnels (B2B)
Les présentes conditions générales de vente (version du 6 septembre 2026) régissent la fourniture par Hyvi LDA (voir mentions légales) du service en ligne Conforma : préparation, validation technique et conversion de données de dispositifs médicaux en vue de soumissions EUDAMED et, selon le périmètre souscrit, SwissDAMED, gestion des dossiers de vigilance, veille réglementaire, dépôt et indexation de documents dans une base documentaire, assistance par IA, traduction de documents, et, le cas échéant, partage d'accès entre organisations via des mandats de portefeuille (mandataire ou consultant). Le service s'adresse exclusivement à des professionnels agissant dans le cadre de leur activité ; le client déclare contracter en cette qualité.
Conforma est uniquement un outil logiciel. Il n'est ni un organisme notifié, ni un mandataire, ni un responsable du respect de la réglementation (PRRC), ni une autorité compétente. Il ne dépose aucune soumission auprès d'EUDAMED, de Swissmedic ni d'aucune autorité pour le compte du client. Il ne constitue ni un conseil réglementaire, ni un conseil juridique, ni une prestation de certification. Tout résultat produit par le service doit être vérifié par le client avant tout usage.
Le périmètre réglementaire couvert (EUDAMED seul, SwissDAMED seul, ou les deux) est celui de la formule effectivement souscrite et figure sur la page tarifs. Aucun périmètre non souscrit n'est ouvert au client. La couverture de SwissDAMED suit l'état d'avancement du registre suisse : Hyvi LDA produit les fichiers au format publié par Swissmedic à la date de la prestation, sans garantir qu'un format à venir sera identique.
Toute commande, toute souscription et, plus généralement, toute utilisation du service emportent acceptation pleine et entière des présentes conditions, à l'exclusion de tout autre document, notamment des conditions générales d'achat du client, sauf dérogation expresse et écrite de Hyvi LDA.
L'accès s'effectue par licence, après acceptation des présentes conditions. Le client désigne un administrateur qui gère les comptes de son organisation. Les identifiants sont personnels ; le client répond de l'usage fait de ses comptes.
La licence est non exclusive, non cessible et strictement limitée à l'usage interne du client. Sont interdits : la revente, la location, la sous-licence, le partage de comptes en dehors de l'organisation du client et la mise à disposition du service au profit de tiers, ainsi que toute décompilation, tout désassemblage ou toute rétro-ingénierie du service, sauf dans les cas limitativement prévus par le droit portugais applicable aux programmes d'ordinateur (notamment le décret-loi n.º 252/94).
Les formules et prix en vigueur sont publiés sur la page tarifs. Les prix s'entendent hors taxes ; la TVA applicable s'ajoute au taux en vigueur. Hyvi LDA peut faire évoluer la grille pour les périodes de licence futures, avec un préavis d'au moins 30 jours.
La formule Découverte est fournie à titre gratuit et sans contrepartie ; Hyvi LDA peut en modifier le périmètre ou y mettre fin à tout moment, moyennant notification préalable raisonnable permettant au client d'exporter ses données.
Le règlement s'effectue en ligne (prestataire Stripe) ou par virement à réception de facture, à 30 jours. En cas de retard, intérêts de retard au taux légal applicable aux transactions commerciales et indemnité forfaitaire de recouvrement de 40 € (décret-loi n.º 62/2013). Aucun escompte pour paiement anticipé.
En cas de défaut de paiement à l'échéance, Hyvi LDA peut, après mise en demeure restée sans effet pendant 15 jours, suspendre l'accès au service jusqu'à complet paiement, sans préjudice de la résiliation prévue à l'article 10 et sans que cette suspension ouvre droit à indemnité.
La licence est conclue pour un an. Elle ne se renouvelle pas tacitement : une proposition de renouvellement est adressée au moins 30 jours avant l'échéance ; à défaut d'accord, l'accès prend fin à l'échéance.
L'abonnement d'assistance par IA décrit à l'article 5 bis a sa propre échéance, indépendante de celle de la licence : il court un an à compter de sa souscription ou de son dernier renouvellement. Les deux termes peuvent donc ne pas coïncider.
Résiliation par le client, sans frais et sans motif. Le client met fin à sa licence depuis son espace, à tout moment et sans avoir à se justifier. La résiliation prend effet à l'échéance en cours : l'accès et les fonctions de la formule sont maintenus jusqu'à cette date, les sommes déjà réglées pour la période en cours restent acquises, et aucune somme nouvelle n'est appelée. À l'échéance, l'organisation bascule vers la formule gratuite ; aucune donnée n'est supprimée de ce seul fait. Ce basculement n'est pas une clôture de compte : la réversibilité et la suppression prévues à l'article 7 et à l'annexe 1 ne s'appliquent qu'à la clôture du compte ou à la fin définitive de la relation contractuelle, et non au simple passage à la formule Découverte.
5 bis.1 Objet. L'assistance par IA fait l'objet d'un abonnement distinct de la licence, souscrit en supplément et facturé séparément. Il ouvre l'accès aux fonctions avancées de l'assistant : score de qualité d'un lot, question portant sur un fichier contrôlé ou sur une actualité de la veille, aide à la rédaction, remplissage assisté de lignes et traduction de documents. Sa souscription n'est jamais obligatoire : le reste du service fonctionne intégralement sans elle.
5 bis.2 Niveaux et volumes. Trois niveaux sont proposés, dont le volume mensuel et le prix figurent sur la page tarifs : Conforma IA Essentiel, Conforma IA Avancé et Conforma IA Intensif. Le périmètre fonctionnel est identique aux trois niveaux ; seul le volume mensuel d'unités diffère.
5 bis.3 Définition de l'unité. L'unité est l'unité de compte interne du service. Chaque appel à l'assistant consomme un nombre d'unités déterminé par le barème publié sur la page tarifs, selon la fonction employée et le volume traité (nombre de lignes d'une grille, nombre de caractères d'un document à traduire). Le décompte des unités consommées est consultable à tout moment dans l'application. Une unité n'est ni convertible en monnaie, ni cessible, ni remboursable.
5 bis.4 Absence de report. Le volume d'unités de l'abonnement est mensuel : il est intégralement remis à disposition au premier jour de chaque mois civil. Les unités non consommées à la fin d'un mois ne sont pas reportées sur le mois suivant et ne donnent lieu à aucun remboursement, avoir ni compensation. À la fin de l'abonnement, les unités non consommées du mois en cours sont perdues.
5 bis.5 Crédits d'appoint. Des crédits d'appoint peuvent être achetés ponctuellement, par volumes publiés sur la page tarifs, pour absorber un dépassement. Ils ne se réinitialisent pas et ne sont consommés qu'après épuisement du volume mensuel de l'abonnement et de la dotation gratuite. Ils restent acquis au client tant que son compte est actif ; ils ne sont ni remboursables, ni cessibles, ni convertibles en monnaie, et sont perdus à la clôture du compte.
5 bis.6 Épuisement du volume. Lorsque le volume mensuel et les éventuels crédits d'appoint sont épuisés, les fonctions d'assistance par IA sont suspendues jusqu'au premier jour du mois suivant ou jusqu'à l'achat de crédits d'appoint. Cette suspension n'affecte aucune autre fonction du service et n'ouvre droit à aucune indemnité.
5 bis.7 Durée, renouvellement et résiliation. L'abonnement est conclu pour un an et ne se renouvelle pas tacitement. Le client peut y renoncer à tout moment pour la période suivante ; les sommes versées au titre de la période en cours restent acquises. La résiliation de l'abonnement d'assistance par IA n'emporte pas résiliation de la licence, et réciproquement, sauf demande expresse du client.
5 bis.8 Traduction de documents. La traduction de documents est incluse dans les trois niveaux et facturée en unités du même compteur. Elle est fournie à titre d'aide : une traduction produite par le service n'est ni une traduction certifiée, ni une traduction assermentée, et n'engage pas Hyvi LDA quant à son exactitude. Il appartient au client de la faire vérifier avant tout usage réglementaire ou contractuel. Le texte intégral du document soumis à la traduction est transmis au fournisseur d'inférence dans les conditions de l'article 6 bis.
Hyvi LDA s'engage à des efforts raisonnables pour assurer la disponibilité du service, hors maintenances programmées notifiées à l'avance et cas de force majeure. Toute disponibilité mentionnée sur le site ou dans la documentation constitue un objectif cible et non un engagement contractuel de niveau de service (SLA) : un tel engagement ne peut résulter que d'un accord écrit distinct signé par Hyvi LDA. Les données du client sont hébergées dans l'Union européenne, chez OVH SAS, et sauvegardées quotidiennement. Cette stipulation vise l'hébergement et les sauvegardes ; elle ne s'étend pas aux contenus que le client soumet à l'assistance par IA, qui sont transmis hors de l'Union européenne dans les conditions de l'article 6 bis.
L'assistance par IA repose sur un fournisseur d'inférence établi aux États-Unis, OpenRouter, Inc., qui achemine les requêtes vers des modèles de langage de fournisseurs tiers (notamment Anthropic et Google, selon la fonction). Lorsque le client emploie une fonction de l'assistance, le contenu nécessaire à cette fonction est transmis à ce fournisseur : contenu des questions posées, extraits des documents déposés par le client dans sa base documentaire lorsqu'ils servent à ancrer une réponse, rapport de contrôle d'un fichier importé, description et structure des colonnes d'une grille à remplir, et texte intégral d'un document soumis à la traduction. La liste exhaustive de ce qui est transmis et de ce qui ne l'est pas figure dans la politique de confidentialité.
Ce transfert est encadré par les clauses contractuelles types de la Commission européenne (article 46 du RGPD). Il n'a lieu qu'à l'initiative du client, fonction par fonction, y compris lorsqu'il utilise la dotation gratuite d'accompagnement. Le client s'interdit de soumettre à l'assistance par IA des données de santé, des données personnelles de patients ou toute donnée qu'il ne pourrait pas confier à un prestataire établi hors de l'Union européenne. Le client qui ne souhaite aucun transfert hors de l'Union européenne s'abstient de souscrire l'abonnement d'assistance par IA et de recourir à la dotation gratuite de l'assistant ; le reste du service fonctionne alors sans aucune transmission à ce fournisseur.
L'assistance est fournie par voie électronique, en français, aux jours et heures ouvrés au Portugal. Le délai de première réponse mentionné pour chaque formule sur le site constitue un objectif de moyens : Hyvi LDA met en œuvre les diligences raisonnables pour le tenir, sans qu'un dépassement ouvre droit à indemnité.
Un dépassement répété et significatif de cet objectif constitue en revanche un manquement au sens de l'article 10, dont le client peut se prévaloir pour résilier sans frais et obtenir le remboursement au prorata de la période non courue.
L'assistance porte sur le fonctionnement du service. Elle ne constitue ni un conseil réglementaire, ni une relecture de dossier : le contenu des déclarations relève du client, conformément à l'article 8.
Les fichiers importés, les documents déposés dans la base documentaire et les XML générés demeurent la propriété exclusive du client. Le client peut exporter ses fichiers et XML, objet par objet, pendant la durée du contrat, dans des formats standards. La clôture du compte (fin définitive de la relation, distincte du seul basculement vers la formule Découverte prévu à l'article 5) emporte, sur demande formulée dans les 30 jours, la restitution puis la suppression des données des systèmes actifs et, à l'expiration du cycle de sauvegarde, des sauvegardes. Il appartient au client de conserver ses propres copies des fichiers qu'il importe. Le traitement des données personnelles est décrit dans la politique de confidentialité.
7.1 Documents déposés, fragments et vecteurs. Les documents déposés par le client dans sa base documentaire sont découpés en fragments et convertis en représentations numériques (vecteurs) conservées dans la base de données du service, afin de permettre la recherche et l'ancrage des réponses de l'assistant. Ces fragments et ces vecteurs sont dérivés des documents du client et lui appartiennent au même titre. La suppression d'un document par le client entraîne la suppression de ses fragments et de ses vecteurs. À la clôture du compte, ils sont supprimés des systèmes actifs dans les mêmes conditions et selon le même calendrier que les documents dont ils dérivent, puis des sauvegardes à l'expiration du cycle de sauvegarde. Hyvi LDA ne les exploite à aucune autre fin, ne les emploie pour l'entraînement d'aucun modèle et ne les partage avec aucune autre organisation cliente, sauf accès volontairement accordé par le client via un mandat de portefeuille. Lorsqu'ils servent à ancrer une réponse de l'assistant, les extraits concernés sont transmis au fournisseur d'inférence dans les conditions de l'article 6 bis.
7.2 Données personnelles contenues dans les données du client. Les fichiers importés, les dossiers de vigilance, les documents de la base documentaire et les documents soumis à la traduction contiennent des données à caractère personnel dont le client est le responsable de traitement : nom et adresse électronique d'un responsable du respect de la réglementation, d'un distributeur, d'un correspondant d'autorité ou de tout autre interlocuteur professionnel. Hyvi LDA les traite en qualité de sous-traitant, pour le seul compte du client. Les conditions de ce traitement sont fixées par l'accord de sous-traitance figurant en annexe 1, qui fait partie intégrante des présentes conditions et vaut contrat écrit au sens de l'article 28.3 du règlement (UE) 2016/679.
7.3 Mandats de portefeuille. Le service permet à une organisation d'accorder à une autre organisation (mandataire ou consultant) un accès consenti à tout ou partie de son espace. Ce partage est déclenché et révocable par le client. Il ne constitue ni un mandat réglementaire au sens de l'article 11 du règlement (UE) 2017/745, ni une attestation délivrée par Hyvi LDA. Le client demeure seul responsable de la licéité de cet accès et des actes accomplis via le mandat.
8.1 Nature du service et obligation de moyens. Conforma est uniquement un outil logiciel d'aide à la préparation et au contrôle technique de fichiers. Il ne constitue ni un conseil réglementaire, ni un conseil juridique, ni une prestation de certification, ni une garantie d'acceptation des soumissions par EUDAMED, Swissmedic ou toute autorité. Hyvi LDA n'assume aucune fonction d'organisme notifié, de mandataire, de PRRC ni d'autorité. Hyvi LDA est tenue, pour l'ensemble de ses prestations, d'une obligation de moyens exclusivement. Elle n'est pas responsable de l'usage que le client fait du service ni des décisions prises sur la foi de ses sorties.
8.2 Absence de garantie sur les contrôles, la veille, la vigilance, SwissDAMED et l'assistant IA. Les validations effectuées par le service, y compris au regard des schémas XSD embarqués, la veille réglementaire, les alertes de vigilance, les fichiers SwissDAMED, les traductions et les réponses de l'assistant IA sont fournis à titre d'aide, sans garantie d'exhaustivité, d'exactitude, d'actualité ni d'adéquation à un besoin particulier. Les schémas, référentiels et exigences EUDAMED et SwissDAMED évoluent ; un écart peut exister entre les versions embarquées dans le service et les exigences en vigueur. L'assistant IA repose sur des modèles de langage susceptibles de produire des réponses inexactes, incomplètes ou obsolètes ; ses réponses ne constituent ni un conseil réglementaire ni un conseil juridique. Un fichier validé par le service peut être rejeté ou jugé non conforme par EUDAMED, Swissmedic ou une autorité. Une alerte absente ou présente ne dispense jamais le client de calculer et de respecter ses propres délais réglementaires.
8.2 bis. Obligation de vérification par le client. Le client s'engage à faire vérifier, par un professionnel compétent et sous sa seule responsabilité, chaque résultat avant tout usage réglementaire, contractuel ou opérationnel : fichiers importés et convertis, XML générés, rapports de contrôle, alertes, contenus de veille, traductions, réponses de l'assistant, grilles proposées et tout autre livrable du service. Aucune sortie du service ne doit être utilisée telle quelle sans cette vérification.
8.3 Responsabilité exclusive du client. Le client demeure seul responsable, en sa qualité d'opérateur économique au sens des règlements (UE) 2017/745 (MDR) et 2017/746 (IVDR) et, le cas échéant, du droit suisse applicable aux dispositifs médicaux : de la conformité réglementaire de ses dispositifs ; de l'exactitude, de la complétude et de la licéité des données qu'il importe ; du contenu des fichiers et soumissions transmis à EUDAMED, à Swissmedic ou à toute autorité et des conséquences de toute soumission ; du respect de l'ensemble de ses obligations réglementaires, y compris des délais de vigilance, quelles que soient les alertes affichées ou non par le service ; de la vérification finale de chaque fichier avant soumission ; de l'usage de ses comptes ; et de toute décision prise à partir des sorties du service.
8.4 Exclusion des dommages indirects et immatériels. Sauf faute lourde ou dolosive et dans toute la mesure permise par la loi, Hyvi LDA n'est pas responsable des dommages indirects ou immatériels, notamment : rejet, retard ou non-conformité d'une soumission ; sanction, amende, injonction ou toute autre mesure d'une autorité compétente ou d'un organisme notifié ; rappel ou retrait de produits ; perte d'exploitation, de chiffre d'affaires, de marge, de clientèle, d'opportunité ou d'image ; perte, altération ou corruption de données ; conséquences d'une évolution des schémas, référentiels ou exigences EUDAMED ou SwissDAMED ; conséquences d'une indisponibilité temporaire du service ; usage du service non conforme à la documentation ; conséquences d'une absence de vérification par le client.
8.5 Plafond de responsabilité. Si la responsabilité de Hyvi LDA était retenue, tous préjudices, causes et demandes confondus, elle serait limitée au montant hors taxes effectivement versé par le client à Hyvi LDA au cours des douze mois précédant le fait générateur. Ce plafond est stipulé en considération du prix du service et de l'économie du contrat ; il ne s'applique pas en cas de faute lourde ou dolosive, de dommage corporel, ni dans les cas où la loi interdit une telle limitation.
8.6 Garantie du client. Le client garantit Hyvi LDA contre toute réclamation de tiers ou d'autorité fondée sur les données qu'il a importées, les soumissions qu'il a transmises, l'usage qu'il a fait du service ou son manquement à ses obligations réglementaires, et l'indemnise des condamnations et frais raisonnables de défense en résultant.
8.7 Limites légales. Aucune stipulation des présentes n'a pour objet ni pour effet : d'exclure ou de limiter la responsabilité de Hyvi LDA en cas de faute lourde ou dolosive ou de dommage corporel ; d'écarter une obligation d'ordre public, notamment en matière de protection des données personnelles ou d'obligations fiscales ; d'écarter les garanties légales impératives ; ni de limiter la responsabilité extracontractuelle dans les cas où la loi l'interdit. Chaque clause s'applique dans les limites permises par la loi.
8.8 Prescription. Toute action du client au titre du contrat se prescrit par douze mois à compter du fait générateur, dans la mesure permise par le droit portugais.
Aucune partie ne répond d'un manquement causé par un cas de force majeure ou une impossibilité d'exécution au sens du droit portugais. Sont en outre contractuellement assimilés à la force majeure, dès lors qu'ils sont extérieurs à la partie qui les invoque et que leurs effets ne peuvent être évités par des mesures appropriées : la défaillance généralisée des réseaux d'énergie ou de télécommunications, les attaques informatiques d'ampleur, ainsi que la défaillance ou l'interruption des services de tiers dont dépend le service, notamment l'hébergeur, le prestataire de paiement, le fournisseur d'inférence de l'assistant IA et les sources officielles (dont EUDAMED). Les obligations affectées sont suspendues pendant la durée de l'empêchement ; si celui-ci excède 60 jours, chaque partie peut résilier le contrat sans indemnité.
Chaque partie peut résilier en cas de manquement grave non réparé 30 jours après mise en demeure. Hyvi LDA peut suspendre l'accès en cas d'impayé (article 4) ou d'usage compromettant la sécurité du service, après notification. Le sort des données à la clôture du compte est régi par l'article 7 et l'annexe 1.
Les présentes conditions sont soumises au droit portugais. À défaut de résolution amiable dans les 30 jours de la notification du différend, tout litige relatif à leur formation, leur interprétation, leur exécution ou leur cessation relève de la compétence exclusive des tribunaux de la comarque de Porto (Portugal), y compris pour les procédures urgentes, nonobstant pluralité de défendeurs ou appel en garantie.
Toute notification, réclamation, mise en demeure ou demande relative aux présentes (notamment au titre des articles 5 (renouvellement), 7 (réversibilité) et 10 (suspension et résiliation)) est adressée par écrit à contact@eudamed-conforma.eu, ou par courrier au siège de Hyvi LDA figurant aux mentions légales.
Les notifications de Hyvi LDA au client sont adressées à l'adresse électronique du compte administrateur de l'organisation. Il appartient au client de la tenir à jour : une notification adressée à une adresse devenue invalide est réputée reçue.
Modification. Hyvi LDA peut modifier les présentes conditions. Les modifications s'appliquent aux périodes de licence et d'abonnement futures. Hyvi LDA en informe le client par écrit (notamment à l'adresse de l'administrateur) au moins 30 jours avant leur entrée en vigueur. La poursuite de l'utilisation du service après cette date vaut acceptation, sauf résiliation par le client pour la période suivante dans les conditions de l'article 5. Les modifications imposées par une évolution du droit applicable ou une décision d'une autorité peuvent entrer en vigueur sans ce préavis ; Hyvi LDA en informe alors le client dans les meilleurs délais.
Non-renonciation. Le fait pour une partie de ne pas se prévaloir d'un manquement de l'autre partie ne vaut pas renonciation à s'en prévaloir ultérieurement.
Divisibilité. Si une stipulation est déclarée nulle, illicite ou inopposable, les autres stipulations demeurent en vigueur ; la stipulation concernée est réputée remplacée par une stipulation valable d'effet économique équivalent, dans la mesure du possible.
Intégralité. Les présentes conditions, la commande et les documents auxquels elles renvoient expressément constituent l'intégralité de l'accord des parties relatif au service et prévalent sur tout échange, document ou accord antérieur portant sur le même objet.
La présente annexe fait partie intégrante des conditions générales de vente. Elle vaut contrat écrit au sens de l'article 28.3 du règlement (UE) 2016/679 et lie les parties dès l'acceptation des conditions générales, sans autre formalité. En cas de contradiction, elle prévaut sur le corps des conditions générales pour tout ce qui concerne le traitement de données à caractère personnel effectué pour le compte du client.
Le client est responsable de traitement pour les données à caractère personnel contenues dans les données qu'il verse dans le service. Il lui appartient de disposer d'une base légale, d'informer les personnes concernées et de n'y verser que des données qu'il est en droit de confier à un sous-traitant.
Hyvi LDA est sous-traitant de ces mêmes données. Elle ne les traite que pour le compte du client et sur son instruction ; elle n'en détermine ni les finalités ni les moyens essentiels, ne les exploite à aucune fin propre, ne les emploie pour l'entraînement d'aucun modèle et ne les partage avec aucune autre organisation cliente.
La présente annexe ne couvre pas les traitements pour lesquels Hyvi LDA agit en qualité de responsable de traitement (comptes, organisations, facturation, journaux, demandes de contact, prospection commerciale) : ceux-là sont décrits par la politique de confidentialité.
Objet. L'exécution des prestations souscrites : hébergement et conservation des fichiers importés, des dossiers de vigilance, des documents de la base documentaire et des XML produits ; contrôle et conversion de ces fichiers ; découpage des documents en fragments, calcul et conservation des vecteurs correspondants ; recherche documentaire ; assistance par IA ; traduction de documents.
Nature des opérations. Collecte à l'initiative du client, enregistrement, organisation, structuration, conservation, extraction de texte, indexation, consultation, transmission au fournisseur d'inférence lorsque le client déclenche une fonction d'assistance ou de traduction, restitution, effacement.
Finalité. La seule fourniture du service au client, à l'exclusion de tout usage propre à Hyvi LDA.
Durée. La durée du contrat, prolongée le cas échéant du délai de restitution prévu à l'article A1.11.
Catégories de données : données d'identification et de contact professionnelles (nom, prénom, fonction, adresse électronique, téléphone, adresse professionnelle), ainsi que toute autre donnée à caractère personnel que le client choisit d'inclure dans les fichiers, les documents ou les textes qu'il soumet.
Catégories de personnes concernées : les responsables du respect de la réglementation (PRRC), les salariés et interlocuteurs du client, les correspondants de ses distributeurs, importateurs, mandataires, organismes notifiés et autorités compétentes, et plus généralement toute personne mentionnée dans les documents versés.
Exclusion. Le client s'interdit de verser dans le service des données relevant de l'article 9 du RGPD, en particulier des données de santé et des données personnelles de patients, ainsi que des données relatives à des condamnations pénales. Le service n'est ni conçu ni dimensionné pour de telles catégories.
Hyvi LDA ne traite les données que sur instruction documentée du client. Constituent ses instructions documentées : les présentes conditions, l'annexe, la commande, les paramètres de son compte et les actions qu'il déclenche dans l'application. Toute autre instruction doit être écrite.
Si Hyvi LDA estime qu'une instruction constitue une violation du RGPD ou d'une autre disposition relative à la protection des données, elle en informe le client sans délai et peut suspendre l'exécution de cette seule instruction jusqu'à ce que le client la confirme, la modifie ou la retire.
L'accès aux données du client est réservé aux membres de l'équipe de Hyvi LDA qui en ont besoin pour exécuter le contrat, individuellement habilités et tenus à une obligation de confidentialité contractuelle survivant à la fin de leurs fonctions. Le cloisonnement par organisation est appliqué au niveau des données elles-mêmes et non seulement de l'interface.
Hyvi LDA met en œuvre les mesures techniques et organisationnelles appropriées décrites à la rubrique « Sécurité » de la politique de confidentialité : chiffrement des échanges (HTTPS/TLS), hachage des mots de passe, cloisonnement strict des données par organisation, limitation des tentatives de connexion, journal d'audit, hébergement dans l'Union européenne et sauvegardes quotidiennes à accès restreint. Ces mesures peuvent évoluer, sans que le niveau de sécurité en soit abaissé.
Autorisation générale. Le client donne à Hyvi LDA une autorisation générale écrite de recourir à des sous-traitants ultérieurs, au sens de l'article 28.2 du RGPD. Hyvi LDA leur impose par contrat des obligations de protection des données équivalentes à celles de la présente annexe et demeure pleinement responsable devant le client de l'exécution de leurs obligations.
Sous-traitants ultérieurs en service à la date de la présente version :
Stripe Payments Europe, Ltd n'est pas un sous-traitant ultérieur au titre de la présente annexe : il traite les données de paiement en qualité de responsable de traitement distinct, et n'a accès à aucune donnée versée par le client dans le service.
Changement de sous-traitant ultérieur. Hyvi LDA informe le client par écrit de tout ajout ou remplacement envisagé, au moins 30 jours avant sa mise en service. Le client peut s'y opposer par écrit et de façon motivée dans ce délai. À défaut de solution acceptable pour les deux parties, le client peut résilier la part du contrat concernée par le traitement en cause, sans indemnité et avec remboursement au prorata des sommes versées d'avance.
Compte tenu de la nature du traitement, Hyvi LDA aide le client, par des mesures techniques et organisationnelles appropriées, à donner suite aux demandes d'exercice des droits prévus aux articles 15 à 22 du RGPD. Le service offre au client l'accès, l'export, la rectification et la suppression de ses données, ce qui lui permet de traiter lui-même la plupart des demandes.
Si une demande d'une personne concernée est adressée directement à Hyvi LDA et porte sur des données traitées pour le compte du client, Hyvi LDA n'y répond pas elle-même : elle la transmet au client sans délai et sous 5 jours ouvrés au plus, et lui apporte l'assistance raisonnable nécessaire pour y répondre dans le délai d'un mois de l'article 12.3.
Violation de données. Hyvi LDA notifie au client toute violation de données à caractère personnel affectant les données traitées pour son compte, dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou proposées. Il appartient au client, en sa qualité de responsable de traitement, de notifier le cas échéant l'autorité de contrôle et les personnes concernées.
Articles 32 à 36. Hyvi LDA apporte au client l'assistance raisonnable, compte tenu des informations à sa disposition, pour la sécurité du traitement, l'analyse d'impact relative à la protection des données et la consultation préalable de l'autorité de contrôle.
Transferts hors de l'Union européenne. Aucun transfert n'a lieu hors de l'Union européenne, à la seule exception des contenus que le client soumet lui-même à l'assistance par IA ou à la traduction, transmis à OpenRouter, Inc. dans les conditions de l'article 6 bis et sous les clauses contractuelles types de la Commission européenne (article 46 du RGPD). Ce transfert procède d'une action du client, fonction par fonction ; le client qui ne le souhaite pas s'abstient d'employer ces fonctions.
Hyvi LDA met à la disposition du client les informations nécessaires pour démontrer le respect des obligations de l'article 28 du RGPD. Le client peut, une fois par an civil et sous préavis écrit de 30 jours, faire réaliser un audit documentaire ou, s'il est justifié par un motif sérieux, un audit sur site, par lui-même ou par un auditeur indépendant tenu à la confidentialité et n'étant pas un concurrent de Hyvi LDA. L'audit se déroule pendant les heures ouvrées, sans perturber le service ni exposer les données d'autres clients ; ses frais sont à la charge du client, sauf s'il révèle un manquement substantiel de Hyvi LDA. Un audit supplémentaire est de droit à la suite d'une violation de données ou d'une demande motivée d'une autorité de contrôle.
À la clôture du compte ou à la fin définitive de la relation contractuelle (et non au seul basculement vers la formule Découverte prévu à l'article 5), le client choisit entre la restitution et la suppression de ses données ; à défaut de choix exprimé dans les 30 jours de la fin du contrat, elles sont supprimées. La restitution s'opère dans les formats standards prévus à l'article 7 (fichiers d'origine, XML produits, documents déposés).
La suppression porte sur les fichiers importés, les dossiers de vigilance, les documents de la base documentaire, les fragments et les vecteurs qui en dérivent, les XML produits et les textes en attente de traduction. Elle intervient sur les systèmes actifs à l'expiration du délai de 30 jours, puis sur les sauvegardes à l'expiration du cycle de sauvegarde en cours. Aucune copie n'est conservée au-delà, sauf obligation légale de conservation, dont Hyvi LDA informe alors le client. Hyvi LDA atteste la suppression par écrit sur demande du client.
La présente annexe produit effet pendant toute la durée du contrat et aussi longtemps que Hyvi LDA traite des données pour le compte du client. Ses stipulations relatives à la confidentialité, à la restitution et à la suppression survivent à la fin du contrat. Elle est modifiée dans les mêmes conditions que les conditions générales, sauf lorsqu'une évolution du droit applicable ou une décision d'une autorité de contrôle impose une adaptation, auquel cas Hyvi LDA en informe le client par écrit avant sa mise en œuvre.
Version dated 6 September 2026 · service for business customers only (B2B)
These terms of sale (version dated 6 September 2026) govern the provision by Hyvi LDA (see legal notice) of the Conforma online service: preparation, technical validation and conversion of medical device data for EUDAMED and, depending on the scope subscribed, SwissDAMED submissions, vigilance case management, regulatory watch, upload and indexing of documents in a document base, AI assistance, document translation and, where applicable, sharing of access between organisations through portfolio mandates (authorised representative or consultant). The service is intended exclusively for professionals acting in the course of their business; the customer declares that it contracts in that capacity.
Conforma is solely a software tool. It is neither a notified body, nor an authorised representative, nor a person responsible for regulatory compliance (PRRC), nor a competent authority. It does not file any submission with EUDAMED, Swissmedic or any authority on the customer's behalf. It constitutes neither regulatory advice, nor legal advice, nor a certification service. Any result produced by the service must be verified by the customer before any use.
The regulatory scope covered (EUDAMED only, SwissDAMED only, or both) is that of the plan actually subscribed and is set out on the pricing page. No scope that has not been subscribed is made available to the customer. SwissDAMED coverage follows the state of progress of the Swiss registry: Hyvi LDA produces files in the format published by Swissmedic as at the date of the service, without warranting that a future format will be identical.
Any order, any subscription and, more generally, any use of the service implies full and unreserved acceptance of these terms, to the exclusion of any other document, in particular the customer's general purchasing terms, unless expressly agreed otherwise in writing by Hyvi LDA.
Access is granted under licence, after acceptance of these terms. The customer appoints an administrator who manages the accounts of its organisation. Credentials are personal; the customer is responsible for the use made of its accounts.
The licence is non-exclusive, non-transferable and strictly limited to the customer's internal use. The following are prohibited: resale, rental, sub-licensing, sharing of accounts outside the customer's organisation and making the service available to third parties, as well as any decompilation, disassembly or reverse engineering of the service, except in the cases strictly provided for by applicable Portuguese law on computer programs (in particular Decree-Law No. 252/94).
Current plans and prices are published on the pricing page. Prices are exclusive of taxes; applicable VAT is added at the current rate. Hyvi LDA may revise the price list for future licence periods with at least 30 days' notice.
The free Discovery plan is provided free of charge and without consideration; Hyvi LDA may modify its scope or discontinue it at any time, subject to reasonable prior notice allowing the customer to export its data.
Payment is made online (Stripe) or by bank transfer upon receipt of invoice, within 30 days. Late payments incur interest at the statutory rate applicable to commercial transactions and a fixed recovery indemnity of €40 (Decree-Law No. 62/2013). No discount for early payment.
In the event of non-payment when due, Hyvi LDA may, after formal notice remaining without effect for 15 days, suspend access to the service until full payment, without prejudice to termination under Article 10 and without such suspension giving rise to any indemnity.
The licence is granted for one year. It does not renew tacitly: a renewal proposal is sent at least 30 days before expiry; failing agreement, access ends at expiry.
The AI assistance subscription described in Article 5 bis has its own expiry date, independent of that of the licence: it runs for one year from its subscription or its last renewal. The two terms may therefore not coincide.
Termination by the customer, free of charge and without cause. The customer may end the licence from their workspace, at any time and without having to give reasons. Termination takes effect at the end of the current term: access and the features of the plan are maintained until that date, sums already paid for the current period remain due, and no new sum is charged. At expiry, the organisation moves to the free plan; no data is deleted on that ground alone. That switch is not an account closure: the reversibility and deletion provided for in Article 7 and Annex 1 apply only upon account closure or the definitive end of the contractual relationship, not upon a mere move to the Discovery plan.
5 bis.1 Purpose. AI assistance is the subject of a subscription separate from the licence, taken out in addition and invoiced separately. It gives access to the assistant's advanced features: batch quality score, questions about a validated file or a regulatory watch item, drafting assistance, assisted row filling and document translation. Subscribing is never mandatory: the rest of the service works in full without it.
5 bis.2 Tiers and volumes. Three tiers are offered, whose monthly volume and price are set out on the pricing page: Conforma AI Essential, Conforma AI Advanced and Conforma AI Intensive. The functional scope is identical across the three tiers; only the monthly volume of units differs.
5 bis.3 Definition of a unit. The unit is the service's internal accounting unit. Each call to the assistant consumes a number of units determined by the scale published on the pricing page, according to the feature used and the volume processed (number of rows in a grid, number of characters in a document to be translated). The number of units consumed can be viewed at any time in the application. A unit is neither convertible into money, nor transferable, nor refundable.
5 bis.4 No carry-over. The subscription's unit volume is monthly: it is reinstated in full on the first day of each calendar month. Units not consumed at the end of a month are not carried over to the following month and give rise to no refund, credit note or compensation. At the end of the subscription, units not consumed in the current month are lost.
5 bis.5 Top-up credits. Top-up credits may be purchased on a one-off basis, in volumes published on the pricing page, to absorb an overrun. They do not reset and are consumed only once the subscription's monthly volume and the free allowance have been exhausted. They remain the customer's for as long as its account is active; they are neither refundable, nor transferable, nor convertible into money, and are lost when the account is closed.
5 bis.6 Exhaustion of the volume. Once the monthly volume and any top-up credits are exhausted, AI assistance features are suspended until the first day of the following month or until top-up credits are purchased. This suspension affects no other feature of the service and gives rise to no indemnity.
5 bis.7 Term, renewal and termination. The subscription is entered into for one year and does not renew tacitly. The customer may decline it at any time for the following period; sums paid for the current period remain due. Termination of the AI assistance subscription does not terminate the licence, and vice versa, unless the customer expressly requests it.
5 bis.8 Document translation. Document translation is included in all three tiers and charged in units from the same counter. It is provided as an aid: a translation produced by the service is neither a certified nor a sworn translation, and does not bind Hyvi LDA as to its accuracy. It is for the customer to have it checked before any regulatory or contractual use. The full text of the document submitted for translation is transmitted to the inference provider under the conditions of Article 6 bis.
Hyvi LDA undertakes reasonable efforts to ensure service availability, excluding scheduled maintenance notified in advance and force majeure. Any availability figure stated on the site or in the documentation is a target objective and not a contractual service level agreement (SLA): such a commitment can only result from a separate written agreement signed by Hyvi LDA. Customer data is hosted within the European Union, with OVH SAS, and backed up daily. This provision covers hosting and backups; it does not extend to the content the customer submits to the AI assistance, which is transmitted outside the European Union under the conditions of Article 6 bis.
AI assistance relies on an inference provider established in the United States, OpenRouter, Inc., which routes requests to language models of third-party providers (in particular Anthropic and Google, depending on the feature). When the customer uses an assistance feature, the content required for that feature is transmitted to that provider: the content of the questions asked, excerpts from documents uploaded by the customer to its document base where they are used to ground an answer, the validation report of an imported file, the description and column structure of a grid to be filled, and the full text of a document submitted for translation. The exhaustive list of what is and is not transmitted is set out in the privacy policy.
This transfer is governed by the European Commission's standard contractual clauses (Article 46 GDPR). It occurs only at the customer's initiative, feature by feature, including when the customer uses the free accompaniment allowance. The customer undertakes not to submit to the AI assistance any health data, any patient personal data or any data it could not entrust to a provider established outside the European Union. A customer who wants no transfer outside the European Union must refrain from subscribing to the AI assistance and from using the assistant's free allowance; the rest of the service then operates without any transmission to that provider.
Support is provided electronically, in French, on business days and hours in Portugal. The first-response time stated for each plan on the website is an obligation of means: Hyvi LDA applies reasonable diligence to meet it, without any overrun giving rise to compensation.
A repeated and significant overrun of that target does however constitute a breach within the meaning of Article 10, on which the customer may rely to terminate free of charge and obtain a refund pro rata for the unexpired period.
Support covers the operation of the service. It constitutes neither regulatory advice nor a review of submissions: the content of declarations is the customer's responsibility, in accordance with Article 8.
Imported files, documents uploaded to the document base and generated XML remain the exclusive property of the customer. The customer may export its files and XML, object by object, during the contract in standard formats. Account closure (definitive end of the relationship, distinct from the mere switch to the Discovery plan under Article 5) triggers, on request made within 30 days, the return and then the deletion of the data from active systems and, at the end of the backup cycle, from backups. The customer is responsible for keeping its own copies of the files it imports. Personal data processing is described in the privacy policy.
7.1 Uploaded documents, chunks and vectors. Documents uploaded by the customer to its document base are split into chunks and converted into numerical representations (vectors) stored in the service's database, in order to enable search and the grounding of the assistant's answers. These chunks and vectors are derived from the customer's documents and belong to the customer on the same footing. Deletion of a document by the customer entails deletion of its chunks and vectors. Upon account closure, they are deleted from active systems under the same conditions and on the same schedule as the documents from which they derive, then from backups at the end of the backup cycle. Hyvi LDA does not use them for any other purpose, does not use them to train any model and does not share them with any other customer organisation, except for access voluntarily granted by the customer through a portfolio mandate. Where they are used to ground an answer from the assistant, the relevant excerpts are transmitted to the inference provider under the conditions of Article 6 bis.
7.2 Personal data contained in customer data. Imported files, vigilance cases, document base documents and documents submitted for translation contain personal data for which the customer is the controller: the name and e-mail address of a person responsible for regulatory compliance, of a distributor, of an authority contact or of any other professional counterpart. Hyvi LDA processes such data as a processor, solely on the customer's behalf. The conditions of that processing are set out in the data processing agreement in Annex 1, which forms an integral part of these terms and constitutes the written contract required by Article 28(3) of Regulation (EU) 2016/679.
7.3 Portfolio mandates. The service allows an organisation to grant another organisation (authorised representative or consultant) consented access to all or part of its workspace. That sharing is initiated and revocable by the customer. It constitutes neither a regulatory mandate within the meaning of Article 11 of Regulation (EU) 2017/745, nor an attestation issued by Hyvi LDA. The customer remains solely responsible for the lawfulness of that access and for acts performed under the mandate.
8.1 Nature of the service and best-efforts obligation. Conforma is solely a software tool assisting with the preparation and technical control of files. It is neither regulatory advice, nor legal advice, nor a certification service, nor a guarantee that submissions will be accepted by EUDAMED, Swissmedic or any authority. Hyvi LDA assumes no role as notified body, authorised representative, PRRC or authority. For all its services, Hyvi LDA is bound by a best-efforts obligation only. It is not responsible for the use the customer makes of the service nor for decisions taken on the basis of its outputs.
8.2 No warranty as to checks, regulatory watch, vigilance, SwissDAMED and the AI assistant. The checks performed by the service, including against the embedded XSD schemas, the regulatory watch, vigilance alerts, SwissDAMED files, translations and the answers of the AI assistant are provided as an aid, without any warranty of completeness, accuracy, currency or fitness for a particular purpose. EUDAMED and SwissDAMED schemas, nomenclatures and requirements evolve; a gap may exist between the versions embedded in the service and the requirements in force. The AI assistant relies on language models that may produce inaccurate, incomplete or outdated answers; its answers constitute neither regulatory advice nor legal advice. A file validated by the service may be rejected or found non-compliant by EUDAMED, Swissmedic or any authority. An alert that is present or absent never relieves the customer of calculating and meeting its own regulatory deadlines.
8.2 bis. Customer's duty to verify. The customer undertakes to have every result verified, by a competent professional and under its sole responsibility, before any regulatory, contractual or operational use: imported and converted files, generated XML, validation reports, alerts, regulatory watch content, translations, assistant answers, proposed grids and any other deliverable of the service. No output of the service may be used as is without that verification.
8.3 Sole responsibility of the customer. The customer remains solely responsible, as an economic operator within the meaning of Regulations (EU) 2017/745 (MDR) and 2017/746 (IVDR) and, where applicable, Swiss law applicable to medical devices, for: the regulatory compliance of its devices; the accuracy, completeness and lawfulness of the data it imports; the content of files and submissions sent to EUDAMED, Swissmedic or any authority and the consequences of any submission; compliance with all its regulatory obligations, including vigilance deadlines, regardless of any alerts displayed or not displayed by the service; the final verification of every file before submission; the use of its accounts; and any decision taken on the basis of the service's outputs.
8.4 Exclusion of indirect and consequential damages. Except in the event of gross negligence or wilful misconduct and to the fullest extent permitted by law, Hyvi LDA is not liable for indirect or consequential damages, including: rejection, delay or non-conformity of a submission; any sanction, fine, injunction or other measure by a competent authority or a notified body; product recall or withdrawal; loss of business, revenue, margin, customers, opportunity or reputation; loss, alteration or corruption of data; consequences of changes to EUDAMED or SwissDAMED schemas, nomenclatures or requirements; consequences of temporary unavailability of the service; use of the service not in accordance with the documentation; consequences of a failure by the customer to verify.
8.5 Liability cap. Should Hyvi LDA's liability be established, for all damages, causes and claims combined, it shall be limited to the amount excluding taxes actually paid by the customer to Hyvi LDA during the twelve months preceding the triggering event. This cap is agreed in consideration of the price of the service and the economics of the contract; it does not apply in the event of gross negligence or wilful misconduct, personal injury, or where the law prohibits such a limitation.
8.6 Customer indemnity. The customer shall hold Hyvi LDA harmless against any claim by a third party or authority based on the data it imported, the submissions it transmitted, its use of the service or its breach of its regulatory obligations, and shall indemnify Hyvi LDA for resulting awards and reasonable defence costs.
8.7 Statutory limits. Nothing in these terms is intended to, or shall, exclude or limit Hyvi LDA's liability for gross negligence or wilful misconduct or for personal injury; set aside any public-policy obligation, in particular regarding personal data protection or tax obligations; set aside mandatory statutory warranties; or limit non-contractual liability where the law prohibits it. Each clause applies within the limits permitted by law.
8.8 Limitation period. Any claim by the customer under the contract is time-barred twelve months after the triggering event, to the extent permitted by Portuguese law.
Neither party is liable for a failure caused by force majeure or impossibility of performance within the meaning of Portuguese law. The following are additionally treated as force majeure by agreement, provided they are beyond the control of the party invoking them and their effects cannot be avoided by appropriate measures: widespread failure of energy or telecommunications networks, large-scale cyber attacks, and the failure or interruption of third-party services on which the service depends, in particular the hosting provider, the payment provider, the inference provider of the AI assistant and official sources (including EUDAMED). Affected obligations are suspended for the duration of the impediment; if it exceeds 60 days, either party may terminate the contract without indemnity.
Either party may terminate in the event of a material breach not remedied within 30 days of formal notice. Hyvi LDA may suspend access in the event of non-payment (Article 4) or use compromising the security of the service, after notification. The fate of data upon account closure is governed by Article 7 and Annex 1.
These terms are governed by Portuguese law. Failing amicable resolution within 30 days of notification of the dispute, any dispute relating to their formation, interpretation, performance or termination falls under the exclusive jurisdiction of the courts of the District of Porto (Portugal), including for urgent proceedings, notwithstanding multiple defendants or third-party claims.
Any notice, claim, formal demand or request relating to these terms (in particular under Articles 5 (renewal), 7 (reversibility) and 10 (suspension and termination)) shall be sent in writing to contact@eudamed-conforma.eu, or by post to the registered office of Hyvi LDA set out in the legal notice.
Notices from Hyvi LDA to the customer are sent to the e-mail address of the organisation's administrator account. It is for the customer to keep that address up to date: a notice sent to an address that has become invalid is deemed received.
Amendment. Hyvi LDA may amend these terms. Amendments apply to future licence and subscription periods. Hyvi LDA informs the customer in writing (in particular at the administrator's address) at least 30 days before they take effect. Continued use of the service after that date constitutes acceptance, unless the customer terminates for the following period under the conditions of Article 5. Amendments required by a change in applicable law or by a decision of an authority may take effect without that notice; Hyvi LDA then informs the customer as soon as possible.
No waiver. A party's failure to invoke a breach by the other party shall not constitute a waiver of the right to invoke it later.
Severability. If any provision is held void, unlawful or unenforceable, the remaining provisions remain in force; the affected provision is deemed replaced by a valid provision of equivalent economic effect, to the extent possible.
Entire agreement. These terms, the order and the documents to which they expressly refer constitute the entire agreement of the parties relating to the service and prevail over any prior exchange, document or agreement on the same subject.
This annex forms an integral part of the terms of sale. It constitutes the written contract required by Article 28(3) of Regulation (EU) 2016/679 and binds the parties as soon as the terms are accepted, without further formality. In the event of any conflict, it prevails over the body of the terms for everything concerning the processing of personal data carried out on the customer's behalf.
The customer is the controller of the personal data contained in the data it places in the service. It is for the customer to have a legal basis, to inform the data subjects and to place in the service only data it is entitled to entrust to a processor.
Hyvi LDA is the processor of that same data. It processes it only on the customer's behalf and on the customer's instructions; it determines neither its purposes nor its essential means, uses it for no purpose of its own, does not use it to train any model and does not share it with any other customer organisation.
This annex does not cover the processing for which Hyvi LDA acts as controller (accounts, organisations, invoicing, logs, contact requests, commercial prospecting): those are described in the privacy policy.
Subject matter. The performance of the services subscribed: hosting and retention of imported files, vigilance cases, document base documents and generated XML; validation and conversion of those files; splitting of documents into chunks, computation and retention of the corresponding vectors; document search; AI assistance; document translation.
Nature of the operations. Collection at the customer's initiative, recording, organisation, structuring, storage, text extraction, indexing, consultation, transmission to the inference provider when the customer triggers an assistance or translation feature, return, erasure.
Purpose. Solely the provision of the service to the customer, to the exclusion of any use of Hyvi LDA's own.
Duration. The duration of the contract, extended where applicable by the return period provided for in Article A1.11.
Categories of data: business identification and contact data (surname, first name, position, e-mail address, telephone, business address), together with any other personal data the customer chooses to include in the files, documents or texts it submits.
Categories of data subjects: persons responsible for regulatory compliance (PRRC), the customer's employees and counterparts, the contacts of its distributors, importers, authorised representatives, notified bodies and competent authorities, and more generally any person mentioned in the documents uploaded.
Exclusion. The customer undertakes not to place in the service any data falling within Article 9 GDPR, in particular health data and patient personal data, nor any data relating to criminal convictions. The service is neither designed nor dimensioned for such categories.
Hyvi LDA processes the data only on the customer's documented instructions. Its documented instructions consist of: these terms, this annex, the order, the settings of the customer's account and the actions the customer triggers in the application. Any other instruction must be given in writing.
If Hyvi LDA considers that an instruction infringes the GDPR or another data protection provision, it informs the customer without delay and may suspend performance of that instruction alone until the customer confirms, amends or withdraws it.
Access to customer data is restricted to those members of the Hyvi LDA team who need it in order to perform the contract, individually authorised and bound by a contractual confidentiality obligation surviving the end of their duties. Segregation by organisation is enforced at the level of the data itself and not only of the interface.
Hyvi LDA implements the appropriate technical and organisational measures described in the "Security" section of the privacy policy: encryption in transit (HTTPS/TLS), password hashing, strict per-organisation data segregation, login rate limiting, audit log, hosting within the European Union and daily backups with restricted access. Those measures may evolve, without any lowering of the level of security.
General authorisation. The customer gives Hyvi LDA a general written authorisation to engage sub-processors, within the meaning of Article 28(2) GDPR. Hyvi LDA imposes on them, by contract, data protection obligations equivalent to those of this annex and remains fully liable to the customer for the performance of their obligations.
Sub-processors in service as at the date of this version:
Stripe Payments Europe, Ltd is not a sub-processor under this annex: it processes payment data as a separate controller and has access to no data placed by the customer in the service.
Change of sub-processor. Hyvi LDA informs the customer in writing of any intended addition or replacement, at least 30 days before it goes into service. The customer may object in writing, giving reasons, within that period. Failing a solution acceptable to both parties, the customer may terminate the part of the contract concerned by the processing at issue, without indemnity and with a pro rata refund of sums paid in advance.
Taking into account the nature of the processing, Hyvi LDA assists the customer, by appropriate technical and organisational measures, in responding to requests to exercise the rights laid down in Articles 15 to 22 GDPR. The service gives the customer access to, export of, rectification of and deletion of its data, which enables it to handle most requests itself.
If a data subject request is addressed directly to Hyvi LDA and relates to data processed on the customer's behalf, Hyvi LDA does not answer it itself: it forwards it to the customer without delay and within 5 working days at the latest, and provides the reasonable assistance needed to answer within the one-month period of Article 12(3).
Personal data breach. Hyvi LDA notifies the customer of any personal data breach affecting data processed on its behalf, as soon as possible and at the latest 48 hours after becoming aware of it. The notification describes the nature of the breach, the categories and approximate number of data subjects and records concerned, the likely consequences and the measures taken or proposed. It is for the customer, as controller, to notify the supervisory authority and the data subjects where applicable.
Articles 32 to 36. Hyvi LDA provides the customer with reasonable assistance, taking into account the information available to it, as regards the security of processing, the data protection impact assessment and prior consultation of the supervisory authority.
Transfers outside the European Union. No transfer takes place outside the European Union, with the sole exception of the contents the customer itself submits to the AI assistance or to translation, transmitted to OpenRouter, Inc. under the conditions of Article 6 bis and under the European Commission's standard contractual clauses (Article 46 GDPR). That transfer results from an action of the customer, feature by feature; a customer who does not want it refrains from using those features.
Hyvi LDA makes available to the customer the information necessary to demonstrate compliance with the obligations of Article 28 GDPR. The customer may, once per calendar year and on 30 days' written notice, have a documentary audit carried out or, where justified by serious grounds, an on-site audit, by itself or by an independent auditor bound by confidentiality and not a competitor of Hyvi LDA. The audit takes place during business hours, without disrupting the service or exposing other customers' data; its costs are borne by the customer, unless it reveals a material failure by Hyvi LDA. A further audit may be required as of right following a personal data breach or a reasoned request from a supervisory authority.
Upon account closure or the definitive end of the contractual relationship (and not upon the mere switch to the Discovery plan under Article 5), the customer chooses between the return and the deletion of its data; failing a choice expressed within 30 days of the end of the contract, the data is deleted. Return is carried out in the standard formats provided for in Article 7 (original files, generated XML, uploaded documents).
Deletion covers imported files, vigilance cases, document base documents, the chunks and vectors derived from them, generated XML and texts awaiting translation. It takes place on active systems at the end of the 30-day period, then on backups at the end of the current backup cycle. No copy is kept beyond that, save for a statutory retention obligation, of which Hyvi LDA then informs the customer. Hyvi LDA certifies deletion in writing at the customer's request.
This annex takes effect for the whole duration of the contract and for as long as Hyvi LDA processes data on the customer's behalf. Its provisions on confidentiality, return and deletion survive the end of the contract. It is amended under the same conditions as the terms of sale, except where a change in applicable law or a decision of a supervisory authority requires an adaptation, in which case Hyvi LDA informs the customer in writing before implementing it.