Oracle NetSuite Hosting and Support Delivery Policies (French - Canada) (PDF)

Oracle NetSuite Politiques en matière d'hébergement et de prestation de services de soutien

Date d'entrée en vigueur

: le 8 avril 2024

Table des matières

Overview	Overview	4
Definitions	Definitions	6
I.	Oracle NetSuite Cloud Services Data Security Policies	7
A.	Oracle NetSuite Security Policy	7
B.	Oracle NetSuite Security Organization	7
C.	Data Storage and Handling	8
D.	Data Transmission	8
E.	Incident Reponse	8
F.	Change Management	9
G.	Server Operating Systems	9
H.	Access Control and Privilege Management	9
I.	User Accounts: Passwords, Access and Notification	9
J.	Oracle Responsibilities and Policy Controls	9
K.	Password Configuration	9
L.	Network Connectivity Security Requirements	10
M.	Audits and Certifications	10
N.	Data Center Environments and Physical Security	11
O.	Disaster Recovery	11
P.	Risk Assessments	12
Q.	Handling of Personal Information	12
R.	Sensitive Data	12
S.	Use of Services	12
T.	SECTION I EXCEPTIONS& EXCLUSIONS.	12
II.	Oracle NetSuite Support Services	12
A.	General	12
B.	Scope of Support Services	12
C.	Termination	13
D.	Incident Reporting and Response Times	13
E.	SECTION II EXCEPTIONS& EXCLUSIONS.	16

III.	Oracle NetSuite Service Level Commitment	16
A.	Service Availability	16
B.	Scheduled and Unscheduled Maintenance	16
C.	Service Credit Request	17
D.	Updates	17
E.	Notice	17
F.	SECTION III EXCEPTIONS & EXCLUSIONS:	17
IV.	Oracle NetSuite Response Services Requirements	17
A.	General	17
B.	Response Services Requirements& Descriptions	18
C.	Termination	18
D.	Other	19
E.	SECTION IV EXCEPTIONS AND EXCLUSIONS:	19

APERÇU

Les présentes Politiques d'Oracle NetSuite en matière d'hébergement et de prestation de services de soutien (les présentes « politiques d'hébergement ») décrivent le service infonuagique comme il est défini dans la convention (définie cidessous). Les présentes politiques d'hébergement s'appliquent seulement si elles sont indiquées par renvoi dans la convention du client ou dans le formulaire d'estimation ou de commande Les présentes politiques d'hébergement doivent être passées en revue en conjonction avec les exceptions aux Politiques d'Oracle NetSuite en matière d'hébergement et de prestation de services de soutien (« politique sur les exceptions ») qui présentent en détail toutes les exceptions aux présentes politiques d'hébergement. Les politiques sur les exceptions se trouvent à l'adresse https://www.oracle.com/corporate/contracts/cloud-services/netsuite/.

Les présentes politiques d'hébergement peuvent faire référence à d'autres documents d e politique infonuagique Oracle. Toute référence à « vous » dans les présentes politiques d'hébergement ou dans d'autres documents de politique sera réputée faire référence au « client », comme défini dans le formulaire d'estimation/commande (« commande ») ou dans la convention. Aux fins des présentes politiques d'hébergement, (1) le terme « convention » désigne la convention applicable indiquée par renvoi dans la commande du client qui régit l'utilisation du service infonuagique par le client et qui fait r éférence à ces politiques. En outre, ce qui suit s'applique aux présentes politiques d'hébergement :

• Dans les présentes politiques d'hébergement, les références aux termes suivants ont la même signification que celle qui leur est attribuée dans la Conventi on sur les services d'abonnement pour NetSuite Connectors : (a) le terme « client » inclut le terme « abonné », (b) le terme « données du client » inclut le terme « données de l'abonné » et (c) le terme « durée » inclut la « durée initiale » et toute « durée de renouvellement ».
• Dans les présentes politiques d'hébergement, les références à la « période des services » désignent la durée des services infonuagiques achetés par le client, comme indiqué dans la commande du client (par exemple, 12 mois).

Les term es qui n'ont pas d'autre définition dans les présentes politiques d'hébergement ont la signification qui leur est attribuée dans la convention (y compris les documents incorporés dans la convention) ou dans la commande du client, le cas échéant.

La commande du client ou la convention peut inclure des détails supplémentaires ou des exceptions concernant des services infonuagiques particuliers. Les services infonuagiques sont fournis en vertu des conditions de la convention et de la commande du client applicables. La prestation des services infonuagiques par Oracle est conditionnelle au respect des obligations et responsabilités de conformité du client et des utilisateurs du client définies dans lesdits documents et dans les politiques qui y sont inc orporées. Les présentes politiques d'hébergement, et les documents qui sont référencés aux présentes sont susceptibles d'être modifiés à la discrétion d'Oracle; cependant, les modifications de la politique par Oracle n'entraîneront pas une réduction import ante du niveau de performance, de fonctionnalité, de sécurité ou de disponibilité des services infonuagiques fournis pendant la période des services de la commande du client.

Les présentes politiques d'hébergement ne s'appliquent à aucune application de tierce partie (comme défini dans la convention), à aucun service vendu par Oracle et qui est assujetti à des conditions différentes (autres que celles de la convention) y compris, mais sans s'y limiter, les services NetSuite d'exécution de la paie, ou selon d'autres indications précisées dans la commande du client (y compris dans la description des éléments applicables ou dans les descriptions des services). Les exceptions

supplémentaires aux présentes politiques d'hébergement sont indiquées dans la politi que sur les exceptions.

DÉFINITIONS

Le terme « soutien client avancé » désigne un service géré, proposé par Oracle sur la base d'un abonnement. Le soutien client avancé est fourni par Oracle pour aider les clients dans leur utilisation du service infonuagique ou de ses composants particuliers.

Le terme « solution de rechange » désigne une solution ou une correction d'un incident qui permet au service infonuagique de fonctionner de manière suffisamment conforme aux guides de l'utilisateur.

Le terme « contacts autorisés » désigne les employés du client ou ses mandataires désignés ou autorisés qui : (i) ont suffisamment d'expertise technique, de formation ou d'expérience avec le service infonuagique pour remplir les obligations du client comme indiqué aux présentes; (ii) ont la responsabilité de toutes les communications avec Oracle en ce qui concerne les services de soutien NetSuite décrits à l'article II des présentes politiques d'hébergement, y compris la soumission de cas et de rapports d'incidents; et (ii i) sont autorisés par le client à demander et à recevoir des services de soutien pour le service infonuagique au nom du client.

Le terme « soutien de base » désigne les services de soutien de base Oracle décrits aux présentes et inclus dans un abonnement actuel au service infonuagique. En outre, la couverture du soutien de base pour les problèmes de gravité 1 est prolongée à 24x7.

Le terme « jours ouvrables » désigne les jours du lundi au vendredi pendant les heures d'ouverture normales, à l'exclusion des jours fériés de l'entreprise Oracle.

Le terme « communications électroniques » désigne tous les transferts de signes, de signaux, de textes, d'images, de sons, de données ou de renseignements de toute nature transmis en tout ou en partie de manière électron ique, reçus ou transmis par l'entremise des services.

Le terme « demande d'amélioration » désigne une demande du client pour un ajout de fonctionnalité ou une amélioration de performance au-delà des spécifications du service infonuagique et qui ne fait pas partie des services de soutien.

Le terme « soutien de premier niveau » désigne tout soutien concernant les appels provenant des clients du client, des utilisateurs finaux ou des sociétés affiliées, ou de la résolution générale des erreurs des utilisateurs , des erreurs de réseau, des erreurs de provisionnement, des délais ou d'un mauvais fonctionnement de l'Internet.

Le terme « incident » désigne une question de soutien ou de défaillance reproductible unique du service infonuagique pour qu'il se conforme en grande partie aux fonctions ou aux spécifications décrites dans les guides de l'utilisateur, la défaillance étant rapportée par un contact autorisé.

Le terme « heures d'ouverture normales » désigne les heures de 8 heures à 18 heures pendant les jours ouvr ables dans le fuseau horaire de l'adresse du siège social du client indiquée dans la convention.

Le terme « soutien Premium » désigne le niveau amélioré des services de soutien Oracle. En plus des services de soutien de base décrits aux présentes, si le client est admissible au soutien Premium, il bénéficiera d'heures d'ouverture normales de soutien pour les problèmes de gravité 1 et de gravité 2, prolongées à une couverture 24x7 avec des objectifs améliorés de délai d'intervention et des contacts autorisés supplémentaires.

Le terme « centre de données principal l » désigne le centre de données principal dans lequel sont stockées les données du client.

Le terme « informations nominatives » a le même sens que le terme « données à caractère personnel », « rense ignements permettant d'identifier une personne » ou un terme équivalent employé dans la législation en vigueur sur la protection des données.

Le terme « protections » désigne les protections physiques et techniques.

Le terme « incident de sécurité » désigne une divulgation non autorisée actuelle, ou un doute raisonnable d'Oracle selon lesquels une divulgation non autorisée des données du client, qui contiennent des renseignements non cryptés, a eu lieu pour toute personne ou entité non autorisée.

Le terme « SuiteAnswers » désigne le portail de soutien en ligne accessible 24x7.

Le terme « services de soutien » désigne les services de base et les services de soutien Premium en option pour le service infonuagique fourni par Oracle en vertu des conditions indiquées aux présentes et définies plus en détail dans la convention, mais n'inclut pas le soutien de premier niveau ou les demandes d'amélioration. Le niveau des services de soutien du client sera déterminé par le niveau des services de soutien que ledi t client a obtenu. Les services de soutien peuvent être proposés en d'autres langues, si disponibles, à l'entière discrétion d'Oracle.

I. POLITIQUES DE SÉCURITÉ DES DONNÉES DES SERVICES INFONUAGIQUES ORACLE NETSUITE

En ce qui concerne le service infonuagique fourni dans la commande Oracle applicable, Oracle maintient des protections administratives commercialement raisonnables conçues pour la protection, la confidentialité et l'intégrité des données du client. Toutes ces protections sont proportionnelles à l' importance des données du client étant protégées, mais en aucun cas elles ne sont moindres que les protections utilisées par Oracle pour protéger ses propres renseignements ou données d'importance similaire, ou selon les exigences de la loi en vigueur.

Le s protections décrites aux présentes s'appliquent pendant la période des services de la commande du client; cependant, les protections décrites dans les présentes politiques d'hébergement ne sont pas complètes et lesdites protections peuvent changer pendant la période des services de la commande applicable, car les vérifications de sécurité de tierces parties, les normes de conformité ou les certifications évoluent/changent au cours du temps, dans la mesure où tous lesdits changements aux protections ne réduisent pas de manière importante la sécurité générale du service infonuagique pendant la période des services de la commande applicable.

Pendant la période des services, Oracle se conformera à toutes les obligations concernant les données du client, y compris, sans s'y limiter, les obligations d'Oracle de gérer des protections commercialement raisonnables comme indiqué aux présentes.

A. Politique de sécurité Oracle NetSuite

Oracle possède et gère une politique de sécurité pour son organisation de la sécurité, qui exige une formation sur la sécurité et sur la confidentialité dans le cadre d'un groupe de formations destinées au personnel de sécurité Oracle qui prend en charge le service infonuagique.

B. Organisation de la sécurité Oracle NetSuite

Oracle possède et continue à posséder une organisation dédiée à la sécurité qui est responsable de la surveillance continue de l'infrastructure de sécurité Oracle, de l'examen des produits et services Oracle et des interventions lors d'incidents de sécurité .

C. Stockage et gestion des données

Le support de stockage et tout équipement ayant une capacité de stockage, y compris les supports mobiles utilisés pour stocker les données du client, sont sécurisés et renforcés conformément aux normes pratiquées dans l'industrie, com me :

• i. Le maintien par Oracle d'une politique raisonnable de gestion des biens pour gérer le cycle de vie (mise en service, exploitation, entretien, gestion, modification, réparation et mise hors service/élimination) des supports en question;
• ii. Les supports mis hors service, qui contiennent des données du client, sont détruits conformément au NIST 800-88, au niveau modéré de sensibilité (ou selon une norme similaire de destruction des données);
• iii. Les données du client sont segmentées de manière logique par rappor t aux données d'Oracle et à celles d'autres clients d'Oracle; et
• iv. Dans le service infonuagique, les champs de bases de données désignés pour des renseignements sur des données de carte de crédit et des numéros de sécurité sociale sont cryptés et Oracle ne traite pas de telles données du client dans des tests, pour un développement ou dans des environnements de hors production.

D. Transmission de données

L'accès du client au service infonuagique a lieu par l'entremise d'un protocole de communication sécurisé spécifié par Oracle. Le client comprend que le traitement technique et la transmission des communications électroniques du client sont sont essentiels pour l'utilisation du service infonuagique. Il incombe au client d'assurer la sécurité de toute connexion In ternet par DSL, par câble ou par toute autre connexion Internet à haute vitesse et de mettre à jour le logiciel du « navigateur » afin d'utiliser le service infonuagique. Le client consent expressément à ce qu'Oracle intercepte et stocke les communications électroniques ou les données du client selon les besoins aux fins de prestation des services, et le client reconnaît et comprend que ses communications électroniques exigeront une transmission sur Internet et sur plusieurs réseaux dont seulement une partie pourrait appartenir à Oracle ou être exploitée par Oracle. Le client reconnaît et accepte également que les communications électroniques pourraient faire l'objet d'un accès par des parties non autorisées lorsqu'elles sont communiquées sur Internet, par des installations de communication réseau, par des téléphones ou par d'autres moyens électroniques. Sans limiter les obligations qui s'appliquent à Oracle en vertu des articles sur la sécurité ou sur la confidentialité de la présente convention, Oracle ne peut pas assumer la responsabilité de toute communication électronique ou de toutes données du client qui subissent un retard, une perte, une modification, une interception ou un stockage pendant la transmission de toutes données, quelles qu'elles soient, sur des réseaux n'appartenant pas à Oracle ou n'étant pas exploités par Oracle, y compris, sans toutefois s'y limiter, l'Internet et le réseau local du client.

Oracle utilise une cryptographie robuste et des protocoles de sécurité conformes aux normes de l'industrie, comme indiqué dans la documentation des guides de l'utilisateur pour le service infonuagique.

E. Intervention en cas d'incident

Oracle surveille plusieurs canaux de communication pour y détecter des incidents connus, et l'équipe de sécurité Oracle réagit promptement auxdits incidents. Lors d'un incident de sécurité, Oracle : (i) avise le client conformément aux obligations d'Oracle en vertu de la loi en vigueur ou des exigences réglementaires, dans la mesure où une loi en vigueur sur la violation de sécurité s'applique à cet

incident de sécurité; et (ii) effectue un test de pénétration après avoir mis en œuvre des mesures correctives, le cas échéant, avec un sommaire des résultats de test qui est fourni au client, et ces résultats sont réputés être d es renseignements confidentiels d'Oracle.

Les incidents liés aux renseignements personnels sont gérés conformément aux dispositions indiquées dans la Convention sur le traitement des données Oracle.

F. Gestion des modifications

Oracle maintient une politique de gestion des modifications pour assurer le contrôle des modifications de l'organisation, des processus commerciaux, des installations et des systèmes de traitement des informations qui ont un impact sur la sécurité des informations.

G. Systèmes d'exploitati on du serveur

Les serveurs Oracle utilisent une mise en œuvre de système d'exploitation renforcée et personnalisée pour le service infonuagique. Oracle maintient une politique de gestion des correctifs établissant des priorités basées sur le risque.

H. Gestion du contrôle de l'accès et des privilèges

Oracle utilise des systèmes et des processus pour limiter l'accès physique et logique en fonction de privilèges minimaux et de la séparation des tâches pour assurer un accès aux données critiques uniquement par le personnel Oracle autorisé.

I. Comptes d'utilisateurs : mots de passe, accès et notification

Le client contrôle la création, la suppression et la suspension des rôles d'utilisateurs dans le service infonuagique, comme l'indique la documentation des guides de l'utilisateur du service. Le service infonuagique permet au client d'effectuer des fonctions administratives.

Le client doit autoriser l'accès et attribuer des mots de passe et des noms d'utilisateurs uniques à ses utilisateurs. Le client a la respon sabilité de la confidentialité et de l'utilisation des mots de passe et des noms d'utilisateurs des utilisateurs. Le client doit également assumer la responsabilité de toutes les communications électroniques, y compris celles contenant des renseignements commerciaux, des inscriptions à un compte, des renseignements sur des titulaires de compte, des informations financières, des données concernant les clients, ainsi que toutes autres données de toutes sortes contenues dans des courriels ou autrement saisies par voie électronique au moyen du service infonuagique ou par l'entremise du compte du client. Oracle agira comme si toutes les communications électroniques qu'elle reçoit à la suite de l'utilisation des mots de passe, des noms d'utilisateur ou des numéros de compte du client auront été envoyées par le client. Le client doit également faire des efforts commercialement raisonnables pour prévenir tout accès non autorisé au service infonuagique, y compris son utilisation non autorisée, et doit aviser rapidemen t Oracle advenant un tel cas, ainsi qu'en cas de perte, de vol ou d'utilisation non autorisée de tous mots de passe, noms d'utilisateur ou numéros de compte du service infonuagique.

J. Responsabilités d'Oracle et contrôles de la politique

Oracle met en œuvre des mesures pour s'assurer que les données du client sont traitées uniquement en conformité aux conditions de la convention.

K. Configuration des mots de passe

Comme indiqué dans les guides de l'utilisateur pour le service infonuagique applicable, certains se rvices infonuagiques permettent au client d'appliquer ses propres mots de passe et politiques

d'authentification par l'entremise de paramètres de politique configurables du service et lorsqu'il utilise une fonctionnalité de signature unique dans le service infonuagique.

L. Exigences de sécurité pour la connectivité réseau

Oracle protège son infrastructure par de multiples niveaux de périphériques en réseau sécurisé. Tout accès à distance aux environnements du service infonuagique par le personnel d'Oracle ayan t accès aux données du client doit être effectué par une ou plusieurs des méthodes suivantes : réseau privé virtuel, authentification à facteurs multiples, authentification mutuelle, cote de confiance du client, ou d'autres méthodes d'authentification qui permettent un niveau de sécurité égal ou supérieur.

M. Vérifications et certifications

Les vérifications et certifications de sécurité suivantes sont pertinentes pour le service infonuagique, comme indiqué ci-dessous :

• i. PCI DSS. Les Normes de sécurité des donn ées de l'industrie des cartes de paiement (Payment Card Industry Data Security Standard ou PCI DSS) sont des normes de sécurité des renseignements à l'échelle mondiale pour les organisations qui gèrent des cartes de crédit de marque comme Visa, Master Card, American Express, etc. Les normes de la PCI sont mandatées par les marques de cartes et gérées par le Payment Card Industry Security Standards Council. Pendant la période des services, Oracle doit maintenir la conformité aux PCI DSS pour les parties du service infonuagique désignées par Oracle pour le stockage et le traitement des données de carte de crédit.

2. Il incombe au client de s'assurer que son utilisation du service infonuagique pour stocker ou traiter des données de carte de crédit est conforme aux exigences des PCI DSS et il ne doit pas stocker des données de carte de crédit et de sécurité sociale dans le service infonuagique sauf dans les champs ayant été cryptés et désignés pour de telles données. Tous les changements effectués au service infonuagique par ou au nom du client peuvent avoir une incidence sur la conformité du client aux exigences des PCI DSS et le client assume l'entière responsabilité de s'assurer que tous ces changements sont conformes aux exigences des PCI DSS.

• ii. Attestations du rapport SOC . L'American Institute of CPAs (AICPA) a établi des cadres de travail pour les contrôles de l'organisation et du système (SOC ou System and Organization Controls) afin d'évaluer et de produire des rapports sur l'efficacité des contrôles d'un organi sme de service qui répondent aux besoins particuliers d'un utilisateur. En ce qui concerne le service infonuagique, Oracle doit assurer la production de rapports annuels d'attestation par de tierces parties conformément à l'AICPA et à l'IFAC Standards for Assurance Engagements :
• a. Oracle doit assurer la production d'un rapport annuel SOC 1 / ISAE 3402 Type II.
• b. Oracle doit assurer la production d'un rapport annuel SOC 2 Type II pour les attributs de sécurité, de disponibilité et de confidentialité.
• c. Tout résultat important qui entraîne une opinion avec réserve dans les rapports SOC fera l'objet d'une réponse rapide avec développement et mise en œuvre d'un plan de mesures correctives par la direction d'Oracle.
• iii. ISO 27001. ISO 27001 est une norme internationale dom inante publiée par l'Organisation internationale de normalisation (« ISO ») et la Commission électronique internationale (« IEC ») pour la mesure des systèmes de gestion de la sécurité de l'information (« ISMS ou information security management systems »). Cette norme précise les exigences d'établissement, de mise

en œuvre, d'exploitation, de surveillance, de revue, de gestion et d'amélioration d'un ISMS documenté.

Oracle doit assurer l'exécution d'une vérification de certification par une tierce partie de l'ISMS d'Oracle par rapport aux exigences de la norme ISO 27001.

• iv. Le client peut soumettre à son directeur de comptes une demande de copie finale des rapports suivants : a) SOC 1 / ISAE 3402 Type II; b) SOC 2 Type II; et (c) certificat et déclaration d'applicabilité (« SOA ») (Statement of Applicability) ISO 27001. Tous lesdits rapports, certificats et documents connexes fournis par Oracle en lien avec le présent article I.M.iv sont réputés être des renseignements confidentiels d'Oracle.
• v. Si des vérifications, des normes ou des certifications similaires de tierces parties sont proposées à l'avenir, Oracle peut choisir de les exécuter ou d'obtenir une certification de telles normes établies dans l'industrie, selon le choix d'Oracle, au lieu de celles indiquées au présent article I.M.

N. Environnements du centre de données et sécurité physique

Les informations qui suivent présentent une description générale des divers environnements de centre de données Oracle et des efforts déployés pour assurer leur sécurité physique.

Les centres de données exécutant les services infonuagiques dans l'infrastructure infonuagiq ue Oracle (« OCI ») (Oracle Cloud Infrastructure) sont régis par l'article 1.2, « Mesures de protection matérielle » et par l'article 2.1, « Stratégie de haute disponibilité des services infonuagiques Oracle », des Politiques d'Oracle en matière d'hébergem ent et de prestation de services infonuagiques accessibles à l'adresse www.oracle.com/contracts/cloud-services ou à d'autres URL désignées par Oracle.

O. Reprise après sinistre

Oracle gère un plan interne de reprise après sinistre (« plan interne de reprise après sinistre ») qui vise à fournir une capacité de restauration du service des comptes de production du client en cas de sinistre, comme déclaré par Oracle, à son entière discrétion. Si Oracle détermine qu'un événement constitue un sinistre exigeant l'exécution de son plan interne de reprise après sinistre, Oracle travaillera à restaurer les environnements de production du service infonuagique touché.

Le terme objectif de temps de reprise : (« RTO ») (Recovery Time Objective ) désigne l'objectif d'Oracle pour la période maximum entre la décision d'Oracle d'activer les processus décrits aux présentes et le point auquel le client peut reprendre les opérations de production dans un autre site. Si la décision d'activer le processus de reprise après sinistre a lieu pendant une période d'exécution de mise à niveau, le processus de reprise après sinistre est lancé et terminé en premier, et suivi par l'achèvement de la mise à niveau.

Le terme objectif de point reprise : (« RPO » ou Recovery Point Objective) désigne l'objectif d'Oracle pour la période maximum de perte de données mesurée en tant que moment depuis la perte de la première opération jusqu'au moment de l'occur rence du sinistre (comme reconnu par Oracle). Le RPO ne s'applique à aucune charge de données en cours lors de l'occurrence du sinistre.

À moins d'indications contraires dans la politique des exceptions, (1) le RTO pour les services infonuagiques est de 12 heures (2) le RPO pour les services infonuagiques est de 1 heure.

Si le service infonuagique ne réalise pas le RTO, le recours unique et exclusif du client est l'obtention d'un crédit de service lui permettant d'utiliser le service infonuagique conformém ent aux conditions de l'article III. (Engagement envers le niveau de service Oracle NetSuite)

Le client peut subir certains retards dans l'exploitation du service infonuagique pendant la durée du sinistre.

Pendant les événements de basculement actif ou pendant les opérations de reprise, la livraison par Oracle des correctifs non critiques, de même que les demandes d'amélioration, sont suspendues.

P. Évaluations du risque

Oracle effectue chaque année une évaluation du risque du service infonuagique. Cette évaluation inclut une évaluation des risques dans les domaines de la confidentialité, de l'intégrité et de l'accessibilité des données du client qui résident dans le service infonuagique, de même qu'un plan, documenté dans sa politique de sécurité, pour corriger ou atténuer ces risques à un niveau de risque résiduel acceptable selon la détermination d'Oracle, à son entière discrétion.

Q. Gestion des renseignements personnels

Oracle traite les renseignements personnels dans le cadre d'une disposition de ses service s conformément à sa convention applicable et assume la responsabilité de se conformer à ses obligations respectives en vertu des lois en vigueur sur la protection des données. Lors de la gestion et du traitement des renseignements personnels, Oracle met en œuvre et gère des mesures de sécurité organisationnelles et techniques pertinentes conçues pour prévenir la destruction accidentelle ou illégale, la perte, la modification, la divulgation non autorisée de renseignements personnels ou leur accès illicite.

R. Données sensibles

Il incombe au client de s'assurer que les données sensibles (p. ex., numéros de sécurité sociale/assurance sociale) sont seulement stockées dans les champs désignés et cryptés pour recevoir de telles données.

S. Utilisation des services

Le service infonuagique ne peut pas être livré à des utilisateurs au Venezuela ou faire l'objet d'un accès par ceux-ci; et le service infonuagique ou tout résultat des services ne peuvent pas être utilisés pour l'avantage de toute personne ou entité au Venezuela y compris, sans s'y limiter, le gouvernement du Venezuela.

T. ARTICLE I EXCEPTIONS ET EXCLUSIONS

Veuillez consulter le document Exceptions aux politiques d'Oracle NetSuite en matière d'hébergement et de prestation de services de soutien à l'a dresse https://www.oracle.com/corporate/contracts/cloud-services/netsuite/ pour y trouver des exceptions et des exclusions à l'article I.

II. SERVICES DE SOUTIEN ORACLE NETSUITE

A. Généralités

Sous réserve de l'obtention par le client des services de soutien (comme défini aux présentes) les conditions du présent article II (les « conditions relatives au soutien ») décrivent la prestation par Oracle de services de soutien destinés au client en vertu des conditions de la convention et des présentes conditions, conformément au niveau de services de soutien obtenu par le client.

B. Portée des services de soutien

• i. Sous réserve des présentes conditions relatives au soutien, Oracle répondra à tous les incidents pouvant survenir à la suite de l'utilisation du service infonuagique par le client, conformément aux articles II.D (Rapport d'incident et délais d'intervention) et II.E (Exclusions et exceptions des services de soutien) ci-dessous.
• ii. Oracle n'a aucune obligation de fournir des services de soutien en ce qui a trait :
• a. à toutes adaptations, configurations ou modifications du service infonuagique effectuées par le client ou par toute tierce partie, y compris celles effectuées au moyen de SuiteScript ou de JavaScript;
• b. au soutien de premier niveau, qui sera fourni par le client;
• c. aux demandes d'amélioration; ou
• d. à tous les éléments exclus en vertu de l'article II.E (Exclusion et exception des services de soutien)
• iii. Oracle peut offrir des services professionnels ou du soutien client avancé pour aider à résoudre des problèmes hors de la portée des services de soutien. Tout engagement de services professionnels ou de soutien client avancé sera fourni en vertu d'une convention distincte ou sera assujetti à la convention, de même qu'aux frais de consultation et aux conditions d'Oracle alors en vigueur.

C. Résiliation

Nonobstant toute indication contraire en vertu des présentes ou dans la convention applicable, les présentes conditions relatives au soutien seront résiliées lors de l'expiration ou de la résiliation de la convention ou lors de l'expiration ou de la résiliation du droit d'accès par le client au service infonuagique applicable.

D. Production de rapport d'incident et délais d'intervention

• i. Contacts autorisés . Tous les rapports d'incident doivent être communiqués à Oracle par le ou les contacts autorisés. SuiteAnswers est la méthode principale à utiliser par un client pour signaler un incident. Nonobstant ce qui précède, les clients qui obtiennent le soutien de base peuvent aviser Oracle des incidents S1 (définis dans la section II.D [Niveaux de gravité]) par téléphone si l'accès du client à l'application SuiteAnswser n'est pas disponible. Les clients qui obtiennent le soutien Premium peuvent aviser Oracle des incidents S1 et S2 (définis à l'article II.D.iii [Niveaux de gravité]) par téléphone si l'accès au client à l'application SuiteAnswer n'est pas disponible. De temps à autre, le client peut substituer u n ou plusieurs contacts autorisés en envoyant à Oracle un avis écrit et préalable, y compris les coordonnées pertinentes pour tout nouveau contact autorisé.

Nombre permis de contacts autorisés admissibles

• o Soutien de base : 2

• o Soutien Premium : 4

• ii. Informations requises . Tous les rapports d'incident doivent inclure, le cas échéant :

• a. Le numéro d'identification du client, fourni dans le cadre de la prestation.

• b. Des instructions détaillées qui permettent à Oracle de reproduire l'utilisation particulière ayant causé l'incident rapporté.

• c. Une formulation exacte de tous les messages d'erreur correspondants.

• d. Une description complète de l'incident et des résultats attendus.

• e. Toutes les circonstances particulières entourant la découverte de l'incident.

• f. En ce qui concerne les incidents S1, fournir un point de contact supplémentaire.

Oracle peut partager de telles informations, ainsi que d'autres informations sur les incidents avec ses soustraitants, fournisseurs ou fournisseurs d'applications tiers pour faciliter la prestation par Oracle des services de soutien décrits aux présentes.

• iii. Niveaux de gravité. Oracle collabore avec le client et attribue le niveau de gravité approprié à tous les incidents, selon les définitions ci-dessous (chacun un « niveau de gravité »). Les niveaux de gravité sont attribués pour permettre l'établissement des priorités des incidents entrants. Oracle peut reclasser les incidents en fonction de leur impact actuel sur le service infonuagique et sur les activités commerciales selon les descriptions ci-dessous. Si Oracle détermine qu'un incident est en fait une demande d'amélioration, il n'est pas pris en compte dans le cadre des présentes conditions relatives au soutien. Les niveaux de gravité sont définis comme :

• a. Le terme « niveau de gravité 1 » ou « S1 (critique) », qui désigne un incident où l'utilisation par le client du service infonuagique en mode de production subit un impact grave qui empêche le client de poursuivre des activités commerciales raisonnables. Cet incident peut entraîner une interruption importante et immédiate des activités commerciales du client qui causera une perte de données du client ou restreindra la disponibilité desdites données ou aura des conséquences financières notables.

• b. Le terme « niveau de gravité 2 » ou « S2 » (significatif), qui désigne un incident où une ou plusieurs fonctions importantes du service infonuagique ne sont pas disponibles alors qu'aucune solution de rechange n'est acceptable. La mise en œuvre du client ou l'utilisation de la production du service infonuagique continue, mais n'est pas arrêtée; toutefois cet incident a un impact important sur les activités commerciales du client.

• c. Le terme « niveau de gravité 3 » ou « S3 (moins significatif) », qui désigne un incident où : (a) des fonctionnalités importantes du service infonuagique ne sont pas disponibles, mais une solution de remplacement est disponible, ou (b) des fonctionnalités moins importantes du service infonuagique ne sont pas disponibles et sans solution de remplacement raisonnable; les clients subissent une perte mineure de fonctionnalité d'activité commerciale ou un impact sur les ressources de mise en œuvre, ou (c) le client pose des questions concernant les fonctionnalités de base du service infonuagique. Cette catégorie est seulement proposée aux clients qui achètent le soutien Premium.

• d. Le terme « niveau de gravité 4 » ou « S4 (minimal) », qui désigne un incident qui a un impact minimal sur les activités commerciales ou sur une fonctionnalité de base du service infonuagique. Cette catégorie est seulement proposée aux clients qui achètent le soutien Premium.

• iv. Obligations d'Oracle. Oracle autorisera l'accès aux services de soutien pendant les heures d'ouverture normales pour permettre au client de produire des rapports d'incidents et de recevo ir de l'assistance. À la réception d'un rapport d'incident, Oracle établira s'il y a un incident pour lequel le client est admissible au service de soutien en vertu des présentes conditions relatives au soutien et, si c'est le cas, Oracle :

• a. Validera la réc eption du rapport d'incident et avisera le client du numéro de cas que les deux parties doivent utiliser dans toutes les communications au sujet de l'incident en question.

• b. Collaborera avec le client pour définir un niveau de gravité de l'incident basé sur les critères stipulés aux présentes.

• c. Analysera l'incident et vérifiera l'existence du problème.

• d. Donnera au client des directives et de l'assistance pour la résolution de l'incident en vertu des conditions décrites aux présentes.

v. Objectifs de délai d'interv ention.

	Niveau de gravité 1	Niveau de gravité 2	Niveau de gravité 3	Niveau de gravité 4
Soutien de base	2 heures	Sans objet 1	Sans objet 2	Sans objet
Soutien Premium	1 heure	2 heures	8 heures	2 jours ouvrables

1 Remarque : En ce qui concerne les clients qui ont acheté du soutien avant le 1er décembre 2019, le délai d'intervention pour S2 est de 4 heures.

1 Remarque : En ce qui concerne les clients qui ont acheté du soutien avant le 1er décembre 2019, le délai d'intervention pour S3 est de 2 jours ouvrables.

vi. Obligations du client.

• a. L'obligation d'Oracle de fournir des services en vertu des présentes conditions relatives au soutien est subordonnée aux obligations suivantes du client :

1. payer tous les frais applicables aux services de soutien avant la date du rapport d'incident;
2. obtenir un accès valide au service infonuagique;
3. fournir à Oracle une assistance raisonnable ainsi que des données, des informations et du matériel raisonnablement nécessaires;
4. fournir, installer et gérer tous les équipements, lignes téléphoniques, interfaces de communication et autres matériels et logiciels nécessaires pour accéder au service infonuagique;
5. fournir tout le soutien de premier niveau;
6. fournir les coordonnées pertinentes de tous les contacts autorisés;
7. utiliser la base de connaissances de SuiteAnswers pour la recherche autonome de solutions connues, et
8. utiliser le portail de production de rapports d'incident de SuiteAnswers pour consigner tous les cas d'incident, sauf pour les clients du soutien de base qui sont autorisés à consigner les incidents S1 et les clients du soutien Premium qui sont autorisés à consigner les incidents S1 et S2 par téléphone, comme indiqué article II.D.i (Contacts autorisés).

• b. Pendant la durée de la période initiale et pendant toute la (les) durée(s) de renouvellement choisie(s) pour laquelle ou lesquelles le client a acheté des services de soutien, le client doit acheter et gérer le même niveau de service de soutien pour tous les utilisateurs du service infonuagique (y compris, sans s'y limiter, toutes les licences supplémentai res achetées

ultérieurement par le client). Par souci de clarté, le client ne peut pas choisir d'acheter ou de renouveler des services de soutien pour seulement une partie de son service ou de ses utilisateurs pouvant accéder au service, et le client ne peut pas acheter des niveaux différents de soutien pour une partie de ses utilisateurs.

E. ARTICLE II EXCEPTIONS ET EXCLUSIONS.

Veuillez consulter le document Exceptions aux politiques d'Oracle NetSuite en matière d'hébergement et de prestation de services de soutien à l'adresse https://www.oracle.com/corporate/contracts/cloud-services/netsuite/ pour y trouver des exceptions et des exclusions à l'article II.

III. ENGAGEMENT ENVERS LE NIVEAU DE SERVICE ORACLE NETSUITE.

Pendant la durée, le service infonuagique répondra au niveau de service spécifié aux présentes. Si le service infonuagique n'atteint pas le niveau de service, le client sera admissible, en guise de recours exclusif, à un crédit de service infonuagique conformément aux conditions indiquées aux présentes.

A. Disponibilité du service

Oracle s'engage à fournir une disponibilité de 99,7 % en ce qui concerne le service infonuagique commandé par le client pendant chaque mois civil de la période des services pour la commande applicable, à l'exclusion des périodes de maintenance programmée (« disponibilité du service »). Si, dans tout moi civil, Oracle ne peut pas fournir cette disponibilité du service et que le client subit un impact négatif (il a essayé d'ouvrir une session ou d'accéder au service infonuagique et n'a pas réussi à cause d'un temps d'arrêt non planifié, comme défini ci -dessous), Oracle fournira en tant que recours unique et exclusif, un crédit de service basé sur les frais mensuels d'utilisation du serv ice infonuagique :

Disponibilité du service	<99,7 %et >= 99,5%	<99,5 %et >= 99,0%	< 99,0%
Crédit de service	10%	15%	25%

Oracle mesure la disponibilité du service de chaque mois civil en divisant la différence entre le nombre total de minutes dan s la période de mesure mensuelle et tout temps d'arrêt non planifié par le nombre total de minutes dans la période de mesure et en multipliant le résultat par 100 pour obtenir un pourcentage. Le terme « temps d'arrêt non planifié » désigne tout temps pendant lequel un problème du service infonuagique empêche le client d'ouvrir une session dans le service infonuagique ou d'accéder audit service. Oracle calcule tout temps d'arrêt non planifié en utilisant les journaux du système et autres dossiers d'Oracle. Le temps d'arrêt non planifié n'inclut pas toute période pendant laquelle le service infonuagique n'est pas disponible en raison de toute suspension ou résiliation du service infonuagique applicable, ou de toute autre non-disponibilité ou de tout problème de performance résultant de l'équipement du client ou d'une tierce partie, de logiciels, de services ou d'autres technologies (sauf l'équipement ou les services d'une tierce partie sous le contrôle direct d'Oracle).

B. Maintenance programmée et non programmée

La maintenance programmée n'est pas prise en compte comme un temps d'arrêt non planifié aux fins du calcul d'un crédit de service, comme indiqué dans le tableau ci -dessus. La maintenance est considérée comme « programmée » si elle est communiquée (i) conformément à la section III.E (Avis),

indiqué ci-dessous et (ii) au moins deux jours ouvrables complets avant la maintenance programmée, bien qu'Oracle s'efforce de communiquer une maintenance programmée au moins une semaine à l'avance lorsque cela est possi ble. Une maintenance programmée a généralement lieu en dehors des heures d'ouverture normales pour chaque région et exige généralement moins de 15 heures par trimestre. En plus de toutes les autres maintenances programmées, Oracle peut communiquer, chaque samedi soir entre 22 h et 22h20 heure du Pacifique, qu'une période est réservée pour une maintenance programmée, en cas de besoin.

Oracle peut, à son entière discrétion, interrompre le service infonuagique d'Oracle pour une maintenance non programmée, et t entera, dans ce cas, d'en informer le client à l'avance conformément à l'article III.E (Avis) indiqué ci-dessous. Une maintenance non programmée sera incluse dans un temps d'arrêt non planifié et sera soustraite de la disponibilité du service indiquée ci -dessus.

C. Demande de crédit de service

Afin de recevoir un crédit de service comme décrit aux présentes, le client doit envoyer à Oracle un courriel à l'adresse billing@netsuite.com pour demander un crédit de service dans les 30 jours civils suivant la fin du mois dans lequel la disponibilité du service n'a pas été remplie et le client doit fournir les détails de la réclamation à la suite d'une demande raisonnable d'Oracle. Toute demande de réclamation dont la soumission a réussi recevra une réponse indiquant la réception de la demande. Si le client ne reçoit pas cette réponse, la réclamation est réputée ne pas avoir été reçue par Oracle et le client doit soumettre de nouveau sa réclamation afin qu'Oracle puisse prendre en compte la demande pour un crédit de service. Les clients dont les comptes sont en retard ou en défaut de paiement en ce qui concerne tout paiement ou toute obligation contractuelle importante à l'égard d'Oracle ne sont admissibles à aucun crédit de service en vertu de cet Engagement relatif au niveau de service. Le crédit de service est valide pendant un maximum de deux années à partir du trimestre de son émission.

D. Mises à jour

Le présent article III des politiques d'hébergement (Engagement envers le niveau de service Oracle NetSuite) peut être modifié en tout temps à la discrétion d'Oracle. Les mises à jour entreront en vigueur 30 jours après l'envoi de l'avis au client conformément à l'article III.E. (Avis) ci-dessous.

E. Avis

L'avis sera envoyé soit : (a) comme un avis à l'écran d'un ou plusieurs administrateurs du client et présenté immédiatement après l'ouverture de session dans le service infonuagique ou (b) par courriel à l'adresse de courriel enregistrée fournie pour le ou les administrateurs du co mpte du client.

F. ARTICLE III EXCEPTIONS ET EXCLUSIONS :

Veuillez consulter le document Exceptions aux politiques d'Oracle NetSuite en matière d'hébergement et de prestation de services de soutien à l'adresse https://www.oracle.com/corporate/contracts/cloud-services/netsuite/ pour y trouver des exceptions et des exclusions à l'article III.

IV. EXIGENCES EN MATIÈRE DE SERVICES D'INTERVENTION ORA CLE NETSUITE

A. Généralités

Sous réserve des exigences supplémentaires indiquées dans le tableau ci-dessous, les présentes exigences en matière de services d'intervention, qui constituent un supplément au service de soutien

Oracle NetSuite décrit dans l'artic le II des présentes politiques d'hébergement, régissent la prestation de services d'intervention spécifiques décrits ci -dessous (les « services d'intervention ») et s'appliquent seulement dans le cadre des services d'intervention.

B. Descriptions et exigences des services d'intervention

	Exigences	Exigences	Exigences	Exigences
Services d'intervention	Niveau services soutien	des de Niveau gravité	Service infonuagique
Services d'intervention Commerce	Soutien Premium	Niveau gravité 1 (critique)	SuiteCommerce (« SC ») ou SuiteCommerce Advanced (« SCA »)
Services d'intervention au point de vente	Soutien Premium	Niveau gravité 1 (critique)	Module POS de NetSuite (« NSPOS »)

Le terme « services d'intervention Commerce » ou « CRS » (Commerce Response Services) désigne le supplément en anglais du service d'intervention pour les sites Web créés au moyen de SC ou SCA (« site(s) Web »).

Le terme « services d'intervention au point de vente » ou « PRS » (Point-of-Sale Response Services) désigne le supplément en anglai s du service d'intervention pour le NSPOS.

Services d'intervention Commerce . Oracle déploiera des efforts raisonnables pour analyser les erreurs liées au site Web et faciliter l'identification des causes. Oracle fournira une assistance raisonnable pour des mesures correctives, afin d'identifier une solution de rechange ou pour recommander au client de se procurer des services professionnels et distincts de la part d'Oracle. Oracle pourra exiger un accès au bac à sable et aux environnements de production du service infonuagique du client (« comptes du client »). Le client accepte de fournir à Oracle le niveau d'accès raisonnablement nécessaire à un ou plusieurs comptes du client et pour aussi longtemps qu'Oracle exige un tel accès, et le client retirera immédiatement l'accès en question lors de l'achèvement d e l'activité des CRS.

Services d'intervention au point de vente . Oracle déploiera des efforts raisonnables pour analyser les erreurs liées au NSPOS et faciliter l'identification des causes. Oracle fournira une assistance raisonnable pour des mesures corre ctives, afin d'identifier une solution de rechange ou pour recommander au client de se procurer des services professionnels et distincts de la part d'Oracle. Oracle pourra exiger un accès au bac à sable et aux environnements de production du service infonuagique du client (« comptes du client »). Le client accepte de fournir à Oracle le niveau d'accès d'un ou plusieurs comptes du client qui est raisonnablement nécessaire et pour aussi longtemps qu'Oracle exige un tel accès et le client retirera immédiatemen t l'accès en question lors de l'achèvement de l'activité de PRS.

C. Résiliation

Le service d'intervention est un service additionnel fourni par Oracle sans frais supplémentaires. Oracle peut, à son entière discrétion, cesser immédiatement de fournir des servi ces d'intervention en tout temps, à la suite d'un avis au client.

D. Autres

Uniquement aux fins du CRS, le « service infonuagique » (comme défini dans la convention) désigne le « site Web ».

Uniquement aux fins des PRS, le « service » (comme défini dans la convention) désigne le « NSPOS ».

E. ARTICLE IV EXCEPTIONS ET EXCLUSIONS :

Veuillez consulter le document Exceptions aux politiques d'Oracle NetSuite en matière d'hébergement et de prestation de services de soutien à l'adresse https://www.oracle.com/corporate/contracts/cloud-services/netsuite/ pour y trouver des exceptions et des exclusions à l'article IV.