# Accord de traitement des données Le présent DPA est conclu entre le Responsable du traitement et le Sous-traitant, et est intégré à l’Accord et régi par ses conditions. ### 1. Définitions Tout terme commençant par une majuscule et non défini dans le présent DPA aura la signification qui lui est donnée dans l’Accord. | | | | --- | --- | | **« Affiliate »** | désigne toute entité qui contrôle directement ou indirectement une partie, est contrôlée par elle, ou est sous contrôle commun avec elle. Aux fins de la présente définition, « contrôle » signifie la détention ou le contrôle, direct ou indirect, de plus de 50 % des droits de vote d’une partie ; | | **« Accord »** | désigne l’accord conclu entre le Responsable du traitement et le Sous-traitant pour la fourniture des Services ; | | **« CCPA »** | désigne le California Consumer Privacy Act de 2018, ainsi que ses règlements d’application, tel que modifié le cas échéant ; | | **« Responsable du traitement »** | désigne le Client ; | | **« Loi sur la protection des données »** | désigne l’ensemble des lois et réglementations, y compris celles de l’Union européenne, de l’Espace économique européen, de leurs États membres et du Royaume-Uni, ainsi que toute modification, remplacement ou renouvellement, applicables au traitement des Données à caractère personnel ; | | **« Personne concernée »** | a le même sens que dans la Loi sur la protection des données ou désigne un « Consumer » tel que défini par le CCPA ; | | **« DPA »** | désigne le présent accord de traitement des données, ainsi que les Annexes A, B et C ; | | **« EEE »** | désigne l’Espace économique européen ; | | **« RGPD de l’UE »** | désigne le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel ; | | **« FADP »** | désigne la nouvelle Loi fédérale suisse sur la protection des données, entrée en vigueur le 1er septembre 2023 ; | | **« Données à caractère personnel »** | a le même sens que dans la Loi sur la protection des données ; | | **« Sous-traitant »** | désigne la Société, y compris, le cas échéant, tout « Service Provider » tel que défini par le CCPA ; | | **« Transfert restreint »** | désigne : (i) lorsque le RGPD de l’UE s’applique, un transfert de Données à caractère personnel via les Services depuis l’EEE ; et (ii) lorsque le RGPD du Royaume-Uni s’applique, un transfert de Données à caractère personnel depuis le Royaume-Uni ; (iii) un transfert de Données à caractère personnel depuis la Suisse ; | | **« Services »** | désigne l’ensemble des services, applications logicielles et solutions fournis au Responsable du traitement par le Sous-traitant ; | | **« SCCs »** | désigne les clauses contractuelles types pour le transfert de données à caractère personnel vers des pays tiers ; | | **« Sous-traitant ultérieur »** | désigne tout tiers engagé par le Sous-traitant pour traiter des Données à caractère personnel ; | | **« Autorité de contrôle »** | désigne un organisme gouvernemental ayant un pouvoir juridique contraignant ; | | **« RGPD du Royaume-Uni »** | désigne le RGPD de l’UE tel qu’il fait partie du droit au Royaume-Uni. | ## 2. Finalités 2.1. Le Sous-traitant a accepté de fournir les Services au Responsable du traitement conformément aux conditions de l’Accord. Dans le cadre de la fourniture des Services, le Sous-traitant traitera les Données du Client pour le compte du Responsable du traitement. Les Données du Client peuvent inclure des Données à caractère personnel. Le Sous-traitant traitera et protégera ces Données à caractère personnel conformément aux conditions du présent DPA. ## 3. Portée 3.1. Le Sous-traitant ne traitera les Données à caractère personnel que dans la mesure nécessaire pour fournir les Services conformément aux conditions de l’Accord, du présent DPA et aux instructions du Responsable du traitement. 3.2. Le Responsable du traitement et le Sous-traitant prendront des mesures afin de garantir que toute personne ayant accès à des Données à caractère personnel ne les traite que sur instruction, sauf si une Loi sur la protection des données l’exige. ## 4. Obligations du Sous-traitant 4.1. Le Sous-traitant ne peut collecter, traiter ou utiliser des Données à caractère personnel que dans le cadre du présent DPA. 4.2. Le Sous-traitant confirmera qu’il traitera les Données à caractère personnel pour le compte du Responsable du traitement conformément aux instructions documentées de ce dernier. 4.3. Le Sous-traitant informera sans délai le Responsable du traitement si l’une des instructions relatives au traitement des Données à caractère personnel enfreint la Loi sur la protection des données. 4.4. Le Sous-traitant mettra en œuvre des mesures techniques et organisationnelles appropriées afin de protéger les Données à caractère personnel. 4.5. Le Sous-traitant mettra en œuvre des mesures techniques et organisationnelles pour garantir un niveau de sécurité adapté au risque. 4.6. Les mesures techniques et organisationnelles détaillées à l’Annexe B seront respectées comme norme de sécurité minimale. 4.7. Le Responsable du traitement reconnaît que le Sous-traitant peut avoir besoin d’accéder aux Données à caractère personnel pour assurer le bon fonctionnement des Services. 4.8. Le Sous-traitant assistera le Responsable du traitement pour répondre aux demandes d’exercice des droits des Personnes concernées. 4.9. Le Sous-traitant ne peut pas : (i) vendre des Données à caractère personnel ; (ii) utiliser des Données à caractère personnel à des fins commerciales autres que la fourniture des Services ; ou (iii) divulguer des Données à caractère personnel en dehors des conditions de l’Accord. ## 5. Obligations du Responsable du traitement 5.1. Le Responsable du traitement déclare qu'il respectera le présent DPA et ses obligations au titre de la Loi sur la protection des données. 5.2. Le Responsable du traitement mettra en œuvre des mesures techniques et organisationnelles appropriées pour protéger les Données à caractère personnel. 5.3. Le Responsable du traitement reconnaît que certaines instructions peuvent entraîner des frais supplémentaires lors de l’assistance fournie par le Sous-traitant. ## 6. Sous-traitants ultérieurs 6.1. Le Responsable du traitement reconnaît que le Sous-traitant peut engager des Sous-traitants ultérieurs. 6.2. Tous les Sous-traitants ultérieurs respecteront les obligations du Sous-traitant prévues au présent DPA. 6.3. Le Responsable du traitement peut s’opposer à l’utilisation d’un nouveau Sous-traitant en le notifiant par écrit. 6.4. Les Sous-traitants ultérieurs doivent respecter les obligations contractuelles de sécurité des données. ## 7. Transferts restreints 7.1. Les transferts de Données à caractère personnel sont soumis aux SCCs applicables. ## 8. Demandes d’accès des Personnes concernées 8.1. Le Responsable du traitement peut demander la rectification ou la suppression des Données à caractère personnel. ## 9. Audit 9.1. Le Sous-traitant mettra à disposition les informations nécessaires pour démontrer le respect de ses obligations en matière de traitement et permettra la réalisation d’audits. ## 10. Violation de Données à caractère personnel 10.1. Le Sous-traitant notifiera le Responsable du traitement en cas de violation de données dans les 72 heures. ## 11. Conformité, coopération et réponse 11.1. Le Sous-traitant informera rapidement le Responsable du traitement de toute demande ou réclamation concernant le traitement des Données à caractère personnel. ## 12. Responsabilité 12.1. Les limitations de responsabilité prévues par l’Accord s’appliquent en raison d’une violation des conditions du présent DPA. ## 13. Durée et résiliation 13.1. Le Sous-traitant ne traitera les Données à caractère personnel que pendant la durée du DPA. ## 14. Suppression et restitution des Données à caractère personnel 14.1. Au choix du Responsable du traitement, le Sous-traitant supprimera ou restituera les Données à caractère personnel au Responsable du traitement. ## 15. Dispositions générales 15.1. Le présent DPA constitue l’intégralité de l’accord entre les parties concernant son objet. 15.2. Si une disposition est invalide, l’effet juridique des autres dispositions ne sera pas affecté. 15.3. Le présent DPA est régi par le droit de l’Angleterre et du Pays de Galles.