Annexe 1 — Données à Caractère Personnel

Le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après le « RGPD ») est entré en vigueur le 25 mai 2018.

La présente ANNEXE 1 s'applique aux traitements de données à caractère personnel réalisés pour le compte d'un UTILISATEUR en vertu des CONDITIONS CONTRACTUELLES et des SERVICES mis en œuvre par L'EDITEUR .

Dans le cadre des traitements réalisés par L'EDITEUR pour le compte d'un UTILISATEUR, pour les besoins des présentes CONDITIONS CONTRACTUELLES, les PARTIES sont dénommées conformément aux définitions énoncées dans le RGPD comme suit :

• L'UTILISATEUR est dénommé le « RESPONSABLE DE TRAITEMENT »,
• L'EDITEUR est dénommée le « SOUS-TRAITANT » ou « L'EDITEUR ».

Dans le cadre des traitements mis en œuvre par L'EDITEUR , L'EDITEUR est le RESPONSABLE DE TRAITEMENT.

ARTICLE 1 – OBJET DE L'ANNEXE

La présente ANNEXE 1 a pour objet de stipuler les dispositions entre L'EDITEUR et l'UTILISATEUR, relatives à la protection des données personnelles, en application du RGPD.

Le SOUS-TRAITANT s'engage à traiter les Données sur instructions du RESPONSABLE DE TRAITEMENT.

Les caractéristiques des traitements effectués par Le SOUS-TRAITANT pour le compte du RESPONSABLE DE TRAITEMENT, telles que l'objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel traitées et les catégories de personnes concernées, devront être détaillées en ANNEXE A de la présente ANNEXE 1 par le RESPONSABLE DE TRAITEMENT.

Il est précisé que si des exigences spécifiques résultant du traitement de données à caractère personnel accroissent la charge de travail du SOUS-TRAITANT, les prestations réalisées par le SOUS-TRAITANT seront facturées au tarif en vigueur.

ARTICLE 2 - L'EDITEUR EN TANT QUE SOUS-TRAITANT AU SENS DU RGPD

Dans le cadre des CONDITIONS CONTRACTUELLES conclues avec l'UTILISATEUR, L'EDITEUR pourra avoir accès, en qualité de SOUS-TRAITANT, à des données à caractère personnel au sens du RGPD. L'EDITEUR pourra ainsi être amenée à procéder à des traitements de telles données pour le compte d'un UTILISATEUR, RESPONSABLE DE TRAITEMENT aux seules fins de fourniture des services, dans le cadre et pour la durée des CONDITIONS CONTRACTUELLES.

2.1 - OBLIGATIONS DU SOUS-TRAITANT VIS-A-VIS DU RESPONSABLE DE TRAITEMENT

L'EDITEUR s'engage à :

• traiter les données à caractère personnel uniquement pour la ou les seule(s) finalité(s) qui font l'objet des prestations définies aux CONDITIONS CONTRACTUELLES.
• garantir la sécurité, l'intégrité et la confidentialité des données à caractère personnel traitées dans le cadre des SERVICES en prenant les mesures techniques et organisationnelles appropriées compte tenu de l'état des connaissances et des coûts de mise en œuvre.
• veiller à ce que les personnes autorisées à traiter les données à caractère personnel soient soumises à une obligation de confidentialité et soient formées en matière de protection des données à caractère personnel.

2.1.a. Sous-traitance ultérieure

L'EDITEUR peut confier la réalisation d'une partie du traitement à un tiers (ci-après « SOUS-TRAITANT ULTERIEUR »), pour mener des activités de traitement spécifique, ce que le RESPONSABLE DE TRAITEMENT accepte.

L'EDITEUR en cas de changement de SOUS-TRAITANT Ultérieur informera l'UTILISATEUR de ce changement selon un délai raisonnable.

L'EDITEUR s'assure que le SOUS-TRAITANT Ultérieur présente les mêmes garanties quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du RGPD. L'EDITEUR demeure pleinement responsable à l'égard du RESPONSABLE DE TRAITEMENT de l'exécution par les SOUS-TRAITANTS ULTERIEURS de leurs obligations.

2.1.b. Exercice des droits des personnes

Dans la mesure du possible, L'EDITEUR, aide le RESPONSABLE DE TRAITEMENT à s'acquitter de son obligation de donner suite aux demandes d'exercice des droits des personnes concernées.

Lorsque les personnes concernées exercent directement auprès du SOUS-TRAITANT des demandes d'exercice de leurs droits, L'EDITEUR adresse ces demandes au RESPONSABLE DE TRAITEMENT.

2.1.c. Notification des violations de données à caractère personnel

L'EDITEUR, notifie au RESPONSABLE DE TRAITEMENT toute violation de données à caractère personnel dans les meilleurs délais après en avoir eu connaissance. Cette notification est accompagnée de toute documentation utile (documentation de base) afin de permettre au RESPONSABLE DE TRAITEMENT, si nécessaire, de notifier cette violation à l'autorité de contrôle compétente.

Sort des données à caractère personnel à l'issue du traitement ou des CONDITIONS CONTRACTUELLES

A l'issue des CONDITIONS CONTRACTUELLES, L'EDITEUR s'engage :

• à restituer à l'UTILISATEUR dans un format standard toutes les données à caractère personnel lui appartenant. Cette restitution pourra, le cas échéant, faire l'objet d'une facturation au tarif en vigueur et,
• à détruire toutes les copies existantes dans ses systèmes d'information, à moins que le droit de l'Union Européenne ou la législation française n'exige la conservation de ces données à caractère personnel.

2.1.c. Audit

L'EDITEUR met à la disposition du RESPONSABLE DE TRAITEMENT les informations nécessaires pour démontrer le respect de ses obligations prévues à l'article 28 du RGPD et pour lui permettre de réaliser des audits, aux frais du RESPONSABLE DE TRAITEMENT, sous sa responsabilité et dans la limite d'une fois par an. L'audit sera mené par le Responsable du traitement ou un auditeur qu'il aura mandaté, non-concurrent de L'EDITEUR ou de toute société appartenant à son Groupe, et soumis à une obligation de confidentialité dont copie sera remise au SOUS-TRAITANT pour approbation.

Le RESPONSABLE DE TRAITEMENT s'engage à notifier avec un préavis minimum de trente (30) jours à L'EDITEUR tout audit, en lui communiquant impérativement par lettre recommandée avec accusé de réception, notamment l'objet de la mission, les données auditées, les méthodes utilisées, la durée envisagée, et l'identité du ou des auditeur(s).

Il est expressément convenu entre les PARTIES qu'est privilégié, dans la mesure du possible, un audit sur pièces et qu'un audit sur site sera programmé uniquement si les éléments mis à disposition par L'EDITEUR ne s'avéraient pas suffisants pour démontrer le respect de ses obligations au titre de la présente clause.

L'EDITEUR pourra opposer un refus d'auditeur pour préserver ses intérêts légitimes.

L'EDITEUR , mettra en place les moyens raisonnables pour permettre à l'auditeur de mener à bien son audit. Les opérations d'audit et les demandes d'information devront être effectuées pendant les heures normales d'ouverture des bureaux de L'EDITEUR et ne devront pas perturber le bon fonctionnement des activités de L'EDITEUR .

Il est par ailleurs entendu que cette démarche d'audit exclut toute communication de documents de nature financière, comptable ou tenant aux relations entre L'EDITEUR et d'autres clients.

Un exemplaire du rapport d'audit sera remis gracieusement à L'EDITEUR. Les PARTIES examineront de bonne foi ce rapport, et identifieront, le cas échéant, les actions qui devront être engagées par l'une ou l'autre des PARTIES.

2.1.d.Aide du SOUS-TRAITANT

Sur demande du RESPONSABLE DE TRAITEMENT, et après acceptation du devis de L'EDITEUR , le SOUS-TRAITANT peut apporter son aide au RESPONSABLE DE TRAITEMENT et l'assister dans la réalisation d'analyses d'impact relatives à des traitements sous-traités, ainsi que pour répondre aux sollicitations et opérations de l'autorité de contrôle.

2.2 - OBLIGATIONS DU RESPONSABLE DE TRAITEMENT VIS-A-VIS DU SOUS-TRAITANT

Le RESPONSABLE DE TRAITEMENT s'engage à respecter le RGPD et toute norme législative ou réglementaire applicable aux données à caractère personnel traitées, et notamment à :

• respecter le principe de limitation des données à caractère personnel nécessaires au regard des finalités de traitement. Par conséquent, le RESPONSABLE DE TRAITEMENT s'engage à anonymiser ou pseudonymiser autant que possible ses données à caractère personnel, et en tout état de cause à ne confier au SOUS-TRAITANT que les données à caractère personnel strictement nécessaires à l'exécution des CONDITIONS CONTRACTUELLES,
• s'assurer que les traitements et leurs finalités sont conformes au RGPD.

Il appartient au RESPONSABLE DE TRAITEMENT de fournir l'information requise par le RGPD aux personnes concernées par les opérations de traitement, au moment de la collecte des données à caractère personnel.

2.3 – TRANSFERTS

L'EDITEUR ne procède à aucun transfert de données à caractère personnel vers un pays hors Espace Economique Européen.

Si toutefois, en cours d'exécution des CONDITIONS CONTRACTUELLES, L'EDITEUR était tenue de procéder à un transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale, elle en informerait le Responsable du traitement avant le traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d'intérêt public. L'EDITEUR mettrait alors en œuvre l'un ou l'autre des dispositifs suivants : (i) mise en place d'un contrat conforme aux clauses contractuelles types adoptées par la Commission européenne (« Clauses contractuelles types »), (ii) mise en place de règles internes d'entreprise contraignantes (« Binding Corporate Rules » ou « BCR »), ou (iii) tout autre dispositif de protection conforme à la Réglementation applicable en matière de protection des données à caractère personnel.

ARTICLE 3 - L'EDITEUR EN TANT QUE RESPONSABLE DE TRAITEMENT AU SENS DU RGPD

L'EDITEUR est amenée, dans le cadre de l'exécution des CONDITIONS CONTRACTUELLES, à traiter des données à caractère personnel relatives aux employés ou dirigeants de l'UTILISATEUR (notamment les contacts techniques et commerciaux), ce qui peut inclure en particulier, mais de façon non limitative les informations de type, nom, adresse ou numéros de téléphone professionnels. Ces informations seront collectées auprès de l'UTILISATEUR. Le traitement de ces données à caractère personnel est indispensable à la relation entre les PARTIES et à l'activité du SOUS-TRAITANT, à des fins de communication entre les équipes de l'UTILISATEUR et du SOUS-TRAITANT, d'actions commerciales ou marketing.

L'UTILISATEUR déclare qu'il peut transférer ces données à caractère personnel à L'EDITEUR et qu'il s'est conformé au RGPD.

L'EDITEUR , en qualité de RESPONSABLE DE TRAITEMENT de ces données à caractère personnel, s'engage à ne traiter ces données à caractère personnel que pour les seules finalités pour lesquelles elles ont été collectées. Elle s'engage à respecter les dispositions légales applicables en la matière, et notamment mettre en œuvre toutes les mesures techniques et d'organisation appropriées pour assurer la protection des données à caractère personnel contre la destruction accidentelle ou illicite, la perte accidentelle, l'altération, la diffusion ou l'accès non autorisés ainsi que contre toute autre forme de traitement illicite.

Conformément à ses engagements, L'EDITEUR , en tant que RESPONSABLE DE TRAITEMENT, ne vend pas les données personnelles de ses UTILISATEURS et ne les communique qu'à des destinataires habilités et déterminés ; À ce titre, l'UTILISATEUR autorise expressément L'EDITEUR à partager les données à caractère personnel et leurs mises à jour. Les Données ne sont pas transférées en dehors de l'Espace Économique Européen.

Ces données à caractère personnel ne sont conservées que pour la durée nécessaire aux opérations pour lesquelles elles ont été collectées et ce, dans le respect de la réglementation en vigueur.

Par ailleurs, le Client est informé que les personnes concernées disposent à cet égard :

• d'un droit d'accès, de rectification, d'interrogation, de limitation, de portabilité et d'effacement des données les concernant ;
• du droit de s'opposer à tout moment, pour des raisons tenant à leur situation particulière, à un traitement des données à caractère personnel, ainsi que d'un droit d'opposition à la prospection commerciale ;
• et du droit de définir des directives générales et particulières définissant la manière dont elles entendent que soient exercés, après leur décès, les droits mentionnés ci-dessus.

Pour exercer ces droits, les personnes concernées peuvent s'adresser (en joignant une copie d'un titre d'identité signé) à

L'EDITEUR : contact@sweep-ops.com

Enfin, l'UTILISATEUR et les personnes concernées disposent du droit d'introduire une réclamation directement auprès de la Commission Nationale « Informatique et Libertés » (CNIL).