Accord de protection des données

Accord relatif au traitement des données à caractère personnel conformément à l’art. 28 du RGPD

Le présent accord relatif au traitement des données à caractère personnel régit le traitement des données par lywand conformément au Règlement général sur la protection des données de l’Union européenne. Il s’agit d’un accord conclu entre lywand Software GmbH, établie en Autriche, Josefstraße 46a/6, A-3100 St. Pölten ("Sous-traitant"), et vous ou l’entreprise que vous représentez ("Responsable du traitement"). Dans les présentes conditions de licence, les termes "nous", "notre" ou "nos" désignent lywand et ses sociétés affiliées.

Le Responsable du traitement et le Sous-traitant sont ci-après collectivement désignés comme les "Parties". Le présent document est ci-après dénommé "l’Accord".

1. Préambule

1.1 Le Règlement général sur la protection des données de l’Union européenne (RGPD) est applicable depuis le 25 mai 2018. Les obligations réglementaires qui en découlent concernant la relation entre le Responsable du traitement et le Sous-traitant sont remplies par le présent Accord.

1.2 Les Parties conviennent que, concernant le traitement des données sur lequel repose le présent Accord, le Responsable du traitement est considéré comme le Responsable du traitement au sens de l’art. 4, point 7, du RGPD, et le Sous-traitant comme le Sous-traitant au sens de l’art. 4, point 8, du RGPD.

1.3 Dans le cadre de futures missions ou relations contractuelles, les Parties peuvent intégrer le présent Accord au contrat.

2. Objet de l’Accord

2.1 L’objet de la mission est l’exécution, par le Sous-traitant pour le Responsable du traitement, des tâches suivantes :

Activité et finalité du traitement des données

• Mise à disposition du portail lywand

• Communication par e-mail dans le cadre des fonctionnalités du portail lywand

• Communication par e-mail dans le cadre du contrat de licence

• Gestion des licences et facturation

La description détaillée des prestations est définie dans le contrat principal, notamment telle qu’elle figure et est décrite dans l’offre du Sous-traitant.

2.2 Dans le cadre du traitement – notamment lors de l’importation et de la gestion des données – les catégories de données suivantes concernant les catégories de personnes concernées suivantes peuvent être traitées:

3. Durée de l’Accord

3.1 Si le présent Accord est utilisé en complément d’un accord spécifique (voir section 1.3) et que celui-ci contient des dispositions distinctes concernant sa durée et ses modalités de résiliation, la durée et les modalités de résiliation du présent Accord sont également régies par les dispositions de cet accord. À défaut, les dispositions suivantes s’appliquent :

3.2 Le présent Accord est conclu pour une durée indéterminée. Chacune des Parties est en droit de résilier le présent Accord moyennant un préavis de 4 mois pour la fin de chaque année civile.

3.3 En outre, chacune des Parties est en droit de résilier le présent Accord avec effet immédiat, sans respecter de délai ni de date de préavis, en cas de motif grave. Un tel motif grave est notamment réputé exister si:

• un accord sous-jacent a été résilié;

• une procédure d’insolvabilité est ouverte à l’encontre des actifs de l’autre Partie ou si une telle procédure n’est pas ouverte faute d’actifs suffisants pour couvrir les frais;

• l’autre Partie s’avère inapte à remplir les obligations convenues dans le cadre du présent Accord.

Indépendamment de toute résiliation, les obligations de confidentialité continuent de produire leurs effets sans limitation, même après la fin du présent Accord.

4. Obligations du Sous-traitant

4.1. Respect des instructions

Le Sous-traitant s’engage à traiter les données et les résultats du traitement exclusivement dans le cadre des instructions écrites du Responsable du traitement. Si le Sous-traitant reçoit une demande officielle de communication de données du Responsable du traitement, il doit – dans la mesure où la loi l’autorise – en informer immédiatement le Responsable du traitement et renvoyer l’autorité compétente vers celui-ci. De même, tout traitement des données à des fins propres au Sous-traitant nécessite une instruction écrite.

Le Sous-traitant informe sans délai le Responsable du traitement s’il estime qu’une instruction de celui-ci enfreint les dispositions de l’Union européenne ou des États membres en matière de protection des données.

Toute installation non autorisée par des tiers sur les appareils du Responsable du traitement ainsi que tout téléchargement de données depuis les appareils du Responsable du traitement au moyen de clés USB ou d’ordinateurs portables sont strictement interdits. Il est expressément interdit de photographier les employés, les appareils ou tout autre équipement du Responsable du traitement. Les clés USB, ordinateurs portables, téléphones mobiles, appareils photo ou autres dispositifs permettant le téléchargement ou le stockage externe de données et appartenant au Sous-traitant relèvent de l’entière responsabilité de celui-ci.

Le Sous-traitant est informé que, pour le présent traitement de données, il doit tenir un registre des activités de traitement comprenant toutes les catégories d’activités effectuées pour le compte du Responsable du traitement conformément à l’art. 30 du RGPD.

4.2. Obligation de secret et de confidentialité

Le Sous-traitant déclare de manière juridiquement contraignante avoir soumis, avant le début de leur activité, toutes les personnes chargées du traitement des données à une obligation de confidentialité, ou que celles-ci sont soumises à des obligations légales appropriées en matière de confidentialité.

L’obligation de confidentialité ne s’applique pas aux informations qui étaient déjà connues de la Partie concernée ou du public au moment où elles ont été obtenues par l’une des Parties, ni aux informations qui sont devenues ultérieurement connues de cette Partie sans intervention ni violation du contrat de sa part. En outre, ces obligations ne s’appliquent pas à l’égard des autorités ou des tribunaux, sauf lorsqu’un droit légal de refuser de témoigner existe.

L’obligation de confidentialité des personnes chargées du traitement des données reste en vigueur même après la fin de leur activité et après leur départ du Sous-traitant.

4.3. Mesures techniques et organisationnelles

Le Sous-traitant déclare de manière juridiquement contraignante avoir pris toutes les mesures nécessaires pour garantir la sécurité du traitement conformément à l’art. 32 du RGPD, notamment en ce qui concerne la confidentialité, l’intégrité, la disponibilité et la résilience des données, ainsi que la mise en place de procédures permettant de tester, d’analyser et d’évaluer régulièrement l’efficacité de ces mesures, de même que de procédures de pseudonymisation et de chiffrement. Cela comprend également la mise en œuvre de mesures de sécurité des données selon les principes de Privacy by Design et de Privacy by Default, la désignation d’un délégué à la protection des données et la communication de son identité au Responsable du traitement lorsque cette désignation est requise du Sous-traitant en vertu du RGPD, ainsi que la réalisation d’une analyse des risques liés aux traitements de données lorsque celle-ci est exigée du Sous-traitant par le RGPD.

Le Sous-traitant déclare en outre de manière juridiquement contraignante que le niveau de protection appliqué au traitement des données couvre également les risques susceptibles d’entraîner, de manière illicite ou accidentelle, la perte, la destruction, la modification, la divulgation non autorisée ou l’accès non autorisé à des données à caractère personnel stockées ou traitées.

Par sa signature, le Sous-traitant fournit au Responsable du traitement des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées, de manière à ce que le traitement soit effectué conformément aux exigences de l’art. 28, par. 1, du RGPD et garantisse la protection des droits des personnes concernées.

Dans l’ensemble, les mesures à prendre doivent garantir la sécurité des données et assurer un niveau de protection adapté au risque en matière de confidentialité, d’intégrité, de disponibilité et de résilience des systèmes. L’état de l’art, les coûts de mise en œuvre, ainsi que la nature, la portée, les finalités et les risques du traitement doivent être pris en compte.

4.4. Assistance au Responsable du traitement concernant les droits des personnes concernées

Le Sous-traitant prend les mesures techniques et organisationnelles nécessaires afin de permettre au Responsable du traitement de satisfaire, dans les délais légaux, aux droits des personnes concernées prévus au chapitre III du RGPD, notamment les droits à l’information, à l’accès, à la rectification et à l’effacement, à la portabilité des données, à l’opposition ainsi qu’aux décisions individuelles automatisées. Il fournit au Responsable du traitement toutes les informations nécessaires à cette fin.

Si une demande correspondante est adressée au Sous-traitant et que celui-ci constate que le demandeur le considère à tort comme le Responsable du traitement de l’application concernée, le Sous-traitant transmet la demande au Responsable du traitement sans délai indu et en informe le demandeur.

4.5. Assistance au Responsable du traitement concernant les obligations prévues aux art. 32 à 36

Le Sous-traitant assiste le Responsable du traitement dans le respect des obligations prévues aux art. 32 à 36 du RGPD, notamment en matière de mesures de sécurité des données, de notification des violations de données à caractère personnel à l’autorité de contrôle, d’information des personnes concernées par une violation de données à caractère personnel, d’analyse d’impact relative à la protection des données et de consultation préalable.

En particulier, toute violation des données du Responsable du traitement résultant des appareils ou des employés du Sous-traitant doit être signalée immédiatement au Responsable du traitement. Les conséquences juridiques et financières d’une telle violation sont entièrement à la charge du Sous-traitant.

4.6. Obligation de suppression

Le Sous-traitant est tenu de remettre au Responsable du traitement, après la fin du présent Accord, tous les résultats du traitement ainsi que tous les documents contenant des données.

Si le Sous-traitant traite les données dans un format technique spécifique, il est tenu, après la fin du présent Accord, de remettre les données soit dans ce format, soit, à la demande du Responsable du traitement, dans le format dans lequel il les a reçues de celui-ci, soit dans un autre format courant.

Les données contenues sur des supports de stockage intégrés à des appareils ou à des composants d’appareils remplacés ou échangés par le Sous-traitant dans le cadre de travaux de maintenance doivent être détruites de manière vérifiable par le Sous-traitant.

5. Lieu du traitement des données

5.1 Toutes les activités de traitement des données du Sous-traitant sont effectuées – sous réserve des dispositions suivantes – exclusivement au sein de l’EEE.

5.2 Les transferts de données à caractère personnel vers un pays tiers ainsi que les activités de traitement effectuées dans des pays tiers ne sont autorisés que s’il existe, pour le pays tiers concerné, une décision d’adéquation valide de la Commission au sens de l’art. 45, par. 3, du RGPD.

En l’absence d’une telle décision de la Commission, le Sous-traitant doit fournir d’autres garanties appropriées afin d’assurer un niveau adéquat de protection des données, y compris l’exercice effectif des droits des personnes concernées conformément au RGPD. À cette fin, le Sous-traitant peut recourir à toutes les possibilités prévues à l’art. 46, par. 2 et 3, du RGPD. Il incombe exclusivement au Sous-traitant de garantir l’efficacité des mesures utilisées et, si nécessaire, d’obtenir l’autorisation de l’autorité de contrôle.

6. Sous-traitance

6.1 Au sens de la présente disposition, les relations de sous-traitance désignent les prestations directement liées à la fourniture de la prestation principale. Ne sont pas considérées comme des relations de sous-traitance au sens de la présente disposition les prestations auxquelles le Sous-traitant fait appel auprès de tiers en tant que prestations auxiliaires destinées à faciliter l’exécution de la mission. Il s’agit notamment de services de télécommunication, de services d’hébergement purs, de services postaux et de transport, de services de maintenance et d’assistance aux utilisateurs ou d’élimination de supports de données, ainsi que d’autres mesures visant à garantir la confidentialité, la disponibilité, l’intégrité et la résilience du matériel et des logiciels des systèmes de traitement des données.

6.2 Les Parties peuvent faire appel à des sous-traitants ultérieurs pour effectuer des traitements pour leur compte. Le recours à de tels sous-traitants ultérieurs aux fins du traitement de données à caractère personnel n’est autorisé qu’avec le consentement préalable, exprès, écrit ou documenté de l’autre Partie. Le Responsable du traitement donne dès à présent son consentement au recours à des services cloud pour le traitement et la gestion des informations clients dans le CRM (entreprise, téléphone, e-mail, nom), pour les communications avec les partenaires et les clients (via Office 365), ainsi que pour le traitement des données de l’application elle-même (Amazon Web Services EMEA SARL, site de Francfort).

6.3 Le Sous-traitant est toutefois tenu de conclure des accords appropriés et conformes à la législation ainsi que de mettre en place des mesures de contrôle afin de garantir la protection et la sécurité des données du Responsable du traitement, y compris dans le cas de prestations auxiliaires externalisées.

7. Droits de contrôle du Responsable du traitement

7.1 En ce qui concerne le traitement des données fournies par le Responsable du traitement, celui-ci dispose du droit d’inspecter et de contrôler à tout moment les installations de traitement des données du Sous-traitant, soit lui-même, soit par l’intermédiaire de tiers professionnellement qualifiés qu’il a mandatés.

7.2 Le Sous-traitant s’engage à mettre à la disposition du Responsable du traitement toutes les informations nécessaires pour contrôler le respect des obligations prévues dans le présent Accord concernant les données fournies. Le Sous-traitant n’est pas en droit de réclamer une quelconque rémunération pour permettre au Responsable du traitement d’exercer ces contrôles.

8. Responsabilité

8.1 Le Sous-traitant reconnaît que les personnes concernées disposent, outre les recours administratifs ou extrajudiciaires disponibles, du droit à un recours juridictionnel effectif à l’encontre du Sous-traitant en cas de violation commise par celui-ci. Elles peuvent demander réparation d’un préjudice matériel ou moral, et toute Partie participant à une opération de traitement est responsable du dommage causé par un traitement illicite. La responsabilité ne s’applique pas s’il peut être démontré que la Partie concernée n’est pas responsable du fait ayant causé le dommage.

8.2 Si plusieurs Sous-traitants ou plusieurs Responsables du traitement, ou à la fois le Sous-traitant et le Responsable du traitement, sont responsables d’un dommage, chacun d’eux est responsable de l’intégralité du dommage. En cas de non-respect par le Sous-traitant des accords contractuels relatifs à la protection des droits des personnes concernées et/ou au respect des exigences du Règlement général sur la protection des données et/ou à la sécurité des données, ainsi que de tout dommage en résultant pour le Responsable du traitement, le Responsable du traitement peut indemniser le Sous-traitant et le dégager de toute responsabilité.

8.3 Sans préjudice des art. 82, 83 et 84 du RGPD, un Sous-traitant qui détermine les finalités et les moyens du traitement en violation du RGPD est considéré comme Responsable du traitement pour ce traitement conformément à l’art. 28, par. 10, du RGPD.

9. Dispositions finales

9.1 Si une ou plusieurs dispositions du présent Accord sont nulles ou inopérantes, perdent leur effet en raison de circonstances ultérieures ou si les Parties constatent d’un commun accord l’existence d’une lacune contractuelle, cela n’affecte pas la validité des autres dispositions. Dans ce cas, les Parties s’engagent à compléter valablement l’Accord par une disposition correspondant à l’objectif juridique et économique des dispositions contractuelles nulles ou incomplètes.

9.2 Le présent Accord est exclusivement régi par le droit matériel de la République d’Autriche, à l’exclusion des règles de conflit de lois et de la Convention des Nations Unies sur les contrats de vente internationale de marchandises. Cette disposition s’applique également à la question de la formation du présent Accord ainsi qu’aux conséquences juridiques de ses effets postérieurs.

9.3 Les Parties s’efforcent de régler à l’amiable tout litige découlant de l’exécution du présent Accord ou s’y rapportant. Si aucun règlement amiable ne peut être trouvé, il est convenu que le tribunal compétent de St. Pölten est seul compétent pour connaître de tout litige découlant du présent Accord ou en relation avec celui-ci ou sa validité.