Accord de traitement des données

1. Définitions

Les termes en majuscules non définis dans le présent AT ont le sens qui leur est donné dans les Conditions générales d'utilisation ou dans le RGPD. En particulier :

• Données à caractère personnel : toute information se rapportant à une personne physique identifiée ou identifiable traitée par le Sous-traitant pour le compte du Responsable du traitement au titre des Conditions générales d'utilisation.
• Personne concernée : une personne physique à laquelle se rapportent des Données à caractère personnel, en particulier un Coachee.
• Sous-traitant ultérieur : tiers engagé par le Sous-traitant qui traite des Données à caractère personnel pour le compte du Sous-traitant.
• Violation de Données à caractère personnel : une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de Données à caractère personnel ou l'accès à de telles données.

2. Objet, durée et nature du traitement

1. Objet. Le Sous-traitant traite les Données à caractère personnel afin de fournir le Service au Responsable du traitement, comme indiqué dans les Conditions générales d'utilisation.
2. Durée. Le traitement se poursuit aussi longtemps que le Responsable du traitement utilise le Service, plus toute période de conservation post-résiliation convenue ci-dessous.
3. Nature et finalité. Le traitement consiste en les opérations décrites à l'Annexe 1 et est effectué exclusivement pour fournir le Service.
4. Catégories de personnes concernées et de Données à caractère personnel. Voir l'Annexe 1.

3. Rôles et instructions

1. Le Responsable du traitement est le responsable du traitement des Données à caractère personnel et le Sous-traitant en est le sous-traitant, selon la définition de ces termes dans le RGPD.
2. Le Sous-traitant ne traitera les Données à caractère personnel que sur instructions documentées du Responsable du traitement, y compris en ce qui concerne les transferts vers des pays tiers, sauf s'il est tenu de procéder autrement en vertu du droit de l'Union ou d'un État membre auquel il est soumis. Dans ce cas, le Sous-traitant informera le Responsable du traitement de cette obligation légale avant le traitement, sauf si la loi l'interdit pour des motifs importants d'intérêt public.
3. Les instructions du Responsable du traitement figurent dans les Conditions générales d'utilisation, le présent AT, la Documentation et les choix de configuration que le Responsable du traitement effectue dans le Service. Le Responsable du traitement peut donner des instructions écrites raisonnables supplémentaires compatibles avec le Service.
4. Si le Sous-traitant estime qu'une instruction enfreint le RGPD ou toute autre loi applicable en matière de protection des données, il en informera le Responsable du traitement sans délai.
5. Il incombe au Responsable du traitement de s'assurer qu'il dispose d'une base juridique valable pour le traitement qu'il demande au Sous-traitant d'effectuer, y compris, le cas échéant, l'obtention du consentement explicite au titre de l'article 9, paragraphe 2, point a) du RGPD pour les catégories particulières de données.

4. Confidentialité

Le Sous-traitant veillera à ce que toute personne autorisée à traiter des Données à caractère personnel soit liée par une obligation de confidentialité, qu'elle soit contractuelle ou légale.

5. Sécurité du traitement

1. Compte tenu de l'état des connaissances, des coûts de mise en œuvre, ainsi que de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les droits et libertés des personnes physiques, le Sous-traitant mettra en œuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque.
2. Les mesures actuelles sont décrites à l'Annexe 3. Le Sous-traitant peut les mettre à jour de temps à autre, à condition que le niveau de sécurité ne soit pas substantiellement réduit.

6. Sous-traitants ultérieurs

1. Le Responsable du traitement accorde par les présentes au Sous-traitant une autorisation générale d'engager des Sous-traitants ultérieurs. La liste actuelle des Sous-traitants ultérieurs autorisés figure à l'Annexe 2.
2. Lorsque le Sous-traitant engage un nouveau Sous-traitant ultérieur ou en remplace un existant, il en informe le Responsable du traitement au moins 30 jours à l'avance, par courriel ou par notification dans le produit. Le Responsable du traitement peut s'y opposer pour des motifs raisonnables liés à la protection des données.
3. Si le Responsable du traitement s'y oppose dans les 30 jours suivant l'information, les parties en discuteront de bonne foi. Si les parties ne parviennent pas à s'accorder sur une solution, le Responsable du traitement peut, à titre de seul recours, résilier la partie du Service concernée pour convenance moyennant notification écrite. La résiliation de la partie concernée n'ouvre pas droit au remboursement des Frais déjà payés pour les périodes antérieures à la résiliation.
4. Le Sous-traitant imposera à chaque Sous-traitant ultérieur des obligations de protection des données qui ne seront pas moins protectrices que celles énoncées dans le présent AT, en particulier en fournissant des garanties suffisantes de mesures techniques et organisationnelles appropriées.
5. Le Sous-traitant demeure pleinement responsable envers le Responsable du traitement de l'exécution des obligations de chaque Sous-traitant ultérieur au titre de son contrat avec le Sous-traitant.

7. Assistance pour les droits des personnes concernées

1. Compte tenu de la nature du traitement, le Sous-traitant aidera le Responsable du traitement, par des mesures techniques et organisationnelles appropriées, dans la mesure du possible, à s'acquitter de son obligation de répondre aux demandes des personnes concernées exerçant leurs droits au titre du chapitre III du RGPD.
2. Si le Sous-traitant reçoit une demande d'une personne concernée, il n'y répondra pas directement, sauf obligation légale, et orientera la personne concernée vers le Responsable du traitement sans retard injustifié.

8. Assistance pour les autres obligations du Responsable du traitement

Compte tenu de la nature du traitement et des informations dont dispose le Sous-traitant, ce dernier aidera le Responsable du traitement à garantir le respect de ses obligations au titre des articles 32 à 36 du RGPD (sécurité, notification de violation, analyses d'impact relatives à la protection des données et consultation préalable).

9. Notification d'une Violation de Données à caractère personnel

1. Le Sous-traitant notifiera au Responsable du traitement, sans retard injustifié et en tout état de cause dans les 72 heures, toute Violation de Données à caractère personnel affectant les Données à caractère personnel du Responsable du traitement, après en avoir pris connaissance.
2. La notification comprendra, dans la mesure du possible : la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d'enregistrements en cause, les conséquences probables, et les mesures prises ou proposées pour remédier à la violation et en atténuer les éventuels effets négatifs.
3. Lorsque le Sous-traitant ne peut pas fournir l'ensemble des informations en même temps, il peut les fournir par étapes sans nouveau retard injustifié.
4. La notification ou l'assistance du Sous-traitant au titre de la présente clause ne constitue pas, et ne sera pas interprétée comme, une reconnaissance de faute ou de responsabilité.

10. Audits

1. Le Sous-traitant mettra à la disposition du Responsable du traitement toutes les informations raisonnablement nécessaires pour démontrer le respect du présent AT et de l'article 28 du RGPD.
2. La forme principale de coopération en matière d'audit du Sous-traitant consiste en la fourniture de : a) certifications de sécurité tierces et rapports d'audit à jour (lorsqu'ils sont disponibles) ; b) réponses à des questionnaires de sécurité ; et c) la description des mesures figurant à l'Annexe 3.
3. Lorsque les éléments visés à la clause 10.2 ne sont pas suffisants pour démontrer la conformité, le Responsable du traitement peut, à ses frais et moyennant un préavis écrit d'au moins 30 jours, auditer les activités de traitement du Sous-traitant par l'intermédiaire d'un auditeur indépendant raisonnablement acceptable pour les deux parties. Les audits : a) seront limités aux informations directement pertinentes pour le respect par le Sous-traitant du présent AT ; b) auront lieu pendant les heures ouvrables normales ; c) ne se produiront pas plus d'une fois sur toute période de 12 mois, sauf exigence d'une autorité de contrôle ou à la suite d'une Violation importante de Données à caractère personnel ; et d) seront soumis à des obligations de confidentialité.
4. L'auditeur ne doit pas accéder aux données d'autres clients, au code source ou aux secrets d'affaires, sauf nécessité absolue et sous réserve de garanties appropriées.

11. Transferts internationaux

1. Lieu de traitement des Données à caractère personnel. Le Sous-traitant traite les Données à caractère personnel principalement au sein de l'Espace économique européen. Les Sous-traitants ultérieurs situés en dehors de l'EEE figurent à l'Annexe 2. Le Sous-traitant ne transférera pas de Données à caractère personnel en dehors de l'EEE sans qu'un mécanisme de transfert approprié au titre du chapitre V du RGPD ne soit en place.
2. Transferts ultérieurs par le Sous-traitant. Lorsque le Sous-traitant ou un Sous-traitant ultérieur traite des Données à caractère personnel dans un pays situé en dehors de l'EEE n'ayant pas fait l'objet d'une décision d'adéquation de la Commission européenne, le Sous-traitant s'appuie sur les Clauses Contractuelles Types (décision d'exécution (UE) 2021/914 de la Commission), Module 3 (sous-traitant à sous-traitant), y compris toute mesure supplémentaire requise à la suite de l'arrêt Schrems II. Le Responsable du traitement confère au Sous-traitant un droit d'adhésion (docking right) lui permettant d'ajouter, dans la mesure nécessaire, des Sous-traitants ultérieurs en qualité de parties à ces clauses pour le compte du Responsable du traitement. Lorsque le Sous-traitant met des Données à caractère personnel à la disposition d'un Responsable du traitement établi en dehors de l'EEE, les parties conviennent que le transfert (si un transfert restreint intervient dans ce sens) est régi par les dispositions spécifiques à la juridiction des Sections 11.3–11.6, en lieu et place du Module 4 des CCT UE.
3. Responsables du traitement au Royaume-Uni. Lorsque le Responsable du traitement est établi au Royaume-Uni ou que les Données à caractère personnel relèvent par ailleurs du UK GDPR : a) les références au RGPD dans le présent AT sont réputées inclure le UK GDPR lorsque cela est applicable ; b) l'Addendum britannique aux CCT UE (publié par l'Information Commissioner's Office en application de la Section 119A du UK Data Protection Act 2018) est incorporé par référence et s'applique à tout transfert ultérieur depuis le Royaume-Uni qui constituerait un transfert restreint au sens du droit britannique ; c) l'UK ICO est l'autorité de contrôle compétente pour les questions régies par le UK GDPR.
4. Responsables du traitement en Suisse. Lorsque le Responsable du traitement est établi en Suisse ou que les Données à caractère personnel relèvent par ailleurs de la Loi fédérale suisse sur la protection des données (LPD/FADP), les amendements du FDPIC suisse aux CCT UE sont incorporés par référence, et les références au RGPD dans le présent AT sont réputées inclure la LPD. Le FDPIC suisse est l'autorité de contrôle compétente.
5. Responsables du traitement aux États-Unis. Lorsque le Responsable du traitement est établi aux États-Unis ou traite des Données à caractère personnel soumises à des lois étatiques américaines en matière de protection de la vie privée (y compris CCPA / CPRA, VCDPA, CPA, CTDPA, UCPA et lois successeures ou équivalentes), le Sous-traitant agit en tant que « service provider » ou « processor » au sens de ces lois : le Sous-traitant ne (a) vendra ni ne partagera de Données à caractère personnel ; (b) ne conservera, n'utilisera ni ne divulguera de Données à caractère personnel en dehors de la relation commerciale directe ; (c) ne combinera de Données à caractère personnel avec des informations à caractère personnel provenant d'autres sources, sauf dans la mesure permise par la loi applicable. Le Sous-traitant coopérera, sur demande raisonnable, avec les obligations de conformité du Responsable du traitement en vertu de ces lois.
6. Autres Responsables du traitement hors EEE. Lorsque le Responsable du traitement est établi dans un pays non visé ci-dessus, les parties coopéreront de bonne foi afin de mettre en place tout mécanisme contractuel spécifique à la juridiction raisonnablement exigé par la loi applicable au Responsable du traitement en matière de protection des données.
7. Évaluations d'Impact sur les Transferts. Le Sous-traitant tient à jour des Évaluations d'Impact sur les Transferts (Transfer Impact Assessments) pour les transferts substantiels vers des Sous-traitants ultérieurs situés en dehors de l'EEE et en fournit un résumé sur demande raisonnable, sous réserve de confidentialité.

12. Restitution ou suppression des Données à caractère personnel

1. À la résiliation du Service ou au choix du Responsable du traitement, le Sous-traitant supprimera ou restituera, dans un délai de 30 jours, l'ensemble des Données à caractère personnel au Responsable du traitement et supprimera les copies existantes, sauf dans la mesure où le droit de l'Union ou d'un État membre exige la conservation.
2. Le Sous-traitant fournira un mécanisme d'export en libre-service au sein du Service permettant au Responsable du traitement de récupérer les Données à caractère personnel avant suppression.
3. La conservation standard des sauvegardes par le Sous-traitant est une fenêtre glissante de 30 jours. Les Données à caractère personnel présentes dans les sauvegardes seront écrasées dans le cours normal des opérations et restent soumises au présent AT jusqu'à leur écrasement.
4. Sur demande écrite du Responsable du traitement, à la suite de l'achèvement des actions prévues à la clause 12.1, le Sous-traitant fournira une confirmation écrite attestant que les Données à caractère personnel ont été supprimées ou restituées conformément à la présente Section 12.

13. Responsabilité

La responsabilité des parties au titre du présent AT est soumise aux limitations de responsabilité énoncées dans les Conditions générales d'utilisation. Aucune disposition des Conditions générales d'utilisation ne limite la responsabilité d'une partie au titre de l'article 82 du RGPD à l'égard d'une personne concernée.

14. Durée et résiliation

Le présent AT entre en vigueur à la date d'effet des Conditions générales d'utilisation et reste en vigueur tant que le Sous-traitant traite des Données à caractère personnel pour le compte du Responsable du traitement. Les clauses qui, par leur nature, doivent survivre (notamment les clauses 4, 7, 10, 11, 12 et 13) survivront à la résiliation.

15. Divers

1. Si une disposition du présent AT est jugée invalide ou inapplicable, les autres dispositions demeurent pleinement en vigueur.
2. Le présent AT est régi par le droit néerlandais, et les litiges relèvent de la compétence exclusive du tribunal compétent d'Amsterdam, conformément aux Conditions générales d'utilisation.
3. En cas de divergence entre les versions linguistiques du présent AT, la version anglaise prévaut.

Annexe 1 : Détails du traitement

Annexe 2 : Sous-traitants ultérieurs

Les Sous-traitants ultérieurs suivants sont autorisés par le Responsable du traitement à la date d'effet du présent AT. La liste reflète les entités utilisées par le Sous-traitant pour fournir le Service. Une liste à jour est également publiée dans la Politique de confidentialité à l'adresse faronto.com/privacy.

Annexe 3 : Mesures techniques et organisationnelles de sécurité