La présente Annexe définit les droits et obligations réciproques du Client (en qualité de « Responsable du traitement ») et de Claritalk (en qualité de « Sous-traitant ») concernant le Traitement de Données à caractère personnel par Claritalk, conformément à la Législation sur la protection des données. La version néerlandaise est le texte juridiquement contraignant ; cette traduction est fournie à titre informatif.
Article 1 Définitions
Les termes utilisés dans le présent Accord de traitement ont la signification suivante :
- 1.1 RGPD : le Règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
- 1.2 Personne concernée : la personne physique à laquelle se rapporte une Donnée à caractère personnel ;
- 1.3 Clients finaux : les clients du Client ;
- 1.4 Contrat : le Contrat Claritalk par lequel le Responsable du traitement a chargé le Sous-traitant d'effectuer des Traitements ;
- 1.5 DPA ou Accord de traitement : la présente Annexe 2 ;
- 1.6 Données à caractère personnel : toute information se rapportant à une personne physique identifiée ou identifiable que le Sous-traitant reçoit du Responsable du traitement en vertu du Contrat et doit Traiter ;
- 1.7 Traiter/Traitement : toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des Données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction ;
- 1.8 Responsable du traitement : le Client ayant conclu un Contrat Claritalk avec Claritalk ;
- 1.9 Sous-traitant : SalesNote BV (Claritalk), inscrite à la BCE sous le numéro 0765.323.961, dont le siège social est établi Staatsbaan 305, 9870 Zulte, Belgique.
Article 2 Applicabilité
2.1 Sauf accord écrit contraire des Parties, les dispositions du présent Accord de traitement s'appliquent à tout Traitement de Données à caractère personnel par le Sous-traitant en vertu du Contrat. En cas de contradiction ou d'incohérence entre le présent Accord de traitement et le Contrat, les dispositions du présent Accord de traitement prévalent.
Article 3 Informations de base relatives au Traitement
3.1 Dans le cadre de l'exécution du Contrat, le Sous-traitant a accès à certaines Données à caractère personnel de catégories spécifiques de Personnes concernées (cf. article 3.3). Ces Traitements ont pour seul objectif l'exécution du Contrat.
3.2 Le Sous-traitant peut Traiter les Données à caractère personnel transmises par le Responsable du traitement aussi longtemps que nécessaire à l'exécution de la mission définie dans le Contrat. Une fois la mission exécutée, le Sous-traitant met immédiatement fin à toute utilisation des Données à caractère personnel autre que celle nécessaire pour permettre au Responsable du traitement de récupérer les données confiées au Sous-traitant et d'utiliser les données résultant du traitement dont le Sous-traitant a été chargé.
3.3 Les types de Données à caractère personnel traitées par catégorie de Personnes concernées peuvent être décrits comme suit :
L'Utilisateur final
- Nom (initiales, prénom, nom, civilité, nom de l'entreprise)
- Adresse de facturation
- GSM, e-mail, site web
- IBAN, mode de paiement
- Numéro de client
- Contrats
- Factures
- Paiements
Le Client
- Nom de l'entreprise
- Numéro de TVA
- Coordonnées d'adresse
- Numéro de compte bancaire
- Numéro de téléphone
- Informations sur les utilisateurs du système : nom et prénom, adresse e-mail (également identifiant de connexion), mot de passe chiffré de manière irréversible, numéro de téléphone
3.4 Les droits et obligations du Responsable du traitement sont définis dans le présent Accord de traitement.
Article 4 Traitement par le Sous-traitant
4.1 Le Sous-traitant ne Traite les Données à caractère personnel que sur instruction écrite du Responsable du traitement, sauf obligations légales contraires et demandes contraires des Personnes concernées ; dans ce cas, le Sous-traitant informe le Responsable du traitement de cette obligation légale avant le Traitement, sauf si la loi interdit une telle information pour des motifs importants d'intérêt public.
4.2 Le Sous-traitant Traite les Données à caractère personnel pour le compte du Responsable du traitement, conformément à ses instructions, sous sa responsabilité et de la manière prévue dans le Contrat.
4.3 Le Sous-traitant n'a aucun pouvoir de décision sur la finalité et les moyens du Traitement des Données à caractère personnel. Si le Sous-traitant, en violation du présent Accord de traitement et du RGPD, détermine les finalités et les moyens d'un traitement, il est considéré comme responsable du traitement pour ce Traitement.
4.4 Le Sous-traitant veille au respect des conditions imposées par le RGPD et les autres réglementations au Traitement des Données à caractère personnel.
4.5 Le Sous-traitant ne donne accès aux Données à caractère personnel qu'à ses collaborateurs soumis à une obligation de confidentialité, et uniquement dans la mesure nécessaire à la prestation des services prévus par le Contrat.
4.6 Le Sous-traitant informe le Responsable du traitement des demandes relatives à l'exercice des droits concernant les Données à caractère personnel reçues directement d'une Personne concernée. Il fournit en outre au Responsable du traitement toute l'assistance raisonnablement nécessaire, compte tenu de la nature du Traitement et des informations dont il dispose, pour répondre aux demandes d'exercice des droits des personnes concernées.
4.7 Le Responsable du traitement donne au Sous-traitant l'autorisation écrite générale de faire appel à un sous-traitant ultérieur pour l'exécution du présent Accord de traitement, à condition que la protection des Données à caractère personnel reste garantie.
Le Sous-traitant informe le Responsable du traitement de tout changement prévu concernant l'ajout ou le remplacement de sous-traitants ultérieurs, le Responsable du traitement ayant la possibilité de s'y opposer par écrit dans un délai de 7 jours calendrier.
Avant de recruter un sous-traitant ultérieur pour mener des activités de traitement spécifiques pour le compte du Responsable du traitement, le Sous-traitant lui impose, par contrat, au moins les mêmes obligations en matière de protection des données que celles prévues dans le présent Accord de traitement. Cela comprend notamment l'obligation de présenter des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées, de manière que le Traitement réponde aux exigences du RGPD et garantisse la protection des droits de la Personne concernée. Le contrat avec le sous-traitant ultérieur doit désigner le Responsable du traitement comme bénéficiaire direct, afin qu'il puisse exercer directement ses droits contractuels à l'égard du sous-traitant ultérieur.
4.8 Le Sous-traitant met à la disposition du Responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations prévues dans le présent Accord de traitement. À cet effet, le Responsable du traitement, ou un auditeur mandaté par lui, a le droit de réaliser des audits et inspections auprès du Sous-traitant, qui les permet et y contribue. Le Sous-traitant informe immédiatement le Responsable du traitement si, selon lui, une instruction constitue une violation du RGPD ou d'autres dispositions du droit de l'Union ou des États membres relatives à la protection des données.
4.9 Le Sous-traitant ne peut pas Traiter les Données à caractère personnel en dehors de l'EEE sans l'accord écrit préalable du Responsable du traitement, qui peut l'assortir de conditions. Lorsqu'une disposition du droit de l'Union ou d'un État membre oblige le Sous-traitant à Traiter dans un pays tiers, le Sous-traitant en informe le Responsable du traitement avant le Traitement, sauf si ce droit interdit une telle information pour des motifs importants d'intérêt public.
Article 5 Notification des violations de données
5.1 Le Sous-traitant informe le Responsable du traitement sans délai (et en tout cas au plus tard 24 heures après sa découverte) de toute violation de la sécurité liée au Traitement de Données à caractère personnel et fournit, dans la mesure du possible, des informations sur : (i) la nature de la violation ; (ii) les Données à caractère personnel (potentiellement) concernées ; (iii) les conséquences constatées et attendues de la violation pour le Traitement des Données à caractère personnel et les personnes concernées ; et (iv) les mesures prises et à prendre par le Sous-traitant pour en limiter les conséquences négatives.
5.2 Le Sous-traitant reconnaît que le Responsable du traitement peut être légalement tenu de notifier une violation de sécurité concernant ou pouvant concerner les Données à caractère personnel Traitées par le Sous-traitant à l'autorité de contrôle et, le cas échéant, aux Personnes concernées. Avant une telle notification, le Responsable du traitement consulte et informe le Sous-traitant de la notification envisagée.
5.3 Le Sous-traitant prend toutes les mesures nécessaires pour limiter le dommage (éventuel) et assiste le Responsable du traitement dans la notification à l'autorité de contrôle et aux Personnes concernées. Il tient le Responsable du traitement informé de tout nouveau développement concernant la violation et des mesures prises pour en limiter l'ampleur, y mettre fin et éviter un incident similaire à l'avenir.
Article 6 Mesures de sécurité
6.1 Le Sous-traitant prend toutes les mesures techniques et organisationnelles appropriées requises par l'article 32 du RGPD pour protéger les Données à caractère personnel contre la perte ou toute forme de Traitement illicite.
6.2 Le Responsable du traitement reconnaît que les mesures de sécurité prises par le Sous-traitant sont appropriées au regard de tous les aspects pertinents du Traitement, y compris l'état de la technique et le cadre du Contrat.
Article 7 Obligations du Responsable du traitement
7.1 Pour le Traitement de Données à caractère personnel en vertu du présent Accord de traitement, le Responsable du traitement est le « responsable du traitement », puisqu'il détermine, seul ou conjointement avec d'autres, les finalités et les moyens du Traitement.
7.2 Le Responsable du traitement accepte et garantit que le Traitement des Données à caractère personnel conformément à l'Accord de traitement est conforme au RGPD.
7.3 Compte tenu de la nature du Traitement et des informations dont il dispose, le Sous-traitant fournit au Responsable du traitement toute l'assistance raisonnablement nécessaire pour respecter les obligations prévues aux articles 32 à 36 du RGPD.
Article 8 Fin de l'accord
8.1 L'Accord de traitement prend effet le jour de la signature du Contrat et prend fin au moment où le Contrat prend fin, étant entendu que l'article 8.2 reste en vigueur après la fin de l'Accord de traitement jusqu'à ce que le Sous-traitant ait intégralement respecté l'obligation prévue à l'article 8.2.
8.2 À la première demande du Responsable du traitement, en cas de fin de l'Accord de traitement, le Sous-traitant restitue au Responsable du traitement toutes les Données à caractère personnel mises à sa disposition et détruit toutes les copies numériques, sauf si le droit de l'Union ou d'un État membre l'oblige à conserver les Données à caractère personnel.
Si le Responsable du traitement estime que la destruction ne peut pas avoir lieu, il en informe le Sous-traitant par écrit. Dans ce cas, le Sous-traitant garantit la confidentialité des Données à caractère personnel à l'égard du Responsable du traitement et ne les Traite que pour satisfaire à son obligation légale ou sur instruction écrite du Responsable du traitement.