Le contrat-cadre « GDPRLocal » et les conditions supplémentaires qui y figurent régissent nos produits, nos services et nos relations avec la clientèle.
Il n'y a aucune obligation d'achat de services. Aucune carte bancaire n'est requise pour s'inscrire, et une fois inscrit, vous pouvez acheter et activer des services à tout moment.
Dernière mise à jour : 3 novembre 2026
Le présent accord de traitement des données entre l’Union européenne et le Royaume-Uni (ci-après dénommé « l’Accord de traitement des données ») complète l’accord en vertu duquel GDPRLocal fournit les Services au Client, qu’il s’agisse du Contrat-cadre de services GDPRLocal ou de tout autre accord, mandat ou bon de commande signé (ci-après dénommé « l’Accord ») conclu entre le client signataire du présent Accord de traitement des données (ci-après dénommé « le Client ») et GDPRLocal Ltd., dont le siège social est situé au 1st Floor Front Suite, 27-29 North Street, Brighton, Angleterre, BN1 1EB (la « Société »), agissant pour son propre compte et celui de ses sociétés affiliées. En signant le DPA conformément à la section 11 des présentes, le Client conclut le présent DPA en son nom propre et, dans la mesure requise par les lois applicables en matière de protection des données (définies ci-dessous), au nom et pour le compte de ses Filiales (définies ci-dessous). Le présent DPA intègre les termes du Contrat, et tout terme non défini dans le présent DPA aura le sens qui lui est donné dans le Contrat.
1.1Le terme « société affiliée » désigne (i) une entité dont une partie détient, directement ou indirectement, cinquante pour cent (50 %) ou plus des actions ou autres participations, (ii) une entité qui détient au moins cinquante pour cent (50 %) des actions ou autres participations d’une partie, ou (iii) une entité qui est sous contrôle commun avec une partie, du fait qu’au moins cinquante pour cent (50 %) des actions ou autres participations de cette entité et d’une partie sont détenues par la même personne, mais cette entité n’est réputée être une « Société affiliée » que tant que cette participation existe.
1.2Le terme « sous-traitant autorisé » désigne un tiers qui a besoin de connaître ou d’accéder de quelque manière que ce soit aux données à caractère personnel du client afin de permettre à la Société de s’acquitter de ses obligations au titre du présent accord de traitement des données ou du Contrat, et qui est soit (1) mentionné à l’annexe B (4), soit (2) autorisé ultérieurement en vertu de la section 4.2 du présent accord de traitement des données.
1.3« Les données du compte de la Société » désignent les données à caractère personnel relatives à la relation entre la Société et le Client, y compris les noms ou coordonnées des personnes autorisées par le Client à accéder à son compte, ainsi que les informations de facturation des personnes que le Client a associées à son compte. Les données du compte de la Société comprennent également toutes les données que la Société peut être amenée à collecter aux fins de la gestion de sa relation avec le Client, de la vérification d’identité ou conformément aux lois et réglementations applicables.
1.4Le terme « Données d’utilisation de la Société » désigne les données relatives à l’utilisation des Services collectées et traitées par la Société dans le cadre de la fourniture des Services, y compris, sans s’y limiter, les données utilisées pour identifier la source et la destination d’une communication, les journaux d’activité, ainsi que les données utilisées pour optimiser et maintenir les performances des Services, et pour enquêter sur les abus du système et les prévenir.
1.5Le terme « exportateur de données » désigne le Client, sauf dans le cas des transferts sortants visés à l’article 6.7, pour lesquels la Société ou l’entité représentative concernée est l’exportateur de données.
1.6Le terme « importateur de données » désigne la Société, sauf dans le cas des transferts sortants visés à l'article 6.7, pour lesquels le Client est l'importateur de données.
1.7Le terme « lois sur la protection des données » désigne l’ensemble des lois et réglementations applicables dans toute juridiction concernée relatives à l’utilisation ou au traitement des données à caractère personnel, y compris : (i) la loi californienne sur la protection de la vie privée des consommateurs (« CCPA »), (ii) le règlement général sur la protection des données (règlement (UE) 2016/679) (« RGPD de l’UE ») et le RGPD de l’UE tel qu’il fait partie intégrante du droit de l’Angleterre et du Pays de Galles en vertu de l’article 3 de la loi de 2018 sur le retrait de l’Union européenne (la « RGPD du Royaume-Uni ») (collectivement, le « RGPD »), (iii) la loi fédérale suisse sur la protection des données du 25 septembre 2020 (la « LPD ») ; (iv) la loi britannique de 2018 sur la protection des données ; (v) le règlement de 2003 sur la vie privée et les communications électroniques (directive CE) ; (vi) la loi singapourienne de 2012 sur la protection des données à caractère personnel (la « PDPA ») ; et (vii) le règlement (UE) 2024/1689 établissant des règles harmonisées en matière d’intelligence artificielle (la « loi européenne sur l’IA »), dans la mesure où il s’applique au traitement des données à caractère personnel, y compris lorsque la Société agit en tant que représentant autorisé du Client en vertu de l’article 22 ou de l’article 54 de la loi européenne sur l’IA ; dans chaque cas, tels que mis à jour, modifiés ou remplacés de temps à autre. Les termes « personne concernée », « données à caractère personnel », « violation de données à caractère personnel », « traitement », « sous-traitant », « responsable du traitement » et « autorité de contrôle » ont le sens qui leur est donné dans le RGPD.
1.8Le terme « Communications du DPD » désigne les demandes, réclamations et autres communications, ainsi que toutes les données à caractère personnel qu’elles contiennent, que des personnes physiques ou des autorités de contrôle adressent à la Société en sa qualité de délégué à la protection des données du Client.
1.9Le terme « clauses contractuelles types de l’UE » désigne les clauses contractuelles types approuvées par la Commission européenne dans sa décision 2021/914 du 4 juin 2021, relatives aux transferts de données à caractère personnel vers des pays qui ne sont pas autrement reconnus par la Commission européenne comme offrant un niveau de protection adéquat des données à caractère personnel (telles que modifiées et mises à jour de temps à autre), telles que modifiées par l’article 6.2 du présent accord sur le traitement des données.
1.10On entend par « transfert hors de l’EEE » le transfert de données à caractère personnel, traitées conformément au RGPD, de l’exportateur de données vers l’importateur de données (ou ses locaux) situés en dehors de l’Espace économique européen (l’« EEE »), ce transfert n’étant pas régi par une décision d’adéquation prise par la Commission européenne conformément aux dispositions pertinentes du RGPD.
1.11« Transfert hors du Royaume-Uni » désigne le transfert de données à caractère personnel relevant du chapitre V du RGPD britannique, qui sont traitées conformément au RGPD britannique et à la loi de 2018 sur la protection des données, de l’exportateur de données vers l’importateur de données (ou ses locaux) situés en dehors du Royaume-Uni (le « Royaume-Uni »), et ce transfert n’est pas régi par une décision d’adéquation prise par le secrétaire d’État conformément aux dispositions pertinentes du RGPD britannique et de la loi de 2018 sur la protection des données.
1.12Le terme « transfert sortant » désigne un transfert de données à caractère personnel de la Société ou d’une entité représentative vers le Client, y compris les communications des représentants, les communications du délégué à la protection des données (DPO) et les données à caractère personnel contenues dans les livrables, rapports, avis ou autres documents fournis au Client dans le cadre de tout Service.
1.13Le terme « communications des représentants » désigne les demandes, réclamations et autres communications, ainsi que les données à caractère personnel qu’elles contiennent, que des personnes physiques ou des autorités de contrôle adressent à une entité représentative au sujet du client.
1.14Le terme « Entité représentative » désigne, lorsque le Client a activé le service de représentation correspondant : (i) Instant EU GDPR Representative Limited (Irlande), en tant que représentant du Client au titre de l’article 27 du RGPD de l’UE ; (ii) GDPRLocal Ltd, en tant que représentant du Client au titre de l’article 27 du RGPD britannique ; et (iii) ALTRION Sagl (Suisse), en tant que représentant du Client au titre de l’article 14 de la LPD. Instant EU GDPR Representative Limited et ALTRION Sagl sont des entités partenaires indépendantes et ne sont pas des sociétés affiliées à la Société.
1.15Le terme « Services » a le sens qui lui est donné dans le Contrat.
1.16Le terme « clauses contractuelles types » désigne les clauses contractuelles types de l'Union européenne et celles du Royaume-Uni.
1.17Le terme « SCC britanniques » désigne les SCC de l'UE, telles que modifiées par l'addendum britannique.
1.18Le terme « Avenant britannique » désigne l’avenant relatif au transfert international de données aux clauses contractuelles types de l’UE, publié par le Commissaire à l’information en vertu de l’article 119A de la loi de 2018 sur la protection des données (version B1.0), tel qu’il figure à l’annexe D.
2.1Les parties reconnaissent et conviennent qu’en ce qui concerne le traitement des Données à caractère personnel, le Client peut agir soit en tant que responsable du traitement, soit en tant que sous-traitant et, sauf disposition expresse contraire dans le présent ATD ou dans le Contrat, la Société est un sous-traitant. Dans le cadre de son utilisation des Services, le Client doit à tout moment traiter les Données à caractère personnel et fournir des instructions relatives à ce traitement, dans le respect des Lois sur la protection des données. Le Client doit s’assurer que le traitement des Données à caractère personnel conformément à ses instructions n’entraînera pas de violation des Lois sur la protection des données de la part de la Société. Le Client est seul responsable de l’exactitude, de la qualité et de la légalité (i) des Données à caractère personnel fournies à la Société par le Client ou en son nom, (ii) des moyens par lesquels le Client a obtenu ces Données à caractère personnel, et (iii) des instructions qu’il fournit à la Société concernant le traitement de ces Données à caractère personnel. Le Client ne doit pas fournir ni mettre à la disposition de la Société des Données à caractère personnel en violation du Contrat ou inappropriées au regard de la nature des Services, et il doit indemniser la Société de toutes les réclamations et pertes liées à cela.
2.2La Société ne traitera pas les Données à caractère personnel (i) à des fins autres que celles énoncées dans le Contrat et/ou l’Annexe A, (ii) d’une manière incompatible avec les conditions générales énoncées dans le présent ATD ou toute autre instruction documentée fournie par le Client, y compris en ce qui concerne les transferts de données à caractère personnel vers un pays tiers ou une organisation internationale, sauf si la législation de l’UE ou d’un État membre, ou la législation du Royaume-Uni ou de la Suisse, à laquelle la Société est soumise, l’exige ; dans ce cas, la Société informera le Client de cette obligation légale avant le traitement, à moins que cette législation n’interdise une telle information pour des motifs importants d’intérêt public, ou (iii) en violation des lois sur la protection des données. Le Client donne par les présentes instruction à la Société de traiter les Données à caractère personnel conformément à ce qui précède et dans le cadre de tout traitement initié par le Client dans le cadre de son utilisation des Services. L’objet, la nature, la finalité et la durée de ce traitement, ainsi que les types de données à caractère personnel collectées et les catégories de personnes concernées, sont décrits dans l’annexe A du présent accord sur le traitement des données (DPA).
2.3À l’issue de la prestation des Services, au choix du Client, la Société restituera ou supprimera les Données à caractère personnel du Client, sauf si la conservation de ces Données à caractère personnel est requise ou autorisée par la législation applicable. Si la restitution ou la destruction s’avère impossible ou est interdite par la loi, une règle ou un règlement, la Société prendra des mesures pour empêcher tout traitement ultérieur de ces Données à caractère personnel (sauf dans la mesure nécessaire à leur hébergement continu ou au traitement requis par la loi, une règle ou un règlement) et continuera à protéger de manière appropriée les Données à caractère personnel restant en sa possession, sous sa garde ou sous son contrôle. Si le Client et la Société ont conclu des clauses contractuelles types telles que décrites à la section 6 (Transferts de données à caractère personnel), les parties conviennent que l’attestation de suppression des données à caractère personnel décrite aux clauses 8.1(d) et 8.5 des clauses contractuelles types de l’UE (selon le cas) ne sera fournie par la Société au Client qu’à la demande de ce dernier. Les communications avec le représentant et celles avec le délégué à la protection des données (DPO) sont conservées sur le portail de la Société uniquement dans le but de les recevoir et de les transmettre au Client. Six (6) mois après la clôture d’une demande, la Société informera le Client via le portail que les fichiers concernés sont sur le point d’être supprimés, afin que le Client puisse télécharger les copies dont il a besoin, puis les supprimera du portail. Pour tous les autres Services, la présente section 2.3 s’applique à la fin de chaque mission.
2.4 CCPA.À l’exception des Données du compte de la Société et des Données d’utilisation de la Société, les parties reconnaissent et conviennent que la Société est un prestataire de services au sens de la CCPA (dans la mesure où celle-ci s’applique) et qu’elle reçoit des informations personnelles du Client afin de fournir les Services conformément au Contrat, ce qui constitue une finalité commerciale. La Société s’engage à ne vendre aucune information personnelle. La Société ne conservera, n’utilisera ni ne divulguera aucune information personnelle fournie par le Client en vertu du Contrat, sauf dans la mesure où cela est nécessaire à la finalité spécifique de fournir les Services au Client conformément au Contrat, ou comme prévu par ailleurs dans le Contrat ou autorisé par le CCPA. Les termes « informations personnelles », « prestataire de services », « vente » et « vendre » ont le sens qui leur est donné à l’article 1798.140 du CCPA. La Société certifie qu’elle comprend les restrictions prévues à la section 2.4.
2.5 Services du DPD.Lorsque la Société agit en tant que délégué à la protection des données du Client en vertu de l’article 37 du RGPD, elle traite les Données à caractère personnel en tant que sous-traitant du Client au titre du présent accord de traitement des données. Le Client doit veiller à ce que la Société ne reçoive aucune instruction concernant l’exercice des missions prévues à l’article 39 du RGPD (article 38, paragraphe 3, du RGPD). Cela n’affecte pas les instructions du Client prévues à la section 2.2 concernant le traitement des données à caractère personnel. La Société est tenue au secret ou à la confidentialité concernant l’exécution de ces missions, conformément à la législation applicable (article 38, paragraphe 5, du RGPD). Aucune disposition du présent ATD ne limite la coopération de la Société avec les autorités de contrôle et les personnes concernées, ni son rôle de point de contact auprès de celles-ci (articles 38, paragraphe 4, et 39, paragraphe 1, points d) et e), du RGPD).
3.1La Société s’assurera que toute personne qu’elle autorise à traiter des Données à caractère personnel s’est engagée à protéger ces données conformément aux obligations de confidentialité de la Société prévues dans le Contrat. Le Client accepte que la Société puisse divulguer des Données à caractère personnel à ses employés, sous-traitants, conseillers professionnels et auditeurs, qui sont liés par des obligations de confidentialité, ainsi qu’aux Sous-traitants autorisés conformément à la section 4, dans chaque cas uniquement dans la mesure où cela est raisonnablement nécessaire à l’exécution de ses obligations au titre du présent ATD, du Contrat ou de la fourniture de Services au Client.
4.1Le Client reconnaît et accepte que la Société puisse (1) faire appel à ses Filiales ainsi qu’aux sous-traitants autorisés figurant sur la Liste (définie ci-dessous) pour accéder aux Données à caractère personnel et les traiter dans le cadre des Services et (2) faire appel, de temps à autre, à d’autres tiers aux fins de la fourniture des Services, y compris, sans s’y limiter, le traitement des Données à caractère personnel. Par les présentes, le Client accorde à la Société une autorisation générale écrite lui permettant de faire appel à des sous-traitants dans la mesure nécessaire à l’exécution des Services.
4.2La liste des sous-traitants autorisés actuels de la Société (la « Liste ») figure à l’annexe B(4). Cette Liste peut être mise à jour par la Société de temps à autre. La Société mettra en place un mécanisme permettant d’informer régulièrement le Client des nouveaux sous-traitants autorisés. Au moins quinze (15) jours avant de permettre à un tiers autre que les sous-traitants autorisés existants d’accéder aux Données à caractère personnel ou de participer à leur traitement, la Société ajoutera ce tiers à la Liste et en informera les abonnés, y compris le Client, par le biais des notifications. Le Client peut s’opposer à un tel recours en informant la Société par écrit dans un délai de quinze (15) jours à compter de la réception de la notification. Toute objection de ce type doit être formulée par écrit et fondée sur des motifs raisonnables liés à la protection des données. Le Client reconnaît que certains sous-traitants sont indispensables à la fourniture des Services, et que s’opposer au recours à un sous-traitant peut empêcher la Société de proposer les Services au Client.
4.3Si le Client s'oppose de manière raisonnable à une mission conformément à la section 4.2, et que la Société n'est pas en mesure de proposer une alternative commercialement raisonnable dans un délai raisonnable, le Client peut cesser d'utiliser le Service concerné en adressant une notification écrite à la Société. Cette cessation ne dispense pas le Client du paiement des frais dus à la Société en vertu du Contrat.
4.4Si le Client ne s'oppose pas au recours à un tiers conformément à la section 4.2 dans un délai de quinze (15) jours à compter de la notification par la Société, ce tiers sera considéré comme un sous-traitant autorisé au titre du présent accord de traitement des données.
4.5La Société conclura un accord écrit avec le sous-traitant agréé, imposant à ce dernier les mêmes obligations en matière de protection des données que celles qui lui sont imposées en vertu du présent accord de traitement des données (DPA) en ce qui concerne la protection des données à caractère personnel. Si un sous-traitant agréé ne respecte pas ses obligations en matière de protection des données prévues par cet accord écrit conclu avec la Société, celle-ci restera responsable envers le Client de l’exécution des obligations du sous-traitant agréé au titre dudit accord.
4.6Si le Client et la Société ont conclu des clauses contractuelles types telles que décrites à la section 6 (Transferts de données à caractère personnel), (i) les autorisations susmentionnées constitueront le consentement écrit préalable du Client à la sous-traitance par la Société du traitement des données à caractère personnel si ce consentement est requis en vertu des clauses contractuelles types, et (ii) les parties conviennent que les copies des accords conclus avec les sous-traitants autorisés, que la Société est tenue de fournir au Client conformément à la clause 9(c) des clauses contractuelles types de l’UE, peuvent faire l’objet d’une suppression préalable par la Société des informations commerciales ou des informations sans rapport avec les clauses contractuelles types ou leurs équivalents, et que ces copies ne seront fournies par la Société qu’à la demande du Client.
4.7 Outils d’IA.Les employés de la Société peuvent utiliser les outils d’IA énumérés à l’annexe B(4) pour lire, résumer et rédiger des documents dans le cadre des Services. Chaque résultat est vérifié par une personne avant utilisation ; aucun outil d’IA n’envoie quoi que ce soit ni n’effectue d’action sans confirmation humaine, et les Données à caractère personnel du Client ne sont pas utilisées pour entraîner des modèles d’IA. Le Client peut, par notification écrite, exiger que ses Données à caractère personnel ne soient pas traitées à l’aide d’outils d’IA ; dans ce cas, la Société traitera les documents sans recourir à ces outils à compter de cinq (5) jours ouvrables suivant la notification.
5.1Compte tenu de l’état de la technique, des coûts de mise en œuvre, ainsi que de la nature, de la portée, du contexte et des finalités du traitement, et du risque, dont la probabilité et la gravité peuvent varier, pour les droits et libertés des personnes physiques, la Société mettra en œuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque lié au traitement des données à caractère personnel. L’annexe C fournit des informations complémentaires sur les mesures de sécurité techniques et organisationnelles de la Société.
6.1Les parties conviennent que la Société peut transférer les Données à caractère personnel traitées en vertu du présent Accord sur le traitement des données (DPA) en dehors de l’EEE, du Royaume-Uni ou de la Suisse, dans la mesure où cela est nécessaire à la fourniture des Services. Le Client reconnaît que les principales opérations de traitement de la Société ont lieu au Royaume-Uni et que le transfert de ses Données à caractère personnel vers le Royaume-Uni est nécessaire à la fourniture des Services au Client. Si la Société transfère des Données à caractère personnel protégées en vertu du présent ATD vers une juridiction qui ne fait pas l’objet d’une décision d’adéquation au titre des Lois sur la protection des données, elle veillera à ce que des garanties appropriées aient été mises en place pour le transfert des Données à caractère personnel, conformément aux Lois sur la protection des données. Les transferts vers des sous-traitants autorisés dans ces juridictions sont effectués en vertu des clauses contractuelles types de l’UE (module trois) ou, pour les transferts en provenance du Royaume-Uni, des clauses contractuelles types du Royaume-Uni, étayés par une analyse d’impact relative au transfert. La localisation de chaque sous-traitant autorisé, ainsi que le mécanisme de transfert utilisé, sont indiqués à l’annexe B(4). La Société conserve les analyses d’impact relatives à ces transferts et en fournira un résumé sur demande.
6.2 Transferts hors de l’EEE.Les parties conviennent que les transferts hors de l’EEE sont effectués conformément aux clauses contractuelles types de l’UE, qui sont réputées avoir été conclues (et intégrées au présent accord de traitement des données par la présente référence) et mises en œuvre comme suit :
6.2.1Le module 1 (de responsable du traitement à responsable du traitement) des clauses contractuelles types de l'UE s'applique lorsque la Société traite des données à caractère personnel en tant que responsable du traitement, conformément à l'article 9 du présent accord sur le traitement des données.
6.2.2Le module 2 (du responsable du traitement au sous-traitant) des clauses contractuelles types de l'UE s'applique lorsque le Client est un responsable du traitement et que la Société traite des données à caractère personnel pour le compte du Client en tant que sous-traitant, conformément à l'article 2 du présent accord sur le traitement des données.
6.2.3Le module trois (du responsable du traitement au sous-traitant) des clauses contractuelles types de l'UE s'applique lorsque le client est un responsable du traitement et que la société traite des données à caractère personnel pour le compte du client en tant que sous-traitant.
6.3Pour chaque module, le cas échéant, les dispositions suivantes s'appliquent :
6.3.1La clause facultative relative à l'amarrage prévue à la clause 7 ne s'applique pas.
6.3.2À l’article 9, l’option 2 (autorisation générale écrite) s’applique, et le délai minimum de préavis en cas de changement de sous-traitant est celui prévu à la section 4.2 du présent accord de traitement des données ;
6.3.3À l'article 13 : lorsque le Client est établi dans un État membre de l'UE, la première option s'applique ; lorsque le Client n'est pas établi dans un État membre de l'UE et a désigné Instant EU GDPR Representative Limited comme son représentant en vertu de l'article 27, paragraphe 1, du RGPD de l'UE, la deuxième option s'applique et l'autorité de contrôle compétente est la Commission de protection des données (Irlande) ; et dans tous les autres cas, la troisième option s'applique ;
6.3.4À l'article 17 (option 1), les clauses contractuelles types de l'UE seront régies par le droit irlandais.
6.3.5Conformément à la clause 18(b), les litiges seront portés devant les tribunaux irlandais ;
6.3.6La pièce B du présent accord de traitement des données (DPA) contient les informations requises aux annexes I et III des clauses contractuelles types de l'UE ;
6.3.7La pièce C du présent accord de traitement des données contient les informations requises à l'annexe II des clauses contractuelles types de l'UE ; et
6.3.8En concluant le présent accord sur le traitement des données (DPA), les parties sont réputées avoir signé les clauses contractuelles types de l'UE (SCC) qui y sont intégrées, y compris leurs annexes.
6.4 Transferts hors du Royaume-Uni.Les parties conviennent que les transferts hors du Royaume-Uni sont effectués conformément aux clauses contractuelles types du Royaume-Uni (SCC), qui sont réputées conclues et intégrées au présent accord de traitement des données (DPA) par référence, et modifiées et complétées conformément à l’avenant britannique, qui est intégré aux présentes en tant qu’annexe D du présent DPA.
6.5 Transferts depuis la Suisse.Les parties conviennent que les transferts depuis la Suisse sont effectués conformément aux clauses contractuelles types de l'UE, sous réserve des modifications suivantes :
6.5.1Les termes « Règlement général sur la protection des données » ou « Règlement (UE) 2016/679 », tels qu’ils sont utilisés dans les clauses contractuelles types de l’UE, doivent être interprétés comme incluant la LPD en ce qui concerne les transferts de données soumis à la LPD.
6.5.2La clause 13 des clauses contractuelles types de l’UE est modifiée afin de prévoir que le Préposé fédéral à la protection des données et à l’information (« PFPDI ») de Suisse est compétent pour les transferts de données régis par la LPD, tandis que l’autorité de contrôle compétente de l’UE est compétente pour les transferts de données régis par le RGPD. Sous réserve de ce qui précède, toutes les autres exigences de la clause 13 doivent être respectées.
6.5.3Le terme « État membre de l’UE », tel qu’il est utilisé dans les clauses contractuelles types de l’UE, ne doit pas être interprété de manière à empêcher les personnes concernées résidant en Suisse d’exercer leurs droits sur leur lieu de résidence habituel, conformément à la clause 18, point c), des clauses contractuelles types de l’UE.
6.6 Mesures complémentaires.En ce qui concerne tout transfert hors de l'EEE ou hors du Royaume-Uni, les mesures complémentaires suivantes s'appliquent :
6.6.1À la date du présent accord sur le traitement des données (DPA), l’importateur de données n’a reçu aucune demande officielle de la part d’un service ou d’une agence gouvernementale de renseignement ou de sécurité du pays vers lequel les données à caractère personnel sont exportées, visant à obtenir l’accès aux données à caractère personnel du client (ou à en obtenir des copies) (« demandes d’organismes gouvernementaux ») ;
6.6.2Si, après la date du présent accord sur le traitement des données (DPA), la Société reçoit des demandes émanant d’une autorité publique, elle s’efforcera, en tant qu’importateur de données, de rediriger les forces de l’ordre ou l’autorité publique vers le Client afin que celui-ci soit sollicité directement pour fournir les données demandées. Dans ce cadre, la Société peut communiquer les coordonnées de base du Client à l’organisme public. Si elle est contrainte de divulguer les Données à caractère personnel du Client à un service répressif ou à un organisme public, la Société en informera le Client dans un délai raisonnable et coopérera afin de permettre à ce dernier de solliciter une ordonnance de protection ou tout autre recours approprié, sauf si la loi l’en interdit. La Société ne divulguera pas volontairement de Données à caractère personnel à un service répressif ou à un organisme public. L’Exportateur de données et l’Importateur de données devront (dès que cela sera raisonnablement possible) se concerter et déterminer si tout ou partie des transferts de Données à caractère personnel effectués en vertu du présent ATD doivent être suspendus à la lumière de ces demandes émanant d’une autorité publique ; et
6.6.3L'exportateur de données et l'importateur de données se réuniront autant que nécessaire afin d'examiner si :
(i) la protection offerte par la législation du pays de l’importateur de données aux personnes concernées dont les données à caractère personnel font l’objet d’un transfert est suffisante pour garantir une protection globalement équivalente à celle offerte dans l’EEE ou au Royaume-Uni, selon le cas ;
(ii) des mesures supplémentaires sont raisonnablement nécessaires pour que le transfert soit conforme aux lois sur la protection des données ; et
(iii) le transfert des données à caractère personnel vers l’importateur de données concerné reste approprié, compte tenu de toutes les informations pertinentes dont disposent les parties, ainsi que des orientations fournies par les autorités de contrôle.
6.6.4Si (i) l’un des moyens de légitimer les transferts de données à caractère personnel en dehors de l’EEE, du Royaume-Uni ou de la Suisse, tels que prévus dans le présent accord sur le traitement des données, cesse d’être valable, ou (ii) une autorité de contrôle exige la suspension des transferts de données à caractère personnel effectués conformément à ces moyens, l’Importateur de données peut, par notification adressée à l’Exportateur de données, avec effet à compter de la date indiquée dans ladite notification, modifier ou mettre en place d’autres dispositions concernant ces transferts, conformément aux lois sur la protection des données.
6.7 Transferts vers l'étranger.Lorsque le Client est établi dans un pays qui ne fait pas l'objet d'une décision d'adéquation au titre des lois sur la protection des données, les dispositions suivantes s'appliquent aux transferts vers l'étranger :
6.7.1Dans le cadre des transferts sortants, la Société ou l'entité représentative concernée est l'exportateur de données agissant en tant que sous-traitant, et le Client est l'importateur de données agissant en tant que responsable du traitement.
6.7.2Lorsque le Client n’est pas soumis au RGPD de l’UE ou au RGPD britannique pour le traitement concerné, les transferts sortants effectués par Instant EU GDPR Representative Limited s’effectuent conformément aux clauses contractuelles types de l’UE (SCC), module 4 (du sous-traitant au responsable du traitement), la législation et les tribunaux irlandais étant applicables en vertu des clauses 17 et 18. Lorsque les données à caractère personnel ont été reçues par la Société ou une entité représentative de la part du Client, les parties s’appuient sur l’exception prévue à la section III des clauses contractuelles types de l’UE pour le module quatre. Lorsque ces données proviennent d’Europe, les parties se conforment intégralement à la section III, y compris en ce qui concerne l’évaluation d’impact relative au transfert.
6.7.3Lorsque le Client est soumis au RGPD de l’UE ou au RGPD britannique en vertu de l’article 3, paragraphe 2, qui s’applique à tous les Clients des services de représentation, le Client est directement lié par le RGPD pour ce traitement, et la Commission européenne a déclaré que les clauses contractuelles types de 2021 ne sont pas destinées aux importateurs se trouvant dans cette situation (Question-réponse n° 24 de la Commission). En conséquence : [OPTION A : les parties conviennent que les clauses du Module 4 constituent des garanties contractuelles contraignantes s’ajoutant aux obligations directes du Client au titre du RGPD, étayées par une analyse d’impact relative au transfert, et les remplaceront par toute clause contractuelle type que la Commission européenne ou le Commissaire à l’information adopterait pour ce scénario dans un délai de soixante (60) jours à compter de leur adoption ; la Société ne garantit pas que ces clauses constituent un mécanisme de transfert approuvé pour ce scénario.] [OPTION B : les transferts sortants s’appuient sur [la ou les dérogations prévues à l’article 49, paragraphe 1, du RGPD, à préciser], en tant que transferts occasionnels nécessaires au Client pour traiter les communications concernées, les clauses du Module 4 servant de garanties contractuelles.
6.7.4Les transferts sortants effectués par la société Ltd, que ce soit en sa qualité de représentant au Royaume-Uni, de délégué à la protection des données ou dans le cadre de la prestation de services de conseil, de gestion de projets, de formation ou de gouvernance de l'IA, sont réalisés conformément aux clauses contractuelles types du Royaume-Uni (SCC), module 4, telles qu'elles figurent dans l'annexe D.
6.7.5Les transferts effectués par ALTRION Sagl sont régis par les clauses contractuelles types de l'UE (SCC), module 4, telles que modifiées par la section 6.4.
6.7.6Les informations requises par l'annexe I des clauses contractuelles types de l'UE pour ces transferts sont énoncées à l'annexe B(5), et les mesures prévues à l'annexe C s'appliquent à la Société et aux entités représentatives.
6.7.7Chaque entité représentative adhère aux clauses contractuelles types prévues à la présente section 6.7 en signant le présent accord sur le traitement des données (DPA), et l'acceptation de cet accord par le client vaut signature de celui-ci en tant qu'importateur de données.
6.7.8Les données à caractère personnel que le Client transmet à la Société ou à une Entité représentative depuis un pays situé en dehors de l’EEE, du Royaume-Uni et de la Suisse ne constituent pas un transfert soumis à restriction au sens du RGPD ou de la LPD, et les sections 6.2 à 6.5 ne s’y appliquent que dans la mesure où les lois sur la protection des données l’exigent.
7.1La Société s’engage, dans la mesure où la loi le permet, à informer le Client dès réception, et en tout état de cause au plus tard dans un délai de trois (3) jours ouvrés, de toute demande émanant d’une personne concernée visant à exercer ses droits d’accès, de rectification, d’effacement, à la portabilité des données, à la limitation ou à la cessation du traitement, au retrait du consentement au traitement et/ou à l’opposition à un traitement impliquant une prise de décision automatisée (ces demandes étant désignées individuellement et collectivement par le terme « Demande(s) de la personne concernée »). Si la Société reçoit une Demande de la personne concernée relative aux données du Client, elle transmettra cette demande au Client et ce dernier sera chargé d’y répondre, sauf accord contraire prévu dans l’Annexe de service applicable. Le Client est seul responsable de veiller à ce que les Demandes de la personne concernée approuvées visant l’effacement, la limitation ou la cessation du traitement, ou le retrait du consentement au traitement de toute Donnée à caractère personnel, soient communiquées à la Société et, le cas échéant, de veiller à ce qu’un registre des consentements au traitement soit tenu pour chaque personne concernée, sauf accord contraire prévu dans l’Annexe de service applicable.
7.2La Société doit, à la demande du Client et en tenant compte de la nature du traitement applicable à toute demande émanant d’une personne concernée, mettre en œuvre les mesures techniques et organisationnelles appropriées pour aider le Client à se conformer à son obligation de répondre à ladite demande et/ou à démontrer cette conformité, dans la mesure du possible, à condition que (i) le Client soit lui-même incapable de répondre sans l’aide de la Société et (ii) la Société soit en mesure de le faire conformément à l’ensemble des lois, règles et réglementations applicables. Le Client est responsable, dans la mesure où la loi le permet, des coûts et frais découlant de cette assistance fournie par la Société. Lorsque le Client a souscrit à un service de représentant ou de délégué à la protection des données, la réception et la transmission des communications du représentant ou du délégué à la protection des données font partie intégrante de ce service et ne sont pas facturables au titre de la présente section 7.2. L’assistance fournie dans le cadre de services de conseil, de projet ou de formation est facturée conformément aux dispositions de l’annexe de services applicable et de la grille tarifaire.
8.1La Société s’engage, en tenant compte de la nature du traitement et des informations dont elle dispose, à apporter au Client une coopération et une assistance raisonnables lorsque cela est nécessaire pour permettre au Client de se conformer à ses obligations au titre du RGPD consistant à réaliser une analyse d’impact relative à la protection des données et/ou à démontrer cette conformité, à condition que le Client n’ait pas accès autrement aux informations pertinentes. Le Client est responsable, dans la mesure où la loi le permet, des coûts et dépenses découlant de cette assistance fournie par la Société.
8.2La Société s’engage, en tenant compte de la nature du traitement et des informations dont elle dispose, à apporter au Client une coopération et une assistance raisonnables en ce qui concerne la coopération et/ou la consultation préalable du Client avec toute autorité de contrôle, lorsque cela est nécessaire et requis par le RGPD. Le Client est responsable, dans la mesure où la loi le permet, des coûts et dépenses découlant de cette assistance fournie par la Société, sauf accord contraire prévu dans l’annexe de service applicable.
8.3La Société tiendra des registres suffisants pour démontrer qu’elle respecte les obligations qui lui incombent en vertu du présent accord sur le traitement des données (DPA) et conservera ces registres pendant une période d’un (1) an à compter de la résiliation du Contrat. Le Client aura le droit, moyennant un préavis raisonnable d’au moins trente (30) jours ouvrables adressé à la Société, de consulter, d’auditer et de copier ces registres dans les locaux de la Société pendant les heures d’ouverture habituelles.
8.4Sur demande écrite du Client à des intervalles raisonnables, et sous réserve de mesures de confidentialité raisonnables, la Société devra soit (i) mettre à la disposition du Client, pour examen, des copies des certifications ou des rapports attestant de la conformité de la Société aux normes de sécurité des données en vigueur applicables au traitement des Données à caractère personnel du Client, soit (ii) si la fourniture de rapports ou de certifications conformément au point (i) n’est pas raisonnablement suffisante au regard des lois sur la protection des données, autorisera le représentant tiers indépendant du Client à procéder à un audit ou à une inspection de l’infrastructure et des procédures de sécurité des données de la Société, suffisants pour démontrer le respect par la Société de ses obligations en vertu des lois sur la protection des données, à condition que (a) le Client notifie par écrit et dans un délai raisonnable toute demande d’audit de ce type et que cet audit ne perturbe pas de manière déraisonnable les activités de la Société ; (b) cet audit ne soit effectué que pendant les heures de bureau et n’ait lieu qu’une seule fois par année civile ; et (c) cet audit soit limité aux données concernant le Client. Le Client prendra en charge les coûts de ces audits ou inspections, y compris, sans s’y limiter, le remboursement à la Société du temps consacré aux audits sur site. Si le Client et la Société ont conclu des clauses contractuelles types telles que décrites à la section 6 (Transferts de données à caractère personnel), les parties conviennent que les audits décrits à la clause 8.9 des clauses contractuelles types de l’UE seront effectués conformément à la présente section 8.4.
8.5La Société informera immédiatement le Client, et en tout état de cause au plus tard 72 heures après en avoir pris connaissance, si une instruction enfreint, selon elle, les lois sur la protection des données.
8.6En cas de violation des données à caractère personnel, la Société informera le Client de cette violation sans retard injustifié et, en tout état de cause, au plus tard 48 heures après en avoir pris connaissance, et prendra les mesures qu’elle jugera, à sa seule discrétion, nécessaires et raisonnables pour remédier à cette violation (dans la mesure où cette remédiation relève du contrôle raisonnable de la Société).
8.7En cas de violation de données à caractère personnel, la Société s’engage, en tenant compte de la nature du traitement et des informations dont elle dispose, à apporter au Client toute la coopération et l’assistance raisonnables nécessaires pour lui permettre de se conformer à ses obligations au titre du RGPD en matière de notification, sans retard injustifié, (i) à l’autorité de contrôle compétente et (ii) aux personnes concernées par ladite violation de données à caractère personnel.
8.8Lorsqu’une violation de données à caractère personnel résulte d’actes ou d’omissions du Client, la Société est tout de même tenue d’en informer le Client conformément à la section 8.6, mais toute mesure corrective prévue à la section 8.6 et toute assistance prévue à la section 8.7 seront à la charge du Client. L’obligation de la Société de signaler ou de réagir à une violation de données à caractère personnel en vertu des sections 8.6 et 8.7 ne saurait être interprétée comme une reconnaissance par la Société d’une faute ou d’une responsabilité quelconque concernant ladite violation.
Les parties reconnaissent et conviennent qu’en ce qui concerne les Données du compte de la Société et les Données d’utilisation de la Société, la Société est un responsable du traitement indépendant, et non un responsable conjoint avec le Client. La Société traitera les Données du compte de la Société et les Données d’utilisation de la Société en tant que responsable du traitement (i) afin de gérer la relation avec le Client ; (ii) afin de mener à bien les activités principales de la Société, telles que la comptabilité, les audits, la préparation et le dépôt des déclarations fiscales, ainsi qu’à des fins de conformité ; (iii) pour surveiller, enquêter, prévenir et détecter les fraudes, les incidents de sécurité et toute autre utilisation abusive des Services, ainsi que pour prévenir tout préjudice au Client ; (iv) à des fins de vérification d’identité ; (v) pour se conformer aux obligations légales ou réglementaires applicables au traitement et à la conservation des Données à caractère personnel auxquelles la Société est soumise ; et (vi) dans les autres cas autorisés par les Lois sur la protection des données et conformément au présent ATD et au Contrat. La Société peut également traiter les Données d’utilisation de la Société en tant que responsable du traitement afin de fournir, d’optimiser et de maintenir les Services, dans la mesure autorisée par les Lois sur la protection des données. Tout traitement effectué par la Société en tant que responsable du traitement doit être conforme à la politique de confidentialité de la Société disponible à l’adresse https://gdprlocal.com/terms/privacy-policy/
En cas de conflit ou d’incohérence, l’ordre de priorité sera le suivant : (1) les clauses contractuelles types (y compris, pour les transferts hors du Royaume-Uni, l’avenant britannique), pour les questions qu’elles couvrent expressément ; (2) tout « Service Activation Record » ou autre modification écrite convenue avec le Client, mais uniquement dans la mesure où celle-ci fait expressément référence à une disposition du présent ATD et la modifie ; (3) le présent ATD ; et (4) le Contrat, selon l’ordre de priorité qui y est défini. La politique de confidentialité de la Société s’applique uniquement au traitement effectué par la Société en tant que responsable du traitement au titre de la section 9 et ne prévaut pas sur les dispositions susmentionnées. Toute réclamation introduite en rapport avec le présent ATD est soumise aux exclusions et limitations de responsabilité prévues dans le Contrat, sauf dans la mesure où ces exclusions ou limitations limiteraient la responsabilité de l’une ou l’autre des parties envers les personnes concernées, ou ne seraient pas autorisées en vertu des clauses contractuelles types ou des lois sur la protection des données.
Le présent accord sur le traitement des données est intégré au Contrat et en fait partie intégrante. Le présent accord sur le traitement des données sera réputé signé dès l’acceptation ou la signature du Contrat par le Client ; il prendra effet à la même date que le Contrat et restera en vigueur pendant toute la durée du Contrat, ainsi que pendant la période supplémentaire nécessaire aux Parties pour s’acquitter de leurs obligations respectives après la résiliation ou l’expiration du Contrat, y compris en ce qui concerne la suppression ou la restitution des données à caractère personnel. Le présent accord de traitement des données est identifié par le numéro de version et la date d’entrée en vigueur indiqués en en-tête. La Société informera le Client au moins quinze (15) jours à l’avance de toute modification apportée au présent accord de traitement des données.
Nature et finalité du traitement :La Société traitera les Données à caractère personnel du Client dans la mesure nécessaire à la fourniture des Services prévus par le Contrat, aux fins spécifiées dans le Contrat et dans le présent ATD, et conformément aux instructions du Client telles qu’énoncées dans le présent ATD. La nature du traitement comprend, sans s’y limiter :
Finalités par service :
Durée du traitement :La Société traitera les Données à caractère personnel du Client aussi longtemps que nécessaire (i) pour fournir les Services au Client en vertu du Contrat ; ou (ii) conformément à la législation ou à la réglementation applicable. Les Données de compte de la Société et les Données d’utilisation de la Société seront traitées et conservées conformément à la politique de confidentialité de la Société. Les communications des représentants et celles du délégué à la protection des données (DPO) sont conservées conformément aux dispositions de la section 2.3.
Catégories de personnes concernées :les salariés, consultants, sous-traitants et/ou mandataires du Client ; les personnes qui adressent des demandes relatives aux droits des personnes concernées à une entité représentative ou à la Société en sa qualité de délégué à la protection des données du Client ; le personnel des autorités de contrôle qui contacte une entité représentative ou la Société au sujet du Client ; et les personnes dont les données à caractère personnel figurent dans les registres, documents ou systèmes que le Client met à disposition dans le cadre des Services.
Catégories de données à caractère personnel :le Client peut transmettre des données à caractère personnel aux Services ; les catégories de ces données dépendront de l’utilisation que le Client fait des Services, laquelle est déterminée et contrôlée par le Client à sa seule discrétion, et peuvent inclure, sans s’y limiter, les prénoms, noms, numéros de téléphone, adresses e-mail professionnelles, coordonnées, adresses, fonctions et intitulés de poste, des informations financières ou toute autre information fournie par des personnes physiques qui soumettent des demandes relatives aux droits des personnes concernées, le contenu des communications des représentants et des communications avec le délégué à la protection des données (DPO), y compris les documents de vérification d’identité et les références de dossiers auprès des autorités de contrôle ; les données à caractère personnel contenues dans les registres de traitement, les analyses d’impact relatives à la protection des données, les registres des violations, les dossiers de demandes des personnes concernées, les contrats et autres documents que le Client fournit pour examen ; ainsi que les noms et coordonnées des participants aux formations. En outre, les données relatives au compte de l’entreprise et les données d’utilisation de l’entreprise seront collectées, traitées et stockées conformément au présent accord sur le traitement des données (DPA).
Données sensibles ou catégories particulières de données :aucun transfert régulier de données sensibles n’est prévu. Toutefois, si nous sommes mandatés pour agir pour le compte d’un client dans le cadre de nos services, nous pourrions être amenés à transférer des données sensibles concernées, ou une personne pourrait en inclure de manière inattendue dans une communication visant à exercer ses droits en tant que personne concernée.
Fréquence des transferts :en continu pendant toute la durée des Services. Les communications représentatives et les communications du délégué à la protection des données sont transférées de manière ponctuelle, au fur et à mesure de leur réception ; les autres données à caractère personnel sont transférées selon les besoins pour chaque mission.
Les informations ci-après correspondent aux exigences des annexes I et III des clauses contractuelles types de l'UE, ainsi qu'au tableau 1, à l'annexe 1A et à l'annexe 1B de l'addendum britannique.
Exportateur(s) de données :
Nom : Tel qu’indiqué dans le Contrat.
Dénomination commerciale (si différente) : Tel qu’indiqué dans le Contrat.
Adresse : Tel qu’indiqué dans le Contrat.
Numéro d’enregistrement officiel (le cas échéant) (numéro d’entreprise ou identifiant similaire) : Tel qu’indiqué dans le Contrat.
Nom, fonction et coordonnées de la personne de contact : Tel qu’indiqué dans le Contrat.
Rôle (responsable du traitement/sous-traitant) : Responsable du traitement ou sous-traitant, selon le cas, conformément à la section 6.2
Importateur(s) de données :
Nom : GDPRLocal Ltd
Raison sociale (si différente) : GDPRLocal
Adresse : 1st Floor Front Suite, 27-29 North Street, Brighton, Angleterre, BN1 1EB
Numéro d'enregistrement officiel (le cas échéant) (numéro d'entreprise ou identifiant similaire) : 12969035 (Angleterre et Pays de Galles)
Nom, fonction et coordonnées de la personne à contacter : [email protected] ; Délégué à la protection des données : Lejla Robeli
Rôle (responsable du traitement/sous-traitant) : Sous-traitant (responsable du traitement des données du compte de la société et des données d'utilisation de la société en vertu de la section 9)
Pour les transferts sortants visés à la section 6.7, la Société ou l'Entité représentative concernée est l'exportateur de données, et le Client est l'importateur de données : voir l'annexe B(5).
| Personnes concernées | Comme indiqué dans l'annexe A de l'accord de poursuite différée (DPA) |
| Catégories de données à caractère personnel | Comme indiqué dans l'annexe A de l'accord de poursuite différée (DPA) |
| Données à caractère personnel relevant de catégories particulières (le cas échéant) | Comme indiqué dans l'annexe A de l'accord de poursuite différée (DPA) |
| Nature du traitement | Comme indiqué dans l'annexe A de l'accord de poursuite différée (DPA) |
| Finalités du traitement | Comme indiqué dans l'annexe A de l'accord de poursuite différée (DPA) |
| Durée du traitement et de la conservation (ou critères permettant de déterminer cette durée) | Comme indiqué dans l'annexe A de l'accord de poursuite différée (DPA) |
| Fréquence du transfert | Comme indiqué dans l'annexe A de l'accord de poursuite différée (DPA) |
| Destinataires des données à caractère personnel transférées à l'importateur de données | Figurant dans l'annexe B(4) de l'accord de poursuite différée (DPA) |
L’autorité de contrôle compétente est déterminée conformément à la clause 13 des clauses contractuelles types de l’UE, telles que complétées par la section 6.2. Lorsque le Client n’est pas établi dans l’EEE et a désigné Instant EU GDPR Representative Limited comme son représentant, il s’agit de la Commission de protection des données (Irlande). Pour les transferts soumis à la FADP, il s’agit du FDPIC. L’autorité de contrôle aux fins de l’avenant britannique est le Bureau du commissaire à l’information du Royaume-Uni.
| Système/Application | Objectif |
|---|---|
| Microsoft | Courrier électronique, productivité, collaboration |
| Azure | Fournisseur de services cloud |
| Courrier électronique, gestion de documents, stockage, outils de collaboration, visioconférence | |
| Chargify | Facturation et gestion des abonnements |
| Calendly | Planification des réunions et des rendez-vous |
| Docusign | Signature électronique et gestion des contrats |
| HubSpot | Gestion de la relation client |
| Zoom | Organisation de réunions et de sessions de formation en ligne |
| GDPRLocal DOOEL | Opérations opérationnelles internes, notamment la réception, l'enregistrement et la transmission des communications des représentants et des délégués à la protection des données (DPO), ainsi que la prestation de services liés aux DPO, de conseil et de gestion de projets. Lieu : Macédoine du Nord. Mécanisme de transfert : clauses contractuelles types de l'UE (module 3) et clauses contractuelles types du Royaume-Uni, accompagnées d'une analyse d'impact relative au transfert. |
| Atlassian (JIRA, Confluence) | Gestion de la documentation technique et produit |
| Anthropic (Claude) | Assistant IA utilisé par le personnel de la Société pour lire, résumer et rédiger des documents et des courriers, chaque résultat étant vérifié par une personne avant utilisation. Localisation : États-Unis. Mécanisme de transfert : clauses contractuelles types de l’UE et avenant britannique figurant dans l’avenant relatif au traitement des données d’Anthropic. Le contenu des clients n’est pas utilisé pour entraîner les modèles. |
| Composio, Inc. | Service d'intégration reliant l'assistant IA à l'environnement Google Workspace de l'entreprise (Gmail, Agenda, Drive) afin de récupérer des informations et d'enregistrer des brouillons. Localisation : États-Unis. Mécanisme de transfert : clauses contractuelles types de l'UE et avenant britannique. |
| Instant EU GDPR Representative Limited (entité partenaire, et non une filiale) | Représentant de l'UE au titre de l'article 27 du RGPD de l'UE, lorsque celui-ci s'applique. Siège social : Irlande. |
| ALTRION Sagl (entité partenaire, non affiliée) | Représentant suisse au titre de l'article 14 de la FADP, lorsque celle-ci est activée. Localisation : Suisse. |
Exportateurs de données :GDPRLocal Ltd (délégué à la protection des données, services de conseil, de gestion de projets, de formation et de gouvernance de l'IA, ainsi que services de représentation au Royaume-Uni) et les entités représentatives (services de représentation dans l'UE et en Suisse). Rôle : sous-traitant.
Importateur de données :le Client, tel que défini dans le Contrat. Rôle : responsable du traitement.
Personnes concernées :les personnes qui contactent une entité représentative ou la Société en sa qualité de délégué à la protection des données du Client ; le personnel des autorités de contrôle ; les personnes dont les données à caractère personnel figurent dans les livrables, rapports ou avis fournis au Client.
Catégories de données à caractère personnel :données d'identification et coordonnées ; contenu de la demande, de la réclamation ou de la correspondance ; pièces justificatives fournies par la personne concernée aux fins de vérification de son identité ; références des dossiers traités par l'autorité de contrôle ; données à caractère personnel figurant dans les livrables, rapports ou avis fournis au client.
Données relevant d'une catégorie particulière :aucune n'est prévue. Toute donnée relevant d'une catégorie particulière fournie volontairement par une personne est transmise telle quelle et ne fait l'objet d'aucun autre traitement.
Fréquence :ponctuelle, au fur et à mesure de la réception des communications.
Nature et finalité :réception, enregistrement et transmission sécurisée des communications destinées au client, ainsi que renvoi des livrables, afin d’exercer la fonction de représentant (article 27 du RGPD de l’UE ou du RGPD britannique, ou article 14 de la LPD), la fonction de délégué à la protection des données (articles 37 à 39 du RGPD), ou encore de fournir des services de conseil, de gestion de projets, de formation et de gouvernance en matière d’IA.
Conservation :conformément aux dispositions de la section 2.3.
Autorité de contrôle compétente :sans objet pour le module 4.
L'importateur de données a mis en œuvre et s'engage à maintenir des mesures techniques et organisationnelles appropriées visant à protéger les données à caractère personnel contre toute destruction, perte, altération, divulgation non autorisée ou accès non autorisé accidentels ou illicites, ainsi qu'à préserver la confidentialité, l'intégrité et la disponibilité des données à caractère personnel traitées pour le compte du client.
Ces mesures comprennent :
Les données à caractère personnel sont stockées dans une base de données Microsoft SQL Server chiffrée, hébergée dans un centre de données Microsoft Azure situé à Londres, au Royaume-Uni.
L'accès aux données à caractère personnel s'effectue exclusivement via les plateformes internes de la Société. L'accès est refusé par défaut et n'est accordé qu'au personnel autorisé, selon le principe du « besoin d'en connaître », y compris aux équipes concernées lorsque cela s'avère nécessaire. La Société met en œuvre des contrôles d'authentification basés sur les rôles et les utilisateurs afin de restreindre l'accès en fonction des responsabilités professionnelles. Le personnel de GDPRLocal DOOEL en Macédoine du Nord accède aux données à caractère personnel à distance, sous réserve des mêmes contrôles.
Des contrôles d'accès logiques appropriés sont mis en place afin de garantir que l'accès aux données à caractère personnel soit limité conformément à la structure organisationnelle et aux responsabilités fonctionnelles de la Société. La Société utilise des autorisations basées sur les rôles pour attribuer différents niveaux d'accès aux salariés en fonction de leurs fonctions.
L'authentification à plusieurs facteurs est obligatoire pour tous les utilisateurs administratifs accédant au portail de l'entreprise.
Les données personnelles sont chiffrées tant en transit qu'au repos. De plus, tous les ordinateurs utilisés à des fins professionnelles sont équipés de disques durs chiffrés.
La Société a mis en place des contrôles d'accès physique adaptés sur l'ensemble de ses sites afin de protéger ses ressources de données. Les centres de données Microsoft Azure utilisés par la Société font l'objet de mesures de sécurité physique rigoureuses. De plus amples informations concernant la sécurité physique d'Azure sont disponibles dans la documentation publiée par Microsoft.
La Société conclut avec ses sous-traitants agréés des accords de traitement des données qui leur imposent des obligations en matière de protection des données identiques à celles énoncées dans le présent accord de traitement des données (DPA).
La Société a mis en place des mesures visant à garantir la responsabilité, notamment la mise en œuvre de politiques de protection des données et de sécurité de l'information à l'échelle de l'entreprise, des procédures d'enregistrement et de signalement des violations de données à caractère personnel, ainsi que la définition formelle des rôles et des responsabilités liés aux fonctions de sécurité de l'information et de protection des données. La Société procède également à des évaluations régulières de ses prestataires afin de vérifier leur conformité à ses normes en matière de confidentialité et de sécurité.
La Société met en œuvre un programme de sécurité comprenant des mesures de protection administratives, organisationnelles, techniques et physiques raisonnablement conçues pour protéger les Services ainsi que la confidentialité, l'intégrité et la disponibilité des Données à caractère personnel.
La Société effectue régulièrement des sauvegardes de données. La restauration des sauvegardes fait l'objet de tests périodiques, conformément aux politiques de la Société en matière de sécurité de l'information et de gestion des données.
Avenant relatif au transfert international de données aux clauses contractuelles types de la Commission européenne
Tableau 1 : Parties
| Les parties | Exportateur | Importateur |
|---|---|---|
| Date de début | Le présent avenant britannique entrera en vigueur à la même date que l'accord sur le traitement des données (DPA) | |
| Coordonnées des parties | Client | GDPRLocal Ltd |
| Interlocuteur principal | Voir l'annexe B du présent accord de poursuite différée (DPA) | Voir l'annexe B du présent accord de poursuite différée (DPA) |
Tableau 2 : SCC, modules et clauses sélectionnés
| Clauses contractuelles types de l'UE | La version des clauses contractuelles types de l'UE approuvées à laquelle le présent avenant britannique est annexé, telle que définie dans la DPA et complétée par les sections 6.2 et 6.3 de la DPA (modules 1 à 3) et par la section 6.7 de la DPA (module 4). |
Tableau 3 : Informations complémentaires
On entend par « informations de l’annexe » les informations qui doivent être fournies pour les modules sélectionnés, telles que définies dans l’annexe des clauses contractuelles types de l’UE approuvées (autres que les parties), et qui, pour le présent avenant britannique, figurent dans :
| a) Annexe 1A : Liste des Parties | b) Conformément au tableau 1 ci-dessus |
| c) Annexe 1B : Description du transfert | d) Voir l'annexe B du présent accord de poursuite différée (DPA) |
| e) Annexe II : Mesures techniques et organisationnelles, y compris celles visant à garantir la sécurité des données : | f) Voir l'annexe C du présent accord de traitement des données (DPA) |
| g) Annexe III : Liste des sous-traitants secondaires (modules 2 et 3 uniquement) : | h) Voir l'annexe B du présent accord de traitement des données (DPA) |
Tableau 4 : Fin de validité du présent addendum britannique en cas de modification de l'addendum britannique approuvé
| Révocation du présent avenant britannique en cas de modification de l'avenant britannique approuvé | ☒ Importateur ☐ Exportateur ☒ Aucune des deux parties |
En ce qui concerne le présent avenant britannique :
1.Chaque partie s'engage à respecter les conditions générales énoncées dans le présent avenant relatif au Royaume-Uni, à condition que l'autre partie s'engage également à respecter ledit avenant.
2.Bien que l’annexe 1A et la clause 7 des clauses contractuelles types de l’UE approuvées exigent la signature des parties, aux fins de la réalisation de transferts depuis le Royaume-Uni, les parties peuvent conclure le présent avenant britannique de toute manière qui le rende juridiquement contraignant pour elles et permette aux personnes concernées de faire valoir leurs droits tels qu’énoncés dans le présent avenant britannique. La conclusion du présent avenant britannique aura le même effet que la signature des clauses contractuelles types de l’UE approuvées et de toute partie de celles-ci.
Interprétation du présent addendum britannique
3.Lorsque le présent avenant britannique utilise des termes définis dans les clauses contractuelles types de l'UE approuvées, ces termes ont la même signification que dans lesdites clauses. En outre, les termes suivants ont les significations suivantes :
| Addendum pour le Royaume-Uni | signifie que le présent avenant relatif au transfert international de données intègre les clauses contractuelles types de l'UE, jointes à l'accord sur le traitement des données (DPA) en tant qu'annexe D. |
| Clauses contractuelles types de l'UE | désigne la ou les versions des clauses contractuelles types de l'UE approuvées auxquelles le présent avenant britannique est annexé, telles qu'indiquées dans le tableau 2, y compris les informations figurant en annexe |
| Informations complémentaires | sera celui indiqué dans le tableau 3 |
| Mesures de protection appropriées | désigne le niveau de protection des données à caractère personnel et des droits des personnes concernées requis par la législation britannique en matière de protection des données lorsque vous effectuez un transfert hors du Royaume-Uni en vous fondant sur les clauses types de protection des données prévues à l'article 46, paragraphe 2, point d), du RGPD britannique. |
| Avenant approuvé au Royaume-Uni | désigne le modèle d’avenant publié par l’ICO et soumis au Parlement conformément à l’article 119A de la loi de 2018 sur la protection des données, le 2 février 2022, tel qu’il pourra être révisé en vertu de l’article 18 de l’avenant britannique. |
| Clauses contractuelles types (SCC) approuvées par l'UE | désigne les clauses contractuelles types approuvées par la Commission européenne dans sa décision 2021/914 du 4 juin 2021, relatives aux transferts de données à caractère personnel vers des pays qui ne sont pas autrement reconnus par la Commission européenne comme offrant un niveau de protection adéquat des données à caractère personnel (telles que modifiées et mises à jour de temps à autre). |
| ICO | désigne le commissaire à l'information du Royaume-Uni. |
| Transfert depuis le Royaume-Uni | aura la même définition que celle énoncée dans la DPA. |
| Royaume-Uni | désigne le Royaume-Uni de Grande-Bretagne et d'Irlande du Nord |
| Législation britannique en matière de protection des données | désigne l'ensemble des lois relatives à la protection des données, au traitement des données à caractère personnel, à la vie privée et/ou aux communications électroniques en vigueur à tout moment au Royaume-Uni, y compris le RGPD britannique et la loi de 2018 sur la protection des données. |
| RGPD au Royaume-Uni | aura la définition prévue dans la loi sur la protection des données. |
4.L’avenant britannique doit toujours être interprété d’une manière compatible avec la législation britannique en matière de protection des données et de sorte qu’il permette aux parties de remplir leur obligation de fournir les garanties appropriées.
5.Si les dispositions figurant dans l’addendum britannique modifient les clauses contractuelles types de l’UE approuvées d’une manière non autorisée par ces dernières ou par l’addendum britannique approuvé, ces modifications ne seront pas intégrées dans l’addendum britannique et seront remplacées par la disposition équivalente des clauses contractuelles types de l’UE approuvées.
6.En cas d'incohérence ou de conflit entre la législation britannique en matière de protection des données et l'avenant britannique, c'est la législation britannique en matière de protection des données qui s'appliquera.
7.Si le sens de l'avenant britannique n'est pas clair ou s'il peut être interprété de plusieurs façons, c'est l'interprétation qui correspond le mieux à la législation britannique en matière de protection des données qui s'applique.
8.Toute référence à une loi (ou à une disposition spécifique d’une loi) implique que cette loi (ou cette disposition spécifique) est susceptible d’évoluer au fil du temps. Cela vaut notamment lorsque ladite loi (ou disposition spécifique) a fait l’objet d’une consolidation, d’une réadoption et/ou d’un remplacement après la conclusion de l’avenant britannique.
Hiérarchie
9.Bien que la clause 5 des clauses contractuelles types de l'UE approuvées stipule que celles-ci prévalent sur tous les accords connexes conclus entre les parties, les parties conviennent que, pour les transferts en provenance du Royaume-Uni, la hiérarchie définie à la section 10 ci-dessous prévaudra.
10.En cas d’incohérence ou de conflit entre l’avenant britannique approuvé et les clauses contractuelles types de l’UE (le cas échéant), l’avenant britannique approuvé prévaut sur les clauses contractuelles types de l’UE, sauf si (et dans la mesure où) les dispositions incohérentes ou contradictoires des clauses contractuelles types de l’UE offrent une protection plus étendue aux personnes concernées, auquel cas ces dispositions prévaudront sur l’avenant britannique approuvé.
11.Lorsque le présent avenant britannique intègre des clauses contractuelles types de l'UE qui ont été conclues afin de protéger les transferts hors de l'UE soumis au RGPD, les parties reconnaissent qu'aucune disposition de l'avenant britannique n'a d'incidence sur ces clauses contractuelles types de l'UE.
Intégration et modifications apportées aux clauses contractuelles types de l'UE :
12.Le présent avenant britannique intègre les clauses contractuelles types de l'UE, qui sont modifiées dans la mesure nécessaire afin que :
13.À moins que les parties ne se soient mises d'accord sur d'autres modifications répondant aux exigences de la section 12 du présent avenant britannique, les dispositions de la section 15 du présent avenant britannique s'appliqueront.
14.Aucune modification ne peut être apportée aux clauses contractuelles types de l'UE approuvées, sauf pour se conformer aux exigences de la section 12 du présent avenant britannique.
15.Les modifications suivantes sont apportées aux clauses contractuelles types de l'UE (aux fins de l'article 12 du présent avenant britannique) :
Modifications apportées à l'addendum britannique
16.Les parties peuvent convenir de modifier les clauses 17 et/ou 18 des clauses contractuelles types de l'UE afin de faire référence au droit et/ou aux tribunaux d'Écosse ou d'Irlande du Nord.
17.Si les parties souhaitent modifier la présentation des informations figurant dans la partie 1 : Tableaux de l'addendum approuvé pour le Royaume-Uni, elles peuvent le faire en convenant de cette modification par écrit, à condition que celle-ci n'affaiblisse pas les garanties appropriées.
18.De temps à autre, l’ICO peut publier une version révisée de l’« Appendice approuvé pour le Royaume-Uni » qui :
L'avenant britannique approuvé révisé précisera la date à compter de laquelle les modifications apportées à l'avenant britannique approuvé prendront effet et indiquera si les parties doivent réexaminer cet avenant britannique, y compris les informations figurant en annexe. Le présent avenant britannique sera automatiquement modifié conformément aux dispositions de l'avenant britannique approuvé révisé à compter de la date indiquée.
19.Si l’ICO publie un avenant britannique approuvé révisé en vertu de l’article 18 du présent avenant britannique, et si, en conséquence directe des modifications apportées à cet avenant britannique approuvé, une partie subit une augmentation substantielle, disproportionnée et démontrable :
et si, dans l’un ou l’autre cas, elle a d’abord pris des mesures raisonnables pour réduire ces coûts ou ces risques de manière à ce qu’ils ne soient ni substantiels ni disproportionnés, cette partie peut alors mettre fin au présent avenant britannique à l’issue d’un délai de préavis raisonnable, en adressant un préavis écrit de cette durée à l’autre partie avant la date d’entrée en vigueur de l’avenant britannique approuvé révisé.
20.Les parties n'ont pas besoin du consentement d'un tiers pour apporter des modifications au présent avenant britannique, mais toute modification doit être effectuée conformément aux dispositions de celui-ci.