Le contrat-cadre « GDPRLocal » et les conditions supplémentaires qui y figurent régissent nos produits, nos services et nos relations avec la clientèle.
Il n'y a aucune obligation d'achat de services. Aucune carte bancaire n'est requise pour s'inscrire, et une fois inscrit, vous pouvez acheter et activer des services à tout moment.
La présente annexe fait partie intégrante du contrat-cadre de prestation de services (ci-après dénommé « le Contrat ») conclu entre le Client et GDPRLocal Ltd (ci-après dénommée « GDPRLocal »). Elle définit l’étendue des services de représentant en Suisse au titre de l’article 14 qui doivent être fournis par GDPRLocal (par l’intermédiaire du représentant désigné). Les termes utilisés dans la présente annexe ont la même signification que dans le contrat-cadre de prestation de services.
En cas de conflit entre la présente annexe et le contrat-cadre de services, la présente annexe prévaudra.
1.1 Désignation. À compter de la date de début du service, le Client désigne le Représentant désigné pour agir en tant que son représentant en Suisse, conformément à l’article 14 de la loi fédérale suisse sur la protection des données (« LPD »). La présente annexe constitue le mandat écrit requis en vertu de l’article 14 de la LPD. Le Représentant désigné accepte cette désignation et s'engage à fournir les services de représentation décrits dans la présente annexe, conformément à l'article 14 de la LPD. Le mandat ne confère pas le pouvoir de prendre des décisions de fond au nom du Client concernant les activités de traitement, de lier le Client à un quelconque engagement de conformité, ni d'agir en tant que représentant légal dans le cadre de litiges ou de procédures d'exécution.
1.2 Article 14 : Obligations du représentant en Suisse. Conformément à l’article 14 de la FADP, GDPRLocal doit (par l’intermédiaire du représentant désigné) :
servir de point de contact pour le Commissaire fédéral à la protection des données et à l'information (CFPDI) et toute autre autorité de contrôle compétente pour toutes les questions liées aux activités de traitement relevant du mandat concerné ;
servir de point de contact pour les personnes concernées en Suisse pour toute question relative à ces activités de traitement ;
recevoir et transmettre les communications adressées au représentant désigné et les transmettre au client sans retard injustifié ;
tenir un registre des activités de traitement du client (contenant les informations requises par l’article 12 de la LPD) et le mettre à la disposition du préposé à la protection des données sur demande, conformément aux obligations du représentant désigné prévues à l’article 15 de la LPD ;
coopérer avec l'Autorité fédérale de protection des données (AFPD) dans l'exécution des obligations directes du représentant désigné au titre de l'article 15 de la LPD ;
aider le client à répondre aux demandes de renseignements et aux enquêtes des autorités de contrôle ou à faire face à leurs mesures coercitives, et coordonner les réponses sans pour autant assumer le pouvoir de décision ;
fournir des orientations générales sur les attentes réglementaires suisses (y compris les directives de l'OFPD) relatives à la fonction de représentant et informer le client des évolutions réglementaires pertinentes ayant une incidence sur les obligations prévues à l'article 14.
Dans l'exercice de ses fonctions, le représentant désigné doit tenir dûment compte des risques liés aux opérations de traitement, en prenant en considération la nature, la portée, le contexte et les finalités du traitement.
2.1 Prestation de services. GDPRLocal agira conformément aux instructions du contact client indiqué dans le profil du compte du client, ou de toute autre personne expressément autorisée par écrit par le client.
2.2 Conseils et rapports. Lorsque GDPRLocal reçoit une communication de la part du DPD, de toute autre autorité de contrôle compétente ou d’une personne concernée exigeant une réponse dans un délai défini, GDPRLocal en informe immédiatement le contact client et précise le délai de réponse. Si le Client ne fournit pas d’instructions à temps, GDPRLocal peut soit (a) répondre par un accusé de réception provisoire, soit (b) informer le PFPDT ou la personne concernée que la question est transmise au Client. Le Client reconnaît que GDPRLocal ne peut être tenu responsable du non-respect des délais résultant de l’absence d’instructions en temps utile de la part du Client.
Outre les obligations prévues à l'article 6 du MSA, le Client est tenu :
3.1 fournir à GDPRLocal les informations, documents et la coopération raisonnablement nécessaires à l’exécution des Services, notamment : les coordonnées exactes de la ou des entités juridiques du Client concernées par le mandat ; les détails des activités de traitement relevant du champ d’application du mandat en question ; et une copie du registre des activités de traitement ;
3.2 répondre sans délai à toutes les communications transmises par GDPRLocal et fournir en temps utile les instructions, informations et décisions nécessaires au traitement de ces communications ;
3.3 informer sans délai GDPRLocal : (a) de toute violation de données présumée ou avérée ; (b) de toute modification des activités de traitement du Client ayant une incidence significative sur la portée ou la nature de la désignation du représentant ; (c) de toute communication directe reçue par le Client de la part du PFPDT ou de toute autre autorité de contrôle compétente ; (d) tout litige ou procédure réglementaire engagé à l’encontre du Client concernant son traitement des données à caractère personnel de personnes concernées en Suisse ; et (e) toute demande émanant d’une personne concernée relative aux droits prévus par la LPD ;
3.4 publier les coordonnées du représentant en Suisse et les communiquer au PFPDT conformément aux dispositions de la LPD, en utilisant les coordonnées du représentant désigné figurant en annexe de la présente annexe, et veiller à ce que ces coordonnées soient correctement mentionnées dans toutes les déclarations de confidentialité du client, les politiques de confidentialité de son site web et les communications adressées aux personnes concernées, conformément à l’article 19 de la LPD ;
3.5 assume l’entière responsabilité de l’exactitude, de l’exhaustivité et de l’actualité du ROPA. L’obligation pour le représentant désigné de tenir un registre conformément à l’article 15 de la FADP est subordonnée à la fourniture par le client d’un ROPA exact ;
3.6 ne pas prendre de mesure qui : (a) exposerait GDPRLocal ou le représentant désigné à des procédures d’exécution ou à des sanctions réglementaires, sauf si cela constitue une conséquence inévitable du rôle du représentant désigné ; (b) obligerait GDPRLocal ou le représentant désigné à faire une déclaration inexacte auprès d’une autorité de contrôle ; ou (c) amènerait GDPRLocal ou le représentant désigné à agir en violation de la LPD ou de toute autre loi applicable.
4.1 Sauf accord exprès conclu lors de l'activation, les Services n'incluent pas de conseils ou de prestations de fond en matière de conformité à la FADP (qui font l'objet d'annexes de services distinctes, le cas échéant), ni la fourniture de conseils juridiques ou la représentation juridique. Si des conseils juridiques s'avèrent nécessaires, le Client doit faire appel à un conseiller juridique indépendant.
4.2 GDPRLocal et le représentant désigné n'assumeront aucune responsabilité en matière de gestion ni aucun pouvoir de décision opérationnelle.
4.3 Le rôle du représentant désigné en ce qui concerne les demandes relatives aux droits des personnes concernées est de nature consultative et de supervision ; la gestion opérationnelle de ces demandes relève de la seule responsabilité du client.
4.4 Tout service ne relevant pas de la mission de représentation prévue à l'article 14 de la loi peut faire l'objet d'une demande en tant que service ou tâche supplémentaire facturable, conformément au contrat-cadre de prestation de services.
5.1 Cadre de reconnaissance de la responsabilité. Les parties reconnaissent ce qui suit :
En vertu de la LPD et conformément aux directives de l'IFPDT, le représentant désigné n'engage pas sa responsabilité à titre subsidiaire pour les violations de la LPD commises par le client. Sa responsabilité directe se limite à ses propres obligations légales prévues à l'article 14 de la LPD.
Le fait que le représentant désigné soit exposé à des procédures d'exécution découle de son rôle de point de contact local du client en Suisse et constitue une caractéristique structurelle de la fonction prévue à l'article 14, sans pour autant refléter une quelconque faute de sa part. La répartition contractuelle des risques en tient compte.
5.2 Limitation de responsabilité (spécifique au service).
5.2.1 Sous réserve de la clause 5.5, la responsabilité globale de chacune des parties au titre de la présente annexe ne saurait dépasser le montant total des honoraires versés ou dus par le Client au titre du service de représentation en Suisse prévu à l'article 14 au cours de la période de douze (12) mois précédant immédiatement l'événement donnant lieu à la réclamation.
5.2.2 Aucune des parties ne saurait être tenue responsable de tout préjudice indirect, consécutif, particulier ou punitif.
5.2.3 GDPRLocal et le représentant désigné déclinent toute responsabilité concernant : les amendes ou sanctions prévues par la LPD infligées au Client ; les préjudices résultant du non-respect par le Client de la LPD ou de son défaut de fournir des ROPA ou des instructions exactes et en temps utile ; les conséquences du défaut de mise à jour des déclarations de confidentialité avec des coordonnées correctes ; les pertes imputables au manquement du Client à son obligation de notifier un événement pertinent conformément à la clause 3 ; les pertes résultant de la transmission de bonne foi par GDPRLocal de communications auxquelles le Client n’a pas répondu de manière adéquate.
5.3 Indemnisation par le Client. Le Client s’engage à indemniser, défendre et dégager de toute responsabilité GDPRLocal, le Représentant désigné, ainsi que leurs filiales, dirigeants, employés et agents respectifs (chacun étant une « Personne indemnisée ») contre les pertes (y compris les frais juridiques raisonnables sur la base d’une indemnisation intégrale) découlant : de procédures d’exécution ; de réclamations de personnes concernées relatives au traitement effectué par le Client ; du non-respect par le Client des obligations prévues à la clause 3 ; du défaut de fourniture d’un ROPA exact ; et des frais engagés pour répondre, au nom du Client, à des procédures d’exécution ou à des demandes de renseignements émanant de l’Autorité de contrôle.
5.4 Procédure de défense. Dès notification de toute réclamation susceptible de donner lieu à une indemnisation : GDPRLocal en informe sans délai le Client ; le Client prend en charge la conduite de la défense à ses frais (la Personne indemnisée peut y participer aux frais du Client ; aucun règlement défavorable à la Personne indemnisée ne peut être conclu sans son consentement) ; la Personne indemnisée coopère de manière raisonnable ; à défaut de prise en charge dans un délai de 15 jours ouvrés, GDPRLocal peut prendre en charge la conduite de la défense aux frais du Client.
5.5 Exclusions de la limitation de responsabilité. Le plafond de responsabilité prévu à la clause 5.2 ne s'applique pas : aux obligations d'indemnisation du Client prévues à la clause 5.3 ; à la responsabilité en cas de décès ou de préjudice corporel résultant d'une négligence ; à la fraude ou à une déclaration frauduleuse ; à toute autre responsabilité qui ne peut être limitée en vertu de la loi applicable.
5.6 Assurance responsabilité civile professionnelle. GDPRLocal devra souscrire, pendant toute la durée du contrat, une assurance responsabilité civile professionnelle d’un montant minimum de 1 000 000 £ par sinistre et au total par année d’assurance. Justificatif à fournir sur demande écrite raisonnable.
6.1 Durée. La présente annexe prend effet à la date de début du service et s'applique pour une durée initiale de douze (12) mois (« durée initiale »), sauf résiliation anticipée conformément à la présente clause 6 ou à l'article 12 du contrat-cadre (MSA). Elle est automatiquement renouvelée pour des périodes de renouvellement successives de douze mois, sauf si un préavis de non-renouvellement est notifié au moins quatre-vingt-dix (90) jours avant la fin de la période en cours.
6.2 Résiliation pour convenance. Nonobstant l’article 12.3 du MSA, chacune des parties peut résilier la présente annexe moyennant un préavis écrit d’au moins nonante (90) jours, ce droit ne pouvant être exercé qu’après l’expiration de la durée initiale. Ce préavis de 90 jours tient compte de l’intérêt légitime de GDPRLocal à assurer la continuité ainsi que de la nécessité pour le Client de désigner un nouveau représentant suisse au titre de l’article 14 afin d’éviter toute violation de la LPD.
6.3 Droit de résiliation supplémentaire. GDPRLocal peut en outre résilier le contrat avec effet immédiat si (a) le Client fournit des informations ROPA substantiellement inexactes, de sorte que l’exécution du contrat impliquerait une fausse déclaration auprès des autorités de contrôle ; ou (b) les instructions du Client exigeraient une action illégale ou exposeraient GDPRLocal ou le représentant désigné à une responsabilité disproportionnée.
6.4 Droit de démission dans le cadre d’une procédure d’exécution. Les pratiques courantes du marché applicables aux représentants visés à l’article 14 prévoient un droit spécifique de démission lorsque le client cesse de coopérer au cours d’une procédure d’exécution. GDPRLocal peut démissionner avec effet immédiat si :
Une procédure d'exécution est engagée à l'encontre du représentant désigné et le client (i) ne prend pas en charge la défense dans un délai de 15 jours ouvrables ; (ii) ne fournit pas d'instructions adéquates dans les délais impartis ; ou (iii) ne coopère pas ;
le Client cesse de répondre aux communications de GDPRLocal pendant plus de 15 jours ouvrés au cours d’une enquête ou d’une procédure d’exécution menée par la FDPIC ;
le Client procède à des traitements constituant une violation grave et persistante de la FADP, à laquelle il refuse de remédier malgré une mise en demeure écrite.
Une résiliation immédiate dans de telles circonstances ne constituera pas un manquement. Le Client assume l'entière responsabilité de toute conséquence réglementaire découlant d'une interruption de couverture.
6.5 Conséquences de la résiliation. Dans un délai de 5 jours ouvrés : GDPRLocal cesse de se présenter comme le représentant du Client et en informe le PFPDT lorsque la législation suisse l’exige ; le Client met à jour toutes ses déclarations de confidentialité afin de supprimer les coordonnées du représentant désigné. Dans un délai de 15 jours ouvrés : GDPRLocal remet une copie du ROPA ainsi que du registre des communications. Toute procédure d’exécution en cours est traitée conformément aux dispositions transitoires (à défaut, dans un délai de 10 jours ouvrés, GDPRLocal peut notifier la résiliation au PFPDT et la renvoyer au Client). Le Client s’acquitte des honoraires et frais impayés. Les clauses 5 et 6.5 restent en vigueur après la résiliation.
6.6 Avis réglementaire. Le Client assume l'entière responsabilité de désigner un représentant de remplacement au titre de l'article 14 avant ou immédiatement après la résiliation, afin d'éviter toute violation de la FADP. GDPRLocal coopérera à titre gracieux à tout remplacement, selon ses tarifs standard en vigueur à ce moment-là.
__________________________________________________
Le présent cahier des charges (« SOW ») est annexé à la présente annexe et en fait partie intégrante, laquelle fait elle-même partie intégrante du contrat-cadre de services conclu entre le client et GDPRLocal Ltd. Les termes en majuscules ont la même signification que dans l'annexe ou dans le contrat.
Le cahier des charges est généré et enregistré par GDPRLocal au moment de l'activation du service (que ce soit via la plateforme GDPRLocal ou par confirmation écrite) et précise le périmètre sur mesure, les honoraires et les paramètres opérationnels de cette mission. L'identité du client est automatiquement renseignée à partir du profil de son compte et n'est pas saisie à nouveau ici.
| Nom de l'entreprise | [Nom de l'entreprise] |
| Nom de la personne à contacter | [Nom de la personne à contacter] |
| E-mail de contact | [E-mail de contact] |
| Numéro de téléphone | [Numéro de téléphone] |
Date d'entrée en vigueur : la date et l'heure d'activation du Service (la « Date de début du Service »).
Durée initiale : douze (12) mois à compter de la date de début du service [date d'activation du service], conformément à l'annexe §6.1, sauf accord contraire.
Renouvellement automatique et préavis conformément à l'annexe §6.1.
Territoire de représentation : Suisse (article 14 de la FADP).
Activités de traitement concernées : telles que décrites dans les registres des activités de traitement (ROPA) du Client fournis à GDPRLocal conformément à l’article 3.5 de l’annexe.
Référence ROPA : la référence ROPA doit être jointe lors de l'activation ou fournie par le client dans les 15 jours suivant l'activation.
Exclusions du champ d'application (le cas échéant) : toute activité de traitement expressément exclue du champ d'application du représentant ; dans le cas contraire, « aucune ».
Frais d'abonnement : tels qu'indiqués dans la grille tarifaire en vigueur au moment de l'activation.
Fréquence de facturation : [mensuelle/annuelle], selon le choix du Client lors de l'activation (MSA §5.2).
Modification négociée (le cas échéant, elle fera l'objet d'un document écrit distinct).
Devise : GBP. Tous les frais s'entendent hors TVA et hors taxes applicables.
| Entité représentante désignée | ALTRION Sagl |
| Siège social | Via Luigi Lavizzari 8, Mendrisio – Suisse |
| [email protected] | |
| Tél. | +44 1772 217 800 |
GDPRLocal fournit le service de représentant en Suisse par l’intermédiaire de son partenaire suisse ALTRION Sagl. ALTRION Sagl exerce la fonction de représentant désigné à l’adresse de Mendrisio, conformément au contrat conclu entre GDPRLocal et le client. La désignation interne des personnes chargées d’exercer la fonction de représentant à un moment donné relève de la discrétion de GDPRLocal et d’ALTRION Sagl ; GDPRLocal informera le client de tout changement définitif concernant la personne de contact désignée dans un délai de trente (30) jours ouvrés.
Le Client doit publier, dans ses mentions relatives à la protection des données, ses politiques de confidentialité sur son site web et toute autre communication requise par l'article 19 de la LPD, la formulation suivante (ou une formulation équivalente transmettant les mêmes informations) :
« Notre représentant en Suisse, au sens de l’article 14 de la loi fédérale sur la protection des données (LPD), est ALTRION Sagll, Via Luigi Lavizzari 8, Mendrisio – Suisse. Site web : https://gdprlocal.com. Les personnes concernées résidant en Suisse et le Préposé fédéral à la protection des données et à l’information (PFPDI) peuvent contacter notre représentant en Suisse à l’adresse [email protected] ou au +44 1772 217 800. »
Le Client s'engage à mettre à jour ces informations dans les plus brefs délais dès réception d'une notification écrite de GDPRLocal signalant toute modification de ces coordonnées.
| Service | Services inclus | Chronologie |
| Nomination et représentation | Désignation officielle en tant que représentant suisse au sens de l'article 14 de la loi sur la protection des données (LPD) ; mandat de représentation autorisé ; mention dans la déclaration de confidentialité | Ponctuel (intégration) |
| Point de contact en matière de réglementation | Réception et transmission des communications de l'Autorité fédérale de protection des données (FDPIC) et d'autres autorités de contrôle ; soutien à la coordination des réponses | Expédition sous 1 à 3 jours ouvrés |
| Fonction de contact pour les personnes concernées | Réception et transmission des demandes des personnes concernées (DSAR) émanant de personnes concernées suisses ; enregistrement, le cas échéant | Expédition sous 1 à 3 jours ouvrés |
| Registres des activités de traitement (ROPA) | Assurer l'accès aux dossiers visés à l'article 12 en vue des contrôles réglementaires ; garantir la sécurité de leur conservation et de leur accès ; les mettre à la disposition des autorités sur demande | En cours / sur demande |
| Soutien à la coopération en matière de réglementation | Coordination de la communication lors d'enquêtes ou d'investigations ; suivi des échanges réglementaires | Conformément aux exigences |
| Gestion de la communication et remontée des problèmes | Transmission rapide des communications réglementaires ou à haut risque ; signalement prioritaire des questions urgentes | Conformément aux exigences |
| Interface de conformité | Orientations générales relatives aux obligations découlant de l'article 14 ; notifications concernant les évolutions réglementaires ; conseils pratiques (non constitutifs d'un avis juridique) | Selon les besoins |
Le présent cahier des charges peut être révisé et mis à jour par accord écrit entre les parties lorsque cela s'avère nécessaire afin de refléter des changements significatifs apportés aux activités de traitement du Client, à ses exigences en matière de services ou à ses priorités en matière de conformité. Toute mise à jour de ce type sera consignée sous la forme d'un cahier des charges révisé associé au compte du Client.
Le présent cahier des charges est réputé accepté par le Client dès l'activation du Service (que ce soit via une activation sur le portail ou une confirmation écrite acceptée par GDPRLocal). Aucune signature manuscrite n'est requise.