Le contrat-cadre « GDPRLocal » et les conditions supplémentaires qui y figurent régissent nos produits, nos services et nos relations avec la clientèle.
Il n'y a aucune obligation d'achat de services. Aucune carte bancaire n'est requise pour s'inscrire, et une fois inscrit, vous pouvez acheter et activer des services à tout moment.
La présente annexe fait partie intégrante du Contrat-cadre de services (« Contrat ») conclu entre le Client et GDPRLocal Ltd (« GDPRLocal »). Elle définit le champ d’application des services de représentation au titre de l’article 27 du RGPD qui seront fournis par GDPRLocal par l’intermédiaire de sa filiale, Instant EU GDPR Representative Ltd (le « Représentant désigné »), une entité établie dans l’Union européenne et mandatée par GDPRLocal pour exercer la fonction de représentant au sein de l’UE en vertu de la présente annexe. Sauf indication contraire du contexte, les références à GDPRLocal dans la présente annexe incluent le représentant désigné agissant en sa qualité statutaire. Les termes utilisés dans la présente annexe ont la même signification que dans le contrat-cadre de services ou dans la réglementation applicable.
1. Étendue des prestations
1.1 Désignation. À compter de la date de début du service, le Client désigne le Représentant désigné pour agir en tant que son représentant dans l’Union conformément à l’article 27 de la Réglementation applicable. La présente annexe constitue le mandat écrit requis en vertu de l’article 27, paragraphe 1, du RGPD. Le Représentant désigné accepte cette désignation et s'engage à fournir les services de représentation décrits dans la présente annexe, conformément à l'article 27 de la Réglementation applicable. Le mandat ne confère pas le pouvoir de prendre des décisions de fond au nom du Client concernant les activités de traitement, de lier le Client à un quelconque engagement de conformité, ni d'agir en tant que représentant légal dans le cadre de litiges ou de procédures d'exécution.
1.2 Article 27 : Obligations du représentant. Conformément à l’article 27 de la réglementation applicable, GDPRLocal doit (par l’intermédiaire du représentant désigné) :
2. Niveaux de service et livrables
2.1 Prestation de services. GDPRLocal agira conformément aux instructions du contact client indiqué dans le profil du compte du client, ou de toute autre personne expressément autorisée par écrit par le client.
2.2 Conseils et rapports. Lorsque GDPRLocal reçoit une communication d’une autorité de contrôle ou d’une personne concernée exigeant une réponse dans un délai défini, GDPRLocal en informe immédiatement le contact client et précise le délai de réponse. Si le client ne fournit pas d’instructions à temps, GDPRLocal peut soit (a) répondre par un accusé de réception provisoire, soit (b) informer l’autorité de contrôle ou la personne concernée que la question est transmise au client. Le Client reconnaît que GDPRLocal ne saurait être tenu responsable du non-respect des délais résultant de l’absence d’instructions en temps utile de la part du Client.
3. Obligations du client
Outre les obligations prévues à l'article 6 du MSA, le Client est tenu :
3.1 fournir à GDPRLocal les informations, documents et la coopération raisonnablement nécessaires à l’exécution des Services, notamment : les coordonnées exactes de la ou des entités juridiques du Client concernées par le mandat ; les détails des activités de traitement relevant du champ d’application du mandat en question ; et une copie du registre des activités de traitement ;
3.2 répondre sans délai à toutes les communications transmises par GDPRLocal et fournir en temps utile les instructions, informations et décisions nécessaires au traitement de ces communications ;
3.3 informer sans délai GDPRLocal : (a) de toute violation de données présumée ou avérée ; (b) de toute modification des activités de traitement du Client ayant une incidence significative sur la portée ou la nature de la désignation du représentant ; (c) de toute communication directe reçue par le Client de la part d’une autorité de contrôle ; (d) tout litige ou procédure réglementaire engagé à l’encontre du Client concernant son traitement des données à caractère personnel de personnes concernées au sein de l’Union ; et (e) toute demande émanant d’une personne concernée relative aux droits prévus par le RGPD ;
3.4 publier les coordonnées du représentant de l’UE et les communiquer à l’autorité de contrôle conformément au RGPD, en utilisant les coordonnées du représentant désigné figurant dans l’annexe de la présente annexe, et veiller à ce que ces coordonnées soient correctement reprises dans toutes les déclarations de confidentialité du client, les politiques de confidentialité de son site web et les communications adressées aux personnes concernées, conformément aux articles 13 et 14 du RGPD ;
3.5 assume l'entière responsabilité de l'exactitude, de l'exhaustivité et de l'actualité du ROPA. L'obligation du représentant désigné en vertu de l'article 30, paragraphe 4, du RGPD est subordonnée à la fourniture par le client d'un ROPA exact ;
3.6 ne pas prendre de mesure qui : (a) exposerait GDPRLocal ou le représentant désigné à des procédures d’exécution ou à des sanctions réglementaires, sauf si cela constitue une conséquence inévitable du rôle du représentant désigné ; (b) obligerait GDPRLocal ou le représentant désigné à faire une déclaration inexacte auprès d’une autorité de contrôle ; ou (c) amènerait GDPRLocal ou le représentant désigné à agir en violation de la réglementation applicable.
4. Services hors champ d'application
4.1 Sauf accord exprès conclu lors de l’activation, les Services n’incluent pas de conseils ou de prestations de fond en matière de conformité au RGPD (qui font l’objet d’annexes de services distinctes, le cas échéant), ni la fourniture de conseils juridiques ou de représentation juridique. Si des conseils juridiques s’avèrent nécessaires, le Client doit faire appel à un conseiller juridique indépendant.
4.2 GDPRLocal et le représentant désigné n'assumeront aucune responsabilité en matière de gestion ni aucun pouvoir de décision opérationnelle.
4.3 Le rôle du représentant désigné en ce qui concerne les demandes relatives aux droits des personnes concernées est de nature consultative et de supervision ; la gestion opérationnelle de ces demandes relève de la seule responsabilité du client.
4.4 Tout service ne relevant pas du rôle de représentation prévu à l'article 27 de la loi peut faire l'objet d'une demande en tant que service ou tâche supplémentaire facturable, conformément au contrat-cadre de services.
5. Responsabilité et indemnisation (avenant spécifique au service aux articles 10 et 11 du contrat-cadre)
5.1 Cadre de reconnaissance de la responsabilité. Les parties reconnaissent ce qui suit :
5.2 Limitation de responsabilité (spécifique au service).
5.2.1 Sous réserve de la clause 5.5, la responsabilité globale de chacune des parties au titre de la présente annexe ne saurait dépasser le montant total des honoraires versés ou dus par le Client au titre du service de représentation au titre de l’article 27 de l’UE au cours de la période de douze (12) mois précédant immédiatement l’événement donnant lieu à la réclamation.
5.2.2 Aucune des parties ne saurait être tenue responsable des dommages indirects, consécutifs, particuliers ou punitifs.
5.2.3 GDPRLocal et le représentant désigné déclinent toute responsabilité concernant : les amendes ou sanctions prévues par le RGPD infligées au Client ; les préjudices résultant du non-respect par le Client de la réglementation applicable ou de son défaut de fournir des informations ROPA ou des instructions exactes et en temps opportun ; les conséquences du défaut de mise à jour des déclarations de confidentialité avec des coordonnées correctes ; les pertes imputables au fait que le Client n’ait pas notifié un événement pertinent conformément à la clause 3 ; les pertes résultant de la transmission de bonne foi par GDPRLocal de communications auxquelles le Client n’a pas répondu de manière adéquate.
5.3 Indemnisation par le Client. Le Client s’engage à indemniser, défendre et dégager de toute responsabilité GDPRLocal, le Représentant désigné, ainsi que leurs filiales, dirigeants, salariés et agents respectifs (chacun étant une « Personne indemnisée ») contre les pertes (y compris les frais juridiques raisonnables sur la base d’une indemnisation intégrale) découlant : de procédures d’exécution ; de la responsabilité solidaire prévue par le droit national (y compris en vertu de la LOPDGDD espagnole) ; des réclamations des personnes concernées relatives au traitement effectué par le Client ; du non-respect par le Client des obligations prévues à la clause 3 ; de la non-fourniture d’un ROPA exact ; et des frais engagés pour répondre, au nom du Client, aux procédures d’exécution ou aux demandes de renseignements des autorités de contrôle.
5.4 Procédure de défense. Dès notification de toute réclamation susceptible de donner lieu à une indemnisation : GDPRLocal en informe sans délai le Client ; le Client prend en charge la conduite de la défense à ses frais (la Personne indemnisée peut y participer aux frais du Client ; aucun règlement défavorable à la Personne indemnisée ne peut être conclu sans son consentement) ; la Personne indemnisée apporte sa coopération dans la mesure du raisonnable ; à défaut de prise en charge dans un délai de 15 jours ouvrés, GDPRLocal peut prendre en charge la conduite de la défense aux frais du Client.
5.5 Exclusions de la limitation de responsabilité. Le plafond de responsabilité prévu à la clause 5.2 ne s'applique pas : aux obligations d'indemnisation du Client prévues à la clause 5.3 ; à la responsabilité en cas de décès ou de préjudice corporel résultant d'une négligence ; à la fraude ou à une déclaration frauduleuse ; à toute autre responsabilité qui ne peut être limitée en vertu de la réglementation applicable.
5.6 Assurance responsabilité civile professionnelle. GDPRLocal devra souscrire, pendant toute la durée du contrat, une assurance responsabilité civile professionnelle d’un montant minimum de 1 000 000 £ par sinistre et au total par année d’assurance. Justificatif à fournir sur demande écrite raisonnable.
6. Durée et résiliation (spécifique au service)
6.1 Durée. La présente annexe prend effet à la date de début du service et s'applique pour une durée initiale de douze (12) mois (« durée initiale »), sauf résiliation anticipée conformément à la présente clause 6 ou à l'article 12 du contrat-cadre (MSA). Elle est automatiquement renouvelée pour des périodes de renouvellement successives de douze mois, sauf si un préavis de non-renouvellement est notifié au moins quatre-vingt-dix (90) jours avant la fin de la période en cours.
6.2 Résiliation pour motif de convenance. Nonobstant les dispositions de l’article 12.3 du MSA, chacune des parties peut résilier la présente annexe moyennant un préavis écrit d’au moins nonante (90) jours, ce droit ne pouvant être exercé qu’après l’expiration de la durée initiale. Ce préavis de 90 jours tient compte de l’intérêt légitime de GDPRLocal à assurer la continuité ainsi que de la nécessité pour le Client de désigner un nouveau représentant au titre de l’article 27 afin d’éviter toute violation de l’article 27 du RGPD.
6.3 Droit de résiliation supplémentaire. GDPRLocal peut en outre résilier le contrat avec effet immédiat si (a) le Client fournit des informations ROPA manifestement inexactes, de sorte que l’exécution du contrat impliquerait une fausse déclaration auprès des autorités de contrôle ; ou (b) les instructions du Client exigeraient une action illicite ou exposeraient GDPRLocal ou le représentant désigné à une responsabilité disproportionnée.
6.4 Droit de démission dans le cadre d’une procédure d’exécution. Les pratiques courantes du marché applicables aux représentants visés à l’article 27 prévoient un droit spécifique de démission lorsque le Client cesse de coopérer au cours d’une procédure d’exécution. GDPRLocal peut démissionner avec effet immédiat si :
Une résiliation immédiate dans de telles circonstances ne constituera pas un manquement. Le Client assume l'entière responsabilité de toute conséquence réglementaire découlant d'une interruption de couverture.
6.5 Conséquences de la résiliation. Dans un délai de 5 jours ouvrés : GDPRLocal cesse de se présenter comme le représentant du Client et en informe les autorités de contrôle compétentes lorsque la législation nationale l’exige ; le Client met à jour toutes ses déclarations de confidentialité afin de supprimer les coordonnées du représentant désigné. Dans un délai de 15 jours ouvrés : GDPRLocal remet une copie du ROPA ainsi que du registre des communications. Toute procédure d’exécution en cours est traitée conformément aux dispositions transitoires (à défaut, dans un délai de 10 jours ouvrés, GDPRLocal peut notifier la résiliation à l’autorité de contrôle compétente et la renvoyer vers le Client). Le Client s’acquitte des honoraires et frais impayés. Les clauses 5 et 6.5 restent en vigueur après la résiliation.
6.6 Avis réglementaire. Le Client assume l'entière responsabilité de désigner un représentant de remplacement au titre de l'article 27 avant ou immédiatement après la résiliation, afin d'éviter toute violation de l'article 27 du RGPD. GDPRLocal coopérera à titre gracieux à cette désignation, selon ses tarifs standard en vigueur à ce moment-là.
__________________________________________________
Le présent cahier des charges (« SOW ») est annexé à la présente annexe et en fait partie intégrante, laquelle fait elle-même partie intégrante du contrat-cadre de services conclu entre le client et GDPRLocal Ltd. Les termes en majuscules ont la même signification que dans l'annexe ou dans le contrat.
Le cahier des charges est généré et enregistré par GDPRLocal au moment de l'activation du service (que ce soit via la plateforme GDPRLocal ou par confirmation écrite) et précise le périmètre sur mesure, les honoraires et les paramètres opérationnels de cette mission. L'identité du client est automatiquement renseignée à partir du profil de son compte et n'est pas saisie à nouveau ici.
1. Coordonnées du client
| Nom de l'entreprise | [Nom de l'entreprise] |
| Nom de la personne à contacter | [Nom de la personne à contacter] |
| E-mail de contact | [E-mail de contact] |
| Numéro de téléphone | [Numéro de téléphone] |
2. Date d'entrée en vigueur et durée
3. Étendue des prestations
4. Frais de service
5. Personnel désigné
| Entité représentante désignée | Instant EU GDPR Representative Ltd |
| Siège social | Bureau 2, 12A Lower Main Street, Lucan, comté de Dublin, K78 X5P8, Irlande |
| [email protected] | |
| Tél. | +44 1772 217 800 |
6. Libellé de la déclaration de confidentialité
Le Client s'engage à publier, dans ses mentions relatives à la protection des données, ses politiques de confidentialité sur son site web et toute autre communication requise par les articles 13 et 14 du RGPD, le texte suivant (ou un texte équivalent transmettant les mêmes informations) :
« Notre représentant dans l'Union européenne au titre de l'article 27 du RGPD est Instant EU GDPR Representative Ltd, Office 2, 12A Lower Main Street, Lucan, comté de Dublin, K78 X5P8, Irlande. Site web : https://gdprlocal.com. Les personnes concernées et les autorités de contrôle de l'Union européenne peuvent contacter notre représentant dans l'Union européenne à l'adresse [email protected] ou au +44 1772 217 800. »
Le Client s'engage à mettre à jour ces informations dans les plus brefs délais dès réception d'une notification écrite de GDPRLocal signalant toute modification de ces coordonnées.
7. Services de représentation auprès de l'UE et livrables
| Service | Services inclus | Chronologie |
| Nomination et représentation | Désignation officielle en tant que représentant dans l'UE au titre de l'article 27 du RGPD pour les activités de traitement relevant de l'article 3, paragraphe 2 ; mandat de représentation autorisé ; mention dans la déclaration de confidentialité | Ponctuel (intégration) |
| Point de contact en matière de réglementation | Réception et transmission des communications de l'autorité de contrôle ; soutien à la coordination des réponses | Expédition sous 1 à 3 jours ouvrés |
| Fonction de contact pour les personnes concernées | Réception et transmission des demandes des personnes concernées (DSAR) ; enregistrement, le cas échéant | Expédition sous 1 à 3 jours ouvrés |
| Registres des activités de traitement (ROPA) | Assurer l'accès aux dossiers visés à l'article 30 aux fins des contrôles réglementaires ; garantir la sécurité de leur conservation et de leur accès ; les mettre à la disposition des autorités sur demande | En cours / sur demande |
| Soutien à la coopération en matière de réglementation | Coordination de la communication lors d'enquêtes ou d'investigations ; suivi des échanges réglementaires | Conformément aux exigences |
| Gestion de la communication et remontée des problèmes | Transmission rapide des communications réglementaires ou à haut risque ; signalement prioritaire des questions urgentes | Conformément aux exigences |
| Interface de conformité | Orientations générales relatives aux obligations découlant de l'article 27 ; notifications concernant les évolutions réglementaires pertinentes ; conseils pratiques (non constitutifs d'un avis juridique) | Selon les besoins |
8. Évaluation des services
Le présent cahier des charges peut être révisé et mis à jour par accord écrit entre les parties lorsque cela s'avère nécessaire afin de refléter des changements significatifs apportés aux activités de traitement du Client, à ses exigences en matière de services ou à ses priorités en matière de conformité. Toute mise à jour de ce type sera consignée sous la forme d'un cahier des charges révisé associé au compte du Client.
9. Acceptation
Le présent cahier des charges est réputé accepté par le Client dès l'activation du Service (que ce soit via une activation sur le portail ou une confirmation écrite acceptée par GDPRLocal). Aucune signature manuscrite n'est requise.