Le contrat-cadre « GDPRLocal » et les conditions supplémentaires qui y figurent régissent nos produits, nos services et nos relations avec la clientèle.
Il n'y a aucune obligation d'achat de services. Aucune carte bancaire n'est requise pour s'inscrire, et une fois inscrit, vous pouvez acheter et activer des services à tout moment.
La présente annexe fait partie intégrante du contrat-cadre de services (« Contrat ») conclu entre le Client (agissant en qualité de « Responsable du traitement ») et GDPRLocal Ltd (« GDPRLocal »). Il définit le champ d’application des services de délégué à la protection des données (« DPO ») qui seront fournis par GDPRLocal. Les termes utilisés dans la présente annexe ont la même signification que dans le contrat-cadre de services ou dans le règlement général sur la protection des données (UE 2016/679) (« RGPD »).
Dans la présente annexe, les références au « responsable du traitement » désignent le client agissant en qualité de responsable du traitement au sens du RGPD.
1. Étendue des prestations
1.1 Désignation. Le Responsable du traitement désigne GDPRLocal en tant que délégué à la protection des données (« DPO ») externe, conformément à l’article 37 du RGPD. GDPRLocal accepte cette désignation et s’engage à fournir les services de DPO décrits dans la présente annexe, dans le respect du RGPD.
1.2 Missions du délégué à la protection des données. Conformément à l'article 39 du RGPD, GDPRLocal doit :
Dans l'exercice de ses fonctions, le délégué à la protection des données tient dûment compte des risques liés aux opérations de traitement, en prenant en considération la nature, la portée, le contexte et les finalités du traitement.
1.3 Services supplémentaires. Tout service demandé par le Responsable du traitement qui ne relève pas du champ d'application des services du DPO décrits dans la présente annexe peut faire l'objet d'une demande en tant que services et tâches supplémentaires facturables, conformément au Contrat-cadre de prestation de services.
2. Indépendance du délégué à la protection des données
2.1 Indépendance. Les parties reconnaissent et conviennent expressément que :
2.2 Conflit d’intérêts. Le responsable du traitement veille à ce que toute mission supplémentaire confiée à GDPRLocal n’entre pas en conflit avec les responsabilités du délégué à la protection des données (DPD) ni ne compromette son indépendance, conformément à l’article 38, paragraphe 6, du RGPD.
3. Niveaux de service et livrables
3.1 Prestation des services. GDPRLocal fournira les services décrits dans la présente annexe selon une fréquence convenue entre le contact client (identifié dans le profil du compte du client) et GDPRLocal, en tenant compte de la nature, de la portée, du contexte et du profil de risque des activités de traitement du responsable du traitement.
3.2 Conseils et rapports. GDPRLocal fournira des conseils, des recommandations et des rapports dans des délais raisonnables convenus entre les parties au cas par cas, en tenant compte de la complexité et de l'urgence de la question.
4. Obligations du responsable du traitement
Outre les obligations prévues à l'article 6 de la MSA, le responsable du traitement est tenu :
4.1 fournir à GDPRLocal les ressources et l’accès aux informations, aux systèmes et au personnel raisonnablement nécessaires à la prestation des Services, conformément à l’article 38, paragraphe 2, du RGPD. Le responsable du traitement veillera à ce que GDPRLocal soit associé en temps utile à tout projet ou changement impliquant le traitement de données à caractère personnel ;
4.2 informer sans délai GDPRLocal (a) de toute violation de données présumée ou avérée ; (b) de toute communication émanant d’une autorité de contrôle ; et (c) de toute demande émanant d’une personne concernée relative aux droits prévus par le RGPD ;
4.3 publier les coordonnées du délégué à la protection des données (DPO) et les communiquer à l’autorité de contrôle conformément à l’article 37, paragraphe 7, du RGPD, en utilisant les coordonnées figurant dans l’annexe de la présente annexe, et mettre à jour ces informations sans délai dès réception d’une notification écrite de GDPRLocal signalant tout changement.
5. Services hors champ d'application
5.1 Les Services se limitent aux missions légales du délégué à la protection des données (DPO) décrites à la clause 1.2. Les Services n’incluent pas la fourniture de conseils juridiques, d’avis juridiques ou la représentation juridique dans le cadre de litiges, de procédures réglementaires ou de toute autre procédure formelle. Lorsqu’un conseil juridique ou une représentation juridique est nécessaire, le responsable du traitement doit faire appel à un conseiller juridique indépendant.
5.2 Le rôle de GDPRLocal concernant les demandes relatives aux droits des personnes concernées est de nature consultative et de supervision. Le traitement opérationnel et la mise en œuvre des demandes relatives aux droits des personnes concernées, notamment l'accès, l'effacement et la portabilité des données, relèvent de la seule responsabilité du responsable du traitement.
5.3 Tout service ne relevant pas des fonctions légales du délégué à la protection des données (DPO), y compris la mise en œuvre opérationnelle de mesures de conformité ou des prestations de conseil plus générales en matière de protection des données, peut faire l'objet d'une demande en tant que services et tâches supplémentaires facturables, conformément au contrat-cadre de services.
6. Confidentialité (annexe spécifique au service relative à l'article 7 du MSA)
6.1 Les parties reconnaissent expressément que GDPRLocal, en sa qualité de délégué à la protection des données (DPO), est soumis à l’obligation de secret ou de confidentialité concernant l’exercice de ses fonctions de DPO, conformément à l’article 38, paragraphe 5, du RGPD. Cette obligation s’applique indépendamment et en complément des obligations réciproques de confidentialité prévues à l’article 7 du MSA. En particulier :
7. Responsabilité et indemnisation (avenant spécifique au service aux articles 10 et 11 du contrat-cadre)
7.1 Reconnaissances. Les parties reconnaissent et conviennent que :
7.2 Limitation de responsabilité (spécifique au service).
7.2.1 Sous réserve de la clause 7.4, la responsabilité globale de chacune des parties au titre de la présente annexe ne saurait dépasser le montant total des honoraires versés ou dus par le Responsable du traitement à GDPRLocal au titre du service de DPD au cours de la période de douze (12) mois précédant immédiatement l'événement donnant lieu à la réclamation.
7.2.2 Aucune des parties ne saurait être tenue responsable des dommages indirects, consécutifs, particuliers ou punitifs.
7.2.3 GDPRLocal décline toute responsabilité en cas de : préjudice résultant du non-respect par le responsable du traitement des recommandations du délégué à la protection des données ; constat réglementaire, amende ou mesure coercitive découlant des activités de traitement du responsable du traitement ; préjudice résultant d’informations inexactes, incomplètes ou trompeuses fournies à GDPRLocal ; préjudice imputable au non-respect par le responsable du traitement des clauses 2.2 et 4.
7.3 Indemnisation.
7.3.1 Le Responsable du traitement s’engage à indemniser et à dégager GDPRLocal de toute responsabilité en cas de pertes, coûts, réclamations, dommages-intérêts, amendes ou sanctions réglementaires (y compris les frais juridiques raisonnables) découlant : de toute réclamation émanant d’une autorité de contrôle ou d’un tiers imputable au non-respect par le Responsable du traitement des recommandations raisonnables formulées par le DPO de GDPRLocal ou au non-respect par le Responsable du traitement de la législation applicable ; toute réclamation découlant d’un traitement effectué par le Responsable du traitement à l’égard duquel GDPRLocal avait émis un avis écrit qui n’a pas été suivi ; le manquement du Responsable du traitement à ses obligations au titre des clauses 2.2 et 4.
7.3.2 L'indemnisation ne s'applique pas dans la mesure où le préjudice en question est directement et principalement imputable à une négligence grave ou à une faute intentionnelle de la part de GDPRLocal. À titre de clarification, l'exercice de bonne foi par GDPRLocal de son jugement indépendant en tant que délégué à la protection des données (y compris toute recommandation, évaluation ou avis émis dans le cadre de l'exercice de ses fonctions légales de délégué à la protection des données) ne constitue pas une négligence ni une faute.
7.4 Exclusions du plafond de responsabilité. Le plafond de responsabilité prévu à la clause 7.2 ne s'applique pas : au décès ou aux dommages corporels résultant d'une négligence ; à la fraude ou à une déclaration frauduleuse ; à toute autre responsabilité qui ne peut être limitée en vertu de la loi applicable.
7.5 Assurance responsabilité civile professionnelle. GDPRLocal devra souscrire, pendant toute la durée du contrat, une assurance responsabilité civile professionnelle d’un montant minimum de 1 000 000 £ par sinistre et au total par année d’assurance. Justificatif à fournir sur demande écrite raisonnable.
8. Durée et résiliation (spécifique au service)
8.1 Durée. La présente annexe prend effet à la date de début du service et s'applique pour une durée initiale de douze (12) mois (« durée initiale »), sauf résiliation anticipée conformément à la présente clause 8 ou à l'article 12 du contrat-cadre (MSA). Elle est automatiquement renouvelée pour des périodes de renouvellement successives de douze mois, sauf si un préavis de non-renouvellement est notifié au moins quatre-vingt-dix (90) jours avant la fin de la période en cours.
8.2 Résiliation pour motif de convenance. Nonobstant les dispositions de l’article 12.3 du MSA, chacune des parties peut résilier la présente annexe moyennant un préavis écrit d’au moins nonante (90) jours, cette option ne pouvant être exercée qu’après l’expiration de la durée initiale, sous réserve des obligations réglementaires de notification prévues à la clause 8.5.
8.3 Résiliation pour motif valable.
8.3.1 La résiliation pour motif valable est régie par l'article 12.2 du MSA (manquement grave, insolvabilité, cessation d'activité), ainsi que par les dispositions supplémentaires spécifiques au service figurant dans la présente clause 8.3.
8.3.2 Le Responsable du traitement ne peut résilier la présente annexe avec effet immédiat que s’il est établi que GDPRLocal a agi de mauvaise foi ou a commis une violation grave et délibérée de ses obligations professionnelles dans l’exercice direct de ses fonctions de délégué à la protection des données au titre de la présente annexe, tel que déterminé par une décision définitive et sans appel rendue par un tribunal compétent ou une autorité de contrôle. Cette restriction est nécessaire pour donner effet à l’article 38, paragraphe 3, du RGPD.
8.3.3 GDPRLocal peut résilier la présente annexe avec effet immédiat si (a) le responsable du traitement omet de manière répétée de mettre en œuvre les recommandations raisonnables de GDPRLocal, de sorte que la poursuite de l’exécution de la présente annexe impliquerait de rester associé à un traitement présentant un manquement substantiel à la conformité ; (b) le Responsable du traitement tente de donner des instructions à GDPRLocal d’une manière qui compromettrait l’indépendance requise en vertu de l’article 38, paragraphe 3, du RGPD ; ou (c) le Responsable du traitement ne s’acquitte pas des honoraires incontestés dans les 30 jours suivant la date d’échéance et ne remédie pas à cette situation dans les 15 jours suivant la notification écrite.
8.4 Conséquences de la résiliation. GDPRLocal fournit, dans un délai de 15 jours ouvrés, un rapport de passation écrit couvrant les questions en suspens relatives au DPD, la correspondance réglementaire en cours et les demandes d’accès aux données (DSAR) non traitées (limité aux dossiers en cours au moment de la résiliation, à l’exclusion de tout nouveau travail). Coopération transitoire avec tout nouveau DPD pendant une durée maximale de 30 jours, aux tarifs standard de GDPRLocal, sous réserve du règlement des honoraires impayés. Dans un délai de 30 jours, restitution ou destruction des informations confidentielles sur demande écrite (sous réserve des exceptions légales en matière de conservation). Les clauses 6, 7 et 8.4 restent en vigueur après la résiliation.
8.5 Avis réglementaire. Les parties coopéreront afin de garantir que la résiliation de la présente annexe soit gérée conformément à toutes les exigences applicables des autorités de contrôle, notamment en notifiant à l’autorité de contrôle compétente la cessation des fonctions du délégué à la protection des données (DPO), en mettant à jour les coordonnées publiées du DPO ainsi que tout enregistrement auprès des autorités de contrôle, et en veillant à ce que le responsable du traitement n’exerce pas ses activités sans un DPO légalement désigné pendant toute période de désignation obligatoire.
Le responsable du traitement assume l'entière responsabilité de garantir la continuité de la nomination de son délégué à la protection des données après la résiliation de la présente annexe.
__________________________________________________
Remarque : Le présent cahier des charges (« SOW ») est annexé à l’annexe 4 relative aux services (Services du délégué à la protection des données) et en fait partie intégrante ; cette annexe fait elle-même partie intégrante du contrat-cadre de services (« MSA ») conclu entre [Nom de la société] (le « Responsable du traitement ») et GDPRLocal Ltd (« GDPRLocal »). Les termes en majuscules ont la même signification que dans l’annexe ou dans le MSA.
Date d'entrée en vigueur : date à laquelle les services du délégué à la protection des données (DPO) sont activés, conformément au registre d'activation des services.
Durée initiale : 12 mois à compter de la date d'entrée en vigueur, renouvelable automatiquement conformément à l'annexe 4, § 8.1.
| Nom de l'entreprise | [Nom de l'entreprise] |
| Nom de la personne à contacter | [Nom de la personne à contacter] |
| E-mail de contact | [E-mail de contact] |
| Numéro de téléphone | [Numéro de téléphone] |
| Entité désignée comme délégué à la protection des données | GDPRLocal Ltd |
| Siège social | Appartement côté rue, 1er étage, 27-29 North Street, Brighton, Angleterre BN1 1EB |
| [email protected] | |
| Tél. | +44 1772 217 800 |
Le texte ci-dessous présente les services du délégué à la protection des données (DPO) qui seront fournis dans le cadre du présent cahier des charges.
| Service DPOe | Les services proposés comprennentd |
| Informer et conseiller le responsable du traitement, sa direction et son personnel sur leurs obligations au titre du RGPD. | Tout au long de la durée du contrat. |
| Veiller au respect par le responsable du traitement du RGPD ainsi que de ses politiques et procédures en matière de protection des données, notamment par le biais d'examens périodiques de conformité, d'audits internes et de l'examen de la documentation pertinente relative à la protection des données. | Un premier contrôle de conformité au début de la mission, ainsi qu'un contrôle de conformité annuel devant être effectué au plus tard à la fin de chaque année contractuelle. |
| Examiner et mettre à jour les registres des activités de traitement du responsable du traitement dans le cadre du suivi continu de la conformité. | Une fois par année contractuelle, et mise à jour dans un délai d'un mois civil à compter de la notification de toute nouvelle activité de traitement ou de toute modification significative de celle-ci. Modèle de « Registre des activités de traitement » inclus. |
| Conseiller le responsable du traitement sur les besoins en formation du personnel en matière de conformité à la protection des données et, lorsque cela a été expressément convenu, apporter son soutien aux actions de sensibilisation. | Une évaluation des besoins en formation par année contractuelle, consignée dans une politique et un plan de formation du personnel. |
| Fournir des conseils sur les analyses d'impact relatives à la protection des données (AIPD) et, le cas échéant, sur d'autres évaluations des risques liés à la vie privée, et en contrôler les résultats. | Conseils stratégiques en matière d’AIPD fondés sur l’examen initial de conformité, mis à jour chaque année. Conseils stratégiques en matière d’AIPD fournis lors de la notification d’un projet de nouvelle activité ou de modification d’une activité ou d’un système de traitement. *La réalisation d’AIPD n’entre pas dans le champ d’application des présents services et sera considérée comme un service supplémentaire (cadre des tâches, MSA §5.5). |
| Servir de point de contact pour les personnes concernées sur les questions relatives au traitement de leurs données à caractère personnel et à l'exercice de leurs droits en vertu du RGPD, notamment en guidant le responsable du traitement dans le traitement des demandes relatives aux droits des personnes concernées, le cas échéant. | Les coordonnées du délégué à la protection des données (DPO) sont mises à la disposition des personnes concernées. L’accès au portail GDPRLocal via Privacy Manager est inclus. La gestion opérationnelle et le traitement des demandes relatives aux droits des personnes concernées, notamment l’accès aux données, l’effacement et la portabilité, relèvent de la seule responsabilité du responsable du traitement. *L’assistance directe fournie au responsable du traitement dans le cadre de la gestion des questions relatives aux droits en matière de protection des données n’entre pas dans le champ d’application des présents Services et sera considérée comme un Service supplémentaire. |
| Servir de point de contact pour l'autorité de contrôle compétente sur les questions relatives au traitement des données à caractère personnel et coopérer avec cette autorité lorsque cela est nécessaire. | Les coordonnées du délégué à la protection des données (DPO) sont mises à la disposition des autorités de contrôle compétentes. Les premiers conseils réglementaires sont inclus. *L'assistance directe fournie au responsable du traitement dans le cadre de la gestion des demandes des autorités de contrôle n'entre pas dans le champ d'application des présents services et sera considérée comme un service supplémentaire. |
| Conseiller le responsable du traitement, le cas échéant, sur les obligations de notification des violations de données à caractère personnel prévues aux articles 33 et 34 du RGPD, à la suite de la notification d’une violation présumée ou confirmée. | Accès à l’outil « Data Breach Manager » sur le portail GDPRLocal inclus. Conseils initiaux fournis dès la notification d’une violation présumée ou confirmée des données à caractère personnel. Modèle de politique relative aux violations de données inclus. *L’assistance directe fournie au responsable du traitement dans le cadre de la gestion des violations de données ne relève pas du champ d’application des présents services et sera considérée comme un service supplémentaire. |
| Rendre compte périodiquement à la plus haute instance de direction du contrôleur de l'état de conformité, des risques significatifs en matière de protection des données et des recommandations découlant de l'exercice des fonctions du délégué à la protection des données. | Réunions avec le délégué à la protection des données (DPO), organisées à des intervalles convenus et confirmés avec le responsable du traitement. Rapport de conformité du DPO remis tous les six mois. |
Le présent cahier des charges peut être révisé et mis à jour par accord écrit entre les parties lorsque cela s’avère nécessaire afin de refléter des changements significatifs apportés aux activités de traitement du responsable du traitement, à ses exigences en matière de services ou à ses priorités en matière de conformité.
Le présent accord écrit a été conclu et signé par les représentants habilités des parties.