Le contrat-cadre « GDPRLocal » et les conditions supplémentaires qui y figurent régissent nos produits, nos services et nos relations avec la clientèle.
Il n'y a aucune obligation d'achat de services. Aucune carte bancaire n'est requise pour s'inscrire, et une fois inscrit, vous pouvez acheter et activer des services à tout moment.
La présente annexe fait partie intégrante du Contrat-cadre de services (« Contrat ») conclu entre le Client (agissant en qualité d’« Organisation » au sens de la PDPA) et GDPRLocal Ltd (« GDPRLocal »). Elle définit le champ d’application des services de délégué à la protection des données à Singapour fournis par GDPRLocal dans le cadre de la fonction légale qui lui est attribuée en vertu de l’article 11 de la Loi de 2012 sur la protection des données à caractère personnel de Singapour (« PDPA »). Les termes utilisés dans la présente annexe ont la même signification que dans le contrat-cadre de services.
Dans la présente annexe : « PDPA » désigne la loi de 2012 sur la protection des données à caractère personnel de Singapour, ainsi que l’ensemble des textes réglementaires d’application, des lignes directrices consultatives et des codes de bonnes pratiques publiés de temps à autre par la Commission de protection des données à caractère personnel (« PDPC ») ; « DPO » désigne le délégué à la protection des données désigné par l’organisation en vertu de l’article 11 de la PDPA ; « Registre des DPO de la PDPC » désigne le registre des délégués à la protection des données tenu par la Commission de protection des données à caractère personnel de Singapour.
Ce service est proposé uniquement sur rendez-vous, dans la limite d'un quota mensuel de prestations de conseil. Les travaux de mise en conformité approfondis avec la PDPA, l'élaboration de politiques et de procédures, le traitement des demandes des personnes concernées, la gestion des incidents et les interventions approfondies auprès de la PDPC ne sont pas inclus dans l'abonnement et sont proposés en tant que « Services supplémentaires » au titre de l'article 6.
1.1 Nomination. À compter de la date de début du service, le Client nomme GDPRLocal pour agir en tant que délégué à la protection des données aux fins de l’article 11 de la PDPA. La présente annexe constitue la désignation écrite du délégué à la protection des données. Cette nomination ne transfère aucune obligation de l’Organisation à GDPRLocal, ne confère pas le pouvoir de prendre des décisions de fond en matière de conformité au nom du Client et ne constitue ni un conseil juridique ni une représentation juridique.
1.2 Rôle réglementaire prévu. Dans le cadre de l'abonnement, GDPRLocal s'engage à :
1.3 Quota mensuel de conseil. L’abonnement comprend jusqu’à une (1) heure de conseil général en matière de PDPA par mois civil, fourni par e-mail ou lors d’un appel programmé. Ce quota n’est pas reportable sur les mois suivants et n’est pas cumulable. Ce forfait se limite à des conseils fournis dans la mesure du possible ; il ne comprend pas la gestion des incidents, la rédaction de documents de fond, l’assistance dans le cadre d’enquêtes menées par la PDPC, le traitement des demandes des personnes concernées, les travaux d’audit, ni aucune des activités énoncées au §5. Le temps nécessaire au-delà du forfait mensuel, ou pour toute activité ne relevant pas du champ d’application inclus, est disponible en tant que service supplémentaire au titre du §6 et facturé au tarif des services professionnels indiqué dans la grille tarifaire.
1.4 Inscription au registre de la PDPC. Le Client est chargé de transmettre la désignation du DPD à la PDPC (que ce soit via le service de déclaration des entreprises de la PDPC ou par tout autre moyen) et de veiller à ce que cette information reste à jour. GDPRLocal fournira les coordonnées du DPD désigné requises pour cette déclaration et informera le Client de tout changement concernant ces coordonnées dans un délai de trente (30) jours ouvrés.
2.1 Indépendance professionnelle. GDPRLocal exercera la fonction de délégué à la protection des données (DPO) avec le soin et la compétence requis et n’acceptera aucune instruction de la part du Client concernant l’exécution de tâches susceptibles de compromettre l’intégrité professionnelle de la fonction de DPO ou le respect des exigences de la PDPA.
2.2 Aucune délégation du rôle légal du Client. La désignation de GDPRLocal en tant que DPD ne décharge pas le Client de ses responsabilités légales au titre de la PDPA. Le Client reste l’« organisation » à toutes fins utiles au sens de la PDPA et conserve la responsabilité opérationnelle exclusive du respect de la PDPA, y compris le respect des dispositions relatives à la protection des données, des dispositions relatives à l’interdiction des appels non sollicités et de l’article 26 (transferts de données à caractère personnel hors de Singapour).
3.1 Délai de réponse. Dans le cadre du quota mensuel défini au §1.3, GDPRLocal s'efforcera de répondre à la personne de contact désignée par le Client dans un délai de trois (3) jours ouvrables à Singapour. Les délais de réponse s'appliquent à l'accusé de réception, et non au règlement sur le fond d'une quelconque question.
3.2 Transmission en première instance. Lorsque GDPRLocal reçoit une communication émanant d’une personne concernée ou de la PDPC et adressée au DPD désigné, GDPRLocal transmettra cette communication sans délai au contact désigné par le Client, généralement dans un délai de trois (3) jours ouvrables singapouriens à compter de sa réception. Le traitement au fond de la communication et la réponse à celle-ci relèvent de la responsabilité du Client.
3.3 Demandes motivées de la PDPC. Lorsque GDPRLocal reçoit une demande de la PDPC précisant un délai de réponse, GDPRLocal en informe sans retard injustifié l’interlocuteur désigné par le Client et précise ce délai. Si le Client ne fournit pas les informations ou instructions nécessaires dans les délais impartis, GDPRLocal peut (a) envoyer un accusé de réception provisoire à la PDPC, ou (b) informer la PDPC que la question est transmise à l’Organisation. GDPRLocal ne saurait être tenu responsable du non-respect des délais résultant du défaut du Client de fournir en temps utile les informations ou instructions requises.
Outre les obligations prévues à l'article 6 du MSA, le Client est tenu :
4.1 désigner un interlocuteur dédié à GDPRLocal pour le Service, et lui fournir les informations, documents et coopération raisonnablement nécessaires pour permettre à GDPRLocal d’exercer la fonction de délégué à la protection des données (DPO) qui lui a été confiée ;
4.2 enregistrer et maintenir l’inscription du DPD dans le registre des DPD de la PDPC (ou tout registre qui lui succéderait et géré par la PDPC) en utilisant les coordonnées du DPD fournies par GDPRLocal, et mettre à jour ce registre sans délai en cas de modification notifiée par GDPRLocal ;
4.3 assumer la responsabilité opérationnelle exclusive du respect de la PDPA, notamment, sans s’y limiter : le respect des dispositions relatives à la protection des données et des dispositions « Ne pas appeler » de la PDPA ; l’élaboration, la mise à jour et la mise en œuvre des politiques et pratiques nécessaires pour satisfaire aux obligations de l’Organisation au titre de la PDPA ; le traitement, l’évaluation et la réponse aux demandes d’accès, de rectification et autres demandes émanant des personnes concernées ; l’identification, le confinement, l’enquête, la correction et la notification des violations de données et autres incidents liés à la protection des données ; la formation et la sensibilisation internes à la PDPA ; et la coopération avec la PDPC dans le cadre de toute enquête, demande de renseignements, instruction ou mesure coercitive ;
4.4 se conformer à l'article 26 de la PDPA en ce qui concerne tout transfert de données à caractère personnel hors de Singapour, et assumer l'entière responsabilité de la mise en place du niveau de protection requis par la loi pour ces transferts ;
4.5 informer sans délai GDPRLocal : (a) de toute violation de données présumée ou avérée ; (b) de toute communication émanant de la PDPC ; (c) de tout changement significatif dans les activités de traitement ou l’activité commerciale du Client susceptible d’avoir une incidence sur le rôle du DPD ; et (d) de tout litige, mesure coercitive ou procédure réglementaire lié au respect par le Client de la PDPA ;
4.6 répondre sans délai aux communications transmises par GDPRLocal et fournir en temps utile les instructions et les décisions nécessaires au traitement de ces communications ;
4.7 ne pas prendre de mesure, ni exiger de GDPRLocal qu’elle prenne une mesure, qui aurait pour effet (a) d’exposer GDPRLocal à des sanctions coercitives ou réglementaires autres que celles résultant inévitablement de son rôle de délégué à la protection des données (DPO) ; (b) d’obliger GDPRLocal à faire une déclaration inexacte auprès de la PDPC ou de toute autre autorité ; ou (c) d’amener GDPRLocal à agir en violation des réglementations applicables.
5.1 Les Services se limitent à la mission légale désignée et à la prestation de conseil incluse décrite au § 1. Les Services n’incluent pas, et ne doivent pas être présentés à des tiers comme incluant, l’un des éléments suivants (chacun étant considéré comme un Service supplémentaire au sens du § 6) :
5.2 GDPRLocal n'assume aucune responsabilité en matière de gestion, aucun contrôle opérationnel ni aucun pouvoir décisionnel de fond concernant la conformité du Client à la PDPA ; ces responsabilités incombent exclusivement au Client en tant qu'organisation.
5.3 GDPRLocal ne garantit pas que le Client respecte ou respectera la PDPA. Le respect de la PDPA relève de la seule responsabilité du Client.
6.1 Champ d'application. Les Services se limitent à ceux énoncés au § 1.
6.2 Services supplémentaires. Si le Client a besoin de services ne relevant pas du champ d’application du § 1 (y compris l’un des éléments énumérés au § 5.1), GDPRLocal en informera le Client par écrit (un e-mail suffit), en joignant une estimation de bonne foi du temps ou des coûts supplémentaires impliqués. Les services supplémentaires ne débuteront qu’après autorisation écrite du Client (un e-mail suffit).
6.3 Facturation. Les services supplémentaires autorisés en vertu du § 6.2 sont facturés au tarif applicable aux services professionnels figurant dans la grille tarifaire, sauf si les parties conviennent expressément par écrit d'un tarif différent avant le début des travaux.
6.4 Registres. GDPRLocal tient des registres des heures travaillées et des activités réalisées dans le cadre du Service et de tout Service supplémentaire, et s'engage à les mettre à la disposition du Client sur simple demande raisonnable.
7.1 Les parties reconnaissent que GDPRLocal, en sa qualité de délégué à la protection des données (DPO) désigné, est soumis à une obligation de confidentialité concernant les informations reçues dans le cadre de l’exercice de ses fonctions de DPO. Cette obligation s’applique indépendamment et en complément des obligations réciproques de confidentialité prévues à l’article 7 du MSA. En particulier :
8.1 Caractère consultatif. Le rôle de GDPRLocal au titre de la présente annexe se limite à la fonction légale qui lui est attribuée et à la prestation de conseil prévue. GDPRLocal ne garantit pas la conformité du Client à la PDPA et décline toute responsabilité quant aux décisions prises ou aux mesures mises en œuvre par le Client sur la base des conseils fournis dans le cadre de la prestation mensuelle. Le Client conserve la responsabilité opérationnelle exclusive de la conformité à la PDPA, comme prévu au § 4.3.
8.2 Limitation de responsabilité (spécifique au service). Sous réserve du § 8.4, la responsabilité cumulée de chacune des parties au titre de la présente annexe ne saurait dépasser le montant total des redevances versées ou dues par le Client au titre du Service au cours de la période de douze (12) mois précédant immédiatement l'événement donnant lieu à la réclamation. Aucune des parties ne saurait être tenue responsable des pertes indirectes, consécutives, spéciales ou punitives.
8.3 Responsabilité du Client. Sans préjudice du §8.2, GDPRLocal décline toute responsabilité et le Client assume l’entière responsabilité : de toute amende, injonction ou sanction infligée au Client par la PDPC ; de toute perte résultant du manquement du Client à l’obligation de soumettre, de maintenir ou de mettre à jour la désignation du DPD dans le registre des DPD de la PDPC ; toute perte résultant du non-respect par le Client de la PDPA (y compris, sans s’y limiter, l’article 26 relatif aux transferts transfrontaliers) ; toute perte résultant du défaut de notification par le Client d’un fait visé au §4.5 ; et toute perte résultant de la transmission de bonne foi par GDPRLocal de communications au Client lorsque ce dernier n’a pas répondu de manière adéquate.
8.4 Exclusions de la limitation de responsabilité. Le plafond prévu au §8.2 ne s'applique pas : à la responsabilité en cas de décès ou de préjudice corporel résultant d'une négligence ; à la fraude ou à une déclaration frauduleuse ; ni à toute autre responsabilité qui ne peut être limitée en vertu de la réglementation applicable.
9.1 Durée. La présente annexe prend effet à la date de début du service et s'applique pour une durée initiale de douze (12) mois (la « durée initiale »), sauf résiliation anticipée conformément au présent § 9 ou au § 12 du MSA. Elle est automatiquement renouvelée pour des périodes de renouvellement successives de douze (12) mois, sauf si l'une des parties notifie par écrit son intention de ne pas la renouveler conformément au § 9.2.
9.2 Résiliation pour motif de commodité. Nonobstant les dispositions de l’article 12.3 du MSA, chacune des parties peut résilier la présente annexe pour motif de commodité en adressant à l’autre partie un préavis écrit d’au moins trente (30) jours par e-mail, ce préavis prenant effet avant le début du prochain cycle de facturation mensuel.
9.3 Résiliation pour raisons de conformité réglementaire. GDPRLocal peut résilier la présente annexe avec effet immédiat lorsque (a) le manque de coopération, le non-respect des obligations ou les instructions du Client placeraient GDPRLocal dans une situation intenable en tant que DPD désigné (notamment lorsque la poursuite de l’exécution obligerait GDPRLocal à agir en violation de la PDPA ou à faire des déclarations inexactes à la PDPC) ; ou (b) le Client fournit des informations substantiellement inexactes, de sorte que GDPRLocal ne peut, en toute bonne foi, continuer à se présenter comme le DPD désigné. Le Client assume l’entière responsabilité de toute conséquence réglementaire découlant d’une telle résiliation, y compris toute lacune de couverture qui en résulterait dans le registre des DPD de la PDPC.
9.4 Conséquences de la résiliation. En cas de résiliation ou d’expiration : GDPRLocal cesse d’agir en tant que DPD du Client dans un délai de cinq (5) jours ouvrés ; le Client doit mettre à jour sans délai le registre des DPD de la PDPC afin de supprimer la désignation de GDPRLocal et de nommer un DPD de remplacement lorsque la PDPA l’exige ; et le Client doit régler tous les frais et coûts impayés. Les clauses 4.3, 7, 8 et le présent §9 restent en vigueur après la résiliation.
Le présent cahier des charges (« SOW ») est annexé à l’annexe 7 relative aux services (Services de délégué à la protection des données à Singapour) et en fait partie intégrante ; cette annexe fait elle-même partie intégrante du contrat-cadre de services conclu entre le client et GDPRLocal Ltd. Les termes en majuscules ont la même signification que dans l’annexe ou dans le contrat.
Le cahier des charges (SOW) est généré et enregistré par GDPRLocal au moment de l'activation du service. Les champs de remplacement (mis en évidence ci-dessous) sont renseignés à partir du compte du client et de l'enregistrement d'activation du service.
| Nom de l'entreprise | [Nom de l'entreprise] |
| Siège social | [Siège social] |
| Interlocuteur principal | [Nom de la personne à contacter] |
| Fonction | [Fonction du contact] |
| [E-mail de contact] | |
| Téléphone | [Numéro de téléphone] |
| Territoire | Singapour (PDPA) |
| Base juridique | Nomination en tant que délégué à la protection des données en vertu de l'article 11 de la PDPA |
| Abonnement inclus | Nomination réglementaire + coordonnées du délégué à la protection des données (DPO) de la PDPC + transfert des demandes de première intervention + jusqu’à 1 heure de conseil général par mois civil (à utiliser dans le mois, sous peine de perte) |
| Unités opérationnelles / activités de traitement concernées | [liste des entités opérationnelles, des fonctions ou des activités de traitement relevant de la mission du DPD désigné] |
| Exclusions du champ d'application (le cas échéant) | [sinon « aucun »] |
Tous les tarifs applicables à ce service sont indiqués dans la grille tarifaire MSA. Le service comprend les catégories tarifaires suivantes :
| Abonnement au DPO de Singapour | Conformément à la grille tarifaire. Payable mensuellement à compter de la date de début du service. Comprend la désignation légale, les coordonnées du délégué à la protection des données (DPO) au titre de la loi PDPC, la transmission des premières réponses et jusqu’à 1 heure de conseil général par mois civil. |
| Services supplémentaires (conseils au-delà de l'allocation mensuelle d'une heure, gestion des incidents, élaboration de politiques, traitement des demandes d'accès aux données à caractère personnel (DSAR), assistance dans le cadre des enquêtes de la PDPC et tous les autres éléments énumérés à l'annexe §5.1) | Au tarif des services professionnels indiqué dans la grille tarifaire, sous réserve d'une autorisation écrite préalable conformément à l'annexe §6. |
| Fréquence de facturation | [mensuel / annuel] |
| Devise | GBP, hors TVA et autres taxes applicables. |
| Nommé délégué à la protection des données (officiel) | GDPRLocal Ltd |
| Personne désignée pour exercer la fonction de délégué à la protection des données | [Nom à indiquer lors de l'activation] |
| Siège social | Appartement côté rue, 1er étage, 27-29 North Street, Brighton, Angleterre, BN1 1EB, Royaume-Uni |
| [email protected] | |
| Tél. | +44 1772 217 800 |
Le Client devra utiliser les coordonnées indiquées ci-dessus pour la soumission au registre des délégués à la protection des données (DPO) de la PDPC et pour leur publication dans les déclarations de confidentialité du Client, le cas échéant. GDPRLocal informera le Client de tout changement concernant la personne désignée dans un délai de trente (30) jours ouvrés.
Le client doit communiquer la désignation du délégué à la protection des données (DPO) suivante au registre des DPO de la PDPC (ou à tout registre qui lui succéderait) et publier les coordonnées du DPO dans ses mentions de confidentialité, conformément à la PDPA :
« Délégué à la protection des données (article 11 de la loi PDPA de Singapour) : GDPRLocal Ltd, 1er étage, Front Suite, 27-29 North Street, Brighton, Angleterre, BN1 1EB, Royaume-Uni. Contact : [email protected], +44 1772 217 800. »
Le tableau ci-dessous présente le périmètre du service DPO. Les éléments marqués « Inclus » sont couverts par l'abonnement. Les éléments marqués « À la demande » constituent des services supplémentaires au titre de l'annexe §6, disponibles au tarif des services professionnels sur autorisation écrite préalable.
| Service | Description | Chronologie / Inclusion |
|---|---|---|
| Nomination prévue par la loi | Nomination officielle en tant que délégué à la protection des données du client conformément à l'article 11 de la PDPA ; communication des coordonnées du délégué à la protection des données désigné | Inclus / En cours |
| Liste des responsables de la protection des données (DPO) enregistrés auprès de la PDPC | GDPRLocal fournit les coordonnées du délégué à la protection des données (DPO) désigné ; le client soumet et met à jour l'inscription au registre. | Inclus / En cours |
| Transfert en première instance | Recevoir les communications adressées au délégué à la protection des données (DPO) par les personnes concernées et la PDPC ; les transmettre au client dans un délai de 3 jours ouvrables à Singapour | Inclus / En cours |
| Répartition mensuelle recommandée | Jusqu’à 1 heure de conseil général en matière de PDPA par mois civil, selon le principe « tout ou rien », sans report sur le mois suivant | Inclus / Mensuel (plafond d'1 heure) |
| Conseil approfondi en matière de PDPA d'une durée supérieure à 1 heure | Un accompagnement-conseil allant au-delà de la dotation mensuelle | À la demande (service supplémentaire) |
| Élaboration des politiques et des procédures | Rédaction, révision ou mise en œuvre des politiques, avis, procédures ou registres relatifs à la PDPA | À la demande (service supplémentaire) |
| Traitement des demandes des personnes concernées | Examen, traitement ou réponse aux demandes d'accès, de rectification, de suppression ou autres | À la demande (service supplémentaire) |
| Fuite de données / Intervention en cas d'incident | Maîtrise, enquête, mesures correctives, notification et intervention de la PDPC en cas de violation | À la demande (service supplémentaire) |
| Participation active de la PDPC | Soutien à l'enquête de la PDPC, réponse à une demande d'orientation ou intervention en matière d'application de la loi allant au-delà de la simple transmission de la première réponse | À la demande (service supplémentaire) |
| Évaluations d'impact ou d'évaluation des risques en matière de protection des données | Évaluations d'impact ou d'risques axées sur la PDPA | À la demande (service supplémentaire) |
| Audits et analyses des écarts | Évaluations de l'état de préparation à la conformité à la PDPA, analyses des lacunes ou accompagnement en matière d'audit interne | À la demande (service supplémentaire) |
| Formation et culture en matière de protection des données | Formations, ateliers, programmes de sensibilisation, activités visant à renforcer la culture d'entreprise | À la demande (service supplémentaire) |
Le présent cahier des charges peut être révisé et mis à jour par accord écrit entre les parties lorsque cela s'avère nécessaire afin de refléter des changements significatifs apportés aux activités de traitement du Client, à ses exigences en matière de services ou à ses priorités en matière de conformité. Toute mise à jour de ce type sera consignée sous la forme d'un cahier des charges révisé associé au compte du Client.
Le présent cahier des charges est réputé accepté par le Client dès l'activation du Service (que ce soit via une activation sur le portail ou une confirmation écrite acceptée par GDPRLocal).
▼ ENTRÉES DE LA CARTE TARIFAIRE ▼ COPIER / COLLER DANS LA CARTE TARIFAIRE MSA ▼
Cette section ne fait pas partie de l’annexe relative aux services. Elle présente les éléments tarifaires qui doivent être ajoutés à la grille tarifaire du contrat-cadre (MSA) afin que les références aux frais mentionnées à l’annexe §6.2 et à l’appendice §3 soient correctement prises en compte. Copiez le bloc ci-dessous dans la grille tarifaire en tant que nouvelle sous-section sous « Services d’abonnement de base ».
| Service | Frais |
|---|---|
| Abonnement au service de délégué à la protection des données (DPO) de Singapour (nomination réglementaire + coordonnées du DPO de la PDPC + transmission des premières réponses + 1 heure de conseil général par mois civil, à utiliser sous peine de perte) | 150 £ par mois |
| Services supplémentaires (conseils dépassant le contingent mensuel d'une heure, ou tout élément figurant à l'annexe §5.1) | Au tarif réduit des services professionnels déjà indiqué dans la grille tarifaire |
Tous les tarifs s'entendent hors TVA et hors taxes applicables.