Accord de protection des données personnelles

Conformément aux dispositions des Lois sur la protection des Données Personnelles, les parties reconnaissent que le Client agit en qualité de Responsable de Traitement et Sociabble agit exclusivement en qualité de Sous-Traitant. Le Client donne instruction à Sociabble de traiter les Données Personnelles en son nom et pour son compte lorsque cela est nécessaire pour l’accomplissement de l’objet des CGV. Ces traitements sont précisés en Exhibit 1 « Détails du traitement » de la présente.  

1. Définitions  définitions

2. Obligations du Sous-Traitant  

Le Sous-Traitant traite les Données Personnelles de la manière suivante :  

•  sur instruction documentée du Responsable du Traitement, y compris en ce qui concerne les transferts de Données Personnelles vers un pays tiers ou à une organisation internationale ;   
• en conformité avec les Lois sur la protection des Données Personnelles applicables, si une instruction du Responsable de Traitement entre en contradiction avec une Loi sur la protection des Données Personnelles, le Sous-Traitant doit en informer immédiatement le Responsable de Traitement et peut refuser de suivre cette instruction ;   
• ne transférer des Données Personnelles hors de l’Espace Economique Européen (EEE) que sur instruction documentée du Responsable de Traitement à moins d’y être tenu en vertu du droit de l’Union ou du droit en vigueur. Dans ce cas, le Sous-Traitant informera le Responsable de Traitement de cette obligation juridique avant le traitement sauf si le droit concerné interdit une telle information pour des motifs importants d’intérêt public. Le Sous-Traitant sans avoir au préalable exécuter les clauses contractuelles types ou toute autre mécanisme de protection jugé équivalent par la Commission Européenne ; 
• restreindre l’accès aux Données Personnelles aux seules personnes ayant besoin d’en connaitre pour assurer le bon déroulement du Service ;  
• conserver les Données Personnelles confidentielles et ne pas transmettre, disséminer ou transférer les Données Personnelles à des tiers, sauf dans les cas prévus dans la clause 3 de cet Accord. Si le Sous-Traitant est soumis à une obligation de divulgation des Données Personnelles en vertu d’une décision d’une Autorité de contrôle, il doit en informer le Responsable de Traitement dans un délai maximal de vingt-quatre (24) heures à compter de cette demande ; 
• mettre en œuvre et maintenir des Mesures de Sécurité physiques, techniques et organisationnelles appropriées. Nonobstant toute disposition contraire, le Sous-Traitant peut à sa discrétion modifier ou actualiser les Mesures de Sécurité physiques, techniques et organisationnelles à condition que le changement effectué n’entraîne pas une altération des mesures susmentionnées ; 
• notifier le Responsable de Traitement dans un délai raisonnable après en avoir pris connaissance, de toutes les informations dont il dispose concernant un incident de sécurité et apporter la coopération nécessaire pour lui permettre de se conformer à toute obligation de signaler les informations concernant un tel incident de sécurité à l’organisme de régulation approprié et/ou aux Personnes Concernées, conformément aux exigences des Lois sur la protection des Données Personnelles applicables ; assister le Responsable de Traitement dans la conduite d’études d’impact relatives à la protection des Données Personnelles et les consultations préalables aux termes des articles 35 ou 36 du RGPD.    

3. Sous-traitance ultérieure  

Afin de mener à bien ses obligations dans le cadre de la fourniture du Service, le Sous-Traitant fait appel à des sous-traitants externes (ci-après les « Sous-Traitants Ultérieurs »).   

Le Responsable de Traitement autorise le Sous-Traitant à recourir aux Sous-Traitants Ultérieurs listés sur la page internet suivante : https://www.sociabble.com/fr/legal/liste-des-sous-traitants. Tout changement de cette liste par le Sous-Traitant doit être notifié au Responsable de Traitement dans un délai préalable raisonnable avant l’effectivité de ce changement et, le Responsable de Traitement dispose de quinze (15) jours à compter de cette notification pour user de son droit d’objection à la nomination de ce nouveau Sous-Traitant Ultérieur. La nomination d’un Sous-Traitant Ultérieur ne peut être refusée par le Responsable de Traitement uniquement sous réserve de motifs légitimes.    

Dans le cas d’une sous-traitance ultérieure en dehors de l’EEE, le Sous-Traitant imposera la mise en place des conditions de protection des Données Personnelles.   

4. Mesures de sécurité  

Le Sous-Traitant a mis en place les Mesures de Sécurité physiques, techniques et organisationnelles adaptées à la nature et aux coûts de mise en œuvre des traitements des Données Personnelles effectués au titre des présentes CGV. Les Mesures de Sécurité physiques, techniques et organisationnelles applicables du Sous-Traitant sont détaillées en Exhibit 2 « Mesures de sécurité techniques et organisationnelles ».  

Le Sous-Traitant garantit que ses Mesures de Sécurité physiques, techniques et organisationnelles présentent un niveau de garantie nécessaire afin que le traitement satisfait les exigences des Lois sur la protection des Données Personnelles applicables et assurent la protection des droits de la personne.  

5. Audits  

Par le biais d’un audit, le Responsable de Traitement aura la possibilité de vérifier la conformité du Sous-Traitant avec les dispositions du présent Accord et ce, jusqu’à une fois par année contractuelle. Dans le cas dans lequel un tiers devrait effectuer l’audit, il est convenu que ce dernier devra signer un accord de confidentialité écrit avant de procéder à toute vérification. Le Sous-Traitant ne pourra refuser le tiers choisi sauf motif légitime.   

Le Responsable de Traitement doit, au préalable de tout audit, soumettre un plan détaillé au minimum quatre (4) semaines avant la date de début de celui-ci, décrivant l’étendue de l’audit, sa durée ainsi que sa date de début. Le Sous-Traitant examine ce plan d’audit et, si nécessaire, peut formuler des commentaires.  

Les rapports d’audit sont des Informations Confidentielles telles que définies au sein des CGV. Les audits sont à la charge du Responsable du Traitement et, toute demande d’assistance du Sous-Traitant relative à un audit est considérée comme un service séparé si cette assistance nécessite l’utilisation de ressources différentes ou supplémentaires. Dans cette hypothèse, l’approbation écrite du Responsable de Traitement sera requise avant la mise en œuvre de cette assistance et avant la facturation de tout frais correspondant à cette assistance.  

6. Droits des Personnes Concernées 

Le Sous-Traitant s’engage à assister le Responsable de Traitement dans le cadre de son obligation de répondre à une demande de droit d’accès de toute Personne Concernée exerçant son droit en vertu du RGPD. Le Sous-Traitant prendra en considération la nature du traitement, les informations dont il dispose, les capacités et coûts de mise en œuvre pour l’accomplissement de l’obligation du Responsable de Traitement de répondre aux Personnes Concernées. Le Sous-Traitant doit, dans la mesure permise par la loi, informer immédiatement le Responsable de Traitement s’il reçoit directement une demande de droit d’accès et redirigera la Personne Concernée vers le Responsable de Traitement, seul responsable pour répondre aux demandes formulées par une Personne Concernée en vertu du RGPD.  

Le Responsable de traitement garantie au Sous-Traitant (i) avoir le droit et avoir obtenu tous les consentements nécessaires pour utiliser et communiquer les Données Personnelles au Sous-Traitant en conformité avec le RGPD et (ii) être seul responsable de l’exactitude et de la légalité des Données Personnelles communiquées au Sous-Traitant ainsi que des moyens mis en œuvre pour recueillir ces données.  

7. Documentation essentielle 

En qualité de Responsable de Traitement, le Client est chargé de rédiger la politique de confidentialité qui sera accessible par les Utilisateurs sur la Plateforme tout au long de l’utilisation du Service par ces derniers. Le Sous-traitant assistera le Responsable de Traitement dans la rédaction de cette politique et partagera toute la documentation nécessaire lors de l’onboarding du Client.  

8. Réversibilité  

A la fin de la durée du Service, pour quelque cause que ce soit, le Sous-Traitant s’engage dans un délai de trente (30) jours, au choix du Responsable de Traitement, à détruire ou à restituer les Données Personnelles du Responsable de Traitement ainsi que toutes copies de celles-ci existantes.   

Si le Sous-Traitant est empêché de restituer ou de détruire tout ou partie desdites Données Personnelles en vertu d’une obligation légale, le Sous-Traitant devra (i) conserver ces Données Personnelles confidentielles ; (ii) ne plus les traiter et (iii) les détruire à l’issue du délai légal de rétention imposé au Sous-Traitant.  

EXHIBIT 1 – DETAIL DU TRAITEMENT  

1. Le traitement des Données Personnelles réalisé dans le cadre des CGV est décrit ci-dessous :   

2. Liste des Sous-Traitants Ultérieurs  

Pour accéder à la liste des Sous-Traitants Ultérieurs de Sociabble, veuillez cliquer ici.

EXHIBIT 2 – MESURES DE SECURITE TECHNIQUES ET ORGANISATIONNELLES DE SOCIABBLE 

La documentation relative aux mesures de sécurité techniques et organisationnelles mises en place par Sociabble est réputée faire partie intégrante des présentes CGV et seront transmises au Client sur demande à l’adresse suivante : legal@sociabble.com.