Accord sur la protection des données à caractère personnel

DUREE ET HIERARCHISATION CONTRACTUELLE

2.1. Le présent Accord entre en vigueur à compter de sa signature et reste applicable durant toute la durée du Contrat.

2.2. Le présent Accord se substitue à toute clause applicable en matière de protection des Données personnelles pouvant se trouver dans le Contrat. En cas de contradiction, les Parties conviennent expressément que le présent Accord prévaut sur le Contrat ou tous autres accords portant sur les Services.

3. NOMINATION ET ROLE DE LABOCAST

3.1. Le Client, en sa qualité de Responsable de Traitement, désigne LABOCAST en qualité de Sous-traitant pour traiter les Données personnelles en son nom et pour son compte en vue d’atteindre les Finalités autorisées visées à l’Annexe du présent Accord dans le cadre de la réalisation des Services.

3.2. Le Client s’engage à transmettre à LABOCAST le nom et les coordonnées de son délégué à la protection des données, s’il en a désigné un.

3.3. Le Client s’engage à ne communiquer à LABOCAST que les Données personnelles strictement nécessaires à la réalisation des Prestations, et s’assurera que les Personnes concernées se voient communiquer les informations relatives au Traitement au moment de la collecte des données. La responsabilité du Sous-traitant ne saurait en aucun cas être engagée à ce titre, ce que le Client reconnait et accepte expressément.

4. CONSIGNES ET CONFORMITE

4.1. Dans le cadre de la mise en œuvre des opérations de Traitement, le Sous-traitant et le Responsable de traitement s’engagent à :

• Respecter la Réglementation sur la protection des données ;
• Coopérer et se conformer aux instructions ou aux décisions de toute Autorité de régulation.

4.2. En sa qualité de Sous-traitant, LABOCAST s’engage auprès du Responsable de traitement à :

• Traiter uniquement les Données personnelles nécessaires aux Finalités autorisées, conformément aux Instructions, et s’interdit de traiter les Données personnelles à d’autres fins à moins qu’elle ne soit tenue d’y procéder en vertu du droit de l’Union ou du droit de l’État membre auquel elle est soumise. Dans ce cas, le Sous-traitant informe le Responsable de traitement de cette obligation juridique avant le Traitement, sauf si la loi le lui interdit pour des motifs importants d’intérêt public ;
• Préserver la confidentialité des Données personnelles traitées dans le cadre du présent Accord ;
• Veiller à ce que les personnes autorisées à traiter les Données personnelles en vertu du présent Accord s’engagent à respecter leur confidentialité ou soient soumises à une obligation légale appropriée de confidentialité ;
• Respecter les Instructions formulées par le Responsable de traitement, et s’assurer de leur respect par les Destinataires autorisés et Sous-traitants ultérieurs. Des instructions peuvent également être données ultérieurement par le Responsable de traitement pendant toute la durée du Traitement. Ces instructions doivent toujours être documentées.

5. COOPERATION ET ASSISTANCE

5.1. Chaque Partie s’engage à :

• Désigner un interlocuteur privilégié chargé de la représenter auprès de l’autre Partie ;
• Adhérer et participer activement à une logique de coopération afin de s’assurer du respect de la Réglementation sur la protection des Données personnelles et des bonnes pratiques préconisées par l’autre Partie dans le cadre de cette règlementation. Chaque Partie doit particulièrement fournir à l’autre une pleine coopération, des informations et une assistance en cas de plainte, de demande d’avis, de communication, ou de faille réelle ou présumée de sécurité affectant des Données personnelles.

5.2. En sus des obligations listées à l’article 5.1 susvisé, le Sous-traitant s’engage auprès du Responsable de traitement à :

• Informer le Responsable de traitement dans un délai raisonnable :
• Si des Instructions délivrées par lui relatives aux Traitements sont illégales ou lui paraissent contraires à la Réglementation sur la protection des données ;
• En cas de survenance d’une Violation de Données personnelle, ou en cas de survenance d’une faille de sécurité affectant le système informatique du Sous-traitant ou de l’un de ses Sous-traitants ultérieurs, et ce immédiatement après en avoir eu connaissance dans les conditions prévues à l’article 6.2 du présent Accord ;
• Si le Sous-traitant reçoit une plainte, un avis ou une communication d’une Personne concernée dans le cadre de l’exercice de ses droits, ou d’une Autorité de régulation qui concerne directement ou indirectement le Traitement ou la conformité de l’une des Parties à la Réglementation sur la protection des données dans le cadre du Traitement.
• Aider le Responsable de traitement à respecter les obligations qui lui incombent au titre de la Règlementation sur la protection des données en tenant compte de la nature du Traitement et des informations mises à la disposition du Sous-traitant et des Sous-traitants ultérieurs. Cette assistance peut inclure la fourniture d’informations et la réalisation d’analyses d’impact en relation avec les opérations de Traitement mis en œuvre par un sous-traitant, ou un Sous-traitant ultérieur.

5.3. Le Responsable de traitement est informé que toute demande d’aide et d’assistance formulée pourra, selon la complexité de celle-ci, faire l’objet d’une facturation supplémentaire des Services.

6. SECURITE

6.1. Le Sous-traitant s’engage auprès du Responsable de traitement à :

• S’assurer que des mesures techniques et organisationnelles appropriées ont été mises en place pour garantir un niveau de sécurité adapté au risque, répondant aux attentes raisonnables de l’état de l’art au regard des risques engendrés par les Traitements et dans le cadre de la Réglementation sur la protection des données.
• S’assurer que les Sous-traitants ultérieurs mettent en œuvre et maintiennent à jour des Mesures de sécurité conformes à ce qui peut être attendu par l’état de l’art eu égard aux risques générés par les Traitements.

6.2. En cas de survenance d’une Violation de données personnelles qualifiée affectant les Services, le Sous-traitant s’engage à :

• Notifier le Responsable de traitement de toute faille de sécurité pouvant entraîner une Violation de Données personnelles dans les meilleurs délais suivant la connaissance de ladite faille ;
• Accompagner la notification de toute documentation utile afin de permettre au Responsable de traitement, si nécessaire, de procéder à une notification de cette violation auprès de l’Autorité de contrôle compétente ou de la Personne concernée.

A ce titre, le Sous-traitant précisera dans la mesure du possible au regard de son état de connaissance les points suivants :

• la description de la nature de la Violation de Données personnelles y compris, si possible, les catégories et le nombre approximatif de Personnes concernées par la violation et les catégories et le nombre approximatif d’enregistrements de Données personnelles concernés ;
• le nom et les coordonnées du délégué à la protection des données et/ou d’un autre point de contact auprès duquel des informations supplémentaires peuvent être obtenues ;
• la description des conséquences probables de la Violation de Données personnelles ; et
• la description des mesures prises ou envisagées par le Sous-traitant pour remédier à la Violation de Données personnelles, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives.
• Communiquer les informations définies ci-avant de manière échelonnée et sans autre retard indu dans le cas où il n’est pas possible pour le Sous-traitant de fournir toutes les informations précisées en même temps, ou si des précisions peuvent être apportées sur certains éléments déjà communiqués.

7. DESTINATAIRES DES DONNEES PERSONNELLES

7.1. Le Sous-traitant garantit au Responsable de traitement qu’il :

• Restreint l’accès aux Données personnelles aux seuls Destinataires autorisés et Sous-traitants ultérieurs ayant besoin d’avoir accès aux Données ;
• N’accorde aux membres de son personnel l’accès aux Données personnelles faisant l’objet du Traitement que dans la mesure strictement nécessaire à l’exécution, à la gestion et au suivi du Contrat ; et
• Impose aux Sous-traitants ultérieurs des obligations de confidentialité et de sécurité juridiquement contraignantes équivalentes à celles contenues dans le présent Accord ;

7.2 Dans le cadre de la réalisation des Services, le Sous-traitant est expressément autorisé par le Responsable de traitement à désigner un ou plusieurs Sous-traitants ultérieurs pour traiter les Données personnelles. Les Sous-traitants ultérieurs seront désignés :

• à condition qu’un contrat ou tout autre acte juridique contraignant soit conclu avec le Sous-traitant ultérieur avant qu’il ne transfère ou n’accède à des Données personnelles, et que ledit contrat contienne des obligations relatives au Traitement qui sont au moins équivalentes à celles énoncées dans le présent Accord ; et
• à condition que le Sous-traitant veille à ce que le Sous-traitant ultérieur respecte les obligations en matière de protection des Données personnelles et de confidentialité, énoncées dans le contrat de sous-traitance ultérieure.

7.3. Toute sous-traitance ultérieure qui serait réalisée dans le cadre des Services ne libère pas le Sous-traitant de ses responsabilités et obligations envers le Responsable de traitement en vertu du présent Accord.

8. PERSONNES CONCERNEES

8.1. Le Sous-traitant prête assistance au Responsable de traitement pour ce qui est de remplir l’obligation qui lui incombe de répondre aux demandes des Personnes concernées d’exercer leurs droits, en tenant compte de la nature du Traitement.

8.2. Dans l’exécution de ses obligations, le Sous-traitant se conforme aux instructions du Responsable de traitement conformément à l’Article 4.2 des présentes.

8.3. Il incombe au Client de fournir l’information aux Personnes concernées par les opérations de Traitement au moment de la collecte des Données personnelles.

8.4. Toute opération réalisée par le Sous-traitant dans le cadre d’une demande d’exercice de droit pourra, le cas échéant, donner lieu à une facturation complémentaire compte tenu des investigations techniques réalisées à la demande du Responsable de traitement.

9. TRANSFERTS VERS LES PAYS TIERS

9.1. Tout transfert de données vers un pays tiers ou une organisation internationale par le Sous-traitant n’est effectué que sur la base d’instructions documentées du Responsable du traitement ou afin de satisfaire à une exigence spécifique du droit de l’Union ou du droit de l’État membre à laquelle le Sous-traitant est soumis et s’effectue conformément à la Règlementation sur la protection des données.

9.2. Le Responsable du traitement convient que lorsque le Sous-traitant recrute un Sous-traitant ultérieur et que ces activités de traitement impliquent un transfert de données à caractère personnel, le Sous-traitant et le Sous-traitant ultérieur peuvent garantir le respect de la Règlementation sur la protection des données et notamment en utilisant un instrument juridique contraignant prévu par la Règlementation sur la protection des données.

10. AUDIT ET CONTROLE

10.1. Le Sous-traitant met à la disposition du Responsable de traitement toutes les informations nécessaires pour démontrer le respect de ses obligations en tant que Sous-traitant.

10.2. Le Responsable de traitement peut commander la réalisation d’audits sur pièces afin de s’assurer du niveau de conformité du Sous-traitant. Ne sont pas concernées par l’audit sur pièces les éléments confidentiels confiés au Sous-traitant par d’autres clients.

10.3. Le Client peut commander la réalisation d’audits objectifs de conformité à la Réglementation sur la protection des données sur les opérations de Traitement réalisées aux fins de l’exécution des Services dans les conditions définies ci-après :

• L’audit est diligenté par un auditeur extérieur sélectionné ensemble par les Parties pour son expertise, son indépendance et son impartialité ;
• L’auditeur sélectionné est lié au Parties par un accord de confidentialité et/ou par le secret professionnel ;
• Le Responsable de traitement avise, par écrit et moyennant le respect d’un préavis minimum de quinze (15) jours ouvrés, le Sous-traitant de son intention de faire procéder à un audit de conformité ;
• En aucune manière, l’audit réalisé ne saurait détériorer ou ralentir les Services proposés par le Sous-traitant ou porter atteinte à la gestion organisationnelle du Sous-traitant. Les opérations d’audit ne devront pas comporter d’actions pouvant potentiellement endommager l’infrastructure du Sous-traitant ni interférer avec les autres Services procurés par le Sous-traitant à ses autres clients ;
• Un exemplaire du rapport d’audit identique est remis au Responsable de traitement ainsi qu’au Sous-traitant suite à la réalisation de la mission d’audit. Les Parties pourront formuler leurs observations au sujet du rapport d’audit.
• Les frais de l’audit de conformité seront à la charge exclusive du Responsable de traitement ;
• Le Responsable de traitement pourra réaliser jusqu’à un (1) audit par an pendant toute la durée du Contrat ; et
• Le Sous-traitant disposera d’un délai déterminé conjointement par les Parties à compter de la communication du rapport d’audit pour corriger à ses frais les manquements et/ou non-conformités constatés. Le cas échéant, le Sous-traitant pourra allonger ce délai après avoir expressément informé le Responsable de traitement et justifier objectivement un tel allongement.

10.4. Dans l’hypothèse d’un contrôle réalisé par une Autorité de régulation compétente pouvant intéresser les Traitements du Responsable de traitement, le Sous-traitant s’engage à coopérer pleinement avec l’Autorité de régulation.

11. RESPONSABILITE

11.1. Le Sous-traitant accepte d’indemniser le Client des seuls dommages directs matériels et immatériels subis par lui et ayant pour origine un défaut ou une négligence du Sous-traitant, de ses employés, de ses représentants, de ses agents ou de ses Sous-traitants ultérieurs dans la sécurité des Données personnelles.

11.2. Le Sous-traitant s’engage à mettre en œuvre tous les moyens nécessaires et raisonnables pour assurer la sécurité des Traitements, et sera dès lors responsable des dommages liés à une défaillance de sécurité imputable exclusivement au Sous-traitant entrainant une indisponibilité, une perte de traçabilité, un doute sur l’intégrité ou un défaut de confidentialité des Données personnelles. Il est néanmoins expressément convenu entre les Parties que le risque zéro en matière de sécurité n’existe pas et que le Sous-traitant reste soumis à une obligation de moyens. Il ne saurait non plus être responsable des dommages liés à une défaillance de sécurité qui serait imputables aux choix technologiques, logiciels ou informatiques opérés par le Client.

12. SORT DES DONNEES

12.1. À l’expiration ou à la résiliation du Contrat pour quelque raison que ce soit, selon le choix du Responsable de traitement, le Sous-traitant s’engage à :

• supprimer, dans un délai raisonnable, toutes les Données personnelles pour le compte du Responsable de traitement et certifier auprès de celui-ci dans un délai raisonnable qu’il a procédé à cette suppression ; ou
• renvoyer toutes les Données personnelles au Responsable de traitement et détruire les copies existantes, à moins que le droit de l’Union ou le droit national n’impose de les conserver plus longtemps.

12.2. A défaut d’instructions spécifiques concernant la réversibilité des Données personnelles ou de leur reprise, le Sous-traitant procèdera à la suppression définitive de l’ensemble des Données personnelles dans les meilleurs délais à compter de la fin du ou des Traitements à moins que le droit de l’Union ou le droit de l’Etat-membre applicable n’en dispose autrement.

Les copies existantes des Données personnelles pourront faire l’objet d’une conservation par le Sous-traitant en bases archivées à des fins probatoires pour les délais de prescription légale applicables, à moins que le droit de l’Union Européenne ou le droit français n’exige la conservation de certaines Données personnelles pour des délais plus longs.

13. MODIFICATION DE L’ACCORD

13.1 Cet Accord peut être modifié par voie d’avenant écrit signé par les représentants dûment autorisés de chacune des Parties.

13.2 En cas de modification de la Réglementation sur la protection des données, il est convenu que les Parties pourront réviser les dispositions du présent Accord et négocier de bonne foi pour se conformer à la Réglementation sur la protection des données mise à jour.

14. DROIT APPLICABLE ET JURIDICTION COMPETENTE

14.1. LE PRESENT ACCORD SERA REGI ET INTERPRETE CONFORMEMENT A LA LOI FRANÇAISE ET TOUT LITIGE DECOULANT DE OU EN RELATION AVEC LE PRESENT ACCORD SERA SOUMIS A LA JURIDICTION EXCLUSIVE DES TRIBUNAUX FRANÇAIS, AINSI QU’A LA COMMISSION NATIONALE INFORMATIQUE ET LIBERTES (CNIL) AUXQUELLES CHACUNE DES PARTIES SE SOUMET IRREVOCABLEMENT.

14.2. AVANT TOUTE ACTION CONTENTIEUSE, LES PARTIES CHERCHERONT, DE BONNE FOI, A REGLER A L’AMIABLE LEURS DIFFERENDS RELATIFS A LA VALIDITE, L’INTERPRETATION, L’EXECUTION, L’INEXECUTION, L’INTERRUPTION, LA RESILIATION OU LA DENONCIATION DU PRESENT CONTRAT AINSI QU’A LA CESSATION PARTIELLE OU TOTALE DES RELATIONS COMMERCIALES ENTRE LES PARTIES ET CE, POUR QUELQUES CAUSES ET SUR QUELQUES FONDEMENTS QUE CE SOIENT. LES PARTIES DEVRONT SE REUNIR AFIN DE CONFRONTER LEURS POINTS DE VUE ET EFFECTUER TOUTES CONSTATATIONS UTILES POUR LEUR PERMETTRE DE TROUVER UNE SOLUTION AU CONFLIT QUI LES OPPOSE.

14.3. LES PARTIES S’EFFORCERONT DE TROUVER UN ACCORD AMIABLE DANS UN DELAI DE TRENTE (30) JOURS A COMPTER DE LA NOTIFICATION PAR L’UNE D’ELLE DE LA NECESSITE D’UN ACCORD AMIABLE, PAR LETTRE RECOMMANDEE AVEC AVIS DE RECEPTION.