Accord de traitement des données (DPA)

1. Relations entre responsable de traitement et sous-traitant

• Le Fournisseur en tant que sous-traitant. Dans les situations où le Client est responsable du traitement des Données personnelles du Client, le Fournisseur sera considéré comme un sous-traitant traitant des Données personnelles pour le compte du Client.
  ‍
• Le Fournisseur en tant que sous-traitant ultérieur. Dans les situations où le Client est un sous-traitant des Données personnelles du Client, le Fournisseur sera considéré comme un sous-traitant ultérieur des Données personnelles du Client.
  ‍
• Le Fournisseur en tant que responsable de traitement. Lorsque le Fournisseur traite des Données personnelles appartenant au Client, ou fournies par celui-ci, aux fins d'exploitation et de fourniture de sa propre activité et du Produit (y compris la gestion des clients et des comptes, les services d'assistance, les activités marketing connexes ou lorsque les personnes concernées créent leurs propres comptes auprès du Fournisseur), le Fournisseur agit en tant que responsable du traitement de ces Données personnelles et les traitera conformément à sa Politique de confidentialité, telle que modifiée de temps à autre.

2. Traitement

• Détails du traitement. La partie A de l'Annexe 1 du présent DPA décrit l'objet, la nature, la finalité et la durée de ce Traitement, ainsi que les catégories de Données personnelles collectées et les catégories de personnes concernées.
  ‍
• Instructions de traitement. Le Client donne instruction au Fournisseur de traiter les Données personnelles du Client : (a) pour fournir et maintenir le Produit ; (b) tel que cela peut être précisé davantage par l'utilisation du Produit par le Client ; (c) tel que documenté dans le Contrat ; et (d) tel que documenté dans toute autre instruction écrite donnée par le Client et reconnue par le Fournisseur concernant le traitement des Données personnelles du Client en vertu du présent DPA. Le Fournisseur se conformera à ces instructions, sauf interdiction par les lois applicables. Le Fournisseur informera immédiatement le Client s'il n'est pas en mesure de suivre les instructions de traitement. Si le Fournisseur estime qu'une instruction reçue du Client est susceptible d'enfreindre les lois applicables en matière de protection des données, il peut cesser de fournir la partie concernée du Produit jusqu'à ce que les parties soient convenues d'instructions modifiées et non contraires à la loi. Le Client a donné et ne donnera que des instructions conformes aux lois applicables.
  ‍
• Traitement par le Fournisseur. Le Fournisseur traitera les Données personnelles du Client uniquement conformément au présent DPA, y compris les détails figurant à l'Annexe 1. Si le Fournisseur met à jour le Produit pour actualiser des produits, fonctionnalités ou services existants ou en inclure de nouveaux, il pourra modifier les catégories de personnes concernées, les catégories de Données personnelles, les données de catégories particulières, les restrictions ou garanties relatives aux données de catégories particulières, la fréquence des transferts, la nature et la finalité du traitement, ainsi que la durée du traitement, selon les besoins pour refléter ces mises à jour, en notifiant le Client desdites mises à jour et modifications.
  ‍
• Traitement par le Client. Lorsque le Client agit en qualité de sous-traitant et le Fournisseur en qualité de sous-traitant ultérieur, le Client se conforme à toutes les lois applicables régissant le traitement des Données à caractère personnel du Client par le Client. Le contrat liant le Client à son responsable de traitement exige également que le Client se conforme à toutes les lois applicables auxquelles il est soumis en tant que sous-traitant. En outre, le Client respecte les exigences relatives aux sous-traitants ultérieurs stipulées dans son contrat avec le responsable de traitement.
  ‍
• Consentement au traitement. Le Client s'est conformé et continuera de se conformer à toutes les lois applicables en matière de protection des données concernant la fourniture des Données à caractère personnel du Client au Fournisseur et/ou au Produit, ce qui inclut la réalisation de toutes les divulgations nécessaires, l'obtention de tous les consentements, l'offre de choix appropriés et la mise en œuvre des garanties requises par les lois applicables en matière de protection des données.
  ‍
• Sous-traitants ultérieurs.‍
  
  • Le Fournisseur ne peut fournir, transférer ou transmettre aucune Donnée à caractère personnel du Client à un sous-traitant ultérieur sans l'approbation préalable du Client. La liste actuelle des sous-traitants ultérieurs approuvés figure à la partie C de l'annexe 1. Le Fournisseur informe le Client par écrit, au moins 10 jours à l'avance, de toute modification envisagée concernant les sous-traitants ultérieurs approuvés, qu'il s'agisse d'un ajout ou d'un remplacement, afin de permettre au Client de s'y opposer avant que le Fournisseur ne commence à recourir au(x) nouveau(x) sous-traitant(s). Le Fournisseur fournit au Client les informations nécessaires pour lui permettre d'exercer son droit d'opposition. Le Client dispose d'un délai de 10 jours après notification de la modification pour s'y opposer ; à défaut, les modifications sont réputées acceptées. Toute opposition du Client doit être fondée sur des motifs raisonnables relatifs à la conformité du sous-traitant concerné avec les lois applicables en matière de protection des données. Si le Client s'oppose à la modification pour de tels motifs, le Fournisseur déploiera des efforts commercialement raisonnables pour proposer une modification du Produit, ou pour recommander une modification commercialement raisonnable de la configuration ou de l'utilisation du Produit par le Client, afin d'éviter le traitement des Données à caractère personnel du Client par le sous-traitant contesté. Si le Fournisseur ne peut pas ou n'est pas en mesure de proposer une telle modification dans un délai raisonnable, le Client pourra, en guise de seul et unique recours, résilier la partie concernée du Produit qui ne peut être fournie sans le sous-traitant contesté, moyennant un préavis écrit d'au moins 30 jours adressé au Fournisseur. Une telle résiliation sera considérée comme une résiliation pour convenance du Client et ne sera pas considérée comme un manquement du Fournisseur ; le Client restera tenu de ses obligations de paiement en vertu du Contrat.
    
  • Lorsqu'il engage un sous-traitant ultérieur, le Fournisseur conclut avec celui-ci un accord écrit garantissant que le sous-traitant accède aux Données à caractère personnel du Client et les utilise uniquement (i) dans la mesure nécessaire à l'exécution des obligations qui lui sont sous-traitées, et (ii) conformément aux termes du Contrat.
  • Si le RGPD s'applique au traitement des Données à caractère personnel du Client, (i) les obligations en matière de protection des données décrites dans le présent DPA (telles que visées à l'article 28(3) du RGPD, le cas échéant) sont également imposées au sous-traitant ultérieur, et (ii) le contrat liant le Fournisseur au sous-traitant ultérieur intégrera ces obligations, y compris les modalités de coordination entre le Fournisseur et son sous-traitant pour répondre aux demandes ou requêtes concernant le traitement des Données à caractère personnel du Client. En outre, le Fournisseur partagera, à la demande du Client, une copie de ses contrats (y compris les éventuels avenants) avec ses sous-traitants ultérieurs. Dans la mesure nécessaire à la protection des secrets d'affaires ou d'autres informations confidentielles, y compris les données à caractère personnel, le Fournisseur pourra occulter le texte de son contrat avec le sous-traitant avant d'en partager une copie.
  • Le Fournisseur demeure pleinement responsable de toutes les obligations sous-traitées à ses sous-traitants ultérieurs, y compris des actes et omissions de ces derniers dans le cadre du traitement des Données à caractère personnel du Client. Le Fournisseur informera le Client de tout manquement de ses sous-traitants ultérieurs à une obligation essentielle concernant les Données à caractère personnel du Client en vertu du contrat liant le Fournisseur au sous-traitant.

3. Transferts restreints

1. Autorisation. Le Client accepte que le Fournisseur puisse transférer des Données à caractère personnel du Client en dehors de l'EEE, du Royaume-Uni ou de tout autre territoire géographique pertinent, si cela est nécessaire à la fourniture du Produit. Si le Fournisseur transfère des Données à caractère personnel du Client vers un territoire pour lequel la Commission européenne ou toute autre autorité de contrôle compétente n'a pas rendu de décision d'adéquation, le Fournisseur mettra en œuvre des garanties appropriées pour le transfert de ces données, conformément aux lois applicables en matière de protection des données.
   ‍
2. Transferts hors EEE. Le Client et le Fournisseur conviennent que si le RGPD protège le transfert des Données à caractère personnel du Client, que le transfert s'effectue depuis le Client situé dans l'EEE vers le Fournisseur situé hors de l'EEE, et que le transfert n'est pas régi par une décision d'adéquation de la Commission européenne, alors, en signant le présent DPA, le Client et le Fournisseur sont réputés avoir signé les clauses contractuelles types (CCT) de l'EEE et leurs annexes, qui sont incorporées par référence. Tout transfert de ce type est effectué conformément aux CCT de l'EEE, complétées comme suit :
   
   1. Le module deux (responsable de traitement à sous-traitant) des CCT de l'EEE s'applique lorsque le Client agit en tant que responsable de traitement et que le Fournisseur traite les Données à caractère personnel du Client pour le compte du Client en tant que sous-traitant.
   2. Le module trois (sous-traitant à sous-traitant) des CCT de l'EEE s'applique lorsque le Client agit en tant que sous-traitant et que le Fournisseur traite des données à caractère personnel du Client pour le compte de ce dernier en qualité de sous-traitant ultérieur.
   3. Pour chaque module, les dispositions suivantes s'appliquent (le cas échéant) :
      
      1. La clause d'adhésion facultative de la clause 7 s'applique ;
      2. À la clause 9, l'option 2 (autorisation écrite générale) s'applique, et le délai minimal de préavis pour tout changement de sous-traitant est de 10 jours ;
      3. À la clause 11, la mention facultative ne s'applique pas ;
      4. Tous les crochets de la clause 13 sont supprimés ;
      5. À la clause 13, l'autorité de contrôle compétente est l'Autorité de protection des données belge ;
      6. À la clause 17 (option 1), les CCT de l'EEE sont régies par le droit belge ;
      7. À la clause 18(b), les litiges seront tranchés par les tribunaux belges ; et
      8. L'annexe 1 du présent DPA contient les informations requises aux annexes I, II et III des CCT de l'EEE.
         ‍‍
3. Transferts hors Royaume-Uni. Le Client et le Fournisseur conviennent que si le RGPD britannique protège le transfert de données à caractère personnel du Client, que le transfert est effectué par le Client depuis le Royaume-Uni vers le Fournisseur situé en dehors du Royaume-Uni, et que le transfert n'est pas régi par une décision d'adéquation prise par le Secrétaire d'État britannique, alors, en concluant le présent DPA, le Client et le Fournisseur sont réputés avoir signé l'Addendum britannique et ses annexes, qui sont intégrés par référence. Tout transfert de ce type est effectué conformément à l'Addendum britannique, complété comme suit :
   
   1. La section 3.2 du présent DPA contient les informations requises dans le tableau 2 de l'Addendum britannique.
   2. Le tableau 4 de l'Addendum britannique est modifié comme suit : l'Importateur et/ou l'Exportateur peuvent mettre fin à l'Addendum britannique conformément à la section 19 dudit Addendum ; dans la mesure où l'ICO publie une version révisée de l'Addendum approuvé en vertu de la section 18 de l'Addendum britannique, les parties s'efforceront de bonne foi de réviser le présent DPA en conséquence.
   3. L'annexe 1 du présent DPA contient les informations requises par les annexes 1A, 1B, II et III de l'Addendum britannique.
   4. Pour éviter toute ambiguïté, la clause d'adhésion facultative de la clause 7 des CCT de l'UE approuvées, telle qu'intégrée par l'Addendum britannique, s'applique.‍
      ‍
4. Autres transferts internationaux. Pour les transferts de données personnelles lorsque le droit suisse (et non le droit d'un État membre de l'EEE ou du Royaume-Uni) s'applique à la nature internationale du transfert, les références au RGPD dans la clause 4 des CCT de l'EEE sont, dans la mesure où la loi l'exige, modifiées pour faire référence à la Loi fédérale suisse sur la protection des données ou à son successeur, et le concept d'autorité de contrôle inclura le Préposé fédéral à la protection des données et à la transparence.

4. Gestion des incidents de sécurité

• Dès qu'il a connaissance d'un incident de sécurité, le Prestataire : (a) en informera le Client sans délai injustifié ; (b) fournira des informations en temps utile sur l'incident de sécurité à mesure qu'elles seront connues ou raisonnablement demandées par le Client ; et (c) prendra rapidement des mesures raisonnables pour contenir et enquêter sur l'incident de sécurité. La notification ou la réponse du Prestataire à un incident de sécurité, telle que requise par le présent DPA, ne sera pas interprétée comme une reconnaissance par le Prestataire d'une quelconque faute ou responsabilité concernant ledit incident.

5. Audit et rapports

• Droits d'audit. Le Prestataire fournira au Client toutes les informations raisonnablement nécessaires pour démontrer sa conformité au présent DPA et autorisera et contribuera aux audits, y compris les inspections effectuées par le Client, afin d'évaluer la conformité du Prestataire au présent DPA. Tout audit sera effectué moyennant un préavis raisonnable, pendant les heures normales de bureau et de manière à perturber le moins possible l'activité du Prestataire, sauf si l'audit concerne ou fait suite à un incident de sécurité. Toutefois, le Prestataire peut restreindre l'accès aux données ou aux informations si l'accès du Client à ces informations devait nuire aux droits de propriété intellectuelle, aux obligations de confidentialité ou à d'autres obligations du Prestataire en vertu des lois applicables. Le Client reconnaît et accepte qu'il n'exercera ses droits d'audit en vertu du présent DPA et tout droit d'audit accordé par les lois applicables sur la protection des données qu'en demandant au Prestataire de se conformer aux exigences de rapport et de diligence raisonnable ci-dessous. 
  ‍
• Rapports de sécurité. Le Client reconnaît que le Prestataire examine régulièrement ses normes de sécurité par rapport aux normes définies dans sa Politique de sécurité figurant à la partie B de l'annexe 1. Sur demande écrite, le Prestataire remettra au Client, sur une base confidentielle, une copie résumée de son rapport en vigueur afin que le Client puisse vérifier la conformité du Prestataire aux normes définies dans la Politique de sécurité.
  ‍
• Diligence raisonnable en matière de sécurité. En plus de ses engagements au titre de la présente section 5, le Prestataire répondra aux demandes d'informations raisonnables formulées par le Client pour confirmer la conformité du Prestataire au présent DPA, notamment en répondant aux questionnaires sur la sécurité de l'information, la diligence raisonnable et l'audit, ou en fournissant des informations supplémentaires sur son programme de sécurité de l'information. Toutes ces demandes doivent être faites par écrit au Prestataire à l'adresse dpo@wiggli.io et ne peuvent être effectuées qu'une fois par an.

6. Coordination et coopération

• Réponse aux demandes. Si le Prestataire reçoit une demande ou une requête de la part d'un tiers concernant le traitement des données personnelles du Client, le Prestataire en informera le Client et ne répondra pas à la demande sans le consentement préalable du Client. Ces demandes incluent, par exemple, une ordonnance judiciaire, administrative ou réglementaire concernant les données personnelles du Client lorsque la notification au Client n'est pas interdite par la loi applicable, ou une demande émanant d'une personne concernée. Si la loi applicable le permet, le Prestataire suivra les instructions raisonnables du Client concernant ces demandes, notamment en fournissant des mises à jour sur l'état d'avancement et d'autres informations raisonnablement demandées par le Client. Si une personne concernée formule une demande valide en vertu des lois applicables sur la protection des données pour supprimer ou refuser que le Client transmette ses données personnelles au Prestataire, le Prestataire aidera le Client à satisfaire cette demande conformément à la loi applicable sur la protection des données. Le Prestataire coopérera avec le Client et lui apportera une assistance raisonnable, aux frais du Client, dans le cadre de toute réponse juridique ou autre action procédurale entreprise par le Client en réaction à une demande d'un tiers concernant le traitement des données personnelles du Client par le Prestataire en vertu du présent DPA.
  ‍
• AIPD et ETI. Si les lois applicables sur la protection des données l'exigent, le Prestataire aidera raisonnablement le Client, aux frais de ce dernier, à mener toute analyse d'impact relative à la protection des données ou toute évaluation de l'impact des transferts de données requise, ainsi qu'à mener des consultations avec les autorités de protection des données compétentes, en tenant compte de la nature du traitement et des données personnelles du Client.

‍

7. Suppression des données personnelles du client

• Suppression par le client. Le fournisseur permettra au client de supprimer les données personnelles du client conformément aux fonctionnalités du produit. Le fournisseur se conformera à cette instruction dans les meilleurs délais, sauf si la législation applicable exige la conservation ultérieure des données personnelles du client.
  ‍
• Suppression à l'expiration de DPA.

1. À l'expiration de DPA, le fournisseur restituera ou supprimera les données personnelles du client selon les instructions de ce dernier, sauf si la législation applicable exige ou autorise la conservation ultérieure de ces données. Si la restitution ou la destruction est impossible ou interdite par la législation applicable, le fournisseur déploiera des efforts raisonnables pour empêcher tout traitement supplémentaire des données personnelles du client et continuera de protéger les données personnelles du client restant en sa possession, sous sa garde ou sous son contrôle. Par exemple, la législation applicable peut exiger que le fournisseur continue d'héberger ou de traiter les données personnelles du client.
2. L'obligation de restituer ou de supprimer les données personnelles du client ne s'applique pas dans la mesure où : (a) le fournisseur agit en tant que responsable du traitement de certaines données personnelles, auquel cas ces données seront conservées conformément à la politique de confidentialité du fournisseur ; ou (b) les données personnelles du client ont été anonymisées ou agrégées de telle sorte qu'aucune personne concernée ou aucun client ne puisse être identifié personnellement et individuellement (« Données agrégées »). Les données agrégées ne constituent pas des données personnelles aux fins des lois applicables sur la protection des données, et le client reconnaît que le fournisseur peut traiter les données agrégées comme il l'entend, y compris pour ses propres besoins commerciaux et l'amélioration de ses produits. Si le client n'exerce pas son option de restitution ou de suppression dans les 30 jours suivant l'expiration ou la résiliation du DPA, le fournisseur n'aura plus aucune obligation de conserver les données personnelles du client et pourra procéder à leur suppression.
3. Si le client et le fournisseur ont conclu les clauses contractuelles types (CCT) de l'EEE ou l'avenant britannique dans le cadre du présent DPA, le fournisseur ne fournira au client la certification de suppression des données personnelles décrite aux clauses 8.1(d) et 8.5 des CCT de l'EEE que si le client en fait la demande.

‍

8. Limitation de responsabilité

• Plafonds de responsabilité et exclusion de dommages. Dans toute la mesure permise par les lois applicables sur la protection des données, la responsabilité totale cumulée de chaque partie envers l'autre partie découlant du présent DPA ou liée à celui-ci sera soumise aux renonciations, exclusions et limitations de responsabilité énoncées dans le contrat.
  ‍
• Réclamations des parties liées. Toute réclamation formulée à l'encontre du fournisseur ou de ses sociétés affiliées découlant du présent DPA ou liée à celui-ci ne peut être introduite que par l'entité cliente partie au contrat.
  ‍
• Responsabilité distincte des responsables du traitement. Lorsque les parties agissent en tant que responsables du traitement distincts (ou sont considérées comme responsables conjoints du traitement) de toute donnée personnelle ou donnée personnelle du client, chaque partie n'est responsable que de ses propres violations des lois applicables sur la protection des données ou du présent DPA et ne sera pas solidairement responsable de la violation de l'autre partie. Chaque partie indemnisera et dégagera l'autre partie de toute responsabilité concernant les pertes subies par cette dernière à la suite d'une violation par la première partie des lois applicables sur la protection des données découlant du traitement des données personnelles ou des données personnelles du client par la première partie, ou en lien avec celui-ci.
  ‍
• ExceptionsLe présent DPA ne limite aucune responsabilité envers une personne physique concernant ses droits en matière de protection des données en vertu des lois applicables sur la protection des données. En outre, le présent DPA ne limite aucune responsabilité entre les parties en cas de violation des CCT de l'EEE ou de l'Addendum britannique.

9. Conflits entre documents

• Le présent DPA fait partie intégrante du Contrat et le complète. En cas d'incohérence entre le présent DPA, le Contrat ou l'une de leurs parties, la partie mentionnée en premier prévaudra sur la partie mentionnée en dernier pour ladite incohérence : (1) les CCT de l'EEE ou l'Addendum britannique, (2) le présent DPA, puis (3) le Contrat.

10. Durée du contrat

• Le présent DPA prendra effet à la date d'entrée en vigueur du Contrat entre le Client et le Prestataire et restera en vigueur jusqu'à l'expiration ou la résiliation du Contrat. Toutefois, le Prestataire et le Client resteront chacun soumis aux obligations énoncées dans le présent DPA et dans les lois applicables sur la protection des données jusqu'à ce que le Client cesse de transférer des Données personnelles du Client au Prestataire et que le Prestataire cesse de traiter les Données personnelles du Client.

11. Définitions

• « Lois applicables » désigne les lois, règles, réglementations, ordonnances judiciaires et autres exigences contraignantes d'une autorité gouvernementale compétente qui s'appliquent à une partie ou la régissent.
• « Lois applicables sur la protection des données » désigne les Lois applicables qui régissent la manière dont le Produit peut traiter ou utiliser les informations personnelles, les données personnelles, les informations personnellement identifiables ou tout autre terme similaire d'une personne physique.
• « Responsable du traitement » aura la ou les significations données dans les Lois applicables sur la protection des données pour l'entreprise qui détermine la finalité et l'étendue du traitement des Données personnelles.
• « Données personnelles du Client » désigne les Données personnelles que le Client télécharge ou fournit au Prestataire dans le cadre du Produit et qui sont régies par le présent DPA.
• « DPA » désigne les présentes Conditions standard de DPA, toute annexe ou tout calendrier joint au présent DPA, ainsi que les politiques et documents référencés dans ou joints au présent DPA.
• « CCS EEE » désigne les clauses contractuelles types annexées à la décision d'exécution 2021/914 de la Commission européenne du 4 juin 2021 relative aux clauses contractuelles types pour le transfert de données à caractère personnel vers des pays tiers en vertu du règlement (UE) 2016/679 du Parlement européen et du Conseil.
• « Espace économique européen » ou « EEE » désigne les États membres de l'Union européenne, la Norvège, l'Islande et le Liechtenstein.
• « RGPD » désigne le règlement (UE) 2016/679 tel que mis en œuvre par la législation locale dans l'État membre de l'EEE concerné.
• « Données à caractère personnel » auront la ou les significations données dans les lois applicables en matière de protection des données pour les termes « informations personnelles », « données à caractère personnel » ou tout autre terme similaire.
• « Traitement » ou « Traiter » auront la ou les significations données dans les lois applicables en matière de protection des données pour toute utilisation ou opération informatique effectuée sur des données à caractère personnel, y compris par des moyens automatisés.
• « Sous-traitant » aura la ou les significations données dans les lois applicables en matière de protection des données pour l'entreprise qui traite des données à caractère personnel pour le compte du responsable du traitement.
• « Transfert restreint » désigne (a) lorsque le RGPD s'applique, un transfert de données à caractère personnel depuis l'EEE vers un pays situé en dehors de l'EEE qui ne fait pas l'objet d'une décision d'adéquation de la Commission européenne ; et (b) lorsque le RGPD britannique s'applique, un transfert de données à caractère personnel depuis le Royaume-Uni vers tout autre pays qui ne fait pas l'objet de réglementations d'adéquation adoptées en vertu de l'article 17A de la loi britannique sur la protection des données de 2018 (Data Protection Act 2018).
• « Incident de sécurité » désigne une violation de données à caractère personnel telle que définie à l'article 4 du RGPD.
• « Produit » a la signification qui lui est attribuée dans le Contrat.
• « Catégories particulières de données » a la signification qui lui est donnée à l'article 9 du RGPD.
• « Sous-traitant ultérieur » a la signification donnée par les lois applicables en matière de protection des données à une société qui, avec l'approbation et l'acceptation du responsable du traitement, aide le sous-traitant à traiter des données à caractère personnel pour le compte du responsable du traitement.
• « RGPD britannique » désigne le règlement (UE) 2016/679 tel que mis en œuvre par l'article 3 de la loi de 2018 sur le retrait de l'Union européenne (European Union (Withdrawal) Act 2018) au Royaume-Uni.
• « Addendum britannique » désigne l'addendum relatif au transfert international de données aux CCT de l'EEE, émis par l'Information Commissioner pour les parties effectuant des transferts restreints en vertu de l'article 119A(1) de la loi de 2018 sur la protection des données (Data Protection Act 2018).

ANNEXE 1 – DÉTAILS DU TRAITEMENT ET INFORMATIONS SUR LE TRANSFERT

La présente Annexe 1 est intégrée au présent DPA et en fait partie intégrante. Elle contient les informations requises par l'Annexe I (parties A, B et C), l'Annexe II et l'Annexe III des CCT de l'EEE, ainsi que par l'Annexe 1A, l'Annexe 1B, l'Annexe II et l'Annexe III de l'Addendum britannique. Les termes en majuscules utilisés dans la présente Annexe 1 ont la signification qui leur est donnée dans le présent DPA ou dans le Contrat.

Partie A – Liste des parties et description du traitement (Annexe I.A et I.B des CCT de l'EEE ; Annexe 1A et 1B de l'Addendum britannique)

A.1 Liste des parties.

Exportateur de données : Client, tel qu'identifié dans le Contrat. Adresse, nom, fonction et coordonnées de la personne à contacter : tels qu'indiqués dans le Contrat. Activités pertinentes pour les données transférées : réception du Produit dans le cadre du Contrat. Rôle : Responsable du traitement (ou sous-traitant, lorsque le Client traite des données à caractère personnel du Client pour le compte de son propre responsable du traitement).

Importateur de données : Prestataire, tel qu'identifié dans le Contrat. Adresse, nom, fonction et coordonnées de la personne à contacter : tels qu'indiqués dans le Contrat. Activités pertinentes pour les données transférées : fourniture du Produit dans le cadre du Contrat. Rôle : Sous-traitant (ou sous-traitant ultérieur, lorsque le Client est un sous-traitant).

A.2 Description du transfert.

Catégories de personnes concernées : les personnes concernées du Client, qui peuvent inclure les employés, contractuels, freelances, candidats et postulants du Client. Le Produit n'est pas destiné aux adultes vulnérables ou aux enfants.

Catégories de données personnelles : prénom, nom, photo, adresse, adresse e-mail, numéro de téléphone, genre, nationalité, date et lieu de naissance, et intitulé de poste, ainsi que toute autre donnée personnelle que le Client choisit de soumettre au Produit.

Catégories particulières de données : aucune, sauf accord écrit contraire entre les parties. Lorsque des catégories particulières de données sont traitées, les restrictions ou garanties appliquées sont celles énoncées dans la Partie B.

Fréquence du transfert : sur une base continue pendant toute la durée du Produit.

Nature et finalité du traitement : permettre au Fournisseur de fournir, maintenir et prendre en charge le Produit et d'exécuter ses obligations au titre du Contrat.

Objet du traitement : la fourniture du Produit dans le cadre du Contrat.

Durée du traitement : pour la durée du Contrat et aussi longtemps que le Fournisseur détient des données personnelles du Client, sous réserve des obligations de suppression et de restitution prévues dans le présent DPA.

Transferts aux sous-traitants ultérieurs : l'objet, la nature et la durée du traitement par les sous-traitants ultérieurs sont tels que décrits dans la Partie C.

A.3 Autorité de contrôle compétente (Annexe I.C des CCT EEE). 

L'autorité de contrôle compétente est l'Autorité de protection des données belge (Autorité de protection des données / Gegevensbeschermingsautoriteit).

Partie B – Politique de sécurité

Les mesures techniques et organisationnelles du Fournisseur (Annexe II des CCT EEE ; Annexe II de l'Addendum britannique) sont maintenues conformément à la Politique de sécurité. 

Pour les transferts aux sous-traitants ultérieurs, les mesures décrites ci-dessus sont imposées à chaque sous-traitant ultérieur conformément à la section 2.6 du présent DPA.

Partie C – Liste des sous-traitants (Annexe III des CCT EEE ; Annexe III de l'Addendum britannique)

Les sous-traitants approuvés, leur localisation et leurs activités de traitement sont décrits sur : Sous-traitants.