Contrat de traitement de données
I. Objet
Les présentes clauses ont pour objet de définir les conditions dans lesquelles Vizpoint, le Sous-traitant s'engage à effectuer, pour le compte du Client, Responsable de traitement, les opérations de traitement des données à caractère personnel définies ci-après.
Dans le cadre de leurs relations contractuelles, les parties s'engagent à respecter les réglementations applicables en matière de traitement des données à caractère personnel et, en particulier, le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après « le Règlement Général sur la Protection des Données »).
II. Description du traitement sous-traité
Le Sous-traitant est autorisé à traiter, pour le compte du Responsable de traitement, les données à caractère personnel nécessaires pour la fourniture des services suivants :(i) analyser, trier, organiser l’historique d’achats des clients du Responsable de traitement, (ii) afficher et mettre à disposition ces données au Responsable de traitement notamment le nom et prénom ainsi que les e-mails et enfin la possibilité d’exporter ces informations vers l’outil de mailing du Responsable de traitement.
Les catégories de personnes concernées sont les clients du Responsable de traitement(ci-après les « Personnes »).
La nature des opérations effectuées sur les données est la collecte, le traitement et le stockage des données à caractère personnel des Personnes et de leur historique d’achat pour la réalisation des Services.
L’objet du traitement est la réalisation des Services.
Les données à caractère personnel traitées sont les données d'identification des Personnes.Pour l'exécution des Services visés aux présentes, le Responsable de Traitement fournira au Sous-traitant les informations nécessaires suivantes : l’historique d’achat (commandes, prix et produits achetés) et les données d'identification des Personnes.
Dans tous les cas, aucun transfert des données ne sera effectué à aucun tiers.
III. Les obligations du Sous-traitant envers le Responsable de traitement
Le Sous-traitant s’engage à :
1. traiter les données uniquement pour la finalité faisant l’objet du présent contrat de sous-traitance
2. traiter les données conformément aux instructions documentées du Responsable de traitement. Les parties conviennent que toute utilisation ou paramètrage de la solution du Sous-traitant par le Responsable de traitement sera enregistrée et considérée comme une instruction documentée. Lorsque le Sous-traitant estime qu'une instruction enfreint le Règlement Général sur la Protection des Données ou toute autre disposition légale de l'Union ou des États membres relative à la protection des données, il doit en informer immédiatement le Responsable de traitement. En outre, lorsque le Sous-traitant est tenu de transférer des données à caractère personnel vers un pays tiers ou à une organisation internationale, en vertu du droit de l'Union ou du droit des États membres auquel il est soumis, le Sous-traitant doit informer le Responsable de traitement de cette obligation légale avant de procéder au traitement, à moins que cette loi n'interdise la divulgation de telles informations pour des motifs importants d'intérêt public. Nonobstant ce qui précède, le Sous-traitant est expressément autorisé par Responsable de traitement à traiter les données afin d'améliorer la technologie et les services du Sous-traitant et de fournir lesdits services comme décrits dans la section II.
3. garantir la confidentialité des données à caractère personnel traitées dans le cadre des présentes ;
4. s'assurer que les personnes autorisées à traiter les données à caractère personnel en vertu des présentes :
• se sont engagées à respecter la confidentialité ou sont soumises à une obligation légale appropriée de confidentialité ;
• reçoivent la formation nécessaire en matière de protection des données à caractère personnel.
5. prendre en considération, en ce qui concerne ses outils, produits, applications ou services, les principes de la protection des données dès la conception et de protection par défaut.
6. Contrats de sous-traitance : le Responsable de traitement reconnaît et accepte par les présentes l'engagement par le Sous-traitant des Sous-traitants ultérieurs suivants, tels que définis ci-dessous, avec des serveurs au sein de l'UE :
- Amazon Web Services P.O. Box 81226, dont le siège social est situé sis Burlington Plaza, Burlington Rd, Dublin 4, Irlande (serveurs en Irlande) ;
- OVH une société française par actions simplifiée, dont le siège social est situé sis 2 rue Kellermann - 59100 Roubaix, FRANCE (serveurs en France).
Le Sous-traitant peut engager un autre Sous-traitant (ci-après « le Sous-traitant ultérieur ») pour effectuer des activités de traitement spécifiques. Dans ce cas, le Sous-traitant doit informer le Responsable de traitement, par écrit et au préalable, de toute modification prévue concernant l'ajout ou le remplacement d'autresSous-traitants ultérieurs. Ces informations doivent indiquer clairement quelles activités de traitement sont sous-traitées, le nom et les coordonnées du Sous-traitant ultérieur, ainsi que les dates du contrat de sous-traitance. Le Responsable de traitement dispose d'un délai minimum de 30 (trente) jours à compter de la date à laquelle il reçoit lesdites informations pour s'y opposer. Le contrat de sous-traitance ultérieure n'est possible que si le Responsable de traitement ne s'y est pas opposé dans le délai convenu.
Le Sous-traitant ultérieur est tenu de respecter les présentes obligations pour le compte et selon les instructions du Responsable de traitement. Il incombe au Sous-traitant de veiller à ce que le Sous-traitant ultérieur fournisse les mêmes garanties suffisantes pour la mise en œuvre des mesures techniques et organisationnelles appropriées de telle sorte que le traitement réponde aux exigences du Règlement européen sur la Protection des Données. Lorsque le Sous-traitant ultérieur ne remplit pas ses obligations en matière de protection des données, le Sous-traitant reste entièrement responsable vis-à-vis duResponsable de traitement de l'exécution de ses obligations par le Sous-traitant ultérieur.
7. Exercice des droits des personnes concernées : le Sous-traitant assiste le Responsable de traitement, dans la mesure du possible, pour l'exécution de son obligation de répondre aux demandes d'exercice des droits de la personne concernée : droit d'accès, de rectification, d'effacement et d'opposition, droit de limitation du traitement, droit à la portabilité des données, droit de ne pas faire l'objet d'une décision individuelle automatisée (y compris le profilage).
Lorsque les personnes concernées adressent au Sous-traitant des demandes d'exercice de leurs droits, le Sous-traitant doit transmettre ces demandes dès leur réception par e-mail auResponsable de traitement.
8. Notification de la violation des données personnelles : le Sous-traitant doit avertir le Responsable de traitement de toute violation des données à caractère personnel au plus tard 72 (soixante-douze) heures après en avoir eu connaissance et par e-mail. Cette notification doit être envoyée avec toute la documentation nécessaire pour permettre au Responsable de traitement, le cas échéant, d’avertir l'autorité de contrôle compétente de cette violation.
9. Assistance fournie par le Sous-traitant au Responsable de traitement en ce qui concerne le respect de ses obligations : le Sous-traitant assiste le Responsable de traitement dans sa réalisation des analyses de risque sur la protection des données et en vue de la consultation préalable de l'autorité de contrôle.
10. Mesures de sécurité : le Sous-traitant s'engage à mettre en œuvre les mesures de sécurité suivantes : le Sous-traitant n'utilise que des canaux cryptés SSL/TLS (Secure Socket Layer)pour toutes les sources à partir desquelles certaines données à caractère personnel sont collectées. Ces protocoles cryptent automatiquement toutes les informations avant qu'elles ne soient envoyées au Sous-traitant. Les données sont ainsi cryptées lors de leur circulation.
Sort des données : à la fin desServices portant sur le traitement de ces données, le Sous-traitant s'engage à détruire toutes les données à caractère personnel, au plus tard un mois après la fin des Services.
IV. Obligations du Responsable de traitement
1. Droit à l'information et au consentement des personnes concernées : il incombe auResponsable de traitement d'informer les personnes concernées par les opérations de traitement au moment où les données sont collectées. Plus précisément, dans la mesure où le Responsable de traitement n'a pas connaissance (i) des personnes concernées par le traitement, (ii) du lien contractuel éventuel entre le Responsable de traitement et les personnes concernées et de l’objet du traitement des données et (iii) des paramètrages décidés et effectués par le Responsable de traitement, il incombe à celui-ci de définir la base juridique appropriée pour le traitement et, le cas échéant, d'obtenir le consentement des Personnes en ce qui concerne le traitement.
2.Autres obligations du Responsable de traitement : le Responsable de traitement s'engage en outre à :
2.1 fournir auSous-traitant les données mentionnées au point II du présent document
2.2 consigner par écrit toute instruction relative au traitement des données par leSous-traitant. Plus précisément, le Sous-traitant a développé une solution en tenant compte des principes de protection de la vie privée dès la conception et par défaut, qui est par défaut la moins intrusive. D'autres paramètrages peuvent être ajoutés par le Responsable de traitement : c’est à lui qu’il incombe de définir l'utilisation prévue et les paramètrages correspondants de la solution. Comme dans la situation précédemment indiquée, tout paramètrage effectué par le Responsable de traitement est considéré comme une instruction de celui-ci au Sous-traitant
3.3 veiller, avant et pendant le traitement, au respect des obligations du Responsable de traitement prévues par le Règlement européen sur la Protection desDonnées
3.4 superviser le traitement, notamment en effectuant des audits et des inspections avec leSous-traitant.