Addendum relatif au traitement des données

Naumard LTD. (»YouHodler.com») et la contrepartie acceptant ces conditions (»Client») ont conclu un contrat d'abonnement d'entreprise, des conditions d'utilisation de Youhodler.com, un contrat d'abonnement en libre-service ou tout autre accord écrit ou électronique pour certains services d'optimisation, de sécurité et/ou d'autres services de propriété Internet (collectivement, les »Service») fourni par YouHodler.com (le »Accord principal»). Cet addendum sur le traitement des données, fait partie de l'accord principal.

Le présent addendum relatif au traitement des données entrera en vigueur et remplacera toutes les conditions précédemment applicables relatives à leur objet (y compris toute modification, accord ou addendum relatif au traitement des données relatif au Service), à compter de la date à laquelle le client a cliqué pour accepter ou à compter de la date à laquelle les parties en ont convenu autrement (»Date d'entrée en vigueur de la DPA»).

Si vous acceptez cet addendum sur le traitement des données au nom du client, vous garantissez que : (a) vous êtes légalement pleinement habilité à lier le client à cet addendum sur le traitement des données ; (b) vous avez lu et compris cet addendum sur le traitement des données ; et (c) vous acceptez, au nom du client, cet addendum sur le traitement des données. Si vous n'êtes pas légalement habilité à engager le client, veuillez ne pas accepter cet addendum relatif au traitement des données.

Conditions relatives au traitement des données

En ce qui concerne le Service, les parties prévoient que YouHodler.com peut traiter des données en dehors de l'Espace économique européen (» EEE ») et au Royaume-Uni, certaines données personnelles pour lesquelles le client ou tout membre du groupe de clients peut être responsable du traitement ou sous-traitant des données, selon le cas, en vertu des lois de protection des données de l'UE applicables.

Les parties ont accepté de conclure cette DPA afin de garantir la mise en place de garanties adéquates en ce qui concerne la protection de ces données personnelles, comme l'exigent les lois de protection des données de l'UE. En conséquence, YouHodler.com accepte de se conformer aux dispositions suivantes en ce qui concerne toutes les données personnelles soumises par ou pour le Client à YouHodler.com ou collectées et traitées par ou pour le Client utilisant le Service.

1. Définitions

1.1 Les définitions suivantes sont utilisées dans ce DPA :

• « Pays adéquat» désigne un pays ou un territoire reconnu par les lois de protection des données de l'UE comme fournissant une protection adéquate des données personnelles ;
• « Affilié » désigne, en ce qui concerne une partie, toute personne morale qui, directement ou indirectement, contrôle, est contrôlée par cette partie ou est soumise à un contrôle commun avec cette partie (mais uniquement tant que ce contrôle existe) ;
• « Groupe YouHodler.com » désigne YouHodler.com et l'une de ses filiales ;
• « Groupe de clients » désigne le Client et l'une de ses filiales établies et/ou faisant des affaires dans l'EEE ou au Royaume-Uni ;
• « Lois de protection des données de l'UE » désigne toutes les lois et réglementations de l'Union européenne, de l'Espace économique européen, de leurs États membres et du Royaume-Uni, applicables au traitement des données personnelles dans le cadre de l'accord principal, y compris (le cas échéant) le RGPD ;
• « GDP » désigne le Règlement général sur la protection des données (Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données) ;
• « Données personnelles » désigne toutes les données définies comme » données personnelles » en vertu des lois de protection des données de l'UE et auxquelles les lois de protection des données de l'UE s'appliquent et qui sont fournies par le client à YouHodler.com, et consultées, stockées ou traitées par YouHodler.com en tant que processeur de données dans le cadre de la fourniture du service au client ; et
• « traitement », « responsable du traitement des données », « personne concernée », « autorité de surveillance » et « sous-traitant des données » ont la signification qui leur est attribuée dans les lois de l'UE sur la protection des données.
• Une entité « Controls » une autre entité si elle : (a) détient la majorité des droits de vote de celle-ci ; (b) en est membre ou actionnaire et a le droit de révoquer la majorité de son conseil d'administration ou de son organe de direction équivalent ; (c) en est membre ou actionnaire et contrôle, seule ou conformément à un accord avec d'autres actionnaires ou membres, la majorité des droits de vote de celle-ci ; ou (d) a le droit d'exercer une influence dominante sur elle conformément à ses documents constitutionnels ou en vertu d'un contrat ; et deux entités sont considérées comme étant « Contrôle commun » si l'un contrôle l'autre (directement ou indirectement) ou si les deux sont contrôlés (directement ou indirectement) par la même entité.

2. Statut des parties

Le type de données personnelles traitées conformément au présent DPA, l'objet, la durée, la nature et la finalité du traitement, ainsi que les catégories de personnes concernées, sont décrits à l'annexe 1.

• Chaque partie garantit en ce qui concerne les données personnelles qu'elle se conformera (et veillera à ce que tout membre de son personnel se conforme et déploiera des efforts commercialement raisonnables pour faire en sorte que ses sous-traitants se conforment) aux lois de protection des données de l'UE. Entre les parties, le client est seul responsable de l'exactitude, de la qualité et de la légalité des données personnelles et des moyens par lesquels le client a acquis les données personnelles.
• En ce qui concerne les droits et obligations des parties en vertu du présent DPA concernant les données personnelles, les parties reconnaissent et conviennent par la présente que le client est le responsable du traitement ou le sous-traitant des données, et que YouHodler.com est un processeur de données ou un sous-traitant, selon le cas, et par conséquent, YouHodler.com accepte de traiter toutes les données personnelles conformément à ses obligations en vertu du présent DPA.
• Si le Client est un sous-traitant des données, le Client garantit à YouHodler.com que les instructions et les actions du Client concernant les Données personnelles, y compris la désignation de YouHodler.com comme autre sous-traitant et la conclusion des clauses contractuelles types (Annexe 2), ont été autorisées par le responsable du traitement concerné.
• Où et dans la mesure où YouHodler.com traite des données définies comme «données personnelles » en vertu des lois de l'UE sur la protection des données en tant que responsable du traitement des données, comme indiqué dans Politique de confidentialité de YouHodler.com, YouHodler.com se conformera aux lois de protection des données de l'UE applicables en ce qui concerne ce traitement
• Chaque partie désignera au sein de son organisation une personne autorisée à répondre de temps à autre aux demandes concernant les données personnelles et chaque partie traitera ces demandes rapidement.

3. Obligations de YouHodler.com

En ce qui concerne toutes les données personnelles, YouHodler.com garantit qu'il doit :

1. ne traitera les données personnelles que dans le but de fournir le service et agira uniquement conformément : (i) au présent DPA, (ii) aux instructions écrites du client telles que représentées par le contrat principal et le présent DPA, et (iii) comme l'exigent les lois applicables ;
2. dès que vous en aurez connaissance, informer le Client si, de l'avis de YouHodler.com, toute instruction fournie par le Client en vertu de la clause 3.1 (a) enfreint le RGPD ;
3. mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté aux risques présentés par le traitement des données personnelles, en particulier la protection contre la destruction accidentelle ou illégale, la perte, l'altération, la divulgation non autorisée des données personnelles ou l'accès à celles-ci. Ces mesures comprennent, sans s'y limiter, les mesures de sécurité énoncées à l'annexe 3 ;
4. prendre des mesures raisonnables pour s'assurer que seul le personnel autorisé a accès à ces données personnelles et que toutes les personnes autorisées à accéder aux données personnelles sont soumises à des obligations de confidentialité ;
5. sans retard injustifié après avoir pris connaissance, informer le Client de toute violation de la sécurité entraînant la destruction, la perte, l'altération, la divulgation non autorisée ou l'accès non autorisé à des données personnelles transmises, stockées ou traitées de toute autre manière par YouHodler.com, ses sous-traitants ou tout autre tiers identifié ou non identifié (a »Faille de sécurité ») ;
6. fournir rapidement au Client une coopération et une assistance raisonnables en cas de faille de sécurité et toutes les informations raisonnables en possession de YouHodler.com concernant cette faille de sécurité dans la mesure où elle affecte le Client, y compris les informations suivantes dans la mesure où elle est alors connue :
   • les causes et les conséquences possibles de la faille de sécurité pour les personnes concernées ;
   • les catégories de données personnelles concernées ;
   • un résumé des conséquences possibles pour les personnes concernées ;
   • un résumé des destinataires non autorisés des données personnelles ; et
   • les mesures prises par YouHodler.com pour atténuer tout dommage ;
7. ne pas faire d'annonce publique concernant une faille de sécurité (a »Avis de violation«) sans le consentement écrit préalable du Client, sauf si la loi applicable l'exige ;
8. informer rapidement le client s'il reçoit une demande d'accès, de rectification ou de suppression des données personnelles de cette personne, ou si une personne s'oppose au traitement de ces données personnelles ou présente une demande de portabilité des données concernant ces données personnelles (chacune d'elles étant un »Demande de la personne concernée«). YouHodler.com ne répondra pas à une demande de personne concernée sans le consentement écrit préalable du client, sauf pour confirmer que cette demande concerne le client, ce que le client accepte par la présente. Dans la mesure où le client n'est pas en mesure de répondre à une demande de personne concernée, YouHodler.com fournira une assistance raisonnable au client pour faciliter cette demande de personne concernée dans la mesure du possible et conformément à la loi applicable. Le client prendra en charge tous les frais engagés par YouHodler.com dans le cadre de la fourniture d'une telle assistance ;
9. sauf dans la mesure requise pour se conformer à la loi applicable, après la résiliation ou l'expiration du Contrat principal ou l'achèvement du Service, YouHodler.com supprimera toutes les données personnelles (y compris des copies de celles-ci) traitées conformément au présent DPA ;
10. en tenant compte de la nature du traitement et des informations disponibles sur YouHodler.com, fournir au Client l'assistance que celui-ci demande raisonnablement en ce qui concerne les obligations de YouHodler.com en vertu des lois de protection des données de l'UE en ce qui concerne :
    • les analyses d'impact relatives à la protection des données (tel que ce terme est défini dans le RGPD) ;
    • les notifications à l'autorité de surveillance en vertu des lois de l'UE sur la protection des données et/ou les communications aux personnes concernées par le client en réponse à une faille de sécurité ; et
    • à condition que le Client prenne en charge tous les frais engagés par YouHodler.com dans le cadre de la fourniture d'une telle assistance.

4. Sous-traitement

1. Le Client accorde une autorisation générale : (a) à YouHodler.com pour désigner d'autres membres du groupe YouHodler.com en tant que sous-traitants, et (b) à YouHodler.com et aux autres membres du groupe YouHodler.com pour désigner des opérateurs de centres de données tiers et des prestataires de marketing, commerciaux, d'ingénierie et de support client externalisés en tant que sous-traitants pour soutenir la performance du Service.
2. YouHodler.com tiendra à jour une liste des sous-traitants sur le site Web YouHodler.com et ajoutera les noms des nouveaux sous-traitants et des sous-traitants de remplacement à la liste avant qu'ils ne commencent le sous-traitement des données personnelles. Si le Client a une objection raisonnable à l'égard d'un sous-traitant nouveau ou de remplacement, il doit en informer YouHodler.com par écrit dans les dix (10) jours suivant la notification et les parties chercheront à résoudre le problème de bonne foi. Si YouHodler.com est raisonnablement en mesure de fournir le Service au Client conformément au Contrat principal sans recourir au sous-traitant et décide à sa discrétion de le faire, le Client n'aura aucun autre droit en vertu de la présente clause 4.2 en ce qui concerne l'utilisation proposée du sous-traitant. Si YouHodler.com exige le recours au sous-traitant à sa discrétion et n'est pas en mesure de satisfaire le Client quant à l'adéquation du sous-traitant ou à la documentation et aux protections en place entre YouHodler.com et le sous-traitant dans les quatre-vingt-dix (90) jours suivant la notification des objections du Client, le Client peut, dans les trente (30) jours suivant la fin de la période de quatre-vingt-dix (90) jours mentionnée ci-dessus, résilier le formulaire de commande et/ou l'insertion applicables Commandes avec un préavis écrit d'au moins trente (30) jours, uniquement en ce qui concerne le ou les services destinés à auquel se rapporte le traitement des données personnelles par le nouveau sous-traitant proposé. Si le Client ne s'oppose pas en temps utile à un sous-traitant nouveau ou de remplacement conformément à la présente clause 4.2, le Client sera réputé avoir donné son accord au sous-traitant et renoncé à son droit d'opposition. YouHodler.com peut utiliser un sous-traitant nouveau ou de remplacement pendant que la procédure d'opposition décrite dans cette clause 4.2 est en cours.
3. YouHodler.com veillera à ce que tout sous-traitant qu'elle engage pour fournir un aspect du Service en son nom dans le cadre de cette DPA ne le fasse que sur la base d'un contrat écrit qui impose à ce sous-traitant des conditions substantiellement non moins protectrices des données personnelles que celles imposées à YouHodler.com dans cette DPA (le » Termes pertinents «). YouHodler.com assurera l'exécution des Conditions pertinentes par ce sous-traitant et sera responsable envers le Client de toute violation par cette personne de l'une des Conditions pertinentes.

5. Audit et dossiers

• YouHodler.com doit, conformément aux lois de protection des données de l'UE, mettre à la disposition du Client les informations en possession ou sous le contrôle de YouHodler.com que le Client peut raisonnablement demander afin de démontrer la conformité de YouHodler.com aux obligations des processeurs de données en vertu de la législation européenne sur la protection des données en ce qui concerne son traitement des données personnelles.
• Le client peut exercer son droit d'audit en vertu des lois de protection des données de l'UE en ce qui concerne les données personnelles, via YouHodler.com en fournissant :
  • un rapport d'audit datant de moins de dix-huit (18) mois, préparé par un auditeur externe indépendant démontrant que les mesures techniques et organisationnelles de YouHodler.com sont suffisantes et conformes à une norme d'audit reconnue dans le secteur ; et
  • des informations supplémentaires en possession ou sous le contrôle de YouHodler.com à une autorité de surveillance de l'UE lorsque celle-ci demande ou exige des informations supplémentaires en relation avec le traitement des données personnelles effectué par YouHodler.com dans le cadre du présent DPA.

6. Transferts de données

1. Dans la mesure où un traitement de données personnelles par YouHodler.com a lieu dans un pays en dehors de l'EEE (sauf s'il s'agit d'un pays adéquat), les parties conviennent que les clauses contractuelles types approuvées par les autorités de l'UE en vertu des lois de protection des données de l'UE et énoncées à l'annexe 2 s'appliqueront à ce traitement, et YouHodler.com respectera les obligations de « l'importateur de données » dans les clauses contractuelles types et le client respectera les obligations de l' « exportateur de données ».
2. Le Client reconnaît et accepte que la fourniture du Service dans le cadre du Contrat principal peut nécessiter le traitement de données personnelles par des sous-traitants dans des pays extérieurs à l'EEE.
3. Si, dans le cadre de la présente DPA, YouHodler.com transfère des données personnelles à un sous-traitant situé en dehors de l'EEE (sans préjudice de la clause 4), YouHodler.com s'assurera, avant tout transfert, de la mise en place d'un mécanisme juridique permettant de garantir l'adéquation de ce traitement, tel que :
   • l'obligation pour YouHodler.com d'exécuter ou de faire exécuter par le sous-traitant les clauses contractuelles types au profit du Client, approuvées par les autorités de l'UE en vertu des lois de l'UE sur la protection des données et énoncées à l'Annexe 2 ;
   • l'obligation pour le sous-traitant d'être certifié dans le cadre de la réglementation UE-États-Unis Privacy Shield Framework ; ou
   • l'existence de toute autre garantie spécifiquement approuvée pour les transferts de données (telle que reconnue par les lois de l'UE sur la protection des données) et/ou une constatation d'adéquation de la Commission européenne.
4. Les conditions suivantes s'appliquent aux clauses contractuelles types énoncées à l'annexe 2 :
   • Le client peut exercer son droit d'audit en vertu de la clause 5.1 (f) des clauses contractuelles types telles que définies et sous réserve des exigences de la clause 5.2 du présent DPA ; et
   • YouHodler.com peut désigner des sous-traitants comme indiqué et sous réserve des exigences des clauses 4 et 6.3 du présent DPA.

7. Général

1. Le présent DPA ne porte pas atteinte aux droits et obligations des parties en vertu de l'accord principal, qui restera pleinement en vigueur. En cas de conflit entre les termes du présent DPA et les termes de l'accord principal, les termes du présent DPA prévaudront dans la mesure où l'objet concerne le traitement des données personnelles.
2. La responsabilité de YouHodler.com en vertu ou en relation avec le présent DPA (y compris en vertu des clauses contractuelles types énoncées à l'Annexe 2) est soumise aux limitations de responsabilité contenues dans le Contrat principal.
3. Le présent DPA ne confère aucun droit de bénéficiaire à des tiers, il est destiné au bénéfice des parties aux présentes et de leurs successeurs et ayants droit autorisés respectifs uniquement, et n'est pas au profit d'une autre personne et aucune disposition des présentes ne peut être appliquée par une autre personne.
4. Le présent DPA et toute action qui s'y rapporte sont régis et interprétés conformément aux lois de l'État de Californie, sans donner effet aux principes de conflit de lois. Les parties acceptent la compétence personnelle et le lieu des tribunaux de San Francisco, en Californie.
5. Le présent DPA constitue l'accord final, complet et exclusif des parties en ce qui concerne l'objet des présentes et remplace et fusionne toutes les discussions et accords antérieurs entre les parties concernant ce sujet. Hormis en ce qui concerne les déclarations faites de manière frauduleuse, aucune autre déclaration ou condition ne s'appliquera ou ne fera partie du présent DPA. Aucune modification, amendement ou renonciation à un droit en vertu de la DPA ne sera effective à moins d'être écrite et signée par un signataire autorisé de chaque partie. Le présent DPA peut être exécuté en plusieurs exemplaires, chacun étant considéré comme un original, mais qui, pris ensemble, constituent un seul et même accord. Chaque personne signant ci-dessous déclare et garantit qu'elle est dûment autorisée et qu'elle a la capacité juridique d'exécuter et de délivrer ce DPA. Chaque partie déclare et garantit à l'autre que l'exécution et la livraison du présent DPA, ainsi que l'exécution des obligations de cette partie en vertu des présentes, ont été dûment autorisées et que ce DPA est un accord valide et juridiquement contraignant pour chacune de ces parties, exécutoire conformément à ses termes.

Annexe 1

Détails des données personnelles et des activités de traitement

1. Les données personnelles comprennent : en ce qui concerne les visiteurs des propriétés en ligne du Client, les données d'identification, les données relatives à la vie professionnelle, les données personnelles, les données de connexion ou les données de localisation (y compris les adresses IP). Le client, ses visiteurs en ligne et/ou d'autres partenaires peuvent également télécharger du contenu sur les propriétés en ligne du client, qui peut inclure des données personnelles et des catégories spéciales de données, dont l'étendue est déterminée et contrôlée par le client à sa seule discrétion. Ces catégories spéciales de données incluent, sans toutefois s'y limiter, les informations révélant les origines raciales ou ethniques, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale et le traitement de données concernant la santé ou la vie sexuelle d'un individu.
2. La durée du traitement sera la suivante : jusqu'à (i) l'expiration/résiliation du Contrat principal, ou (ii) la date à laquelle le traitement n'est plus nécessaire aux fins de l'exécution par l'une ou l'autre des parties de ses obligations en vertu du Contrat principal (dans la mesure applicable) ;
3. Le traitement comprendra : le traitement nécessaire pour fournir le Service au Client, conformément au Contrat principal ;
4. La ou les finalités du traitement est/sont : nécessaires à la fourniture du Service ;
5. Les données personnelles peuvent concerner les personnes concernées suivantes :
   • Les clients potentiels, les revendeurs, les référents, les partenaires commerciaux et les fournisseurs du Client (qui sont des personnes physiques) ;
   • Les employés ou les personnes de contact des clients potentiels, des revendeurs, des référents, des sous-traitants, des partenaires commerciaux et des fournisseurs du Client (qui sont des personnes physiques) ;
   • Les employés, agents, conseillers et travailleurs indépendants du Client (qui sont des personnes physiques) ; et/ou
   • Les personnes physiques autorisées par le Client à utiliser le Service.

Annexe 2

Clauses types de l'UE 2010 extraites de l'annexe 2010/87/UE Clauses contractuelles types de l'UE pour le transfert de données personnelles vers des processeurs de données établis dans des pays tiers qui ne garantissent pas un niveau adéquat de protection des données

Présentation

Les deux parties ont convenu des clauses contractuelles suivantes (les » Clauses «) afin de mettre en place des garanties adéquates en matière de protection de la vie privée et des droits et libertés fondamentaux des personnes lors du transfert par l'exportateur de données à l'importateur de données des données personnelles spécifiées à l'annexe 1.

Conditions convenues

1. Définitions

Aux fins des Clauses :

1. « données personnelles », « catégories spéciales de données », « traitement/traitement », « responsable du traitement », « sous-traitant », « personne concernée » et « autorité de surveillance »» a la même signification que dans la législation européenne 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données personnelles et à la libre circulation de ces données ;
2. le « exportateur de données » désigne l'entité qui transfère les données personnelles ;
3. le « importateur de données » désigne le sous-traitant qui accepte de recevoir de l'exportateur de données des données personnelles destinées à être traitées pour son compte après le transfert conformément à ses instructions et aux termes des Clauses et qui n'est pas soumis au système d'un pays tiers garantissant une protection adéquate au sens de l'article 25, paragraphe 1, des lois de l'UE sur la protection des données 95/46/CE ;
4. le « sous-traitant » désigne tout sous-traitant engagé par l'importateur de données ou par tout autre sous-traitant de l'importateur de données qui accepte de recevoir de l'importateur de données ou de tout autre sous-traitant de l'importateur de données des données personnelles exclusivement destinées aux activités de traitement à effectuer pour le compte de l'exportateur de données après le transfert conformément à ses instructions, aux termes des Clauses et aux termes du contrat de sous-traitance écrit ;
5. le « loi applicable en matière de protection des données » désigne la législation protégeant les droits et libertés fondamentaux des personnes et, en particulier, leur droit au respect de la vie privée en ce qui concerne le traitement des données personnelles applicable à un responsable du traitement des données dans l'État membre dans lequel l'exportateur de données est établi ; et
6. « mesures de sécurité techniques et organisationnelles» désigne les mesures visant à protéger les données personnelles contre la destruction accidentelle ou illégale ou la perte accidentelle, l'altération, la divulgation ou l'accès non autorisés, en particulier lorsque le traitement implique la transmission de données sur un réseau, et contre toute autre forme illégale de traitement.

2. Détails du transfert

Les détails du transfert et en particulier les catégories spéciales de données personnelles, le cas échéant, sont spécifiés dans l'Annexe 1 qui fait partie intégrante des Clauses.

3. Clause relative au tiers bénéficiaire

1. La personne concernée peut faire appliquer à l'exportateur de données la présente clause, la clause 4.1 (b) à (i), la clause 5 (a) à (e) et (g) à (j), la clause 6 (1) et (2), la clause 7, la clause 8 (2) et les clauses 9 à 12 en tant que tiers bénéficiaire.
2. La personne concernée peut faire appliquer à l'importateur de données la présente clause, la clause 5 (a) à (e) et (g), la clause 6, la clause 7, la clause 8 (2) et les clauses 9 à 12, dans les cas où l'exportateur de données a effectivement disparu ou a cessé d'exister légalement, à moins qu'une entité successeur n'ait assumé l'intégralité des obligations légales de l'exportateur de données par contrat ou de plein droit, à la suite de quoi il assume les droits et obligations de l'exportateur de données, auquel cas la personne concernée peut les faire valoir contre cette entité.
3. La personne concernée peut faire appliquer au sous-traitant la présente clause, la clause 5 (a) à (e) et (g), la clause 6, la clause 7, la clause 8 (2) et les clauses 9 à 12, dans les cas où l'exportateur de données et l'importateur de données ont effectivement disparu ou ont cessé d'exister légalement ou sont devenus insolvables, à moins qu'une entité successeur n'ait assumé l'intégralité des obligations légales de l'exportateur de données par contrat ou de plein droit en conséquence dont elle assume les droits et obligations de l'exportateur de données, auquel cas la personne concernée peut les faire valoir à l'encontre de cette entité. Cette responsabilité à l'égard des tiers du sous-traitant est limitée à ses propres opérations de traitement en vertu des Clauses.
4. Les parties ne s'opposent pas à ce qu'une personne concernée soit représentée par une association ou un autre organisme si la personne concernée le souhaite expressément et si la législation nationale l'autorise.

4. Obligations de l'exportateur de données

L'exportateur de données accepte et garantit :

1. que le traitement, y compris le transfert lui-même, des données personnelles a été et continuera d'être effectué conformément aux dispositions pertinentes de la législation applicable en matière de protection des données (et, le cas échéant, a été notifié aux autorités compétentes de l'État membre dans lequel l'exportateur de données est établi) et ne viole pas les dispositions pertinentes de cet État ;
2. qu'il a chargé et, pendant toute la durée des services de traitement des données personnelles, chargera l'importateur de données de traiter les données personnelles transférées uniquement pour le compte de l'exportateur de données et conformément à la législation applicable en matière de protection des données et aux Clauses ;
3. que l'importateur de données fournira des garanties suffisantes en ce qui concerne les mesures de sécurité techniques et organisationnelles spécifiées à l'annexe 2 du présent contrat ;
4. qu'après évaluation des exigences de la législation applicable en matière de protection des données, les mesures de sécurité sont appropriées pour protéger les données personnelles contre la destruction accidentelle ou illégale ou la perte accidentelle, l'altération, la divulgation ou l'accès non autorisés, en particulier lorsque le traitement implique la transmission de données sur un réseau, et contre toute autre forme illégale de traitement, et que ces mesures garantissent un niveau de sécurité adapté aux risques présentés par le traitement et à la nature des données à protéger eu égard à l'état l'art et le coût de leur mise en œuvre ;
5. qu'il veillera au respect des mesures de sécurité ;
6. que, si le transfert concerne des catégories particulières de données, la personne concernée a été informée ou sera informée avant ou dès que possible après le transfert que ses données pourraient être transmises vers un pays tiers n'offrant pas une protection adéquate au sens de la législation européenne 95/46/CE sur la protection des données ;
7. transmettre toute notification reçue de l'importateur de données ou de tout sous-traitant conformément à la Clause 5 (b) et à la Clause 8 (3) à l'autorité de contrôle de la protection des données si l'exportateur de données décide de poursuivre le transfert ou de lever la suspension ;
8. mettre à la disposition des personnes concernées sur demande une copie des Clauses, à l'exception de l'Annexe 2, et une description sommaire des mesures de sécurité, ainsi qu'une copie de tout contrat pour des services de sous-traitement qui doit être conclu conformément aux Clauses, à moins que les Clauses ou le contrat ne contiennent des informations commerciales, auquel cas elle peut supprimer ces informations commerciales ;
9. que, en cas de sous-traitement, l'activité de traitement est effectuée conformément à la Clause 11 par un sous-traitant fournissant au moins le même niveau de protection des données personnelles et des droits de la personne concernée que l'importateur de données en vertu des Clauses ; et
10. qu'il veillera au respect de la Clause 4 (a) à (i).

5. Obligations de l'importateur de données

L'importateur de données accepte et garantit :

1. traiter les données personnelles uniquement pour le compte de l'exportateur de données et conformément à ses instructions et aux Clauses ; s'il ne peut pas assurer cette conformité pour quelque raison que ce soit, il accepte d'informer rapidement l'exportateur de données de son incapacité à se conformer, auquel cas l'exportateur de données est en droit de suspendre le transfert de données et/ou de résilier le contrat ;
2. qu'il n'a aucune raison de penser que la législation qui lui est applicable l'empêche de remplir les instructions reçues de l'exportateur de données et de remplir ses obligations en vertu du contrat et qu'en cas de modification de cette législation susceptible d'avoir un effet négatif important sur les garanties et obligations prévues par les Clauses, il notifiera rapidement la modification à l'exportateur de données dès qu'il en aura connaissance, auquel cas l'exportateur de données est en droit de suspendre le transfert de données et/ou de résilier le contrat ;
3. qu'il a mis en œuvre les mesures de sécurité techniques et organisationnelles spécifiées à l'annexe 2 avant de traiter les données personnelles transférées ;
4. qu'il informera rapidement l'exportateur de données concernant :
   • toute demande juridiquement contraignante de divulgation de données personnelles par une autorité chargée de l'application de la loi, sauf interdiction contraire, telle qu'une interdiction en vertu du droit pénal visant à préserver la confidentialité d'une enquête policière ;
   • tout accès accidentel ou non autorisé ; et
   • toute demande reçue directement des personnes concernées sans répondre à cette demande, sauf autorisation contraire ;
5. traiter rapidement et correctement toutes les demandes de l'exportateur de données concernant son traitement des données personnelles faisant l'objet du transfert et se conformer aux conseils de l'autorité de contrôle concernant le traitement des données transférées ;
6. à la demande de l'exportateur de données, de soumettre ses installations de traitement des données à un audit des activités de traitement couvertes par les clauses, qui sera effectué par l'exportateur de données ou par un organisme d'inspection composé de membres indépendants et possédant les qualifications professionnelles requises liées par une obligation de confidentialité, sélectionné par l'exportateur de données, le cas échéant, en accord avec l'autorité de contrôle ;
7. mettre à la disposition de la personne concernée, sur demande, une copie des Clauses, ou de tout contrat de sous-traitement existant, sauf si les Clauses ou le contrat contiennent des informations commerciales, auquel cas elle peut supprimer ces informations commerciales, à l'exception de l'Annexe 2 qui doit être remplacée par une description sommaire des mesures de sécurité dans les cas où la personne concernée n'est pas en mesure d'obtenir une copie auprès de l'exportateur de données ;
8. qu'en cas de sous-traitement, il a préalablement informé l'exportateur de données et obtenu son consentement écrit préalable ;
9. que les services de traitement par le sous-traitant seront exécutés conformément à la Clause 11 ;
10. d'envoyer rapidement une copie de tout contrat de sous-traitant conclu en vertu des Clauses à l'exportateur de données.

6. Responsabilité

1. Les parties conviennent que toute personne concernée qui a subi un dommage à la suite d'une violation des obligations visées à la Clause 3 ou à la Clause 11 par une partie ou un sous-traitant a le droit de recevoir une indemnisation de la part de l'exportateur de données pour le préjudice subi.
2. Si une personne concernée n'est pas en mesure de demander une indemnisation conformément au paragraphe 1 à l'encontre de l'exportateur de données, en raison d'un manquement par l'importateur de données ou son sous-traitant à l'une de ses obligations visées à la clause 3 ou à la clause 11, parce que l'exportateur de données a effectivement disparu, a cessé d'exister légalement ou est devenu insolvable, l'importateur de données accepte que la personne concernée puisse déposer une réclamation contre l'importateur de données comme s'il était l'exportateur de données, sauf si une entité remplaçante a assumé l'intégralité des obligations légales relatives aux données exportateur par contrat ou de plein droit, auquel cas la personne concernée peut faire valoir ses droits à l'encontre de cette entité. L'importateur de données ne peut pas invoquer un manquement à ses obligations par un sous-traitant pour se soustraire à ses propres responsabilités.
3. ‍ Si une personne concernée n'est pas en mesure de déposer une réclamation contre l'exportateur de données ou l'importateur de données visé aux paragraphes 1 et 2, en raison d'un manquement par le sous-traitant à l'une de ses obligations visées à la Clause 3 ou à la Clause 11 parce que l'exportateur de données et l'importateur de données ont disparu ou ont cessé d'exister légalement ou sont devenus insolvables, le sous-traitant accepte que la personne concernée puisse déposer une réclamation contre le sous-traitant des données en ce qui concerne à ses propres opérations de traitement en vertu des Clauses comme s'il s'agissait de l'exportateur ou de l'importateur de données, à moins qu'une entité successeur n'ait assumé l'intégralité des obligations légales de l'exportateur ou de l'importateur de données par contrat ou de plein droit, auquel cas la personne concernée peut faire valoir ses droits à l'encontre de cette entité. La responsabilité du sous-traitant est limitée à ses propres opérations de traitement en vertu des Clauses.

7. Médiation et juridiction

1. L'importateur de données accepte que si la personne concernée invoque contre elle les droits d'un tiers bénéficiaire et/ou demande une indemnisation pour les dommages et intérêts en vertu des Clauses, l'importateur de données acceptera la décision de la personne concernée :
   • de soumettre le litige à une médiation, par une personne indépendante ou, le cas échéant, par l'autorité de contrôle ;
   • porter le litige devant les tribunaux de l'État membre dans lequel l'exportateur de données est établi.
2. Les parties conviennent que le choix fait par la personne concernée ne portera pas atteinte à ses droits matériels ou procéduraux de demander réparation conformément à d'autres dispositions du droit national ou international.

8. Coopération avec les autorités de surveillance

1. L'exportateur de données accepte de déposer une copie de ce contrat auprès de l'autorité de contrôle si celle-ci le demande ou si ce dépôt est requis en vertu de la législation applicable en matière de protection des données.
2. Les parties conviennent que l'autorité de contrôle a le droit de procéder à un audit de l'importateur de données et de tout sous-traitant subséquent, qui a la même portée et est soumis aux mêmes conditions que celles qui s'appliqueraient à un audit de l'exportateur de données conformément à la législation applicable en matière de protection des données.
3. L'importateur de données informe rapidement l'exportateur de données de l'existence d'une législation applicable à lui-même ou à tout sous-traitant qui empêche la réalisation d'un audit de l'importateur de données, ou de tout sous-traitant sous-traitant, conformément au paragraphe 2. Dans ce cas, l'exportateur de données est en droit de prendre les mesures prévues à la clause 5 (b).

9. Loi applicable

Les clauses sont régies par les lois de l'État membre dans lequel l'exportateur de données est établi.

10. Modification du contrat

Les parties s'engagent à ne pas modifier ou modifier les Clauses. Cela n'empêche pas les parties d'ajouter des clauses sur des questions liées à l'entreprise, le cas échéant, pour autant qu'elles ne soient pas en contradiction avec la Clause.

11. Sous-traitement

1. L'importateur de données ne sous-traitera aucune de ses opérations de traitement effectuées pour le compte de l'exportateur de données en vertu des Clauses sans le consentement écrit préalable de l'exportateur de données. Lorsque l'importateur de données sous-traite ses obligations en vertu des Clauses, avec le consentement de l'exportateur de données, il ne doit le faire que par le biais d'un accord écrit avec le sous-traitant qui impose au sous-traitant les mêmes obligations que celles imposées à l'importateur de données en vertu des Clauses. Lorsque le sous-traitant ne remplit pas ses obligations en matière de protection des données en vertu d'un tel accord écrit, l'importateur de données reste entièrement responsable envers l'exportateur de données de l'exécution des obligations du sous-traitant en vertu de cet accord.
2. Le contrat écrit préalable entre l'importateur de données et le sous-traitant doit également prévoir une clause de tiers bénéficiaire, telle que prévue à la clause 3, dans les cas où la personne concernée n'est pas en mesure de présenter la demande d'indemnisation visée au paragraphe 1 de la clause 6 contre l'exportateur de données ou l'importateur de données parce que celui-ci a effectivement disparu, a cessé d'exister légalement ou est devenu insolvable et qu'aucune entité successeur n'a assumé l'intégralité des obligations légales de l'exportateur ou de l'importateur de données par contrat ou de plein droit. Cette responsabilité à l'égard des tiers du sous-traitant est limitée à ses propres opérations de traitement en vertu des Clauses.
3. Les dispositions relatives à la protection des données pour le sous-traitement du contrat visé au paragraphe 1 sont régies par le droit de l'État membre dans lequel l'exportateur de données est établi.
4. L'exportateur de données doit conserver une liste des accords de sous-traitement conclus en vertu des Clauses et notifiés par l'importateur de données conformément à la Clause 5.1 (j), qui doit être mise à jour au moins une fois par an. La liste doit être mise à la disposition de l'autorité de contrôle de la protection des données de l'exportateur de données.

12. Obligation après la cessation des services de traitement des données personnelles

1. Les parties conviennent qu'à la fin de la fourniture des services de traitement des données, l'importateur de données et le sous-traitant doivent, au choix de l'exportateur de données, renvoyer toutes les données personnelles transférées et leurs copies à l'exportateur de données ou détruire toutes les données personnelles et certifier à l'exportateur de données qu'il l'a fait, à moins que la législation imposée à l'importateur de données ne l'empêche de renvoyer ou de détruire tout ou partie des données personnelles transférées. Dans ce cas, l'importateur de données garantit qu'il garantira la confidentialité des données personnelles transférées et qu'il ne traitera plus activement les données personnelles transférées.
2. L'importateur de données et le sous-traitant garantissent que, à la demande de l'exportateur de données et/ou de l'autorité de contrôle, ils soumettront leurs installations de traitement des données à un audit des mesures visées au paragraphe 1.

Annexe 1

aux clauses contractuelles types

Cette annexe fait partie des Clauses et doit être complétée et signée par les parties.

Les États membres peuvent compléter ou spécifier, conformément à leurs procédures nationales, toute information supplémentaire nécessaire devant figurer dans la présente annexe.

Exportateur de données

L'exportateur de données est (veuillez préciser brièvement vos activités liées au transfert) :

La contrepartie acceptant ces conditions et toutes les filiales de cette entité établies dans l'EEE, qui ont acheté des services auprès de YouHodler.com ou de ses filiales.

Importateur de données

L'importateur de données est (veuillez préciser brièvement les activités relatives au transfert) :

YouHodler.com, qui traite les données personnelles sur instruction de l'exportateur de données conformément aux termes de l'accord entre l'exportateur de données et YouHodler.com.

Sujets des données

Les données personnelles transférées concernent les catégories de personnes concernées suivantes (veuillez préciser) :

L'exportateur de données peut soumettre des données personnelles à YouHodler.com et à ses filiales, dont l'étendue est déterminée et contrôlée par l'exportateur de données à sa seule discrétion, et qui peuvent inclure, mais sans s'y limiter, des données personnelles relatives aux catégories suivantes de personnes concernées :

• Les clients potentiels, les revendeurs, les référents, les partenaires commerciaux et les fournisseurs de l'exportateur de données (qui sont des personnes physiques) ;
• Les employés ou les personnes de contact des clients potentiels, des revendeurs, des référents, des sous-traitants, des partenaires commerciaux et des fournisseurs de l'exportateur de données (qui sont des personnes physiques) ;
• Les employés, les agents, les conseillers et les travailleurs indépendants de l'exportateur de données (qui sont des personnes physiques) ; et/ou
• Personnes physiques autorisées par l'exportateur de données à utiliser les services fournis par Naumard LTD à l'exportateur de données.

Catégories de données

Les données personnelles transférées concernent les catégories de données suivantes (veuillez préciser) :

L'exportateur de données peut soumettre des données personnelles à Naumard LTD et à ses filiales, dont l'étendue est déterminée et contrôlée par l'exportateur de données à sa seule discrétion, et qui peuvent inclure, mais sans s'y limiter, les catégories de données personnelles suivantes :

• Noms, titres, fonction, employeur, coordonnées (e-mail, téléphone, fax, adresse physique, etc.), données d'identification, données relatives à la vie professionnelle, données personnelles, données de connexion ou données de localisation (y compris les adresses IP).

Catégories spéciales de données (le cas échéant)

Les données personnelles transférées concernent les catégories spéciales de données suivantes (veuillez préciser) :

L'exportateur de données peut soumettre des catégories spéciales de données à YouHodler.com et à ses filiales, dont l'étendue est déterminée et contrôlée par l'exportateur de données à sa seule discrétion. Ces catégories spéciales de données incluent, sans toutefois s'y limiter, les données personnelles contenant des informations révélant les origines raciales ou ethniques, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale et le traitement de données concernant la santé ou la vie sexuelle d'un individu.

Opérations de traitement

Les données personnelles transférées seront soumises aux activités de traitement de base suivantes (veuillez préciser) :

L'objectif du traitement des données personnelles par YouHodler.com est de fournir le service, conformément à l'accord principal.

Annexe 2

aux clauses contractuelles types

Cette annexe fait partie des Clauses et doit être complétée et signée par les parties.

Description des mesures de sécurité techniques et organisationnelles mises en œuvre par l'importateur de données conformément aux Clauses 4 (d) et 5 (c) (ou document/législation joint) :

Voir l'annexe 3 du DPA.

Annexe 3

Mesures de sécurité

1. L'importateur/sous-traitant de données a mis en œuvre et doit maintenir un programme de sécurité conforme aux normes de l'industrie.
2. Plus précisément, le programme de sécurité de l'importateur/sous-traitant des données doit inclure :

Contrôle d'accès aux zones de traitement

L'importateur/sous-traitant des données met en œuvre des mesures appropriées afin d'empêcher les personnes non autorisées d'accéder à l'équipement de traitement des données (à savoir les téléphones, les serveurs de base de données et d'applications et le matériel connexe) sur lequel les données personnelles sont traitées ou utilisées, notamment :

• établir des zones de sécurité ;
• protection et restriction des voies d'accès ;
• établir des autorisations d'accès pour les employés et les tiers, y compris la documentation correspondante ;
• tous les accès au centre de données où les données personnelles sont hébergées sont enregistrés, surveillés et suivis ; et
• le centre de données dans lequel les données personnelles sont hébergées est sécurisé par un système d'alarme de sécurité et par d'autres mesures de sécurité appropriées.

Contrôle d'accès aux systèmes de traitement des données

L'importateur/sous-traitant des données met en œuvre des mesures appropriées pour empêcher que ses systèmes de traitement des données ne soient utilisés par des personnes non autorisées, notamment :

• utilisation de technologies de cryptage adéquates ;
• identification du terminal et/ou de l'utilisateur du terminal par rapport à l'importateur/sous-processeur de données et aux systèmes de traitement ;
• verrouillage temporaire automatique du terminal utilisateur s'il est laissé inactif, un identifiant et un mot de passe sont nécessaires pour le rouvrir ;
• verrouillage temporaire automatique de l'identifiant utilisateur lorsque plusieurs mots de passe erronés sont saisis, journal des événements, surveillance des tentatives d'effraction (alertes) ; et
• tous les accès au contenu des données sont enregistrés, surveillés et suivis.

Contrôle d'accès pour utiliser des zones spécifiques des systèmes de traitement des données

L'importateur/sous-traitant des données s'engage à ce que les personnes autorisées à utiliser leur système de traitement des données ne puissent accéder aux données que dans le cadre et dans la mesure couverts par leur autorisation d'accès respective (autorisation) et à ce que les données personnelles ne puissent pas être lues, copiées, modifiées ou supprimées sans autorisation. Pour ce faire, diverses mesures seront prises, notamment :

• les politiques et la formation des employés concernant les droits d'accès de chaque employé aux données personnelles ;
• attribution de terminaux individuels et/ou de l'utilisateur du terminal, et caractéristiques d'identification exclusives à des fonctions spécifiques ;
• capacité de surveillance à l'égard des personnes qui suppriment, ajoutent ou modifient les données personnelles ;
• la diffusion des données uniquement aux personnes autorisées, y compris l'attribution de droits d'accès et de rôles différenciés ;
• utilisation de technologies de cryptage adéquates ; et
• contrôle des fichiers, destruction contrôlée et documentée des données.

Contrôle de disponibilité

L'importateur/sous-traitant des données met en œuvre des mesures appropriées pour garantir que les données personnelles sont protégées contre la destruction ou la perte accidentelles, notamment :

• la redondance de l'infrastructure ; et
• la sauvegarde est stockée sur un autre site et peut être restaurée en cas de défaillance du système principal.

Contrôle de la transmission

L'importateur/sous-traitant des données met en œuvre des mesures appropriées pour empêcher que les données personnelles ne soient lues, copiées, modifiées ou supprimées par des personnes non autorisées lors de leur transmission ou pendant le transport des supports de données. Pour ce faire, diverses mesures sont prises, notamment les suivantes :

• utilisation de technologies de pare-feu, de VPN et de cryptage adéquates pour protéger les passerelles et les pipelines par lesquels transitent les données ;
• certaines données hautement confidentielles des employés (par exemple, des informations personnelles identifiables telles que les numéros d'identification nationaux, les numéros de cartes de crédit ou de débit) sont également cryptées dans le système ; et
• fournir une alerte à l'utilisateur en cas de transfert de données incomplet (vérification de bout en bout) ; et
• dans la mesure du possible, toutes les transmissions de données sont enregistrées, contrôlées et suivies.

Contrôle des entrées

L'importateur/sous-processeur de données met en œuvre des mesures de contrôle des entrées appropriées, notamment :

• une politique d'autorisation pour la saisie, la lecture, la modification et la suppression des données ;
• authentification du personnel autorisé ;
• des mesures de protection pour la saisie des données en mémoire, ainsi que pour la lecture, la modification et la suppression des données stockées ;
• utilisation d'informations d'identification ou de codes d'authentification uniques (mots de passe) ;
• en veillant à ce que les accès aux installations de traitement des données (les locaux abritant le matériel informatique et les équipements connexes) soient verrouillés ;
• déconnexion automatique des identifiants d'utilisateur qui n'ont pas été utilisés pendant une longue période ; et
• preuve établie au sein de l'organisation de l'importateur/sous-traitant des données de l'autorisation de saisie ; et
• enregistrement électronique des entrées.

Séparation du traitement à des fins différentes

L'importateur/sous-traitant des données met en œuvre des mesures appropriées pour garantir que les données collectées à différentes fins puissent être traitées séparément, notamment :

• l'accès aux données est séparé par le biais de la sécurité des applications pour les utilisateurs concernés ;
• les modules de la base de données de l'importateur/sous-traitant des données séparent les données utilisées dans quel but, c'est-à-dire par fonctionnalité et par fonction ;
• au niveau de la base de données, les données sont stockées dans différentes tables normalisées, séparées par module, par client contrôleur ou par fonction qu'ils prennent en charge ; et
• les interfaces, les traitements par lots et les rapports sont conçus uniquement pour des objectifs et des fonctions spécifiques, de sorte que les données collectées à des fins spécifiques sont traitées séparément.

Documentation

L'importateur/sous-traitant des données conservera la documentation des mesures techniques et organisationnelles en cas d'audit et pour la conservation des preuves. L'importateur/sous-traitant de données doit prendre des mesures raisonnables pour s'assurer que les personnes qu'il emploie et les autres personnes présentes sur le lieu de travail concerné connaissent et respectent les mesures techniques et organisationnelles énoncées dans la présente annexe 2.

Surveillance

L'importateur/sous-traitant des données doit mettre en œuvre des mesures appropriées pour contrôler les restrictions d'accès imposées aux administrateurs du système de l'importateur/sous-traitant des données et pour s'assurer qu'ils agissent conformément aux instructions reçues. Pour ce faire, diverses mesures sont prises, notamment les suivantes :

• nomination individuelle des administrateurs du système ;
• adoption de mesures appropriées pour enregistrer les journaux d'accès des administrateurs du système à l'infrastructure et les conserver sécurisés, exacts et non modifiés pendant au moins six mois ;
• des audits annuels de l'activité des administrateurs du système afin d'évaluer la conformité avec les tâches assignées, les instructions reçues par l'importateur de données/le sous-traitant et les lois applicables ;
• tenir à jour une liste contenant les informations d'identification des administrateurs du système (par exemple, nom, prénom, fonction ou domaine organisationnel) et les tâches assignées et la fournir rapidement à l'exportateur de données sur demande.

Naumard LTD., Addendum relatif au traitement des données, version 1.0