Le présent avenant relatif au traitement des données (ci-après dénommé « l’avenant » ou « DPA ») complète le contrat-cadre d’abonnement de vFairs LLC (ci-après dénommé « le contrat ») conclu entre :

__________________________________(« Client »)
et
vFairs LLC (« Société »).

Le présent avenant intègre les dispositions du contrat ; toute expression non définie dans le présent avenant aura le sens qui lui est donné dans le contrat ou, à défaut, celui qui lui est attribué par la législation applicable en matière de protection des données.

CONSIDÉRANT QUE,

(A) Le Client agit en tant que responsable du traitement ou sous-traitant pour le compte d'un responsable du traitement.

(B) Le Client souhaite confier à la Société (sous-traitant) la prestation de certains Services impliquant le traitement de données à caractère personnel.

(C) Les Parties s'engagent à mettre en œuvre un accord relatif au traitement des données conforme aux exigences du cadre juridique en vigueur en matière de traitement des données, ainsi qu'à toutes les lois et réglementations applicables en matière de sécurité et de protection de la vie privée, y compris, sans s'y limiter, la loi californienne sur la protection de la vie privée (CCPA) et le règlement général sur la protection des données de l'Union européenne 2016/679 (« RGPD »).

(D) Les parties souhaitent définir leurs droits et obligations.

Le présent accord de traitement des données (DPA) comprend : (a) le corps principal du DPA ; (b) les clauses contractuelles types (Module 2 : du responsable du traitement au sous-traitant et Module 3 : d’un sous-traitant à un autre), y compris les annexes I, II et III.

1) Définitions

1.1 Le terme « Données du compte client » désigne les données à caractère personnel relatives à la relation du Client avec la Société, y compris les noms ou coordonnées des personnes autorisées par le Client à accéder à son compte, ainsi que les informations de facturation des personnes que le Client a associées à son compte. Les Données du compte client comprennent également toutes les données que la Société peut être amenée à collecter aux fins de la gestion de sa relation avec le Client, de la vérification d’identité ou conformément aux lois et réglementations applicables.

1.2 Le terme « Données d’utilisation des clients » désigne les données relatives à l’utilisation des Services collectées et traitées par la Société dans le cadre de la fourniture des Services, y compris, sans s’y limiter, les données utilisées pour identifier la source et la destination d’une communication, les journaux d’activité, ainsi que les données utilisées pour optimiser et maintenir les performances des Services, et pour enquêter sur les abus du système et les prévenir.

1.3 Le terme « consommateur », tel qu'il apparaît dans le texte de la CCPA, désigne une personne physique résidant en Californie, au sens de l'article 17014 du titre 18 du Code des règlements de Californie.

1.4 Le terme « centre de données » désigne une installation qui offre un accès partagé à des applications et à des données grâce à une infrastructure complexe de réseau, de calcul et de stockage.

1.5 Le terme « exportateur de données » désigne le client.

1.6 Le terme « importateur de données » désigne la Société.

1.7 Le terme « lois sur la protection des données » désigne l’ensemble des lois et réglementations applicables dans toute juridiction concernée relatives à l’utilisation ou au traitement des données à caractère personnel, notamment : (i) la loi californienne sur la protection de la vie privée des consommateurs (« CCPA »), (ii) le règlement général sur la protection des données (règlement (UE) 2016/679) (« RGPD de l’UE » ou « RGPD »), (iii) la loi fédérale suisse sur la protection des données, (iv) le RGPD de l’UE tel qu’il fait partie intégrante du droit de l’Angleterre et du Pays de Galles en vertu de l’article 3 de la loi de 2018 sur le retrait de l’Union européenne (la « RGPD du Royaume-Uni ») ; (v) la loi britannique de 2018 sur la protection des données ; et (vi) le règlement de 2003 sur la vie privée et les communications électroniques (directive CE) ; dans chaque cas, tels que mis à jour, modifiés ou remplacés de temps à autre. Les termes « personne concernée », « données à caractère personnel », « violation de données à caractère personnel », « traitement », « sous-traitant », « responsable du traitement » et « autorité de contrôle » ont le sens qui leur est donné dans le RGPD.

1.8 « Personne concernée » : toute personne physique dont les données à caractère personnel sont traitées par un responsable du traitement ou un sous-traitant.

1.9 « Violation de données à caractère personnel » : une faille de sécurité entraînant la destruction, la perte, l’altération, la divulgation non autorisée ou l’accès non autorisé, de manière accidentelle ou illicite, à des données à caractère personnel transmises, stockées ou traitées de toute autre manière.

1.10 « Traitement » : toute opération ou tout ensemble d’opérations effectuées sur des données à caractère personnel ou sur des ensembles de données à caractère personnel, par des moyens automatisés ou non, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction.

1.11 « Données à caractère personnel » : toute information se rapportant à une personne physique identifiée ou identifiable (« personne concernée ») ; est réputée identifiable une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale.

1.12 On entend par « transfert soumis à restriction »: (i) un transfert de données à caractère personnel du responsable du traitement vers le sous-traitant ; ou (ii) un transfert ultérieur de données à caractère personnel du sous-traitant vers un sous-traitant secondaire, ou entre deux établissements du sous-traitant, dans chaque cas où ce transfert serait interdit par les lois sur la protection des données (ou par les termes des accords de transfert de données mis en place pour répondre aux restrictions en matière de transfert de données prévues par les lois sur la protection des données).

1.13 Le terme « clauses contractuelles types »désigne les clauses contractuelles types approuvées par la Commission européenne dans sa décision 2021/914 du 4 juin 2021, relatives aux transferts de données à caractère personnel vers des pays qui ne sont pas autrement reconnus par la Commission européenne comme offrant un niveau de protection adéquat des données à caractère personnel (telles que modifiées et mises à jour de temps à autre).

1.4 Le terme « sous-traitant » désigne un tiers qui a besoin de connaître ou d’accéder de quelque manière que ce soit aux données à caractère personnel du client afin de permettre à la société de s’acquitter de ses obligations au titre du présent avenant ou du contrat, et qui est soit (1) mentionné à l’annexe III, soit (2) autorisé ultérieurement en vertu de la clause 9 des clauses contractuelles types (SCC) figurant dans le présent avenant.

1.5 Le terme « Services » a le sens qui lui est donné dans le Contrat.

2) Traitement des données à caractère personnel

2.1 Les parties reconnaissent et conviennent qu’en ce qui concerne le traitement des données à caractère personnel du Client, ce dernier est le responsable du traitement ou un sous-traitant du responsable du traitement, et vFairs est le sous-traitant.

2.2 vFairs veillera à ce que les sous-traitants ne traitent les données à caractère personnel du Client que conformément aux instructions écrites de ce dernier, ou lorsque le traitement est requis par les lois applicables auxquelles vFairs ou les sous-traitants sont soumis ; dans ce dernier cas, vFairs informera le Client de cette obligation légale avant le traitement, sauf si la loi interdit une telle notification.

2.3Le Client donne pour instruction à vFairs (et autorise vFairs à donner pour instruction à chaque sous-traitant) de, dans la mesure où cela est raisonnablement nécessaire à la fourniture des Services : (a) traiter les Données à caractère personnel du Client ; (b) de transférer les Données personnelles du Client vers tout pays ou territoire, sous réserve du respect de la section 10 (Transferts transfrontaliers) ci-dessous ; et (c) de faire appel à tout Sous-traitant, sous réserve du respect de la section 9 (Sous-traitance) ci-dessous. Si le Client en fait la demande et que cela est stipulé dans un Contrat, vFairs stockera les Données personnelles du Client dans un centre de données situé dans l’Union européenne. Le Client accepte que des contraintes techniques puissent s’appliquer à l’utilisation d’un centre de données situé dans l’Union européenne, comme précisé plus en détail dans le Contrat applicable ou comme indiqué autrement au Client.

2.4 Conformément à la CCPA et aux exigences de celle-ci, vFairs traitera les Données à caractère personnel du Client dans la mesure nécessaire à la fourniture des Services décrits dans le Contrat et uniquement aux fins indiquées par le Client, d’une manière conforme au présent Avenant. vFairs ne conservera, n’utilisera ni ne divulguera ces Données à caractère personnel du Client à aucune autre fin que celle de fournir les Services, ce qui, pour éviter toute ambiguïté, interdit à vFairs de conserver, d’utiliser ou de divulguer les Données à caractère personnel du Client en dehors de la relation commerciale directe avec le Client ou à toute autre fin commerciale. vFairs s’engage à ne pas vendre, louer, communiquer, divulguer, diffuser, mettre à disposition, transférer ou communiquer de quelque autre manière que ce soit ces Données à caractère personnel du Client à un tiers en échange d’une contrepartie pécuniaire ou de toute autre contrepartie de valeur. vFairs certifie qu’elle comprend les restrictions énoncées dans la présente section 2.4 et qu’elle s’y conformera. Le Client accepte que vFairs puisse anonymiser ou agréger les Données personnelles du Client et d’autres données liées aux Services afin d’en faire des Données anonymes, lesquelles pourront ensuite être utilisées aux fins de l’exploitation et de l’amélioration des services et des opérations de vFairs, ainsi qu’à d’autres fins de recherche, d’analyse et à des fins connexes. vFairs peut conserver des données anonymes dans le cadre de ses propres registres et informations, et ces données ne seront plus soumises au Contrat ni au présent avenant. Le terme « données anonymes » désigne les données qui ont été anonymisées et/ou agrégées avec d’autres données dans une mesure telle que les données du Client ne sont plus identifiables, et que les personnes physiques ne sont plus identifiées, identifiables, liées ou associables, ni ne peuvent être identifiées d’une quelconque autre manière par référence à d’autres ensembles de données ou par combinaison avec ceux-ci.

2.5Le Client s’engage à ce que (a) la transmission par le Client de ses Données à caractère personnel et de ses instructions relatives au Traitement des Données à caractère personnel soit conforme aux Lois sur la protection des données et à ce que le Client reste, à tout moment pertinent, dûment et effectivement habilité à donner les instructions énoncées dans la présente section (Traitement des Données à caractère personnel) (b) le Client traitera, dans le cadre de l’utilisation des Services, les Données à caractère personnel conformément aux exigences des Lois sur la protection des données ; et (c) le Client fournira toutes les informations requises aux Personnes concernées et obtiendra tous les consentements nécessaires de leur part en ce qui concerne le traitement des Données à caractère personnel du Client, tel qu’envisagé dans le présent Avenant et dans le Contrat, ou conformément à toute autre instruction donnée par le Client.

2.6 L’annexe 1 du présent addendum précise l’objet et la durée du traitement, la nature et la finalité de celui-ci, ainsi que les catégories de données à caractère personnel et de personnes concernées, conformément à l’article 28, paragraphe 3, du RGPD. Chacune des parties peut apporter à l’annexe 1 les modifications raisonnables qu’elle juge nécessaires pour satisfaire aux exigences de l’article 28, paragraphe 3, du RGPD, en fournissant à l’autre partie une annexe 1 mise à jour ou complémentaire.

3) Le personnel de vFairs

vFairs prendra toutes les mesures raisonnables pour garantir la fiabilité de tout salarié, mandataire ou prestataire susceptible d'avoir accès aux données à caractère personnel du client, en veillant à ce que ces personnes soient soumises à des obligations de confidentialité, qu'elles soient de nature professionnelle ou légale.

4) Sécurité

vFairs mettra en œuvre les mesures techniques et organisationnelles appropriées, telles que définies à l'annexe 2 (Mesures techniques et organisationnelles), destinées à garantir un niveau de sécurité adapté aux risques liés au traitement des données à caractère personnel des clients. Pour évaluer le niveau de sécurité approprié, vFairs tiendra compte notamment des risques liés au traitement, en particulier ceux découlant de la destruction, de la perte, de l’altération, de la divulgation non autorisée ou de l’accès non autorisé, accidentels ou illicites, aux données à caractère personnel transmises, stockées ou traitées de toute autre manière.

5) Violation de données à caractère personnel

vFairs informera le Client sans délai injustifié si elle constate une violation de données à caractère personnel impliquant les données à caractère personnel du Client et lui fournira les informations (dans la mesure où elles sont disponibles) nécessaires pour l’aider à respecter toute obligation de signalement d’une violation de données à caractère personnel en vertu des lois sur la protection des données. vFairs coopérera avec le Client et prendra toutes les mesures raisonnables convenues de bonne foi par les parties afin de faciliter l’enquête, l’atténuation des conséquences et la remédiation de chaque violation de données. Dans la mesure où le Client est responsable d’une violation de données à caractère personnel, il remboursera à vFairs tous les frais raisonnablement et dûment engagés par vFairs dans l’exécution de ses obligations au titre de la présente section (y compris les frais internes et les frais de tiers, notamment les honoraires d’avocat).

6) Droits des personnes concernées et des consommateurs

vFairs informera sans délai le Client si elle reçoit une demande émanant d’une personne concernée ou d’un consommateur habilité à exercer un droit en vertu de la législation applicable concernant les Données à caractère personnel du Client qui se rapportent à cette personne concernée ou à ce consommateur. Sur demande, vFairs apportera au Client une assistance raisonnable, dans la mesure nécessaire, afin de lui permettre de s’acquitter de ses obligations en vertu des lois applicables pour répondre à ces demandes relatives à ses Données à caractère personnel. Compte tenu de la nature du Traitement, cette assistance inclura, dans la mesure du possible, la mise en œuvre de mesures techniques et organisationnelles raisonnables et appropriées permettant au Client de répondre efficacement à ces demandes.

7) Analyse d'impact relative à la protection des données et consultation préalable

Sur demande et sous réserve de la nature du traitement concerné et des informations dont dispose vFairs, cette dernière apportera une assistance raisonnable au Client pour toute évaluation d’impact relative à la protection des données et toute consultation préalable auprès d’une autorité de contrôle, telles que requises par la législation applicable en matière de protection des données. Le Client remboursera intégralement à vFairs tous les frais raisonnablement et dûment engagés par celle-ci dans l’exécution de ses obligations au titre de la présente section (y compris les frais internes et les frais de tiers, notamment les honoraires d’avocat).

8) Droits d'audit

8.1 Sur demande écrite du Client, vFairs mettra à la disposition du Client les informations raisonnablement nécessaires pour démontrer le respect par vFairs du présent avenant, et autorisera et facilitera les contrôles effectués par un auditeur tiers indépendant et qualifié désigné par le Client, concernant le traitement des données à caractère personnel du Client par vFairs ou ses sous-traitants.

8.2 Le Client informera vFairs, dans un délai raisonnable, de tout audit ou inspection devant être effectué en vertu de la présente section et prendra (et veillera à ce que chacun de ses auditeurs mandatés prenne) toutes les mesures raisonnables pour éviter de causer tout dommage, préjudice ou perturbation aux locaux, équipements, personnel et activités de vFairs ou de tout sous-traitant au cours d’un tel audit. Sauf disposition contraire de la loi applicable ou d’une autorité de contrôle compétente, tout audit ou toute inspection sera effectué(e) pendant les heures normales de travail, à raison d’au plus une fois par année civile. Le Client remboursera intégralement à vFairs tous les frais raisonnablement et dûment engagés par vFairs dans l’exécution de ses obligations en vertu de la présente section (y compris les frais internes, les frais de tiers, notamment les honoraires d’avocat, et les frais engagés par vFairs au titre des audits d’autres sous-traitants). Toute information obtenue en vertu de la présente section restera confidentielle et ne sera divulguée à aucune personne sans le consentement exprès de vFairs, et le Client veillera à ce que tout auditeur, agent, membre du personnel ou toute autre personne ou entité participant à cet audit soit soumis à des obligations de confidentialité écrites appropriées.

9) Sous-traitance

9.1 Le Client autorise vFairs à désigner des sous-traitants (et à permettre à chaque sous-traitant désigné conformément à la présente section d’en désigner à son tour). Le Client accepte expressément que vFairs puisse continuer à recourir aux autres sous-traitants déjà engagés par vFairs à la date du présent avenant.

9.2 Les parties s’efforceront de bonne foi de résoudre les objections du Client concernant la désignation de tout sous-traitant secondaire. Pendant cette période, la prestation des Services pourrait être affectée ; le Client accepte que vFairs ne soit pas responsable d’une telle incidence. Si les parties ne parviennent pas à résoudre l’objection du Client dans un délai de 90 jours, le Client pourra résilier sans pénalité la partie du Contrat relative aux Services que vFairs déclare ne pas pouvoir fournir sans recourir au sous-traitant faisant l’objet de l’objection, et vFairs remboursera au Client les montants prépayés mais non utilisés correspondant à cette partie ; dans le cas contraire, le Contrat restera pleinement en vigueur.

9.3 En ce qui concerne chaque sous-traitant secondaire, vFairs s’engage à : (a) faire preuve d’une diligence commercialement raisonnable dans l’évaluation, la désignation et la supervision des activités de traitement concernées des sous-traitants secondaires ; (b) inclure dans le contrat conclu entre vFairs et chaque sous-traitant secondaire des clauses offrant un niveau de protection des données à caractère personnel du client équivalent à celui prévu dans le présent avenant, en tenant compte de la nature des services fournis par le sous-traitant secondaire ; (c) si l’accord implique un transfert soumis à restriction des données à caractère personnel du client, vFairs veillera à ce que les clauses contractuelles types soient intégrées à tout moment dans l’accord conclu entre vFairs et le sous-traitant ; et (d) restera responsable envers le client de tout manquement de la part de chaque sous-traitant à ses obligations relatives au traitement des données à caractère personnel du client, comme si ce manquement était le sien.

10) Transferts transfrontaliers

Le Client, en tant qu’exportateur de données, et vFairs, en tant qu’importateur de données, signent par la présente les clauses contractuelles types ci-jointes, qui s’appliquent aux Données à caractère personnel du Client et prennent effet en cas de transfert soumis à des restrictions des Données à caractère personnel du Client. En ce qui concerne les données à caractère personnel du Client soumises à des lois sur la protection des données autres que celles de l’EEE ou du Royaume-Uni, qui s’appliquent aux transferts soumis à des restrictions, dans les clauses contractuelles types, les termes « État membre » et « État » sont remplacés partout par le mot « juridiction », le terme « autorité de contrôle » désignera l’autorité de protection des données compétente ou tout autre organisme public habilité à faire respecter les lois sur la protection des données, et les références aux « lois applicables en matière de protection des données » et à la « directive 95/46/CE » seront remplacées par les « lois applicables en matière de protection des données » telles que définies dans les présentes.

11) Suppression ou restitution des données à caractère personnel

À la résiliation ou à l’expiration du Contrat (à moins que la poursuite du Traitement ne fasse l’objet d’un contrat nouveau ou modifié) et dans la mesure où la loi applicable ne l’interdit pas, vFairs mettra fin au Traitement dans un délai de 90 jours et supprimera ou restituera les Données personnelles du Client. Si le Client n’informe pas vFairs de son choix quant à la restitution ou à la suppression de ces Données personnelles du Client au moins 30 jours après la résiliation ou l’expiration du Contrat, il sera alors réputé avoir opté pour la suppression. Les parties conviennent que vFairs n’est pas tenue de restituer ni de supprimer les Données anonymes à la fin du Contrat.

12) Limitation de responsabilité

La responsabilité globale de vFairs découlant du présent avenant ou s'y rapportant, qu'elle soit contractuelle, délictuelle ou fondée sur tout autre fondement juridique, est soumise aux limitations de responsabilité prévues dans le Contrat. Dans la mesure où la législation sur la protection des données le permet, les limitations de responsabilité entre la Société et le Client s'appliquent à la responsabilité entre la Société et le Client telle que définie dans les clauses contractuelles types, étant entendu que la présente disposition ne modifie en rien la responsabilité envers une personne concernée au titre des clauses contractuelles types.

13) Divers.

13.1 Interprétation. Les clauses et conditions du présent accord sur le traitement des données (DPA) sont soumises aux clauses et conditions du Contrat, étant entendu qu’en cas de conflit direct concernant la protection des données entre les clauses et conditions du présent DPA et celles du Contrat, le présent DPA prévaudra.

13.2 Modifications. Aucune modification, aucun amendement ni aucune modification du présent accord de traitement des données (DPA) ne sera valable s'il n'est pas formulé par écrit et signé par un représentant habilité de chacune des parties.

13.3 Nullité. Si une disposition du présent accord de traitement des données (DPA) venait à être jugée nulle ou inapplicable en vertu d’une loi applicable, cette disposition nulle ou inapplicable serait alors réputée remplacée par une disposition valide et applicable qui se rapproche le plus possible de l’intention de la disposition initiale, et le reste du DPA resterait en vigueur.

13.4 Durée. Le présent accord sur le traitement des données (DPA) prendra effet à la date d'entrée en vigueur du Contrat ou à la date à laquelle la dernière partie l'aura signé, si celui-ci est conclu après la date d'entrée en vigueur du Contrat. Le DPA restera en vigueur jusqu'à la résiliation du Contrat.

13.5 Maintien en vigueur. Les droits et obligations respectifs des parties au titre du présent accord sur le traitement des données (DPA) resteront en vigueur après la résiliation du DPA dans la mesure nécessaire à la réalisation de leurs objectifs.

13.6 Absence de tiers bénéficiaires – Sauf si les lois sur la protection des données l’exigent expressément pour une personne concernée dans le cadre des clauses contractuelles types, aucune disposition du présent avenant n’a pour objet de bénéficier à une personne physique ou morale qui n’est pas partie au présent avenant, et aucune personne physique ou morale qui n’est pas partie au présent avenant n’aura le droit de faire valoir ou d’obtenir un droit ou un recours en rapport avec celui-ci.

EN FOI DE QUOI, les parties aux présentes ont signé le présent accord de traitement des données.

vFairs LLC :

CLIENT :

Signatures : ________________________

Nom :______________________

Titre : __________________________

Date : _________________________

Signatures : ________________________

Nom :______________________

Titre :___________________________

Date : __________________________

CLAUSES CONTRACTUELLES TYPES

SECTION I

Article 1

Objet et champ d'application

(a) Les présentes clauses contractuelles types ont pour objet de garantir le respect des exigences du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données) en ce qui concerne le transfert de données vers un pays tiers.

(b) Les parties :

________________[Nom du client], une entité constituée conformément à la législation de [ ________________], dont l' adresse professionnelle à [ _______________________ ]

Lorsque l’exportateur de données est un sous-traitant soumis au règlement (UE) 2016/679 agissant pour le compte d’une institution ou d’un organe de l’Union agissant en qualité de responsable du traitement, le recours à ces clauses lors du recours à un autre sous-traitant (sous-traitance en cascade) non soumis au règlement (UE) 2016/679 garantit également le respect de l’article 29, paragraphe 4, du règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) n° 45/2001 et la décision n° 1247/2002/CE (JO L 295 du 21.11.2018, p. 39), dans la mesure où ces clauses et les obligations en matière de protection des données prévues dans le contrat ou tout autre acte juridique conclu entre le responsable du traitement et le sous-traitant conformément à l’article 29, paragraphe 3, du règlement (UE) 2018/1725 sont alignées. Ce sera notamment le cas lorsque le responsable du traitement et le sous-traitant se fondent sur les clauses contractuelles types figurant dans la décision 2021/915.

vFairs LLC une société constituée en vertu des lois de l'État du Delaware, dont le siège social au 1510 Randolph St, Ste 208, Carrollton, TX 75006

(i) la ou les personnes physiques ou morales, les autorités publiques, les agences ou autres organismes (ci-après dénommés « entités ») transférant les données à caractère personnel, tels qu’énumérés à l’annexe I.A (ci-après dénommés individuellement « exportateurs de données »), et

(ii) la ou les entités situées dans un pays tiers qui reçoivent les données à caractère personnel de la part de l’exportateur de données, directement ou indirectement par l’intermédiaire d’une autre entité également partie aux présentes clauses, telles qu’énumérées à l’annexe I.A (ci-après dénommées individuellement « importateur de données »)

ont accepté les présentes clauses contractuelles types (ci-après dénommées « les clauses »).

(d) L'appendice aux présentes clauses, qui contient les annexes qui y sont mentionnées, fait partie intégrante des présentes clauses.

Article 2

Validité et caractère immuable des clauses

(a) Les présentes clauses prévoient des garanties appropriées, notamment des droits exécutoires pour les personnes concernées et des recours juridiques efficaces, conformément à l’article 46, paragraphe 1, et à l’article 46, paragraphe 2, point c), du règlement (UE) 2016/679 et, en ce qui concerne les transferts de données des responsables du traitement vers les sous-traitants et/ou entre sous-traitants, des clauses contractuelles types conformément à l’article 28, paragraphe 7, du règlement (UE) 2016/679, à condition qu’elles ne soient pas modifiées, sauf pour sélectionner le ou les modules appropriés ou pour ajouter ou mettre à jour des informations dans l’annexe. Cela n’empêche pas les parties d’inclure les clauses contractuelles types prévues dans les présentes clauses dans un contrat plus large et/ou d’ajouter d’autres clauses ou garanties supplémentaires, à condition qu’elles ne contredisent pas, directement ou indirectement, les présentes clauses ni ne portent atteinte aux droits ou libertés fondamentaux des personnes concernées.

(b) Les présentes clauses ne portent pas atteinte aux obligations auxquelles l'exportateur de données est soumis en vertu du règlement (UE) 2016/679.

Article 3

Bénéficiaires tiers

(a) Les personnes concernées peuvent invoquer et faire valoir les présentes clauses, en tant que tiers bénéficiaires, à l’encontre de l’exportateur de données et/ou de l’importateur de données, sous réserve des exceptions suivantes :

(i) Clause 1, Clause 2, Clause 3, Clause 6, Clause 7 ;

(ii) Clause 8 – Module 1 : clause 8.5 (e) et clause 8.9(b) ; Module 2 : clause 8.1(b), 8.9(a), (c), (d) et (e) ; Module trois : clause 8.1 (a), (c) et (d) et clause 8.9 (a), (c), (d), (e), (f) et (g) ; Module quatre : clause 8.1 (b) et clause 8.3 (b) ;

(iii) Article 9 – Module 2 : alinéas a), c), d) et e) de l’article 9 ; Module 3 : alinéas a), c), d) et e) de l’article 9 ;

(iv) Article 12 – Module 1 : alinéas a) et d) de l’article 12 ; Modules 2 et 3 : alinéas a), d) et f) de l’article 12 ;

(v) Article 13 ;

(vi) Clause 15.1(c), (d) et (e) ;

(vii) Clause 16(e) ;

(viii) Article 18 – Modules 1, 2 et 3 : alinéas (a) et (b) de l’article 18 ; Module 4 : article 18.

(b) Le paragraphe (a) ne porte pas atteinte aux droits des personnes concernées en vertu du règlement (UE) 2016/679.

Article 4

Interprétation

(a) Lorsque les présentes clauses utilisent des termes définis dans le règlement (UE) 2016/679, ces termes ont la même signification que dans ledit règlement.

(b) Les présentes clauses doivent être lues et interprétées à la lumière des dispositions du règlement (UE) 2016/679.

(c) Les présentes clauses ne doivent pas être interprétées d’une manière qui soit en contradiction avec les droits et obligations prévus par le règlement (UE) 2016/679.

Article 5

Hiérarchie

En cas de contradiction entre les présentes clauses et les dispositions des accords connexes conclus entre les parties, qu'ils soient en vigueur au moment de la conclusion des présentes clauses ou conclus ultérieurement, les présentes clauses prévaudront.

Article 6

Description du ou des virements

Les détails relatifs au(x) transfert(s), et notamment les catégories de données à caractère personnel transférées ainsi que la ou les finalités de ces transferts, sont précisés à l’annexe I.B.

Article 7 – Facultatif

Clause de rattachement

(a) Une entité qui n’est pas partie aux présentes clauses peut, avec l’accord des parties, y adhérer à tout moment, soit en tant qu’exportateur de données, soit en tant qu’importateur de données, en remplissant l’appendice et en signant l’annexe I.A.

(b) Une fois qu'elle aura rempli l'appendice et signé l'annexe I.A, l'entité adhérente deviendra partie aux présentes clauses et se verra conférer les droits et obligations d'un exportateur ou d'un importateur de données, conformément à sa désignation figurant à l'annexe I.A.

(c) L’entité adhérente n’aura aucun droit ni aucune obligation découlant des présentes clauses pour la période antérieure à son adhésion en tant que Partie.

SECTION II – OBLIGATIONS DES PARTIES

Article 8

Mesures de protection des données

L'exportateur de données garantit avoir déployé tous les efforts raisonnables pour s'assurer que l'importateur de données est en mesure, grâce à la mise en œuvre de mesures techniques et organisationnelles appropriées, de respecter les obligations qui lui incombent en vertu des présentes clauses.

MODULE 2 : Transfert du contrôleur vers le processeur

8.1 Instructions

(a) L’importateur de données ne traite les données à caractère personnel que sur la base d’instructions documentées de l’exportateur de données. L’exportateur de données peut donner ces instructions pendant toute la durée du contrat.

(b) L'importateur de données doit immédiatement informer l'exportateur de données s'il n'est pas en mesure de suivre ces instructions.

8.2 Limitation de la finalité

L'importateur de données ne traite les données à caractère personnel qu'aux fins spécifiques du transfert, telles que définies à l'annexe I.B, sauf instruction contraire de l'exportateur de données.

8.3 Transparence

Sur demande, l’exportateur de données met gratuitement à la disposition de la personne concernée une copie des présentes clauses, y compris l’annexe telle que complétée par les parties. Dans la mesure nécessaire à la protection des secrets d’affaires ou d’autres informations confidentielles, y compris les mesures décrites à l’annexe II et les données à caractère personnel, l’exportateur de données peut expurger une partie du texte de l’annexe aux présentes clauses avant d’en communiquer une copie, mais il doit fournir un résumé pertinent lorsque, sans cela, la personne concernée ne serait pas en mesure de comprendre son contenu ou d’exercer ses droits. Sur demande, les parties communiquent à la personne concernée les motifs des expurgations, dans la mesure du possible sans révéler les informations expurgées. La présente clause ne porte pas atteinte aux obligations de l’exportateur de données au titre des articles 13 et 14 du règlement (UE) 2016/679.

8.4 Précision

Si l'importateur de données constate que les données à caractère personnel qu'il a reçues sont inexactes ou ne sont plus à jour, il en informe l'exportateur de données sans retard injustifié. Dans ce cas, l'importateur de données coopère avec l'exportateur de données en vue de l'effacement ou de la rectification des données.

8.5 Durée du traitement et effacement ou restitution des données

Le traitement par l’importateur de données n’aura lieu que pendant la durée spécifiée à l’annexe I.B. À l’issue de la prestation des services de traitement, l’importateur de données devra, au choix de l’exportateur de données, soit effacer toutes les données à caractère personnel traitées pour le compte de ce dernier et certifier à ce dernier qu’il l’a fait, soit restituer à l’exportateur de données toutes les données à caractère personnel traitées pour son compte et effacer les copies existantes. Jusqu’à ce que les données soient effacées ou restituées, l’importateur de données continue de garantir le respect des présentes clauses. Si la législation locale applicable à l’importateur de données interdit la restitution ou l’effacement des données à caractère personnel, l’importateur de données garantit qu’il continuera à assurer le respect des présentes clauses et ne traitera ces données que dans la mesure et pendant la durée requises par cette législation locale. Ceci est sans préjudice de la clause 14, en particulier de l’obligation faite à l’importateur de données, en vertu de la clause 14, point e), d’informer l’exportateur de données, pendant toute la durée du contrat, s’il a des raisons de croire qu’il est ou est devenu soumis à des lois ou pratiques non conformes aux exigences de la clause 14, point a).

8.6 Sécurité du traitement

(a) L’importateur de données et, pendant la transmission, l’exportateur de données doivent mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir la sécurité des données, y compris la protection contre toute violation de la sécurité entraînant la destruction, la perte, l’altération, la divulgation non autorisée ou l’accès non autorisé à ces données (ci-après dénommée « violation de données à caractère personnel »). Lorsqu’elles évaluent le niveau de sécurité approprié, les parties tiennent dûment compte de l’état de la technique, des coûts de mise en œuvre, de la nature, de la portée, du contexte et de la ou des finalités du traitement, ainsi que des risques que ce traitement présente pour les personnes concernées. Les parties envisagent en particulier de recourir au chiffrement ou à la pseudonymisation, y compris pendant la transmission, lorsque la finalité du traitement peut être atteinte de cette manière. En cas de pseudonymisation, les informations supplémentaires permettant d’attribuer les données à caractère personnel à une personne concernée spécifique restent, dans la mesure du possible, sous le contrôle exclusif de l’exportateur de données. Pour se conformer aux obligations qui lui incombent en vertu du présent paragraphe, l’importateur de données met au moins en œuvre les mesures techniques et organisationnelles spécifiées à l’annexe II. L’importateur de données procède à des contrôles réguliers afin de s’assurer que ces mesures continuent d’assurer un niveau de sécurité approprié.

(b) L’importateur de données n’accorde l’accès aux données à caractère personnel aux membres de son personnel que dans la mesure strictement nécessaire à la mise en œuvre, à la gestion et au suivi du contrat. Il veille à ce que les personnes autorisées à traiter les données à caractère personnel se soient engagées à respecter la confidentialité ou soient soumises à une obligation légale de confidentialité appropriée.

(c) En cas de violation de données à caractère personnel concernant les données traitées par l’importateur de données en vertu des présentes clauses, celui-ci prendra les mesures appropriées pour remédier à cette violation, y compris des mesures visant à en atténuer les effets négatifs. L'importateur de données doit également notifier l'exportateur de données sans retard injustifié dès qu'il a pris connaissance de la violation. Cette notification doit contenir les coordonnées d'un point de contact auprès duquel des informations complémentaires peuvent être obtenues, une description de la nature de la violation (y compris, si possible, les catégories et le nombre approximatif de personnes concernées et d'enregistrements de données à caractère personnel concernés), ses conséquences probables et les mesures prises ou proposées pour y remédier, y compris, le cas échéant, des mesures visant à atténuer ses effets négatifs éventuels. Lorsque, et dans la mesure où, il n’est pas possible de fournir toutes les informations en même temps, la notification initiale doit contenir les informations alors disponibles et les informations complémentaires doivent, dès qu’elles sont disponibles, être fournies par la suite sans retard injustifié.

(d) L’importateur de données coopère avec l’exportateur de données et lui apporte son aide afin de permettre à ce dernier de se conformer aux obligations qui lui incombent en vertu du règlement (UE) 2016/679, notamment en ce qui concerne la notification à l’autorité de contrôle compétente et aux personnes concernées, en tenant compte de la nature du traitement et des informations dont dispose l’importateur de données.

8.7 Données sensibles

Lorsque le transfert porte sur des données à caractère personnel révélant l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, ou l’appartenance syndicale, des données génétiques ou des données biométriques visant à identifier de manière unique une personne physique, des données relatives à la santé, à la vie sexuelle ou à l’orientation sexuelle d’une personne, ou des données relatives aux condamnations pénales et aux infractions (ci-après dénommées « données sensibles »), l’importateur de données applique les restrictions spécifiques et/ou les garanties supplémentaires décrites à l’annexe I.B.

8.8 Transferts ultérieurs

Le destinataire des données ne peut communiquer les données à caractère personnel à un tiers que sur instruction écrite de l’exportateur des données. En outre, les données ne peuvent être communiquées à un tiers établi en dehors de l’Union européenne(2) (dans le même pays que l’importateur de données ou dans un autre pays tiers, ci-après dénommé «transfert ultérieur») si ce tiers est lié par les présentes clauses, au titre du module approprié, ou accepte de s’y conformer, ou si :

(i) le transfert ultérieur est effectué vers un pays bénéficiant d’une décision d’adéquation au titre de l’article 45 du règlement (UE) 2016/679 qui couvre ce transfert ultérieur ;

(ii) le tiers garantit par ailleurs des mesures de protection appropriées conformément aux articles 46 ou 47 du règlement (UE) 2016/679 en ce qui concerne le traitement en question ;

(iii) le transfert ultérieur est nécessaire à la constatation, à l'exercice ou à la défense de droits en justice dans le cadre de procédures administratives, réglementaires ou judiciaires spécifiques ; ou

(iv) le transfert ultérieur est nécessaire pour protéger les intérêts vitaux de la personne concernée ou d’une autre personne physique.

Tout transfert ultérieur est subordonné au respect, par le destinataire des données, de toutes les autres garanties prévues par les présentes clauses, en particulier la limitation de la finalité.

(2) L'accord sur l'Espace économique européen (accord EEE) prévoit l'extension du marché intérieur de l'Union européenne aux trois États membres de l'EEE, à savoir l'Islande, le Liechtenstein et la Norvège. La législation de l'Union en matière de protection des données, y compris le règlement (UE) 2016/679, est couverte par l'accord EEE et a été intégrée à son annexe XI. Par conséquent, toute communication de données par l’importateur de données à un tiers situé dans l’EEE ne constitue pas un transfert ultérieur au sens des présentes clauses.

8.9 Documentation et conformité

(a) L’importateur de données doit répondre rapidement et de manière adéquate aux demandes de renseignements de l’exportateur de données concernant le traitement effectué en vertu des présentes clauses.

(b) Les parties doivent être en mesure de démontrer qu’elles respectent les présentes clauses. En particulier, l’importateur de données doit conserver une documentation appropriée relative aux activités de traitement effectuées pour le compte de l’exportateur de données.

(c) L’importateur de données met à la disposition de l’exportateur de données toutes les informations nécessaires pour démontrer le respect des obligations énoncées dans les présentes clauses et, à la demande de l’exportateur de données, autorise et facilite les audits des activités de traitement couvertes par les présentes clauses, à des intervalles raisonnables ou s’il existe des indices de non-conformité. Pour décider d’un contrôle ou d’un audit, l’exportateur de données peut tenir compte des certifications pertinentes détenues par l’importateur de données.

(d) L’exportateur de données peut choisir de réaliser lui-même l’audit ou de mandater un auditeur indépendant. Les audits peuvent inclure des inspections dans les locaux ou les installations physiques de l’importateur de données et doivent, le cas échéant, être effectués moyennant un préavis raisonnable.

(e) Les parties mettent à la disposition de l'autorité de contrôle compétente, sur demande, les informations visées aux paragraphes (b) et (c), y compris les résultats de tout audit.

MODULE 3 : Transfert de processeur à processeur

8.1 Instructions

(a) L’exportateur de données a informé l’importateur de données qu’il agit en tant que sous-traitant selon les instructions de son ou ses responsables du traitement, lesquelles l’exportateur de données doit mettre à la disposition de l’importateur de données avant le traitement.

(b) L’importateur de données ne traite les données à caractère personnel que sur la base d’instructions documentées du responsable du traitement, telles qu’elles lui ont été communiquées par l’exportateur de données, ainsi que de toute instruction supplémentaire documentée émanant de l’exportateur de données. Ces instructions supplémentaires ne doivent pas être en contradiction avec celles du responsable du traitement. Le responsable du traitement ou l’exportateur de données peut donner d’autres instructions documentées concernant le traitement des données pendant toute la durée du contrat.

(c) L'importateur de données doit immédiatement informer l'exportateur de données s'il n'est pas en mesure de suivre ces instructions. Lorsque l'importateur de données n'est pas en mesure de suivre les instructions du responsable du traitement, l'exportateur de données doit immédiatement en informer le responsable du traitement.

(d) L’exportateur de données garantit qu’il a imposé à l’importateur de données les mêmes obligations en matière de protection des données que celles prévues dans le contrat ou tout autre acte juridique relevant du droit de l’Union ou du droit d’un État membre conclu entre le responsable du traitement et l’exportateur de données(5)

(5) Voir l’article 28, paragraphe 4, du règlement (UE) 2016/679 et, lorsque le responsable du traitement est une institution ou un organe de l’Union européenne, l’article 29, paragraphe 4, du règlement (UE) 2018/1725. .

8.2 Limitation de la finalité

L'importateur de données ne traite les données à caractère personnel qu'aux fins spécifiques du transfert, telles que définies à l'annexe I. B., sauf instructions supplémentaires émanant du responsable du traitement, telles que communiquées à l'importateur de données par l'exportateur de données, ou émanant de l'exportateur de données.

8.3 Transparence

Sur demande, l’exportateur de données met gratuitement à la disposition de la personne concernée une copie des présentes clauses, y compris l’annexe telle que complétée par les parties. Dans la mesure nécessaire à la protection des secrets d’affaires ou d’autres informations confidentielles, y compris les données à caractère personnel, l’exportateur de données peut expurger une partie du texte de l’annexe avant d’en communiquer une copie, mais il doit fournir un résumé pertinent lorsque la personne concernée ne serait pas en mesure, sans cela, d’en comprendre le contenu ou d’exercer ses droits. Sur demande, les parties communiquent à la personne concernée les motifs des expurgations, dans la mesure du possible sans révéler les informations expurgées.

8,4 Précision

8.5 Durée du traitement et effacement ou restitution des données

Le traitement par l’importateur de données n’aura lieu que pendant la durée spécifiée à l’annexe I.B. À l’issue de la prestation des services de traitement, l’importateur de données devra, au choix de l’exportateur de données, soit effacer toutes les données à caractère personnel traitées pour le compte du responsable du traitement et certifier à l’exportateur de données qu’il l’a fait, soit restituer à l’exportateur de données toutes les données à caractère personnel traitées pour son compte et effacer les copies existantes. Jusqu’à ce que les données soient effacées ou restituées, l’importateur de données continue de garantir le respect des présentes clauses. Si la législation locale applicable à l’importateur de données interdit la restitution ou l’effacement des données à caractère personnel, l’importateur de données garantit qu’il continuera à assurer le respect des présentes clauses et ne traitera ces données que dans la mesure et pendant la durée requises par cette législation locale. Ceci est sans préjudice de la clause 14, en particulier de l’obligation faite à l’importateur de données, en vertu de la clause 14(e), d’informer l’exportateur de données, pendant toute la durée du contrat, s’il a des raisons de croire qu’il est ou est devenu soumis à des lois ou pratiques non conformes aux exigences de la clause 14(a).

8.6 Sécurité du traitement

(a) L’importateur de données et, pendant la transmission, l’exportateur de données doivent mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir la sécurité des données, y compris la protection contre toute violation de la sécurité entraînant la destruction, la perte, l’altération, la divulgation non autorisée ou l’accès non autorisé à ces données, de manière accidentelle ou illicite (ci-après dénommée « violation de données à caractère personnel »). Lorsqu’ils évaluent le niveau de sécurité approprié, ils tiennent dûment compte de l’état de la technique, des coûts de mise en œuvre, de la nature, de la portée, du contexte et de la ou des finalités du traitement, ainsi que des risques que ce traitement présente pour la personne concernée. Les parties envisagent en particulier de recourir au chiffrement ou à la pseudonymisation, y compris pendant la transmission, lorsque la finalité du traitement peut être atteinte de cette manière. En cas de pseudonymisation, les informations supplémentaires permettant d’attribuer les données à caractère personnel à une personne concernée spécifique restent, dans la mesure du possible, sous le contrôle exclusif de l’exportateur de données ou du responsable du traitement. Pour se conformer aux obligations qui lui incombent en vertu du présent paragraphe, l’importateur de données met au moins en œuvre les mesures techniques et organisationnelles spécifiées à l’annexe II. L’importateur de données procède à des contrôles réguliers afin de s’assurer que ces mesures continuent d’assurer un niveau de sécurité approprié.

(b) L’importateur de données ne doit accorder l’accès aux données aux membres de son personnel que dans la mesure strictement nécessaire à la mise en œuvre, à la gestion et au suivi du contrat. Il doit veiller à ce que les personnes autorisées à traiter les données à caractère personnel se soient engagées à respecter la confidentialité ou soient soumises à une obligation légale de confidentialité appropriée.

(c) En cas de violation de données à caractère personnel concernant des données à caractère personnel traitées par l’importateur de données en vertu des présentes clauses, l’importateur de données prend les mesures appropriées pour remédier à cette violation, y compris des mesures visant à en atténuer les effets négatifs. L’importateur de données notifie également, sans retard injustifié, l’exportateur de données et, le cas échéant et dans la mesure du possible, le responsable du traitement dès qu’il a pris connaissance de la violation. Cette notification doit contenir les coordonnées d’un point de contact auprès duquel des informations complémentaires peuvent être obtenues, une description de la nature de la violation (y compris, si possible, les catégories et le nombre approximatif de personnes concernées et d’enregistrements de données à caractère personnel concernés), ses conséquences probables et les mesures prises ou proposées pour y remédier, y compris celles visant à atténuer ses effets négatifs éventuels. Lorsque, et dans la mesure où, il n’est pas possible de fournir toutes les informations en même temps, la notification initiale contient les informations alors disponibles et les informations complémentaires sont, dès qu’elles sont disponibles, fournies par la suite sans retard injustifié.

(d) L’importateur de données coopère avec l’exportateur de données et lui apporte son aide afin de permettre à ce dernier de se conformer aux obligations qui lui incombent en vertu du règlement (UE) 2016/679, notamment de notifier le fait au responsable du traitement afin que ce dernier puisse, à son tour, en informer l’autorité de contrôle compétente et les personnes concernées, en tenant compte de la nature du traitement et des informations dont dispose l’importateur de données.

8,7 Données sensibles

Lorsque le transfert porte sur des données à caractère personnel révélant l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, ou l’appartenance syndicale, sur des données génétiques ou biométriques destinées à identifier de manière unique une personne physique, sur des données relatives à la santé, à la vie sexuelle ou à l’orientation sexuelle d’une personne, ou sur des données relatives aux condamnations pénales et aux infractions (ci-après dénommées « données sensibles »), l’importateur de données applique les restrictions spécifiques et/ou les garanties supplémentaires prévues à l’annexe I.B.

8,8 Transferts ultérieurs

L'importateur de données ne peut communiquer les données à caractère personnel à un tiers que sur instruction écrite du responsable du traitement, telle qu'elle lui a été transmise par l'exportateur de données. En outre, les données ne peuvent être communiquées qu'à un tiers établi en dehors de l'Union européenne(6)

(6) L’accord sur l’Espace économique européen (accord EEE) prévoit l’extension du marché intérieur de l’Union européenne aux trois États membres de l’EEE que sont l’Islande, le Liechtenstein et la Norvège. La législation de l’Union en matière de protection des données, y compris le règlement (UE) 2016/679, est couverte par l’accord EEE et a été intégrée à son annexe XI. Par conséquent, toute communication par l’importateur de données à un tiers situé dans l’EEE ne constitue pas un transfert ultérieur au sens des présentes clauses (dans le même pays que l’importateur de données ou dans un autre pays tiers, ci-après dénommé «transfert ultérieur») si ce tiers est lié par les présentes clauses, au titre du module approprié, ou s’il accepte d’y être lié, ou si :

(i) le transfert ultérieur est destiné à un pays bénéficiant d'une décision d'adéquation au titre de l'article 45 du règlement (UE) 2016/679 qui couvre ce transfert ultérieur ;

(ii) le tiers garantit par ailleurs des mesures de protection appropriées conformément aux articles 46 ou 47 du règlement (UE) 2016/679 ;

(iv) le transfert ultérieur est nécessaire pour protéger les intérêts vitaux de la personne concernée ou d’une autre personne physique.

8.9 Documentation et conformité

(a) L'importateur de données doit répondre rapidement et de manière adéquate aux demandes de renseignements de l'exportateur de données ou du responsable du traitement concernant le traitement effectué en vertu des présentes clauses.

(b) Les parties doivent être en mesure de démontrer qu’elles respectent les présentes clauses. En particulier, l’importateur de données doit conserver une documentation appropriée sur les activités de traitement effectuées pour le compte du responsable du traitement.

(d) L’importateur de données doit autoriser et faciliter les audits menés par l’exportateur de données sur les activités de traitement couvertes par les présentes clauses, à des intervalles raisonnables ou en cas d’indices de non-conformité. Il en va de même lorsque l’exportateur de données demande un audit sur instruction du responsable du traitement. Pour décider de la réalisation d’un audit, l’exportateur de données peut tenir compte des certifications pertinentes détenues par l’importateur de données.

(e) Lorsque l’audit est réalisé sur instruction du responsable du traitement, l’exportateur de données met les résultats à la disposition du responsable du traitement.

(f) L’exportateur de données peut choisir de réaliser lui-même l’audit ou de mandater un auditeur indépendant. Les audits peuvent inclure des inspections dans les locaux ou les installations physiques de l’importateur de données et doivent, le cas échéant, être effectués moyennant un préavis raisonnable.

(g) Les parties mettent à la disposition de l'autorité de contrôle compétente, sur demande, les informations visées aux paragraphes (b) et (c), y compris les résultats de tout audit.

Article 9

Recours à des sous-traitants secondaires

MODULE 2 : Transfert du contrôleur vers le processeur

(a) AUTORISATION GÉNÉRALE ÉCRITE : L’importateur de données dispose de l’autorisation générale de l’exportateur de données pour faire appel à un ou plusieurs sous-traitants figurant sur une liste convenue. L’importateur de données doit informer expressément l’exportateur de données par écrit de toute modification envisagée de cette liste, qu’il s’agisse de l’ajout ou du remplacement de sous-traitants, au moins 30 jours à l’avance, afin de laisser à l’exportateur de données un délai suffisant pour s’opposer à ces modifications avant le recours au(x) sous-traitant(s). L’importateur de données doit fournir à l’exportateur de données les informations nécessaires pour permettre à ce dernier d’exercer son droit d’opposition.

(b) Lorsque l’importateur de données fait appel à un sous-traitant pour effectuer des activités de traitement spécifiques (pour le compte de l’exportateur de données), il doit le faire au moyen d’un contrat écrit prévoyant, en substance, les mêmes obligations en matière de protection des données que celles qui lient l’importateur de données en vertu des présentes clauses, y compris en ce qui concerne les droits des personnes concernées en tant que tiers bénéficiaires.(3) Les parties conviennent que, en se conformant à la présente clause, l’importateur de données remplit ses obligations au titre de la clause 8.8. L’importateur de données veille à ce que le sous-traitant respectant les obligations auxquelles l’importateur de données est soumis en vertu des présentes clauses.

(c) L’importateur de données doit fournir, à la demande de l’exportateur de données, une copie dudit accord de sous-traitance et de toute modification ultérieure à l’exportateur de données. Dans la mesure nécessaire à la protection des secrets d’affaires ou d’autres informations confidentielles, y compris les données à caractère personnel, l’importateur de données peut expurger le texte de l’accord avant d’en communiquer une copie.

(d) L’importateur de données reste pleinement responsable envers l’exportateur de données de l’exécution des obligations du sous-traitant en vertu de son contrat avec l’importateur de données. L’importateur de données informe l’exportateur de données de tout manquement du sous-traitant à ses obligations en vertu dudit contrat.

(e) L’importateur de données doit convenir avec le sous-traitant d’une clause de tiers bénéficiaire prévoyant que, dans le cas où l’importateur de données aurait disparu de fait, cessé d’exister en droit ou serait devenu insolvable, l’exportateur de données aurait le droit de résilier le contrat de sous-traitance et d’ordonner au sous-traitant d’effacer ou de restituer les données à caractère personnel.

3) Cette exigence peut être satisfaite par l'adhésion du sous-traitant à ces clauses dans le cadre du module approprié, conformément à la clause 7.

MODULE 3 : Transfert de processeur à processeur

AUTORISATION GÉNÉRALE ÉCRITE L’importateur de données dispose de l’autorisation générale du responsable du traitement pour faire appel à un ou plusieurs sous-traitants figurant sur une liste convenue. L’importateur de données doit informer expressément le responsable du traitement par écrit de toute modification envisagée de cette liste, qu’il s’agisse de l’ajout ou du remplacement de sous-traitants, au moins [Préciser le délai] à l’avance, laissant ainsi au responsable du traitement suffisamment de temps pour s’opposer à ces modifications avant le recours au(x) sous-traitant(s). L’importateur de données fournira au responsable du traitement les informations nécessaires pour lui permettre d’exercer son droit d’opposition. L’importateur de données informera l’exportateur de données du recours au(x) sous-traitant(s).

(b) Lorsque l’importateur de données fait appel à un sous-traitant pour effectuer des activités de traitement spécifiques (pour le compte du responsable du traitement), il doit le faire au moyen d’un contrat écrit prévoyant, en substance, les mêmes obligations en matière de protection des données que celles qui lient l’importateur de données en vertu des présentes clauses, y compris en ce qui concerne les droits des personnes concernées en tant que tiers bénéficiaires.(9)

(9) Cette exigence peut être satisfaite par l’adhésion du sous-traitant à la présente clause, dans le cadre du module approprié, conformément à la clause 7. Les parties conviennent que, en se conformant à la présente clause, l’importateur de données remplit ses obligations au titre de la clause 8.8. L’importateur de données veille à ce que le sous-traitant respecte les obligations auxquelles l’importateur de données est soumis en vertu de la présente clause.

(c) L’importateur de données fournit, à la demande de l’exportateur de données ou du responsable du traitement, une copie de cet accord de sous-traitance et de toute modification ultérieure. Dans la mesure nécessaire à la protection des secrets d’affaires ou d’autres informations confidentielles, y compris les données à caractère personnel, l’importateur de données peut expurger le texte de l’accord avant d’en communiquer une copie.

Article 10

Droits des personnes concernées

MODULE 2 : Transfert du contrôleur vers le processeur

(a) L'importateur de données informe sans délai l'exportateur de données de toute demande qu'il a reçue d'une personne concernée. Il ne répond pas lui-même à cette demande, sauf s'il y a été autorisé par l'exportateur de données.

(b) L’importateur de données aide l’exportateur de données à s’acquitter de ses obligations de répondre aux demandes des personnes concernées visant à exercer leurs droits en vertu du règlement (UE) 2016/679. À cet égard, les parties définissent à l’annexe II les mesures techniques et organisationnelles appropriées, en tenant compte de la nature du traitement, par lesquelles cette assistance doit être fournie, ainsi que la portée et l’étendue de l’assistance requise.

(c) Dans l'exécution de ses obligations au titre des paragraphes (a) et (b), l'importateur de données doit se conformer aux instructions de l'exportateur de données.

MODULE 3 : Transfert de processeur à processeur

(a) L’importateur de données informe sans délai l’exportateur de données et, le cas échéant, le responsable du traitement, de toute demande qu’il a reçue d’une personne concernée, sans y répondre à moins d’y avoir été autorisé par le responsable du traitement.

(b) L’importateur de données aide, le cas échéant en coopération avec l’exportateur de données, le responsable du traitement à s’acquitter de ses obligations de répondre aux demandes des personnes concernées visant à exercer leurs droits en vertu du règlement (UE) 2016/679 ou du règlement (UE) 2018/1725, selon le cas. À cet égard, les parties définissent à l’annexe II les mesures techniques et organisationnelles appropriées, en tenant compte de la nature du traitement, par lesquelles cette assistance doit être fournie, ainsi que la portée et l’étendue de l’assistance requise.

Article 11

Réparation

(a) L’importateur de données informe les personnes concernées, dans un format transparent et facilement accessible, par le biais d’une notification individuelle ou sur son site web, de l’existence d’un point de contact habilité à traiter les réclamations. Il traite sans délai toute réclamation qu’il reçoit d’une personne concernée.

[OPTION : L’importateur de données accepte que les personnes concernées puissent également déposer une réclamation auprès d’un organisme indépendant de règlement des litiges (4) sans frais pour la personne concernée. Il doit informer les personnes concernées, selon les modalités prévues au paragraphe (a), de l’existence de ce mécanisme de recours et du fait qu’elles ne sont pas tenues de l’utiliser ni de suivre une procédure particulière pour obtenir réparation.]

(b) En cas de litige entre une personne concernée et l’une des parties concernant le respect des présentes clauses, cette partie mettra tout en œuvre pour résoudre le litige à l’amiable et dans les meilleurs délais. Les parties se tiendront mutuellement informées de ces litiges et, le cas échéant, coopéreront pour les résoudre.

(c) Lorsque la personne concernée invoque un droit de tiers bénéficiaire en vertu de la clause 3, l’importateur de données doit accepter la décision de la personne concernée de :

(i) déposer une réclamation auprès de l'autorité de contrôle de l'État membre dans lequel il a sa résidence habituelle ou son lieu de travail, ou auprès de l'autorité de contrôle compétente conformément à la clause 13 ;

(ii) soumettre le litige aux tribunaux compétents au sens de la clause 18.

(d) Les parties conviennent que la personne concernée peut être représentée par un organisme, une organisation ou une association à but non lucratif dans les conditions prévues à l’article 80, paragraphe 1, du règlement (UE) 2016/679.

(e) L'importateur de données doit se conformer à toute décision ayant force obligatoire en vertu du droit de l'Union européenne ou du droit d'un État membre applicable.

(f) L'importateur de données s'engage à ce que le choix effectué par la personne concernée ne porte pas atteinte à ses droits, tant sur le fond que sur la forme, de former un recours conformément à la législation applicable.

(4) L'importateur de données ne peut proposer un mode de règlement des litiges indépendant par le biais d'un organisme d'arbitrage que s'il est établi dans un pays ayant ratifié la Convention de New York pour la reconnaissance et l'exécution des sentences arbitrales.

Article 12

Responsabilité

(a) Chaque partie est responsable envers l'autre ou les autres parties de tout préjudice qu'elle leur cause en raison d'une violation des présentes clauses.

(b) L’importateur de données est responsable envers la personne concernée, et celle-ci a droit à une indemnisation, pour tout préjudice matériel ou moral que l’importateur de données ou son sous-traitant cause à la personne concernée en violant les droits des tiers bénéficiaires prévus par les présentes clauses.

(c) Nonobstant le paragraphe (b), l’exportateur de données est responsable envers la personne concernée, et celle-ci a droit à une indemnisation, pour tout préjudice matériel ou moral que l’exportateur de données ou l’importateur de données (ou son sous-traitant) lui cause en violant les droits des tiers bénéficiaires prévus par les présentes clauses. Cela ne porte pas atteinte à la responsabilité de l’exportateur de données et, lorsque celui-ci est un sous-traitant agissant pour le compte d’un responsable du traitement, à la responsabilité du responsable du traitement en vertu du règlement (UE) 2016/679 ou du règlement (UE) 2018/1725, selon le cas.

(d) Les parties conviennent que si l’exportateur de données est tenu responsable, en vertu du paragraphe (c), des dommages causés par l’importateur de données (ou son sous-traitant), il est en droit de réclamer à l’importateur de données la partie de l’indemnisation correspondant à la part de responsabilité de ce dernier dans le dommage.

(e) Lorsque plusieurs Parties sont responsables d'un préjudice causé à la personne concernée à la suite d'une violation des présentes clauses, toutes les Parties responsables sont solidairement responsables et la personne concernée est en droit d'intenter une action en justice contre l'une quelconque de ces Parties.

(f) Les parties conviennent que si l’une d’entre elles est tenue pour responsable en vertu du paragraphe (e), elle est en droit de réclamer à l’autre ou aux autres parties la partie de l’indemnisation correspondant à leur part de responsabilité dans le préjudice.

(g) L’importateur de données ne peut invoquer le comportement d’un sous-traitant pour se soustraire à sa propre responsabilité.

Article 13

Supervision

[Lorsque l’exportateur de données est établi dans un État membre de l’UE :] L’autorité de contrôle chargée de veiller au respect, par l’exportateur de données, du règlement (UE) 2016/679 en ce qui concerne le transfert de données, telle qu’indiquée à l’annexe I.C, fait office d’autorité de contrôle compétente.

[Lorsque l’exportateur de données n’est pas établi dans un État membre de l’UE, mais relève du champ d’application territorial du règlement (UE) 2016/679 conformément à son article 3, paragraphe 2, et a désigné un représentant en vertu de l’article 27, paragraphe 1, du règlement (UE) 2016/679 :] L’autorité de contrôle de l’État membre dans lequel le représentant au sens de l’article 27, paragraphe 1, du règlement (UE) 2016/679 est établi, comme indiqué à l’annexe I.C, fait office d’autorité de contrôle compétente.

[Lorsque l’exportateur de données n’est pas établi dans un État membre de l’UE, mais relève du champ d’application territorial du règlement (UE) 2016/679 conformément à son article 3, paragraphe 2, sans toutefois être tenu de désigner un représentant en vertu de l’article 27, paragraphe 2, du règlement (UE) 2016/679 :] L’autorité de contrôle de l’un des États membres dans lesquels se trouvent les personnes concernées dont les données à caractère personnel sont transférées en vertu des présentes clauses dans le cadre de l’offre de biens ou de services à leur intention, ou dont le comportement fait l’objet d’un suivi, comme indiqué à l’annexe I.C, agit en tant qu’autorité de contrôle compétente.

(b) L'importateur de données s'engage à se soumettre à la compétence de l'autorité de contrôle compétente et à coopérer avec celle-ci dans le cadre de toute procédure visant à garantir le respect des présentes clauses. En particulier, l'importateur de données s'engage à répondre aux demandes de renseignements, à se soumettre à des audits et à se conformer aux mesures adoptées par l'autorité de contrôle, y compris les mesures correctives et compensatoires. Il fournit à l'autorité de contrôle une confirmation écrite attestant que les mesures nécessaires ont été prises.

SECTION III – LÉGISLATION LOCALE ET OBLIGATIONS EN CAS D’ACCÈS PAR LES AUTORITÉS PUBLIQUES

Article 14

Lois et pratiques locales ayant une incidence sur le respect des clauses

(a) Les parties garantissent qu’elles n’ont aucune raison de croire que les lois et pratiques en vigueur dans le pays tiers de destination applicables au traitement des données à caractère personnel par l’importateur de données, y compris toute obligation de divulgation de données à caractère personnel ou toute mesure autorisant l’accès par les autorités publiques, empêchent l’importateur de données de remplir ses obligations au titre des présentes clauses. Cette garantie repose sur le principe selon lequel les lois et pratiques qui respectent l’essence même des droits et libertés fondamentaux et qui ne vont pas au-delà de ce qui est nécessaire et proportionné dans une société démocratique pour préserver l’un des objectifs énumérés à l’article 23, paragraphe 1, du règlement (UE) 2016/679 ne sont pas en contradiction avec les présentes clauses.

(b) Les Parties déclarent qu’en accordant la garantie visée au paragraphe (a), elles ont dûment tenu compte, en particulier, des éléments suivants :

(i) les circonstances spécifiques du transfert, notamment la longueur de la chaîne de traitement, le nombre d’acteurs impliqués et les canaux de transmission utilisés ; les transferts ultérieurs envisagés ; le type de destinataire ; la finalité du traitement ; les catégories et le format des données à caractère personnel transférées ; le secteur économique dans lequel le transfert a lieu ; le lieu de stockage des données transférées ;

(ii) les lois et pratiques du pays tiers de destination – y compris celles qui exigent la communication de données aux autorités publiques ou qui autorisent l’accès de ces autorités à ces données –, pertinentes au regard des circonstances spécifiques du transfert, ainsi que les limitations et garanties applicables(5);

(iii) toutes les mesures de protection contractuelles, techniques ou organisationnelles pertinentes mises en place pour compléter les mesures de protection prévues par les présentes clauses, y compris les mesures appliquées lors de la transmission et du traitement des données à caractère personnel dans le pays de destination.

(c) L’importateur de données garantit que, dans le cadre de l’évaluation visée au paragraphe (b), il a mis tout en œuvre pour fournir à l’exportateur de données les informations pertinentes et s’engage à continuer de coopérer avec ce dernier afin d’assurer le respect des présentes clauses.

(d) Les parties conviennent de consigner par écrit l'évaluation visée au paragraphe (b) et de la mettre à la disposition de l'autorité de contrôle compétente à sa demande.

(e) L’importateur de données s’engage à informer sans délai l’exportateur de données si, après avoir accepté les présentes clauses et pendant toute la durée du contrat, il a des raisons de croire qu’il est ou est devenu soumis à des lois ou pratiques non conformes aux exigences du paragraphe (a), y compris à la suite d’une modification de la législation du pays tiers ou d’une mesure (telle qu’une demande de divulgation) indiquant une application de ces lois dans la pratique qui n’est pas conforme aux exigences du paragraphe (a).

(f) À la suite d’une notification effectuée conformément au paragraphe (e), ou si l’exportateur de données a par ailleurs des raisons de croire que l’importateur de données n’est plus en mesure de remplir ses obligations au titre des présentes clauses, l’exportateur de données identifie sans délai les mesures appropriées (par exemple, des mesures techniques ou organisationnelles visant à garantir la sécurité et la confidentialité) devant être adoptées par l’exportateur de données et/ou l’importateur de données pour remédier à la situation. L’exportateur de données suspend le transfert de données s’il estime qu’aucune garantie appropriée ne peut être assurée pour ce transfert, ou s’il en reçoit l’instruction de l’autorité de contrôle compétente. Dans ce cas, l’exportateur de données est en droit de résilier le contrat, dans la mesure où celui-ci concerne le traitement de données à caractère personnel en vertu des présentes clauses. Si le contrat implique plus de deux parties, l’exportateur de données ne peut exercer ce droit de résiliation qu’à l’égard de la partie concernée, sauf accord contraire entre les parties. Lorsque le contrat est résilié en vertu de la présente clause, les alinéas d) et e) de la clause 16 s’appliquent.

(5) En ce qui concerne l’impact de ces lois et pratiques sur le respect des présentes clauses, différents éléments peuvent être pris en compte dans le cadre d’une évaluation globale. Ces éléments peuvent inclure une expérience pratique pertinente et documentée concernant des demandes antérieures de divulgation émanant d’autorités publiques, ou l’absence de telles demandes, couvrant une période suffisamment représentative. Il s’agit en particulier de registres internes ou d’autres documents, établis de manière continue conformément au devoir de diligence et certifiés au niveau de la direction générale, à condition que ces informations puissent être légalement communiquées à des tiers. Lorsque cette expérience pratique est invoquée pour conclure que rien n’empêchera le destinataire des données de se conformer aux présentes clauses, elle doit être étayée par d’autres éléments pertinents et objectifs, et il appartient aux parties d’examiner attentivement si ces éléments, pris dans leur ensemble, ont un poids suffisant, en termes de fiabilité et de représentativité, pour étayer cette conclusion. En particulier, les parties doivent examiner si leur expérience pratique est corroborée et non contredite par des informations fiables, accessibles au public ou par d’autres moyens, concernant l’existence ou l’absence de demandes au sein du même secteur et/ou l’application de la loi dans la pratique, telles que la jurisprudence et les rapports d’organismes de contrôle indépendants.

Article 15

Obligations de l'importateur de données en cas d'accès par les autorités publiques

15.1 Notification

(a) L'importateur de données s'engage à informer sans délai l'exportateur de données et, dans la mesure du possible, la personne concernée (si nécessaire avec l'aide de l'exportateur de données) s'il :

(i) reçoit une demande juridiquement contraignante émanant d’une autorité publique, y compris des autorités judiciaires, en vertu de la législation du pays de destination, visant la divulgation de données à caractère personnel transférées conformément aux présentes clauses ; cette notification doit comporter des informations sur les données à caractère personnel demandées, l’autorité requérante, la base juridique de la demande et la réponse fournie ; ou

(ii) prend connaissance de tout accès direct par les autorités publiques aux données à caractère personnel transférées en vertu des présentes clauses, conformément à la législation du pays de destination ; cette notification doit inclure toutes les informations dont dispose l’importateur.

(b) Si la législation du pays de destination interdit à l’importateur de données d’informer l’exportateur de données et/ou la personne concernée, l’importateur de données s’engage à tout mettre en œuvre pour obtenir une dérogation à cette interdiction, afin de communiquer autant d’informations que possible, dans les meilleurs délais. L’importateur de données s’engage à consigner par écrit les efforts qu’il a déployés afin de pouvoir en apporter la preuve à la demande de l’exportateur de données.

(c) Lorsque la législation du pays de destination le permet, l'importateur de données s'engage à fournir à l'exportateur de données, à intervalles réguliers pendant toute la durée du contrat, autant d'informations pertinentes que possible sur les demandes reçues (notamment le nombre de demandes, le type de données demandées, l'autorité ou les autorités requérantes, si les demandes ont fait l'objet de contestations et l'issue de ces contestations, etc.).

(d) L'importateur de données s'engage à conserver les informations visées aux paragraphes (a) à (c) pendant toute la durée du contrat et à les mettre à la disposition de l'autorité de contrôle compétente à sa demande.

(e) Les paragraphes (a) à (c) ne portent pas atteinte à l’obligation qui incombe à l’importateur de données, en vertu des clauses 14(e) et 16, d’informer sans délai l’exportateur de données lorsqu’il n’est pas en mesure de se conformer aux présentes clauses.

15.2 Contrôle de la légalité et minimisation des données

(a) L’importateur de données s’engage à examiner la légalité de la demande de communication, notamment à vérifier si celle-ci relève des compétences conférées à l’autorité publique requérante, et à contester la demande s’il conclut, après une évaluation minutieuse, qu’il existe des motifs raisonnables de considérer que la demande est illégale au regard de la législation du pays de destination, des obligations applicables en vertu du droit international et des principes de courtoisie internationale. L’importateur de données doit, dans les mêmes conditions, explorer les voies de recours. Lorsqu’il conteste une demande, l’importateur de données doit solliciter des mesures provisoires en vue de suspendre les effets de la demande jusqu’à ce que l’autorité judiciaire compétente se soit prononcée sur le fond. Il ne doit pas divulguer les données à caractère personnel demandées tant qu’il n’y est pas tenu en vertu des règles de procédure applicables. Ces exigences ne portent pas atteinte aux obligations de l’importateur de données au titre de la clause 14(e).

(b) The data importer agrees to document its legal assessment and any challenge to the request for disclosure and, to the extent permissible under the laws of the country of destination, make the documentation available to the data exporter. It shall also make it available to the competent supervisory authority on request.

(c) The data importer agrees to provide the minimum amount of information permissible when responding to a request for disclosure, based on a reasonable interpretation of the request.

SECTION IV – FINAL PROVISIONS

Clause 16

Non-compliance with the Clauses and termination

(a) The data importer shall promptly inform the data exporter if it is unable to comply with these Clauses, for whatever reason.

(b) In the event that the data importer is in breach of these Clauses or unable to comply with these Clauses, the data exporter shall suspend the transfer of personal data to the data importer until compliance is again ensured or the contract is terminated. This is without prejudice to Clause 14(f).

(c) The data exporter shall be entitled to terminate the contract, insofar as it concerns the processing of personal data under these Clauses, where:

(i) the data exporter has suspended the transfer of personal data to the data importer pursuant to paragraph (b) and compliance with these Clauses is not restored within a reasonable time and in any event within one month of suspension;

(ii) the data importer is in substantial or persistent breach of these Clauses; or

(iii) the data importer fails to comply with a binding decision of a competent court or supervisory authority regarding its obligations under these Clauses.

In these cases, it shall inform the competent supervisory authority of such non-compliance. Where the contract involves more than two Parties, the data exporter may exercise this right to termination only with respect to the relevant Party, unless the Parties have agreed otherwise.

(d) Personal data that has been transferred prior to the termination of the contract pursuant to paragraph (c) shall at the choice of the data exporter immediately be returned to the data exporter or deleted in its entirety. The same shall apply to any copies of the data. The data importer shall certify the deletion of the data to the data exporter. Until the data is deleted or returned, the data importer shall continue to ensure compliance with these Clauses. In case of local laws applicable to the data importer that prohibit the return or deletion of the transferred personal data, the data importer warrants that it will continue to ensure compliance with these Clauses and will only process the data to the extent and for as long as required under that local law.

(e) Either Party may revoke its agreement to be bound by these Clauses where (i) the European Commission adopts a decision pursuant to Article 45(3) of Regulation (EU) 2016/679 that covers the transfer of personal data to which these Clauses apply; or (ii) Regulation (EU) 2016/679 becomes part of the legal framework of the country to which the personal data is transferred. This is without prejudice to other obligations applying to the processing in question under Regulation (EU) 2016/679.

Clause 17

Governing law

These Clauses shall be governed by the law of one of the EU Member States, provided such law allows for third-party beneficiary rights. The Parties agree that this shall be the law of EU Member State in which the data exporter is established.

Clause 18

Choice of forum and jurisdiction

(a) Any dispute arising from these Clauses shall be resolved by the courts of an EU Member State.

(b) The Parties agree that those shall be the courts of EU Member State in which the data exporter is established.

(c) A data subject may also bring legal proceedings against the data exporter and/or data importer before the courts of the Member State in which he/she has his/her habitual residence.

(d) The Parties agree to submit themselves to the jurisdiction of such courts.

APPENDIX

EXPLANATORY NOTE:

It must be possible to clearly distinguish the information applicable to each transfer or category of transfers and, in this regard, to determine the respective role(s) of the Parties as data exporter(s) and/or data importer(s). This does not necessarily require completing and signing separate appendices for each transfer/category of transfers and/or contractual relationship, where this transparency can achieved through one appendix. However, where necessary to ensure sufficient clarity, separate appendices should be used.

ANNEX I

LIST OF PARTIES

Data exporter(s): [Identity and contact details of the data exporter(s) and, where applicable, of its/their data protection officer and/or representative in the European Union]

Name: ___________________________________________

Address: _________________________________________

Contact person’s name, position and contact details: _________________________

___________________________________________________________________

Activities relevant to the data transferred under these Clauses:

Processing as necessary for virtual events of Customer on the vFairs platform and any other services in accordance with the DPA and the Service Agreement

__________________________________________________________________

___________________________________________________________________

Signature and date: ___________________________________________________

Role: Controller

Data importer(s): [Identity and contact details of the data importer(s), including any contact person with responsibility for data protection]

Name: ___vFairs LLC________________________________________

Address: 1510 Randolph St Ste 208, Carrollton, TX 75006, USA__________

Contact person’s name, position and contact details: _________________________

Rizwan Tanveer, Data Protection Officer, [email protected]

Activities relevant to the data transferred under these Clauses:

Processing as necessary for virtual events of Customer on the vFairs platform and any other services in accordance with the DPA and the Service Agreement

Signature and date: _____________________________

Role: Processor

B. DESCRIPTION OF TRANSFER

Categories of data subjects whose personal data is transferred

Virtual event participants, exhibitors, speakers and other data subjects as necessary for the services provided to Customer.

Categories of personal data transferred

Company processes Personal Data contained in Customer Account Data, Customer Usage Data, and any Personal Data provided by Customer or collected by Company in order to provide the Services or as otherwise set forth in the Agreement or this Addendum. Categories of Personal Data may include first name, last name, email ID, IP address etc.

Sensitive data transferred (if applicable) and applied restrictions or safeguards that fully take into consideration the nature of the data and the risks involved, such as for instance strict purpose limitation, access restrictions (including access only for staff having followed specialised training), keeping a record of access to the data, restrictions for onward transfers or additional security measures.

Not Applicable

The frequency of the transfer (e.g. whether the data is transferred on a one-off or continuous basis).

During the term of the Agreement on a periodic basis and/or at the discretion of the Customer.

Nature of the processing

Company will process Customer’s Personal Data as necessary to provide the Services under the Agreement, for the purposes specified in the Agreement and this Addendum, and in accordance with Customer’s instructions as set forth in this Addendum.

Purpose(s) of the data transfer and further processing

Processing as necessary for virtual events of Customer on the Company platform and any other services in accordance with the DPA and the Service Agreement

The period for which the personal data will be retained, or, if that is not possible, the criteria used to determine that period

Company will process Customer’s Personal Data as long as required (i) to provide the Services to Customer under the Agreement; (ii) for Company’s legitimate business needs; or (iii) by applicable law or regulation. Customer Account Data and Customer Usage Data will be processed and stored as set forth in Company’s privacy policy.

For transfers to (sub-) processors, also specify subject matter, nature and duration of the processing

Refer to Annex III.

C. COMPETENT SUPERVISORY AUTHORITY

Identify the competent supervisory authority/ies in accordance with Clause 13.

The supervisory authority shall be the supervisory authority of the Data Exporter, as determined in accordance with Clause 13.

ANNEX II

TECHNICAL AND ORGANISATIONAL MEASURES INCLUDING TECHNICAL AND ORGANISATIONAL MEASURES TO ENSURE THE SECURITY OF THE DATA

EXPLANATORY NOTE:

The technical and organisational measures must be described in specific (and not generic) terms. See also the general comment on the first page of the Appendix, in particular on the need to clearly indicate which measures apply to each transfer/set of transfers.

Description of the technical and organisational measures implemented by the data importer(s) (including any relevant certifications) to ensure an appropriate level of security, taking into account the nature, scope, context and purpose of the processing, and the risks for the rights and freedoms of natural persons.

Technical and Organizational Security Measure	Details
Measures of pseudonymisation and encryption of personal data	Company has deployed methods and protocols for secure transmission of confidential or sensitive information over public networks. Databases housing personal customer data are encrypted at rest. Company uses only recommended secure cipher suites and protocols to encrypt all traffic in transit and Customer Data is encrypted with strong ciphers and configurations when at rest.
Measures for ensuring ongoing confidentiality, integrity, availability and resilience of processing systems and services	Company’s customer agreements contain strict confidentiality obligations. Additionally, Company requires every downstream Subprocessor to sign confidentiality provisions that are substantially similar to those contained in Segment’s customer agreements. Company has undergone a SOC 2 Type 2 audit that includes the Security and Processing Integrity Trust Service Criteria.
Measures for ensuring the ability to restore the availability and access to personal data in a timely manner in the event of a physical or technical incident	Daily and weekly backups of production datastores are taken. Backups are periodically tested in accordance with information security and data management policies.
Processes for regularly testing, assessing and evaluating the effectiveness of technical and organizational measures in order to ensure the security of the processing	Company has undergone a SOC 2 Type 2 audit that includes the Security and Processing Integrity Trust Service Criteria.
Measures for user identification and authorization	Company uses secure access protocols and processes and follows industry standard practices for authentication, including Multifactor Authentication and Single Sign On (SSO). All production access requires the use of two-factor authentication, and network infrastructure is configured to vendor and industry practices to block all unnecessary ports, services, and unauthorized network traffic.
Measures for the protection of data during transmission	Company has deployed methods and protocols for secure transmission of confidential or sensitive information over public networks. Company uses only recommended secure cipher suites and protocols to encrypt all traffic in transit (i.e. TLS 1.2)
Measures for the protection of data during storage	Encryption-at-rest is automated using AWS’s transparent disk encryption, which uses industry standard AES-256 encryption to secure all volume (disk) data.
Measures for ensuring physical security of locations at which personal data are processed	We use AWS to host our infrastructure. AWS manages the physical security of its data centers with state-of-the-art controls. https://aws.amazon.com/compliance/data-center/controls/
Measures for ensuring events logging	Company monitors access to applications, tools, and resources that process or store Customer Data, including cloud services. Monitoring of security logs is managed by the security and engineering teams. Log activities are investigated when necessary and escalated appropriately.
Measures for ensuring system configuration, including default configuration	Company adheres to a change management process to administer changes to the production environment for the Services, including changes to its underlying software, applications, and systems. All production changes are automated through CI/CD tools to ensure consistent configurations.
Measures for internal IT and IT security governance and management	Company maintains a risk-based information security governance program. The framework for Company’s security program includes administrative, organizational, technical, and physical safeguards reasonably designed to protect the Services and confidentiality, integrity, and availability of Customer Data.
Measures for certification/assurance of processes and products	Company undergoes annual SOC 2 Type II audit.
Measures for ensuring data minimisation	Company’s Customers unilaterally determine what Customer PII Data they route through the Services. As such, Company operates on a shared responsibility model. Company gives Customers control over exactly what PII data enters the platform. Additionally, Company has built in self-service functionality to the Services that allows Customers to delete and suppress PII at their discretion.
Measures for ensuring data quality	Company has a multi-tiered approach for ensuring data quality. These measures include: (i) unit testing to ensure quality of logic used to process API calls, (ii) database schema validation rules which execute against data before it is saved to our database, (iii) a schema-first API design using GraphQL and strong typing to enforce a strict contract between official clients and API resolvers. Company applies these measures across the board, both to ensure the quality of any Usage Data that Company collects and to ensure that the Company Platform is operating within expected parameters. Company ensures that data quality is maintained from the time a Customer sends Customer Data into the Services and until that Customer Data is presented or exported.
Measures for ensuring limited data retention	Company Customers determine what Customer Data they route through the Services. As such, Company operates on a shared responsibility model. If a Customer is unable to delete Customer PII Data via the self-services functionality of the Services, then the Company deletes Customer Data upon the Customer’s written request, within the timeframe specified in the Data Protection Addendum and in accordance with Applicable Data Protection Law. All Customer Data is deleted from the Services following service termination.
Measures for ensuring accountability	Company has adopted measures for ensuring accountability, such as implementing data protection and information security policies across the business, recording and reporting Security Incidents involving Personal Data, and formally assigning roles and responsibilities for information security and data privacy functions. Additionally, the Company conducts regular third-party audits to ensure compliance with our privacy and security standards.
Measures for allowing data portability and ensuring erasure	All PII in the Services may be deleted by the Customer or at the Customer’s request. PII is incidental to the Company’s Services. Based on Privacy by Design and Data Minimization principles, Company severely limits the instances of PII collection and processing within the Services. Most use cases for porting PII from Company are not applicable. However, Company will respond to all requests for data porting in order to address Customer needs.
Technical and organizational measures of sub-processors	The Company enters into Data Processing Agreements with its Authorized Sub-Processors with data protection obligations substantially similar to those contained in this Addendum.

For transfers to (sub-) processors, also describe the specific technical and organisational measures to be taken by the (sub-) processor to be able to provide assistance to the controller and, for transfers from a processor to a sub-processor, to the data exporter

The Company enters into Data Processing Agreements with its Authorized Sub-Processors with data protection obligations substantially similar to those contained in this Addendum.

ANNEX III

LIST OF SUB-PROCESSORS

The controller has authorised the use of the following sub-processors:

Name: Amazon AWS, USA

Description of processing: Infrastructure Host

Name: Zoom, USA

Description of processing: Live Webinar Host

Name: Pubnub, USA

Description of processing: Integrated Chat Platform

Name: Vimeo, USA

Description of processing: Video Hosting

Name: Whereby, Norway

Description of processing: Video Conferencing

Serveur MCP de vFairs

MARCHÉ ET ACQUISITION

APPLICATIONS DÉDIÉES AUX ÉVÉNEMENTS

CONCEVOIR ET CONSTRUIRE

ANALYSES ET ÉLÉMENTS ESSENTIELS

GÉRER

ENGAGE

SUR PLACE

VIRTUEL

Événements en présentiel

Événements hybrides

Événements virtuels

FORMATES D'ÉVÉNEMENTS EN PRÉSENTIEL

Formats d'événements hybrides

Formats d'événements virtuels

Ressources

Médias

Ressources à la une

Avenant relatif au traitement des données à l'échelle mondiale

1) Définitions

2) Traitement des données à caractère personnel

3) Le personnel de vFairs

4) Sécurité

5) Violation de données à caractère personnel

6) Droits des personnes concernées et des consommateurs

7) Analyse d'impact relative à la protection des données et consultation préalable

8) Droits d'audit

9) Sous-traitance

10) Transferts transfrontaliers

11) Suppression ou restitution des données à caractère personnel

12) Limitation de responsabilité

13) Divers.

CLAUSES CONTRACTUELLES TYPES