Terms
Convention de traitement des données de Pax8
Dernière mise à jour: 15 octobre 2026
La présente Convention de traitement des données, y compris ses annexes et références (la CTD), s’applique dans tous les cas où l’une des parties à cette Convention traite des données à caractère personnel pour le compte de l’autre partie, et ce, afin de garantir que ce traitement est effectué conformément aux lois applicables et respecte les droits des personnes dont les données à caractère personnel sont traitées. Pour chaque activité de traitement, le terme « Responsable du traitement » désigne la partie qui donne des instructions conformes au droit applicable et dûment documentées, et le terme « Sous-traitant » désigne la partie qui traite les Données à caractère personnel pour le compte de celle-ci, y compris en qualité de sous-traitant ultérieur. Lorsque la partie qui donne les instructions agit elle-même en qualité de sous-traitant, le terme « Responsable du traitement » constitue une désignation contractuelle simplifiée et ne modifie pas son rôle juridique. Chacune des parties peut assumer l’un ou l’autre rôle; ce sont les fins et les moyens concrets qui déterminent le rôle juridique.
1. Définitions
Convention se réfère à la convention en vigueur entre Pax8 et l’autre partie concernant les Services;
Affilié désigne toute entité qui contrôle directement ou indirectement, est contrôlée par, ou est sous contrôle commun avec l’entité visée. Contrôle, aux fins de la présente définition, signifie la propriété ou le contrôle direct ou indirect de plus de 50 % des intérêts avec droit de vote de l’entité visée;
CCPA désigne la loi californienne de 2018 sur la protection de la vie privée des consommateurs (California Consumer Privacy Act);
Garanties contractuelles signifie (i) lorsque le RGPD est applicable, les CCT et (ii) lorsque le Règlement général sur la protection des données du Royaume-Uni (RGPD britannique) est applicable, les CCT tels que modifiées par l’Addendum britannique applicable figurant à l’Annexe 3 (l’Addendum britannique);
Les termes responsable du traitement, personne concernée, données à caractère personnel (sans préjudice de la définition en majuscules fournie plus loin), processus, traitement, sous-traitant auront les mêmes significations que celles définies par la Législation en matière de protection des données. Les autres termes pertinents, tels qu’entreprise, finalité de l’entreprise, consommateur, informations personnelles, vente (y compris les termes vente, vendre, vendu et autres variations de ceux-ci), prestataire de services et tiers, ont la signification qui leur est donnée par la CCPA;
Législation en matière de protection des données désigne les lois et réglementations nationales, fédérales, d’État, provinciales et locales applicables régissant l’utilisation et la divulgation des données à caractère personnel;
RGPD désigne le Règlement (UE) 2016/679 relatif à la protection des personnes physiques en ce qui concerne le traitement des données à caractère personnel et à la libre circulation desdites données, et abrogeant la directive 95/46/CE (directive sur la protection des données);
Pax8 désigne l’entité Pax8 qui est partie à la présente CTD et/ou à la présente Convention et qui traite des données à caractère personnel telles que définies en vertu de la Législation en matière de protection des données pertinente;
Données à caractère personnel désigne les données à caractère personnel que l’une des parties, en tant que Sous-traitant, traite pour le compte de l’autre partie, en tant que Responsable du traitement;
Violation de données à caractère personnel signifie une infraction à la sécurité entraînant accidentellement ou illégalement la destruction, la perte, l’altération, la divulgation, ou l’accès non autorisé à des Données à caractère personnel transmises, stockées ou traitées de toute autre manière;
Transfert restreint signifie : (i) lorsque le RGPD s’applique, un transfert de Données à caractère personnel de l’EEE vers un pays en dehors de l’EEE ou un transfert (ultérieur) d’un pays en dehors de l’EEE à l’intérieur du même pays ou vers un autre pays en dehors de l’EEE, qui ne font pas l’objet d’une décision d’adéquation en vertu de l’article 45 du RGPD de la Commission européenne; et (ii) lorsque le RGPD britannique s’applique, un transfert de Données à caractère personnel depuis le Royaume-Uni vers tout autre pays ou un transfert (ultérieur) depuis un pays en dehors du Royaume-Uni au sein du même pays ou vers un autre pays en dehors du Royaume-Uni, qui ne sont pas soumis à des règlements d’adéquation adoptés en vertu de l’article 45 (1) du RGPD britannique en conjonction avec la section 17A de la Loi britannique sur la protection des données de 2018;
Services désigne les services ou produits devant être fournis par l’une ou l’autre des parties conformément à toute Convention applicable;
CCT représente (i) les clauses contractuelles types entre responsables du traitement et sous-traitants adoptées par la Commission européenne dans sa décision d’exécution (UE) 2021/914 du 4 juin 2021, telles qu’elles figurent à l’Annexe 2 (les « Clauses 2021 entre Responsables du traitement et Sous-traitants »); ou (ii) les clauses contractuelles types entre sous-traitants adoptées par la Commission européenne dans sa décision d’exécution (UE) 2021/914 du 4 juin 2021 (les « Clauses 2021 entre Sous-traitants »); le cas échéant.
Sous-traitant ultérieur désigne tout sous-traitant engagé par le Sous-traitant qui accepte de recevoir des Données à caractère personnel destinées à être traitées pour le compte du Responsable du traitement dans le cadre des Services;
Autorité de contrôle signifie une autorité publique indépendante ou un autre organe juridique établi dans une juridiction soumise à la Législation en matière de protection des données et responsable du contrôle de la Législation applicable en matière de protection des données.
2. Portée et application de la présente CTD
2.1. La présente CTD s’appliquera lorsque la Convention l’incorpore et qu’une partie traite des Données à caractère personnel pour le compte de l’autre partie. Lorsque le Responsable du traitement agit en qualité de sous-traitant pour le compte de ses propres clients, il confirme qu’il est autorisé par ces derniers à conclure la présente CTD et à donner des instructions au Sous-traitant en leur nom. Le Sous-traitant agit alors en qualité de sous-traitant ultérieur du Responsable du traitement, lequel demeure responsable envers le Sous-traitant des instructions qu’il lui donne et de la garantie que ses clients sont liés par des stipulations conformes aux dispositions de la présente CTD. Les parties à la Convention acceptent de se conformer aux termes de la présente CTD qui est intégrée à la Convention et conclue par les parties en leur nom propre et au nom de leurs Affiliés.
2.2. L’objet, la nature, la finalité et la durée du traitement, les types de Données à caractère personnel, les catégories de personnes concernées, les durées de conservation, les lieux de traitement ainsi que les mesures techniques et organisationnelles applicables doivent être précisés avant le début du traitement dans la Convention ou dans une fiche de traitement des données versionnée expressément incorporée à celle-ci. Pour Pax8, ces informations sont celles publiées sur le Pax8 Trust Center, accessible à l’adresse https://trust.pax8.com/, ainsi que celles précisées, le cas échéant, dans les Conditions spécifiques aux produits, les Conditions des Services et/ou le Périmètre des Services. Les Conditions spécifiques à la juridiction énoncées à l’Annexe 1 s’appliquent également à toutes les Données à caractère personnel qui sont protégées par la Législation en matière de protection des données dans ces juridictions respectives. Les informations relatives au traitement complètent la présente CTD et sont soumises à la section 12.1.
2.3. Chaque partie doit se conformer à la Législation en matière de protection des données dans le cadre des traitements qu’elle effectue à ses propres fins. La Convention ou la fiche de traitement des données qui y est incorporée doit préciser les rôles des parties ainsi que les éventuelles finalités de ces traitements. Le Sous-traitant ne doit pas utiliser les Données à caractère personnel à ses propres fins, ni pour entraîner ou affiner des modèles d’intelligence artificielle (IA), sauf autorisation expresse de la Convention. Il ne peut produire que des informations agrégées qui ne permettent pas d’identifier une personne physique et ne peuvent raisonnablement être utilisées à cette fin.
2.4. Le reste de la présente CTD ne s’applique que dans la mesure où l’une ou l’autre des parties agit en tant que Sous-traitant à l’égard des Données à caractère personnel concernées.
3. Traitement de données
Le Sous-traitant s’engage à traiter les Données à caractère personnel conformément à la Législation en matière de protection des données et à la présente CTD. Plus particulièrement, le Sous-traitant convient de :
3.1. n’agir que sur instructions et directives écrites du Responsable du traitement, y compris en ce qui concerne les transferts de Données à caractère personnel vers un pays tiers ou une organisation internationale, sauf si des lois auxquelles le Sous-traitant est soumis l’y obligent; dans ce cas, le Sous-traitant informe le Responsable du traitement de cette exigence légale avant le traitement, à moins que cette loi n’interdise une telle information pour des motifs importants d’intérêt public. Aux fins de la présente section, les instructions du Responsable du traitement comprennent celles contenues dans la présente CTD, la Convention ainsi que celles reçues de toute autre manière de la part du Responsable du traitement de temps à autre. Les configurations, requêtes et actions autorisées, mises en œuvre dans le respect des finalités et des autorisations convenues, peuvent constituer des instructions documentées. En revanche, les contenus provenant de tiers auxquels les Services donnent accès ne constituent pas des instructions et n’autorisent ni traitement supplémentaire ni extension des autorisations accordées;
3.2. ne divulguer les Données à caractère personnel à un gouvernement ou à un tiers que sur la base d’instructions documentées du Responsable du traitement (y compris en cas de divulgation à des Sous-traitants ultérieurs autorisés conformément à la section 4), ou si cela s’avère nécessaire pour se conformer à la loi ou à une injonction contraignante émanant d’un organisme gouvernemental. À moins que cela n’enfreigne la loi ou l’injonction contraignante, le Sous-traitant informera le Responsable du traitement de toute exigence ou injonction légale;
3.3. informer le Responsable du traitement dans les plus brefs délais lorsque le Sous-traitant estime que le fait de se conformer à toute instruction du Responsable du traitement entraînerait une violation de la Législation en matière de protection des données;
3.4. mettre en œuvre et maintenir des mesures techniques et organisationnelles appropriées pour protéger adéquatement les Données à caractère personnel traitées pour le compte du Responsable du traitement contre la destruction accidentelle ou illégale, la perte, l’altération, la divulgation ou l’accès non autorisé, comme l’exige la Législation en matière de protection des données.
3.5. veiller à ce que tout membre du personnel du Sous-traitant chargé du traitement des Données à caractère personnel se soit engagé à respecter la confidentialité ou soit soumis à une obligation légale de confidentialité appropriée, au moins aussi stricte que les obligations de confidentialité prévues par la Convention; 3.6. fournir une assistance raisonnable au Responsable du traitement si celle-ci est demandée, afin d’aider le Responsable du traitement à respecter ses obligations en vertu de la Législation en matière de protection des données (y compris les articles 32 à 36 du RGPD britannique et du RGPD de l’UE, le cas échéant), et/ou à répondre à toute demande d’une personne concernée;
3.7. prendre toutes les mesures appropriées en vertu de l’article 32 du RGPD britannique et/ou du RGPD de l’UE (le cas échéant), en tenant compte de l’état du développement technologique et du coût de la mise en œuvre de toute mesure;
3.8. tenir un registre de ses activités de traitement et fournir au Responsable du traitement la coopération et les informations nécessaires pour que le Responsable du traitement puisse démontrer qu’il respecte ses obligations en vertu de la Législation en matière de protection des données;
4. Sous-traitants ultérieurs
4.1. Sous-traitants ultérieurs autorisés. Le Responsable du traitement accepte que le Sous-traitant engage des Sous-traitants ultérieurs pour traiter les Données à caractère personnel pour le compte du Responsable du traitement. Les Sous-traitants ultérieurs auxquels le Sous-traitant fait appel et qui sont autorisés par le Responsable du traitement sont ceux figurant dans le registre des Sous-traitants ultérieurs approuvé et versionné, expressément incorporé à la Convention. Pour Pax8, les Sous-traitants ultérieurs sont ceux répertoriés sur le Pax8 Trust Center, accessible à l’adresse https://trust.pax8.com/, ainsi que ceux précisés, le cas échéant, dans les Conditions spécifiques aux produits, les Conditions des Services et/ou le Périmètre des Services. Pour les Services fournis par l’autre partie, celle-ci doit identifier son propre registre approuvé. Le Sous-traitant doit informer le Responsable du traitement par écrit de tout ajout ou remplacement envisagé d’un Sous-traitant ultérieur au moins trente (30) jours avant que ce dernier ne commence à traiter des Données à caractère personnel, afin que le Responsable du traitement puisse exercer son droit d’opposition conformément à l’Annexe 1, à la Législation en matière de protection des données et aux Garanties contractuelles. La notification peut être envoyée par courrier électronique à la personne de contact désignée dans la Convention ou à une adresse électronique que le Responsable du traitement a enregistrée pour recevoir les notifications relatives aux Sous-traitants ultérieurs. La simple publication d’une modification sur un site Internet, sans notification adressée au Responsable du traitement, ne constitue pas une notification suffisante. Lorsqu’un délai plus court est nécessaire pour préserver la sécurité ou la continuité des Services, le Sous-traitant informe le Responsable du traitement dès que cela est raisonnablement possible. Le droit d’opposition du Responsable du traitement demeure applicable. Le Sous-traitant informe également le Responsable du traitement du retrait de tout Sous-traitant ultérieur.
4.2. Obligations du Sous-traitant ultérieur. Le Sous-traitant doit : (i) conclure une convention écrite avec chacun des Sous-traitants ultérieurs prévoyant des obligations en matière de protection des données qui assurent au moins le même niveau de protection des Données à caractère personnel que celles prévues dans la présente CTD, dans la mesure applicable à la nature du service fourni par ledit Sous-traitant ultérieur et conformément à la Législation en matière de protection des données en vigueur; et (ii) rester responsable du respect par ledit Sous-traitant ultérieur des obligations de la présente CTD et de tout acte ou omission dudit Sous-traitant ultérieur entraînant une infraction du Sous-traitant à n’importe quelle de ses obligations en vertu de la présente CTD. Le Responsable du traitement reconnaît et accepte que, le cas échéant, le Sous-traitant s’acquitte de ses obligations au titre de la clause 9 des CCT (le cas échéant) en se conformant à la présente section et que le Sous-traitant peut être empêché de divulguer les conventions avec les Sous-traitants ultérieurs au Responsable du traitement en raison de restrictions liées à la confidentialité, mais le Sous-traitant doit, sur demande, déployer des efforts raisonnables pour fournir au Responsable du traitement toutes les informations pertinentes qu’il peut raisonnablement fournir en rapport avec les conventions avec les Sous-traitants ultérieurs.
5. Transferts de données
5.1. Le Responsable du traitement autorise le Sous-traitant et ses Sous-traitants ultérieurs à effectuer des transferts restreints de Données à caractère personnel afin de se conformer aux instructions du Responsable du traitement en vertu de la présente CTD et d’exécuter les obligations découlant de la Convention, à condition que ce transfert restreint soit conforme à la Législation en matière de protection des données.
5.2. Emplacement des centres de données. Le Responsable du traitement reconnaît que le Sous-traitant peut transférer des Données à caractère personnel vers les lieux indiqués dans la Convention ou dans les informations relatives au traitement incorporées conformément à la section 2.2, et y traiter ces données. Ces lieux peuvent inclure les États-Unis et d’autres pays dans lesquels le Sous-traitant, ses Affiliés ou ses Sous-traitants ultérieurs exercent des activités de traitement de données. Le Sous-traitant veillera à tout moment à ce que ces transferts soient effectués conformément aux exigences de la Législation en matière de protection des données et de la présente CTD.
5.3. Transferts de données dans l’EEE. Dans la mesure où les Données à caractère personnel sont protégées par le RGPD et nécessitent un transfert vers un pays situé en dehors de l’Espace économique européen (EEE) qui n’est pas reconnu comme offrant un niveau de protection adéquat pour les données à caractère personnel (tel que décrit dans le RGPD ou la Législation en matière de protection des données applicable en Europe), les parties conviennent de respecter et de traiter ces Données à caractère personnel en conformité avec les CCT, lesquelles seront incorporées dans la présente CTD et en feront partie intégrante. Le module deux s’applique lorsque l’exportateur effectif est un responsable du traitement et que l’importateur est un sous-traitant. Le module trois s’applique lorsque l’exportateur effectif est un sous-traitant et que l’importateur est son propre sous-traitant ou sous-traitant ultérieur. Conformément à la clause 9(a) des CCT, l’option 2 (autorisation écrite générale) s’applique et le délai de préavis est fixé à trente (30) jours, conformément à la section 4.1. Les informations requises concernant les parties, le choix des modules et les éléments des annexes doivent être renseignés avant que le transfert effectif n’ait lieu. La désignation contractuelle simplifiée de « Responsable du traitement » ne détermine pas les rôles des parties au titre des CCT.
5.4. Transferts de données au Royaume-Uni. Eu égard aux transferts auxquels le RGPD britannique ou la loi britannique de 2018 sur la protection des données s’appliquent, les CCT seront applicables telles qu’elles sont modifiées par l’Addendum britannique. L’Addendum britannique sera réputé exécuté par les parties et incorporé à la présente CTD, dont il fait partie intégrante.
6. Droits des personnes concernées
6.1. Le Sous-traitant doit :
6.1.1. Dès qu’il en a connaissance, informer sans délai le Responsable du traitement si le Sous-traitant reçoit une demande d’une Personne concernée relative à l’exercice d’un droit prévu par la Législation applicable en matière de protection des données concernant les Données à caractère personnel;
6.1.2. ne pas répondre à cette demande, sauf sur instructions documentées du Responsable du traitement ou si une Autorité de contrôle l’exige; et
6.1.3. à la demande du Responsable du traitement, lorsque la Législation sur la protection des données l’exige et dans le contexte des Services, aider raisonnablement le Responsable du traitement à traiter une demande d’une Personne concernée pouvant faire l’objet d’une action, dans la mesure où le Responsable du traitement ne peut pas répondre à cette demande sans le concours du Sous-traitant. Le Sous-traitant peut satisfaire cette demande en mettant à disposition une fonctionnalité qui permet au Responsable du traitement de traiter ces demandes de la Personne concernée sans traitement supplémentaire de la part du Sous-traitant. Dans la mesure où cette fonctionnalité n’est pas disponible, pour que le Sous-traitant puisse fournir cette assistance raisonnable, le Responsable du traitement doit communiquer cette demande par écrit au Sous-traitant en fournissant suffisamment d’informations pour permettre au Sous-traitant de localiser l’enregistrement applicable et de le modifier, de l’exporter ou de le supprimer par la suite.
7. Violation de données à caractère personnel
7.1. Le Sous-traitant notifie le Responsable du traitement sans retard excessif dès que le Sous-traitant ou tout Sous-traitant ultérieur prend connaissance d’une Violation de données à caractère personnel, et lorsque la Législation en matière de protection des données applicable exige une notification à une Autorité de contrôle dans un délai de 72 heures, ladite notification est adressée au Responsable du traitement dans un délai de 48 heures. Sous réserve de la section 7.3 ci-dessous, cette notification doit au minimum : 7.1.1. décrire la nature de la Violation de données à caractère personnel, les catégories et le nombre de Personnes concernées, ainsi que les catégories et le nombre d’enregistrements de Données à caractère personnel concernés;
7.1.2. communiquer le nom et les coordonnées du délégué à la protection des données du Sous-traitant ou de tout autre contact pertinent auprès duquel de plus amples informations peuvent être obtenues;
7.1.3. décrire les conséquences probables de la Violation de données à caractère personnel dans la mesure où le Sous-traitant est en mesure de les déterminer compte tenu de la nature des Services et de la Violation de données à caractère personnel; et
7.1.4. décrire les mesures prises ou proposées pour remédier à la Violation de données à caractère personnel.
7.2. Le Sous-traitant coopère avec le Responsable du traitement et prend les mesures commerciales raisonnables nécessaires pour aider à l’enquête et à atténuer et remédier à chacune de ces Violations de données à caractère personnel.
7.3. Lorsqu’il n’est pas possible de fournir toutes les informations visées à la section 7.1 en même temps, ces informations peuvent être fournies par étapes, sans retard excessif. L’obligation incombant au Sous-traitant de signaler une Violation de données à caractère personnel ou d’y répondre n’est pas et ne sera pas interprétée comme une reconnaissance par le Sous-traitant d’une faute ou d’une responsabilité quelconque du Sous-traitant (ou de ses Affiliés) à l’égard d’une Violation de données à caractère personnel. 7.4. Le Responsable du traitement convient qu’en cas de tentative d’accès aux Données à caractère personnel ou à l’infrastructure et aux réseaux qui fournissent les Services (tels que définis dans la Convention) (y compris les pings, les attaques par déni de service, les attaques contre les pare-feu ou les serveurs périphériques, les balayages de ports, les tentatives de connexion infructueuses, le reniflage de paquets ou tout autre accès non autorisé aux données de trafic) qui n’aboutit pas à une Violation de données à caractère personnel, le Sous-traitant n’a aucune obligation de notifier le Responsable du traitement en vertu de la Convention ou de la présente CTD.
8. Durée; résiliation; restitution ou suppression des Données à caractère personnel
8.1. La présente CTD entrera en vigueur au moment de l’entrée en vigueur de la Convention entre les parties à laquelle la présente CTD a été incorporée.
8.2. La présente CTD prendra fin automatiquement à la date la plus tardive entre (i) la résiliation ou l’expiration de la Convention; (ii) la fin du traitement des Données à caractère personnel par le Sous-traitant. À la fin de la présente CTD, le Sous-traitant supprimera toutes les Données à caractère personnel traitées pour le compte du Responsable du traitement (et certifiera cette suppression sur demande), sauf si le Responsable du traitement demande la restitution des Données à caractère personnel ou dans la mesure où la Législation en matière de protection des données impose leur conservation. Jusqu’à l’achèvement de la restitution ou de la suppression, y compris pendant toute période de conservation imposée par la loi, la présente CTD continue de protéger les Données à caractère personnel.
9. Autres législations sur la protection de la vie privée
9.1. Dans la mesure où le Traitement concerne des Données à caractère personnel provenant d’une juridiction ou effectué dans une juridiction imposant des exigences obligatoires en plus de celles de la présente CTD, les deux parties peuvent convenir de toute mesure supplémentaire nécessaire pour assurer la conformité avec la Législation en matière de protection des données applicable. Toute mesure supplémentaire convenue par les parties sera documentée dans un addendum ou un amendement écrit à la présente CTD, dûment signé, ou dans une Ordonnance.
9.2. Si une modification doit être apportée à la présente CTD à la suite d’une modification de la Législation en matière de protection des données, y compris une modification des Garanties contractuelles, les deux parties peuvent alors notifier par écrit à l’autre partie cette modification de la loi. Les parties discuteront et négocieront de bonne foi toute modification nécessaire de la présente CTD, y compris des Garanties contractuelles, pour tenir compte de ces changements.
10. Droits d’examen, d’audit et d’inspection
10.1. Sur demande raisonnable du Responsable du traitement, le Sous-traitant fournira le matériel, la documentation et les informations pertinents et nécessaires relatifs aux mesures de sécurité techniques et organisationnelles du Sous-traitant employées pour protéger les Données à caractère personnel dans le cadre des Services fournis afin de démontrer la conformité avec la Législation en matière de protection des données.
10.2. Le Sous-traitant veillera à ce qu’un audit de sécurité de ses mesures de sécurité techniques et organisationnelles soit effectué au moins une fois par an, conformément à la Législation en matière de protection des données. Cet audit de sécurité sera effectué par un auditeur qualifié ou indépendant, au regard de la norme ISO 27001 ou d’une norme équivalente reconnue. Les résultats de cet audit de sécurité seront consignés dans un rapport de synthèse. Le Sous-traitant fournira rapidement au Responsable du traitement, sur demande, (i) un résumé confidentiel de ce rapport; et (ii) des preuves de remédiation appropriée à tout problème critique dans un délai de quatre (4) semaines à compter de la date d’émission du rapport d’audit.
10.3. Si, à la suite de la réalisation des étapes énoncées dans les sections 10.1 et 10.2 ci-dessus, le Responsable du traitement estime raisonnablement que le Sous-traitant ne respecte pas la Législation en matière de protection des données, le Responsable du traitement peut demander au Sous-traitant de mettre à disposition, soit par webinaire, soit au cours d’un examen en présentiel, des échantillons de toutes les informations pertinentes nécessaires pour démontrer davantage la conformité à la Législation en matière de protection des données. Le Responsable du traitement qui procède à cet examen doit en informer le Sous-traitant moyennant un préavis raisonnable, en contactant le Délégué à la protection des données du Sous-traitant et en présentant une demande par l’intermédiaire du point de contact chargé de la protection des données du Sous-traitant, indiqué dans la Convention.
10.4. Les droits du Responsable du traitement en vertu de la présente section ne peuvent être exercés qu’une fois par année civile, sauf si le Responsable du traitement estime raisonnablement que le Sous-traitant est en violation matérielle de ses obligations en vertu de la présente CTD ou de la Législation en matière de protection des données. Aucune disposition de la présente section ne limite les droits d’audit ou d’inspection exigés par la Législation en matière de protection des données ou par les Garanties contractuelles.
11. Responsabilité
11.1. Les limites et exclusions de la responsabilité d’une Partie énoncées dans la Convention s’appliquent à la responsabilité de cette Partie au titre de la présente CTD (et des Garanties contractuelles), étant entendu que ce qui précède n’a pas pour effet de limiter ou d’exclure la responsabilité d’une Partie à l’égard d’une Personne concernée au titre des Garanties contractuelles.
12. Généralités
12.1. En cas de conflit entre les termes de la Convention et les termes de la présente CTD, les termes de la CTD prévalent. Toutefois, les rôles des parties, les informations relatives au traitement et le registre des Sous-traitants ultérieurs devant être précisés dans la Convention ou dans une fiche de traitement qui y est incorporée, conformément aux sections 2.2, 2.3 et 4.1, s’appliquent tels qu’ils y sont énoncés, à condition qu’aucune disposition de la Convention ou d’une fiche de traitement ne réduise le niveau de protection des Données à caractère personnel garanti par la présente CTD ou par les Garanties contractuelles. En cas de contradiction ou d’incohérence entre la présente CTD et les Garanties contractuelles, les Garanties contractuelles prévalent.
12.2. Les modifications ou ajouts apportés à la présente CTD doivent être effectués par écrit et faire l’objet d’un accord entre les Parties pour entrer en vigueur. Il en va de même pour les modifications de cette exigence de forme écrite. Aux fins de la présente section, l’exigence de forme écrite inclut la signature par des moyens électroniques commercialement acceptables, mais n’inclut pas le courrier électronique. Lorsque la Convention autorise une partie à mettre à jour les conditions qu’elle publie (y compris la présente CTD, les fiches de traitement et les registres des Sous-traitants ultérieurs), ces mises à jour prennent effet conformément aux dispositions de la Convention, à condition qu’aucune mise à jour ne réduise le niveau de protection accordé par les Garanties contractuelles ou par la Législation en matière de protection des données. Toute modification des Garanties contractuelles doit être convenue conformément à la section 9.2.
12.3. Si l’une des dispositions de la présente CTD est ou devient invalide, cela ne porte pas atteinte à la validité des autres dispositions.
12.4. Les obligations découlant de dispositions légales ou d’une décision judiciaire ou réglementaire ne sont pas affectées par la présente CTD.
12.5. La présente CTD est régie par le même droit que celui qui régit la Convention entre les Parties, sauf dans les cas suivants : a) dans la mesure où les Données à caractère personnel sont protégées par le RGPD, le droit applicable est celui des Pays-Bas; et b) les Garanties contractuelles sont régies par le droit applicable conformément aux dispositions des Garanties contractuelles concernées.
Annexe 1 : Conditions spécifiques aux juridictions
UE :
- Objection aux sous-traitants ultérieurs. Le Responsable du traitement peut objecter par écrit à la désignation par le Sous-traitant d’un nouveau Sous-traitant ultérieur dans les trente (30) jours civils suivant la réception de l’avis conformément à la section 4 de la CTD, à condition que cette objection soit fondée sur des motifs raisonnables liés à la protection des données. Dans un tel cas, les parties discuteront de ces inquiétudes de bonne foi en vue de parvenir à une résolution commercialement raisonnable. Si une telle solution ne peut être trouvée, le Sous-traitant, à sa seule discrétion, soit ne nommera pas ce Sous-traitant ultérieur, soit permettra au Responsable du traitement de suspendre ou de résilier le Service concerné conformément aux dispositions de résiliation de la Convention sans responsabilité envers l’une ou l’autre des parties (mais sans préjudice des frais engagés par le Responsable du traitement avant la suspension ou la résiliation).
- Demandes gouvernementales d’accès aux données. De manière générale, le Sous-traitant ne fournit volontairement aux organismes gouvernementaux ou aux autorités (y compris les forces de l’ordre) ni l’accès aux comptes détenus auprès de lui (y compris aux Données à caractère personnel), ni des informations concernant ces comptes. Si le Sous-traitant reçoit une demande contraignante (que ce soit par le biais d’une citation à comparaître, d’une injonction du tribunal, d’un mandat de perquisition ou de toute autre procédure légale valide) de la part d’un organisme ou d’une autorité gouvernementale (y compris les forces de l’ordre) pour accéder à ou obtenir des informations sur un compte détenu auprès du Sous-traitant (y compris des Données à caractère personnel) appartenant à un Responsable du traitement dont les coordonnées principales indiquent que le Responsable du traitement est situé dans l’UE, le Sous-traitant devra : (i) examiner la légalité de la demande; (ii) informer l’organisme gouvernemental que le Sous-traitant agit en qualité de sous-traitant des données; (iii) tenter de rediriger l’organisme de manière à ce qu’il demande les données directement au Responsable du traitement; (iv) informer le Responsable du traitement par courriel envoyé à l’adresse électronique de contact principale du Responsable du traitement de la demande afin de permettre au Responsable du traitement de demander une ordonnance de protection ou un autre recours approprié; et (v) fournir la quantité minimale d’informations autorisée dans le cadre de la réponse à l’organisme ou à l’autorité, sur la base d’une interprétation raisonnable de la demande. Dans le cadre de cet effort, le Sous-traitant peut fournir à l’agence les coordonnées principales et de facturation du Responsable du traitement. Le Sous-traitant n’est pas tenu de se conformer au présent paragraphe 2 si la loi l’en empêche ou s’il estime raisonnablement et en toute bonne foi qu’un accès urgent est nécessaire pour prévenir un risque imminent de préjudice grave à une personne, à la sécurité publique, aux biens du Sous-traitant, à son Site ou aux Services. Cependant, si la loi interdit au Sous-traitant d’informer le Responsable du traitement des demandes, le Sous-traitant s’efforcera d’obtenir une dérogation à cette interdiction.
Californie :
- Sauf indication contraire, les définitions suivantes s’appliquent : « responsable du traitement » inclut « Entreprise »; « sous-traitant » inclut « Prestataire de services »; « personne concernée » inclut « Consommateur »; « données à caractère personnel » inclut « Informations personnelles »; chaque terme s’entendant au sens de la CCPA.
- Pour la présente section « Californie » uniquement, les « fins autorisées » comprennent le traitement des Données à caractère personnel uniquement aux fins décrites dans la présente CTD et conformément aux instructions licites documentées du Responsable du traitement qui y sont énoncées, dans la mesure nécessaire au respect du droit applicable, selon les modalités convenues par écrit, notamment dans la Convention, ou dans les autres cas autorisés pour les « prestataires de services » au titre de la CCPA.
- Si, et dans la mesure où, le Sous-traitant traite des Données à caractère personnel constituant des informations personnelles relevant du champ d’application de la CCPA, il agit en qualité de Prestataire de services et le Responsable du traitement agit en qualité d’Entreprise, au sens de la CCPA. Le Responsable du traitement communique ces informations personnelles au Sous-traitant exclusivement (i) à des fins commerciales légitimes et (ii) pour permettre au Sous-traitant de fournir les Services prévus par la Convention. Le Sous-traitant ne (i) vendra ni ne partagera ces informations personnelles, (ii) ne les conservera, ne les utilisera ni ne les divulguera à quelque fin que ce soit, y compris à des fins commerciales, autres que la fourniture des Services ou dans les autres cas autorisés par la CCPA; et (iii) ne les conservera, ne les utilisera ni ne les divulguera en dehors de la relation commerciale directe entre les parties.
- Les obligations du Sous-traitant relatives aux demandes des personnes concernées, telles que décrites dans la section 6 (Droits des personnes concernées) de la présente CTD, s’étendent aux demandes de droits en vertu de la CCPA.
- Indépendamment de toute restriction d’utilisation contenue ailleurs dans la présente CTD, le Sous-traitant traitera les Données à caractère personnel pour exécuter le Service, aux fins autorisées et/ou conformément aux instructions licites documentées du Responsable du traitement, ou comme l’autorise ou l’exige le droit applicable au demeurant.
- Indépendamment de toute restriction d’utilisation contenue ailleurs dans la présente Annexe 1, le Sous-traitant ne peut dépersonnaliser ou agréger les Données à caractère personnel que dans les conditions autorisées par la section 2.3 de la CTD et par la Convention. 7. Lorsque des Sous-traitants ultérieurs traitent les Données à caractère personnel des contacts du Responsable du traitement, le Sous-traitant prend des mesures pour s’assurer que ces Sous-traitants ultérieurs sont des Prestataires de services en vertu de la CCPA avec lesquels le Sous-traitant a conclu un contrat écrit qui comprend des termes substantiellement similaires à la présente section « Californie » ou qui sont autrement exemptés de la définition de « vente » de la CCPA. Le Sous-traitant fait preuve d’une diligence raisonnable à l’égard de ses Sous-traitants ultérieurs.
Canada :
- Le Sous-traitant prend des mesures pour s’assurer que les Sous-traitants ultérieurs du Sous-traitant, tels que décrits dans la section 4 (Sous-traitants ultérieurs) de la CTD, sont des tiers au sens de la LPRPDE, avec lesquels le Sous-traitant a conclu un contrat écrit dont les termes sont substantiellement similaires à ceux de la présente CTD. Le Sous-traitant fait preuve d’une diligence raisonnable à l’égard de ses Sous-traitants ultérieurs.
- Le Sous-traitant met en œuvre les mesures techniques et organisationnelles indiquées dans la Convention ou dans les informations relatives au traitement incorporées conformément à la section 2.2.
Annexe 2 : Clauses contractuelles types
- Incorporation. Les CCT correspondent au module deux (du responsable du traitement au sous-traitant) et au module trois (du sous-traitant au sous-traitant) des clauses contractuelles types annexées à la décision d’exécution (UE) 2021/914 de la Commission du 4 juin 2021 (https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj). Elles sont incorporées par référence à la présente CTD et s’appliquent conformément à la section 5.3. Elles ne font l’objet d’aucune modification.
- Options retenues. Aux fins des CCT :
- Clause 7 (clause d’adhésion) : elle s’applique.
- Clause 9(a) : l’option 2 (autorisation écrite générale) s’applique et le délai de préavis est fixé à trente (30) jours, conformément à la section 4.1.
- Clause 11(a) : la disposition facultative relative au règlement indépendant des litiges ne s’applique pas.
- Clause 13 : l’autorité de contrôle compétente est déterminée conformément à l’Annexe I.C.
- Clause 17 : l’option 1 s’applique et le droit applicable est celui des Pays-Bas.
- Clause 18(b) : les tribunaux compétents sont ceux des Pays-Bas.
- Annexes. L’Annexe I (A : parties, B : description du transfert, C : autorité de contrôle compétente) est renseignée à partir de la Convention ou de la fiche de traitement incorporée conformément à la section 2.2. L’Annexe II (mesures techniques et organisationnelles) est renseignée en identifiant les mesures applicables au moyen du titre du document correspondant, de son numéro de version ou de sa date d’entrée en vigueur, ainsi que de son URL ou d’une copie jointe. L’Annexe III (sous-traitants ultérieurs) correspond au registre incorporé conformément à la section 4.1. Chaque Annexe doit être renseignée pour le transfert effectif avant que celui-ci n’ait lieu.
- Hiérarchie. En cas de conflit entre les CCT et les autres dispositions de la présente CTD ou de la Convention, les CCT prévalent.
Annexe 3 : Addendum britannique relatif aux transferts internationaux de données
- Incorporation. L’Addendum britannique est l’addendum relatif aux transferts internationaux de données aux clauses contractuelles types de la Commission européenne, version B1.0, publié par l’Information Commissioner en vertu de l’article 119A de la loi britannique de 2018 sur la protection des données et en vigueur depuis le 21 mars 2022. Il est incorporé par référence à la présente CTD, y compris dans ses versions révisées conformément à sa section 18, et s’applique aux transferts restreints soumis au RGPD britannique.
- Tableaux.
- Tableau 1 (Parties) : les informations sont celles figurant dans la Convention ou dans la fiche de traitement, pour chaque transfert. La date de début correspond à la date d’entrée en vigueur de la Convention.
- Tableau 2 (CCT sélectionnées) : les CCT de l’UE approuvées correspondent aux modules deux et trois définis à l’Annexe 2. La clause 7 s’applique, la disposition facultative de la clause 11 ne s’applique pas et la clause 9(a) prévoit une autorisation générale assortie d’un délai de trente (30) jours.
- Tableau 3 (Informations de l’Annexe) : les informations sont celles indiquées au paragraphe 3 de l’Annexe 2.
- Tableau 4 (Résiliation de l’Addendum en cas de modification de l’Addendum approuvé) : aucune des parties.
3. Conflit. En cas de conflit entre l’Addendum britannique et la présente CTD, l’Addendum britannique prévaut.
FIN