DPA - Accord de traitement des données (DPA)
DPA - Accord de traitement des données (DPA)
Le présent accord est conclu à la date d'entrée en vigueur par et entre :
Tapni GmbH , Praterstrasse 78/3/24, 1020, Vienne, Autriche, ci-après dénommé le sous-traitant, ci-après dénommé le "contractant" et agissant en tant que sous-traitantOR
ET
les autre partie contractante signataire, ci-après dénommé "Client" et agissant en tant que CONTRÔLEUR DES DONNÉES.
Les deux ci-après dénommées les Parties..
1. Définition
Les termes suivants sont définis en complément des définitions du Contrat, et ces termes auront le sens qui leur est donné par le RGPD, notamment :
LOI(S) APPLICABLE(S) : |
dans le présent accord désigne chaque législation applicable à chaque partie aux présentes (y compris la réglementation et la législation sur la protection des données pour éviter tout doute). |
CONTRÔLEUR DES DONNÉES : |
désigne une entité (personne morale au sens du présent accord) qui détermine les finalités et les moyens du traitement des DONNÉES PERSONNELLES. |
PROCESSEUR DE DONNÉES: |
désigne une entité (personne morale en vertu du présent accord) qui traite des DONNÉES PERSONNELLES pour le compte du responsable du traitement. |
Délégué à la protection des données (DPD) : |
désigne une personne physique qui s'assure, de manière indépendante, qu'un organisme applique les lois protégeant les DONNEES PERSONNELLES des individus. |
OBJET DES DONNÉES : |
désigne la personne physique identifiée ou identifiable à laquelle les DONNÉES PERSONNELLES se rapportent, telles que définies par les lois et règlements sur la protection des données. |
RGPD : |
désigne le règlement général de l'UE sur la protection des données (UE) 2016/679, qui est un règlement de la législation de l'UE sur la protection des données et la vie privée de tous les individus au sein de l'Union européenne. Elle remplace la précédente directive sur la protection des données (95/46/CE) de 1995. |
DONNÉES PERSONNELLES: |
désigne toute information relative à une personne physique identifiée ou identifiable (personne concernée » ); est réputée identifiable une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne ou à un ou plusieurs éléments propres à l'état physique, physiologique, l'identité génétique, mentale, économique, culturelle ou sociale de cette personne physique.. |
EN TRAITEMENT: |
désigne toute opération ou ensemble d'opérations effectuées sur des DONNÉES PERSONNELLES ou sur des ensembles de DONNÉES PERSONNELLES, par des moyens automatisés ou non, tels que la collecte, l'enregistrement, l'organisation, la structuration, le stockage, l'adaptation ou la modification, la récupération, la consultation, l'utilisation, la divulgation par transmission, diffusion ou autre mise à disposition, alignement ou combinaison, restriction, effacement ou destruction. |
VIOLATION DES DONNÉES PERSONNELLES : |
désigne une violation de la sécurité entraînant la destruction accidentelle ou illégale, la perte, l'altération, la divulgation non autorisée ou l'accès aux DONNÉES PERSONNELLES transmises, stockées ou autrement traitées. |
SOUS-TRAITANT : |
désigne un tiers engagé par le PROCESSEUR DE DONNÉES qui traite les DONNÉES PERSONNELLES du CONTRÔLEUR DE DONNÉES dans un but spécifique. |
FÊTE(FÊTES): |
désigne l'entité signataire du présent accord. |
GROUPE TAPNI : |
désigne une entité économique constituée d'un ensemble de sociétés énumérées à l'annexe 1 |
2. Nature et finalité du TRAITEMENT DES DONNÉES PERSONNELLES
2.2 Le but pour lequel les DONNÉES PERSONNELLES seront traitées est uniquement de fournir des services aux clients liés aux applications Web my.tapni.co et business.tapni.co et aux applications mobiles Tapni, y compris tous les services et produits supplémentaires tels que définis à l'annexe 1. Toute utilisation supplémentaire des DONNÉES PERSONNELLES du CONTRÔLEUR DES DONNÉES est strictement interdite, sauf demande contraire du CONTRÔLEUR DES DONNÉES.
2.3 LES DONNÉES PERSONNELLES que le PROCESSEUR DE DONNÉES traite dans le but de fournir des services sont considérées comme confidentielles, conformément à l'accord de confidentialité et de non-divulgation signé par les deux parties.
2.4 Les catégories de données suivantes sont traitées dans le cadre du présent contrat : coordonnées (prénom, nom, numéro de téléphone, e-mail), profils de réseaux sociaux et informations supplémentaires pouvant être ajoutées par le CONTRÔLEUR DES DONNÉES.
3. Droits et obligations du RESPONSABLE DU TRAITEMENT
3.1 Le RESPONSABLE DU TRAITEMENT a le droit et l'obligation de prendre des décisions sur les finalités et les moyens du TRAITEMENT des DONNÉES PERSONNELLES.
3.2 Le CONTRÔLEUR DES DONNÉES est responsable, entre autres, de s'assurer que le TRAITEMENT des DONNÉES À CARACTÈRE PERSONNEL, que le TRAITEMENT DES DONNÉES est chargé d'effectuer, a une base légale.
3.3 Le RESPONSABLE DU TRAITEMENT DES DONNÉES est responsable de s'assurer que le TRAITEMENT des DONNÉES PERSONNELLES s'effectue conformément aux LOIS APPLICABLES.
3.4 Le CONTRÔLEUR DE DONNÉES ne transférera au PROCESSEUR DE DONNÉES que les DONNÉES PERSONNELLES obtenues conformément aux dispositions pertinentes de la législation applicable en matière de protection des données aux fins énoncées dans le présent Accord.
3.5 Le CONTRÔLEUR DE DONNÉES tiendra à jour et corrigera toutes les DONNÉES PERSONNELLES transférées au PROCESSEUR DE DONNÉES chaque fois que cela sera nécessaire, en particulier conformément aux dispositions pertinentes de la législation applicable en matière de protection des données.
3.6 Le RESPONSABLE DU TRAITEMENT est seul tenu de fournir à ses PERSONNES CONCERNÉES toutes les informations et explications requises par les LOIS APPLICABLES. Entre le PROCESSEUR DE DONNÉES et le CONTRÔLEUR DE DONNÉES, le CONTRÔLEUR DE DONNÉES est également seul responsable du traitement des PERSONNES CONCERNÉES en ce qui concerne leurs droits d'accès à leurs données respectives conformément aux LOIS APPLICABLES.
4. Obligations du PROCESSEUR DE DONNÉES
4.2 Le PROCESSEUR DE DONNÉES corrigera, modifiera, bloquera ou effacera (selon les instructions du CONTRÔLEUR DE DONNÉES) toutes les DONNÉES PERSONNELLES traitées par le RESPONSABLE DE TRAITEMENT si cela n'est pas possible pour le CONTRÔLEUR DE DONNÉES.
4.3 Le PROCESSEUR DE DONNÉES garantit et déclare qu'il a mis en œuvre (et maintiendra pendant la durée du présent Accord et aussi longtemps que la loi l'exige) les mesures de sécurité techniques et organisationnelles pour la protection des DONNÉES PERSONNELLES avant de traiter les DONNÉES PERSONNELLES qui sont transférées, et des mesures de sécurité supplémentaires mutuellement convenues par le PROCESSEUR DE DONNÉES et le CONTRÔLEUR DE DONNÉES. Le PROCESSEUR DE DONNÉES a adopté des mesures de sécurité basées sur les meilleures pratiques afin de protéger les DONNÉES PERSONNELLES DU CONTRÔLEUR DE DONNÉES. Toutes les mesures organisationnelles et techniques sont appliquées conformément aux pratiques appropriées en matière de sécurité de l'information (par exemple, ISO 27001) et aux exigences du RGPD. Un aperçu général des mesures appliquées est donné à l'annexe 2 ci-dessous.
4.4 Le PROCESSEUR DE DONNÉES ne doit pas moins d'une fois par année civile tester les mesures mises en œuvre.
4.5 Afin d'assurer le respect de ces mesures de sécurité, le PROCESSEUR DE DONNÉES autorisera le CONTRÔLEUR DE DONNÉES à effectuer des inspections périodiques de ses locaux et des mesures de sécurité mises en œuvre pendant les heures ouvrables habituelles. Le CONTRÔLEUR DE DONNÉES fournira au PROCESSEUR DE DONNÉES un préavis raisonnable (mais en aucun cas inférieur à trente [30] jours) de chaque inspection.
4.6 Le PROCESSEUR DE DONNÉES doit s'assurer que son personnel engagé dans le traitement des DONNÉES PERSONNELLES se conforme et se conformera à tout moment aux exigences de confidentialité des données.
4.7 Le PROCESSEUR DE DONNÉES n'autorisera l'accès aux DONNÉES PERSONNELLES à son personnel ou à ses consultants que lorsque et dans la mesure où cet accès est requis pour l'exécution des services et sous réserve que ces employés et consultants aient conclu un accord de non-divulgation adéquat.
4.8 Dans le cas où le TRAITANT DE DONNÉES découvre que le CONTRÔLEUR DE DONNÉES enfreint l'une de ses obligations prévues par la législation applicable en matière de protection des données, le TRAITANT DE DONNÉES doit en informer sans délai le CONTRÔLEUR DE DONNÉES et suspendre l'exécution des traitement contrefaisant jusqu'à ce qu'il soit remédié à la violation.
4.9 Le TRAITANT DE DONNÉES s'engage à informer sans délai le CONTRÔLEUR DE DONNÉES de toute plainte, demande ou autre communication reçue par lui de la part de ses personnes concernées, du ou des régulateurs de la protection des données ou de tiers concernant le traitement des DONNÉES PERSONNELLES par le TRAITANT DE DONNÉES et /ou le CONTRÔLEUR DES DONNÉES.
4.10 Le PROCESSEUR DE DONNÉES informera immédiatement le CONTRÔLEUR DE DONNÉES si les instructions données par le CONTRÔLEUR DE DONNÉES, de l'avis du TRAITANT DE DONNÉES, contreviennent aux LOIS APPLICABLES.
4.11 Le PROCESSEUR DE DONNÉES doit se conformer à tout moment au présent Accord.
5. Assistance au RESPONSABLE DU TRAITEMENT
5.1 Compte tenu de la nature du TRAITEMENT des données, le PROCESSEUR DE DONNÉES assistera le CONTRÔLEUR DE DONNÉES dans l'accomplissement des obligations du CONTRÔLEUR DE DONNÉES de répondre aux demandes d'exercice des droits de la PERSONNE CONCERNÉE prévus par les LOIS APPLICABLES.
5.2 Le RESPONSABLE DU TRAITEMENT DES DONNÉES assiste le CONTRÔLEUR DES DONNÉES pour garantir le respect :
6. VIOLATIONS DE DONNÉES PERSONNELLES et procédures de signalement
6.1 Le TRAITANT DE DONNÉES est dans l'obligation stricte d'informer immédiatement le RESPONSABLE DU CONTRÔLE DE TOUTE VIOLATION DE DONNÉES PERSONNELLES et au plus tard dans les 24 heures suivant la prise de connaissance de la violation par le RESPONSABLE DU TRAITEMENT, afin de permettre au CONTRÔLEUR DE DONNÉES de se conformer à l'obligation du CONTRÔLEUR DE DONNÉES de notifier la VIOLATION DE DONNÉES PERSONNELLES à une autorité de contrôle compétente.
6.2 Le RESPONSABLE DU TRAITEMENT est tenu de communiquer sans retard injustifié la Violation des DONNÉES PERSONNELLES à la PERSONNE CONCERNÉE, lorsque la VIOLATION DES DONNÉES PERSONNELLES est susceptible d'entraîner un risque élevé pour les droits et libertés de la PERSONNE PERSONNELLE.
6.3 Le PROCESSEUR DE DONNÉES s'engage à fournir toute assistance raisonnable requise par le CONTRÔLEUR DE DONNÉES ou l'autorité de contrôle pour faciliter le traitement de toute VIOLATION DE DONNÉES PERSONNELLES de manière rapide et conforme.
6.4 En ce qui concerne toute VIOLATION DE DONNÉES PERSONNELLES, le PROCESSEUR DE DONNÉES fournira les détails suivants concernant la VIOLATION DE DONNÉES PERSONNELLES au CONTRÔLEUR DE DONNÉES :
7. Durée de conservation et liquidation des DONNEES PERSONNELLES
7.2 Sous réserve de toute obligation légale ou de la demande du CONTRÔLEUR DE DONNÉES d'archiver ou de conserver des DONNÉES PERSONNELLES, à la demande du CONTRÔLEUR DE DONNÉES, le PROCESSEUR DE DONNÉES procédera à la liquidation de tout ou partie des DONNÉES PERSONNELLES sans retard injustifié après toutes les fins pour lesquelles les DONNÉES PERSONNELLES ont été traitées cessent d'exister ou à la réception d'une demande écrite du RESPONSABLE DU TRAITEMENT.
7.3 Sur les instructions du CONTRÔLEUR DES DONNÉES, le PROCESSEUR DE DONNÉES doit s'assurer que les DONNÉES PERSONNELLES traitées en vertu du présent Accord sont renvoyées au CONTRÔLEUR DES DONNÉES ou détruites conformément aux instructions du CONTRÔLEUR DES DONNÉES si ces instructions ne sont pas en contradiction avec la LOI APPLICABLE. Le CONTRÔLEUR DE DONNÉES se réserve le droit de donner à tout moment des instructions au PROCESSEUR DE DONNÉES en vertu de cette clause. Dans le cas où ces instructions ne sont pas conformes à la LOI APPLICABLE, alors la LOI APPLICABLE prévaudra.
7.4 Suite à la suppression des DONNÉES PERSONNELLES en vertu de la présente clause, le PROCESSEUR DE DONNÉES informera le CONTRÔLEUR DES DONNÉES que les DONNÉES PERSONNELLES en question ont été supprimées. Le cas échéant, le PROCESSEUR DE DONNÉES fournira également la confirmation que les DONNÉES PERSONNELLES ont été détruites conformément aux instructions émises par le CONTRÔLEUR DE DONNÉES, si ces instructions ne sont pas en contradiction avec la LOI APPLICABLE. Dans le cas où ces instructions ne sont pas conformes à la LOI APPLICABLE, alors la LOI APPLICABLE prévaudra.
8. Tenue de registres
8.1 Le PROCESSEUR DE DONNÉES s'engage à conserver des enregistrements de toutes les DONNÉES PERSONNELLES traitées dans le cadre du Contrat et de ses activités de traitement. Le CONTRÔLEUR DES DONNÉES se réserve le droit d'inspecter les registres tenus par le
LE PROCESSEUR DE DONNÉES en vertu de cette clause à tout moment, avec un préavis raisonnable (mais en aucun cas inférieur à 30 jours) de chaque inspection.
8.2 Si la PERSONNE CONCERNÉE, dans tous les cas, demande des informations au CONTRÔLEUR DE DONNÉES au sujet du type de DONNÉES PERSONNELLES de cette PERSONNE CONCERNÉE qui est traitée en vertu du présent Accord, et si le CONTRÔLEUR DE DONNÉES n'est pas en mesure de fournir ce type d'informations sans l'aide du PROCESSEUR DE DONNÉES, le PROCESSEUR DE DONNÉES est tenu de fournir toute aide raisonnable.
8.3 Les enregistrements doivent être écrits, y compris sous forme électronique.
8.4 Le CONTRÔLEUR DE DONNÉES ou le PROCESSEUR DE DONNÉES et, le cas échéant, le représentant du CONTRÔLEUR DE DONNÉES ou du PROCESSEUR DE DONNÉES, mettront ce registre à la disposition des autorités de contrôle sur demande.
8.5 Le CONTRÔLEUR DE DONNÉES se réserve le droit d'inspecter les registres conservés par le PROCESSEUR DE DONNÉES en vertu de cette clause à tout moment, avec un préavis raisonnable (mais en aucun cas inférieur à 30 jours) de chaque inspection.
8.6 Si la PERSONNE CONCERNÉE, dans tous les cas, demande des informations au CONTRÔLEUR DE DONNÉES sur le type de DONNÉES PERSONNELLES de cette PERSONNE CONCERNÉE en cours de traitement en vertu du présent Accord, et si le CONTRÔLEUR DE DONNÉES n'est pas en mesure de fournir ce type d'informations sans l'aide du PROCESSEUR DE DONNÉES, le PROCESSEUR DE DONNÉES est tenu de fournir toute aide raisonnable.
9. Confidentialité
9.2 Le PROCESSEUR DE DONNÉES doit, à la demande du CONTRÔLEUR DE DONNÉES, démontrer que les personnes concernées sous l'autorité du PROCESSEUR DE DONNÉES sont soumises à la confidentialité susmentionnée.
10. Sous-traitants ultérieurs
10.2 En signant le présent Accord, le CONTRÔLEUR DE DONNÉES accepte que le PROCESSEUR DE DONNÉES puisse à tout moment engager un autre PROCESSEUR DE DONNÉES, qui devrait être considéré comme un SOUS-TRAITANT. Dans ce cas, le CONTRÔLEUR DE DONNÉES doit être informé par le PROCESSEUR DE DONNÉES de l'ajout ou du remplacement de tout SOUS-TRAITANT SOUS-TRAITANT. Le PROCESSEUR DE DONNÉES doit s'assurer qu'il existe un accord de traitement de données signé entre le PROCESSEUR DE DONNÉES et le SOUS-TRAITANT SOUS-TRAITANT, et que tout SOUS-TRAITANT SOUS-TRAITANT engagé respecte au moins les obligations auxquelles le SOUS-TRAITANT DES DONNÉES est soumis, conformément à la présente Accord de traitement des données et la législation applicable. Le RESPONSABLE DU TRAITEMENT se réserve le droit de s'opposer à ces modifications.
10.3 Le PROCESSEUR DE DONNÉES utilise Amazon Web Services, Inc. comme sous-traitant d'infrastructure. Tous les services et plates-formes du PROCESSEUR DE DONNÉES utilisés pour stocker et traiter les données du CONTRÔLEUR DE DONNÉES sont hébergés dans un lieu d'hébergement de données à Francfort, en Allemagne. Sur la base d'un contrat de service entre le PROCESSEUR DE DONNÉES et Amazon Web Services, Inc., tous les services hébergés et les données stockées sont la propriété et ne sont accessibles que par le PROCESSEUR DE DONNÉES.
10.4 Le PROCESSEUR DE DONNÉES stockera les DONNÉES PERSONNELLES provenant de et envoyées vers un pays situé dans l'UE/EEE uniquement dans des pays situés dans l'UE/EEE et ne causera aucun transfert transfrontalier de DONNÉES PERSONNELLES à partir d'un pays situé dans l'UE/EEE. vers tout pays situé en dehors de l'UE/EEE, sauf demande expresse du CONTRÔLEUR DES DONNÉES.
11. Droits du CONTRÔLEUR DE DONNÉES de surveiller et d'auditer le PROCESSEUR DE DONNÉES
11.2 Le TRAITANT DE DONNÉES coopère dûment et rapidement avec le CONTRÔLEUR DE DONNÉES, à la demande du CONTRÔLEUR DE DONNÉES, en donnant accès à tous les documents, infrastructures, locaux, informations et/ou personnel raisonnablement requis par le CONTRÔLEUR DE DONNÉES pour s'assurer que ce traitement de données est conforme. avec le présent Accord.
11.3 Les coûts et conséquences des contrôles et audits sont à la charge du RESPONSABLE DU TRAITEMENT, y compris les frais de support.
12. Transfert de données
12.2 Le transfert de DONNÉES PERSONNELLES ne sera effectué qu'à la demande du CONTRÔLEUR DES DONNÉES, dans le but de fournir l'assistance demandée.
13. Avis
13.1 Tout avis ou autre communication qui est donné en vertu du présent Accord à l'autre partie sera adressé et envoyé à l'autre partie à l'adresse indiquée dans le présent Accord, ou à toute autre adresse autrement notifiée par l'autre partie (y compris pour levée de doute dans un énoncé de travail).
13.2 Pour les questions et préoccupations liées à la confidentialité et à la sécurité des données, le CONTRÔLEUR DE DONNÉES doit contacter le DPO des TRAITANTS DE DONNÉES.
13.3 L'adresse, le numéro de téléphone et l'adresse e-mail spécifiés pour chaque partie aux fins de la présente clause sont répertoriés à la dernière page du présent accord.
14. Modifications de la loi applicable
14.1 Dans le cas où la protection des données applicable et la loi applicable changent de manière à ce que l'Accord ne soit plus adéquat pour régir les exercices de partage de données licites, les parties modifieront l'Accord. Dans de telles circonstances, le PROCESSEUR DE DONNÉES accepte de mettre en œuvre les modifications de ses activités de traitement nécessaires pour se conformer aux conditions modifiées de l'Accord.
15. Dispositions finales
15.1 En outre, le CONTRÔLEUR DE DONNÉES peut résilier le présent Contrat avec un préavis de 30 jours au TRAITANT DE DONNÉES sans aucun frais de résiliation ni pénalité.
15.2 Le présent Contrat constitue l'intégralité de l'accord entre les parties en ce qui concerne l'objet des présentes.
15.3 Le présent Contrat ne peut être modifié ou co