Politique de confidentialité

Annexe A
Accord sur le Traitement des Données Personnelles
DÉFINITIONS
À moins qu’ils ne soient définis dans le Contrat, les termes ci-dessous ont les significations suivantes lorsqu’ils sont utilisés dans le présent Accord avec la première lettre en majuscule :
1.1 Accord : désigne le présent Accord sur le Traitement des Données Personnelles.  
1.2 Responsable du Traitement : a la signification définie dans le Règlement Général sur la Protection des Données.
1.3 Sous-Traitant : a la signification définie dans le Règlement Général sur la Protection des Données.
1.4 Données Personnelles : a la signification définie dans le Règlement Général sur la Protection des Données. À toutes fins utiles, il est précisé que les Données Personnelles sont par définition des Données du Client.
1.5 Traitement : a la signification définie dans le Règlement Général sur la Protection des Données et est décrit en Appendice 1.
1.6 Sous-Traitant Ultérieur : désigne tout Sous-Traitant de l’Éditeur.
1.7 Autorité de Contrôle : a la signification définie dans le Règlement Général sur la Protection des Données.
1.8 Violation de la Sécurité des Données :  désigne toute violation de la sécurité entrainant toute destruction, perte, altération, divulgation non autorisée de Données Personnelles traitées, ou de l’accès non autorisé à de telles données, de manière accidentelle ou illicite. 
2. RÔLE DES PARTIES ET FINALITÉ 
2.1 Le Client a qualité de Responsable du Traitement et l’Éditeur a qualité de Sous-Traitant du Traitement décrit dans le présent Accord et en particulier à l’Appendice 1.
2.2 Le Sous-Traitant traite les Données Personnelles pour le compte du Responsable du Traitement afin de lui fournir les Services et Prestations qu’il a commandé en vertu d’un Devis et du Contrat. 
3. OBLIGATIONS DU SOUS-TRAITANT
Les Parties conviennent que l’objet et la durée du Traitement effectué par le Sous-Traitant en application du présent Accord, la nature et la finalité du Traitement, les catégories de Données Personnelles et les catégories de Personnes Concernées, sont tels que décrits dans le présent Accord, à l’Appendice 1 et dans le Contrat. 
À toutes fins utiles, il est précisé que les obligations incombant au Sous-Traitant en vertu du présent Accord relèvent d’une obligation de moyens. Dans le cadre de la fourniture des Services et des Prestations au Responsable du Traitement en application du Contrat, le Sous-Traitant prend les engagements suivants :
(i) Le Sous-Traitant ne traitera les Données Personnelles que sur instructions documentées du Responsable du Traitement, conformément à ce qui est nécessaire afin de fournir les Services, les Prestations et le Support.  Sont considérées comme instructions documentées : 
(a) les termes du Contrat, y compris ceux du présent Accord
(b) toutes requêtes ou commandes faites par le Client à travers l’utilisation des Services et/ou du Support
(c) toutes demandes formulées par le Client de quelque manière que ce soit, par exemple effectuée par email ou téléphone dans le cadre de l’utilisation des Services et/ou du Support. 
Il est rappelé au Responsable du Traitement qu’il lui incombe de s’assurer que ses instructions respectent la Destination des Services, les Lois et Réglementations relatives à la Protection des Données Personnelles applicables et le Contrat.
(ii) Le Sous-Traitant s’assurera que son personnel s’est engagé à respecter la confidentialité des Données Personnelles et que les Sous-Traitants Ultérieurs sont soumis à des obligations en matière de confidentialité des Données Personnelles non-moins protectrices que celles stipulées dans le Contrat ;
(iii) Compte-tenu de l’état des connaissances, des coûts de mise en œuvre, de la nature, de la portée, du contexte et des finalités du Traitement, de la Destination des Services, ainsi que des risques, dont le degré de probabilité et de gravité varie pour les droits et libertés des personnes physiques, le Sous-Traitant mettra en œuvre et maintiendra des mesures techniques et organisationnelles appropriées pour protéger les Données Personnelles contre toute Violation de la Sécurité des Données ;
 (iv) Compte-tenu de la nature du Traitement, de la Destination des Services, des informations à la disposition du Sous-Traitant, le Sous-Traitant apportera une aide raisonnable au Responsable du Traitement dans la mise en œuvre et le maintien des mesures techniques et organisationnelles appropriées pour protéger les Données Personnelles contre toute Violation de la Sécurité des Données ; ces mesures tiennent également compte de l’état des connaissances, des coûts de mise en œuvre, de la nature, de la portée, du contexte et des finalités du Traitement, de la Destination des Services ainsi que des risques, dont le degré de probabilité et de gravité varie pour les droits et libertés des personnes physiques ;
(v) Compte-tenu de la nature du Traitement et des informations à la disposition du Sous-Traitant, ce dernier notifiera le Responsable du Traitement, dans les meilleurs délais et si possible dans un délai de soixante-douze (72) heures au plus tard après avoir pris connaissance d’une Violation de la Sécurité des Données ;  si nécessaire le Sous-Traitant apportera une aide raisonnable au Responsable du Traitement afin d’atténuer ou de remédier à la Violation de la Sécurité des Données. Le Sous-Traitant ne sera pas soumis à la présente obligation de notification au Responsable du Traitement si la Violation de la Sécurité des Données n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques ;
(vi)  Sur demande écrite du Responsable du Traitement, et compte-tenu de la nature du Traitement et des informations à la disposition du Sous-Traitant, ce dernier fournira au Responsable du Traitement une aide raisonnable s’agissant du respect de ses obligations par le Responsable du Traitement en matière de communication à la Personne Concernée d’une Violation de la Sécurité des Données, lorsque exigé par le Règlement Général pour la Protection des Données ;
(vii) Sur demande écrite du Responsable du Traitement, et compte-tenu de la nature du Traitement et des informations à la disposition du Sous-Traitant, ce dernier apportera une aide raisonnable au Responsable du Traitement dans la réalisation d’une analyse d’impact sur la protection des Données Personnelles, lorsque exigé par le Règlement Général pour la Protection des Données ;
(viii) Sur demande écrite du Responsable du Traitement, et compte-tenu de la nature du Traitement et des informations à la disposition du Sous-Traitant, ce dernier apportera une aide raisonnable au Responsable du Traitement en cas de consultation préalable auprès d’une Autorité de Contrôle lorsque exigé par le Règlement Général pour la Protection des Données ;
(ix) Compte-tenu de la nature du Traitement, le Sous-Traitant apportera par des mesures techniques et organisationnelles appropriées une aide raisonnable au Responsable du Traitement visant à permettre à ce dernier de respecter son obligation de faire suite aux demandes des Personnes Concernées quant à l’exercice de leurs droits en application des Lois et Réglementations applicables à la Protection des Données Personnelles (une « Demande de la Personne Concernée »). Dans le cas où le Sous-Traitant recevrait directement une Demande d’une Personne Concernée, en premier lieu (sauf interdiction légale) il orientera la Personne Concernée vers le Responsable du Traitement. Si le Responsable du Traitement n’est pas en mesure de répondre à la Demande de la Personne Concernée et à la demande du Responsable du Traitement, le Sous-Traitant y répondra conformément aux Lois et Réglementations relatives à la Protection des Données Personnelles ;
(x) En cas de résiliation de l’accès et de l’utilisation des Services par le Responsable du Traitement, le Sous-Traitant se conformera aux exigences de la Section « Restitution et Destruction des Données Personnelles » du présent Accord ; 
(xi) Le Sous-Traitant se conformera aux exigences de la Section « Audit » du présent Accord visant à permettre la mise à disposition du Responsable du Traitement ou d’un tiers désigné par lui des informations visant à démontrer le respect par le Sous-Traitant des obligations stipulées dans le présent Accord.
Le Sous-Traitant informe immédiatement le Responsable du Traitement si, selon lui, une instruction du Responsable du Traitement relatives au Traitement de Données Personnelles constitue une violation des Lois et Réglementations applicables à la Protection des Données Personnelles. Dans ce cas, le Sous-Traitant est autorisé à refuser de mettre en œuvre le Traitement des Données Personnelles qu’il estime être en violation des Lois et Réglementations relatives à la Protection des Données Personnelles.
Le Responsable du Traitement supporte seul les coûts relatifs à la mise en œuvre par le Sous-Traitant de ses obligations ayant pour objet la fourniture d’une aide raisonnable en vertu de la présente Section « Obligations du Sous-Traitant » y compris en matière d’Audit (tel que plus amplement détaillé à la Section « Audit »). Le Responsable du Traitement accepte par la présente que le Sous-Traitant facture la fourniture d’une telle aide, chaque fois que celle-ci est demandée par le Responsable du Traitement en vertu de la présente Section, sur la base du tarif jour/homme alors applicable par le Sous-Traitant. La fourniture de ces prestations d’aide fait l’objet de stipulations contractuelles séparées des présentes.
4. RECOURS À DES SOUS-TRAITANTS ULTÉRIEURS
4.1 Le Responsable du Traitement accorde par la présente une autorisation préalable et générale au Sous-Traitant de recourir à des Sous-Traitants Ultérieurs pour l’assister dans le Traitement des Données Personnelles effectué dans les conditions définies dans le Présent Accord.
Le Sous-Traitant s’engage à ce que les Sous-Traitants Ultérieurs : 
(i) respectent les obligations au moins équivalentes à celles fixées dans le présent Accord en matière de protection des Données Personnelles ; 
(ii) s’engagent en particulier à présenter des garanties en matière de protection des Données Personnelles au moins équivalentes à celles présentées par les mesures mises en œuvre par l’Éditeur. 
Le Sous-Traitant demeure pleinement responsable devant le Responsable du Traitement de l’exécution par les Sous-Traitants Ultérieurs de leurs obligations contractuelles prises à l’égard du Sous-Traitant. 
 Le Responsable du Traitement autorise par la présente le recours aux Sous-Traitants Ultérieurs figurant sur la liste des Sous-Traitants Ultérieurs en Appendice 2 du présent Accord. Le Sous-Traitant notifiera la mise à jour de la liste des Sous-Traitants Ultérieurs auxquels il aura recours au moins trente (30) jours calendaires avant la date à laquelle le Sous-Traitant Ultérieur commencera à traiter les Données Personnelles.
Si le Responsable du Traitement s’oppose au Traitement de ses Données Personnelles par un Sous-Traitant Ultérieur nouvellement nommé, tel que décrit à la Section « Recours à des Sous-Traitants Ultérieurs » du présent Accord, il devra le notifier dans le délai convenu ci-dessous au Sous-Traitant. Dans ce cas, le Sous-Traitant pourra :
(a) demander au Sous-Traitant Ultérieur de cesser tout Traitement des Données Personnelles mis en œuvre pour le compte du Responsable du Traitement, auquel cas le présent Accord se poursuivra et ne sera pas affecté si une telle objection n’affecte pas les Services utilisés par le Responsable du Traitement en vertu d’un Devis, et à défaut (b) permettre au Responsable du Traitement de résilier le présent Accord et le Contrat sous réserve du respect d’un préavis de soixante (60) jours.
A défaut d’opposition du Responsable du Traitement dans un délai de dix (10) jours calendaires suivant la notification de la mise à jour des Sous-Traitants Ultérieurs, celui-ci reconnaît et accepte qu’il est réputé avoir accepté le nouveau Sous-Traitant Ultérieur désigné.
À toutes fins utiles, il est rappelé que les fournisseurs de Services de Tiers ou de Données de Tiers ne sont pas des Sous-Traitants Ultérieurs. Le Responsable du Traitement est seul responsable de l’utilisation des Services de Tiers et Données de Tiers, tel que prévu dans le Contrat.
5. AUDIT

Pour les besoins de la présente Section, « Auditeur » désigne indifféremment le Responsable du Traitement ou l’auditeur tiers mandaté par le Responsable du Traitement dans le cadre la présente Section, afin de réaliser un audit ou une inspection tel que mentionné à la Section « Obligations du Sous-Traitant ». 
Le Sous-Traitant met à disposition de l’Auditeur les informations nécessaires pour démontrer raisonnablement le respect du présent Accord, dans les conditions suivantes :
5.1 Le Responsable du Traitement démontre que l’Auditeur est soumis à une obligation stricte de confidentialité au moins équivalente à celle prévue dans le Contrat ;
5.2 Le Responsable du Traitement démontre que l’Auditeur n’est pas un concurrent du Sous-Traitant ;
5.3 La procédure suivante est respectée : 
5.4 Le Responsable du Traitement notifie le Sous-Traitant dans un délai de trente (30) jours préalablement au démarrage de l’audit ou inspection (ci-après « Audit ») ;
5.5 Au cours de ces trente (30) jours, le Responsable du Traitement et le Sous-Traitant conviennent ensemble par écrit du périmètre, de la date de début et de la durée de l’Audit. 
5.6  Le Responsable du Traitement garantit que l’Audit ne perturbera l’organisation du Sous-Traitant ni l’exercice de ses activités. A défaut, le Responsable du Traitement indemnisera le Sous-Traitant de tout préjudice résultant de la conduite de l’Audit.
L’Audit sera réalisé exclusivement à distance. L’Audit des Sous-Traitants Ultérieurs est limité dans les mêmes conditions que leur droit d’Audit contractuel par le Sous-Traitant.
5.7 L’Audit est effectué par l’Auditeur de manière raisonnable et de bonne foi.
Au terme de l’Audit, le rapport d’Audit sera soumis au Sous-Traitant pour objections et observations.
Le Sous-Traitant reste seul décisionnaire des correctifs à apporter. A défaut d’accord sur les correctifs à apporter, le Sous-Traitant permettra au Responsable du Traitement de résilier le présent Accord et le Contrat sous réserve du respect d’un préavis de soixante (60) jours.
6. OBLIGATIONS DU RESPONSABLE DU TRAITEMENT 
En tant que Responsable du Traitement utilisant le(s) Service(s) conformément au Contrat, le Responsable du Traitement accepte ce qui suit :
(i) le Responsable du Traitement est seul responsable de l’exactitude des Données Personnelles, des moyens par lesquels ces Données Personnelles sont collectées et du Traitement qu’il met en œuvre ; 
(ii) le Responsable du Traitement a la responsabilité exclusive des instructions qu’il donne au Sous-Traitant concernant le Traitement des Données personnelles, ces dernières devant être conformes au présent Accord, au Contrat et aux Lois et Réglementations relatives à la Protection des Données Personnelles ;
(iii) le Responsable du Traitement est responsable du respect de ses obligations en vertu des Sections « Obligations du Client » et « Services de Tiers et Données de Tiers » du Contrat ;
(iv) le Responsable du Traitement est et demeurera seul responsable de la conformité du Traitement de Données Personnelles à l’ensemble des dispositions applicables en vertu des Lois et Réglementations relatives à la Protection des Données Personnelles ;
(v) le Responsable du Traitement est responsable du paiement de toutes prestations supplémentaires facturées par le Sous-Traitant au titre de :
(a) l’exécution de sa prestation de fourniture d’une aide raisonnable, tel que prévu à la Section « Obligations du Sous-Traitant » du présent Accord ;
(b) l’exécution de sa prestation de restitution des Données du Client en vertu de la Section «Restitution et destruction des Données Personnelles » .
7. RESTITUTION ET DESTRUCTION DES DONNÉES PERSONNELLES 
En cas de résiliation ou de non-prorogation du Contrat, le Responsable du Traitement, pourra demander au Sous-Traitant de lui restituer les Données du Client, dans les conditions suivantes :
(a) le Responsable du Traitement doit procéder à cette demande dans un délai maximal d’un (1) mois suivant cette résiliation ou non-prorogation ;
(b) le Responsable du Traitement accepte par la présente que le Sous-Traitant facture la fourniture cette prestation de restitution des Données du Client, sur la base du tarif jour/homme alors applicable par le Sous-Traitant ;
(c) la fourniture de ces prestations de restitution des Données du Client fait l’objet de stipulations contractuelles séparées des présentes ;
(d) les Données du Client seront restituées dans un format standard choisi par le Sous-Traitant.
A l’issue d’un délai de trois (3) mois suivant la résiliation du Contrat ou sa non-prorogation, le Sous-Traitant supprimera toutes les Données du Client traitées pour le compte du Responsable du Traitement, conformément aux politiques et procédures de suppression du Sous-Traitant. 
Le Responsable du Traitement reconnaît et accepte qu’il ne sera pas possible de récupérer les Données du Client, après expiration de ce délai de trois (3) mois suivant la résiliation du Contrat ou sa non prorogation.
8. DURÉE 
Le présent Accord restera en vigueur aussi longtemps que le Sous-Traitant traitera des Données Personnelles pour le compte du Responsable du Traitement en application du Contrat et du présent Accord.
9. LIMITATION DE RESPONSABILITÉ
L’engagement de la responsabilité de chaque Partie en cas de manquement au Présent Accord est soumis aux conditions définies à la Section « Limitation de responsabilité » du Contrat.






Appendice 1 de l’Accord Description du Traitement
Durée du Traitement
Le Traitement de Données Personnelles se poursuivra pendant toute la Durée d’Abonnement prévue dans le Contrat augmentée de trois (3) mois.
Objet du Traitement
Le Sous-Traitant traitera les Données Personnelles, étant précisé que les termes « Données Personnelles » ont la signification qui leur sont attribués par le Règlement Général sur la Protection des Données et qu’elles constituent des Données du Client.
Finalité du Traitement
Le Traitement des Données Personnelles a pour finalité de fournir les Services en vertu du Contrat, du Devis et du présent Accord.
Personnes Concernées
Le Responsable du Traitement peut, à sa seule discrétion, envoyer des Données Personnelles vers les Services, ce qui peut inclure, sans que cela ne soit exhaustif, les catégories suivantes de Personnes Concernées :
employés du Client, consultants du Client, toutes personnes (ayant qualité de personnes physiques) autorisée par le Responsable du Traitement à utiliser les Services ;
les Utilisateurs et les Utilisateurs Finaux ;
les employés des Utilisateurs Finaux ;
Dans le cadre des Prestations, clients du Responsable de Traitement
Catégories de Données Personnelles
Le Responsable du Traitement peut, à sa seule discrétion, envoyer vers les Services, des Données Personnelles qui peuvent inclure, sans que cela soit exhaustif, les catégories de données suivantes :
Identifiants de Connexion ;
données d’identité et de contact des Utilisateurs et Utilisateurs Finaux ;
informations relatives à des ordres de transport ;Dans le cadre des Prestations, les emails des clients du Responsable de Traitement
Coordonnées de contact
Pour toute question relative aux Données Personnelles de l’Abonné résultant du présent Accord ou en rapport avec
celui-ci, les Parties doivent communiquer aux coordonnées suivantes :
Adresse email : victor.gonzalez@bary.app
Tél : 06 68 34 82 66