Accord relatif à la protection des données personnelles

Version 26.07.2022

Dans le cadre de l'exécution de l'ACCORD-SOLUTION LENGOW, LENGOW peut être amené à traiter des données personnelles des INTERNAUTES et des UTILISATEURS pour le compte du CLIENT. Dans ce contexte, LENGOW reconnaît qu'il agit en tant que Sous-traitant et le CLIENT reconnaît qu'il agit en tant que Responsable de traitement au sens du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données («RGPD»).

Les PARTIES reconnaissent que la protection des données personnelles est primordiale et s'engagent donc à respecter la législation en vigueur.

Conformément à l'article 28.3 du RGPD, selon lequel le traitement effectué par un sous-traitant est régi par un contrat définissant l'objet et la durée du traitement, la nature et la finalité du traitement, le type de données personnelles traitées, les catégories de personnes concernées et les obligations et droits du responsable de traitement, les PARTIES se sont réunies pour convenir de ce qui suit.

ARTICLE I. DÉFINITIONS

Dans le présent Accord (« Accord »), les mots et expressions en majuscules sont définis dans l'ACCORD-SOLUTION ou ont les significations énoncées dans l'Accord.

Les termes «Données personnelles», «Responsable de traitement», «Sous-traitant», «Personne concernée(s)», «Violation de données personnelles», «Traitement», «Autorité de contrôle» et «Délégué à la protection des données» ont la même signification que celle prévue par le RGPD et leurs termes associés doivent être interprétés en conséquence.

ARTICLE II. OBJET DE L'ACCORD

II.1 L'objet de l'Accord est de déterminer les conditions dans lesquelles LENGOW effectue le Traitement des Données personnelles pour le compte du CLIENT, ainsi que les obligations respectives des PARTIES.

Le Traitement des Données personnelles effectué par LENGOW pour le compte du CLIENT est détaillé dans l'Annexe de l'Accord (« DESCRIPTION DU TRAITEMENT »).

II.2 Les PARTIES conviennent qu'elles se fourniront mutuellement toutes les informations pertinentes pour se conformer aux obligations prévues par l'Accord.

ARTICLE III. DURÉE DU TRAITEMENT DES DONNÉES

La durée du Traitement des Données personnelles correspond à la durée déterminée dans l'Annexe.

ARTICLE IV. OBLIGATIONS DES PARTIES

IV.1. Obligations du Sous-traitant

LENGOW s'engage à :

• traiter les Données personnelles uniquement aux fins prévues dans l'ACCORD-SOLUTION ainsi que dans l'Annexe du présent Accord ;

• traiter les Données personnelles conformément aux instructions documentées et envoyées par le CLIENT. Toutes les options, instructions et actions du CLIENT dans le cadre de son utilisation de la SOLUTION LENGOW, qui impliquent, pour être exécutées par LENGOW, le Traitement de Données personnelles, seront considérées comme ayant reçu le consentement du CLIENT pour le Traitement de ces Données personnelles par LENGOW en tant que Sous-traitant. Si LENGOW considère qu'une instruction constitue une violation du RGPD ou de toute autre disposition du droit de l'UE ou d'un État membre relative à la protection des données, il en informera le CLIENT rapidement. De plus, si LENGOW est tenu de transférer des données vers un pays tiers ou une organisation internationale, en vertu du droit de l'Union ou de l'État membre auquel il est soumis, il doit informer le Responsable de traitement de cette obligation légale avant le traitement, sauf si la loi concernée interdit cette information pour des raisons importantes d'intérêt public ;

• assurer la confidentialité des Données personnelles traitées dans le cadre de cet ACCORD-SOLUTION ;

• veiller à ce que les personnes autorisées à traiter les Données personnelles dans le cadre de cet ACCORD-SOLUTION :

  • s'engagent à respecter la confidentialité ou soient soumises à une obligation légale de confidentialité appropriée,

  • reçoivent la formation nécessaire à la protection des données personnelles ;

• assister le CLIENT dans la réalisation d'analyses d'impact relatives à la protection des données et de consultations préalables de l'Autorité de contrôle compétente ;

• tenir un registre des activités de Traitement qu'ils effectuent pour le CLIENT, conformément aux dispositions du RGPD, et garder ces activités de Traitement confidentielles vis-à-vis de ses autres CLIENTS,

• maintenir et mettre à disposition du CLIENT toute la documentation nécessaire pour démontrer le respect de ses diverses obligations ;

IV.2 Obligations du Responsable de traitement

Le CLIENT s'engage à envoyer et documenter par écrit toute instruction supplémentaire concernant le traitement des Données personnelles par LENGOW.

Le CLIENT met à disposition de LENGOW les informations nécessaires suivantes :

• le nom et les coordonnées du ou des Responsables de traitement des Données personnelles du CLIENT ;

• le nom et les coordonnées du Délégué à la protection des données du CLIENT, s'il est nommé, ou à défaut, de la personne de contact du CLIENT en charge des Données personnelles aux fins du présent Accord ;

Le CLIENT garantit que les Données personnelles traitées via la SOLUTION LENGOW sont collectées et traitées conformément au RGPD.

Conformément à la législation européenne et française sur la protection des données personnelles, et en particulier au RGPD, avant toute utilisation de la SOLUTION LENGOW par le CLIENT et pendant toute la durée du CONTRAT, le CLIENT assure à LENGOW que :

1. le CLIENT a collecté et traité les Données personnelles de manière licite, loyale et transparente, pour des finalités déterminées, explicites et légitimes que LENGOW ne peut connaître et dont le CLIENT déclare avoir dûment informé les Personnes concernées avant la collecte de leurs Données personnelles, conformément au RGPD. Toute obligation préalable de déclaration relative au traitement des Données personnelles auprès d'une Autorité de contrôle incombe exclusivement au CLIENT, qui assure à LENGOW qu'il l'a fait ;

2. le CLIENT est seul responsable du traitement des Données personnelles qu'il collecte, saisit ou traite au cours de son utilisation de la SOLUTION LENGOW et que LENGOW n'est pas autorisé à traiter pour ses propres besoins ;

3. le CLIENT détermine seul les finalités et les méthodes de traitement des Données personnelles effectuées notamment par l'utilisation de la SOLUTION LENGOW proposée par LENGOW.

Les garanties données par le CLIENT à LENGOW en vertu de cet article sont toutes des conditions essentielles de l'ACCORD-SOLUTION, sans lesquelles LENGOW n'aurait pas contracté.

ARTICLE V. SOUS-TRAITANCE

LENGOW est autorisé à recourir à un autre sous-traitant (ci-après le « Sous-traitant LENGOW ») pour effectuer des activités de traitement spécifiques.

Le CLIENT reconnaît et accepte qu'aux fins de l'ACCORD-SOLUTION, LENGOW utilise régulièrement d'autres prestataires de services techniques qui peuvent avoir la qualité de Sous-traitant LENGOW et traiter des Données personnelles pour le compte de LENGOW. Le CLIENT peut accéder à la liste mise à jour des Sous-traitants LENGOW en cliquant ici. Le CLIENT disposera de quinze (15) jours calendaires à compter de la date de réception de cette information pour s'y opposer, à condition que cette opposition soit fondée sur des motifs objectifs et raisonnables.

Les Sous-traitants LENGOW sont tenus de respecter les obligations du présent Accord pour le compte et conformément aux instructions du CLIENT. Il incombe à LENGOW de s'assurer que les Sous-traitants LENGOW fournissent les mêmes garanties adéquates pour mettre en œuvre des mesures techniques et organisationnelles appropriées afin que le traitement réponde aux exigences du RGPD.

Si le Sous-traitant LENGOW ne remplit pas ses obligations de protection des Données personnelles, LENGOW reste pleinement responsable envers le CLIENT de l'exécution par le Sous-traitant LENGOW de ses obligations.

ARTICLE VI. EXERCICE DES DROITS DES PERSONNES CONCERNÉES

Tous les droits que les Personnes concernées ont sur leurs Données personnelles, à savoir les droits d'accès, de rectification, d'effacement et d'opposition, le droit à la limitation du traitement, le droit à la portabilité des données, le droit de ne pas faire l'objet d'une décision individuelle automatisée (y compris le profilage), doivent être exercés par lesdites Personnes concernées directement et exclusivement auprès du CLIENT, LENGOW s'engageant à se conformer à toute instruction écrite et légale du CLIENT à cet égard.

Lorsque les Personnes concernées exercent leurs droits concernant leurs Données personnelles auprès de LENGOW, sauf accord contraire de LENGOW par écrit, LENGOW transmettra rapidement ces demandes par e-mail au CLIENT.

ARTICLE VII. NOTIFICATION DES VIOLATIONS DE DONNÉES PERSONNELLES

LENGOW s'engage à informer le CLIENT, dès que possible après en avoir pris connaissance, de toute Violation de Données personnelles lorsque cette violation entraîne, accidentellement ou illégalement, l'accès ou la divulgation non autorisés, l'altération, la perte ou la destruction de Données personnelles. Il incombera alors au CLIENT d'informer, le cas échéant, (i) l'Autorité de contrôle à laquelle il est soumis et (ii) les Personnes concernées.

À la première demande du CLIENT, LENGOW fournira par écrit tous les éléments nécessaires à la notification de la Violation de Données personnelles par le CLIENT à l'autorité de contrôle compétente en sa possession, à savoir :

• la nature de la Violation de Données personnelles, y compris, si possible, les catégories et le nombre approximatif de Personnes concernées et les catégories et le nombre approximatif d'enregistrements de Données personnelles concernés ;

• le nom et les coordonnées du Délégué à la protection des données de LENGOW ou autre point de contact où des informations supplémentaires peuvent être obtenues ;

• les conséquences probables de la Violation de Données personnelles ;

• les mesures prises ou que LENGOW propose de prendre pour remédier à la Violation de Données personnelles, y compris, le cas échéant, les mesures pour en atténuer les éventuels effets négatifs.

Lorsque, et dans la mesure où, il n'est pas possible pour LENGOW de fournir au CLIENT toutes ces informations en même temps, LENGOW s'engage à fournir ces informations au CLIENT par étapes dès que possible.

ARTICLE VIII. COOPÉRATION

En cas d'obligations de signalement et de notification aux autorités de contrôle compétentes et/ou aux Personnes concernées résultant d'une Violation de Données personnelles, les PARTIES fourniront, sur demande, un soutien et des informations à l'autre PARTIE

Les PARTIES coopéreront, dans la mesure nécessaire, à la réalisation d'analyses d'impact relatives à la protection des données et de consultations préalables de l'autorité de contrôle compétente ; Si une autorité de contrôle communique avec une PARTIE concernant le Traitement effectué par l'une ou l'autre des PARTIES des Données personnelles du CLIENT en vertu de l'Accord ou de ce CONTRAT, la PARTIE ayant communiqué avec l'autorité de contrôle informera l'autre PARTIE dès que possible. Les PARTIES coopéreront dans la mesure raisonnablement nécessaire pour se conformer à leurs obligations de répondre aux demandes de l'Autorité de contrôle. Les PARTIES supporteront chacune les coûts raisonnables respectifs liés au respect de ces obligations, étant précisé qu'en cas d'assistance renforcée de l'une ou l'autre des PARTIES, celles-ci discuteront de bonne foi du partage des coûts y afférents.

ARTICLE IX. MESURES DE SÉCURITÉ

LENGOW s'engage à mettre en œuvre des mesures de sécurité appropriées afin de sécuriser les Données personnelles et d'assurer leur intégrité, disponibilité et confidentialité. À ce titre, LENGOW a formalisé une Politique de Sécurité décrivant les mesures de sécurité mises en place. Cette Politique de Sécurité est disponible sur demande auprès de LENGOW.

ARTICLE X. SORT DES DONNÉES

X.1 Données des INTERNAUTES

Au cours de l'exécution de l'ACCORD-SOLUTION, LENGOW supprimera ou, en tout état de cause, anonymisera automatiquement toutes les Données personnelles des INTERNAUTES en sa possession dans un délai maximum de six (6) mois à compter de leur collecte via la SOLUTION LENGOW.

À la fin de l'ACCORD-SOLUTION, LENGOW s'engage à détruire ou, en tout état de cause, à anonymiser toutes les Données personnelles des INTERNAUTES qui restent en sa possession dans un délai de deux (2) mois après la fin du CONTRAT, sauf si le droit de l'Union ou d'un État membre exige la conservation des Données personnelles.

X.2 Données des UTILISATEURS :

À la fin de l'ACCORD-SOLUTION, LENGOW supprimera ou anonymisera les Données personnelles des UTILISATEURS de ses systèmes d'information dans les 30 jours suivant la fin de l'ACCORD-SOLUTION, sauf si des obligations administratives ou légales en disposent autrement.

ARTICLE XI. AUDIT

LENGOW met à disposition du CLIENT la documentation nécessaire pour démontrer le respect de toutes ses obligations et pour permettre, dans la limite d'un audit par année contractuelle, la réalisation d'audits par le CLIENT, ou un autre auditeur indépendant désigné par celui-ci et qui doit avoir été soumis à une validation préalable et écrite par LENGOW, et de contribuer à ces audits. Ces audits seront réalisés à distance sur la base des informations demandées par le CLIENT à LENGOW afin de démontrer les procédures et la documentation mises en place par LENGOW pour se conformer au RGPD. Tous les coûts engagés par le CLIENT dans le cadre de cet audit seront exclusivement à la charge du CLIENT.

Le CLIENT communiquera à LENGOW à l'avance, et au moins deux (2) mois à l'avance, toute demande d'audit, la date de l'audit et le nom et les coordonnées des personnes en charge de l'audit. Ce délai peut être réduit à quinze (15) jours en cas de Violation de Données personnelles.

Étant donné que l'audit est réalisé à distance, LENGOW travaillera de bonne foi avec l'auditeur et lui fournira toute information, document ou explication nécessaire à la réalisation de l'audit en lien avec les opérations de traitement effectuées dans le cadre de l'exécution du CONTRAT. En aucun cas l'audit ne pourra avoir pour objet ou effet direct ou indirect de perturber les activités de LENGOW ou d'accéder ou d'affecter de quelque manière que ce soit les éléments, propriété de LENGOW, protégés au titre de la propriété intellectuelle ou du secret des affaires.

ARTICLE XII. TRANSFERTS INTERNATIONAUX

Le CLIENT reconnaît et accepte que LENGOW puisse transférer des Données personnelles en dehors de l'EEE ou à une organisation internationale à la seule condition qu'une des mesures de protection appropriées prévues au Chapitre V du RGPD soit effectivement mise en place.

Ces mesures incluent :

Le transfert de données vers un pays tiers ayant fait l'objet d'une décision d'adéquation par la Commission européenne restant en vigueur ;

La supervision du transfert de données par la signature du module approprié des clauses contractuelles types en vigueur adoptées par la Commission européenne (à partir de : https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj?uri=CELEX: 32021D0914 &locale=fr) et la mise en œuvre, le cas échéant, de mesures supplémentaires pour garantir un niveau de protection des données substantiellement équivalent à celui prévu par le RGPD ;

L'utilisation de l'une des dérogations spécifiques prévues à l'article 49 du RGPD lorsque le transfert respecte strictement les conditions d'application spécifiques à l'exemption sélectionnée.

ARTICLE XIII. DISPOSITIONS DIVERSES

L'Accord et tout instrument sous-jacent constituent l'intégralité de l'accord entre les PARTIES en ce qui concerne l'objet du présent Accord et remplacent tous les accords ou déclarations antérieurs, oraux ou écrits, relatifs à cet objet.

En cas de divergences entre l'Accord, l'ACCORD-SOLUTION et tout autre accord entre les PARTIES, les dispositions de l'Accord prévaudront, si elles sont liées au Traitement des Données personnelles.

L'Accord et tous les litiges en découlant ou s'y rapportant seront interprétés, régis par et exécutés conformément au droit français. Chaque PARTIE consent irrévocablement à la compétence exclusive des tribunaux de Nantes (44200) pour tous les litiges et réclamations en vertu de l'Accord et toutes les actions visant à faire valoir ces réclamations ou à obtenir des dommages-intérêts ou d'autres recours en lien avec ces réclamations, sauf dans la mesure où le droit applicable en matière de protection des données en dispose autrement.

La description du traitement des Données personnelles effectué par LENGOW dans le cadre du CONTRAT est présentée dans le tableau ci-dessous :