Accord de traitement des données

Le présent Accord de traitement des données s'applique à toutes les formes de traitement de données à caractère personnel que Rezopro-partner SARL (SECK & Co.), dont le siège est situé 60 rue François 1er, 75008 Paris, France, (ci-après : le Responsable du traitement)
fait exécuter par une partie qu'il mandate à cet effet (ci-après : le Sous-traitant) sur la base du contrat conclu entre les parties (ci-après : les Conditions générales).

Article 1. Finalités du traitement
1.1. Le Sous-traitant s'engage, dans les conditions du présent Accord, à traiter des données à caractère personnel pour le compte du Responsable du traitement. Le traitement aura lieu exclusivement dans le cadre du traitement des commandes et des paiements pour les produits ou services du Responsable du traitement, de la gestion de sa comptabilité et de son administration financière, de la gestion de son administration du personnel, du maintien du contact téléphonique avec les clients du Responsable du traitement pour le traitement des réclamations et la fourniture du service, de l'envoi de newsletters pour le compte du Responsable du traitement, de la gestion de son fichier clients, ainsi que des finalités raisonnablement liées à celles-ci ou déterminées d'un commun accord ultérieur.
1.2. Les données à caractère personnel traitées par le Sous-traitant dans le cadre des activités visées à l'alinéa précédent, ainsi que les catégories de personnes concernées dont elles proviennent, figurent en Annexe 1. Le Sous-traitant ne traitera les données à caractère personnel à aucune autre fin que celle déterminée par le Responsable du traitement. Le Responsable du traitement informera le Sous-traitant des finalités de traitement dans la mesure où elles ne sont pas déjà mentionnées dans le présent Accord. Le Sous-traitant peut toutefois utiliser les données à caractère personnel à des fins de qualité, telles que des enquêtes auprès des personnes concernées ou des recherches scientifiques ou statistiques sur la qualité de ses prestations.
1.3. Les données à caractère personnel traitées pour le compte du Responsable du traitement restent la propriété du Responsable du traitement et/ou des personnes concernées.

Article 2. Obligations du Sous-traitant
2.1. En ce qui concerne les traitements visés à l'article 1, le Sous-traitant veillera au respect de la législation et de la réglementation applicables, y compris en tout état de cause la législation et la réglementation relatives à la protection des données à caractère personnel, telles que le Règlement Général sur la Protection des Données (RGPD).
2.2. Le Sous-traitant informera le Responsable du traitement, sur première demande de celui-ci, des mesures qu'il a prises concernant ses obligations au titre du présent Accord.
2.3. Les obligations du Sous-traitant découlant du présent Accord s'appliquent également à toute personne traitant des données à caractère personnel sous l'autorité du Sous-traitant, y compris, sans s'y limiter, ses employés, au sens le plus large du terme.
2.4. Le Sous-traitant informera immédiatement le Responsable du traitement s'il estime qu'une instruction du Responsable du traitement est contraire à la législation visée à l'alinéa 1.
2.5. Le Sous-traitant apportera, dans la mesure de ses moyens, son assistance au Responsable du traitement pour la réalisation d'analyses d'impact relatives à la protection des données (AIPD).
2.6. Conformément à l'article 30 du RGPD, le Sous-traitant tiendra un registre de toutes les catégories d'activités de traitement qu'il effectue pour le compte du Responsable du traitement au titre du présent Accord. Sur demande, le Sous-traitant en donnera accès au Responsable du traitement.

Article 3. Transfert des données à caractère personnel
3.1. Le Sous-traitant peut traiter les données à caractère personnel dans des pays situés au sein de l'Union européenne. Tout transfert vers des pays situés en dehors de l'Union européenne est interdit.

Article 4. Répartition des responsabilités
4.1. Les traitements autorisés seront effectués par les collaborateurs du Sous-traitant dans un environnement automatisé.
4.2. Le Sous-traitant est uniquement responsable du traitement des données à caractère personnel au titre du présent Accord, conformément aux instructions du Responsable du traitement et sous la responsabilité (finale) expresse de ce dernier. Pour les autres traitements de données à caractère personnel, y compris notamment, sans s'y limiter, la collecte des données par le Responsable du traitement, les traitements à des fins qui n'ont pas été communiquées par le Responsable du traitement au Sous-traitant, les traitements effectués par des tiers et/ou à d'autres fins, le Sous-traitant n'est expressément pas responsable.
4.3. Le Responsable du traitement garantit que le contenu, l'utilisation et la commande des traitements de données à caractère personnel visés dans le présent Accord ne sont pas illicites et ne portent atteinte à aucun droit de tiers.

Article 5. Recours à des tiers ou sous-traitants ultérieurs
5.1. Le Sous-traitant ne peut, dans le cadre du présent Accord, faire appel à un tiers sans l'autorisation écrite préalable du Responsable du traitement, laquelle autorisation peut faire l'objet de conditions supplémentaires.
5.2. Le Sous-traitant veille en tout état de cause à ce que ces tiers s'engagent par écrit à respecter au moins les mêmes obligations que celles convenues entre le Responsable du traitement et le Sous-traitant. Le Responsable du traitement a le droit de consulter les contrats éventuellement conclus à cet effet.
5.3. Le Sous-traitant répond du respect correct des obligations découlant du présent Accord par ces tiers et est, en cas de faute de leur part, responsable de tout dommage comme s'il avait lui-même commis la ou les fautes.

Article 6. Sécurité
6.1. Le Sous-traitant s'efforcera de prendre des mesures techniques et organisationnelles suffisantes concernant les traitements de données à caractère personnel à effectuer, contre la perte ou toute forme de traitement illicite (telle que la consultation, l'altération, la modification ou la divulgation non autorisées des données à caractère personnel).
6.2. Le Sous-traitant ne garantit pas que la sécurité soit efficace en toutes circonstances. En l'absence de mesure de sécurité expressément décrite dans le présent Accord, le Sous-traitant s'efforcera d'assurer un niveau de sécurité qui, compte tenu de l'état de la technique, de la sensibilité des données à caractère personnel et des coûts liés à la mise en place de la sécurité, ne soit pas déraisonnable.
6.3. Le Responsable du traitement ne met des données à caractère personnel à la disposition du Sous-traitant pour traitement que s'il s'est assuré que les mesures de sécurité requises ont été prises. Le Responsable du traitement est responsable du respect des mesures convenues entre les Parties.

Article 7. Obligation de notification
7.1. Le Responsable du traitement est en tout temps responsable de la notification d'une violation de la sécurité et/ou d'une violation de données (entendue comme : une violation de la sécurité des données à caractère personnel entraînant un risque, ou ayant des conséquences négatives, pour la protection des données à caractère personnel) à l'autorité de contrôle et/ou aux personnes concernées. Afin de permettre au Responsable du traitement de se conformer à cette obligation légale, le Sous-traitant informe sans délai le Responsable du traitement de la violation de sécurité et/ou de la violation de données.
7.2. Une notification doit toujours être effectuée, mais uniquement si l'événement s'est réellement produit.
7.3. L'obligation de notification comprend en tout état de cause le signalement du fait qu'une violation a eu lieu. Elle comprend en outre :
la nature de la violation de données à caractère personnel, en indiquant si possible les catégories de personnes concernées et de données en question ainsi que, approximativement, le nombre de personnes concernées et de registres de données en question ;
le nom et les coordonnées du délégué à la protection des données ou d'un autre point de contact où des informations complémentaires peuvent être obtenues ;
les conséquences probables de la violation de données à caractère personnel ;
les mesures que le Sous-traitant a proposées ou prises pour remédier à la violation de données à caractère personnel, y compris, le cas échéant, les mesures visant à en atténuer les éventuelles conséquences négatives.
7.4. Conformément à l'article 33, paragraphe 5, du RGPD, le Sous-traitant documentera toutes les violations de données, y compris les faits relatifs à la violation, ses conséquences et les mesures correctives prises. Sur demande, le Sous-traitant en donnera accès au Responsable du traitement.

Article 8. Traitement des demandes des personnes concernées
8.1. Si une personne concernée adresse au Sous-traitant une demande d'exercice de ses droits légaux (articles 15 à 22 du RGPD), le Sous-traitant transmettra la demande au Responsable du traitement, qui la traitera. Le Sous-traitant peut en informer la personne concernée.

Article 9. Confidentialité
9.1. Toutes les données à caractère personnel que le Sous-traitant reçoit du Responsable du traitement et/ou collecte lui-même dans le cadre du présent Accord sont soumises à une obligation de confidentialité envers les tiers. Le Sous-traitant n'utilisera ces informations à aucune autre fin que celle pour laquelle il les a obtenues, même lorsqu'elles sont présentées sous une forme ne permettant plus d'identifier les personnes concernées.
9.2. Cette obligation de confidentialité ne s'applique pas dans la mesure où le Responsable du traitement a donné son autorisation expresse de communiquer les informations à des tiers, si la communication des informations à des tiers est logiquement nécessaire compte tenu de la nature de la mission confiée et de l'exécution du présent Accord, ou s'il existe une obligation légale de communiquer les informations à un tiers.

Article 10. Audit
10.1. Le Responsable du traitement a le droit de faire réaliser des audits par un tiers indépendant, tenu à la confidentialité, afin de contrôler le respect des exigences de sécurité et de tout ce qui s'y rapporte directement.
10.2. Cet audit peut avoir lieu en cas de soupçon concret d'usage abusif de données à caractère personnel.
10.3. Le Sous-traitant coopérera à l'audit et mettra à disposition, dans les meilleurs délais, toutes les informations raisonnablement pertinentes pour l'audit, y compris les données à l'appui telles que les journaux système, ainsi que le personnel nécessaire.
10.4. Les conclusions résultant de l'audit réalisé seront mises en œuvre le plus rapidement possible par le Sous-traitant.
10.5. Les frais de l'audit sont à la charge du Responsable du traitement.

Article 11. Responsabilité et pénalités
11.1. La responsabilité du Sous-traitant pour tout dommage résultant d'un manquement imputable à l'exécution du présent Accord, ou d'un acte illicite ou autre, est exclue. Dans la mesure où cette responsabilité ne peut être exclue, elle est limitée, par événement (une série d'événements successifs étant considérée comme un seul événement), à la réparation du dommage direct, dans la limite maximale du montant des rémunérations perçues par le Sous-traitant pour les prestations réalisées au titre du présent Accord au cours du mois précédant l'événement dommageable. La responsabilité totale du Sous-traitant pour dommage direct ne pourra jamais excéder 100 000,00 €.
11.2. Par dommage direct, on entend exclusivement tout dommage consistant en :
un dommage matériel causé directement aux biens (« dommage matériel ») ;
les frais raisonnables et démontrables engagés pour amener le Sous-traitant à exécuter à nouveau correctement le présent Accord ;
les frais raisonnables engagés pour déterminer la cause et l'étendue du dommage, dans la mesure où ils se rapportent au dommage direct visé ici ; et les frais raisonnables et démontrables engagés par le Responsable du traitement pour prévenir ou limiter le dommage direct visé au présent article.
11.3. La responsabilité du Sous-traitant pour tout dommage indirect est exclue. Par dommage indirect, on entend tout dommage autre que le dommage direct, y compris notamment, sans s'y limiter, le dommage consécutif, la perte de bénéfices, les économies manquées, l'atteinte à la réputation, le dommage résultant d'une interruption d'activité, le dommage lié à l'absence de définition d'objectifs marketing, le dommage lié à l'utilisation de données ou de fichiers imposés par le Responsable du traitement, ou la perte, l'altération ou la destruction de données ou de fichiers.
11.4. Les exclusions et limitations visées au présent article ne s'appliquent pas dans la mesure où le dommage résulte d'une faute intentionnelle ou d'une imprudence délibérée du Sous-traitant ou de sa direction.
11.5. Sauf impossibilité définitive d'exécution par le Sous-traitant, la responsabilité de celui-ci pour manquement imputable dans l'exécution de l'Accord ne naît que si le Responsable du traitement met sans délai le Sous-traitant en demeure par écrit, en lui accordant un délai raisonnable pour remédier au manquement, et que le Sous-traitant reste en défaut, de manière imputable, après ce délai. La mise en demeure doit contenir une description aussi complète et détaillée que possible du manquement, afin de permettre au Sous-traitant d'y réagir de manière adéquate.
11.6. Toute action en réparation du Responsable du traitement contre le Sous-traitant qui n'a pas été notifiée de manière spécifique et explicite s'éteint par le simple écoulement d'un délai de douze (12) mois à compter de la naissance de la créance.
11.7. Le Sous-traitant restera assuré de manière adéquate, pendant toute la durée du présent Accord, pour la responsabilité visée au présent article. Les conditions d'assurance correspondantes peuvent être consultées sur demande.
11.8. En cas de manquement au présent Accord, le Sous-traitant sera redevable envers le Responsable du traitement d'une pénalité immédiatement exigible de 100 000,00 € par manquement et de 10 000,00 € par jour de persistance du manquement.

Article 12. Durée et résiliation
12.1. Le présent Accord entre en vigueur à la signature des Parties, à la date de la dernière signature.
12.2. Le présent Accord est conclu pour la durée fixée dans les Conditions générales entre les Parties, et à défaut, pour la durée de la collaboration.
12.3. Dès que le présent Accord prend fin, pour quelque raison et de quelque manière que ce soit, le Sous-traitant - au choix du Responsable du traitement - restituera à ce dernier toutes les données à caractère personnel en sa possession, sous forme originale ou de copie, et/ou supprimera et/ou détruira ces données originales et leurs éventuelles copies.
12.4. Le Responsable du traitement est en droit de réviser le présent Accord de temps à autre. Il communiquera les modifications au Sous-traitant au moins trois mois à l'avance. Le Sous-traitant peut résilier le présent Accord à l'issue de ces trois mois s'il n'accepte pas les modifications.

Article 13. Droit applicable et règlement des litiges
13.1. Le présent Accord et son exécution sont régis par le droit français, pays d'établissement du Responsable du traitement.
13.2. Tout litige survenant entre les Parties en lien avec le présent Accord sera soumis à la juridiction compétente du lieu d'établissement du Responsable du traitement.

Annexe 1 : Spécification des données à caractère personnel et des personnes concernées
Données à caractère personnel
Dans le cadre de l'article 1.1 du présent Accord, le Sous-traitant traitera les données à caractère personnel suivantes pour le compte du Responsable du traitement :