Politique de confidentialité
 

Contrôleur de données

Responsable du traitement de vos données : Camille MAGNIN

Données personnelles collectées

Siège social : 510 Grande Rue, 73800 Arbin

Objectif de la collecte de données

Camille MAGNIN - 06 74 82 33 73 - cmagnin@neodaf-conseil.com

Data Processing Agreement (DPA)

Conformément à l'article 28, paragraphe 3, du règlement général sur la protection des données (RGPD)
 

1. Objet et durée du traitement
1.1 L'accord a pour objet de définir les droits et obligations des parties dans le cadre de la fourniture de services conformément à la description des prestations et aux CGV, dans la mesure où un traitement de données à caractère personnel est effectué par NEO DAF (ci-après le sous-traitant) en tant que prestataire pour le client (ci-après le donneur d’ordre) en tant sa qualité de responsable du traitement conformément à l'article 28 du RGPD. Cela comprend toutes les activités que le sous-traitant réalise pour l'exécution du contrat et qui constituent un traitement de données à caractère personnel. Cela s'applique également dans la mesure où la passation de commande ne renvoie pas expressément au présent accord sur le traitement des données.
1.2 La durée du traitement est déterminée en fonction du traitement effectif des données à caractère personnel du donneur d’ordre par le sous-traitant.
2. Nature et finalité du traitement
2.1 La nature du traitement comprend tous les types de traitement au sens du RGPD pour l'exécution de la mission.
2.2 Les finalités du traitement sont toutes les finalités nécessaires à la fourniture de la prestation convenue par contrat.
3. Type de données à caractère personnel et catégorie de personnes concernées
3.1 Le donneur d’ordre détermine le type de données traitées par le choix du produit, la configuration, l’utilisation des services et la transmission
des données. 
3.2 Le donneur d’ordre détermine les catégories des personnes concernées par le choix du produit, la configuration, l’utilisation des services et la transmission des données.
4. Responsabilité et traitement sur instructions documentées
4.1 Dans le cadre du présent contrat, le donneur d'ordre est seul responsable du respect des dispositions légales de la législation sur la protection des données, en particulier de la légalité de la transmission des données au sous-traitant ainsi que de la légalité du traitement des données ("responsable" au sens de l'article 4 n° 7 du RGPD). Cela vaut également en ce qui concerne les finalités et les moyens du traitement régis par le présent accord.
4.2 Les instructions sont initialement fixées par le contrat principal et peuvent ensuite être modifiées par le donneur d’ordre par des instructions individuelles sous forme écrite ou dans un format électronique. Les instructions orales doivent être confirmées immédiatement par écrit ou sous forme de texte. En cas de propositions de modification, le sous-traitant informe le donneur d'ordre des conséquences sur les prestations convenues, notamment sur la possibilité de fournir les prestations, les délais et la rémunération. Si la mise en œuvre des instructions ne peut être raisonnablement acceptée par le sous-traitant, celui-ci est en droit de mettre fin au traitement et de résilier le contrat de manière exceptionnelle. L'obligation de rémunération du donneur d'ordre disparaît lorsque le sous-traitant cesse d'exécuter la prestation. L'inacceptabilité existe notamment lorsque les prestations sont fournies dans une infrastructure utilisée par plusieurs donneurs d'ordre/clients du sous-traitant et qu'une modification du traitement n'est pas possible ou pas acceptable pour certains donneurs d'ordre.
4.3 Le traitement des données convenu par contrat a lieu dans un État membre de l'Union européenne ou dans un autre État signataire de l'accord sur l'Espace économique européen, à moins que le transfert des données dans des États tiers ne soit nécessaire pour fournir la prestation. Dans le cas d'un transfert vers un pays tiers, le contractant s'assure que les conditions prévues aux articles 44 et suivants du RGPD sont remplies. 
5. Droits du donneur d'ordre, obligations du sous-traitant
5.1 Le sous-traitant ne peut traiter les données des personnes concernées que sur la base d'instructions documentées du donneur d'ordre. Les instructions sont définies au départ par le contrat. Il n'y a toutefois pas d'obligation de donner des instructions lorsqu'il existe un cas exceptionnel au sens de l'article 28, paragraphe 3, point a) du RGPD (obligation en vertu du droit de l'Union européenne ou d'un État membre). Cela concerne également les transferts de données à caractère personnel vers des pays tiers ou des organisations internationales. S'il existe une obligation de traitement contraire à une instruction, le sous-traitant informe le donneur d’ordre de l'exigence juridique correspondante avant le traitement. Sauf si le droit en question interdit une telle information en raison d'un intérêt public important. Le sous-traitant informe immédiatement le donneur d’ordre s'il estime qu'une instruction est contraire au droit applicable. Le sous-traitante peut suspendre l'exécution des instructions jusqu'à ce qu'elles aient été confirmées ou modifiées par le donneur d'ordre. Les instructions doivent être documentées par le donneur d’ordre et conservées au moins pendant la durée de la relation contractuelle.
5.2 Compte tenu de la nature du traitement, le sous-traitant assiste, dans la mesure du possible, le donneur d’ordre en prenant des mesures techniques et organisationnelles appropriées afin de satisfaire aux droits des personnes concernées conformément au chapitre III du RGPD. Le sous-traitant est en droit d'exiger du donneur d’ordre une rémunération appropriée pour ces services, dans la mesure où cette assistance n'a pas été rendue nécessaire par une violation de la loi ou du contrat par le sous-traitant. Le sous-traitant fera parvenir au préalable au donneur d’ordre une information sur les coûts.
5.3 Compte tenu de la nature du traitement et des informations dont il dispose, le sous-traitant aide le donneur d’ordre à respecter les obligations visées aux articles 32 à 36 du RGPD. Le sous-traitant est en droit d'exiger du donneur d’ordre une rémunération appropriée pour ces services, dans la mesure où l'assistance n'a pas été rendue nécessaire en raison d'une violation de la loi ou du contrat par le sous-traitant. Le sous-traitant fera parvenir au préalable au donneur d’ordre une information sur les coûts.
5.4 Le sous-traitant garantit qu'il est interdit aux employés chargés du traitement des données du donneur d'ordre et aux autres personnes travaillant pour le compte du sous-traitant de traiter les données en dehors des instructions données. En outre, le sous-traitant garantit que les personnes autorisées à traiter les données à caractère personnel se sont engagées à respecter la confidentialité ou sont soumises à un devoir de discrétion légal approprié. Il en va de même pour le secret social, le secret des télécommunications conformément à l'article L33-1 du Code des postes et des communications électroniques) et - tout en sachant qu'il s'agit d'une infraction pénale - pour la protection des secrets des personnes soumises au secret professionnel conformément à l'article 226-13 du code pénal français. L'obligation de confidentialité/de secret professionnel se poursuit même après la fin de la mission.
5.5 Le sous-traitant informe immédiatement le donneur d'ordre s'il a connaissance d'une violation de la protection des données à caractère personnel du donneur d'ordre. Le sous-traitant prend les mesures nécessaires pour sécuriser les données et atténuer les éventuelles conséquences négatives pour les personnes concernées.
5.6 Le sous-traitant garantit la désignation écrite d'un délégué à la protection des données qui exerce ses activités conformément aux articles 38 et 39 du RGPD. Un moyen de contact sera publié sur le site web du sous-traitant.
5.7 Une fois la prestation de services de sous-traitance terminée, le sous-traitant, au choix du donneur d’ordre, soit efface toutes les données à caractère personnel, soit les restitue au donneur d’ordre, à moins que le droit de l'Union ou le droit applicable d'un État membre n'impose une obligation de conservation des données à caractère personnel. Si le donneur d'ordre ne fait pas usage de ce droit d'option, la suppression est considérée comme convenue. Si le donneur d'ordre choisit la restitution, le sous-traitant peut exiger une rémunération appropriée. Le sous-traitant fera parvenir au préalable au donneur d'ordre une information sur les coûts.
5.8 Si la personne concernée fait valoir des droits à dommages et intérêts conformément à l'article 82 du RGPD, le sous-traitant aide le donneur
d’ordre à se défendre contre ces revendications dans la mesure de ses possibilités. Le sous-traitant peut exiger une rémunération appropriée à cet effet, dans la mesure où les demandes de dommages et intérêts ne sont pas fondées sur une violation de la loi ou du contrat par le sous-traitant.
6. Obligations du donneur d'ordre
6.1 Le donneur d'ordre est tenu d'informer immédiatement et intégralement le sous-traitant s'il constate des erreurs ou des irrégularités dans l'exécution de la mission en ce qui concerne les dispositions relatives à la protection des données.
6.2 En cas de résiliation, le donneur d’ordre s'engage à supprimer les données à caractère personnel qu'il a enregistrées dans les services avant la fin du contrat.
6.3 Sur demande du sous-traitant, le donneur d’ordre désigne un interlocuteur pour les questions de protection des données.
7. Demandes des personnes concernées
Le sous-traitant informe immédiatement le donneur d’ordre de toute demande qu’il a reçue de la personne concernée. Il ne répond pas lui-même à la demande sauf s’il a été autorisé à le faire par le donneur d’ordre. Compte tenu de la nature du traitement, le sous-traitant aide le donneur d’ordre à remplir son obligation de répondre aux demandes d’exercice des droits des personnes concernées. Dans le cadre de ses obligations, le sous-traitant se conforme aux instructions du donneur d’ordre. Le sous-traitant n'est pas le responsable si la demande de la personne concernée n’est pas satisfaite par le donneur d’ordre, si elle est incorrecte ou si elle n’est pas satisfaite dans les délais impartis.
8. Mesures relative à la sécurité du traitement conformément à l'article 32 du RGPD
8.1 Le contractant met en œuvre, dans son domaine de responsabilité, les mesures techniques et organisationnelles appropriées afin de garantir que le traitement est effectué conformément aux exigences du RGPD et assure la protection des droits et libertés de la personne concernée. Le donneur d’ordre prend, dans son domaine de responsabilité, conformément à l'article 32 du RGPD, les mesures techniques et organisationnelles appropriées pour assurer la confidentialité, l'intégrité, la disponibilité et la résilience des systèmes et services liés au traitement de manière durable.
8.2 Le sous-traitant met en œuvre une procédure de contrôle régulier de l'efficacité des mesures techniques et organisationnelles visant à garantir la sécurité du traitement conformément à l'article 32, paragraphe 1, point d) du RGPD.
8.3 Le contractant adapte au fil du temps les mesures prises aux évolutions de l'état de la technique et à la situation de risque. Le sous-traitant se réserve le droit de modifier les mesures techniques et organisationnelles prises, pour autant que le niveau de protection ne soit pas inférieur à celui prévu par l'article 32 du RGPD.
9. Preuve et vérification
9.1 Le sous-traitant met à la disposition du donneur d’ordre toutes les informations nécessaires pour prouver le respect des obligations fixées par l'article 28 du RGPD et permet, au cas par cas, des vérifications - y compris des inspections - effectuées par le donneur d’ordre ou par un autre auditeur mandaté par celui-ci. Le sous-traitant est en droit d'exiger une déclaration de confidentialité de la part du donneur d’ordre et de l'auditeur qu'il a mandaté, ce qui ne doit pas empêcher le donneur d’ordre de fournir lui-même des preuves à l'autorité de contrôle compétente dont il dépend. Le contractant peut refuser de désigner comme auditeurs des concurrents directs du donneur d’ordre ou des personnes travaillant pour des concurrents directs du donneur d’ordre.
9.2 Si le donneur d'ordre fait valoir, sur la base d'indices réels, des doutes légitimes quant au fait que les certifications susmentionnées sont suffisantes ou pertinentes, ou si des incidents particuliers au sens de l'article 33, paragraphe 1, du RGPD en rapport avec l'exécution du traitement des données pour le donneur d'ordre le justifient, il peut procéder à des contrôles sur place. Ceux-ci peuvent être effectués pendant les heures de bureau habituelles sans perturber outre mesure le fonctionnement de l'entreprise, en règle générale après notification (à moins qu'un contrôle sans notification ne soit nécessaire, faute de quoi l'objectif du contrôle serait compromis). Le droit d'inspection du donneur d'ordre a pour but de vérifier le respect des obligations incombant à un sous-traitant conformément au RGPD et au présent contrat. Le sous-traitant participera activement à l'exécution du contrôle.
9.3 Le sous-traitant peut exiger une rémunération raisonnable pour les informations et les actes d'assistance, dans la mesure où le contrôle n'a pas été rendu nécessaire par une infraction à la loi ou au contrat de la part du sous-traitant. Le sous-traitant enverra au préalable une information sur les coûts au donneur d'ordre.
10. Sous-traitants (autres sous-traitants)
10.1 Le donneur d’ordre donne au sous-traitant l'autorisation générale de faire appel à d'autres sous-traitants au sens de l'article 28 du RGPD pour l'exécution du contrat.
10.2 Si le contractant confie des missions à d'autres sous-traitants, il incombe au contractant de transférer ses obligations en matière de protection des données découlant du présent contrat aux autres sous-traitants. Le contractant s’assurera notamment, par des contrôles réguliers, que les autres sous-traitants respectent les mesures techniques et organisationnelles.
11. Responsabilité et indemnisation
11.1 En cas de demande d'indemnisation par une personne concernée en vertu de l’article 82 du RGPD, les parties s’engagent à se soutenir mutuellement et à contribuer à l'éclaircissement des faits sous-jacents.
11.2 Les clauses de responsabilité convenu entre les parties dans le contrat principal de prestation de service s’applique également aux réclamations découlant du présent accord de traitement des données et, dans les relations internes entre les parties, aux réclamations de tiers conformément à l’article 82 du RGPD, sauf s’il en expressément convenu autrement.
12. Durée du contrat et autres
12.1 Le contrat prend effet à la date de sa conclusion par le donneur d’ordre. Il prend fin à la fin du dernier contrat présent sous le numéro de client concerné. Si un traitement des données devait encore avoir lieu après la fin de ce contrat, les dispositions de ces accords s'appliquent jusqu'à la fin effective du traitement.
12.2 Le sous-traitant peut modifier le présent accord en toute équité, moyennant un préavis raisonnable. Il se réserve notamment expressément
le droit de modifier unilatéralement le présent accord en cas de changements juridiques importants concernant le présent accord. Le sous-traitant informera séparément le donneur d'ordre de l'importance de la modification envisagée et accordera en outre au donneur d'ordre un délai raisonnable pour faire part de son désaccord. Dans l'avis de modification, le sous-traitant informe le donneur d'ordre que la modification prend effet s'il ne la conteste pas dans le délai imparti. En cas d'opposition de la part du donneur d’ordre, le sous-traitant dispose d'un droit de résiliation extraordinaire.
12.3 Le donneur d’ordre reconnaît cet accord comme faisant partie intégrante des CGV relatives au(x) produit(s) qu'il a souscrit(s). En cas d'éventuelles contradictions, les dispositions du présent accord sur le traitement des données prévalent sur les dispositions du contrat principal. Si certaines parties de cet accord sont invalides, cela n'affecte pas la validité des autres accords.
12.4 Le tribunal compétent exclusif pour tous les litiges découlant du présent contrat et en rapport avec celui-ci est celui du siège du sous-traitante. Celui-ci s'applique sous réserve d'une éventuelle compétence judiciaire exclusive. Le présent contrat est soumis aux dispositions légales françaises.
12.5 Si les données du donneur d'ordre auprès du sous-traitant sont menacées par une saisie ou une confiscation, par une procédure d'insolvabilité ou de concordat ou par d'autres événements ou mesures de tiers, le sous-traitant doit en informer immédiatement le donneur d'ordre. Le sous-traitant informera immédiatement toutes les personnes responsables dans ce contexte que la souveraineté et la propriété des données appartiennent exclusivement au donneur d'ordre en tant que "responsable" au sens du RGPD.