Accord de traitement des données

Cet accord reprend les clauses contractuelles types de la Commission européenne pour les relations entre responsable du traitement et sous-traitant (décision d'exécution 2021/915). Il s'applique automatiquement à toute organisation qui utilise Swiftpliz, avec ou sans abonnement payant.

Dans le présent accord, « Groupe Nahouda » (le « Sous-traitant ») désigne l'éditeur de Swiftpliz, dont le siège est situé 38 Boulevard Halidi Selemani, 97600 Mamoudzou, et « le Client » (le « Responsable du traitement ») désigne l'organisation qui utilise Swiftpliz. Il complète les conditions générales de vente et la politique de confidentialité. Il est conclu du seul fait de l'utilisation du service, sans signature séparée.

Sommaire

1. Objet et champ d'application
2. Invariabilité des clauses
3. Interprétation
4. Hiérarchie
5. Clause d'adhésion
6. Description du traitement
7. Obligations des parties
8. Assistance au responsable du traitement
9. Notification d'une violation de données
10. Non-respect des clauses et résiliation
11. Dispositions complémentaires
12. Annexe I : liste des parties
13. Annexe II : description du traitement
14. Annexe III : mesures techniques et organisationnelles
15. Annexe IV : liste des sous-traitants ultérieurs

1. Objet et champ d'application

Les présentes clauses ont pour objet de garantir le respect de l'article 28, paragraphes 3 et 4, du règlement (UE) 2016/679 (« RGPD »). Elles s'appliquent au traitement des données à caractère personnel décrit à l'annexe II. Les annexes I à IV font partie intégrante des présentes clauses. Elles sont sans préjudice des obligations auxquelles le Responsable du traitement est soumis en vertu du RGPD, et ne suffisent pas à elles seules à assurer le respect des obligations relatives aux transferts internationaux au titre du chapitre V du RGPD (voir clause 7.8).

2. Invariabilité des clauses

Les parties s'engagent à ne pas modifier les clauses 1 à 10, sauf pour ajouter des informations aux annexes ou mettre à jour celles qui y figurent. Cela n'empêche pas les parties d'inclure ces clauses dans un contrat plus large (les conditions générales de vente) ni d'y ajouter d'autres clauses ou garanties supplémentaires (clause 11), à condition que celles-ci ne les contredisent pas, directement ou indirectement, et ne portent pas atteinte aux libertés et droits fondamentaux des personnes concernées.

3. Interprétation

Les termes définis par le RGPD (« responsable du traitement », « sous-traitant », « traitement », « données à caractère personnel », « personne concernée », « violation de données à caractère personnel ») s'entendent au sens de son article 4. Les présentes clauses doivent être lues à la lumière du RGPD et ne doivent jamais être interprétées d'une manière qui porterait atteinte aux droits et libertés fondamentaux des personnes concernées.

4. Hiérarchie

En cas de contradiction entre les présentes clauses et les dispositions des conditions générales de vente ou de la politique de confidentialité, les présentes clauses prévalent.

5. Clause d'adhésion

Toute entité qui n'est pas partie aux présentes clauses peut, avec l'accord de toutes les parties, y adhérer à tout moment, soit en qualité de responsable du traitement, soit en qualité de sous-traitant, en complétant les annexes et en signant l'annexe I. Une fois les annexes complétées et signées, l'entité qui adhère est considérée comme partie aux présentes clauses et jouit des droits et est soumise aux obligations de la qualité qui lui est attribuée à l'annexe I. Elle n'a ni droits ni obligations au titre des présentes clauses pour la période précédant son adhésion.

6. Description du traitement

Les détails des opérations de traitement, notamment les catégories de données à caractère personnel et les finalités pour lesquelles les données sont traitées pour le compte du Responsable du traitement, sont précisés à l'annexe II.

7. Obligations des parties

7.1 Instructions

Le Sous-traitant ne traite les données à caractère personnel que sur instruction documentée du Responsable du traitement, à moins d'y être tenu par le droit de l'Union ou d'un État membre, auquel cas il en informe le Responsable du traitement avant traitement, sauf interdiction légale pour motif d'intérêt public important. Les conditions générales de vente, le présent accord et l'utilisation des fonctionnalités de Swiftpliz par le Client valent instructions initiales ; des instructions complémentaires peuvent être données ultérieurement, toujours documentées. Le Sous-traitant informe immédiatement le Responsable du traitement s'il estime qu'une instruction constitue une violation du RGPD ou d'une autre disposition applicable en matière de protection des données.

7.2 Limitation de la finalité

Le Sous-traitant traite les données à caractère personnel uniquement pour la ou les finalités décrites à l'annexe II, sauf instruction complémentaire du Responsable du traitement.

7.3 Durée du traitement

Le traitement par le Sous-traitant n'a lieu que pendant la durée précisée à l'annexe II.

7.4 Sécurité du traitement

Le Sous-traitant met en œuvre au moins les mesures techniques et organisationnelles décrites à l'annexe III pour protéger les données à caractère personnel contre toute violation de sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données ou l'accès non autorisé à ces données. Il n'accorde l'accès aux données qu'aux membres de son personnel dans la stricte mesure du besoin d'en connaître, sous obligation de confidentialité.

7.5 Données sensibles

Le Sous-traitant ne traite, de sa propre initiative, aucune catégorie particulière de données au sens de l'article 9 du RGPD. Il ne consulte pas le contenu des fichiers déposés. Si le Client dépose des fichiers contenant de telles données, il en demeure seul responsable ; les mesures de l'annexe III s'appliquent sans distinction.

7.6 Documentation et conformité

Les parties doivent pouvoir démontrer la conformité avec le présent accord. Le Sous-traitant traite rapidement les demandes du Responsable du traitement relatives au traitement des données, met à sa disposition toutes les informations nécessaires pour démontrer le respect de ses obligations, et permet la réalisation d'audits des activités de traitement couvertes par le présent accord, y compris des inspections, à des intervalles raisonnables (au plus une fois par an, sauf indice de non-conformité ou demande d'une autorité de contrôle), moyennant un préavis raisonnable, un engagement de confidentialité et des conditions ne compromettant pas la sécurité des données des autres clients. Le Responsable du traitement peut mandater un auditeur indépendant. Les parties mettent les informations de la présente clause, y compris les résultats d'audit, à la disposition de l'autorité de contrôle compétente sur demande.

7.7 Recours à des sous-traitants ultérieurs

Le Sous-traitant dispose de l'autorisation écrite générale du Responsable du traitement pour recourir à des sous-traitants ultérieurs sur la base de la liste publiée sur la page Sous-traitants (annexe IV). Le Sous-traitant informe le Responsable du traitement par écrit de tout projet d'ajout ou de remplacement d'un sous-traitant ultérieur au moins 30 jours à l'avance, par une mise à jour de cette page et par un e-mail adressé aux organisations clientes, avec les informations nécessaires pour permettre au Responsable du traitement d'exercer son droit d'opposition dans ce délai.

Lorsque le Sous-traitant recrute un sous-traitant ultérieur, il lui impose par contrat, en substance, les mêmes obligations de protection des données que celles prévues au présent accord, et demeure pleinement responsable envers le Responsable du traitement de leur exécution. Il informe le Responsable du traitement de tout manquement du sous-traitant ultérieur. À la demande du Responsable du traitement, il lui fournit une copie de ce contrat, le cas échéant expurgée des secrets d'affaires ou informations confidentielles. Le Sous-traitant convient avec chaque sous-traitant ultérieur d'une clause de tiers bénéficiaire permettant au Responsable du traitement, en cas de disparition, cessation d'existence légale ou insolvabilité du Sous-traitant, de résilier le contrat conclu avec ce sous-traitant ultérieur et de lui donner instruction d'effacer ou de restituer les données.

7.8 Transferts internationaux

Tout transfert de données vers un pays tiers par le Sous-traitant n'est effectué que sur instruction documentée du Responsable du traitement ou pour satisfaire une exigence légale à laquelle le Sous-traitant est soumis, conformément au chapitre V du RGPD. Aucun transfert des fichiers déposés ni des données de partage n'est réalisé hors de l'Union européenne. Seul le paiement des abonnements par Stripe peut impliquer un transfert vers les États-Unis : il ne porte que sur les données de facturation du Client, jamais sur ses fichiers, et il est encadré par les clauses contractuelles types de la Commission européenne et par le cadre UE-États-Unis de protection des données.

8. Assistance au responsable du traitement

Le Sous-traitant informe sans délai le Responsable du traitement de toute demande reçue directement d'une personne concernée, sans y donner suite lui-même sauf instruction contraire du Responsable du traitement, et l'assiste pour répondre à de telles demandes.

Compte tenu de la nature du traitement et des informations dont il dispose, le Sous-traitant aide en outre le Responsable du traitement à garantir le respect des obligations suivantes : évaluation d'impact relative à la protection des données lorsqu'un traitement est susceptible de présenter un risque élevé ; consultation préalable de l'autorité de contrôle compétente lorsqu'une telle évaluation l'indique ; exactitude et mise à jour des données, en informant sans délai le Responsable du traitement de toute inexactitude constatée ; obligations de l'article 32 du RGPD (sécurité du traitement). Les mesures techniques et organisationnelles par lesquelles le Sous-traitant prête cette assistance, ainsi que sa portée, sont précisées à l'annexe III.

9. Notification d'une violation de données

En cas de violation de données à caractère personnel, le Sous-traitant coopère avec le Responsable du traitement et lui prête assistance aux fins du respect de ses obligations au titre des articles 33 et 34 du RGPD, compte tenu de la nature du traitement et des informations dont il dispose.

9.1 Violation concernant des données traitées par le Responsable du traitement

Le Sous-traitant assiste le Responsable du traitement aux fins de la notification de la violation à l'autorité de contrôle compétente dans les meilleurs délais (sauf si la violation est peu susceptible d'engendrer un risque pour les droits et libertés des personnes physiques), et pour obtenir au moins : la nature des données concernées (catégories et nombre approximatif de personnes et d'enregistrements concernés, si possible) ; les conséquences probables de la violation ; les mesures prises ou proposées pour y remédier, y compris pour en atténuer les conséquences négatives. Lorsque toutes les informations ne peuvent être fournies en même temps, la notification initiale contient les informations disponibles, complétées sans délai dès qu'elles le deviennent. Le Sous-traitant assiste également le Responsable du traitement pour la communication de la violation aux personnes concernées lorsque celle-ci est susceptible d'engendrer un risque élevé pour leurs droits et libertés.

9.2 Violation concernant des données traitées par le Sous-traitant

Le Sous-traitant informe le Responsable du traitement dans les meilleurs délais après en avoir pris connaissance, en fournissant au moins : une description de la nature de la violation (catégories et nombre approximatif de personnes et d'enregistrements concernés, si possible) ; les coordonnées d'un point de contact pour obtenir des informations complémentaires ; ses conséquences probables et les mesures prises ou proposées pour y remédier, y compris pour en atténuer les conséquences négatives. Lorsque toutes les informations ne peuvent être fournies en même temps, la notification initiale contient les informations disponibles, complétées sans délai dès qu'elles le deviennent.

10. Non-respect des clauses et résiliation

Sans préjudice des dispositions du RGPD, en cas de manquement du Sous-traitant aux obligations des présentes clauses, le Responsable du traitement peut lui donner instruction de suspendre le traitement jusqu'à mise en conformité ou résiliation. Le Sous-traitant informe rapidement le Responsable du traitement s'il n'est pas en mesure de se conformer aux présentes clauses, pour quelque raison que ce soit.

Le Responsable du traitement peut résilier le contrat, en tant qu'il porte sur le traitement de données personnelles régi par les présentes clauses, si : le traitement suspendu en application de l'alinéa précédent n'est pas remis en conformité dans un délai raisonnable et, en tout état de cause, dans le mois suivant la suspension ; le Sous-traitant est en violation grave ou persistante des présentes clauses ou du RGPD ; ou le Sous-traitant ne se conforme pas à une décision contraignante d'une juridiction ou d'une autorité de contrôle compétente le concernant. Le Sous-traitant peut, de son côté, résilier le contrat sur ce même périmètre lorsque, après l'avoir informé qu'une instruction méconnaît les exigences applicables (clause 7.1), le Responsable du traitement insiste pour qu'elle soit suivie.

À la suite d'une telle résiliation, le Sous-traitant supprime ou restitue, au choix du Responsable du traitement, l'ensemble des données personnelles traitées pour son compte, et continue de se conformer aux présentes clauses jusqu'à la suppression ou la restitution effective.

11. Dispositions complémentaires

Les dispositions suivantes ne font pas partie des clauses contractuelles types. Elles les complètent sans les contredire (clause 2).

11.1 Obligations du Responsable du traitement

Le Client demeure responsable du traitement pour les données qu'il confie au Sous-traitant. Il garantit :

• disposer d'une base légale pour le traitement des données qu'il confie au Sous-traitant ;
• la licéité des fichiers qu'il dépose et partage, et l'exactitude des adresses des destinataires ;
• avoir informé les personnes concernées du traitement, conformément aux articles 13 et 14 du RGPD ;
• ne transmettre au Sous-traitant que des instructions licites.

11.2 Responsabilité

Les stipulations relatives à la responsabilité figurant dans les conditions générales de vente s'appliquent au présent accord. Chaque partie supporte les sanctions administratives et les dommages résultant de ses propres manquements à la réglementation applicable en matière de protection des données.

11.3 Durée

Le présent accord prend effet à la première utilisation de Swiftpliz et reste en vigueur pendant toute la durée du contrat. Les obligations qui, par leur nature, ont vocation à survivre à la fin du contrat se poursuivent après la résiliation.

11.4 Fin du contrat

À la fin du contrat, les données sont supprimées selon les durées de conservation décrites à l'annexe II. Le Responsable du traitement peut demander par écrit, avant la fin du contrat, la restitution de ses fichiers.

11.5 Modification de l'accord et langue

Le Sous-traitant peut modifier le présent accord dans les limites fixées par la clause 2. Toute modification substantielle est portée à la connaissance du Client par e-mail avec un préavis d'au moins 30 jours. Le Client qui refuse la nouvelle version peut résilier sans pénalité avant sa date d'application. Le présent document est rédigé en français, seule version faisant foi.

Annexe I : liste des parties

Sous-traitant : Groupe Nahouda, éditeur de Swiftpliz, dont le siège est situé 38 Boulevard Halidi Selemani, 97600 Mamoudzou. Point de contact pour les données personnelles : privacy@nahouda.fr. Groupe Nahouda n'a pas désigné de délégué à la protection des données.

Responsable du traitement : le Client, tel qu'identifié par les informations de l'organisation dans son espace Swiftpliz. Le présent accord étant conclu par l'utilisation du service, aucune signature nominative séparée n'est requise.

Annexe II : description du traitement

Annexe III : mesures techniques et organisationnelles

Les mesures sont décrites et tenues à jour sur la page Sécurité et conformité, qui fait partie de cet accord : hébergement en France sur un serveur exploité par Groupe Nahouda, antivirus avant tout partage, contrôle d'accès par partage, isolation entre organisations dans la base de données, double authentification, suppression automatique, journaux à durée limitée.

Annexe IV : sous-traitants ultérieurs

La liste à jour est publiée sur la page Sous-traitants.

Contact

Délégué : Groupe Nahouda n'a pas désigné de délégué à la protection des données. Contact : privacy@nahouda.fr.