Penneo A/S
No d’immatriculation danois (CVR) 35633766
Enghavevej 40, 4e étage
DK-1674 Copenhague V
(dénommée ci-après « Penneo »)
&
[Renseignements sur le client]
Numéro d’immatriculation
Adresse
Code Postal et Ville
(dénommé ci-après le « Client »)
Les présentes conditions générales et le présent accord sur la protection des données sont rédigés en danois et en français. En cas de divergence entre les deux versions, la version danoise prévaut sur la version française. Penneo et le Client (dénommés ci-après séparément « Partie » et conjointement « Parties ») ont accepté les présentes conditions générales et conclu le présent accord sur le traitement des données (dénommé ci-après « Accord ») :
1.1. Le présent Accord donne au Client un accès à la ou les Plateforme(s) de Penneo sur lesquelles le Client peut accéder aux services convenus. En utilisant la ou les Plateforme(s), le Client a la possibilité de gérer ses propres documents et/ou données à des fins de signature ou de validation selon le forfait choisi.
1.2. L’Accord porte sur la fourniture d’une ou de plusieurs Plateforme(s) et de prestations supplémentaires proposées par Penneo au Client, à moins que l’Accord ne déroge expressément ou ne soit expressément modifié par un second accord écrit permettant d’établir avec certitude que la dérogation à cet Accord était intentionnelle.
1.3. Les parties souhaitent coopérer et Penneo s’engage à fournir une ou plusieurs Plateformes au Client. L’Accord a pour objectif de fixer les conditions de fourniture de la ou les Plateforme(s) au Client.
2.1. La ou les Plateforme(s) sont proposées au Client sous forme de logiciel en tant que service (« SaaS »), de manière à ce que le Client puisse se connecter – via Internet et une application Web, une application de bureau ou une API de Penneo – au serveur de Penneo ou à un serveur d’un des partenaires de Penneo, pour accéder à la ou les Plateforme(s).
2.2. Pour que le Client puisse utiliser Penneo Sign, il devra nécessairement télécharger ses documents en format PDF standard sur la Plateforme. En revanche, les documents rendus par Penneo seront au format PAdES-PDF une fois le processus de signature terminé. Les fichiers rendus comportent toutes les preuves de signature, ils sont verrouillés et ne peuvent être rédigés ; et lorsqu’ils sont rendus au Client et au Tiers, ils sont activés pour une conservation à long terme (LTV).
3.1. L’Accord entre en vigueur à la date à laquelle le Client accepte la confirmation de commande de Penneo ou accepte l’Accord de quelque autre manière (« Date d’entrée en vigueur »).
3.2. Une période d’engagement contractuel de douze mois s’applique pour accéder à la ou les Plateforme(s) (abonnement) à partir de la Date d’entrée en vigueur.
3.3. Chaque partie contractante peut résilier l’Accord moyennant un préavis écrit de trois mois avant la fin de la période d’engagement par abonnement. Si l’Accord n’est pas résilié trois mois au plus tard avant la fin de la période d’engagement, une nouvelle période de douze mois s’appliquera.
3.4. À la fin de la période de conservation des documents (« Conservation des données » – selon le forfait choisi), Penneo s’engage à conserver l’ensemble des Données du Client qui sont en sa possession durant une période supplémentaire de 90 jours.
3.5. Durant la période spécifiée à l’article 3.4, le Client a accès à tout moment à son compte chez Penneo et peut extraire ou supprimer tout ou partie de ses Données. Les Données du Client lui sont remises ou sont extraites dans des formats utilisés par le(s) système(s) de Penneo ou de ses sous-traitants ; de ce fait, aucun traitement et aucune conversion des données n’ont lieu, à moins que le Client et Penneo n’en décident explicitement autrement.
3.6. La remise au Client de Données traitées ou converties peut faire l’objet d’un accord spécifique moyennant paiement.
3.7. Tous les documents du Client sont enregistrés sur la ou les Plateforme(s) de Penneo en fonction de la période de conservation des documents déterminée par l’abonnement choisi, à moins que l’Accord n’ait été résilié entre-temps. Le cas échéant, les dispositions des articles 3.4 à 3.6 s’appliqueront. Les documents du Client ne sont conservés au-delà de la période de conservation que s’il existe un accord spécifique d’archivage passé entre le Client et Penneo.
4.1. Les tarifs que doit payer le Client pour l’utilisation de la ou les Plateforme(s), éventuellement aussi pour l’intégration et d’autres services de Penneo, sont spécifiés sur la confirmation de commande ou sur la facture la plus récente envoyée par Penneo au Client et acceptée par ce dernier, soit par sa signature sur la confirmation de commande, soit par le paiement de la facture.
4.2. Les éventuelles remises spécifiées sur la confirmation de commande ou sur la facture s’appliquent uniquement pour la première année de la période d’abonnement, à moins qu’il n’en soit convenu spécifiquement autrement dans la confirmation de commande.
4.3. Les prestations de conseil peuvent faire l’objet d’un accord séparé moyennant paiement et sont payées selon le tarif en vigueur de Penneo à la date de l’accord conclu pour ces prestations.
4.4. Les tarifs incluent les taxes applicables à la date d’entrée en vigueur de l’Accord, à l’exception de la TVA.
4.5. Est facturée toute consommation qui dépasse le nombre maximum de clients actifs créés / employés / dossiers complets (selon la formule d’abonnement et la Plateforme), conformément à l’article 4.12 de l’Accord selon lequel l’utilisation par le Client de la ou les Plateforme(s) doit correspondre aux abonnements et prestations supplémentaires stipulées à l’article 4.1. Un mauvais usage de la ou les Plateforme(s) sera considéré comme un manquement grave selon l’article 18.1.
4.6. Une relation clientèle/Client est considérée comme créée sur la Plateforme Penneo KYC lorsqu’un projet portant sur un processus de vigilance ou un processus d’intégration pour la relation clientèle/Client en question a été créé. Une relation clientèle/Client en cours est dénommée ci-après « Relation clientèle/Client active » tandis qu’une relation Client terminée est dénommée ci-après « Relation clientèle/Client archivée ». Celles-ci sont enregistrées quand le Client choisit spécifiquement dans l’Application que la relation clientèle/Client en question doit être archivée/terminée.
4.7. Si le nombre de clients actifs / employés / dossiers complets (selon la formule d’abonnement et la Plateforme) dépasse le nombre de relations clientèle/Client actives couvertes par les frais de licence, le paiement de ces droits sera automatiquement actualisé pour correspondre aux besoins du Client, cf. les articles 4.9 à 4.11.
4.8. Les modalités de paiement doivent être réglées au comptant + 14 jours à compter de la date de facture sur le lieu de paiement désigné par Penneo. Le paiement sera effectué sans taxes ni frais pour Penneo. En cas de paiement après échéance, le Client devra verser des intérêts à hauteur de 0,65 % par mois commencé sur le solde échu à compter de la dernière date de paiement effectué dans les délais, et jusqu’à ce que le paiement ait lieu. Le Client ne peut pas procéder à une compensation de la rémunération pour la prestation provenant de réclamations liées à d’autres recours juridiques.
4.9. La facture est envoyée sous forme électronique à l’adresse e-mail ou au numéro EAN dont le Client a informé Penneo.
4.10. Le Client peut utiliser à tout moment la ou les Plateforme(s) et dépasser le nombre de clients / employés / dossiers complets compris dans l’abonnement (selon la formule d’abonnement choisie). Cela peut se faire sans accord préalable (« consommation supplémentaire »), ou sur accord portant sur l’extension de la ou les Plateforme(s) moyennant le paiement de Frais de Plateforme supplémentaires.
4.11. Ce supplément permet au Client d’étendre l’utilisation de la ou les Plateforme(s) en ajoutant un nombre supplémentaire de clients / employés / dossiers complets (selon la formule d’abonnement) en sus du nombre de clients / employés / dossiers complets (selon la formule d’abonnement) de la ou les Plateforme(s) qui sont compris dans l’abonnement. La facturation des Frais de Plateforme a lieu en même temps que l’achat, quelle que soit la date à laquelle l’achat est convenu durant la période d’abonnement. Lors de la conclusion de l’Accord, le prix d’une telle extension correspond au prix convenu pour un client / employé / dossier complet majoré de 10 % du prix spécifié à l’article 4.1. Une période d’abonnement complète est facturée, quelle que soit la date à laquelle les Frais de Plateforme ont été payés durant la période d’abonnement. Lors du renouvellement de l’abonnement, les clients / employés / dossiers complets qui ont fait l’objet d’un supplément sont inclus dans l’abonnement au tarif standard sans la majoration de 10 %.
4.12. Toute consommation supplémentaire sur la ou les Plateforme(s) sans accord préliminaire est facturée à la fin de la période d’abonnement au tarif fixé pour un client / employé / dossier complet (selon la formule d’abonnement) majorée de 25 % du prix spécifié à l’article 4.1. Une période d’abonnement complète est facturée, quelle que soit la date à laquelle la consommation supplémentaire a débuté durant la période d’abonnement. Lors du renouvellement de l’abonnement, les clients / employés / dossiers complets qui ont fait l’objet d’un supplément sont inclus dans l’abonnement sans la majoration de 25 %.
4.13. Les frais susmentionnés pour l’extension de la ou les Plateforme(s) – à la fois les Frais de Plateforme et la consommation supplémentaire – couvrent l’utilisation complète du système et les prestations supplémentaires selon le forfait choisi par le Client.
4.14. Tous les prix sont ajustés par Penneo conformément à l’indice des prix nets danois publié par l’Institut danois de la statistique. Les tarifs portant sur les prestations offertes par Penneo sont ajustés lors du renouvellement de l’Accord. Cet ajustement est calculé chaque année sur la base de la différence entre l’indice du mois d’octobre et celui du mois d’octobre passé. Il prend effet durant la période d’engagement suivante du Client sans autre préavis.
4.15. Penneo peut annoncer d’autres ajustements de prix sous réserve d’un préavis de quatre mois avant le début de la nouvelle période d’engagement.
5.1. Penneo garantit la stabilité du fonctionnement mais ne saurait être tenu responsable des dysfonctionnements causés par des facteurs dont Penneo n’a pas le contrôle. Ces dysfonctionnements hors du contrôle de Penneo incluent, sans s’y limiter, les dysfonctionnements qui se produisent chez les fournisseurs nationaux d’identité électronique, les fournisseurs de certificats, les fournisseurs d’accès à Internet, etc. Penneo s’engage à rétablir un fonctionnement normal le plus rapidement possible.
5.2. Penneo assure l’accessibilité à la ou les Plateforme(s) durant la durée de l’Accord comme suit :
5.2.1. Une disponibilité de 99,9 % ;
5.2.2. La disponibilité est mesurée et calculée par mois calendaire sur la base d’un fonctionnement de vingt-quatre heures sur vingt-quatre. Le calcul de la disponibilité ne prend pas en compte les temps d’arrêt qui ont fait l’objet d’un préavis selon les termes de l’Accord, ou qui ont été expressément acceptés par le Client.
5.2.3. Le Client peut s’informer du taux de disponibilité de Penneo sur status.penneo.com.
6.1. Tous les documents sont conservés sous forme cryptée, et toute communication entre le(s) serveur(s) de Penneo a lieu sous forme cryptée ; en outre sont installés des pare-feu pour sécuriser les données des Plateformes. Penneo ne peut toutefois pas garantir l’absence d’attaques de pirates informatiques qui provoquent des pannes du système et/ou des pertes de données.
6.2. Dans le cas où une panne du système – quelle qu’en soit la cause – causerait la perte ou la détérioration des Données du Client, et une fois la panne/détérioration constatée, Penneo s’engage de sa propre initiative ou à la demande du Client, à procéder au rétablissement des Données du Client à partir du ou des emplacements de sauvegarde appropriés. Durant cette période, les Données du Client peuvent être inaccessibles pendant vingt-quatre heures au maximum
7.1. Pour offrir le meilleur service possible, il est nécessaire de procéder régulièrement à l’extension ou au remplacement de l’équipement technique, à la mise à jour des logiciels, etc. Penneo réalise régulièrement des opérations de maintenance et de mise à jour de Plateforme(s).
7.2. Le Client est informé de ces opérations de maintenance et de mise à jour sur le site Web de Penneo et sur la page d’état du système.
7.3. L’API de Penneo est proposée en différentes versions. Lorsqu’une nouvelle version est publiée, Penneo fait de son mieux pour que cette nouvelle version n’ait pas d’impact sur les versions précédentes. Penneo ne peut toutefois pas garantir que les nouvelles versions d’API n’exigent pas de nouveaux développements chez le Client. Dans le cas où Penneo décide de ne plus soutenir une version API, il doit annoncer sa décision au moins six mois avant de désactiver la version API en question.
7.4. Lors d’opérations de maintenance, il peut être nécessaire d’interrompre l’accès à la ou les Plateforme(s). De telles interruptions auront lieu de préférence entre 21h00 et 06h00 CET. S’il est nécessaire d’interrompre l’accès à la ou les Plateforme(s) en-dehors de la plage de temps susmentionnée, l’interruption sera annoncée préalablement, à moins que des raisons techniques ou de sécurité ne nécessitent une modification immédiate du système.
8.1. Si le Client constate des erreurs, une panne ou des anomalies, il peut vérifier si le problème n’a pas été enregistré sur status.penneo.com.
8.2. Si le problème n’est pas encore enregistré, le Client doit contacter Penneo sans retard, cf. l’article 8.3.
8.3. En cas de signalement d’une erreur, le Client doit décrire l’erreur par écrit en utilisant la procédure de signalement en ligne, de façon à ce que Penneo reçoive les informations nécessaires pour pouvoir localiser l’erreur.
9.1. Les mises à jour de logiciel sont comprises dans le prix de l’abonnement. Penneo met plusieurs options de support à disposition des clients. L’accès à ces options dépend du forfait choisi. Les demandes de support particulières ou les ajustements individualisés du système sont facturés séparément. Cela vaut aussi bien pour le support par téléphone que par écrit.
10.1. Chaque Partie est tenue responsable des dommages conformément aux dispositions générales de la législation danoise, étant toutefois entendu que les limitations ne s’appliquent que si les pertes ne sont pas imputables à une négligence grave ou à un comportement délibéré de la part de la Partie responsable du dommage.
10.2. Penneo décline toute responsabilité pour d’éventuelles pertes indirectes ou de dommages consécutifs notamment, mais sans s’y limiter, des pertes d’exploitation, des pertes de bénéfice, des pertes de Données du Client et de bonne foi chez le Client.
10.3. Nonobstant la responsabilité du fait de produits défectueux, cf. l’article 10.4, le montant total de l’indemnité que le Client peut faire valoir à l’encontre de Penneo conformément à l’Accord se limite au montant le plus réduit des cas suivants :
10.4. Penneo est responsable au sens de la responsabilité du fait de produits défectueux conformément aux dispositions générales de la législation danoise relatives à la responsabilité civile. La responsabilité civile de Penneo est toutefois limitée dans tous les cas par le montant versé par l’assurance de responsabilité de Penneo qui s’applique en tout temps.
10.5. Penneo s’engage à conserver le niveau d’assurance usuel et raisonnable attendu, incluant au moins une assurance de responsabilité du fait de produits défectueux et une assurance de responsabilité professionnelle qui couvrent la responsabilité de Penneo au titre de l’Accord.
11.1. Afin d’utiliser la Plateforme Penneo Sign, le Client ouvre un compte chez Penneo. Le compte comporte les coordonnées du Client et les informations de l’utilisateur. Le Client télécharge ensuite régulièrement sur son compte Penneo les documents et autres données, notamment les données à caractère personnel, à des fins de signature (l’ensemble de ces données sont dénommées ci-après « Données du Client »).
11.2. Les tiers qui doivent signer les documents du Client via la Plateforme Penneo Sign (dénommés ci-après « Tiers ») se voient attribuer un compte spécifique chez Penneo dans le cadre du processus de signature. Le Tiers télécharge ses données, notamment ses données à caractère personnel, sur son compte chez Penneo en signant le(s) document(s) du Client (l’ensemble de ces données sont dénommées ci-après « Données de Tiers »).
11.3. Le Client et tous les Tiers reçoivent une copie des documents signés, et ces documents sont sauvegardés et conservés sur la Plateforme Penneo Sign. Le Client ainsi que tous les Tiers ont accès aux documents signés via leur compte respectif chez Penneo.
11.4. Afin d’utiliser la Plateforme Penneo KYC, le Client ouvre un compte pour son entreprise. Plusieurs utilisateurs peuvent avoir la possibilité d’accéder à ce compte Client. Quand un Client doit intégrer sa clientèle, il crée une relation clientèle sur la Plateforme KYC de Penneo en précisant le type d’informations à collecter auprès de cette clientèle. Les informations que le Client spécifie et collecte sont considérées comme des Données de Tiers.
11.5. Lorsque le Client a choisi le type d’informations à collecter, sa clientèle reçoit un courriel contenant un lien à la Plateforme Penneo KYC qui lui permet de télécharger des données et/ou de compléter des données spécifiées. Lorsque les informations sont collectées, elles sont conservées sur le compte de l’entreprise du Client sous la relation clientèle en question.
11.6. Les informations relatives à la clientèle, et la relation clientèle, peuvent aussi être importées de sources de données publiques ou des systèmes internes du Client pour être téléchargées sur la Plateforme Penneo KYC, si le Client procède ainsi.
11.7. Dans la relation entre le Client et Penneo, Penneo est sous-traitant et le Client est responsable du traitement des données. Penneo et le Client ont conclu l’accord sur le traitement des données mentionné ci-dessous avec ses annexes (dénommé ci-après « Accord sur le traitement des données ») qui régit le traitement par Penneo des Données du Client qui incluent les données à caractère personnel.
12.1. Si Penneo n’est pas en mesure de fournir ses prestations aux termes de l’Accord suite à un cas de force majeure, il ne pourra être tenu responsable des pertes subies suite à cette situation, et le Client ne pourra pas annuler l’Accord, sauf disposition contraire à l’article 12.3.
12.2. Penneo doit informer sans retard le Client dans le cas où une situation de force majeure survient. Un cas de force majeure est une situation sur laquelle Penneo n’a aucun contrôle et qui ne peut être évitée par des mesures financières et concrètes raisonnables. Il peut s’agir d’une situation de guerre, une mobilisation, une attaque terroriste, une panne du réseau public d’électricité, une grève, un incendie, une inondation, etc.
12.3. Si l’accès à la ou les Plateforme(s) s’avère matériellement impossible suite à une situation de force majeure, et que celle-ci dure plus de trente jours, chaque Partie est autorisée à résilier l’Accord par écrit avec effet immédiat, mais dans un tel cas, aucune des Parties ne pourra se retourner contre l’autre Partie.
13.1. Le Client est informé que la ou les Plateforme(s) sont protégées par des droits de propriété intellectuelle, et qu’il acquiert uniquement un droit d’usage conditionnel et non exclusif sur la ou les Plateforme(s). Le droit d’usage est subordonné par le paiement du Client et le respect de l’Accord ; le Client a été expressément informé que le droit d’usage est limité dans le temps et qu’il s’éteint automatiquement lorsque l’Accord arrive à expiration, quelle qu’en soit la cause. Le droit d’usage n’est pas cessible.
13.2. Le Client a uniquement le droit d’utiliser la ou les Plateforme(s) pour sa propre entreprise.
13.3. Le Client consent à respecter les droits de propriété intellectuelle. Le Client assume la responsabilité de ses employés et s’assure que ses consultants externes respectent les droits liés à l’utilisation de la ou les Plateforme(s) ; et le Client s’engage à ce que ses employés et ses consultants externes soient expressément informés que la ou les Plateforme(s) sont protégées par des droits de propriété intellectuelle et ne doivent être utilisées que conformément aux termes et conditions de l’Accord.
14.1. Les parties s’engagent pour la durée de l’Accord et après son expiration, à garder le secret, vis-à-vis de tiers, sur toutes les informations qui proviennent de l’autre Partie et la concernent, et dont l’une des Parties a pris connaissance dans le cadre de l’Accord et de la fourniture de la ou les Plateforme(s) au Client. Les Parties ne peuvent utiliser ces informations que conformément aux termes et conditions de l’Accord, et elles ne peuvent divulguer ces informations à moins que cette divulgation ne soit exigée par la loi, une décision judiciaire ou un ordre des pouvoirs publics. Ce qui précède ne s’applique pas aux informations qui sont généralement connues ou accessibles au public et qui ne font pas l’objet de telles restrictions en vertu de la loi.
15.1. Penneo a le droit d’utiliser le Client comme référence, à moins que celui-ci n’ait dûment exprimé son désaccord à ce sujet par écrit.
15.2. En apposant sa signature sur l’Accord, le Client donne à Penneo le droit d’envoyer des avis de service et d’information qui peuvent comprendre des lettres d’information, du matériel de marketing et des informations concernant la ou les Plateforme(s) ainsi que d’autres produits et services de Penneo disponibles en tout temps.
15.3. Le Client peut à tout moment se désabonner des courriels concernant les nouveautés et autre matériel de marketing.
15.4. Les courriels contenant des informations sur le fonctionnement du système sont obligatoires car ils peuvent avoir de l’importance pour le Client dans son utilisation de la ou les Plateforme(s).
15.5. Les Parties peuvent utiliser des courriels pour envoyer des rappels et autres notifications écrites en lien avec l’Accord.
15.6. Un courriel est considéré comme reçu lorsqu’il est réceptionné dans le système de messagerie du destinataire et qu’il est accessible au destinataire dans des conditions normales de fonctionnement. Si un courriel s’avère ne pas être accessible suite à un dysfonctionnement du système de messagerie du destinataire, ce dernier devra en supporter les risques. Les parties sont tenues de notifier tout changement dans les coordonnées mentionnées plus haut.
16.1. Dans le cas où l’une des Parties commet une violation substantielle des termes de l’Accord, la Partie non défaillante pourra résilier l’Accord sans autre préavis si cette situation n’est pas résolue dans les dix jours ouvrables qui suivent la présentation d’une injonction écrite auprès de la Partie défaillante.
16.2. En cas de faillite, de procédure d’assainissement, de liquidation, de dissolution, de concordat judiciaire ou volontaire, etc., l’autre Partie a le droit de résilier l’Accord avec effet immédiat.
16.3. En cas de défaut de paiement du Client pour l’utilisation de la ou les Plateforme(s) selon les dispositions de l’article 4 de l’Accord, Penneo se réserve le droit de clore l’accès à cette ou ces Plateforme(s) avec un préavis de vingt jours. L’accès du Client sera rétabli lorsque la somme due aura été perçue par Penneo.
16.4. Dans le cas où Penneo résilie l’Accord suite à un manquement du Client, notamment un défaut de paiement, Penneo se réserve le droit de conserver les montants déjà acquittés. Dans le cas où le Client résilie l’accord suite à un manquement de Penneo, la résiliation ne pourra avoir lieu que pour l’avenir, et le Client peut exiger de se faire rembourser à partir du mois durant lequel le manquement s’est produit. La suppression des données en cas de la résiliation de l’Accord suite à une inexécution de celui-ci doit se faire conformément à l’Accord sur le traitement des données.
17.1. Les Parties conviennent que l’Accord est conclu en vertu du droit danois et que tout litige entre les Parties est régi par la législation danoise.
17.2. Les litiges doivent être résolus autant que possible à l’amiable par des négociations entre les Parties. Si un litige ne peut pas être résolu à l’amiable, les deux Parties ont le droit de déposer un recours devant le Tribunal de première instance de Copenhague.
18.1. Si une disposition de l’Accord est déclarée illégale, invalide ou sans portée juridique, elle ne doit pas moins être appliquée dans la mesure du possible selon la loi en vigueur, de telle sorte que l’intention initiale des Parties soit prise en compte. Une telle disposition n’affectera pas la légalité et la validité des autres dispositions.
18.2. Toute disposition de l’Accord qui s’étend, de par sa nature, au-delà de la date d’expiration de l’Accord en tout en partie, sera toujours valide et contraignante pour les Parties.
19.1. Le présent Accord et l’Accord sur le traitement des données ci-joint, ainsi que ses annexes, sont confirmés par les Parties à l’aide d’une signature numérique. Les signataires de l’Accord déclarent également qu’ils sont autorisés à engager l’entreprise par leur signature en vertu des dispositions des Parties relatives à la signature sociale et à la compétence. L’attestation imprimable et consultable de la signature sera présentée sur la dernière page du document complété, et envoyée à toutes les parties une fois que celles-ci auront signé l’Accord.
entre
Penneo A/S
(Sous-traitant)
et
Le Client
(Responsable du traitement)
a. Le Responsable du traitement et le Sous-traitant ont conclu un accord relatif aux termes et conditions générales de Penneo pour la fourniture des services numériques Penneo Sign et/ou Penneo KYC.
b. En vertu de l’Accord, le Sous-traitant doit traiter les données à caractère personnel pour le compte du Responsable du traitement lors de la fourniture de la ou les Plateforme(s).
c. Le présent Accord sur le traitement des données (dénommé ci-après « Accord sur le traitement des données ») fixe les termes et conditions du traitement des données à caractère personnel par le Sous-traitant (tels que définis dans la Législation, cf. disposition A.d.) que le Responsable du traitement, en vertu de l’Accord, confie au Sous-traitant lors de l’utilisation de la ou les Plateforme(s) (dénommées ci-après « Données à caractère personnel »). En cas de divergence entre l’Accord d’une part, et l’Accord sur le traitement des données d’autre part, c’est ce dernier qui prévaut. Sauf disposition contraire expresse précisée dans l’Accord sur le traitement des données, ce sont les dispositions de l’Accord qui s’appliquent.
d. L’Accord sur le traitement des données a pour objet d’assurer le respect de la législation sur les données à caractère personnel en vigueur de tout temps, notamment le règlement (UE) 2016/679 du Parlement européen et du Conseil daté du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (« Règlement général sur la protection des données »), et qui est entré en vigueur le 25 mai 2018 (dont l’ensemble est dénommé ci-après « Législation »).
e. Il existe trois annexes au présent accord. Ces annexes font partie intégrante de l’Accord sur le traitement des données.
f. L’Annexe A de l’Accord sur le traitement des données contient des informations détaillées sur le traitement, notamment l’objet et la nature de ce traitement, le type de données à caractère personnel, les catégories des personnes concernées et la durée du traitement selon la Plateforme utilisée.
g. L’Annexe B de l’Accord sur le traitement des données précise les conditions du Responsable du traitement selon lesquelles le Sous-traitant peut utiliser d’éventuels sous-traitants ultérieurs, ainsi que le lien de la liste des sous-traitants ultérieurs que le Responsable du traitement a validée en fonction de la Plateforme utilisée.
h. L’Annexe C de l’Accord sur le traitement des données contient des instructions détaillées sur le traitement que le Sous-traitant doit effectuer pour le compte du Responsable du traitement (objet du traitement), sur les mesures de sécurité minimum qui doivent être prises, et sur la manière dont s’effectue la surveillance du Sous-traitant et des éventuels sous-traitants ultérieurs utilisés en fonction de la Plateforme utilisée.
i. L’Accord sur le traitement des données et ses annexes sont conservés par écrit, et notamment sous forme électronique, par les deux parties contractantes.
j. Le présent Accord sur le traitement des données n’exempte pas le Sous-traitant, ni le Responsable du traitement, des obligations qui leur sont directement imposées par le Règlement général sur la protection des données ou par toute autre législation.
a. Les types de Données à caractère personnel, et les catégories de personnes concernées que le Sous-traitant doit traiter pour le Responsable du traitement dans le cadre de l’exécution de l’Accord et de l’Accord sur le traitement des données, sont précisés dans l’Annexe A.
b. Seul le Responsable du traitement prend la décision de choisir quelles données à caractère personnel seront traitées par le Sous-traitant, et dans quels buts ces données seront traitées. Le Responsable du traitement a la responsabilité, entre autres, de veiller à ce que le traitement des données à caractère personnel que le Sous-traitant a reçu l’ordre d’effectuer, repose sur une base légale.
c. Le Sous-traitant traite uniquement les Données à caractère personnel selon les instructions documentées qu’il a reçues du Responsable du traitement. Si, contrairement aux instructions du Responsable du traitement, le Sous-traitant est obligé de procéder à un traitement des données à caractère personnel en vertu de la Législation à laquelle est soumis le Sous-traitant, ce dernier doit informer le Responsable du traitement de cette exigence avant tout traitement, à moins que la réglementation en question n’interdise une telle information pour des motifs d’intérêt public.
d. Le Sous-traitant doit traiter les données à caractère personnel conformément à la Législation applicable. Le Responsable du traitement doit s’assurer que toutes les Données à caractère personnel qu’il transmet au Sous-traitant soient transmises à l’aide des fonctions de la ou les Plateforme(s) et non à l’aide de courriels peu sûrs ou par d’autres moyens qui enfreignent la Législation.
e. Dans le cas où l’autorité de contrôle danoise (Datatilsynet) s’informe du traitement des Données à caractère personnel, le Responsable du traitement et le Sous-traitant doivent coopérer pour répondre aux questions posées, fournir des informations ou satisfaire aux exigences éventuelles.
a. Le Sous-traitant doit tenir un registre de toutes les activités de traitement qu’il a effectuées pour le compte du Responsable du traitement. Ce registre, conservé sous forme électronique, par exemple sous forme de fichiers journaux, doit comporter :
i. le nom et les coordonnées du Sous-traitant, des Sous-traitants ultérieurs, cf. l’Annexe B, du Responsable du traitement et éventuellement d’un délégué à la protection des données ;
ii. les catégories de traitement que le Sous-traitant ou les Sous-traitants ultérieurs effectuent pour le Responsable du traitement, cf. l’Annexe A ; et
iii. une description générale des mesures de sécurité techniques et organisationnelles, cf. l’Annexe C.
b. Le registre doit être conservé sous forme écrite, notamment sous forme électronique. À la demande du Responsable du traitement et/ou de l’autorité de contrôle danoise (Datatilsynet), le Sous-traitant doit mettre le registre à leur disposition.
a. Le Responsable du traitement consent par la présente à ce que le Sous-traitant puisse utiliser des sous-traitants ultérieurs (dénommés ci-après « Sous-traitants ultérieurs ») qui exécutent ses prestations selon les termes de l’Accord. Le Sous-traitant a la responsabilité de s’assurer que les Sous-traitants ultérieurs remplissent leurs obligations en matière de protection des données conformément à la Législation.
b. La liste complète des Sous-traitants ultérieurs employés lors de l’utilisation de la ou les Plateforme(s) par le Responsable de Traitement est disponible ici : https://penneo.com/subprocessors/. Le type de données traitées et ses modalités, est jointe au présent Accord sur le traitement des données et figure dans l’Annexe B.
c. Le Sous-traitant informe le Responsable du traitement de tout changement prévu dans l’utilisation de Sous-traitants ultérieurs, y compris l’ajout ou le remplacement de ceux-ci, ainsi que l’utilisation de nouveaux Sous-traitants ultérieurs non mentionnés sur la liste présente sur https://penneo.com/subprocessors/, dans les meilleurs délais. Le Responsable du traitement a la possibilité d’émettre des objections à l’encontre de ces changements dans les quatorze jours qui suivent cette notification.
d. Si le Responsable de Traitement ne peut pas accepter les changements dans la nomination par le Sous-Traitant d’un Sous-traitant ultérieur tiers pour des motifs raisonnables liés à la protection des Données personnelles, alors soit le Sous-traitant ne nommera pas le sous-traitant ultérieur, soit le Sous-traitant peut choisir de suspendre ou de résilier le présent Accord. Nonobstant les dispositions de la clause 3.3 de l’Accord, l’Accord prend automatiquement fin avec la résiliation de l’Accord de traitement des données. Les paiements effectués par le Responsable du traitement ne sont pas remboursés.
e. Tout transfert de données personnelles dans des pays tiers ou auprès d’organisations internationales doit uniquement être effectué par le Sous-traitant sur la base des instructions documentées par le Responsable du traitement et doit toujours se faire conformément au chapitre V du Règlement général sur la protection des données. Les Sous-traitants ultérieurs actuellement autorisés figurent sur https://penneo.com/subprocessors/.
f. Le Sous-traitant s’assure que les mesures nécessaires qui régissent le transfert des données personnelles dans des pays tiers peu sûrs soient en place, notamment la mise en œuvre des Clauses contractuelles types de la Commission européenne en vigueur de tout temps, ou un Accord de sous-traitant ultérieur avec des règles d’entreprise contraignantes.
g. Si un Sous-traitant ultérieur est établi dans un pays tiers hors de l’UE/EEE, il incombe au Sous-traitant de s’assurer que les Données à caractère personnel soient conservées à l’intérieur de l’UE/EEE et ne soient pas transférées dans le pays tiers en question, à moins que ce transfert ne soit nécessaire pour se conformer à la législation en vigueur qui s’applique au Sous-traitant ou à ses Sous-traitants ultérieurs, ou qu’il réponde à des exigences d’une autorité publique compétente qui sont contraignantes pour le Sous-traitant ou ses Sous-traitants ultérieurs. Le Sous-traitant fera tout ce qui est en son pouvoir pour s’opposer à de telles exigences ou demandes si cela implique un transfert des données à caractère personnel conservées sur la ou les Plateforme(s) vers des pays tiers peu sûrs. Si de telles exigences sont imposées au Sous-traitant ou à ses Sous-traitants ultérieurs, le Sous-traitant doit donner au Responsable du traitement un délai raisonnable et doit s’efforcer de donner à ce dernier la possibilité de faire opposition ou de faire usage de recours appropriés ; à moins que le Sous-traitant ou ses Sous-traitants ultérieurs n’en soient empêchés de par la législation en vigueur.
h. Le Sous-traitant s’emploiera à ce que les données à caractère personnel ne soient pas transférées dans des pays tiers lors de l’utilisation, par le Responsable du traitement, des Plateformes du Sous-traitant, que ce transfert se fasse pour des raisons techniques ou commerciales.
i. Lorsque le Sous-traitant a obtenu l’autorisation du Responsable du traitement de recruter un sous-traitant ultérieur, il doit imposer à ce sous-traitant ultérieur les mêmes obligations en matière de protection des données que celles qui sont précisées dans le présent Accord sur le traitement des données, à l’aide d’un contrat ou de tout autre document juridique conforme au droit européen ou au droit national des États membres. Par ce biais seront mises en place des garanties appropriées permettant au sous-traitant ultérieur de prendre les mesures techniques et organisationnelles nécessaires, de telle sorte que le traitement réponde aux exigences du Règlement général sur la protection des données.
j. Le Sous-traitant est donc tenu d’imposer – par la conclusion d’un accord de sous-traitant ultérieur – à tout sous-traitant ultérieur éventuel au minimum les obligations auxquelles le Sous-traitant est soumis lui-même selon les règles sur la protection des données.
a. Les données à caractère personnel sont conservées jusqu’à ce qu’elles soient supprimées par le Responsable du traitement, ou jusqu’à ce que la relation avec le Client prenne fin, suite à quoi le Sous-traitant supprimera les données dans les 90 jours qui suivent la demande de suppression par le Responsable du traitement, à moins que la réglementation nationale ou européenne n’impose au Sous-traitant une durée de conservation plus longue.
b. À l’expiration de l’Accord sur le traitement des données, quelle qu’en soit la cause, les dispositions des articles 3.4 à 3.6 de l’Accord s’appliquent.
c. À l’expiration de l’Accord sur le traitement des données, le Sous-traitant doit supprimer toutes les données à caractère personnel existantes sur la ou les Plateforme(s), à moins que le droit de l’Union européenne ou le droit national n’exige la conservation des données à caractère personnel.
d. Les documents et données du Client sont conservés sur la ou les Plateforme(s) jusqu’à ce que celui-ci les supprime lui-même ou demande à Penneo de les supprimer. La conservation des documents du Client est comprise dans le prix de l’abonnement à la ou les Plateforme(s) pendant cinq ans.
e. Une fois terminée la période de conservation des données de cinq ans, Penneo se réserve le droit d’exiger un paiement pour conserver les documents, etc. du Client sur la ou les Plateforme(s). Lors de la conclusion de l’Accord, le prix de conservation des données s’élève à 1,00 EUR (un euro) par client et par an / 1,00 EUR (un euro) par employé et par an / 1,00 EUR (un euro) par nouvelle centaine de dossiers complétés.
a. Le Sous-traitant doit prendre les mesures de sécurité techniques et organisationnelles qui s’imposent pour empêcher que les Données à caractère personnel ne soient détruites, perdues ou détériorées de manière fortuite ou illicite, et ne soient exposées à des utilisations non autorisées ou des abus, ni ne soient traitées en infraction à la Législation.
a. Le Sous-traitant doit établir et mettre en œuvre des procédures en cas de violation des données à caractère personnel, cf. l’article 4 (12) et l’article 33, al. 2 du Règlement général sur la protection des données.
b. Le Sous-traitant doit informer par écrit, et dans les meilleurs délais, le Responsable du traitement s’il s’est rendu compte d’une violation des données à caractère personnel, notamment en donnant des informations sur la personne qui a traité les informations du Responsable du traitement et sur la date de l’incident, de manière à ce que ce dernier ait la possibilité de procéder à une enquête de police sur cette violation.
c. En cas de violation de données à caractère personnel, le Sous-traitant doit en informer le Responsable du traitement par écrit et dans les meilleurs délais, soit 36 heures au plus tard après s’être rendu compte de cette violation ; de cette façon, le Responsable du traitement aura la possibilité de respecter son engagement en notifiant la violation à l’autorité de contrôle dans les 72 heures, en décrivant au minimum :
i. la nature de la violation des données à caractère personnel y compris – si possible – les catégories et le nombre approximatif de personnes concernées par la violation, et les catégories et le nombre approximatif d’enregistrements de données à caractère personnel concernés ;
ii. les conséquences probables de la violation des données à caractère personnel ;
iii. les mesures prises ou que le Responsable du traitement propose de prendre pour remédier à la violation de données à caractère personnel, y compris les mesures pour en atténuer les éventuelles conséquences négatives ;
iv. le nom et les coordonnées du délégué à la protection des données, si une telle personne a été désignée par le Responsable du traitement, ou un autre point de contact auprès duquel des informations supplémentaires peuvent être obtenues.
d. S’il n’est pas possible de fournir toutes les informations en même temps, les informations pourront être communiquées de manière échelonnée sans autre retard indu.
e. La notification du Sous-traitant au Responsable du traitement concernant une violation de données à caractère personnel selon le point G n’implique pas que le Sous-traitant ait reconnu avoir violé l’Accord ou être responsable vis-à-vis du Responsable du traitement de la violation des données à caractère personnel.
a. Compte tenu de la nature du traitement et des Données à caractère personnel traitées par le Sous-traitant, ce dernier doit aider le Responsable du traitement à garantir le respect des dispositions de la Législation relatives aux droits des personnes concernées portant sur les données à caractère personnel. À l’aide notamment de mesures techniques et organisationnelles adéquates, le Sous-traitant doit aider le Responsable du traitement à gérer les démarches d’une personne concernée qui demande entre autres, mais sans s’y limiter, l’accès, la rectification, le verrouillage ou l’effacement de Données à caractère personnel. Dans la mesure où le Responsable du traitement peut lui-même gérer les démarches d’une personne concernée par le biais des fonctions de la ou les Plateforme(s), celui-ci doit les utiliser.
b. La Plateforme Penneo Sign est conçue de manière à ce qu’une personne concernée ait toujours accès aux documents qu’elle a signés si elle les a enregistrés dans ses archives. De cette façon, une personne concernée peut toujours exercer certains des droits qu’elle possède conformément au chapitre III du Règlement général sur la protection des données. Le contenu du présent article H. b. a pour but de réduire la charge administrative du Responsable du traitement et du Sous-traitant dans leur communication concernant les possibilités d’exercice des droits précisés au chapitre III du Règlement, qui existent déjà sur la Plateforme Penneo Sign pour la personne concernée.
c. Le Sous-traitant doit en outre, en tenant compte de la nature du traitement et des données à caractère personnel qu’il traite, aider le Responsable du traitement à respecter les autres obligations qui incombent à ce dernier conformément à la Législation, si cela s’avère nécessaire pour que le Responsable du traitement puisse respecter ses obligations. Dans cette optique, le Sous-traitant doit aider le Responsable du traitement à garantir, entre autres, le respect des obligations qui découlent des articles 32 à 36 du Règlement général sur la protection des données.
a. À la demande du Responsable du traitement, le Sous-traitant doit donner à ce dernier les informations qui lui sont nécessaires pour qu’il puisse s’assurer que le Sous-traitant et ses Sous-traitants ultérieurs respectent les exigences précisées dans l’Accord sur le traitement des données, et notamment que ceux-ci ont pris les mesures de sécurité techniques et organisationnelles qui s’imposent, et que ces mesures sont respectées.
b. À la demande écrite du Responsable du traitement, le Sous-traitant doit fournir des preuves qu’il a effectivement appliqué les mesures de sécurité.
c. Le Responsable du Traitement peut vérifier (durant les heures de travail normales) que le Sous-traitant respecte ses obligations en faisant appel à un auditeur ou à un tiers de confiance approuvé par le Responsable du Traitement et le Sous-traitant.
d. Une fois par an, le Sous-traitant permet au Responsable du traitement d’accéder à l’avis d’audit ISAE 3000. L’avis est réalisé une fois l’année civile terminée et est fourni au Responsable du traitement à sa demande au plus tard le 31 mars.
e. Le Responsable du traitement est aussi autorisé à confier, à ses frais, à un tiers indépendant approuvé par le Responsable du Traitement et le Sous-traitant, la réalisation d’un audit annuel portant sur le traitement, par le Sous-traitant, des données à caractère personnel. Cet audit annuel doit être réalisé pendant les heures de travail normales et ne doit pas entraver les routines de travail du Sous-traitant.
f. Le Sous-traitant est tenu de donner aux autorités qui ont légalement accès aux établissements du Responsable du traitement et du Sous-traitant, ou aux représentants de ces autorités, l’accès aux bâtiments du Sous-traitant sur présentation de pièces justificatives et après avoir préalablement signé une déclaration de confidentialité.
a. Le Responsable du traitement a la responsabilité de s’assurer que les bases légales nécessaires au traitement des Données à caractère personnel sont en place, et il doit respecter et se conformer à la Législation lors du traitement de ces données.
b. Le Responsable des données doit respecter les règles de sécurité qui s’appliquent de tout temps, et dont le Sous-traitant l’a informé, en matière d’accès et d’utilisation de la ou les Plateforme(s).
c. Le Responsable des données devra indemniser le Sous-traitant en cas de procédure judiciaire, de recours, de frais (y compris les frais d’avocat dans des limites raisonnables), de pertes, de responsabilité, de dépenses ou de dommages dont le Responsable des données est la cause parce qu’il n’a pas respecté la Législation ou les règles de sécurité en matière d’accès et d’utilisation de la Plateforme dont l’avait informé le Sous-traitant ; ou encore pour toute autre violation du présent Accord sur le traitement des données.
a. Le Sous-traitant n’est autorisé à percevoir de paiement pour les prestations qu’il fournit au Responsable du traitement, conformément au présent Accord sur le traitement des données, que si celles-ci ont été préalablement convenues entre les Parties.
a. Les Parties peuvent, sous réserve d’un préavis écrit raisonnable et justifié, demander une modification du traitement des données personnelles, tant qu’elles n’entrent pas en contradiction directe ou indirecte avec les Accords entre les parties et ne portent pas atteinte aux droits ou libertés fondamentaux de la personne concernée et à la protection accordée par le Règlement général sur la protection des données.
b. L’Accord sur le traitement des données peut en outre être aménagé à tout moment sous réserve d’un préavis écrit de trente jours calendaires si le Responsable du traitement souhaite modifier les types de Données à caractère personnel et les catégories de personnes concernées qui sont précisés dans l’Annexe A.
c. Dans le cas d’une modification ou d’un aménagement substantiels de l’Accord sur le traitement des données, conformément aux articles L.a. ou L.b., qui se feraient au détriment du Sous-traitant, ce dernier peut résilier le présent Accord sur le traitement des données avec un préavis de trois mois à la fin d’un mois, nonobstant l’article 3.3 de l’Accord. Les paiements effectués par le Client ne seront pas remboursés.
a. Si le Sous-traitant reçoit une notification du Responsable du traitement, ou s’il prend connaissance d’un non-respect des obligations découlant de la Législation ou des instructions du Responsable du traitement concernant le traitement des données à caractère personnel, le Sous-traitant doit remédier sans retard indu à ce non-respect.
b. Les dispositions de l’article 18 de l’Accord s’appliquent de même en cas de violation de l’Accord sur le traitement des données par l’une des Parties.
c. Aucune des Parties n’est tenue de supporter les exigences pécuniaires ou non pécuniaires, notamment – mais sans s’y limiter – les amendes, les demandes d’indemnisation de tiers, etc. qui visent l’autre Partie, outre les limitations précisées aux articles 10.2 et 10.3 de l’Accord.
a. Le Sous-traitant s’assure que ceux de ses employés qui ont accès aux données du Responsable du traitement ont signé une déclaration de confidentialité qui leur impose une obligation de confidentialité vis-à-vis de tiers en ce qui concerne leur accès aux données du Responsable du traitement. L’obligation de confidentialité s’applique à la fois dans le cadre de leur emploi et lors de la cession de cet emploi.
b. TLe Sous-traitant doit s’assurer que les Sous-traitants ultérieurs, les employés et autres personnes qui l’aident dans l’exécution de l’Accord comme de l’Accord sur le traitement des données, sont soumis à des obligations qui correspondent aux obligations qui en relèvent.
Types de données à caractère personnel et documents
A.1 Le traitement inclut les types suivants de données à caractère personnel sur les personnes concernées :
Il peut inclure tous types de données à caractère personnel de sorte que la ou les Plateforme(s) peuvent fonctionner conformément à l’article 2 de l’Accord. Ces données peuvent comprendre tous types de données à caractère personnel pouvant être traitées par le Responsable du traitement conformément à l’Accord des Parties sur la fourniture de la ou les Plateforme(s) du Sous-traitant au Responsable du traitement. Ces informations peuvent inclure, mais sans s’y limiter :
a. Pour Penneo KYC:
b. Pour Penneo Sign:
A.2 Finalité du traitement des données à caractère personnel effectué par le Sous-traitant pour le compte du Responsable du traitement : Le Responsable du traitement doit pouvoir utiliser la ou les Plateforme(s) qui appartiennent et sont administrées par le Sous-traitant.
a. La finalité du traitement des données sur la Plateforme Penneo KYC est de collecter, traiter, conserver, etc. les données relatives à la clientèle du Responsable du traitement, et donc de satisfaire aux termes de l’Accord passé entre le Responsable des données et le Sous-traitant.
b. La finalité du traitement des données sur la Plateforme Penneo Sign est de mettre un service de signature numérique à disposition du Responsable du traitement, et ainsi de satisfaire aux termes de l’Accord passé entre le Responsable des données et le Sous-traitant.
A.3 Le traitement des données à caractère personnel effectué par le Sous-traitant pour le compte du Responsable du traitement a pour objet principal (nature du traitement) :
Le Sous-traitant doit mettre le système logiciel SaaS standard, l’Application et la Plateforme à disposition du Responsable du traitement ; de ce fait, le Sous-traitant doit conserver sur ses serveurs les données à caractère personnel relatives à la clientèle du Responsable du traitement.
A.4 Le traitement inclut les catégories suivantes de personnes concernées :
Les personnes qui font partie ou ont fait partie de la clientèle du Responsable du traitement.
Les personnes qui sont considérées comme des tiers, cf. l’article 11 de l’Accord, ainsi que les employés du Responsable du traitement qui signent les documents par le biais de la ou les Plateforme(s).
A.5 Le traitement des données à caractère personnel effectué par le Sous-traitant pour le compte du Responsable du traitement peut commencer après l’entrée en vigueur du présent Accord. La durée du traitement est la suivante :
Le traitement n’est pas limité dans le temps et dure jusqu’à ce que l’Accord principal soit résilié ou annulé par l’une des parties contractantes.
Conditions d’utilisation, par le Sous-traitant, de sous-traitants ultérieurs éventuels
Le Sous-traitant a reçu l’autorisation générale du Responsable du traitement pour utiliser des sous-traitants ultérieurs. Lors de l’entrée en vigueur de l’Accord sur le traitement des données, le Responsable du traitement a approuvé spécifiquement l’utilisation des sous-traitants ultérieurs susmentionnés pour le traitement qui est décrit en face de la partie. Le Sous-traitant ne peut pas – sans l’autorisation spécifique écrite du Responsable du traitement – utiliser un sous-traitant ultérieur pour un « autre » traitement que celui qui a été convenu, ou laisser un autre sous-traitant ultérieur procéder au traitement décrit.
B.2 Notification sur les changements prévus de sous-traitants ultérieurs
Le Sous-traitant doit informer le Responsable du traitement de tout changement prévu concernant l’ajout ou le remplacement d’autres sous-traitants ultérieurs, donnant ainsi au Responsable du traitement la possibilité d’émettre des objections à l’encontre de ces changements. Si le Responsable du traitement a des objections à l’encontre de ces changements, il doit en informer le Sous-traitant dans les quatorze jours qui suivent la réception de cette notification. Le Responsable du traitement ne peut émettre d’objections que s’il a des raisons raisonnables et concrètes de le faire.
B.3 Sous-traitants ultérieurs approuvés
Le Responsable du traitement a approuvé l’utilisation des sous-traitants ultérieurs suivants lors de l’entrée en vigueur de l’Accord sur le traitement des données. Consultez la liste sur les sous-traitants ultérieurs approuvés ici : https://penneo.com/subprocessors/.
Lors de l’entrée en vigueur de l’Accord sur le traitement des données, le Responsable du traitement a approuvé spécifiquement l’utilisation des sous-traitants ultérieurs susmentionnés pour le traitement qui est décrit en face de la partie. Le Sous-traitant ne peut pas – sans l’autorisation spécifique écrite du Responsable du traitement – utiliser un sous-traitant ultérieur pour un « autre » traitement que celui qui a été convenu, ou laisser un autre sous-traitant ultérieur procéder au traitement décrit.
C.1 Objet du traitement / Instructions
Le traitement de données à caractère personnel effectué par le Sous-traitant, pour le compte du Responsable du traitement, comprend :
C.2 Sécurité du traitement
Le niveau de sécurité doit prendre en compte le fait qu’il s’agit de traiter un gros volume de données à caractère personnel qui sont couvertes par le Règlement général sur la protection des données, ce qui exige d’établir un « haut » niveau de sécurité.
En conséquence, le Sous-traitant a le droit et le devoir de prendre des décisions sur les mesures de sécurité techniques et organisationnelles à appliquer pour assurer le niveau de sécurité nécessaire (et convenu) en ce qui concerne ces données.
Les mesures de sécurité techniques et organisationnelles doivent garantir la confidentialité, l’intégrité et la disponibilité des données du Responsable du traitement, et le respect des principes du Règlement général sur la protection des données.
Le Sous-traitant garantit dans tous les cas, et comme un minimum, que les mesures de sécurité suivantes sont mises en œuvre :
Cryptographie
Le Sous-traitant s’est assuré que les données à caractère personnel qui sont traitées par son système logiciel SaaS standard sont cryptées autant que possible, de façon à ce qu’elles ne puissent être consultées qu’en utilisant les mots de passe du Responsable du traitement qui sont inconnus du Sous-traitant. Les coordonnées sont en outre traitées sans être cryptées dans la mesure nécessaire pour que le Sous-traitant puisse être en contact avec les personnes. Les noms, les relations aux entreprises et aux personnes, et les informations sur l’utilisation par les personnes de certaines parties du système logiciel SaaS sont conservés de façon à ce que le Responsable du traitement comme le Sous-traitant puissent les consulter.
Toutes les données personnelles sont transmises, sous forme cryptée, des systèmes du Sous-traitant à l’utilisateur final. Le Sous-traitant s’assure que les données à caractère personnel, qui sont traitées par le système logiciel SaaS standard du Sous-traitant, sont cryptées dans la mesure du possible à la fois « en transit » et « au repos ».
Gouvernance
Le Sous-traitant a mis en œuvre une politique de sécurité officielle qui est approuvée par la direction et qui est mise à jour au moins une fois par an. Le Sous-traitant a établi une procédure de gestion des risques, et une évaluation des risques des grandes zones à risque internes et externes du Responsable du traitement est effectuée au moins une fois par an. Le Sous-traitant a mis en œuvre une procédure de formation annuelle sur la sécurité pour tous les employés.
Droits d’accès et confidentialité
Le Sous-traitant s’assure que les droits d’accès de ses employés suivent les principes du « moindre privilège » et du « besoin de savoir ». Le Sous-traitant s’assure que les droits d’accès à l’environnement de production des Plateformes est évalué au moins une fois par an.
Les employés qui ont accès à l’environnement de production et qui peuvent de ce fait avoir un accès aléatoire aux données à caractère personnel auprès du Responsable du traitement sont soumis à des accords de confidentialité. Le Sous-traitant s’assure que l’accès des employés à l’environnement exige une authentification multifacteur, et que tous les utilisateurs de l’environnement de production ont un compte d’utilisateur unique à l’aide duquel tout accès administrateur est connecté.
Sécurité opérationnelle
Le Sous-traitant s’assure que les données du Client qui sont traitées sur les Plateformes ne sont conservées que dans les centres de données situés dans l’UE. Une procédure formelle de gestion du changement est mise en œuvre par le Sous-traitant, et cette procédure a lieu au moins une fois par an. Le Sous-traitant s’assure que des environnements logiquement séparés sont utilisés pour le développement, les tests et la production, et que les procédures de changement comprennent des stratégies de retour en arrière. En outre, le Sous-traitant a établi une segmentation du réseau.
Il s’assure que les copies de sécurité des données clients du Responsable du traitement sont sauvegardées, de manière à ce que des données perdues puissent être récupérées dans la mesure du possible. L’ensemble des données à caractère personnel ne seront toutefois enregistrées qu’en conformité avec la procédure de conservation et de suppression du Sous-traitant telle que décrite dans l’Accord sur le traitement des données et à l’article C3. Les données du Responsable du traitement, notamment les données à caractère personnel, sont toutefois cryptées et protégées par des mots de passe, si bien que si un employé du Responsable du traitement venait à perdre ses mots de passe, cela pourrait entraîner une perte de données.
Gestion des fournisseurs
Le Sous-traitant s’assure qu’il existe une politique et une procédure formelles qui s’appliquent aux fournisseurs, et que les sous-traitants ultérieurs qui traitent les données à caractère personnel des clients ou de la clientèle du Responsable du traitement doivent faire l’objet d’un contrôle au moins une fois par an.
Gestion de la vulnérabilité
Le Sous-traitant s’assure qu’un test de pénétration a été réalisé afin de tester la sécurité de son système au moins une fois par an, et que ce test soit réalisé par un tiers indépendant.
Plan d’urgence et récupération des données
Le Sous-traitant s’assure qu’il existe formellement un plan de continuité des activités et de reprise après sinistre, et qu’il fait l’objet d’une évaluation au moins une fois par an. Le Sous-traitant s’assure également que ce plan de continuité des activités.
C.3 Période de conservation / routines de suppression
Les données à caractère personnel sont conservées chez le Sous-traitant jusqu’à ce que le Responsable du traitement demande que ces données soient supprimées ou lui soient rendues. À la fin de la relation contractuelle, les données qui sont conservées sur la ou les Plateforme(s) sous forme de documents PDF seront supprimées dans les 90 jours, à moins qu’il n’en soit convenu autrement avec le Responsable du traitement.
En cas d’utilisation de Penneo Sign, les données du Responsable du traitement sont conservées sur plusieurs emplacements physiquement distincts. Les documents signés sont versionnés de manière à pouvoir annuler les changements apportés le cas échéant.
La suppression de documents signés, dont les différentes versions, ne peut être faite que conjointement par deux personnes au moins, car les tiers signataires ont leurs propres documents signés dans leurs archives privées.
C.4 Lieu du traitement
Le traitement des données à caractère personnel qui font l’objet de cet Accord a lieu dans les lieux suivants :
C.5 Instructions ou autorisation concernant le transfert de données à caractère personnel vers des pays tiers
Le Responsable du traitement a donné son consentement général pour que le Sous-traitant et ses sous-traitants ultérieurs puissent transférer les données à caractère personnel dans un pays tiers, dans la mesure où la Commission européenne a constaté que le territoire de ce pays tiers, une partie du territoire ou une organisation internationale implantée dans ce pays tiers, sont sûrs et ont un niveau de protection qui correspond en substance au niveau de protection qui s’applique dans l’UE.
Cela signifie en outre que le Responsable du traitement a également approuvé que le Sous-traitant ou ses sous-traitants ultérieurs pouvaient transférer les données à caractère personnel à des organisations dans des pays tiers qui se conforment aux clauses contractuelles types de l’UE (SCC).
Si, sous ce paragraphe ou dans une notification ultérieure écrite, le Responsable du traitement n’a pas donné d’instructions ni d’autorisation concernant le transfert de données à caractère personnel dans un pays tiers, le Sous-traitant ne pourra pas procéder à un tel transfert dans le cadre du présent Accord de traitement des données.
C.6 Procédures complémentaires relatives au contrôle, par le Responsable du traitement, du traitement des données effectué chez le Sous-traitant
Le Responsable du traitement peut vérifier une fois par an (durant les heures de travail normales) que le Sous-traitant respecte ses obligations en faisant appel à un auditeur ou à un tiers de confiance approuvé par le Responsable du traitement et le Sous-traitant.
Outre cette éventuelle inspection annuelle, le Sous-traitant peut être soumis à un contrôle lorsque le Responsable du traitement décide, sur la base d’une évaluation raisonnable, que cela s’avère nécessaire.
Toutes dépenses du Responsable du traitement en lien avec un contrôle physique seront à sa charge. Le Sous-traitant sera toutefois tenu d’allouer les ressources nécessaires (en temps principalement) pour que le Responsable du traitement puisse effectuer son contrôle.
C.7 Procédures complémentaires relatives au contrôle du traitement des données effectué chez d’éventuels sous-traitants ultérieurs
Le Sous-traitant ou un représentant de celui-ci peut procéder une fois par an à un contrôle physique sur le respect du présent Accord de traitement des données auprès du sous-traitant ultérieur.
Outre ce contrôle annuel, un contrôle peut être effectué auprès du sous-traitant ultérieur lorsque le Sous-traitant (ou le Responsable du traitement) décide, sur la base d’une évaluation raisonnable, que cela s’avère nécessaire.
Les preuves de ces contrôles seront envoyées dans les meilleurs délais à titre d’information au Responsable du traitement.
Le Responsable du traitement peut – s’il le juge nécessaire – choisir d’établir et de participer à un contrôle physique chez le sous-traitant ultérieur.
Cela ne pourra toutefois être le cas que si le Responsable du traitement peut prouver que le contrôle du Sous-traitant auprès du sous-traitant ultérieur n’a pas fourni une assurance satisfaisante montrant que le traitement des données par le sous-traitant ultérieur se fait en conformité avec le présent Accord sur le traitement des données.
Les dépenses éventuelles du Sous-traitant et du sous-traitant ultérieur en lien avec un contrôle physique/une inspection auprès du sous-traitant ultérieur ne concernent pas le Responsable du traitement.
Version 5.0.1 – Mise à jour le 1er mars 2023
