Penneo A/S
No d’immatriculation danois (CVR) 35633766
Enghavevej 40, 4e étage
DK-1674 Copenhague V
(dénommée ci-après « Penneo »)
&
[Renseignements sur le client]
Numéro d’immatriculation
Adresse
Code Postal et Ville
(dénommé ci-après le « Client »)
Les présentes Conditions Générales et le présent Accord sur le Traitement des Données sont rédigés en plusieurs langues. En cas de divergence entre les différentes versions, la version anglaise prévaut. Penneo et le Client (dénommés ci-après séparément « Partie » et conjointement « Parties ») ont accepté les présentes Conditions Générales et le présent Accord sur le Traitement des Données (dénommé ci-après « Accord »).
1.1. Le présent Accord donne au Client un accès à la ou les Plateforme(s) de Penneo sur lesquelles le Client peut accéder aux services convenus. En utilisant la ou les Plateforme(s), le Client a la possibilité de gérer ses propres documents et/ou données à des fins de signature ou de validation selon l’abonnement choisi.
1.2. L’Accord porte sur la fourniture d’une ou de plusieurs Plateforme(s) et de prestations supplémentaires proposées par Penneo au Client, à moins que les Parties ne dérogent expressément de l’Accord ou qu’il soit expressément modifié par un second accord écrit permettant d’établir avec certitude l’intention de déroger de l’Accord.
1.3. Les parties souhaitent coopérer et Penneo s’engage à fournir une ou plusieurs Plateforme(s) au Client. L’Accord a pour objectif de fixer les conditions de fourniture de la ou les Plateforme(s) au Client.
1.4. Penneo se réserve le droit de modifier unilatéralement toute disposition non substantielle des Conditions Générales, afin que celles-ci soient conformes avec les produits, pour autant qu’elle ne concerne pas les dispositions des clauses 3.1-3.8, 4.1-4.13, 10.1-10.7, 16.1-16.4. De telles modifications seront notifiées au Client trente (30) jours avant la modification.
2.1. La ou les Plateforme(s) sont proposées au Client sous forme de logiciel en tant que service (« SaaS »), de manière à ce que le Client puisse se connecter – via Internet et une application Web, une application de bureau, ou une API de Penneo – au serveur de Penneo ou à un serveur d’un des partenaires de Penneo, pour accéder à la ou les Plateforme(s).
2.2. Afin d’utiliser Penneo Sign, le Client devra nécessairement télécharger ses documents sur la Plateforme en format PDF standard, ou tout autre format supporté par Penneo. Les documents retournés par Penneo seront accessibles dans un format téléchargeable une fois le processus de signature terminé. Les fichiers retournés au Client et aux Tiers comportent toutes les preuves de signature, sont verrouillés, ne peuvent être modifiés et sont activés pour une conservation à long terme (LTV).
3.1. L’Accord entre en vigueur à la date à laquelle le Client accepte la confirmation de commande de Penneo ou accepte l’Accord (« Date d’entrée en vigueur »).
3.2. Une période d’engagement contractuel de douze (12) mois s’applique pour accéder à la ou les Plateforme(s) (abonnement) à partir de la Date d’entrée en vigueur.
3.3. Chaque partie peut résilier l’Accord moyennant un préavis écrit de trois (3) mois avant la fin de la période d’engagement de l’abonnement. Si l’Accord n’est pas résilié trois (3) mois au plus tard avant la fin de la période d’engagement, une nouvelle période d’engagement de douze (12) mois s’appliquera automatiquement.
3.4. La Date d’entrée en vigueur et la période d’engagement de l’abonnement ultérieur seront modifiées si le Client signe une nouvelle confirmation de commande ou des conditions additionnelles qui changent de manière substantielle les termes contractuels initiaux.
3.5. Tous les documents du Client sont enregistrés sur la ou les Plateforme(s) de Penneo en fonction de la période de conservation déterminée par l’abonnement choisi, à moins que l’Accord n’ait été résilié entre-temps. Le cas échéant, les dispositions des clauses 3.6 à 3.8 s’appliqueront. Les documents du Client ne sont conservés au-delà de la période de conservation que s’il existe un accord spécifique d’archivage passé entre le Client et Penneo.
3.6. À la fin de la période de conservation des données, Penneo s’engage à conserver l’ensemble des Données du Client en sa possession durant une période supplémentaire de quatre-vingt-dix (90) jours.
3.7. Durant la période spécifiée dans la clause 3.6, le Client a accès à tout moment à son compte Penneo et peut extraire ou supprimer tout ou partie de ses données. Les données du Client lui sont remises ou sont extraites dans des formats utilisés par le(s) système(s) de Penneo ou de ses sous-traitants ; de ce fait, aucun traitement et aucune conversion des données n’ont lieu, à moins que le Client et Penneo n’en décident explicitement autrement.
3.8. La remise au Client de données traitées ou converties peut faire l’objet d’un accord spécifique moyennant paiement.
4.1. Les frais que doit payer le Client pour l’utilisation de la ou les Plateforme(s), l’intégration aux Plateforme(s) et tout autre service de Penneo, sont spécifiés et acceptés soit par la signature de la confirmation de commande, soit par le paiement de la facture la plus récente envoyée par Penneo au Client.
4.2. Toute remise spécifiée sur la confirmation de commande ou sur la facture s’applique uniquement pour la première année de la période d’abonnement, sauf accord spécifique contraire dans la confirmation de commande.
4.3. Les frais convenus dans la confirmation de commande, mentionnée dans la clause 4.1, ne sont pas remboursables. L’utilisation par le Client de la ou les Plateforme(s) doit correspondre aux abonnements et prestations supplémentaires stipulées dans la confirmation de commande. La consommation convenue dans la confirmation de commande ne peut être diminuée pendant la période d’abonnement. Un mauvais usage de la ou les Plateforme(s) sera considéré comme un manquement grave selon les dispositions de la clause 18.1 de l’Accord.
4.4. Des prestations de conseil, de stockage, de développement ou d’autres services supplémentaires peuvent être fournis séparément par Penneo, contre paiement par le Client. Les conditions et les prix de ces services supplémentaires seront convenus spécifiquement entre le Client et Penneo, à la demande du Client.
4.5. Les frais incluent les taxes applicables à la date d’entrée en vigueur de l’Accord, à l’exception de la TVA.
4.6. Les modalités de paiement doivent être réglées au comptant, dans un délai de quatorze (14) jours à compter de la date de facture sur le compte désigné par Penneo. Le paiement doit être effectué sans frais ni taxes pour Penneo. En cas de retard de paiement, des intérêts de retard à hauteur de 1,5% du solde impayé par mois, ou le taux maximum autorisé par la loi (le taux le moins élevé des deux étant retenu), seront appliqués par mois commencé sur le solde échu à compter de la dernière date de paiement effectué dans les délais, et ce, jusqu’à complet paiement. Le Client ne peut pas procéder à une compensation de la rémunération pour la prestation provenant de réclamations liées à d’autres recours juridiques.
4.7. La facture est envoyée sous forme électronique à l’adresse e-mail ou au numéro EAN dont le Client a informé Penneo.
4.8. Le Client peut utiliser à tout moment la ou les Plateforme(s) et dépasser le nombre de clients/employés/Signatures/dossiers complets compris dans l’abonnement (selon la formule d’abonnement choisie). Le dépassement peut se faire après accord portant sur l’extension de la ou les Plateforme(s) moyennant le paiement de Frais de Plateforme supplémentaires, cf. clause 4.9, ou sans accord préalable (« consommation supplémentaire »), cf. clause 4.10.
4.9. Le paiement de Frais de plateforme supplémentaires permet au Client d’étendre l’utilisation de la ou les Plateforme(s) en ajoutant un nombre supplémentaire de clients/employés/Signatures/dossiers complets (selon la formule d’abonnement) en sus du nombre de clients/employés/Signatures/dossiers complets de la ou les Plateforme(s) qui sont compris dans l’abonnement initial. La facturation des Frais de Plateforme a lieu au moment de la commande, pour une période d’abonnement complète, quelle que soit la date à laquelle la commande est convenue durant la période d’abonnement. Lors de la conclusion de l’Accord, le prix d’une telle extension correspond au prix convenu pour un client/employé/Signatures/dossier complet majoré de 10 % du prix spécifié dans la confirmation de commande ou la facture initiale mentionnée dans la clause 4.1. Lors du renouvellement de l’abonnement, les clients/employés/Signatures/dossiers complets qui ont fait l’objet d’un supplément sont inclus dans l’abonnement au tarif initial, sans majoration de 10 %.
4.10. Toute consommation supplémentaire sur la ou les Plateforme(s) sans accord préalable est facturée à la fin de la période d’abonnement au tarif fixé pour un client/employé/Signatures/dossier complet (selon la formule d’abonnement) majorée de 25 % du prix spécifié dans la confirmation de commande ou la facture mentionnée dans la clause 4.1. Une période d’abonnement complète est facturée, quelle que soit la date à laquelle la consommation supplémentaire a débuté durant la période d’abonnement. Lors du renouvellement de l’abonnement, les clients/employés/Signatures/dossiers complets qui ont fait l’objet d’un supplément sont inclus dans l’abonnement, sans majoration de 25 %.
4.11. Les frais susmentionnés pour l’extension de la ou les Plateforme(s) – à la fois les Frais de Plateforme et la consommation supplémentaire – couvrent l’utilisation complète du système et les prestations supplémentaires selon le forfait choisi par le Client.
4.12. Tous les prix sont ajustés par Penneo conformément à l’indice des prix nets danois publié par l’Institut danois de statistique. Les tarifs portant sur les prestations offertes par Penneo sont ajustés lors du renouvellement de l’Accord. Cet ajustement est calculé chaque année sur la base de la différence entre l’indice du mois d’octobre et celui du mois d’octobre passé. Il prend effet durant la période d’engagement du Client pour l’année suivante sans préavis supplémentaire.
4.13. Penneo peut annoncer d’autres ajustements de prix sous réserve d’un préavis de quatre (4) mois avant le début de la nouvelle période d’engagement.
5.1. Penneo garantit la stabilité du fonctionnement mais ne saurait être tenu responsable des dysfonctionnements causés par des facteurs extérieurs dont Penneo n’a pas le contrôle tels que, sans s’y limiter, les dysfonctionnements qui se produisent chez les fournisseurs nationaux d’identité électronique, les fournisseurs de certificats, les fournisseurs d’accès à Internet, etc. Penneo s’engage à rétablir un fonctionnement normal le plus rapidement possible.
5.2. Penneo assure l’accessibilité à la ou les Plateforme(s) durant la durée de l’Accord comme suit :
5.2.1. Une disponibilité de 99,9 %
5.2.2. La disponibilité est mesurée et calculée par mois calendaire sur la base d’un fonctionnement de 24h/24. Le calcul de la disponibilité ne prend pas en compte les temps d’arrêt qui ont fait l’objet d’un préavis selon les termes de l’Accord, ou qui ont été expressément acceptés par le Client.
Le Client peut s’informer du taux de disponibilité de Penneo sur status.penneo.com.
6.1. Tous les documents sont conservés sous forme cryptée, et toute communication entre le(s) serveur(s) de Penneo a lieu sous forme cryptée ; en outre sont installés des pare-feu pour sécuriser les données des Plateformes. Penneo ne peut toutefois pas garantir l’absence d’attaques de pirates informatiques qui provoquent des pannes du système et/ou des pertes de données.
6.2. Dans le cas où une panne du système – quelle qu’en soit la cause – causerait la perte ou la détérioration des Données du Client, et une fois la panne/détérioration constatée, Penneo s’engage de sa propre initiative ou à la demande du Client, à procéder au rétablissement des Données du Client à partir du ou des emplacements de sauvegarde appropriés. Durant cette période, les Données du Client peuvent être inaccessibles pendant vingt-quatre (24) heures au maximum.
7.1. Afin d’offrir le meilleur service possible, il est nécessaire de procéder régulièrement à l’extension ou au remplacement de l’équipement technique, à la mise à jour des logiciels, etc. Penneo réalise régulièrement des opérations de maintenance et de mise à jour de la/des Plateforme(s).
7.2. Le Client est informé de ces opérations de maintenance et de mise à jour sur le site internet de Penneo et sur la page d’état du système.
7.3. L’API de Penneo est proposée en différentes versions. Lorsqu’une nouvelle version est publiée, Penneo fait de son mieux pour que cette nouvelle version n’ait pas d’impact sur les versions précédentes. Penneo ne peut toutefois pas garantir que les nouvelles versions d’API n’exigent pas de nouveaux développements chez le Client. Dans le cas où Penneo décide de ne plus soutenir une version API, Penneo doit annoncer sa décision au moins six (6) mois avant de désactiver ladite version API.
7.4. Lors d’opérations de maintenance, il peut être nécessaire d’interrompre l’accès à la ou les Plateforme(s). De telles interruptions auront lieu de préférence entre 21h00 et 06h00 CET. S’il est nécessaire d’interrompre l’accès à la ou les Plateforme(s) en-dehors de la plage de temps susmentionnée, l’interruption sera annoncée préalablement, à moins que des raisons techniques ou de sécurité ne nécessitent une modification immédiate du système.
8.1. Si le Client constate des erreurs, une panne ou des anomalies, le Client peut vérifier si le problème n’a pas été enregistré sur status.penneo.com.
8.2. Si le problème n’est pas encore enregistré, le Client doit contacter Penneo sans retard, cf. clause 8.3.
8.3. En cas de signalement d’une erreur, le Client doit décrire l’erreur par écrit en utilisant la procédure de signalement en ligne, telle que mentionnée sur le site internet de Penneo, de façon à ce que Penneo reçoive les informations nécessaires afin de localiser l’erreur.
9.1. Les mises à jour de logiciel sont comprises dans le prix de l’abonnement. Penneo met plusieurs options d’assistance à disposition des clients. L’accès à ces options dépend du forfait choisi. Les demandes d’assistance particulières (téléphonique ou par écrit) ou les ajustements individualisés du système sont facturés séparément.
10.1. Chaque Partie est tenue responsable des dommages conformément aux dispositions générales de la législation danoise, étant toutefois entendu que les limitations ne s’appliquent que si les pertes ne sont pas imputables à une négligence grave ou à un comportement délibéré de la part de la Partie responsable du dommage.
10.2. Penneo décline toute responsabilité pour d’éventuelles pertes indirectes ou de dommages consécutifs notamment, mais sans s’y limiter, des pertes d’exploitation, des pertes de bénéfice, des pertes de Données du Client et de bonne foi chez le Client.
10.3. Penneo décline toute responsabilité pour tout dommage résultant de tout changement effectué par le Client unilatéralement sur le produit et qui n’a pas été accepté à l’avance par Penneo. Ces changements incluent, mais ne sont pas limités à : des fonctionnalités supplémentaires, des intégrations ou la suppression de paramètres.
10.4. Le Client est seul responsable de s’assurer que ses employés et tout tiers signataire se conforment aux directives d’utilisation appropriées et aux recommandations de sécurité de la/des Plateforme(s), fournies par Penneo.
10.5. Nonobstant la responsabilité du fait de produits défectueux, cf. Clause 10.6, le montant total de l’indemnité que le Client peut faire valoir à l’encontre de Penneo conformément à l’Accord se limite au montant le plus réduit des cas suivants :
10.6. Penneo est responsable du fait de produits défectueux conformément aux dispositions générales de responsabilité civile issues de la législation danoise. La responsabilité de Penneo est toutefois limitée au montant versé par l’assurance de responsabilité de Penneo qui s’applique en tout temps.
10.7. Penneo s’engage à conserver le niveau d’assurance usuel et raisonnable attendu, incluant au moins une assurance de responsabilité du fait de produits défectueux et une assurance de responsabilité professionnelle couvrant la responsabilité de Penneo au titre de l’Accord.
11.1. Afin d’utiliser la Plateforme Penneo Sign, le Client ouvre un compte Penneo. Le compte comporte les coordonnées du Client et les informations de l’utilisateur. Le Client télécharge ensuite sur son compte Penneo les documents et autres données, notamment des données à caractère personnel, à des fins de signature (l’ensemble de ces données sont dénommées ci-après « Données du Client »).
11.2. Les tiers, signataires de documents du Client via la Plateforme Penneo Sign (dénommés ci-après « Tiers »), se voient attribuer un compte spécifique Penneo dans le cadre du processus de signature. Le Tiers télécharge ses données, notamment ses données à caractère personnel, sur son compte Penneo en signant le(s) document(s) du Client (l’ensemble des données sont dénommées ci-après « Données de Tiers »).
11.3. Le Client et les Tiers reçoivent une copie des documents signés, et ces documents sont sauvegardés et conservés sur la Plateforme Penneo Sign. Le Client ainsi que tous les Tiers ont accès aux documents signés via leur compte respectif Penneo.
11.4. Afin d’utiliser la Plateforme Penneo KYC, le Client ouvre un compte pour son entreprise. Plusieurs utilisateurs peuvent avoir la possibilité d’accéder à ce compte Client. Quand un Client doit intégrer sa clientèle, il crée une relation clientèle sur la Plateforme KYC de Penneo en précisant le type d’informations à collecter auprès de cette clientèle. Les informations que le Client spécifie et collecte sont considérées comme des Données de Tiers.
11.5. Lorsque le Client a choisi le type d’informations à collecter, sa clientèle reçoit un courriel contenant un lien à la Plateforme Penneo KYC qui lui permet de télécharger des données et/ou de compléter des données spécifiées. Lorsque les informations sont collectées, elles sont conservées sur le compte de l’entreprise du Client sous la relation clientèle en question.
11.6. Les informations relatives à la clientèle, et la relation clientèle, peuvent aussi être importées de sources de données publiques ou des systèmes internes du Client pour être téléchargées sur la Plateforme Penneo KYC, si le Client procède ainsi.
11.7. Dans la relation entre le Client et Penneo, Penneo est sous-traitant et le Client est responsable du traitement des données. Penneo et le Client ont conclu l’accord sur le traitement des données mentionné ci-dessous avec ses annexes (dénommé ci-après « Accord sur le Traitement des Données ») qui régit le traitement par Penneo des Données du Client qui incluent les données à caractère personnel.
12.1. Si Penneo n’est pas en mesure de fournir ses prestations aux termes de l’Accord suite à un cas de force majeure, il ne pourra être tenu responsable des pertes subies suite à cette situation, et le Client ne pourra pas annuler l’Accord, sauf cas prévus dans la clause 12.3.
12.2. Penneo doit informer sans retard le Client dans le cas où une situation de force majeure survient. Un cas de force majeure est une situation sur laquelle Penneo n’a aucun contrôle et qui ne peut être évitée par des mesures financières et concrètes raisonnables. Il peut s’agir d’une situation de guerre, une mobilisation, une attaque terroriste, une panne du réseau public d’électricité, une grève, une pandémie, un incendie, une inondation, etc.
12.3. Si l’accès à la ou les Plateforme(s) s’avère matériellement impossible suite à une situation de force majeure, et que celle-ci dure plus de trente (30) jours, chaque Partie est autorisée à résilier l’Accord par écrit avec effet immédiat, mais dans un tel cas, aucune des Parties ne pourra se retourner contre l’autre Partie.
13.1. Le Client est informé que la ou les Plateforme(s) sont protégées par des droits de propriété intellectuelle, et qu’il acquiert uniquement un droit d’usage conditionnel et non exclusif sur la ou les Plateforme(s). Le droit d’usage est subordonné par le paiement du Client et le respect de l’Accord ; le Client a été expressément informé que le droit d’usage est limité dans le temps et qu’il s’éteint automatiquement lorsque l’Accord arrive à expiration, quelle qu’en soit la cause. Le droit d’usage n’est pas transférable ou cessible.
13.2. Le Client a uniquement le droit d’utiliser la ou les Plateforme(s) pour sa propre entreprise.
13.3. Le Client consent à respecter les droits de propriété intellectuelle. Le Client assume la responsabilité de ses employés et s’assure que ses consultants externes soeint expressément informés que la ou les Plateforme(s) sont protégées par des droits de propriété intellectuelle et qu’ils respectent les droits liés à l’utilisation de la ou les Plateforme(s) selon les termes de l’Accord.
14.1. Chaque Partie s’engage, pour la durée de l’Accord et après son expiration, à conserver la confidentialité, vis-à-vis de tiers, de toute information provenant de l’autre Partie et la concernant, et dont l’une des Parties a pris connaissance dans le cadre de l’Accord et de la fourniture de la ou les Plateforme(s). Les Parties ne peuvent utiliser ces informations que conformément aux termes de l’Accord, et elles ne peuvent divulguer ces informations à moins que cette divulgation ne soit exigée par la loi, une décision judiciaire ou un ordre des pouvoirs publics. Cette clause ne s’applique pas aux informations qui sont généralement connues ou accessibles au public et qui ne font pas l’objet de telles restrictions en vertu de la loi.
15.1. Penneo peut utiliser le Client comme référence, à moins que celui-ci n’ait dûment exprimé son désaccord à ce sujet par écrit.
15.2. Par la signature de l’Accord, le Client donne à Penneo le droit d’envoyer des avis de service et d’information par courriel. Ces derniers peuvent comprendre des lettres d’information et autres informations marketing concernant la ou les Plateforme(s) ainsi que d’autres produits et services de Penneo.
15.3. Le Client peut à tout moment se désabonner des courriels d’information.
15.4. Les courriels contenant des informations sur le fonctionnement du système sont obligatoires car ils peuvent avoir de l’importance pour le Client dans son utilisation de la ou les Plateforme(s).
15.5. Les Parties peuvent utiliser des courriels pour envoyer des rappels et autres notifications écrites en lien avec l’Accord.
15.6. Un courriel est considéré comme reçu lorsqu’il est réceptionné dans le système de messagerie du destinataire et qu’il est accessible au destinataire dans des conditions normales de fonctionnement. Si un courriel s’avère ne pas être accessible suite à un dysfonctionnement du système de messagerie du destinataire, ce dernier devra en supporter les risques. Les Parties sont tenues de notifier tout changement dans les coordonnées mentionnées plus haut.
16.1. Dans le cas où l’une des Parties commet une violation substantielle des termes de l’Accord, la Partie non défaillante pourra résilier l’Accord sans préavis si cette situation n’est pas résolue dans les dix (10) jours ouvrables qui suivent la présentation d’une injonction écrite auprès de la Partie défaillante.
16.2. En cas de faillite, de restructuration, de liquidation, de dissolution, d’accord de conciliation avec les créanciers d’une Partie, etc., l’autre Partie a le droit de résilier l’Accord avec effet immédiat.
16.3. En cas de défaut de paiement du Client pour l’utilisation de la ou les Plateforme(s) selon les dispositions de la clause 4 de l’Accord, Penneo se réserve le droit de clore l’accès à cette ou ces Plateforme(s) avec un préavis de vingt (20) jours. L’accès du Client sera rétabli lorsque la somme due aura été perçue par Penneo.
16.4. Dans le cas où Penneo résilie l’Accord suite à un manquement du Client, notamment un défaut de paiement, Penneo se réserve le droit de conserver les montants déjà acquittés. Dans le cas où le Client résilie l’accord suite à un manquement de Penneo, la résiliation ne pourra avoir lieu que pour l’avenir, et le Client peut exiger de se faire rembourser à partir du mois durant lequel le manquement s’est produit. La suppression des données en cas de la résiliation de l’Accord suite à une inexécution de celui-ci doit se faire conformément à l’Accord sur le Traitement des Données.
17.1. Les Parties conviennent que l’Accord est conclu en vertu du droit danois et que tout litige entre les Parties est régi par la législation danoise.
17.2. Les litiges doivent être résolus autant que possible à l’amiable par des négociations entre les Parties. Si un litige ne peut pas être résolu à l’amiable, le Tribunal de première instance de Copenhague sera compétent.
18.1. Si une disposition de l’accord est déclarée illégale, invalide ou inapplicable, elle doit néanmoins être appliquée dans toute la mesure du possible conformément au droit applicable, de manière à ce que l’intention initiale des Parties soit reflétée. Une telle disposition n’affectera pas la légalité et la validité des autres dispositions.
18.2. Toute disposition de l’Accord qui s’étend, de par sa nature, au-delà de la date d’expiration de l’Accord en tout en partie, sera toujours valide et contraignante pour les Parties.
19.1. Le présent Accord et l’Accord sur le Traitement des Données ci-joint, ainsi que ses annexes, sont confirmés par les Parties à l’aide d’une signature numérique. Les signataires de l’Accord déclarent également qu’ils sont autorisés à engager l’entreprise par leur signature en vertu des dispositions des Parties relatives à la signature sociale et à la compétence. L’attestation imprimable et consultable de la signature sera présentée sur la dernière page du document complété, et envoyée à toutes les Parties une fois que celles-ci auront signé l’Accord.
entre
Penneo A/S
(Sous-traitant)
et
Le Client
(Responsable du traitement)
a. Le Responsable du traitement et le Sous-traitant ont conclu un accord relatif aux Conditions Générales de Penneo pour la fourniture des services numériques Penneo Sign et/ou Penneo KYC.
b. En vertu de l’Accord, le Sous-traitant doit traiter les données à caractère personnel pour le compte du Responsable du traitement lors de la fourniture de la ou les Plateforme(s).
c. Le présent Accord sur le traitement des données (dénommé ci-après « Accord sur le Traitement des données ») fixe les conditions du traitement des données à caractère personnel par le Sous-traitant (tels que définis dans la Législation, cf. disposition A.d.) que le Responsable du traitement, en vertu de l’Accord, confie au Sous-traitant lors de l’utilisation de la ou les Plateforme(s) (dénommées ci-après « données à caractère personnel »). En cas de divergence entre l’Accord et l’Accord sur le Traitement des Données, l’Accord sur le Traitement des Données prévaut. Sauf disposition contraire expresse précisée dans l’Accord sur le Traitement des Données, les dispositions de l’Accord s’appliquent.
d. L’Accord sur le Traitement des Données a pour objet d’assurer le respect de la législation sur les données à caractère personnel en vigueur de tout temps, notamment le règlement (UE) 2016/679 du Parlement européen et du Conseil daté du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (« Règlement général sur la protection des données »), et qui est entré en vigueur le 25 mai 2018 (dont l’ensemble est dénommé ci-après « Législation »).
e. Il existe trois annexes au présent Accord. Ces annexes font partie intégrante de l’Accord sur le Traitement des Données.
f. L’Annexe A de l’Accord sur le Traitement des Données contient des informations détaillées sur le traitement, notamment l’objet et la nature de ce traitement, le type de Données à caractère personnel, les catégories des personnes concernées et la durée du traitement selon la Plateforme utilisée.
g. L’Annexe B de l’Accord sur le Traitement des Données précise les conditions du Responsable du traitement selon lesquelles le Sous-traitant peut utiliser d’éventuels sous-traitants ultérieurs, ainsi que le lien de la liste des sous-traitants ultérieurs que le Responsable du traitement a validée en fonction de la Plateforme utilisée.
h. L’Annexe C de l’Accord sur le Traitement des Données contient des instructions détaillées sur le traitement que le Sous-traitant doit effectuer pour le compte du Responsable du traitement (objet du traitement), sur les mesures de sécurité minimum qui doivent être prises, et sur la manière dont s’effectue la surveillance du Sous-traitant et des éventuels sous-traitants ultérieurs utilisés en fonction de la Plateforme utilisée.
i. L’Accord sur le Traitement des Données et ses annexes sont conservés par écrit, et notamment sous forme électronique, par les deux parties contractantes.
j. Le présent Accord sur le Traitement des Données n’exempte ni le Sous-traitant, ni le Responsable du traitement, des obligations qui leur sont directement imposées par le Règlement général sur la protection des données ou par toute autre législation.
a. Les types de données à caractère personnel, et les catégories de personnes concernées que le Sous-traitant doit traiter pour le Responsable du traitement dans le cadre de l’exécution de l’Accord et de l’Accord sur le Traitement des Données, sont précisés dans l’Annexe A.
b. Seul le Responsable du traitement prend la décision de choisir quelles données à caractère personnel seront traitées par le Sous-traitant, et dans quels buts ces données seront traitées. Le Responsable du traitement a la responsabilité, entre autres, de veiller à ce que le traitement des données à caractère personnel que le Sous-traitant a reçu l’ordre d’effectuer, repose sur une base légale.
c. Le Sous-traitant traite uniquement les données à caractère personnel selon les instructions documentées qu’il a reçues du Responsable du traitement. Si, contrairement aux instructions du Responsable du traitement, le Sous-traitant est obligé de procéder à un traitement des données à caractère personnel en vertu de la Législation à laquelle est soumis le Sous-traitant, ce dernier doit informer le Responsable du traitement de cette exigence avant tout traitement, à moins que la réglementation en question n’interdise une telle information pour des motifs d’intérêt public.
d. Le Sous-traitant doit traiter les Données à caractère personnel conformément à la Législation applicable. Le Responsable du traitement doit s’assurer que toutes les données à caractère personnel qu’il transmet au Sous-traitant soient transmises à l’aide des fonctions de la ou les Plateforme(s) et non à l’aide de courriels peu sûrs ou par d’autres moyens qui enfreignent la Législation.
e. En cas de contrôle de l’autorité danoise de protection des données (Datatilsynet) sur le traitement des données à caractère personnel, le Responsable du traitement et le Sous-traitant doivent coopérer pour répondre aux questions posées, fournir des informations ou satisfaire aux exigences éventuelles.
a. Le Sous-traitant doit tenir un registre de toutes les activités de traitement qu’il a effectuées pour le compte du Responsable du traitement. Ce registre est conservé sous forme électronique et contient les informations nécessaires prévues dans l’Article 30 du Règlement général sur la protection des données.
b. À la demande du Responsable du traitement et/ou de l’autorité danoise de protection des données (Datatilsynet), le Sous-traitant doit mettre le registre à leur disposition.
a. Le Responsable du traitement consent par la présente à ce que le Sous-traitant puisse utiliser des sous-traitants ultérieurs (dénommés ci-après « Sous-traitants ultérieurs ») qui exécutent ses prestations selon les termes de l’Accord. Le Sous-traitant a la responsabilité de s’assurer que les Sous-traitants ultérieurs remplissent leurs obligations en matière de protection des données conformément à la Législation.
b. La liste complète des Sous-traitants ultérieurs employés lors de l’utilisation de la ou les Plateforme(s) par le Responsable du Traitement est disponible ici : https://penneo.com/subprocessors/. Le Sous-traitant informe le Responsable du traitement de tout changement prévu dans l’utilisation de Sous-traitants ultérieurs, y compris le remplacement de ceux-ci, ainsi que l’utilisation de nouveaux Sous-traitants ultérieurs non mentionnés sur la liste présente sur https://penneo.com/subprocessors/, dans les meilleurs délais. Le Responsable du traitement a la possibilité d’émettre des objections à l’encontre de ces changements dans les quatorze (14) jours qui suivent cette notification.
c. Si le Responsable du Traitement ne peut accepter les changements de Sous-traitants ultérieurs pour des motifs raisonnables liés à la protection des données à caractère personnel, alors soit le Sous-traitant ne nommera pas le Sous-traitant ultérieur, soit le Sous-traitant peut choisir de suspendre ou de résilier le présent Accord. Nonobstant les dispositions de la clause 3.3 de l’Accord, l’Accord prend automatiquement fin avec la résiliation de l’Accord de traitement des données. Les paiements effectués par le Responsable du traitement ne sont pas remboursés.
d. Tout transfert de Données à caractère personnel dans des pays tiers ou auprès d’organisations internationales doit uniquement être effectué par le Sous-traitant sur la base des instructions documentées par le Responsable du traitement et doit toujours se faire conformément au chapitre V du Règlement général sur la protection des données. Les Sous-traitants ultérieurs actuellement autorisés figurent sur https://penneo.com/subprocessors/.
e. Le Sous-traitant s’assure que les mesures nécessaires qui régissent le transfert des données à caractère personnel dans des pays tiers à risque soient en place, notamment la mise en œuvre des Clauses contractuelles types de la Commission européenne en vigueur, ou un Accord de sous-traitant ultérieur avec des règles d’entreprise contraignantes.
f. Si un Sous-traitant ultérieur est établi dans un pays tiers hors de l’UE/EEE, il incombe au Sous-traitant de s’assurer que les données à caractère personnel soient conservées à l’intérieur de l’UE/EEE et ne soient pas transférées dans le pays tiers en question, à moins que ce transfert ne soit nécessaire pour se conformer à la législation en vigueur qui s’applique au Sous-traitant ou à ses Sous-traitants ultérieurs, ou qu’il réponde à des exigences d’une autorité publique compétente qui sont contraignantes pour le Sous-traitant ou ses Sous-traitants ultérieurs. Le Sous-traitant fera tout ce qui est en son pouvoir pour s’opposer à de telles demandes si cela implique un transfert des données à caractère personnel conservées sur la ou les Plateforme(s) vers des pays tiers peu sûrs. Si de telles exigences sont imposées au Sous-traitant ou à ses Sous-traitants ultérieurs, le Sous-traitant doit donner au Responsable du traitement un délai raisonnable et doit s’efforcer de donner à ce dernier la possibilité de faire opposition ou de faire usage de recours appropriés ; à moins que le Sous-traitant ou ses Sous-traitants ultérieurs n’en soient empêchés de par la législation en vigueur.
g. Le Sous-traitant s’emploiera à ce que les Données à caractère personnel ne soient pas transférées dans des pays tiers lors de l’utilisation, par le Responsable du traitement, des Plateformes du Sous-traitant, que ce transfert se fasse pour des raisons techniques ou commerciales.
h. Lorsque le Sous-traitant a obtenu l’autorisation du Responsable du traitement de recruter un Sous-traitant ultérieur, il doit imposer à ce Sous-traitant ultérieur les mêmes obligations en matière de protection des données que celles qui sont précisées dans le présent Accord sur le Traitement des Données, à l’aide d’un contrat ou de tout autre document juridique conforme au droit européen ou au droit national des États membres. Par ce biais seront mises en place des garanties appropriées permettant au Sous-traitant ultérieur de prendre les mesures techniques et organisationnelles nécessaires, de telle sorte que le traitement réponde aux exigences du Règlement général sur la protection des données.
i. Le Sous-traitant est donc tenu d’imposer – par la conclusion d’un accord de Sous-traitant ultérieur – à tout Sous-traitant ultérieur éventuel au minimum les obligations auxquelles le Sous-traitant est soumis lui-même selon les règles sur la protection des données.
a. Les Données à caractère personnel sont conservées jusqu’à ce qu’elles soient supprimées par le Responsable du traitement, ou jusqu’à ce que la relation avec le Client prenne fin, suite à quoi le Sous-traitant supprimera les données dans les quatre-vingt-dix (90) jours qui suivent la demande de suppression par le Responsable du traitement, à moins que la réglementation nationale ou européenne n’impose au Sous-traitant une durée de conservation plus longue.
b. À l’expiration de l’Accord sur le Traitement des Données, quelle qu’en soit la cause, les dispositions des clauses 3.6 à 3.8 de l’Accord s’appliquent.
c. À l’expiration de l’Accord sur le Traitement des Données, le Sous-traitant doit supprimer toutes les Données à caractère personnel existantes sur la ou les Plateforme(s), à moins que le droit de l’Union européenne ou le droit national n’exige la conservation des Données à caractère personnel.
d. Les documents et données du Client sont conservés sur la ou les Plateforme(s) jusqu’à ce que celui-ci les supprime lui-même ou demande à Penneo de les supprimer. La conservation des documents du Client est comprise dans le prix de l’abonnement à la ou les Plateforme(s) pendant cinq (5) ans. Après la période de cinq (5) ans, Penneo se réserve le droit de facturer au Responsable du traitement un supplément pour la conservation ultérieure. Le prix pour la période de conservation supplémentaire sera décidé entre les Parties.
a. Le Sous-traitant doit prendre les mesures de sécurité techniques et organisationnelles qui s’imposent pour empêcher que les données à caractère personnel ne soient détruites, perdues ou détériorées de manière fortuite ou illicite, et ne soient exposées à des utilisations non autorisées ou des abus, ni ne soient traitées en infraction à la Législation.
a. Le Sous-traitant doit établir et mettre en œuvre des procédures en cas de violation des données à caractère personnel, cf. l’article 4 (12) et l’article 33 (2) du Règlement général sur la protection des données.
b. Le Sous-traitant doit informer par écrit, et dans les meilleurs délais, le Responsable du traitement s’il s’est rendu compte d’une violation des données à caractère personnel, notamment en donnant des informations sur la personne qui a traité les informations du Responsable du traitement et sur la date de l’incident, de manière à ce que ce dernier ait la possibilité de procéder à une enquête de police sur cette violation.
c. En cas de violation de données à caractère personnel, le Sous-traitant doit en informer le Responsable du traitement par écrit et dans les meilleurs délais, soit trente-six (36) heures au plus tard après s’être rendu compte de cette violation ; de cette façon, le Responsable du traitement aura la possibilité de respecter son engagement en notifiant la violation à l’autorité de contrôle dans les soixante-douze (72) heures, en décrivant au minimum :
i. la nature de la violation des données à caractère personnel y compris – si possible – les catégories et le nombre approximatif de personnes concernées par la violation, et les catégories et le nombre approximatif d’enregistrements de données à caractère personnel concernés ;
ii. les conséquences probables de la violation des données à caractère personnel ;
iii. les mesures prises ou que le Responsable du traitement propose de prendre pour remédier à la violation de données à caractère personnel, y compris les mesures pour en atténuer les éventuelles conséquences négatives ;
iv. le nom et les coordonnées du délégué à la protection des données, si une telle personne a été désignée par le Responsable du traitement, ou un autre point de contact auprès duquel des informations supplémentaires peuvent être obtenues.
d. S’il n’est pas possible de fournir toutes les informations en même temps, les informations pourront être communiquées de manière échelonnée sans autre retard indu.
e. La notification du Sous-traitant au Responsable du traitement concernant une violation de données à caractère personnel selon le point G n’implique pas que le Sous-traitant ait reconnu avoir violé l’Accord ou être responsable vis-à-vis du Responsable du traitement de la violation des données à caractère personnel.
a. Compte tenu de la nature du traitement et des données à caractère personnel traitées par le Sous-traitant, ce dernier doit aider le Responsable du traitement à garantir le respect des dispositions de la Législation relatives aux droits des personnes concernées portant sur les données à caractère personnel. À l’aide notamment de mesures techniques et organisationnelles adéquates, le Sous-traitant doit aider le Responsable du traitement à gérer les démarches d’une personne concernée qui demande entre autres, l’accès, la rectification, le verrouillage ou l’effacement de données à caractère personnel. Dans la mesure où le Responsable du traitement peut lui-même gérer les démarches d’une personne concernée par le biais des fonctions de la ou les Plateforme(s), celui-ci doit les utiliser.
b. La Plateforme Penneo Sign est conçue de manière à ce qu’une personne concernée ait toujours accès aux documents qu’elle a signés si elle les a enregistrés dans ses archives. De cette façon, une personne concernée peut toujours exercer certains des droits qu’elle possède conformément au chapitre III du Règlement général sur la protection des données. Le contenu de la présente clause H. b. a pour but de réduire la charge administrative du Responsable du traitement et du Sous-traitant dans leur communication concernant les possibilités d’exercice des droits précisés au chapitre III du Règlement, qui existent déjà sur la Plateforme Penneo Sign pour la personne concernée.
c. Le Sous-traitant doit en outre, en tenant compte de la nature du traitement et des données à caractère personnel qu’il traite, aider le Responsable du traitement à respecter les autres obligations qui incombent à ce dernier conformément à la Législation, si cela s’avère nécessaire pour que le Responsable du traitement puisse respecter ses obligations. Dans cette optique, le Sous-traitant doit aider le Responsable du traitement à garantir, entre autres, le respect des obligations qui découlent des articles 32 à 36 du Règlement général sur la protection des données.
a. À la demande du Responsable du traitement, le Sous-traitant doit donner à ce dernier les informations qui lui sont nécessaires pour qu’il puisse s’assurer que le Sous-traitant et ses Sous-traitants ultérieurs respectent les exigences précisées dans l’Accord sur le Traitement des Données, et notamment que ceux-ci ont pris les mesures de sécurité techniques et organisationnelles qui s’imposent, et que ces mesures sont respectées.
b. Le Responsable du Traitement peut vérifier (durant les heures de travail normales) que le Sous-traitant respecte ses obligations en faisant appel à un auditeur ou à un tiers de confiance approuvé par le Responsable du Traitement et le Sous-traitant.
c. Le Sous-traitant se conforme à cette obligation en fournissant annuellement au Responsable du traitement des données un accès à l’avis d’audit ISAE 3000, les certificats ISO pertinents et/ou d’autres certifications/rapports d’audit similaires. L’avis/certificat sera fourni sur demande, au plus tard le 31 mars de l’année civile suivante et sans frais supplémentaires pour le Responsable du traitement.
d. Le Responsable du traitement est aussi autorisé à confier, à ses frais, à un tiers indépendant approuvé par le Responsable du Traitement et le Sous-traitant, la réalisation d’un audit annuel portant sur le traitement, par le Sous-traitant, des Données à caractère personnel. Cet audit annuel doit être réalisé pendant les heures de travail normales et ne doit pas entraver les routines de travail du Sous-traitant.
e. Le Sous-traitant est tenu de donner aux autorités qui ont légalement accès aux établissements du Responsable du traitement et du Sous-traitant, ou aux représentants de ces autorités, l’accès aux bâtiments du Sous-traitant sur présentation de pièces justificatives et après avoir préalablement signé une déclaration de confidentialité.
a. Le Responsable du traitement a la responsabilité de s’assurer que les bases légales nécessaires au traitement des données à caractère personnel sont en place, et il doit respecter et se conformer à la Législation lors du traitement de ces données.
b. Le Responsable du traitement doit respecter les règles de sécurité qui s’appliquent de tout temps, et dont le Sous-traitant l’a informé, en matière d’accès et d’utilisation de la ou les Plateforme(s).
c. Le Responsable du traitement devra indemniser le Sous-traitant en cas de procédure judiciaire, de recours, de frais (y compris les frais d’avocat dans des limites raisonnables), de pertes, de responsabilité, de dépenses ou de dommages dont le Responsable du traitement est la cause parce qu’il n’a pas respecté la Législation ou les règles de sécurité en matière d’accès et d’utilisation de la Plateforme dont l’avait informé le Sous-traitant ; ou encore pour toute autre violation du présent Accord sur le Traitement des Données.
a. Le Sous-traitant peut percevoir de paiement pour les prestations qu’il fournit au Responsable du traitement, conformément au présent Accord sur le Traitement des Données, si celles-ci ont été préalablement convenues entre les Parties.
a. Les Parties peuvent, sous réserve d’un préavis écrit raisonnable, demander une modification du traitement des données à caractère personnel, tant qu’elles n’entrent pas en contradiction directe ou indirecte avec les Accords entre les Parties et ne portent pas atteinte aux droits ou libertés fondamentaux de la personne concernée et à la protection accordée par le Règlement général sur la protection des données.
b. Dans le cas d’une modification ou d’un aménagement substantiel de l’Accord sur le Traitement des Données, conformément à la clause L.a., qui se ferait au détriment du Sous-traitant, ce dernier peut résilier le présent Accord sur le Traitement des Donnéess avec un préavis de trois (3) mois à la fin d’un mois, nonobstant les dispositions de la clause 3.3 de l’Accord. Les paiements effectués par le Client ne seront pas remboursés.
a. Si le Sous-traitant reçoit une notification du Responsable du traitement, ou s’il prend connaissance d’un non-respect des obligations découlant de la Législation ou des instructions du Responsable du traitement concernant le traitement des données à caractère personnel, le Sous-traitant doit remédier sans retard indu à ce non-respect.
b. Les dispositions de la clause 18 de l’Accord s’appliquent de même en cas de violation de l’Accord sur le Traitement des Données par l’une des Parties.
c. Aucune des Parties n’est tenue de supporter les exigences pécuniaires ou non pécuniaires, notamment – mais sans s’y limiter – les amendes, demandes d’indemnisation de tiers, etc. visant l’autre Partie, outre les limitations précisées aux clauses 10.2 à 10.5 de l’Accord.
a. Le Sous-traitant s’assure que ses employés qui ont accès aux données du Responsable du traitement ont signé une déclaration de confidentialité qui leur impose une obligation de confidentialité vis-à-vis de tiers en ce qui concerne leur accès aux données du Responsable du traitement. L’obligation de confidentialité s’applique à la fois dans le cadre de leur emploi et lors de la cessation de cet emploi.
b. Le Sous-traitant doit s’assurer que les Sous-traitants ultérieurs, les employés et autres personnes qui l’aident dans l’exécution de l’Accord comme de l’Accord sur le traitement des données, sont soumis à des obligations qui correspondent aux obligations qui en relèvent.
Types de données à caractère personnel et documents
A.1 Le traitement inclut les types suivants de données à caractère personnel sur les personnes concernées :
Peut inclure tous types de Données à caractère personnel de sorte que la ou les Plateforme(s) peuvent fonctionner conformément à la clause 2 de l’Accord. Ces données peuvent comprendre tous types de données à caractère personnel pouvant être traitées par le Responsable du traitement conformément à l’Accord des Parties sur la fourniture de la ou les Plateforme(s) du Sous-traitant au Responsable du traitement. Ces informations peuvent inclure, mais sans s’y limiter :
a. Pour Penneo KYC:
b. Pour Penneo Sign:
A.2 La Finalité du traitement des données à caractère personnel effectué par le Sous-traitant pour le compte du Responsable du traitement est :
Le Responsable du traitement doit pouvoir utiliser la ou les Plateforme(s) qui appartiennent et sont administrées par le Sous-traitant.
a. La finalité du traitement des données sur la Plateforme Penneo KYC est de collecter, traiter, conserver, etc. les données relatives à la clientèle du Responsable du traitement, et donc de satisfaire aux termes de l’Accord passé entre le Responsable du traitement et le Sous-traitant.
b. La finalité du traitement des données sur la Plateforme Penneo Sign est de mettre un service de signature numérique à disposition du Responsable du traitement, et ainsi de satisfaire aux termes de l’Accord passé entre le Responsable du traitement et le Sous-traitant.
A.3 Le traitement des données à caractère personnel effectué par le Sous-traitant pour le compte du Responsable du traitement a pour objet principal (nature du traitement) :
Le Sous-traitant met la plateforme SaaS standard du Sous-traitant à disposition du Responsable du traitement. De ce fait, le Sous-traitant traite et conserve des données à caractère personnel à propos du Responsable du traitement, des clients du Responsable du traitement ainsi que d’autres affiliés tels qu’instruits par le Responsable du traitement.
A.4 Le traitement inclut les catégories suivantes de personnes concernées :
a. Les personnes qui sont des clients actuels, ou ont été précédemment des clients, du Responsable du traitement ainsi que les personnes affiliées au Responsable du traitement.
b. Les personnes qui sont considérées comme des tiers (cf. Clause 11 de l’Accord) ainsi que les employés du Responsable du traitement qui signent les documents par le biais de la ou les Plateforme(s).
A.5 Le traitement des données à caractère personnel effectué par le Sous-traitant pour le compte du Responsable du traitement peut commencer après l’entrée en vigueur du présent Accord. La durée du traitement est la suivante :
Le Sous-Traitant met en place des moyens pour que le Responsable du traitement puisse supprimer automatiquement les Données à caractère personnel de manière continue dans la ou les plateforme(s).
Le traitement des Données à caractère personnel qui ne sont pas supprimées par le Responsable du traitement sera effectué jusqu’à :
a. Quatre-vingt-dix (90) jours après la résiliation ou l’annulation de l’Accord par l’une des Parties,
b. Que le tiers concerné supprime les Données à caractère personnel de sa propre archive personnelle.
B.1 Conditions d’utilisation et d’approbation par le Sous-traitant, de Sous-traitants ultérieurs éventuels
Le Sous-traitant a reçu l’autorisation générale du Responsable du traitement pour utiliser des Sous-traitants ultérieurs. Lors de l’entrée en vigueur de l’Accord sur le Traitement des Données, le Responsable du traitement a approuvé spécifiquement l’utilisation des Sous-traitants ultérieurs listés. La liste des Sous-traitants ultérieurs approuvés est consultable suivant le lien suivant : https://penneo.com/subprocessors/.
B.2 Notification sur les changements prévus de Sous-traitants ultérieurs
Le Sous-traitant doit informer le Responsable du traitement de tout changement prévu concernant l’ajout ou le remplacement d’autres Sous-traitants ultérieurs, donnant ainsi au Responsable du traitement la possibilité d’émettre des objections à l’encontre de ces changements. Si le Responsable du traitement a des objections à l’encontre de ces changements, il doit en informer le Sous-traitant dans les quatorze (14) jours qui suivent la réception de cette notification. Le Responsable du traitement ne peut émettre d’objections que s’il a des raisons raisonnables et concrètes de le faire.
C.1 Objet du traitement / Instructions
Le traitement de données à caractère personnel effectué par le Sous-traitant, pour le compte du Responsable du traitement, comprend :
C.2 Sécurité du traitement
Le niveau de sécurité prend en compte le traitement d’un large volume de données à caractère personnel, ce qui exige d’établir un « haut » niveau de sécurité.
En conséquence, le Sous-traitant a le droit et le devoir de prendre des décisions sur les mesures de sécurité techniques et organisationnelles à appliquer pour assurer le niveau de sécurité nécessaire (et convenu) en ce qui concerne ces données.
Les mesures de sécurité techniques et organisationnelles doivent garantir la confidentialité, l’intégrité et la disponibilité des données du Responsable du traitement, et le respect des principes du Règlement général sur la protection des données.
Le Sous-traitant garantit dans tous les cas, et comme un minimum, que les mesures de sécurité suivantes sont mises en œuvre :
Cryptographie
Le Sous-traitant s’est assuré que les données à caractère personnel qui sont traitées par son système logiciel SaaS standard sont cryptées autant que possible, de façon à ce qu’elles ne puissent être consultées qu’en utilisant les mots de passe du Responsable du traitement qui sont inconnus du Sous-traitant. Les coordonnées sont en outre traitées sans être cryptées dans la mesure nécessaire pour que le Sous-traitant puisse être en contact avec les personnes. Les noms, les relations aux entreprises et aux personnes, et les informations sur l’utilisation par les personnes de certaines parties du système logiciel SaaS sont conservés de façon à ce que le Responsable du traitement comme le Sous-traitant puissent les consulter. Toutes les données à caractère personnel sont transmises, sous forme cryptée, des systèmes du Sous-traitant à l’utilisateur final. Le Sous-traitant s’assure que les données à caractère personnel, qui sont traitées par le système logiciel SaaS standard du Sous-traitant, sont cryptées, dans la mesure du possible, à la fois « en transit » et « au repos ».
Gouvernance
Le Sous-traitant a mis en œuvre une politique de sécurité officielle qui est approuvée par la direction et qui est mise à jour au moins une fois par an. Le Sous-traitant a établi une procédure de gestion des risques, et une évaluation des risques internes et externes du Responsable du traitement est effectuée au moins une fois par an. Le Sous-traitant a mis en œuvre une procédure de formation annuelle sur la sécurité pour tous les employés.
Droits d’accès et confidentialité
Le Sous-traitant s’assure que les droits d’accès de ses employés suivent les principes du « moindre privilège » et du « besoin de savoir ». Le Sous-traitant s’assure que les droits d’accès à l’environnement de production des Plateformes est évalué au moins une fois par an. Les employés qui ont accès à l’environnement de production, et qui peuvent de ce fait avoir un accès aléatoire aux données à caractère personnel auprès du Responsable du traitement, sont soumis à des accords de confidentialité. Le Sous-traitant s’assure que l’accès des employés à l’environnement exige une authentification multifacteur, et que tous les utilisateurs de l’environnement de production ont un compte d’utilisateur unique à l’aide duquel tout accès administrateur est connecté.
Sécurité opérationnelle
Le Sous-traitant s’assure que les données du Client qui sont traitées sur les Plateformes ne sont conservées que dans les centres de données situés dans l’UE. Une procédure formelle de gestion du changement est mise en œuvre par le Sous-traitant, et cette procédure a lieu au moins une fois par an. Le Sous-traitant s’assure que des environnements logiquement séparés sont utilisés pour le développement, les tests et la production, et que les procédures de changement comprennent des stratégies de retour en arrière. En outre, le Sous-traitant a établi une segmentation du réseau.
Il s’assure que les copies de sécurité des données clients du Responsable du traitement sont sauvegardées, de manière à ce que des données perdues puissent être récupérées dans la mesure du possible. L’ensemble des données à caractère personnel ne seront toutefois enregistrées qu’en conformité avec la procédure de conservation et de suppression du Sous-traitant telle que décrite dans l’Accord sur le Traitement des Données et dans la clauseC3. Les données du Responsable du traitement, notamment les données à caractère personnel, sont toutefois cryptées et protégées par des mots de passe, si bien que si un employé du Responsable du traitement venait à perdre ses mots de passe, cela pourrait entraîner une perte de données.
Gestion des fournisseurs
Le Sous-traitant s’assure qu’il existe une politique et une procédure formelles qui s’appliquent aux fournisseurs, et que les sous-traitants ultérieurs qui traitent les données à caractère personnel des clients ou de la clientèle du Responsable du traitement doivent faire l’objet d’un contrôle au moins une fois par an.
Gestion de la vulnérabilité
Le Sous-traitant s’assure qu’un test de pénétration a été réalisé afin de tester la sécurité de son système au moins une fois par an, et que ce test soit réalisé par un tiers indépendant.
Plan d’urgence et récupération des données
Le Sous-traitant s’assure qu’il existe formellement un plan de continuité des activités et de reprise après sinistre, et qu’il fait l’objet d’une évaluation au moins une fois par an. Le Sous-traitant s’assure également que ce plan de continuité des activités.
C.3 Période de conservation / routines de suppression
Les données à caractère personnel sont conservées chez le Sous-traitant jusqu’à ce que le Responsable du traitement demande que ces données soient supprimées ou lui soient rendues. À la fin de la relation contractuelle, les données qui sont conservées sur la ou les Plateforme(s) sous forme de documents et de formulaires seront supprimées dans les quatre-vingt-dix (90) jours, à moins qu’il n’en soit convenu autrement avec le Responsable du traitement.
En cas d’utilisation de Penneo Sign, les données du Responsable du traitement sont conservées sur plusieurs emplacements physiquement distincts. Les documents signés sont versionnés de manière à pouvoir annuler les changements apportés le cas échéant. La suppression de documents signés, dont les différentes versions, ne peut être faite que conjointement par deux personnes au moins, car les tiers signataires ont leurs propres documents signés dans leurs archives privées.
C.4 Lieu du traitement
Le traitement des données à caractère personnel qui font l’objet de cet Accord a lieu dans les lieux suivants :
C.5 Instructions ou autorisation concernant le transfert de données à caractère personnel vers des pays tiers
Le Responsable du traitement a donné son consentement général pour que le Sous-traitant et ses sous-traitants ultérieurs puissent transférer les données à caractère personnel dans un pays tiers, dans la mesure où la Commission européenne a constaté que le territoire de ce pays tiers, une partie du territoire ou une organisation internationale implantée dans ce pays tiers, sont sûrs et ont un niveau de protection qui correspond en substance au niveau de protection qui s’applique dans l’UE. Cela signifie en outre que le Responsable du traitement a également approuvé que le Sous-traitant ou ses sous-traitants ultérieurs pouvaient transférer les données à caractère personnel à des organisations dans des pays tiers qui se conforment aux clauses contractuelles types de l’UE (SCC).
Si, sous ce paragraphe ou dans une notification ultérieure écrite, le Responsable du traitement n’a pas donné d’instructions ni d’autorisation concernant le transfert de données à caractère personnel dans un pays tiers, le Sous-traitant ne pourra pas procéder à un tel transfert dans le cadre du présent Accord de traitement des données.
C.6 Procédures complémentaires relatives au contrôle, par le Responsable du traitement, du traitement des données effectué chez le Sous-traitant
Le Responsable du traitement peut vérifier une fois par an (durant les heures de travail normales) que le Sous-traitant respecte ses obligations en faisant appel à un auditeur ou à un tiers de confiance approuvé par le Responsable du traitement et le Sous-traitant.
Outre cette éventuelle inspection annuelle, le Sous-traitant peut être soumis à un contrôle lorsque le Responsable du traitement décide, sur la base d’une évaluation raisonnable, que cela s’avère nécessaire.
Toutes dépenses du Responsable du traitement en lien avec un contrôle physique seront à sa charge. Le Sous-traitant sera toutefois tenu d’allouer les ressources nécessaires (en temps principalement) pour que le Responsable du traitement puisse effectuer son contrôle.
C.7 Procédures complémentaires relatives au contrôle du traitement des données effectué chez d’éventuels Sous-traitants ultérieurs
Le Sous-traitant ou un représentant de celui-ci peut procéder, une fois par an, à un contrôle physique sur le respect du présent Accord de traitement des données auprès du Sous-traitant ultérieur.
Outre ce contrôle annuel, un contrôle peut être effectué auprès du Sous-traitant ultérieur lorsque le Sous-traitant (ou le Responsable du traitement) décide, sur la base d’une évaluation raisonnable, que cela s’avère nécessaire. Les preuves de ces contrôles seront envoyées dans les meilleurs délais à titre d’information au Responsable du traitement.
Le Responsable du traitement peut – s’il le juge nécessaire – choisir d’établir et de participer à un contrôle physique chez le Sous-traitant ultérieur. Cela ne pourra toutefois être le cas que si le Responsable du traitement peut prouver que le contrôle du Sous-traitant auprès du Sous-traitant ultérieur n’a pas fourni une assurance satisfaisante montrant que le traitement des données par le sous-traitant ultérieur se fait en conformité avec le présent Accord sur le Traitement des Données.
Les dépenses éventuelles du Sous-traitant et du Sous-traitant ultérieur en lien avec un contrôle physique/une inspection auprès du Sous-traitant ultérieur ne concernent pas le Responsable du traitement.
Version 5.0.2 – Mise à jour le 3 octobre 2023
