Protocole de traitement des données

Le présent Protocole de traitement des données ("Protocole") régit JIA, Inc. ("Processeur") et le Client ("Contrôleur"), chacun étant une "Partie" et ensemble les "Parties". Ce Protocole prend effet à la date (la "Date d'entrée en vigueur") de l'Accord-cadre de services (l'"Accord") signé par les deux Parties, sauf si le Protocole peut être modifié par JIA.

Le présent protocole s'applique aux données à caractère personnel (telles que définies ci-dessous) traitées (telles que définies ci-dessous) en rapport avec le logiciel et/ou les services fournis dans le cadre de l'accord (collectivement, les "services"). Les services impliquent l'utilisation d'un fournisseur de cloud tiers (actuellement Microsoft Corporation, qui fournit Azure) et peuvent entrer dans l'une des trois catégories désignées dans l'accord :

[SCÉNARIO UN] Le Processeur assure et administre la relation avec le fournisseur de services en nuage tiers. Dans ce scénario, le contrôleur autorise par la présente le sous-traitant à passer un contrat directement avec le tiers fournisseur de services en nuage au nom et/ou au bénéfice du contrôleur, et le tiers fournisseur de services en nuage est un sous-traitant du sous-traitant - divulgué en tant que tel dans le présent protocole.

[DEUXIÈME SCÉNARIO] Le contrôleur assure la relation avec le fournisseur de services en nuage tiers et le sous-traitant gère l'utilisation du fournisseur de services en nuage tiers par le contrôleur. Dans ce scénario, le responsable du traitement est chargé de conclure un contrat directement avec le fournisseur de services en nuage tiers (y compris, sans s'y limiter, tout accord de traitement des données requis par la loi applicable) et est seul responsable de toutes les obligations liées à ce tiers. Le fournisseur de cloud tiers est un sous-traitant du contrôleur. Le sous-traitant est, dans ce scénario, un sous-traitant pour le seul contrôleur.

[Troisième scénario] Le responsable du traitement acquiert et gère la relation avec le fournisseur de services d'informatique en nuage tiers. Identique au SCÉNARIO DEUX, ci-dessus, sauf que - compte tenu de l'approvisionnement et de la gestion par le contrôleur - il est possible que le sous-traitant ne traite aucune donnée à caractère personnel pour le compte du contrôleur. Ce protocole peut toutefois être nécessaire si le responsable du traitement demande au sous-traitant de lui fournir une assistance, ce qui peut impliquer un traitement accessoire de données à caractère personnel.

À compter de la date d'entrée en vigueur, le présent protocole fait partie de l'accord et y est incorporé, de sorte que les références à l'"accord" dans l'accord incluent le présent protocole. À l'exception des modifications apportées par le présent protocole, l'accord reste inchangé et pleinement en vigueur. En cas de conflit entre le présent protocole et l'accord, c'est le présent protocole qui prévaut.

CONTEXTE

(A) Le sous-traitant fournit ou fournira des services au contrôleur ou en son nom conformément à l'accord.

(B) Les parties reconnaissent et acceptent que les services peuvent impliquer le traitement de données à caractère personnel aux États-Unis, y compris, sans limitation, la transmission de données à caractère personnel à destination et en provenance des États-Unis, et le stockage de données à caractère personnel aux États-Unis.

(C) Le présent protocole a pour objet de définir les conditions de protection des données qui s'appliqueront au traitement des données à caractère personnel afin de garantir que les droits et libertés des personnes en matière de protection des données restent protégés conformément à la législation applicable en matière de protection des données (telle qu'elle est définie ci-dessous).

IL EST D'ACCORD :

1. Définitions

Dans ce protocole :

1.1 "entreprise", "consommateur", "responsable du traitement", "sous-traitant", "personne concernée", "données à caractère personnel", "traitement" (et "processus"), "prestataire de services" et "catégories particulières de données" ont le sens qui leur est donné dans la législation applicable en matière de protection des données. L'expression "informations à caractère personnel" (au sens de la législation applicable en matière de protection des données) sera incluse dans l'expression "données à caractère personnel", et l'expression "consommateur" sera incluse dans l'expression "personne concernée" utilisée dans le présent protocole.

1.2 "Loi applicable en matière de protection des données": toute législation relative à la protection de la vie privée ou des données qui s'applique aux parties de temps à autre en ce qui concerne le traitement des données à caractère personnel dans le cadre de l'accord, y compris, sans s'y limiter, le GDPR et le CCPA (tous deux tels que définis ci-dessous).

1.3 "Personnes autorisées" signifie, pour chaque partie, toute personne autorisée par cette partie à traiter les données (y compris le personnel, les agents et les sous-traitants de cette partie).

1.4 "CCPA": California Consumer Privacy Act (loi californienne sur la protection de la vie privée des consommateurs), California Civil Code Section 1798.100, et seq. et ses règlements d'application. À partir du 1er janvier 2023, le terme "CCPA" inclura le California Privacy Rights Act et ses règlements d'application.

1.5 "EEE" désigne l'Espace économique européen et, tel qu'il est utilisé dans le présent protocole, inclut la Suisse.

1.6 "GDPR" désigne le règlement général sur la protection des données, (UE) 2016/679, et - tel qu'utilisé dans le présent protocole - comprend le UK-GDPR (en ce qui concerne le Royaume-Uni ("UK")), et la loi fédérale sur la protection des données (en ce qui concerne la Suisse).

1.7 Les références aux "instructions" et aux termes connexes désignent les instructions écrites du contrôleur pour le traitement des données (telles que définies ci-dessous), qui consistent en les conditions de l'Accord et du présent Protocole.

1.8 "Clauses types" signifie, le cas échéant :

1.8.1 Pour les transferts de données régis par le droit de l'EEE, les clauses contractuelles types pour le transfert de données à caractère personnel vers des pays tiers à partir de l'EEE conformément au GDPR et approuvées par la Commission européenne en vertu de la décision (UE) 2021/914, telles qu'elles figurent actuellement à l'adresse https://ec.europa.eu/info/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc/standard-contractual-clauses-international-transfers_en (les "clauses types de l'EEE").

1.8.2 Pour les transferts de données régis par le droit britannique, les clauses types de l'EEE plus les clauses obligatoires de l'addendum approuvé publié par l'Information Commissioner's Office ("ICO") du Royaume-Uni, tel qu'il figure actuellement à l'adresse https://ico.org.uk/media/for-organisations/documents/4019539/international-data-transfer-addendum.pdf (l '"amendement de l'addendum britannique").

1.8.3 Pour les transferts de données régis par la loi fédérale sur la protection des données (Suisse), les clauses types de l'EEE s'appliquent, à condition qu'elles soient modifiées pour ces transferts afin de prévoir un contrôle par le Préposé fédéral suisse à la protection des données et à la transparence, et que le terme "État membre" ne soit pas interprété de manière à exclure les personnes concernées suisses de la possibilité de faire valoir leurs droits en Suisse.

1.9 "Objectif autorisé" a la signification précisée dans la section 3 ; et

2. Relations entre les parties

Le contrôleur est le responsable du traitement (et dans certains cas un sous-traitant) et désigne par la présente le sous-traitant en tant que sous-traitant pour traiter les données à caractère personnel décrites dans l'annexe 2 ci-jointe. Ces données à caractère personnel sont désignées sous le nom de "Données". 

3. Limitation de l'objet

3.1 Le Processeur traitera les Données (et conservera des enregistrements de ces activités de traitement) en tant que processeur uniquement dans la mesure où cela est nécessaire pour exécuter les Services, et uniquement en conformité avec les instructions documentées du Contrôleur (la "Finalité autorisée"). En outre, dans la mesure où cela est applicable, les parties reconnaissent que (x) le contrôleur est une "entreprise" et que le sous-traitant est un "prestataire de services" au sens de la CCPA ; (y) le traitement des données par le sous-traitant est nécessaire à la fourniture des services ; et (z) le contrôleur ne recevra aucune contrepartie monétaire ou autre de la part du sous-traitant en échange de l'accès du sous-traitant aux données et de leur traitement par ce dernier. Si le droit applicable est en contradiction avec les instructions documentées du contrôleur, le sous-traitant en informera le contrôleur avant le traitement, à moins qu'une telle notification ne soit interdite par la loi. En tout état de cause, les parties ajusteront équitablement les frais payés au sous-traitant si les instructions écrites du contrôleur imposent des exigences supplémentaires au sous-traitant. Sans limiter la portée de ce qui précède, le sous-traitant ne doit en aucun cas :

(a) traiter les données à ses propres fins ou à celles d'un tiers, y compris vendre, louer, publier, divulguer, diffuser ou mettre ces données à la disposition d'un tiers ;

(b) d'assumer une quelconque responsabilité dans la détermination des finalités et des modalités de traitement des données ;

(c) divulguer les données à un tiers (autre que ses sous-traitants autorisés) sans le consentement préalable du contrôleur, sauf si et dans la mesure où la divulgation est requise par toute loi applicable au sous-traitant.

(d) traiter les données d'une manière qui amènerait le contrôleur à enfreindre l'une de ses obligations en vertu de la législation applicable en matière de protection des données.

3.2 Il incombe au contrôleur de s'assurer qu'il traite légalement les données et qu'il dispose de tous les autres droits nécessaires pour permettre au sous-traitant de traiter les données. Le responsable du traitement ne donnera pas au sous-traitant l'accès aux données pour lesquelles le responsable du traitement ne possède pas ces droits. Sans limiter la portée de ce qui précède, il incombe au responsable du traitement de veiller à ce que tous les avis nécessaires soient fournis, que les consentements des personnes concernées soient obtenus et qu'un registre de ces consentements soit conservé. Si le consentement est révoqué par une personne concernée, le responsable du traitement est chargé de communiquer le fait de cette révocation au sous-traitant et d'aider le sous-traitant en ce qui concerne le traitement ultérieur de ces données.

3.3 Le contrôleur est responsable de l'exactitude et de la qualité des données.

3.4 Le Contrôleur fera de son mieux pour déterminer si les Services impliquent le traitement de données personnelles provenant d'Australie, du Brésil, de l'EEE, du Royaume-Uni ou d'Argentine et, si c'est le cas, il en informera rapidement le Processeur. En outre, le Contrôleur doit notifier au Processeur si les Données sont soumises à une loi applicable sur la protection des données autre que la CCPA ou le GDPR afin que les parties puissent prendre des mesures pour conclure des dispositions contractuelles supplémentaires (le cas échéant) nécessaires pour se conformer à une telle loi.

3.5 Si les données comprennent des données à caractère personnel provenant de l'EEE ou du Royaume-Uni, en concluant le présent protocole, le sous-traitant et le responsable du traitement signent, concluent et intègrent également au présent protocole les clauses types applicables mentionnées à l'article 11 ci-dessous.

3.6 Si un mécanisme de transfert de données utilisé par les parties est ultérieurement modifié, révoqué ou jugé invalide par un régulateur compétent ou une autre autorité gouvernementale, le responsable du traitement et le sous-traitant coopéreront de bonne foi pour mettre fin aux transferts effectués dans le cadre de ce mécanisme ou pour trouver un autre mécanisme approprié.

4. Confidentialité du traitement

Le Processeur veillera à ce que toutes les Personnes autorisées soient soumises à une obligation de confidentialité (contractuelle, statutaire ou autre) et ne permettra pas à une personne qui n'est pas soumise à une telle obligation de confidentialité de traiter les Données. Le Processeur veillera à ce que toutes les Personnes autorisées ne traitent les Données que dans la mesure où cela est nécessaire pour la Finalité autorisée.

5. La sécurité

5.1 Le Processeur mettra en œuvre et maintiendra des mesures de sécurité techniques et organisationnelles appropriées pour protéger les Données contre les violations de sécurité non autorisées ou illégales qui entraînent la destruction, la perte, l'altération, la divulgation non autorisée ou l'accès accidentel ou illégal aux Données sous le contrôle du Processeur ("Incident de sécurité"). Les mesures de sécurité techniques et organisationnelles du Processeur sont énoncées à l'annexe 3 et peuvent être mises à jour de temps à autre.

5.2 Il incombe au contrôleur d'examiner les informations mises à disposition par le sous-traitant concernant la sécurité des données et de déterminer de manière indépendante si les mesures de sécurité du sous-traitant répondent aux exigences du contrôleur et à ses obligations légales en vertu de la législation applicable en matière de protection des données.

6. Sous-traitance

Le Processeur ne sous-traitera pas le traitement des Données à un sous-traitant tiers sans le consentement écrit préalable du Contrôleur, lequel consentement ne sera pas refusé, conditionné ou retardé de manière déraisonnable. Le Contrôleur consent à ce que le Processeur engage ses affiliés et d'autres sous-traitants tiers pour traiter les Données à condition que : (i) le Processeur donne un préavis d'au moins 10 jours pour l'ajout ou le retrait de tout sous-traitant (y compris les détails du traitement qu'il effectue ou effectuera), ce préavis pouvant être donné au Contrôleur par courriel ; (ii) le Processeur impose des conditions de protection des données à tout sous-traitant qu'il nomme, qui protègent les Données à un niveau substantiellement identique à celui prévu par le présent Protocole ; et (iii) le Processeur demeure entièrement responsable de toute violation du présent Protocole causée par un acte, une erreur ou une omission de son sous-traitant. Les sous-traitants à la date d'entrée en vigueur sont indiqués à l'annexe 4. 

7. Coopération et droits des personnes concernées

Compte tenu de la nature du traitement, le sous-traitant - dans la mesure du possible - informera rapidement le contrôleur et lui fournira une assistance raisonnable (aux frais du contrôleur) pour lui permettre de répondre à (i) toute demande d'une personne concernée d'exercer l'un de ses droits en vertu de la Loi sur la protection des données applicable (y compris, sans s'y limiter, ses droits d'accès, de correction, d'objection, d'effacement et de portabilité des données, le cas échéant) ; et (ii) toute autre correspondance, demande ou plainte reçue d'une personne concernée, d'un organisme de réglementation ou d'une autre tierce partie en rapport avec le traitement des données. Le sous-traitant n'est pas tenu de répondre directement à toute demande, correspondance, requête ou plainte, sauf si la loi l'exige. 

8. Incidents de sécurité

8.1 Dès qu'il a connaissance d'un incident de sécurité, le sous-traitant en informe le contrôleur dans les meilleurs délais. Le Processeur déploiera des efforts raisonnables pour identifier la cause de cet incident de sécurité et prendra les mesures qu'il juge nécessaires et raisonnables pour remédier à la cause de cet incident de sécurité dans la mesure où la remédiation est sous le contrôle du Processeur ; à condition que le Processeur n'ait pas une telle obligation si l'incident de sécurité est causé par le Contrôleur ou tout tiers retenu dans le cadre des Services.

8.2 Le contrôleur supportera les pertes et les dépenses (y compris les frais raisonnables d'avocat) associées à un incident de sécurité résultant des actions ou omissions négligentes du contrôleur (ou d'un tiers) ou d'une violation du présent protocole, y compris, sans s'y limiter, tous les coûts : a) de notification d'un incident de sécurité aux personnes concernées et aux autorités de réglementation ; et b) de réparation et d'atténuation de tout dommage ou préjudice réel ou potentiel de l'incident de sécurité, y compris, sans s'y limiter, l'établissement de centres d'appel et la fourniture de services de surveillance du crédit ou de restauration du crédit.

9. Transfert, suppression ou restitution des données

Sur demande et aux frais du contrôleur, ce dernier a le droit de recevoir du sous-traitant une copie de toutes les données qui sont en sa possession. Le sous-traitant fournira, aux frais du contrôleur, toute assistance supplémentaire raisonnablement demandée par le contrôleur dans le cadre de la remise sécurisée de toutes les données à un tiers. Le sous-traitant accepte également, à la demande du contrôleur et aux frais de ce dernier, de supprimer ou de détruire de manière sécurisée toutes les données en sa possession (y compris, sans s'y limiter, toutes les données en possession des sous-traitants). Ces exigences ne s'appliqueront pas dans la mesure où le Processeur est tenu par toute loi applicable au Processeur de conserver tout ou partie des Données, auquel cas le Processeur isolera et protégera les Données de tout traitement ultérieur, sauf dans la mesure requise par ladite loi, puis les renverra ou les détruira en toute sécurité dès que possible.

10. Audit

Le sous-traitant mettra à la disposition du contrôleur, sur demande, à des intervalles raisonnables et si la loi applicable sur la protection des données l'exige, toutes les informations nécessaires pour démontrer le respect des obligations de cette loi, étant entendu que les parties s'efforceront de satisfaire à toutes les obligations d'audit au moyen de questionnaires écrits et de copies de rapports ou de certifications. Si le résultat de l'audit ne peut être obtenu par des informations écrites, une inspection est également autorisée. Le contrôleur ne peut (à moins que la législation applicable en matière de protection des données n'en dispose autrement) demander des audits en vertu de la présente section qu'une seule fois par année civile. Tous les audits et autres productions de documents et d'informations se feront aux frais du contrôleur et seront soumis aux dispositions de confidentialité de l'accord. Le sous-traitant peut subordonner son respect de la présente section à l'engagement écrit de tous les tiers recevant des informations de traiter toutes les informations comme confidentielles.   

11. Mécanisme de transfert des données

11.1 Si, dans le cadre de l'exécution des services, les données soumises au GDPR ou à toute autre loi relative à la protection ou à la confidentialité des individus qui s'applique dans l'EEE ou au Royaume-Uni sont transférées hors de l'EEE ou du Royaume-Uni vers des pays, tels que les États-Unis, qui ne garantissent pas un niveau adéquat de protection des données au sens de la législation applicable en matière de protection des données, le(s) mécanisme(s) de transfert énuméré(s) ci-dessous s'appliquera(ont) à ces transferts et pourra(ont) être directement appliqué(s) par les parties (dans la mesure où la législation applicable en matière de protection des données l'autorise) :

11.1.1 Pour les transferts dans l'EEE où le contrôleur agit en qualité de contrôleur et le sous-traitant en qualité de sous-traitant, le module deux des clauses types de l'EEE (contrôleur à sous-traitant) - sous réserve des conditions énoncées à l'annexe 1 du présent protocole ;

11.1.2 Pour les transferts dans l'EEE où le contrôleur agit en qualité de sous-traitant et le sous-traitant en qualité de soustraitant du contrôleur, le module trois des clauses types de l'EEE (sous-traitant à sous-traitant) - sous réserve des conditions énoncées à l'annexe 1 du présent protocole ;

11.1.3 Pour les transferts du Royaume-Uni, soit le module deux, soit le module trois des clauses types de l'EEE (selon le cas) plus l'amendement de l'addendum du Royaume-Uni - sous réserve des conditions énoncées à l'annexe 1 du présent protocole.

11.1.4 Pour les transferts de données suisses, le module deux ou le module trois des clauses types de l'EEE (selon le cas) - sous réserve des conditions énoncées à l'annexe 1 du présent protocole.

12. Limitation de la responsabilité

La responsabilité globale du Processeur et de ses affiliés découlant du présent Protocole ou liée à celui-ci est soumise aux limitations de responsabilité, aux limitations de garantie, aux clauses de non-responsabilité et aux autres exclusions de garantie et de responsabilité énoncées dans l'Accord. Ce qui précède s'applique quelle que soit la nature de la réclamation, qu'il s'agisse d'un contrat, d'un délit ou d'une autre théorie de la responsabilité.

13. Indemnisation

Le contrôleur défendra, indemnisera et dégagera le processeur, ses affiliés, ses sous-traitants et chacun de leurs propriétaires, directeurs, cadres, gestionnaires, membres, employés, contractants et agents respectifs de toute responsabilité, perte, dommage ou dépense (y compris les frais d'avocat) dans la mesure où ils sont causés par ou résultent (a) de la négligence, de la faute intentionnelle ou de la fraude du contrôleur ou de ses agents (y compris, mais sans s'y limiter, les tiers retenus dans le cadre des services) ; (b) des instructions fournies par le contrôleur ; ou (c) d'une violation des obligations du contrôleur en vertu du présent protocole.

14. Divers et variés

14.1 Les titres des sections et les autres titres du présent protocole sont uniquement destinés à faciliter les références et ne font pas partie intégrante du présent protocole et n'en affectent pas le sens ou l'interprétation.

14.2 Les dispositions du présent protocole sont divisibles. Si un terme ou une disposition est invalide ou inapplicable en tout ou en partie, cette invalidité ou inapplicabilité n'affectera que ce terme ou cette disposition, et le reste du présent protocole restera pleinement en vigueur.

14.3 Tout avis, lettre ou autre communication prévu par le présent protocole doit être fourni conformément aux dispositions de l'accord.

14.4 Les dispositions du présent protocole s'appliquent au bénéfice des parties et de leurs successeurs et ayants droit respectifs et les lient.

14.5 Le présent protocole est régi et interprété à tous égards conformément aux dispositions relatives au droit applicable et à la compétence énoncées dans l'accord, à moins que la législation applicable en matière de protection des données n'en dispose autrement.