Avenant relatif au traitement des données

Avenant relatif au traitement des données (DPA)

1. Champ d’application, priorité et rôles

Le présent Avenant fait partie de l’accord B2B entre le client en tant que responsable de traitement/entreprise et Daniel Rödl en tant que sous-traitant/prestataire lorsque ProfileOS traite des données personnelles sur instructions documentées du client. Il s’applique pendant toute la durée du traitement concerné au titre du contrat principal. Le droit impératif de la protection des données prévaut ; pour le reste, le présent Avenant prévaut sur les clauses de traitement contraires du contrat principal.

2. Détails du traitement

L’objet est l’hébergement et l’exploitation de ProfileOS. La nature et la finalité sont le stockage, l’organisation, la transmission, la consultation, le support, la sécurité, la sauvegarde et la suppression des données d’espace de travail, de mannequins, de contacts, de réservations, de documents, de chats et de médias contrôlées par le client. Les personnes concernées peuvent être le personnel du client, les mannequins ou talents, les personnes figurant sur des médias, les contacts du client et les participants aux chats. Les données peuvent comprendre des données d’identification, de contact, professionnelles, de réservation, de communication, de médias, de compte, de consentement et techniques. Des catégories particulières de données ne peuvent apparaître que si le client choisit licitement de les traiter et donne des instructions conformes.

3. Instructions et conformité

Le Fournisseur ne traite les données personnelles que sur instructions documentées, y compris celles du contrat et de l’utilisation configurée par le client, sauf si la loi en dispose autrement. Il informe le client avant tout traitement exigé par la loi, sauf interdiction, et lui signale toute instruction qui semble enfreindre le droit applicable de la protection des données. Le client répond du caractère licite des instructions, de la transparence, de la minimisation des données, des bases juridiques et des droits sur les données téléversées.

4. Confidentialité et sécurité

Le personnel autorisé est tenu à la confidentialité. Le Fournisseur maintient des mesures techniques et organisationnelles adaptées au risque, notamment la gestion des identités et des accès, le moindre privilège, les contrôles par client, la sécurité des transmissions, le stockage protégé lorsqu’il est proposé, les sauvegardes, la gestion des changements et des vulnérabilités, la journalisation, la réponse aux incidents et la reprise d’activité. Ces mesures peuvent évoluer sans réduire sensiblement le niveau global de protection.

5. Sous-traitants ultérieurs

Le client donne une autorisation générale pour les sous-traitants ultérieurs du Fournisseur ; la liste actuelle est disponible sur demande. Le Fournisseur leur impose des obligations de protection des données substantiellement équivalentes et reste responsable d’eux dans la mesure prévue par la loi. Les ajouts ou remplacements importants sont notifiés via le contact professionnel configuré ou un avis de service, avec une possibilité raisonnable de s’y opposer pour des motifs légitimes de protection des données. À défaut de solution raisonnable, chaque partie peut mettre fin au service concerné conformément au contrat principal.

6. Assistance et incidents

Compte tenu du traitement et des informations disponibles, le Fournisseur apporte une assistance raisonnable pour les demandes des personnes concernées, la sécurité, l’évaluation et la notification des violations, les analyses d’impact, la consultation préalable et les demandes des autorités. Il informe le client dans les meilleurs délais après avoir pris connaissance d’une violation de données personnelles touchant des données du client et fournit les informations disponibles par étapes. La notification ne vaut pas reconnaissance de faute.

7. Restitution, suppression, audits et preuves

À la fin du service, le Fournisseur supprime ou restitue les données personnelles du client selon le choix effectué ou les fonctions du service, sauf obligation légale de conservation. La suppression des sauvegardes suit le cycle documenté. Sur demande écrite raisonnable, le Fournisseur fournit les informations nécessaires pour démontrer sa conformité. Les audits doivent être proportionnés, protéger les autres clients et la sécurité, utiliser d’abord les rapports indépendants existants lorsqu’ils sont adaptés et éviter toute perturbation déraisonnable ; les droits d’audit impératifs restent inchangés.

8. Transferts internationaux et demandes des autorités

Lorsque c’est nécessaire, les parties intègrent les clauses ou avenants de transfert approuvés applicables et les mesures complémentaires. Le Fournisseur examine les demandes gouvernementales juridiquement contraignantes, renvoie le demandeur vers le client lorsque c’est licite, ne communique que ce qui est légalement exigé et informe le client, sauf interdiction.

9. Annexes régionales

UE / EEE

Pour les traitements soumis au RGPD, les exigences correspondant à l’article 28 s’appliquent. Le client est responsable de traitement et le Fournisseur sous-traitant, sauf si les faits imposent un autre rôle. Le cas échéant, les parties utilisent un mécanisme de transfert applicable du chapitre V.

Royaume-Uni

Pour les traitements soumis au droit britannique de la protection des données, les obligations de responsable et de sous-traitant s’appliquent avec la terminologie britannique nécessaire. Le cas échéant, un avenant britannique de transfert approuvé ou une autre garantie valable est utilisé.

États-Unis

Lorsqu’une loi d’un État sur la protection de la vie privée s’applique, le Fournisseur agit en tant que processor, service provider ou contractor pour les données personnelles couvertes du client ; il ne les vend ni ne les partage à des fins de publicité comportementale intercontextuelle et ne les conserve, n’utilise ou ne communique pas en dehors des finalités professionnelles convenues, sauf dans la mesure permise par la loi. Les conditions spécifiques applicables de chaque État prévalent.

Canada

Les parties soutiennent la protection, la responsabilité, les mesures de sauvegarde, l’accès et les obligations en cas de violation comparables exigés par le droit canadien applicable en matière de vie privée. Le client reste responsable du consentement ou de toute autre autorisation légale.

Australie

Les parties soutiennent les Australian Privacy Principles applicables ainsi que les obligations de sécurité et de notification des violations. Les communications transfrontalières sont gérées selon les rôles réels du client et du Fournisseur.

Autres pays

Les exigences locales impératives en matière de sous-traitance, de localisation, de transfert ou de droits des personnes s’appliquent dans la mesure où elles régissent le traitement. Aucune note régionale ne garantit qu’un seul mécanisme contractuel suffit dans tous les pays.

10. Annexes de traitement

Annexe A — Traitement

L’objet, la durée, la nature, les finalités, les types de données et les catégories de personnes concernées sont ceux décrits aux sections 1 à 3 pour l’utilisation réelle de ProfileOS par le client.

Annexe B — Mesures techniques et organisationnelles

Les mesures de la section 4 constituent les mesures techniques et organisationnelles de base. Le Fournisseur documente ses contrôles détaillés, les réexamine en fonction du risque et fournit sur demande des preuves appropriées.

Annexe C — Hébergement et sous-traitants ultérieurs approuvés

La liste actuelle est disponible sur demande.

Annexe D — Transferts internationaux

Les informations sur les lieux et les garanties des transferts sont disponibles sur demande.

11. Responsabilité et contact

La responsabilité est régie par le contrat principal, sous réserve du droit impératif de la protection des données. Rien dans le présent Avenant ne limite les droits ou la responsabilité qui ne peuvent légalement l’être. Contact confidentialité : daniel.roedl@getprofileos.com. Le droit applicable et la juridiction suivent le contrat principal, sauf disposition impérative contraire du droit de la protection des données.