Accord de traitement

Accord de sous-traitance

Le présent accord de sous-traitance s’applique à toutes les formes de traitement de données à caractère personnel effectuées par WP Provider BV., ci-après dénommée « WP Provider », établie à Bussum et inscrite à la Chambre de commerce sous le numéro 73142689 (ci-après : le Sous-traitant), pour le compte d’un cocontractant auquel elle fournit des services (ci-après : le Responsable du traitement).

Ci-après dénommés conjointement les « Parties » ;

Considérant ce qui suit :

1. Les Parties ont conclu un contrat relatif à des services d’hébergement et à des enregistrements de noms de domaine, ci-après dénommé le « Contrat ». Dans le cadre de l’exécution du Contrat, le Sous-traitant traite des Données à caractère personnel pour le compte du Responsable du traitement ;
   Les Parties souhaitent traiter avec soin et conformément au RGPD ainsi qu’aux autres lois et réglementations applicables au Traitement des Données à caractère personnel les Données à caractère personnel qui sont ou seront traitées dans le cadre de l’exécution du Contrat ;
   C. Conformément au RGPD et aux autres lois et réglementations applicables au Traitement des Données à caractère personnel, les Parties souhaitent consigner par écrit dans le présent Accord de sous-traitance leurs droits et obligations concernant le Traitement des Données à caractère personnel des Personnes concernées.
   D. Seul le Responsable du traitement détermine les finalités et les moyens du traitement des données à caractère personnel, sans que le Sous-traitant n’exerce aucune influence à cet égard ;

Il est convenu ce qui suit :

1. Définitions

1.1 Personne concernée : la personne à laquelle se rapporte une Donnée à caractère personnel.
1.2 Violation de données : une violation de la sécurité des Données à caractère personnel entraînant de graves conséquences préjudiciables pour la protection de ces Données à caractère personnel.
1.3 Personnel : les personnes auxquelles les Parties font appel pour l’exécution du présent Accord de sous-traitance et qui travaillent sous leur responsabilité.
1.4 Donnée à caractère personnel : toute information concernant une personne physique identifiée ou identifiable. Les données à caractère personnel pseudonymisées (permettant une réidentification) relèvent également de cette définition.
1.5 Sous-traitant ultérieur : tiers auquel le Sous-traitant fait appel afin de traiter des Données à caractère personnel pour son compte, sans être placé sous son autorité directe.
1.6 Responsable du traitement : le responsable du Traitement au sens de la loi néerlandaise sur la protection des données à caractère personnel (WBP) et/ou des règlements et directives européens relatifs à la protection des données à caractère personnel (RGPD).
1.7 Sous-traitant : la personne qui traite des Données à caractère personnel pour le compte du Responsable du traitement sans être placée sous son autorité directe.
1.8 Traitement : toute opération ou tout ensemble d’opérations portant sur des Données à caractère personnel, notamment la collecte, l’enregistrement, l’organisation, la conservation, l’actualisation, la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction de données.

2. Objet

2.1 Si le Sous-traitant a uniquement accès aux Données à caractère personnel, sans être tenu de les traiter, il respecte la législation et la réglementation nationales et internationales relatives aux données à caractère personnel ainsi que les dispositions du présent Accord de sous-traitance, dans la mesure où le Responsable du traitement l’a préalablement informé en temps utile de la présence de Données à caractère personnel et de l’emplacement (path) où elles se trouvent.
2.2 Si le Sous-traitant s’est engagé dans le Contrat à traiter des Données à caractère personnel, il le fait avec le plus grand soin et conformément aux finalités du traitement, en respectant la législation et la réglementation nationales et internationales relatives aux données à caractère personnel ainsi que les dispositions du présent Accord de sous-traitance, dans la mesure où le Responsable du traitement l’a préalablement informé en temps utile de la présence de Données à caractère personnel et de l’endroit où elles se trouvent.

3. Obligations du Responsable du traitement

3.1 Le Responsable du traitement informe en temps utile le Sous-traitant des modifications relatives au Traitement, le cas échéant, et de leurs éventuelles conséquences, en principe dans un délai de 10 jours ouvrables.
3.2 Le Responsable du traitement garantit que l’instruction de procéder au Traitement des Données à caractère personnel, le cas échéant, n’est pas illicite et ne porte pas atteinte aux droits de tiers.

4. Obligations du Sous-traitant

4.1 Le Sous-traitant ne consulte et/ou ne traite les Données à caractère personnel que dans la mesure où cela est nécessaire à l’exécution du Contrat et suit toutes les instructions raisonnables du Responsable du traitement.
4.2 Le Sous-traitant ne conserve pas les Données à caractère personnel dans un lieu situé en dehors de l’Espace économique européen. Pour l’enregistrement de noms de domaine, il peut être nécessaire de transférer des données à caractère personnel vers des pays situés en dehors de l’Espace économique européen. Ce transfert est alors limité à ce qui est exigé par le registry concerné.
4.3 Le Sous-traitant garantit que son Personnel respecte les dispositions du présent Accord de sous-traitance, dans la mesure où il participe de quelque manière que ce soit au Traitement des Données à caractère personnel. Les salariés du Sous-traitant sont tenus à une obligation de confidentialité.
4.4 Le Sous-traitant a désigné un délégué à la protection des données.
4.5 À la première demande du Responsable du traitement, le Sous-traitant lui remet immédiatement toutes les copies des Données à caractère personnel provenant de celui-ci et/ou traitées sur ses instructions, ou les détruit à sa demande.
4.6 Le Sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées afin de protéger les Données à caractère personnel contre la perte et tout traitement illicite. Compte tenu de l’état de la technique et des coûts de mise en œuvre, ces mesures garantissent un niveau de sécurité adapté aux risques présentés par le traitement et à la nature des données à protéger.
4.7 Le Sous-traitant tient un registre de toutes les catégories d’activités de traitement effectuées pour le compte du Responsable du traitement.
4.8 Le Sous-traitant apporte au Responsable du traitement sa coopération pleine et entière, en temps utile, afin de permettre aux Personnes concernées d’accéder à leurs données à caractère personnel, de les faire supprimer ou rectifier et/ou de démontrer qu’elles ont été supprimées ou rectifiées ou, lorsque le Responsable du traitement conteste la position d’une Personne concernée, de consigner que celle-ci considère ses données à caractère personnel comme inexactes.
4.9 Le Sous-traitant adopte des mesures de contrôle interne adéquates afin de respecter les obligations découlant du présent accord et les consigne de manière à faciliter le contrôle de leur respect. Lors du Traitement de Données à caractère personnel, les activités et incidents concernant ces Données à caractère personnel sont consignés dans des fichiers journaux.
4.10 Sur instruction du Responsable du traitement, le Sous-traitant coopère au chiffrement (cryptage) et à la pseudonymisation des Données à caractère personnel. Si cela entraîne des coûts supplémentaires pour le Sous-traitant, le Responsable du traitement les rembourse.
4.11 Une fois par an, le Responsable du traitement peut faire contrôler la conformité du Traitement des Données à caractère personnel au présent Accord de sous-traitance au moyen d’un audit effectué par un EDP-Auditor indépendant et agréé. L’Auditeur est soumis à une obligation de confidentialité. Le Sous-traitant fournit toutes les informations demandées par l’Auditeur. Celui-ci rend compte au Responsable du traitement en termes généraux, sans divulguer de détails sur les mesures de sécurité mises en œuvre. Les frais de l’audit sont à la charge du Responsable du traitement.
4.12 Le contenu et l’étendue de la mission de Traitement ainsi que la rémunération correspondante sont conformes aux dispositions du Contrat. Le Sous-traitant suit les instructions du Responsable du traitement relatives au traitement et/ou au stockage des Données à caractère personnel.

5. Sous-traitant ultérieur

5.1 Le Sous-traitant peut confier tout ou partie de l’exécution de l’Accord de sous-traitance à un Sous-traitant ultérieur. Il reste à tout moment l’interlocuteur du Responsable du traitement et demeure responsable du respect des dispositions du présent Accord de sous-traitance.
5.2 Le Sous-traitant impose au Sous-traitant ultérieur les mêmes obligations que celles qui lui incombent en vertu du présent Accord de sous-traitance, les consigne par écrit dans un contrat et veille à leur respect par le Sous-traitant ultérieur. Le Sous-traitant est pleinement responsable envers le Responsable du traitement des conséquences de la sous-traitance de travaux à un Sous-traitant ultérieur.
5.3 La sous-traitance des enregistrements de noms de domaine constitue une exception aux articles 5.1 et 5.2. Selon le Top Level Domain, vos données à caractère personnel peuvent être rendues publiques et/ou le Sous-traitant peut ne pas être en mesure d’en garantir la sécurité.

6. Communication de Données à caractère personnel

6.1 Le Sous-traitant n’est pas autorisé à communiquer des Données à caractère personnel à d’autres personnes que le Responsable du traitement, sauf en vertu d’une obligation légale ou aux fins du contrat conclu avec le Responsable du traitement.
6.2 Si le Sous-traitant est tenu de communiquer des Données à caractère personnel en vertu d’une obligation légale, il doit :

• vérifier le fondement de la demande et l’identité du demandeur et, avant toute communication, en informer le Responsable du traitement ;
• limiter la communication à ce qui est légalement requis ;
• permettre au Responsable du traitement d’exercer ses droits et ceux des Personnes concernées, et de défendre leurs intérêts respectifs ;
• lors de la remise à une Personne concernée, fournir les données sous une forme structurée, couramment utilisée et lisible par machine.

7. Sécurité

7.1 Le Responsable du traitement et le Sous-traitant mettent en œuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, de sorte que le Traitement respecte les exigences du RGPD et des autres lois et réglementations applicables au Traitement des Données à caractère personnel, et que la protection des droits des Personnes concernées soit assurée. Les mesures de sécurité mises en œuvre par le Sous-traitant figurent à l’Annexe A.
7.2 Le Responsable du traitement et le Sous-traitant mettent tout en œuvre pour protéger les Données à caractère personnel et les maintenir à l’abri des intrusions et des menaces externes, ainsi que des traitements négligents, communications illicites ou non autorisées, pertes, destructions ou détériorations. Les deux Parties veillent à ce que leurs équipements et installations informatiques soient physiquement protégés contre tout accès non autorisé, ainsi que contre les dommages et les dysfonctionnements, et prennent des mesures pour empêcher tout accès non autorisé aux systèmes d’information.
7.3 Le Responsable du traitement et le Sous-traitant surveillent en permanence si les systèmes de traitement utilisés satisfont et continuent de satisfaire à des exigences adéquates en matière de confidentialité, d’intégrité, de disponibilité et de résilience (rétablissement rapide après une indisponibilité temporaire).
7.4 À la demande écrite du Responsable du traitement, le Sous-traitant met en œuvre des mesures particulières de sécurité et/ou de confidentialité pour les (catégories de) Données à caractère personnel désignées dans cette demande. Si cela entraîne des coûts supplémentaires pour le Sous-traitant, le Responsable du traitement les rembourse.

8. Violation de données

8.1 En cas de Violation de données chez le Sous-traitant, celui-ci la notifie immédiatement, et au plus tard dans un délai de 24 heures, au Responsable du traitement, en précisant la nature de la Violation de données, ses conséquences (probables) et les mesures prises pour y remédier ou en limiter les effets.

9. Confidentialité

9.1 Toutes les données du Responsable du traitement et de ses clients sont confidentielles et traitées comme telles par le Sous-traitant. Celui-ci est tenu à la confidentialité de toutes les Données à caractère personnel et informations qu’il traite ou dont il prend connaissance dans le cadre du Contrat ou du présent Accord de sous-traitance.
9.2 L’obligation de confidentialité ne s’applique pas aux informations :

• qui sont publiquement connues sans que cette divulgation résulte d’un acte illicite ;
• dont la divulgation est requise en vertu d’une disposition légale ou d’une décision de justice, à condition que la partie qui les divulgue en informe préalablement par écrit la partie concernée par ces informations ;
• qu’une Partie a développées de manière indépendante ;
• qu’une Partie détenait déjà sans être soumise à une obligation de confidentialité.
• Après la fin du présent Accord de sous-traitance, le présent article et l’obligation de confidentialité qu’il prévoit restent en vigueur.

10. Propriété intellectuelle

10.1 Tous les Droits de Propriété Intellectuelle, y compris les droits d’auteur, les droits sur les bases de données, tous les autres droits de propriété intellectuelle et droits similaires protégeant les informations, afférents à la collection de données et de Données à caractère personnel ainsi qu’à leurs copies ou adaptations, appartiennent au Responsable du traitement (ou à un client du Responsable du traitement).
10.2 Tous les droits de propriété intellectuelle — y compris les droits d’auteur, les droits sur les bases de données, tous les autres droits de propriété intellectuelle et droits similaires protégeant les informations — afférents aux produits et services du Sous-traitant appartiennent au Sous-traitant.

11. Responsabilité et assurance

11.1 Le Sous-traitant est responsable des dommages subis et des amendes encourues par le Responsable du traitement du fait du non-respect, ou d’actes du Sous-traitant contraires, aux prescriptions établies par ou en vertu de la loi néerlandaise sur la protection des données à caractère personnel et/ou des règlements et directives européens relatifs à la protection des données à caractère personnel et/ou de toute autre législation ou réglementation en la matière et/ou du présent Accord de sous-traitance.
11.2 La responsabilité du Sous-traitant au titre des dommages subis et/ou des amendes encourues par le Responsable du traitement, tels que visés à l’article 11.1, est limitée à 50 € par événement. Cette limitation de responsabilité ne s’applique pas dans la mesure où le dommage résulte d’un acte intentionnel ou d’une faute lourde (imprudence délibérée) du Sous-traitant.
11.3 Le Responsable du traitement garantit le Sous-traitant contre les réclamations de tiers, notamment des Personnes concernées, et contre les dommages qui pourraient en résulter, fondés sur le non-respect des prescriptions établies par ou en vertu de la loi néerlandaise sur la protection des données à caractère personnel et/ou des règlements et directives européens relatifs à la protection des données à caractère personnel et/ou de toute autre législation ou réglementation en la matière et/ou du présent Accord de sous-traitance.
11.4 Le Sous-traitant s’engage à couvrir les risques visés aux articles 11.1 à 11.2 au moyen d’une assurance responsabilité civile.

12. Durée et résiliation

12.1 L’Accord de sous-traitance entre en vigueur le jour de sa signature par les Parties.
12.2 Les dispositions du Contrat relatives à sa durée et à sa résiliation s’appliquent à la durée et à la résiliation de l’Accord de sous-traitance. Lorsque le Contrat prend fin pour quelque raison que ce soit, l’Accord de sous-traitance prend également fin.
12.3 En cas de résiliation de l’Accord de sous-traitance, le Sous-traitant transfère toutes les Données à caractère personnel au Responsable du traitement ou, à la demande écrite expresse de celui-ci, détruit les Données à caractère personnel qu’il détient.
12.4 Les obligations qui, par leur nature, sont destinées à perdurer après la fin de l’Accord de sous-traitance restent applicables après celle-ci. Il s’agit notamment des dispositions relatives à la confidentialité, au transfert et à la destruction, à la responsabilité et au droit applicable.

13. Résolution

13.1 Chaque Partie peut résoudre le Contrat en tout ou partie si l’autre partie manque de manière fautive à l’exécution de l’Accord de sous-traitance et ne remédie pas à ce manquement après une mise en demeure, sans préjudice du droit à des dommages-intérêts.
13.2 Chaque Partie peut résoudre le Contrat en tout ou partie avec effet immédiat et sans mise en demeure si l’autre partie bénéficie d’un sursis de paiement, si une demande de faillite est déposée à son encontre ou si son entreprise est liquidée ou cesse ses activités autrement qu’aux fins d’une restructuration ou d’une fusion d’entreprises.

14. Dispositions diverses

14.1 Les modifications du présent Contrat ou ses compléments sont convenus par écrit entre le Sous-traitant et le Responsable du traitement. Ils sont consignés dans un avenant au présent contrat et sont contraignants dès lors que cet avenant est signé par les deux Parties.
14.2 Tout litige découlant du présent contrat qui n’aura pas pu être résolu à l’amiable sera tranché par voie d’arbitrage conformément aux règles et procédures de l’Institut néerlandais d’arbitrage, le ou les arbitres appliquant le droit néerlandais.

Annexe A – Mesures de sécurité

Mesures minimales respectées par le Sous-traitant :

1. Le Sous-traitant applique un document de politique qui décrit explicitement les mesures qu’il prend pour sécuriser le traitement des données et garantir le respect de la vie privée.
2. Les salariés du Sous-traitant participant au traitement de données à caractère personnel sont tenus à une obligation de confidentialité/un code d’intégrité et, le cas échéant, ont fait l’objet d’une vérification préalable à leur embauche.
3. Tous les salariés de l’organisation et, le cas échéant, le personnel engagé et les utilisateurs externes reçoivent une formation appropriée et des mises à niveau régulières sur la politique et les procédures de l’organisation en matière de sécurité de l’information, dans la mesure où elles concernent leur fonction. Cette formation et ces mises à niveau accordent explicitement une attention particulière au traitement des données à caractère personnel.
4. Les équipements et installations informatiques sont physiquement protégés contre tout accès non autorisé, ainsi que contre les dommages et les dysfonctionnements.
5. Des procédures permettent aux utilisateurs autorisés d’accéder aux systèmes et services d’information nécessaires à l’exécution de leurs tâches et empêchent tout accès non autorisé aux systèmes d’information.
6. Lors du transport sur des réseaux d’informations confidentielles explicitement désignées comme telles par le Responsable du traitement, un chiffrement adéquat doit toujours être appliqué.
7. La gestion des certificats et des clés associées est régie par un plan de gestion des clés à jour garantissant les habilitations et la séparation des fonctions.
8. Des procédures régissent l’acquisition, le développement, la maintenance et la destruction des données et des systèmes d’information.
9. Les activités effectuées par les utilisateurs (avec des données à caractère personnel) sont consignées dans des fichiers journaux. Il en va de même pour les autres événements pertinents, tels que les tentatives d’accès non autorisé aux données à caractère personnel et les incidents susceptibles d’entraîner leur altération ou leur perte. La journalisation de données spécifiques peut être réalisée sur mesure sur devis.
10. Des mesures de sécurité, notamment une gestion adéquate des accès, sont intégrées à tous les systèmes applicatifs.
11. Le réseau et les systèmes d’information font l’objet d’une surveillance et d’une gestion actives. Une procédure est également disponible pour traiter les éventuelles violations de données. Elle prévoit notamment l’information du Responsable du traitement.
12. Le Sous-traitant installe en temps utile les correctifs publiés par les fournisseurs pour remédier aux failles de sécurité, uniquement si et dans la mesure où le logiciel concerné est ou a été fourni, utilisé ou maintenu par le Sous-traitant pour le compte du Responsable du traitement.
13. Des procédures permettent de traiter rapidement et efficacement les incidents de sécurité de l’information et les failles de sécurité dès qu’ils sont signalés.
14. Le Responsable du traitement signale les violations de données soumises à une obligation légale de notification à l’autorité de contrôle compétente (le plus souvent l’Autorité néerlandaise de protection des données).