Accord de traitement des données

Chez Waldo Studio BV, nous nous engageons à traiter les données personnelles en toute sécurité et à respecter la vie privée des personnes concernées. Cette politique sera révisée chaque année ou à chaque fois que des changements dans notre traitement des données surviennent.

Objet du Contrat

Dans le cadre de l'exécution du contrat entre Waldo Studio BV (le « Sous-traitant ») et le client (le « Client », ensemble avec le Sous-traitant, les « Parties ») concernant la fourniture du logiciel du Sous-traitant au Client (le « Contrat »), il est possible que le Sous-traitant traite des données personnelles conformément à l'Art. 4 non. 1 du Règlement général sur la protection des données (« GDPR »), c'est-à-dire toute information relative à une personne physique identifiée ou identifiable (par exemple, les noms, adresses ou numéros de téléphone des personnes qui sont les clients du Client), à l'égard de laquelle le Client agit en tant que responsable du traitement en vertu de la loi sur la protection des données (les « Données du client ». Le présent accord (l'« Accord ») précise les obligations et les droits en matière de protection des données des parties dans le cadre de l'utilisation par le Sous-traitant des données du client pour fournir les services prévus dans le Contrat. 2. #### Portée du traitement

Le Sous-traitant traitera les Données Client pour le compte et conformément aux instructions du Client au sens de l'Art. 28 GDPR. Le Client reste le responsable du traitement conformément à l'art. 28 GDPR. Le traitement des données client par le sous-traitant s'effectue de la manière, dans la portée et aux fins déterminées à l'annexe 2.2 du présent accord ; le traitement concerne les types de données personnelles et les catégories de personnes concernées qui y sont spécifiées. La durée du traitement correspond à la durée du Contrat. Le sous-traitant se réserve le droit d'anonymiser ou de regrouper les données du client de telle manière qu'il ne soit plus possible d'identifier les personnes concernées et de les utiliser sous cette forme à des fins de conception, d'apprentissage automatique, de développement et d'optimisation en fonction des besoins ainsi que de fourniture des services convenus conformément au contrat. Les parties conviennent que les données client anonymisées et agrégées conformément à l'exigence ci-dessus ne sont pas considérées comme des données client aux fins du présent accord. Le sous-traitant peut traiter et utiliser les données du client à ses propres fins en tant que responsable du traitement dans la mesure légalement permise par la loi sur la protection des données. Le présent accord ne s'applique pas à un tel traitement de données. Le traitement des données client par le sous-traitant aura en principe lieu au sein de l'Union européenne ou dans un autre État contractant de l'Espace économique européen (EEE). Le sous-traitant est néanmoins autorisé à traiter les données du client conformément aux dispositions du présent accord en dehors de l'EEE s'il informe le client au préalable (par exemple dans la politique de confidentialité) du lieu de traitement des données et si les exigences de l'art. 44 à 48 GDPR sont remplies ou si une exception selon l'art. 49 GDPR s’applique.

Droit du Client de donner des Instructions

Le Sous-traitant traite les Données Client conformément aux instructions du Client, sauf si le Sous-traitant est légalement tenu de faire autrement. Dans ce dernier cas, le Sous-traitant informera le Client de cette obligation légale avant le traitement, à moins que cette loi n'interdise une telle information pour des raisons importantes d'intérêt public.


Les instructions du Client sont en principe stipulées et documentées de manière concluante dans les dispositions du présent Contrat. Les instructions individuelles qui s'écartent des stipulations du présent accord ou qui imposent des exigences supplémentaires nécessitent le consentement du sous-traitant.
Le Sous-traitant veillera à ce que les Données Client soient traitées conformément aux instructions données par le Client. Si le Sous-traitant estime qu'une instruction donnée par le Client viole le présent Contrat ou la loi applicable en matière de protection des données, le Sous-traitant a, après en avoir informé le Client, le droit de suspendre l'exécution de l'instruction jusqu'à ce que le Client confirme l'instruction. Les Parties conviennent que la seule responsabilité du traitement des Données Client conformément aux instructions incombe au Client.

Responsabilité Légale du Client

Le Client est seul responsable de la licéité du traitement des Données Client et de la sauvegarde des droits des personnes concernées dans la relation entre les Parties. Si des tiers font valoir des réclamations contre le processeur sur la base du traitement des données du client conformément au présent accord, le client devra indemniser le processeur de toutes ces réclamations à la première demande.


Le Client est responsable de fournir au Sous-traitant les Données Client à temps pour la prestation des services conformément au Contrat et le Client est responsable de la qualité des Données Client. Le client doit informer immédiatement et complètement le sous-traitant si, lors de l'examen des résultats du sous-traitant, il constate des erreurs ou des irrégularités en ce qui concerne les dispositions en matière de protection des données ou les instructions du client.
Sur demande, le Client devra fournir au Sous-traitant les informations spécifiées à l'Art. 30 par. 2 GDPR, dans la mesure où il n'est pas déjà disponible pour le Processeur.
Si le Sous-traitant est tenu de fournir des informations à un organisme gouvernemental ou à une personne sur le traitement des Données du Client ou de coopérer avec ces organismes de toute autre manière, le Client est tenu d'aider le Sous-traitant à première demande à fournir ces informations et à remplir d'autres obligations de coopération appropriées.

Exigences relatives au personnel et aux systèmes

Le Sous-traitant engagera toutes les personnes engagées dans le traitement des Données Client à la confidentialité en ce qui concerne le traitement des Données Client. 6. #### Sécurité du traitement


Le Sous-traitant prend les mesures techniques et organisationnelles appropriées nécessaires conformément à l'Art. 32 GDPR, en tenant compte de l'état de la technique, des coûts de mise en œuvre et de la nature, de la portée, des circonstances et des finalités des Données Client, ainsi que des différentes probabilités et gravités du risque pour les droits et libertés des personnes concernées, afin d'assurer un niveau de protection des Données Client approprié au risque. Les mesures techniques et organisationnelles mises en œuvre comprennent les mesures énumérées à l'annexe 6.1.
Le Sous-traitant aura le droit de modifier les mesures techniques et organisationnelles pendant la durée du présent Contrat, à condition qu'elles restent conformes aux exigences légales.

Engagement de sous-traitants

Le client accorde au sous-traitant l'autorisation générale d'engager d'autres sous-traitants en ce qui concerne le traitement des données du client. Les transformateurs ultérieurs engagés au moment de la conclusion du présent accord sont répertoriés à l'annexe 7.2. En général, aucune autorisation n'est requise pour les relations contractuelles avec des prestataires de services qui concernent l'examen ou la maintenance de procédures ou de systèmes de traitement de données par des tiers ou qui impliquent d'autres services supplémentaires, même si l'accès aux données client ne peut être exclu, à condition que le sous-traitant prenne des mesures raisonnables pour protéger la confidentialité des données client. Afin de recevoir des notifications concernant l'ajout ou le remplacement de sous-traitants existants, le client peut s'inscrire à une liste de diffusion en nous envoyant un e-mail à support@socialjuice.io. Les notifications du sous-traitant ultérieur auront lieu au plus tard 14 jours avant toute modification, afin de permettre au client de s'y opposer. Une objection ne peut être soulevée par le client que pour des raisons importantes qui doivent être justifiées vis-à-vis du sous-traitant. Dans la mesure où le client ne s'y oppose pas dans les 14 jours suivant la réception de la notification, le droit du client de s'opposer à l'engagement correspondant devient caduque. Si le client s'y oppose, le sous-traitant a le droit de résilier le contrat et le présent accord avec un préavis de trois mois jusqu'à la fin d'un mois.


L'accord entre le Sous-traitant et le sous-traitant doit imposer au sous-traitant les mêmes obligations que celles incombant au Sous-traitant en vertu du présent Contrat. Les Parties conviennent que cette exigence est remplie si le contrat présente un niveau de protection correspondant au présent Accord.
Sous réserve du respect des exigences de la Sec. 2.5 du présent Accord, les dispositions du présent Sec. 7 s’applique également s’il s’agit d’un transformateur ultérieur dans un pays tiers. Le client autorise par la présente le sous-traitant à conclure un accord avec un autre sous-traitant au nom du client sur la base des clauses contractuelles types pour le transfert de données personnelles à des sous-traitants dans des pays tiers conformément à la décision de la Commission européenne du 5 février 2010. Le client déclare sa volonté de coopérer pour remplir les exigences de l'art. 49 GDPR dans la mesure nécessaire.

Droits des personnes concernées

Le Sous-traitant aidera le Client dans la mesure du raisonnable, grâce à des mesures techniques et organisationnelles, à remplir l'obligation du Client de répondre aux demandes d'exercice des droits des personnes concernées.


Dans la mesure où une personne concernée soumet une demande d'exercice de ses droits directement au Sous-traitant, le Sous-traitant transmettra cette demande au Client en temps opportun.
Le Sous-traitant informera le Client de toute information relative aux Données Client stockées, sur les destinataires des Données Client auxquelles le Sous-traitant peut les divulguer conformément aux instructions et sur la finalité du stockage, dans la mesure où le Client ne dispose pas de ces informations et dans la mesure où le Client n'est pas en mesure de les collecter lui-même.
Le Sous-traitant doit, dans les limites de ce qui est raisonnable et nécessaire, permettre au Client de corriger, supprimer ou restreindre le traitement ultérieur des Données Client, ou, sur instruction du Client, de corriger, bloquer ou restreindre lui-même le traitement ultérieur, si et dans la mesure où cela est impossible pour le Client. Dans ce cas, le Sous-traitant sera remboursé des dépenses et coûts engagés par le Sous-traitant à cet égard et justifiés vis-à-vis du Client.
Dans la mesure où la personne concernée dispose d'un droit à la portabilité des données vis-à-vis du Client en ce qui concerne les Données Client conformément à l'Art. 20 GDPR, le sous-traitant assistera le client dans les limites de ce qui est raisonnable et nécessaire pour transmettre les données client dans un format structuré, couramment utilisé et lisible par machine, si le client n'est pas en mesure d'obtenir les données ailleurs. Dans ce cas, le Sous-traitant sera remboursé des dépenses et coûts engagés par le Sous-traitant à cet égard et justifiés vis-à-vis du Client.

Obligations de notification et d'assistance du sous-traitant

Dans la mesure où le client est soumis à une obligation légale de notification en raison d'une violation de la sécurité des données du client (notamment conformément aux articles 33, 34 GDPR), le sous-traitant informera le client en temps utile de tout événement à signaler dans le domaine de responsabilité du sous-traitant. Le Sous-traitant aidera le Client à remplir les obligations de notification à la demande du Sous-traitant dans la mesure raisonnable et nécessaire. Dans ce cas, le Sous-traitant sera remboursé des dépenses et coûts engagés par le Sous-traitant à cet égard et justifiés vis-à-vis du Client.


Le sous-traitant assistera le client dans la mesure raisonnable et nécessaire dans le cadre des évaluations d'impact sur la protection des données à effectuer par le client et, si nécessaire, des consultations ultérieures avec l'autorité de contrôle conformément à l'art. 35, 36 GDPR. Dans ce cas, le Sous-traitant sera remboursé des dépenses et coûts engagés par le Sous-traitant à cet égard et justifiés vis-à-vis du Client.

Suppression et restitution des données clients

À la résiliation du présent accord, le processeur devra, à la discrétion du client,
a. soit supprimer, soit restituer les données client ; et
b. supprimer les copies existantes de celui-ci
sauf si le Sous-traitant est tenu par la loi de conserver davantage les Données Client.
Le Sous-traitant peut conserver des documents qui servent de preuve du traitement ordonné et précis des Données Client, également après la résiliation du présent Contrat.

Preuves et audits

Le Sous-traitant fournira au Client, à la demande du Client, toutes les informations requises et dont dispose le Sous-traitant pour prouver le respect de ses obligations en vertu du présent Contrat.
Le Client a le droit de faire auditer (y compris des inspections) le Sous-traitant en ce qui concerne le respect des dispositions du présent Contrat, en particulier la mise en œuvre des mesures techniques et organisationnelles.
Afin d'effectuer des inspections conformément à la Sec. 11.2., le client a le droit d'accéder aux locaux commerciaux du sous-traitant dans lesquels les données du client sont traitées pendant les heures de bureau habituelles (du lundi au vendredi de 10h00 à 18h00) après une notification préalable en temps opportun conformément à l'art. 11.5 à ses propres frais, sans interruption du cours des affaires et dans le strict secret des affaires et des secrets commerciaux du Sous-traitant.
Le Sous-traitant a le droit, à sa seule discrétion et en tenant compte des obligations légales du Client, de ne pas divulguer des informations sensibles au regard de l'activité du Sous-traitant ou si le Sous-traitant violerait des dispositions légales ou autres dispositions contractuelles du fait de leur divulgation. Le Client n'a pas le droit d'accéder aux données ou informations sur les autres clients du Sous-traitant, aux informations sur les coûts, aux rapports de contrôle qualité et de gestion des contrats, ou à toute autre donnée confidentielle du Sous-traitant qui n'est pas directement pertinente aux fins d'audit convenues.
Le client informera le sous-traitant en temps utile (généralement au moins deux semaines à l'avance) de toutes les circonstances liées à la réalisation de l'audit. Le Client ne peut réaliser plus d’un audit par année civile.
Si le client charge un tiers d'effectuer l'audit, le client engagera le tiers par écrit de la même manière que le client est tenu envers le sous-traitant selon le présent article. 11. En outre, le client devra, par accord écrit, obliger le tiers au secret et à la confidentialité, à moins que le tiers ne soit soumis à une obligation professionnelle de secret. À la demande du Sous-traitant, le Client soumettra immédiatement au Sous-traitant les accords d'engagement et de confidentialité avec le tiers. Le Client ne peut faire appel à aucun concurrent du Sous-traitant pour réaliser l'audit.
À la discrétion du Sous-traitant, la preuve du respect des obligations en vertu du présent Contrat peut être fournie, au lieu d'une inspection, en soumettant un avis ou un rapport actuel approprié d'une autorité indépendante (par exemple un auditeur, un service d'audit, un délégué à la protection des données, un service de sécurité informatique, des auditeurs de protection des données ou des auditeurs de qualité) ou une certification appropriée par un audit de sécurité informatique ou de protection des données (le « Rapport d'audit »), si le rapport d'audit permet au Client de se convaincre de manière appropriée de la conformité du Sous-traitant. avec les obligations contractuelles contenues dans le présent Accord.

Durée du contrat et résiliation

La durée et la résiliation du présent Contrat seront régies par les dispositions relatives à la durée et à la résiliation du Contrat. Une résiliation du Contrat entraîne automatiquement une annulation du présent Contrat. Une résiliation isolée de ce contrat est exclue.

Responsabilité

La responsabilité du Sous-traitant en vertu du présent Accord sera régie par les exclusions et limitations de responsabilité prévues dans le Contrat. Dans la mesure où des tiers font valoir des réclamations contre le sous-traitant qui sont causées par une violation fautive du client du présent contrat ou de l'une des obligations du client en tant que responsable du traitement en termes de droit sur la protection des données, le client doit, à première demande, indemniser et dégager le sous-traitant de ces réclamations.
Le Client s'engage à indemniser à première demande le Sous-traitant de toutes amendes éventuelles infligées au Sous-traitant correspondant à la part de responsabilité du Client dans l'infraction sanctionnée par l'amende.

Dispositions finales

Dans le cas où certaines dispositions du présent accord sont inefficaces ou deviennent inefficaces ou contiennent une lacune, les dispositions restantes ne seront pas affectées. Les Parties s'engagent à remplacer la disposition inefficace par une disposition légalement admissible qui se rapproche le plus de l'objectif de la disposition inefficace et qui satisfait ainsi aux exigences de l'art. 28 GDPR.
En cas de conflits entre le présent Accord et d'autres arrangements des Parties, notamment le Contrat, les dispositions du présent Accord prévaudront.

Annexe 2.2

Informations complémentaires sur le traitement des données clients

Annexe 6.1

Mesures techniques et organisationnelles selon l'art. 32 GDPR Conformément à l'art. 32 GDPR Le responsable du traitement et le sous-traitant des données personnelles doivent prendre des mesures techniques et organisationnelles (TOM) pour garantir que les exigences de sécurité et de protection de la protection des données sont respectées. Par mesures techniques, on entend toutes les tentatives de protection physiquement réalisables au sens le plus large, comme la sécurisation des portes et fenêtres ou les mesures mises en œuvre dans les logiciels et le matériel, comme la création d'un compte utilisateur et l'exigence d'un mot de passe. Les mesures organisationnelles doivent être comprises comme des tentatives de protection mises en œuvre au moyen d'instructions, de procédures et de procédures.

Annexe 7.2 Sous-traitants ultérieurs

Informations complémentaires sur le traitement des données clients