Nous contacter

Mentions légales

Accord de traitement des données

Révision : avril 2025

Le présent Accord de traitement des données, y compris ses Annexes (le « DPA »), fait partie intégrante du Contrat-cadre de services (MSA) ou de tout autre accord écrit ou électronique conclu entre Connect-i et le Client pour l’achat de services en ligne (y compris les composants hors ligne ou mobiles associés d’Opigno Enterprise) auprès de Connect-i (désignés comme « Services » ou autrement dans le contrat applicable, et ci-après définis comme les « Services ») (le « Contrat »), afin de refléter l’accord des Parties concernant le Traitement des Données à caractère personnel.

Le Client conclut le présent DPA en son nom propre et, dans la mesure requise par les Lois et réglementations sur la protection des données applicables, au nom et pour le compte de ses Sociétés affiliées autorisées. Aux seules fins du présent DPA, et sauf indication contraire, le terme « Client » désigne le Client et les Sociétés affiliées autorisées. Tous les termes commençant par une majuscule qui ne sont pas définis dans les présentes ont la signification qui leur est donnée dans le Contrat.

Dans le cadre de la fourniture des Services au Client en vertu du Contrat, Connect-i peut Traiter des Données à caractère personnel pour le compte du Client, et les Parties conviennent de respecter les dispositions suivantes à l’égard de toute Donnée à caractère personnel, chacune agissant de manière raisonnable et de bonne foi.

COMMENT CONCLURE LE PRÉSENT DPA

  1. Le présent DPA se compose de deux parties : le corps principal du DPA et les Annexes 1 et 2.
  2. Le présent DPA a été pré-signé pour le compte de Connect-i.
  3. Pour compléter le présent DPA, le Client doit :

a. Compléter les informations figurant dans le cadre de signature et signer aux pages 7 et 11.

Complete_with_DocuSign_Opigno-Enterprise-DPA.pdf

b. Envoyer le DPA signé à Connect-i par e-mail à l’adresse dpa@connect-i.ch en indiquant, le cas échéant, le numéro de compte du Client (tel qu’il figure sur le Bon de commande ou la facture applicable).

Sauf disposition contraire expresse du Contrat, le présent DPA deviendra juridiquement contraignant dès la réception par Connect-i du DPA dûment complété à cette adresse e-mail.

Pour lever toute ambiguïté, la signature du DPA à la page 7 est réputée valoir signature et acceptation des Clauses contractuelles types, y compris de l’Annexe 2. Si le Client souhaite signer séparément les Clauses contractuelles types et leur Appendice, il doit également compléter les informations en tant qu’exportateur de données et signer à la page 11 (Annexe 2).

APPLICATION DU PRÉSENT DPA

Si l’entité Client qui signe le présent DPA est partie au Contrat, le présent DPA constitue un avenant au Contrat et en fait partie intégrante. Dans ce cas, l’entité Connect-i partie au Contrat est partie au présent DPA.

Si l’entité Client qui signe le présent DPA a signé un Bon de commande avec Connect-i ou sa Société affiliée en vertu du Contrat, sans être elle-même partie au Contrat, le présent DPA constitue un avenant à ce Bon de commande et au(x) Bon(s) de commande de renouvellement applicable(s), et l’entité Connect-i partie à ce Bon de commande est partie au présent DPA. Aux fins du présent DPA, toute référence aux Bons de commande inclut le « Document de commande » (tel que défini dans le Contrat).

Si l’entité Client qui signe le présent DPA n’est partie ni à un Bon de commande ni au Contrat, le présent DPA n’est pas valable et n’est pas juridiquement contraignant. Cette entité doit demander à l’entité Client partie au Contrat de signer le présent DPA.

CONDITIONS RELATIVES AU TRAITEMENT DES DONNÉES

1. DÉFINITIONS

« Société affiliée » désigne toute entité qui, directement ou indirectement, contrôle l’entité concernée, est contrôlée par elle ou est placée sous un contrôle commun avec elle. Aux fins de la présente définition, le « contrôle » désigne la détention ou le contrôle, direct ou indirect, de plus de 50 % des droits de vote de l’entité concernée.

« Société affiliée autorisée » désigne toute Société affiliée du Client qui (a) est soumise aux lois et réglementations sur la protection des données de l’Union européenne, de l’Espace économique européen et/ou de leurs États membres, de la Suisse et/ou du Royaume-Uni, et (b) est autorisée à utiliser les Services en vertu du Contrat conclu entre le Client et Connect-i, mais n’a pas signé son propre Bon de commande avec Connect-i et n’est pas un « Client » au sens du présent DPA.

« CCPA » désigne le California Consumer Privacy Act, Cal. Civ. Code § 1798.100 et seq., tel que modifié par le California Privacy Rights Act, ainsi que ses règlements d’application.

« Responsable du traitement » désigne l’entité qui détermine les finalités et les moyens du Traitement des Données à caractère personnel.

« Client » désigne l’entité qui a conclu le Contrat, ainsi que ses Sociétés affiliées (aussi longtemps qu’elles demeurent des Sociétés affiliées) qui ont signé des Bons de commande.

« Données du Client » désigne ce qui est défini dans le Contrat comme « Données du Client » ou « Vos Données », à condition qu’il s’agisse de données et d’informations électroniques soumises aux Services par le Client ou pour son compte. Le présent DPA ne s’applique pas au Contenu ni aux Applications non-Opigno tels que définis dans le Contrat ou, à défaut de définition dans le Contrat, tels que définis dans le Contrat-cadre de services.

« Lois et réglementations sur la protection des données » désigne l’ensemble des lois et réglementations applicables au Traitement des Données à caractère personnel en vertu du Contrat, y compris celles de l’Union européenne, de l’Espace économique européen et de leurs États membres, de la Suisse, du Royaume-Uni ainsi que des États-Unis et de leurs États.

« Personne concernée » désigne la personne identifiée ou identifiable à laquelle se rapportent les Données à caractère personnel.

« Europe » désigne l’Union européenne, l’Espace économique européen, la Suisse et le Royaume-Uni.

« RGPD » désigne le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), y compris tel que mis en œuvre ou adopté en vertu du droit du Royaume-Uni.

« Données à caractère personnel » désigne toute information se rapportant (i) à une personne physique identifiée ou identifiable et (ii) à une personne morale identifiée ou identifiable (lorsque ces informations bénéficient d’une protection similaire à celle des Données à caractère personnel ou des informations personnelles identifiables en vertu des Lois et réglementations sur la protection des données applicables), étant entendu que, dans chacun des cas (i) et (ii), ces données sont des Données du Client.

« Traitement » ou « Traiter » désigne toute opération ou tout ensemble d’opérations effectuées sur des Données à caractère personnel, à l’aide ou non de procédés automatisés, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction.

« Sous-traitant » désigne l’entité qui Traite des Données à caractère personnel pour le compte du Responsable du traitement, y compris, le cas échéant, tout « prestataire de services » (« service provider ») au sens du CCPA.

« Autorité publique » désigne une agence gouvernementale ou une autorité chargée de l’application de la loi, y compris les autorités judiciaires.

« BCR Sous-traitant de Connect-i » désigne les règles d’entreprise contraignantes (BCR) de Connect-i en qualité de sous-traitant pour le Traitement des Données à caractère personnel, qui régissent les transferts de Données à caractère personnel vers des Sous-traitants ultérieurs tiers. Le champ d’application des BCR Sous-traitant de Connect-i est défini à la section 12 du présent DPA et à la section 1 de l’Annexe 1.

« Opigno Enterprise » et « Opigno » désignent les produits développés par Connect-i sous la marque déposée Opigno®.

« Connect-i » désigne la société Connect-i Sàrl, société suisse à responsabilité limitée dont le siège est sis Tresi 6C, 1028 Préverenges (VD), numéro de TVA / IDE CHE-114.078.026.

« Clauses contractuelles types » désigne les clauses contractuelles types pour le transfert de Données à caractère personnel vers des pays tiers en vertu du règlement (UE) 2016/679 du Parlement européen et du Conseil, approuvées par la décision d’exécution (UE) 2021/914 de la Commission européenne du 4 juin 2021, telles qu’actuellement publiées à l’adresse https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj.

« Sous-traitant ultérieur » désigne tout Sous-traitant engagé par Connect-i.

2. TRAITEMENT DES DONNÉES À CARACTÈRE PERSONNEL

2.1. Rôles des Parties. Les parties reconnaissent et conviennent qu’en ce qui concerne le Traitement des Données à caractère personnel, le Client est un Responsable du traitement ou un Sous-traitant, que Connect-i est un Sous-traitant et que Connect-i engagera des Sous-traitants ultérieurs conformément aux exigences énoncées à la section 5 « Sous-traitants ultérieurs » ci-dessous.

2.2. Traitement des Données à caractère personnel par le Client. Dans le cadre de son utilisation des Services, le Client Traite les Données à caractère personnel conformément aux exigences des Lois et réglementations sur la protection des données, y compris toute exigence applicable d’informer les Personnes concernées du recours à Connect-i en tant que Sous-traitant (y compris, lorsque le Client est un Sous-traitant, en veillant à ce que le Responsable du traitement final le fasse). Pour lever toute ambiguïté, les instructions du Client relatives au Traitement des Données à caractère personnel doivent être conformes aux Lois et réglementations sur la protection des données. Le Client est seul responsable de l’exactitude, de la qualité et de la licéité des Données à caractère personnel, ainsi que des moyens par lesquels il les a obtenues. Le Client reconnaît et accepte expressément que son utilisation des Services ne portera atteinte aux droits d’aucune Personne concernée, y compris de celles qui se sont opposées à la vente ou à toute autre communication de Données à caractère personnel, dans la mesure où les Lois et réglementations sur la protection des données le prévoient.

2.3. Traitement des Données à caractère personnel par Connect-i. Connect-i traite les Données à caractère personnel comme des Informations confidentielles et Traite les Données à caractère personnel pour le compte du Client et uniquement conformément aux instructions documentées du Client, aux fins suivantes : (i) Traitement conformément au Contrat et au(x) Bon(s) de commande applicable(s) ; (ii) Traitement initié par les Utilisateurs dans le cadre de leur utilisation des Services ; et (iii) Traitement visant à se conformer à d’autres instructions raisonnables et documentées fournies par le Client (par exemple, par e-mail), lorsque ces instructions sont compatibles avec les conditions du Contrat.

2.4. Détails du Traitement. L’objet du Traitement des Données à caractère personnel par Connect-i est l’exécution des Services en vertu du Contrat. La durée du Traitement, la nature et la finalité du Traitement, les types de Données à caractère personnel et les catégories de Personnes concernées Traités en vertu du présent DPA sont précisés à l’Annexe 2 (Description du Traitement/Transfert) du présent DPA.

2.5. Instructions du Client. Connect-i informe immédiatement le Client (i) si, selon elle, une instruction du Client constitue une violation du RGPD et/ou (ii) si Connect-i n’est pas en mesure de suivre les instructions du Client relatives au Traitement des Données à caractère personnel.

3. DROITS DES PERSONNES CONCERNÉES

Dans la mesure où la loi le permet, Connect-i informe sans délai le Client de toute réclamation, de tout litige ou de toute demande qu’elle a reçus d’une Personne concernée, notamment l’exercice par une Personne concernée de son droit d’accès, de son droit de rectification, de son droit à la limitation du Traitement, à l’effacement (« droit à l’oubli ») ou à la portabilité des données, de son droit d’opposition au Traitement ou de son droit de ne pas faire l’objet d’une décision individuelle automatisée, chacune de ces demandes étant une « Demande de Personne concernée ». Connect-i ne répond pas elle-même à une Demande de Personne concernée, étant entendu que le Client autorise Connect-i à rediriger la Demande de Personne concernée si nécessaire afin de permettre au Client d’y répondre directement. Compte tenu de la nature du Traitement, Connect-i aide le Client, par des mesures techniques et organisationnelles appropriées, dans toute la mesure du possible, à s’acquitter de son obligation de répondre à une Demande de Personne concernée en vertu des Lois et réglementations sur la protection des données. En outre, dans la mesure où le Client, dans le cadre de son utilisation des Services, n’est pas en mesure de traiter une Demande de Personne concernée, Connect-i déploie, à la demande du Client, des efforts commercialement raisonnables pour l’aider à répondre à cette Demande de Personne concernée, dans la mesure où la loi le permet à Connect-i et où la réponse à cette Demande de Personne concernée est requise par les Lois et réglementations sur la protection des données. Dans la mesure où la loi le permet, le Client prend à sa charge les frais découlant de l’assistance fournie par Connect-i.

4. PERSONNEL DE CONNECT-I

4.1. Confidentialité. Connect-i veille à ce que les membres de son personnel participant au Traitement des Données à caractère personnel soient informés du caractère confidentiel des Données à caractère personnel, aient reçu une formation appropriée sur leurs responsabilités et aient signé des engagements écrits de confidentialité. Connect-i veille à ce que ces obligations de confidentialité subsistent après la fin de l’engagement des membres du personnel.

4.2. Fiabilité. Connect-i prend des mesures commercialement raisonnables pour garantir la fiabilité de tout membre du personnel de Connect-i participant au Traitement des Données à caractère personnel.

4.3. Limitation de l’accès. Connect-i veille à ce que l’accès de Connect-i aux Données à caractère personnel soit limité aux membres du personnel qui exécutent les Services conformément au Contrat.

5. SOUS-TRAITANTS ULTÉRIEURS

5.1. Désignation des Sous-traitants ultérieurs. Le Client reconnaît et accepte que (a) les Sociétés affiliées de Connect-i peuvent être engagées en tant que Sous-traitants ultérieurs ; et (b) Connect-i et les Sociétés affiliées de Connect-i peuvent respectivement engager des Sous-traitants ultérieurs tiers dans le cadre de la fourniture des Services. Connect-i ou une Société affiliée de Connect-i a conclu avec chaque Sous-traitant ultérieur un accord écrit contenant, en substance, des obligations en matière de protection des données qui ne sont pas moins protectrices que celles prévues dans le Contrat en ce qui concerne la protection des Données du Client, dans la mesure où elles s’appliquent à la nature des Services fournis par ce Sous-traitant ultérieur.

5.2. Liste des Sous-traitants ultérieurs actuels et notification des nouveaux Sous-traitants ultérieurs. La liste actuelle des Sous-traitants ultérieurs participant au Traitement des Données à caractère personnel pour l’exécution de chaque Service applicable, y compris une description de leurs activités de traitement et des pays où ils sont établis, est disponible sur le site web d’Opigno Enterprise. Le Client consent par les présentes à ces Sous-traitants ultérieurs, à leur localisation et à leurs activités de traitement en ce qui concerne ses Données à caractère personnel. Les Clients peuvent contacter Connect-i pour s’abonner aux notifications de nouveaux Sous-traitants ultérieurs pour chaque Service applicable ; si le Client s’y abonne, Connect-i lui notifie tout nouveau Sous-traitant ultérieur avant d’autoriser ce ou ces nouveaux Sous-traitants ultérieurs à Traiter des Données à caractère personnel dans le cadre de la fourniture des Services applicables.

5.3. Droit d’opposition aux nouveaux Sous-traitants ultérieurs. Le Client peut s’opposer au recours par Connect-i à un nouveau Sous-traitant ultérieur en le notifiant sans délai par écrit à Connect-i dans un délai de trente (30) jours à compter de la réception de la notification de Connect-i, conformément au mécanisme prévu à la section 5.2. Si le Client s’oppose à un nouveau Sous-traitant ultérieur comme le permet la phrase précédente, Connect-i déploie des efforts raisonnables pour mettre à la disposition du Client une modification des Services ou pour lui recommander une modification commercialement raisonnable de sa configuration ou de son utilisation des Services, afin d’éviter le Traitement des Données à caractère personnel par le nouveau Sous-traitant ultérieur faisant l’objet de l’opposition, sans imposer de charge déraisonnable au Client. Si Connect-i n’est pas en mesure de mettre à disposition une telle modification dans un délai raisonnable, qui ne peut excéder soixante (60) jours, le Client peut résilier le ou les Bons de commande applicables, uniquement en ce qui concerne les Services qui ne peuvent être fournis par Connect-i sans recourir au nouveau Sous-traitant ultérieur faisant l’objet de l’opposition, en adressant une notification écrite à Connect-i. Connect-i rembourse au Client tous les frais payés d’avance couvrant la durée restante de ce ou ces Bons de commande à compter de la date d’effet de la résiliation, en ce qui concerne les Services résiliés, sans imposer de pénalité au Client pour cette résiliation.

5.4. Responsabilité. Connect-i est responsable des actes et omissions de ses Sous-traitants ultérieurs dans la même mesure que si elle exécutait elle-même les services de chaque Sous-traitant ultérieur directement aux termes du présent DPA, sauf disposition contraire du Contrat.

6. SÉCURITÉ

6.1. Contrôles visant à protéger les Données du Client. Connect-i maintient des mesures techniques et organisationnelles appropriées pour protéger la sécurité (y compris la protection contre le Traitement non autorisé ou illicite et contre la destruction, la perte, l’altération ou l’endommagement accidentels ou illicites, ainsi que contre la divulgation non autorisée des Données du Client ou l’accès non autorisé à celles-ci), la confidentialité et l’intégrité des Données du Client. Connect-i contrôle régulièrement le respect de ces mesures. Connect-i ne réduira pas de manière significative le niveau global de sécurité des Services pendant la durée d’un abonnement.

6.2. Audit. Connect-i maintient un programme d’audit afin de contribuer à garantir le respect des obligations énoncées dans le présent DPA et met à la disposition du Client les informations permettant de démontrer le respect des obligations énoncées dans le présent DPA, y compris les obligations requises par les Lois et réglementations sur la protection des données applicables, conformément à la présente section 6.2.

6.2.1. Audit sur site. Le Client peut contacter Connect-i pour demander un audit sur site des activités de Traitement de Connect-i couvertes par le présent DPA (« Audit sur site »). Un Audit sur site peut être réalisé par le Client lui-même ou par l’intermédiaire d’un Auditeur tiers (tel que défini ci-dessous à la section 6.2.4) choisi par le Client lorsque :

(i) le Client a reçu de Connect-i la notification d’un Incident relatif aux Données du Client ; ou

(ii) un tel audit est exigé par les Lois et réglementations sur la protection des données ou par l’autorité de contrôle compétente du Client.

Les Audits sur site sont limités aux installations de Traitement et de stockage des Données du Client exploitées par Connect-i ou par l’une des Sociétés affiliées de Connect-i. Le Client reconnaît que Connect-i exploite un environnement cloud mutualisé (multi-tenant). En conséquence, Connect-i a le droit d’adapter raisonnablement le périmètre de tout Audit sur site afin d’éviter ou de limiter les risques concernant notamment les niveaux de service, la disponibilité et la confidentialité des informations des autres clients de Connect-i.

6.2.2. Exercice raisonnable des droits. Un Audit sur site est réalisé par le Client ou son Auditeur tiers :

(i) de manière raisonnable, de bonne foi et proportionnée, compte tenu de la nature et de la complexité des Services utilisés par le Client ;

(ii) au maximum une fois par an, moyennant un préavis écrit d’au moins trois semaines. Si une urgence justifie un préavis plus court, Connect-i s’efforcera de bonne foi de donner suite à la demande d’Audit sur site ; et

(iii) pendant les heures normales de bureau de Connect-i, pour une durée raisonnable et sans perturber de manière déraisonnable les activités quotidiennes de Connect-i.

Avant le début de tout Audit sur site, le Client et Connect-i conviennent d’un commun accord du périmètre, du calendrier et de la durée de l’audit, ainsi que du taux de remboursement à la charge du Client. Tous les taux de remboursement doivent être raisonnables, compte tenu des ressources mobilisées par Connect-i ou pour son compte.

6.2.3. Auditeur tiers. Un Auditeur tiers désigne un prestataire indépendant tiers qui n’est pas un concurrent de Connect-i. Un Audit sur site peut être réalisé par l’intermédiaire d’un Auditeur tiers si :

(i) avant l’Audit sur site, l’Auditeur tiers conclut un accord de non-divulgation contenant des dispositions de confidentialité qui ne sont pas moins protectrices que celles prévues dans le Contrat, afin de protéger les informations exclusives de Connect-i ; et

(ii) les frais de l’Auditeur tiers sont à la charge du Client.

6.2.4. Constatations. Le Client doit communiquer sans délai à Connect-i les informations relatives à toute non-conformité constatée au cours d’un Audit sur site.

6.3. Analyse d’impact relative à la protection des données. À la demande du Client, Connect-i fournit au Client la coopération et l’assistance raisonnables nécessaires pour lui permettre de s’acquitter de son obligation, en vertu des Lois et réglementations sur la protection des données, de réaliser une analyse d’impact relative à la protection des données en lien avec son utilisation des Services, dans la mesure où le Client n’a pas autrement accès aux informations pertinentes et dans la mesure où ces informations sont à la disposition de Connect-i.

7. GESTION ET NOTIFICATION DES INCIDENTS RELATIFS AUX DONNÉES DU CLIENT

Connect-i maintient des politiques et procédures de gestion des incidents de sécurité précisées dans la Documentation relative à la sécurité, à la confidentialité et à l’architecture et informe le Client dans les meilleurs délais après avoir pris connaissance de la destruction, de la perte, de l’altération, de la divulgation non autorisée ou de l’accès non autorisé, de manière accidentelle ou illicite, à des Données du Client, y compris des Données à caractère personnel, transmises, conservées ou autrement Traitées par Connect-i ou ses Sous-traitants ultérieurs, dont Connect-i prend connaissance (un « Incident relatif aux Données du Client »). Connect-i déploie des efforts raisonnables pour identifier la cause de cet Incident relatif aux Données du Client et prend les mesures qu’elle juge nécessaires et raisonnables pour remédier à la cause d’un tel Incident relatif aux Données du Client, dans la mesure où cette mesure corrective relève de son contrôle raisonnable. Les obligations prévues aux présentes ne s’appliquent pas aux incidents causés par le Client ou par les Utilisateurs du Client.

8. DEMANDES D’ACCÈS DES AUTORITÉS PUBLIQUES

8.1. Exigences applicables à Connect-i. En sa qualité de Sous-traitant, Connect-i maintient des mesures appropriées pour protéger les Données à caractère personnel conformément aux exigences des Lois et réglementations sur la protection des données, notamment en mettant en œuvre des garanties techniques et organisationnelles appropriées pour protéger les Données à caractère personnel contre toute ingérence allant au-delà de ce qui est nécessaire dans une société démocratique pour préserver la sécurité nationale, la défense et la sécurité publique. Si Connect-i reçoit d’une Autorité publique une demande juridiquement contraignante d’accès à des Données à caractère personnel, Connect-i en informe sans délai le Client, sauf interdiction légale, en joignant un résumé de la nature de la demande. Dans la mesure où la loi interdit à Connect-i de procéder à cette notification, Connect-i déploie des efforts commercialement raisonnables pour obtenir une levée de l’interdiction afin de pouvoir communiquer le plus d’informations possible, le plus rapidement possible. En outre, Connect-i conteste la demande si, après une évaluation approfondie, elle conclut qu’il existe des motifs raisonnables de considérer que la demande est illicite. Connect-i exerce les voies de recours disponibles. Lorsqu’elle conteste une demande, Connect-i sollicite des mesures provisoires en vue de suspendre les effets de la demande jusqu’à ce que l’autorité judiciaire compétente se soit prononcée sur le fond. Elle ne divulgue pas les Données à caractère personnel demandées tant qu’elle n’y est pas tenue en vertu des règles de procédure applicables. Connect-i s’engage à fournir le minimum d’informations autorisé lorsqu’elle répond à une demande de divulgation, sur la base d’une interprétation raisonnable de la demande. Connect-i informe sans délai le Client si elle a connaissance d’un accès direct d’une Autorité publique à des Données à caractère personnel et lui fournit les informations dont elle dispose à cet égard, dans la mesure où la loi le permet. Pour lever toute ambiguïté, le présent DPA n’impose pas à Connect-i d’agir ou de s’abstenir d’agir d’une manière susceptible d’entraîner pour Connect-i une sanction civile ou pénale, telle qu’une sanction pour outrage au tribunal. Connect-i certifie qu’elle (1) n’a pas délibérément créé de portes dérobées (backdoors) ou de programmation similaire dans le but de permettre à une Autorité publique d’accéder aux Services et/ou aux Données à caractère personnel ; (2) n’a pas délibérément créé ou modifié ses processus opérationnels de manière à faciliter l’accès d’une Autorité publique aux Services et/ou aux Données à caractère personnel ; et (3) à la Date d’entrée en vigueur, n’a connaissance d’aucune loi nationale ni d’aucune politique gouvernementale l’obligeant à créer ou à maintenir des portes dérobées, ou à faciliter l’accès aux Services et/ou aux Données à caractère personnel, à conserver en sa possession des clés de chiffrement ou à remettre la clé de chiffrement à un tiers.

8.2. Exigences applicables aux Sous-traitants ultérieurs. Connect-i veille à ce que les Sous-traitants ultérieurs participant au Traitement des Données à caractère personnel soient soumis aux engagements pertinents relatifs aux demandes d’accès des autorités publiques prévus dans les Clauses contractuelles types et dans les BCR Sous-traitant de Connect-i.

9. RESTITUTION ET SUPPRESSION DES DONNÉES DU CLIENT

Connect-i restitue les Données du Client au Client et, dans la mesure permise par la loi applicable, supprime les Données du Client conformément aux lois applicables. Tant que les Données du Client n’ont pas été supprimées ou restituées, Connect-i continue de se conformer au présent DPA et à ses Annexes.

10. SOCIÉTÉS AFFILIÉES AUTORISÉES

10.1. Relation contractuelle. Les parties reconnaissent et conviennent qu’en signant le Contrat, le Client conclut le présent DPA en son nom propre et, le cas échéant, au nom et pour le compte de ses Sociétés affiliées autorisées, établissant ainsi un DPA distinct entre Connect-i et chacune de ces Sociétés affiliées autorisées, sous réserve des dispositions du Contrat, de la présente section 10 et de la section 11. Chaque Société affiliée autorisée accepte d’être liée par les obligations découlant du présent DPA et, le cas échéant, du Contrat. Pour lever toute ambiguïté, une Société affiliée autorisée n’est pas et ne devient pas partie au Contrat ; elle est uniquement partie au présent DPA. Tout accès aux Services et au Contenu et toute utilisation de ceux-ci par les Sociétés affiliées autorisées doivent être conformes aux conditions générales du Contrat, et toute violation des conditions générales du Contrat par une Société affiliée autorisée est réputée constituer une violation par le Client.

10.2. Communication. Le Client qui est la partie contractante au Contrat demeure responsable de la coordination de toutes les communications avec Connect-i dans le cadre du présent DPA et est habilité à effectuer et à recevoir toute communication relative au présent DPA pour le compte de ses Sociétés affiliées autorisées.

10.3. Droits des Sociétés affiliées autorisées. Lorsqu’une Société affiliée autorisée devient partie au présent DPA conclu avec Connect-i, elle est habilitée, dans la mesure requise par les Lois et réglementations sur la protection des données applicables, à exercer les droits et à former les recours prévus par le présent DPA, sous réserve de ce qui suit :

10.3.1. Sauf lorsque les Lois et réglementations sur la protection des données applicables exigent que la Société affiliée autorisée exerce elle-même directement un droit ou forme un recours à l’encontre de Connect-i en vertu du présent DPA, les parties conviennent que (i) seul le Client qui est la partie contractante au Contrat exerce un tel droit ou forme un tel recours pour le compte de la Société affiliée autorisée, et (ii) le Client qui est la partie contractante au Contrat exerce ces droits en vertu du présent DPA non pas séparément pour chaque Société affiliée autorisée, mais de manière groupée pour lui-même et l’ensemble de ses Sociétés affiliées autorisées (comme indiqué, par exemple, à la section 10.3.2 ci-dessous).

10.3.2. Les parties conviennent que le Client qui est la partie contractante au Contrat, lorsqu’il réalise un Audit sur site des procédures pertinentes pour la protection des Données à caractère personnel, prend toutes les mesures raisonnables pour limiter l’impact sur Connect-i et ses Sous-traitants ultérieurs en regroupant, dans la mesure raisonnablement possible, plusieurs demandes d’audit effectuées pour son propre compte et pour celui de l’ensemble de ses Sociétés affiliées autorisées en un seul et même audit.

11. LIMITATION DE RESPONSABILITÉ

La responsabilité de chaque partie et de l’ensemble de ses Sociétés affiliées, prises ensemble et de manière cumulée, découlant du présent DPA et de l’ensemble des DPA conclus entre les Sociétés affiliées autorisées et Connect-i, ou s’y rapportant, qu’elle soit contractuelle, délictuelle ou fondée sur toute autre théorie de la responsabilité, est soumise à la section « Limitation de responsabilité » du Contrat, et toute référence dans cette section à la responsabilité d’une partie désigne la responsabilité cumulée de cette partie et de l’ensemble de ses Sociétés affiliées en vertu du Contrat et de l’ensemble des DPA réunis.

Pour lever toute ambiguïté, la responsabilité totale de Connect-i et de ses Sociétés affiliées pour toutes les réclamations du Client et de l’ensemble de ses Sociétés affiliées autorisées découlant du Contrat et de l’ensemble des DPA, ou s’y rapportant, s’applique de manière cumulée à toutes les réclamations formées en vertu du Contrat et de l’ensemble des DPA établis en vertu du Contrat, y compris par le Client et l’ensemble des Sociétés affiliées autorisées, et, en particulier, ne saurait être interprétée comme s’appliquant individuellement et séparément au Client et/ou à toute Société affiliée autorisée qui est partie contractante à un tel DPA.

12. DISPOSITIONS SPÉCIFIQUES À L’EUROPE

12.1. Définitions. Aux fins de la présente section 12 et de l’Annexe 1, les termes suivants sont définis comme suit :

« Clauses de transfert UE RT-ST » désigne les sections I, II, III et IV (selon le cas) des Clauses contractuelles types, dans la mesure où elles se réfèrent au module deux (transfert de responsable du traitement à sous-traitant).

« Clauses de transfert UE ST-ST » désigne les sections I, II, III et IV (selon le cas) des Clauses contractuelles types, dans la mesure où elles se réfèrent au module trois (transfert de sous-traitant à sous-traitant).

12.2. RGPD. Connect-i Traite les Données à caractère personnel conformément aux exigences du RGPD directement applicables à la fourniture de ses Services par Connect-i.

12.3. Mécanismes de transfert des données. Si, dans le cadre de l’exécution des Services, des Données à caractère personnel soumises au RGPD ou à toute autre loi relative à la protection des personnes ou de la vie privée applicable en Europe sont transférées hors d’Europe vers des pays qui n’assurent pas un niveau de protection des données adéquat au sens des Lois et réglementations européennes sur la protection des données, les mécanismes de transfert énumérés ci-dessous s’appliquent à ces transferts et peuvent être directement invoqués par les Parties dans la mesure où ces transferts sont soumis aux Lois et réglementations européennes sur la protection des données :

  • Les BCR Sous-traitant de Connect-i sous réserve des conditions supplémentaires prévues à la section 1 de l’Annexe 1 ;
  • Les Clauses de transfert UE RT-ST. Lorsque le Client et/ou sa Société affiliée autorisée est un Responsable du traitement et un exportateur de Données à caractère personnel et que Connect-i est un Sous-traitant et un importateur de données à l’égard de ces Données à caractère personnel, les Parties se conforment aux Clauses de transfert UE RT-ST, sous réserve des conditions supplémentaires prévues à la section 2 de l’Annexe 1 ; et/ou
  • Les Clauses de transfert UE ST-ST. Lorsque le Client et/ou sa Société affiliée autorisée est un Sous-traitant agissant pour le compte d’un Responsable du traitement et un exportateur de Données à caractère personnel et que Connect-i est un Sous-traitant et un importateur de données à l’égard de ces Données à caractère personnel, les Parties se conforment aux conditions des Clauses de transfert UE ST-ST, sous réserve des conditions supplémentaires prévues aux sections 2 et 3 de l’Annexe 1.

12.4. Incidence des lois locales. À la Date d’entrée en vigueur, Connect-i n’a aucune raison de croire que les lois et pratiques de tout pays tiers de destination applicables à son Traitement des Données à caractère personnel, y compris toute exigence de divulgation de Données à caractère personnel ou toute mesure autorisant l’accès par une Autorité publique, empêchent Connect-i de s’acquitter de ses obligations au titre du présent DPA. Si Connect-i a des motifs raisonnables de croire que des lois et pratiques existantes ou futures, adoptées ou exécutoires, dans le pays tiers de destination et applicables à son Traitement des Données à caractère personnel (les « Lois locales ») l’empêchent de s’acquitter de ses obligations au titre du présent DPA, elle en informe sans délai le Client. Dans ce cas, Connect-i déploie des efforts raisonnables pour mettre à la disposition du Client concerné une modification des Services ou pour lui recommander une modification commercialement raisonnable de sa configuration ou de son utilisation des Services, afin de faciliter le respect des Lois locales sans imposer de charge déraisonnable au Client. Si Connect-i n’est pas en mesure de mettre rapidement à disposition une telle modification, le Client peut résilier le ou les Bons de commande applicables et suspendre le transfert de Données à caractère personnel, uniquement en ce qui concerne les Services qui ne peuvent être fournis par Connect-i conformément aux Lois locales, en adressant une notification écrite conformément à la section « Notifications » du Contrat. Le Client reçoit le remboursement de tous les frais payés d’avance pour la période suivant la date d’effet de la résiliation de ces Services résiliés.

13. EFFET JURIDIQUE

Le présent DPA ne devient juridiquement contraignant entre le Client et Connect-i qu’une fois que les formalités prévues à la section « COMMENT CONCLURE LE PRÉSENT DPA » ci-dessus ont été intégralement accomplies.

Liste des Annexes

Annexe 1 : Mécanismes de transfert pour les transferts de données européens

Annexe 2 : Description du Traitement/Transfert

ANNEXE 1 - MÉCANISMES DE TRANSFERT POUR LES TRANSFERTS DE DONNÉES EUROPÉENS

1. CONDITIONS SUPPLÉMENTAIRES APPLICABLES AUX SERVICES BCR

1.1. Instructions et notifications. Lorsque le Client agit en tant que Sous-traitant sur instruction du Responsable du traitement concerné des Données à caractère personnel, le Client reconnaît et accepte que les engagements contenus dans les BCR Sous-traitant de Connect-i bénéficient au Responsable du traitement final. Il incombe au Client de s’assurer que ses instructions de Traitement telles qu’énoncées dans le Contrat et dans le présent DPA, y compris les autorisations qu’il accorde à Connect-i pour la désignation de Sous-traitants ultérieurs conformément au présent DPA, ont été autorisées par le Responsable du traitement concerné. Le Client est également seul responsable de la transmission au Responsable du traitement concerné, le cas échéant, de toute notification reçue de Connect-i.

1.2. Audits des Services BCR. Les Parties conviennent que les audits des Services BCR décrits dans les BCR sont réalisés conformément à la section 6.2 du DPA.

1.3. Référence aux BCR Sous-traitant de Connect-i. Toutes les dispositions contenues dans les BCR Sous-traitant de Connect-i sont intégrées par renvoi et font partie intégrante du présent DPA.

1.4. Responsabilité. Conformément au Contrat, le Client a le droit de faire valoir les BCR Sous-traitant de Connect-i à l’encontre de Connect-i, y compris par des recours juridictionnels et le droit d’obtenir réparation.

1.5. Conflit. En cas de conflit ou d’incohérence entre le présent DPA et les BCR Sous-traitant de Connect-i, les BCR Sous-traitant de Connect-i prévalent.

2. DISPOSITIONS OPÉRATIONNELLES ET CONDITIONS SUPPLÉMENTAIRES RELATIVES AUX CLAUSES CONTRACTUELLES TYPES

Aux fins des Clauses de transfert UE RT-ST et des Clauses de transfert UE ST-ST, le Client est l’exportateur de données et Connect-i est l’importateur de données, et les Parties conviennent de ce qui suit. Si et dans la mesure où une Société affiliée autorisée se fonde sur les Clauses de transfert UE RT-ST ou sur les Clauses de transfert UE ST-ST pour le transfert de Données à caractère personnel, toute référence au « Client » dans la présente Annexe inclut cette Société affiliée autorisée. Lorsque la présente section 2 ne mentionne pas explicitement les Clauses de transfert UE RT-ST ou les Clauses de transfert UE ST-ST, elle s’applique aux unes comme aux autres.

2.1. Référence aux Clauses contractuelles types. Les dispositions pertinentes contenues dans les Clauses contractuelles types sont intégrées par renvoi et font partie intégrante du présent DPA. Les informations requises aux fins de l’Appendice des Clauses contractuelles types figurent à l’Annexe 2.

2.2. Clause d’adhésion. L’option prévue à la clause 7 ne s’applique pas.

2.3. Instructions. Le présent DPA et le Contrat constituent les instructions documentées complètes et définitives données par le Client à Connect-i, au moment de la signature du Contrat, pour le Traitement des Données à caractère personnel. Toute instruction supplémentaire ou différente doit être compatible avec les conditions du présent DPA et du Contrat. Aux fins de la clause 8.1, point a), les instructions du Client relatives au Traitement des Données à caractère personnel sont énoncées à la section 2.3 du présent DPA et incluent les transferts ultérieurs à un tiers situé hors d’Europe aux fins de l’exécution des Services.

2.4. Certification de la suppression. Les parties conviennent que la certification de la suppression des Données à caractère personnel visée à la clause 8.5 et à la clause 16, point d), des Clauses contractuelles types n’est fournie par Connect-i au Client que sur demande écrite du Client.

2.5. Sécurité du Traitement. Aux fins de la clause 8.6, point a), le Client est seul responsable de déterminer de manière indépendante si les mesures techniques et organisationnelles décrites dans la Documentation relative à la sécurité, à la confidentialité et à l’architecture répondent à ses exigences, et il convient que (compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du Traitement de ses Données à caractère personnel, ainsi que des risques pour les personnes) les mesures et politiques de sécurité mises en œuvre et maintenues par Connect-i offrent un niveau de sécurité adapté au risque en ce qui concerne ses Données à caractère personnel. Aux fins de la clause 8.6, point c), les violations de données à caractère personnel sont traitées conformément à la section 7 (Gestion et notification des incidents relatifs aux Données du Client) du présent DPA.

2.6. Audits au titre des CCT. Les parties conviennent que les audits visés à la clause 8.9 des Clauses contractuelles types sont réalisés conformément à la section 6.2 du présent DPA.

2.7. Autorisation générale de recours à des Sous-traitants ultérieurs. L’option 2 de la clause 9 s’applique. Aux fins de la clause 9, point a), Connect-i dispose de l’autorisation générale du Client pour engager des Sous-traitants ultérieurs conformément à la section 5 du présent DPA. Connect-i met à la disposition du Client la liste actuelle des Sous-traitants ultérieurs conformément à la section 5.2 du présent DPA.

2.8. Notification des nouveaux Sous-traitants ultérieurs et droit d’opposition aux nouveaux Sous-traitants ultérieurs. Conformément à la clause 9, point a), le Client reconnaît et accepte expressément que Connect-i peut engager de nouveaux Sous-traitants ultérieurs selon les modalités décrites aux sections 5.2 et 5.3 du présent DPA. Connect-i informe le Client de toute modification concernant les Sous-traitants ultérieurs selon la procédure prévue à la section 5.2 du présent DPA.

2.9. Réclamations - Recours. Aux fins de la clause 11, et sous réserve de la section 3 du présent DPA, Connect-i informe les personnes concernées, sur son site web, d’un point de contact habilité à traiter les réclamations. Connect-i informe le Client si elle reçoit une réclamation ou un litige d’une Personne concernée concernant des Données à caractère personnel et communique la réclamation ou le litige au Client dans les meilleurs délais. Connect-i n’a pas d’autre obligation de traiter la demande (sauf accord contraire avec le Client). L’option prévue à la clause 11 ne s’applique pas.

2.10. Responsabilité. La responsabilité de Connect-i au titre de la clause 12, point b), est limitée aux dommages causés par son Traitement lorsque Connect-i n’a pas respecté les obligations du RGPD qui incombent spécifiquement aux Sous-traitants, ou lorsqu’elle a agi en dehors des instructions licites du Client ou contrairement à celles-ci, comme le prévoit l’article 82 du RGPD.

2.11. Contrôle. La clause 13 s’applique comme suit :

2.11.1. Lorsque le Client est établi dans un État membre de l’UE, l’autorité de contrôle chargée de veiller au respect, par le Client, du règlement (UE) 2016/679 en ce qui concerne le transfert de données agit en qualité d’autorité de contrôle compétente.

2.11.2. Lorsque le Client n’est pas établi dans un État membre de l’UE, mais relève du champ d’application territorial du règlement (UE) 2016/679 conformément à son article 3, paragraphe 2, et a désigné un représentant en vertu de l’article 27, paragraphe 1, du règlement (UE) 2016/679, l’autorité de contrôle de l’État membre dans lequel est établi le représentant au sens de l’article 27, paragraphe 1, du règlement (UE) 2016/679 agit en qualité d’autorité de contrôle compétente.

2.11.3. Lorsque le Client n’est pas établi dans un État membre de l’UE, mais relève du champ d’application territorial du règlement (UE) 2016/679 conformément à son article 3, paragraphe 2, sans toutefois être tenu de désigner un représentant en vertu de l’article 27, paragraphe 2, du règlement (UE) 2016/679, la Commission nationale de l’informatique et des libertés (CNIL) - 3 Place de Fontenoy, 75007 Paris, France agit en qualité d’autorité de contrôle compétente.

2.11.4. Lorsque le Client est établi au Royaume-Uni ou relève du champ d’application territorial des Lois et réglementations sur la protection des données du Royaume-Uni (les « Lois et réglementations britanniques sur la protection des données »), l’Information Commissioner’s Office (l’« ICO ») agit en qualité d’autorité de contrôle compétente.

2.11.5. Lorsque le Client est établi en Suisse ou relève du champ d’application territorial des Lois et réglementations sur la protection des données de la Suisse (les « Lois et réglementations suisses sur la protection des données »), le Préposé fédéral à la protection des données et à la transparence (PFPDT) agit en qualité d’autorité de contrôle compétente dans la mesure où le transfert de données concerné est régi par les Lois et réglementations suisses sur la protection des données.

2.12. Notification des demandes d’accès des autorités publiques. Aux fins de la clause 15.1, point a), Connect-i informe (uniquement) le Client, et non la ou les Personnes concernées, en cas de demande d’accès émanant d’une autorité publique. Le Client est seul responsable d’informer sans délai la Personne concernée, si nécessaire.

2.13. Droit applicable, juridiction. Le droit applicable est celui désigné dans la section « Droit applicable, juridiction » du Contrat.

2.14. Appendice. L’Appendice est complété comme suit :

  • Le contenu de la section 1 de l’Annexe 2 constitue l’annexe I.A des Clauses contractuelles types
  • Le contenu des sections 2 à 9 de l’Annexe 2 constitue l’annexe I.B des Clauses contractuelles types
  • Le contenu de la section 10 de l’Annexe 2 constitue l’annexe I.C des Clauses contractuelles types
  • Le contenu de la section 11 de l’Annexe 2 de la présente pièce constitue l’annexe II des Clauses contractuelles types.

2.15. Exportations de données depuis le Royaume-Uni en vertu des Clauses contractuelles types. Pour les transferts de données régis par les Lois et réglementations britanniques sur la protection des données, s’appliquent les Clauses obligatoires de l’Avenant approuvé, à savoir le modèle d’avenant B.1.0 publié par l’ICO et déposé devant le Parlement conformément à l’article 119A du Data Protection Act 2018 le 2 février 2022, tel que révisé en vertu de la section 18 de ces Clauses obligatoires (l’« Avenant approuvé »). Les informations requises pour les tableaux 1 à 3 de la première partie de l’Avenant approuvé figurent à l’Annexe 2 du présent DPA (le cas échéant). Aux fins du tableau 4 de la première partie de l’Avenant approuvé, aucune des parties ne peut mettre fin à l’Avenant approuvé lorsque celui-ci est modifié.

2.16. Exportations de données depuis la Suisse en vertu des Clauses contractuelles types. Pour les transferts de données régis par les Lois suisses sur la protection des données, les Clauses contractuelles types s’appliquent également au transfert d’informations se rapportant à une personne morale identifiée ou identifiable, lorsque ces informations bénéficient d’une protection similaire à celle des Données à caractère personnel en vertu des Lois suisses sur la protection des données, jusqu’à ce que ces lois soient modifiées pour ne plus s’appliquer aux personnes morales. Dans ce cas, les références générales et spécifiques des Clauses contractuelles types au RGPD ou au droit de l’UE ou d’un État membre ont la même signification que la référence équivalente dans les Lois suisses sur la protection des données.

2.17. Conflit. Les Clauses contractuelles types sont soumises au présent DPA et aux garanties supplémentaires qui y sont prévues. Les droits et obligations conférés par les Clauses contractuelles types s’exercent conformément au présent DPA, sauf indication contraire. En cas de conflit ou d’incohérence entre le corps du présent DPA et les Clauses contractuelles types, les Clauses contractuelles types prévalent.

3. CONDITIONS SUPPLÉMENTAIRES APPLICABLES AUX CLAUSES DE TRANSFERT UE ST-ST

Aux fins des Clauses de transfert UE ST-ST (uniquement), les Parties conviennent de ce qui suit.

3.1. Instructions et notifications. Aux fins de la clause 8.1, point a), le Client informe par les présentes Connect-i qu’il agit en tant que Sous-traitant sur instruction du Responsable du traitement concerné en ce qui concerne les Données à caractère personnel. Le Client garantit que ses instructions de Traitement telles qu’énoncées dans le Contrat et dans le présent DPA, y compris les autorisations qu’il accorde à Connect-i pour la désignation de Sous-traitants ultérieurs conformément au présent DPA, ont été autorisées par le Responsable du traitement concerné. Le Client est seul responsable de la transmission au Responsable du traitement concerné, le cas échéant, de toute notification reçue de Connect-i.

3.2. Sécurité du Traitement. Aux fins de la clause 8.6, points c) et d), Connect-i notifie au Client toute violation de données à caractère personnel concernant des Données à caractère personnel Traitées par Connect-i.

3.3. Documentation et conformité. Aux fins de la clause 8.9, toutes les demandes d’informations du Responsable du traitement concerné sont transmises à Connect-i par le Client. Si Connect-i reçoit une demande d’informations directement d’un Responsable du traitement, elle la transmet au Client, et le Client est seul responsable de répondre, le cas échéant, à toute demande de ce type émanant du Responsable du traitement concerné.

3.4. Droits des Personnes concernées. Aux fins de la clause 10 et sous réserve de la section 3 du présent DPA, Connect-i informe le Client de toute demande qu’elle a reçue directement d’une Personne concernée, sans être tenue de la traiter (sauf accord contraire), mais n’en informe pas le Responsable du traitement concerné. Le Client est seul responsable de coopérer avec le Responsable du traitement concerné pour s’acquitter des obligations pertinentes de réponse à une telle demande.

ANNEXE 2 - DESCRIPTION DU TRAITEMENT/TRANSFERT

1. LISTE DES PARTIES

Exportateur(s) de données : Identité et coordonnées du ou des exportateurs de données et, le cas échéant, de leur délégué à la protection des données et/ou de leur représentant dans l’Union européenne

Nom : le Client et ses Sociétés affiliées autorisées.

Adresse :

Nom, fonction et coordonnées de la personne de contact :

Activités en rapport avec les données transférées au titre des présentes clauses : exécution des Services en vertu du Contrat et telles que décrites plus en détail dans la Documentation.

Signature et date :

Rôle : aux fins des Clauses de transfert UE RT-ST, le Client et/ou sa Société affiliée autorisée est un Responsable du traitement. Aux fins des Clauses de transfert UE ST-ST, le Client et/ou sa Société affiliée autorisée est un Sous-traitant.

Importateur(s) de données : Identité et coordonnées du ou des importateurs de données, y compris de toute personne de contact responsable de la protection des données

Nom : Connect-i Sàrl

Adresse : Tresi 6C, 1028 Préverenges, Suisse

Nom, fonction et coordonnées de la personne de contact : Axel Minck, directeur général, privacy@connect-i.ch

Activités en rapport avec les données transférées au titre des présentes clauses : exécution des Services en vertu du Contrat et telles que décrites plus en détail dans la Documentation.

Signature et date :

Rôle : Sous-traitant

2. CATÉGORIES DE PERSONNES CONCERNÉES DONT LES DONNÉES À CARACTÈRE PERSONNEL SONT TRANSFÉRÉES

Le Client peut soumettre aux Services des Données à caractère personnel, dont l’étendue est déterminée et contrôlée par le Client à sa seule discrétion, et qui peuvent inclure, sans s’y limiter, des Données à caractère personnel relatives aux catégories de personnes concernées suivantes :

  • Prospects, clients, partenaires commerciaux et fournisseurs du Client (personnes physiques)
  • Employés ou personnes de contact des prospects, clients, partenaires commerciaux et fournisseurs du Client
  • Employés, agents, conseillers et travailleurs indépendants du Client (personnes physiques)
  • Utilisateurs du Client autorisés par le Client à utiliser les Services

3. CATÉGORIES DE DONNÉES À CARACTÈRE PERSONNEL TRANSFÉRÉES

Le Client peut soumettre aux Services des Données à caractère personnel, dont l’étendue est déterminée et contrôlée par le Client à sa seule discrétion, et qui peuvent inclure, sans s’y limiter, les catégories de Données à caractère personnel suivantes :

  • Prénom
  • Nom de famille
  • Nom d’utilisateur
  • Photo
  • Adresse e-mail (professionnelle ou privée)
  • Rôle
  • Langue
  • Parcours professionnel
  • Résultats (réponses et notes obtenues aux questionnaires)
  • Messages internes (si la fonctionnalité est activée)

4. DONNÉES SENSIBLES TRANSFÉRÉES (LE CAS ÉCHÉANT)

Données sensibles transférées (le cas échéant) et restrictions ou garanties appliquées qui tiennent pleinement compte de la nature des données et des risques encourus, telles que, par exemple, une limitation stricte des finalités, des restrictions d’accès (y compris un accès réservé au personnel ayant suivi une formation spécialisée), la tenue d’un registre des accès aux données, des restrictions applicables aux transferts ultérieurs ou des mesures de sécurité supplémentaires :

L’exportateur de données peut soumettre aux Services des catégories particulières de données, dont l’étendue est déterminée et contrôlée par l’exportateur de données à sa seule discrétion, à savoir, pour plus de clarté, des Données à caractère personnel révélant l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que le traitement de données génétiques, de données biométriques aux fins d’identifier une personne physique de manière unique, de données concernant la santé ou de données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique.

5. FRÉQUENCE DU TRANSFERT

Fréquence du transfert (par exemple, si les données sont transférées de manière ponctuelle ou continue) :

De manière continue, en fonction de l’utilisation des Services par le Client.

6. NATURE DU TRAITEMENT

La nature du Traitement est l’exécution des Services en vertu du Contrat.

7. FINALITÉ DU TRAITEMENT, DU TRANSFERT DE DONNÉES ET DU TRAITEMENT ULTÉRIEUR

Connect-i Traite les Données à caractère personnel dans la mesure nécessaire à l’exécution des Services en vertu du Contrat, tels que précisés dans la Documentation, et conformément aux instructions complémentaires du Client dans le cadre de son utilisation des Services.

8. DURÉE DU TRAITEMENT

Durée pendant laquelle les données à caractère personnel seront conservées ou, lorsque ce n’est pas possible, critères utilisés pour déterminer cette durée :

Sous réserve de la section 9 du DPA, Connect-i Traite les Données à caractère personnel pendant toute la durée du Contrat, sauf accord contraire écrit.

9. TRANSFERTS AUX SOUS-TRAITANTS ULTÉRIEURS

Pour les transferts à des sous-traitants (ultérieurs), préciser également l’objet, la nature et la durée du traitement :

Conformément au point 7 ci-dessus, le Sous-traitant ultérieur Traite les Données à caractère personnel dans la mesure nécessaire à l’exécution des Services en vertu du Contrat. Sous réserve de la section 9 du présent DPA, le Sous-traitant ultérieur Traite les Données à caractère personnel pendant toute la durée du Contrat, sauf accord contraire écrit.

L’identité des Sous-traitants ultérieurs auxquels il est fait appel pour la fourniture des Services et leur pays d’établissement sont indiqués sur le site web d’Opigno Enterprise.

10. AUTORITÉ DE CONTRÔLE COMPÉTENTE

Désigner la ou les autorités de contrôle compétentes conformément à la clause 13 : l’autorité de contrôle désignée à la section 2.11 de l’Annexe 1 agit en qualité d’autorité de contrôle compétente.

11. MESURES TECHNIQUES ET ORGANISATIONNELLES

L’importateur de données maintient des garanties administratives, physiques et techniques visant à protéger la sécurité, la confidentialité et l’intégrité des Données à caractère personnel téléversées dans les Services. L’importateur de données ne réduira pas de manière significative le niveau global de sécurité des Services pendant la durée d’un abonnement. Les Demandes de Personnes concernées sont traitées conformément à la section 3 du DPA.