Accord de traitement des données

Dans le cadre de la fourniture des Services au titre du Contrat, Olostep peut être amenée à traiter des Données du Client qui relèvent des catégories suivantes : « données à caractère personnel », « informations personnelles », « informations permettant d'identifier une personne », ou toute notion comparable en vertu de la législation applicable (« Données personnelles du client"). Les deux parties s'engagent à respecter le présent ATD ainsi que l'ensemble des lois relatives à la protection de la vie privée et des données qui s'appliquent au traitement des Données à caractère personnel du Client dans le cadre du Contrat — y compris, le cas échéant, les lois de l'Union européenne, de l'Espace économique européen et de ses États membres, de la Suisse, du Royaume-Uni et des États-Unis (notamment le California Consumer Privacy Act, le « CCPA») (ensemble, « »)Lois relatives à la protection des données").

Une description du Traitement — son objet, sa nature et sa finalité, les types de Données à caractère personnel du Client concernés, ainsi que les catégories de «Personnes concernées« (tels que définis par les lois applicables en matière de protection des données) » — figure dans Annexe I, qui fait partie intégrante du présent ATD.

Aux fins du présent ATD, le Client agit en qualité de « »Responsable du traitement« ou »Entreprise» (tels que ces termes sont définis par la législation applicable en matière de protection des données) et mandate Olostep pour agir en son nom en qualité de «Sous-traitant« ou »Prestataire de services« (tels que ces termes sont définis par la législation applicable en matière de protection des données). » Le Client reste responsable du respect des obligations que la loi sur la protection des données impose aux Responsables du traitement et aux Entreprises. Lorsque le Client traite lui-même des données pour le compte d'un autre Responsable du traitement (un « Responsable du traitement tiers»), le Client (i) est le seul point de contact d'Olostep, (ii) est responsable de l'obtention de toutes les autorisations requises auprès de ce Responsable du traitement tiers, et (iii) accepte de donner toutes les instructions et d'exercer tous les droits prévus par le présent ATD au nom de ce Responsable du traitement tiers.

Olostep maintiendra des mesures de sécurité techniques et organisationnelles appropriées, conçues pour assurer un niveau de sécurité proportionné aux risques liés au Traitement des Données à caractère personnel du Client, conformément (a) aux mesures décrites dans Annexe II et (b) SOC 2, ISO 27001, NIST 800-53, ou un cadre substantiellement équivalent, pendant toute la Durée.

Si Olostep prend connaissance d'un accès non autorisé — réel ou raisonnablement présumé — ou de tout autre traitement non autorisé des Données à caractère personnel du Client (un «Incident de sécurité»), Olostep en informera le Client sans retard injustifié et, en tout état de cause, dans un délai de 72 heures. Si la notification prend plus de temps, Olostep expliquera les raisons du retard en même temps que la notification.

En cas d'Incident de sécurité, Olostep prendra des mesures raisonnables pour (i) circonscrire l'incident et réduire la probabilité qu'il se reproduise, (ii) communiquer au Client les informations pertinentes dont Olostep a connaissance concernant l'incident, et (iii) proposer toute autre forme d'assistance commercialement raisonnable afin que le Client puisse respecter ses propres obligations en vertu des lois applicables en matière de protection des données.

Olostep effectuera des analyses de vulnérabilité sur la plateforme SaaS qu'elle utilise pour fournir les Services.

Olostep appliquera un chiffrement aux Données à caractère personnel du Client en utilisant des techniques robustes, reconnues dans le secteur, ainsi que des protocoles de sécurité à jour.

Le Client donne à Olostep une autorisation générale pour faire appel à des Sous-traitants tiers qui traitent les Données à caractère personnel du Client pour le compte d'Olostep (chacun étant désigné comme un «Sous-traitant ultérieur»). Les Sous-traitants ultérieurs actuellement utilisés par Olostep sont indiqués dans Annexe III.

Olostep conclura un contrat écrit avec chaque Sous-traitant ultérieur, qui l'obligera à respecter des obligations en matière de protection des données qui ne soient, sur le fond, pas moins protectrices que celles qu'Olostep accepte en vertu du présent Avenant relatif au traitement des données (DPA).

Avant de procéder à tout changement prévu concernant ses Sous-traitants ultérieurs, Olostep en informera le Client à l'avance. Le Client peut s'opposer à la désignation d'un nouveau Sous-traitant secondaire pour des motifs raisonnables — notamment si cette désignation entraînerait une violation substantielle de la législation sur la protection des données — en envoyant une notification écrite décrivant ces motifs dans un délai de trente (30) jours à compter de la notification d'Olostep. Les parties coopéreront alors de bonne foi pour résoudre l'objection. Si Olostep décide néanmoins de faire appel au nouveau Sous-traitant ultérieur, elle en informera le Client au moins trente (30) jours avant d'autoriser ce Sous-traitant ultérieur à traiter les Données à caractère personnel du Client. En outre, chaque partie pourra immédiatement cesser de fournir ou d'utiliser les parties des Services concernées et pourra résilier ces parties des Services dans un délai de trente (30) jours.

Pour tout transfert de Données à caractère personnel du Client régi par le droit européen en matière de protection des données vers une destination non couverte par une décision d'adéquation de la Commission européenne (un « »Transfert international de données»), Olostep obtiendra préalablement l'autorisation écrite expresse du Client. Le Client autorise par la présente Olostep à effectuer des transferts internationaux de données en dehors de l'EEE ou de la Suisse :

Le Client et Olostep concluent par les présentes le Module 2 (du responsable du traitement au sous-traitant) des Clauses contractuelles types (CCT) — et, lorsque le Client agit en tant que sous-traitant pour un responsable du traitement tiers, le Module 3 (du sous-traitant au sous-traitant ultérieur) — qui sont incorporés par référence et complétés comme suit : le Client est le « exportateur de données » et Olostep est l'« importateur de données » ; la clause d'ancrage facultative de la Clause 7 s'applique ; l'Option 1 de la Clause 9(a) s'applique, avec le délai de préavis indiqué à la Article 6.3 ci-dessus ; la clause facultative de recours prévue à la clause 11(a) est supprimée ; l'option 1 de la clause 17 s'applique et le droit irlandais régit le présent accord ; les juridictions visées à la clause 18(b) sont les tribunaux d'Irlande ; et les annexes I et II des CCT correspondent aux annexes I, II et III du présent ATD. Pour les transferts internationaux de données en provenance de Suisse, les personnes concernées ayant leur résidence habituelle en Suisse peuvent faire valoir leurs droits au titre des CCT devant les tribunaux suisses.

Le Client autorise Olostep à effectuer des transferts internationaux de données en dehors du Royaume-Uni, à condition que le transfert soit :

Les parties concluent également l'Addendum Royaume-Uni, qui est incorporé par référence et régit les transferts internationaux de données depuis le Royaume-Uni. La partie 1 de l'Addendum Royaume-Uni est complétée comme suit : (i) dans le tableau 1, le Client est l'« Exportateur » et Olostep l'« Importateur », leurs coordonnées étant celles indiquées dans le présent ATD et dans le Contrat ; (ii) dans le tableau 2, la première option est sélectionnée et les « CCT de l'UE approuvées » sont les CCT décrites à la Article 9.2; (iii) dans le tableau 3, les annexes 1 (A et B), II et III des « CCT de l'UE approuvées » correspondent à Annexes I, II et III du présent ATD ; et (iv) dans le tableau 4, soit « l'Importateur », soit « l'Exportateur » peut mettre fin à l'Addendum Royaume-Uni.

Exportateur de données :