CSC

Clauses contractuelles types

 

Dernière mise à jour le : 11 juin 2021

Clauses contractuelles types (sous-traitants)

Aux fins de l'article 26, paragraphe 2, de la directive 95/46/CE pour le transfert de données à caractère personnel à des sous-traitants établis dans des pays tiers qui n'assurent pas un niveau adéquat de protection des données

Responsable du traitement tel que défini dans le Accord de traitement des données (les "exportateur de données”),

Et

(a) Zentrio LLC travaille sous DBA Zentrio, avec son adresse au 6547 N Academy Blvd #1321 Colorado Springs, CO 80918 États-Unis, si l'exportateur de données transfère des données personnelles à Zentrio LLC sous le Accord de traitement des données;

(l'entité concernée de Zentrio LLC décrite ci-dessus est dénommée "importateur de données”),

chacun une « partie » ; ensemble « les parties »,

SONT CONVENUS des clauses contractuelles suivantes (les « Clauses ») afin d'apporter des garanties adéquates en ce qui concerne la protection de la vie privée et des droits et libertés fondamentaux des personnes pour le transfert par l'exportateur de données à l'importateur de données des données personnelles spécifiées dans Annexe 1.

 

Article 1

Définitions

Aux fins des clauses :

a) « données à caractère personnel », « catégories particulières de données », « traitement/traitement », « responsable du traitement », « sous-traitant », « personne concernée » et « autorité de contrôle » ont la même signification que dans la directive 95/46/ CE du Parlement européen et du Conseil du 24 octobre 1995 sur la protection des personnes physiques à l'égard du traitement des données à caractère personnel et sur la libre circulation de ces données ;

(b) « l'exportateur de données », le responsable du traitement qui transfère les données à caractère personnel ;

c) « l'importateur de données », le sous-traitant qui accepte de recevoir de l'exportateur de données des données à caractère personnel destinées à être traitées en son nom après le transfert conformément à ses instructions et aux termes des clauses et qui n'est pas soumis à l'obligation d'un pays tiers système assurant une protection adéquate au sens de l'article 25, paragraphe 1, de la directive 95/46/CE ;

(d) "le sous-traitant secondaire": tout sous-traitant engagé par l'importateur de données ou par tout autre sous-traitant secondaire de l'importateur de données qui accepte de recevoir de l'importateur de données ou de tout autre sous-traitant secondaire de l'importateur de données des données à caractère personnel exclusivement destinés à des activités de traitement à effectuer pour le compte de l'exportateur de données après le transfert conformément à ses instructions, aux termes des Clauses et aux termes du contrat de sous-traitance écrit ;

e) "loi applicable en matière de protection des données", la législation protégeant les droits et libertés fondamentaux des personnes et, en particulier, leur droit au respect de la vie privée à l'égard du traitement des données à caractère personnel applicable à un responsable du traitement dans l'État membre l'exportateur de données est établi ;

f) «mesures de sécurité techniques et organisationnelles», les mesures visant à protéger les données à caractère personnel contre la destruction accidentelle ou illégale ou la perte accidentelle, l'altération, la divulgation ou l'accès non autorisés, en particulier lorsque le traitement implique la transmission de données sur un réseau, et contre toutes les autres formes illégales de traitement.

Article 2

Détails du transfert

Les détails du transfert et notamment les catégories particulières de données personnelles le cas échéant sont précisés en Annexe 1 qui fait partie intégrante des Clauses.

Article 3

Clause de tiers bénéficiaire

  1. La personne concernée peut appliquer à l'exportateur de données cette clause, clause 4(b) à (i), clause 5(a) à (e) et (g) à (j), clause 6(1) et (2) , Clause 7, Clause 8(2) et Clauses 9 à 12 en tant que tiers bénéficiaire.
  1. La personne concernée peut appliquer à l'importateur de données cette clause, les clauses 5(a) à (e) et (g), les clauses 6, 7, les clauses 8(2) et les clauses 9 à 12, dans les cas où l'exportateur de données a disparu de fait ou a cessé d'exister en droit, à moins qu'une entité successeur n'ait assumé l'intégralité des obligations légales de l'exportateur de données par contrat ou de plein droit, en conséquence de quoi elle assume les droits et obligations de l'exportateur de données, auquel cas la personne concernée peut les faire valoir contre cette entité.
  1. La personne concernée peut faire valoir contre le sous-traitant ultérieur la présente clause, les clauses 5(a) à (e) et (g), les clauses 6, 7, les clauses 8(2) et les clauses 9 à 12, dans les cas où les deux l'exportateur de données et l'importateur de données ont de fait disparu ou ont cessé d'exister en droit ou sont devenus insolvables, à moins qu'une entité successeur n'ait assumé l'intégralité des obligations légales de l'exportateur de données par contrat ou de plein droit en les droits et obligations de l'exportateur de données, auquel cas la personne concernée peut les faire valoir contre cette entité. Cette responsabilité civile du sous-traitant secondaire sera limitée à ses propres opérations de traitement en vertu des Clauses.
  1. Les parties ne s'opposent pas à ce qu'une personne concernée soit représentée par une association ou un autre organisme si la personne concernée le souhaite expressément et si le droit national le permet.

 

Article 4

Obligations de l'exportateur de données

L'exportateur de données accepte et garantit :

(a) que le traitement, y compris le transfert lui-même, des données à caractère personnel a été et continuera d'être effectué conformément aux dispositions pertinentes de la législation applicable en matière de protection des données (et, le cas échéant, a été notifié aux autorités compétentes de l'État membre où l'exportateur de données est établi) et ne viole pas les dispositions pertinentes de cet État ;

(b) qu'il a demandé et pendant toute la durée des services de traitement des données personnelles, demandera à l'importateur de données de traiter les données personnelles transférées uniquement pour le compte de l'exportateur de données et conformément à la législation applicable en matière de protection des données et aux Clauses ;

(c) que l'importateur de données fournira des garanties suffisantes en ce qui concerne les mesures de sécurité techniques et organisationnelles spécifiées à l'annexe 2 du présent contrat ;

(d) qu'après évaluation des exigences de la législation applicable en matière de protection des données, les mesures de sécurité sont appropriées pour protéger les données à caractère personnel contre la destruction accidentelle ou illégale ou la perte accidentelle, l'altération, la divulgation ou l'accès non autorisés, en particulier lorsque le traitement implique la transmission de données sur un réseau, et contre toute autre forme de traitement illicite, et que ces mesures assurent un niveau de sécurité adapté aux risques présentés par le traitement et à la nature des données à protéger au regard de l'état de la technique et de la coût de leur mise en œuvre ;

(e) qu'il veillera au respect des mesures de sécurité;

f) que, si le transfert porte sur des catégories particulières de données, la personne concernée a été ou sera informée avant ou dès que possible après le transfert que ses données pourraient être transmises à un pays tiers n'assurant pas une protection adéquate dans le cadre le sens de la directive 95/46/CE ;

(g) transmettre toute notification reçue de l'importateur de données ou de tout sous-traitant en vertu de la clause 5(b) et de la clause 8(3) à l'autorité de contrôle de la protection des données si l'exportateur de données décide de poursuivre le transfert ou de lever la suspension ;

(h) de mettre à la disposition des personnes concernées sur demande une copie des Clauses, à l'exception de l'Annexe 2, et une description sommaire des mesures de sécurité, ainsi qu'une copie de tout contrat de services de sous-traitement qui doit être effectué conformément aux Clauses, à moins que les Clauses ou le contrat ne contiennent des informations commerciales, auquel cas il peut supprimer ces informations commerciales ;

(i) qu'en cas de sous-traitement, l'activité de traitement est effectuée conformément à l'article 11 par un sous-traitant ultérieur assurant au moins le même niveau de protection des données personnelles et des droits de la personne concernée que les données importateur en vertu des Clauses ; et

(j) qu'il assurera le respect de la clause 4(a) à (i).

 

Article 5

Obligations de l'importateur de données

L'importateur de données accepte et garantit :

(a) traiter les données personnelles uniquement pour le compte de l'exportateur de données et conformément à ses instructions et aux Clauses ; s'il ne peut pas fournir une telle conformité pour quelque raison que ce soit, il s'engage à informer rapidement l'exportateur de données de son incapacité à se conformer, auquel cas l'exportateur de données est en droit de suspendre le transfert de données et/ou de résilier le contrat ;

(b) qu'il n'a aucune raison de croire que la législation qui lui est applicable l'empêche d'exécuter les instructions reçues de l'exportateur de données et ses obligations au titre du contrat et qu'en cas de modification de cette législation susceptible d'avoir une effet défavorable substantiel sur les garanties et obligations prévues par les clauses, il notifiera rapidement le changement à l'exportateur de données dès qu'il en aura connaissance, auquel cas l'exportateur de données est en droit de suspendre le transfert de données et/ou de résilier le contrat ;

(c) qu'il a mis en œuvre les mesures de sécurité techniques et organisationnelles spécifiées à l'Annexe 2 avant de traiter les données personnelles transférées ;

(d) qu'il notifiera sans délai à l'exportateur de données :

(i) toute demande juridiquement contraignante de divulgation des données personnelles par une autorité chargée de l'application des lois, sauf interdiction contraire, telle qu'une interdiction en vertu du droit pénal de préserver la confidentialité d'une enquête des forces de l'ordre ;

(ii) tout accès accidentel ou non autorisé ; et

(iii) toute demande reçue directement des personnes concernées sans répondre à cette demande, à moins qu'elle n'ait été autrement autorisée à le faire ;

(e) traiter rapidement et correctement toutes les demandes de l'exportateur de données concernant son traitement des données à caractère personnel faisant l'objet du transfert et se conformer aux conseils de l'autorité de contrôle concernant le traitement des données transférées ;

(f) à la demande de l'exportateur de données de soumettre ses installations de traitement de données à un audit des activités de traitement couvertes par les clauses qui seront effectuées par l'exportateur de données ou un organisme de contrôle composé de membres indépendants et en possession des qualifications professionnelles soumises à un devoir de confidentialité, choisies par l'exportateur de données, le cas échéant, en accord avec l'autorité de contrôle ;

(g) mettre à la disposition de la personne concernée sur demande une copie des Clauses, ou de tout contrat existant de sous-traitement, à moins que les Clauses ou le contrat ne contiennent des informations commerciales, auquel cas il peut supprimer ces informations commerciales, à l'exception de l'appendice 2 qui est remplacé par une description sommaire des mesures de sécurité dans les cas où la personne concernée n'est pas en mesure d'obtenir une copie de l'exportateur de données ;

(h) qu'en cas de sous-traitement, il a préalablement informé l'exportateur de données et obtenu son consentement écrit préalable ;

(i) que les services de traitement par le sous-traitant ultérieur seront exécutés conformément à la Clause 11 ;

(j) envoyer rapidement une copie de tout accord de sous-traitant qu'il conclut en vertu des Clauses à l'exportateur de données.

 

Article 6

Responsabilité

  1. Les parties conviennent que toute personne concernée qui a subi un dommage à la suite d'un manquement aux obligations visées à l'article 3 ou à l'article 11 par toute partie ou sous-traitant ultérieur a le droit de recevoir une indemnisation de l'exportateur de données pour le dommage subi. .
  1. Si une personne concernée n'est pas en mesure d'introduire une demande d'indemnisation conformément au paragraphe 1 contre l'exportateur de données, résultant d'un manquement par l'importateur de données ou son sous-traitant secondaire à l'une de leurs obligations visées à l'article 3 ou à l'article 11, parce que l'exportateur de données a effectivement disparu ou a cessé d'exister en droit ou est devenu insolvable, l'importateur de données accepte que la personne concernée puisse déposer une réclamation contre l'importateur de données comme si elle était l'exportateur de données, à moins qu'une entité successeur n'ait supposé l'intégralité des obligations légales de l'exportateur de données par contrat ou par l'effet de la loi, auquel cas la personne concernée peut faire valoir ses droits contre cette entité. L'importateur de données ne peut se prévaloir d'un manquement d'un sous-traitant ultérieur à ses obligations pour éviter ses propres responsabilités.
  1. Si une personne concernée n'est pas en mesure d'intenter une action contre l'exportateur de données ou l'importateur de données visé aux paragraphes 1 et 2, résultant d'un manquement par le sous-traitant secondaire à l'une de ses obligations visées à l'article 3 ou à l'article 11 parce que l'exportateur de données et l'importateur de données ont tous deux disparu dans les faits ou ont cessé d'exister en droit ou sont devenus insolvables, le sous-traitant secondaire accepte que la personne concernée puisse déposer une réclamation contre le sous-traitant secondaire concernant ses propres opérations de traitement en vertu des Clauses comme s'il s'agissait de l'exportateur ou de l'importateur de données, à moins que toute entité successeur n'ait assumé l'intégralité des obligations légales de l'exportateur ou de l'importateur de données par contrat ou de plein droit, auquel cas la personne concernée peut faire valoir ses droits contre une telle entité. La responsabilité du sous-traitant ultérieur sera limitée à ses propres opérations de traitement en vertu des Clauses.

 

Article 7

Médiation et juridiction

  1. L'importateur de données accepte que si la personne concernée invoque à son encontre les droits de tiers bénéficiaires et/ou réclame une indemnisation pour des dommages en vertu des Clauses, l'importateur de données acceptera la décision de la personne concernée ;

a) soumettre le litige à la médiation, par une personne indépendante ou, le cas échéant, par l'autorité de contrôle;

b) soumettre le litige aux tribunaux de l'État membre dans lequel l'exportateur de données est établi.

  1. Les parties conviennent que le choix fait par la personne concernée ne portera pas atteinte à ses droits substantiels ou procéduraux de demander réparation conformément à d'autres dispositions du droit national ou international.

 

Article 8

Coopération avec les autorités de contrôle

  1. L'exportateur de données s'engage à déposer une copie du présent contrat auprès de l'autorité de contrôle s'il en fait la demande ou si un tel dépôt est requis en vertu de la loi applicable en matière de protection des données.
  1. Les parties conviennent que l'autorité de contrôle a le droit de procéder à un audit de l'importateur de données et de tout sous-traitant ultérieur, qui a la même portée et est soumis aux mêmes conditions que celles qui s'appliqueraient à un audit de l'exportateur de données en vertu de la loi applicable en matière de protection des données.
  1. L'importateur de données informe sans délai l'exportateur de données de l'existence d'une législation qui lui est applicable ou de tout sous-traitant ultérieur empêchant la conduite d'un audit de l'importateur de données, ou de tout sous-traitant ultérieur, conformément au paragraphe 2. Dans un tel cas, les données l'exportateur a le droit de prendre les mesures prévues à la clause 5, point b).

 

Article 9

Droit applicable

Les clauses sont régies par le droit de l'État membre dans lequel l'exportateur de données est établi.

Article 10

Modification du contrat

Les parties s'engagent à ne pas modifier ou modifier les Clauses. Cela n'empêche pas les parties d'ajouter des clauses sur des questions liées aux affaires lorsque cela est nécessaire tant qu'elles ne contredisent pas la clause.

Article 11

Sous-traitement

  1. L'importateur de données ne sous-traitera aucune de ses opérations de traitement effectuées pour le compte de l'exportateur de données en vertu des Clauses sans le consentement écrit préalable de l'exportateur de données. Lorsque l'importateur de données sous-traite ses obligations en vertu des clauses, avec le consentement de l'exportateur de données, il ne le fera que par le biais d'un accord écrit avec le sous-traitant importateur de données en vertu des Clauses. Lorsque le sous-traitant ne remplit pas ses obligations en matière de protection des données en vertu d'un tel accord écrit, l'importateur de données reste entièrement responsable envers l'exportateur de données de l'exécution des obligations du sous-traitant en vertu de cet accord.
  1. Le contrat écrit préalable entre l'importateur de données et le sous-traitant ultérieur prévoit également une clause de tiers bénéficiaire telle que prévue à la clause 3 pour les cas où la personne concernée n'est pas en mesure d'introduire la demande d'indemnisation visée au paragraphe 1 de Clause 6 contre l'exportateur de données ou l'importateur de données parce qu'ils ont effectivement disparu ou ont cessé d'exister en droit ou sont devenus insolvables et qu'aucune entité successeur n'a assumé l'intégralité des obligations légales de l'exportateur de données ou de l'importateur de données par contrat ou de plein droit . Cette responsabilité civile du sous-traitant secondaire sera limitée à ses propres opérations de traitement en vertu des Clauses.
  1. Les dispositions relatives aux aspects de protection des données pour le sous-traitement du contrat visé au paragraphe 1 sont régies par le droit de l'État membre dans lequel l'exportateur de données est établi.
  1. L'exportateur de données conservera une liste des accords de sous-traitement conclus en vertu des clauses et notifiés par l'importateur de données en vertu de la clause 5(j), qui sera mise à jour au moins une fois par an. La liste est à la disposition de l'autorité de contrôle de la protection des données de l'exportateur de données.

 

Article 12

Obligation après la résiliation des services de traitement des données personnelles

  1. Les parties conviennent qu'à la fin de la fourniture des services de traitement de données, l'importateur de données et le sous-traitant ultérieur devront, au choix de l'exportateur de données, restituer toutes les données personnelles transférées et leurs copies à l'exportateur de données ou toutes les données personnelles et certifie à l'exportateur de données qu'il l'a fait, sauf si la législation imposée à l'importateur de données l'empêche de restituer ou de détruire tout ou partie des données personnelles transférées. Dans ce cas, l'importateur de données garantit qu'il garantira la confidentialité des données personnelles transférées et ne traitera plus activement les données personnelles transférées.
  1. L'importateur de données et le sous-traitant ultérieur garantissent qu'à la demande de l'exportateur de données et/ou de l'autorité de contrôle, il soumettra ses installations de traitement de données à un audit des mesures visées au paragraphe 1.

 

Annexe 1 aux clauses contractuelles types de Zentrio LLC

Cette Annexe fait partie des Clauses

Exportateur de données L'exportateur de données est l'entité juridique non-Zentrio LLC qui est partie aux Clauses.

Importateur de données L'importateur de données est :

Zentrio LLC si l'exportateur de données transfère des données personnelles à Zentrio LLC sous le Accord de traitement des données; ou alors

Personnes concernées Les données personnelles transférées concernent les catégories de personnes concernées suivantes : les personnes concernées comprennent les personnes dont les données provenant de l'EEE sont fournies à Zentrio LLC via les services commerciaux par (ou sous la direction de) l'exportateur de données. 

Catégories de données Les données personnelles transférées concernent les catégories de données suivantes : Données relatives aux personnes fournies à Zentrio LLC via les Services commerciaux par (ou sous la direction de) l'exportateur de données, comme spécifié dans l'Annexe 1 : Détails du traitement des données du Accord de traitement des données.

Catégories spéciales de données (le cas échéant) Les données personnelles transférées concernent les catégories particulières de données suivantes : Aucune

Opérations de traitement Zentrio LLC traitera les données personnelles dans le but de fournir les services commerciaux à l'exportateur de données conformément et comme décrit dans le Accord de traitement des données, et ces clauses.

 

Annexe 2 aux clauses contractuelles types de Zentrio LLC

Cette Annexe fait partie des Clauses.

Description des mesures de sécurité techniques et organisationnelles mises en œuvre par l'importateur de données conformément aux clauses 4(c) et 5(c). L'importateur de données respecte actuellement les normes de sécurité de l'annexe 2 -  Mesures de sécurité de Zentrio LLC du Accord de traitement des données. L'importateur de données peut mettre à jour ou modifier ces normes de sécurité de temps à autre.

Loading...

Panier

fr