Entre vous (ci-après dénommée «l'Abonné») et WHATEVER SA, société anonyme, ayant son siège social à Traverse d'Esope 6, B-1348 Louvain-la-Neuve, Belgique, numéro de TVA de l'entreprise BE 0889 962 726, référé ci-après comme «Elium», Désignés ci-après individuellement comme une «Partie» ou conjointement comme les «Parties», considérant que :
Les Parties sont convenues que le préambule de l'Amendement fait partie des dispositions Contractuelles, et conviennent également de ce qui suit:
Dans l'Amendement, les termes suivant auront la signification suivante, reprise du RGPD :
| Terme | Définition |
|---|---|
| Responsable du Traitement | La personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement (Article 4.7 du RGPD) |
| Données | Voir Données Personnelles. |
| Violation de Données | Une violation de la sécurité entrainant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non-autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou l'accès non-autorisé à de telles données (Article 4.12 du RGPD) |
| Sous-traitant | La personne physique ou moral, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du Responsable du Traitement (Article 4.8 du RGPD) |
| Personne Concernée | Une personne physique identifiée ou identifiable au sens de l'Article 4.1 du RGPD. |
| Sous-traitant ultérieur | Tiers qui traitent éventuellement des Données dans le cadre des Services, pour le compte de Elium, selon les dispositions de l'Article 10. |
| Instructions Documentées | Spécifications fonctionnelles du Service, complémentée avec les instructions documentées de l'Abonné qui ont été expressément approuvées par Elium. |
| Notification | La notification officielle d'une partie, selon les dispositions de l'Article 18. |
| Données ou Données à caractère personnel | Toute information se rapportant à une personne physique identifiée ou identifiable (Article 4.1 du RGPD). Dans l'Amendement, par Données on entend les données à caractère personnel que Elium reçoit du Client, ou auxquelles le Client lui donne accès. |
| Traitement(s) | Toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des Données ou des ensembles de Données (Article 4.2 du RGPD) |
| Services | Les services fournis par Elium au Client selon le Contrat de Services. |
| Abonnés | La personne qui gère et approuve le Contrat, and administre les Siège(s) |
| Période Contractuelle | La période à partir de la date de la signature de l'Amendement jusqu'à la fin de la fourniture des Service. |
| Pays Tier | Tout pays hors de l'Espace Economique Européen (UE + Islande, Lichtenstein, Norvège) |
Dans le cadre de ses missions, le Client Traite des Données. Pour exécuter les Traitements prévus au Contrat, le Client donne accès à, ou transmet à Elium des Données qu'il estime nécessaires.
Les dispositions de l'Amendement s'appliquent pendant toute la Période Contractuelle et conservent leur effet jusqu'à la destruction de toutes les Données par Elium ou par le Client comme spécifié à l'Article 9.
Le détail des Traitements confiés par le Client à Elium (à savoir l'objet du Traitement, la nature et la finalité du Traitement, le type de Données, les catégories de personnes concernées et les Sous-traitement Ultérieurs) est spécifié en annexe 1.
Elium reconnaît l'importance d'une protection adéquate des Données et confirme que chaque Traitement sera effectué conformément aux Instructions Documentées, et à toute la législation applicable en matière de protection de Données.
Elium ne Traite les Données que sur Instructions Documentées, y compris en ce qui concerne les transferts de Données vers un Pays Tier, sauf obligation juridique différente à laquelle Elium est soumis; dans ce cas, Elium informera le Client de cette obligation juridique avant le Traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d'interêt public (Article 28.3a de la RGPD)
Elium s'engage à informer immédiatement le Client si, selon lui, une instruction constitue une violation du présent règlement ou d'autres dispositions du droit de l'Union ou du droit des Etats membres relatives à la protection des Données (dernier paragraphe de l'Article 28.3 de RGPD)
A moins que la loi ne l'interdise, Elium informe le Client dans les meilleurs délais si Elium ou l'un de ses Sous-traitants Ultérieurs :
En ce qui concerne le Traitement, la totalité des instructions du Client à Elium est constitué par le Contrat et ses annexes, les autres documents y repris ou incorporés par référence ainsi que tout autre accord entre les Parties.
Elium reconnaît que, s'il détermine les finalités et les moyens du Traitement, il sera considéré, pour ce Traitement, comme un Responsable du Traitement (Article 28.10 de la RGPD).
Elium complètera, tiendra à jour et communiquera sans délai au Client un registre de toutes les catégories d'activités de Traitement effectuées pour le compte du Client.
Ce registre comprendra au moins (Article 30.2 de la RGPD) :
Elium certifie qu'il informe et forme ses collaborateurs qui Traitent des Données, par rapport aux disposition réglementaires en vigueur.
Elium est responsable de la gestion des utilisateurs et des moyens d'authentification tels que les mots de passe et les tokens attribués à ses collaborateurs. Elium reconnait que la protection de ces moyens d'authentification fait partie intégrante de ses propres politiques et procédures de sécurité et prend les mesures nécessaires pour les protéger adéquatement.
Elium et ses collaborateurs n'accèderont aux Données fournies par le Client qu'aux seules fins des activités directement liées à leur mission, telles que décrites dans le Contrat. En aucun cas, Elium et ses collaborateurs ne tenteront de s'introduire dans les systèmes d'information pour lesquelles ils n'ont pas explicitement reçu l'autorisation d'accès, ni de contourner ou de désactiver les mesures de protection implémentées. En cas de présomption d'abus ou d'utilisation incorrecte des droits d'accès, le Client se réserve le droit de désactiver les éventulles accès de Elium ou des se collaborateurs, sans avertissement préalable. Toute situation de cette nature sera considéré comme une grave violation du Contrat.
Lorsqu'il supprime des Données ou supports électroniques ou des documents papiers durant la Période Contractuelle, Elium les supprime toujours de manière sûre, afin que le résultat ne soit plus lisible ni utilisable pour un quelconque objectif. Par souci de clarté, par "supprimer", on entent l'effacement intégral irréversible.
Elium informera directement le Client si lui ou un de ses collaborateurs identifie un incident lié à la sécurité, tel que l'usage abusif des moyens d'authentification et la violation ou la diffusion d'informations confidentielles.
Le Client accepte que, sans préjudice des obligations d'Elium en vertu de cet Article et de l'Article 12, le Client est le seul responsable (1) de l'utilisation appropriée des Services pour assurer le niveau de sécurité approprié au risques liés aux Données, et (2) de la sécurisation des informations d'authentification du compte, des systèmes et des dispositifs que le Client utilise pour accéder aux Données.
Elium n'a aucune obligation de protéger les Données que le Client choisit de stocker ou de transférer en dehors des systèmes de Elium et des ses Sous-traitants Ultérieurs (par exemple, le stockage sur site ou hors ligne).
Elium prendra toutes les mesures techniques et organisationnelles appropriées pour (1) protéger les Données de toute Violation de Données, comme indiqué à l'Article 12, et (2) aider le Client à s'acquitter de son obligation de donner suite aux demandes dont les Personnes Concernées le saisissent en vue d'exercer leurs droits (Article 28.3e de la RGPD).
Elium s'engage à ce que les personnes autorisées à Traiter les Données s'engagent à respecter la confidentialité de ces Données ou soient soumises à une obligation légale approprié de confidentialité (Article 28.3b de la RGPD).
Pendant la Période Contractuelle
Les Services d'Elium comprennent des outils permettant au Client de supprimer des Données pendant la Durée Contractuelle, d'une manière consistante avec les fonctionnalités des Services. Au cas où les outils disponibles ne permettent pas la suppression voulue par le Client, le Client peut demander à Elium de supprimer les Données en question dans les systèmes de Elium dans le respect de la législation applicable (GDPR Article 28.3.g). Elium effectuera cette suppression aussitôt que raisonnablement possible, et au plus tard après 180 jours, à moins que les lois de l'UE ou d'un Etat membre ne prévoient la sauvegarde des Données.
A la fin de la Période Contractuelle
Dans un délai raisonnable avant la fin des Services, le Client peut demander à Elium de lui renvoyer toutes les Données ; soit après le transfert réussi de toutes les Données, soit sans délai si ce transfert n'est pas demandé dans les dix (10) jours ouvrables suivant la fin de la fourniture des Services, Elium (1) supprime de ses systèmes toutes les Données, et (2) détruit ensuite définitivement toutes les copies existantes, à moins de disposition légale contraire (RGPD Article 28.3.g) ; de plus Elium confirme cette destruction par écrit dans un délai d'une (1) semaine après suppression.
Suppression
Lorsqu'il supprime des Données ou supports électroniques ou des documents papier, Elium les supprime toujours de manière sûre, afin que leurs résultats ne soient plus lisibles ni utilisables pour un quelconque objectif. Pour éviter tout malentendu, par « supprimer » et « suppression », on entend la suppression intégrale et irréversible des Données.
Aucun transfert de Données vers un Pays Tiers n'est autorisé sans l'autorisation préalable écrite du Client ; si Elium est soumis à une obligation juridique différente, alors Elium informe le Client de cette obligation juridique avant le Traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d'intérêt public (RGPD Article 28.3.a).
Tout Traitement de Données par Elium en dehors de l'Union Européenne sera soumis au respect des mécanismes légalement reconnus de transfert de Données vers un Pays Tiers, dont la conclusion d'un Contrat supplémentaire pour le Traitement de Données sur la base des dispositions standard pour la protection des données, approuvé par la Commission Européenne.
La liste des Sous-traitants Ultérieurs identifiés à la date de signature de l'Amendement est disponible ici
Le Client donne à Elium une autorisation générale de recruter des Sous-traitants Ultérieurs (RGPD Article 28.2).
Elium informe le Client par Notification au moins un (1) mois à l'avance de tout changement prévu concernant la modification ou le remplacement d'un Sous-traitant Ultérieur ; si, dans ce délai, le Client émet des objections justifiées et raisonnables au choix d'un Subprocessor, le seul recours du Client consiste à résilier le Contrat immédiatement, par Notification au Elium, qui sera émise dans les nonante (90) jours suivant la Notification de ce changement.
Elium conclut avec chaque Subprocessor des Contrats écrits comprenant des obligations qui ne sont pas moins protectrices que les obligations contenues dans le Contrat, en particulier pour ce qui est de présenter des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière que le Traitement réponde aux exigences du Contrat (RGPD Article 28.4). En particulier, Elium s'engage à ce que chaque sous-traitant qui Traite des Données (1) ne soit autorisé à Traiter ces Données que pour exécuter les Traitements que Elium lui a confiées, et (2) s'interdise d'utiliser ces Données à toute autre finalité.
Au cas où le sous-traitant ne remplit pas ses obligations en matière de protection des données, Elium demeure pleinement responsable devant le Client de l'exécution par le sous-traitant de ses obligations en vertu du Contrat, dont également cette Amendement relative à la protection des Données.
Lorsqu'il constate une Violation des Données ou en est victime ou lorsqu'il est notifié d'une Violation des Données par un Sous-traitant Ultérieur, quelle qu'en soit la cause, Elium informe le Client sans délai et au plus tard dans les vingt-quatre (24) heures calendrier après avoir eu connaissance de cette Violation des Données.
Une telle notification d'une Violation des Données sera transmise par Notification à la personne de contact du Client mentionnée à l'Article 18.
Sauf sur demande expresse du Client, Elium n'analysera pas le contenu des données impliquées dans une Violation des Données. Le Client est le seul responsable du respect de (1) la législation applicable à la notification des incidents et de (2) toute obligation de notification à un tiers en cas de Violation des Données.
En cas de Violation des Données, Elium (1) prend toute mesure raisonnable pour collecter et sauvegarder toute preuve légale de la situation, (2) conserve ces preuves dans un endroit sûr pour permettre les investigations futures, (3) assiste le Client dans l'examen de la Violation des Données, et (4) prend également toute mesure raisonnable afin d'en minimiser l'impact. Il s'engage notamment à collaborer avec le Client pour trouver les meilleures solutions et plan d'action découlant de l'enquête sur la Violation des Données, aussi rapidement et correctement que possible.
Elium marque également son accord pour collaborer pleinement à l'examen de la Violation des Données, et prête assistance au Client quant au respect des exigences de notification d'un telle Violation des Données à l'autorité de contrôle (RGPD Article 28.3.h). En outre, Elium prête son assistance au Client pour lui permettre de constituer le dossier de documentation de la Violation des Données, en indiquant les faits concernant cette Violation des Données, ses effets, et les mesures prises pour y remédier (RGPD Article 33.5).
La notification ou la réponse de Elium à une Violation des Données en vertu du présent article ne sera en aucun cas interprétée comme la reconnaissance d'une faute ou d'une responsabilité quelconque relative à la Violation des Données.
Le Client est seul responsable du traitement des demandes de Personnes Concernées en relation avec le Traitement.
Lorsque Elium est en mesure d'identifier avec certitude, au prix d'un effort raisonnable, la relation entre la Personne Concernée et le Client, alors Elium informera rapidement le Client de la demande de la Personne Concernée ou de toute autre demande relative au Contrat, reçues par lui ou par tout Sous-traitant Ultérieur. Elium ne répondra pas au fond de la demande mais accusera réception de celle-ci.
Si Elium ne peut pas identifier avec certitude la relation entre la Personne Concernée et le Client, la seule obligation de Elium est de répondre à la Personne Concernée qu'il n'est pas le responsable du traitement des données personnelles de la Personne Concernée, et que la Personne Concernée doit adresser sa demande au responsable du traitement concerné.
Elium fournira une assistance raisonnable au Client dans l'accomplissement de son obligation de répondre aux demandes de Personnes Concernées (RGPD Article 28.3.e).
Lorsque le Client est tenu de fournir des informations à une Personne Concernée en relation avec le Traitement ou de prendre toute autre mesure raisonnablement requise pour se conformer aux demandes de la Personne Concernée, Elium mettra sans tarder toutes les informations requises à la disposition du Client dans un format requis pour se conformer à ces demandes de la Personne Concernée.
En cas de litige ou d'autre réclamation d'une Personne Concernée concernant le Traitement à l'encontre d'une Partie, les Parties s'en informent sans tarder, et s'engagent à coopérer et à se coordonner en vue de se défendre efficacement contre de telles réclamations et/ou de les régler rapidement à l'amiable.
Si le Client est tenu de procéder à une analyse d'impact relative à la protection des Données, Elium prête sa collaboration et son assistance au Client pour l'exécution de cette analyse afin de permettre au Client de respecter ses obligations en la matière.
Elium s'engage à ce que, à chaque modification importante de Traitement, Elium, ou tout sous-traitant de Elium, effectue une analyse d'impact relative à la protection des Données (RGPD Article 35), et en communique le rapport au Client dans un délai d'une (1) semaine.
Le Client se réserve le droit de procéder elle-même, ou de faire procéder par un autre auditeur qu'elle mandate ou par une autorité compétente, à toute vérification qui lui paraîtrait utile pour constater le respect par Elium des obligations spécifiées dans l'Amendement.
Le Client se réserve le droit de faire exécuter un audit au moins une (1) fois par an auprès de Elium afin de contrôler le bon respect du Contrat. Le Client supportera les coûts de cet audit, sauf si des irrégularités substantielles sont constatées dans le respect du Contrat ; dans ce cas, les coûts de l'audit seront imputés à Elium, qui établira un plan de redressement et qui l'exécutera, sans préjudice du droit du Client de résilier le Contrat à ce moment.
A la demande du Client, Elium met à disposition du Client toutes les informations nécessaires pour (1) démontrer le respect de ses obligations, pour (2) permettre la réalisation d'audits, et pour (3) contribuer à ces audits (RGPD Article 28.3.h).
Une notification officielle d'une Partie à l'autre sera envoyée à la personne de contact du Client, et sera réputée avoir été reçue :
En cas de divergence entre les termes de cet Amendement et ceux du Contrat de Service, les termes de l'Amandement prévaudront.
La fourniture par Elium des Services décrits dans le Contrat de Service à l'Abonné.
La durée de l'abonnement applicable (telle que définie dans le Contrat de Service) plus la période allant de l'expiration de cette durée d'abonnement jusqu'à la suppression de toutes les Données par Elium conformément à l'Article 3.
Elium traite les données dans le but de fournir les services et l'assistance technique connexe à l'Abonné conformément au RGPD.
Par défaut, les données incluent les catégories de données suivantes :
Les Données peuvent concerner les catégories suivantes de Personnes Concernées : les utilisateurs.
Nous utilisons des cookies pour mesurer l'usage du site et l'améliorer. Les cookies de mesure ne sont déposés que si vous les acceptez. Lire notre politique de cookies