Accord relatif au traitement des données personnelles

1. Introduction

Le présent accord relatif au traitement des données personnelles (« Annexe ») fait partie intégrante des Conditions générales d’utilisation conclues entre Liid Oy (« Fournisseur ») et vous (« Client ») lorsque vous avez téléchargé l’Application intitulée « Liid for CRM » et accepté les Conditions générales susmentionnées (« Accord »).

La présente Annexe a pour objet de convenir des modalités relatives à la confidentialité et à la protection des Données personnelles du Responsable du traitement dans le cadre des services du Fournisseur. La présente Annexe constitue un accord écrit conformément au Règlement général de l’Union européenne sur la protection des données (679/2016) (« Règlement ») concernant le traitement des données personnelles. Les obligations et droits directement fondés sur le Règlement général de l’Union européenne sur la protection des données entrent en vigueur uniquement à compter du début de son application, le 25 mai 2018.

En cas de conflit entre les dispositions de l’Annexe et celles de l’Accord concernant le Traitement des Données personnelles, les parties appliqueront en priorité les dispositions de la présente Annexe.

2. Définitions

Conformément au Règlement général de l’Union européenne sur la protection des données, les termes ci-dessous sont définis comme suit :

« Responsable du traitement » désigne le Client ou le client du Client qui détermine les finalités et les moyens du Traitement des Données personnelles.

« Sous-traitant » désigne le Fournisseur qui Traite les Données personnelles pour le compte du Responsable du traitement sur la base de l’Accord.

« Traitement » ou « Activités de Traitement » désigne toute opération ou tout ensemble d’opérations effectuées sur des Données personnelles ou des ensembles de données personnelles, par des moyens automatisés ou manuellement, tels que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction.

« Données personnelles » désigne toute information se rapportant à une personne physique identifiée ou identifiable, ci-après la « Personne concernée » ; est réputée être une personne physique identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale.

« Violation de Données personnelles » désigne une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de Données personnelles transmises, conservées ou autrement Traitées, ou l’accès non autorisé à de telles données.

3. Protection et Traitement des Données personnelles

3.1 Obligations du Fournisseur et du Client

Le Fournisseur traite les Données personnelles du Responsable du traitement pour le compte du Client et sur mandat de celui-ci, sur la base de l’Accord. Les Données personnelles Traitées par le Fournisseur peuvent notamment concerner des employés ou des clients. Le Client ou le client du Client agit en qualité de Responsable du traitement et le Fournisseur en qualité de Sous-traitant des Données personnelles Traitées dans le cadre du service. Les parties s’engagent à respecter les lois, règlements ainsi que les décisions et directives des autorités concernant le Traitement des Données personnelles en vigueur à tout moment en Finlande et dans l’UE.

Le Responsable du traitement est responsable de disposer des droits et fondements juridiques nécessaires ainsi que d’avoir obtenu les consentements nécessaires au Traitement des Données personnelles. Le Responsable du traitement est responsable de la rédaction de la politique de confidentialité et de l’information des Personnes concernées. Le Client est responsable de la validité des données personnelles qu’il a transmises au Fournisseur.

Le Responsable du traitement a le droit et l’obligation de définir la finalité et les moyens du Traitement des Données personnelles. L’objet, la nature et la finalité du Traitement sont définis plus en détail dans l’Accord. Les types de Données personnelles et les catégories de Personnes concernées Traitées dans les services sont définis dans le formulaire précisant les opérations de Traitement, Annexe 1.

Le Fournisseur est autorisé à Traiter les Données personnelles et autres données du Responsable du traitement uniquement sur la base de l’Accord, de la présente Annexe et conformément aux instructions écrites du Client, et uniquement dans la mesure et de la manière nécessaires à la fourniture des services. Le Fournisseur informe le Client s’il constate qu’une instruction est contraire à la législation de l’UE ou de la Finlande relative à la protection des données et, dans ce cas, le Fournisseur peut immédiatement refuser et cesser d’appliquer les instructions du Client.

Le Fournisseur tient à jour la description du service ou tout autre registre des Activités de Traitement du service lorsque le Règlement général de l’Union européenne sur la protection des données l’exige. Le Fournisseur est autorisé, conformément à l’Accord, à collecter des données anonymes et statistiques relatives à l’utilisation des services, qui ne permettent pas d’identifier le Client ni les Personnes concernées, et à les utiliser pour analyser et développer ses services.

3.2 Suppression ou restitution des données

Après l’expiration de l’Accord, le Fournisseur restitue ou supprime, conformément aux instructions du Client, toutes les Données personnelles du Responsable du traitement et supprime toutes leurs copies, sauf si la législation applicable exige leur conservation.

3.3 Sous-traitants ultérieurs

Le Fournisseur peut faire appel à des sous-traitants ultérieurs pour Traiter les Données personnelles du Responsable du traitement. Le Fournisseur est responsable des actes de ses sous-traitants ultérieurs comme des siens et conclut avec eux des accords écrits concernant le Traitement des Données personnelles. Sur demande, le Fournisseur informe préalablement le Client des sous-traitants ultérieurs qu’il envisage d’utiliser pour le traitement des données personnelles conformément à l’Accord. Le Client est en droit de s’opposer à l’utilisation d’un nouveau sous-traitant ultérieur pour des motifs raisonnables. Si les Parties ne parviennent pas à un accord concernant l’utilisation d’un nouveau sous-traitant ultérieur, le Client est en droit de résilier l’Accord moyennant un préavis de trente (30) jours, dans la mesure où le changement de sous-traitant ultérieur affecte le Traitement des Données personnelles conformément à l’Accord.

3.4 Obligation d’assistance du Fournisseur

Le Fournisseur transmet immédiatement au Client toutes les demandes reçues des Personnes concernées concernant l’accès, la rectification, l’effacement ou l’opposition au Traitement des Données personnelles, ainsi que toute autre demande. À la demande du Client, le Fournisseur aide le Client à satisfaire les demandes des Personnes concernées.

Compte tenu de la nature du Traitement des Données personnelles et des informations disponibles, le Fournisseur est tenu d’aider le Client à garantir le respect de ses obligations légales. Ces obligations peuvent notamment concerner la sécurité des données, la notification des violations de données, les analyses d’impact relatives à la protection des données ainsi que les obligations relatives aux consultations préalables. Le Fournisseur n’est tenu d’aider le Client que dans la mesure où la législation applicable impose de telles obligations au Sous-traitant de Données personnelles. Sauf accord contraire, le Fournisseur est en droit de facturer les frais engagés au titre des actions prévues à la présente section 3.4 conformément au tarif en vigueur du Fournisseur.

Le Fournisseur transmet directement au Client toutes les demandes formulées par les autorités chargées de la protection des données et attend les instructions supplémentaires du Client. Sauf accord contraire, le Fournisseur n’est pas autorisé à représenter le Client ni à agir en son nom auprès des autorités chargées de superviser le Client.

4. Traitement effectué en dehors de l’UE/EEE

Le Fournisseur et ses sous-traitants ultérieurs peuvent Traiter des données personnelles en dehors de l’UE/EEE. Lorsque de tels transferts ou Traitements ont lieu, le Fournisseur veille à ce que les clauses contractuelles types 2010/87/UE de la Commission européenne concernant le transfert de Données personnelles en dehors de l’UE/EEE, ou une garantie juridique similaire approuvée par le Règlement, s’appliquent à ce transfert ou Traitement.

En signant la présente Annexe, le Client donne procuration au Fournisseur pour le représenter lors de la signature des clauses contractuelles au nom et pour le compte du Client. En outre, le Client accepte expressément que le Fournisseur puisse également représenter le sous-traitant ultérieur concerné dans le cadre de ces clauses contractuelles.

5. Audit

Le Client ou un auditeur autorisé par le Client (qui ne doit toutefois pas être un concurrent du Fournisseur) est en droit d’auditer les activités réalisées conformément à l’Annexe. Les Parties conviennent à l’avance de la date de l’audit et des autres modalités, au plus tard 14 jours avant l’inspection. L’audit doit être réalisé de manière à ne pas entraver les obligations du Fournisseur ou de ses sous-traitants ultérieurs envers des tiers. Les représentants du Client et l’auditeur doivent signer des engagements de confidentialité usuels.

Le Client prend en charge ses propres frais ainsi que ceux du Fournisseur occasionnés par l’audit. Si des défauts importants sont constatés lors de l’audit, le Fournisseur est responsable des frais occasionnés par celui-ci.

6. Sécurité des données

Le Fournisseur met en œuvre les mesures techniques et organisationnelles appropriées afin de protéger les Données personnelles du Responsable du traitement, en tenant compte de tous les risques liés au Traitement, notamment la destruction, la perte ou l’altération accidentelle ou illicite, ainsi que la divulgation non autorisée de Données personnelles transférées, conservées ou autrement Traitées ou l’accès non autorisé à celles-ci. Lors de l’organisation des mesures de sécurité, les solutions techniques et leurs coûts sont évalués au regard des risques particuliers du Traitement concerné et de la sensibilité des Données personnelles Traitées.

Le Client est tenu de veiller à ce que le Fournisseur soit informé de toutes les circonstances relatives aux Données personnelles transmises par le Client, telles que les évaluations des risques et le Traitement de catégories particulières de Personnes concernées ayant une incidence sur les mesures techniques et organisationnelles prévues par la présente Annexe. Le Fournisseur veille à ce que son personnel ou celui de ses sous-traitants ultérieurs respecte les engagements de confidentialité appropriés.

7. Violations de données

Le Fournisseur doit informer le Client de toute Violation de Données personnelles sans retard injustifié (dans un délai de 72 heures) après avoir pris connaissance de la violation ou après qu’un sous-traitant ultérieur du Fournisseur en a pris connaissance.

À la demande du Client, le Fournisseur communique sans retard injustifié au Client toutes les informations pertinentes concernant la violation de données. Dans la mesure où ces informations sont disponibles pour le Fournisseur, celui-ci décrit au minimum au Client :

• (a) la violation de données survenue ;

• (b) si possible, les catégories de Personnes concernées et leur nombre, ainsi que les catégories de types de Données personnelles et leur nombre estimé ;

• (c) une description des conséquences probables de la violation de données ; et

• (d) une description des mesures correctives que le Fournisseur a mises en œuvre ou mettra en œuvre afin de prévenir de futures violations de données et, si nécessaire, des mesures visant à réduire les effets préjudiciables de la violation.

Le Fournisseur documente et communique au Client les résultats de l’enquête ainsi que les mesures mises en œuvre.

Le Client est responsable des notifications nécessaires auprès des autorités chargées de la protection des données.

8. Autres dispositions

Si un dommage matériel ou immatériel est causé à une personne en raison d’une violation du Règlement général de l’Union européenne sur la protection des données ou de la présente Annexe, le Fournisseur n’est responsable du dommage que dans la mesure où il n’a pas expressément respecté les obligations imposées aux Sous-traitants de Données personnelles par le Règlement général de l’Union européenne sur la protection des données ou la présente Annexe.

Chaque partie est uniquement tenue de payer la part des dommages-intérêts ou de l’amende administrative correspondant à sa responsabilité pour le dommage, telle qu’établie dans la décision définitive d’une autorité chargée de la protection des données ou d’un tribunal. Dans tous les cas, la responsabilité des parties est déterminée conformément à l’Accord.

Le Fournisseur informe le Client par écrit de toute modification susceptible d’affecter sa capacité ou ses possibilités de respecter la présente Annexe et les instructions écrites du Client. Les Parties conviennent par écrit de tout ajout ou modification à la présente Annexe.

La présente Annexe entre en vigueur après sa signature par les deux parties. Elle reste en vigueur (i) aussi longtemps que l’Accord est en vigueur ou (ii) aussi longtemps que les parties ont des obligations réciproques concernant les activités de traitement des données personnelles.

Les obligations qui, de par leur nature, sont destinées à survivre à l’expiration de la présente Annexe restent en vigueur après son expiration.

Annexe – Spécification du Traitement des Données

1. Applicabilité

Le présent formulaire de spécification du Traitement fait partie intégrante de l’Annexe relative au Traitement des Données personnelles. Le formulaire de spécification du Traitement précise la mission de traitement que le Sous-traitant effectue au bénéfice du Responsable du traitement conformément à l’Accord et à la présente Annexe.

2. Services

Le Traitement concerne les services suivants d’automatisation et d’enrichissement des données CRM de l’entreprise cliente de LiiD.

3. Localisation géographique des Données personnelles

Les Données personnelles sont traitées à l’intérieur et à l’extérieur de l’UE/EEE, notamment aux États-Unis d’Amérique.

4. Catégories de Personnes concernées

Les Données personnelles Traitées concernent les catégories suivantes de Personnes concernées :

• Employés de l’entreprise cliente de LiiD

• Utilisateurs de l’Application LiiD

• Personnes de contact des clients de l’entreprise cliente de LiiD

• Clients consommateurs du client de LiiD

5. Types de Données personnelles

Les types de données personnelles traitées peuvent notamment comprendre les données des clients et les données des fournisseurs, telles que le nom, la fonction, l’adresse du domicile, le numéro de téléphone, l’adresse e-mail, la date de naissance, le sexe, le numéro de client, l’historique des achats et de l’utilisation des services ; ainsi que les données financières ; les données relatives aux employés et au personnel ; ainsi que les données de gestion informatique, telles que les données système relatives au service fourni, notamment l’identification technique, les noms d’utilisateur, la localisation, les coordonnées et les actions techniques relatives aux services fournis, telles que les données des journaux système et applicatifs et des journaux de sécurité, les données de surveillance des locaux et des systèmes ainsi que les données relatives aux violations de la sécurité des données. À noter dans cette section : la collecte des numéros de sécurité sociale ou les vérifications d’antécédents.

Les Données personnelles Traitées dans le service comprennent les types de Données personnelles suivants :

• Nom
• Entreprise
• Fonction
• Adresse e-mail
• Numéro de téléphone
• Adresse et autres coordonnées
• Informations relatives aux activités avec les clients, telles que les appels téléphoniques, les conversations par e-mail et les rendez-vous de calendrier

COORDONNÉES

Si vous avez des questions concernant l’Accord relatif au traitement des données personnelles, veuillez nous contacter à l’adresse info@liid.com.