Accord de traitement des données (DPA)

Le présent Accord de traitement des données de Vates (le « DPA ») a pour objet de définir les conditions dans lesquelles VATES s'engage, en sa qualité de sous-traitant, à réaliser des opérations de traitement de données à caractère personnel pour le compte du Client dans le cadre des Services d'abonnement régis par les Conditions générales d'abonnement Vates VMS (les « Conditions »). Le présent DPA est incorporé par référence aux Conditions. Il ne s'applique qu'aux traitements pour lesquels VATES agit en qualité de sous-traitant pour le compte du Client. Il ne s'applique pas aux traitements pour lesquels VATES agit en qualité de responsable de traitement indépendant, tels qu'identifiés à l'article 10 des Conditions.

1. Définitions

Aux fins du présent DPA et sans préjudice de toute autre définition figurant dans les Conditions, les termes suivants commençant par une majuscule, qu'ils soient employés au singulier ou au pluriel, auront la signification suivante :

« Réglementation relative à la protection des données personnelles » : les lois et règlements en vigueur dans l'Union européenne, l'Espace économique européen et ses États membres relatifs au traitement des données à caractère personnel, y compris la loi française n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, telle que modifiée de temps à autre (la « Loi informatique et libertés »), et le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (le « Règlement général sur la protection des données » ou le « RGPD »).

« Données personnelles » : toute information se rapportant à une personne physique identifiée ou identifiable, c'est-à-dire une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant tel qu'un nom, un prénom, une adresse e-mail professionnelle, des données de localisation, un identifiant en ligne ou à un ou plusieurs éléments spécifiques à son identité physique, physiologique, génétique, mentale, économique, culturelle ou sociale.

Les termes relatifs à la protection des données personnelles qui ne sont pas définis dans le présent DPA ou dans les Conditions, notamment « concerné par les données », « responsable de traitement », « sous-traitant », « traitement » et « violation de données à caractère personnel », ont la signification qui leur est donnée par le RGPD, en particulier à son article 4.

2. Description du traitement

Dans le cadre de l'exécution des Conditions et de la Commande applicable, VATES traite, en qualité de sous-traitant, les données personnelles transmises ou rendues accessibles par le Client strictement aux fins de fournir des Services de support et des Services de maintenance dans le cadre d'un ticket de support (« Données personnelles du Client »).

Ces données personnelles peuvent inclure :

• les données personnelles transmises par les contacts de support du Client lorsqu'il ouvre ou gère un ticket via le Système de support, y compris par l'intermédiaire d'une adresse e-mail de support dédiée, notamment le nom, le prénom, l'adresse e-mail professionnelle et le contenu du ticket ; et

• lorsque le Client le demande expressément et active un accès à distance par le tunnel de support Xen Orchestra ou tout autre moyen d'accès convenu pour le ticket concerné, les données personnelles susceptibles d'être contenues dans, ou accessibles à travers, les composants de l'infrastructure auxquels le Client accorde l'accès à VATES, y compris les hôtes, les machines virtuelles, les journaux système, les métadonnées, les sauvegardes ou tout autre composant de l'infrastructure.

Tout accès à distance par VATES doit être initié, activé ou expressément autorisé par le Client pour le ticket concerné et se limiter aux systèmes, ressources et périmètre d'accès mis à sa disposition. VATES accède et traite les données personnelles rendues disponibles par cet accès à distance uniquement dans la mesure nécessaire au diagnostic, à l'investigation et à la résolution de la demande de support ou de maintenance concernée, et conformément aux instructions documentées du Client. Le Client peut refuser ou retirer un accès à distance conformément aux Conditions et à la Politique de support.

Selon les systèmes et ressources rendus accessibles, les données personnelles concernées peuvent se rapporter au personnel, aux utilisateurs, aux clients ou à d'autres personnes concernées du Client dont les données personnelles sont traitées au sein de son infrastructure.

Ces données personnelles sont traitées uniquement aux fins de gérer, d'investiguer et de résoudre les demandes de support et de maintenance, pour la durée nécessaire aux opérations de support concernées, et conformément aux délais de conservation prévus par les Conditions et par le présent DPA. Les données personnelles contenues dans les tickets de support sont conservées pendant la durée de la relation commerciale entre VATES et le Client, puis supprimées ou anonymisées dans un délai de douze (12) mois après la fin de cette relation, sauf si une conservation prolongée est nécessaire pour des raisons de sécurité, de conformité à une obligation légale, ou de l'établissement, de l'exercice ou de la défense de droits en justice. Lorsque cela est techniquement réalisable, VATES supprimera ou anonymisera également ces données personnelles à la demande documentée du Client, sous réserve des mêmes exceptions.

L'exécution des Conditions et de la Commande applicable, ensemble avec les instructions du Client fournies dans le cadre d'un ticket ou l'activation et la configuration du tunnel de support Xen Orchestra ou d'un autre moyen d'accès autorisé, constitue les instructions documentées du Client aux fins du présent traitement.

3. Obligations de Vates à l'égard du Client

VATES s'engage à :

• traiter les données personnelles uniquement aux fins du traitement qui lui est sous-traité ;

• traiter les données personnelles conformément aux instructions documentées du Client telles que définies dans le présent DPA. Si VATES estime qu'une instruction constitue une violation du RGPD ou de toute autre disposition du droit de l'Union ou du droit d'un État membre relatif à la protection des données personnelles, elle en informe immédiatement le Client. Si VATES est tenue, par le droit de l'Union ou le droit de l'État membre auquel elle est soumise, à traiter des données personnelles autrement que sur les instructions documentées du Client, VATES s'engage à en informer le Client avant le traitement, sauf si une telle information est interdite par cette loi pour des motifs importants d'intérêt public ;

• garantir la confidentialité des données personnelles traitées dans le cadre des Conditions ;

• s'assurer que les personnes autorisées à traiter les données personnelles dans le cadre des Conditions (i) s'engagent à respecter la confidentialité des données personnelles ou sont soumises à une obligation légale appropriée de confidentialité, et (ii) reçoivent la formation nécessaire en matière de gestion des données personnelles ;

• prendre en compte, s'agissant de ses outils, produits, applications ou services, les principes de protection des données par conception et par défaut ;

• tenir le registre prévu à l'article 30 du RGPD, le cas échéant.

4. Sous-traitance ultérieure

Le Client autorise VATES à confier à un autre sous-traitant (ci-après le « sous-traitant ultérieur ») la réalisation d'activités de traitement spécifiques. La liste des sous-traitants de VATES est communiquée au Client sur demande. VATES s'engage à informer le Client de toute modification prévue concernant l'ajout ou le remplacement de sous-traitants au moins trente (30) jours calendaires avant la prise d'effet de la modification, lorsque cela est raisonnablement possible. Le Client dispose de ce délai de préavis pour formuler ses objections raisonnablement légitimes par écrit. Le Client reconnaît et accepte que l'absence d'objection dans ce délai vaut acceptation du sous-traitant ultérieur par le Client. En cas d'objection, VATES peut y répondre en fournissant les informations susceptibles de lever ces objections. Si le Client maintient ses objections, les parties s'engagent à se réunir et à discuter de bonne foi une solution raisonnable. Si aucune solution raisonnable n'est disponible, le Client peut mettre fin aux Services d'abonnement concernés avant que le sous-traitant ultérieur ne commence le traitement concerné, et VATES accordera à la Partie acheteuse tout remboursement au prorata dû en vertu de l'article 14 des Conditions.

VATES impose à chacun de ses sous-traitants ultérieurs, par accord écrit, des obligations de protection des données au moins aussi protectrices que les obligations applicables à VATES en vertu du présent DPA, dans la mesure pertinente pour le traitement confié à ce sous-traitant.

En tout état de cause, VATES demeure responsable envers le Client de la bonne exécution, par ses sous-traitants ultérieurs, des obligations de protection des données applicables.

5. Notification des violations de données à caractère personnel

VATES s'engage à notifier au Client toute violation de données à caractère personnel dans le cadre des Conditions sans délai indû après en avoir pris connaissance, par e-mail au DPO ou au contact protection des données du Client identifié dans une Commande ou, à défaut, au contact contractuel principal désigné dans la Commande applicable.

Cette notification s'accompagne de toute documentation et information utile raisonnablement disponible pour VATES afin de permettre au Client, le cas échéant, de notifier ladite violation de données à caractère personnel à l'autorité de contrôle compétente et aux personnes concernées. Lorsque l'ensemble des informations ne peut être fourni en même temps, il est fourni au Client par phases, au fur et à mesure qu'elles deviennent raisonnablement disponibles.

6. Exercice des droits des personnes concernées

Dans toute la mesure du possible et compte tenu de la nature du traitement, VATES s'engage à assister le Client dans l'accomplissement de ses obligations de fournir aux personnes concernées les informations requises par le RGPD lorsqu'elles exercent leurs droits.

En cas de demande de personnes concernées adressées à VATES pour exercer leurs droits, VATES transmet ces demandes sans délai indû, par e-mail, au DPO ou au contact protection des données du Client identifié dans une Commande ou, à défaut, au contact contractuel principal désigné dans la Commande applicable. Le Client demeure responsable de la réponse à la demande.

L'assistance raisonnable habituellement requise pour les Services d'abonnement est incluse. Lorsque une demande requiert un travail exceptionnel en dehors de ce périmètre, VATES peut proposer des Prestations professionnelles, mais ne facturera pas au Client sans son accord écrit préalable.

7. Mesures de sécurité

VATES s'engage à mettre en œuvre et à maintenir des mesures techniques et organisationnelles tenant compte de l'état de l'art, des coûts de mise en œuvre, de la nature, du périmètre, du contexte et des finalités du traitement, ainsi que des risques, dont la probabilité et la gravité varient, pour les droits et libertés des personnes physiques. Ces mesures incluent, selon le cas, un accès restreint au personnel autorisé, des contrôles d'authentification appropriés, une protection des données en transit et un journalisation des accès ou de sécurité pertinente. Ces mesures peuvent évoluer au fil du temps, pourvu que le niveau global de protection ne soit pas substantiellement réduit.

Lorsqu'un accès à distance à l'infrastructure du Client est fourni par le tunnel de support Xen Orchestra ou tout autre moyen autorisé pour un ticket, VATES met en œuvre des mesures techniques et organisationnelles appropriées destinées à garantir que cet accès est restreint au personnel autorisé et utilisé uniquement aux fins et dans le périmètre autorisés par le Client.

8. Évaluations d'impact

Dans toute la mesure du possible et compte tenu de la nature du traitement, VATES s'engage à assister le Client dans la réalisation d'évaluations d'impact relatives à la protection des données concernant les traitements effectués dans le cadre des Conditions et, lorsque requis par l'article 36 du RGPD, dans les consultations préalables auprès de l'autorité de contrôle compétente. Pour lever toute ambiguïté, il est rappelé que VATES n'est pas responsable de la réalisation et/ou du maintien à jour de l'évaluation d'impact du Client. L'assistance raisonnable habituellement requise pour les Services d'abonnement est incluse. Le travail exceptionnel peut être proposé sous forme de Prestations professionnelles, mais ne sera pas facturé sans l'accord écrit préalable du Client.

9. Transfert de données personnelles en dehors de l'Espace économique européen sous réserve de garanties appropriées

Le Client autorise VATES à traiter les Données personnelles du Client depuis des pays dans lesquels VATES, ses Sociétés affiliées ou ses sous-traitants autorisés fournissent des Services de support, sous réserve du présent article. Le Client peut donner une instruction contraire documentée lorsque cela est raisonnable et techniquement réalisable. Si une telle instruction restreint la capacité de VATES à fournir le support, les conséquences énoncées dans les Conditions et la Politique de support relatives aux dépendances du Client s'appliquent.

En cas de transfert de données personnelles en dehors de l'Espace économique européen non couvert par une décision d'adéquation de la Commission européenne en vertu de l'article 45 du RGPD, VATES s'engage à régir ce transfert au moyen de garanties appropriées au sens de l'article 46 du RGPD, notamment en concluant des clauses contractuelles types adoptées par la Commission européenne, et à assurer un niveau de protection équivalent aux exigences européennes.

10. Conformité ; audit

Le Client demande d'abord par écrit les informations raisonnablement nécessaires pour vérifier la conformité de VATES à ses obligations au titre du présent DPA. Un audit ne peut être demandé que lorsque les informations fournies par VATES sont raisonnablement insuffisantes et que le Client a identifié par écrit les préoccupations spécifiques justifiant une vérification complémentaire.

Sauf en cas de préoccupation documentée de conformité substantielle, de risque imminent pour la sécurité des données personnelles ou d'exigence contraignante d'une autorité de contrôle compétente, un seul audit ne peut être effectué au cours d'une période glissante de douze (12) mois. Le Client accorde à VATES au moins trente (30) jours ouvrables de préavis écrit, précisant l'objet, le périmètre, la méthodologie, la date proposée et l'identité de l'auditeur. Ce délai de préavis peut être raccourci lorsqu'il est raisonnablement justifié par l'urgence.

Les audits sont principalement effectués à distance et par examen documentaire. Les inspections sur site sont permises uniquement lorsqu'elles sont raisonnablement nécessaires et sont normalement limitées à un (1) jour ouvrable. Tous les audits sont strictement limités aux activités de traitement de VATES au titre du présent DPA, effectués pendant les heures de bureau normales sans perturbation indue, et soumis à des garanties de sécurité et de confidentialité appropriées. L'auditeur doit être dûment qualifié, soumis à un engagement écrit de confidentialité et, s'il est désigné en externe, indépendant et ni concurrent de VATES ni sujet à un conflit d'intérêts. Les tests d'intrusion, les scans de vulnérabilités et l'accès direct aux systèmes de production requièrent l'approbation préalable de VATES sur des dispositions de sécurité appropriées, sans préjudice des mesures de vérification alternatives nécessaires.

Le Client supporte ses propres frais d'audit, y compris les honoraires de l'auditeur. VATES fournit une assistance raisonnable jusqu'à un (1) jour-homme sans frais par audit ordinaire. Une assistance supplémentaire peut être facturée aux tarifs standard de services professionnels de VATES, pourvu que ces frais demeurent raisonnables et proportionnés et n'empêchent pas l'exercice des droits d'audit statutaires. L'assistance requise pour vérifier la remédiation d'une violation substantielle imputable à VATES n'est pas facturée.

Toutes les conclusions d'audit et informations associées demeurent confidentielles, sous réserve des divulgations requises par la loi, et sont communiquées à VATES. Rien dans le présent DPA ne restreint les droits du Client au titre de l'article 28(3)(h) du RGPD ni les compétences des autorités de contrôle compétentes.

11. Restitution et suppression en fin de Services

À l'expiration ou à la résiliation des Services d'abonnement impliquant le traitement, VATES remettra, au choix du Client et lorsque cela est techniquement réalisable, les Données personnelles du Client alors détenues par VATES sous une forme couramment utilisable ou les supprimera ou anonymisera, et supprimera les copies existantes, sauf si le droit de l'Union ou d'un État membre exige une conservation prolongée. Le Client doit communiquer toute demande de restitution avant que la suppression applicable n'ait lieu. Le délai de conservation spécifique et les exceptions applicables aux données personnelles contenues dans les tickets de support demeurent régis par l'article 2 du présent DPA.

12. Priorité et durée

Le présent DPA demeure en vigueur aussi longtemps que VATES traite les Données personnelles du Client pour le compte du Client. En cas de conflit entre le présent DPA et les Conditions, une Commande ou toute autre Documentation applicable s'agissant du traitement des Données personnelles du Client, le présent DPA prévaut dans la mesure de ce conflit.