Annexe sur Protection des Données Personnelles

Last Updated: 21 mai 2026

1. Protection des Données

1.1 Dans le cadre de la présente Annexe - Protection des Données Personnelles :

« Lois sur la Protection des Données » désigne, pour chacune des Parties, toute loi et tout règlement applicable dans toute juridiction compétente directement applicable aux activités de traitement de Données Personnelles mis en œuvre par ladite Partie, comprenant, notamment : (i) le Règlement de l'UE 2016/679 (« RGPD ») ; (ii)  toute loi ou tout règlement ratifiant, mettant en œuvre, adoptant, complétant ou remplaçant le RGPD ; et (iii)  toutes les lois et tous les règlements mettant en œuvre ou pris en application de la directive européenne 2002/58/CE (telle que modifiée par la directive 2009/136/CE)  ; dans chaque cas, tels que mis à jour, modifiés ou remplacés de temps à autre. Les termes « Personne concernée », « Données Personnelles », « Traitement », « Sous-traitant » et « Responsable de Traitement » auront la signification qui leur est donnée dans le RGPD.

« Autorité de contrôle » désigne tout organisme ou autorité gouvernemental ou réglementaire chargé de contrôler ou de faire respecter la conformité aux Lois sur la Protection des Données.

« Vos Données Personnelles » désigne toutes les Données Personnelles incluses dans Vos Données et traitées par Pigment, en votre nom et pour votre compte, en application directe ou indirecte du Contrat.

1.2 Chaque Partie se conformera aux dispositions et obligations qui lui sont imposées par les Lois sur la Protection des Données à tout moment lors du Traitement de Vos Données Personnelles dans le cadre du Contrat. Le Traitement (types de Données Personnelles Traitées, catégories de Personnes Concernées, nature, finalités, et durée) est décrit dans l’Appendice de l’Annexe.

1.3 Chaque Partie tiendra les registres relatifs au Traitement contenant, à tout le moins, les informations requises par les Lois sur la Protection des Données. Chaque Partie tiendra ces registres à disposition de toute Autorité de contrôle qui en ferait la demande conformément aux Lois sur la Protection des Données applicables.

1.4 Chaque Partie reconnaît et accepte que, concernant le Traitement de Vos Données Personnelles, en vertu du RGPD, Vous êtes Responsable de Traitement et Pigment est Sous-Traitant .

1.5 Vous vous engagez à :

  1. Vous assurer que toutes les instructions relatives au Traitement que Vous Nous donnez sont conformes aux Lois sur la Protection des Données ;
  2. Être seuls responsables de l'exactitude, de la qualité et de la légalité de Vos Données Personnelles et des moyens par lesquels Vous avez acquis Vos Données Personnelles ; et
  3. Définir la base juridique du Traitement conformément aux Lois sur la Protection des Données, y compris la fourniture de toutes les notices d’information nécessaires et la collecte de tous consentements si applicables, afin que Nous puissions traiter Vos Données Personnelles conformément au Contrat.

1.6 Pigment s’engage à :

  1. Traiter vos données personnelles (i) uniquement sur la base de vos instructions documentées et énoncées dans le Contrat (y compris tout Bon de Commande et tout Cahier des Charges (SOW) en vigueur), à condition que ces instructions soient légales (dans le cas contraire, Nous Vous informerons si Nous considérons qu’une instruction constitue une violation des Lois sur la Protection des Données applicables, à moins que le droit applicable n’interdise une telle notification pour des raisons importantes d'intérêt public), et (ii) uniquement pour la Durée du Contrat ;
  2. S'assurer que les membres de son personnel autorisés à avoir accès à Vos Données Personnelles s'engagent à une obligation de confidentialité ou soient soumis à une obligation légale appropriée de confidentialité lors du Traitement de Vos Données Personnelles ;
  3. Compte tenu de la l’état de la connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du Traitement, mettre en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité de Vos Données Personnelles approprié au risque, y compris les risques de destruction, perte, altération, divulgation, diffusion ou accès non accidentel, illégal ou non autorisé, telles que prévues à l’Annexe relative à la sécurité ;
  4. En conformité avec le RGPD et concernant Vos Données Personnelles provenant de l'Espace Économique Européen , Pigment ne transfère aucune de Vos Données Personnelles en dehors de l'Espace Économique Européen , sauf si (i) Nous avons mis en place les Clauses Contractuelles Types applicables approuvées par la Commission européenne ; (ii) le transfert est autrement autorisé par les Lois sur la Protection des Données ;
  5. Vous informer sans retard indu et au plus tard soixante-douze (72) heures (via l'adresse e-mail définie dans votre espace de travail Pigment sur pour la protection des données) après avoir pris connaissance du fait que Vos Données personnelles (alors qu'elles sont sous Notre contrôle) font l'objet d'une violation de données personnelles (telle que définie dans les Lois sur la Protection des Données) ;
  6. Ne divulguer Vos Données Personnelles à une Personne Concernée que si Vous Nous le demandez par écrit ou tel que prévu dans le Contrat ou si requis par le droit applicable ;
  7. Sauf si la loi l'exige ou afin de Nous défendre contre toute action en justice réelle ou potentielle, supprimer toutes Vos Données Personnelles dans un délai de trois mois à compter de la résiliation ou de l'expiration du présent Contrat, et ne plus faire usage de Vos Données Personnelles ;
  8. Dans les conditions des sous-paragraphes6 (9) et 1.13 relatif aux audits, Vous fournir, ainsi qu'à toute Autorité de contrôle, les informations et l'assistance raisonnablement nécessaires pour démontrer ou assurer le respect des obligations de la présente Annexe 1 et / ou les Lois sur la Protection des Données ;
  9. Sur une base annuelle, à nos propres frais, engager un auditeur tiers indépendant pour effectuer un audit SOC 2 ou autre audit reconnu dans le secteur. Nous Vous fournirons (à votre demande) la copie de notre résultat d’audit ou de nos certifications tierces les plus récentes, selon le cas, ou tout résumé de ceux-ci, que Nous mettons généralement à la disposition de nos clients au moment de cette demande ;
  10. À vos frais, prendre les mesures raisonnablement requises pour Vous aider à assurer le respect de vos obligations prévus par les Lois sur la Protection des Données et qui sont obligatoires pour les sous-traitants et / ou les prestataires de services en application des Lois sur la Protection des Données ;
  11. Vous informer dès que raisonnablement possible (à l'adresse e-mail définie dans votre espace de travail Pigment pour les données personnelles) si Nous recevons la demande d'une Personne Concernée souhaitant exercer ses droits relatifs à ses données personnelles en application des Lois sur la Protection des Données ; et
  12. À vos frais, Vous fournir une coopération et une assistance raisonnables en relation avec toute demande faite par une Personne Concernée souhaitant exercer les droits relatifs à ses données personnelles et prévus par les Lois sur la Protection des Données.

1.7 Si une Partie reçoit une plainte, un avis ou une communication qui se rapporte directement ou indirectement au Traitement par l'autre Partie ou au respect de Pigment des Lois sur la Protection des Données, la Partie recevant ladite communication en informera l'autre dès que possible. Celle-ci s’engage à coopérer avec l’autre Partie et à lui fournir une assistance raisonnable sur le plan commercial en ce qui concerne le traitement de cette plainte, de cet avis ou de cette communication.

1.8 Vous reconnaissez que Nous pourrons divulguer Vos Données Personnelles à nos consultants, auditeurs ou autres tiers comme si cela est raisonnablement nécessaire dans le cadre de l'exécution de nos obligations prévues dans le Contrat. En outre, Nous pouvons faire appel à des tiers pour Traiter Vos Données Personnelles en votre nom (« Sous-Traitants Ultérieurs »). La liste actuelle des Sous-Traitants Ultérieurs figure au lien suivant : < https://www.pigment.com/msa/dpa-subprocessors>.

1.9 Si Nous engageons un nouveau Sous-Traitant Ultérieur ("Nouveau Sous-Traitant Ultérieur"), Nous Vous en informerons au plus tard trente (30) jours à l'avance à l'adresse e-mail définie dans votre espace de travail Pigment pour les données personnelles. Vous pouvez Vous opposer à l'engagement d'un Nouveau Sous-Traitant Ultérieur dans un délai de quatorze (14) jours à compter de la réception de notre notification en Nous informant de votre objection et des raisons de cette objection. Si Votre objection est raisonnable au vu des circonstances, Nous Nous engageons à discuter avec Vous en toute bonne foi pour trouver une solution mutuellement acceptable. Si Nous ne parvenons pas à trouver une solution mutuellement acceptable dans un délai de trente (30) jours après que Nous Vous avons informé de l'engagement d'un Nouveau Sous-Traitant Ultérieur, Vous aurez le droit de résilier le Contrat.

1.10 Nous veillerons à ce que notre contrat avec chaque Sous-Traitant Ultérieur impose au Sous-Traitant Ultérieur des obligations matériellement équivalentes aux obligations prévues dans l’Annexe.

1.11 Nous resterons responsables vis-à-vis du Client de l’exécution par le Sous-Traitant Ultérieur du respect des obligations prévues par l’Annexe.

1.12 En ce qui concerne Vos Données Personnelles qui sont soumises au CCPA : (i) Nous ne (a) vendrons ni ne partagerons Vos Données Personnelles ; (b) ne conserverons, n'utiliserons ni ne divulguerons aucune de Vos Données Personnelles dans un but autre que l'objectif spécifique de fournir la Solution, y compris la conservation, l'utilisation, la combinaison ou la divulgation d'aucune de Vos Données Personnelles dans un but commercial autre que la fourniture de la Solution ; ou (c) conserverons, utiliserons ou divulguerons l'une quelconque de Vos Données Personnelles en dehors de la relation commerciale directe entre Vous et Pigment ; et (ii) les Parties reconnaissent et conviennent que notre accès à Vos Données Personnelles ne fait pas partie de la contrepartie échangée par les Parties dans le cadre du Contrat. Nous certifions avoir compris les exigences qui précèdent.

1.13 Sous réserve : (i) d’un préavis raisonnable d’au moins 14 jours ouvrables ; (ii) au maximum une seule fois au plus avant chaque renouvellement du présent Contrat ; (iii) à Vos frais ; (iv) d’une réalisation de l’audit dans un délai de cinq (5) jours ouvrables ; et (v) pendant Nos heures d’ouverture normales ; Nous Vous fournirons, à Vous ou à Votre représentant tiers dûment qualifié, approuvé par écrit par Nous et ayant signé avec Nous un accord de non-divulgation acceptable pour Nous : (a) la documentation de Notre portail de confiance ou une copie de Notre dernier rapport d’audit SOC 2 Type II ou de tout autre audit conforme aux normes du secteur ; (b) la participation à tout programme de Bug Bounty ou test d’intrusion contrôlé par Nous, sous réserve, en tout état de cause, des règles de ce programme ou de ce test d’intrusion que Nous déterminons de temps à autre, à notre seule et entière discrétion. Toute demande d'audit supplémentaire formulée par Vous en dehors du champ d'application d'un audit prévu aux points (a) et (b) pourra être examinée au cas par cas et, si Nous choisissons d'examiner plus avant ces demandes, elle sera expressément soumise aux conditions suivantes : (x) dès réception de cette notification, les Parties conviendront mutuellement à l'avance des détails de l'audit, y compris le coût raisonnable, la date de début, le champ d'application, la durée et les mesures de sécurité pertinentes ; (y) les mesures de confidentialité que nous jugerons appropriées s’appliqueront à tout audit de ce type ; et (z) Vous ou Votre représentant ne devez pas : (1) accéder aux données de Nos autres clients, ni les stocker ou les supprimer ; (2) accéder, stocker ou supprimer les sites d’hébergement de la Solution, les systèmes ou infrastructures sous-jacents, ou ceux liés à Nos sous-traitants et à d’autres clients ; ou (3) accéder à tout document, information ou donnée que Nous considérons comme commercialement sensible ou comme un secret d’affaires, tel que déterminé par Nous à Notre seule et entière discrétion.

‍

Appendice à l'Annexe (Protection des Données Personnelles)

Le Traitement de Vos Données Personnelles mis en œuvre par Pigment en application du Contrat peut être décrit comme suit (sauf indication contraire dans un Bon de Commande ou un Cahier des Charges (SOW)) :

1. Objet, nature et finalité du Traitement

L'objet, la nature et la finalité du Traitement sont (i) tels que spécifiés dans le Contrat, (ii) nécessaires pour Vous aider, ainsi que vos prestataires de services, à mettre en œuvre et à utiliser la Solution et (iii) nécessaires pour améliorer la Solution (seules des données anonymes et / ou agrégées sont traitées à cette fin).

2. Catégories de Données Personnelles

Les catégories de Données Personnelles Traitées sont celles incluses dans Vos Données.

3. Catégories de Personnes Concernées

Les catégories de Personnes Concernées comprennent vos représentants, vos Utilisateurs Autorisés et toute autre personne identifiée ou identifiable par Vos Données.

4. Durée du Traitement

La durée du Traitement est celle prévue par le Contrat.

5. Sous-Traitants Ultérieurs

La liste de nos Sous-Traitants Ultérieurs est disponible au lien suivant https://www.pigment.com/msa/dpa-subprocessors. Nous la mettons à jour dans le respect de l’article 1.9. de la présente Annexe.