Annexe sur Protection des Données Personnelles

1. Protection des Données

1.1 Dans le cadre de la présente Annexe - Protection des Données Personnelles :

« Lois sur la Protection des Données » désigne, pour chacune des Parties, toute loi et tout règlement applicable dans toute juridiction compétente directement applicable aux activités de traitement de Données Personnelles mis en œuvre par ladite Partie, comprenant, notamment : (i) le Règlement de l'UE 2016/679 (« RGPD ») ; (ii)  toute loi ou tout règlement ratifiant, mettant en œuvre, adoptant, complétant ou remplaçant le RGPD ; et (iii)  toutes les lois et tous les règlements mettant en œuvre ou pris en application de la directive européenne 2002/58/CE (telle que modifiée par la directive 2009/136/CE)  ; dans chaque cas, tels que mis à jour, modifiés ou remplacés de temps à autre. Les termes « Personne concernée », « Données Personnelles », « Traitement », « Sous-traitant » et « Responsable de Traitement » auront la signification qui leur est donnée dans le RGPD.

« Autorité de contrôle » désigne tout organisme ou autorité gouvernemental ou réglementaire chargé de contrôler ou de faire respecter la conformité aux Lois sur la Protection des Données.

« Vos Données Personnelles » désigne toutes les Données Personnelles incluses dans Vos Données et traitées par Pigment, en votre nom et pour votre compte, en application directe ou indirecte du Contrat.

1.2 Chaque Partie se conformera aux dispositions et obligations qui lui sont imposées par les Lois sur la Protection des Données à tout moment lors du Traitement de Vos Données Personnelles dans le cadre du Contrat. Le Traitement (types de Données Personnelles Traitées, catégories de Personnes Concernées, nature, finalités, et durée) est décrit dans l’Appendice de l’Annexe.

1.3 Chaque Partie tiendra les registres relatifs au Traitement contenant, à tout le moins, les informations requises par les Lois sur la Protection des Données. Chaque Partie tiendra ces registres à disposition de toute Autorité de contrôle qui en ferait la demande conformément aux Lois sur la Protection des Données applicables.

1.4 Chaque Partie reconnaît et accepte que, concernant le Traitement de Vos Données Personnelles, en vertu du RGPD, Vous êtes Responsable de Traitement et Pigment est Sous-Traitant .

1.5 Vous vous engagez à :

1. Vous assurer que toutes les instructions relatives au Traitement que Vous Nous donnez sont conformes aux Lois sur la Protection des Données ;
2. Être seuls responsables de l'exactitude, de la qualité et de la légalité de Vos Données Personnelles et des moyens par lesquels Vous avez acquis Vos Données Personnelles ; et
3. Définir la base juridique du Traitement conformément aux Lois sur la Protection des Données, y compris la fourniture de toutes les notices d’information nécessaires et la collecte de tous consentements si applicables, afin que Nous puissions traiter Vos Données Personnelles conformément au Contrat.‍

1.6 Pigment s’engage à :

1. Traiter vos données personnelles (i) uniquement sur la base de vos instructions documentées et énoncées dans le Contrat (y compris tout Bon de Commande et tout Cahier des Charges (SOW) en vigueur), à condition que ces instructions soient légales (dans le cas contraire, Nous Vous informerons si Nous considérons qu’une instruction constitue une violation des Lois sur la Protection des Données applicables, à moins que le droit applicable n’interdise une telle notification pour des raisons importantes d'intérêt public), et (ii) uniquement pour la Durée du Contrat ;
2. S'assurer que les membres de son personnel autorisés à avoir accès à Vos Données Personnelles s'engagent à une obligation de confidentialité ou soient soumis à une obligation légale appropriée de confidentialité lors du Traitement de Vos Données Personnelles ;
3. Compte tenu de la l’état de la connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du Traitement, mettre en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité de Vos Données Personnelles approprié au risque, y compris les risques de destruction, perte, altération, divulgation, diffusion ou accès non accidentel, illégal ou non autorisé, telles que prévues à l’Annexe relative à la sécurité ;
4. En conformité avec le RGPD et concernant Vos Données Personnelles provenant de l'Espace Économique Européen , Pigment ne transfère aucune de Vos Données Personnelles en dehors de l'Espace Économique Européen , sauf si (i) Nous avons mis en place les Clauses Contractuelles Types applicables approuvées par la Commission européenne ; (ii) le transfert est autrement autorisé par les Lois sur la Protection des Données ;
5. Vous informer sans retard indu après avoir pris connaissance du fait que Vos Données personnelles (alors qu'elles sont sous Notre contrôle) font l'objet d'une violation de données personnelles (telle que définie dans les Lois sur la Protection des Données) ;
6. Ne divulguer Vos Données Personnelles à une Personne Concernée que si Vous Nous le demandez par écrit ou tel que prévu dans le Contrat ou si requis par le droit applicable ;
7. Supprimer toutes Vos Données Personnelles à la résiliation ou à l'expiration du Contrat et ne plus utiliser Vos Données Personnelles après le terme du Contrat, à moins que le droit applicable n’en dispose autrement ou que leur conservation soit nécessaire pour défendre nos intérêts actuels ou potentiels ;
8. À vos frais et dans les conditions du paragraphe (9) relatif aux audits, Vous fournir, ainsi qu'à toute Autorité de contrôle, les informations et l'assistance raisonnablement nécessaires pour démontrer ou assurer le respect des obligations de la présente Annexe 1 et / ou les Lois sur la Protection des Données ;
9. Sur une base annuelle, à nos propres frais, engager un auditeur tiers indépendant pour effectuer un audit SOC 2 ou autre audit reconnu dans le secteur. Nous Vous fournirons (à votre demande) la copie de notre résultat d’audit ou de nos certifications tierces les plus récentes, selon le cas, ou tout résumé de ceux-ci, que Nous mettons généralement à la disposition de nos clients au moment de cette demande ;
10. À vos frais, prendre les mesures raisonnablement requises pour Vous aider à assurer le respect de vos obligations prévus par les Lois sur la Protection des Données et qui sont obligatoires pour les sous-traitants et / ou les prestataires de services en application des Lois sur la Protection des Données ;
11. Vous informer dès que raisonnablement possible si Nous recevons la demande d'une Personne Concernée souhaitant exercer ses droits relatifs à ses données personnelles en application des Lois sur la Protection des Données ; et
12. À vos frais, Vous fournir une coopération et une assistance raisonnables en relation avec toute demande faite par une Personne Concernée souhaitant exercer les droits relatifs à ses données personnelles et prévus par les Lois sur la Protection des Données.

1.7 Si une Partie reçoit une plainte, un avis ou une communication qui se rapporte directement ou indirectement au Traitement par l'autre Partie ou au respect de Pigment des Lois sur la Protection des Données, la Partie recevant ladite communication en informera l'autre dès que possible. Celle-ci s’engage à coopérer avec l’autre Partie et à lui fournir une assistance raisonnable sur le plan commercial en ce qui concerne le traitement de cette plainte, de cet avis ou de cette communication.

1.8 Vous reconnaissez que Nous pourrons divulguer Vos Données Personnelles à nos consultants, auditeurs ou autres tiers comme si cela est raisonnablement nécessaire dans le cadre de l'exécution de nos obligations prévues dans le Contrat. En outre, Nous pouvons faire appel à des tiers pour Traiter Vos Données Personnelles en votre nom (« Sous-Traitants Ultérieurs »). La liste actuelle des Sous-Traitants Ultérieurs figure au lien suivant : < https://www.pigment.com/msa/dpa-subprocessors>.

1.9 Si Nous engageons un nouveau Sous-Traitant Ultérieur (« Nouveau Sous-Traitant Ultérieur »), Nous Vous en informerons au plus tard trente (30) jours à l'avance. Vous pouvez Vous opposer à l'engagement d'un Nouveau Sous-Traitant Ultérieur dans un délai de quatorze (14) jours à compter de la réception de notre notification en Nous informant de votre objection et des raisons de cette objection. Si Nous estimons que votre objection est raisonnable, Nous Nous engageons à discuter avec Vous en toute bonne foi pour trouver une solution mutuellement acceptable. Si Nous ne parvenons pas à trouver une solution mutuellement acceptable dans un délai de trente (30) jours après que Nous Vous avons informé de l'engagement d'un Nouveau Sous-Traitant Ultérieur, Vous aurez le droit de résilier le Contrat.

1.10 Nous veillerons à ce que notre contrat avec chaque Sous-Traitant Ultérieur impose au Sous-Traitant Ultérieur des obligations matériellement équivalentes aux obligations prévues dans l’Annexe.

1.11 Nous resterons responsables vis-à-vis du Client de l’exécution par le Sous-Traitant Ultérieur du respect des obligations prévues par l’Annexe.

Appendice à l'Annexe (Protection des Données Personnelles)

Le Traitement de Vos Données Personnelles mis en œuvre par Pigment en application du Contrat peut être décrit comme suit (sauf indication contraire dans un Bon de Commande ou un Cahier des Charges (SOW)) :

1. Objet, nature et finalité du Traitement

L'objet, la nature et la finalité du Traitement sont (i) tels que spécifiés dans le Contrat, (ii) nécessaires pour Vous aider, ainsi que vos prestataires de services, à mettre en œuvre et à utiliser la Solution et (iii) nécessaires pour améliorer la Solution (seules des données anonymes et / ou agrégées sont traitées à cette fin).

2. Catégories de Données Personnelles

Les catégories de Données Personnelles Traitées sont celles incluses dans Vos Données.

3. Catégories de Personnes Concernées

Les catégories de Personnes Concernées comprennent vos représentants, vos Utilisateurs Autorisés et toute autre personne identifiée ou identifiable par Vos Données.

4. Durée du Traitement

La durée du Traitement est celle prévue par le Contrat.

5. Sous-Traitants Ultérieurs

La liste de nos Sous-Traitants Ultérieurs est disponible au lien suivant https://www.pigment.com/msa/dpa-subprocessors. Nous la mettons à jour dans le respect de l’article 1.9. de la présente Annexe.