DATENSCHUTZVERTRAG VON CORSEARCH

Le présent accord de confidentialité (« ACC ») fait partie intégrante du contrat-cadre de prestation de services de Corsearch ou de tout autre accord écrit conclu entre Corsearch et le client (le « contrat »).

Dans la mesure où Corsearch traite des données à caractère personnel du client dans le cadre de ses prestations de services, la présente politique de confidentialité s'applique. La présente politique de confidentialité ne s'applique pas aux services liés aux marques ; dans le cadre de ces services, Corsearch ne traite aucune donnée à caractère personnel pour le compte du client. Corsearch agit en tant que responsable du traitement indépendant dans le cadre des services liés aux marques.

1. Définitions

Les termes ci-dessous, lorsqu'ils sont écrits en italique, ont la signification indiquée ci-dessous. Tous les termes écrits en italique qui ne sont pas définis ici ont la signification qui leur est donnée dans le contrat.

Le terme« données à caractère personnel du client »désigne toutes les données à caractère personnel, telles que décrites à l'annexe A, qui sont traitées par ou pour le compte de Corsearch pour ou au nom du client dans le cadre ou en relation avec le contrat, y compris la prestation des services, à l'ex
e des données à caractère personnel des utilisateurs.

Le terme « violation de la protection des données »désigne toute faille de sécurité survenant chez Corsearch ou chez un sous-traitant et concernant les données à caractère personnel du client, qui entraîne la divulgation accidentelle ou illicite, la destruction, la perte, à la modification, à la divulgation non autorisée ou à l’accès aux données à caractère personnel du client, dont Corsearch a connaissance pendant la durée du contrat, pour autant que cette violation de la sécurité n’ait pas été causée par le client ou un utilisateur.

Le terme « lois sur la protection des données »désigne l'ensemble des lois et réglementations applicables en matière de protection des données qui s'appliquent au traitement des données à caractère personnel du client dans le cadre du contrat, y compris, sans s'y limiter, le règlement général sur la protection des données de l'UE 2016/679 (« RGPD »), le RGPD tel qu'adopté par le Royaume-Uni (« RGPD britannique »), la loi californienne sur la protection de la vie privée des consommateurs de 2018 («CCPA »), y compris la version modifiée par la loi californienne sur les droits à la vie privée de 2020 et ses règlements d'application («CPRA ») et la loi sur la protection des informations personnelles de la République populaire de Chine («PIPL »), dans leur version respective en vigueur et dans la version mise à jour, modifiée ou remplacée en temps voulu.

Le terme« demande de la personne concernée »désigne une demande valide émanant de la personne concernée ou présentée en son nom, relative aux données à caractère personnel du client, en vue de l'exercice de ses droits conformément à la législation sur la protection des données.

Le terme « transfert international »désigne le transfert de données à caractère personnel du client entre les parties situées dans l'Espace économique européen (« EEE »), au Royaume-Uni de Grande-Bretagne et d'Irlande du Nord (« RU ») et/ou en Suisse vers un pays tiers qui, au regard de la législation sur la protection des données, n'offre pas un niveau de protection adéquat pour les données à caractère personnel du client.

«Clauses contractuelles types (Standard Contractual Clauses, SCC)» désigne, en cas d'applicabilité du RGPD, les clauses contractuelles figurant à l'annexe de la décision d'exécution (UE) 2021/914 de la Commission européenne du 4 juin 2021, dans la version modifiée ou remplacée adoptée par la Commission européenne, ou remplacée par la Commissioneuropéenne (« SCC de l’UE ») et, en cas d’applicabilité du RGPD britannique, l’avenant du Royaume-Uni aux clauses contractuelles types de la Commission européenne pour le transfert international de données, dans la version adoptée, modifiée ou mise à jour par l’Information Commissioner’s Office, le Parlement ou le secrétaire d’État du Royaume-Uni (« SCC britanniques »).

On entend par« données à caractère personnel sensibles »les données à caractère personnel concernant des mineurs ou les informations qui révèlent l'origine ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance à un syndicat, les données génétiques, les données biométriques permettant l'identification unique d'une personne, les données relatives à la santé ou les données concernant la vie sexuelle ou l'orientation sexuelle d'une personne

Le terme «sous-traitant » désigne tout tiers chargé par Corsearch d'effectuer certaines opérations de traitement concernant les données à caractère personnel du client.

Le terme «données à caractère personnel des utilisateurs »désigne les données à caractère personnel des utilisateurs que Corsearch traite à ses propres fins, notamment : (i) la fourniture et la sécurisation des services, (ii) l'octroi de l'accès aux données à caractère personnel du client pour le client et ses utilisateurs, (iii) le traitement des informations relatives au compte et la facturation, et (iv) la communication avec le client afin de respecter les obligations découlant du contrat.

« Responsable du traitement », « personne concernée », « organisation internationale », « traitement » (et toutes ses formes dérivées), « sous-traitant », « pays tiers », « entreprise », « consommateur », « données à caractère personnel », « vendre », « transmettre », « prestataire de services » et « autorité de contrôle » ont chacun le sens qui leur est attribué dans la législation relative à la protection des données.

2. Conditions générales

2.1. Rôles. En ce qui concerne le traitement des données à caractère personnel du client par chacune des parties, les parties conviennent que le client agit en tant que responsable du traitement et Corsearch en tant que sous-traitant. Les parties reconnaissent et acceptent que Corsearch est un responsable du traitement indépendant en ce qui concerne les données à caractère personnel des utilisateurs.

2.2 Respect de la législation. Lors du traitement des données à caractère personnel du client, chaque partie respecte les lois sur la protection des données applicables à ces données à caractère personnel du client, tant qu'elles relèvent de sa responsabilité.

2.3 Obligations du client. Pendant toute la durée du traitement des données à caractère personnel du client :

- le client est responsable de la définition des finalités et des moyens du traitement des données à caractère personnel qu'il effectue,
- le client garantit que ses instructions à Corsearch concernant le traitement des données à caractère personnel sont et resteront licites,
- le client est habilité à transmettre à Corsearch les données à caractère personnel des utilisateurs, et
- le client ne transmet aucune donnée à caractère personnel sensible à Corsearch

3. Détails du traitement

3.1 L'annexe A précise les finalités et la durée du traitement, les types de données à caractère personnel et les catégories de personnes concernées, ainsi que la nature du traitement. Si, à tout moment pendant la durée du contrat, une mise à jour de l'annexe A s'avère nécessaire, les parties coopéreront de manière constructive afin de convenir conjointement d'une annexe A mise à jour sous forme écrite.

3.2 Corsearch traite les données à caractère personnel du client:

- uniquement dans la mesure où cela est nécessaire pour permettre à Corsearch de remplir ses obligations contractuelles, et
- conformément aux instructions du client, documentées dans le respect de la législation, sauf si Corsearch est tenue de procéder autrement pour se conformer à la législation sur la protection des données. Dans ce cas,
Corsearch informera le client de cette obligation légale, sauf si la loi l'en interdit.

3.3 Corsearch informe immédiatement le client si, selon son appréciation fondée, une instruction du client relative au traitement de ses données à caractère personnel enfreint la législation en matière de protection des données. Dans un tel cas, Corsearch n'est pas en violation du contrat et ne peut en aucun cas être tenue responsable de la non-exécution de ce traitement.

4. Sécurité des données et violations de la protection des données

4.1 Corsearch garantit que toutes les personnes qu'elle autorise à traiter les données à caractère personnel du client dans le cadre de la prestation de ses services:

- se sont engagés à respecter la confidentialité ou sont soumis à une obligation légale de confidentialité équivalente,
- disposent, dans le cadre des efforts économiquement raisonnables consentis par Corsearch, de compétences et d'une formation suffisantes pour traiter les données à caractère personnel du client, et
- respectent la législation en matière de protection des données.

4.2 Corsearch met en place et maintient, en tenant compte de l'état de la technique, des coûts de mise en œuvre ainsi que de la nature, de la portée, du contexte et des finalités du traitement, des mesures techniques et organisationnelles appropriées afin de protéger les données à caractère personnel du client contre toute violation de la protection des données, comme décrit plus en détail ci-dessous. Corsearch examine et met à jour ces mesures techniques et organisationnelles lorsque cela s'avère nécessaire, étant entendu que ces mises à jour ne doivent pas réduire de manière significative le niveau global de sécurité des données à caractère personnel du client.

4.3 En cas de violation de la protection des données :

4.3.1. Corsearch informe le client sans délai (et, en tout état de cause, dans les 72 heures) dès qu’elle a connaissance de la violation de la protection des données,
4.3.2. Corsearch fournit sans retard injustifié, par étapes si toutes les informations ne sont pas disponibles dans leur intégralité, toutes les informations raisonnablement nécessaires, comprenant au minimum :

- la nature de la violation de données, y compris, dans la mesure du possible, les catégories et le nombre approximatif de personnes concernées ainsi que les enregistrements de données à caractère personnel concernés ;
- le nom et les coordonnées du point de contact pour toute information complémentaire ;
- les conséquences probables de la violation de données ;
- Corsearch décrit les mesures prises pour remédier à la violation de données, y compris, le cas échéant, les mesures visant à atténuer les éventuelles conséquences négatives ;;

4.3.3. Corsearch apporte toute la coopération et l'assistance raisonnablement demandées par le client afin de respecter les obligations qui lui incombent en vertu de la législation sur la protection des données,
4.3.4. Corsearch prendra les mesures nécessaires et raisonnables pour remédier à la cause de la violation de la protection des données et en atténuer les effets, et
4.3.5. Corsearch n'informera aucun tiers (y compris les autorités de contrôle ou les personnes concernées
) de la violation de la protection des données, sauf dans la mesure prévue par les lois applicables en matière de protection des données.

4.4 Le client s'engage à se concerter de manière constructive avec Corsearch sur le contenu des éventuelles déclarations publiques et/ou des communications nécessaires à l'intention des personnes concernées et/ou des autorités de contrôle compétentes, lorsque celles-ci se rapportent concrètement à Corsearch, aux collaborateurs de Corsearch, aux sous-traitants et/ou aux services fournis, dans le cadre d'une violation de la protection des données.

5. Demandes d'une personne concernée

5.1 Lorsque Corsearch reçoit directement une demande émanant d'une personne concernée, Corsearch s'efforce, dans la mesure où elle est raisonnablement en mesure de déterminer que le client est le responsable du traitement des données à caractère personnel de la personne concernée, de déployer des efforts économiquement raisonnables pour transmettre sans délai la demande de la personne concernée au client, sans y donner suite.

5.2 Compte tenu de la nature du traitement, Corsearch coopère et assiste le client de manière appropriée afin que celui-ci puisse répondre à la demande d'une personne concernée et s'acquitter de ses obligations conformément aux lois applicables en matière de protection des données. Dans la mesure où la loi le permet, le client est responsable de tous les coûts et frais raisonnables occasionnés par l'assistance fournie par Corsearch.

5.3 Sauf accord contraire expressément stipulé par écrit, Corsearch n'est pas tenue et ne peut en aucun cas être contrainte de répondre à une demande d'une personne concernée.

6. Demandes émanant d'autorités gouvernementales ou de régulation

6.1 Si Corsearch reçoit une demande émanant d'une autorité gouvernementale ou réglementaire, y compris, sans s'y limiter, une demande d'une autorité de contrôle ou une demande d'accès administrative exécutoire, concernant les données à caractère personnel du client et/ou le traitement de ces données par Corsearch dans le cadre de la présente CGU, Corsearch en informe immédiatement le client, sans donner suite à la demande en question, et transmettra la demande au client, sauf si la loi l'interdit.

6.2 Si la loi interdit à Corsearch d'envoyer une notification au client ou de lui transmettre la demande, (i) Corsearch rejette la demande en question, sauf s'il existe une obligation légale d'y donner suite, ou (ii) Corsearch conteste la validité d'une telle demande si elle a des raisons de conclure que celle-ci est juridiquement infondée.

6.3 Si Corsearch est contrainte de donner suite à une telle demande, elle déploiera des efforts économiquement raisonnables pour obtenir une dérogation lui permettant d’informer le client et, à défaut, s’assurera que les informations divulguées sont proportionnées et se limitent au minimum strictement nécessaire pour donner suite à la demande.

6.4 Le client est responsable de tous les frais engagés par Corsearch, y compris les frais juridiques raisonnables de Corsearch, qui sont effectivement engagés pour se conformer à une telle demande, et/ou de tous les frais et dépenses raisonnables engagés par Corsearch pour assister le client.

7. Analyses d'impact relatives à la protection des données et consultations préalables

Compte tenu de la nature du traitement et des informations dont dispose Corsearch, cette dernière aide le client, de manière appropriée, à s'acquitter de ses obligations relatives aux données à caractère personnel du client, à réaliser des analyses d'impact relatives à la protection des données et/ou à consulter les autorités de contrôle conformément à la législation en matière de protection des données

8. Sous-traitant

8.1 Le client accorde par la présente à Corsearch une autorisation générale écrite lui permettant de faire appel à des sous-traitants, soit directement, soit par l'intermédiaire d'une société liée à Corsearch, que Corsearch juge nécessaires à la prestation des services, y compris tous les sous-traitants auxquels Corsearch a déjà fait appel à la date d'entrée en vigueur. La liste des sous-traitants actuels de Corsearch est disponible ici.

8.2 Corsearch impose à tous ses sous-traitants des obligations en matière de protection des données qui n’offrent pas une protection moindre que celles énoncées dans le présent accord de sous-traitance.

8.3 Corsearch reste responsable et redevable envers le client de l’exécution des obligations de chaque sous-traitant.

8.4 Corsearch informe le client par écrit, au moins 30 jours à l'avance, de toute modification envisagée concernant l'ajout ou le remplacement de sous-traitants. Corsearch met à la disposition du client, via le lien susmentionné, un mécanisme lui permettant de s'inscrire pour recevoir des notifications concernant les mises à jour de la liste des sous-traitants.

8.5 Le client peut s'opposer à la désignation d'un sous-traitant si ce dernier a objectivement causé ou est susceptible de causer un risque pour la sécurité et le traitement sécurisé des données à caractère personnel du client ou pour la capacité du client à se conformer à la législation en matière de protection des données. Cela étant, le client ne soulève aucune objection déraisonnable à la désignation de nouveaux sous-traitants, et si le client ne soulève aucune objection écrite à la désignation d'un nouveau sous-traitant conformément à la présente disposition, son consentement à cette désignation est présumé.

8.6 Si, dans un délai de dix (10) jours suivant la réception de la notification, le client soulève par écrit auprès de Corsearch des objections motivées à la désignation d’un tel nouveau sous-traitant, les parties coopèrent de manière constructive afin de trouver une solution à l’amiable à ces objections, y compris, dans la mesure du possible, la poursuite de la prestation des services par Corsearch sans la participation du nouveau sous-traitant concerné. Si les parties ne parviennent pas à trouver une solution à l'amiable et que Corsearch n'est raisonnablement pas en mesure de continuer à fournir les services sans la participation d'un tel nouveau sous-traitant, chaque partie a le droit de résilier immédiatement la partie correspondante des services que le nouveau sous-traitant est censé prendre en charge (et, si cela n'est pas possible, le contrat dans son ensemble), par notification écrite à l'autre partie. Aucune disposition du présent paragraphe ne dégage le client de son obligation de payer les frais correspondant aux services fournis par Corsearch pour le compte du client jusqu'à la date de résiliation du contrat.

9. Virements internationaux

9.1 Dans la mesure où cela est nécessaire à la prestation des services, Corsearch peut transmettre les données à caractère personnel du client à des sociétés affiliées et/ou à des sous-traitants situés en dehors de l'EEE, à condition que ce transfert (et tout traitement ultérieur) soit effectué conformément à la législation sur la protection des données.

9.2 Si des données à caractère personnel du client sont transférées vers un pays tiers et que ce transfert constitue un transfert international au sens des lois sur la protection des données, Corsearch convient, le cas échéant, avec le client et chacune des sociétés affiliées et des sous-traitants, des clauses contractuelles types (Standard Contractual Clauses, SCC) correspondantes. Les SCC signées, telles que mentionnées ici, font partie intégrante de la présente DPA et s’appliquent par le biais de la présente DPA ou de l’utilisation des services. Dans le cas où les SCC sur lesquelles les parties s'appuient seraient mises à jour ou deviendraient invalides de quelque manière que ce soit, les parties conviennent que les SCC nouvelles ou mises à jour, prescrites par les lois sur la protection des données, s'appliquent entre les parties sans qu'il soit nécessaire de modifier la présente CPD. Corsearch se réserve le droit d'apporter les modifications auxquelles les parties sont légalement tenues via le lien ci-dessus.

9.3 En cas de contradiction entre le présent DSV et les SCC applicables, les dispositions des SCC applicables prévalent.

10. Conservation et suppression des données

À l'expiration ou à la résiliation du contrat, quelle qu'en soit la raison, Corsearch supprime immédiatement les copies existantes des données à caractère personnel du client (ou, au choix du client, renverra ces données et les supprimera, à condition que le client en informe Corsearch au moins 30 jours à l'avance), lesquelles ne comprennent en aucun cas des copies de données à caractère personnel que Corsearch et/ou un sous-traitant de Corsearch traite pour le compte d'un autre client de Corsearch, sauf si les lois sur la protection des données imposent la conservation de ces données à caractère personnel du client.

11. Audit

Le client ou un auditeur tiers mandaté par celui-ci, soumis à des obligations de confidentialité appropriées, peut vérifier le respect de la présente politique de confidentialité par Corsearch de la manière suivante :

- en demandant à Corsearch de remplir le questionnaire relatif à l'évaluation de la sécurité du client et/ou
- en demandant, dans la mesure où cela est pertinent et où Corsearch dispose de ces éléments, des copies des informations, documents, certifications et rapports d'essai appropriés émanant de tiers indépendants et reconnus, à condition qu'aucun changement significatif n'ait été apporté aux mesures de protection mises en œuvre par Corsearch depuis la délivrance de la certification ou du rapport d'essai.

12. Dispositions particulières des lois sur la protection des données

12.1 CCPA/CRPA. La présente section s'applique uniquement si les données à caractère personnel du client sont soumises à la loi californienne sur la protection de la vie privée (
, CCPA) ou à la loi californienne sur la protection des consommateurs (CRPA) :

12.2.1. Les définitions suivantes s'entendent en outre comme renvoyant à la définition correspondante dans la CCPA : « client » désigne «entreprise (Business)», « Corsearch » désigne «prestataire de services (Service Provider)» et « données à caractère personnel » désigne «informations personnelles (Personal Information)»
12.2.2. Corsearch s'abstient (a) de vendre ou de transmettre les données à caractère personnel du client, (b) de conserver, d'utiliser ou de divulguer les données à caractère personnel du client à des fins autres (y compris à des fins commerciales) que la prestation des services dans le cadre du présent contrat ou de toute autre manière conforme au CCPA, (c) de conserver, d'utiliser ou de divulguer les données à caractère personnel du client en dehors de la relation commerciale directe entre le client et Corsearch, sauf pour la fourniture des services dans le cadre du contrat, ou (d) de combiner les données à caractère personnel du client avec des informations à caractère personnel provenant d'autres sources.

12.2 PIPL. La présente section s'applique uniquement si les données à caractère personnel du client relèvent de la PIPL :

12.2.1. Les définitions suivantes sont en outre interprétées comme renvoyant à la définition correspondante dans la PIPL : « données à caractère personnel » signifie «informations à caractère personnel (Personal Information)», « client » signifie «sous-traitant de données à caractère personnel (Personal Information Processor)», « Corsearch » signifie «partie mandatée (Entrusted Party)» et« données sensibles »désigne les données à caractère personnel qui, si elles sont divulguées ou utilisées de manière abusive, sont susceptibles de porter atteinte à la dignité personnelle d’une personne physique ou de mettre en danger sa sécurité personnelle ou la sécurité de ses biens, y compris les données à caractère personnel relatives à l’identification biométrique, aux convictions religieuses, à l’identité, à l’état de santé, à la situation financière, au lieu de résidence et aux déplacements, ainsi que les données à caractère personnel de mineurs de moins de 14 ans.
12.2.2. Dans le cadre du présent contrat, Corsearch traite exclusivement les informations à caractère personnel qui ont été communiquées par les personnes concernées elles-mêmes.
12.2.3. Sont considérés comme des transferts internationaux les transferts transfrontaliers de données à caractère personnel au sens de la PIPL, et Corsearch a pris les mesures appropriées et applicables au sens de la présente DPC afin que ces transferts s’effectuent conformément à la PIPL.
12.2.4. Le client ne transmet aucune donnée sensible à Corsearch.

ANNEXE A – ÉTENDUE DU TRAVAIL