ACCORD DE PROTECTION DES DONNÉES CORSEARCH

Le présent accord de protection des données (« DPA ») fait partie intégrante du contrat-cadre de services Corsearch ou de tout autre accord écrit conclu entre Corsearch et le Client (le « Contrat »).
Si Corsearch traite des données à caractère personnel du Client dans le cadre des Services, le présent Accord s’applique. Le présent Accord ne s’applique pas aux Services de marque ; Corsearch ne traite pas de données à caractère personnel pour le compte du Client dans le cadre des Services de marque. Corsearch est un responsable du traitement indépendant en ce qui concerne les Services de marque.

1. Définitions

Les termes suivants, lorsqu’ils sont écrits avec une majuscule, ont la signification définie ci-dessous. Tout terme commençant par une majuscule utilisé dans les présentes, mais non défini ici, a la signification qui lui est donnée dans le Contrat.

« Données personnelles du Client » désigne les données personnelles telles que décrites à l’annexe A, traitées par ou pour le compte de Corsearch pour ou au nom du Client, en vertu du Contrat ou en relation avec celui-ci, y compris pour la fourniture des Services, à l’exclusion des Données personnelles des Utilisateurs.

« Violation de données » désigne toute atteinte à la sécurité des Données personnelles du Client entraînant la destruction, la perte, l’altération, la divulgation non autorisée ou l’accès accidentel ou illégal aux Données personnelles du Client, subie par Corsearch ou tout Sous-sous-traitant et dont Corsearch a connaissance pendant la Durée du Contrat, sauf lorsque l’atteinte est provoquée par le Client ou tout Utilisateur.

« Lois sur la protection des données » désigne l’ensemble des lois et réglementations en vigueur relatives à la protection des données qui s’appliquent au traitement des Données personnelles du Client en vertu du Contrat, y compris, sans s’y limiter, le Règlement général sur la protection des données de l’UE 2016/679 (« RGPD »), le RGPD tel que promulgué par le Royaume-Uni (« RGPD britannique »), la Loi californienne sur la protection de la vie privée des consommateurs de 2018 (« CCPA »), y compris telle que modifiée par la Loi californienne sur les droits à la vie privée de 2020 (« CPRA »), et la Loi sur la protection des informations personnelles de la République populaire de Chine (« PIPL »), dans chaque cas dans la mesure où elles sont en vigueur et telles que mises à jour, modifiées ou remplacées de temps à autre.

« Demande de la personne concernée » désigne une demande valable émanant d’une personne concernée ou présentée en son nom concernant les données à caractère personnel du client, en vue de l’exercice des droits qui lui sont conférés par les lois sur la protection des données.

« Transfert international » désigne un transfert de données à caractère personnel du client entre les parties, depuis l’Espace économique européen (« EEE »), le Royaume-Uni de Grande-Bretagne et d’Irlande du Nord (« R.-U. ») et/ou la Suisse vers un pays tiers dont il n’est pas déterminé qu’il assure une protection adéquate des Données personnelles du Client en vertu des Lois de protection des données.

« CCT » désigne, lorsque le RGPD s’applique, les clauses contractuelles annexées à la décision d’exécution (UE) 2021/914 de la Commission européenne du 4 juin 2021, telles qu’adoptées, modifiées ou remplacées par la Commission européenne (« CCT UE »), et lorsque le RGPD britannique s’applique, l’addendum britannique sur le transfert international de données aux clauses contractuelles types de la Commission européenne pour les transferts de données internationaux, tel qu’adopté, modifié ou mis à jour par le Bureau du Commissaire à l’information, le Parlement ou un Secrétaire d’État au Royaume-Uni (« CCT britanniques »).

« Données à caractère personnel sensibles » désigne les données à caractère personnel concernant des mineurs, ou révélant l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, les données génétiques, les données biométriques identifiant une personne de manière unique, les données relatives à la santé ou les données concernant la vie sexuelle ou l’orientation sexuelle d’une personne.

« Sous-sous-traitant » désigne tout tiers engagé par Corsearch pour exécuter les activités de traitement spécifiques liées aux Données personnelles du Client.

« Données personnelles d’Utilisateur » désigne les données personnelles concernant les Utilisateurs, traitées par Corsearch à ses propres fins, notamment pour : (i) fournir et assurer la sécurité des Services ; (ii) accorder au Client et à ses Utilisateurs l’accès aux Données personnelles du Client ; et (iii) traiter les informations de compte et la facturation ; et (iv) communiquer avec le Client pour se conformer à ses obligations dans le cadre du Contrat.

Les termes « responsable du traitement », « personne concernée », « organisation internationale », « traiter »/« traitement » (et leurs dérivés), « sous-traitant », « pays tiers », « entreprise », « consommateur », « informations personnelles », « vendre », « partager », « prestataire de services » et « autorité de contrôle » ont chacun le sens qui leur est donné dans les lois sur la protection des données.

2. Conditions générales

2.1. Rôles. En ce qui concerne le traitement par chaque Partie des Données personnelles du Client, les Parties conviennent que le Client agit en tant que responsable du traitement et Corsearch en tant que sous-traitant. Les Parties reconnaissent et conviennent que Corsearch sera un responsable du traitement indépendant en ce qui concerne les Données personnelles de l’Utilisateur.

2.2 Conformité aux lois. Dans leur traitement respectif des Données personnelles du Client, chaque Partie se conformera aux Lois de protection des données régissant ces Données personnelles du Client alors sous leur contrôle.

2.3 Obligations du Client. Le Client, pendant la durée du traitement des Données personnelles du Client :

– aura la responsabilité de déterminer les finalités et les moyens du traitement qu’il effectue des données à caractère personnel ;
– s’assurera que ses instructions à Corsearch concernant le traitement des données à caractère personnel sont et resteront conformes à la loi ;
– sera autorisé à transférer les données à caractère personnel de l’Utilisateur à Corsearch ; et
– – ne divulguera pas de données à caractère personnel sensibles à Corsearch.

3. Détails du traitement

3.1 L’annexe A définit les objectifs et la durée du traitement, les types de données à caractère personnel et les catégories de personnes concernées, ainsi que la nature du traitement. Si l’Annexe A doit être mise à jour à tout moment pendant la durée du contrat, les parties travailleront ensemble de bonne foi pour s’accorder mutuellement sur la mise à jour écrite de l’Annexe A.

3.2 Corsearch traitera les données à caractère personnel du client :

– uniquement dans la mesure nécessaire pour remplir ses obligations au titre du Contrat ; et
– conformément aux instructions écrites et licites du Client, à moins que Corsearch ne soit tenu de les traiter pour se conformer à une loi sur la protection des données, auquel cas Corsearch informera le Client de cette obligation légale, sauf si la loi l’interdit.

3.3 Corsearch informera immédiatement le Client si, selon son appréciation raisonnable, une instruction du Client relative au traitement des données à caractère personnel de ce dernier enfreint la législation en matière de protection des données. Dans ce cas, Corsearch ne sera pas en manquement au présent Accord ou au Contrat et ne pourra être tenue responsable de son incapacité à effectuer ce traitement.

4. Sécurité des données et violations de données

4.1 Corsearch s'assurera que toutes les personnes qu'il autorise à traiter les données à caractère personnel du Client dans le cadre de la fourniture des Services :

– se sont engagées à respecter la confidentialité ou sont soumises à une obligation légale appropriée de confidentialité ;
– dans la mesure des efforts commercialement raisonnables de Corsearch, disposent des compétences et de la formation suffisantes pour le traitement des données à caractère personnel du client ; et
– se conforment aux lois sur la protection des données.

4.2 Corsearch, en tenant compte de l’état des connaissances, des coûts de mise en œuvre ainsi que de la nature, de la portée, du contexte et des finalités du traitement, mettra en œuvre et maintiendra des mesures techniques et organisationnelles appropriées pour protéger les données à caractère personnel du Client contre toute violation de données, comme détaillé ici. Corsearch révisera et pourra mettre à jour ces mesures techniques et organisationnelles de temps à autre, à condition que toute mise à jour de ce type ne diminue pas de manière significative le niveau global de sécurité des Données personnelles du Client.

4.3 En cas de violation de données, Corsearch :

4.3.1. informera le Client dans les meilleurs délais (et en tout état de cause dans les 72 heures) après avoir eu connaissance de la survenue d’une violation de données ;
4.3.2. fournira toutes les informations raisonnablement nécessaires, par étapes lorsque les informations ne sont pas disponibles dans leur intégralité, sans autre retard injustifié, en incluant au moins :

– la nature de la violation de données, y compris, lorsque cela est possible, les catégories et le nombre approximatif de personnes concernées et d’enregistrements de données à caractère personnel concernés ;
– le nom et les coordonnées du point de contact auprès duquel des informations supplémentaires peuvent être obtenues ;
– les conséquences probables de la violation de données ;
– décrira les mesures prises pour remédier à la violation de données à caractère personnel, y compris, le cas échéant, les mesures visant à atténuer ses éventuelles conséquences négatives ;

4.3.3. apportera toute la coopération et l’assistance raisonnablement requises par le Client pour se conformer à ses obligations en vertu des lois sur la protection des données ;
4.3.4. prendra les mesures raisonnables et nécessaires pour remédier à la cause et atténuer l’impact de la violation de données ; et
4.3.5. sauf dans la mesure requise par les lois applicables en matière de protection des données, n’informera aucun tiers (y compris toute autorité de contrôle ou personne concernée) au sujet de la violation de données.

4.4 Le Client s'engage à se concerter de bonne foi avec Corsearch quant au contenu de toute déclaration publique et/ou de tout avis devant être adressé aux personnes concernées et/ou aux autorités de contrôle compétentes, dans chaque cas où il est fait spécifiquement référence à Corsearch, aux employés de Corsearch, à tout sous-sous-traitant et/ou aux Services, concernant toute violation de données.

5. Demandes des personnes concernées

5.1 Si Corsearch reçoit directement une demande d’une personne concernée, dans la mesure où Corsearch est raisonnablement en mesure d’identifier que le Client est le responsable du traitement des données à caractère personnel de la personne concernée, Corsearch mettra en œuvre tous les efforts commercialement raisonnables pour transmettre rapidement la demande de la personne concernée au Client sans y répondre.

5.2 Compte tenu de la nature du traitement, Corsearch apportera une coopération et une assistance raisonnables pour permettre au Client de répondre à la Demande de la personne concernée et de se conformer à ses obligations conformément aux Lois sur la protection des données applicables. Dans la mesure où la loi le permet, le Client sera responsable des coûts et dépenses raisonnables occasionnés par l’assistance fournie par Corsearch.

5.3 Sauf convention contraire expresse par écrit, Corsearch n’est pas et ne sera en aucun cas tenu de répondre à une quelconque Demande de la personne concernée.

6. Demandes émanant de gouvernements ou d’organismes de contrôle

6.1 Si Corsearch reçoit une demande émanant d’un gouvernement ou d’un organisme de contrôle, y compris, sans limitation, une demande d’une autorité de contrôle ou une demande d’accès juridiquement contraignante émise par un gouvernement, concernant les Données personnelles du Client et/ou le traitement par Corsearch des Données personnelles du Client dans le cadre du présent ATD, Corsearch, sauf interdiction prévue par la loi, en informera rapidement le Client sans répondre à cette demande et la transmettra au Client.

6.2 Si Corsearch n’a pas légalement le droit d’émettre un avis à destination du Client ou de rediriger la demande au Client, Corsearch (i) rejettera la demande, sauf s’il est juridiquement contraint de s’y conformer ; ou (ii) contestera la validité de cette demande s’il détermine raisonnablement que la demande n’est pas juridiquement fondée.

6.3 Si Corsearch est tenu de répondre à cette demande, Corsearch fera les efforts commercialement raisonnables pour obtenir une dispense afin de notifier le Client et, à défaut, s’assurera que les informations divulguées sont proportionnées et limitées à la quantité minimale strictement nécessaire pour se conformer à cette demande.

6.4 Le Client sera responsable de tous les coûts de Corsearch, y compris les frais juridiques raisonnables de Corsearch réellement engagés pour se conformer à cette demande et/ou de tous les coûts et dépenses raisonnables découlant de l’assistance apportée par Corsearch au Client.

7. Analyses d’impact relatives à la protection des données et consultations préalables

Compte tenu de la nature du traitement et des informations dont dispose Corsearch, Corsearch fournira au Client l’assistance raisonnablement demandée afin de permettre au Client de se conformer à ses obligations, en ce qui concerne les données à caractère personnel du Client, pour mener des analyses d’impact relatives à la protection des données et/ou consulter les autorités de contrôle dans le cadre des lois sur la protection des données.

8. Sous-sous-traitants

8.1 Le Client accorde par les présentes à Corsearch une autorisation écrite générale lui permettant de faire appel à tout sous-sous-traitant, directement ou par l’intermédiaire de toute société affiliée de Corsearch, que Corsearch juge nécessaire à la fourniture des Services, y compris tous les sous-sous-traitants engagés par Corsearch à la date de mise en service. La liste des sous-sous-traitants actuels de Corsearch figure ici.

8.2 Corsearch imposera à chaque sous-sous-traitant des obligations de protection des données dont le niveau de protection n’est pas inférieur à celui des obligations énoncées dans le présent ATD.

8.3 Corsearch restera responsable et redevable envers le Client de l’exécution des obligations de chaque sous-sous-traitant.

8.4 Corsearch fournira au Client un préavis écrit d’au moins 30 jours concernant toute modification envisagée relative à l’ajout ou au remplacement des sous-sous-traitants. Corsearch fournit au Client, via le lien susmentionné, un mécanisme d’inscription permettant de recevoir les mises à jour de la liste des Sous-sous-traitants, auquel le Client s’inscrira pour recevoir ces notifications.

8.5 Le Client peut s’opposer à la désignation de tout Sous-sous-traitant si ce dernier a objectivement posé ou risque de poser un risque pour la sécurité et le traitement sûr des Données personnelles du Client ou vis-à-vis de la capacité du Client à se conformer aux Lois de protection des données. Sinon, le Client ne s’opposera pas de manière déraisonnable à la désignation de tout nouveau sous-sous-traitant, et si le Client ne s’oppose pas par écrit à la désignation de tout nouveau sous-sous-traitant conformément à la présente clause, le Client sera réputé avoir approuvé cette désignation.

8.6 Si, dans les dix (10) jours suivant la réception par le Client de la notification, le Client s’oppose raisonnablement par écrit auprès de Corsearch à la désignation d’un tel nouveau Sous-sous-traitant, les Parties collaboreront de bonne foi pour parvenir à une résolution mutuellement acceptable afin de répondre à cette opposition, y compris, lorsque cela est possible, en continuant pour Corsearch à fournir les Services sans l’implication d’un tel nouveau Sous-sous-traitant. Si les Parties ne parviennent pas à une solution mutuellement acceptable et que Corsearch n’est raisonnablement pas en mesure de continuer à fournir les Services sans l’intervention d’un tel nouveau sous-sous-traitant, chaque Partie aura le droit de mettre fin à la partie des Services concernée à laquelle ce nouveau sous-sous-traitant est censé être associé (si cela n’est pas possible, au Contrat dans son intégralité) immédiatement sur notification écrite adressée à l’autre Partie. Aucune disposition de la présente Clause ne libère le Client de toute obligation de paiement des frais relatifs aux Services fournis par Corsearch et reçus par le Client jusqu’à la date de fin énoncée dans les présentes.

9. Transferts internationaux

9.1 Corsearch peut, dans la mesure nécessaire à la fourniture des Services, transférer les Données personnelles du Client à ses Sociétés affiliées et/ou à des Sous-sous-traitants situés en dehors de l’EEE, à condition qu’un tel transfert (et tout traitement ultérieur) soit effectué conformément aux Lois de protection des données.

9.2 Lorsque les Données personnelles du Client sont transférées vers un pays tiers et que ce transfert constitue un Transfert international au sens des Lois sur la protection des données, Corsearch conclura les CCT pertinents avec le Client et chacune de ses Sociétés affiliées et chacun de ses Sous-sous-traitants, le cas échéant. Les CCT conclus par les Parties, tels que présentés ici, sont intégrées au présent ATD et par son intermédiaire ou par l’utilisation des Services. Si une CCT sur laquelle s’appuient les Parties est mise à jour ou autrement invalidée, les Parties conviennent que ces CCT nouvelles ou mises à jour, telles qu’elles peuvent être imposées par les Lois sur la protection des données, s’appliqueront entre les Parties sans qu’il soit nécessaire de modifier le présent ATD. Corsearch se réserve le droit d’apporter des modifications que les Parties sont légalement tenues de mettre en œuvre via le lien suivant :

9.3 En cas de conflit entre le présent ATD et les CCT applicables, les conditions des CCT applicables prévaudront.

10. Conservation et suppression des données

À l’expiration ou à la résiliation du Contrat, pour quelque motif que ce soit, Corsearch supprimera rapidement (ou, au choix du Client, renverra et supprimera, sous réserve que le Client donne à Corsearch un préavis d’au moins 30 jours) les copies existantes des Données personnelles du Client, qui n’incluront en aucun cas des copies de données personnelles traitées pour le compte d’un autre client de Corsearch, traitées par Corsearch et/ou tout Sous-sous-traitant, à moins que les lois sur la protection des données n’exigent la conservation de ces Données personnelles du Client.

11. Audit

Le Client ou tout auditeur tiers mandaté par le Client et soumis à des obligations de confidentialité appropriées peut vérifier la conformité de Corsearch au présent ATD, en :

– en demandant à Corsearch de remplir le questionnaire d’évaluation de la sécurité du Client ; et/ou
– dans la mesure où cela est applicable et à la disposition de Corsearch, en demandant des copies des informations, enregistrements, certifications et rapports d’audit appropriés émis par des tiers indépendants réputés, à condition qu’aucun changement significatif n’ait été apporté aux contrôles utilisés par Corsearch depuis l’émission de la certification ou du rapport d’audit.

12. Dispositions spécifiques des lois sur la protection des données

12.1 CCPA / CRPA. La présente section s’applique uniquement si les données à caractère personnel du Client sont soumises au CCPA/CRPA :

12.2.1. Les définitions suivantes s'entendent comme renvoyant à la définition correspondante au sens de la CCPA : « Client » désigne « Entreprise » (« Business ») ; « Corsearch » désigne « Prestataire de services » (« Service Provider ») et « Données personnelles » désigne « Informations personnelles » (« Personal Information »).
12.2.2. Corsearch (a) ne vendra ni ne partagera les Données personnelles du Client, (b) ne conservera, n’utilisera ni ne divulguera les Données personnelles du Client à aucune fin (y compris à des fins commerciales) autre que la fourniture des Services en vertu du Contrat, ou telle qu’autrement autorisée par le CCPA, (c) n’enregistrera, ne conservera, n’utilisera ni ne divulguera les Données personnelles du Client en dehors de la relation professionnelle directe entre le Client et Corsearch, (d) ni ne combinera les Données personnelles du Client avec des Informations personnelles reçues d’une autre source.

12.2 PIPL. La présente section s’applique uniquement si les données à caractère personnel du client relèvent de la PIPL :

12.2.1. Les définitions suivantes seront interprétées comme renvoyant à la définition correspondante au sens de la PIPL : « Données personnelles » désigne « Informations personnelles » (« Personal Information ») ; « Client » désigne « Sous-traitant des informations personnelles » (« Personal Information Processor ») ; « Corsearch » signifie « Partie en charge » (« Entrusted Party ») ; et « Données sensibles » désigne les informations personnelles susceptibles de porter atteinte à la dignité personnelle d’une personne physique ou à sa sécurité personnelle ou à celle de ses biens matériels une fois celles-ci divulguées ou utilisées à mauvais escient, y compris les informations personnelles concernant l’identification biométrique, les convictions religieuses, l’identité spécifique, la santé médicale, les comptes financiers et les déplacements, ainsi que les informations personnelles des mineurs de moins de 14 ans.
12.2.2. En vertu de ce Contrat, Corsearch ne traite que les Informations personnelles qui ont été rendues publiques par les personnes concernées elles-mêmes.
12.2.3. 12.2.3. Les transferts internationaux sont réputés être des transferts transfrontaliers de données à caractère personnel au sens de la PIPL et Corsearch a mis en œuvre des mesures adéquates et applicables, telles que définies dans le présent DPA, pour s’assurer que ces transferts sont effectués conformément à la PIPL.
12.2.4. Le Client ne divulguera pas de données sensibles à Corsearch.

ANNEXE A – PORTÉE DU TRAITEMENT