Accord de protection des données de Corsearch

Corsearch B.V., société privée à responsabilité limitée enregistrée aux Pays-Bas sous le numéro KVK 54875625, Naritaweg 116, 1043 CA Amsterdam, Pays-Bas ("Corsearch") ; et ("Client").

Le présent accord sur la protection des données ("APD") fait partie du contrat-cadre de services de Corsearch ou de tout autre accord écrit conclu entre Corsearch et le client (le "contrat").

1. Définitions

Les mots suivants, lorsqu'ils apparaissent avec une majuscule, ont la signification indiquée ci-dessous. Tous les termes en majuscules utilisés mais non définis dans le présent document ont la signification qui leur est donnée dans l'accord.

"Données personnelles du client" : toutes les données personnelles décrites dans l'annexe A, traitées pour ou au nom du client dans le cadre de l'accord, y compris la fourniture des services, mais à l'exclusion des données de l'utilisateur.

"Violation des données" désigne toute destruction, perte, altération, perte de contrôle, divulgation non autorisée ou accès accidentel ou illégal aux données personnelles du client subis par Corsearch ou tout sous-traitant et dont Corsearch prend connaissance pendant la durée du contrat, sauf si cette violation est causée par le client ou tout utilisateur.

"Lois sur la protection des données" désigne toutes les lois et réglementations applicables relatives à la protection des données qui sont applicables au traitement des données personnelles du Client en vertu de l'Accord, y compris, mais sans s'y limiter, le Règlement général sur la protection des données de l'UE 2016/679 ("GDPR"), le GDPR tel qu'il a été promulgué par le Royaume-Uni ("GDPR du Royaume-Uni"), le California Consumer Privacy Act de 2018 ("CCPA"), y compris tel que modifié par le California Privacy Rights Act de 2020 et ses règlements d'application ("CPRA"), et la loi sur la protection des informations personnelles de la République populaire de Chine ("PIPL"), dans chaque cas dans la mesure où elle est en vigueur, et telle que mise à jour, modifiée ou remplacée de temps à autre.

"Transfert international" : un transfert de données à caractère personnel du client entre les parties, de l'Espace économique européen ("EEE"), du Royaume-Uni et/ou de la Suisse vers un pays tiers qui n'est pas considéré comme offrant une protection adéquate des données à caractère personnel du client en vertu des lois sur la protection des données.

"Demande de confidentialité" signifie, en ce qui concerne les données personnelles du client : (i) une demande validée d'une personne concernée pour exercer l'un de ses droits en vertu des lois sur la protection des données ; ou (ii) toute plainte, avis ou autre communication d'une personne concernée ou d'une autorité de surveillance, d'une autorité gouvernementale ou d'un organe judiciaire ;

On entend par "CCS" les clauses contractuelles annexées à la décision d'exécution (UE) 2021/914 de la Commission européenne du 4 juin 2021, telles qu'adoptées, modifiées ou remplacées par la Commission européenne ; et/ou , l'addendum britannique sur les transferts internationaux de données aux clauses contractuelles types de la Commission européenne pour les transferts internationaux de données, tel qu'adopté, modifié ou mis à jour par le bureau du commissaire à l'information du Royaume-Uni, le Parlement ou le secrétaire d'État (selon le cas).

"Sous-traitant" : tout tiers engagé par Corsearch pour effectuer des activités de traitement concernant les données personnelles des clients.

"Données utilisateur" : les données personnelles relatives aux utilisateurs, traitées par Corsearch pour ses propres besoins, y compris : (a) fournir et assurer la sécurité des services ; (b) accorder au client et à ses utilisateurs l'accès aux données personnelles du client ; et (c) traiter les informations relatives au compte et la facturation ; et (d) communiquer avec le client afin de se conformer à ses obligations en vertu de la convention.

"Les termes "décision d'adéquation", "responsable du traitement", "personne concernée", "traitement" (et toute autre dérivation de ces termes), "sous-traitant", "pays tiers", "entreprise", "consommateur", "données à caractère personnel", "vendre", "partager", "données à caractère personnel sensibles", "prestataire de services" et "autorité de contrôle" ont chacun la signification qui leur est attribuée dans les lois sur la protection des données.

2. Conditions générales

2.1. Rôles. En ce qui concerne le traitement des Données à caractère personnel du Client par chacune des Parties, les Parties conviennent que le Client agit en tant que responsable du traitement et que Corsearch agit en tant que sous-traitant, étant toutefois entendu que les parties reconnaissent et conviennent que Corsearch sera un responsable du traitement indépendant en ce qui concerne le traitement des Données de l'utilisateur.

2.2 Respect de la législation. Dans le cadre du traitement des Données personnelles du Client, chaque Partie se conformera aux Lois sur la protection des données régissant ces Données personnelles du Client tant qu'elles sont sous son contrôle.

2.3 Obligations du Client. Pendant toute la durée du traitement des Données personnelles du Client, le Client s'engage à :

2.3.1 déterminer les finalités et les moyens du traitement des données à caractère personnel du client ;
2.3.2 s'assurer que les instructions qu'il donne à Corsearch pour le traitement des données à caractère personnel du client sont et resteront licites ;
2.3.3 être habilité à transférer les données de l'utilisateur à Corsearch ; et
2.3.4 ne pas divulguer de données à caractère personnel sensibles à Corsearch.

3. Détails du traitement

3.1 L'Annexe A définit les objectifs et la durée du traitement, les types de données personnelles, les catégories de personnes concernées et la nature du traitement. Si l'annexe A doit être mise à jour à tout moment pendant la durée du contrat, les parties collaboreront de bonne foi pour convenir mutuellement par écrit d'une annexe A mise à jour.

3.2 Corsearch traitera les données personnelles des clients :

3.2.1 uniquement dans la mesure nécessaire et dans le seul but de remplir ses obligations au titre du Contrat ; et
3.2.2 conformément aux instructions légitimes et documentées du Client, sauf si Corsearch est tenue de le faire pour se conformer à toute législation en matière de protection des données, auquel cas Corsearch informera le Client de cette obligation légale, sauf si la loi l'interdit.

3.3 Corsearch informera immédiatement le Client si, selon son appréciation raisonnable, une instruction du Client relative au traitement des Données à caractère personnel du Client enfreint les lois sur la protection des données. Dans ce cas, Corsearch ne sera pas en violation du Contrat et ne pourra en aucun cas être tenue responsable de son incapacité à effectuer ce traitement.

4. Sécurité des données et violations de données

4.1 Corsearch veillera à ce que toutes les personnes qui traitent les données à caractère personnel du client :

4.1.1 se sont engagés à respecter la confidentialité ou sont par ailleurs soumis à une obligation légale de confidentialité appropriée, chacune offrant au moins le même niveau de protection des Données à caractère personnel du Client que le Contrat et le présent ATD ;
4.1.2 dans la mesure où Corsearch peut raisonnablement s'y employer sur le plan commercial, possèdent les compétences et la formation nécessaires au traitement des Données à caractère personnel du Client ; et
4.1.3 se conforment aux Lois sur la protection des données.

4.2 Corsearch mettra en œuvre et maintiendra des mesures techniques et organisationnelles appropriées, en tenant compte de l'état de la technique, des coûts de mise en œuvre ainsi que de la nature, de la portée, du contexte et des finalités du traitement, comme indiqué ici. Corsearch réexaminera et pourra mettre à jour ces mesures techniques et organisationnelles de temps à autre, à condition que ces mises à jour ne réduisent pas de manière significative le niveau global de sécurité des Données à caractère personnel du Client.

4.3 En cas de violation de données, Corsearch s'engage à :

4.3.1. informer le Client sans délai injustifié (et, en tout état de cause, dans les 72 heures) dès qu’il a connaissance d’une telle violation de données ;
4.3.2. fournir toutes les informations raisonnablement nécessaires, lorsque celles-ci ne sont pas disponibles dans leur intégralité, par étapes et sans délai injustifié, y compris au moins :

a. la nature de la violation de données, y compris, si possible, les catégories et le nombre approximatif de personnes concernées et d'enregistrements de données à caractère personnel concernés ;
b. le nom et les coordonnées de la personne à contacter pour obtenir de plus amples informations ;
c. les conséquences probables de la violation de données ;
d. une description des mesures prises pour remédier à la violation de données, y compris, le cas échéant, les mesures visant à atténuer ses effets négatifs potentiels ;

4.3.3. apporter sa coopération et son assistance, dans la mesure où le Client en fait la demande raisonnable, afin de se conformer aux obligations qui lui incombent en vertu des lois sur la protection des données ;
4.3.4. prendre toutes les mesures raisonnables pour remédier à la cause de la violation de données et en atténuer les conséquences ; et
4.3.5. sauf dans la mesure requise par les lois sur la protection des données applicables, ne pas notifier la violation de données à un tiers (y compris une autorité de contrôle ou une personne concernée).

4.4 Le Client accepte de se coordonner de bonne foi avec Corsearch en ce qui concerne le contenu de toute déclaration publique et/ou de tout avis requis aux personnes concernées et/ou aux autorités de surveillance compétentes que le Client fait, dans chaque cas s'il se réfère spécifiquement à Corsearch, aux employés de Corsearch, à tout Sous-traitant et/ou aux Services, en ce qui concerne toute violation de données.

5. Demandes de protection de la vie privée

5.1 Si Corsearch reçoit une demande de protection de la vie privée concernant les données personnelles du client, Corsearch doit, dans la mesure où la loi le permet, (i) notifier le client rapidement après l'identification du client en tant que responsable du traitement des données ; (ii) refuser la demande et demander au tiers d'adresser cette demande directement au client, et (iii) fournir au tiers les coordonnées du client, sans répondre à cette demande.

5.2 Si Corsearch est contraint de répondre à une telle demande de confidentialité, Corsearch fera (le cas échéant) des efforts commercialement raisonnables pour s'assurer que les informations divulguées sont proportionnées et limitées à la quantité minimale strictement nécessaire pour répondre à cette demande.

5.3 En tenant compte de la nature du traitement, Corsearch fournira une coopération et une assistance raisonnables pour permettre au Client de répondre ou de satisfaire (selon le cas) à une demande de confidentialité.

6. Évaluations de l'impact de la protection des données et consultations préalables

En tenant compte de la nature du traitement et des informations dont dispose Corsearch, Corsearch fournira au Client l'assistance raisonnablement demandée pour lui permettre de se conformer à ses obligations, en ce qui concerne les données personnelles du Client, de mener des évaluations d'impact sur la protection des données et/ou de consulter les autorités de contrôle en vertu des lois sur la protection des données.

7. Sous-traitants

7.1 Le Client accorde par la présente à Corsearch une autorisation générale écrite lui permettant de faire appel à tout sous-traitant, soit directement, soit par l'intermédiaire de toute société affiliée à Corsearch, que Corsearch juge nécessaire à la fourniture des Services, y compris tous les sous-traitants auxquels Corsearch a déjà fait appel à la Date d'entrée en vigueur. La liste des sous-traitants actuels de Corsearch figure ici.

7.2 Corsearch imposera à chaque sous-traitant des obligations en matière de protection des données dont le niveau de protection ne sera pas inférieur à celui prévu dans le présent ATD.

7.3 Corsearch restera responsable et redevable envers le Client de l’exécution des obligations de chaque sous-traitant.

7.4 Corsearch fournira au Client un préavis écrit d’au moins 30 jours concernant toute modification envisagée relative à l’ajout ou au remplacement de sous-traitants. Corsearch met à la disposition du Client, via le lien susmentionné, un mécanisme permettant de s’abonner pour recevoir les mises à jour de la liste des sous-traitants, auquel le Client s’abonnera pour recevoir ces notifications.

7.5 Le Client peut s’opposer à la désignation de tout sous-traitant si ce dernier a objectivement causé ou est susceptible de causer un risque pour la sécurité et le traitement sécurisé des Données à caractère personnel du Client ou pour la capacité du Client à se conformer aux Lois sur la protection des données. Dans le cas contraire, le Client ne s'opposera pas de manière déraisonnable à la désignation d'un tel nouveau sous-traitant et, si le Client ne s'oppose pas par écrit à la désignation d'un tel nouveau sous-traitant conformément à la présente clause, le Client sera réputé avoir approuvé cette désignation.

7.6 Si, dans les dix (10) jours suivant la réception de la notification par le Client, celui-ci s'oppose raisonnablement par écrit à Corsearch à la désignation de ce nouveau sous-traitant, les Parties collaboreront de bonne foi afin de trouver une solution mutuellement acceptable pour répondre à cette objection, y compris, si possible, en permettant à Corsearch de continuer à fournir les Services sans l'intervention de ce nouveau sous-traitant. Si les Parties ne parviennent pas à une solution mutuellement acceptable et que Corsearch est raisonnablement dans l'impossibilité de continuer à fournir les Services sans l'intervention dudit nouveau sous-traitant, chaque Partie aura le droit de résilier la partie concernée des Services à laquelle ledit nouveau sous-traitant est censé se rapporter (si cela n'est pas possible, le Contrat dans son ensemble) immédiatement sur notification écrite à l'autre Partie. Aucune disposition de la présente clause ne dégage le Client de ses obligations de paiement des frais afférents aux Services fournis par Corsearch et reçus par le Client jusqu'à la date de résiliation prévue aux présentes.

8. Transferts internationaux

8.1 Corsearch peut, dans la mesure où cela est nécessaire à la fourniture des Services, transférer les Données à caractère personnel du Client à ses Sociétés affiliées et/ou à ses Sous-traitants situés en dehors de l'EEE, à condition que ce transfert (et tout traitement ultérieur) soit effectué conformément aux Lois sur la protection des données.

8.2 Lorsque les Données personnelles du Client sont transférées vers un pays tiers et que ce transfert constitue un Transfert international au sens des Lois sur la protection des données, Corsearch conclura les CCT pertinentes avec le Client et chacune de ses Filiales et de ses Sous-traitants, selon le cas. Les CCT signées par les Parties, telles que définies ici, sont intégrées au présent ATD, et par le biais de cet ATD ou en utilisant les Services. Si l’une des CCT sur lesquelles les Parties s’appuient est mise à jour ou autrement invalidée, les Parties conviennent que ces CCT nouvelles ou mises à jour, telles que prescrites par les lois sur la protection des données, s’appliqueront entre les Parties sans qu’il soit nécessaire de modifier le présent ATD. Corsearch se réserve le droit d'apporter les modifications que les Parties sont légalement tenues de mettre en œuvre via le lien ci-dessus.

8.3 En cas de conflit entre le présent ATD et les CCT applicables, les dispositions des CCT applicables prévaudront.

9. Conservation et suppression des données

9.1 Après l'expiration ou la résiliation du Contrat pour quelque raison que ce soit, Corsearch peut conserver les Données à caractère personnel du Client pendant une durée maximale de 30 jours. Par la suite, à moins que la conservation ne soit requise par les lois sur la protection des données, Corsearch supprimera rapidement les données personnelles du client, qui n'incluront pas les copies des données personnelles traitées pour le compte d'un autre client de Corsearch, traitées par Corsearch et/ou tout sous-traitant.

9.2 Sous réserve que le Client donne à Corsearch un préavis écrit d'au moins 30 jours, Corsearch renvoie au Client toutes les copies existantes des Données à caractère personnel du Client.

10. Audit

Le client ou tout auditeur tiers mandaté par le client et lié par des obligations de confidentialité raisonnables, peut vérifier la conformité de Corsearch à la présente DPA, par et à travers :

a. exiger de Corsearch qu’elle remplisse le questionnaire d’évaluation de la sécurité du Client ; et/ou
b. dans la mesure où cela est applicable et accessible à Corsearch, demander des copies des informations, documents, certifications et rapports d’audit pertinents émis par des tiers indépendants réputés, à condition qu’aucun changement significatif n’ait été apporté aux contrôles utilisés par Corsearch depuis la délivrance de la certification ou du rapport d’audit.

11. Lois sur la protection des données Dispositions spécifiques

11.1 CCPA / CRPA. Cette section s'applique uniquement si les données personnelles du client sont soumises à la CCPA / CRPA :

11.2.1. Les définitions suivantes s'entendent comme renvoyant à la définition correspondante prévue par la CCPA : le terme « Client » désigne« Entreprise »; le terme « Corsearch » désigne «Prestataire de services »et le terme « données à caractère personnel » désigne «Informations personnelles».
11.2.2. Corsearch s'engage à ne pas (a) vendre, partager ou divulguer les Données à caractère personnel du Client à des fins de publicité ciblée ou de profilage, (b) conserver, utiliser ou divulguer les données personnelles du client à quelque fin que ce soit (y compris à des fins commerciales) autre que la fourniture des services prévus par le contrat, ou comme autrement autorisé par la CCPA ; (c) sauf aux fins de l'exécution des services prévus par le contrat, conserver, utiliser ou divulguer les données personnelles du client en dehors de la relation commerciale directe entre le client et Corsearch ; ou (d) combiner les données personnelles du client avec des informations personnelles reçues d'une autre source.

11.2 PIPL. La présente section s'applique uniquement si les données à caractère personnel du client sont soumises à la LPRP :

12.2.1. Les définitions suivantes s'entendent comme renvoyant à la définition correspondante prévue par la PIPL : le terme « Données à caractère personnel » désigneles « Informations à caractère personnel »; le terme « Client » désignele « Responsable du traitement des informations à caractère personnel »; le terme « Corsearch » désignele « Sous-traitant »; et « Données sensibles » désigne les informations personnelles susceptibles de porter atteinte à la dignité d'une personne physique ou de nuire à sa sécurité personnelle ou matérielle en cas de divulgation ou de détournement, y compris les informations personnelles relatives à l'identification biométrique, aux convictions religieuses, à l'identité spécifique, à la santé, aux comptes financiers, à la localisation et aux déplacements, ainsi que les informations personnelles concernant les mineurs de moins de 14 ans.
11.2.2. En vertu du présent accord, Corsearch traite uniquement les informations personnelles qui ont été rendues publiques par les personnes concernées elles-mêmes.
11.2.3. Les transferts internationaux sont considérés comme des transferts transfrontaliers d'informations personnelles au sens de la PIPL et Corsearch est responsable de la mise en œuvre de mesures adéquates et applicables, telles que définies dans le présent DPA et les lois sur la protection des données, afin de garantir que ces transferts soient effectués en conformité avec la PIPL.

ANNEXE A - CHAMP D'APPLICATION DU TRAITEMENT