Addenda sur la protection des données

AVENANT NEWFORMA RELATIF AU TRAITEMENT DES DONNÉES

Le présent Avenant relatif au traitement des données (« DPA ») fait partie intégrante du Contrat-cadre de logiciels et de services ou de tout autre contrat régissant la fourniture de services par le Fournisseur au Client (le « Contrat »), auquel il est incorporé, conclu entre :

Le Client désigné dans le Contrat (le « Client ») ;

et

L’entité Newforma désignée dans le Contrat (le « Fournisseur »).

Le Client et le Fournisseur sont chacun désignés dans les présentes comme une « Partie » et ensemble comme les « Parties ».

Le présent DPA s’applique lorsque le Fournisseur Traite des Données à caractère personnel du Client pour le compte du Client dans le cadre des Services.

1. DÉFINITIONS

1.1. Dans le présent DPA, les termes « Responsable du traitement », « Sous-traitant », « Personne concernée », « Données à caractère personnel », « Traitement », « Autorité de contrôle », « Entreprise » (« Business »), « Prestataire de services » (« Service Provider »), « Consommateur », « Informations personnelles sensibles », « Violation de données à caractère personnel » et les termes équivalents ont le sens qui leur est attribué par les Lois sur la protection des données applicables.

1.2. Dans le présent DPA :

Les « Lois sur la protection des données applicables » désignent toutes les lois, réglementations, exigences réglementaires juridiquement contraignantes et lignes directrices juridiquement contraignantes relatives à la vie privée, à la protection des données, à la cybersécurité, à la confidentialité, à la gouvernance des données et au Traitement des Données à caractère personnel, dans la mesure où elles s’appliquent aux activités d’une partie au titre du présent Contrat, notamment :

1. le RGPD et les dispositions nationales d’application pertinentes ;
2. le RGPD du Royaume-Uni et le Data Protection Act 2018 ;
3. la loi fédérale suisse sur la protection des données ;
4. le California Consumer Privacy Act, tel que modifié par le California Privacy Rights Act, et les autres lois fédérales et étatiques américaines applicables à la protection de la vie privée ;
5. la Loi canadienne sur la protection des renseignements personnels et les documents électroniques (LPRPDE) et les lois provinciales applicables à la protection de la vie privée, notamment la Loi québécoise sur la protection des renseignements personnels dans le secteur privé, telle que modifiée par la Loi 25 ;
6. le Privacy Act 1988 (Cth) australien, y compris les Australian Privacy Principles, et les lois des États et territoires applicables à la protection de la vie privée ; et
7. le Personal Data Protection Act 2012 de Singapour,

ainsi que leurs règlements d’application pertinents, dans chaque cas tels que modifiés, étendus, remplacés ou substitués de temps à autre.

Les « Données à caractère personnel du Client » désignent toutes les Données à caractère personnel Traitées par le Fournisseur ou un Sous-traitant ultérieur pour le compte du Client dans le cadre de la fourniture des Services.

Un « Transfert restreint » désigne tout transfert de Données à caractère personnel du Client nécessitant la mise en œuvre d’un mécanisme de transfert approuvé au titre des Lois sur la protection des données applicables.

Un « Incident de sécurité » désigne tout événement avéré ou raisonnablement suspecté compromettant la confidentialité, l’intégrité, la disponibilité ou la résilience des Données à caractère personnel du Client ou des systèmes utilisés pour les Traiter.

Un « Sous-traitant ultérieur » désigne tout tiers engagé par le Fournisseur pour Traiter des Données à caractère personnel du Client pour le compte du Client.

1.3. Les termes commençant par une majuscule qui ne sont pas autrement définis dans le présent DPA ont le sens qui leur est attribué dans le Contrat.

2. QUALITÉ DES PARTIES

2.1. Les Parties reconnaissent et conviennent que, concernant les Données à caractère personnel du Client :

1. le Client agit en qualité de Responsable du traitement, d’Entreprise ou d’entité réglementée équivalente ;
2. le Fournisseur agit en qualité de Sous-traitant, de Prestataire de services ou d’entité réglementée équivalente ; et
3. le Fournisseur agit uniquement en qualité de Sous-traitant ou de Prestataire de services à l’égard des Données à caractère personnel du Client.

2.2. Aucune disposition du présent DPA n’empêche le Fournisseur de Traiter des Données à caractère personnel pour lesquelles il agit en qualité de Responsable du traitement indépendant, à condition que ce Traitement soit distinct et ne porte pas sur les Données à caractère personnel du Client Traitées au titre du Contrat.

2.3. Chaque Partie respecte ses obligations respectives au titre des Lois sur la protection des données applicables.

3. TRAITEMENT DES DONNÉES À CARACTÈRE PERSONNEL DU CLIENT

3.1. Le Fournisseur Traite les Données à caractère personnel du Client uniquement :

1. aux fins de la fourniture des Services et de l’exécution de ses obligations au titre du Contrat ;
2. conformément au présent DPA ;
3. conformément aux instructions documentées du Client ; ou
4. lorsque la loi applicable l’exige.

3.2. Lorsque la loi impose au Fournisseur de Traiter les Données à caractère personnel du Client autrement que sur ses instructions, le Fournisseur informe le Client de cette exigence légale avant le Traitement, sauf interdiction légale.

3.3. Le Fournisseur informe immédiatement le Client s’il estime raisonnablement qu’une instruction reçue du Client enfreint les Lois sur la protection des données applicables.

3.4. Le Fournisseur ne doit pas :

1. vendre les Données à caractère personnel du Client ;
2. partager ces Données à des fins de publicité comportementale intercontextuelle ;
3. utiliser ces Données à des fins de publicité ciblée ;
4. divulguer ces Données, sauf autorisation du présent DPA ou exigence légale ; ou
5. Traiter ces Données à d’autres fins que celles expressément autorisées par le Client.

4. CONFIDENTIALITÉ

4.1. Le Fournisseur veille à ce que tout le personnel autorisé à Traiter les Données à caractère personnel du Client soit soumis à des obligations de confidentialité exécutoires et reçoive une formation appropriée à la protection des Données à caractère personnel.

4.2. Le Fournisseur veille à limiter l’accès aux Données à caractère personnel du Client aux membres du personnel qui en ont besoin pour exercer leurs fonctions dans le cadre des Services.

4.3. Le Fournisseur veille à ce que les obligations de confidentialité survivent à la fin de l’emploi, de la mission ou des droits d’accès.

5. SÉCURITÉ DU TRAITEMENT

5.1. Le Fournisseur met en œuvre et maintient des mesures techniques et organisationnelles appropriées destinées à assurer un niveau de sécurité adapté au risque associé au Traitement des Données à caractère personnel du Client.

5.2. Pour déterminer le niveau de sécurité approprié, le Fournisseur tient compte de la nature, de la portée, du contexte et des finalités du Traitement, des risques qu’il présente, de la probabilité et de la gravité du préjudice pour les Personnes concernées, de l’état de l’art et des coûts de mise en œuvre.

5.3. Le Fournisseur maintient un programme documenté de sécurité de l’information destiné à préserver la confidentialité, l’intégrité, la disponibilité et la résilience des Données à caractère personnel du Client et des systèmes utilisés pour les Traiter.

5.4. Sans limiter l’article 5.1, le Fournisseur maintient des mesures relatives à la gestion des identités et des accès, à l’authentification, à la gestion des privilèges, au chiffrement, à la gestion des vulnérabilités, à la protection contre les logiciels malveillants, à la journalisation, à la surveillance et à la sécurité du personnel.

5.5. Le Fournisseur teste, analyse et évalue périodiquement l’efficacité de ses mesures techniques et organisationnelles et met en œuvre des améliorations lorsque cela est raisonnablement nécessaire.

6. INCIDENTS DE SÉCURITÉ ET VIOLATIONS DE DONNÉES À CARACTÈRE PERSONNEL

6.1. Le Fournisseur informe le Client sans retard injustifié et, lorsque cela est raisonnablement possible, dans les vingt-quatre (24) heures suivant la prise de connaissance d’une Violation de données à caractère personnel affectant les Données à caractère personnel du Client.

6.2. La notification du Fournisseur comprend toutes les informations dont il dispose raisonnablement concernant :

1. la nature de la Violation de données à caractère personnel ;
2. les catégories et le nombre approximatif de Personnes concernées affectées ;
3. les catégories et le volume approximatif de Données à caractère personnel du Client affectées ;
4. les conséquences probables de la Violation de données à caractère personnel ;
5. les mesures prises ou envisagées pour en atténuer les effets ; et
6. les coordonnées du personnel du Fournisseur chargé de la réponse aux incidents.

6.3. Le Fournisseur enquête rapidement sur la Violation de données à caractère personnel et prend des mesures raisonnables pour la contenir, en atténuer les effets et y remédier.

6.4. Le Fournisseur coopère raisonnablement avec le Client concernant les obligations de notification, enquêtes ou mesures correctives découlant de la Violation de données à caractère personnel.

7. DROITS DES PERSONNES CONCERNÉES

7.1. Compte tenu de la nature du Traitement, le Fournisseur apporte au Client une assistance raisonnable pour répondre aux demandes des Personnes concernées exerçant leurs droits au titre des Lois sur la protection des données applicables.

7.2. Si le Fournisseur reçoit directement d’une Personne concernée une demande relative aux Données à caractère personnel du Client, il en informe rapidement le Client et n’y répond que sur ses instructions documentées ou lorsque la loi applicable l’exige.

8. OBLIGATIONS D’ASSISTANCE

8.1. Le Fournisseur apporte au Client l’assistance raisonnable nécessaire pour lui permettre de respecter ses obligations au titre des Lois sur la protection des données applicables.

8.2. Cette assistance porte notamment sur :

1. les analyses d’impact relatives à la protection des données ;
2. les analyses d’impact des transferts ;
3. les consultations des Autorités de contrôle ;
4. le respect des articles 32 à 36 du RGPD et des dispositions équivalentes des autres Lois sur la protection des données applicables ; et
5. les enquêtes menées par les Autorités de contrôle.

9. SOUS-TRAITANTS ULTÉRIEURS

9.1. Le Client accorde par les présentes au Fournisseur une autorisation générale de recourir à des Sous-traitants ultérieurs pour fournir les Services.

9.2. Le Fournisseur ne recourt à un Sous-traitant ultérieur qu’après avoir conclu avec lui un contrat écrit lui imposant des obligations assurant aux Données à caractère personnel du Client un niveau de protection substantiellement équivalent à celui prévu par le présent DPA.

9.3. Le Fournisseur demeure pleinement responsable de l’exécution des obligations de chaque Sous-traitant ultérieur et de ses actes et omissions.

9.4. Le Fournisseur tient à jour une liste des Sous-traitants ultérieurs et la met à disposition du Client sur demande ou via un portail en ligne.

9.5. Le Fournisseur donne un préavis d’au moins trente (30) jours pour toute désignation ou tout remplacement envisagé d’un Sous-traitant ultérieur qui Traitera les Données à caractère personnel du Client.

9.6. Le Client peut s’opposer à la désignation d’un Sous-traitant ultérieur proposé pour des motifs raisonnables liés à la protection des données, par notification écrite pendant le délai de préavis applicable.

9.7. En cas d’opposition raisonnable du Client, les Parties collaborent de bonne foi pour trouver une solution commercialement raisonnable. Si aucune solution de cette nature ne peut être mise en œuvre, le Client peut résilier les Services concernés par notification écrite, sans pénalité.

10. TRANSFERTS INTERNATIONAUX

10.1. Le Fournisseur ne transfère les Données à caractère personnel du Client à l’international que si le transfert respecte les Lois sur la protection des données applicables.

10.2. Les Parties mettent en œuvre les mécanismes de transfert décrits aux Annexes 4 et 5 lorsque les Lois sur la protection des données applicables l’exigent.

10.3. Le Fournisseur met en œuvre des garanties techniques, organisationnelles et contractuelles supplémentaires lorsque les Lois sur la protection des données applicables l’exigent.

11. DEMANDES D’ACCÈS DES AUTORITÉS PUBLIQUES

11.1. Dans la mesure légalement autorisée, le Fournisseur informe rapidement le Client de toute demande juridiquement contraignante d’une autorité gouvernementale, d’un régulateur, d’un organisme chargé de l’application de la loi ou d’un tribunal visant l’accès aux Données à caractère personnel du Client.

11.2. Le Fournisseur prend des mesures raisonnables pour contester toute demande qu’il estime raisonnablement illicite, invalide ou disproportionnée.

11.3. Le Fournisseur divulgue uniquement la quantité minimale de Données à caractère personnel du Client nécessaire pour satisfaire une demande juridiquement contraignante.

12. AUDITS

12.1. Le Fournisseur met à disposition du Client toutes les informations nécessaires pour démontrer le respect du présent DPA et de ses obligations applicables au titre des Lois sur la protection des données applicables.

12.2. Le Fournisseur peut satisfaire à ses obligations au titre de l’article 12.1 en fournissant des rapports d’audit indépendants, des certifications de sécurité, des synthèses de tests d’intrusion, des réponses à des questionnaires de sécurité ou une documentation équivalente, dans la mesure où ces éléments démontrent de manière adéquate la conformité concernée.

12.3. Lorsque les informations fournies au titre de l’article 12.2 sont insuffisantes pour démontrer la conformité concernée, ou autrement dans la mesure requise par les Lois sur la protection des données applicables, le Fournisseur permet la réalisation d’audits, y compris d’inspections, par le Client ou un auditeur indépendant mandaté par celui-ci, et y contribue. Ces audits :

1. se limitent au traitement des Données à caractère personnel pour le compte du Client et au respect par le Fournisseur du présent DPA et des Lois sur la protection des données applicables ;
2. sont réalisés avec un préavis écrit raisonnable, pendant les heures normales d’activité et de manière à minimiser les perturbations des opérations du Fournisseur ;
3. sont soumis à des obligations appropriées de confidentialité et à des exigences raisonnables de sécurité ; et
4. tiennent compte des informations déjà fournies au titre de l’article 12.2 et évitent les répétitions inutiles.

Le Client n’exerce pas ces droits d’audit plus d’une fois par période de douze mois, sauf si un audit supplémentaire est raisonnablement nécessaire à la suite d’une Violation de données à caractère personnel affectant ses Données à caractère personnel, en présence d’éléments raisonnables démontrant un manquement substantiel, ou en raison d’une exigence des Lois sur la protection des données applicables ou d’une autorité de contrôle compétente.

Le Fournisseur peut protéger les informations relatives à d’autres clients et celles sans rapport avec l’audit, à condition de ne pas empêcher le Client d’exercer ses droits au titre des Lois sur la protection des données applicables. Aucune disposition du présent article 12 ne restreint les pouvoirs d’une autorité de contrôle compétente ni les droits obligatoires d’audit ou d’inspection au titre des Lois sur la protection des données applicables.

13. REGISTRES DES TRAITEMENTS

Le Fournisseur tient des registres des activités de Traitement conformément aux Lois sur la protection des données applicables et les met à disposition des autorités réglementaires compétentes lorsque la loi l’exige.

14. CONTINUITÉ D’ACTIVITÉ ET REPRISE APRÈS SINISTRE

Le Fournisseur maintient des plans documentés de continuité d’activité et de reprise après sinistre destinés à assurer la disponibilité continue et la récupération des Données à caractère personnel du Client et des systèmes critiques utilisés dans le cadre des Services.

Le Fournisseur teste périodiquement ces plans et les met à jour selon les besoins.

15. RESTITUTION ET SUPPRESSION DES DONNÉES

15.1. À la résiliation ou à l’expiration du Contrat, le Fournisseur, au choix du Client, restitue ou supprime de manière sécurisée les Données à caractère personnel du Client.

15.2. Le Fournisseur achève la suppression conformément aux exigences et délais de suppression prévus dans le Contrat, y compris les exceptions de conservation autorisées et les garanties associées, sauf si les Lois sur la protection des données applicables imposent une suppression plus précoce.

15.3. Sur demande écrite du Client, le Fournisseur fournit une attestation écrite confirmant la suppression.

15.4. Le Fournisseur peut conserver les Données à caractère personnel du Client dans la mesure requise par la loi applicable, les obligations de préservation juridique, les exigences réglementaires, les exigences de reprise après sinistre ou les obligations légitimes d’archivage, à condition que ces données restent protégées conformément au présent DPA.

16. DISPOSITIONS RELATIVES AUX LOIS DES ÉTATS AMÉRICAINS SUR LA PROTECTION DE LA VIE PRIVÉE

16.1. Dans la mesure où les lois américaines pertinentes sur la protection de la vie privée s’appliquent, le Fournisseur reconnaît agir en qualité de Prestataire de services et/ou de Sous-traitant à l’égard des Données à caractère personnel du Client.

16.2. Le Fournisseur ne conserve, n’utilise ni ne divulgue les Données à caractère personnel du Client, sauf dans la mesure nécessaire pour exécuter les Services, respecter la loi applicable ou autrement selon ce qui est autorisé par les Lois sur la protection des données applicables.

16.3. Le Fournisseur certifie comprendre les restrictions applicables aux Prestataires de services et aux Sous-traitants au titre des lois américaines pertinentes sur la protection de la vie privée et s’engage à les respecter.

17. RESPONSABILITÉ

La responsabilité de chaque Partie au titre du présent DPA ou en rapport avec celui-ci est soumise aux exclusions, limitations et plafonds de responsabilité prévus par le Contrat, sauf dans la mesure où les Lois sur la protection des données applicables interdisent ces limitations.

18. DURÉE ET SURVIE

Le présent DPA prend effet à la Date d’effet du Contrat et reste en vigueur aussi longtemps que le Fournisseur Traite des Données à caractère personnel du Client pour son compte.

19. ORDRE DE PRÉVALENCE

En cas de conflit entre le présent DPA et le Contrat, le présent DPA prévaut pour les questions relatives au Traitement des Données à caractère personnel du Client. En cas de conflit entre un mécanisme de transfert applicable et le présent DPA, ce mécanisme prévaut dans la mesure de ce conflit.

20. DROIT APPLICABLE

Le présent DPA est régi par le droit applicable précisé dans le Contrat, sauf disposition contraire des Lois sur la protection des données applicables.

ANNEXE 1 — DÉTAILS DU TRAITEMENT

La présente Annexe constitue l’Annexe I des clauses contractuelles types de l’UE et fait partie de l’Avenant relatif au traitement des données.

A. LISTE DES PARTIES

Exportateur de données

L’Exportateur de données est le Client désigné dans le Contrat.

L’Exportateur de données agit en qualité de Responsable du traitement, d’Entreprise ou d’entité réglementée équivalente à l’égard des Données à caractère personnel du Client Traitées en vertu du Contrat.

Les coordonnées de l’Exportateur de données sont celles indiquées dans le Contrat ou le Bon de commande applicable.

Importateur de données

L’Importateur de données est le Fournisseur désigné dans le Contrat lorsqu’il reçoit le transfert international concerné de Données à caractère personnel. Lorsque des Données à caractère personnel sont transférées à une Affiliée du Fournisseur agissant en qualité de Sous-traitant ultérieur, cette entité est l’Importateur de données pour le transfert concerné et est désignée dans la documentation de transfert applicable.

Le Fournisseur veille à ce que chaque Affiliée concernée soit désignée conformément aux dispositions du présent DPA relatives aux Sous-traitants ultérieurs et que le transfert soit couvert par un mécanisme de transfert valide au titre des Lois sur la protection des données applicables. Le Fournisseur demeure responsable de l’exécution par ses Affiliées de leurs obligations de Sous-traitant ultérieur au titre du présent DPA.

L’Importateur de données agit en qualité de Sous-traitant, de Prestataire de services ou d’entité réglementée équivalente à l’égard des Données à caractère personnel du Client Traitées en vertu du Contrat.

Les coordonnées de l’Importateur de données sont celles indiquées dans le Contrat ou le Bon de commande applicable.

B. DESCRIPTION DU TRANSFERT

Objet du Traitement

Le Traitement des Données à caractère personnel du Client dans le cadre de la fourniture, de l’exploitation, de la maintenance, du support, de la sécurité, de l’administration et de l’amélioration des Services.

Durée du Traitement

Les Données à caractère personnel du Client sont Traitées pendant la durée du Contrat et pendant toute période ultérieure au cours de laquelle le Fournisseur est tenu de les conserver conformément au Contrat, aux instructions du Client ou aux Lois sur la protection des données applicables.

Nature du Traitement

Le Fournisseur peut Traiter les Données à caractère personnel du Client au moyen d’activités comprenant la collecte, l’enregistrement, l’organisation, la structuration, le stockage, l’adaptation, l’extraction, la consultation, l’utilisation, la transmission, la divulgation, l’analyse, le support, la maintenance, la suppression et la destruction.

Finalités du Traitement

Les finalités du Traitement comprennent :

• la fourniture des Services ;
• la gestion des comptes et abonnements du Client ;
• l’hébergement et le stockage du Contenu du Client ;
• l’authentification et la gestion des accès ;
• le support technique ;
• l’administration des systèmes ;
• la sécurité de l’information ;
• la surveillance des services ;
• la maintenance des services ;
• la continuité d’activité et la reprise après sinistre ;
• le respect des obligations légales et réglementaires ; et
• les autres activités de Traitement raisonnablement nécessaires à la fourniture des Services.

Catégories de Personnes concernées

• personnel du Client ;
• salariés ;
• dirigeants ;
• administrateurs ;
• prestataires ;
• consultants ;
• travailleurs temporaires ;
• mandataires ;
• clients (« clients ») ;
• clients (« customers ») ;
• clients potentiels ;
• utilisateurs finaux ;
• utilisateurs autorisés ;
• contacts professionnels ; et
• les autres catégories de personnes dont les Données à caractère personnel sont soumises aux Services par le Client ou en son nom.

Catégories de Données à caractère personnel

• données d’identification ;
• nom ;
• titre ;
• fonction professionnelle ;
• coordonnées professionnelles ;
• adresses électroniques ;
• numéros de téléphone ;
• adresses postales ;
• informations de compte ;
• identifiants d’authentification ;
• informations de connexion ;
• identifiants d’appareils ;
• adresses IP ;
• informations d’utilisation ;
• données de communication ;
• informations de projet ;
• informations de flux de travail ;
• enregistrements de transactions ;
• enregistrements de support ;
• journaux d’audit ; et
• toutes autres Données à caractère personnel téléversées, soumises ou autrement mises à disposition par le Client via les Services.

Catégories particulières de données

Le Fournisseur n’exige pas la soumission de Catégories particulières de données pour le fonctionnement des Services.

Dans la mesure où le Client soumet des Catégories particulières de données, leur Traitement intervient uniquement conformément aux instructions du Client et au Contrat.

Fréquence des transferts

Les Données à caractère personnel du Client peuvent être transférées de manière continue pendant son utilisation des Services.

Durée de conservation

Les Données à caractère personnel du Client sont conservées conformément au Contrat et aux procédures documentées de conservation du Fournisseur, sauf disposition contraire des Lois sur la protection des données applicables.

Autorité de contrôle compétente

L’Autorité de contrôle compétente est déterminée conformément aux Lois sur la protection des données applicables.

ANNEXE 2 — MESURES TECHNIQUES ET ORGANISATIONNELLES

Le Fournisseur met en œuvre et maintient des mesures techniques et organisationnelles destinées à assurer un niveau de sécurité adapté aux risques associés au Traitement des Données à caractère personnel du Client.

Gouvernance de la sécurité de l’information

Le Fournisseur maintient un programme documenté de gestion de la sécurité de l’information, soutenu par des politiques, normes et procédures régissant la protection des Données à caractère personnel du Client.

Le Fournisseur confie la responsabilité de la sécurité de l’information à du personnel suffisamment qualifié et examine périodiquement l’efficacité de son programme de sécurité.

Gestion des accès

Le Fournisseur met en œuvre des contrôles de gestion des identités et des accès destinés à limiter l’accès aux Données à caractère personnel du Client au personnel autorisé ayant besoin d’en connaître.

Les droits d’accès sont accordés, examinés et révoqués selon des procédures documentées.

Les accès privilégiés sont soumis à des contrôles et à une surveillance renforcés.

L’authentification multifacteur est mise en œuvre pour les accès administratifs et les accès à distance aux systèmes Traitant les Données à caractère personnel du Client lorsque cela est techniquement possible.

Chiffrement

Le Fournisseur protège les Données à caractère personnel du Client lors de leur transmission sur des réseaux publics au moyen de protocoles de chiffrement conformes aux normes du secteur.

Le Fournisseur met en œuvre le chiffrement au repos des Données à caractère personnel du Client lorsque cela est approprié, compte tenu de la nature et de la sensibilité des informations Traitées.

Le Fournisseur maintient des procédures régissant la gestion et la protection des clés de chiffrement.

Sécurité des systèmes

Le Fournisseur maintient des contrôles destinés à protéger les systèmes contre les logiciels malveillants, les accès non autorisés et l’exploitation de vulnérabilités connues.

Le Fournisseur maintient des procédures documentées de gestion des vulnérabilités et applique les correctifs de sécurité dans des délais adaptés à la gravité des vulnérabilités identifiées.

Surveillance et journalisation

Le Fournisseur maintient des capacités de journalisation et de surveillance destinées à identifier les événements de sécurité affectant les Données à caractère personnel du Client.

Les journaux d’audit sont protégés contre les modifications non autorisées et conservés conformément aux politiques de sécurité du Fournisseur.

Développement sécurisé

Lorsque le Fournisseur développe des logiciels utilisés pour fournir les Services, il maintient des pratiques de développement sécurisé destinées à identifier et à atténuer les vulnérabilités de sécurité tout au long du cycle de développement logiciel.

Gestion des incidents

Le Fournisseur maintient des procédures documentées pour identifier les Incidents de sécurité, les faire remonter, enquêter à leur sujet, y répondre et y remédier.

Le Fournisseur examine et teste périodiquement les procédures de réponse aux incidents.

Continuité d’activité

Le Fournisseur maintient des plans de continuité d’activité et de reprise après sinistre destinés à assurer la disponibilité continue et la récupération des Données à caractère personnel du Client et des fonctions critiques des services.

Le Fournisseur teste périodiquement ces plans et conserve des enregistrements des activités de test.

Sécurité du personnel

Le Fournisseur dispense une formation à la protection de la vie privée et à la sécurité au personnel autorisé à Traiter les Données à caractère personnel du Client.

Lorsque la loi le permet et que cela est approprié au rôle exercé, le Fournisseur peut procéder à des vérifications préalables à l’embauche du personnel.

Sécurité physique

Le Fournisseur met en œuvre des mesures raisonnables de sécurité physique destinées à empêcher l’accès physique non autorisé aux installations utilisées pour Traiter les Données à caractère personnel du Client.

Lorsque les services d’hébergement sont fournis par des prestataires tiers d’infrastructure cloud, le Fournisseur exerce une diligence raisonnable concernant les contrôles de sécurité physique qu’ils maintiennent.

Tests et évaluation

Le Fournisseur analyse, teste et évalue périodiquement l’efficacité de ses mesures techniques et organisationnelles et met en œuvre les améliorations nécessaires pour faire face à l’évolution des menaces et des risques.

ANNEXE 3 — SOUS-TRAITANTS ULTÉRIEURS AUTORISÉS

Le registre actuel des Sous-traitants ultérieurs est disponible à l’adresse suivante :

https://trust.newforma.com/

ANNEXE 4 — MODALITÉS DE MISE EN ŒUVRE DES CLAUSES CONTRACTUELLES TYPES DE L’UNION EUROPÉENNE

1. INCORPORATION DES CCT

Dans la mesure où des Données à caractère personnel du Client provenant de l’Espace économique européen sont transférées vers une juridiction que la Commission européenne n’a pas reconnue comme assurant un niveau adéquat de protection des Données à caractère personnel, les Parties conviennent que les clauses contractuelles types approuvées par la décision d’exécution (UE) 2021/914 de la Commission européenne (les « CCT de l’UE ») sont incorporées au présent DPA et en font partie.

Les Parties conviennent que le module applicable des CCT de l’UE est déterminé selon leur rôle dans l’activité de Traitement concernée. Lorsque le Client agit en qualité de Responsable du traitement et le Fournisseur en qualité de Sous-traitant, le Module deux (de responsable du traitement à sous-traitant) s’applique. Lorsque le Fournisseur transfère des Données à caractère personnel du Client à un Sous-traitant ultérieur agissant en qualité de Sous-traitant, le Module trois (de sous-traitant à sous-traitant) s’applique.

2. RENSEIGNEMENT DES CCT

Aux fins de la clause 7 des CCT, la clause facultative d’adhésion s’applique.

Aux fins de la clause 9, l’Option 2 s’applique et le délai de préavis pour les changements de Sous-traitants ultérieurs est de trente (30) jours.

Aux fins de la clause 11, le mécanisme facultatif de règlement indépendant des différends ne s’applique pas, sauf exigence contraire de la loi applicable.

Aux fins des clauses 17 et 18, le droit applicable et les tribunaux compétents sont le droit et les tribunaux d’Irlande, sauf stipulation contraire d’un Bon de commande ou exigence des Lois sur la protection des données applicables.

3. MESURES TECHNIQUES ET ORGANISATIONNELLES

Les mesures techniques et organisationnelles décrites à l’Annexe 2 constituent les mesures requises au titre de l’Annexe II des CCT.

4. SOUS-TRAITANTS ULTÉRIEURS

La liste des Sous-traitants ultérieurs autorisés tenue conformément à l’Annexe 3 constitue l’Annexe III des CCT.

5. ANALYSES D’IMPACT DES TRANSFERTS

Le Fournisseur confirme n’avoir reçu, à sa connaissance, aucune demande d’accès aux Données à caractère personnel du Client émanant d’une autorité publique qui l’empêcherait de respecter les CCT.

Le Fournisseur suit les évolutions juridiques affectant les transferts internationaux et coopère avec le Client pour réaliser les analyses d’impact des transferts lorsque cela est requis.

6. GARANTIES SUPPLÉMENTAIRES

Le Fournisseur met en œuvre les garanties supplémentaires requises, notamment le chiffrement, les contrôles d’accès, la minimisation des données, la journalisation d’audit, les contrôles organisationnels et les engagements contractuels destinés à atténuer les risques liés à l’accès par les autorités publiques.

ANNEXE 5 — AVENANT DU ROYAUME-UNI RELATIF AUX TRANSFERTS INTERNATIONAUX DE DONNÉES

1. INCORPORATION

L’International Data Transfer Addendum publié par l’Information Commissioner’s Office du Royaume-Uni au titre de l’article 119A du Data Protection Act 2018 (l’« Avenant britannique ») est incorporé au présent DPA et s’applique aux Transferts restreints soumis au RGPD du Royaume-Uni.

2. INTERPRÉTATION

Les CCT de l’UE incorporées à l’Annexe 4 constituent les CCT de l’UE approuvées aux fins de l’Avenant britannique.

Les Parties conviennent que les informations requises pour les Tableaux 1 à 4 de l’Avenant britannique sont renseignées comme suit :

Les Parties sont désignées dans le Contrat et le présent DPA.

La description du transfert est celle figurant à l’Annexe 1.

Les mesures de sécurité sont celles décrites à l’Annexe 2.

Aucune Partie ne résilie l’Avenant britannique au titre de son article 19, sauf lorsqu’elle y est légalement autorisée.

3. OBLIGATIONS RELATIVES AUX TRANSFERTS BRITANNIQUES

Le Fournisseur met en œuvre et maintient toutes les garanties nécessaires pour assurer aux Données à caractère personnel du Client transférées hors du Royaume-Uni un niveau de protection essentiellement équivalent à celui garanti par les lois britanniques sur la protection des données.

Le Fournisseur informe rapidement le Client s’il détermine qu’il ne peut plus respecter l’Avenant britannique ou un mécanisme de transfert applicable.

4. CONFLIT

En cas de conflit entre l’Avenant britannique et une autre disposition du DPA, l’Avenant britannique prévaut dans la mesure nécessaire pour assurer la licéité des transferts internationaux.

ANNEXE 6 — INTELLIGENCE ARTIFICIELLE ET GOUVERNANCE DES DONNÉES

1. OBJET

La présente Annexe régit l’utilisation des Données à caractère personnel du Client dans le cadre des systèmes d’intelligence artificielle, technologies d’apprentissage automatique, outils de prise de décision automatisée et technologies similaires utilisés par le Fournisseur.

2. RESTRICTIONS RELATIVES À L’ENTRAÎNEMENT

Sauf dans la mesure expressément autorisée par les dispositions du Contrat relatives à l’IA ou autrement expressément autorisée par écrit par le Client, le Fournisseur n’utilise pas les Données à caractère personnel du Client, ses Informations confidentielles, son Contenu, ni les invites, résultats, métadonnées ou informations qui en sont issus pour entraîner, réentraîner, affiner, améliorer ou autrement développer un modèle de fondation, un grand modèle de langage, un modèle d’apprentissage automatique ou un autre système d’intelligence artificielle. Toute utilisation autorisée reste soumise aux restrictions et garanties prévues par les dispositions du Contrat relatives à l’IA, le présent DPA et les lois sur la protection des données applicables. Tout consentement accordé par le Client au titre du présent article doit être spécifique, éclairé et documenté par écrit.

3. DÉVELOPPEMENT DES MODÈLES

Le Fournisseur veille à ce que les Données à caractère personnel du Client soient séparées logiquement des jeux de données utilisés pour développer et entraîner les modèles, sauf lorsque le Client a expressément autorisé cette utilisation.

Le Fournisseur maintient des contrôles techniques destinés à empêcher l’utilisation non autorisée des Données à caractère personnel du Client pour l’entraînement de modèles.

4. SUPERVISION HUMAINE

Lorsque le Fournisseur utilise des systèmes d’intelligence artificielle affectant sensiblement les Services, il met en œuvre des mesures appropriées de supervision humaine destinées à surveiller leur fonctionnement, leurs performances et leurs résultats.

Le Fournisseur maintient des procédures pour examiner les résultats inexacts, biaisés ou inappropriés générés par ces systèmes, enquêter à leur sujet et les corriger.

5. TRANSPARENCE

Sur demande raisonnable du Client, le Fournisseur fournit des informations sur les catégories de systèmes d’intelligence artificielle utilisés dans le cadre des Services et leurs finalités.

Aucune disposition du présent article n’impose au Fournisseur de divulguer des secrets d’affaires, du code source ou des algorithmes exclusifs.

6. PRISE DE DÉCISION AUTOMATISÉE

Le Fournisseur n’utilise pas sciemment les Données à caractère personnel du Client pour prendre des décisions exclusivement automatisées produisant des effets juridiques ou d’importance similaire sur des personnes physiques, sauf autorisation expresse du Client et dans la mesure permise par les Lois sur la protection des données applicables.

7. CONTRÔLES DE SÉCURITÉ DE L’IA

Le Fournisseur met en œuvre des mesures techniques et organisationnelles destinées à atténuer les risques liés aux systèmes d’intelligence artificielle, notamment les risques de fuite de données, d’injection d’invites, d’inversion de modèle, d’accès non autorisé, de manipulation de modèle et de divulgation non autorisée des Données à caractère personnel du Client.

8. CONFORMITÉ RÉGLEMENTAIRE

Le Fournisseur respecte toutes les lois applicables régissant les systèmes d’intelligence artificielle, les technologies de prise de décision automatisée et la responsabilité algorithmique.

Le cas échéant, le Fournisseur coopère avec le Client concernant le respect du Règlement européen sur l’IA, des exigences réglementaires britanniques relatives à l’IA et des autres réglementations applicables en matière d’intelligence artificielle.

9. DROITS D’AUDIT

Les droits d’audit et d’information du Client au titre de l’article 12 s’appliquent à la présente Annexe.