Accord de traitement des données

1. Champ et application

La présente annexe s'applique uniquement dans la mesure où VoyraCloud, en tant que sous-traitant agissant pour votre compte, traite des données personnelles (les « Données ») contenues dans votre contenu de membre ou liées à celui-ci dans le cadre de la fourniture de tout service VoyraCloud, si les réglementations en matière de protection des données (telles que définies ci-dessous) l'exigent.

La présente annexe fait partie des conditions générales de VoyraCloud, ou de tout autre accord équivalent conclu entre vous et VoyraCloud concernant votre utilisation des services VoyraCloud (l'« Accord »).

Les termes commençant par une majuscule non définis ici ont le sens qui leur est donné dans l'Accord. En cas de conflit entre d'autres dispositions du présent Accord (y compris ses annexes) ou de tout autre accord que vous avez conclu avec VoyraCloud concernant les données et la présente annexe, la présente annexe prévaut.

2. Définitions

Dans la présente annexe :

« Responsable du traitement », « Personne concernée », « Traiter », « Sous-traitant » et « Autorité de contrôle » ont tous le sens qui leur est donné dans le RGPD, ou les termes équivalents en vertu des réglementations applicables en matière de protection des données.

« Loi sur la protection des données » désigne (selon le cas) : toutes les lois et réglementations applicables à vous et/ou à VoyraCloud pour le traitement des données et qui les lient, y compris, sans s'y limiter, (i) le RGPD, (ii) le RGPD conservé en droit britannique par l'article 3 de l'European Union (Withdrawal) Act 2018 (le « RGPD britannique »), (iii) le Singapore Personal Data Protection Act 2012 (la « PDPA »), et dans chaque cas toutes les lois, réglementations, règles ou dispositions nationales pertinentes relatives à la confidentialité et à la protection des données. Par souci de clarté, les références aux lois sur la protection des données incluent les références aux lois sur la protection des données telles que modifiées, adaptées, étendues, réadoptées, consolidées ou remplacées de temps à autre.

« RGPD » désigne le Règlement (UE) 2016/679.

« Données personnelles » désigne les données personnelles, informations personnelles, informations permettant d'identifier une personne ou autres termes équivalents (tous tels que définis dans les réglementations en matière de protection des données).

« Transfert restreint » désigne (i) dans le cas du RGPD applicable, le transfert de données personnelles depuis l'Espace économique européen vers des pays, territoires ou organisations situés en dehors de l'Espace économique européen lorsque ce transfert ne fait pas l'objet d'une décision d'adéquation de la Commission européenne ; et (ii) dans le cas du RGPD britannique applicable, le transfert de données personnelles depuis le Royaume-Uni vers tout autre pays, territoire ou organisation lorsque ce transfert ne repose pas sur les dispositions d'adéquation énoncées à l'article 17A du UK Data Protection Act 2018.

« Clauses contractuelles types » désigne (i) si les données sont protégées par le RGPD, les clauses contractuelles types annexées à la décision d'exécution (UE) 2021/914 de la Commission du 4 juin 2021 relative aux clauses contractuelles types pour le transfert de données à caractère personnel vers des pays tiers en vertu du règlement (UE) 2016/679 du Parlement européen et du Conseil (les « CCT de l'UE ») ; et (ii) si les données sont protégées par le RGPD britannique, l'« International Data Transfer Addendum to the European Commission's Standard Contractual Clauses » publié par l'Information Commissioner en vertu de l'article 119A(1) du Data Protection Act 2018 (l'« Addendum britannique »). Des copies des Clauses contractuelles types peuvent être obtenues à l'adresse https://ec.europa.eu/info/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc, ou en nous contactant à l'adresse voyracloud@gmail.com.

3. Description du traitement

Aux fins de la présente annexe, vous (en tant que responsable du traitement ou sous-traitant) désignez VoyraCloud comme votre sous-traitant, traitant des données pendant la durée du présent Accord aux fins de fournir les services VoyraCloud et de respecter la loi applicable (la « Finalité autorisée »).

4. Traitement des données

Lorsqu'elle traite des données conformément au présent Accord, VoyraCloud doit, dans la limite de ce qu'elle possède ou contrôle :

(a) Traiter les données uniquement sur votre instruction écrite, sauf si la loi applicable exige le contraire ;

(b) S'assurer que tout le personnel autorisé à traiter des données via VoyraCloud respecte des obligations de confidentialité appropriées ;

(c) Mettre en œuvre et maintenir des mesures de sécurité techniques et organisationnelles appropriées (y compris des contrôles d'accès), ou prendre d'autres dispositions de sécurité raisonnables, visant à : (i) protéger les données de VoyraCloud contre tout accès, traitement, suppression, perte ou utilisation non autorisés ou accidentels causés par des vulnérabilités de sécurité de VoyraCloud ; VoyraCloud peut modifier ces mesures de temps à autre, mais n'abaissera pas le niveau de protection en dessous du minimum obligatoire requis par les réglementations en matière de protection des données (le cas échéant). En cas d'événement de sécurité confirmé, dans le cadre des réglementations en matière de protection des données : (1) VoyraCloud doit vous en informer sans délai et vous fournir des informations et une coopération raisonnables afin que vous puissiez remplir toute obligation de notification des violations de données en vertu de la loi applicable en matière de protection des données (et conformément à son calendrier) ; (2) VoyraCloud doit en outre prendre toutes les mesures et actions raisonnablement nécessaires pour atténuer l'impact de l'événement de sécurité et vous tenir informé de tous les développements importants liés à l'événement de sécurité. Les événements de sécurité sont réputés inclure la « violation de données à caractère personnel » telle que définie par la loi applicable en matière de protection des données ou tout terme équivalent ;

(d) Une autorisation générale vous est par la présente accordée de recourir à des sous-traitants tiers aux fins du traitement des données, mais sous réserve que VoyraCloud (i) (à condition que vous respectiez les dispositions de la section 5 ci-dessous) assume l'entière responsabilité de tout sous-traitant ; et (ii) impose des conditions de protection des données à tout sous-traitant désigné pour traiter des données pour le compte de VoyraCloud, exigeant que ce sous-traitant respecte la loi applicable en matière de protection des données ou la présente annexe (la plus stricte des deux) ; vous pouvez vous opposer à la désignation ou au remplacement de ces sous-traitants avant que VoyraCloud ne les désigne ou ne les remplace, à condition que cette opposition repose sur des motifs raisonnables liés à la protection des données ; dans ce cas, VoyraCloud ne désignera ni ne remplacera les sous-traitants concernés ou, si cela n'est pas possible, vous pouvez résilier les services VoyraCloud concernés et la présente annexe (dans le périmètre des services VoyraCloud) mais vous n'aurez droit à aucun remboursement des frais ou coûts engagés en lien avec cette résiliation, et cette résiliation n'affectera ni les autres services qui vous sont fournis ni les frais ou coûts y afférents ;

(e) Vous aider à répondre aux demandes des personnes concernées visant à exercer leurs droits en vertu de la loi applicable en matière de protection des données, en fournissant des mesures techniques vous permettant d'accéder directement aux données, de les rectifier, de les supprimer, d'en limiter le traitement ou de les exporter dans le périmètre des services de VoyraCloud et du rôle de VoyraCloud en tant que sous-traitant, conformément à votre utilisation des services VoyraCloud (et vous convenez, compte tenu de la nature du traitement, que la présente section reflète la capacité de VoyraCloud à fournir cette assistance) ; si des personnes concernées, des autorités de contrôle ou toute autre partie demandent directement des données à VoyraCloud, VoyraCloud doit vous en informer immédiatement ou indiquer à la personne qu'elle doit vous contacter ;

(f) Si VoyraCloud estime ou sait que son traitement des données peut présenter un risque élevé pour les droits et libertés des personnes concernées en matière de protection des données, elle doit vous en informer immédiatement et fournir une coopération et/ou une consultation raisonnables pour toute analyse d'impact relative à la protection des données et/ou consultation préalable, à vos frais, en vertu de la loi applicable en matière de protection des données ;

(g) À votre discrétion, à la résiliation du présent Accord, VoyraCloud supprimera ou restituera toutes les données détenues ou contrôlées par VoyraCloud, mais VoyraCloud ne sera pas responsable des coûts engagés en lien avec cette suppression ou cette restitution ; si la loi applicable exige ou autorise VoyraCloud à conserver tout ou partie des données, ou des données archivées sur des systèmes de sauvegarde, cette exigence ne s'applique pas ; dans ce cas, VoyraCloud isolera et protégera ces données afin d'empêcher tout traitement ultérieur, sauf dans les cas suivants : (i) dans la limite des exigences de la loi, jusqu'à ce que ces données puissent être supprimées ; ou (ii) ces données ne contiennent plus de données personnelles ;

(h) VoyraCloud doit prendre des dispositions de sécurité raisonnables, à (intervalles périodiques appropriés), afin de vérifier le caractère adéquat de ses mesures de sécurité ; et

(i) Aucune politique ou action pouvant être incompatible avec la loi sur la protection des données ne doit être mise en œuvre ou entreprise.

Si des droits d'audit vous sont accordés (par exemple par les clauses contractuelles types ou la loi applicable en matière de protection des données), vous convenez d'exercer vos droits d'audit en demandant à VoyraCloud de procéder à des audits conformément à la présente clause. Si vous souhaitez modifier cette instruction, vous pouvez le faire par demande écrite ou conformément aux dispositions des clauses contractuelles types, et cette modification doit être effectuée par écrit (par souci de clarté, aucune des dispositions ci-dessus n'exige que VoyraCloud fournisse des données, documents ou informations concernant tout autre client de VoyraCloud).

Afin d'éviter toute ambiguïté, aucune des dispositions ci-dessus n'exige que VoyraCloud divulgue des droits, privilèges ou immunités accordés en vertu de toute loi ou règle de déontologie professionnelle relative à la divulgation de ces informations.

5. Vos responsabilités

Vous convenez :

(a) De respecter toutes les obligations qui vous incombent en vertu des lois applicables en matière de protection des données : (i) en utilisant les services VoyraCloud pour traiter des données personnelles ; (ii) en nous désignant comme votre sous-traitant en vertu de la présente annexe ; et (iii) en traitant les données personnelles contenues dans les services VoyraCloud.

(b) Que la présente annexe, l'Accord, tout autre accord applicable entre vous et VoyraCloud, ainsi que votre configuration et votre utilisation des services VoyraCloud constituent ensemble vos instructions écrites complètes et définitives à VoyraCloud concernant le traitement des données ; et

(c) Que vous ne donnerez à VoyraCloud, en tant que votre sous-traitant, aucune instruction, et n'utiliserez les services VoyraCloud d'aucune manière, qui pourrait enfreindre toute loi applicable en matière de protection des données ou toute autre loi ou réglementation applicable, ou qui pourrait amener VoyraCloud ou l'une de ses sociétés affiliées à enfreindre toute loi ou réglementation applicable en matière de protection des données. Sous réserve du caractère général de ces dispositions, vous convenez et reconnaissez que, lorsque vous divulguez des données personnelles à VoyraCloud, vous devez : (i) obtenir ou avoir obtenu le consentement de la personne concernée en vertu de la loi applicable, afin de traiter les données personnelles de cette personne concernée et de les divulguer à VoyraCloud aux fins de leur collecte, utilisation et/ou divulgation (sans affecter toute autre base juridique du traitement de ces données personnelles par VoyraCloud), et ce consentement n'a pas été retiré ; ou (ii) dans le périmètre de la loi où aucun consentement n'est requis, avoir obtenu toutes les bases juridiques nécessaires en vertu de la loi sur la protection des données pour traiter et divulguer les données personnelles à VoyraCloud aux fins de fournir les services VoyraCloud en vertu de la présente annexe.

(d) Vous êtes responsable de l'exactitude de vos données et veillez à ce qu'elles restent à jour, et vous devez répondre à toute demande ou réclamation des personnes concernées.

6. Transfert international

6.1 Vous pouvez décider où stocker vos données (la « région désignée »). Vous acceptez de stocker vos données dans la région désignée et de transférer vos données vers la région désignée. Si le traitement de vos données implique un transfert en dehors de la région désignée, VoyraCloud doit prendre, en tant que sous-traitant, les mesures nécessaires pour garantir que ce transfert est conforme aux réglementations applicables en matière de protection des données.

6.2 Si vous transférez à VoyraCloud des données constituant un transfert restreint, vous convenez que les Clauses contractuelles types sont réputées conclues entre vous (en tant qu'exportateur de données) et VoyraCloud (en tant qu'importateur de données) par référence à la présente annexe, comme suit :

6.2.1 Pour les données protégées par le RGPD, les CCT de l'UE s'appliquent comme suit :

(a) Si vous êtes le responsable du traitement du module de données, la deuxième disposition s'applique ; si vous êtes le sous-traitant du module de données, la troisième disposition s'applique, dans chaque cas, comme suit :

(i) À la section 7, la clause facultative d'adhésion s'applique (mais toute nouvelle partie rejoignant les CCT de l'UE est soumise à l'accord écrit préalable de VoyraCloud) ;

(ii) L'option 2 de la section 9 s'applique, et le délai de préavis pour les changements de sous-traitants est conforme aux dispositions de la section 4(d) de la présente annexe ;

(iii) L'option 1 de la section 11 s'applique, et les CCT de l'UE sont soumises au droit néerlandais ;

(iv) À la section 17, l'option 1 s'applique, et les CCT de l'UE sont soumises au droit néerlandais ;

(v) Le litige visé à la section 18(b) relève de la compétence des tribunaux néerlandais ;

(vi) L'Annexe I des Spécifications types de l'UE est réputée contenir l'intégralité du contenu de la présente annexe et/ou de l'Annexe I de la présente annexe, et l'Annexe C des Spécifications types de l'UE est déterminée par la Commission européenne des spécifications types en vertu de la section 13 des Spécifications types de l'UE ;

(vii) L'Annexe II des Clauses contractuelles types de l'UE est réputée contenir les informations énumérées dans l'Annexe C du fichier lié à la section 4(c) ;

(b) Les précisions suivantes s'appliquent aux Clauses types de l'UE :

(i) Vous pouvez exercer les droits d'audit prévus par les Clauses types de l'UE en appliquant les dispositions de la section 4(h) de la présente annexe et en respectant ses exigences ;

(ii) VoyraCloud peut désigner des sous-traitants en vertu des dispositions de la section 4(d) de la présente annexe et vous pouvez exercer votre droit de refuser des sous-traitants en vertu des dispositions de la section 4(d) de la présente annexe ;

(iii) La section 4(g) s'applique à la suppression ou à la restitution des données transférées après la résiliation du présent Accord ;

(iv) Afin d'éviter toute ambiguïté, compte tenu de la nature des services VoyraCloud, vous êtes entièrement responsable de l'exactitude de vos données et de la licéité de votre collecte de données ; VoyraCloud n'a aucune obligation de vérifier l'exactitude des données transmises ;

(c) Vous devez payer à VoyraCloud les frais de services professionnels standard au moment de la transaction, et rembourser également à VoyraCloud tous les coûts raisonnables engagés en lien avec votre utilisation de toute donnée transférée à VoyraCloud en vertu des CCT de l'UE, y compris, sans s'y limiter, la notification ou l'assistance dans le traitement des demandes des personnes concernées ou les réponses à ces demandes, et la coopération à votre suppression ou rectification de toute donnée transférée ;

6.2.2 Pour les données protégées par le RGPD britannique, l'Addendum britannique s'applique, comme suit :

(a) Les Clauses types de l'UE telles que complétées à la section 6.2.1 s'appliquent et sont modifiées conformément à l'Addendum britannique (complété en vertu de la section (b) de la présente annexe) ; et

(b) Les Tableaux 1 à 3 de l'Addendum britannique sont réputés complétés, contenant les informations des CCT de l'UE telles que décrites ci-dessus, et les options « exportateur » et « importateur » du Tableau 4 sont réputées sélectionnées. La date de début de l'Addendum britannique (telle que décrite dans le Tableau 1) est la date de la présente annexe.

6.2.3. Pour les données hors du champ du RGPD et du RGPD britannique, si ces juridictions autorisent l'utilisation des CCT de l'UE (qui peuvent être modifiées pour se conformer à la loi pertinente en matière de protection des données), les dispositions des CCT de l'UE s'appliquent, et les modifications nécessaires sont apportées pour se conformer aux réglementations pertinentes en matière de protection des données des juridictions concernées.

6.2.4. Pour les données protégées par la PDPA, VoyraCloud prend les mesures raisonnables nécessaires pour garantir que vos données personnelles continuent d'être protégées au moins selon la norme énoncée dans la PDPA. Cela peut inclure la conclusion d'un accord écrit avec le destinataire, comprenant des clauses contractuelles, des règles d'entreprise ayant force obligatoire et d'autres accords de protection des données.

6.3 Pour tout transfert ultérieur à des sous-traitants, VoyraCloud ne participera à ce transfert de données (y compris un transfert restreint) que s'il est pleinement conforme aux réglementations en matière de protection des données.

6.4 Si une disposition de la présente annexe est directement ou indirectement en conflit avec les Clauses contractuelles types, les Clauses contractuelles types prévalent.

6.5 Sous réserve de toute disposition expresse de la présente annexe, vous convenez et reconnaissez que vous êtes responsable du respect des réglementations en matière de protection des données dans les domaines suivants : (a) vous transférez des données d'une juridiction à une autre ; et/ou (b) vous demandez à VoyraCloud (en tant que votre sous-traitant) de transférer des données d'une juridiction à une autre. Sous réserve du caractère général de ces dispositions, vous convenez et reconnaissez que vous ne nous demanderez pas et ne nous amènerez pas à transférer des données personnelles vers un pays ou une région, sauf si les réglementations en matière de protection des données l'exigent pour ce transfert, y compris, sans s'y limiter, toute obligation découlant de la loi applicable en matière de protection des données pouvant vous incomber en lien avec ce transfert, afin de garantir que le niveau de protection des données transférées est conforme à celui exigé par les réglementations en matière de protection des données.

7. Divers

(a) Par souci de clarté, la responsabilité cumulée totale de VoyraCloud et de ses sociétés affiliées, employés, agents, filiales, représentants ou de tout représentant agissant en leur nom pour toute question découlant du présent Accord et/ou de la présente annexe et/ou des Clauses contractuelles types ou liée à ceux-ci, ou pour toute question de cette nature, ne dépassera pas la responsabilité maximale de VoyraCloud en vertu de la section 11.6 des conditions générales de VoyraCloud.

(b) VoyraCloud peut modifier les termes de la présente annexe, par exemple pour se conformer à la loi sur la protection des données ou pour mettre en œuvre toutes clauses contractuelles types adoptées par l'Information Commissioner's Office, la Commission européenne ou toute autre autorité de contrôle en vertu de la loi sur la protection des données, mais ces modifications n'abaisseront pas le niveau de protection qui vous est offert en dessous du minimum obligatoire requis par la loi sur la protection des données (le cas échéant). Si VoyraCloud modifie les termes de la présente annexe, l'annexe sera une version révisée et mise à jour sur la plateforme VoyraCloud, et VoyraCloud vous fournira un avis écrit de toute révision importante de l'annexe (qui pourra être publié sur la plateforme VoyraCloud ou affiché dans votre compte VoyraCloud) au moins 15 jours à l'avance. La poursuite de l'utilisation du produit ou service concerné après réception de cet avis écrit vaut accord de votre part d'être lié par l'annexe révisée et mise à jour.

Annexe 1

A. Liste des parties

Exportateur de données :

Nom : L'entité identifiée comme « Client » dans les conditions générales de VoyraCloud.

Adresse : Adresse du client associée au compte VoyraCloud du client, ou toute autre adresse précisée dans l'annexe relative au traitement des données ou dans les conditions générales de VoyraCloud.

Nom, fonction et coordonnées de la personne de contact : Coordonnées du compte client, ou toutes autres coordonnées précisées dans l'annexe relative au traitement des données ou dans les conditions générales de VoyraCloud.

Activité liée aux données transmises en vertu de la présente clause : Précisée aux sections 3 et 4 de l'annexe relative au traitement des données.

Signature et date : Vous avez cliqué sur le bouton « J'accepte » lors de la création de votre compte, ce qui représente votre confirmation, votre signature et votre acceptation des conditions générales et de l'annexe relative au traitement des données le même jour.

Rôle (responsable du traitement/sous-traitant) : Responsable du traitement ou sous-traitant, tel que précisé dans l'annexe relative au traitement des données.

Importateur de données :

Nom : « VoyraCloud » tel que décrit dans les conditions générales de VoyraCloud.

Adresse : Adresse de VoyraCloud précisée dans les conditions générales de VoyraCloud.

Nom, fonction et coordonnées de la personne de contact : Coordonnées de VoyraCloud précisées dans l'annexe ou dans les conditions générales de VoyraCloud.

Activité liée aux données transmises en vertu de la présente clause : Précisée aux sections 3 et 4 de l'annexe relative au traitement des données.

Signature et date : Vous avez cliqué sur le bouton « J'accepte » lors de la création de votre compte, ce qui représente votre confirmation, votre signature et votre acceptation des conditions générales et de l'annexe relative au traitement des données le même jour.

Rôle (responsable du traitement/sous-traitant) : Sous-traitant

B. Description du transfert

Catégories de personnes concernées par les données personnelles transférées : Les personnes concernées peuvent inclure vos clients, employés, fournisseurs et utilisateurs finaux.

Catégories de données personnelles transférées : Les termes commençant par une majuscule non définis ici ont le sens qui leur est donné dans les conditions générales de VoyraCloud. Les données personnelles peuvent inclure toute information, tout contenu, tous matériels et toutes données au format électronique contenus dans le contenu de membre ou liés à celui-ci.

Transmission de données sensibles (le cas échéant) et mesures prises pour limiter ou sécuriser ces données, telles que des limitations strictes de finalité, des restrictions d'accès (y compris un accès réservé aux employés formés de manière spécifique), la tenue de registres d'accès aux données, la restriction des transferts ultérieurs ou des mesures de sécurité supplémentaires : Vous pouvez téléverser des catégories particulières de données personnelles sur vos services VoyraCloud, qui peuvent comprendre (selon votre choix) des données révélant l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, des données génétiques, des données relatives à l'identification unique de personnes physiques, des données relatives à la santé ou des données relatives à la vie sexuelle ou à l'orientation sexuelle de la personne physique, et/ou des données relatives aux condamnations pénales et aux infractions ou aux mesures de sûreté connexes. Avant de téléverser des données sensibles, vous devez évaluer et confirmer que les mesures techniques et organisationnelles de VoyraCloud sont suffisantes pour traiter les données sensibles que vous choisissez de téléverser.

Fréquence de la transmission (par exemple, si les données sont transmises de manière ponctuelle ou continue) : Les données peuvent être transmises occasionnellement ou en continu aux fins de fournir les services VoyraCloud et toute autre disposition du présent Accord.

Nature du traitement : Nous traiterons et transmettrons les données personnelles aux fins de fournir les services VoyraCloud et toute autre disposition du présent Accord.

Finalité de la transmission des données et du traitement ultérieur : Nous traiterons et transmettrons les données personnelles aux fins de fournir les services VoyraCloud et toute autre disposition du présent Accord.

Durée de conservation des données personnelles (si elle ne peut être déterminée, alors la norme) : Les données seront traitées et transmises pendant la durée du présent Accord.

Pour les transferts à des sous-traitants ultérieurs, l'objet, la nature et la durée du traitement s'appliquent également à ces transferts à des sous-traitants ultérieurs.

C. Autorité de contrôle

Autorité de contrôle : Pour le RGPD de l'UE, l'autorité de contrôle est interprétée conformément à la section 13 des CCT de l'UE ; pour le RGPD britannique, l'autorité de contrôle est l'Information Commissioner's Office.