Addendum relatif au traitement des données

Les conditions ci-dessous (« DPA ») complètent et modifient les Conditions de service (« ToS »), dans la mesure où Ideanote traite, pour Vous en tant que Client, des données à caractère personnel provenant de l’Espace économique européen, du Royaume-Uni et de la Suisse.

Les expressions commençant par une majuscule qui ne sont pas définies dans le DPA ont le sens qui leur est attribué dans les Conditions d’utilisation. Les mots et expressions employés dans le présent DPA, mais qui ne sont définis ni dans le DPA ni dans les Conditions d’utilisation, ont le sens qui leur est attribué dans la directive européenne 95/46/CE ou, à compter du 25 mai 2018, dans le Règlement général sur la protection des données (2016/679) (« RGPD »), y compris toute législation d’application ou mesure d’exécution, et, en ce qui concerne les transferts de Données vers Nous (« Législation applicable en matière de protection des données »).

Les parties concluent le présent accord de traitement des données (DPA) afin de se conformer aux obligations découlant des Lois applicables en matière de protection des données. « Lois applicables en matière de protection des données » désigne toutes les lois, tous les textes législatifs ou tous les règlements applicables, tels que modifiés, étendus ou réadoptés périodiquement, ainsi que toute loi qui leur succéderait, portant sur les données à caractère personnel, notamment : (i) le règlement 2016/679 du Parlement européen et du Conseil relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données) (le « RGPD de l’UE ») ; (ii) le RGPD tel qu’intégré au droit du Royaume-Uni en vertu de l’article 3 de la loi de 2018 du Royaume-Uni sur l’Union européenne (retrait) et de la loi de 2018 du Royaume-Uni sur la protection des données (collectivement, le « RGPD du Royaume-Uni ») ; (iii) la directive ePrivacy de l’UE (directive 2002/58/CE) ; et (iv) toutes les lois nationales applicables en matière de protection des données adoptées en vertu de l’un des textes visés aux points (i), (ii) ou (iii), prises en application de ceux-ci ou applicables conjointement à ceux-ci ; dans chaque cas, telles qu’elles peuvent être modifiées ou remplacées périodiquement ;

1. Sous-traitant

Ideanote doit être considéré uniquement comme un sous-traitant agissant pour le compte de son Client et de ses Utilisateurs concernant toute Donnée Client contenant des Données à caractère personnel soumise aux exigences de GDPR. Sauf disposition contraire du présent DPA, Ideanote ne provoque pas, de sa propre initiative, le transfert ou la mise à disposition de tiers de Données Client contenant des Données à caractère personnel stockées dans le cadre des Services, à l’exception des sous-traitants ultérieurs susceptibles de traiter ces données pour le compte de Ideanote dans le cadre de la fourniture du Service aux Clients par Ideanote.

Ces actions sont effectuées ou autorisées uniquement par le Client concerné. Le Client est le responsable du traitement au sens du Règlement pour toutes les Données du Client contenant des Données à caractère personnel, ce qui signifie que cette partie contrôle la manière dont ces Données à caractère personnel sont collectées et utilisées, ainsi que la détermination des finalités et des moyens du traitement de ces Données à caractère personnel.

Ideanote n’est pas responsable du contenu des Données à caractère personnel contenues dans les Données du Client ou d’autres informations stockées sur ses serveurs (ou sur les serveurs de ses sous-traitants) à la discrétion du Client, et Ideanote n’est pas non plus responsable de la manière dont le Client ou l’Utilisateur collecte, traite, divulgue, distribue ou traite autrement ces informations.

Dans le cadre de la fourniture des Services au Client conformément aux ToS, Ideanote peut traiter des Données à caractère personnel pour le compte du Client. Ideanote accepte de se conformer aux dispositions suivantes concernant toutes les Données à caractère personnel soumises au Service par le Client ou pour son compte, ou collectées et traitées par le biais du Service par le Client ou pour son compte.

2. Généralités

Vous confirmez que vous acceptez le présent DPA en qualité de Client particulier ou de Client professionnel.
Si vous acceptez le présent DPA en qualité de Client professionnel, vous confirmez être habilité à engager l’entité que vous représentez en tant que Client au titre du présent DPA.
Le présent Accord de traitement des données définit les droits et obligations applicables au traitement des données à caractère personnel par Ideanote pour le compte du Client.
Le traitement des données à caractère personnel par Ideanote a lieu aux fins de l’exécution des ToS, à compter de la date à laquelle vous, en tant que Client, acceptez électroniquement nos ToS ou y consentez autrement.
La durée de la présente commande ou du présent contrat correspond à la durée des ToS. Cela ne porte pas atteinte au droit de résilier le contrat pour motif légitime sans préavis. Un tel motif existe notamment lorsqu’une obligation découlant du présent accord ou des dispositions de GDPR est violée intentionnellement ou par négligence grave.
Le présent Accord de traitement des données prévaut sur toute disposition similaire figurant dans d’autres accords entre les Parties, y compris les ToS. Les clauses contractuelles types de l’UE, le cas échéant, prévalent.
Trois annexes sont jointes au présent Accord de traitement des données. Les annexes font partie intégrante du présent Accord de traitement des données.
L’annexe A de l’Accord de traitement des données contient des précisions sur le traitement, ainsi que sur ses finalités et sa nature, les types de données à caractère personnel, les catégories de personnes concernées et la durée du traitement.
L’annexe B de l’Accord de traitement des données contient les conditions applicables au recours de Ideanote à des sous-traitants ainsi qu’une liste des sous-traitants approuvés.
L’annexe C de l’Accord de traitement des données contient les instructions relatives au traitement que Ideanote doit effectuer pour le compte du Client (objet du traitement), les mesures de sécurité minimales et les modalités d’inspection de Ideanote et de tout sous-traitant.
Le présent Accord de traitement des données ne dispense pas Ideanote des obligations auxquelles Ideanote est soumis en vertu du Règlement général sur la protection des données ou d’autres textes législatifs.
L’ANNEXE A, les clauses contractuelles types de l’UE, est réputée faire partie intégrante du présent Accord de traitement des données. Si vous êtes établi dans un pays situé en dehors de l’Union européenne (UE) et de l’Espace économique européen (EEE), et que votre traitement de Données à caractère personnel n’est pas soumis à GDPR, les Clauses contractuelles types (CCT) s’appliquent.
L’ANNEXE B, l’Addendum britannique, est réputée faire partie intégrante du présent Accord de traitement des données si vous êtes un Client professionnel établi au Royaume-Uni.

3. Droits et obligations du Client en qualité de responsable du traitement

Le Client est responsable vis-à-vis des tiers (y compris des personnes concernées) de veiller à ce que le traitement des données à caractère personnel soit effectué dans le respect du Règlement général sur la protection des données et, en outre, de la législation applicable en matière de protection des données.
Le Client a donc à la fois le droit et l’obligation de prendre des décisions concernant les finalités et les moyens du traitement des données à caractère personnel.
Le Client est responsable de veiller à ce que le traitement dont il charge Ideanote soit licite.

4. Ideanote agit conformément aux instructions

Ideanote ne sera autorisée à traiter des données à caractère personnel que sur la base d'instructions documentées du Client, à moins que le traitement ne soit requis par le droit de l'Union européenne ou le droit d'un État membre auquel Ideanote est soumise ; dans ce cas, Ideanote informera le Client de cette obligation légale avant le traitement, sauf si ce droit interdit une telle information pour des motifs importants d'intérêt public, cf. article 28, paragraphe 3, point a).
Ideanote informe immédiatement le Client si, selon Ideanote, les instructions contreviennent au Règlement général sur la protection des données ou aux dispositions en matière de protection des données contenues dans d’autres textes législatifs de l’UE ou d’un État membre.
Ideanote mettra à la disposition du Client toutes les informations nécessaires pour démontrer le respect des obligations énoncées dans le présent Avenant et à l'article 28 du RGPD, et permettra et facilitera les audits, y compris les inspections, effectués par le Client ou par un autre auditeur mandaté par le Client, conformément à l'annexe C, section « Rapports d'inspection et d'audit ».

5. Confidentialité

Ideanote doit veiller à ce que seules les personnes actuellement autorisées à le faire puissent accéder aux données à caractère personnel traitées pour le compte du Client. L’accès aux données doit donc être refusé sans délai si cette autorisation est retirée ou expire.
Seules les personnes qui ont besoin d’accéder aux données à caractère personnel afin de s’acquitter des obligations de Ideanote envers le Client seront autorisées à y accéder. Pour éviter toute ambiguïté, cet accès reposera sur les principes du « besoin d’en connaître » et du « moindre privilège », et ces personnes auront reçu une formation et des instructions appropriées concernant le traitement des données à caractère personnel. Ideanote fournira au Client, sur demande, une preuve de la signature des accords de confidentialité par le personnel susceptible d’accéder aux données à caractère personnel du Client, ainsi qu’une preuve de la formation périodique dans le domaine de la protection des données à caractère personnel.
Ideanote doit veiller à ce que les personnes autorisées à traiter des données à caractère personnel pour le compte du Client se soient engagées à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.

6. Sécurité du traitement

Ideanote prendra toutes les mesures requises conformément à l’article 32 du Règlement général sur la protection des données, lequel prévoit que, compte tenu de l’état des connaissances, des coûts de mise en œuvre, ainsi que de la nature, de la portée, du contexte et des finalités du traitement, et des risques, dont la probabilité et la gravité varient, pour les droits et libertés des personnes physiques, le Client et le Sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque.
Selon leur pertinence, les mesures peuvent inclure les éléments suivants :
La pseudonymisation et le chiffrement des données à caractère personnel
La capacité à garantir la confidentialité, l’intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement.
La capacité à rétablir la disponibilité et l’accès aux données à caractère personnel dans les meilleurs délais en cas d’incident physique ou technique.
Un processus visant à tester, évaluer et apprécier régulièrement l’efficacité des mesures techniques et organisationnelles destinées à garantir la sécurité du traitement.
Ideanote doit, afin de satisfaire aux exigences ci-dessus – dans tous les cas – mettre en œuvre au minimum le niveau de sécurité et les mesures spécifiés à l’annexe C du présent accord sur le traitement des données.

7. Assistance au Client

1. Ideanote, compte tenu de la nature du traitement, apporte une assistance raisonnable au Client, au moyen de mesures techniques et organisationnelles appropriées, afin de permettre au Client de s’acquitter de ses obligations de répondre aux demandes d’exercice des droits des personnes concernées conformément au chapitre 3 du Règlement général sur la protection des données.

Cela signifie que Ideanote doit raisonnablement assister le Client afin de permettre à celui-ci de se conformer aux obligations suivantes :

obligation d’informer lors de la collecte de données à caractère personnel auprès de la personne concernée
obligation d’informer lorsque les données à caractère personnel n’ont pas été obtenues auprès de la personne concernée
droit d’accès de la personne concernée
droit de rectification
droit à l’effacement (« droit à l’oubli »)
droit à la limitation du traitement
obligation d’informer concernant la rectification ou l’effacement de données à caractère personnel, ou la limitation du traitement
droit à la portabilité des données
droit d’opposition
droit de contester le résultat d’une décision individuelle automatisée, y compris le profilage

Pour éviter toute ambiguïté, Ideanote informera sans délai le Client et lui fournira ultérieurement toutes les informations pertinentes à cet égard, dans les cas suivants : (i) toute demande ou plainte d’un tiers (y compris d’organisations ou d’associations) concernant le traitement de données à caractère personnel par Ideanote pour le compte du Client ; ou (ii) toute demande d’une autorité de contrôle ou d’un organisme gouvernemental visant à obtenir un accès, des informations ou un audit, ou toute autre mesure réglementaire (y compris une simple notification d’intention), concernant le traitement de données à caractère personnel effectué par Ideanote dans le cadre du Contrat de services. Si Ideanote reçoit directement une telle demande ou plainte, Ideanote en informera immédiatement le Client et ne répondra en aucun cas directement, sauf sur instruction écrite préalable du Client.

2. Ideanote assiste le Client afin de garantir le respect des obligations du Client au titre des articles 32 à 36 du Règlement général sur la protection des données, compte tenu de la nature du traitement et des données mises à la disposition d’Ideanote, cf. article 28, paragraphe 3, point f).

Cela implique que Ideanote devrait, compte tenu de la nature du traitement, apporter une assistance raisonnable au Client afin de l’aider à respecter :

l’obligation de mettre en œuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque associé au traitement
l’obligation de notifier les violations de données à caractère personnel à l’autorité de contrôle sans retard injustifié et, si possible, dans les 72 heures suivant la découverte de cette violation par le Client, à moins que la violation de données à caractère personnel ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques
l’obligation — sans retard injustifié — de communiquer la violation de données à caractère personnel à la personne concernée lorsque cette violation est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques
l’obligation de réaliser une analyse d’impact relative à la protection des données si un type de traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques
l’obligation de consulter l’autorité de contrôle avant le traitement si une analyse d’impact relative à la protection des données indique que le traitement entraînera un risque élevé en l’absence de mesures prises par le Client pour limiter ce risque

8. Notification d’une violation de données à caractère personnel

En cas de découverte d’une violation de données à caractère personnel dans les locaux d’Ideanote ou d’un sous-traitant ultérieur, Ideanote en informe le Client sans retard injustifié. Si possible, Ideanote informe le Client dans les 48 heures suivant la découverte de la violation par Ideanote afin de permettre au Client de respecter, le cas échéant, son obligation de notifier immédiatement la violation à l’autorité de contrôle dans un délai de 72 heures et, en tout état de cause, dans ce délai.

Cela peut signifier qu’Ideanote est tenue d’aider à obtenir les informations énumérées ci-dessous, qui, conformément à l’article 33, paragraphe 3, du Règlement général sur la protection des données, doivent figurer dans la notification du Client à l’autorité de contrôle :

La nature de la violation de données à caractère personnel, y compris, si possible, les catégories et le nombre approximatif de personnes concernées, ainsi que les catégories et le nombre approximatif d’enregistrements de données à caractère personnel concernés
Les conséquences probables de la violation de données à caractère personnel
Les mesures prises ou proposées pour remédier à la violation de données à caractère personnel, y compris, le cas échéant, les mesures visant à en limiter les éventuels effets négatifs

9. Effacement et restitution des données

À la fin des services de traitement, Ideanote est tenu, au choix du Client, d’effacer ou de restituer au Client toutes les données à caractère personnel et d’effacer les copies existantes, à moins que le droit de l’UE ou le droit d’un État membre n’exige la conservation des données à caractère personnel.

10. Prise d’effet et résiliation

Le présent Accord de traitement des données prend effet à la date à laquelle le Client accepte électroniquement ou approuve autrement nos conditions d’utilisation.
Le présent Accord de traitement des données peut être résilié conformément aux modalités et conditions de résiliation, y compris le préavis de résiliation, définies dans les Conditions d’utilisation, sous réserve de la section 2.6 (voir ci-dessus).
Le présent Accord de traitement des données s’applique tant que le traitement est effectué. Nonobstant la résiliation des conditions d’utilisation et/ou du présent Accord de traitement des données, celui-ci demeure en vigueur jusqu’à la fin du traitement et à l’effacement des données par Ideanote et tout sous-traitant.
Les manquements au présent avenant sont considérés comme des manquements au Contrat de services. Chaque Partie est responsable de ses propres manquements à la législation applicable en matière de protection des données et indemnise l’autre Partie en conséquence si celle-ci subit un préjudice à la suite d’un tel manquement.

11. Coordonnées du responsable du traitement et du sous-traitant

Le Client peut contacter Ideanote à l’adresse legal@ideanote.io
Ideanote peut contacter le Client en utilisant les coordonnées enregistrées sur son compte.

Annexe A

L’annexe A de l’Accord de traitement des données contient des informations sur le traitement ainsi que sur sa finalité et sa nature, le type de données à caractère personnel, les catégories de personnes concernées et la durée du traitement.

1. Responsable du traitement

Le responsable du traitement est un client des logiciels, services, systèmes et/ou technologies de communication et de productivité de Ideanote.

2. Sous-traitant

Le sous-traitant est Ideanote ApS, en tant que fournisseur de logiciels, services, systèmes et/ou technologies de communication et de productivité.

3. Personnes concernées

Les données à caractère personnel traitées aux fins du Contrat de services concernent les catégories suivantes de personnes concernées :

Utilisateurs du Service

4. Catégories de données

Les données à caractère personnel transférées concernent les catégories de données suivantes :

Pour les utilisateurs finaux

Nous pouvons collecter les données à caractère personnel suivantes concernant les utilisateurs finaux des clients

Informations d’inscription et de contact des utilisateurs finaux

Nom de l’utilisateur final
Adresse e-mail de l’utilisateur final

Données de service de l’utilisateur final

IP de l’utilisateur final
URL de l’utilisateur final
Référent de l’utilisateur final
Navigateur de l’utilisateur final
Appareil de l’utilisateur final
Événements de l’utilisateur final
Paramètres de l’utilisateur final

Contenu de l’utilisateur final

Toutes les données et informations soumises aux Services par les utilisateurs finaux, notamment le texte des messages, les fichiers, les commentaires et les liens, à l’exclusion des produits tiers et du Service.

Pour les clients

Nous pouvons collecter les données à caractère personnel suivantes auprès des Clients.

Informations personnelles du Client

Nom du contact du Client
Adresse e-mail du contact du Client

Informations de paiement du Client :

Coordonnées de carte de crédit
Contact du Client IP
Adresse du Client

5. Catégories particulières de données

Les données à caractère personnel transférées relèvent des catégories particulières de données suivantes :

aucune

L’Exportateur de données peut soumettre des données à caractère personnel à l’Importateur de données par l’intermédiaire des Services ; leur étendue est déterminée et contrôlée par l’Exportateur de données, conformément à la Législation applicable en matière de protection des données, et elles peuvent relever des catégories particulières de données suivantes, le cas échéant :

origine raciale ou ethnique ;
opinions politiques ;
convictions religieuses ou philosophiques ;
appartenance syndicale ;
données génétiques ou biométriques ;
santé ; et
vie sexuelle

6. Opérations de traitement

Les données à caractère personnel transférées feront l’objet des activités de traitement de base suivantes :

Dans la mesure nécessaire à l’exécution d’un contrat relatif au Service

7. Nature et finalité du traitement

Plus précisément, Ideanote met son Service à la disposition du Client et stocke et traite par les présentes les Données à caractère personnel concernant le Client sur l’infrastructure de Notre Service, afin de faciliter une authentification et une communication rapides, ainsi que d’assurer un certain niveau de sécurité aux Utilisateurs du Service.

Ideanote enverra des e-mails aux personnes invitées sur la plateforme, permettra à des personnes de devenir Membres de l’Espace à la discrétion du Client et permettra aux Membres de partager du Contenu sur l’Espace dans le but de favoriser l’innovation et le partage d’idées pour le Client.

Le Client peut utiliser Notre Service, détenu, développé et géré par Ideanote, pour faciliter le partage, la collecte, la mise en commentaire, l’évaluation, la hiérarchisation, l’attribution et le suivi des idées. À ce titre, le Client, ainsi que toutes les données à caractère personnel et tout Contenu soumis par le Client, sont traités par Ideanote pour le compte du Client.

Les données à caractère personnel transférées seront traitées conformément aux conditions d’utilisation et pourront faire l’objet des activités de traitement suivantes :

stockage, chiffrement, déchiffrement, sauvegarde, restauration et mise en cache nécessaires pour fournir, améliorer, maintenir et mettre à jour les Services fournis à l’Exportateur de données ;
fournir une assistance à la clientèle et une assistance technique à l’Exportateur de données ; et
divulgations conformément à l’Accord, lorsque la loi l’exige
le traitement des données se poursuivra jusqu’à ce que le Client en demande la suppression

Le Client consent à ce que les employés de Ideanote puissent utiliser les conclusions agrégées relatives aux activités et au Contenu sur le Service afin d’optimiser en continu les performances et la présentation du Service. Nous nous réservons le droit de publier nos conclusions sous forme agrégée et anonymisée. À titre d’exemple, une conclusion anonymisée pourrait porter sur le nombre de personnes qui, en général, commentent une idée qu’elles ont également appréciée. Nous conservons également le droit, mais non l’obligation, d’accéder directement aux données du compte du Client ou à un Espace de travail à l’invitation d’un Membre d’un Espace de travail, à des fins de maintenance technique, de contrôle du contenu ou d’enquête, ainsi que pour assurer l’assistance générale au Client. Tout commentaire ou élément d’analyse circonstanciel communiqué sciemment ou résultant involontairement de l’utilisation de notre Service peut être librement exploité et partagé par nous afin d’améliorer notre Service ou notre technologie, sans que cela confère au Client des droits ou un quelconque droit de propriété sur ces éléments.

Annexe B

1. Conditions d’utilisation des sous-traitants ultérieurs par Ideanote

Ideanote bénéficie du consentement général du Client à l’engagement des sous-traitants ultérieurs déjà engagés à la date du présent avenant et répertoriés dans la présente annexe B.

2. Sous-traitants ultérieurs

En qualité de sous-traitant, Ideanote veille à ce que les sous-traitants ultérieurs soient soumis à des obligations en matière de protection des données au moins aussi protectrices que celles prévues dans le présent accord sur le traitement des données, sur la base d’un contrat ou d’un autre acte juridique relevant du droit de l’UE ou du droit national des États membres, prévoyant notamment les garanties nécessaires selon lesquelles le sous-traitant ultérieur mettra en œuvre les mesures techniques et organisationnelles appropriées de manière à ce que le traitement satisfasse aux exigences du Règlement général sur la protection des données.

Le Client reconnaît et accepte que (i) les sociétés affiliées de Ideanote peuvent être retenues en tant que sous-traitants ultérieurs; et (ii) Ideanote et les sociétés affiliées de Ideanote peuvent respectivement faire appel à des sous-traitants ultérieurs tiers dans le cadre de la fourniture des Services. Ideanote ou une société affiliée de Ideanote a conclu avec chaque sous-traitant ultérieur un accord écrit contenant des obligations en matière de protection des données au moins aussi protectrices que celles prévues dans le présent accord et par la législation applicable en ce qui concerne la protection des Données du Client, dans la mesure où celles-ci s’appliquent à la nature des Services fournis par le sous-traitant ultérieur concerné. Si, dans le cadre de l’exécution du présent DPA, Ideanote transfère des Données à caractère personnel à un sous-traitant ultérieur situé en dehors de l’EEE, Ideanote doit, avant tout transfert de ce type, veiller à ce qu’un mécanisme juridique permettant d’assurer un niveau de protection adéquat pour ce traitement soit en place.

3. Liste des sous-traitants ultérieurs

Ideanote mettra à la disposition du Client la liste à jour des sous-traitants ultérieurs pour les Services. Ces listes de sous-traitants ultérieurs préciseront la dénomination sociale de ces sous-traitants ultérieurs ainsi que le lieu où se trouvent les Données du Client. Cette liste est disponible en ligne à l’adresse https://ideanote.io/legal/sub-processors.

4. Modifications des sous-traitants ultérieurs

Ideanote informe le Client par écrit de tout changement envisagé concernant l’ajout ou le remplacement de sous-traitants ultérieurs, au moins 30 jours à l’avance.

5. Droit d’opposition

Ideanote donne au Client la possibilité de s’opposer au recours aux nouveaux sous-traitants ultérieurs dans les 30 jours suivant la notification. L’opposition doit être fondée sur des motifs raisonnables. Si Ideanote et le Client ne parviennent pas à résoudre ces objections, chacune des parties peut résilier l’Accord en adressant une notification écrite à l’autre partie. Le Client reçoit un avoir correspondant à tous les frais payés d’avance mais non utilisés pour la période suivant la date de prise d’effet de la résiliation.

Lorsque Ideanote fait appel à un sous-traitant ultérieur pour réaliser des activités de traitement spécifiques pour le compte du Client, Ideanote veille à imposer à ce sous-traitant ultérieur les mêmes obligations en matière de protection des données que celles énoncées dans le présent Addendum, notamment en lui fournissant des garanties suffisantes afin qu’il mette en œuvre des mesures techniques et organisationnelles appropriées, de manière à ce que le traitement satisfasse aux exigences du présent Addendum et de la Législation applicable en matière de protection des données.

Sur demande, une copie de tout contrat conclu avec un tel sous-traitant ultérieur, ainsi que de ses modifications ultérieures, sera mise à la disposition du Client, à l’exception des clauses relatives aux questions commerciales qui n’affectent pas le contenu juridique du contrat relatif à la protection des données.

Ideanote tient à tout moment à jour une liste de tous les sous-traitants ultérieurs utilisés, comprenant dans chaque cas les renseignements requis au titre de la présente Annexe B, et met cette liste à la disposition du Client sur demande.

Ideanote est responsable des actes et omissions de tout sous-traitant ultérieur de la même manière que si ces actes ou omissions avaient été commis par Ideanote. Cela ne porte pas atteinte aux droits des personnes concernées prévus par la Législation applicable en matière de protection des données.

6. Transferts internationaux

Ideanote peut transférer et traiter les données du client partout dans le monde où Ideanote, ses sociétés affiliées ou ses sous-traitants ultérieurs exercent des activités de traitement des données, après en avoir préalablement informé le client et obtenu son consentement. Ideanote doit garantir en permanence un niveau de protection adéquat pour les données du client traitées, conformément aux exigences des lois sur la protection des données. En particulier, Ideanote doit garantir l’existence d’une base juridique valide pour tout transfert de ce type, comme indiqué au chapitre 5 du RGPD et aux articles 4549 de celui-ci.

Sans préjudice de la procédure de notification et d’approbation susmentionnée, Ideanote peut transférer les données vers des pays tiers situés en dehors de l’Espace économique européen (« EEE »), si Ideanote a mis en œuvre une solution de transfert conforme à la Législation applicable en matière de protection des données.

Lorsque cette solution de transfert repose sur les clauses contractuelles types de la Commission européenne, Ideanote doit fournir au client une évaluation de l’impact du transfert, comprenant des précisions sur les lieux de traitement, les activités de traitement qui seront effectuées, les types de données, les garanties et mesures supplémentaires (techniques, organisationnelles et contractuelles) à mettre en œuvre, ainsi que l’évaluation des risques par Ideanote concernant le sous-traitant ultérieur et/ou le transfert envisagé.

Cette notification doit être effectuée avant la mise en œuvre du transfert, et le client doit disposer d’au moins 30 jours pour l’examiner. Le client peut rejeter le transfert, en tout ou en partie, auquel cas Ideanote ne doit pas engager ni effectuer le transfert envisagé. Si les services contractuels ne peuvent être fournis sans ledit transfert, le client peut résilier le contrat de services et l’avenant, en tout ou en partie selon les besoins, sans pénalité.

Les Parties conviennent que les conditions des SCC, telles qu’énoncées à l’annexe 2 du présent DPA, sont par les présentes intégrées et s’appliquent à tout transfert de Données à caractère personnel vers un Pays tiers, directement ou par transfert ultérieur, qui n’est pas par ailleurs couvert par un cadre approprié reconnu en vertu de la législation applicable en matière de protection des données comme assurant un niveau de protection adéquat des Données à caractère personnel, y compris les règles d’entreprise contraignantes applicables aux sous-traitants.

Annexe C

L’annexe C de l’Accord sur le traitement des données contient les instructions relatives au traitement qu’Ideanote doit effectuer pour le compte du Client (la partie dont les données font l’objet du traitement), aux mesures de sécurité techniques et organisationnelles mises en œuvre par l’importateur de données conformément aux clauses 4(d) et 5(c), ainsi qu’aux modalités d’inspection d’Ideanote et de tout sous-traitant ultérieur.

Ideanote a mis en œuvre un Programme interne de sécurité de l’information couvrant la sécurité des données et des réseaux, les contrôles d’accès et des sites, ainsi que la sécurité du personnel et des sous-traitants ultérieurs.

1. Contrôles de sécurité d’Ideanote

Sécurité physique - Ideanote utilise des centres de données physiquement sécurisés. Tous les centres de données respectent ou dépassent les exigences de sécurité de SOC2. Ils sont tous équipés de caméras de vidéosurveillance, disposent d’un personnel de sécurité sur place 24 h/24 et 7 j/7, et d’un système d’accès par carte. Ideanote utilise des centres de données répartis géographiquement pour les sauvegardes.
Redondance - L’infrastructure de Ideanote permet d’effectuer des opérations de maintenance et des améliorations avec un temps d’indisponibilité minimal.
Alimentation électrique - Les centres de données de Ideanote sont équipés de sources d’alimentation de secours et d’alimentations sans interruption pouvant fonctionner pendant plusieurs jours.
Correctifs - Ideanote a établi une politique visant à maintenir les systèmes à jour en installant les mises à jour de sécurité nécessaires.
Continuité des activités - Les données sont répliquées et sauvegardées sur plusieurs systèmes afin de contribuer à les protéger contre toute destruction ou perte non souhaitée. Les procédures de restauration des sauvegardes et les plans de continuité des activités sont testés chaque année.
Données en transit - Ideanote utilise des schémas et protocoles de chiffrement conformes aux normes du secteur pour chiffrer les transmissions de données entre les centres de données.
Détection des intrusions - Ideanote utilise un système de détection des intrusions afin de fournir des informations sur les attaques en cours et de contribuer à accélérer leur neutralisation.
Réponse aux incidents - Ideanote a établi des protocoles de gestion des incidents et des violations de sécurité et en informera les parties concernées.
Chiffrement - Ideanote utilise des méthodes de chiffrement conformes aux normes du secteur pour chiffrer les données en transit et au repos.
Contrôle d’accès - Le personnel de Ideanote doit s’authentifier au moyen d’un système d’authentification centralisé ou d’un système d’authentification unique afin d’administrer les Services.
Sécurité des mots de passe - Ideanote exige l’utilisation d’identifiants uniques, de mots de passe robustes et de l’authentification à deux facteurs.
Examen des accès - Les accès sont régis par une politique interne du moindre privilège et des examens des accès.
Piste d’audit - Ideanote consigne les accès à ses systèmes dans une piste d’audit immuable.
Séparation des données - Ideanote sépare les données des clients dans un environnement multi-tenant au moyen de clés de chiffrement distinctes.
Effacement des disques - Les disques mis hors service sont effacés de manière sécurisée après leur utilisation prévue ou détruits de manière sécurisée en cas de dysfonctionnement.
Personnel - Le personnel de Ideanote respecte les politiques de l’entreprise en matière de confidentialité, de sécurité, d’éthique et de code de conduite professionnel.
Vérifications des antécédents - Ideanote effectue des vérifications des antécédents des nouvelles recrues.
Accès aux données - Le personnel de Ideanote n’accédera pas au Contenu du Client et ne le traitera pas sans autorisation explicite du Client, sauf si la loi l’exige.
Sécurité des sous-traitants - Ideanote examine les pratiques des sous-traitants en matière de sécurité et de confidentialité avant leur intégration, afin de garantir un niveau adéquat de sécurité et de confidentialité pour les données et le périmètre des services qu’ils sont chargés de fournir. Une fois l’examen du sous-traitant effectué et les risques associés évalués, le sous-traitant conclut des clauses contractuelles appropriées en matière de confidentialité, de protection des données et de sécurité.

2. Limites de stockage et effacement

Le traitement ne sera pas limité dans le temps et sera effectué jusqu’à la résiliation ou à l’annulation du présent Accord sur le traitement des données par l’une des Parties.

Les données à caractère personnel sont stockées par Ideanote jusqu’à ce que le Client ou un Membre demande leur effacement ou leur restitution. Ideanote permet aux Clients d’exporter à tout moment leurs données brutes au format JSON standard du secteur. En outre, les données du client peuvent être supprimées sur demande à la résiliation ou seront supprimées conformément aux politiques internes de conservation des données de Ideanote.

3. Inspections et rapports d’audit

Les Clients disposant d’un abonnement Enterprise annuel actif ont le droit de demander un audit de conformité une fois par an afin de confirmer la conformité de Ideanote aux obligations de protection des données prévues dans le présent DPA. En réponse à la demande d’audit du Client, Ideanote accepte de fournir les informations nécessaires, notamment des questionnaires de sécurité et d’audit, à titre confidentiel.

Les demandes d’audit doivent comprendre un plan détaillé et être soumises deux mois à l’avance, sauf en cas d’incident de sécurité, auquel cas un audit peut être engagé sans délai. Ideanote a le droit de s’opposer aux auditeurs tiers qui sont des concurrents ou qui sont autrement inappropriés.

Les rapports d’audit existants peuvent remplacer la nécessité d’un nouvel audit si les contrôles de Ideanote restent substantiellement inchangés.

Les Clients disposant d’un abonnement Enterprise annuel actif ont le droit de réaliser des audits à distance ou sur site des activités de traitement de Ideanote relatives aux données à caractère personnel du Client, une fois par an. Les coûts de l’audit, y compris toute assistance de Ideanote, sont à la charge du Client, aux tarifs de service standard de Ideanote.

Avant tout audit sur site, les deux parties conviendront de sa portée, de son calendrier et de sa durée. Chaque audit est limité à une fois par an, moyennant un préavis de 2 mois adressé à Ideanote, sauf si un incident de sécurité nécessite un audit dans un délai plus court. Tout constat de non-conformité doit être signalé sans délai à Ideanote.

4. Chiffrement du contenu du Client

Lorsqu’un utilisateur utilise le Service Ideanote, les détails de ses interactions sont enregistrés et transmis à Ideanote par des appels API via HTTPS. Toutes Nos autres API et tous Nos sites web utilisent également exclusivement HTTPS. Tout ce que le Client et l’utilisateur envoient à Ideanote, ainsi que tout ce qu’Ideanote envoie au Client et à l’utilisateur, transite par des canaux entièrement chiffrés. Ideanote utilise le protocole Transport Layer Security (TLS 1.2) avec un chiffrement RSA-2048 afin de préserver la confidentialité de Nos communications.

La plateforme Google Cloud Platform chiffre par défaut les données client stockées au repos. Les données de Google Cloud Platform sont divisées en fragments de sous-fichiers aux fins de stockage, et chaque fragment est chiffré au niveau du stockage au moyen d’une clé de chiffrement individuelle. La clé utilisée pour chiffrer les données d’un fragment est appelée clé de chiffrement des données (DEK). Compte tenu du volume élevé de clés chez Google et de la nécessité d’assurer une faible latence et une haute disponibilité, ces clés sont stockées à proximité des données qu’elles chiffrent. Les DEK sont chiffrées à l’aide d’une clé de chiffrement des clés (KEK), qui les chiffre (ou les « enveloppe »). Pour plus d’informations, veuillez consulter https://cloud.google.com/security/#dataencryption.

5. Séparation des données du Client

L’accès est accordé en transmettant un jeton d’authentification dans les requêtes. Ce jeton contient ensuite un ensemble d’autorisations fondées sur le rang de l’Utilisateur et sur les Espace(s), Missions et tout autre Contenu auxquels l’Utilisateur a accès.

Cela assure une séparation logique entre les données appartenant à plusieurs Utilisateurs. Ideanote est l’unique locataire de Notre infrastructure. Les données d’un Client peuvent se trouver sur des systèmes de base de données hébergeant des données appartenant à d’autres clients, mais Nos contrôles logiques (jeton, clé et secret) séparent les données d’un Utilisateur de celles d’un autre Utilisateur.

6. Authentification unique et authentification multifacteur

Ideanote prend en charge l’authentification unique SAML. Selon le fournisseur d’authentification unique du Client, celui-ci peut activer l’authentification multifacteur auprès de son fournisseur d’authentification unique. Les détails sur la manière d’activer l’authentification unique se trouvent dans les paramètres d’accès.

7. Emplacement et stockage des données du Client

GDPR n’exige pas que les Données personnelles restent dans l’UE, dès lors qu’un cadre juridique est en place pour valider le transfert de données ; le GDPR reconnaît plusieurs cadres, notamment les clauses contractuelles types de l’UE.

Les serveurs d’application et de base de données de Ideanote sont situés au sein de l’Union européenne. Cela signifie qu’au repos, le Contenu du Client ne quittera jamais l’UE.

Le Service lui-même peut être fourni au moyen d’équipements ou d’installations situés dans l’Union européenne ou aux États-Unis. Les sous-traitants ultérieurs américains ont signé des clauses contractuelles types (approuvées par la Commission européenne), qui constituent des garanties juridiques permettant d’assurer que, lorsqu’elles sont traitées aux États-Unis dans le cadre de l’utilisation du Service, les données à caractère personnel des citoyens de l’UE bénéficient d’un niveau de protection adéquat au sens de l’article 46 du règlement (UE) 2016/679 (Règlement général sur la protection des données). Une partie des données à caractère personnel est stockée et traitée par ces sous-traitants ultérieurs.

Google est notre fournisseur d’hébergement de production. Les disques durs de Google utilisent des technologies telles que le FDE (chiffrement intégral du disque) et le verrouillage des disques afin de protéger les données au repos. Lorsqu’un disque dur est retiré du service, des personnes autorisées vérifient que le disque a été effacé en y écrivant des zéros et en effectuant un processus de vérification en plusieurs étapes afin de s’assurer qu’il ne contient aucune donnée. Si, pour quelque raison que ce soit, le disque ne peut pas être effacé, il est conservé en toute sécurité jusqu’à ce qu’il puisse être détruit physiquement. La destruction physique des disques est un processus en plusieurs étapes qui commence par le passage dans un broyeur qui déforme le disque, suivi d’un déchiquetage qui le réduit en petits morceaux, ensuite recyclés dans une installation sécurisée. Chaque centre de données respecte une politique stricte d’élimination et tout écart est immédiatement traité.

8. Contrôles et analyses de sécurité

Ideanote effectue régulièrement des analyses de sécurité au moyen d’un service tiers, et notre code source est automatiquement vérifié au fur et à mesure de son intégration. Chaque fois que Ideanote met à jour l’une des dépendances de code externes, Ideanote effectue un audit de sécurité complet afin de vérifier qu’aucune vulnérabilité n’a été introduite dans la base de code de Ideanote. Ideanote est également abonné à diverses listes de diffusion consacrées à la sécurité des logiciels utilisés par Ideanote. Cela permet à Ideanote de toujours être au courant des vulnérabilités récemment découvertes et de mettre en place des solutions de contournement ou des correctifs disponibles.

9. Traitement des données du client par le personnel

L’accès au magasin de données est réservé à un très petit nombre de personnes, et Ideanote ne peut en aucun cas « usurper l’identité » d’un utilisateur ni consulter le Contenu via une interface de changement de compte ou le voir par l’intermédiaire de l’interface d’administration.

Lorsque Ideanote doit résoudre des erreurs, Ideanote effectuera des tests dans un environnement de développement ou demandera au Client son autorisation explicite pour accéder au compte (généralement en demandant au Client d’inviter manuellement Notre compte d’assistance en tant qu’utilisateur de l’Espace de travail du Client, invitation qui peut être révoquée à tout moment), ou demandera un partage d’écran. Les accès et les demandes d’accès aux bases de données et à l’infrastructure serveur de Ideanote, ainsi que toutes les validations de modifications de code, sont consignés à des fins de sécurité.

Comme indiqué dans Nos Conditions d’utilisation, le personnel d’assistance a par défaut accès à certaines coordonnées et à certains journaux d’activité afin de fournir au Client le meilleur service possible. L’accès à ce type de données est toujours protégé par une authentification à deux facteurs et les Données personnelles ne sont pas vendues à des tiers.

10. Réplication des données du client

Ideanote crée des sauvegardes des Données client trois fois par jour et les conserve pendant une durée maximale d’un mois. En cas d’incident de sécurité, technique, physique ou de perte de données, la restauration des Données client peut être lancée dans les meilleurs délais.

ANNEXE 2 - Clauses contractuelles types (CCT)

Clause 1

Objet et champ d’application

(a) Les présentes clauses contractuelles types ont pour objet d’assurer le respect des exigences du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données) en ce qui concerne le transfert de données à caractère personnel vers un pays tiers.

(b) Les Parties :

i. la ou les personnes physiques ou morales, autorités publiques, agences ou autres organismes (ci-après les « entités ») qui transfèrent les données à caractère personnel, énumérés à l’annexe I.A. (ci-après chacun l’« exportateur de données »), et

ii. la ou les entités établies dans un pays tiers qui reçoivent les données à caractère personnel de l’exportateur de données, directement ou indirectement par l’intermédiaire d’une autre entité également Partie aux présentes Clauses, énumérées à l’annexe I.A. (ci-après chacune l’« importateur de données »).

ont convenu des présentes clauses contractuelles types (ci-après les « Clauses »).

(d) L’appendice des présentes Clauses, qui contient les annexes auxquelles il est fait référence, fait partie intégrante des présentes Clauses.

Clause 2

Effet et invariabilité des Clauses

(a) Les présentes clauses énoncent des garanties appropriées, notamment des droits opposables des personnes concernées et des voies de recours juridiques effectives, conformément à l’article 46(1) et à l’article 46 (2)(c) du règlement (UE) 2016/679 et, en ce qui concerne les transferts de données des responsables du traitement vers les sous-traitants et/ou des sous-traitants vers d’autres sous-traitants, des clauses contractuelles types conformément à l’article 28(7) du règlement (UE) 2016/679, à condition qu’elles ne soient pas modifiées, sauf pour sélectionner le(s) module(s) approprié(s) ou pour ajouter ou mettre à jour des informations dans l’annexe. Cela n’empêche pas les Parties d’intégrer les clauses contractuelles types énoncées dans les présentes clauses dans un contrat plus large et/ou d’ajouter d’autres clauses ou garanties supplémentaires, à condition qu’elles ne contredisent pas, directement ou indirectement, les présentes clauses, ni ne portent atteinte aux droits et libertés fondamentaux des personnes concernées.

(b) Les présentes clauses sont sans préjudice des obligations auxquelles l’exportateur de données est soumis en vertu du règlement (UE) 2016/679.

Clause 3

Bénéficiaires tiers

(a) Les personnes concernées peuvent invoquer et faire appliquer les présentes clauses, en tant que bénéficiaires tiers, à l’encontre de l’exportateur de données et/ou de l’importateur de données, sous réserve des exceptions suivantes :

i. Articles 1, 2, 3, 6, 7 ;

ii. Clause 8.1(b), 8.9(a), (c), (d) et (e) ;

iii. Clause 9(a), (c), (d) et (e)

iv. Clause 12(a), (d) et (f) ;

v. Clause 13 ;

vi. Clause 15.1(c), (d) et (e) ;

vii. Clause 16(e) ; et

viii. Clause 18(a) et (b).

(b) Le paragraphe (a) est sans préjudice des droits des personnes concernées au titre du règlement (UE) 2016/679.

Clause 4

Interprétation

(a) Lorsque les présentes clauses utilisent des termes définis dans le règlement (UE) 2016/679, ces termes ont le même sens que dans ce règlement.

(b) Les présentes clauses doivent être lues et interprétées à la lumière des dispositions du règlement (UE) 2016/679.

(c) Les présentes clauses ne doivent pas être interprétées d’une manière qui entre en conflit avec les droits et obligations prévus par le règlement (UE) 2016/679.

Clause 5

Hiérarchie

En cas de contradiction entre les présentes clauses et les dispositions d’accords connexes entre les parties, existant au moment où les présentes clauses sont convenues ou conclus ultérieurement, les présentes clauses prévalent.

Clause 6

Description du ou des transferts

Les détails du ou des transferts, et notamment les catégories de données à caractère personnel transférées ainsi que la ou les finalités de ces transferts, sont précisés à l’annexe I.B.

Clause 7

Clause d’adhésion

(a) Une entité qui n’est pas Partie aux présentes Clauses peut, avec l’accord des Parties, adhérer aux présentes Clauses à tout moment, en qualité d’exportateur de données ou d’importateur de données, en remplissant l’Appendice et en signant l’annexe I.A.

(b) Dès qu’elle a rempli l’Appendice et signé l’annexe I.A, l’entité adhérente devient Partie aux présentes Clauses et jouit des droits et est soumise aux obligations d’un exportateur de données ou d’un importateur de données, conformément à la qualité qui lui est attribuée à l’annexe I.A.

(c) L’entité adhérente ne jouit d’aucun droit et n’est soumise à aucune obligation découlant des présentes Clauses pour la période antérieure à son accession à la qualité de Partie.

SECTION II – OBLIGATIONS DES PARTIES

Clause 8

Garanties en matière de protection des données

L’exportateur de données garantit avoir déployé des efforts raisonnables pour déterminer que l’importateur de données est en mesure, par la mise en œuvre de mesures techniques et organisationnelles appropriées, de satisfaire à ses obligations au titre des présentes Clauses.

8.1 Instructions

(a) L’importateur de données ne traite les données à caractère personnel que sur instruction documentée de l’exportateur de données. L’exportateur de données peut donner de telles instructions pendant toute la durée du contrat.

(b) L’importateur de données informe immédiatement l’exportateur de données s’il n’est pas en mesure de suivre ces instructions

8.2 Limitation de la finalité

L’importateur de données ne traite les données à caractère personnel qu’aux fins spécifiques du transfert, telles qu’énoncées à l’annexe I.B, sauf instructions complémentaires de l’exportateur de données.

8.3 Transparence

Sur demande, l’exportateur de données met gratuitement à la disposition de la personne concernée une copie des présentes clauses, y compris de l’annexe complétée par les Parties. Dans la mesure nécessaire à la protection des secrets d’affaires ou d’autres informations confidentielles, notamment des mesures décrites à l’annexe II, ainsi que des données à caractère personnel, l’exportateur de données peut expurger une partie du texte de l’annexe aux présentes clauses avant d’en partager une copie, mais il fournit un résumé pertinent lorsque, à défaut, la personne concernée ne serait pas en mesure d’en comprendre le contenu ou d’exercer ses droits. Sur demande, les Parties communiquent à la personne concernée les motifs des expurgations, dans la mesure du possible sans révéler les informations expurgées. La présente clause est sans préjudice des obligations incombant à l’exportateur de données en vertu des articles 13 et 14 du règlement (UE) 2016/679.

8.4 Exactitude

Si l’importateur de données apprend que les données à caractère personnel qu’il a reçues sont inexactes ou sont devenues obsolètes, il en informe l’exportateur de données sans retard injustifié. Dans ce cas, l’importateur de données coopère avec l’exportateur de données afin d’effacer ou de rectifier les données.

8.5 Durée du traitement et effacement ou restitution des données

Le traitement par l’importateur de données ne peut avoir lieu que pendant la durée spécifiée à l’annexe I.B. À l’issue de la prestation des services de traitement, l’importateur de données doit, au choix de l’exportateur de données, supprimer toutes les données à caractère personnel traitées pour le compte de l’exportateur de données et certifier à ce dernier qu’il l’a fait, ou lui restituer toutes les données à caractère personnel traitées pour son compte et supprimer les copies existantes. Jusqu’à la suppression ou à la restitution des données, l’importateur de données doit continuer à veiller au respect des présentes clauses. Si les lois locales applicables à l’importateur de données interdisent la restitution ou la suppression des données à caractère personnel, l’importateur de données garantit qu’il continuera à veiller au respect des présentes clauses et qu’il ne traitera ces données que dans la mesure et pendant la durée requises par ces lois locales. Cela est sans préjudice de la clause 14, et notamment de l’obligation, prévue à la clause 14(e), pour l’importateur de données d’informer l’exportateur de données pendant toute la durée du contrat s’il a des raisons de croire qu’il est ou est devenu soumis à des lois ou à des pratiques incompatibles avec les exigences de la clause 14(a).

8.6 Sécurité du traitement

(a) L’importateur de données et, pendant la transmission, également l’exportateur de données mettent en œuvre des mesures techniques et organisationnelles appropriées afin de garantir la sécurité des données, notamment leur protection contre toute violation de la sécurité entraînant la destruction, la perte, l’altération, la divulgation non autorisée ou l’accès non autorisé, de manière accidentelle ou illicite (ci-après, une « violation de données à caractère personnel »). Lorsqu’elles évaluent le niveau de sécurité approprié, les Parties tiennent dûment compte de l’état de l’art, des coûts de mise en œuvre, de la nature, de la portée, du contexte et de la ou des finalités du traitement, ainsi que des risques que le traitement présente pour les personnes concernées. Les Parties envisagent notamment le recours au chiffrement ou à la pseudonymisation, y compris pendant la transmission, lorsque la finalité du traitement peut être atteinte de cette manière. En cas de pseudonymisation, les informations supplémentaires permettant d’attribuer les données à caractère personnel à une personne concernée spécifique restent, dans la mesure du possible, sous le contrôle exclusif de l’exportateur de données. Afin de se conformer aux obligations qui lui incombent en vertu du présent paragraphe, l’importateur de données met au moins en œuvre les mesures techniques et organisationnelles spécifiées à l’annexe II. L’importateur de données procède à des contrôles réguliers afin de s’assurer que ces mesures continuent d’assurer un niveau de sécurité approprié.

(b) L’importateur de données n’accorde à son personnel l’accès aux données à caractère personnel que dans la mesure strictement nécessaire à l’exécution, à la gestion et au suivi du contrat. Il veille à ce que les personnes autorisées à traiter les données à caractère personnel se soient engagées à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.

(c) En cas de violation de données à caractère personnel concernant des données à caractère personnel traitées par l’importateur de données en vertu des présentes clauses, l’importateur de données prend les mesures appropriées pour remédier à la violation, y compris des mesures visant à en atténuer les effets préjudiciables. L’importateur de données informe également l’exportateur de données sans retard injustifié après avoir pris connaissance de la violation. Cette notification contient les coordonnées d’un point de contact auprès duquel des informations complémentaires peuvent être obtenues, une description de la nature de la violation (y compris, si possible, les catégories et le nombre approximatif de personnes concernées et d’enregistrements de données à caractère personnel concernés), ses conséquences probables ainsi que les mesures prises ou envisagées pour remédier à la violation, y compris, le cas échéant, les mesures visant à en atténuer les éventuels effets préjudiciables. Lorsque, et dans la mesure où, il n’est pas possible de fournir toutes les informations en même temps, la notification initiale contient les informations alors disponibles et les informations complémentaires sont fournies ultérieurement, au fur et à mesure qu’elles deviennent disponibles, sans retard injustifié.

(d) L’importateur de données coopère avec l’exportateur de données et l’assiste afin de permettre à ce dernier de respecter ses obligations au titre du règlement (UE) 2016/679, notamment de notifier l’autorité de contrôle compétente et les personnes concernées, en tenant compte de la nature du traitement et des informations dont dispose l’importateur de données.

8.7 Données sensibles

Ideanote n’autorise pas le traitement de données sensibles.

8.8 Transferts ultérieurs

L’importateur de données ne divulgue les données à caractère personnel à un tiers que sur instruction documentée de l’exportateur de données. En outre, les données ne peuvent être divulguées à un tiers situé en dehors de l’Union européenne (dans le même pays que l’importateur de données ou dans un autre pays tiers, ci-après un « transfert ultérieur ») que si le tiers est ou accepte d’être lié par les présentes clauses, ou si :

i. le transfert ultérieur est effectué vers un pays bénéficiant d’une décision d’adéquation au titre de l’article 45 du règlement (UE) 2016/679 couvrant le transfert ultérieur ;

ii. le tiers garantit par ailleurs des garanties appropriées conformément aux articles 46 ou 47 du règlement (UE) 2016/679 pour le traitement concerné ;

iii. le transfert ultérieur est nécessaire à la constatation, à l’exercice ou à la défense de droits en justice dans le cadre de procédures administratives, réglementaires ou judiciaires spécifiques ; ou

iv. le transfert ultérieur est nécessaire afin de protéger les intérêts vitaux de la personne concernée ou d’une autre personne physique.

Tout transfert ultérieur est subordonné au respect par l’importateur de données de toutes les autres garanties prévues par les présentes clauses, notamment la limitation des finalités.

8.9 Documentation et conformité

(a) L’importateur de données traite rapidement et de manière adéquate les demandes de renseignements de l’exportateur de données relatives au traitement effectué au titre des présentes clauses.

(b) Les parties doivent être en mesure de démontrer le respect des présentes clauses. En particulier, l’importateur de données conserve une documentation appropriée sur les activités de traitement effectuées pour le compte de l’exportateur de données.

(c) L’importateur de données met à la disposition de l’exportateur de données toutes les informations nécessaires pour démontrer le respect des obligations énoncées dans les présentes clauses et, à la demande de l’exportateur de données, autorise et contribue aux audits des activités de traitement couvertes par les présentes clauses, à intervalles raisonnables ou en présence d’indices de non-conformité, conformément aux dispositions de l’appendice C, section « Rapports d’inspection et d’audit » du DPA. Lorsqu’il décide de procéder à un examen ou à un audit, l’exportateur de données peut tenir compte des certifications pertinentes détenues par l’importateur de données.

(d) L’exportateur de données peut choisir de réaliser lui-même l’audit ou de mandater un auditeur indépendant. Les audits peuvent inclure des inspections dans les locaux ou les installations physiques de l’importateur de données et sont, le cas échéant, réalisés moyennant un préavis raisonnable.

(e) Les Parties mettent à la disposition de l’autorité de contrôle compétente, sur demande, les informations visées aux paragraphes (b) et (c), y compris les résultats de tout audit.

Clause 9

Recours à des sous-traitants ultérieurs

(a) L’importateur de données dispose de l’autorisation générale de l’exportateur de données pour recourir à un ou plusieurs sous-traitants figurant sur une liste convenue. L’importateur de données informe spécifiquement l’exportateur de données par écrit de toute modification envisagée de cette liste, par l’ajout ou le remplacement de sous-traitants, au moins trente (30) jours à l’avance, afin de laisser à l’exportateur de données suffisamment de temps pour s’opposer à ces modifications avant le recours au ou aux sous-traitants concernés. L’importateur de données fournit à l’exportateur de données les informations nécessaires pour lui permettre d’exercer son droit d’opposition.

(b) Lorsque l’importateur de données fait appel à un sous-traitant pour effectuer des activités de traitement spécifiques (pour le compte de l’exportateur de données), il le fait au moyen d’un contrat écrit qui prévoit, en substance, les mêmes obligations en matière de protection des données que celles qui lient l’importateur de données en vertu des présentes clauses, notamment en ce qui concerne les droits des tiers bénéficiaires des personnes concernées.8 Les Parties conviennent qu’en respectant la présente clause, l’importateur de données s’acquitte des obligations qui lui incombent au titre de la clause 8.8. L’importateur de données veille à ce que le sous-traitant respecte les obligations auxquelles l’importateur de données est soumis en vertu des présentes clauses.

(c) L’importateur de données fournit à l’exportateur de données, à la demande de ce dernier, une copie de tout contrat conclu avec un sous-traitant ultérieur ainsi que de toute modification ultérieure. Dans la mesure nécessaire à la protection des secrets commerciaux ou d’autres informations confidentielles, y compris les données à caractère personnel, l’importateur de données peut expurger le texte du contrat avant d’en partager une copie.

(d) L’importateur de données demeure pleinement responsable envers l’exportateur de données de l’exécution des obligations du sous-traitant ultérieur au titre du contrat conclu avec l’importateur de données. L’importateur de données informe l’exportateur de données de tout manquement du sous-traitant ultérieur à ses obligations au titre de ce contrat.

(e) L’importateur de données convient avec le sous-traitant ultérieur d’une clause bénéficiaire au profit d’un tiers, en vertu de laquelle, si l’importateur de données a effectivement disparu, a cessé d’exister en droit ou est devenu insolvable, l’exportateur de données a le droit de résilier le contrat avec le sous-traitant ultérieur et de donner instruction à celui-ci d’effacer ou de restituer les données à caractère personnel.

Clause 10

Droits des personnes concernées

(a) L’importateur de données informe sans délai l’exportateur de données de toute demande reçue d’une personne concernée. Il ne répond pas lui-même à cette demande, sauf autorisation de l’exportateur de données.

(b) L’importateur de données assiste l’exportateur de données dans le respect de ses obligations de répondre aux demandes des personnes concernées visant à exercer leurs droits en vertu du règlement (UE) 2016/679. À cet égard, les Parties définissent à l’annexe II les mesures techniques et organisationnelles appropriées, compte tenu de la nature du traitement, au moyen desquelles l’assistance est fournie, ainsi que la portée et l’étendue de l’assistance requise.

(c) Dans l’exécution de ses obligations au titre des paragraphes (a) et (b), l’importateur de données se conforme aux instructions de l’exportateur de données.

Clause 11

Recours

(a) L’importateur de données informe les personnes concernées, dans un format transparent et facilement accessible, par une notification individuelle ou sur son site Web, de l’existence d’un point de contact habilité à traiter les réclamations. Il traite sans délai toute réclamation reçue d’une personne concernée.

(b) En cas de litige entre une personne concernée et l’une des Parties concernant le respect des présentes clauses, la Partie concernée déploie tous les efforts nécessaires pour résoudre le problème à l’amiable dans les meilleurs délais. Les Parties se tiennent mutuellement informées de ces litiges et, le cas échéant, coopèrent à leur résolution.

(c) Lorsque la personne concernée invoque un droit de bénéficiaire tiers conformément à la clause 3, l’importateur de données accepte que la personne concernée décide de :

i. déposer une plainte auprès de l’autorité de contrôle de l’État membre de sa résidence habituelle ou de son lieu de travail, ou auprès de l’autorité de contrôle compétente conformément à la clause 13 ;

ii. porter le litige devant les juridictions compétentes au sens de la clause 18.

(d) Les Parties acceptent que la personne concernée puisse être représentée par un organisme, une organisation ou une association à but non lucratif, aux conditions prévues à l’article 80, paragraphe 1, du règlement (UE) 2016/679.

(e) L’importateur de données se conforme à toute décision contraignante en vertu du droit applicable de l’Union européenne ou d’un État membre.

(f) L’importateur de données convient que le choix effectué par la personne concernée ne porte pas atteinte à ses droits substantiels et procéduraux de demander réparation conformément au droit applicable.

Clause 12

Responsabilité

(a) Chaque Partie est responsable envers l’autre ou les autres Parties de tout dommage qu’elle leur cause en manquant aux présentes clauses.

(b) L’importateur de données est responsable envers la personne concernée, laquelle a droit à réparation, de tout dommage matériel ou immatériel que l’importateur de données ou son sous-traitant ultérieur lui cause en portant atteinte aux droits de bénéficiaire tiers prévus par les présentes clauses.

(c) Nonobstant le paragraphe (b), l’exportateur de données est responsable envers la personne concernée, laquelle a droit à une indemnisation, pour tout dommage matériel ou immatériel que l’exportateur de données ou l’importateur de données (ou son sous-traitant ultérieur) lui cause en manquant aux droits conférés au tiers bénéficiaire par les présentes clauses. Cette disposition est sans préjudice de la responsabilité de l’exportateur de données et, lorsque celui-ci est un sous-traitant agissant pour le compte d’un responsable du traitement, de la responsabilité du responsable du traitement au titre du règlement (UE) 2016/679 ou du règlement (UE) 2018/1725, selon le cas.

(d) Les Parties conviennent que si l’exportateur de données est tenu responsable, au titre du paragraphe (c), des dommages causés par l’importateur de données (ou son sous-traitant ultérieur), il est en droit de réclamer à l’importateur de données la part de l’indemnisation correspondant à la responsabilité de ce dernier dans le dommage.

(e) Lorsque plusieurs Parties sont responsables d’un dommage causé à la personne concernée à la suite d’une violation des présentes clauses, toutes les Parties responsables sont solidairement tenues de réparer ce dommage, et la personne concernée est en droit d’intenter une action en justice contre l’une quelconque de ces Parties.

(f) Les Parties conviennent que si une Partie est tenue responsable au titre du paragraphe (e), elle est en droit de réclamer à l’autre ou aux autres Parties la part de l’indemnisation correspondant à sa ou à leur responsabilité dans le dommage.

(g) L’importateur de données ne peut invoquer le comportement d’un sous-traitant ultérieur pour se soustraire à sa propre responsabilité.

Clause 13

Contrôle

(a) Lorsque l’exportateur de données est établi dans un État membre de l’UE : l’autorité de contrôle chargée de veiller au respect par l’exportateur de données du règlement (UE) 2016/679 en ce qui concerne le transfert de données, telle qu’indiquée à l’annexe I.C, agit en qualité d’autorité de contrôle compétente.

Lorsque l’exportateur de données n’est pas établi dans un État membre de l’UE, mais relève du champ d’application territorial du règlement (UE) 2016/679 conformément à son article 3, paragraphe 2, et a désigné un représentant conformément à l’article 27, paragraphe 1, du règlement (UE) 2016/679 :] L’autorité de contrôle de l’État membre dans lequel est établi le représentant au sens de l’article 27, paragraphe 1, du règlement (UE) 2016/679, comme indiqué à l’annexe I.C, agit en tant qu’autorité de contrôle compétente.

Lorsque l’exportateur de données n’est pas établi dans un État membre de l’UE, mais relève du champ d’application territorial du règlement (UE) 2016/679 conformément à son article 3, paragraphe 2, sans toutefois être tenu de désigner un représentant conformément à l’article 27, paragraphe 2, du règlement (UE) 2016/679 :] L’autorité de contrôle de l’un des États membres dans lesquels se trouvent les personnes concernées dont les données à caractère personnel sont transférées en vertu des présentes clauses dans le cadre de l’offre de biens ou de services qui leur est destinée, ou dont le comportement est suivi, comme indiqué à l’annexe I.C, agit en tant qu’autorité de contrôle compétente.

(b) L’importateur de données accepte de se soumettre à la compétence de l’autorité de contrôle compétente et de coopérer avec celle-ci dans le cadre de toute procédure visant à garantir le respect des présentes clauses. En particulier, l’importateur de données accepte de répondre aux demandes de renseignements, de se soumettre à des audits et de respecter les mesures adoptées par l’autorité de contrôle, y compris les mesures correctives et compensatoires. Il fournit à l’autorité de contrôle une confirmation écrite attestant que les mesures nécessaires ont été prises.

SECTION III – LOIS LOCALES et OBLIGATIONS en CAS d’ACCÈS par les AUTORITÉS PUBLIQUES

Clause 14

Lois locales ayant une incidence sur le respect des Clauses.

(a) Les Parties garantissent qu’elles n’ont aucune raison de croire que les lois et pratiques en vigueur dans le pays tiers de destination et applicables au traitement des données à caractère personnel par l’importateur de données, y compris toute obligation de divulguer des données à caractère personnel ou toute mesure autorisant l’accès des autorités publiques, empêchent l’importateur de données de s’acquitter de ses obligations au titre des présentes clauses. Cette affirmation repose sur l’entente selon laquelle les lois et pratiques qui respectent l’essence des droits et libertés fondamentaux et ne vont pas au-delà de ce qui est nécessaire et proportionné dans une société démocratique pour protéger l’un des objectifs énumérés à l’article 23, paragraphe 1, du règlement (UE) 2016/679 ne sont pas contraires aux présentes clauses.

(b) Les Parties déclarent que, pour fournir la garantie prévue au paragraphe (a), elles ont dûment pris en compte, en particulier, les éléments suivants :

i. les circonstances spécifiques du transfert, notamment la durée de la chaîne de traitement, le nombre d’acteurs impliqués et les canaux de transmission utilisés ; les transferts ultérieurs envisagés ; le type de destinataire ; la finalité du traitement ; les catégories et le format des données à caractère personnel transférées ; le secteur économique dans lequel le transfert a lieu ; le lieu de stockage des données transférées ;

ii. les lois et pratiques du pays tiers de destination, y compris celles qui imposent la divulgation de données aux autorités publiques ou autorisent l’accès à ces données par ces autorités, pertinentes au regard des circonstances spécifiques du transfert, ainsi que les limitations et garanties applicables ;

iii. toute garantie contractuelle, technique ou organisationnelle pertinente mise en place pour compléter les garanties prévues par les présentes Clauses, y compris les mesures appliquées pendant la transmission et le traitement des données à caractère personnel dans le pays de destination.

(c) L’importateur de données garantit que, dans le cadre de l’évaluation prévue au paragraphe (b), il a déployé ses meilleurs efforts pour fournir à l’exportateur de données les informations pertinentes et convient de continuer à coopérer avec celui-ci afin d’assurer le respect des présentes Clauses.

(d) Les Parties conviennent de consigner l’évaluation prévue au paragraphe (b) et de la mettre à la disposition de l’autorité de contrôle compétente sur demande.

(e) L’importateur de données convient d’informer rapidement l’exportateur de données si, après avoir accepté les présentes clauses et pendant toute la durée du contrat, il a des raisons de croire qu’il est ou est devenu soumis à des lois ou pratiques incompatibles avec les exigences énoncées au paragraphe (a), notamment à la suite d’une modification de la législation du pays tiers ou d’une mesure (telle qu’une demande de divulgation) indiquant que ces lois sont appliquées en pratique d’une manière incompatible avec les exigences énoncées au paragraphe (a).

(f) À la suite d’une notification conformément au paragraphe (e), ou si l’exportateur de données a par ailleurs des raisons de croire que l’importateur de données n’est plus en mesure de s’acquitter de ses obligations au titre des présentes clauses, l’exportateur de données détermine sans délai les mesures appropriées (par exemple, des mesures techniques ou organisationnelles visant à garantir la sécurité et la confidentialité) que l’exportateur de données et/ou l’importateur de données doivent adopter pour remédier à la situation. L’exportateur de données suspend le transfert de données s’il estime qu’aucune garantie appropriée ne peut être assurée pour ce transfert, ou si l’autorité de contrôle compétente lui en donne l’instruction. Dans ce cas, l’exportateur de données est en droit de résilier le contrat dans la mesure où celui-ci concerne le traitement de données à caractère personnel au titre des présentes clauses. Si le contrat lie plus de deux Parties, l’exportateur de données ne peut exercer ce droit de résiliation qu’à l’égard de la Partie concernée, sauf accord contraire des Parties. Lorsque le contrat est résilié conformément à la présente clause, la clause 16(d) et (e) s’applique.

Clause 15

Obligations de l’importateur de données en cas d’accès des autorités publiques

15.1 Notification

(a) L’importateur de données s’engage à notifier rapidement l’exportateur de données et, lorsque cela est possible, la personne concernée (si nécessaire, avec l’aide de l’exportateur de données) dans les cas suivants :

i. il reçoit une demande juridiquement contraignante émanant d’une autorité publique, y compris des autorités judiciaires, en vertu des lois du pays de destination, visant à obtenir la divulgation de données à caractère personnel transférées conformément aux présentes clauses ; cette notification comprend des informations sur les données à caractère personnel demandées, l’autorité requérante, le fondement juridique de la demande et la réponse apportée ; ou

ii. il prend connaissance d’un accès direct, par des autorités publiques, à des données à caractère personnel transférées conformément aux présentes clauses et aux lois du pays de destination ; cette notification comprend toutes les informations dont dispose l’importateur.

(b) Si les lois du pays de destination interdisent à l’importateur de données de notifier l’exportateur de données et/ou la personne concernée, l’importateur de données s’engage à déployer tous les efforts raisonnables pour obtenir une dérogation à cette interdiction, afin de communiquer autant d’informations que possible, dans les meilleurs délais. L’importateur de données s’engage à consigner ses efforts afin de pouvoir en apporter la preuve à la demande de l’exportateur de données.

(c) Lorsque les lois du pays de destination le permettent, l’importateur de données s’engage à fournir à l’exportateur de données, à intervalles réguliers pendant toute la durée du contrat, autant d’informations pertinentes que possible sur les demandes reçues (notamment le nombre de demandes, le type de données demandées, la ou les autorités requérantes, la question de savoir si les demandes ont été contestées et l’issue de ces contestations, etc.).

(d) L’importateur de données s’engage à conserver les informations visées aux paragraphes (a) à (c) pendant toute la durée du contrat et à les mettre à la disposition de l’autorité de contrôle compétente sur demande.

(e) Les paragraphes (a) à (c) sont sans préjudice de l’obligation de l’importateur de données, conformément à la clause 14(e) et à la clause 16, d’informer rapidement l’exportateur de données lorsqu’il n’est pas en mesure de respecter les présentes clauses.

15.2 Examen de la légalité et minimisation des données

(a) L’importateur de données s’engage à examiner la légalité de la demande de divulgation, notamment à vérifier si celle-ci relève toujours des pouvoirs conférés à l’autorité publique requérante, et à contester la demande si, après une évaluation minutieuse, il conclut qu’il existe des motifs raisonnables de considérer que la demande est illégale au regard du droit du pays de destination, des obligations applicables en vertu du droit international et des principes de courtoisie internationale. Dans les mêmes conditions, l’importateur de données exercera les voies de recours possibles. Lorsqu’il conteste une demande, l’importateur de données sollicitera des mesures provisoires en vue de suspendre les effets de la demande jusqu’à ce que l’autorité judiciaire compétente se soit prononcée sur le fond. Il ne divulguera pas les données à caractère personnel demandées tant qu’il n’y sera pas tenu par les règles de procédure applicables. Ces exigences sont sans préjudice des obligations de l’importateur de données au titre de la clause 14(e).

(b) L’importateur de données accepte de documenter son évaluation juridique ainsi que toute contestation de la demande de divulgation et, dans la mesure permise par les lois du pays de destination, de mettre cette documentation à la disposition de l’exportateur de données. Il la met également à la disposition de l’autorité de contrôle compétente sur demande.

(c) L’importateur de données accepte de fournir le minimum d’informations autorisé en réponse à une demande de divulgation, sur la base d’une interprétation raisonnable de cette demande.

SECTION IV – DISPOSITION FINALE

Clause 16

Non-respect des clauses et résiliation

(a) L’importateur de données informe sans délai l’exportateur de données s’il est, pour quelque raison que ce soit, dans l’incapacité de respecter les présentes clauses.

(b) Si l’importateur de données enfreint les présentes clauses ou est dans l’incapacité de s’y conformer, l’exportateur de données suspend le transfert de données à caractère personnel à l’importateur de données jusqu’à ce que la conformité soit à nouveau assurée ou que le contrat soit résilié. Cette disposition s’applique sans préjudice de la clause 14(f).

(c) L’exportateur de données est en droit de résilier le contrat, dans la mesure où celui-ci concerne le traitement de données à caractère personnel en vertu des présentes clauses, lorsque :

i. l’exportateur de données a suspendu le transfert de données à caractère personnel à l’importateur de données conformément au paragraphe (b) et le respect des présentes clauses n’est pas rétabli dans un délai raisonnable et, en tout état de cause, dans un délai d’un mois à compter de la suspension ;

ii. l’importateur de données enfreint de manière substantielle ou persistante les présentes clauses ; ou

iii. l’importateur de données ne se conforme pas à une décision contraignante d’une juridiction compétente ou d’une autorité de contrôle concernant ses obligations au titre des présentes clauses.

Dans ces cas, il en informe l’autorité de contrôle compétente. Lorsque le contrat implique plus de deux parties, l’exportateur de données ne peut exercer ce droit de résiliation qu’à l’égard de la partie concernée, sauf accord contraire des parties.

(d) Les données à caractère personnel qui ont été transférées avant la résiliation du contrat conformément au paragraphe (c) sont, au choix de l’exportateur de données, immédiatement renvoyées à celui-ci ou supprimées dans leur intégralité. Il en va de même pour toute copie des données. L’importateur de données certifie la suppression des données à l’exportateur de données. Jusqu’à ce que les données soient supprimées ou renvoyées, l’importateur de données continue de garantir le respect des présentes clauses. En cas de lois locales applicables à l’importateur de données qui interdisent le renvoi ou la suppression des données à caractère personnel transférées, l’importateur de données garantit qu’il continuera de veiller au respect des présentes clauses et qu’il ne traitera les données que dans la mesure et pendant la durée requises par cette loi locale.

(e) Chacune des Parties peut révoquer son consentement à être liée par les présentes clauses lorsque (i) la Commission européenne adopte une décision en vertu de l’article 45(3) du règlement (UE) 2016/679 couvrant le transfert de données à caractère personnel auquel les présentes clauses s’appliquent ; ou (ii) le règlement (UE) 2016/679 devient partie intégrante du cadre juridique du pays vers lequel les données à caractère personnel sont transférées. Cette disposition s’applique sans préjudice des autres obligations applicables au traitement concerné en vertu du règlement (UE) 2016/679.

Clause 17

Droit applicable

Les présentes clauses sont régies par le droit de l’État membre de l’UE dans lequel l’exportateur de données est établi. Lorsque ce droit ne reconnaît pas les droits des tiers bénéficiaires, elles sont régies par le droit d’un autre État membre de l’UE qui reconnaît de tels droits. Les Parties conviennent que le droit applicable est celui du Danemark.

Clause 18

Choix de la juridiction et compétence

(a) Tout litige découlant des présentes clauses est tranché par les tribunaux d’un État membre de l’UE.

(b) Les Parties conviennent qu’il s’agit des tribunaux du Danemark.

(c) Une personne concernée peut également engager une procédure judiciaire contre l’exportateur de données et/ou l’importateur de données devant les tribunaux de l’État membre dans lequel elle a sa résidence habituelle.

(d) Les Parties conviennent de se soumettre à la compétence de ces tribunaux.

ANNEXE I

A. LISTE DES PARTIES

Exportateur de données. L’exportateur de données est le Client, tel que défini dans l’Accord et/ou la ou les Commandes.

Importateur de données. L’importateur de données est Ideanote, tel que défini dans l’Accord et/ou la ou les Commandes.

B. DESCRIPTION DU TRANSFERT

Catégories de personnes concernées dont les données à caractère personnel sont transférées :

Les personnes concernées comprennent les représentants et les utilisateurs finaux des clients de l’exportateur de données, notamment, selon le cas d’utilisation, les employés, les prestataires, les fournisseurs et les clients de l’exportateur de données.

Catégories de données à caractère personnel transférées :

Les données à caractère personnel transférées comprennent les noms et les adresses électroniques sous forme électronique, le tout dans le cadre des Services.

Données sensibles transférées (le cas échéant) et restrictions ou garanties appliquées qui tiennent pleinement compte de la nature des données et des risques encourus, notamment, par exemple, une limitation stricte des finalités, des restrictions d’accès (y compris un accès réservé au personnel ayant suivi une formation spécialisée), la tenue d’un registre des accès aux données, des restrictions applicables aux transferts ultérieurs ou des mesures de sécurité supplémentaires :

Aucune.

Fréquence du transfert (par exemple, transfert ponctuel ou continu des données) :

Continu.

Nature du traitement :

Accès API au moyen d’une infrastructure cloud, de serveur à serveur.

Finalité(s) du transfert de données et du traitement ultérieur :

Faciliter le partage d’idées et l’innovation.

La durée pendant laquelle les données à caractère personnel seront conservées ou, si cela n’est pas possible, les critères utilisés pour déterminer cette durée :

Pendant la durée des conditions d’utilisation de Ideanote.

Pour les transferts vers des sous-traitants ultérieurs, veuillez également préciser l’objet, la nature et la durée du traitement :

Les sous-traitants ultérieurs traitent les données afin de faciliter les Services. La durée correspond à celle des conditions d’utilisation de Ideanote conclues entre le Client et Ideanote.

‍

C. AUTORITÉ DE CONTRÔLE COMPÉTENTE

Autorité danoise de protection des données (Datatilsynet)

ANNEXE II

MESURES TECHNIQUES ET ORGANISATIONNELLES, Y COMPRIS LES MESURES TECHNIQUES ET ORGANISATIONNELLES VISANT À GARANTIR LA SÉCURITÉ DES DONNÉES

Les détails des mesures techniques et organisationnelles applicables aux Services logiciels fournis au Client par Ideanote figurent à l’appendice C du DPA de Ideanote

ANNEXE III

LISTE DES SOUS-TRAITANTS ULTÉRIEURS

Le Client a autorisé Ideanote à recourir aux sous-traitants ultérieurs détaillés à l’adresse https://ideanote.io/legal/sub-processors, qui s’appliquent aux Services logiciels fournis au Client par Ideanote .

ANNEXE 3 - Addendum relatif au Royaume-Uni

En cas de transfert de données depuis et vers le Royaume-Uni, les dispositions suivantes du présent Annexe 3 s’appliquent en complément des Clauses contractuelles types figurant à l’Annexe 2 de l’Addendum relatif au traitement des données d’Ideanote.

PARTIE 1 : TABLEAUX

Tableau 1 : Parties

Date de prise d’effet

Date de prise d’effet (Le présent accord relatif au traitement des données prend effet à la date à laquelle le Client accepte électroniquement nos conditions d’utilisation ou y consent par tout autre moyen. )

Les Parties

Exportateur (qui effectue le transfert soumis à des restrictions)

Importateur (qui reçoit le transfert soumis à des restrictions)

Coordonnées des Parties

La dénomination sociale complète figure dans le bon de commande ou dans le compte du propriétaire de l’espace de travail

La dénomination commerciale (si elle est différente) figure dans le formulaire de commande ou dans les paramètres de facturation de l’espace de travail.

L’adresse principale (si elle correspond à l’adresse enregistrée de l’entreprise) figure dans le formulaire de commande ou dans les paramètres de facturation de l’espace de travail.

Le numéro d’enregistrement officiel ainsi que tout numéro d’entreprise ou identifiant similaire figurent dans le formulaire de commande ou dans le compte du propriétaire de l’espace de travail

Dénomination sociale complète : Ideanote ApS

Dénomination commerciale (si elle est différente) : Ideanote

Adresse principale : Soengen 1, 2840, Holte

Numéro d’immatriculation officiel : TIN:DK37118796

Contact principal

L’intitulé du poste et les coordonnées, y compris l’adresse e-mail, figurent dans le formulaire de commande ou dans le compte du propriétaire de l’espace de travail

Intitulé du poste : délégué à la protection des données

Coordonnées, y compris l’adresse e-mail : DPO@ideanote.io

Tableau 2 : CCT sélectionnées, modules et clauses sélectionnées

Avenant aux CCT de l’UE

La version des CCT de l’UE approuvées incluse ci-dessus, à laquelle le présent avenant est annexé.

Tableau 3 : Informations de l’appendice

« Informations relatives à l’annexe » désigne les informations qui doivent être fournies pour les modules sélectionnés, telles qu’énoncées dans l’annexe des CCT de l’UE approuvées (à l’exception des Parties), et qui, aux fins du présent avenant, sont énoncées dans l’accord de traitement des données ci-dessus.

Tableau 4 : Résiliation du présent Addendum en cas de modification de l’Addendum approuvé

Résiliation du présent avenant en cas de modification de l’avenant approuvé

Parties pouvant résilier le présent avenant :

Importateur et exportateur

PARTIE 2 : CLAUSES OBLIGATOIRES

Conclusion du présent avenant

(a.) Chaque Partie accepte d’être liée par les modalités et conditions énoncées dans le présent avenant, en contrepartie de l’engagement de l’autre Partie à être également liée par celui-ci.

(b.) Bien que l’Annexe 1A et la Clause 7 des CCT de l’UE approuvées exigent la signature des Parties, aux fins des Transferts soumis à des restrictions, les Parties peuvent conclure le présent Addendum de toute manière qui les lie juridiquement et permet aux personnes concernées de faire valoir leurs droits tels qu’ils sont énoncés dans le présent Addendum. La conclusion du présent Addendum aura le même effet que la signature des CCT de l’UE approuvées et de toute partie de celles-ci.

Interprétation du présent avenant

(a.) Lorsque le présent Addendum emploie des termes définis dans les CCT de l’UE approuvées, ces termes ont le même sens que dans les CCT de l’UE approuvées. En outre, les termes suivants ont les significations suivantes :

Avenant

Le présent Addendum relatif aux transferts internationaux de données, constitué du présent Addendum intégrant les CCT de l’UE de l’Addendum.

CCT de l’UE de l’Addendum

La ou les versions des CCT de l’UE approuvées auxquelles le présent Addendum est joint, comme indiqué dans le tableau 2, y compris les informations de l’annexe.

Informations de l’annexe

Comme indiqué dans le Tableau ‎3.

Garanties appropriées

Le niveau de protection des données à caractère personnel et des droits des personnes concernées exigé par les lois britanniques sur la protection des données lors d’un Transfert soumis à des restrictions fondé sur des clauses types de protection des données au titre de l’article 46(2)(d) du RGPD britannique.

Addendum approuvé

L’Addendum type publié par l’ICO et soumis au Parlement conformément à l’article 119A de la loi de 2018 sur la protection des données le 2 février 2022, tel que révisé conformément à la Section 18

Clauses contractuelles types de l’UE approuvées

Les clauses contractuelles types énoncées dans l’annexe de la décision d’exécution (UE) 2021/914 de la Commission du 4 juin 2021.

ICO

Le commissaire à l’information.

Transfert restreint

Un transfert relevant du chapitre V du GDPR britannique.

Royaume-Uni

Le Royaume-Uni de Grande-Bretagne et d’Irlande du Nord.

Lois britanniques sur la protection des données

Toutes les lois relatives à la protection des données, au traitement des données à caractère personnel, à la vie privée et/ou aux communications électroniques en vigueur à tout moment au Royaume-Uni, y compris le RGPD britannique et la loi de 2018 sur la protection des données.

GDPR britannique

Tel que défini à la section 3 de la loi de 2018 sur la protection des données.

(b.) Le présent Addendum doit toujours être interprété de manière conforme aux lois britanniques sur la protection des données et de façon à satisfaire à l’obligation des Parties de fournir les Garanties appropriées.

(c.) Si les dispositions incluses dans les CCT de l’UE de l’Addendum modifient de quelque manière que ce soit les CCT approuvées, d’une façon non autorisée par les CCT de l’UE approuvées ou l’Addendum approuvé, ces modifications ne seront pas intégrées au présent Addendum et la disposition équivalente des CCT de l’UE approuvées s’y substituera.

(d.) En cas d’incohérence ou de conflit entre les lois britanniques sur la protection des données et le présent Addendum, les lois britanniques sur la protection des données prévalent.

(e.) Si le sens du présent Addendum n’est pas clair ou s’il existe plusieurs interprétations, l’interprétation qui se rapproche le plus des lois britanniques sur la protection des données s’applique.

(f.) Toute référence à une législation (ou à des dispositions spécifiques d’une législation) s’entend de cette législation (ou de ces dispositions spécifiques) telle qu’elle peut être modifiée au fil du temps. Cela inclut les cas où cette législation (ou ces dispositions spécifiques) a été codifiée, réadoptée et/ou remplacée après la conclusion du présent Addendum.

Hiérarchie

(a.) Bien que la clause 5 des CEC de l’UE approuvées prévoie que les CEC de l’UE approuvées prévalent sur tous les accords connexes entre les parties, les parties conviennent que, pour les transferts soumis à des restrictions, la hiérarchie prévue à la Section 10 prévaudra.

(b.) En cas d’incohérence ou de conflit entre l’Addendum approuvé et les CEC de l’UE de l’Addendum (selon le cas), l’Addendum approuvé prévaut sur les CEC de l’UE de l’Addendum, sauf lorsque (et dans la mesure où) les dispositions incohérentes ou conflictuelles des CEC de l’UE de l’Addendum offrent une protection accrue aux personnes concernées, auquel cas ces dispositions prévaudront sur l’Addendum approuvé.

(c.) Lorsque le présent Addendum incorpore des CEC de l’UE de l’Addendum conclues afin de protéger les transferts soumis au règlement général sur la protection des données (UE) 2016/679, les Parties reconnaissent que rien dans le présent Addendum n’a d’incidence sur ces CEC de l’UE de l’Addendum.

Incorporation et modifications des CEC de l’UE

Le présent Addendum incorpore les CEC de l’UE de l’Addendum, qui sont modifiées dans la mesure nécessaire afin que :

(a.) elles s’appliquent conjointement aux transferts de données effectués par l’exportateur de données à l’importateur de données, dans la mesure où les lois britanniques sur la protection des données s’appliquent au traitement effectué par l’exportateur de données lors de ce transfert de données, et qu’elles fournissent des garanties appropriées pour ces transferts de données ;

(b.) les Sections 9 à 11 prévalent sur la Clause 5 (Hiérarchie) des CEC de l’UE de l’Addendum ; et

(c.) le présent Addendum (y compris les CEC de l’UE de l’Addendum qu’il incorpore) est (1) régi par les lois de l’Angleterre et du pays de Galles et (2) tout litige en découlant est réglé par les tribunaux d’Angleterre et du pays de Galles, dans chaque cas sauf si les Parties ont expressément choisi les lois et/ou les tribunaux de l’Écosse ou de l’Irlande du Nord.

À moins que les Parties n’aient convenu de modifications alternatives satisfaisant aux exigences de la Section 12, les dispositions de la Section 15 s’appliqueront.

Aucune modification des CCT de l’UE approuvées ne peut être apportée, sauf pour satisfaire aux exigences de la section 12.

Les modifications suivantes sont apportées aux CEC de l’UE de l’Addendum (aux fins de la Section 12) :

(a.) Les références aux « Clauses » désignent le présent avenant, qui intègre les clauses contractuelles types de l’UE figurant dans l’avenant ;

(b.) À la clause 2, supprimer les mots suivants :

« et, en ce qui concerne les transferts de données des responsables du traitement vers les sous-traitants et/ou des sous-traitants vers d’autres sous-traitants, les clauses contractuelles types conformément à l’article 28, paragraphe 7, du règlement (UE) 2016/679 » ;

(c.) La clause 6 (Description du ou des transferts) est remplacée par ce qui suit :

« Les détails du ou des transferts, et en particulier les catégories de données à caractère personnel transférées et la ou les finalités pour lesquelles elles sont transférées, sont ceux spécifiés à l’Annexe I.B lorsque les lois britanniques sur la protection des données s’appliquent au traitement effectué par l’exportateur de données lors de ce transfert. » ;

(d.) La clause 8.7(i) du module 1 est remplacée par ce qui suit :

« le transfert ultérieur est effectué vers un pays bénéficiant de règles d’adéquation conformément à la section 17A du RGPD britannique, qui couvrent le transfert ultérieur » ;

(e.) La clause 8.8(i) des modules 2 et 3 est remplacée par ce qui suit :

« le transfert ultérieur est effectué vers un pays bénéficiant de règles d’adéquation conformément à la section 17A du RGPD britannique, qui couvrent le transfert ultérieur ; »

(f.) Les références au « règlement (UE) 2016/679 », au « règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données) » et à « ce règlement » sont toutes remplacées par « UK Data Protection Laws ». Les références aux articles spécifiques du « règlement (UE) 2016/679 » sont remplacées par l’article ou la section équivalent(e) des UK Data Protection Laws ;

(g.) Les références au règlement (UE) 2018/1725 sont supprimées ;

(h.) Les références à « l’Union européenne », à « l’Union », à « l’UE », à « un État membre de l’UE », à « un État membre » et à « l’UE ou un État membre » sont toutes remplacées par « Royaume-Uni » ;

(i.) La référence à la « clause 12(c)(i) » figurant à la clause 10(b)(i) du module un est remplacée par « clause 11(c)(i) » ;

(j.) La clause 13(a) et la partie C de l’annexe I ne sont pas utilisées ;

(k.) Les termes « autorité de contrôle compétente » et « autorité de contrôle » sont tous deux remplacés par « Information Commissioner » ;

(l.) À la clause 16(e), le sous-paragraphe (i) est remplacé par :

« le secrétaire d’État adopte des règlements en vertu de l’article 17A de la loi de 2018 sur la protection des données, qui couvrent le transfert de données à caractère personnel auquel les présentes clauses s’appliquent ; » ;

(m.) La clause 17 est remplacée par :

« Les présentes Clauses sont régies par les lois de l’Angleterre et du pays de Galles. » ;

(n.) La clause 18 est remplacée par :

« Tout litige découlant des présentes Clauses est tranché par les tribunaux d’Angleterre et du pays de Galles. Une personne concernée peut également engager une action en justice contre l’exportateur de données et/ou l’importateur de données devant les tribunaux de tout pays du Royaume-Uni. Les Parties conviennent de se soumettre à la compétence de ces tribunaux. »