Accord de traitement des données

ACCORD DE TRAITEMENT DES DONNÉES SNSI

1. Objet et champ d'application

1.1. Le Responsable du traitement et le Sous-traitant ont conclu un accord en vertu duquel le Sous-traitant fournira au Responsable du traitement des services impliquant le traitement de données personnelles (les « Services »).

1.2. Le présent Accord définit les conditions dans lesquelles le Sous-traitant traite les données personnelles pour le compte du Responsable du traitement conformément aux lois applicables en matière de protection des données, notamment le Règlement général sur la protection des données (UE) 2016/679 (le « RGPD »).

2. Définitions

2.1. « Données personnelles » désigne toute information se rapportant à une personne physique identifiée ou identifiable, telle que définie à l'article 4 du RGPD.
2.2. « Traitement » désigne toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données personnelles, tel que défini à l'article 4 du RGPD.
2.3. « Sous-traitant ultérieur » désigne tout tiers désigné par le Sous-traitant ou pour son compte afin de traiter des données personnelles dans le cadre du présent Accord.

3. Traitement des données personnelles

3.1. Objet : le Sous-traitant traite les données personnelles strictement pour la fourniture des Services décrits dans le contrat de services principal conclu entre les Parties (le « Contrat de services »).
3.2. Durée : le Sous-traitant ne traite les données personnelles que le temps nécessaire à la fourniture des Services ou jusqu'à la résiliation du Contrat de services, sauf obligation légale contraire.
3.3. Nature et finalité : le Sous-traitant traite les données personnelles uniquement aux fins définies par le Responsable du traitement et à aucune autre fin sans le consentement écrit préalable du Responsable du traitement.
3.4. Catégories de personnes concernées :

Visiteurs du site (par ex. personnes naviguant sur scubasnsi.com)
Utilisateurs inscrits (par ex. élèves, instructeurs)
Participants aux cours
Clients achetant des produits ou des services

3.5. Types de données personnelles :

Données d'identification et de contact : nom, adresse e-mail, numéro de téléphone, adresse postale
Données de compte : nom d'utilisateur, mot de passe (ou empreinte du mot de passe), inscriptions aux cours, historique des certifications
Données de transaction : informations de paiement (sans ou avec des données de carte bancaire limitées, selon le système), historique des achats, adresse de facturation
Données de communication : messages ou correspondance envoyés via le site ou par e-mail
Données techniques : adresse IP, informations sur l'appareil, type de navigateur, données des cookies et journaux d'utilisation

4. Obligations du Sous-traitant

4.1. Le Sous-traitant ne traite les données personnelles que sur instruction documentée du Responsable du traitement, sauf obligation imposée par le droit de l'Union ou d'un État membre.
4.2. Le Sous-traitant veille à ce que toutes les personnes autorisées à traiter les données personnelles soient soumises à une obligation de confidentialité.
4.3. Le Sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, notamment (sans s'y limiter) le chiffrement, la pseudonymisation et les contrôles d'accès.
4.4. Le Sous-traitant aide le Responsable du traitement à répondre aux demandes des personnes concernées qui exercent leurs droits en vertu du RGPD.
4.5. Le Sous-traitant notifie au Responsable du traitement, dans les meilleurs délais après en avoir pris connaissance, toute violation de données personnelles, en fournissant suffisamment de détails pour permettre au Responsable du traitement de respecter ses obligations légales.

5. Obligations du Responsable du traitement

5.1. Le Responsable du traitement fournit au Sous-traitant les données personnelles nécessaires à l'exécution des Services, en veillant à ce que cette fourniture et le traitement envisagé soient licites.
5.2. Le Responsable du traitement documente et communique au Sous-traitant toute instruction ou exigence particulière concernant le traitement des données personnelles.
5.3. Le Responsable du traitement tient son propre registre des activités de traitement lorsque le RGPD l'exige.

6. Sous-traitance ultérieure

6.1. Le Sous-traitant ne peut faire appel à des sous-traitants ultérieurs qu'avec le consentement écrit préalable du Responsable du traitement.
6.2. Le Sous-traitant veille à ce que tout sous-traitant ultérieur soit lié par des obligations contractuelles au moins aussi protectrices que celles prévues par le présent Accord.
6.3. Le Sous-traitant reste pleinement responsable envers le Responsable du traitement de l'exécution de tout sous-traitant ultérieur.

7. Transferts internationaux de données

7.1. Si le Sous-traitant transfère des données personnelles provenant de l'Espace économique européen (« EEE ») ou du Royaume-Uni vers un pays non reconnu par la Commission européenne ou l'autorité compétente comme offrant un niveau de protection adéquat, le Sous-traitant veille à ce que des garanties appropriées (par ex. des clauses contractuelles types) soient en place.
7.2. Le Sous-traitant informe sans délai le Responsable du traitement de toute impossibilité de respecter ces garanties et suspend le traitement si leur respect n'est pas possible.

8. Droits des personnes concernées

8.1. Le Sous-traitant aide le Responsable du traitement, par des mesures techniques et organisationnelles appropriées, à s'acquitter de son obligation de répondre aux demandes des personnes concernées exerçant leurs droits en vertu du RGPD (par ex. accès, rectification, effacement, limitation du traitement, portabilité et opposition).

9. Restitution ou suppression des données

9.1. À l'expiration ou à la résiliation du Contrat de services, ou à la demande du Responsable du traitement, le Sous-traitant restitue ou supprime de manière sécurisée, sans délai, toutes les données personnelles, sauf obligation légale de les conserver.
9.2. Le Sous-traitant fournit, à la demande du Responsable du traitement, une attestation écrite confirmant la suppression sécurisée des données personnelles.

10. Audit et conformité

10.1. Le Sous-traitant met à la disposition du Responsable du traitement toutes les informations nécessaires pour démontrer le respect du présent Accord et permet la réalisation d'audits par le Responsable du traitement ou par un auditeur qu'il a mandaté, et y contribue.
10.2. Tout audit doit être réalisé à des intervalles raisonnables, avec un préavis, et pendant les heures normales de bureau, sans perturber l'activité du Sous-traitant.

11. Limitation de responsabilité

11.1. La responsabilité de chaque Partie découlant du présent Accord ou s'y rapportant est soumise aux limitations et exclusions de responsabilité convenues dans le Contrat de services, sauf dans la mesure où la loi applicable l'interdit.

12. Droit applicable et juridiction

12.1. Le présent Accord est régi par les lois de l'État de Floride, États-Unis d'Amérique, et doit être interprété conformément à celles-ci.
12.2. Tout litige découlant du présent Accord relève de la compétence exclusive des tribunaux compétents de l'État de Floride, États-Unis d'Amérique.

13. Divers

13.1. Le présent Accord fait partie intégrante du Contrat de services. En cas de contradiction entre le présent Accord et le Contrat de services en matière de protection des données, le présent Accord prévaut.
13.2. Si une disposition du présent Accord est jugée invalide, illégale ou inapplicable, cela n'affecte pas la validité des autres dispositions.
13.3. Le présent Accord ne peut être modifié que par un écrit signé par les deux Parties.