Accord relatif au traitement des données à caractère personnel (DPA)

1.1. Le présent Accord s’applique à tous les contrats entre Interdevelopment UAB (ci-après le « Prestataire ») et ses clients (ci-après le « Client ») qui contiennent une référence au présent Accord (ci-après le « Contrat »), et fait partie intégrante de ces contrats.

1.2. L’Accord définit les conditions du traitement par le Prestataire de données à caractère personnel pour le compte du Client. Le Client est le responsable du traitement et le Prestataire est le sous-traitant. Les termes sont employés au sens du RGPD et du Contrat.

1.3. Le Client est responsable de la licéité du traitement, notamment de l’existence de bases juridiques et de l’information des personnes concernées.

1.4. L’Accord est en vigueur pendant la durée du Contrat et jusqu’à l’achèvement de la restitution et de la suppression des données conformément à la section 8.

2.1. L’extension de la liste des catégories de personnes concernées ou de données pour un Client donné (par exemple, en lien avec le lancement d’un programme de fidélité) est formalisée par un accord écrit entre les Parties. Les services supplémentaires qui y sont liés sont rémunérés comme convenu entre les Parties.

3.1. Le Prestataire ne traite les données à caractère personnel que sur instructions documentées du Client. Constituent des instructions le Contrat, le présent Accord et les tâches confiées selon les modalités prévues par le Contrat. Le Prestataire informe le Client si, selon lui, une instruction enfreint la législation relative à la protection des données, et il est en droit d’en suspendre l’exécution jusqu’à ce que le Client confirme ou modifie l’instruction.

3.2. Le Prestataire veille au respect de la confidentialité par les personnes qu’il a autorisées à accéder aux données (ses salariés et les sous-traitants ultérieurs).

3.3. Le Prestataire met en œuvre des mesures techniques et organisationnelles de sécurité appropriées conformément à l’article 32 du RGPD, notamment la gestion des accès, la sauvegarde et la protection des canaux de communication. Une description des mesures appliquées est communiquée au Client sur demande.

3.4. Compte tenu de la nature du traitement, le Prestataire aide le Client à donner suite aux demandes des personnes concernées et à s’acquitter des obligations prévues aux articles 32 à 36 du RGPD. Le Prestataire transmet sans délai au Client les demandes qui lui parviennent directement. L’assistance qui excède le cadre du support technique habituel (par exemple, la participation à une analyse d’impact relative à la protection des données) est rémunérée au tarif convenu.

3.5. Le Prestataire notifie au Client toute violation de données à caractère personnel (y compris la divulgation non autorisée, la perte, l’altération ou la destruction de ces données, ou l’accès non autorisé à celles-ci) dans les meilleurs délais, et au plus tard 48 heures après sa découverte. La notification contient les informations disponibles à ce moment-là sur la nature de la violation, ses conséquences probables et les mesures prises, ainsi que la personne de contact du Prestataire.

4.1. Est considérée comme sous-traitant ultérieur toute personne à laquelle le Prestataire confie le traitement des données à caractère personnel du Client, notamment leur hébergement, leur conservation ou la maintenance de systèmes donnant accès à ces données. Les fournisseurs de services auxiliaires n’ayant pas accès aux données à caractère personnel du Client (services de télécommunications, services comptables, juridiques et autres) ne sont pas des sous-traitants ultérieurs.

4.2. Le Client donne une autorisation générale au recrutement de sous-traitants ultérieurs par le Prestataire. La liste à jour des sous-traitants ultérieurs est publiée sur la page https://interdevelopment.eu/fr/legal/subprocessors/.

4.3. Le Prestataire informe le Client à l’avance du recrutement ou du remplacement d’un sous-traitant ultérieur, à l’adresse électronique indiquée dans le Contrat. Le Client est en droit, dans un délai de 14 jours calendaires, d’émettre une objection motivée, fondée sur des raisons liées à la protection des données. Si les Parties ne parviennent pas à s’entendre, le Client est en droit de résilier le Contrat sans respecter le délai de préavis prévu par le Contrat.

4.4. Le Prestataire impose aux sous-traitants ultérieurs des obligations en matière de protection des données conformes aux exigences de l’article 28 du RGPD et est responsable envers le Client de leur exécution.

5.1. Les données à caractère personnel sont traitées et conservées dans des centres de données situés sur le territoire de l’UE/EEE et certifiés selon la norme ISO/IEC 27001.

5.2. Le transfert de données en dehors de l’UE/EEE n’est admis qu’avec l’autorisation écrite préalable du Client et dans le respect des exigences du chapitre V du RGPD.

6.1. Le Prestataire met à la disposition du Client les informations nécessaires pour démontrer le respect du présent Accord, en premier lieu sous forme de documents, y compris des rapports d’auditeurs indépendants et des certificats des sous-traitants ultérieurs.

6.2. Si les documents sont insuffisants, le Client ou un auditeur qu’il a mandaté est en droit de procéder à un audit au plus une fois par année civile, moyennant un préavis d’au moins 30 jours calendaires, pendant les heures ouvrables et sans perturber l’activité du Prestataire. L’auditeur signe un accord de confidentialité et ne peut pas être un concurrent du Prestataire. L’audit ne porte pas sur les données des autres clients du Prestataire.

6.3. Les frais de l’audit sont à la charge du Client.

7.1. Le Prestataire est en droit de modifier le présent Accord en publiant une nouvelle version sur son site internet et en informant le Client par courrier électronique au moins 30 jours calendaires avant l’entrée en vigueur des modifications.

7.2. Les modifications ne peuvent pas réduire le niveau de protection des données à caractère personnel sans l’accord du Client. Si le Client n’accepte pas les modifications, il est en droit de résilier le Contrat avant la date de leur entrée en vigueur sans respecter le délai de préavis prévu par le Contrat.

7.3. Les versions antérieures de l’Accord restent accessibles sur le site internet du Prestataire.

8.1. À la cessation du Contrat, le Prestataire restitue les données selon les modalités prévues par le Contrat, puis en supprime les copies, à moins que leur conservation ne soit exigée par la législation. Les copies figurant dans les archives de sauvegarde sont supprimées lors de leur rotation planifiée, mais au plus tard dans un délai de 90 jours.

9.1. La responsabilité des Parties au titre du présent Accord est déterminée par les dispositions du Contrat, y compris la limitation de responsabilité.

9.2. En cas de contradiction entre le Contrat et le présent Accord en matière de protection des données à caractère personnel, le présent Accord prévaut. L’Accord est régi par le droit applicable au Contrat.

9.3. Contact pour les questions relatives à la protection des données : info@interdevelopment.eu.

9.4. Le présent Accord est publié en plusieurs langues. En cas de divergence entre les versions linguistiques, la version en langue lituanienne prévaut.