Contrat de Processeur de données

Cette version est une traduction de la version anglaise, fournie à titre d’information uniquement. En cas de divergence, la version anglaise prévaut.

Contrôleur de données : Client situé dans l’UE (le « Contrôleur de données ») et

(le « Processeur de données »)
(dénommés séparément une « Partie » et collectivement les « Parties »)
ont conclu le présent

Contrat de Processeur de données

(Le « Contrat »)

concernant le traitement des données personnelles par le Processeur de données pour le compte du Contrôleur de données.

1. Les données personnelles traitées

1.1 Le présent accord (le «Contrat») a été conclu dans le cadre de l’utilisation par le Responsable du traitement des données des services du Sous-traitant des données dans le cadre de l’abonnement et des services supplémentaires tels que décrits dans les conditions générales de One.com (le « Contrat principal »). 

1.2 Le sous-traitant traite les types de données personnelles pour le compte du responsable du traitement des données en relation avec les personnes concernées, comme spécifié à l’Annexe 1. Les données personnelles concernent les personnes concernées énumérées à l’Annexe 1. 

1.3 Le Sous-traitant peut initier le traitement des données personnelles pour le compte du Responsable du traitement après l’entrée en vigueur du Contrat principal. À la résiliation du Contrat principal, le traitement cessera et les données personnelles seront supprimées conformément aux instructions de l’Annexe 1 du Contrat.

1.4 Le Contrat et le Contrat principal sont interdépendants et ne peuvent être résiliés séparément. Toutefois, le Contrat peut être remplacé par un autre Contrat de sous-traitance des données valide sans résilier le Contrat principal.

2. Objectif

2.1 Le Processeur de données ne doit traiter les données personnelles qu’aux fins qui sont nécessaires pour remplir
les obligations des Processeurs de données et, ce faisant, fournir les services définis dans le Contrat principal.

3. Obligations du Contrôleur de données

3.1 Le Contrôleur de données garantit que les données personnelles sont traitées à des fins légitimes et objectives
et que le Processeur de données ne traite pas plus de données personnelles que nécessaire pour atteindre ces
objectifs.

3.2 Le Contrôleur de données est responsable de l’existence d’une base juridique valable pour le traitement au moment du transfert des données personnelles au Processeur de données. À la demande du Processeur de données, le Contrôleur de données s’engage, par écrit, à rendre compte de la base du traitement et/ou à fournir les documents nécessaires.

3.3 En outre, le Contrôleur de données garantit que les personnes concernées auxquelles appartiennent les données personnelles disposent d’informations suffisantes sur le traitement de leurs données personnelles.

4. Obligations du Processeur de données

4.1 Tout traitement par le Processeur de données personnelles fournies par le Contrôleur de données doit être conforme à ces instructions du Contrôleur de données, et le Processeur de données est en outre tenu de se conformer à toutes les lois en matière de protection des données en vigueur au moment considéré. Si le droit de l’Union européenne ou la législation d’un État membre de l’UE auquel le Processeur de données est soumis stipule que le Processeur de données est tenu de traiter les données personnelles énumérées au point 1.2, le Processeur de données doit informer le Contrôleur de données d’une telle exigence juridique avant de procéder au traitement. Toutefois, cela ne s’applique pas si cette législation interdit de telles informations pour des raisons importantes d’intérêt public. Le Processeur de données doit immédiatement informer le Contrôleur de données si, de l’avis du Processeur de données, une instruction enfreint le Règlement général sur la protection des données de l’UE ou les dispositions relatives à la protection des données d’un État membre.

4.2 Le Processeur de données doit prendre toutes les mesures de sécurité techniques et organisationnelles nécessaires, y compris toute mesure supplémentaire requise pour garantir que les données personnelles spécifiées au paragraphe 1.2 ne soient pas détruites accidentellement ou illégalement, ni perdues ou altérées ou portées à la connaissance de tiers non autorisés, dénaturées ou traitées d’une manière contraire à la législation danoise sur la protection des données en vigueur à tout moment. Ces mesures sont décrites plus en détail à l’Annexe 1.

4.3 Le Processeur de données doit s’assurer que les employés autorisés à traiter les données personnelles se sont engagés à respecter la confidentialité ou sont soumis à l’obligation légale de confidentialité appropriée.

4.4 Si le Contrôleur de données le demande, le Processeur de données doit indiquer et/ou documenter le fait que le Processeur de données respecte les exigences de la législation applicable en matière de protection des données, y compris la documentation relative aux flux de données du Processeur de données ainsi que les procédures/politiques de traitement des données personnelles.

4.5 Compte tenu de la nature du traitement, le Processeur de données doit, dans la mesure du possible, aider le contrôleur par des mesures techniques et organisationnelles appropriées pour satisfaire à l’obligation qu’a le Contrôleur de données de répondre aux demandes d’exercice des droits de la personne concernée, tels qu’indiqués au chapitre 3 du Règlement général sur la protection des données.

4.6 Le Processeur de données ou un autre Processeur de données (Processeur de données auxiliaire) doit envoyer les demandes et les objections des personnes concernées aux Contrôleurs des données pour traitement ultérieur par celui-ci, sauf si le Processeur de données est habilité à traiter lui-même cette demande. Si le Contrôleur de données le demande, le Processeur de données doit aider le Contrôleur de données à répondre à de telles demandes et/ou objections.

4.7 Si le Processeur de données traite les données personnelles dans un autre État membre de l’UE, le Processeur de données doit se conformer à la législation concernant les mesures de sécurité dans cet État membre.

4.8 Le sous-traitant doit informer le responsable du traitement en cas d’interruption de fonctionnement, de suspicion de violation des règles de protection des données ou d’autres irrégularités liées au traitement des données personnelles. Le sous-traitant dispose d’un délai de 48 heures pour notifier au responsable du traitement une faille de sécurité à compter de sa connaissance. À la demande du responsable du traitement, le sous-traitant doit l’aider à clarifier l’étendue de la faille de sécurité, y compris à préparer toute notification à l’agence de protection des données compétente et/ou aux personnes concernées. 

4.9 Le Sous-traitant doit mettre à la disposition du Responsable du traitement toutes les informations nécessaires pour démontrer le respect de l’article 28 du Règlement général sur la protection des données et du Contrat. À cet égard, le Sous-traitant autorise et contribue aux audits, y compris aux inspections, menés par le Responsable du traitement ou un autre auditeur mandaté par celui-ci. Le Responsable du traitement prend en charge les frais de tout audit ou inspection.

4.10 En plus de ce qui précède, le Processeur de données doit aider le Contrôleur de données à respecter les obligations du Contrôleur de données en vertu des articles 32-36 du Règlement général sur la protection des données. Cette assistance tiendra compte de la nature du traitement et des informations dont dispose le Processeur de données.

5. Transfert des données à des Processeur de données auxiliaires ou à des tiers

5.1 Le Processeur de données doit respecter les conditions énoncées à l’article 28, paragraphes 2 et 4, du Règlement général sur la protection des données pour l’embauche d’un autre Processeur de données (Processeur de données auxiliaire). Cela implique que le Processeur de données ne peut pas embaucher un autre Processeur de données (Processeur de données auxiliaire) pour l’exécution de l’accord sans l’approbation écrite préalable spécifique ou générale du Contrôleur de données.

5.2 Le Contrôleur de données accorde par la présente au Processeur de données une autorisation générale pour conclure des accords avec les Processeurs de données auxiliaires. Le Processeur de données doit informer le Contrôleur de données de tout changement concernant l’ajout ou le remplacement de données auxiliaires. Le Contrôleur de données peut formuler des objections raisonnables et pertinentes contre de tels changements. Si le Contrôleur de données continue d’utiliser un Processeur de données auxiliaire auquel le Contrôleur de données s’est opposé, les Parties ont le droit de résilier le Contrat et, le cas échéant, le Contrat principal avec un préavis plus court, cf. 7.2. Pendant cette période, le Contrôleur de données ne doit pas exiger que le Processeur de données n’utilise pas le Processeur de données auxiliaire en question.

5.3 Le Processeur de données doit imposer les mêmes obligations au Processeur de données auxiliaire que celles définies dans le Contrat. Ceci est exécuté moyennant un contrat ou un autre acte juridique en vertu du droit de l’UE ou de la loi d’un État membre. Il faut s’assurer que le Processeur de données auxiliaire dispose des garanties suffisantes pour mettre en œuvre les mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du Règlement général sur la protection des données (les conditions dites « back-to-back »).

5.4 Si le Processeur de données auxiliaire ne remplit pas ses obligations en matière de protection des données, le Processeur de données demeure responsable envers le Contrôleur de données de l’exécution des obligations du Processeur de données auxiliaire.

5.5 Le Processeur de données doit, au nom du Contrôleur de données, conclure des accords avec des Processeur de données auxiliaires dans l’UE/EEE. En ce qui concerne les Processeur de données auxiliaires en dehors de l’UE/EEE, le Processeur de données doit conclure des accords types conformément à la Décision de la Commission 2010/87/UE du 5 février 2010 relative aux clauses contractuelles types pour le transfert de données personnelles à des processeurs établis dans des pays tiers (« Contrats standard ») ou conformément au Bouclier de confidentialité UE/US.

5.6 Le Contrôleur de données accorde par la présente au Processeur de données une procuration générale pour conclure des contrats types avec des Processeur de données auxiliaires en dehors de l’UE/EEE pour le compte du Contrôleur de données.

5.7 Le sous-traitant est tenu de conclure des accords écrits de traitement des données avec ses sous-traitants au sein de l’UE/EEE. Pour les sous-traitants hors UE/EEE, le sous-traitant doit mettre en place les garanties appropriées, par exemple la dernière version des clauses contractuelles types de la Commission européenne, et conclure un accord de traitement des données.

5.8 Au moment de la signature du présent Accord, le Sous-traitant engage les sous-traitants énumérés à l’ Annexe 3.

6. Responsabilités

6.1 La responsabilité des Parties est régie par le Contrat principal.

6.2 La responsabilité des Parties en matière de dommages-intérêts en vertu du présent Contrat est régie par le Contrat principal.

7. Date d’entrée en vigueur et résiliation

7.1 Le présent Contrat entrera en vigueur en même temps que le Contrat principal. En cas de résiliation du Contrat principal, le présent Contrat prendra également fin. Toutefois, le Processeur de données reste soumis aux obligations stipulées dans le présent Contrat, dès lors qu’il traite les données personnelles au nom du Contrôleur de données.

7.3 À la fin des services de traitement, le Processeur de données est tenu de supprimer ou de renvoyer toutes les données personnelles au Contrôleur de données, à la demande du Processeur de données, et de supprimer les copies existantes, sauf si la conservation des données personnelles est prescrite par une loi de l’UE ou une loi nationale.

8. Droit applicable et juridiction

8.1 Toute réclamation ou tout litige découlant du présent Contrat ou en relation avec celui-ci doit être réglé par un tribunal compétent de première instance dans la même juridiction que celle indiquée dans le Contrat principal.

Annexe 1

Catégories de personnes concernées, types de données personnelles et instructions 

1. Catégories de personnes concernées :

• Le sous-traitant traitera les informations de contact des visiteurs du site Web du responsable du traitement des données et des clients et/ou membres, employés, fournisseurs, partenaires commerciaux et de collaboration et affiliés actuels, potentiels ou anciens du responsable du traitement des données.
• Le sous-traitant met son système à la disposition du responsable du traitement sous forme de service hébergé, et il ne lui est pas possible de déterminer toutes les catégories de personnes concernées. Si le responsable du traitement héberge des données sur d’autres catégories de personnes concernées, il est tenu d’enregistrer ces informations.

2. Types de données personnelles :

En général, toutes les données personnelles traitées via l’espace web du Responsable du traitement sont traitées par le Sous-traitant. La liste non exhaustive ci-dessous présente les types de données personnelles les plus courants traités via les espaces web. Le Responsable du traitement décide quelles données personnelles il souhaite traiter via l’infrastructure du Sous-traitant. Cela peut inclure des catégories particulières de données personnelles énumérées à l’article 9 du RGPD.

• Informations de contact et d’identification, y compris e-mail
• Adresses IP
• Noms de domaine
• Noms d’utilisateur
• Informations sur l’adhésion
• Analyses et données d’utilisation
• Historique des commandes et informations
• Contrats
• Communication
• Assistance
• Photos
• Statut du consentement marketing
• Données personnelles incluses dans les e-mails
• D’autres types de données personnelles peuvent survenir 

3. Instructions

Service

Le sous-traitant peut traiter les données personnelles concernant les personnes concernées dans le but de fournir, développer, gérer, administrer et gérer les services de l’accord principal, notamment en garantissant la stabilité et la disponibilité de nos serveurs et en répondant aux exigences légales.

Durée de conservation

Les données personnelles stockées/hébergées dans nos systèmes sont supprimées ou anonymisées dans un délai raisonnable après que le responsable du traitement des données a complètement résilié le contrat principal.

Lieu de traitement 

Le traitement des données personnelles couvertes par l’Accord ne doit pas être effectué sans le consentement écrit préalable du Responsable du traitement des données dans des lieux autres que le centre de données du Sous-traitant des données à Copenhague et l’emplacement des sous-traitants des données tels qu’énumérés à l’Annexe 3.

Annexe 2

Mesures de sécurité

Domaine	Practiques
Organisation de la sécurité de l’information	Propriété de la sécurité. One.com a désigné un agent de sécurité chargé de coordonner et de surveiller l’application des règles et procédures de sécurité. Une gouvernance composée de personnes de niveau C assiste et guide l’agent de sécurité. Rôles et responsabilités en matière de sécurité. One.com personnel ayant accès à Les données des clients sont soumises à des obligations de confidentialité, ce qui est souligné lors de l’emploi et de la sensibilisation continue. Gestion des risques. One.com effectue en permanence une évaluation des risques, dans le cadre de la gestion des risques, avant de traiter les données des clients ou de lancer des services. Le parcours de gestion des risques permet de se concentrer sur les menaces pertinentes en hiérarchisant, structurant et atténuant les risques au-delà de ce qui est accepté. Une sauvegarde est mise en place. Le Sous-traitant conserve ses documents de sécurité conformément à ses exigences de conservation après qu’ils ne sont plus en vigueur.
Gestion d’actifs	Inventaire des actifs. Le sous-traitant tient un inventaire de tous les supports sur lesquels les données des clients sont stockées. L’accès aux inventaires de ces supports est limité au personnel du Sous-traitant autorisé par écrit à y accéder. Gestion des actifs – One.com classifie les données des clients afin de les identifier et de permettre une restriction appropriée de l’accès à celles-ci. – Le personnel du processeur de données doit obtenir l’autorisation du processeur de données avant de stocker les données des clients sur des appareils portables, d’accéder à distance aux données des clients ou de traiter les données des clients en dehors des installations du processeur de données.
Sécurité des ressources humaines	Formation à la sécurité. One.com informe son personnel sur les procédures de sécurité pertinentes et leurs rôles respectifs, ainsi que sur les nouvelles menaces, etc., lorsque les employés jouent un rôle essentiel à cet égard.
Sécurité physique et environnementale	Accès physique aux installations. One.com limite l’accès aux installations où se trouvent les systèmes d’information qui traitent les données des clients aux personnes autorisées identifiées. Accès physique aux composants. One.com garantit des restrictions suffisantes des supports contenant des données client. Protection contre les perturbations. One.com utilise une variété de systèmes standard de l’industrie pour se protéger contre la perte de données due à une panne d’alimentation, une inondation, un incendie ou une interférence de ligne. Élimination des composants. One.com utilise des processus standard pour supprimer les données client lorsqu’elles ne sont plus nécessaires.
Communications et Gestion des opérations	Politique opérationnelle. One.com tient à jour des documents de sécurité décrivant ses mesures de sécurité ainsi que les procédures et responsabilités pertinentes de son personnel qui a accès aux données des clients. Procédures de récupération des données – One.com stocke des copies des données du client et des procédures de récupération des données dans un endroit différent de celui où se trouve l’équipement informatique principal traitant les données du client. – One.com a mis en place des procédures spécifiques régissant l’accès aux copies des données des clients. Logiciels malveillants. One.com dispose de contrôles anti-programmes malveillants pour empêcher les logiciels malveillants d’accéder sans autorisation aux données des clients, y compris les logiciels malveillants provenant de réseaux publics. Un antivirus a également été mis en place. Enregistrement des événements. One.com enregistre, ou permet au client de se connecter, l’accès et l’utilisation des systèmes d’information contenant les données du client, l’enregistrement de l’ID d’accès, l’heure, l’autorisation accordée ou refusée et l’activité pertinente. Cryptage. Les communications sur Internet entre les systèmes qui traitent des données personnelles sont cryptées.
Contrôle d’accès	Politique d’accès. One.com tient un registre des privilèges de sécurité des personnes ayant accès aux données des clients. Autorisation d’accès – One.com désactive les identifiants d’authentification qui n’ont pas été utilisés pendant une période ne dépassant pas six mois. – One.com identifie le personnel qui peut accorder, modifier ou annuler l’accès autorisé aux données et aux ressources.  – One.com garantit que lorsque plus d’une personne a accès à des systèmes contenant des données sur les clients, les personnes disposent d’identifiants/identifiants de connexion distincts. Moindre privilège  – One.com limite l’accès aux données des clients aux seules personnes qui en ont besoin pour exercer leurs fonctions. Intégrité et confidentialité – One.com donne pour instruction à son personnel de désactiver les sessions administratives lorsqu’il quitte les locaux ou lorsque les ordinateurs sont laissés sans surveillance. – One.com stocke les mots de passe de manière à les rendre inintelligibles lorsqu’ils sont en vigueur. Authentification – One.com utilise les pratiques standard de l’industrie pour identifier et authentifier les utilisateurs qui tentent d’accéder aux systèmes d’information. – Lorsque les mécanismes d’authentification sont basés sur des mots de passe, le Sous-traitant exige que les mots de passe soient renouvelés régulièrement. – One.com veille à ce que les identifiants désactivés ou expirés ne soient pas accordés à d’autres personnes. – One.com surveille, ou permet au client de surveiller, les tentatives répétées d’accès au système d’information à l’aide d’un mot de passe non valide. – One.com maintient des procédures standard de l’industrie pour désactiver les mots de passe qui ont été corrompus ou divulgués par inadvertance. – One.com utilise les pratiques de protection par mot de passe standard de l’industrie, y compris les pratiques conçues pour maintenir la confidentialité et l’intégrité des mots de passe lorsqu’ils sont attribués et distribués, et pendant le stockage. Conception de réseau. One.com dispose de contrôles pour éviter que des personnes ne s’arrogent des droits d’accès qui ne leur ont pas été attribués pour accéder aux données des clients auxquelles elles ne sont pas autorisées à accéder.
Gestion des incidents de sécurité de l’information	Processus de réponse aux incidents – One.com tient un registre des atteintes à la sécurité avec une description de l’atteinte, la période, les conséquences de l’atteinte, le nom de l’auteur de l’alerte et la personne à qui l’atteinte a été signalée, ainsi que la procédure de récupération des données. – Pour chaque incident de sécurité constituant une violation de données à caractère personnel, la notification par One.com sera faite au responsable du traitement dans les meilleurs délais et, en tout état de cause, dans les 48 heures. – One.com suit ou permet au Client de suivre les divulgations de données client, y compris les données qui ont été divulguées, à qui et à quel moment.
Gestion de la continuité des activités	– One.com Tenir à jour des plans d’urgence et d’urgence pour les installations dans lesquelles se trouvent les systèmes d’information du processeur de données qui traitent les données des clients. – Le stockage redondant de One.com et ses procédures de récupération des données sont conçus pour tenter de reconstruire les données des clients dans leur état d’origine ou de dernière réplication d’avant leur perte ou leur destruction.

Annexe 3

Liste des sous-traitants

Produit – Mass hosting

Fournisseur	Lieu	Fonction
Global Connect A/S	DK	Centre de données
Digital Realty Trust Inc.	DK	Centre de données (sauvegarde)
One.com A/S*	DK	Surveillance des systèmes
One.com India pvt. Ltd.*	IN	Surveillance des systèmes

VPS non géré

Fournisseur	Lieu	Fonction
Envia TEL GmbH	DE	Centre de données
Dogado GmbH*	DE	Surveillance des systèmes

Managed VPS

Fournisseur	Lieu	Fonction
Global Connect A/S	DK	Centre de données
Digital Realty Trust Inc	DK	Centre de données (sauvegarde)
WebPros International GmbH (Plesk)	CH (Suisse)	Fournisseur de panneau de configuration
One.com A/S*	DK	Surveillance des systèmes
One.com India pvt. Ltd.*	IN	Surveillance des systèmes
Acronis International GmbH	CH (Suisse)	Fournisseur de sauvegardes

Website Builder

Fournisseur	Lieu	Fonction
Global Connect A/S	DK	Centre de données
Digital Realty Trust Inc	DK	Centre de données (sauvegarde)
Amazon Web Services Inc.	US/DE	Fonctionnalités d’essai du Website Builder (cluster DE)
SiteWit Oyj (Kliken)	US	Solution d’analyse de site web
Termly Inc.*	US	Gestion du consentement
Shore GmbH*	DE	Réservations
Google Inc.	US	Captcha
One.com A/S*	DK	Surveillance des systèmes
One.com India pvt. Ltd.*	IN	Surveillance des systèmes

Premium Care

Fournisseur	Lieu	Fonction
Liven Studio Ltd. (WP Umbrella)	US	Logiciel de surveillance pour WordPress

WP.one

Fournisseur	Lieu	Fonction
Google Inc.	US/NL	Google Cloud (cluster NL)

*Les entités marquées d’un * font partie de Group.one