Accord sur la protection des données personnelles

Dans le cadre de la réalisation du Contrat entre SOFYX et le Client, la présente Annexe a pour objet de définir les conditions dans lesquelles les Parties traiteront les données à caractère personnel qui leur seront communiquées. SOFYX et le Client (ci-après « les Parties ») s’engagent à respecter la réglementation en vigueur applicable au traitement de données à caractère personnel et, en particulier :
‍
- La loi Informatique et Liberté du 6 janvier 1978,
- Le Règlement Européen sur les Données Personnelles (RGPD.) du 23 mai 2018
- La loi de transposition du Règlement Européen sur la Protection des Données Personnelles(RGPD) du 20 juin 2018.

Les termes utilisés dans cette Annexe ont le sens qui leur sont conférés par le RGPD ou sont définis dans le Contrat qui lie les parties et auquel cette Annexe est jointe. En cas de contradiction entre l’Annexe et le Contrat, l’Annexe prévaut.

Article 1 – Définitions
Dans le cadre de la présente Annexe, les termes ci-dessous ont la signification qui leur est attribuée au sens du RGPD (Article 4) :
Consentement : « de la personne concernée, toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement » ;

Responsable du traitement : « la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement; lorsque les finalités et les moyens de ce traitement sont déterminés par le droit de l'Union ou le droit d'un État membre, le responsable du traitement peut être désigné ou les critères spécifiques applicables à sa désignation peuvent être prévus par le droit de l'Union ou par le droit d'un Étatmembre » ;

Sous-traitant : « la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement » ;

Traitement : « toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction » ;

Violation de données à caractère personnel : « une violation de la sécurité entrainant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou l'accès non autorisé à de telles données ».

Les termes suivants sont également employés :

Client : désigne la personne morale cocontractante de SOFYX, intervenant dans le cadre de son activité professionnelle;

Compte : compte du Client, permettant d’utiliser la Solution et d’accéder aux Services, accessible par son identifiant ainsi que son mot de passe, et contenant ses informations personnelles ainsi que son historique. Il peut s’agir d’un compte administrateur ou utilisateur, dont les fonctionnalités varient et sont décrites au sein de la Documentation;

Contrat : désigne le Contrat liant la Société SOFYX au Client permettant aux Utilisateurs d’accéder à la Solution et aux Services;

Données  : désignent les informations, publications et, de manière générale, les données du Client importées sur la Solution et faisant l’objet des Services et pouvant être consultées uniquement par les Utilisateurs ;

Dossier : désigne un dossier créé par le Client sur la Solution, relativement à l’un de ses clients au titre de son activité professionnelle;

SaaS : (Software as a Service) désigne le mode de mise à disposition à distance des fonctionnalités des Services et de la Solution utilisant les technologies Internet et accessible par l’intermédiaire du réseau Internet ;

Services : désigne les Services fournis par SOFYX au Client et aux Utilisateurs via la Solution tels que définis dans les présentes Conditions; SOFYX ou le Prestataire : désigne la Société SOFYX, SAS au capital de 15.000 €, immatriculée au RCS de Paris sous le numéro 932 422 744, dont le siège social est 97 rue Pelleport 75020 Paris, pouvant être contactée par mail à contact@sofyx.fr;

Solution : désigne la Solution SOFYX.IO accessible par le Client en mode SaaS, en fonction de l’Abonnement souscrit par le Client ;

Utilisateur : désigne toute personne physique habilitée par le Client pouvant avoir accès aux Services età la Solution, dans les limites prévues par les présentes, notamment par les Conditions Générales d’Utilisation.

Article 2 – Rôle des Parties
Le Client met à disposition de SOFYX et autorise ce dernier à traiter aux fins de réalisation des Services dans le cadre du Contrat, des données, fichiers, etc. de quelque nature que ce soit et sous quelque forme que ce soit, constituant des Données personnelles.

Conformément à la règlementation applicable :
- Le Client agit en qualité de Responsable de traitement des Données personnelles traitées par SOFYX pour le compte du Client
- SOFYX agit pour le compte du Client en seule qualité de Sous-traitant pour les traitements indiqués en article 5, conformément au présent Accord et sur seules instructions du Responsable de Traitement ;
- SOFYX agit en qualité de Responsable de traitement pour certains traitements dont il détermine seul la finalité et indiqués en article 5;
- Chaque Partie agit en qualité de Responsable de traitement des Données personnelles de l’autre Partie à des fins de suivi et d’exécution du Contrat.

Article 3 – Obligations du Responsable de traitement
Le responsable de traitement s’engage à fournir à SOFYX toutes les instructions nécessaires au traitement des données personnelles et s’assurer au préalable de la licéité du traitement des Données personnelles. Il s’engage à fournir l’information aux sujets concernés par les opérations de traitement et assurer aux Personnes concernées (5.1) la possibilité d’exercer leurs droits sur leurs données personnelles.

Le Responsable de traitement s’engage à informer ses propres clients, prospects, salariés et tout sujet dont les données personnelles sont transmises au Sous-traitant, du traitement de leurs données par le sous-traitant et doit d’assurer de la légalité de toute collecte ou traitement de données. Le Clients ’engage à informer ses propres sujets dont les données sont traitées aux fins des présentes que les données personnelles de paiement feront l’objet d’un traitement dans les conditions ci-après et à respecter les règles applicables en matière de données personnelles, en tant que responsable de traitement. En cas de non-respect de cette obligation d’information préalable et de non-recueil du consentement préalable par le Responsable de traitement, ce dernier s’engage expressément à dégager la responsabilité de SOFYX.

Article 4 – Obligations du Sous-traitant
‍
4.1 Traitement des Données du Client pour le compte du Client
Les Données du Responsable de traitement (ci-après « Données personnelles du Client ») seront collectées et traitées par le Sous-traitant lors de l’exécution des Prestations indiquées au Contrat, aux seules fins de l’exécution des Prestations et dans le cadre des finalités indiquées ci-après à l’article 5.

SOFYX s’interdit ainsi toute utilisation ou traitement des Données personnelles du Client non conforme aux instructions écrites du Client et/ou étranger(ère) à l’exécution des Services. Le Prestataire s’engage en particulier à ne faire aucun usage, y compris commercial, pour son propre compte ou pour le compte de tiers, des Données personnelles du Client traitées à l’occasion de l’exécution des Services pour le compte du Client. Si SOFYX devait traiter des données personnelles pour des finalités qui lui sont propres, il agirait dès lors en qualité de responsable de traitement de ces données.

Ces Données personnelles constituent des informations confidentielles, qui seront traitées comme telles par le Sous-traitant. Il s’assurera que les personnes autorisées à traiter les Données personnelles en vertu du présent Contrat s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité et reçoivent la formation nécessaire en matière de protection des Données Personnelles.

Le Sous-traitant garantit qu’il dispose de compétences techniques et organisationnelles nécessaires afin d’exécuter les Services dans le respect des obligations fixées dans la présente Annexe et tout en assurant la protection des Données Personnelles du Client en conformité avec la Réglementation applicable.

Le Sous-traitant devra conseiller et assister le Responsable de traitement afin de garantir la conformité à la Réglementation application des traitements des Données personnelles du Client réalisés dans le cadre des Services et de lui permettre de respecter ses propres obligations imposées par la Réglementation applicable.

Chaque Partie garantit et indemnise l’autre Partie contre tout recours d’un tiers du fait d’un manquement par la Partie responsable à ses obligations contractuelles ou légales en matière de protection des données à caractère personnel, les limites de responsabilité prévues au sein du Contrat restant toutefois applicables.

Le Prestataire communique au Client le nom et les coordonnées de son délégué à la protection des données, s’il en a désigné un conformément à l’article 37 du règlement européen sur la protection des données.

4.2 Instructions
Le sous-traitant ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement, à moins qu’il ne soit tenu d’y procéder en vertu du droit de l’Union ou du droit de l’État membre auquel il est soumis. Dans ce cas, le sous-traitant informe le responsable du traitement de cette obligation juridique avant le traitement, sauf si la loi le lui interdit pour des motifs importants d’intérêt public. Des instructions peuvent également être données ultérieurement par le responsable du traitement pendant toute la durée du traitement des données à caractère personnel. Ces instructions doivent toujours être documentées.

Le sous-traitant informe immédiatement le responsable du traitement si, selon lui, une instruction donnée par le responsable du traitement constitue une violation du règlement (UE) 2016/679 / du règlement (UE) 2018/1725 ou d'autres dispositions du droit de l'Union ou du droit des États membres relatives à la protection des données.

Le Sous-traitant s’engage à informer le Responsable de traitement dans les plus brefs délais de tout événement affectant le traitement des Données personnelles du Client ou de toute modification ou changement le concernant pouvant impacter ledit traitement.

Au terme de l’exécution des Services, le Sous-traitant s’engage à restituer ou à détruire, selon les instructions et dans les délais indiqués par le Responsable de traitement, sauf s’il est tenu de les conserver pour respecter ses obligations légales et/ou réglementaires, l’ensemble des Données personnelles du Client traitées pour le compte du Client, de manière automatisée ou manuelle.

4.3 Données sensibles
Si le traitement porte sur des données à caractère personnel révélant l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, ainsi que des données génétiques ou des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique, ou des données relatives aux condamnations pénales et aux infractions («données sensibles»), le sous-traitant applique des limitations spécifiques et/ou des garanties supplémentaires.

Article 5 – Description des traitements
‍
5.1 Catégories de personnes concernées dont les données sont traitées
Le Responsable de traitement peut soumettre des Données à caractère personnel au Sous-traitant, pouvant inclure les catégories suivantes de personnes :
‍
5.1.1 Données traitées par le Sous-traitant pour le compte du Responsable de traitement

5.2 Catégories de données à caractère personnel traitées
Le Responsable de traitement peut soumettre des Données à caractère personnel au Sous-traitant, pouvant inclure, mais sans s’y limiter, les catégories suivantes de données à caractère personnel :