Accord de traitement des données

Aux fins du présent Accord de traitement des données (« DPA ») :

• « Responsable du traitement » désigne la personne physique ou morale qui détermine les finalités et les moyens du Traitement des Données personnelles.
• « Sous-traitant » désigne la personne physique ou morale qui Traite des Données personnelles pour le compte du Responsable du traitement.
• « Données personnelles » désigne toute information relative à une personne physique identifiée ou identifiable.
• « Traitement » désigne toute opération effectuée sur des Données personnelles, notamment leur collecte, stockage, utilisation, divulgation ou suppression.
• « Personne concernée » désigne la personne physique à laquelle se rapportent les Données personnelles.
• « Sous-traitant ultérieur » désigne tout tiers engagé par Chargezen pour Traiter des Données personnelles.

Le présent DPA s’applique au Traitement de Données personnelles par Chargezen (en qualité de Sous-traitant) pour le compte du Client (en qualité de Responsable du traitement) dans le cadre des Services fournis conformément aux Conditions d’utilisation.

Chargezen Traitera les Données personnelles uniquement :

• Aux fins de la fourniture des Services
• Dans la mesure nécessaire au respect du droit applicable
• Selon les autres instructions écrites du Client

Le Client déclare et garantit que :

• Il dispose de tous les droits et consentements nécessaires pour fournir des Données personnelles à Chargezen
• Il respectera toutes les lois applicables en matière de protection des données
• Ses instructions de Traitement ne violeront aucune loi applicable
• Il est responsable de l’exactitude, de la qualité et de la licéité des Données personnelles

Chargezen s’engage à :

• Traiter les Données personnelles uniquement sur instructions documentées du Client
• Veiller à ce que le personnel autorisé à Traiter les Données personnelles soit soumis à des obligations de confidentialité
• Mettre en œuvre des mesures de sécurité techniques et organisationnelles appropriées
• Aider le Client à répondre aux demandes des Personnes concernées
• Aider le Client dans les analyses d’impact relatives à la protection des données et les consultations réglementaires
• Supprimer ou restituer les Données personnelles à la résiliation, au choix du Client
• Mettre à disposition les informations nécessaires pour démontrer la conformité

Chargezen maintient des mesures de sécurité complètes, notamment :

• Chiffrement : chiffrement AES-256 au repos et TLS 1.3 en transit
• Contrôle d’accès : accès selon les rôles, MFA, prise en charge du SSO
• Surveillance : surveillance de sécurité et détection des menaces 24 h/24 et 7 j/7
• Infrastructure : hébergeurs certifiés SOC 2 Type II
• Gestion des vulnérabilités : tests d’intrusion et audits de sécurité réguliers
• Réponse aux incidents : procédures documentées de réponse aux incidents

Le Client autorise Chargezen à engager des Sous-traitants ultérieurs pour les activités de Traitement. Chargezen :

• Tiendra une liste à jour des Sous-traitants ultérieurs (disponible sur demande)
• Notifiera au Client tout changement envisagé concernant les Sous-traitants ultérieurs
• Conclura des accords écrits avec les Sous-traitants ultérieurs imposant des obligations équivalentes de protection des données
• Restera responsable des actes et omissions de ses Sous-traitants ultérieurs

Le Client peut s’opposer à un nouveau Sous-traitant ultérieur dans les 30 jours suivant la notification. Si son objection n’est pas résolue, le Client peut résilier les Services concernés.

Chargezen peut transférer des Données personnelles hors de l’Espace économique européen (EEE) conformément aux exigences du RGPD, en recourant aux éléments suivants :

• Clauses contractuelles types (CCT) : clauses modèles approuvées par l’UE pour les transferts de données
• Décisions d’adéquation : transferts vers des pays offrant une protection adéquate
• Garanties supplémentaires : chiffrement et contrôles d’accès à titre de mesures complémentaires

Pour les transferts vers les États-Unis, Chargezen met en œuvre des mesures techniques supplémentaires de protection contre l’accès des autorités publiques.

Chargezen aidera le Client à remplir ses obligations de réponse aux demandes des Personnes concernées, notamment :

• Accès aux Données personnelles
• Rectification des données inexactes
• Effacement (« droit à l’oubli »)
• Limitation du Traitement
• Portabilité des données
• Opposition au Traitement

Chargezen informera rapidement le Client si elle reçoit une demande d’une Personne concernée.

En cas de violation de Données personnelles, Chargezen :

• Notifiera le Client sans retard injustifié (dans les 72 heures suivant la prise de connaissance)
• Fournira des informations sur la nature de la violation, les catégories de données concernées et les conséquences probables
• Décrira les mesures prises ou proposées pour remédier à la violation
• Coopérera à l’enquête du Client et à ses obligations de notification

Le Client a le droit d’auditer la conformité de Chargezen au présent DPA. Les audits peuvent être réalisés :

• Par le Client ou un auditeur tiers indépendant (sous réserve de confidentialité)
• Moyennant un préavis raisonnable (au moins 30 jours)
• Au plus une fois par an (sauf exigence d’une autorité réglementaire)
• Aux frais du Client (sauf si l’audit révèle un manquement substantiel)

Chargezen fournira également des rapports d’audit (par exemple, SOC 2 Type II) sur demande, sous accord de confidentialité.

Le présent DPA reste en vigueur pendant toute la durée de l’Accord de services. À la résiliation :

• Chargezen cessera de Traiter les Données personnelles (sauf obligation légale)
• Au choix du Client, Chargezen supprimera ou restituera toutes les Données personnelles dans les 30 jours
• Chargezen certifiera la suppression par écrit sur demande

La responsabilité au titre du présent DPA est soumise aux limitations de l’Accord de services. Chaque partie n’est responsable que des dommages causés par un Traitement qui enfreint :

• Le présent DPA
• Les lois applicables en matière de protection des données
• Les instructions licites du Client