DÉSIGNATION DU RESPONSABLE DU TRAITEMENT DES DONNÉES

DÉSIGNATION DU RESPONSABLE DU TRAITEMENT DES DONNÉES

conformément à l’art. 28 du Règlement (UE) 2016/679

Dans le cadre des activités et services prévus et régis par le contrat de service pour l’accès et l’utilisation de la plateforme logicielle cloud “Cyber Guru” conclu avec Cyber Guru S.p.A. (le « Contrat »), la société Cliente, (« Responsable du traitement »)

CONSIDÉRANT QUE :

• l’art. 28, par. 3, du Règlement (UE) 2016/679 (General Data Protection Regulation), ci-après également « RGPD », prévoit que les traitements effectués pour le compte du Responsable du traitement par un Sous-traitant soient régis par un contrat ou un autre acte juridique qui détermine l’objet du traitement, sa durée, sa nature et sa finalité, le type de données personnelles traitées et les catégories de personnes concernées, ainsi que les obligations et droits du Responsable du traitement ;
• l’art. 28 du Règlement (UE) 2016/679 reconnaît également au Responsable du traitement la faculté de recourir à un ou plusieurs Sous-traitants, disposant de l’expérience, des compétences et des connaissances nécessaires pour mettre en œuvre des mesures techniques et organisationnelles répondant aux exigences du règlement, notamment en matière de sécurité ;

DÉSIGNE

la société Cyber Guru S.p.A., représentée par son représentant légal p.t., dont le siège est à Rome (Italie), Viale della Grande Muraglia 284, 00144 Rome, Tél. (+39) 065159281, Fax (+39) 0651963515, en tant que SOUS-TRAITANT DES DONNÉES PERSONNELLES, compte tenu des activités de traitement nécessaires et/ou appropriées à l’exécution des obligations convenues, estimant, aux fins de la désignation, que le Sous-traitant présente des garanties suffisantes pour mettre en œuvre des mesures techniques et organisationnelles appropriées afin de satisfaire aux exigences du Règlement UE n° 2016/679.

La présente désignation n’entraîne aucune modification de la qualification professionnelle du Sous-traitant et/ou des obligations convenues entre les Parties et sera régie par les dispositions suivantes.

ART. 1 - NATURE ET FINALITÉ DU TRAITEMENT

Le traitement des données personnelles est effectué exclusivement pour la bonne exécution des activités convenues dans l’utilisation de la plateforme logicielle ou des produits/services fournis par “Cyber Guru” tels que mieux décrits dans le Contrat.

ART. 2 - CATÉGORIES DE PERSONNES CONCERNÉES ET DONNÉES PERSONNELLES TRAITÉES

Le Sous-traitant, pour réaliser les activités pour le compte du Responsable du traitement, traite directement et/ou indirectement les catégories suivantes de données personnelles et d’informations relatives aux catégories de personnes concernées décrites, dans la limite des services achetés :

ART. 3 - OBLIGATION DE CONFIDENTIALITÉ

Dans le cadre des activités menées par le Sous-traitant, seules les données personnelles visées à l’art. 4 n. 1 du Règlement UE 2016/679, à l’exclusion des catégories particulières, seront traitées. Le Sous-traitant ainsi que ses salariés et collaborateurs sont tenus à une confidentialité absolue et s’engagent à traiter les données de manière confidentielle et discrète, en évitant toute communication et/ou connaissance par des personnes non autorisées.

ART. 4 - DISPONIBILITÉ, UTILISATION DES DONNÉES ET FIN DU TRAITEMENT

Quelle que soit la finalité et la durée du traitement effectué par le Sous-traitant :

• les données ne pourront être vendues ou cédées, en tout ou partie, à d’autres personnes ;
• le Sous-traitant s’engage à ne revendiquer aucun droit sur les données et les documents consultés ;
• conformément aux prescriptions du RGPD, il est explicitement interdit au Sous-traitant d’envoyer des messages publicitaires, commerciaux ou promotionnels et, de manière générale, de contacter les personnes concernées à des fins autres que celles prévues dans le présent acte.

Une fois les traitements objet du Contrat terminés, sauf renouvellement, le Sous-traitant s’engage à restituer au Responsable du traitement les données personnelles acquises, portées à sa connaissance ou traitées dans le cadre de l’exécution des services fournis et, seulement ensuite, à les supprimer de ses propres archives ou à les détruire dans un délai de 90 jours après la cessation du Contrat, sauf obligation légale de conservation. Il est entendu que la justification de la prolongation des obligations de conservation incombe au Sous-traitant et que les seules finalités poursuivies avec ces données sont strictement limitées au respect de ces obligations légales.

ART. 5 - VALIDITÉ ET RÉVOCATION DE LA DÉSIGNATION

La présente désignation sera valable pendant toute la durée de la relation juridique entre les Parties et pourra être révoquée à la discrétion du Responsable du traitement.

La présente désignation ne constitue pas une charge supplémentaire pour le Sous-traitant, celle-ci relevant des obligations légales qui régissent les relations avec le Responsable du traitement en matière de protection des personnes physiques à l’égard du traitement des données personnelles.

ART. 6 - SOUS-SOUS-TRAITANTS

Le Sous-traitant est autorisé, conformément à l’art. 28 par. 4 du RGPD, à recourir à un autre prestataire (ci-après « Sous-sous-traitant ») pour l’exécution d’activités spécifiques de traitement pour le compte du Responsable du traitement, en régissant la relation par un acte juridique ou un contrat visant à délimiter les responsabilités respectives et en faisant signer au Sous-sous-traitant les mêmes conditions que celles prévues dans le présent acte de désignation, avec adoption expresse des obligations en matière de protection des données personnelles déjà à la charge du Sous-traitant et découlant de la signature du présent acte.

Le Sous-traitant s’engage à transmettre au Responsable du traitement, sur demande formelle de ce dernier, la liste des Sous-sous-traitants identifiés.

Le Sous-traitant devra s’assurer que le Sous-sous-traitant offre des garanties suffisantes de fiabilité et de confidentialité et mette en œuvre des mesures techniques et organisationnelles appropriées afin que le traitement réponde aux exigences du RGPD et qu’il restitue (ou supprime) les données personnelles traitées et toute copie à la fin de la prestation de service. Si le Sous-sous-traitant omet de remplir ses obligations en matière de protection des données personnelles, le Sous-traitant déclare expressément et garantit assumer l’entière responsabilité de l’exécution des obligations de ce dernier.

Le Sous-traitant devra transmettre à la Société la dénomination du Sous-sous-traitant, ainsi que toute modification concernant l’ajout ou le remplacement par d’autres Sous-sous-traitants, en laissant au Responsable du traitement la possibilité de s’y opposer.

ART. 7 - DÉSIGNATION ET AUTORISATION DES PERSONNES HABILITÉES

Le Sous-traitant garantit l’identification précise des personnes intervenant à quelque titre que ce soit dans son organisation comme personnes « autorisées » au traitement.

En particulier, le Sous-traitant s’engage à permettre l’accès et le traitement des données personnelles uniquement au personnel dûment formé et spécifiquement désigné, y compris conformément à l’art. 2-quaterdecies du D. Lgs. 196/2003 et s.m.i.

Le Sous-traitant s’engage à effectuer par écrit les désignations et à limiter l’accès et le traitement aux seules données personnelles nécessaires à l’exécution des activités prévues par le Contrat.

Le personnel autorisé devra recevoir une formation adéquate et spécifique concernant le respect des mesures organisationnelles et techniques, notamment les mesures de sécurité adoptées, appropriées pour garantir la protection des données personnelles traitées conformément aux dispositions légales et aux bonnes pratiques en la matière.

Plus précisément, le Sous-traitant :

• identifie les personnes autorisées au traitement des données en leur donnant, par écrit, des instructions détaillées sur les opérations autorisées et les mesures de sécurité à adopter en fonction de la sensibilité des données traitées ;
• veille régulièrement à la bonne application par les personnes autorisées des prescriptions, y compris par des contrôles périodiques ;
• garantit l’adoption de différents profils d’autorisation pour les personnes désignées, afin de limiter l’accès aux seules données nécessaires aux opérations de traitement autorisées selon les fonctions exercées ;
• vérifie périodiquement la nécessité de maintenir les profils d’autorisation de toutes les personnes désignées, en modifiant rapidement ce profil si nécessaire (ex. changement de fonction) ;
• assure la formation et la mise à jour professionnelle des personnes autorisées travaillant sous sa responsabilité sur les dispositions légales et réglementaires en matière de protection des données personnelles.

Le Sous-traitant, sur demande, transmet au Responsable du traitement, par P.E.C., la liste nominative avec le détail des fonctions des personnes autorisées au traitement des données personnelles réalisées pour son compte et dans le cadre du Contrat.

ART. 8 - DÉLÉGUÉ À LA PROTECTION DES DONNÉES

Le Sous-traitant, conformément aux art. 37 et suivants du RGPD, a désigné un Délégué à la protection des données personnelles dont les coordonnées sont : privacy@cyberguru.it.

ART. 9 - DROITS DES PERSONNES CONCERNÉES

Étant entendu que l’exercice des droits reconnus à la personne concernée conformément aux art. 15 et suivants du RGPD sera géré directement par le Responsable du traitement, le Sous-traitant se tient à disposition pour collaborer avec le Responsable du traitement en lui fournissant toutes les informations nécessaires pour répondre aux éventuelles demandes reçues à cet effet.

Le Sous-traitant s’engage à assister le Responsable du traitement avec des mesures techniques et organisationnelles appropriées afin de permettre au Responsable du traitement de répondre aux demandes d’exercice des droits des personnes concernées.

En particulier, le Sous-traitant devra informer le Responsable du traitement, sans délai et en tout cas dans les 72 heures suivant la réception, des demandes éventuellement reçues et formulées par les personnes concernées au titre des droits prévus par la législation en vigueur (ex. droit d’accès, etc.) et fournir les informations nécessaires afin de permettre au Responsable du traitement d’y répondre dans les délais prévus par la loi.

ART. 10 - REGISTRE DES TRAITEMENTS

Le Sous-traitant – lorsque cette obligation s’applique également à lui en vertu des dispositions du paragraphe 5 de l’art. 30 du RGPD – tient un registre (sous forme écrite et/ou électronique) de toutes les catégories d’activités de traitement effectuées pour le compte du Responsable du traitement, contenant :

• le nom et les coordonnées du Sous-traitant et/ou de ses Sous-sous-traitants ;
• les catégories de traitements effectués pour le compte du Responsable du traitement ;
• le cas échéant, les transferts de données personnelles vers un pays tiers ou une organisation internationale, y compris l’identification du pays tiers ou de l’organisation internationale et, pour les transferts visés au deuxième alinéa de l’article 49 du RGPD, la documentation des garanties appropriées adoptées ;
• si possible, une description générale des mesures de sécurité techniques et organisationnelles visées à l’art. 32, par. 1 du RGPD.

Le Sous-traitant garantit également de mettre à disposition du Responsable du traitement et/ou de l’Autorité de contrôle qui en ferait la demande, ledit registre des traitements.

Le Sous-traitant s’engage à assister le Responsable du traitement dans la rédaction de son propre registre des activités de traitement, en signalant également, pour ce qui le concerne, toute modification à apporter au registre.

ART. 11 - SÉCURITÉ DES DONNÉES PERSONNELLES

Lors de l’exécution du traitement des Données Personnelles dans le cadre de la prestation des Services, le Sous-traitant s’engage à adopter et à maintenir des mesures de sécurité appropriées, tant techniques qu’organisationnelles, afin d’assurer un niveau élevé de protection des données personnelles et d’éviter tout traitement illicite ou non autorisé, toute destruction accidentelle ou illicite, tout dommage, toute perte accidentelle, toute altération et toute divulgation non autorisée ou accès non autorisé aux Données Personnelles (« Mesures de Sécurité »).

Le Responsable pourra mettre à jour et modifier au fil du temps les Mesures de Sécurité indiquées ci-dessus, étant entendu que ces mises à jour et modifications ne pourront en aucun cas entraîner une diminution du niveau global de sécurité des Services.

Le Responsable sera tenu de mettre à jour les mesures lorsque cela sera requis par l’activité spécifique de traitement et/ou par la Législation en matière de Protection des Données Personnelles, conformément à l’article 32, paragraphe 1 du RGPD, c’est-à-dire « en tenant compte de l’état de l’art et des coûts de mise en œuvre, ainsi que de la nature, de l’objet, du contexte et des finalités du traitement, ainsi que du risque de probabilité et de gravité variables pour les droits et libertés des personnes physiques ».

La liste des mesures de sécurité mises en œuvre à la date de signature du présent acte de désignation est disponible sur demande du Responsable du traitement.

ART. 12 - SÉCURITÉ ET ADMINISTRATION DU SYSTÈME (ADS)

Le Responsable fournira au Responsable du traitement la liste nominative des ADS, entendus comme les personnes physiques qui, pour le compte du Responsable et dans le cadre des tâches convenues et confiées par le Responsable du traitement, effectuent des activités de gestion et de maintenance des installations de traitement utilisées pour traiter des données personnelles, y compris les systèmes de gestion de bases de données, les logiciels complexes traitant les données du Responsable du traitement, les réseaux locaux et les dispositifs de sécurité de ce dernier, ou qui peuvent intervenir sur les mesures de sécurité protégeant ces mêmes données. Pour chaque personne identifiée, le Responsable doit communiquer les tâches et opérations effectuées.

ART. 13 - TÂCHES, INSTRUCTIONS ET MODALITÉS DE TRAITEMENT ET EXIGENCES DES DONNÉES PERSONNELLES

Le Responsable a le pouvoir et le devoir de traiter les données personnelles indiquées dans le respect de la législation en vigueur, en suivant à la fois les instructions ci-dessous et celles qui seront communiquées par le Responsable du traitement via des procédures et/ou communications spécifiques.

Le Responsable déclare expressément respecter les instructions ci-après et s’engage à mettre en œuvre, dans le cadre des tâches contractuellement confiées, toutes les obligations prévues par la législation applicable en matière de protection des données personnelles afin de réduire au minimum les risques de destruction ou de perte, même accidentelle, des données, d’accès non autorisé et de traitement non autorisé ou non conforme à la collecte.

Le Responsable s’engage à :

• traiter directement, ou par l’intermédiaire de ses propres employés, collaborateurs externes, consultants, etc. – spécifiquement désignés et autorisés au traitement – les données personnelles du Responsable du traitement, uniquement pour les finalités liées à l’exécution des activités prévues par le Contrat, de manière licite et loyale, et dans le plein respect des dispositions du RGPD et des présentes instructions ;
• ne pas divulguer ni communiquer à des tiers – pour quelque raison que ce soit et à aucun moment, présent ou futur, même après la fin des traitements objet du Contrat – les données personnelles reçues du Responsable du traitement et portées à sa connaissance dans le cadre de l’exécution du service, sauf autorisation écrite préalable du Responsable du traitement, sous réserve d’éventuelles obligations légales ou d’ordres de l’Autorité judiciaire et/ou des autorités administratives compétentes ;
• collaborer avec le Responsable du traitement pour garantir le respect et la conformité à la législation sur la protection des données personnelles ;
• avertir immédiatement le Responsable du traitement en cas de cessation des traitements convenus ;
• ne pas créer de nouvelles bases de données sans l’autorisation expresse du Responsable du traitement, sauf si cela s’avère strictement indispensable à l’exécution des obligations assumées ;
• en cas de réception de demandes spécifiques de l’Autorité de protection des données personnelles ou d’autres autorités, à assister le Responsable du traitement dans la mesure de ses compétences ;
• signaler au Responsable du traitement toute situation critique pouvant mettre en danger la sécurité des données, afin de permettre à ce dernier d’intervenir de manière appropriée ;
• assister, sur demande, le Responsable du traitement et les personnes qu’il désigne dans la rédaction de la documentation nécessaire pour se conformer à la législation sectorielle, en ce qui concerne les traitements de données effectués par le Responsable dans le cadre des activités confiées ;
• Informer immédiatement le Responsable du traitement si, à son avis, une instruction fournie par ce dernier entraîne une violation du Règlement ou d’une autre législation applicable en matière de protection des données personnelles et s’abstenir de toute activité de traitement supplémentaire. Tout traitement fondé sur une instruction du Responsable du traitement ne saurait en aucun cas engager la responsabilité du Fournisseur.

Si la Commission européenne établit, ou si une autorité de contrôle adopte, des clauses contractuelles types pour les matières visées à l’Article 28(3) et à l’Article 28(4) du Règlement conformément à l’Article 28(7) ou à l’Article 28(8) du Règlement (le cas échéant), et que le Responsable du traitement informe le Responsable de son intention d’inclure tout élément de ces clauses contractuelles types dans le présent Accord, le Responsable acceptera les modifications demandées par le Responsable du traitement afin d’inclure ces éléments par écrit, dans la mesure où cela est commercialement raisonnable.

ART. 14 - VIOLATION DE DONNÉES

Le Responsable s’engage à notifier au Responsable du traitement, sans retard injustifié dès qu’il en a connaissance, et en tout cas dans les 72 heures, par communication à envoyer à l’adresse PEC du Responsable du traitement, toute violation de données personnelles (data breach) et/ou incident de sécurité lié aux traitements qui lui sont confiés, en fournissant également :

• la description de la nature de la violation et l’indication des catégories de données personnelles et le nombre approximatif de personnes concernées impliquées ;
• communiquer le nom et les coordonnées du DPO ou d’un autre point de contact auprès duquel obtenir plus d’informations ;
• la description des conséquences probables ;
• la description des mesures adoptées ou dont il dispose pour remédier à la violation ou, au moins, pour en atténuer les éventuels effets négatifs.

Sans préjudice de ce qui précède, le Responsable s’engage à fournir toute l’assistance nécessaire au Responsable du traitement afin de lui permettre de remplir les obligations prévues aux articles 33 et 34 du RGPD.

Une fois les causes de la violation identifiées, le Responsable, en accord avec le Responsable du traitement et/ou toute autre personne désignée par ce dernier, sur demande, prendra toutes les mesures de sécurité physiques et/ou logiques et/ou organisationnelles nécessaires pour éviter qu’une nouvelle violation du même type ne se reproduise, en s’appuyant également, le cas échéant, sur des sous-traitants.

ART. 15 - ANALYSE D’IMPACT ET CONSULTATION PRÉALABLE

En référence aux articles 35 et 36 du RGPD, le Responsable s’engage, sur demande, à assister le Responsable du traitement dans les activités nécessaires à l’accomplissement des obligations prévues par les articles susmentionnés, sur la base des informations en sa possession, en fonction des traitements réalisés en qualité de Responsable du traitement, y compris les informations relatives aux éventuels traitements effectués par les Sous-traitants.

ART. 16 - TRANSFERT DES DONNÉES PERSONNELLES

Le Responsable du traitement s’engage à limiter la circulation et le traitement des données personnelles (ex. : stockage, archivage, conservation des données sur ses propres serveurs) aux pays membres de l’Union européenne, avec interdiction expresse de les transférer vers des pays hors UE qui ne garantissent pas (ou en l’absence de) un niveau de protection adéquat, ou, en l’absence d’instruments de protection prévus par le Règlement UE 2016/679 – CHAPITRE V.

ART. 17 - ACTIVITÉS D’AUDIT

Le Responsable s’engage à mettre à disposition du Responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations de sécurité décrites dans le présent document et, de manière générale, le respect des obligations assumées en vertu du présent acte et du RGPD, en permettant et, sur demande, en contribuant aux activités d’audit, y compris les inspections, réalisées par le Responsable du traitement ou toute autre personne mandatée par ce dernier.

Si le Responsable du traitement constate des comportements non conformes à la législation en vigueur ainsi qu’aux dispositions contenues dans les décisions du Garant pour la protection des données personnelles, il en informera le Responsable, sans que cela ne remette en cause l’autonomie de l’activité de l’entreprise du Responsable ni ne puisse être considéré comme une ingérence dans son activité.

Les vérifications et éventuelles inspections mentionnées dans les paragraphes précédents du présent article devront être convenues entre la Société et le Fournisseur avec un préavis d’au moins 15 jours ouvrés avant la date de la vérification/inspection, par communication aux adresses e-mail de notification.

Avant la vérification/inspection, les Parties devront s’accorder sur l’objet, le calendrier et la durée de celle-ci, étant entendu que la vérification/inspection devra avoir une durée maximale de 2 jours ouvrés consécutifs et ne pourra être réalisée qu’une seule fois par année de contrat. Si, à la demande de la Société, la vérification/inspection devait se prolonger au-delà de 2 jours ouvrés consécutifs ou si la Société devait demander plus d’une vérification/inspection par année contractuelle, la Société s’engage à rembourser au Fournisseur tous les coûts/dépenses excédentaires.

La Société devra fournir rapidement au Fournisseur un rapport écrit de nature confidentielle contenant un résumé de l’objet et des résultats de la vérification/inspection. Le Fournisseur a le droit d’utiliser ce rapport et les informations qu’il contient à sa discrétion.

Dans le cas de vérification/inspection, que la Société procède directement ou confie cette activité à des auditeurs ou consultants mandatés, la Société s’engage à maintenir confidentielles toutes les informations acquises au cours de l’inspection ou relevées dans la documentation et à ne pas communiquer et/ou diffuser à des tiers ces informations/documents.

ART. 18 - INSTRUCTIONS SUPPLÉMENTAIRES

Le Responsable informe rapidement le Responsable du traitement de toute modification de l’organisation ou de la structure de propriété qui interviendrait après l’attribution de la mission, afin que le Responsable du traitement puisse vérifier l’éventuelle perte des exigences prévues par la législation en vigueur ou la disparition des garanties suffisantes pour mettre en œuvre des mesures techniques et organisationnelles appropriées afin de garantir le traitement correct des données objet de la présente désignation.

Le Responsable informe le Responsable du traitement de toute carence, situation anormale ou d’urgence constatée dans le cadre du service fourni – en particulier si cela concerne le traitement des données personnelles et les mesures de sécurité adoptées par le Responsable – ainsi que de tout autre événement ou fait pertinent survenant et concernant l’application du RGPD (par exemple, demandes du Garant, résultats des inspections menées par les Autorités, etc.) ou de la législation nationale applicable le cas échéant.

ART. 19 - CODES DE CONDUITE ET CERTIFICATIONS

Le Responsable s’engage à informer le Responsable du traitement de l’adhésion à des codes de conduite approuvés conformément à l’art. 40 du RGPD et/ou de l’obtention de certifications ayant un impact sur les services offerts au Responsable du traitement, y compris celles prévues à l’art. 42 du RGPD.

ART. 20 - RESPONSABILITÉ DU RESPONSABLE DU TRAITEMENT

Le Responsable du traitement, ayant donné les instructions susmentionnées et défini les tâches ci-dessus, se réserve, dans le cadre de son rôle, de donner par écrit toute instruction supplémentaire qui s’avérerait nécessaire pour le bon déroulement et la conformité des activités de traitement des données liées à l’accord en vigueur entre les Parties, y compris en complément et en intégration de ce qui précède.

Le Responsable déclare dès à présent tenir quitte et indemne le Responsable du traitement de tout dommage, charge, dépense et conséquence qui pourrait résulter pour le Responsable du traitement suite à la violation, par le Responsable ou ses Sous-traitants, des engagements relatifs au respect de la réglementation en matière de protection des données personnelles ou des instructions contenues dans les actes de nomination correspondants, y compris en cas de comportements imputables à leurs employés, représentants, collaborateurs à quelque titre que ce soit.

ART. 21 - RESPONSABILITÉ DU RESPONSABLE DU TRAITEMENT DES DONNÉES

Le Responsable du traitement des données déclare dès à présent tenir quitte et indemne le Responsable de tout dommage, charge, dépense et conséquence qui pourrait résulter pour le Responsable suite à des instructions, indications et/ou demandes du Responsable du traitement des données qui violeraient les dispositions légales et/ou les pratiques en vigueur en matière de protection des données personnelles.

Avertissement sur les traductions automatiques

La présente DPA est rédigée en italien et en anglais. Les deux versions sont considérées comme officielles et ont la même valeur légale. Toute version dans une langue autre que l’italien et l’anglais, mise à disposition via des outils de traduction automatique (y compris ceux intégrés dans des plateformes numériques), n’est pas considérée comme une version officielle et n’a aucune valeur juridique. Ces traductions sont fournies uniquement à titre informatif.