Annexe 1 : Conditions de traitement des données

Les présentes Conditions de traitement des données constituent l’Accord relatif au traitement des données.

§ 1.

Sous-traitance du traitement de données à caractère personnel

1. Le Prestataire et le Bénéficiaire collaborent dans le cadre du Contrat de fourniture de Services fondé sur les Conditions (le Contrat principal).
2. Le Responsable du traitement (Bénéficiaire) confie au Sous-traitant (Prestataire) le traitement de données à caractère personnel conformément à l’article 28 du RGPD.
3. Le Responsable du traitement déclare être le responsable du traitement des données confiées ou un sous-traitant autorisé à faire intervenir le Sous-traitant en qualité de sous-traitant ultérieur.
4. Le traitement est confié dans les limites définies au § 2.
5. Sauf indication contraire, les termes commençant par une majuscule ont le sens qui leur est donné dans les Conditions ou dans le RGPD.

§ 2.

Objet, nature, finalité et durée

1. Le Sous-traitant traite les données à caractère personnel confiées uniquement sur instruction documentée du Responsable du traitement et exclusivement aux fins de fourniture des Services. La conclusion du Contrat principal constitue une instruction documentée.
2. Les catégories de données et de personnes concernées figurent à l’annexe 1 de l’Accord relatif au traitement des données.
3. Le Responsable du traitement ne doit pas confier de données relevant des articles 9 ou 10 du RGPD sans accord préalable sous forme documentaire et assume seul la responsabilité de toute violation de cette interdiction.
4. Le traitement est effectué au moyen de systèmes informatiques et de télécommunication et est automatisé.

§ 3.

Obligations, droits et déclarations du Sous-traitant

1. Le Sous-traitant met en œuvre et maintient les mesures techniques et organisationnelles adaptées à la nature, à l’étendue, au contexte et à la finalité du traitement et exigées par la loi, afin que le traitement soit conforme au RGPD.
2. Les personnes autorisées doivent être tenues à la confidentialité ou soumises à une obligation légale appropriée de confidentialité.
3. Lorsque cela est justifié et possible, le Sous-traitant aide le Responsable du traitement à répondre aux demandes des personnes concernées conformément au droit applicable, notamment au chapitre III du RGPD.
4. Le Sous-traitant informe sans délai le Responsable du traitement :
   1. de chaque violation de données à caractère personnel concernant les données confiées, à savoir leur destruction, perte, altération, divulgation non autorisée ou accès non autorisé, accidentels ou illicites, au plus tard 48 heures après sa détection ;
   2. de chaque demande reçue d’une personne concernée, sans y répondre avant d’avoir reçu les instructions du Responsable du traitement, au plus tard 48 heures après sa réception ;
   3. de chaque demande de divulgation émanant d’une autorité publique légalement habilitée, sauf si la loi interdit cette notification afin de préserver la confidentialité d’une enquête ;
   4. d’un contrôle effectué par le président de l’Office polonais de protection des données à caractère personnel ou par une autre autorité de contrôle, de ses résultats et des autres mesures prises par les autorités publiques concernant les données.
5. Dans la mesure justifiée et compte tenu des informations disponibles, le Sous-traitant apporte son aide pour les obligations prévues aux articles 32 à 36 du RGPD relatives à la sécurité, à la notification des violations, aux analyses d’impact et à la consultation.
6. Le Sous-traitant :
   1. fournit les informations et documents nécessaires pour démontrer la conformité dans les 14 jours suivant la demande ;
   2. permet les audits et inspections et y contribue selon les modalités convenues par les Parties et sous réserve du présent article.
7. Un audit ne peut avoir lieu avant l’expiration d’un délai de 14 jours suivant sa notification, à une date convenue et après la conclusion d’un accord de confidentialité avec le Responsable du traitement ou l’auditeur autorisé.
8. À l’issue d’un audit, les Parties établissent deux exemplaires signés d’un rapport. Le Sous-traitant peut formuler des réserves dans les cinq jours ouvrables.
9. Lorsque les insuffisances affectent la sécurité, le Sous-traitant met en œuvre les recommandations formulées par le Responsable du traitement ou l’auditeur.

§ 4.

Obligations du Responsable du traitement

1. Pendant toute la durée de l’accord, le Responsable du traitement doit disposer d’une base juridique et de l’autorisation nécessaires pour confier les données. Si l’une ou l’autre disparaît, il doit sans délai cesser de confier les données concernées et en informer le Sous-traitant.
2. Le Responsable du traitement ne doit pas donner d’instructions contraires au droit applicable, à l’Accord relatif au traitement des données ou à d’autres obligations contractuelles.

§ 5.

Sous-traitance ultérieure

1. Le Responsable du traitement accorde au Sous-traitant une autorisation générale de faire appel à des sous-traitants ultérieurs, notamment ceux figurant à l’annexe 2.
2. Le Sous-traitant veille à ce que chaque sous-traitant ultérieur applique des mesures appropriées conformes au RGPD et des obligations équivalentes en matière de protection des données.
3. En cas de nouveau sous-traitant ultérieur ou de modification de l’étendue de la sous-traitance, le Sous-traitant en informe le Responsable du traitement par e-mail au moins sept jours à l’avance. Le Responsable du traitement peut s’y opposer par e-mail dans les sept jours suivant cette notification.
4. En l’absence d’opposition dans le délai imparti, le Sous-traitant peut procéder à la sous-traitance.
5. En cas d’opposition, le Sous-traitant peut résilier immédiatement le Contrat principal.
6. La sous-traitance ultérieure visée au paragraphe 3 ne constitue pas une modification de l’Accord relatif au traitement des données.
7. La liste des sous-traitants ultérieurs figure à l’annexe 2.

§ 6.

Confidentialité

Les Parties utilisent les documents, données et informations obtenus de l’autre Partie exclusivement pour exécuter l’Accord relatif au traitement des données et les gardent confidentiels pendant et après sa durée.

§ 7.

Conséquences de la résiliation

À la suite de la résiliation, le Sous-traitant restitue au Responsable du traitement et supprime de ses supports, y compris électroniques, toutes les données à caractère personnel confiées, sans délai et au plus tard 14 jours ouvrables après la résiliation. Cette obligation ne s’applique pas aux données que le droit applicable impose au Sous-traitant de conserver plus longtemps.

§ 8.

Dispositions finales

1. L’annexe 1 énumère les catégories de données et de personnes concernées ; l’annexe 2 énumère les sous-traitants ultérieurs.
2. Les modifications sont régies par les dispositions des Conditions relatives à leur modification.
3. Les questions non régies sont soumises aux Conditions, au RGPD et au droit polonais applicable.