Accord de sous-traitance de données Eventtia
Eventtia sera amenée à traiter des données personnelles au titre desquelles le Client est responsable de traitement et agira en conséquence sur la base des seules instructions du Client, conformément au rôle de sous-traitant d’Eventtia en vertu de la réglementation applicable en matière de protection des données à caractère personnelle.
Il est toutefois précisé que Eventtia Inc., signataire du présent Contrat, société de droit américain, ne dispose d’aucune équipe ou personnel localisé aux Etats-Unis pouvant accéder aux données personnelles. En effet, l’ensemble des opérations effectuées sur les données personnelles du Client seront effectués par la filiale française d’Eventtia localisé en France ou par Eventtia SAS, localisé en Colombie ainsi que par les prestataires d’Eventtia, plus amplement détaillés ci-dessous.
Pour les besoins du présent contrat, les termes « traitement », « Responsable de traitement », « sous-traitant », « personnes concernées », et « données à caractère personnel » ont le sens donné par le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après, le « RGPD »).
1. Description du traitement faisant l’objet de la sous-traitance
Mise à disposition d’une plateforme de gestion évènementielle
Collecte et gestion des données personnelles des personnes concernées par les évènements du Client
Notification et questionnaire aux participants des évènements
Nature des traitements : Collecte, enregistrement, consultation, communication et effacement
Types de donnée à caractère personnel traitées : Données d’identification, données de contact, réponses à des questionnaires et retours d’expérience sur les évènements gérés par le Client, données de connexion
Catégories de personnes concernées : Personnes concernées par les événements organisés par le Client
Durée des traitements sous-traités : Durée du contrat + éventuel temps de restitution des données à caractère personnel ou à compter de la suppression des données pouvant toutefois être réalisées à tout moment par le Client. Le Client est responsable du respect des durées de conservation applicables aux traitements sous-traités via la suppression.
2. Obligations générales de Eventtia en sa qualité de sous-traitant au titre du RGPD vis-à-vis du Client
En sa qualité de sous-traitant, Eventtia s’engage à mettre en œuvre l’ensemble des mesures nécessaires permettant au Client de respecter le RGPD et la réglementation applicable en matière de protections des données à caractère personnel.
Ces données personnelles seront conservées par Eventtia uniquement pour la durée du Contrat et seront à la demande du Client détruites ou restituées à son issue, à moins que Eventtia soit tenu légalement de les conserver.
Le sous-traitant ne doit traiter les données personnelles que sur la base d’instructions documentées du responsable de traitement, sauf si une obligation légale de l’Union ou d’un État membre à laquelle le sous-traitant est soumis l’exige. Dans ce cas, le sous-traitant doit informer le responsable de traitement de cette obligation légale avant le traitement, sauf si la loi l’interdit pour des motifs importants d’intérêt public.
A cet égard Eventtia s’engage à :
Traiter les données à caractère personnel dans le cadre strict et nécessaire des services prévus au titre du Contrat et, d’une manière générale, à n’agir que sur la seule instruction écrite et documentée du Client ;
Informer immédiatement le Client si une de ses instructions constitue une violation de la réglementation applicable en matière de protection des données à caractère personnel et suspendre l’exécution de ladite instruction jusqu’à confirmation ou modification de l’instruction par le Client ;
S’assurer que les personnes autorisées à accéder aux données à caractère personnel ont connaissance des instructions du Client et s’engagent à ne les traiter que dans le strict respect de celles-ci ;
Veiller à ce que les personnes autorisées à accéder aux données à caractère personnel reçoivent la formation nécessaire en matière de protection des données à caractère personnel ;
Ne pas concéder, louer, céder ou autrement communiquer à toute personne, tout ou partie des données à caractère personnel, même à titre gratuit, ainsi que, plus généralement, ne pas utiliser les données à caractère personnel à d’autres fins que celles strictement prévues au Contrat ;
Le cas échéant, aider le Client à la réalisation d’analyses d’impact relatives à la protection des données à caractère personnel ;
Le cas échéant, aider le Client à la réalisation de consultation préalable de l’autorité de contrôle.
3. Sous-traitance ultérieure / Transferts de données hors Europe
Afin de délivrer les services prévus au Contrat, Eventtia peut également faire appel à certains prestataires tiers, pouvant avoir accès dans le cadre de leur activité aux données personnelles confiées par le Client.
Les services fournis par ces prestataires sont nécessaires au fonctionnement de l’Application tels que notamment l’hébergement des données, le routage d’emails, la gestion des logs de connexion ainsi que plus généralement le support et l’assistance technique délivrés aux utilisateurs de l’Application.
Certains de ses prestataires ainsi que la filiale colombienne de Eventtia sont situées dans des pays hors de l’Espace Economique Européen, plus spécifiquement les Etats-Unis et la Colombie. Dans une telle situation, le Client donne mandat, de conclure en son nom et pour son compte avec la société concernée, les clauses contractuelles types approuvées par la Commission Européenne encadrant le transfert des données personnelles vers un pays tiers à l’Espace Economique Européen. .
Conformément au RGPD, ces filiales de Eventtia et ces prestataires ont la qualité de sous-traitants ultérieurs de Eventtia.
La liste complète des sous-traitants ultérieurs d’Eventtia ainsi que les mesures encadrant les transferts de données personnelles vers ces sous-traitants ultérieurs lorsqu’ils sont localisés en dehors de l’Espace Economique Européen sont plus amplement décrits en Annexe B.
Eventtia peut faire appel à un autre sous-traitant ultérieur pendant le Contrat pour mener des activités de traitement spécifiques. Dans ce cas, Eventtia informera préalablement et par écrit le Client de tout changement envisagé concernant l’ajout ou le remplacement d’autres sous-traitants. Cette information doit indiquer clairement les activités de traitement sous-traitées, l’identité et les coordonnées du sous-traitant et les dates du contrat de sous-traitance. Le Client disposé d’un délai maximum d’un (1) mois à compter de la date de réception de cette information pour présenter ses objections. Cette sous-traitance ne peut être effectuée que si le responsable de traitement n’a pas émis d’objection pendant le délai convenu.
Eventtia s’assure que tout sous-traitant ultérieur présente les mêmes garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du RGPD. Eventtia demeure en tout état pleinement responsable devant le Client de l’exécution par tout autre sous-traitant de ses obligations.
4. Droit d’information et exercice des droits des personnes concernées
Dans la mesure du possible, Eventtia aidera le Client à s’acquitter de son obligation de donner suite aux demandes d’exercice des droits des personnes concernées : droit d’accès, de rectification, d’effacement et d’opposition, droit à la limitation du traitement, droit à la portabilité des données, droit de ne pas faire l’objet d’une décision individuelle automatisée (y compris le profilage). Lorsque les personnes concernées exercent auprès d’Eventtia des demandes d’exercice de leurs droits, Eventtia adressera ces demandes dès réception par courrier électronique au Client à l’adresse indiquée au sein du Devis.
5. Notification des violations de données à caractère personnel
6. Mesures de sécurité prises au titre du traitement
Eventtia met par ailleurs en place les mesures spécifiques suivantes pour assurer la sécurité des données à caractère personnel confiées par le Client :
– Technologie de cryptage pour les transferts de données,
– Vérification de l’activité sur l’Application grâce à un système de logs et d’analyses,
– Tests de l’Application par les prestataires d’Eventtia afin d’en vérifier la sécurité (tests de pénétration, scans de sécurité, détection de menaces…)
– Revue des codes et procédures de changements pour vérifier la conformité de tout changement aux procédures de sécurité,
– Chiffrement des mots de passe.
– Les serveurs sont situés dans les infrastructures sécurisées garantissant :
Un chiffrement des données hébergées,
Des moyens permettant de garantir la confidentialité, l’intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement,
des moyens permettant de rétablir la disponibilité des données à caractère personnel et l’accès à celles-ci dans des délais appropriés et au maximum sous vingt-quatre heures en cas d’incident physique ou technique,
des procédures visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement.
7. Assistance et Audit
Il est toutefois précisé que ces audits seront réalisés aux frais du Client et strictement limités à l’audit des mesures prises en matière de protection des données à caractère personnel, dans la limite d’un audit par an notifié à l’avance à Eventtia.
8. Sort des données à caractère personnel
Le renvoi doit s’accompagner de la destruction de toutes les copies existantes dans les systèmes d’information d’Eventtia. Une fois détruites, Eventtia justifiera par écrit de la destruction.
