Contrat de traitement des données de Rocket Software - Fournisseurs

Dernière mise à jour: 21 octobre 2024

Le présent accord de traitement des données (l’ « Accord de traitement des données » ) est conclu entre Rocket Software, Inc. et/ou ses sociétés affiliées ( «Rocket Software » ) et vous, fournisseur de biens ou de services à Rocket Software (le « Fournisseur »), et prend effet à la date d’entrée en vigueur (la « Date d’entrée en vigueur » ) de tout contrat de services fournisseur, contrat-cadre de services ou autre accord similaire conclu entre les parties (le « Contrat » ). Le présent Accord de traitement des données fait partie intégrante du Contrat et y est incorporé.

I. Définitions. Les termes en majuscules non définis dans le présent document ont la signification qui leur est attribuée dans le Contrat. Les définitions suivantes s'appliquent au présent Contrat de traitement des données:

A. « Lois applicables en matière de protection des données » désigne toutes les lois et réglementations applicables au traitement des données personnelles en vertu du présent accord de traitement des données, dans chaque cas telles que modifiées de temps à autre, y compris, sans limitation, les lois européennes sur la protection des données, la loi californienne sur la protection de la vie privée des consommateurs telle que modifiée par la loi californienne sur les droits à la vie privée (collectivement, la « CCPA ») et la loi générale brésilienne sur la protection des données, Lei Geral de Proteção de Dados.

B. « CCPA » désigne la loi californienne sur la protection de la vie privée des consommateurs (CCPA), telle que modifiée.

C. Les termes « responsable du traitement », « personne concernée », « données à caractère personnel », « violation de données à caractère personnel », « traitement », « sous-traitant » et « autorité de contrôle » ont chacun la signification qui leur est donnée par les lois applicables en matière de protection des données.

D. « Lois européennes sur la protection des données » désigne le Règlement général sur la protection des données (RGPD) 2016/679 de l’UE (le « RGPD de l’UE »), le RGPD de l’UE tel qu’il est intégré au droit de l’Angleterre et du Pays de Galles, de l’Écosse et de l’Irlande du Nord et à la loi britannique sur la protection des données de 2018 (le « RGPD du Royaume-Uni » ), la loi fédérale suisse sur la protection des données, ainsi que toute autre loi, tout autre statut, toute déclaration, tout décret, toute directive, tout texte législatif, tout arrêté, toute ordonnance, tout règlement, toute règle ou tout autre instrument contraignant applicable mettant en œuvre l’un quelconque des éléments susmentionnés (dans chaque cas tel que modifié, consolidé, refondu ou remplacé de temps à autre).

E. « Services » désigne les services et/ou produits que le Fournisseur doit fournir à Rocket Software en vertu du Contrat, y compris toutes les méthodes requises, habituelles, appropriées ou acceptables pour réaliser des activités liées aux Services, notamment (a) l’exécution des Services ou de l’activité dont les Services font partie, (b) l’exercice de tous les avantages, droits et obligations liés aux Services, (c) la tenue de registres relatifs aux Services et (d) le respect de toutes les obligations légales ou d’autoréglementation liées aux Services.

F. « Sous-traitant » désigne un sous-traitant tiers engagé par ou pour le compte du Fournisseur qui traitera des données personnelles dans le cadre de la fourniture des Services.

G. « Clauses contractuelles types » désigne les clauses contractuelles types de la Commission européenne pour le transfert de données à caractère personnel de l’Union européenne à des sous-traitants établis dans des pays tiers conformément au règlement (UE) 2016/679 tel qu’il figure dans l’annexe de la décision d’exécution (UE) 2021/914 de la Commission européenne.

II. Nature du traitement, obligations générales, sous-traitants et transferts transfrontaliers

A. Nature du traitement.

Les parties reconnaissent et conviennent qu'aux fins des lois applicables en matière de protection des données, Rocket Software est le responsable du traitement et le fournisseur est le sous-traitant, en ce qui concerne le traitement suivant: (i) étendue, nature et finalité du traitement: traitement effectué par le fournisseur dans le cadre de la fourniture des services ; (ii) durée: pour la durée du contrat ; et (iii) types de données personnelles et catégories de personnes concernées: personnes concernées dont les données personnelles sont traitées par le fournisseur dans le cadre de l'exécution des services.

B. Obligations générales.

Dans la mesure où les informations communiquées par Rocket Software au Prestataire dans le cadre de l'exécution des Services contiennent des données personnelles, le Prestataire (agissant en qualité de sous-traitant) doit: (i) agir uniquement sur instruction de Rocket Software, conformément au présent Accord de traitement des données ou à l'Accord lui-même, ou à toute autre instruction documentée par Rocket Software, sauf si la législation applicable en matière de protection des données l'exige autrement, auquel cas le Prestataire doit informer Rocket Software de cette obligation légale avant de traiter ces données personnelles (sauf si la législation applicable en matière de protection des données lui interdit d'en informer Rocket Software) ; (ii) informer Rocket Software dans les meilleurs délais (et en tout état de cause dans un délai de deux (2) jours ouvrables) si, à son avis, une instruction reçue de sa part enfreint la législation applicable en matière de protection des données ; (iii) prendre les mesures techniques et organisationnelles appropriées pour protéger ces données personnelles contre toute destruction accidentelle ou illicite, perte accidentelle, altération, divulgation ou accès non autorisé, en tenant compte de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement. (iv) s’assurer que toute personne à qui le Fournisseur divulgue ces données personnelles s’est engagée à respecter la confidentialité ou est soumise à une obligation légale de confidentialité appropriée à l’égard de ces données personnelles ; (v) coopérer raisonnablement avec Rocket Software pour répondre à toute demande d’une personne concernée et pour garantir le respect de ses obligations en vertu des lois applicables en matière de protection des données concernant la sécurité, les notifications de violation (y compris la notification à Rocket Software sans délai indu et en tout état de cause dans les quarante-huit (48) heures suivant la connaissance d’une violation de données personnelles), les analyses d’impact relatives à la protection des données et les consultations avec les autorités de contrôle ; (vi) à la résiliation ou à l’expiration du présent Accord de protection des données pour quelque raison que ce soit, (au choix de Rocket Software) supprimer ou restituer à Rocket Software toutes ces données personnelles, sauf si le Fournisseur ou ses sous-traitants doivent conserver certaines copies de ces données personnelles pour se conformer aux lois applicables en matière de protection des données, auquel cas ils se conformeront à leurs politiques de sauvegarde et de conservation ; et (vii) sur préavis écrit de trente (30) jours de Rocket Software (pas plus d'une fois par année civile): (a) mettre à la disposition de Rocket Software toutes les informations raisonnablement nécessaires pour démontrer la conformité du fournisseur au présent accord de protection des données ; et (b) permettre des audits et des inspections par Rocket Software ou son auditeur désigné.

C. Sous-processeurs

Rocket Software autorise le Fournisseur à faire appel à un Sous-traitant pour le traitement des données personnelles pour le compte de Rocket Software, dans la mesure nécessaire à la fourniture des Services et conformément au Contrat, sous réserve des conditions suivantes: (i) le Fournisseur informera Rocket Software de tout nouveau Sous-traitant engagé après la date du présent Contrat et obtiendra l’autorisation écrite de Rocket Software à cet effet ; et (ii) le contrat de sous-traitance imposera au Sous-traitant des obligations substantiellement identiques à celles auxquelles le Fournisseur est soumis en vertu du présent Accord de traitement des données. Le Fournisseur fournira à Rocket Software, sur demande, la liste de ses Sous-traitants à l’adresse [email protected].

D. Transferts transfrontaliers de données personnelles

Lorsque le fournisseur transfère des données personnelles à un destinataire non couvert par un cadre reconnu par les lois applicables en matière de protection des données comme assurant un niveau de protection adéquat des données personnelles, le fournisseur doit s'assurer que ce transfert de données personnelles est conforme aux lois applicables en matière de protection des données.

E. Transferts transfrontaliers de données personnelles – UE

i. En ce qui concerne le transfert de données personnelles de Rocket Software au Fournisseur en vertu de la législation européenne sur la protection des données, lorsque ce transfert a lieu d'un pays de l'Union européenne vers un pays tiers non couvert par un cadre reconnu par la législation applicable en matière de protection des données comme assurant un niveau de protection adéquat des données personnelles, les parties conviennent de se conformer aux clauses générales du présent accord de traitement des données. Le « Module deux » (Transfert du responsable du traitement au sous-traitant) des clauses contractuelles types s'applique au traitement de ces données personnelles par le Fournisseur et est intégré aux présentes par référence.

ii. Afin de donner suite à ce qui précède, les parties conviennent que, pour l’application des clauses contractuelles types:

a. Rocket Software agira et respectera les obligations en tant qu’« exportateur de données », et le fournisseur agira et respectera les obligations en tant qu’« importateur de données » ;

b. La clause 7 (clause d’amarrage) des clauses contractuelles types s’applique ;

c. L'option 1 de la clause 9(a) (Utilisation de sous-traitants) s'appliquera, la liste des sous-traitants non encore autorisés par l'exportateur de données sera notifiée à [email protected] (qui recevra également toutes les mises à jour proposées) et le délai pertinent sera de 45 jours ;

d. la formulation optionnelle de la clause 11(a) (Recours) des clauses contractuelles types ne s’applique pas ;

e. Aux fins de la clause 17 des clauses contractuelles types, ces clauses sont régies par le droit néerlandais ; et

f. Aux fins de la clause 18(b) des clauses contractuelles types, les parties conviennent de se soumettre à la juridiction des tribunaux des Pays-Bas.

iii. L’annexe I aux clauses contractuelles types doit être complétée comme suit:

a. Aux fins de la section A (Liste des parties) de l’annexe I, l’identité et les coordonnées de Rocket Software en tant qu’exportateur et responsable du traitement des données et du Fournisseur en tant qu’importateur et sous-traitant des données et, le cas échéant, les informations concernant leur délégué à la protection des données et/ou représentant respectif dans l’Union européenne sont celles énoncées dans l’Accord ou telles que communiquées par chaque partie à l’autre ;

b. La section B (Description du transfert) de l'annexe I est par la présente réputée complétée par les informations énoncées à la clause II.A du présent accord de traitement des données, lorsque la fréquence du transfert sera continue et, sous réserve de la clause II.B(vi) du présent accord de traitement des données, les données personnelles seront conservées pendant la période nécessaire aux fins du traitement.

c. Aux fins de la section C (Autorité de surveillance compétente) de l’annexe I, l’autorité de surveillance compétente identifiée conformément à l’article 13 est les Pays-Bas.

iv. Les parties se sont entendues sur les mesures techniques et organisationnelles fournies par le fournisseur à Rocket Software aux fins de l’annexe II aux clauses contractuelles types.

v. L'annexe III des clauses contractuelles standard (liste des sous-traitants) est par la présente réputée complétée par référence à la liste fournie par le fournisseur à Rocket Software en vertu de la clause II.E(ii)(c) ci-dessus, telle que mise à jour conformément à cette clause.

F. Transferts transfrontaliers de données personnelles – Reste du monde

Concernant le transfert de données personnelles de Rocket Software au fournisseur en vertu d'autres lois applicables en matière de protection des données:

i. Les parties conviennent de se conformer aux exigences ci-dessus dans la mesure où des clauses contractuelles types sont nécessaires pour satisfaire aux obligations légales relatives aux transferts transfrontaliers en vertu des lois applicables en matière de protection des données. Dans ce cas: (i) les références au RGPD dans les clauses contractuelles types sont réputées avoir la même signification que les références équivalentes dans les lois applicables en matière de protection des données ; (ii) les références à « État membre » ou à « Union » dans les clauses contractuelles types sont réputées se référer à la juridiction compétente où les lois applicables en matière de protection des données sont en vigueur ; et (iii) toute autre obligation figurant dans les clauses contractuelles types et déterminée par l’État membre dans lequel l’exportateur de données est établi est réputée se référer à une obligation découlant des lois applicables en matière de protection des données.

ii. Lorsque le traitement des données personnelles est soumis à la législation applicable en matière de protection des données au Royaume-Uni, l’avenant type B.1.0 publié par l’ICO du Royaume-Uni et déposé devant le Parlement conformément à l’article 119A de la loi de 2018 sur la protection des données le 2 février 2022 ( « Avenant britannique » ) s’applique parallèlement aux clauses contractuelles types. Aux fins de la partie 1 de l’Avenant britannique, les parties conviennent que:

a. Tableau 1. La « date de début » correspond à la date d’entrée en vigueur du contrat. Les « parties » sont Rocket Software, en tant qu’exportateur, et le fournisseur, en tant qu’importateur.

b. Tableau 2. Le module deux des clauses contractuelles types s'applique.

c. Tableau 3. Les « Informations en annexe » sont les informations énoncées dans la clause II.E(ii)-(iii) du présent accord de traitement des données.

d. Tableau 4. La partie qui peut mettre fin à l'avenant britannique conformément à l'article 19 de l'avenant britannique est Rocket Software.

ii. Dans la mesure nécessaire pour se conformer aux lois applicables en matière de protection des données, les parties conviennent d'établir les documents supplémentaires (y compris les mises à jour des annexes des clauses contractuelles types) et d'appliquer les protections supplémentaires qui pourraient être nécessaires pour le transfert et le stockage des données personnelles transférées conformément aux clauses contractuelles types, à l'avenant britannique ou à d'autres exigences équivalentes en vertu des lois applicables en matière de protection des données.

G. CCPA

Dans certains cas, conformément au Contrat, le Fournisseur agira en tant qu'Entreprise au sens du CCPA, et dans d'autres, en tant que Prestataire de services. Les Données personnelles que Rocket Software communique au Fournisseur le sont à des fins commerciales. Le Fournisseur s'engage à ne pas vendre ni partager ces Données personnelles, au sens du CCPA, et leur transfert au Fournisseur ne sera pas considéré comme une « vente » au sens du CCPA.

Lorsque le Fournisseur agit en tant que Prestataire de Services, il ne doit ni vendre de Données Personnelles ni conserver, utiliser ou divulguer de Données Personnelles (a) à d'autres fins que la fourniture des Services ; (b) en dehors de la relation commerciale directe entre Rocket Software et le Fournisseur ; ou (c) combiner les Données Personnelles reçues de Rocket Software avec des Données Personnelles que le Fournisseur reçoit d'une autre personne ou société, ou pour le compte de celle-ci, sauf dans les cas autorisés par les lois applicables en matière de protection des données ; ou (d) comme autrement interdit par le CCPA.

III. Généralités

Les termes et conditions du présent Accord de traitement des données annulent et remplacent tous les accords de protection des données antérieurs, ainsi que les versions antérieures des clauses contractuelles types et les dispositions relatives à la confidentialité et à la protection des données figurant dans tout autre accord conclu entre les parties et portant sur le même objet. Rocket Software se réserve le droit de modifier le présent Accord de traitement des données afin de se conformer à la législation applicable en matière de protection des données ou à une décision d'une autorité compétente, notamment en cas de: (a) modification de sa structure ; et (b) lancement de nouvelles fonctionnalités, de nouveaux produits ou services, ou modification des services existants. Il est entendu que Rocket Software peut librement céder le présent Accord et le présent Accord de traitement des données.