Obligations du Sous-traitant : Le Sous-traitant s’engage à :

• Procéder aux Traitements uniquement pour les seules finalités déterminées par le Responsable, à l’exclusion en particulier de toute utilisation à des fins statistiques, de marketing ou de prospection (sauf instruction expresse contraire du Responsable) ;
• N’effectuer les Traitements que sous les seules instructions écrites et documentées du Responsable, le Sous-traitant étant tenu de l’informer de toute instruction de sa part et qui porterait atteinte, apparemment et en l’état des connaissances du Sous-traitant, au droit à la protection des données, et étant précisé qu’en pareille hypothèse, en l’absence de réponse raisonnable du Responsable, l’instruction concernée pourra ne pas être exécutée par le Sous-traitant sans que le Responsable puisse prétendre à une quelconque indemnisation ;
• Garantir la confidentialité des données à caractère personnel faisant l’objet des Traitements ;
• Veiller à ce que les personnes qu’il ferait intervenir dans le cadre des Traitements (i) s’engagent à en respecter la confidentialité, cette obligation de confidentialité comprenant une obligation de non-divulgation et une obligation de non-réutilisation des données à caractère personnel en faisant l’objet (ii) ne prennent aucune copie des documents et supports confiés par le Responsable à l’exception de celles nécessaires aux Traitements, et (iii) reçoivent la formation nécessaire en matière de protection des données à caractère personnel ;
• Prendre en compte, s’agissant de ses outils, produits, applications ou services, les principes de protection des données dès la conception et par défaut.

Sous-traitance : Le Sous-traitant est autorisé à recourir à la sous-traitance au sens du RGPD dans le cadre des Traitements. Si le Sous-traitant doit faire intervenir ses propres sous-traitants dans le cadre des Traitements, il s’engage à ce que ces derniers présentent des garanties suffisantes en termes de sécurité et de confidentialité des données. Dans l’hypothèse où le recours à un nouveau sous-traitant serait envisagé au cours d’un Traitement, le Sous-traitant en informera le Responsable a minima sept (7) jours au préalable afin qu’il puisse s’y opposer voire, dans l’hypothèse où les Traitements ne pourraient pas se poursuivre dans des conditions raisonnables à défaut dudit nouveau sous-traitant, résilier le ou les services concernés, sans qu’aucune indemnité soit due par l’une quelconque des Parties de ce fait.

Information des personnes concernées : Il appartient au responsable de traitement de fournir l’information aux personnes concernées par les opérations de traitement au moment de la collecte des données.

Exercice des droits des personnes : Le Sous-traitant s’engage à assister le Responsable dans les suites qu’il donnera aux demandes d’exercice de droit des personnes concernées par les données faisant l’objet des Traitements. Dans l’hypothèse où le Sous-traitant recevrait l’une de ces demandes, il s’engage à la transmettre sans délai au Responsable afin que ce dernier puisse la traiter après avoir vérifié l’identité de l’émetteur de la demande ainsi que sa légitimité.

Notification des violations : Le Sous-traitant, si possible dans les quarante-huit (48) heures et tout retard devant être dûment justifié, s’engage à informer le Responsable de toute violation de données à caractère personnel dont il prendrait connaissance dans le cadre des Traitements. Cette information contiendra entre autres la description des circonstances de la découverte de la violation ainsi que les informations que le Sous-traitant aura réunies sur celle-ci. Elle pourra prendre la forme d’un courriel envoyé à l’adresse du contact du Responsable en matière de protection des données tel qu’identifié ci-après.

Assistance pour les études et les formalités préalables : Le Sous-traitant mettra à disposition du Responsable, sur demande écrite de ce dernier, tout document nécessaire (a) à la réalisation d’études d’impact sur la vie privée des personnes concernées par les données faisant l’objet des Traitements et (b) aux éventuelles consultations préalables des autorités de contrôle telles qu’envisagées par le RGPD.

Mesures de sécurité : Le Sous-traitant et le responsable s’engagent à mettre en œuvre des mesures de sécurité techniques et organisationnelles garantissant un niveau de sécurité approprié des Traitements. Le Sous-traitant s’engage à mettre en œuvre les mesures décrites dans le tableau de synthèse disponible ci-après ainsi que toute mesure complémentaire faisant le cas échéant l’objet des commandes du Responsable.

Suppression des données : Le Sous-traitant s’engage à supprimer toutes les données faisant l’objet des Traitements (a) sur simple demande du Client formulée par écrit ou (b) au plus tard dans les trois (3) mois suivant la fin des Traitements. Préalablement à toute demande de suppression des données ainsi que préalablement à la fin des Traitements, le Responsable s’engage quant à lui (a) à solliciter le Sous-traitant pour organiser, si nécessaire, la récupération desdites données et (b) à procéder à la vérification de l’intégrité et de l’exhaustivité des données le cas échéant récupérées ainsi qu’à alerter par écrit le Sous-traitant de tout défaut de celles-ci, le Responsable renonçant, postérieurement à la suppression des données effectuée par le Sous-traitant conformément aux termes du présent article, à toute réclamation ou recours contre celui-ci du fait de la suppression de données non-récupérées ou d’un défaut des données récupérées.

Délégués à la protection des données : Le délégué à la protection des données du Sous-traitant est joignable en écrivant par voie postale à son attention au 49 Avenue Albert Einstein, BP 12074, 69603 VILLEURBANNE CEDEX ainsi que par courriel à l’adresse dpo@cirilgroup.com. Préalablement au commencement des Traitements, le Responsable s’engage pour sa part à communiquer les coordonnées de son délégué à la protection des données ou de son principal contact en la matière au Sous-traitant en les lui envoyant à l’adresse précédente ; à défaut, le principal contact opérationnel dont bénéficie le Sous-traitant auprès du Responsable s’y substituera. Les Parties s’engagent par la suite à se tenir informés de toute modification des coordonnées de leurs contacts respectifs en matière de protection des données.

Registre des catégories d’activités de traitement : Conformément à l’article 30.2 du RGPD, le Sous-traitant déclare tenir par écrit un registre de toutes les catégories d’activités de traitement effectuées pour le compte du Responsable.

Absence de transfert hors U.E. ou à destination d’une O.I. : Le Sous-traitant n’effectue aucun transfert des données à caractère personnel faisant l’objet des Traitements en dehors de l’Union Européenne ou à destination d’une quelconque Organisation Internationale. Tout transfert de la sorte envisagé par le Sous-traitant devra être couvert par l’une des garanties prévues par le RGPD (décision d’adéquation, clauses contractuelles types, etc.). Dans l’hypothèse où un tel transfert devrait être envisagé, Ciril GROUP en informera le Client a minima sept (7) jours au préalable afin qu’il puisse s’y opposer voire, dans l’hypothèse où les Traitements ne pourraient pas se poursuivre dans des conditions raisonnables à défaut dudit transfert, résilier le ou les services concernés, sans qu’aucune indemnité soit due par l’une quelconque des Parties de ce fait.

Documentation et audits : Le Sous-traitant met à la disposition du Responsable la documentation nécessaire pour démontrer le respect de toutes ses obligations au regard du RGPD et pour permettre la réalisation d’audits, y compris des inspections, par le Responsable ou un autre auditeur qu’il a mandaté, et contribuer à ces audits. L’auditeur le cas échéant mandaté par le Responsable à cet effet ne pourra cependant en aucun cas être un concurrent du Sous-traitant. Le Sous-traitant devra à tout le moins être avisée de la date de l’audit, de sa durée, de son périmètre et de l’identité de l’auditeur au plus tard trente (30) jours avant le début de l’audit. Tout audit devra être effectué dans le respect des politiques de sécurité du Sous-traitant. Le Responsable ne pourra pas réaliser plus d’un audit du Sous-traitant par an.