AVENANT RELATIF AU TRAITEMENT DES DONNÉES

Entre :
Le Client tel que défini dans le contrat conclu avec PREMIUM PLUS,

Ci-après dénommé le « Responsable du Traitement » ;

Et :
PREMIUM PLUS, société à responsabilité limitée de droit belge, ayant son siège social à 9100 Sint-Niklaas, Grote Markt 6/a, Belgique, et enregistrée sous le numéro d’entreprise 0844.776.562,

Ci-après dénommée le « Sous-Traitant » ;

Le Responsable du Traitement et le Sous-Traitant peuvent être désignés séparément comme une « Partie » et conjointement comme les « Parties ».

Généralités
Le présent avenant (l’« Avenant ») définit la manière dont PREMIUM PLUS traite les Données à Caractère Personnel en tant que Sous-Traitant pour le compte du Client, à savoir le Responsable du Traitement. Cet Avenant fait partie intégrante du contrat (le « Contrat ») conclu entre le Sous-Traitant et le Responsable du Traitement. Sauf indication contraire expresse, les dispositions du Contrat s’appliquent pleinement au présent Avenant. Lorsque le Contrat contient des dispositions spécifiques relatives à la protection des données, celles-ci sont complétées ou remplacées par les dispositions du présent Avenant. Le présent Avenant ne modifie pas les autres dispositions du Contrat qui n’entrent pas dans le champ d’application du présent Avenant, à savoir le Traitement et la protection des Données à Caractère Personnel.

Cet Avenant vise à définir les droits et responsabilités du Responsable du Traitement et du Sous-Traitant au regard du Règlement de l’Union européenne sur la protection des données (Règlement [UE] 2016/679 du 27 avril 2016, ci-après le « Règlement sur la Protection des Données ») et de la loi belge du 30 juillet 2018 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel (« Loi sur la Protection des Données »), ensemble désignés comme la « Législation sur la Protection des Données ». Les termes « Responsable du Traitement », « Sous-Traitant », « Personne Concernée », « Données à Caractère Personnel », « Violation de Données à Caractère Personnel » et « Traitement » ont la même signification que celle définie dans le Règlement sur la Protection des Données.

Protection des données
1.1 Dans le cadre du Contrat, les Données à Caractère Personnel sont traitées comme suit :

Objet, nature et finalité du Traitement : Traitement de Données à Caractère Personnel dans le cadre de migrations de données ainsi que de la configuration et de l’intégration d’outils informatiques pour le Responsable du Traitement ;
Durée du Traitement : pendant toute la durée du Contrat ;
Catégories de Données à Caractère Personnel : nom, adresse électronique, numéro de téléphone et toutes les informations contenues dans les tickets de support/ensembles de données ;
Catégories de Personnes Concernées : personnel, prospects, fournisseurs et clients du Responsable du Traitement ;Le Traitement par le Sous-Traitant est expressément limité aux Données à Caractère Personnel et aux finalités énoncées dans le présent Avenant.
Le Sous-Traitant fait appel aux sous-traitants ultérieurs suivants (les « Sous-Traitants Ultérieurs ») pour exécuter le traitement prévu par le présent Avenant :
Asana Software Ireland Ltd.
Outil de gestion de projets et des tâches
Google Ireland Ltd.
Google Workspace

1.2.Le présent Avenant s’applique pendant la période au cours de laquelle le Sous-Traitant traite les Données à Caractère Personnel du Responsable du Traitement dans le cadre de l’exécution du Contrat. En cas de résiliation du Contrat, le présent Avenant sera automatiquement résilié et ne pourra faire l’objet d’une résiliation distincte.

1.3 Lorsque le Sous-Traitant, ses Sous-Traitants Ultérieurs ou employés traitent des Données à Caractère Personnel dans le cadre du Contrat ou en lien avec celui-ci, le Sous-Traitant s’engage, et veille à ce que ses Sous-Traitants Ultérieurs et employés s’engagent

1.3.1 à mettre en place, à tout moment, des mesures techniques et organisationnelles appropriées afin d’assurer la conformité à la Législation sur la Protection des Données ;
1.3.2 à ne Traiter, transférer, modifier, adapter ou divulguer les Données à Caractère Personnel, ou à n’autoriser leur divulgation à des tiers, qu’en conformité avec les instructions du Responsable du Traitement (y compris en ce qui concerne le transfert de Données à Caractère Personnel vers un pays tiers ou une organisation internationale), telles que spécifiées dans le présent Avenant, ou si cela est requis par la législation de l’UE ou la législation d’un État membre à laquelle le Sous-Traitant est soumis. Dans ce dernier cas, le Sous-Traitant informera le Responsable du Traitement de cette obligation légale avant d’effectuer le Traitement des Données à Caractère Personnel, sauf si cette législation interdit une telle communication au Responsable du Traitement ;
1.3.3 à prendre toutes les mesures raisonnables afin de garantir que tous les employés et Sous-Traitants Ultérieurs ayant potentiellement accès aux Données à Caractère Personnel soient informés du caractère confidentiel de ces Données à Caractère Personnel et soient soumis à des obligations de confidentialité concernant (le Traitement de) ces Données à Caractère Personnel ;
1.3.4 à notifier sans retard injustifié le Responsable du Traitement dès qu’il prend connaissance d’une Violation de Données à Caractère Personnel, sauf si des dispositions légales prévoient qu’un Sous-Traitant n’est pas tenu de signaler une telle Violation de Données à Caractère Personnel au Responsable du Traitement ; à assister d’une autre manière le Responsable du Traitement, en tenant compte de la nature du Traitement et des informations dont il dispose, afin de l’aider à respecter ses obligations en matière de notification, d’enquête, d’atténuation et de réparation d’une Violation de Données à Caractère Personnel, conformément à la Législation sur la Protection des Données ;
1.3.5 à prêter son concours, sur demande raisonnable du Responsable du Traitement, dans la mesure nécessaire pour lui permettre de répondre aux demandes d’exercice de droits formulées par une Personne Concernée, dans le cadre de la Législation sur la Protection des Données, concernant les Données à Caractère Personnel traitées par le Sous-Traitant en vertu du Contrat, ou de se conformer à une évaluation, une enquête, une notification ou un audit requis par la Législation sur la Protection des Données, y compris ceux ordonnés par une instance régulatrice, et ce, sous réserve d’un préavis raisonnable et sans préjudice du droit du Sous-Traitant de facturer au Responsable du Traitement des frais raisonnables pour ce concours ;

1.3.6 à ne faire appel qu’à des Sous-Traitants Ultérieurs pour le Traitement des Données à Caractère Personnel (le présent Avenant constituant une autorisation générale de recourir à des Sous-Traitants Ultérieurs, en particulier ceux mentionnés à l’article 1.1) sous réserve que (i) le Responsable du Traitement soit préalablement informé de l’identité de tout nouveau Sous-Traitant Ultérieur (remplaçant ou venant en complément d’un Sous-Traitant Ultérieur existant) et dispose d’un droit d’opposition, pour des motifs raisonnables, dans un délai de cinq jours ouvrables, (ii) l’accord entre le Sous-Traitant et tout Sous-Traitant Ultérieur inclue des conditions essentiellement équivalentes à celles prévues dans le présent Avenant et (iii) le Sous-Traitant demeure entièrement responsable envers le Responsable du Traitement de tout manquement d’un Sous-Traitant Ultérieur à ses obligations en matière de Traitement des Données à Caractère Personnel, conformément aux conditions de responsabilité prévues dans le présent Avenant et le Contrat. À défaut d’application de ces conditions, la responsabilité sera déterminée conformément aux dispositions de la Législation sur la Protection des Données en matière de responsabilité ;
1.3.7 à cesser le Traitement des Données à Caractère Personnel à l’expiration ou à la résiliation du Contrat et, au choix du Responsable du Traitement, à restituer ou à effacer les Données à Caractère Personnel (et leurs copies ou les informations qu’elles contiennent), sauf en cas d’obligation légale imposée par un État membre de l’Union européenne exigeant leur conservation.

1.4 Sur demande, le Sous-Traitant mettra à la disposition du Responsable du Traitement toutes les informations nécessaires pour démontrer le respect de ses obligations en vertu du présent Avenant. Il consentira également à des audits, y compris des inspections, et y coopérera, qu’ils soient réalisés par le Responsable du Traitement ou par un auditeur autorisé par ce dernier, et ce, sans préjudice du droit du Sous-Traitant de facturer au Responsable du Traitement tous les coûts raisonnables liés à une telle assistance. Les audits ne peuvent être réalisés qu’une fois par année civile et uniquement moyennant un préavis écrit raisonnable d’au moins dix jours ouvrables adressé au Sous-Traitant.

1.5 Le Sous-Traitant apportera une assistance raisonnable au Responsable du Traitement dans le cadre d’une évaluation d’incidence sur la Protection des Données et d’une concertation préalable avec l’autorité de protection des données compétente, lorsque le Responsable du Traitement l’estime raisonnablement nécessaire en application de l’article 35 ou 36 du Règlement sur la Protection des Données. Cette assistance se limite exclusivement au Traitement des Données à Caractère Personnel effectué par le Sous-Traitant et s’effectue sans préjudice de son droit de facturer au Responsable du Traitement des frais raisonnables pour cette assistance.

1.6 Le Sous-Traitant est responsable du Traitement des Données à Caractère Personnel dans le cadre du présent Avenant, conformément aux instructions du Responsable du Traitement. Le Responsable du Traitement garantit que ses instructions relatives au Traitement des Données à Caractère Personnel ne sont pas illicites et qu’elles ne portent atteinte à aucun droit de tiers. De plus, le Responsable du Traitement garantit que les Données à Caractère Personnel fournies au Sous-Traitant ont été collectées, traitées et transmises en conformité avec les principes de la Législation sur la Protection des Données, tout en respectant les droits des Personnes Concernées.

Le Sous-Traitant ne saurait en aucun cas être tenu responsable du contenu des Données à Caractère Personnel qu’il reçoit du Responsable du Traitement. Le Responsable du Traitement est seul responsable de la collecte, de l’utilisation et du transfert des Données à Caractère Personnel vers le Sous-Traitant. Le Responsable du Traitement dégage le Sous-Traitant de toute responsabilité et/ou l’indemnise en cas de réclamation ou d’action en justice introduite par une Personne Concernée ou un tiers, résultant d’un manquement du Responsable du Traitement.