Annexe relative au traitement des données — DPA Antikium

1. Parties et rôles

Le Client agit comme responsable du traitement pour les données personnelles qu’il confie à Antikium lorsqu’il en détermine les finalités et moyens essentiels.

Pierre BORDET EI / DigiCom agit alors en qualité de sous-traitant.

Chaque partie demeure responsable des traitements pour lesquels elle détermine elle-même les finalités et moyens.

2. Objet et durée

DigiCom traite des données personnelles afin de permettre au Client d’utiliser les fonctionnalités d’Antikium.

Le traitement couvre la durée d’accès au service et les périodes supplémentaires nécessaires à la restitution, suppression, sauvegarde, sécurité ou au respect d’une obligation légale.

3. Nature et finalités

Les opérations peuvent comprendre la collecte, l’enregistrement, l’organisation, la consultation, l’hébergement, la modification, la recherche, la communication sur instruction, l’export, la sauvegarde et la suppression.

Elles ont pour finalité de fournir et sécuriser les fonctionnalités d’Antikium.

4. Personnes concernées et catégories de données

Les personnes peuvent comprendre :

• Utilisateurs du Client ;
• clients ;
• prospects ;
• vendeurs ;
• fournisseurs ;
• partenaires ;
• interlocuteurs ;
• correspondants ;
• visiteurs de Storefronts.

Les données peuvent comprendre :

• identité ;
• coordonnées ;
• informations professionnelles ;
• historique des relations ;
• correspondances ;
• documents ;
• photographies ;
• données relatives aux transactions ;
• informations fiscales ou réglementaires ;
• autres informations confiées au service par le Client.

5. Instructions

DigiCom ne traite les Données Client que sur instruction documentée du Client, y compris en ce qui concerne les transferts de données personnelles vers un pays tiers ou une organisation internationale, sauf lorsque DigiCom est tenu d’y procéder en vertu du droit de l’Union européenne ou du droit d’un État membre auquel il est soumis.

Dans ce cas, DigiCom informe le Client de cette obligation juridique avant le traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d’intérêt public.

Si DigiCom considère qu’une instruction du Client constitue une violation du RGPD ou d’une autre disposition du droit de l’Union européenne ou d’un État membre relative à la protection des données, DigiCom en informe immédiatement le Client.

Les CGU, les éventuelles CGV, le présent DPA, les paramètres du Client et les actions de ses Utilisateurs constituent les instructions documentées données à DigiCom.

L’activation d’une fonctionnalité impliquant un fournisseur tiers ou la connexion volontaire d’une intégration constitue une instruction de traiter les données nécessaires à cette fonctionnalité.

6. Confidentialité

DigiCom veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité appropriée et n’accèdent aux données que dans la mesure nécessaire.

7. Sécurité

DigiCom met en œuvre des mesures techniques et organisationnelles adaptées aux risques, comprenant selon les composants :

• isolation logique des Organisations ;
• contrôles d’autorisation ;
• restriction des accès privilégiés ;
• chiffrement des communications ;
• protection des secrets ;
• journalisation ;
• sauvegardes hors site ;
• procédures de restauration.

8. Sous-traitants ultérieurs

Le Client autorise DigiCom de manière générale à recourir aux sous-traitants ultérieurs nécessaires à la fourniture du service.

DigiCom tient une liste des fournisseurs concernés.

En cas d’ajout ou remplacement substantiel d’un sous-traitant susceptible de traiter des Données Client, DigiCom informe le Client suffisamment en amont lorsque les circonstances le permettent afin qu’il puisse formuler une objection motivée relative à la protection des données.

DigiCom impose contractuellement à chaque sous-traitant ultérieur les mêmes obligations en matière de protection des données que celles qui lui incombent au titre du présent DPA, dans la mesure applicable aux prestations confiées.

Lorsque le sous-traitant ultérieur ne remplit pas ses obligations en matière de protection des données, DigiCom demeure pleinement responsable devant le Client de l’exécution par ce sous-traitant de ses obligations.

9. Assistance aux droits des personnes

DigiCom assiste le Client, compte tenu de la nature du traitement et des informations à sa disposition, pour répondre aux demandes d’exercice de droits portant sur des Données Client.

Compte tenu de la nature du traitement et des informations dont DigiCom dispose, cette assistance couvre, dans la mesure applicable, les obligations prévues aux articles 32 à 36 du RGPD. Les mesures décrites aux sections Sécurité, Violations de données et AIPD et consultations contribuent à cette assistance.

10. Violations de données

DigiCom informe le Client dans les meilleurs délais après avoir pris connaissance d’une violation de données personnelles affectant les Données Client.

L’information comprend, dans la mesure où ces éléments sont disponibles, la nature de l’incident, les catégories de données concernées, les conséquences probables et les mesures prises ou proposées.

11. AIPD et consultations

DigiCom apporte une assistance raisonnable au Client lorsqu’une analyse d’impact ou une consultation d’une autorité de contrôle est requise pour les traitements réalisés au moyen d’Antikium.

12. Restitution et suppression

Au terme des services relatifs au traitement, DigiCom, selon le choix du Client, restitue ou supprime les données personnelles traitées pour son compte et supprime les copies existantes, sauf lorsque le droit de l’Union européenne ou le droit d’un État membre exige leur conservation.

Lorsque certaines copies subsistent temporairement dans des sauvegardes techniques ne permettant pas une suppression granulaire immédiate, elles restent protégées, ne sont pas remises en exploitation courante et sont supprimées à l’expiration du cycle de conservation applicable. Une restauration Disaster Recovery doit préserver les suppressions déjà enregistrées conformément au mécanisme de réconciliation prévu par Antikium.

13. Audits

DigiCom met à disposition les informations raisonnablement nécessaires pour démontrer le respect de ses obligations.

Les parties privilégient d’abord la documentation et les éléments de preuve disponibles.

Un audit complémentaire peut être organisé lorsque cela est raisonnablement nécessaire, sous réserve d’un préavis suffisant, du respect de la confidentialité, de l’absence de perturbation excessive du service et de la protection des autres Clients.

14. Transferts internationaux

DigiCom veille à ce que les transferts de Données Client vers un pays situé hors de l’EEE soient réalisés conformément aux règles applicables.

Le mécanisme peut notamment reposer sur une décision d’adéquation ou sur les clauses contractuelles types de la Commission européenne.

15. Survie

Les obligations relatives à la confidentialité, la sécurité et aux données restant conservées survivent à la fin du service aussi longtemps que DigiCom continue de traiter ces données.

Annexe — sous-traitants/services externes actuels