Entre les soussignés

La société NEWMIPS, exploitant la solution YUZUCARD, ci-après dénommée « NEWMIPS » ou le « Sous-traitant »,
Et
Le Souscripteur de la solution YUZUCARD, ci-après dénommé le « Souscripteur » ou le « Responsable du traitement »,
Ensemble dénommés les « Parties ».

Le présent accord de sous-traitance relatif aux données à caractère personnel (ci-après le « DPA ») complète les Conditions Générales de Vente et de Prestations de Service applicables à la solution YUZUCARD (ci-après les « CGV »).

En cas de contradiction entre le présent DPA et les CGV concernant la protection des données à caractère personnel, les stipulations du présent DPA prévalent.

1. OBJET DU DPA

Le présent DPA a pour objet de définir les conditions dans lesquelles NEWMIPS est autorisée à traiter, pour le compte du Souscripteur, des données à caractère personnel dans le cadre de la fourniture et de l’utilisation de la solution YUZUCARD.

Les Parties s’engagent à respecter la réglementation applicable en matière de protection des données à caractère personnel, notamment le Règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, ainsi que toute réglementation nationale applicable.

Dans le cadre des traitements couverts par le présent DPA, le Souscripteur agit en qualité de Responsable du traitement et NEWMIPS agit en qualité de Sous-traitant, lorsque les conditions légales permettant cette qualification sont réunies.

2. DESCRIPTION DES TRAITEMENTS

2.1 Objet des traitements

NEWMIPS est autorisée à traiter les données à caractère personnel nécessaires à la fourniture, au fonctionnement, à l’hébergement, à la maintenance, à la sécurisation et au support de la solution YUZUCARD.

2.2 Durée des traitements

Les traitements sont réalisés pendant toute la durée du Contrat liant les Parties et, après sa cessation, pendant la durée nécessaire à l’exécution des obligations de restitution, de suppression ou de conservation prévues par le présent DPA ou par la réglementation applicable.

2.3 Nature des opérations de traitement

Les opérations de traitement peuvent notamment comprendre, selon les fonctionnalités utilisées :

• la collecte ;
• l’enregistrement ;
• l’organisation ;
• la structuration ;
• la conservation ;
• la consultation ;
• l’utilisation ;
• la transmission ou la mise à disposition, lorsque cela est nécessaire au fonctionnement du Service ;
• la limitation ;
• la suppression ou la destruction.
  
  

2.4 Finalités des traitements

Les données sont traitées exclusivement afin de :

• fournir et permettre l’utilisation de la solution YUZUCARD ;
• héberger les données et assurer le fonctionnement technique du Service ;
• gérer les comptes et les accès des Utilisateurs ;
• assurer la maintenance, la sécurité et l’amélioration technique du Service ;
• fournir l’assistance et le support demandés par le Souscripteur ou les Utilisateurs autorisés ;
• prévenir, détecter et traiter les incidents techniques ou de sécurité ;
• exécuter les instructions documentées du Souscripteur dans le cadre de l’utilisation du Service.
  
  

2.5 Catégories de personnes concernées

Selon l’utilisation de la solution YUZUCARD, les personnes concernées peuvent notamment comprendre :

• les représentants, salariés, collaborateurs et contacts du Souscripteur ;
• les Utilisateurs de la solution ;
• les clients, prospects, partenaires ou autres contacts dont les données sont renseignées dans la solution par le Souscripteur ou ses Utilisateurs.
  
  

2.6 Catégories de données

Selon les fonctionnalités utilisées et les données renseignées par le Souscripteur, les données traitées peuvent notamment comprendre :

• données d’identification et coordonnées ;
• données professionnelles ;
• informations relatives aux comptes et aux droits d’accès ;
• données de connexion et journaux techniques ;
• contenus, informations, documents ou autres données renseignés ou transmis par le Souscripteur et ses Utilisateurs dans le cadre de l’utilisation du Service.
  
  

Le Souscripteur s’engage à ne traiter au moyen du LOGICIEL que les données nécessaires à ses propres finalités et à respecter les obligations qui lui incombent en qualité de Responsable du traitement.

3. INSTRUCTIONS DU SOUSCRIPTEUR

NEWMIPS traite les données à caractère personnel uniquement sur instruction documentée du Souscripteur, y compris en ce qui concerne les éventuels transferts de données vers un pays tiers ou une organisation internationale, sauf si NEWMIPS est tenue de procéder à un traitement en vertu du droit applicable auquel elle est soumise.

Dans ce dernier cas, NEWMIPS informe le Souscripteur de cette obligation avant le traitement, sauf si le droit applicable interdit une telle information pour des motifs importants d’intérêt public.

Les instructions documentées du Souscripteur comprennent notamment les présentes CGV, le présent DPA, les fonctionnalités utilisées dans le cadre du Service et les demandes adressées à NEWMIPS par les canaux prévus à cet effet.

Si NEWMIPS considère qu’une instruction du Souscripteur constitue une violation de la réglementation applicable en matière de protection des données, elle en informe le Souscripteur dans les meilleurs délais.

4. CONFIDENTIALITÉ

NEWMIPS veille à ce que les personnes autorisées à traiter les données à caractère personnel dans le cadre du Service soient soumises à une obligation appropriée de confidentialité ou à une obligation légale de confidentialité.

NEWMIPS limite l’accès aux données aux seules personnes ayant besoin d’en connaître pour l’exécution de leurs missions.

5. SÉCURITÉ DES DONNÉES

NEWMIPS met en œuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté aux risques présentés par les traitements, compte tenu notamment de l’état des connaissances, des coûts de mise en œuvre, de la nature, de la portée, du contexte et des finalités des traitements ainsi que des risques pour les droits et libertés des personnes concernées.

Ces mesures peuvent notamment comprendre, selon les besoins et la configuration du Service :

• la gestion des habilitations et des droits d’accès ;
• l’authentification des Utilisateurs ;
• la protection des accès aux systèmes et aux données ;
• le chiffrement des communications lorsque cela est techniquement applicable ;
• la journalisation et la traçabilité de certains accès ou opérations ;
• des mesures destinées à assurer la disponibilité et la résilience des systèmes ;
• des procédures de sauvegarde et de restauration, lorsque celles-ci sont prévues pour le Service ;
• des procédures de détection et de traitement des incidents de sécurité ;
• des procédures d’évaluation et d’amélioration des mesures de sécurité.
  
  

Le Souscripteur reconnaît que la sécurité des traitements dépend également de ses propres mesures, notamment de la gestion des comptes Utilisateurs, de la confidentialité des identifiants et de la configuration des accès qu’il met en place.

6. RECOURS À DES SOUS-TRAITANTS ULTÉRIEURS

Le Souscripteur autorise NEWMIPS à recourir à des sous-traitants ultérieurs pour assurer tout ou partie des Services, notamment en matière d’hébergement, d’infrastructure, de maintenance, de sécurité, de communication ou de support.

La liste des sous-traitants ultérieurs auxquels NEWMIPS a recours pour les traitements couverts par le présent DPA peut être communiquée au Souscripteur sur demande ou rendue accessible par NEWMIPS par tout moyen approprié.

NEWMIPS impose à ses sous-traitants ultérieurs des obligations de protection des données appropriées et substantiellement équivalentes à celles prévues par le présent DPA, lorsque cela est requis par la réglementation applicable.

En cas d’ajout ou de remplacement d’un sous-traitant ultérieur susceptible de traiter des données à caractère personnel pour le compte du Souscripteur, NEWMIPS informe le Souscripteur conformément aux modalités prévues par la réglementation applicable et lui permet, le cas échéant, d’émettre des objections motivées.

7. TRANSFERTS DE DONNÉES

NEWMIPS s’engage à ne pas transférer des données à caractère personnel vers un pays situé en dehors de l’Espace économique européen sans respecter les exigences applicables en matière de transferts internationaux de données.

Lorsqu’un transfert international est nécessaire dans le cadre de la fourniture du Service, NEWMIPS veille à ce qu’il repose sur un mécanisme de transfert approprié prévu par la réglementation applicable.

Les informations complémentaires relatives aux éventuels transferts peuvent être communiquées au Souscripteur sur demande, dans la limite des informations que NEWMIPS est autorisée à communiquer.

8. ASSISTANCE AU SOUSCRIPTEUR

Compte tenu de la nature des traitements et des informations dont elle dispose, NEWMIPS assiste raisonnablement le Souscripteur, dans la mesure du possible, afin de lui permettre de répondre aux demandes d’exercice des droits des personnes concernées.

Lorsqu’une demande d’exercice des droits est adressée directement à NEWMIPS et concerne un traitement effectué pour le compte du Souscripteur, NEWMIPS transmet cette demande au Souscripteur dans les meilleurs délais, sauf disposition légale imposant une autre conduite.

NEWMIPS assiste également raisonnablement le Souscripteur, compte tenu de la nature du traitement et des informations disponibles, dans le respect de ses obligations relatives notamment :

• à la sécurité des traitements ;
• à la notification des violations de données à caractère personnel ;
• à la réalisation d’analyses d’impact relatives à la protection des données lorsque celles-ci sont requises ;
• aux éventuelles consultations préalables de l’autorité de contrôle.
  
  

Toute assistance excédant les fonctionnalités normales du Service ou les obligations légales de NEWMIPS pourra faire l’objet de conditions spécifiques.

9. VIOLATION DE DONNÉES À CARACTÈRE PERSONNEL

En cas de violation de données à caractère personnel traitées pour le compte du Souscripteur, NEWMIPS informe le Souscripteur dans les meilleurs délais après en avoir pris connaissance.

Dans la mesure des informations disponibles, NEWMIPS communique au Souscripteur les éléments utiles dont elle dispose afin de lui permettre d’évaluer l’incident et, le cas échéant, de satisfaire à ses obligations légales.

NEWMIPS prend les mesures raisonnables destinées à limiter les conséquences de la violation et à prévenir la survenance d’incidents similaires, lorsque cela relève de sa responsabilité.

10. DOCUMENTATION ET AUDIT

NEWMIPS met à la disposition du Souscripteur les informations raisonnablement nécessaires pour démontrer le respect des obligations qui lui incombent au titre du présent DPA et de la réglementation applicable.

Sous réserve d’un préavis raisonnable, de la confidentialité des informations relatives aux autres clients de NEWMIPS et du respect des exigences de sécurité applicables, le Souscripteur peut demander la réalisation d’un audit portant sur les obligations de NEWMIPS au titre du présent DPA.

Les modalités pratiques, le périmètre, la fréquence et les conditions de réalisation de tout audit sont définis d’un commun accord entre les Parties afin d’éviter toute perturbation excessive du fonctionnement des Services ou de la sécurité des systèmes.

11. SORT DES DONNÉES À LA FIN DU CONTRAT

À la cessation du Contrat, quelle qu’en soit la cause, NEWMIPS procède, selon le choix du Souscripteur et sous réserve des fonctionnalités du Service, à la restitution ou à la suppression des données à caractère personnel traitées pour son compte.

Le Souscripteur est invité à procéder, avant la date effective de fin d’accès au Service, à la récupération des données dont il souhaite conserver une copie, lorsque les fonctionnalités du LOGICIEL le permettent.

Après l’expiration d’un délai de conservation technique raisonnable suivant la cessation du Contrat, NEWMIPS procède à la suppression ou à l’anonymisation des données, sauf obligation légale imposant leur conservation.

Les données peuvent subsister temporairement dans des sauvegardes techniques pendant la durée nécessaire à leur cycle normal d’écrasement ou de suppression, sous réserve qu’elles ne soient plus accessibles dans le cadre de l’utilisation normale du Service et qu’elles demeurent protégées par les mesures de sécurité appropriées.

12. OBLIGATIONS DU SOUSCRIPTEUR

Le Souscripteur s’engage notamment à :

• déterminer les finalités et les moyens des traitements qu’il réalise au moyen du LOGICIEL ;
• s’assurer qu’il dispose d’une base juridique appropriée pour les traitements qu’il réalise ;
• fournir aux personnes concernées les informations requises par la réglementation applicable ;
• répondre aux demandes d’exercice des droits des personnes concernées ;
• veiller à la licéité, à la pertinence et à la minimisation des données qu’il traite ;
• ne pas utiliser le LOGICIEL pour traiter des données d’une manière contraire à la réglementation applicable ;
• donner à NEWMIPS des instructions licites, documentées et suffisamment précises.
  
  

Le Souscripteur demeure seul responsable de ses propres obligations en qualité de Responsable du traitement.

13. DURÉE ET HIÉRARCHIE

Le présent DPA entre en vigueur à compter de la prise d’effet du Contrat et demeure applicable pendant toute la durée des traitements réalisés par NEWMIPS pour le compte du Souscripteur.

Les obligations qui, par leur nature, doivent survivre à la cessation du Contrat, notamment celles relatives à la confidentialité, à la sécurité et au sort des données, demeurent applicables pendant la durée nécessaire à leur exécution.

En cas de modification de la réglementation applicable ou des Services nécessitant une adaptation du présent DPA, NEWMIPS pourra proposer une mise à jour du présent document afin de maintenir un cadre contractuel conforme aux exigences applicables.