Conditions d'utilisation AI Trust Audit

Contrat de traitement de données en sous-traitance entre Trusted Shops SE et l'utilisateur

Dans la mesure où l'utilisateur, lors de la réalisation de l'Audit de Confiance IA (AI Trust Audit) sur le site web à vérifier, traite des données à caractère personnel au moyen de l'outil mis à disposition par Trusted Shops SE, Trusted Shops SE agit en tant que sous-traitant. Les dispositions suivantes relatives au traitement de données en sous-traitance s'appliquent. Clauses contractuelles types Section 1 Clause 1 – Objet et champ d'application a) Les présentes clauses contractuelles types (ci-après les « clauses ») visent à garantir le respect de l'article 28, paragraphes 3 et 4, du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données). b) Les responsables du traitement et les sous-traitants énumérés à l'annexe I ont adhéré aux présentes clauses afin de garantir le respect de l'article 28, paragraphes 3 et 4, du règlement (UE) 2016/679 et/ou de l'article 29, paragraphes 3 et 4, du règlement (UE) 2018/1725. c) Les présentes clauses s'appliquent au traitement de données à caractère personnel conformément à l'annexe II. d) Les annexes I à IV font partie intégrante des clauses. e) Les présentes clauses s'appliquent sans préjudice des obligations auxquelles le responsable du traitement est soumis en vertu du règlement (UE) 2016/679 et/ou du règlement (UE) 2018/1725. f) Les présentes clauses ne garantissent pas à elles seules le respect des obligations relatives aux transferts internationaux de données au titre du chapitre V du règlement (UE) 2016/679 et/ou du règlement (UE) 2018/1725. Clause 2 – Intangibilité des clauses a) Les parties s'engagent à ne pas modifier les clauses, sauf pour compléter ou mettre à jour les informations indiquées dans les annexes. b) Cela n'empêche pas les parties d'inclure les clauses contractuelles types énoncées dans les présentes clauses dans un contrat plus large et d'y ajouter d'autres clauses ou des garanties supplémentaires, à condition que celles-ci ne contredisent pas, directement ou indirectement, les clauses et ne portent pas atteinte aux droits et libertés fondamentaux des personnes concernées. Clause 3 – Interprétation a) Lorsque les présentes clauses utilisent des termes définis dans le règlement (UE) 2016/679 ou le règlement (UE) 2018/1725, ces termes ont le même sens que dans le règlement concerné. b) Les présentes clauses doivent être interprétées à la lumière des dispositions du règlement (UE) 2016/679 ou du règlement (UE) 2018/1725. c) Les présentes clauses ne doivent pas être interprétées d'une manière qui contrevient aux droits et obligations prévus par le règlement (UE) 2016/679 ou le règlement (UE) 2018/1725, ou qui porte atteinte aux droits et libertés fondamentaux des personnes concernées. Clause 4 – Primauté En cas de contradiction entre les présentes clauses et les dispositions des accords connexes existant entre les parties ou conclus ultérieurement, les présentes clauses prévalent. Clause 5 – Clause d'adhésion a) Une entité qui n'est pas partie aux présentes clauses peut y adhérer à tout moment, avec l'accord de toutes les parties, en tant que responsable du traitement ou sous-traitant, en remplissant les annexes et en signant l'annexe I. b) Après avoir rempli et signé les annexes mentionnées à la lettre a), l'entité adhérente est considérée comme une partie aux présentes clauses et jouit des droits et obligations d'un responsable du traitement ou d'un sous-traitant, conformément à sa désignation à l'annexe I. c) L'entité adhérente n'acquiert aucun droit ni aucune obligation découlant des présentes clauses pour la période antérieure à son adhésion en tant que partie. Section 2 – Obligations des parties Clause 6 – Description du traitement Les détails des opérations de traitement, en particulier les catégories de données à caractère personnel et les finalités pour lesquelles les données à caractère personnel sont traitées pour le compte du responsable du traitement, sont décrits à l'annexe II. Clause 7 – Obligations des parties 7.1 Instructions a) Le sous-traitant ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement, à moins qu'il ne soit tenu de le faire en vertu du droit de l'Union ou du droit d'un État membre auquel il est soumis. Dans ce cas, le sous-traitant informe le responsable du traitement de cette exigence légale avant le traitement, sauf si le droit en question l'interdit pour des motifs importants d'intérêt public. Le responsable du traitement peut donner des instructions supplémentaires pendant toute la durée du traitement des données à caractère personnel. Ces instructions doivent toujours être documentées. b) Le sous-traitant informe sans délai le responsable du traitement s'il estime que les instructions données par ce dernier enfreignent le règlement (UE) 2016/679, le règlement (UE) 2018/1725 ou les dispositions applicables de l'Union ou des États membres en matière de protection des données. 7.2 Limitation des finalités Le sous-traitant ne traite les données à caractère personnel que pour la ou les finalités spécifiques mentionnées à l'annexe II, à moins qu'il ne reçoive d'autres instructions du responsable du traitement. 7.3 Durée du traitement des données à caractère personnel Les données ne sont traitées par le sous-traitant que pour la durée indiquée à l'annexe II. 7.4 Sécurité du traitement a) Le sous-traitant met en œuvre au minimum les mesures techniques et organisationnelles énumérées à l'annexe III pour garantir la sécurité des données à caractère personnel. Cela inclut la protection des données contre une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou l'accès non autorisé à de telles données (ci-après « violation de données à caractère personnel »). Lors de l'évaluation du niveau de sécurité approprié, les parties tiennent dûment compte de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les personnes concernées. b) Le sous-traitant ne donne accès aux données à caractère personnel faisant l'objet du traitement à son personnel que dans la mesure où cela est strictement nécessaire pour l'exécution, la gestion et le suivi du contrat. Le sous-traitant veille à ce que les personnes autorisées à traiter les données à caractère personnel reçues se soient engagées à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité. 7.5 Données sensibles Si le traitement concerne des données à caractère personnel qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, ou des données génétiques ou biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé, la vie sexuelle ou l'orientation sexuelle d'une personne, ou des données relatives à des condamnations pénales et à des infractions (ci-après « données sensibles »), le sous-traitant applique des restrictions spécifiques et/ou des garanties supplémentaires. 7.6 Documentation et respect des clauses a) Les parties doivent être en mesure de démontrer le respect des présentes clauses. b) Le sous-traitant traite les demandes du responsable du traitement concernant le traitement des données conformément aux présentes clauses rapidement et de manière appropriée. c) Le sous-traitant met à la disposition du responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations énoncées dans les présentes clauses et découlant directement du règlement (UE) 2016/679 et/ou du règlement (UE) 2018/1725. À la demande du responsable du traitement, le sous-traitant autorise également des audits des activités de traitement relevant des présentes clauses, à des intervalles raisonnables ou en cas d'indices de non-respect, et y contribue. Pour décider d'une revue ou d'un audit, le responsable du traitement peut tenir compte des certifications pertinentes du sous-traitant. d) Le responsable du traitement peut effectuer l'audit lui-même ou mandater un auditeur indépendant. Les audits peuvent également inclure des inspections dans les locaux ou les installations physiques du sous-traitant et sont effectués, le cas échéant, moyennant un préavis raisonnable. e) Les parties mettent à la disposition de l'autorité ou des autorités de contrôle compétentes les informations mentionnées dans la présente clause, y compris les résultats des audits, sur demande. 7.7 Recours à des sous-traitants ultérieurs a) Le sous-traitant dispose de l'autorisation générale du responsable du traitement pour faire appel à des sous-traitants ultérieurs figurant sur une liste convenue. Le sous-traitant informe expressément par écrit le responsable du traitement, au moins 1 mois à l'avance, de toute modification envisagée de cette liste par l'ajout ou le remplacement de sous-traitants ultérieurs, accordant ainsi au responsable du traitement un délai suffisant pour pouvoir s'opposer à ces modifications avant de faire appel au(x) sous-traitant(s) ultérieur(s) concerné(s). Le sous-traitant fournit au responsable du traitement les informations nécessaires pour lui permettre d'exercer son droit d'opposition. b) Lorsque le sous-traitant fait appel à un sous-traitant ultérieur pour mener des activités de traitement spécifiques (pour le compte du responsable du traitement), cet engagement doit se faire par le biais d'un contrat qui impose au sous-traitant ultérieur, en substance, les mêmes obligations en matière de protection des données que celles qui s'appliquent au sous-traitant en vertu des présentes clauses. Le sous-traitant veille à ce que le sous-traitant ultérieur respecte les obligations auxquelles le sous-traitant est soumis conformément aux présentes clauses et au règlement (UE) 2016/679 et/ou au règlement (UE) 2018/1725. c) Le sous-traitant met à la disposition du responsable du traitement, sur demande de ce dernier, une copie d'un tel accord de sous-traitance et de toute modification ultérieure. Dans la mesure où cela est nécessaire pour protéger des secrets d'affaires ou d'autres informations confidentielles, y compris des données à caractère personnel, le sous-traitant peut caviarder le texte de l'accord avant d'en partager une copie. d) Le sous-traitant est entièrement responsable envers le responsable du traitement du respect par le sous-traitant ultérieur de ses obligations en vertu du contrat conclu avec le sous-traitant. Le sous-traitant informe le responsable du traitement si le sous-traitant ultérieur ne remplit pas ses obligations contractuelles. e) Le sous-traitant convient avec le sous-traitant ultérieur d'une clause de tiers bénéficiaire selon laquelle le responsable du traitement – en cas de cessation d'existence de fait ou de droit du sous-traitant, ou d'insolvabilité de celui-ci – a le droit de résilier le contrat de sous-traitance et d'ordonner au sous-traitant ultérieur de supprimer ou de restituer les données à caractère personnel. 7.8 Transferts internationaux de données a) Tout transfert de données par le sous-traitant vers un pays tiers ou une organisation internationale ne s'effectue que sur la base d'instructions documentées du responsable du traitement ou pour se conformer à une disposition spécifique du droit de l'Union ou du droit d'un État membre auquel le sous-traitant est soumis, et doit être conforme au chapitre V du règlement (UE) 2016/679 ou du règlement (UE) 2018/1725. b) Le responsable du traitement accepte que, dans les cas où le sous-traitant fait appel à un sous-traitant ultérieur conformément à la clause 7.7 pour mener des activités de traitement spécifiques (pour le compte du responsable du traitement) et que ces activités de traitement impliquent un transfert de données à caractère personnel au sens du chapitre V du règlement (UE) 2016/679, le sous-traitant et le sous-traitant ultérieur peuvent garantir le respect du chapitre V du règlement (UE) 2016/679 en utilisant des clauses contractuelles types adoptées par la Commission conformément à l'article 46, paragraphe 2, du règlement (UE) 2016/679, pour autant que les conditions d'application de ces clauses contractuelles types soient remplies. Clause 8 – Assistance au responsable du traitement a) Le sous-traitant informe sans délai le responsable du traitement de toute demande qu'il a reçue de la personne concernée. Il ne répond pas lui-même à la demande, à moins d'y avoir été autorisé par le responsable du traitement. b) Compte tenu de la nature du traitement, le sous-traitant aide le responsable du traitement à s'acquitter de son obligation de répondre aux demandes des personnes concernées exerçant leurs droits. Dans l'accomplissement de ses obligations au titre des lettres a) et b), le sous-traitant suit les instructions du responsable du traitement. c) Outre l'obligation du sous-traitant d'assister le responsable du traitement conformément à la clause 8, lettre b), le sous-traitant, compte tenu de la nature du traitement des données et des informations dont il dispose, assiste également le responsable du traitement dans le respect des obligations suivantes : 1) obligation de réaliser une analyse d'impact relative à la protection des données (ci-après « analyse d'impact sur la protection des données »), lorsqu'un type de traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques ; 2) obligation de consulter l'autorité ou les autorités de contrôle compétentes avant le traitement, si une analyse d'impact sur la protection des données révèle que le traitement entraînerait un risque élevé, à moins que le responsable du traitement ne prenne des mesures pour atténuer ce risque ; 3) obligation de garantir que les données à caractère personnel sont exactes et à jour, en informant sans délai le responsable du traitement s'il constate que les données à caractère personnel qu'il traite sont inexactes ou obsolètes ; 4) obligations au titre de l'article 32 du règlement (UE) 2016/679. d) Les parties définissent à l'annexe III les mesures techniques et organisationnelles appropriées par lesquelles le sous-traitant assiste le responsable du traitement dans l'application de la présente clause, ainsi que le champ d'application et la portée de l'assistance requise. Clause 9 – Notification des violations de données à caractère personnel En cas de violation de données à caractère personnel, le sous-traitant coopère avec le responsable du traitement et l'assiste de manière appropriée afin de permettre au responsable du traitement de remplir ses obligations au titre des articles 33 et 34 du règlement (UE) 2016/679 ou, le cas échéant, des articles 34 et 35 du règlement (UE) 2018/1725, en tenant compte de la nature du traitement et des informations dont il dispose. 9.1 Violation de la sécurité des données traitées par le responsable du traitement En cas de violation de données à caractère personnel en rapport avec les données traitées par le responsable du traitement, le sous-traitant assiste le responsable du traitement comme suit : a) à notifier sans délai la violation de données à caractère personnel à l'autorité ou aux autorités de contrôle compétentes après que le responsable du traitement a pris connaissance de la violation, le cas échéant (sauf si la violation de données à caractère personnel n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques) ; b) à obtenir les informations suivantes, qui doivent être fournies dans la notification du responsable du traitement conformément à l'article 33, paragraphe 3, du règlement (UE) 2016/679, ces informations devant comprendre au minimum : 1) la nature des données à caractère personnel, en indiquant, si possible, les catégories et le nombre approximatif de personnes concernées, ainsi que les catégories et le nombre approximatif d'enregistrements de données à caractère personnel concernés ; 2) les conséquences probables de la violation de données à caractère personnel ; 3) les mesures prises ou proposées par le responsable du traitement pour remédier à la violation de données à caractère personnel et, le cas échéant, les mesures visant à en atténuer les éventuels effets négatifs. Si et dans la mesure où toutes ces informations ne peuvent pas être fournies en même temps, la notification initiale contient les informations disponibles à ce moment-là, et des informations supplémentaires sont ensuite fournies sans retard indu dès qu'elles sont disponibles ; c) à respecter l'obligation prévue à l'article 34 du règlement (UE) 2016/679, de notifier sans délai à la personne concernée la violation de données à caractère personnel, lorsque cette violation est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques. 9.2 Violation de la sécurité des données traitées par le sous-traitant En cas de violation de données à caractère personnel en rapport avec les données traitées par le sous-traitant, le sous-traitant notifie celle-ci au responsable du traitement sans délai après en avoir pris connaissance. Cette notification doit contenir au minimum les informations suivantes : a) une description de la nature de la violation (en indiquant, si possible, les catégories et le nombre approximatif de personnes concernées et le nombre approximatif d'enregistrements de données concernés) ; b) les coordonnées d'un point de contact où de plus amples informations sur la violation de données à caractère personnel peuvent être obtenues ; c) les conséquences probables et les mesures prises ou proposées pour remédier à la violation de données à caractère personnel, y compris les mesures visant à en atténuer les éventuels effets négatifs. Si et dans la mesure où toutes ces informations ne peuvent pas être fournies en même temps, la notification initiale contient les informations disponibles à ce moment-là, et des informations supplémentaires sont ensuite fournies sans retard indu dès qu'elles sont disponibles. Les parties définissent à l'annexe III toute autre information que le sous-traitant doit fournir pour aider le responsable du traitement à remplir ses obligations au titre des articles 33 et 34 du règlement (UE) 2016/679. Clause 10 – Violation des clauses et résiliation du contrat a) Si le sous-traitant ne respecte pas ses obligations au titre des présentes clauses, le responsable du traitement peut – sans préjudice des dispositions du règlement (UE) 2016/679 et/ou du règlement (UE) 2018/1725 – ordonner au sous-traitant de suspendre le traitement des données à caractère personnel jusqu'à ce qu'il se conforme à ces clauses ou que le contrat soit résilié. Le sous-traitant informe sans délai le responsable du traitement s'il est, pour quelque raison que ce soit, incapable de se conformer à ces clauses. b) Le responsable du traitement est en droit de résilier le contrat, dans la mesure où il concerne le traitement de données à caractère personnel conformément aux présentes clauses, si 1) le responsable du traitement a suspendu le traitement des données à caractère personnel par le sous-traitant conformément à la lettre a) et que la conformité à ces clauses n'a pas été rétablie dans un délai raisonnable, et en tout cas dans un délai d'un mois après la suspension ; 2) le sous-traitant enfreint de manière substantielle ou persistante les présentes clauses ou ne remplit pas ses obligations au titre du règlement (UE) 2016/679 et/ou du règlement (UE) 2018/1725 ; 3) le sous-traitant ne se conforme pas à une décision contraignante d'un tribunal compétent ou de l'autorité ou des autorités de contrôle compétentes concernant ses obligations au titre des présentes clauses, du règlement (UE) 2016/679 et/ou du règlement (UE) 2018/1725. c) Le sous-traitant est en droit de résilier le contrat, dans la mesure où il concerne le traitement de données à caractère personnel conformément aux présentes clauses, si le responsable du traitement insiste sur l'exécution de ses instructions après avoir été informé par le sous-traitant que ses instructions enfreignent les exigences légales applicables conformément à la clause 7.1, lettre b). d) Après la résiliation du contrat, le sous-traitant, au choix du responsable du traitement, supprime toutes les données à caractère personnel traitées pour le compte du responsable du traitement et certifie au responsable du traitement que cela a été fait, ou il restitue toutes les données à caractère personnel au responsable du traitement et supprime les copies existantes, à moins que le droit de l'Union ou le droit des États membres n'impose une obligation de conservation des données à caractère personnel. Jusqu'à la suppression ou à la restitution des données, le sous-traitant continue de garantir le respect des présentes clauses. Annexe I – Liste des parties A. Responsable(s) du traitement Le responsable du traitement est l'utilisateur du service conformément aux conditions d'utilisation. B. Sous-traitant Nom : Trusted Shops SE Adresse : Subbelrather Str. 15C, 50823 Cologne E-mail : privacy@trustedshops.com Annexe II – Description du traitement A. Catégories de personnes concernées Personnes publiées sur le site web (directeurs généraux, DPO, responsables éditoriaux) ; employés du responsable du traitement. B. Catégories de données à caractère personnel traitées Nom ; adresse ; adresse e-mail ; numéro de téléphone. C. Nature du traitement Lorsqu'une URL de site web est fournie pour l'Audit de Confiance IA, le sous-traitant consulte automatiquement les pages accessibles au public du domaine audité et analyse leur contenu. Ce faisant, des données à caractère personnel que l'exploitant du site web y a lui-même publiées peuvent également être traitées. D. Finalités du traitement Création et affichage du résultat de l'audit, réalisation de l'audit du site web commandé. E. Durée du traitement Correspond à la durée d'utilisation du service. Annexe III – Mesures techniques et organisationnelles Les mesures techniques et organisationnelles de Trusted Shops SE s'appliquent. Trusted Shops publie toujours les MTO actuelles sous https://help.etrusted.com/hc/de/articles/360021040178. Annexe IV – Sous-traitants ultérieurs Lovable Labs Incorporate — Fournisseur SaaS en tant que plateforme technique pour la réalisation de l'analyse — Durée du traitement : Correspond à la durée d'utilisation du service.