Accord de traitement des données à caractère personnel

Entre EMEDIAS, société en nom collectif au capital de 1 000 €, immatriculée au registre du commerce et des sociétés de Paris sous le numéro 977 754 670, dont le siège social est situé 248 B boulevard Voltaire, 75011 Paris, qui édite et exploite le service Kairny, ci-après « Kairny » ou le « Sous-traitant », et le client désigné dans le Bon de commande, ci-après le « Client » ou le « Responsable de traitement », ensemble les « Parties ».

Le présent accord (l’« Accord ») fait partie des Documents contractuels définis dans les Conditions générales d’abonnement au service Kairny (les « Conditions générales »). Il précise les obligations respectives des Parties pour les données à caractère personnel que Kairny traite pour le compte du Client dans le cadre du Service. Les termes commençant par une majuscule et non définis ici ont le sens des Conditions générales ; les termes « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « personne concernée » et « violation de données à caractère personnel » ont le sens que leur donne le RGPD.

Article 1 — Objet, champ d’application et durée

1.1L’Accord s’applique à tout traitement de données à caractère personnel que Kairny réalise pour le compte du Client au titre de la fourniture du Service, de la mise en route, du support, de la maintenance et de la réversibilité. Il ne s’applique pas aux données des contacts du Client que Kairny traite pour son propre compte en qualité de responsable du traitement (article 12.2 des Conditions générales).

1.2Le traitement est décrit en Annexe 1 (objet, nature, finalités, catégories de données et de personnes concernées, durée). Les mesures de sécurité sont décrites en Annexe 2. Les sous-traitants ultérieurs autorisés sont listés en Annexe 3.

1.3L’Accord prend effet à la signature du Bon de commande et reste en vigueur aussi longtemps que Kairny traite des données à caractère personnel pour le compte du Client, y compris pendant la période de réversibilité et jusqu’à la suppression des données prévue à l’article 3.8.

1.4En cas de contradiction entre l’Accord et les Conditions générales sur une question relative aux données à caractère personnel, l’Accord prévaut.

Article 2 — Rôles des Parties

2.1Le Client est responsable du traitement : il détermine les finalités et les moyens du traitement des données de ses Utilisateurs dans son Espace. Il décide notamment des personnes auxquelles il donne accès, des formations qu’il diffuse, des données qu’il y intègre et de la durée pendant laquelle il les conserve.

2.2Kairny est sous-traitant : elle traite ces données uniquement pour le compte du Client, selon ses instructions documentées, aux fins de lui fournir le Service.

2.3Les Parties reconnaissent que les Conditions générales, le Bon de commande, le présent Accord et l’utilisation des fonctionnalités du Service par le Client et ses Utilisateurs constituent les instructions documentées du Client. Toute instruction complémentaire est donnée par écrit ; si elle sort du périmètre du Service ou entraîne un coût supplémentaire, les Parties conviennent au préalable de ses conditions.

Article 3 — Obligations de Kairny

Kairny s’engage à :

3.1 Instructions

Ne traiter les données à caractère personnel que sur instruction documentée du Client, y compris en ce qui concerne les transferts de données vers un pays tiers, sauf si le droit de l’Union ou d’un État membre l’y oblige ; dans ce cas, Kairny informe le Client de cette obligation juridique avant le traitement, sauf si le droit concerné l’interdit pour des motifs importants d’intérêt public. Kairny informe immédiatement le Client si, selon elle, une instruction constitue une violation du RGPD ou d’une autre disposition relative à la protection des données.

3.2 Confidentialité

Veiller à ce que les personnes autorisées à traiter les données à caractère personnel (salariés de Kairny, personnel d’Emedias intervenant pour Kairny, sous-traitants ultérieurs) s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité, et reçoivent la formation nécessaire en matière de protection des données. L’accès du personnel de Kairny aux Données Client est limité aux besoins du support, de la maintenance et de la sécurité, et il est journalisé.

3.3 Sécurité

Mettre en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, conformément à l’article 32 du RGPD, décrites en Annexe 2, et les maintenir à jour. Kairny peut faire évoluer ces mesures à condition de ne pas réduire le niveau global de sécurité.

3.4 Sous-traitance ultérieure

Ne recruter un autre sous-traitant (« sous-traitant ultérieur ») qu’avec l’autorisation du Client. Le Client autorise, par le présent Accord, le recours aux sous-traitants ultérieurs listés en Annexe 3 (autorisation générale). Kairny informe le Client, par e-mail à l’administrateur de l’Espace, de tout projet d’ajout ou de remplacement d’un sous-traitant ultérieur au moins trente (30) jours avant sa mise en œuvre. Le Client peut s’y opposer par écrit, pour des motifs légitimes tenant à la protection des données, dans ce délai ; à défaut d’accord entre les Parties dans les trente (30) jours suivant l’objection, le Client peut résilier le Contrat sans indemnité. Kairny impose à chaque sous-traitant ultérieur, par contrat, des obligations en matière de protection des données équivalentes à celles du présent Accord, et demeure pleinement responsable envers le Client de l’exécution de ces obligations par le sous-traitant ultérieur.

3.5 Droits des personnes concernées

Aider le Client, par des mesures techniques et organisationnelles appropriées et dans la mesure du possible, à donner suite aux demandes d’exercice des droits des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition). Le Service permet au Client de consulter, corriger, exporter et supprimer lui-même les données de ses Utilisateurs. Si une personne concernée adresse directement une demande à Kairny, Kairny la transmet au Client dans un délai de cinq (5) Jours ouvrés et ne lui répond pas sur le fond, sauf instruction du Client.

3.6 Violations de données, analyses d’impact

Notifier au Client toute violation de données à caractère personnel affectant les Données Client dans les meilleurs délais et au plus tard quarante-huit (48) heures après en avoir pris connaissance, par e-mail à l’administrateur de l’Espace et au contact désigné à l’article 7. La notification décrit, dans la mesure des informations disponibles, la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables, les mesures prises ou proposées pour y remédier, et le point de contact de Kairny ; les informations peuvent être communiquées de manière échelonnée. Kairny aide le Client à respecter ses obligations de notification à l’autorité de contrôle et de communication aux personnes concernées (articles 33 et 34 du RGPD). Kairny aide également le Client, compte tenu de la nature du traitement et des informations dont elle dispose, à réaliser les analyses d’impact relatives à la protection des données et les consultations préalables de l’autorité de contrôle qui seraient nécessaires (articles 35 et 36 du RGPD). Cette assistance est comprise dans l’abonnement dans la limite du raisonnable ; au-delà, elle est facturée au temps passé sur devis.

3.7 Documentation et audits

Mettre à la disposition du Client toutes les informations nécessaires pour démontrer le respect des obligations prévues à l’article 28 du RGPD, notamment par la présente documentation, la description des mesures de sécurité et les réponses aux questionnaires de sécurité raisonnables du Client. Permettre la réalisation d’audits, y compris des inspections, par le Client ou un auditeur indépendant qu’il a mandaté et qui est tenu à une obligation de confidentialité, et y contribuer, dans les conditions suivantes : au plus une fois par période de douze (12) mois, sauf après une violation de données ou à la demande d’une autorité de contrôle ; sur préavis écrit de trente (30) jours précisant le périmètre ; pendant les heures ouvrées, sans perturber le Service ni compromettre la sécurité des données des autres clients ; les audits de l’infrastructure d’hébergement se font au moyen des certifications et rapports d’audit de l’hébergeur. Les frais de l’audit sont à la charge du Client, sauf si l’audit révèle un manquement significatif de Kairny au présent Accord.

3.8 Sort des données à la fin du traitement

Au terme du Contrat, et selon le choix du Client exprimé par écrit avant la date d’effet de la résiliation, restituer au Client les données à caractère personnel au moyen des fonctions d’export du Service (fichiers CSV, certificats PDF, Contenus Client) pendant la période de réversibilité de trente (30) jours prévue à l’article 13 des Conditions générales, puis supprimer l’ensemble des données à caractère personnel et leurs copies de ses systèmes de production dans un délai de quatre-vingt-dix (90) jours à compter de la date d’effet de la résiliation, et de ses sauvegardes dans le délai supplémentaire prévu par ces mêmes Conditions générales, à moins que le droit de l’Union ou d’un État membre n’exige la conservation des données. Kairny confirme la suppression par écrit sur demande du Client.

3.9 Registre et coopération

Tenir un registre de toutes les catégories d’activités de traitement effectuées pour le compte du Client (article 30.2 du RGPD) et coopérer, à la demande du Client, avec l’autorité de contrôle dans l’exercice de ses missions.

3.10 Localisation et transferts

Héberger et traiter les Données Client dans l’Union européenne et en Suisse, pays faisant l’objet d’une décision d’adéquation de la Commission européenne (Annexes 2 et 3). Kairny ne transfère aucune donnée à caractère personnel du Client vers un pays tiers ne bénéficiant pas d’une telle décision, hormis dans les cas expressément listés en Annexe 3, et sous réserve des garanties appropriées prévues au chapitre V du RGPD (cadre de protection des données UE-États-Unis ou clauses contractuelles types de la Commission européenne) ; tout nouveau transfert est soumis à la procédure de l’article 3.4. L’option de Génération IA, dont le traitement a lieu aux États-Unis, n’est activée que sur demande écrite du Client (Annexe 3).

Article 4 — Obligations du Client

Le Client, en qualité de responsable du traitement, s’engage à :

• s’assurer de la licéité du traitement, disposer d’une base légale appropriée et respecter l’ensemble des obligations qui lui incombent au titre du RGPD et de la loi Informatique et Libertés ;
• fournir aux personnes concernées (Utilisateurs) l’information prévue aux articles 13 et 14 du RGPD, notamment sur le suivi de leur progression et de leurs résultats de formation, et consulter, le cas échéant, les représentants du personnel ;
• n’intégrer dans le Service que des données pertinentes et limitées à la finalité de formation, et ne pas y intégrer de données sensibles au sens de l’article 9 du RGPD, ni de données relatives à des condamnations, ni de données de santé ou bancaires, sauf accord écrit préalable de Kairny et mesures spécifiques convenues ;
• documenter par écrit ses instructions à Kairny et lui notifier toute instruction complémentaire ;
• gérer les comptes de ses Utilisateurs (création, rôles, désactivation) et traiter lui-même les demandes d’exercice des droits, au moyen des fonctionnalités du Service ;
• assurer la sécurité de ses propres accès et de ses équipements, et notifier à Kairny sans délai tout incident de sécurité dont il aurait connaissance et qui concernerait le Service ;
• répondre aux sollicitations de Kairny nécessaires à l’exécution du présent Accord.

Article 5 — Responsabilité

5.1Chaque Partie est responsable des dommages causés par un traitement effectué en violation du RGPD dans les conditions de l’article 82 du RGPD. Kairny n’est responsable que du dommage causé par un traitement pour lequel elle n’a pas respecté les obligations du RGPD qui incombent spécifiquement aux sous-traitants, ou pour lequel elle a agi en dehors des instructions licites du Client ou contrairement à celles-ci.

5.2Sous réserve des dispositions impératives du RGPD, la responsabilité de chaque Partie au titre de l’Accord est soumise aux limitations et exclusions prévues à l’article 18 des Conditions générales. Ces limitations ne s’appliquent pas aux amendes administratives ni aux sommes qu’une Partie serait condamnée à verser aux personnes concernées du fait d’un manquement de l’autre Partie.

Article 6 — Durée, fin et modifications

6.1L’Accord a la durée prévue à l’article 1.3. Sa fin n’affecte pas les obligations qui, par nature, survivent, notamment la confidentialité et la suppression des données.

6.2Les Parties conviennent de modifier l’Accord de bonne foi si une évolution de la réglementation, une décision d’une autorité de contrôle ou d’une juridiction, ou une évolution du Service le rend nécessaire. Kairny propose alors une nouvelle version au Client dans les conditions de l’article 23.1 des Conditions générales ; aucune modification ne peut réduire les garanties de localisation des données dans l’Union européenne.

Article 7 — Contacts

Article 8 — Droit applicable et signature

L’Accord est régi par le droit français. Tout litige relatif à l’Accord est réglé dans les conditions de l’article 24 des Conditions générales. L’Accord est accepté par la signature du Bon de commande qui s’y réfère ; les Parties peuvent en outre le signer ci-dessous à la demande de l’une d’elles.

Ce document est accepté par le Client lors de la signature du bon de commande ; il n’appelle pas de signature séparée.

Annexe 1 — Description du traitement

Annexe 2 — Mesures techniques et organisationnelles

Mesures en vigueur à la date de l’Accord. Elles peuvent évoluer, sans diminution du niveau de protection, dans les conditions de l’article 3.3.

Annexe 3 — Sous-traitants ultérieurs autorisés

Liste des sous-traitants ultérieurs auxquels Kairny fait appel à la date de l’Accord pour le traitement des Données Client, avec l’activité concernée et le lieu de traitement. Cette liste est tenue à jour dans les conditions de l’article 3.4.

Google et Microsoft n’agissent pas comme sous-traitants de Kairny au titre de la connexion avec un compte Google ou Microsoft : l’Utilisateur s’authentifie directement auprès de son fournisseur de compte, qui transmet à Kairny son identifiant et son adresse e-mail.