Mise à jour à partir du 16 août 2022.

Le présent accord de transfert de données (« ATD ») est conclu par et entre Celartem, Inc. faisant affaire sous le nom d'Extensis (« Extensis ») avec le client de [Extensis Online services] (« client ») dans la mesure où le client transfère des données personnelles à Extensis ou permet à Extensis d'accéder à des données personnelles situées dans une juridiction qui exige des protections spéciales pour transférer des informations au-delà des frontières internationales, comme l'Espace économique européen (« EEE »).

1. Généralement. Les parties conviennent, pour toute juridiction non énumérée ci-dessous qui exige des protections spéciales pour un transfert international de données, qu'elles concluent et acceptent d’être liées par les clauses contractuelles types de l’EEE pour les transferts de données personnelles à partir de cette juridiction, sauf accord contraire écrit des parties.
2. Description du traitement et statut des parties. L’annexe 1 énumère les statuts des parties en vertu de la législation pertinente sur la protection des données pour chaque activité de traitement pertinente pour les services.
3. Espace économique européen.
   1. « Les clauses contractuelles types de l' EEE » désigne les clauses contractuelles types de l'Union européenne pour les transferts internationaux de l'Espace économique européen vers des pays tiers, décision d'exécution (UE) 2021/914 de la Commission du 4 juin 2021.
   2. Pour les transferts en provenance de l’EEE qui ne font pas l’objet d’une décision d’adéquation ou d’une exception, les parties incorporent par référence les clauses contractuelles types de l’EEE et concluent et acceptent également d’être liées par les clauses contractuelles types de l’EEE. Les parties conviennent de sélectionner les options suivantes mises à disposition par les clauses contractuelles types de l’EEE.
      1. Informations de contrôleur à contrôleur pour les transferts internationaux de données
         • Article 11(a), module 1 : les parties ne choisissent pas l’option indépendante de règlement des différends.
         • Article 17, module 1 : les parties sélectionnent l’option 1. Les parties conviennent que la juridiction compétente est l’Irlande.
         • Article 18(b), module 1 : les parties conviennent que les tribunaux d’Irlande sont compétents.
         • Annexe I (A) : l’exportateur de données est le client et l’importateur de données est Extensis.
         • Annexe I (B) : les parties conviennent que l’annexe 1 décrit le transfert.
         • Annexe I (C) : l’autorité de contrôle compétente est la Commission irlandaise de protection des données.
         • Annexe II : les parties conviennent que l’annexe 2 décrit les mesures techniques et organisationnelles applicables au transfert.
         • Annexe III : les parties conviennent que l’annexe 1 décrit les sous-traitants ultérieurs concernés et leurs rôles dans le traitement des données personnelles.
      2. Informations du contrôleur au processeur pour les transferts internationaux de données
         • Article 9, module 2(a) : les parties sélectionnent l’option 2. La période est de 30 jours.
         • Article 11(a), module 2 : les parties ne choisissent pas l'option de résolution indépendante des conflits.
         • Article 17, module 2 : les parties choisissent l'option 1. Les parties conviennent que la juridiction compétente est l'Irlande.
         • Article 18, module 2 : les parties conviennent que les tribunaux d’Irlande sont compétents.
         • Annexe I (A) : l’exportateur de données est le client et l’importateur de données est Extensis. Les statuts des parties en tant que contrôleurs ou sous-traitants sont décrits à l’annexe 1.
         • Annexe I (B) : les parties conviennent que l’annexe 1 décrit le transfert.
         • Annexe I (C) : l’autorité de contrôle compétente est la Commission irlandaise de protection des données.
         • Annexe II : les parties conviennent que l’annexe 2 décrit les mesures techniques et organisationnelles applicables au transfert.
         • Annexe III : les parties conviennent que l’annexe 1 décrit les sous-traitants ultérieurs concernés et leurs rôles dans le traitement des données personnelles.
4. Suisse. Les parties acceptent les modifications suivantes des clauses contractuelles types de l'EEE afin de les rendre applicables aux transferts de données personnelles depuis la Suisse.
   • Les parties adoptent la norme RGPD pour tous les transferts de données depuis la Suisse.
   • Article 13 et annexe I(C) : les autorités compétentes en vertu de l'article 13, et dans l'annexe I(C), sont le Commissaire fédéral à la protection des données et à l'information et, simultanément, l'autorité de l'État membre de l'EEE identifiée ci-dessus.
   • Article 17 : les parties conviennent que la juridiction compétente est la [Suisse].
   • Article 18 : les parties conviennent que [les tribunaux de Suisse] sont compétents. Les parties conviennent d’interpréter les clauses contractuelles types de l’EEE afin que les personnes concernées en Suisse puissent intenter une action en justice pour leurs droits en Suisse conformément à l’article 18, point c).
   • Les parties conviennent d'interpréter les clauses contractuelles types de l'EEE de manière à ce que les « personnes concernées » incluent les informations sur les entités juridiques suisses jusqu'à ce que la loi fédérale révisée sur la protection des données entre en vigueur.
5. Royaume-Uni.
   1. « L'AITD » désigne l'Accord international de transfert de données publié par l'OIC et déposé devant le Parlement conformément à l'article s119A de la loi sur la protection des données 2018 du 2 février 2022, tel que modifié par le Bureau du commissaire à l'information du Royaume-Uni de temps à autre.
   2. Les parties incorporent l'AIDT par référence et, en signant le présent ATD, elles s'engagent également à respecter les clauses obligatoires de l'AIDT pour les transferts à partir du Royaume-Uni qui ne font pas l'objet d'une décision d'adéquation ou d'une exception.
   3. Conformément aux articles 5.2 et 5.3 de l’AIDT, les parties conviennent que les informations suivantes sont pertinentes pour les tableaux 1 à 4 de l’AIDT et qu’en modifiant le format et le contenu des tableaux, aucune des parties n’a l’intention de réduire les garanties appropriées (telles que définies dans l’AIDT).
      • Tableau 1 : les coordonnées, les contacts clés, les contacts des personnes concernées et les signatures des parties figurent dans le bloc de signature de l'ATD.
      • Tableau 2 :
        • La loi qui régit l’AIDT est l’Angleterre et le Pays de Galles.
        • Le principal lieu de réclamation juridique des parties est celui des tribunaux d’Angleterre.
        • Les statuts de l’exportateur de données et de l’importateur de données sont décrits à la pièce 1.
        • L’importateur de données déclare et garantit que le RGPD du Royaume-Uni ne s’applique pas à son traitement des données personnelles en vertu du Contrat.
        • La relation entre les accords énonçant les conditions de protection des données entre les parties, y compris la présente section, l’ATD et l’accord, est décrite à la section 1 de l’ATD.
        • La durée pendant laquelle les parties peuvent traiter les données personnelles est définie dans l’ATD.
        • L’AIDT est interdépendant de l’ATD. Aucune des parties ne peut résilier l’AIDT avant la fin de l’ATD, à moins que l’une des parties ne viole l’AIDT ou que les parties n’en conviennent par écrit.
        • L’importateur de données peut transférer des données personnelles à une autre organisation ou personne (qui est une entité juridique différente) si ce transfert est conforme aux clauses obligatoires applicables de l’AIDT.
        • Les parties examineront les exigences de sécurité énumérées dans le tableau 4, ainsi que les mesures supplémentaires décrites dans l'annexe 3, du présent ATD tous les douze (12) mois.
      • Tableau 3 :
        • Les catégories de données personnelles, les données sensibles, les personnes concernées et les finalités du traitement sont décrites à l’annexe 1. Cette description ne peut être mise à jour que par accord écrit des parties.
      • Tableau 4 :
        • Les mesures de sécurité adoptées par les parties sont décrites à l’annexe 2 du présent ADT. Ces mesures de sécurité ne peuvent être mises à jour que par accord écrit des parties.

Annexe 1 : description du traitement

Annexe 2 : mesures de sécurité techniques et organisationnelles

En sa qualité de Sous-traitant, Extensis a mis en œuvre une politique écrite de sécurité de l’information qui traite des éléments suivants :

• Rôles et responsabilités pour la gestion des contrôles de sécurité.
• Mesures disciplinaires pour les employés.
• Gestion des exceptions.
• Évaluations des risques.
• Formation des employés.
• Gestion des actifs et chiffrement.
• Sécurité physique et environnementale.
• Contrôles d’accès.
• Journalisation et surveillance.
• Intervention en cas d’incident.
• Continuité d’activité et reprise après sinistre.
• Appareils mobiles et télétravail.

Extensis utilise une solution sécurisée pour faciliter les transferts de données personnelles avec les clients.