Accord de traitement des commandes

Le présent accord de traitement de données (« DPA ») est conclu entre les parties concernant le traitement des données personnelles dans le cadre du contrat principal (ci-après dénommé le « contrat principal »). La fourniture de services au titre du contrat principal (« Services ») nécessite le traitement de données. Si et dans la mesure où ces données consistent ou contiennent des données personnelles, le sous-traitant agit en tant que sous-traitant à l'égard de ces données, tandis que le responsable du traitement reste le responsable du traitement de ces données conformément à l'article 28 du règlement général sur la protection des données (ci-après dénommé « RGPD »).

Les Services sont fournis par le Sous-traitant des données de telle manière que le Responsable du traitement fournit ses propres données, contrôle leur transmission au Sous-traitant des données et, dans le cas des modèles Software-as-a-Service (SaaS), contrôle directement le traitement de ces données téléchargées sur les Services. Le contrôleur accepte et comprend que le processeur de données ne surveille pas les données du contrôleur de données ou le traitement de ces données par le contrôleur, à moins que le contrôleur ne demande spécifiquement l'accès à ces données au processeur de données. Par conséquent, il est de la seule responsabilité et obligation du responsable du traitement de garantir que ses données sont collectées et transférées conformément aux lois applicables en matière de protection des données et, en particulier, qu'il existe une base légale pour cela et que les personnes concernées sont correctement informées de la collecte et du traitement de leurs données personnelles.

En tant que sous-traitant des données, le sous-traitant ne traitera les données personnelles du contrôleur que conformément aux dispositions du présent accord de traitement des données (DPA) et aux instructions documentées du contrôleur. Si le sous-traitant est tenu par le droit de l'Union ou le droit des États membres auxquels il est soumis de procéder à un traitement ultérieur de données à caractère personnel, il informe le responsable du traitement de ces exigences légales avant le traitement, à moins que la loi applicable n'interdise une telle notification pour des raisons d'intérêt public important; dans ce dernier cas, le responsable du traitement informe le responsable du traitement de la poursuite du traitement dès que cela est légalement autorisé. Le sous-traitant doit assurer et vérifier régulièrement que le traitement des données personnelles dans son domaine de responsabilité, y compris les sous-traitants qu'il engage, est effectué conformément aux dispositions du présent DPA, aux lois applicables en matière de protection des données et en particulier au RGPD.

Les détails du traitement sont décrits dans les dispositions suivantes et dans le contrat principal. Compte tenu de ses obligations en tant que responsable du traitement, le responsable du traitement informera le sous-traitant s'il est nécessaire de compléter les dispositions prévues au contrat principal.

Le Sous-traitant traitera les Données personnelles comme décrit dans le Contrat principal.

Le sous-traitant traitera généralement les données personnelles pendant la durée du contrat principal et du présent accord de traitement contractuel, sauf accord écrit contraire.

Le Sous-traitant traite les Données personnelles exclusivement dans ses propres locaux ou dans les locaux de ses sous-traitants autorisés. Toutes les opérations de traitement sont généralement effectuées dans les États membres de l'Union européenne ou dans un autre État partie à l'accord sur l'Espace économique européen.

Tout traitement de données personnelles en dehors de l'UE/EEE n'est autorisé qu'avec l'accord préalable des parties et uniquement si les exigences des articles 44 et suivants du RGPD sont respectées. Le RGPD est respecté.

Les parties conviennent que le présent DPA contient les instructions générales du responsable du traitement concernant le traitement des données personnelles pour le compte du sous-traitant.

Toute instruction spécifique du responsable du traitement qui s'écarte des dispositions du présent accord de traitement des données ou impose de nouvelles obligations supplémentaires au sous-traitant nécessite le consentement du sous-traitant pour être efficace. Pour ces instructions particulières, les parties appliqueront, le cas échéant, la procédure de modification convenue dans le contrat principal.

Il est de la responsabilité du responsable du traitement de s'assurer que les instructions qu'il donne concernant le traitement des données personnelles pour le compte du responsable du traitement sont conformes aux lois applicables en matière de protection des données et que le sous-traitant peut traiter les données personnelles conformément à ces instructions sans enfreindre les lois applicables en matière de protection des données, en particulier le RGPD. Si le Sous-traitant estime qu'une instruction du Contrôleur viole les lois applicables en matière de protection des données, le Sous-traitant en informera le Contrôleur en conséquence. Dans de tels cas, le sous-traitant est en droit de refuser d'exécuter l'instruction jusqu'à ce que le responsable du traitement la confirme.

Les instructions spécifiques du responsable doivent être données par écrit ou au moins sous forme de texte par les personnes autorisées à le faire au nom du responsable. Les instructions données verbalement doivent être confirmées immédiatement par l'une des personnes autorisées et au moins sous forme de texte pour être efficaces.

Les employés du sous-traitant: (i) dans la mesure où ils sont autorisés à traiter des données personnelles, sont tenus de respecter la confidentialité ou sont soumis à une obligation légale de confidentialité appropriée; (ii) traiter les données personnelles uniquement conformément aux instructions du sous-traitant, à moins qu'il n'existe une obligation de traitement contraire en vertu des lois applicables sur la protection des données; et (iii) sera régulièrement informé des obligations en vertu du présent DPA et des lois applicables en matière de protection des données, en particulier le RGPD.

Le sous-traitant ne peut pas faire de copies ou de duplications des données personnelles traitées pour le compte du responsable du traitement sans le consentement préalable du responsable du traitement. Cela exclut les copies nécessaires au bon traitement des données et à la fourniture correcte des services (y compris la sauvegarde des données), ainsi que les copies nécessaires au respect des obligations légales de conservation.

Le sous-traitant nomme un délégué à la protection des données compétent et fiable si et aussi longtemps que les exigences légales pour la nomination d'un délégué à la protection des données existent. Le sous-traitant fournit au responsable du traitement les coordonnées d'un tel délégué à la protection des données désigné.

Avant de commencer le traitement, le sous-traitant met en œuvre les éléments suivants www.fitness-nation.com/support/tom.html mesures techniques et organisationnelles énumérées et les maintient pendant toute la durée du présent contrat de traitement des commandes. Ces mesures techniques et organisationnelles visent à assurer un niveau de sécurité adapté au risque en termes de confidentialité, d'intégrité, de disponibilité et de résilience des systèmes. L'état de la technique, les coûts de mise en œuvre ainsi que la nature, l'étendue, le contexte et les finalités du traitement ainsi que la probabilité et la gravité variables du risque pour les droits et libertés des personnes physiques au sens de l'article 32, paragraphe 1 du RGPD doivent être pris en compte.

Les mesures techniques et organisationnelles étant soumises au progrès technique et aux évolutions technologiques, le responsable du traitement des données est autorisé à mettre en œuvre des mesures alternatives et appropriées, à condition que cela n'aboutisse pas à un niveau de sécurité non inférieur à celui exposé ci-dessous. www.fitness-nation.com/support/tom.html précisé.

Le sous-traitant ne peut engager des sous-traitants ultérieurs pour traiter les données personnelles au nom du responsable du traitement qu'avec le consentement préalable du responsable du traitement. La personne responsable donne par la présente son consentement à l'utilisation des éléments suivants www.fitness-nation.com/support/subunternehmen.html sous-traitants répertoriés.

Le sous-traitant impose à chaque sous-traitant des obligations de protection, de confidentialité et de sécurité des données qui sont au moins aussi strictes que les obligations du sous-traitant envers le contrôleur énoncées dans le présent accord de traitement. Si un sous-traitant ne respecte pas les obligations qui lui sont imposées, le sous-traitant sera responsable de ces violations comme s'il s'agissait de sa propre faute.

Le sous-traitant doit informer le contrôleur par écrit de tout nouvel engagement d'un sous-traitant ultérieur. Si le Responsable du traitement s'oppose à la cession dans les trente (30) jours suivant la réception de cette notification, en invoquant un motif plausible, les parties rechercheront une solution amiable. Dans un tel cas, si une solution amiable ne peut être trouvée dans un délai de deux (2) mois, le Responsable du traitement a le droit de résilier le contrat principal relatif aux services pour lesquels l'engagement du sous-traitant proposé est nécessaire.

Les parties conviennent que les fournisseurs de simples services auxiliaires ne sont pas des sous-traitants au sens des lois sur la protection des données; Cela comprend notamment les services de transport fournis par les services postaux ou de messagerie, ainsi que les services de transport de fonds, les services de télécommunications, les services de sécurité et les services de nettoyage. Nonobstant ce qui précède, le processeur de données conclura des accords de confidentialité conformes aux normes de l'industrie avec ces sous-traitants.

Les dispositions de la présente section 7 s'appliquent également si un sous-traitant ultérieur est engagé dans un pays tiers en dehors de l'UE ou de l'EEE. Sous réserve du consentement du responsable du traitement à l'utilisation du sous-traitant ultérieur, le responsable du traitement autorise par la présente le sous-traitant à conclure un contrat au nom du responsable du traitement avec un sous-traitant ultérieur qui traite les données du responsable en dehors de l'UE ou de l'EEE, intégrant les clauses contractuelles types de l'UE pour le transfert de données personnelles à des sous-traitants situés dans des pays tiers à partir de 5. Février 2010 ou, le cas échéant, les clauses types de protection des données adoptées ultérieurement par la Commission européenne ou l'autorité de contrôle compétente.

Sur demande écrite du Responsable du traitement, le Sous-traitant fournira au Responsable du traitement l'assistance appropriée en cas d'enquête ou de demande émanant d'une autorité de contrôle de la protection des données, dans la mesure où cette enquête ou demande concerne les Services. Le sous-traitant fournira au contrôleur une assistance raisonnable pour remplir toutes les obligations liées à une telle enquête ou demande. Si une autorité de contrôle de la protection des données ouvre une enquête directement auprès du sous-traitant ou adresse une demande correspondante directement au sous-traitant, le sous-traitant doit, dans la mesure permise, informer immédiatement le responsable du traitement et coopérer à cette enquête ou demande.

Le sous-traitant informera le contrôleur sans délai déraisonnable s'il découvre une violation de données personnelles en relation avec le traitement des données personnelles dans le cadre du présent accord de traitement des données. Si, à la suite d'une telle notification, le responsable du traitement est soumis à des obligations de déclaration auprès des autorités de contrôle de la protection des données et/ou des personnes concernées (notamment en vertu des articles 33 et 34 du RGPD), le sous-traitant fournira au responsable du traitement l'assistance appropriée et nécessaire pour remplir ces obligations de déclaration. Dans la mesure où le sous-traitant n'est pas responsable d'une violation de données à signaler, le sous-traitant est en droit de facturer les services d'assistance conformément aux taux de rémunération convenus dans le contrat principal.

Le sous-traitant assistera le responsable du traitement, en tenant compte de la nature du traitement et des informations dont il dispose, dans toute analyse d'impact sur la protection des données que le responsable du traitement pourrait être amené à réaliser en relation avec le traitement des données personnelles, y compris, le cas échéant, la consultation de l'autorité de contrôle de la protection des données compétente (articles 35 et 36 du RGPD). Le sous-traitant est en droit de facturer les services d'assistance conformément aux taux de rémunération convenus dans le contrat principal.

Le sous-traitant informera le responsable du traitement sans délai déraisonnable si une personne concernée contacte directement le sous-traitant pour déposer une plainte, demander ou exercer ses droits. Le sous-traitant ne répond pas lui-même à la demande, sauf si le responsable du traitement lui a expressément demandé de le faire. Le sous-traitant fournira au contrôleur l'assistance appropriée pour répondre à ces plaintes, demandes de renseignements et demandes des personnes concernées. Le sous-traitant a le droit de facturer le support fourni conformément aux taux de rémunération convenus dans le contrat principal.

Sur instructions raisonnables du contrôleur, pendant la durée du présent accord de traitement des données (DPA) ou après sa résiliation ou à la fin du traitement des données personnelles en vertu de l'accord spécifique concerné, le sous-traitant détruira, supprimera ou restituera les données traitées au nom du contrôleur. Si les lois applicables empêchent le Sous-traitant de détruire, supprimer ou restituer les Données personnelles traitées pour le compte du Responsable du traitement, le Sous-traitant cessera néanmoins de traiter activement ces données, mais continuera à les stocker uniquement pour se conformer aux exigences légales, en particulier les obligations légales de conservation, et les détruira, supprimera ou restituera au Responsable du traitement dès que l'empêchement légal n'existera plus, conformément aux instructions initiales du Responsable du traitement.

Le sous-traitant établit la preuve de toute destruction ou suppression des données personnelles, qui est mise à la disposition du responsable du traitement sur demande.

Le Responsable du traitement a le droit, pendant les heures normales de bureau (du lundi au vendredi de 9h00 à 17h00), à ses frais, sans perturber les opérations et dans le strict respect de la confidentialité des secrets commerciaux et des secrets d'affaires du Sous-traitant, de pénétrer dans les locaux du Sous-traitant où les données du Responsable du traitement sont traitées, afin de vérifier le respect du présent accord de traitement des commandes. Le responsable du traitement fournira généralement un préavis suffisant (au moins deux semaines à l'avance) d'une telle inspection sur place.

En règle générale, le responsable a droit à une visite sur place par année civile, comme mentionné au paragraphe précédent. Cela n'affecte pas le droit du responsable du traitement de procéder à des contrôles supplémentaires sur place en cas d'incidents particuliers.

Si le responsable du traitement charge un tiers d'effectuer l'examen, le responsable du traitement doit engager le tiers par écrit dans la même mesure que le responsable du traitement est tenu envers le sous-traitant en vertu du présent accord de traitement des données. En outre, le responsable doit obliger le tiers à respecter la confidentialité et le secret, à moins que le tiers ne soit soumis à une obligation professionnelle de secret. À la demande du sous-traitant, le responsable du traitement doit immédiatement fournir au sous-traitant les accords de confidentialité avec le tiers. Le responsable ne peut pas confier le test à un concurrent du transformateur.

Au lieu d'une inspection sur place, la preuve du respect de la présente DPA peut également être fournie par le respect des codes de conduite approuvés conformément à l'article 40 du RGPD, par une certification dans le cadre d'un mécanisme de certification approuvé conformément à l'article 42 du RGPD, ou par la fourniture d'un certificat approprié et à jour, de rapports ou d'extraits de rapports d'organismes indépendants (par ex. auditeur, audit interne, délégué à la protection des données, service de sécurité informatique, auditeur de la protection des données ou auditeur qualité) ou une certification appropriée via un audit de sécurité informatique ou de protection des données - par ex. B. conformément à la norme ISO 27001 - (« Rapport de test »), à condition que le rapport de test permette au contrôleur d'être raisonnablement satisfait du respect du présent DPA.

Si et dans la mesure où une inspection sur place n'a pas été provoquée par une faute du transformateur, celui-ci est en droit de facturer les dépenses engagées lors des inspections sur place conformément aux taux de rémunération convenus dans le contrat principal.

Les présentes Conditions Générales sont régies par la même loi que le Contrat Principal et les tribunaux convenus par les parties dans le Contrat Principal seront seuls compétents pour connaître de tout litige découlant de ou en relation avec les présentes Conditions Générales.

Les modifications ou ajouts à ce règlement administratif général ne sont efficaces que s'ils sont effectués par écrit.

Si une disposition des présentes Conditions générales est jugée invalide ou inapplicable par un tribunal compétent, les dispositions restantes resteront pleinement en vigueur.

Le présent accord de traitement des données (DPA) entre en vigueur dès la conclusion du contrat principal en tant que partie intégrante de celui-ci. Il reste en vigueur quelle que soit la fin de la durée du contrat principal jusqu'à ce qu'il expire automatiquement dès que toutes les données personnelles ont été supprimées par le sous-traitant et/ou tous les sous-traitants mandatés.