Accord de traitement des données

1. Définitions

Aux fins du présent Accord de Traitement des Données (« DPA »), les termes suivants ont les significations définies ci-dessous. Les termes en majuscules non définis dans les présentes ont les significations qui leur sont attribuées dans les Conditions d’utilisation.

• « Législation applicable en matière de protection des données » désigne l’ensemble des lois et réglementations relatives au traitement des Données personnelles applicables à l’exécution du présent DPA, y compris, mais sans s’y limiter, le Règlement Général sur la Protection des Données (UE) 2016/679 (« RGPD »), le Règlement Général sur la Protection des Données du Royaume-Uni (« UK GDPR »), le California Consumer Privacy Act (« CCPA ») et toute autre législation nationale, régionale ou étatique applicable en matière de protection des données, telle que modifiée, remplacée ou mise à jour de temps à autre.
• « Responsable du traitement » désigne la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement des Données personnelles. Aux fins du présent DPA, le Responsable du traitement est le Client.
• « Sous-traitant » désigne la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui traite des Données personnelles pour le compte du Responsable du traitement. Aux fins du présent DPA, le Sous-traitant est VENTRYA LTD, a company incorporated in England and Wales under company number 16505638, with its registered office at 71-75 Shelton Street, Covent Garden, London, WC2H 9JQ, United Kingdom, trading as Mail.Land (« MailLand »).
• « Personne concernée » désigne une personne physique identifiée ou identifiable dont les Données personnelles sont traitées en vertu du présent DPA. Une personne physique identifiable est une personne qui peut être identifiée, directement ou indirectement, par référence à un identifiant tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne ou un ou plusieurs éléments spécifiques propres à l’identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale de cette personne.
• « Données personnelles » désigne toute information relative à une Personne concernée traitée par MailLand pour le compte du Client dans le cadre de la fourniture des Services.
• « Traitement » désigne toute opération ou tout ensemble d’opérations effectuées sur des Données personnelles, que ce soit par des moyens automatisés ou non, y compris, mais sans s’y limiter, la collecte, l’enregistrement, l’organisation, la structuration, le stockage, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la divulgation par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction.
• « Sous-traitant ultérieur » désigne tout tiers engagé par MailLand (ou par tout Sous-traitant ultérieur subséquent) pour traiter des Données personnelles pour le compte du Client dans le cadre des Services.
• « Violation de données » désigne une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de Données personnelles transmises, stockées ou autrement traitées par MailLand ou ses Sous-traitants ultérieurs dans le cadre de la fourniture des Services, ou l’accès non autorisé à celles-ci.
• « Clauses contractuelles types » (« CCT ») désigne les clauses contractuelles types pour le transfert de données personnelles vers des pays tiers adoptées par la Commission européenne en vertu de la Décision (UE) 2021/914, telles que modifiées, remplacées ou mises à jour de temps à autre.

2. Champ d’application et rôles

Le présent DPA s’applique au Traitement des Données personnelles par MailLand pour le compte du Client dans le cadre de la fourniture de services de livraison d’e-mails et de services associés (les « Services ») tels que décrits dans les Conditions d’utilisation. Le présent DPA complète les Conditions d’utilisation et en fait partie intégrante.

Le Client agit en tant que Responsable du traitement et MailLand agit en tant que Sous-traitant en ce qui concerne les Données personnelles traitées en vertu du présent DPA. Chaque partie se conformera à ses obligations respectives en vertu de la Législation applicable en matière de protection des données.

En cas de conflit ou d’incohérence entre le présent DPA et les Conditions d’utilisation, les dispositions du présent DPA prévaudront en ce qui concerne les questions relatives au Traitement des Données personnelles.

3. Obligations du Client

Le Client, en tant que Responsable du traitement, déclare, garantit et s’engage à ce que :

1. Le Client ait établi et maintienne une base juridique valide pour le Traitement des Données personnelles conformément à la Législation applicable en matière de protection des données, y compris, mais sans s’y limiter, l’obtention de tous les consentements nécessaires ou l’établissement d’une autre base juridique appropriée avant de soumettre des Données personnelles aux Services.
2. Toutes les Données personnelles fournies à MailLand soient exactes, complètes et à jour, et le Client prenne des mesures raisonnables pour assurer l’exactitude continue de ces données.
3. Le Client ait fourni toutes les informations et divulgations de confidentialité requises aux Personnes concernées conformément à la Législation applicable en matière de protection des données, y compris des informations sur l’utilisation de MailLand en tant que Sous-traitant pour les services de livraison d’e-mails.
4. Le Client dispose de la pleine autorité pour donner instruction à MailLand de traiter les Données personnelles tel que prévu par le présent DPA et les Conditions d’utilisation.
5. Le Client se conforme à l’ensemble de la Législation applicable en matière de protection des données dans le cadre de son utilisation des Services et de toute instruction de Traitement qu’il donne à MailLand.
6. Le Client ne fournisse, ne soumette ni ne mette à la disposition de MailLand aucune donnée sensible ni aucune catégorie particulière de Données personnelles (telle que définie à l’Article 9 du RGPD), sauf si les parties ont conclu un accord écrit distinct régissant expressément le Traitement de ces données.

4. Obligations de MailLand

En tant que Sous-traitant, MailLand se conformera aux obligations suivantes en ce qui concerne le Traitement des Données personnelles en vertu du présent DPA :

1. Traitement sur instructions. MailLand ne traitera les Données personnelles que sur instructions documentées du Client, y compris celles décrites dans les Conditions d’utilisation et le présent DPA, sauf si le Traitement est requis par le droit de l’Union européenne ou d’un État membre auquel MailLand est soumis, auquel cas MailLand informera le Client de cette exigence légale avant le Traitement, à moins que ce droit n’interdise une telle notification pour des motifs importants d’intérêt public.
2. Confidentialité. MailLand veillera à ce que tout le personnel autorisé à traiter des Données personnelles se soit engagé à respecter des obligations de confidentialité ou soit soumis à une obligation légale de confidentialité appropriée. L’accès aux Données personnelles sera limité au personnel qui en a besoin pour exécuter les Services.
3. Mesures de sécurité. MailLand mettra en œuvre et maintiendra des mesures de sécurité techniques et organisationnelles appropriées conformément à l’Article 32 du RGPD, telles que décrites plus en détail à la Section 5 du présent DPA, afin de protéger les Données personnelles contre tout Traitement non autorisé ou illicite et contre la perte, la destruction ou le dommage accidentels.
4. Engagement de Sous-traitants ultérieurs. MailLand n’engagera aucun Sous-traitant ultérieur pour traiter des Données personnelles sans l’autorisation écrite générale ou spécifique préalable du Client, sous réserve des dispositions de la Section 8 du présent DPA.
5. Droits des personnes concernées. Compte tenu de la nature du Traitement, MailLand assistera le Client en mettant en œuvre des mesures techniques et organisationnelles appropriées, dans la mesure du possible, pour l’accomplissement de l’obligation du Client de répondre aux demandes des Personnes concernées exerçant leurs droits en vertu de la Législation applicable en matière de protection des données (y compris les droits d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition).
6. Analyses d’impact relatives à la protection des données. MailLand fournira une assistance raisonnable au Client pour les analyses d’impact relatives à la protection des données et les consultations préalables auprès des autorités de contrôle, lorsqu’elles sont requises en vertu des Articles 35 et 36 du RGPD, en tenant compte de la nature du Traitement et des informations dont dispose MailLand.
7. Suppression ou restitution des données. À la résiliation ou à l’expiration des Services, MailLand, sur instruction écrite et au choix du Client, supprimera ou restituera toutes les Données personnelles au Client dans un délai de trente (30) jours et supprimera les copies existantes, sauf si la conservation est requise par la loi applicable. Lorsque la conservation est requise par la loi, MailLand limitera le Traitement de ces données conservées uniquement à la finalité requise par la loi.
8. Audit et conformité. MailLand mettra à la disposition du Client toutes les informations raisonnablement nécessaires pour démontrer le respect des obligations énoncées dans le présent DPA et en vertu de l’Article 28 du RGPD, et permettra et contribuera aux audits, y compris les inspections, menés par le Client ou un auditeur mandaté par le Client. Ces audits seront soumis à un préavis raisonnable d’au moins trente (30) jours, seront menés pendant les heures ouvrables normales et n’interféreront pas de manière déraisonnable avec les opérations commerciales de MailLand.
9. Notification en cas d’infraction. MailLand informera immédiatement le Client si, de l’avis de MailLand, une instruction donnée par le Client enfreint la Législation applicable en matière de protection des données. MailLand peut suspendre l’exécution de l’instruction concernée jusqu’à ce que le Client confirme ou modifie ladite instruction.

5. Mesures de sécurité

MailLand met en œuvre et maintient les mesures de sécurité techniques et organisationnelles suivantes pour protéger les Données personnelles conformément à l’Article 32 du RGPD. Ces mesures sont conçues pour assurer un niveau de sécurité adapté au risque, en tenant compte de l’état de l’art, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du Traitement.

6. Notification de violation de données

En cas de Violation de données, MailLand se conformera aux obligations de notification et de coopération suivantes :

1. Notification rapide. MailLand notifiera le Client d’une Violation de données dans les meilleurs délais, et en tout état de cause dans les soixante-douze (72) heures après en avoir pris connaissance. Cette notification sera adressée au contact de sécurité désigné du Client ou, à défaut, au contact principal du compte du Client.
2. Contenu de la notification. La notification comprendra, dans la mesure raisonnablement disponible au moment de la notification :
   • Une description de la nature de la Violation de données, y compris les catégories de Données personnelles et le nombre approximatif de Personnes concernées affectées ;
   • Le nom et les coordonnées du point de contact de MailLand auprès duquel de plus amples informations peuvent être obtenues ;
   • Une description des conséquences probables de la Violation de données ;
   • Une description des mesures prises ou proposées par MailLand pour remédier à la Violation de données, y compris les mesures visant à atténuer ses effets négatifs potentiels.
3. Divulgation progressive. Lorsqu’il n’est pas possible de fournir toutes les informations requises dans le délai de soixante-douze (72) heures, MailLand fournira les informations par étapes sans autre retard injustifié, au fur et à mesure de leur disponibilité.
4. Coopération. MailLand coopérera avec le Client et prendra toutes les mesures commercialement raisonnables pour assister dans l’enquête, l’atténuation et la remédiation de la Violation de données.
5. Documentation. MailLand documentera toutes les Violations de données, y compris les faits relatifs à la Violation de données, ses effets et les mesures correctives prises, et mettra cette documentation à la disposition du Client et, sur demande, des autorités de contrôle.

7. Transferts internationaux de données

Les Données personnelles traitées en vertu du présent DPA peuvent être transférées vers, et traitées dans, des pays en dehors de l’Espace économique européen (« EEE ») et du Royaume-Uni (« RU »). MailLand veillera à ce que tout transfert de ce type soit effectué conformément à la Législation applicable en matière de protection des données et soit soumis à des garanties appropriées, comme suit :

8. Sous-traitants ultérieurs

Le Client accorde par les présentes une autorisation écrite générale à MailLand pour engager des Sous-traitants ultérieurs afin de traiter des Données personnelles dans le cadre de la fourniture des Services, sous réserve des conditions suivantes :

1. Liste des Sous-traitants ultérieurs. MailLand tiendra à jour une liste des Sous-traitants ultérieurs, qui figure à l’Annexe A ci-dessous.
2. Notification préalable. MailLand notifiera le Client au moins trente (30) jours à l’avance de toute intention d’ajout ou de remplacement d’un Sous-traitant ultérieur. Cette notification comprendra l’identité du Sous-traitant ultérieur proposé, la nature du Traitement à effectuer et le lieu du Traitement.
3. Droit d’opposition. Le Client peut s’opposer à la désignation d’un nouveau Sous-traitant ultérieur en fournissant à MailLand un avis écrit de cette opposition dans les trente (30) jours suivant la réception de la notification. L’opposition doit être fondée sur des motifs raisonnables liés à la protection des données. MailLand déploiera des efforts commercialement raisonnables pour répondre à l’opposition du Client. Si les parties ne parviennent pas à résoudre l’opposition dans un délai raisonnable, le Client peut résilier les Services concernés sans pénalité en fournissant un avis écrit à MailLand.
4. Obligations contractuelles. MailLand imposera des obligations en matière de protection des données à chaque Sous-traitant ultérieur par le biais d’un contrat écrit offrant, au minimum, le même niveau de protection des Données personnelles que celui prévu dans le présent DPA.
5. Responsabilité. MailLand restera pleinement responsable envers le Client de l’exécution des obligations de chaque Sous-traitant ultérieur en ce qui concerne le Traitement des Données personnelles.

9. Durée et résiliation

Le présent DPA entre en vigueur à la date à laquelle le Client accepte les Conditions d’utilisation et reste en vigueur pendant la durée de l’accord de service entre le Client et MailLand.

10. Droit applicable

Le présent DPA sera régi et interprété conformément aux lois qui régissent les Conditions d’utilisation, spécifiquement le droit de l’Angleterre et du pays de Galles, et les tribunaux de l’Angleterre et du pays de Galles auront compétence exclusive pour tout litige découlant du présent DPA ou en lien avec celui-ci, conformément à la Section 15 des Conditions d’utilisation.

Nonobstant ce qui précède, dans la mesure où les questions découlant du présent DPA sont soumises au RGPD, les lois de l’État membre de l’UE dans lequel le Client est établi s’appliqueront en ce qui concerne ces questions. Dans la mesure où les questions découlant du présent DPA sont soumises au UK GDPR, les lois de l’Angleterre et du Pays de Galles s’appliqueront en ce qui concerne ces questions.

Tout litige découlant du présent DPA ou s’y rapportant sera résolu conformément aux dispositions de résolution des litiges énoncées dans les Conditions d’utilisation.