Accord relatif
au traitement
des données

Rôles et instructions

Vous reconnaissez et acceptez que, concernant le traitement de Données personnelles, vous agissez soit en qualité :

• de responsable du traitement, déterminant les finalités et les moyens du traitement des Données personnelles (le « Responsable du traitement ») ;
• soit de sous-traitant, traitant des Données personnelles pour le compte de tiers (le « Sous-traitant »).

La Société est considérée comme votre sous-traitant et ne saurait en aucun cas être considérée comme le responsable du traitement.

Par les présentes, vous donnez instruction à la Société de traiter les Données personnelles conformément au présent DPA. Ces instructions sont réputées constituer les instructions complètes, exclusives et définitives relatives au traitement des Données personnelles par la Société ; aucune instruction supplémentaire s’écartant de celles énoncées aux présentes ou imposant une responsabilité ou des frais supplémentaires ne pourra être introduite.

Vous vous engagez et garantissez que toutes les Données personnelles fournies à la Société au titre du présent DPA ont été collectées licitement, sans porter atteinte aux droits ou libertés d’une Personne concernée, et conformément à l’ensemble des Lois applicables en matière de protection des données, telles que définies ci-dessous.

Traitement par la Société

Chaque partie respecte l’ensemble des lois, règles et réglementations qui lui sont applicables en matière de traitement des Données personnelles, notamment le règlement (UE) 2016/679, la législation nationale de l’État membre de l’EEE concerné mettant en œuvre le RGPD, les lois américaines sur la protection des données, le règlement général britannique sur la protection des données, les lois fédérales et étatiques des États-Unis, la Loi fédérale canadienne sur la protection des renseignements personnels et les documents électroniques, la Lei Geral de Proteção de Dados du Brésil et la loi israélienne sur la protection de la vie privée (les « Lois applicables en matière de protection des données »).

La Société traite les Données personnelles afin de fournir les Services, conformément à l’Accord. La nature et les finalités du traitement, sa durée et les catégories de Données personnelles sont déterminées exclusivement par vous, selon votre utilisation des Services.

La Société met en œuvre des mesures techniques et organisationnelles appropriées visant à :

• empêcher l’accès non autorisé à vos Données personnelles, leur divulgation ou leur altération, comme indiqué à l’Annexe B ;
• vous aider à donner suite aux demandes que vous pourriez recevoir de Personnes concernées ;
• veiller à ce que son personnel participant au traitement des Données personnelles soit informé de leur caractère confidentiel, ait reçu une formation appropriée concernant ses responsabilités et se soit engagé à respecter la confidentialité.

La Société peut vous permettre d’intégrer des services tiers à la plateforme et de partager des Données personnelles avec eux. Il est précisé que votre relation avec ces tiers relève de votre seule appréciation ; nous vous recommandons vivement d’examiner et de conclure des accords régissant ces intégrations.

La Société utilise les Données personnelles uniquement aux fins de la fourniture des Services ou après un processus complet d’anonymisation supprimant tous les attributs personnels, ou encore sous une forme agrégée.

Sous-traitants ultérieurs

La Société peut traiter les Données personnelles en recourant à des tiers (les « Sous-traitants ultérieurs ») afin de vous fournir les Services, sous réserve des restrictions énoncées aux présentes. Les Sous-traitants ultérieurs ne traitent pas les Données personnelles, sauf sous une forme agrégée ou anonymisée, à d’autres fins que la fourniture des Services.

Les Sous-traitants ultérieurs sont soumis à des conditions substantiellement similaires à celles énoncées aux présentes.

La Société demeure responsable envers vous de toute violation du présent DPA causée par ses Sous-traitants ultérieurs et veille à exercer et maintenir un contrôle préalable approprié à leur égard.

Tous les Sous-traitants ultérieurs auxquels la Société fait actuellement appel figurent à l’Annexe C.

La Société vous permet de vous abonner à la liste des Sous-traitants ultérieurs et de recevoir une notification de tout ajout ou remplacement envisagé, sept jours avant le changement. Pour vous abonner à ces notifications, envoyez un courriel à compliance@base44.com.

Vous pouvez raisonnablement vous opposer à la désignation ou au remplacement d’un Sous-traitant ultérieur par la Société pour des motifs raisonnables et documentés liés à la protection des données, en adressant une objection écrite et motivée à compliance@base44.com dans les sept (7) jours suivant la réception de la notification du changement.

Dans ce cas, la Société peut, à sa seule discrétion, choisir de déployer des efforts commercialement raisonnables, sans y être tenue, afin de mettre à votre disposition une solution de remplacement évitant que le nouveau Sous-traitant ultérieur auquel vous vous opposez traite les Données personnelles. Dans l’attente de sa décision concernant votre objection, la Société peut être tenue de suspendre temporairement le traitement des Données personnelles, ce qui peut entraîner la désactivation de certaines fonctionnalités des Services.

Si la Société estime ne pas pouvoir résoudre votre objection ni vous proposer une telle solution de remplacement dans les trente (30) jours suivant la réception de votre objection valide et motivée, selon l’appréciation pleine et entière de la Société et sans obligation de fournir de justification, votre seul recours consiste à cesser d’utiliser les Services concernés en adressant un avis écrit à compliance@base44.com. Cette cessation est sans préjudice des frais que vous avez engagés avant la cessation des Services concernés, et vous ne disposez d’aucune autre réclamation contre la Société relativement à cette cessation. Si aucune objection au remplacement ou à la désignation d’un nouveau Sous-traitant ultérieur n’est formulée dans le délai susmentionné, la Société considère que vous avez autorisé ce nouveau Sous-traitant ultérieur.

Sécurité

La Société a mis en œuvre et maintient des mesures de sécurité techniques et organisationnelles conformes aux normes du secteur, conçues pour empêcher l’accès non autorisé à vos Données personnelles, leur divulgation ou leur altération, telles qu’énumérées à l’Annexe B.

Il vous appartient d’examiner les informations mises à disposition par la Société concernant la sécurité des données et de déterminer de manière indépendante si les Services répondent à vos besoins, exigences et obligations légales.

Dans la mesure applicable, il vous appartient également de configurer correctement les Services et d’utiliser les caractéristiques et fonctionnalités mises à disposition afin de maintenir un niveau de sécurité approprié des Données personnelles.

En utilisant les Services de la Société, vous reconnaissez par les présentes le caractère adéquat des mesures organisationnelles, techniques et de sécurité mises en œuvre par la Société.

Audit

À votre demande écrite raisonnable, à des intervalles raisonnables, au maximum une fois tous les douze mois, et sous réserve, le cas échéant, de vos engagements de confidentialité, la Société met à votre disposition les rapports, certifications ou extraits de ceux-ci aisément disponibles auprès d’une source chargée d’auditer ses pratiques en matière de protection des données, afin de vous permettre d’évaluer sa conformité au présent DPA concernant vos Données personnelles.

Dans la mesure où ces documents ne permettent pas à la Société de satisfaire à ses obligations légales envers vous au titre des Lois applicables en matière de protection des données, la Société vous autorise à réaliser un audit indépendant, au moyen de questionnaires raisonnables, d’entretiens avec son personnel ou d’autres méthodes raisonnables exigées par lesdites lois, le tout sans occasionner de frais supplémentaires à la Société.

Incident de sécurité

Dès qu’elle a connaissance d’un incident de sécurité confirmé au cours duquel des Données personnelles ont été accidentellement ou illicitement détruites, perdues, altérées, divulguées ou consultées, la Société vous en informe dans les meilleurs délais, conformément aux Lois applicables en matière de protection des données.

La Société déploie des efforts raisonnables pour inclure dans ces notifications les informations pertinentes concernant la nature de la violation, l’étendue et le type de documents et de Personnes concernées touchés, les conséquences attendues, ainsi que les détails de toute mesure corrective ou autre mesure mise en œuvre par la Société.

Vous reconnaissez qu’une telle notification ne saurait être réputée constituer ni être interprétée comme une reconnaissance par la Société d’une faute ou d’une responsabilité concernant l’incident.

Vous reconnaissez également qu’en cas d’incident de ce type, vous pouvez être tenu de prendre les mesures exigées par les Lois applicables en matière de protection des données afin d’atténuer les dommages subis par les Personnes concernées.

Assistance et demandes relatives aux Données personnelles

Sauf interdiction légale, la Société vous informe rapidement si elle reçoit de la part d’autorités une demande, une exigence, un mandat ou une requête similaire visant l’accès à des Données personnelles. Elle ne donne pas accès aux Données personnelles à moins d’estimer raisonnablement que la demande est contraignante ; dans ce cas, elle limite l’accès à ce qui est nécessaire pour y répondre.

La Société vous informe rapidement lorsqu’elle reçoit d’une Personne concernée une demande portant spécifiquement sur le traitement de Données personnelles effectué pour votre compte. Elle n’est pas responsable de la réponse à cette demande et vous fournit les informations aisément disponibles nécessaires pour y répondre.

La Société met à votre disposition des mécanismes, automatiques ou manuels, afin de vous aider à vous conformer à ces demandes contraignantes.

Dans la mesure exigée par les Lois applicables en matière de protection des données, la Société tient un registre des activités de traitement menées pour votre compte et vous fournit, sur demande, les registres nécessaires pour démontrer le respect de ces exigences légales.

Transfert transfrontalier

La Société ne transfère des Données personnelles provenant de l’Espace économique européen (EEE), de la Suisse et du Royaume-Uni à ses Sous-traitants ultérieurs qu’au moyen de mécanismes licites garantissant la conformité du transfert transfrontalier concerné aux Lois applicables en matière de protection des données, notamment : (i) un transfert vers des pays reconnus par l’EEE comme assurant un niveau adéquat de protection des Données personnelles ; (ii) le Cadre de protection des données UE–États-Unis et ses extensions applicables ; (iii) les clauses contractuelles types de l’UE, module 2 ou 3 selon le cas (les « CCT »), approuvées par la décision d’exécution (UE) 2021/914 de la Commission européenne du 4 juin 2021 relative aux clauses contractuelles types pour le transfert de données à caractère personnel vers des pays tiers conformément au règlement (UE) 2016/679 du Parlement européen et du Conseil ; ou (iv) tout autre mécanisme approuvé.

Dans la mesure où le mécanisme de transfert transfrontalier applicable repose sur les CCT, les parties conviennent de les intégrer au présent DPA comme suit :

• Clause 7 : ne s’applique pas ;
• Clause 9 : l’option 1 s’applique ;
• Clause 17 : l’« État membre de l’UE » est l’Irlande ;
• Clause 18 : l’« État membre de l’UE » est l’Irlande.

Pour les transferts hors du Royaume-Uni ou de la Suisse, les modifications obligatoires applicables s’appliquent mutatis mutandis.

Résiliation

À votre demande écrite, la Société supprime votre compte, y compris toutes les Données personnelles qui y sont stockées, à l’exception des éléments suivants :

• toute donnée conservée par la Société dans la mesure exigée par la loi ;
• toute donnée conservée par la Société dans le cadre de ses procédures de sauvegarde automatique, laquelle est supprimée à intervalles définis.

Dans la mesure où des Données personnelles sont conservées après la résiliation du présent DPA conformément aux exceptions ci-dessus, elles restent soumises aux conditions du présent DPA et ne sont ni consultées ni utilisées à d’autres fins jusqu’à leur suppression des systèmes.

Conditions particulières relatives aux lois des États américains

Les conditions suivantes s’appliquent aux Données personnelles provenant des États-Unis :

Afin d’éviter toute ambiguïté, les définitions de « Données personnelles », « Personne concernée », « Responsable du traitement » et « Sous-traitant » incluent respectivement les définitions de « Personal Information », « Consumer », « Business » et « Service Provider », telles que définies par le California Consumer Privacy Act of 2018 (CCPA), modifié par le California Privacy Rights Act of 2020 (CPRA). En outre, les termes « Sell » et « Share » ont le sens qui leur est attribué par le CCPA.

La Société ne peut pas :

• vendre ni partager les Données personnelles ;
• utiliser les Données personnelles à d’autres fins que les finalités commerciales précisées dans le présent DPA, ou en dehors des activités de traitement qui y sont décrites ;
• combiner les Données personnelles qu’elle reçoit de vous ou pour votre compte avec toute autre information qu’elle collecte sans rapport avec les Services ;
• faire appel à une autre partie pour l’assister ou participer au traitement de Données personnelles sans vous en informer conformément au présent DPA.

Vous avez le droit : (a) de vérifier que le traitement des Données personnelles est conforme au présent DPA ; (b) de prendre des mesures raisonnables, telles que définies à l’article 5 (Audit), pour vous assurer que la Société utilise les Données personnelles conformément aux obligations qui lui incombent au titre du présent DPA ou du CCPA ; et (c), en cas d’utilisation non autorisée des Données personnelles, de résilier le DPA après en avoir avisé la Société par écrit, puis de supprimer votre compte et les Données personnelles.

La Société reconnaît par les présentes qu’elle comprend et respecte les exigences des Lois applicables en matière de protection des données lorsque les Données personnelles proviennent des États-Unis, y compris toutes les restrictions contraignantes qui s’y rapportent.

Dispositions générales

La Société vous informe si elle n’est plus en mesure de respecter ses obligations au titre du présent DPA ou des Lois applicables en matière de protection des données.

La Société peut modifier périodiquement les conditions du présent DPA en publiant la version modifiée sur son site Internet. La poursuite de votre utilisation des Services après cette publication vaut accord et acceptation du DPA modifié.

Si une disposition du présent DPA est jugée invalide, illicite, nulle ou, pour quelque raison que ce soit, inapplicable par une juridiction compétente, elle est réputée dissociable et n’affecte pas la validité ni l’applicabilité des autres dispositions.

Afin d’éviter toute ambiguïté et dans la mesure permise par le droit applicable, toute responsabilité au titre du présent DPA, y compris ses limitations, est régie par les dispositions pertinentes des Conditions d’utilisation de la Société.

Le présent DPA a été rédigé en anglais et peut être traduit dans d’autres langues pour votre commodité. En cas de conflit, de quelque nature que ce soit, entre une version traduite (non anglaise) et la version anglaise du DPA, les dispositions de la version anglaise prévalent.

Annexe A : détails du traitement

Nature et finalité du traitement. Nous pouvons utiliser les Données personnelles aux fins suivantes, ainsi que pour les tâches qui s’y rapportent, conformément à l’Accord, de manière proportionnée et dans le respect de vos droits à la vie privée et de ceux de vos Utilisateurs d’utilisateurs :

• vous fournir les Services, notamment par l’intermédiaire de Sous-traitants ultérieurs ;
• agir conformément à vos instructions, notamment en vous apportant une assistance professionnelle uniquement à votre demande, sous réserve que vos instructions soient compatibles avec les conditions du présent DPA et les Services ;
• prévenir, examiner et atténuer les risques et incidents liés à la sécurité des données, la fraude, les erreurs et/ou les activités illégales ou interdites ;
• respecter les lois et réglementations applicables.

Durée du traitement. Vous déterminez la durée du traitement selon vos besoins et à votre seule discrétion. Conformément au présent DPA, la Société supprime les Données personnelles en application de l’article 9.

Type de Données personnelles. Sous réserve de vos obligations de restriction du contenu au titre du présent DPA et de l’Accord, l’étendue et la nature des Données personnelles sont contrôlées et déterminées exclusivement par vous, conformément aux Lois applicables en matière de protection des données.

Catégories de Personnes concernées. Sous réserve de vos obligations de restriction du contenu au titre du présent DPA et de l’Accord, vous pouvez transmettre au Service des Données personnelles pouvant notamment concerner les catégories suivantes de Personnes concernées, toutes contrôlées et déterminées exclusivement par vous : (i) vos salariés actuels et potentiels, candidats, mandataires, consultants, travailleurs indépendants, partenaires commerciaux et/ou sous-traitants, ainsi que leurs salariés, personnes de contact, mandataires, etc. qui sont des personnes physiques ; (ii) vos clients et utilisateurs finaux actuels et potentiels, ainsi que leurs salariés, personnes de contact et mandataires, qui sont des personnes physiques ; et (iii) toute autre personne physique tierce avec laquelle vous décidez d’interagir par l’intermédiaire du Service.

Annexe B : mesures techniques et organisationnelles

La Société déploie et maintient des mesures de sécurité techniques et organisationnelles destinées à protéger les Données personnelles, telles que décrites sur cette page.

Annexe C : Sous-traitants ultérieurs

Tous les Sous-traitants ultérieurs auxquels la Société fait actuellement appel sont répertoriés sur cette page.