1.1 Le « Contrat » désigne le contrat de prestations de services, les conditions générales du bon de
commande ou de tout autre contrat en vertu duquel le Fournisseur fournit des services au Client.
1.2 Le « Client » désigne la société SAFI SALONS FRANÇAIS ET INTERNATIONAUX (RCS Paris n° 388.424.129) recevant les services fournis par le Fournisseur en vertu du Contrat.
1.3 Les « Lois sur la protection des données » désignent toutes les lois, règles, réglementations, décisions, ordonnances et autres exigences gouvernementales en matière de confidentialité et de protection des données applicables au Traitement des Informations personnelles.
1.4 Les « Informations personnelles » désigne des données à caractère personnel que le Fournisseur Traite en vertu du Contrat.
1.5 Le « Traitement » désigne tout traitement, toute opération ou tout ensemble d’opérations effectué sur les Informations personnelles, ou encore tout autre accès à celles-ci. « Traiter » et « Traité » ont des significations correspondantes.
1.6 Le « Fournisseur » désigne le prestataire ou le fournisseur qui fournit les services au Client en vertu du Contrat.
1.7 Les termes minuscules « données à caractère personnel », « personne concernée », « traitement », « responsable du traitement », « responsable conjoint du traitement », « sous-traitant », « violation de données à caractère personnel » et « autorité de contrôle » ont la signification qui leur est attribuée dans les Lois sur la protection des données. Lorsque celles-ci utilisent des termes équivalents ou correspondants, tels que « informations personnelles » au lieu de « données à caractère personnel », ils doivent être compris de la même manière dans les présentes.
2.1 La nature et la finalité des activités de Traitement effectuées par le Fournisseur pour le compte du Client sont liées à la fourniture des services en vertu du Contrat.
2.3 Les catégories de personnes concernées sont les personnes sur lesquelles des Informations personnelles sont fournies au Fournisseur par le Client ou sous sa direction dans le cadre des services dans le cadre du Contrat.
2.4 Les différents types d’Informations personnelles sont les types de données à caractère personnel fournies au Fournisseur par le Client ou sous sa direction dans le cadre des services ou dans le cadre du Contrat.
2.5 Concernant les Informations personnelles incluses, le cas échéant, parmi les données d’un compte client, les données d’utilisation ou autres données que le Fournisseur Traite en tant que responsable du traitement, tel que nécessaire pour fournir, gérer ou protéger les services, le Client et le Fournisseur constituent chacun un responsable du traitement indépendant pour lesdites données et non un responsable conjoint du traitement. Il incombe au Fournisseur de s’assurer de la légalité du Traitement desdites Informations personnelles.
2.6 Concernant les Informations personnelles que le Fournisseur collecte indépendamment en tant que responsable du traitement et fournit au Client dans le cadre des services, le Fournisseur et le Client constituent chacun un responsable du traitement indépendant et non un responsable conjoint du traitement. Il incombe au Fournisseur de vérifier la légalité des Informations personnelles qu’il fournit au Client pour Traitement.
2.7 Toutes les autres précisions des activités de Traitement effectuées par le Fournisseur pour le compte du Client et les instructions du Client pour le Fournisseur à l’égard du Traitement sont définies dans le Contrat.
3.2 Dans la mesure où le Fournisseur Traite des Informations personnelles pour le compte du Client, il ne les Traitera que sur les instructions documentées du Client (comme notamment le Contrat), sauf exigence de la loi applicable à laquelle le Fournisseur est soumis. Dans un tel cas, le Fournisseur avise le Client de cette exigence légale avant le Traitement, sauf si cette loi interdit cette notification pour des motifs importants d’intérêt public. Le Fournisseur informe immédiatement le Client si, à son avis, une instruction enfreint les Lois sur la protection des données.
Le Fournisseur veille à ce que les personnes autorisées à Traiter les Informations personnelles se soient engagées à respecter leur confidentialité ou soient soumises à une obligation légale de confidentialité appropriée et à ce qu’elles ne Traitent celles-ci que sur instructions du Client, sauf si la loi applicable les y oblige.
Le Fournisseur doit mettre en œuvre et tenir à jour des mesures techniques et organisationnelles appropriées, notamment celles visées dans le Contrat, afin que son Traitement des Informations personnelles réponde aux exigences des Lois sur la protection des données, garantisse la protection des droits des personnes concernées et fournisse un niveau de protection au moins égal à celui exigé par lesdites Lois.
Sous réserve des dispositions légales applicables, le Fournisseur avise rapidement le Client par écrit de toute demande d’une personne concernée, d’une autorité de contrôle ou d’un autre tiers ou encore de toute assignation, de toute autre ordonnance judiciaire ou bien administrative, de toute demande d’une autorité gouvernementale ou de toute procédure que le Fournisseur reçoit visant à demander un accès aux Informations personnelles ou la divulgation de celles-ci. Le Client a le droit de s’opposer à une telle action ou d’intervenir dans celle-ci ou encore de gérer une telle demande à ses propres frais à la place et pour le compte du Fournisseur, sauf dispositions légales contraires. Le Fournisseur collabore raisonnablement avec le Client dans de telles procédures.
7.1 Compte tenu de la nature du Traitement, le Fournisseur aide le Client par des mesures techniques et organisationnelles appropriées, dans la mesure du possible, pour lui permettre d’accomplir son obligation de répondre aux demandes d’exercice des droits des personnes concernées prévus par les Lois sur la protection des données (notamment les droits d’accès, de rectification, d’opposition et d’effacement, le cas échéant).
7.2 Le Fournisseur aide le Client à respecter les exigences de la sécurité des données, de la notification de violation de données à caractère personnel et d’autres obligations en vertu des Lois sur la protection des données en tenant compte de la nature du Traitement et des Informations personnelles qui lui sont disponibles.
Le Fournisseur avise le Client tel qu’énoncé au Contrat, sans retard injustifié et dans tous les cas dans le délai requis par les Lois sur la protection des données, dès qu’il a découvert une violation de données à caractère personnel à l’égard des Informations personnelles. Il fait preuve d’une diligence raisonnable pour aider le Client dans le cadre de l’enquête et de la réparation d’une telle violation de données à caractère personnel.
Dans la mesure où le Fournisseur Traite des Informations personnelles pour le compte du Client, il met à la disposition de celui-ci tous les renseignements nécessaires pour attester son respect des Lois sur la protection des données. Il autorise les audits et y contribue, notamment les inspections, menés par le Client ou par un autre auditeur mandaté par celui-ci, sous réserve d’engagements de confidentialité appropriés.
10.2 Lorsque le Fournisseur engage un autre sous-traitant pour effectuer des activités de Traitement particulières pour le compte du Client, les mêmes obligations en matière de protection des données que celles énoncées dans les présentes et dans le Contrat ou dans un autre instrument juridique entre les Parties sont imposées à cet autre sous-traitant par le biais d’un contrat ou autre instrument juridique en vertu des Lois sur la protection des données applicables. Si cet autre sous-traitant ne remplit pas ses obligations en matière de protection des données, le Fournisseur reste entièrement responsable de l’exécution des obligations de cet autre sous-traitant.
Les Informations personnelles peuvent être transférées vers tout pays où le Fournisseur et les sous- traitants qu’il engage gèrent des installations soumises à des garanties appropriées telles que décrites dans les Lois sur la protection des données, y compris tout dispositif de transfert applicable.
Le Fournisseur dispense une formation appropriée en matière de confidentialité (notamment toute formation pouvant être exigée par les Lois sur la protection des données) au personnel qui Traite des Informations personnelles.
Lorsque le Client fait face à une demande réelle ou potentielle découlant d’une violation des Lois sur la protection des données concernant les services fournis par le Fournisseur en vertu du Contrat ou s’y rapportant, celui-ci donne rapidement tous les documents et renseignements pertinents à la défense liée à cette demande et les circonstances sous-jacentes à celles-ci.
Immédiatement après la fin de la fourniture des services relatifs au Traitement des Informations personnelles par le Fournisseur pour le compte du Client, ou antérieurement si le Client le demande, le Fournisseur, au choix du Client, supprime ou retourne à celui-ci ou à son représentant (sous le format de données que le Client peut raisonnablement indiquer) toutes les Informations personnelles et supprime les copies existantes, sauf si les Lois sur la protection des données exigent le stockage des Informations personnelles. À la demande du Client, le Fournisseur certifie cette destruction par écrit.
Dans la mesure où le Fournisseur Traite des Informations personnelles provenant de l’un des territoires figurant dans l’annexe aux présentes ou autrement soumises aux Lois sur la protection des données d’un tel territoire, les conditions qui y sont précisées à l’égard du ou des territoires applicables s’appliquent en plus des conditions précitées.
Conditions particulières aux territoires
Dès lors que le Client transfère des Informations à caractère personnel depuis l’Espace économique européen (« EEE ») à l’intention du Prestataire de services situé hors de l’EEE, à moins que les Parties ne puissent s’appuyer sur un autre mécanisme de transfert ou sur une autre base en vertu des Lois sur la protection des données, les Parties sont réputées avoir conclu les clauses contractuelles types approuvées par la décision d’exécution de la Commission européenne (UE) 2021/914 du 4 juin 2021 disponible à l’adresse http://data.europa.eu/eli/dec_impl/2021/914/oj (« Clauses ») au titre de ce transfert, en vertu desquelles :
a. le Client est l’« exportateur de données » et le Prestataire de services est l’« importateur de données » ;
b. les notes de bas de page, l’option de la Clause 11(a) et l’option 1 de la Clause 17 sont omises et les annexes applicables sont respectivement complétées avec les informations énoncées dans le Contrat;
c. dès lors que chacune des Parties agit en qualité de responsable du traitement, le Module 1 s’applique et les Modules 2, 3 et 4 sont omis ;
d. dès lors que le Client agit en qualité de responsable du traitement et que le Prestataire de services agit en qualité de sous-traitant, le Module 2 s’applique, les Modules 1, 3 et 4 sont omis, l’option 1 de la Clause 9(a) est omise et le délai visé à l’option 2 est de quatorze (14) jours ;
e. dès lors que chacune des Parties agit en qualité de sous-traitant, le Module 3 s’applique, les Modules 1, 2 et 4 sont omis, l’option 1 de la Clause 9(a) est omise et le délai visé à l’option 2 est de quatorze (14) jours ;
f. l’« autorité de contrôle compétente » est celle du pays dans lequel l’exportateur de données est établi ;
g. les Clauses sont régies par le droit du pays dans lequel l’exportateur de données est établi ;
h. tout litige survenant du fait des Clauses est tranché par les juridictions du pays dans lequel l’exportateur de données est établi ; et
i. en cas de divergence entre une quelconque disposition du Contrat et les Clauses, ces dernières prévaudront.
En ce qui concerne les transferts de données à caractère personnel depuis le Royaume-Uni, les Clauses telles que mises en œuvre en vertu de la section 1 ci-dessus s’appliquent telles que modifiées par l’Addenda relatif au Transfert de Données International aux Clauses disponible à l’adresse https://ico.org.uk/media2/migrated/4019539/international-data-transfer-addendum.pdf , avec les Tableaux 1-3 complétés respectivement avec les informations énoncées dans le Contrat et le Tableau 4 complété en sélectionnant « neither Party ».
En ce qui concerne les transferts de données à caractère personnel depuis la Suisse, les Clauses telles que mises en œuvre en vertu de la section 1 ci-dessus s’appliquent sous réserve des modifications suivantes :
a. les références au « Règlement (UE) 2016/679 » sont interprétées comme des références à la Loi fédérale suisse sur la protection des données (« FADP ») ;
b. les références à des articles spécifiques du « Règlement (UE) 2016/679 » sont remplacées par l’article ou la section équivalent(e) de la FADP ;
c. les références à l’« UE », à l’« Union », à « un État membre » et au « droit d’un État membre » sont remplacées par des références à la « Suisse » ou au « droit suisse », selon le cas ;
d. le terme « État membre » ne saurait être interprété de manière à priver les personnes concernées en Suisse de la possibilité d’exercer leurs droits ;
e. la Clause 13(a) et la partie C de l’annexe I ne sont pas utilisées et l’« autorité de contrôle compétente » est le Préposé fédéral suisse à la protection des données et à la transparence ;
f. les Clauses sont régies par le droit suisse ; et
g. tout litige survenant du fait des Clauses est tranché par les juridictions de Suisse.