ADDENDUM RELATIF AU TRAITEMENT DES DONNEES
D’IVANTI
Le présent Addendum Relatif au Traitement des Données (« ARTD ») d’Ivanti fait partie intégrante du Contrat deLicence Utilisateur Final (le « Contrat ») d’Ivanti, il entrera en vigueur au jour de la dernière date de signature figurant
ci-dessous (la « Date d’Entrée en Vigueur ») entre le client identifié ci-dessous ou dans le Contrat (le « Responsable
du Traitement ») et l’entité Ivanti concernée identifiée au présent ARTD (« Ivanti » ou le « Sous-Traitant »)(individuellement, une « Partie » et, ensemble, les « Parties »). Les termes commençant par une majuscule et non
définis aux présentes s’entendent au sens qui leur est donné au Contrat.
PRÉAMBULE
Les Parties ont conclu le Contrat.
Dans le cadre de la fourniture des Services en faveur du Responsable du Traitement en application du Contrat, le SousTraitant pourra procéder au Traitement de Données à Caractère Personnel pour le compte du Responsable duTraitement ;Afin de disposer des garanties adéquates aux fins du Traitement des Données à Caractère Personnel fournies par le
Responsable du Traitement au Sous-Traitant, les Parties conviennent de respecter les stipulations suivantes relatives
aux Données à Caractère Personnel, chacune agissant raisonnablement et de bonne foi.
CECI AYANT ÉTÉ EXPOSÉ, compte tenu du préambule ci-dessus et en contrepartie des promesses et engagements
réciproque prévus ci-dessous, le Responsable du Traitement et le Sous-Traitant sont convenus de ce qui suit :ACCORD1.

DÉFINITIONS

Tous les termes commençant par une majuscule qui ne sont pas définis aux présentes ont le sens qui leur est donné auContrat.
« Affilié » désigne toute entité qui, directement ou indirectement, contrôle ou est contrôlée par l’entité considérée ou
est placée sous un contrôle commun avec celle-ci. A l’effet de la présente définition, « Contrôle » désigne le fait dedétenir ou de contrôler, directement ou indirectement, plus de 50% des titres avec droit de vote de l’entité considérée.
« Lois Applicables en Matière de Protection des Données » désigne l’ensemble des lois, réglementations,orientations ou exigences réglementaires applicables dans tout pays en matière de protection des données, de respectde la vie privée ou de confidentialité des Données à Caractère Personnel, en ce compris, notamment (a) le RGPD et
toute législation de transposition, d’application de celui-ci ou venant le compléter, et (b) la CCPA.
« Affilié Autorisé » désigne tout Affilié du Responsable du Traitement (a) soumis à la législation et à laréglementation relative à la protection des données de l’Espace économique européen et/ou de ses États membres, leRoyaume-Uni et la Suisse, (b) soumis à la législation et à la réglementation relative à la protection des données horsde l’Espace économique européen et/ou de ses États membres, du Royaume-Uni et de la Suisse (selon le cas), et (c)autorisé à recourir au Sous-Traitant aux fins du Traitement en application du Contrat.
« CCPA » désigne la Loi californienne relative au respect de la vie privée des consommateurs (California Consumer
Privacy Act), Articles 1798.100 et suivants du Code civil de Californie, et la réglementation d’application de celle-ci.
« Responsable du Traitement » désigne l’entité qui détermine la finalité et les moyens du Traitement des Données
à Caractère Personnel. Afin de lever toute ambiguïté, la Partie identifiée ci-dessus en qualité de « Responsable duTraitement » agit en qualité de Responsable du Traitement en application du présent ARTD.
« Violation des Données » désigne toute violation de sécurité donnant lieu à tout accès, toute destruction, altérationou divulgation ou autre traitement accidentels, non autorisés ou illicites des Données à Caractère Personnel transmises,
conservées ou objet d’un Traitement de toute autre manière.
« Autorité Chargée de la Protection des Données » désigne tout représentant ou agent d’une administration ou d’unorganisme public ayant la compétence de faire appliquer les Lois Applicables en Matière de Protection des Données.
« Personne Concernée » désigne toute personne physique concernée par les Données à Caractère Personnel.
« RGPD » désigne le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à laprotection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulationde ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données).
« Ivanti » désigne l’entité identifiée ci-dessous se trouvant dans la même région géographique que le Client :Version: 02.24

1

ADDENDUM RELATIF AU TRAITEMENT DES DONNEES
D’IVANTI-

Ivanti, Inc., société de l’État du Delaware, aux Amériques, à l’exception du Brésil.

-Ivanti Comércio de Software Brasil Ltda, société de droit brésilien, au Brésil.

-Ivanti Software K.K., société de droit japonais, au Japon.

-

Ivanti Software Technology (Beijing) Co., Ltd., société de droit chinois, en Chine.

-

Ivanti International Limited, société de droit irlandais, s’agissant des produits et services de marque Wavelink
et Naurtech, dans la région Europe – Moyen-Orient – Afrique et Asie-Pacifique.

-

Ivanti UK Limited, société à responsabilité limitée soumise au droit de l’Angleterre et du Pays de galles, entout autre lieu.

« Données à Caractère Personnel » désigne toute information qui, directement ou indirectement, identifie, décrit, se
rapporte à une personne physique ou un foyer identifié(e) ou identifiable ou peut être associée ou reliée à celui/celleci ; est réputée être une «personne physique identifiable» une personne physique qui peut être identifiée, directement
ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données delocalisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique,physiologique, génétique, psychique, économique, culturelle ou sociale.
« Traitement » désigne toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés
automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte,
l'enregistrement, l'organisation, la conservation, l'adaptation ou la modification, l'extraction, la consultation,
l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, lerapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction, et telles que définies par les Lois
Applicables en Matière de Protection des Données.
« Sous-Traitant » désigne l’entité qui réalise le Traitement de Données à Caractère Personnel pour le compte duResponsable du Traitement. Afin de lever toute ambiguïté, la Partie identifiée en qualité de « Sous-Traitant » ci-dessus
agira en qualité de Sous-Traitant à l’effet du présent ARTD.
« Services » désigne le Traitement de Données à Caractère Personnel par le Sous-Traitant dans le cadre et aux fins del’exécution des services devant être fournis par le Sous-Traitant en application du Contrat.
« Prestataire de Services » désigne toute entreprise individuelle, société de personnes, société à responsabilité
limitée, société anonyme, association ou autre entité juridique, constituée ou exploitée au profit ou au bénéfice
financier de ses actionnaires ou associés, qui traite des informations pour le compte d’un Responsable du Traitement
des Données et auquel le Responsable du Traitement des Données divulgue les Données à Caractère Personnel d’une
Personne Concernée à des Fins Professionnelle en application d’un contrat écrit, sous réserve que ce contrat interdise
au Prestataire de Services de conserver, d’utiliser et de divulguer les Données à Caractère Personnel, excepté aux finsspécifiques d’exécution des services visées dans le contrat et dans les cas prévus par la CCPA, en ce compris laconservation, l’utilisation et la divulgation des Données à Caractère Personnel à des Fins Commerciales, à l’exception
de la fourniture des services prévus au contrat conclu avec le Responsable du Traitement des Données. Les termes« Fins Professionnelles » et « Fins Commerciales » ont le sens qui leur est donné dans la CCPA. Afin de lever touteambiguïté, le Sous-Traitant est un Prestataire de Services.
« Sous-Traitant Ultérieur » désigne toute entité qui effectue le Traitement de Données à Caractère Personnel pourle compte du Sous-Traitant.
2. TRAITEMENT DES DONNÉES À CARACTÈRE PERSONNEL
2.1 Rôles des Parties. Les parties reconnaissent et conviennent que, s’agissant du Traitement des Données à Caractère
Personnel, le Responsable du Traitement est le Responsable du Traitement, le Sous-Traitant est le Sous-Traitant ou lePrestataire de Services. L’objet, la durée, la finalité du Traitement et les types de Données à Caractère Personnel etles catégories de Personne Concernées objet du Traitement dans le cadre du présent ARTD sont plus amplement
décrits à l’Annexe 1.
2.2 Obligations du Responsable du Traitement. Les instructions du Responsable du Traitement concernant leTraitement des Données à Caractère Personnel devront être conformes aux Lois et Réglementations Relatives à laProtection des Données. Le Responsable du Traitement est pleinement responsable de l’exactitude, de la qualité et dela licéité des Données à Caractère Personnel et des moyens par lesquels le Responsable du Traitement acquiert lesDonnées à Caractère Personnel et les transmet au Sous-Traitant.

Version: 02.24

2

ADDENDUM RELATIF AU TRAITEMENT DES DONNEES
D’IVANTI
2.3 Obligations du Sous-Traitant. Toutes les Données à Caractère Personnel objet du Traitement effectué par leSous-Traitant en application du Contrat constituent des Informations Confidentielles et le Sous-Traitant devra
procéder au Traitement des Données à Caractère Personnel dans le strict respect des instructions documentées duResponsable du Traitement figurant en Annexe 1 ou fournies par écrit par le Responsable du Traitement par tout autre
moyen. Le Sous-Traitant ne devra pas vendre de Données à Caractère Personnel Traitées dans le cadre du présent
ARTD et ne devra pas conserver, utiliser ni divulguer de Données à Caractère Personnel en dehors de la relationcommerciale directe entre le Sous-Traitant et le Responsable du Traitement. Le Sous-Traitant devra respecter
l’ensemble des Lois Applicables en Matière de Protection des Données relatives au Traitement Données à Caractère
Personnel. Le Sous-Traitant ne devra combiner aucune des Données à Caractère Personnel fournies par le Responsable
du Traitement avec des Données à Caractère Personnel qu'il recevrait d'autres sources. Si le Sous-Traitant estime quele respect des instructions du Responsable du Traitement serait susceptible d’entraîner une infraction au regard detoute Loi Applicable en Matière de Protection des Données, le Sous-Traitant devra sans délai en informer leResponsable du Traitement par écrit. Le Sous-Traitant devra mettre à la disposition du Responsable du Traitement
toutes les informations nécessaires afin de démontrer le respect par le Sous-Traitant de ses obligations en application
du présent ARTD.
2.3.1. Devoir d’assistance. Le Sous-Traitant devra apporter son assistance au Responsable du Traitement sur lespoints suivants : conformité au regard des Lois Applicables en Matière de Protection des Données, Violation desDonnées avérée ou suspectée, informations à fournir à l’Autorité Chargée de la Protection des Données et demandes
d’informations de cette dernière, informations à fournir aux Personnes Concernées et demandes d’informations decelles-ci, obligation du Responsable du Traitement de réaliser des études d’impact sur la protection des données et desconsultations préalables avec l’Autorité Chargée de la Protection des Données.
OBLIGATIONS D’INFORMATION

3.

3.1 Obligations d’information du Sous-Traitant. Le Sous-Traitant devra informer sans délai le Responsable duTraitement, par écrit, de ce qui suit :3.1.1
Toute demande d’exercice par une Personne Concernée de ses droits au respect de la vie privée, et notammentde son droit d’accès, de rectification, d’effacement, de portabilité, d’opposition ou de limitation du traitement de ses
Données à Caractère Personnel ;3.1.2

Toute demande ou réclamation reçue de la part des clients ou salariés du Responsable du Traitement ;3.1.3
Toute question, réclamation, enquête ou autre demande de la part de l’Autorité Chargée de la Protection desDonnées ;3.1.4
Toute de demande de divulgation de Données à Caractère Personnel ayant trait au Traitement des Données à
Caractère Personnel effectué par le Sous-Traitant en application du présent ARTD ;3.1.5

Toute Violation de Données en application des obligations d’information prévues à l’Article 7.1 ; et3.1.6
Si des Données à Caractère Personnel font l’objet d’un mandat de perquisition ou d’une ordonnance de saisie,de confiscation dans le cadre d’une procédure de faillite ou d’insolvabilité, ou de toute autre acte ou mesure semblable
de la part de tiers pendant leur Traitement.
Le Sous-Traitant devra aider le Responsable du Traitement aux fins de respect des obligations du Responsable duTraitement de répondre aux demandes visées aux Articles (3.1.1) à (3.1.6) ci-dessus et ne devra pas répondre à ces
demandes sans l’accord préalable et écrit du Responsable du Traitement, sauf si le Sous-Traitant est tenu d’y répondre
en vertu de la loi.
4.

CONFIDENTIALITÉ

4.1 Informations Confidentielles. Toutes les Informations fournies au Sous-Traitant en application du Contrat
constituent des Informations Confidentielles.
4.2 Personnel du Sous-Traitant. Le Sous-Traitant devra veiller à ce que les membres de son personnel participant
au Traitement des Données à Caractère Personnel soient informés du caractère confidentiel des Données à Caractère
Personnel, aient reçu une formation appropriée concernant leurs responsabilités et aient signé un accord deconfidentialité écrit. Le Sous-Traitant devra veiller à ce que ces obligations de confidentialité demeurent en vigueuren cas de cessation de ses relations contractuelles avec ces personnes.
4.3 Limitation de l’accès. Le Sous-Traitant devra veiller à ce que l’accès du Sous-Traitant aux Données à Caractère
Personnel soit limité aux salariés exécutant les Services en application du Contrat.

Version: 02.24

3

ADDENDUM RELATIF AU TRAITEMENT DES DONNEES
D’IVANTI
5. SOUS-TRAITANT ULTÉRIEURS
5.1 Désignation des Sous-Traitant Ultérieurs. Le Responsable du Traitement reconnaît et convient que le SousTraitant et les Affiliés du Sous-Traitant pourront faire appel à des Sous-Traitant Ultérieurs tiers dans le cadre de lafourniture des Services. Le Sous-Traitant ou l’Affilié du Sous-Traitant devra conclure un contrat écrit avec chaqueSous-Traitant Ultérieur, prévoyant des obligations de protection des données au moins aussi protectrices que celles
figurant dans le présent ARTD, dans la mesure applicable au type de Services fournis par ce Sous-Traitant Ultérieur.
Le Responsable du Traitement autorise par les présentes le Sous-Traitant à faire appel à sa liste actuelle de SousTraitant Ultérieurs figurant à l’adresse suivante : https://www.ivanti.com/company/legal/ivanti-subprocessors afin deprocéder au Traitement des Données à Caractère Personnel en application du présent ARTD. Le Responsable duTraitement ne devra pas communiquer directement avec les Sous-Traitant Ultérieurs du Sous-Traitant au sujet desServices, sauf accord donné par le Sous-Traitant à l’entière discrétion de ce dernier.
5.2 Notification des modifications des Sous-Traitant Ultérieurs. Le Sous-Traitant devra informer le Responsable
du Traitement de toute modification envisagée concernant l’ajout ou la substitution de Sous-Traitants Ultérieurs en
donnant au Responsable du Traitement le moyen de s’abonner aux notifications des nouveaux Sous-TraitantsUltérieurs à l’adresse suivante : https://www.ivanti.com/company/legal/ivanti-subprocessors. Le Sous-Traitant devra
informer le Responsable du Traitement de toute modification envisagée concernant l’ajout ou la substitution de SousTraitants Ultérieurs avant de faire appel à tout Sous-Traitant Ultérieur.
5.3 Droit d’opposition à la nomination de Sous-Traitant Ultérieurs. Le Responsable du Traitement pourras’opposer pour un juste motif à ce que le Sous-Traitant ait recours à un nouveau Sous-Traitant Ultérieur par
notification écrite adressée sans délai au Sous-Traitant dans les quinze (15) jours ouvrés suivant la réception de l’avis
du Sous-Traitant. En cas d’objection de la part du Responsable du Traitement à la nomination d’un nouveau SousTraitant Ultérieur, Sous-Traitant devra employer tous ses efforts raisonnables afin de proposer au Responsable duTraitement une modification des Services permettant d’éviter tout Traitement des Données à Caractère Personnel parle nouveau Sous-Traitant Ultérieur objet de l’opposition. Si le Sous-Traitant n’est pas en mesure de proposer cettemodification, le Responsable du Traitement pourra mettre fin au Contrat concerné relatif aux Services ne pouvant pasêtre fournis par le Sous-Traitant sans avoir recours au nouveau Sous-Traitant Ultérieur objet de l’opposition.
5.4 Responsabilité du fait des Sous-Traitant Ultérieurs. Le Sous-Traitant sera responsable du fait des actes etomissions de ses Sous-Traitant Ultérieurs de la même manière que dans le cas où le Sous-Traitant exécutait
directement les services de chacun des Sous-Traitant Ultérieur en application du présent ARTD.
6. SÉCURITÉ
6.1 Protection des Données à Caractère Personnel. Le Sous-Traitant devra mettre en place les mesures techniques
et organisationnelles appropriées afin de protéger la sécurité (et notamment contre tout traitement non autorisé ou
illicite et contre toute destruction, perte, altération ou tout dommage, toute divulgation non autorisée des Données à
Caractère Personnel ou tout accès non autorisé à celles-ci), la confidentialité et l’intégrité des Données à Caractère
Personnel.
6.2 Droits d’audit. Le Responsable du Traitement convient que son droit d’auditer le Sous-Traitant sera valablement
satisfait par la présentation par le Sous-Traitant d’attestations, de rapports ou d’extraits de la part d’organismesindépendants, et notamment de contrôleurs indépendants ou internes, du délégué à la protection des données du SousTraitant, du service de sécurité informatique, des contrôleurs de la qualité ou de la protection des données ou de tout
autre tiers ou certification convenus par accord mutuel, dans le cadre d’un audit de la protection des données ou de lasécurité informatique. Dans le cas où il ne serait pas possible de satisfaire à l’obligation d’audit prévue par lesRéglementations et Lois Applicables en Matière de Protection des Données par la remise de ces attestations, rapports
ou extraits, le Responsable du Traitement ou toute personne désignée par le Responsable du Traitement sera en droitde réaliser un audit et d’inspecter, aux frais du Responsable du Traitement dans la mesure du raisonnable, les locaux,
politiques, procédures et systèmes informatiques du Sous-Traitant, afin de vérifier que le Sous-Traitant respecte lesexigences du présent ARTD. Le Responsable du Traitement ou toute personne désignée par le Responsable duTraitement devra donner un préavis d’au moins trente (30) jours avant la réalisation de l’audit, sauf si cet audit est
rendu nécessaire du fait d’une Violation des Données impliquant le Sous-Traitant. Les audits réalisés par le
Responsable du Traitement ou la personne désignée par le Responsable du Traitement ne devront pas enfreindre les
obligations de confidentialité du Sous-Traitant vis-à-vis de ses autres clients. Tous les audits devront être réalisés
durant les heures normales de bureau, au siège du Sous-Traitant ou sur tout(s) autre(s) site(s) du Sous-Traitant où lesDonnées à Caractère Personnel sont accessibles, traitées ou administrées et ne devront pas causer de perturbation
excessive des activités courantes du Sous-Traitant. Avant de commencer tout audit, le Sous-Traitant et le Responsable

Version: 02.24

4

ADDENDUM RELATIF AU TRAITEMENT DES DONNEES
D’IVANTI
du Traitement devront convenir par accord mutuel du calendrier, de l’étendue et de la durée de cet audit. Le
Responsable du Traitement pourra, une fois par an maximum, demander un ou plusieurs rapport(s) d’audit ou auditerle Sous-Traitant.
7. VIOLATION DES DONNÉES
7.1 Notification des Violations de Données. Le Sous-Traitant devra informer le Responsable du Traitement par écrit
sans délai, dès qu’il aura connaissance d’une Violation des Données présumée. Cette notification ne devra en aucuncas être effectuée plus de 72 heures après la découverte de la Violation des Données par le Sous-Traitant.
7.2 Gestion des Violations de Données. Le Sous-Traitant devra mettre en œuvre tous les moyens raisonnables afind’identifier la cause de cette Violation des Données et prendre toutes les mesures que le Sous-Traitant estimera
nécessaires et justifiées afin de résoudre la cause de ces Violations de Données dans la mesure où cette résolution
relève raisonnablement du contrôle du Sous-Traitant.
8. CESSATION
8.1 Cessation. Le présent ARTD prendra fin de plein droit en cas (a) de résiliation ou d’expiration du Contrat ou (b)de suppression ou de restitution par le Sous-Traitant des Données à Caractère Personnel. Le Responsable duTraitement sera en outre en droit de résilier le présent ARTD pour un juste motif en cas de manquement grave ou
persistant du présent ARTD commis, de l’avis discrétionnaire du Responsable du Traitement, par le Sous-Traitant et,si ce manquement est susceptible d’être corrigé, à défaut de correction de celui-ci dans les dix (10) jours suivant ladate de réception par le Sous-Traitant de l’avis du Responsable du Traitement identifiant ce manquement et demandantqu’il y soit remédié.
8.2 Restitution ou suppression des Données. En cas de cessation du présent ARTD, le Sous-Traitant devra supprimer
ou restituer toutes les copies existantes des Données à Caractère Personnel, à moins que la loi applicable n’exige laconservation des Données à Caractère Personnel. Sur demande du Responsable du Traitement, le Sous-Traitant devra
confirmer par écrit s’être conformé à ces obligations et avoir supprimé toutes les copies existantes. Dans le cas où laloi locale exigerait que le Sous-Traitant conserve les Données à Caractère Personnel, le Sous-Traitant devra protéger
la confidentialité, l’intégrité et l’accessibilité des Données à Caractère Personnel, il ne devra pas procéder activement
au Traitement des Données à Caractère Personnel et devra continuer de respecter les stipulations du présent ARTD.
9. MÉCANISMES APPLICABLES AUX TRANSFERTS INTERNATIONAUX
9.1 Transferts en dehors de l'UE/RU/Suisse vers un pays disposant d'une décision d'adéquation. Le Responsable
du traitement s'appuiera sur la décision d'adéquation afin de transférer les Données personnelles, dès lors qu'une telle
décision d'adéquation a été accordée en vertu du droit applicable en matière de protection des données. Afin de levertoute ambiguïté, si le Responsable du traitement est certifié en vertu du Programme-cadre sur la protection des données
accordé par la Commission d'exécution de la Décision du 10.07.2023 constatant le cadre adéquat de protection desdonnées à caractère personnel assuré par le cadre de protection des données UE - États-Unis (« CPD »), le CPD
s'appliquera et remplacera le(s) mécanisme(s) de transfert applicable(s) établi(s) à la section 9.2 du présent Accord deprotection des données sous forme de mécanisme valide pour les Données personnelles transférées aux États-Unis.
9.2 Transferts en dehors de l'UE/RU/Suisse vers un pays ne disposant pas d'une décision d'adéquation. Dans le cadre
de l'exécution des Services en vertu du présent Accord de protection des données, il pourra s'avérer nécessaire pour leContrôleur de transférer des Données personnelles de l'Union européenne, de l'Espace économique européen et/ou deson État membre, de Suisse ou du Royaume-Uni, vers un Responsable du traitement situé dans un pays ne disposant
pas de décision d'adéquation ou hors de l'Espace économique européen.
9.2.1. S’agissant de Données à Caractère Personnel soumises au RGPD (i) le Sous-Traitant agira en qualitéd’« importateur des données » et le Responsable du Traitement en qualité d’« exportateur des données », (ii) le Module
Deux des clauses seront applicables dès lors que le Responsable du Traitement agira en qualité de Responsable duTraitement des Données et que le Sous-Traitant agira en qualité de Sous-Traitant des Données, (iii) à la Clause 7, laclause d’adhésion facultative sera supprimée, (iv) à la Clause 9 du Module Deux, l’Option 2 sera applicable, la listedes Sous-Traitants Ultérieurs et les délais de préavis des modifications étant ceux convenus à l’Article 5 du présentARTD, (v) à la Clause 11, le texte de l’option sera supprimé, (vi) à la Clause 17, l’Option 1 sera applicable et lesClauses Contractuelles Types seront régies par [le droit] de l’État membre dans lequel le Responsable du Traitement
est domicilié, (vii) à la Clause 18(b), tout litige sera tranché devant les juridictions de l’État membre dans lequel leResponsable du Traitement est domicilié, (viii) les Annexe I et II seront réputées complétées par les informations
figurant à l’Annexe 1 du présent ARTD, respectivement, et (ix) dans le cas et dans la mesure où il existerait un conflit
entre les Clauses Contractuelles Types et le Contrat (comprenant le présent ARTD), les Clauses Contractuelles Types

Version: 02.24

5

ADDENDUM RELATIF AU TRAITEMENT DES DONNEES
D’IVANTI
prévaudront dans la mesure de ce conflit. Concernant le présent Article, les Clauses Contractuelles Types de ladécision d’exécution (UE) 2021/914 de la Commission sont incorporées par référence et sont consultable à l’adressesuivante :https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=CELEX:32021D0914&from=FR#ntc3L_2021199FR.01003701-E0003.
9.2.2. S’agissant de Données à Caractère Personnel soumises aux Lois Relatives à la Protection des Données duRoyaume-Uni, l’Accord sur les Transferts de Données Internationaux (International Data Transfer Agreement –« IDTA ») sera applicable, sous réserve des modifications suivantes : (i) les coordonnées des parties au Contrat sontles coordonnées applicables à l’IDTA, (ii) le Responsable du Traitement agit en qualité d’exportateur des données etle Sous-Traitant agit en qualité d’importateur des données, (iii) le droit applicable à l’IDTA est celui de l’Angleterre
et du Pays de Galles et le lieu où les demandes en justice peuvent être présentées est l’Angleterre et le Pays de Galles,(iv) le RGPD du Royaume-Uni ne s’applique pas au Traitement de données transférées effectué par l’importateur desdonnées, (v) les Parties n’auront pas recours aux clauses supplémentaires concernant la sécurité ou d’ordre commercial
de l’IDTA et (vi) les information figurant au présent ARTD et à l’Annexe 1 [des présentes] pourront être reportéesdans les Tableaux 1 à 4. Concernant le présent Article, les Clauses Contractuelles Types de du Bureau du Commissairechargé de l’information (Information Commissioner’s Office) sont incorporées par référence et sont consultable àl’adressesuivante :https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-dataprotection-regulation-RGPD/international-data-transfer-agreement-and-guidance/.
9.2.3. S’agissant de Données à Caractère Personnel soumises à [la Loi sur la protection des données (LPD)] suisse,
les Clauses Contractuelles Types visées à l’Article 9.1.1 seront applicables, sous réserve des modifications suivantes :(i) toute mention du « Règlement (UE) 2016/679 » devra être interprétée comme faisant référence à l’ARTD suisse,(ii) toute mention de l’« UE », de l’« Union » et du « droit des États membres » devra être interprétée comme faisantréférence au droit suisse, et (iii) toute mention de l’« autorité de contrôle compétente » et des « juridictions
compétentes » devra être remplacée», selon le cas, par le « préposé fédéral à la protection des données et à latransparence » (PFPDT) ou par « les juridictions suisses compétentes .
9.3. Mécanismes alternatifs de transfert des données. Les Parties reconnaissent que les lois, règles etréglementations relatives aux transferts internationaux de données sont en évolution constante. Dans le cas où leContrôleur venait à adopter un autre mécanisme autorisé par les lois, règles et réglementations applicables pourtransférer les Données personnelles (dénommé individuellement un « Mécanisme alternatif de transfert des données»), les Parties s'engagent à collaborer en bonne foi afin de mettre en œuvre toute modification nécessaire au présent
Accord de protection des données en vue de pouvoir appliquer un tel Mécanisme alternatif de transfert des données.
10. DIVERS
10.1. Avenants. Le présent ARTD ne pourra faire l’objet d’aucune modification ni d’aucun supplément et ses
stipulations ne pourront faire l’objet d’aucune renonciation ou modification à défaut d’acte écrit dûment signé par lesreprésentants habilités de chacune des parties.
10.2 Droit applicable. Le présent ARTD est soumis au droit applicable prévu au Contrat.
EN FOI DE QUOI, les parties aux présentes ont signé le présent [Accord] à la Date d’Entrée en Vigueur.

RESPONSABLE DU TRAITEMENT :IVANTI

Signature :Signature :

Nom :

Nom :

Fonction :Fonction :Date :

Date :

Version: 02.24

6

ADDENDUM RELATIF AU TRAITEMENT DES DONNEES
D’IVANTI
Liste des Annexes :Annexe 1 : Description du Traitement

Version: 02.24

7

ADDENDUM RELATIF AU TRAITEMENT DES DONNEES
D’IVANTI
ANNEXE 1
Description du Traitement
Coordonnées de la société Ivanti :Ivanti
10377 South Jordan Gateway
Suite 110
South Jordan, Utah 84095
Coordonnées du délégué à la protection des données : privacy@ivanti.com
Finalité
Finalité du Traitement :Fourniture de services informatiques, concession de licences de logiciels, services support et d’exécution, sur site ou
sous forme de solution logicielle par abonnement (SaaS) hébergée, pour l’administration et la facilitation des processus
d’entreprise essentiels dans le(s) domaine(s) de la gestion des points d’accès, gestion des services informatiques,gestion, sécurité, information, analyse et chaîne d’approvisionnement des actifs informatiques.
Les services informatiques comprennent l’utilisation de logiciels sous forme d’installation sur site ou de solution SaaS,en ce compris l’installation de modules (en ce compris, notamment, les modules de gestion des incidents, desmodifications, des actifs, de la configuration et des versions) ; catalogues des services et de libre-service ; services
support et de maintenance, en ce compris, notamment, l’accès à distance ; les correctifs, le contrôle des applications,la gestion de la sécurité et des privilèges des points d’accès/mobiles.
Fréquence de Traitement :Continu.
Durée
Durée du Traitement :Telle que prévue au Contrat.
Étendue, nature et finalité du Traitement
L’étendue, la nature et la finalité du Traitement sont les suivantes :Telles que prévues au Contrat.
Personnes Concernées
Le Traitement des Données à Caractère Personnel pourra concerner les catégories de Personnes Concernées suivantes :Clients, clients potentiels, salariés, fournisseurs, agents commerciaux, contacts, prestataires (en ce compris lestravailleurs occasionnels), bénévoles, travailleurs temporaires et précaires, indépendants, mandataires, consultants etautres répondants professionnels, ainsi que leurs personnes à charges, bénéficiaires et personnes à contacter en cas
d’urgence respectifs, candidats et salariés temporaires de clients, plaignants, correspondants et enquêteurs, conseillers,
consultants et autres experts professionnels, salariés ou contacts des clients, clients potentiels, partenaires
commerciaux et fournisseurs de l’exportateur de données (personnes physiques) et utilisateurs de l’exportateur dedonnées autorisés par ce dernier à utiliser les logiciels et les services y afférents.
Catégories de Données
Les Données à Caractère Personnel objet du Traitement pourront relever des catégories de données suivantes :Les données clients téléchargées vers le Services dans le cadre des services et des comptes du Client.
Mesures techniques et organisationnelles
Les mesures de sécurité techniques et organisationnelles mises en œuvre par le Sous-Traitant sont décrites ci-dessous :Version: 02.24

8

ADDENDUM RELATIF AU TRAITEMENT DES DONNEES
D’IVANTI
Formation de sensibilisation à la sécurité
Le Sous-Traitant a [mis en place] des formations de sensibilisation à la sécurité qui incluent une formation sécurité
obligatoire concernant le traitement et la sécurisation des Informations Confidentielles et des informations sensibles,
telles que les renseignements personnels, les informations bancaires et les informations de santé conformément à laloi applicable, ainsi que des communications de sensibilisation à la sécurité et des cours sur la sécurité concernant plus
spécifiquement la sensibilisation de l’utilisateur final.
Politiques et procédures de sécurité
Le Sous-Traitant a [mis en pace] des politiques en matière de sécurité, d’utilisation et de gestion de l’information,édictant les mesures à prendre par les salariés et prestataires pour le bon usage et le stockage des informations
confidentielles et sensibles et l’accès à celles-ci, limitant l’accès aux informations confidentielles et sensibles aux
membres du personnel du Sous-Traitant justifiant de la nécessité d’y avoir accès, prévoyant l’interdiction pour lessalariés quittant la société d’accéder aux informations du Sous-Traitant après leur départ, et imposant des mesures
disciplinaires en cas de non-respect de ces politiques. L’accès aux ressources du Sous-Traitant est refusé par le systèmeà défaut d’évaluation spécifique et d’accès autorisé. Le Sous-Traitant vérifie les antécédents de ses salariés àl’embauche, dans la mesure autorisée par la loi.
Contrôles d’accès physiques et environnementaux
Le Sous-Traitant limite l’accès physique à ses systèmes d’information et installations à l’aide de contrôle physiques(par ex., accès sécurisé par un passe crypté) offrant des garanties raisonnables de limitation de l’accès à ses centres dedonnées aux personnes autorisées et utilisant des systèmes de surveillance par caméras ou vidéosurveillance aux
principaux points d’entrée internes et externes. Le Sous-Traitant effectue des contrôles de la température et del’hygrométrie de l’air dans ses centres de données et les protège contre les pertes dues aux pannes d’électricité.
Contrôles d’accès logiques
Le Sous-Traitant a recours à des technologie d’enregistrement et de suivi permettant la détection et la prévention destentatives d’accès non autorisé à ses réseaux et systèmes de production. Le suivi mis en place par le Sous-Traitantcomprend la vérification des changements affectant la gestion par le système des authentifications, autorisations etaudits, les accès privilégiés aux systèmes de production du Sous-Traitant.
Contrôles cryptés
Le Sous-Traitant applique des contrôles cryptés adaptés à l’entreprise pour tous nos produits. Le Sous-Traitant évalue
et applique le cryptage de données passives et en transit mettant en œuvre les meilleures pratiques de la profession
pour les chiffrements. Les meilleurs pratiques sont employées pour la gestion du cycle de vie des clés de chiffrement,à savoir la production, le stockage, le contrôle d’accès et la rotation de celles-ci.
Gestion de la vulnérabilité
Le Sous-Traitant réalise régulièrement des analyses de vulnérabilité et traite les vulnérabilités détectées en fonction
des risques qu’elles représentent. Les produits du Sous-Traitant font également périodiquement l’objet d’évaluations
de la vulnérabilité et de tests de pénétration.
Récupération après sinistre et contrôles de sauvegarde
Le Sous-Traitant réalise des sauvegardes régulières des systèmes de fichiers de production et des bases de données
selon un calendrier défini, et a mis en place un plan de récupération après sinistre pour le centre de données dans lecloud, qui implique des essais réguliers.
Plan d’intervention en cas d’incident cybernétiques
Le Sous-Traitant a mis en place un plan d’action en cas d’incident afin de gérer et de réduire les effets des événements
cybernétiques imprévus qui comprend des procédures à suivre en cas de violation avérée ou potentielle de la sécurité,
avec notamment : cellule de crise dotée d’un chef d’intervention d’urgence, cellule d’enquête chargée de réaliser une
analyse des causes profondes et d’identifier les parties affectées, des procédures internes d’information et denotification, la documentation des interventions d’urgence et plans de remise en état, ainsi qu’une étude a posteriori
des événements.

Version: 02.24

9

ADDENDUM RELATIF AU TRAITEMENT DES DONNEES
D’IVANTI
Sécurité du stockage et de la transmission
Le Sous-Traitant met en œuvre des mesures de sécurité techniques afin d’empêcher l’accès non autorisé aux donnéesdu Sous-Traitant pendant leur transmission via un réseau de communication électronique public ou leur conservation
sous format électronique.
Élimination sécurisée
Le Sous-Traitant a mis en place des politiques et procédures relatives à l’élimination des biens corporels et incorporels
contenant des données du Sous-Traitant de manière à rendre les données du Sous-Traitant illisibles et impossibles àreconstituer.
Identification et évaluation des risques
Le Sous-Traitant a mis en place un programme d’évaluation des risques afin de permettre l’identification raisonnable
des risques internes et externes prévisibles pour les moyens informatiques du Sous-Traitant et de déterminer si lescontrôles, politiques et procédures en place permettent de traiter de manière adéquate les risques identifiés.
Fournisseurs et prestataires
Les prestataires ou fournisseurs tiers (ensemble, les « Fournisseurs ») ayant accès aux Informations Confidentielles
du Sous-Traitant font l’objet d’évaluation des risques afin de jauger de la sensibilité des informations du Sous-Traitantcommuniquées. Les Fournisseurs sont tenus de respecter l’ensemble des stipulations contractuelles pertinentes
relatives à la sécurité des données du Sous-Traitant, ainsi que l’ensemble des politiques et procédures applicables duSous-Traitant, et le Sous-Traitant peut demander à un Fournisseur de réévaluer sa position en matière de sécurité afinde se mettre en conformité.

Version: 02.24

10