Source: https://movinmotion.zendesk.com/hc/fr/articles/360005063693-Annexe-contractuelle-RGPD-Version-sous-traitant-et-client
Timestamp: 2019-02-23 18:06:28+00:00
Document Index: 302483918

Matched Legal Cases: ['§ 3', '§ 2', '§ 3', '§ 3', '§ 3', '§ 3', '§ 3', '§ 3', '§ 3']

Annexe contractuelle RGPD - Version sous-traitant et client – Movinmotion
Employeur du Spectacle
Politique de confidentialité de Movinmotion
Movinmotion et la RGPD (le Règlement général sur la protection des données)
Conditions Générales d'Utilisation de Movinmotion
Annexe contractuelle RGPD - Version sous-traitant et client
28 mai 2018 12:31
Qualification juridique des parties
Identification du traitement
Aide et assistance du client
Sort des données à la fin du contrat
Dans le cadre du contrat conclu entre Movinmotion et le client (ci-après le « client »), Movinmotion (ci-après le « prestataire ») est sous-traitant au sens de l’article 28 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après « RGPD »).
Le prestataire est informé que le respect de la règlementation en matière de protection des données à caractère personnel est un élément fondamental pour le client.
En conséquence, le prestataire déclare présenter les garanties suffisantes quant à la mise en œuvre des mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du RGPD.
Pour la présente annexe, les termes ci-dessous ont entre les parties la signification suivante :
« destinataire » : désigne la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui reçoit communication de données à caractère personnel, qu’il s’agisse ou non d’un tiers ;
« données à caractère personnel » : désigne toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ;
« finalité » : désigne les objectifs principaux assignés au traitement et aux fonctions substantielles mises en œuvre ;
« personne concernée » : désigne les personnes physiques identifiables ou identifiées dont les données à caractère personnel sont collectées et intégrées dans le traitement de données à caractère personnel ;
« traitement de données à caractère personnel » : désigne toute opération ou ensemble d’opérations portant sur des données à caractère personnel, quel que soit le procédé utilisé telles que la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction ;
« violation de données à caractère personnel » : désigne une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou l'accès non autorisé à de telles données.
3. Qualification juridique des parties
Au sens du RGPD, et pour la bonne application des présentes :
le client a la qualité de responsable de traitement ;
le prestataire, a la qualité de sous-traitant.
[1] Les éléments d’identification du traitement couverts par la présente annexe sont les suivants :
Jusqu’à la fin de la relation contractuelle
La gestion de l’envoi des emails de l’application
Identité (Nom,Prénom), Coordonnées (email)
Clients (utilisateurs)
Les documents administratifs : 50 ans à partir de l’édition du document en archivage intermédiaire non anonymisé.
La fiche personnelle et les données du statut d’intermittent : Jusqu’à demande de suppression du client
· Fiche personnelle de renseignement
· Archivage des documents
· Outil de suivi du statut d’intermittent
Identité (Nom,Prénom), Identification (NIR), Coordonnées (email, adresse postale, téléphone), Etat civil (Civilité, Nom de naissance), Images (avatar de la plateforme), Vie personnelle (Date et ville de naissance, nationalité, date de dernière visite médicale), Vie professionnelle (CV), informations bancaires (iban, bic, fiscalement étranger) et pour le suivi du statut d’intermittent (allocation journalière, date de début d’indemnisation, date du dernier contrat de travail avant ouverture des droits, délai d’attente, franchise congés payés et franchise salaire)
10 ans à partir de la génération du contrat en archivage intermédiaire non anonymisé
· Signature électronique des contrats entre nos clients et leurs salariés
· Dépôt des contrats signés électroniquement dans un Coffre-fort numérique
Identité (Nom,Prénom), Identification (NIR, n° Congés Spectacle), Coordonnées (email, adresse postale, téléphone), Etat civil (Civilité), Vie personnelle (Date et ville de naissance, nationalité, date de dernière visite médicale), informations bancaires (iban bic)
Clients (utilisateurs dont l’entreprise a souscrit au service de signature électronique)
Edition des fiches de paie Client
50 ans à partir de l’édition des documents en archivage intermédiaire non anonymisé
· Edition des fiches de paie Client, des AEM, des Congés Spectacle
· Déclarations sociales nécessaires à la gestion sociale des salariés de nos clients
Identité (Nom,Prénom), Identification (NIR, n° Congés Spectacle), Coordonnées (email, adresse postale), Etat civil (Civilité), Vie personnelle (Date et ville de naissance, nationalité, date de dernière visite médicale), informations bancaires (iban bic, rémunération, fiscalement étranger)
Clients (utilisateurs dont l’entreprise a souscrit au service d’externalisation de la paie)
Gestion RH Client
Jusqu’à la fin de la relation contractuelle ou à défaut, suppression à première demande du client
· Gestion de l’annuaire interne des salariés des clients
· Gestion des contrats des salariés des clients
· Gestion des informations administratives des salariés des clients
Identité (Nom,Prénom), Identification (NIR), Coordonnées (email, adresse postale, téléphone), Etat civil (Civilité, Nom de naissance), Vie personnelle (Date et ville de naissance, nationalité, date de dernière visite médicale), informations bancaires (iban, bic, fiscalement étranger) et Scans de la carte d’identite et de la carte vitale, fuche d’aptitude
Clients (utilisateurs admin d’enterprise)
DPAE Client
50 ans à partir de l’envoi du document en archivage intermédiaire non anonymisé
· Envoi des DPAE client
· Archivage des duplicatas
Identité (Nom,Prénom), Identification (NIR), Etat civil (Civilité, Nom de naissance), Vie personnelle (Date et ville de naissance, nationalité)
Cliens (utilisateurs admin d’entreprise ou admin du projet)
ODALIE 2
Jusqu’à demande de l’utilisateur
La création et la génération du Document Unique d’une entreprise du monde dela culture et du spectacle
Identité (Nom,Prénom), Etat civil (Civilité), Vie professionnelle (fonction)
Clients (utilisateurs admin d’entreprise ayant activé le service)
· Gestion des tickets d’assistance
· Centre d’aide
· Bases de connaissances sur la plateforme (FAQ intelligente)
Identité (Nom, prénom), Coordonnées (email, téléphone)
5. Sous-traitance ultérieure
[2] Le prestataire est autorisé par le client à recruter d’autres sous-traitants dans le cadre du traitement.
Dans tous les cas, le prestataire s’engage à :
recruter un sous-traitant présentant des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du RGPD et de la présente annexe mais également garantisse la protection des droits de la personne concernée ;
signer avec l’autre sous-traitant un contrat faisant référence à la présente annexe, et imposant à son sous-traitant les mêmes obligations en matière de protection des données à caractère personnel que celles fixées dans la présente annexe et au contrat ;
informer le client de tout changement prévu concernant l’ajout ou le remplacement des autres sous-traitants, donnant ainsi au client la possibilité d’émettre des objections et des réserves.
[3]Le client s’engage à :
se conformer lui-même à l’ensemble des exigences prévues par la RGPD et, en particulier, à disposer d’une politique de données à caractère personnel ;
fournir au prestataire toutes les informations et instructions documentées nécessaires à la bonne exécution du traitement ;
indiquer au prestataire toute évolution des traitements ;
fournir au prestataire les coordonnées de son interlocuteur en matière de protection des données ;
notifier les violations de données auprès de l’autorité compétente ;
respecter ses obligations en matière de protection des données.
7. Instructions du client
[4] Le prestataire s’engage à ne traiter les données à caractère personnel dans le cadre du contrat que dans le respect des instructions documentées, communiquées par le client au fur et à mesure de l’exécution de la prestation, objet du contrat de mise en sécurité.
Les instructions documentées sont communiquées au prestataire par écrit, sous toute forme choisie par le client telle que par document, courrier électronique ou compte rendu de réunion, sans que cette liste ne soit exhaustive.
Le prestataire informe immédiatement le client si, selon lui, une instruction de ce dernier constitue une violation du présent règlement ou d'autres dispositions du droit de l'Union ou du droit français relatives à la protection des données. Cette information doit être adressée par écrit et dans un temps compatible avec sa prise en compte par le client.[5]
Les instructions fournies par le client ne peuvent en aucune façon avoir pour objet ou pour effet de modifier le produit lui-même ou la prestation proposée par le prestataire.
[6] Le prestataire s’engage à respecter l’ensemble des obligations en matière de transfert de données à caractère personnel vers un pays tiers et notamment à conclure un acte juridique contraignant avec le destinataire des données comme des clauses contractuelles types ou des BCR.
9. Confidentialité renforcée
[7] Le prestataire s’engage à faire signer par toutes les personnes susceptibles d’accéder aux données à caractère personnel du client, dans le cadre du contrat, un engagement individuel de confidentialité.
Le prestataire s’engage à ce que ses éventuels sous-traitants ultérieurs soient également tenus par cette obligation spécifique.
10. Obligation de sécurité
[8] Le prestataire est tenu de mettre en œuvre les mesures organisationnelles et techniques de nature à lutter contre la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou de l'accès non autorisé à de telles données, de manière accidentelle ou illicite.
Il appartient au client, et à lui seul, de notifier les éventuelles violations de sécurité à la CNIL.
Le prestataire s’engage à notifier au client, dans les meilleurs délais, toute violation de donnée à caractère personnel qu’il aurait subi.
En cas de retard dans la communication de la violation, le prestataire doit accompagner sa notification des motifs expliquant ce retard.
La violation de données est communiquée à l’interlocuteur désigné par le client.
La notification doit, au minimum, préciser :
la nature de la violation des données, y compris, si possible, les catégories et le nombre approximatif de personnes concernées par la violation et les catégories et le nombre approximatif d’enregistrements de données à caractère personnel concernées ;
le nom et les coordonnées du point de contact auprès duquel des informations supplémentaires peuvent être obtenues ;
les mesures déjà prises ou celles qui sont proposées pour y remédier.
Si le prestataire est dans l’incapacité de fournir l’ensemble de ces informations au même moment, cela ne l’exonère pas de son obligation de notifier au client la violation des données accompagnée de l’ensemble des informations à sa disposition, le reste devant être communiqué dès prise de connaissance.
En cas de violation de données, le prestataire prend, dès que possible, toutes les mesures nécessaires pour remédier et diminuer l’impact de la violation et informe le client des mesures prises et des résultats attendus et constatés.
Le prestataire s’engage à collaborer activement avec le client pour qu’il soit en mesure de répondre à ses obligations réglementaires et contractuelles et notamment pour répondre aux interrogations de la CNIL.
12. Aide et assistance du client
Aide et assistance concernant le droit des personnes
Le prestataire s’engage à aider et assister le client par l’intermédiaire de mesures techniques et organisationnelles appropriées et en tenant compte de la nature du traitement à s’acquitter de l’obligation de donner suite aux demandes dont les personnes concernées le saisissent en vue d’exercer leurs droits.
Aide et assistance concernant la sécurité du traitement
Le prestataire est tenu d’aider et d’assister le client dans le cadre de la mise en œuvre des mesures techniques et organisationnelles appropriées de nature à satisfaire aux obligations de protection et de sécurisation des traitements.
Afin d’apporter une aide appropriée au client, le prestataire doit s’appuyer sur l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques pour les personnes concernées.
Le client reste le seul responsable de la mise en œuvre des propositions formulées par le prestataire.
Le prestataire informe sans délai le client en cas d’identification d’une vulnérabilité technique ou d’une défaillance organisationnelle.
Aide et assistance concernant la notification de violations de données
Le prestataire s’engage à assister et aider le client en cas de violation de données afin que ce dernier soit en capacité de communiquer l’ensemble des informations demandées par la RGPD dans le délai imparti, qu’il s’agisse de la notification à la CNIL ou aux personnes concernées.
Pour ce faire, le prestataire s’engage à fournir l’ensemble des informations qu’il dispose et toutes les informations demandées par la RGPD concernant le traitement et la violation de données.
En outre, le prestataire s’engage à apporter toute aide ou assistance technique dont pourrait bénéficier le client afin de limiter les effets de la violation de données ou d’interrompre ladite violation.
Aide et assistance concernant l’analyse d’impact
Le prestataire informe le client dès lors qu’il a connaissance d’un type de traitement qui, compte tenu de sa nature, du contexte et des finalités, est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques.
Le prestataire s’engage à aider et assister le client dans la mise en œuvre de l’analyse d’impact en fournissant, à première demande, l’ensemble des informations dont le client a besoin pour réaliser cette analyse d’impact.
Le prestataire s’engage à aider et assister le client lorsque ce dernier décide de consulter la CNIL à la suite d’une analyse d’impact ayant indiqué que le traitement présenterait un risque élevé si le traitement ne fait pas l’objet d’une modification.
Le prestataire s’engage à fournir toutes les informations qu’il dispose ainsi qu’une aide et assistance technique afin de proposer des mesures d’atténuation des risques pour les droits et libertés des personnes concernées.
[10] Le client et le prestataire sont tenus de coopérer avec la CNIL, à la demande de celle-ci.
Dans le cas où le contrôle mené auprès du prestataire concernerait les traitements mis en œuvre au nom et pour le compte du client, le prestataire s’engage à en informer immédiatement le client et à ne prendre aucun engagement pour lui.
En cas de contrôle de la CNIL auprès du client portant notamment sur les prestations délivrées par le prestataire, ce dernier s’engage à coopérer avec le client et à lui fournir toute information dont la CNIL pourrait avoir besoin.
Dans le cas où le contrôle mené ne concernerait que les traitements mis en œuvre par le prestataire en tant que responsable du traitement, ce dernier fait son affaire du contrôle et s’interdit de communiquer ou de faire état des données à caractère personnel du client.
14. Sort des données à la fin du contrat
À l’expiration du contrat et au plus tard le dernier jour du contrat, le prestataire a pour obligation de supprimer toutes les données à caractère personnel et toutes copies existantes.
Toutefois, conformément aux stipulations du contrat conclu avec les clients de Movinmotion, les données de paie dématérialisée des salariés de ces clients seront conservées pendant une durée de 50 ans afin de satisfaire à l’obligation de conservation de l’article D. 3243-8 du Code du travail.
Concomitamment à la destruction des données et des copies, le prestataire adresse au client une attestation de destruction de toutes les copies existantes des données du client.
Le client peut réaliser une fois par an un audit sous forme de questionnaire ou d’une demande information sur le niveau de conformité RGPD du prestataire.
Aux termes de l’article 82 du RGPD, le prestataire est tenu pour responsable du dommage causé par le traitement dès lors :
qu'il n'a pas respecté les obligations prévues dans la RGPD qui incombent spécifiquement aux sous-traitants ou ;
qu’il a agi en-dehors des instructions licites du client ou ;
qu’il a agi contrairement aux instructions licites du client.
17. Réparation du préjudice
Lorsque l’une des parties est individuellement responsable d’un dommage du fait du traitement, elle est individuellement tenue responsable de ce dommage dans sa totalité afin de garantir aux personnes concernées une réparation effective.
Lorsque les parties sont conjointement responsables d'un dommage causé par le traitement, les parties sont également conjointement responsables du dommage dans sa totalité afin de garantir à la personne concernée une réparation effective.
Aucune limitation de responsabilité ni aucun plafond de réparation ne sont applicables au titre de la réparation du préjudice des personnes concernées.
En cas de condamnation du client à une amende administrative ou à toute autre décision lui créant préjudice, le prestataire s’engage, si sa responsabilité est prouvée par le client, à le dédommager à hauteur des condamnations ou préjudices exposés.
18. Révision
Toute évolution de la jurisprudence, décision de la CNIL ou toute nouvelle règlementation en matière de protection des données à caractère personnel, qui modifieraient l’une des dispositions de la présente annexe implique nécessairement sa révision.
La révision doit emporter l’accord des deux parties.
[1] Article 28 § 3 du RGPD
[2] Article 28 § 2 du RGPD
[3] Article 28 § 3 du RGPD
[4] Article 23 § 3 a) du RGPD
[5] Article 28 § 3 a) du RGPD
[6] Article 23 § 3 a) du RGPD
[7] Article 23 § 3 b) du RGPD
[8] Article 28 § 3 c) du RGPD
[9] Article 28 § 3 e) f) h) du RGPD
[10] Article 31 du RGPD
Détails des options accessibles par abonnements mensuels (BASIC / PREMIUM)