Accord de traitement des données

Parties 

(1) Le Client, ci-après dénommé le « Responsable du Traitement » ; 

et 

(2) Tandem Health AB, société constituée et immatriculée en Suède sous le numéro 559444-6857, dont le siège social est situé Kungsgatan 14, 111 35 Stockholm, Suède, ci-après dénommé « Tandem » ou le « Sous-Traitant », 

Les deux parties, ci-après dénommées individuellement une « Partie » et collectivement les « Parties ». 

1. Contexte et objet 

1.1 Le présent accord de traitement des données (le « DPA ») fait partie du contrat client conclu entre le Responsable du Traitement et le Sous-Traitant (le « Contrat Client »), lequel est régi par et soumis aux conditions de service du Sous-Traitant (les « Conditions »). Le présent DPA doit être lu et interprété dans ce contexte. Il régit le traitement de Données à Caractère Personnel effectué par le Sous-Traitant pour le compte du Responsable du Traitement dans le cadre des services fournis au titre du Contrat Client et des Conditions, ainsi que le niveau de protection des données à maintenir. 

1.2 Le présent DPA a pour objet d'assurer les droits et libertés des personnes concernées lorsque le Responsable du Traitement recourt à un Sous-Traitant pour le traitement de Données à Caractère Personnel, et de satisfaire aux exigences de l'article 28, paragraphe 3, du règlement (UE) 2016/679 (règlement général sur la protection des données, le « RGPD ») ou, lorsque le Responsable du Traitement y est soumis, du règlement général britannique sur la protection des données (le « RGPD britannique »), de la loi fédérale suisse sur la protection des données et de l'ordonnance sur la protection des données qui y est associée, ou des lois cantonales suisses sur la protection des données. 

1.3 Font partie intégrante du DPA : 

(A) la Description du Traitement 

(B) les Mesures Techniques et Organisationnelles 

(C) les Sous-Traitants Ultérieurs 

1.4 En cas de contradiction entre une stipulation du présent DPA et celle présentes aux Conditions, les stipulations du présent DPA prévaudront. Les termes commençant par une majuscule et non définis aux présentes (le cas échéant) ont le sens qui leur est donné dans les Conditions. 

2. Définitions 

Les définitions suivantes s'appliquent dans l'ensemble du présent DPA, qu'elles soient employées au singulier ou au pluriel. 

Responsable du Traitement : La personne physique ou morale, l'autorité publique, le service ou tout autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement de Données à Caractère Personnel. 

Législation sur la Protection des Données : a le sens qui lui est donné dans les Conditions. 

Personne Concernée : Une personne physique dont les Données à Caractère Personnel font l'objet d'un Traitement (y compris les Utilisateurs, les Participants et les Participants Associés, tels que définis plus avant dans la Description du Traitement). 

DPA : Le présent accord de traitement des données, y compris ses annexes (telles qu'incluses ou incorporées par référence). 

RGPD : Le RGPD ou le RGPD britannique (tel que défini dans les Conditions), selon celui qui est applicable au Responsable du Traitement. 

Instructions : Les instructions documentées émises par le Responsable du Traitement précisant l'objet, la durée, la nature et la finalité du traitement, les types de Données à Caractère Personnel et les catégories de personnes concernées, telles qu'énoncées dans le DPA et dans les Conditions. 

Sous-traitant : La personne physique ou morale, l'autorité publique, le service ou tout autre organisme qui Traite des Données à Caractère Personnel pour le compte du Responsable du Traitement. 

Sous-Traitant Ultérieur : Tout sous-traitant auquel le Sous-Traitant recourt aux fins du traitement des Données à Caractère Personnel au titre des présentes. 

Données à Caractère Personnel : Toute information relative à une personne physique identifiée ou identifiable. 

Violation de Données à Caractère Personnel : Un incident de sécurité entraînant la destruction accidentelle ou illicite, la perte, l'altération, la divulgation non autorisée de Données à Caractère Personnel transmises, conservées ou Traitées d'une autre manière, ou l'accès non autorisé à de telles données. 

Pays Tiers : Un État qui n'est pas membre de l'Union européenne (« UE ») ni de l'Espace économique européen (« EEE »). 

3. Traitement des Données à Caractère Personnel 

3.1 Le Responsable du Traitement charge le Sous-Traitant d'effectuer des traitements pour son compte, tels qu'énoncés dans le présent DPA et dans les Conditions. Le Responsable du Traitement émettra à l'attention du Sous-Traitant des Instructions documentées telles qu'énoncées dans la Description du Traitement ; les stipulations des Conditions relatives à la fourniture du service font, par référence, partie intégrante des Instructions. Le Sous-Traitant ne traitera les Données à Caractère Personnel pour le compte du Responsable du Traitement que conformément à ces Instructions documentées. 

3.2 Si le Sous-Traitant estime qu'une Instruction contrevient à la Législation sur la Protection des Données, il en informera sans délai le Responsable du Traitement. Le Sous-Traitant peut suspendre le traitement fondé sur l'Instruction litigieuse jusqu'à ce que le Responsable du Traitement ait confirmé par écrit la licéité de celle-ci. Le Sous-Traitant ne saurait être tenu responsable d'un retard résultant d'une telle suspension, ni des traitements effectués conformément aux Instructions documentées du Responsable du Traitement, sous réserve qu'il ait informé ce dernier lorsque ces Instructions apparaissaient contraires à la Législation sur la Protection des Données applicable. 

3.3 Le DPA (y compris ses annexes) et les Conditions constituent ensemble l'intégralité des Instructions du Responsable du Traitement adressées au Sous-Traitant aux fins du traitement de Données à Caractère Personnel au titre des Conditions. 

4. Obligations du Responsable du Traitement 

4.1 Le Responsable du Traitement assume l'entière responsabilité de s'assurer de l'existence d'une base légale appropriée, d'une condition au titre de l'article 9 du RGPD le cas échéant (ou une exigence équivalente au titre de la Législation sur la Protection des Données), ainsi que de toute autre autorisation requise pour l'ensemble des traitements couverts par le présent DPA — y compris toute base légale sanitaire ou médico-sociale, toute autorisation, tout agrément, toute information, toute condition ou tout consentement lorsque le consentement est légalement requis. Le Responsable du Traitement est responsable de fournir des Instructions licites, claires et suffisantes pour permettre au Sous-Traitant d'exécuter ses obligations. 

4.2 Le Responsable du Traitement informera sans délai le Sous-Traitant par écrit de toute modification du traitement affectant les obligations de ce dernier au titre de la Législation sur la Protection des Données. Toute modification de cette nature sera traitée comme une Instruction modifiée et ne prendra effet qu'après accord écrit des deux parties. 

4.3 Le Responsable du Traitement est seul responsable de l'exécution de ses propres obligations au titre de la Législation sur la Protection des Données, y compris l'information des personnes concernées, le traitement des demandes des personnes concernées et la tenue de son propre registre des activités de traitement. Chaque partie est responsable de sa propre conformité à la Législation sur la Protection des Données applicable. 

5. Obligations du Sous-Traitant 

5.1 Le Sous-Traitant ne traitera les Données à Caractère Personnel du Responsable du Traitement que conformément au présent DPA et aux Instructions du Responsable du Traitement, et se conformera à la Législation sur la Protection des Données applicable s'agissant de ses obligations en qualité de sous-traitant au titre du DPA. 

5.2 Le Sous-Traitant mettra en œuvre des mesures techniques et organisationnelles raisonnables et appropriées, dans la mesure où elles sont raisonnablement disponibles et relèvent de son contrôle, afin de protéger les Données à Caractère Personnel contre la destruction accidentelle ou illicite, la perte, l'altération, la divulgation non autorisée ou l'accès non autorisé, en vue de garantir un niveau de sécurité adapté au risque. 

5.3 Sur demande écrite raisonnable du Responsable du Traitement, et compte tenu de la nature du traitement et des informations dont il dispose, le Sous-Traitant apportera au Responsable du Traitement une assistance raisonnable aux fins du respect de ses obligations au titre des articles 32 à 36 du RGPD de l'UE ou du RGPD britannique, selon celui qui est applicable, ainsi qu'aux fins de répondre aux demandes des personnes concernées formulées au titre du chapitre III de ces mêmes textes. Cette assistance se limitera aux informations et mesures raisonnablement disponibles pour le Sous-Traitant et n'imposera pas à celui-ci de divulguer le code source, les poids des modèles, des jeux de données protégés, des secrets d'affaires, une architecture sensible du point de vue de la sécurité, des informations confidentielles relatives à d'autres clients ou d'autres informations confidentielles de tiers, sous réserve que le Sous-Traitant mette à disposition des informations alternatives suffisantes pour démontrer sa conformité au présent DPA. Le Responsable du Traitement remboursera au Sous-Traitant tous les coûts raisonnables résultant d'une assistance excédant le périmètre ordinaire des services au titre du présent DPA. 

6. Sécurité 

6.1 Le Sous-Traitant veillera de manière continue à ce que ses mesures de sécurité assurent un niveau approprié de confidentialité, d'intégrité, de disponibilité et de résilience, adapté au risque conformément à la Législation sur la Protection des Données, et testera et évaluera l'efficacité de ces mesures selon une périodicité raisonnable. Les mesures techniques et organisationnelles du Sous-Traitant sont décrites plus avant ici. 

6.2 L'accès aux Données à Caractère Personnel sera limité aux membres du personnel qui en ont besoin pour l'exécution de leurs missions au titre du présent DPA. 

6.3 Toute exigence de sécurité nouvelle ou modifiée demandée par le Responsable du Traitement après la signature du présent DPA sera traitée comme une Instruction modifiée et devra faire l'objet d'un accord écrit entre les parties avant de prendre effet. 

7. Confidentialité 

7.1 Le Sous-Traitant et l'ensemble du personnel agissant sous son autorité observeront la confidentialité s'agissant de toutes les Données à Caractère Personnel Traitées au titre du présent DPA et n'utiliseront ni ne divulgueront ces données à d'autres fins que celles énoncées dans le présent DPA ou dans les Instructions, sauf consentement écrit préalable du Responsable du Traitement ou lorsque la divulgation est requise par la législation applicable (y compris le droit de ses États membres) ou par des décisions d'autorités. 

7.2 Le Sous-Traitant veillera à ce que l'ensemble des salariés, consultants et autres personnes agissant sous son autorité qui traitent des Données à Caractère Personnel soient tenus à des obligations de confidentialité appropriées. 

7.3 Le Sous-Traitant notifiera par écrit au Responsable du Traitement, dans les meilleurs délais, toute prise de contact d'une autorité de contrôle se rapportant à un traitement effectué au titre du présent DPA. Le Sous-Traitant ne représentera pas le Responsable du Traitement ni n'agira pour son compte devant une autorité de contrôle sans autorisation écrite préalable. 

7.4 Lorsqu'une personne concernée, une autorité de contrôle ou un tiers demande au Sous-Traitant des informations relatives à un traitement effectué au titre du présent DPA, le Sous-Traitant renverra cette demande au Responsable du Traitement. 

8. Audit et supervision 

8.1 Sur préavis écrit raisonnable (d'au moins trente (30) jours, sauf en cas de manquement substantiel vérifié ou d'exigence réglementaire substantielle, auquel cas le préavis accordé au Sous-Traitant sera le plus court raisonnablement possible), le Sous-Traitant mettra à la disposition du Responsable du Traitement les informations raisonnablement nécessaires pour démontrer sa conformité au présent DPA, sous réserve que le périmètre de ces informations demeure proportionné et directement pertinent au regard des obligations du Sous-Traitant au titre du DPA et des Conditions. Le Sous-Traitant peut satisfaire à cette obligation en fournissant des rapports d'audit existants, des certifications (par exemple ISO 27001) ou une documentation équivalente. 

8.2 Lorsque le Responsable du Traitement exige un audit sur site, cet audit sera réalisé à ses frais (y compris les coûts raisonnables engagés par le Sous-Traitant au titre de cet audit, qui lui seront remboursés), pendant les heures ouvrées habituelles, selon des modalités limitant au minimum la perturbation des activités du Sous-Traitant, et par des auditeurs tenus à la confidentialité. Le Responsable du Traitement veillera à ce qu'aucun concurrent du Sous-Traitant ne participe à la réalisation d'un tel audit. À titre d'alternative aux audits sur site, le Sous-Traitant peut proposer des rapports d'audit ou des certifications de tiers indépendants. Les audits seront limités aux informations strictement nécessaires à la vérification de la conformité au présent DPA et n'imposeront pas la divulgation du code source, des poids des modèles, de secrets d'affaires, d'une architecture sensible du point de vue de la sécurité, d'informations confidentielles d'autres clients, d'informations confidentielles de tiers ou de systèmes utilisés par d'autres clients, sauf dans la mesure strictement nécessaire à la vérification de la conformité au présent DPA et sous réserve de contrôles appropriés de confidentialité, d'accès et de sécurité. Le Sous-Traitant peut fournir ces informations sous forme de synthèses, de rapports de tiers, de certifications ou de sessions de revue destinées au responsable du traitement. 

8.3 Le Sous-Traitant autorisera l'accès des autorités de contrôle ou d'autres autorités disposant d'un droit d'accès légal, dans la mesure requise par la législation applicable, y compris lorsque cet accès entrerait par ailleurs en contradiction avec les stipulations du présent DPA. Lorsque le Sous-Traitant reçoit d'une autorité publique une demande juridiquement contraignante de divulgation de Données à Caractère Personnel, il en informera le Responsable du Traitement avant d'y répondre, dans la mesure où la loi le permet. 

8.4 Le Responsable du Traitement, ou tout auditeur qu'il mandate, peut réaliser un (1) audit par année civile. Des audits supplémentaires peuvent être réalisés lorsque la Législation sur la Protection des Données, une autorité de contrôle l'exige, ou à la suite d'une Violation de Données à Caractère Personnel ou d'un soupçon substantiel de non-conformité, sous réserve que leur périmètre demeure proportionné et directement pertinent au regard des obligations du Sous-Traitant au titre du présent DPA. 

9. Rectification et effacement 

9.1 Sur demande écrite du Responsable du Traitement, le Sous-Traitant rectifiera ou effacera les Données à Caractère Personnel dans un délai de trente (30) jours calendaires à compter de la réception de la demande et des informations nécessaires à son exécution. Le Responsable du Traitement remboursera au Sous-Traitant les coûts raisonnables résultant des demandes de rectification ou d'effacement excédant le périmètre ordinaire des services. Le Sous-Traitant peut conserver des données à caractère personnel dans la mesure requise par la législation applicable, auquel cas il en informera le Responsable du Traitement et veillera à ce que ces données conservées ne soient traitées qu'aux fins requises par la législation applicable. 

10. Violations de Données à Caractère Personnel 

10.1 Le Sous-Traitant notifiera au Responsable du Traitement, dans les meilleurs délais et en tout état de cause dans un délai de quarante-huit (48) heures après en avoir pris connaissance, toute Violation de Données à Caractère Personnel confirmée affectant des Données à Caractère Personnel traitées au titre du présent DPA. Aux fins de la présente clause, une violation est réputée confirmée lorsque le Sous-Traitant a vérifié la survenance d'un incident affectant des Données à Caractère Personnel. 

10.2 Le Sous-Traitant prendra les mesures raisonnables pour enquêter sur toute Violation de Données à Caractère Personnel, la circonscrire et y remédier, et conservera la capacité de rétablir la disponibilité des Données à Caractère Personnel et l'accès à celles-ci dans un délai raisonnable à la suite d'un incident physique ou technique, conformément à l'article 32, paragraphe 1, point c), du RGPD. 

10.3 Le Sous-Traitant communiquera au Responsable du Traitement les informations suivantes, dans la mesure où elles sont disponibles, soit lors de la notification initiale, soit ultérieurement dans les meilleurs délais : 

• la nature de la violation, y compris, dans la mesure du possible, les catégories et le nombre approximatif de personnes concernées et d'enregistrements de Données à Caractère Personnel affectés ; 

• les conséquences probables de la violation ; et 

• les mesures prises ou envisagées pour remédier à la violation et en atténuer les effets. 

10.4 Lorsque l'ensemble des informations n'est pas disponible au moment de la notification initiale, le Sous-Traitant peut les communiquer par étapes, à mesure qu'elles deviennent disponibles. 

11. Sous-Traitants Ultérieurs 

11.1 Le Responsable du Traitement donne au Sous-Traitant une autorisation écrite générale de recourir à des sous-traitants ultérieurs. Une liste à jour des sous-traitants ultérieurs est tenue et disponible ici. 

11.2 Le Sous-Traitant notifiera par écrit au Responsable du Traitement tout projet d'ajout ou de remplacement d'un sous-traitant ultérieur au moins quatorze (14) jours avant la prise d'effet de la modification, en identifiant le sous-traitant ultérieur et la nature du traitement. À défaut d'opposition formulée dans ce délai de quatorze (14) jours, la modification sera réputée acceptée. Lorsque le Responsable du Traitement formule une opposition raisonnable, les parties en discuteront de bonne foi. Si aucun sous-traitant ultérieur alternatif raisonnable sur le plan commercial n'est disponible et que les parties ne parviennent pas à un accord, le recours du Responsable du Traitement consistera à cesser d'utiliser la partie concernée des services à laquelle se rapporte le sous-traitant ultérieur contesté, plutôt qu'à faire obstacle à l'engagement de ce sous-traitant ultérieur pour l'ensemble des clients au niveau mondial. 

11.3 Le Sous-Traitant imposera à chaque Sous-Traitant Ultérieur des obligations de protection des données au moins aussi protectrices que celles prévues par le présent DPA, et le Sous-Traitant est responsable envers le Responsable du Traitement des obligations incombant aux sous-traitants ultérieurs. 

12. Transferts internationaux 

12.1 Le Sous-Traitant veillera par défaut à ce que les Données à Caractère Personnel soient Traitées au sein de l'UE/EEE. Le Responsable du Traitement donne une autorisation générale pour les transferts vers des Pays Tiers, sous réserve de la mise en œuvre de garanties appropriées au titre du chapitre V du RGPD. Ces garanties appropriées peuvent notamment consister, pour le Sous-Traitant, à conclure avec un sous-traitant ultérieur un contrat fondé sur les clauses contractuelles types de la Commission européenne relatives au transfert de Données à Caractère Personnel vers un pays situé hors de l'UE/EEE, assorti de mesures supplémentaires appropriées. Un transfert de données à caractère personnel vers un pays situé hors de l'UE/EEE peut également être fondé sur une décision d'adéquation valide. 

13. Responsabilité 

13.1 Dans la mesure permise par la législation applicable, la responsabilité totale et cumulée de chaque partie envers l'autre, découlant du présent DPA ou s'y rapportant (qu'elle soit de nature contractuelle, délictuelle ou autre), est soumise aux limitations et exclusions de responsabilité énoncées dans les Conditions et incluse dans celles-ci. 

13.2 Si l'une des parties prend connaissance de circonstances susceptibles d'engendrer un préjudice ou une responsabilité pour l'autre partie, elle en informera sans délai cette dernière et coopérera de bonne foi afin de prévenir ou de limiter ce préjudice. 

13.3 Les clauses 13.1 et 13.2 du présent DPA prévaudront sur toute stipulation contraire des Conditions relative à la répartition de la responsabilité en lien avec le traitement. 

14. Modifications 

14.1 Tout complément ou toute modification apporté au présent DPA doit, pour être valable, faire l'objet d'un accord écrit des deux parties. 

14.2 Nonobstant la clause 14.1, le Sous-Traitant peut modifier le présent DPA ou une partie de celui-ci, moyennant un préavis écrit de trente (30) jours adressé au Responsable du Traitement, lorsque cette modification est requise (i) pour que les parties demeurent conformes à la Législation sur la Protection des Données, ou (ii) pour refléter des évolutions opérationnelles ou liées à la sécurité des services ou des mesures techniques et organisationnelles du Sous-Traitant, sous réserve qu'une telle modification ne réduise pas de manière substantielle le niveau de protection accordé aux Données à Caractère Personnel au titre du présent DPA. 

15. Durée et résiliation 

15.1 Le présent DPA demeure en vigueur aussi longtemps que le Sous-Traitant traite des Données à Caractère Personnel pour le compte du Responsable du Traitement au titre des Conditions. À la cessation du DPA, pour quelque motif que ce soit, le Sous-Traitant devra, sur demande écrite du Responsable du Traitement, restituer l'ensemble des Données à Caractère Personnel dans un format convenu d'un commun accord ou les supprimer, au choix du Responsable du Traitement. Sauf stipulation contraire dans les Instructions, le Sous-Traitant supprimera de manière sécurisée l'ensemble des Données à Caractère Personnel Traitées au titre du présent DPA dans un délai de trente (30) jours calendaires suivant la cessation, sous réserve qu'il ait préalablement restitué, si nécessaire, les Données à Caractère Personnel demandées par le Responsable du Traitement. Le Sous-Traitant peut conserver des Données à Caractère Personnel dans la mesure requise par la législation applicable, auquel cas il en informera le Responsable du Traitement (sauf si la législation applicable le lui interdit). La suppression des Données à Caractère Personnel des systèmes de sauvegarde peut intervenir conformément aux cycles habituels de suppression des sauvegardes du Sous-Traitant. Toute Donnée à Caractère Personnel conservée dans les sauvegardes dans l'attente d'une suppression planifiée sera protégée contre tout traitement ultérieur, sauf dans la mesure nécessaire à des fins de restauration ou de continuité d'activité. 

15.2 Le présent DPA prendra fin automatiquement à la résiliation ou à l'expiration des Conditions, sous réserve que ses stipulations continuent de s'appliquer à toutes les Données à Caractère Personnel que le Sous-Traitant continue de traiter après cette résiliation ou expiration, jusqu'à ce que ces Données à Caractère Personnel aient été restituées ou supprimées conformément à la clause 15.1 (ou, lorsqu'elles sont conservées en application de la législation applicable, pendant toute la durée de cette conservation). 

16. Droit applicable et règlement des litiges 

16.1 Le présent DPA est régi par le droit français et interprétées conformément à celui-ci, à l'exclusion de ses règles de conflit de lois. 

16.2 Tout litige portant sur l'interprétation ou l'application du DPA sera tranché conformément aux stipulations relatives au règlement des litiges figurant dans les Conditions. 

16.3 Le présent Accord de traitement des données peut être disponible dans des langues autres que l'anglais. En cas d'incohérence ou de conflit entre la version anglaise du présent Accord de traitement des données et toute version dans une autre langue, la version anglaise la plus récente prévaudra. Toute procédure relative à un litige au titre du présent Accord de traitement des données sera conduite dans la langue spécifiée dans les Conditions.