Avenant relatif au traitement des données

Le présent Avenant relatif au traitement des données (« DPA ») est intégré au Contrat conclu entre UAB Ocoya (« Ocoya ») et l’entité cliente qui est partie au Contrat en tant que Membre (le « Client »), et est soumis aux conditions générales de celui-ci. Tous les termes commençant par une majuscule qui ne sont pas définis dans le présent DPA ont le sens qui leur est attribué dans le Contrat. Pour éviter toute ambiguïté, toutes les références au « Contrat » incluent le présent DPA (y compris les CCT (le cas échéant), telles que définies aux présentes).

1. Définitions

« Affilié » désigne une entité qui, directement ou indirectement, Contrôle une entité, est Contrôlée par celle-ci ou est placée sous un Contrôle commun avec celle-ci.

« Contrat » désigne nos Conditions d’utilisation, ou tout autre accord écrit ou électronique, qui régissent la fourniture du Service au Client, tels que ces conditions ou cet accord peuvent être mis à jour de temps à autre.

« Contrôle » désigne une participation au capital, aux droits de vote ou un intérêt similaire représentant cinquante pour cent (50%) ou plus de la totalité des intérêts alors en circulation de l’entité concernée. Le terme « Contrôlé » s’interprète en conséquence.

« Données du Client » désigne toutes les données à caractère personnel que nous traitons pour le compte du Client par l’intermédiaire du Service, telles que plus particulièrement décrites dans le présent DPA.

« Lois sur la protection des données » désigne l’ensemble des lois et réglementations en matière de protection des données applicables au traitement des Données du Client par une partie en vertu du Contrat, y compris, le cas échéant, les Lois européennes sur la protection des données et les Lois non européennes sur la protection des données.

« Lois européennes sur la protection des données » désigne l’ensemble des lois et réglementations en matière de protection des données applicables en Europe, y compris (i) le Règlement (UE) 2016/679 du Parlement européen et du Conseil relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données) (« RGPD ») ; (ii) la Directive 2002/58/CE concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ; (iii) les mesures nationales de transposition ou de mise en œuvre applicables de (i) et (ii) ; (iv) le RGPD tel qu’il fait partie du droit du Royaume-Uni en vertu de l’article 3 du UK European Union (Withdrawal) Act 2018 et le UK Data Protection Act 2018 (ensemble, les « Lois britanniques sur la protection des données ») ; et (v) la loi fédérale suisse sur la protection des données du 19 juin 1992 et son ordonnance (« LPD suisse »).

« Europe » désigne, aux fins du présent DPA, l’Espace économique européen et ses États membres (« EEE »), la Suisse et le Royaume-Uni (« R.-U. »).

« Lois non européennes sur la protection des données » désigne le California Consumer Privacy Act (« CCPA ») ; la Loi canadienne sur la protection des renseignements personnels et les documents électroniques (« LPRPDE » ou « PIPEDA ») ; la Loi générale brésilienne sur la protection des données (« LGPD »), loi fédérale n° 13,709/2018 ; et le Privacy Act 1988 (Cth) australien, tel que modifié (« Loi australienne sur la protection de la vie privée »).

« CCT » désigne (i) les clauses contractuelles types entre responsables du traitement et sous-traitants adoptées par la Commission européenne dans sa décision d’exécution (UE) 2021/91 du 4 juin 2021 ; ou (ii) les clauses contractuelles types entre sous-traitants adoptées par la Commission européenne dans sa décision d’exécution (UE) 2021/91 du 4 juin 2021 ; selon le cas, conformément à la Section 6.3.

« Incident de sécurité » désigne toute violation non autorisée ou illicite de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte ou l’altération des Données du Client, ou la divulgation non autorisée de Données du Client ou l’accès non autorisé à celles-ci, sur des systèmes gérés ou autrement contrôlés par Ocoya.

« Données sensibles » désigne (a) le numéro de sécurité sociale, le numéro fiscal, le numéro de passeport, le numéro de permis de conduire ou tout identifiant similaire (ou toute partie de ceux-ci) ; (b) le numéro de carte de crédit ou de débit (à l’exception de la version tronquée (quatre derniers chiffres) d’une carte de crédit ou de débit) ; (c) les informations relatives à l’emploi, financières, de crédit, génétiques, biométriques ou de santé ; (d) l’origine raciale ou ethnique, les opinions politiques ou l’appartenance religieuse, l’appartenance syndicale, les informations relatives à la vie sexuelle ou à l’orientation sexuelle, ou le casier judiciaire ; (e) les mots de passe de compte ; ou (f) toute autre information relevant de la définition des « catégories particulières de données » en vertu des Lois sur la protection des données applicables.

« Sous-traitant ultérieur » désigne tout sous-traitant auquel Ocoya ou ses Affiliés font appel pour les aider à exécuter leurs obligations relatives à la fourniture du Service en vertu du Contrat ou du présent DPA. Les Sous-traitants ultérieurs peuvent inclure des tiers ou des Affiliés d’Ocoya, mais excluent les employés, prestataires ou consultants d’Ocoya.

« Addendum britannique » désigne l’International Data Transfer Addendum (version B1.0) publié par l’Information Commissioner’s Office en vertu de l’article 119(A) du UK Data Protection Act 2018, tel que mis à jour ou modifié de temps à autre.

Les termes « données à caractère personnel », « responsable du traitement », « personne concernée », « sous-traitant » et « traitement » ont le sens qui leur est attribué par les Lois sur la protection des données applicables ou, à défaut de définition dans celles-ci, par le RGPD, et les termes « traiter », « traite » et « traité », en ce qui concerne les Données du Client, s’interprètent en conséquence.

2. Rôles et responsabilités

Rôles des parties — Lorsque les Lois européennes sur la protection des données ou la LGPD s’appliquent au traitement des Données du Client par l’une ou l’autre des parties, les parties reconnaissent et conviennent qu’en ce qui concerne le traitement des Données du Client, Ocoya est un sous-traitant agissant pour le compte du Client (que celui-ci soit lui-même responsable du traitement ou sous-traitant). Pour éviter toute ambiguïté, le présent DPA ne s’applique pas aux cas dans lesquels Ocoya est le responsable du traitement (au sens des Lois européennes sur la protection des données), sauf disposition contraire de l’Annexe C (Conditions propres à certaines juridictions) du présent DPA.

Limitation des finalités — Ocoya traite les Données du Client, telles que plus amplement décrites à l’Annexe A (Détails du traitement des données) du présent DPA, uniquement conformément aux instructions licites documentées du Client énoncées dans le présent DPA, dans la mesure nécessaire pour se conformer au droit applicable, ou tel qu’autrement convenu par écrit (les « Finalités autorisées »). Les parties conviennent que le Contrat, y compris le présent DPA, ainsi que la configuration ou l’utilisation par le Client des paramètres, fonctionnalités ou options du Service (que le Client peut être en mesure de modifier de temps à autre), constituent les instructions complètes et définitives du Client à l’égard d’Ocoya concernant le traitement des Données du Client (y compris aux fins des CCT), et que tout traitement en dehors du champ de ces instructions (le cas échéant) nécessite un accord écrit préalable entre les parties.

Données interdites — Le Client ne fournira pas (ni ne fera fournir) de Données sensibles à Ocoya aux fins d’un traitement en vertu du Contrat, et Ocoya n’assumera aucune responsabilité de quelque nature que ce soit au titre des Données sensibles, que ce soit dans le cadre d’un Incident de sécurité ou autrement. Pour éviter toute ambiguïté, le présent DPA ne s’applique pas aux Données sensibles.

Conformité du Client — Le Client déclare et garantit (i) qu’il a respecté, et continuera de respecter, l’ensemble des lois applicables, y compris les Lois sur la protection des données, en ce qui concerne son traitement des Données du Client et toute instruction de traitement qu’il donne à Ocoya ; et (ii) qu’il a fourni, et continuera de fournir, toutes les informations requises et qu’il a obtenu, et continuera d’obtenir, l’ensemble des consentements et droits nécessaires en vertu des Lois sur la protection des données pour permettre à Ocoya de traiter les Données du Client aux fins décrites dans le Contrat. Le Client est seul responsable de l’exactitude, de la qualité et de la licéité des Données du Client et des moyens par lesquels le Client a obtenu les Données du Client. Sans préjudice de la portée générale de ce qui précède, le Client convient qu’il lui incombe de respecter l’ensemble des lois (y compris les Lois sur la protection des données) applicables à toute Campagne (telle que définie dans le Contrat) ou à tout autre contenu créé, envoyé ou géré au moyen du Service.

Licéité des instructions du Client — Le Client veille à ce que le traitement des Données du Client par Ocoya conformément aux instructions du Client n’amène pas Ocoya à enfreindre une loi, une réglementation ou une règle applicable, y compris, sans s’y limiter, les Lois sur la protection des données. Ocoya informe sans délai le Client par écrit, sauf si les Lois européennes sur la protection des données le lui interdisent, s’il a connaissance ou estime qu’une instruction de traitement des données du Client enfreint les Lois européennes sur la protection des données. Lorsque le Client agit en tant que sous-traitant pour le compte d’un responsable du traitement tiers (ou d’un autre intermédiaire du responsable du traitement final), le Client garantit que ses instructions de traitement telles qu’énoncées dans le Contrat et le présent DPA, y compris ses autorisations données à Ocoya pour la désignation de Sous-traitants ultérieurs conformément au présent DPA, ont été autorisées par le responsable du traitement concerné. Le Client est l’unique point de contact d’Ocoya, et Ocoya n’est pas tenu d’interagir directement avec un responsable du traitement tiers (y compris pour lui adresser des notifications ou solliciter son autorisation), si ce n’est dans le cadre de la fourniture habituelle du Service dans la mesure requise par le Contrat. Il incombe au Client de transmettre, le cas échéant, au responsable du traitement concerné toute notification reçue en vertu du présent DPA.

3. Sous-traitance ultérieure

Sous-traitants ultérieurs autorisés — Le Client convient qu’Ocoya peut faire appel à des Sous-traitants ultérieurs pour traiter les Données du Client pour le compte du Client. Les Sous-traitants ultérieurs auxquels Ocoya fait actuellement appel et autorisés par Ocoya ; Ocoya informe le Client de tout ajout ou retrait de Sous-traitants ultérieurs au moins 10 jours avant tout changement de ce type, si le Client a choisi de recevoir de telles notifications.

Obligations des Sous-traitants ultérieurs — Ocoya s’engage à : (i) conclure avec chaque Sous-traitant ultérieur un accord écrit contenant des obligations en matière de protection des données offrant au moins le même niveau de protection des Données du Client que celles prévues par le présent DPA, dans la mesure où elles sont applicables à la nature du service fourni par ce Sous-traitant ultérieur ; et (ii) demeurer responsable du respect par ce Sous-traitant ultérieur des obligations du présent DPA et de tout acte ou omission de ce Sous-traitant ultérieur qui amènerait Ocoya à manquer à l’une de ses obligations au titre du présent DPA. Le Client reconnaît et convient que, le cas échéant, Ocoya s’acquitte de ses obligations au titre de la Clause 9 des Clauses de responsable du traitement à sous-traitant de 2021 et des Clauses de sous-traitant à sous-traitant de 2021 (selon le cas) en se conformant à la présente Section 3, et qu’Ocoya peut être empêché de divulguer au Client les accords conclus avec les Sous-traitants ultérieurs en raison de restrictions de confidentialité, mais qu’Ocoya, sur demande, déploiera des efforts raisonnables pour fournir au Client toutes les informations pertinentes qu’il est raisonnablement en mesure de fournir concernant les accords conclus avec les Sous-traitants ultérieurs.

4. Sécurité

Mesures de sécurité — Ocoya met en œuvre et maintient des mesures de sécurité techniques et organisationnelles appropriées, conçues pour protéger les Données du Client contre les Incidents de sécurité et pour préserver la sécurité et la confidentialité des Données du Client, conformément aux normes de sécurité d’Ocoya décrites à l’Annexe B (les « Mesures de sécurité ») du présent DPA.

Confidentialité du traitement — Ocoya veille à ce que toute personne autorisée par Ocoya à traiter les Données du Client (y compris son personnel, ses agents et ses sous-traitants) soit soumise à une obligation de confidentialité appropriée (qu’il s’agisse d’une obligation contractuelle ou légale).

Mises à jour des mesures de sécurité — Il incombe au Client d’examiner les informations mises à disposition par Ocoya concernant la sécurité des données et de déterminer de manière indépendante si le Service répond aux exigences du Client et à ses obligations légales en vertu des Lois sur la protection des données. Le Client reconnaît que les Mesures de sécurité sont soumises au progrès et à l’évolution techniques et qu’Ocoya peut mettre à jour ou modifier les Mesures de sécurité de temps à autre, à condition que ces mises à jour et modifications n’entraînent pas une dégradation de la sécurité globale du Service fourni au Client.

Réponse aux Incidents de sécurité — Dès qu’il a connaissance d’un Incident de sécurité, Ocoya s’engage à : (i) en informer le Client dans les meilleurs délais et, si possible, dans un délai de 48 heures après en avoir pris connaissance ; (ii) fournir en temps utile des informations relatives à l’Incident de sécurité à mesure qu’elles sont connues ou que le Client les demande raisonnablement ; et (iii) prendre sans délai des mesures raisonnables pour circonscrire tout Incident de sécurité et enquêter à son sujet. La notification d’un Incident de sécurité par Ocoya ou la réponse d’Ocoya à un Incident de sécurité en vertu de la présente Section 4.4 ne saurait être interprétée comme une reconnaissance par Ocoya d’une quelconque faute ou responsabilité à l’égard de l’Incident de sécurité.

Responsabilités du Client — Nonobstant ce qui précède, le Client convient que, sauf disposition contraire du présent DPA, il est responsable de l’utilisation sécurisée du Service, y compris de la sécurisation des identifiants d’authentification de son compte, de la protection de la sécurité des Données du Client lors de leur transit vers et depuis le Service, et de l’adoption de toute mesure appropriée pour chiffrer de manière sécurisée ou sauvegarder les Données du Client téléversées sur le Service.

5. Rapports de sécurité et audits

Droits d’audit — Ocoya met à la disposition du Client toutes les informations raisonnablement nécessaires pour démontrer le respect du présent DPA et permet la réalisation d’audits, y compris des inspections, par le Client et y contribue, afin d’évaluer le respect du présent DPA. Le Client reconnaît et convient qu’il exercera ses droits d’audit au titre du présent DPA (y compris la présente Section 5.1 et, le cas échéant, les CCT) ainsi que tout droit d’audit conféré par les Lois sur la protection des données, en demandant à Ocoya de se conformer aux mesures d’audit décrites dans les sections ci-dessous.

Rapports de sécurité — Le Client reconnaît qu’Ocoya fait régulièrement l’objet d’audits au regard des normes SSAE 16 et PCI, réalisés respectivement par des auditeurs tiers indépendants et par des auditeurs internes. Sur demande écrite, Ocoya fournit au Client (à titre confidentiel) une copie résumée de son ou ses rapports d’audit les plus récents (le « Rapport »), afin que le Client puisse vérifier le respect par Ocoya des normes d’audit au regard desquelles il a été évalué ainsi que du présent DPA.

Diligence raisonnable en matière de sécurité — Outre le Rapport, Ocoya répond à toutes les demandes d’information raisonnables formulées par le Client afin de confirmer le respect par Ocoya du présent DPA, y compris en répondant aux questionnaires relatifs à la sécurité de l’information, à la diligence raisonnable et aux audits, en mettant à disposition des informations supplémentaires concernant son programme de sécurité de l’information sur demande écrite du Client adressée à support@ocoya.com, étant entendu que le Client ne peut exercer ce droit plus d’une fois par année civile.

6. Transferts internationaux

Emplacement des centres de données — Sous réserve de la Section ci-dessous, le Client reconnaît qu’Ocoya peut transférer et traiter les Données du Client vers et aux États-Unis et en tout autre lieu du monde où Ocoya, ses Affiliés ou ses Sous-traitants ultérieurs exercent des activités de traitement de données. Ocoya veille en tout temps à ce que ces transferts soient effectués conformément aux exigences des Lois sur la protection des données et du présent DPA.

Données australiennes. Dans la mesure où Ocoya est destinataire de Données du Client protégées par la Loi australienne sur la protection de la vie privée, les parties reconnaissent et conviennent qu’Ocoya peut transférer ces Données du Client hors d’Australie dans les conditions convenues entre les parties, sous réserve qu’Ocoya respecte le présent DPA et la Loi australienne sur la protection de la vie privée.

Transferts de données depuis l’EEE. Dans la mesure où Ocoya est destinataire de Données du Client protégées par le RGPD dans un pays situé hors de l’EEE qui n’est pas reconnu comme assurant un niveau de protection adéquat des données à caractère personnel (tel que décrit dans les Lois européennes sur la protection des données applicables), les parties conviennent de respecter les CCT et de traiter ces Données du Client conformément à celles-ci, lesquelles sont intégrées au présent DPA et en font partie intégrante.

Transferts de données depuis le Royaume-Uni. En ce qui concerne les transferts auxquels s’appliquent les Lois britanniques sur la protection des données, les CCT s’appliquent et sont réputées modifiées conformément à l’Addendum britannique. L’Addendum britannique est réputé signé par les parties, intégré au présent DPA et en faire partie intégrante. En outre : les Tableaux 1 à 3 de la Partie 1 de l’Addendum britannique sont réputés complétés par les informations figurant aux Annexes I et II des CCT concernées ; et le Tableau 4 de la Partie 1 de l’Addendum britannique est réputé complété par la sélection de l’option « aucune des parties ».

Transferts de données depuis la Suisse. En ce qui concerne les transferts auxquels s’applique la LPD suisse, les CCT s’appliquent conformément à la Section 6.3, avec les modifications suivantes : (i) les références au « Règlement (UE) 2016/679 » s’entendent comme des références à la LPD suisse ; (ii) les références à des articles spécifiques du « Règlement (UE) 2016/679 » sont remplacées par l’article ou la section équivalent(e) de la LPD suisse ; (iii) les références à « UE », « Union » et « droit d’un État membre » sont remplacées par « Suisse » ; (iv) la Clause 13(a) et la Partie C de l’Annexe II sont supprimées ; (v) les références à l’« autorité de contrôle compétente » et aux « juridictions compétentes » sont remplacées par « le Préposé fédéral à la protection des données et à la transparence » et « les tribunaux compétents en Suisse » ; (vi) la Clause 17 est remplacée de manière à prévoir que « Les Clauses sont régies par le droit suisse » ; et (vii) la Clause 18 est remplacée de manière à prévoir que « Tout litige découlant des présentes Clauses est tranché par les tribunaux compétents de Suisse. Les parties conviennent de se soumettre à la compétence de ces tribunaux ».

Respect des CCT. Les parties conviennent que si Ocoya ne peut garantir le respect des CCT, il en informe sans délai le Client. Si le Client entend suspendre le transfert de Données européennes et/ou résilier les parties concernées du Service, il doit d’abord en aviser Ocoya et accorder à Ocoya un délai raisonnable pour remédier à ce manquement, période pendant laquelle Ocoya et le Client coopèrent raisonnablement afin de convenir des garanties ou mesures supplémentaires, le cas échéant, qui pourraient raisonnablement être requises. Le Client n’est en droit de suspendre le transfert de données et/ou de résilier les parties concernées du Service pour non-respect des CCT que si Ocoya n’a pas remédié ou ne peut remédier au manquement dans un délai raisonnable.

Mécanisme de transfert alternatif. Dans la mesure où Ocoya adopte un mécanisme de transfert de données licite alternatif pour le transfert de Données européennes qui n’est pas décrit dans le présent DPA (le « Mécanisme de transfert alternatif »), le Mécanisme de transfert alternatif s’applique en lieu et place des mécanismes de transfert décrits dans le présent DPA (mais uniquement dans la mesure où ce Mécanisme de transfert alternatif est conforme aux Lois européennes sur la protection des données applicables et s’étend aux pays vers lesquels les Données européennes sont transférées). En outre, si et dans la mesure où une juridiction compétente ou une autorité de contrôle ordonne (pour quelque raison que ce soit) que les mesures décrites dans le présent DPA ne peuvent être invoquées pour transférer licitement des Données européennes (au sens des Lois européennes sur la protection des données applicables), Ocoya peut mettre en œuvre toute mesure ou garantie supplémentaire raisonnablement requise pour permettre le transfert licite des Données européennes.

7. Restitution ou suppression des données

Suppression ou restitution à la résiliation. À la résiliation ou à l’expiration du Contrat, Ocoya (au choix du Client) supprime ou restitue au Client l’ensemble des Données du Client (y compris les copies) en sa possession ou sous son contrôle, étant entendu que cette exigence ne s’applique pas dans la mesure où Ocoya est tenu par le droit applicable de conserver tout ou partie des Données du Client, ni aux Données du Client qu’il a archivées sur des systèmes de sauvegarde, lesquelles Données du Client Ocoya isole de manière sécurisée, protège contre tout traitement ultérieur et supprime à terme conformément aux politiques de suppression d’Ocoya, sauf dans la mesure requise par le droit applicable. Les parties conviennent que la certification de la suppression des Données du Client visée aux Clauses 8.5 et 16(d) des Clauses de responsable du traitement à sous-traitant de 2021 et des Clauses de sous-traitant à sous-traitant de 2021 (selon le cas) n’est fournie par Ocoya au Client que sur demande écrite du Client.

8. Droits des personnes concernées et coopération

Demandes des personnes concernées — Dans le cadre du Service, Ocoya met à la disposition du Client un certain nombre de fonctionnalités en libre-service que le Client peut utiliser pour récupérer, rectifier, supprimer ou limiter l’utilisation des Données du Client, et dont le Client peut se servir pour s’acquitter de ses obligations (ou de celles de son responsable du traitement tiers) en vertu des Lois sur la protection des données concernant la réponse aux demandes des personnes concernées, via le compte du Client et sans frais supplémentaires. En outre, Ocoya, compte tenu de la nature du traitement, fournit au Client une assistance supplémentaire raisonnable, dans la mesure du possible, afin de permettre au Client (ou à son responsable du traitement tiers) de respecter ses obligations en matière de protection des données relatives aux droits des personnes concernées en vertu des Lois sur la protection des données. Dans le cas où une telle demande serait adressée directement à Ocoya, Ocoya n’y répond pas directement sans l’autorisation préalable du Client, sauf lorsque cela est approprié (par exemple, pour inviter la personne concernée à contacter le Client) ou légalement requis. Si Ocoya est tenu de répondre à une telle demande, Ocoya, lorsque le Client est identifié ou identifiable à partir de la demande, en informe sans délai le Client et lui fournit une copie de la demande, sauf si la loi l’interdit à Ocoya. Pour éviter toute ambiguïté, aucune disposition du Contrat (y compris du présent DPA) ne restreint ni n’empêche Ocoya de répondre aux demandes d’une personne concernée ou d’une autorité de protection des données relatives aux données à caractère personnel pour lesquelles Ocoya est responsable du traitement.

Analyse d’impact relative à la protection des données — Dans la mesure requise par les Lois sur la protection des données applicables, Ocoya (compte tenu de la nature du traitement et des informations dont dispose Ocoya) fournit toutes les informations raisonnablement demandées concernant le Service afin de permettre au Client de réaliser des analyses d’impact relatives à la protection des données ou des consultations préalables auprès des autorités de protection des données, comme l’exigent les Lois sur la protection des données. Ocoya s’acquitte de ce qui précède : (i) en se conformant à la Section 5 (Rapports de sécurité et audits) ; (ii) en fournissant les informations contenues dans le Contrat, y compris le présent DPA ; et (iii) si les sous-sections (i) et (ii) qui précèdent sont insuffisantes pour permettre au Client de respecter ces obligations, sur demande, en fournissant une assistance supplémentaire raisonnable (aux frais du Client).

9. Conditions propres à certaines juridictions

Dans la mesure où Ocoya traite des Données du Client provenant de l’une des juridictions énumérées à l’Annexe C et protégées par les Lois sur la protection des données de cette juridiction, les conditions précisées à l’Annexe C pour la ou les juridictions concernées (les « Conditions propres à certaines juridictions ») s’appliquent en sus des conditions du présent DPA. En cas de conflit ou d’ambiguïté entre les Conditions propres à certaines juridictions et toute autre condition du présent DPA, les Conditions propres à certaines juridictions applicables prévalent, mais uniquement dans la mesure où les Conditions propres à certaines juridictions sont applicables à Ocoya.

10. Limitation de responsabilité

La responsabilité de chaque partie et de l’ensemble de ses Affiliés, prise globalement, découlant du présent DPA (y compris des CCT) ou s’y rapportant, est soumise aux exclusions et limitations de responsabilité prévues dans le Contrat. Toute réclamation formée contre Ocoya ou ses Affiliés en vertu du présent DPA ou en lien avec celui-ci (y compris, le cas échéant, les CCT) ne peut être introduite que par l’entité cliente qui est partie au Contrat. En aucun cas une partie ne peut limiter sa responsabilité à l’égard des droits d’une personne physique en matière de protection des données au titre du présent DPA ou autrement.

11. Relation avec le contrat

Le présent DPA demeure en vigueur aussi longtemps qu’Ocoya effectue des opérations de traitement des Données du Client pour le compte du Client ou jusqu’à la résiliation du Contrat (et jusqu’à ce que toutes les Données du Client aient été restituées ou supprimées conformément à la Section 7.1 ci-dessus). Les parties conviennent que le présent DPA remplace tout accord de traitement des données existant ou tout document similaire que les parties auraient pu conclure antérieurement en lien avec le Service. En cas de conflit ou d’incohérence entre le présent DPA et les Conditions générales d’utilisation, les dispositions des documents suivants (par ordre de priorité) prévalent : (i) les CCT ; puis (ii) le présent DPA ; et enfin (iii) les Conditions générales d’utilisation. À l’exception des modifications apportées par le présent DPA, le Contrat demeure inchangé et pleinement en vigueur. Nul autre qu’une partie au présent DPA, ses successeurs et cessionnaires autorisés n’a le droit de faire appliquer l’une quelconque de ses conditions. Le présent DPA est régi par et interprété conformément aux dispositions relatives au droit applicable et à la compétence juridictionnelle figurant dans le Contrat, sauf si les Lois sur la protection des données applicables en disposent autrement.

12. Nous contacter

Si vous avez des questions concernant les présentes Conditions, veuillez nous contacter à l’adresse support@ocoya.com.

Annexe A — Détails du traitement des données

(a) Catégories de personnes concernées : Les catégories de personnes concernées dont les données à caractère personnel sont traitées comprennent (i) les Membres (c’est-à-dire les utilisateurs finaux individuels ayant accès à un compte Ocoya) et (ii) les Contacts (c’est-à-dire les abonnés du Membre et les autres personnes physiques au sujet desquelles un Membre nous a communiqué des informations ou qui ont autrement interagi avec un Membre par l’intermédiaire du Service).

(b) Catégories de données à caractère personnel : Le Client peut téléverser, soumettre ou autrement fournir au Service certaines données à caractère personnel, dont l’étendue est généralement déterminée et contrôlée par le Client à sa seule discrétion, et qui peuvent inclure les types de données à caractère personnel suivants :

• Membres : Données d’identification et coordonnées (nom, adresse, titre, coordonnées, nom d’utilisateur) ; informations financières (données de carte de crédit, données de compte, informations de paiement) ; informations relatives à l’emploi (employeur, intitulé du poste, localisation géographique, domaine de responsabilité).
• Contacts : Données d’identification et coordonnées (nom, date de naissance, genre, informations générales, profession ou autres informations démographiques, adresse, titre, coordonnées, y compris l’adresse e-mail) ; centres d’intérêt ou préférences personnels (y compris l’historique d’achats, les préférences marketing et les informations de profil de réseaux sociaux accessibles au public) ; informations informatiques (adresses IP, données d’utilisation, données de cookies, données de navigation en ligne, données de localisation, données du navigateur) ; informations financières (données de carte de crédit, données de compte, informations de paiement).

(c) Données sensibles traitées (le cas échéant) : Ocoya ne souhaite pas collecter ni traiter de Données sensibles dans le cadre de la fourniture du Service, et ne le fait pas intentionnellement.

(d) Fréquence du traitement : Continue et telle que déterminée par le Client.

(e) Objet et nature du traitement : Ocoya fournit un service de réseaux sociaux, une plateforme d’automatisation et de marketing ainsi que d’autres services connexes, tels que plus particulièrement décrits dans le Contrat. L’objet du traitement des données en vertu du présent DPA est constitué par les Données du Client. Les Données du Client seront traitées conformément au Contrat (y compris le présent DPA) et peuvent faire l’objet des activités de traitement suivantes : le stockage et tout autre traitement nécessaire pour fournir, maintenir et améliorer le Service fourni au Client en vertu du Contrat ; et/ou des divulgations conformément au Contrat et/ou exigées par le droit applicable.

(f) Finalité du traitement : Ocoya ne traite les Données du Client qu’aux Finalités autorisées, qui comprennent : (i) le traitement nécessaire à la fourniture du Service conformément au Contrat ; (ii) le traitement initié par le Client dans le cadre de son utilisation du Service ; et (iii) le traitement visant à se conformer à toute autre instruction raisonnable fournie par le Client (par exemple, par e-mail ou par tickets d’assistance) compatible avec les conditions du Contrat.

(g) Durée du traitement et durée de conservation des données à caractère personnel : Ocoya traitera les Données du Client comme indiqué à la Section 7 (Restitution ou suppression des données) du présent DPA.

Annexe B — Conditions propres à certaines juridictions

Europe

Opposition aux Sous-traitants ultérieurs. Le Client peut s’opposer par écrit à la désignation par Ocoya d’un nouveau Sous-traitant ultérieur dans un délai de cinq (5) jours calendaires à compter de la réception de la notification conformément à la Section 3.1 du DPA, à condition que cette opposition soit fondée sur des motifs raisonnables liés à la protection des données. Dans ce cas, les parties examinent ces préoccupations de bonne foi en vue de parvenir à une solution commercialement raisonnable. Si aucune solution de ce type ne peut être trouvée, Ocoya, à sa seule discrétion, soit ne désigne pas ce Sous-traitant ultérieur, soit permet au Client de suspendre ou de résilier le Service concerné conformément aux dispositions de résiliation du Contrat, sans responsabilité pour l’une ou l’autre des parties (mais sans préjudice des frais engagés par le Client avant la suspension ou la résiliation).

Demandes d’accès aux données émanant des autorités publiques. En règle générale, Ocoya ne fournit pas volontairement aux agences ou autorités publiques (y compris les autorités répressives) l’accès aux comptes Ocoya (y compris aux Données du Client) ni d’informations à leur sujet. Si Ocoya reçoit une demande contraignante (que ce soit par voie d’assignation, d’ordonnance judiciaire, de mandat de perquisition ou de toute autre procédure judiciaire valable) émanant d’une agence ou autorité publique (y compris les autorités répressives) visant à accéder à un compte Ocoya (y compris aux Données du Client), ou à obtenir des informations à son sujet, appartenant à un Client dont les coordonnées principales indiquent qu’il est établi en Europe, Ocoya s’engage à : (i) examiner la légalité de la demande ; (ii) informer l’agence publique qu’Ocoya est un sous-traitant des données ; (iii) tenter de rediriger l’agence afin qu’elle demande les données directement au Client ; (iv) informer le Client de la demande par e-mail envoyé à l’adresse e-mail de contact principale du Client, afin de permettre au Client de solliciter une ordonnance de protection ou toute autre voie de recours appropriée ; et (v) fournir le minimum d’informations autorisé lors de sa réponse à l’agence ou à l’autorité, sur la base d’une interprétation raisonnable de la demande. Dans le cadre de cette démarche, Ocoya peut fournir à l’agence les coordonnées principales et de facturation du Client. Ocoya n’est pas tenu de se conformer au présent paragraphe 2 si la loi le lui interdit, ou s’il estime raisonnablement et de bonne foi qu’un accès urgent est nécessaire pour prévenir un risque imminent de préjudice grave pour toute personne, pour la sécurité publique ou pour les biens d’Ocoya, le Site Ocoya ou le Service ; toutefois, lorsque la loi interdit à Ocoya d’informer le Client de demandes, il déploie ses meilleurs efforts pour obtenir une levée de cette interdiction.

Californie

Sauf indication contraire, les définitions suivantes s’appliquent : « responsable du traitement » inclut « Business » ; « sous-traitant » inclut « Service Provider » ; « personne concernée » inclut « Consumer » ; « données à caractère personnel » inclut « Personal Information » ; dans chaque cas au sens du CCPA.

Pour la seule présente section « Californie » de l’Annexe B, les « Finalités autorisées » comprennent le traitement des Données du Client uniquement aux fins décrites dans le présent DPA et conformément aux instructions licites documentées du Client énoncées dans le présent DPA, dans la mesure nécessaire pour se conformer au droit applicable, tel qu’autrement convenu par écrit, y compris, sans s’y limiter, dans le Contrat, ou tel qu’autrement autorisé pour les « service providers » en vertu du CCPA.

Les obligations d’Ocoya concernant les demandes des personnes concernées, telles que décrites à la Section 8 (Droits des personnes concernées et coopération) du présent DPA, s’étendent aux demandes d’exercice de droits en vertu du CCPA.

Nonobstant toute restriction d’utilisation figurant ailleurs dans le présent DPA, Ocoya traite les Données du Client afin d’exécuter le Service, aux Finalités autorisées et/ou conformément aux instructions licites documentées du Client, ou tel qu’autrement permis ou exigé par le droit applicable.

Nonobstant toute restriction d’utilisation figurant ailleurs dans la présente Annexe B, Ocoya peut anonymiser ou agréger les Données du Client dans le cadre de l’exécution du Service précisé dans le présent DPA et dans le Contrat.

Lorsque des Sous-traitants ultérieurs traitent les Personal Information des contacts du Client, Ocoya prend des mesures pour s’assurer que ces Sous-traitants ultérieurs sont des Service Providers au sens du CCPA avec lesquels Ocoya a conclu un contrat écrit comprenant des conditions substantiellement similaires à la présente section « Californie » de l’Annexe B, ou qu’ils sont autrement exclus de la définition de « vente » (« sale ») du CCPA. Ocoya exerce une diligence raisonnable appropriée à l’égard de ses Sous-traitants ultérieurs.

Canada

Ocoya prend des mesures pour s’assurer que les Sous-traitants ultérieurs d’Ocoya, tels que décrits à la Section 3 (Sous-traitance ultérieure) du DPA, sont des tiers au sens de la LPRPDE (PIPEDA), avec lesquels Ocoya a conclu un contrat écrit comprenant des conditions substantiellement similaires au présent DPA. Ocoya exerce une diligence raisonnable appropriée à l’égard de ses Sous-traitants ultérieurs.

Ocoya mettra en œuvre des mesures techniques et organisationnelles telles que prévues à la Section 4 (Sécurité) du DPA.