Clauses relatives au traitement des données complétant les Conditions générales de vente de TRACKFORCE (
)

Clauses relatives au traitement des données complétant

Conditions générales de TRACKFORCE

Mis à jour^{le 1er} septembre 2022

Les solutions logicielles commercialisées par Trackforce sont conçues et développées en interne, sans recours à la sous-traitance. Toutefois, Trackforce peut être amenée à faire appel à des sociétés tierces pour certains services tels que l'hébergement de données ou la fourniture de logiciels spécialisés, notamment dans les domaines de la gestion de la relation client, de la gestion des ventes, de la gestion de la force de vente, de la gestion de la production ou de la gestion de projet.

Les présentes clauses relatives au traitement des données définissent donc les conditions dans lesquelles Trackforce peut soit confier ce type de services à des sous-traitants, soit exécuter elle-même, en tant que sous-traitant, ces services pour le compte du client en tant que responsable du traitement, conformément au règlement général sur la protection des données du Royaume-Uni (UK GDPR), adapté par la loi de 2018 sur la protection des données (ci-après dénommé « UK GDPR »).

En conséquence, les présentes clauses relatives au traitement des données complètent les Conditions générales de Trackforce (ci-après dénommées les « CG ») telles qu’elles sont énoncées ci-dessous.

Clause n° 1 : Sous-traitance entre TRACKFORCE et des sous-traitants tiers

Le Client autorise expressément TRACKFORCE à sous-traiter tout ou partie des prestations prévues dans les Conditions générales à tout sous-traitant tiers de son choix.

L'achat par le Client des Produits répertoriés et commercialisés dans les Conditions générales de vente de TRACKFORCE implique l'acceptation par le Client des conditions générales de prestation de services du Sous-traitant.

Il incombe à TRACKFORCE de s'assurer que le sous-traitant choisi offre des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées, afin de garantir que le traitement soit conforme aux exigences du RGPD britannique.

Clause n° 2 : Sous-traitance entre TRACKFORCE et le Client

Conformément au présent article 2, TRACKFORCE est le sous-traitant et le Client est le responsable du traitement, au sens du RGPD britannique, pour toutes les données à caractère personnel traitées par TRACKFORCE pour le compte du Client conformément aux Conditions générales de TRACKFORCE.

Clause n° 2-1 : Objet

La présente clause 2.1 et ses sous-sections ont pour objet de définir les conditions dans lesquelles TRACKFORCE (agissant en qualité de sous-traitant) s'engage à effectuer, pour le compte du Client (agissant en qualité de responsable du traitement), les opérations de traitement des données à caractère personnel définies ci-dessous.

Dans le cadre de leurs relations contractuelles, les parties s'engagent à respecter la réglementation en vigueur applicable au traitement des données à caractère personnel et, en particulier, le RGPD britannique, qui est entré en vigueur le 23 mai 2018.

Clause n° 2-2 : Traitement sur instruction

TRACKFORCE et toute personne agissant sous son autorité et ayant accès aux données à caractère personnel du Client s’engagent à traiter ces données uniquement conformément aux instructions documentées du Client, y compris, le cas échéant, le transfert de ces données vers un pays tiers ou une organisation internationale, sauf si TRACKFORCE y est contrainte en vertu de la législation britannique ou de toute autre législation applicable à laquelle TRACKFORCE est soumise. Dans ce cas, TRACKFORCE informe le Client de cette obligation légale avant le traitement, à moins que la loi concernée n’interdise une telle information pour des raisons importantes d’intérêt public.

TRACKFORCE informera immédiatement le Client si, selon TRACKFORCE, une instruction donnée par ce dernier constitue une violation de la législation britannique ou de toute autre législation applicable en matière de protection des données à caractère personnel.

Clause n° 2-3 : Description du traitement

TRACKFORCE est autorisée à traiter, pour le compte du Client, les données à caractère personnel nécessaires à la fourniture du ou des services définis d'un commun accord entre les Parties, notamment en ce qui concerne la durée du traitement, sa nature et sa finalité, son type et les catégories de personnes concernées, ainsi que les obligations et les droits du Client en tant que responsable du traitement.

Clause n° 2-4 : Obligations de TRACKFORCE (en tant que sous-traitant) envers le Client (en tant que responsable du traitement)

En tant que responsable du traitement des données concernées par la sous-traitance, TRACKFORCE s'engage à :

• Traiter les données à caractère personnel en question uniquement aux fins pour lesquelles elles font l'objet du traitement.
• Traiter les données conformément aux instructions documentées du Client en tant que responsable du traitement.
• Garantir la confidentialité des données à caractère personnel traitées.
• Veiller à ce que les personnes habilitées à traiter des données à caractère personnel en vertu du présent accord (i) s'engagent à respecter la confidentialité ou soient soumises à une obligation légale de confidentialité appropriée et (ii) reçoivent la formation nécessaire en matière de protection des données à caractère personnel.
• Tenez compte, qu'il s'agisse d'outils, de produits, d'applications ou de services, des principes de protection des données dès la conception et de protection des données par défaut.

Clause n° 2-5 : Sous-traitance

En tant que sous-traitant des données relevant du contrat conclu entre les parties, TRACKFORCE peut faire appel à un autre sous-traitant (ci-après dénommé « sous-traitant secondaire ») pour effectuer certaines opérations de traitement spécifiques.

Dans ce cas, TRACKFORCE informe au préalable et par écrit le responsable du traitement de toute modification envisagée concernant l’ajout ou le remplacement d’un sous-traitant. Cette information doit indiquer clairement les activités sous-traitées, l’identité et les coordonnées du sous-traitant, ainsi que les dates de l’accord de sous-traitance. Le responsable du traitement dispose d’un délai de 10 (dix) jours à compter de la date de réception de ces informations pour faire valoir ses objections. Ce sous-traitement ne peut être effectué que si le responsable du traitement ne s’y est pas opposé dans le délai convenu.

Le sous-traitant est tenu de respecter les obligations du présent accord pour le compte du responsable du traitement et conformément à ses instructions. Il incombe au sous-traitant de s’assurer que le sous-traitant secondaire offre des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées afin de garantir que le traitement soit conforme aux exigences du RGPD britannique. Si le sous-traitant secondaire ne remplit pas ses obligations en matière de protection des données, le sous-traitant reste entièrement responsable vis-à-vis du responsable du traitement de l’exécution de ses obligations.

Clause n° 2-6 : Droit d'accès des personnes concernées

Il incombe au Client, en sa qualité de responsable du traitement, de fournir des informations aux personnes concernées par les opérations de traitement au moment de la collecte des données.

Article n° 2-7 : Exercice des droits relatifs aux données à caractère personnel

Dans la mesure du possible, TRACKFORCE, en tant que sous-traitant, aidera le Client, en tant que responsable du traitement, à s’acquitter de son obligation de répondre aux demandes d’exercice des droits des personnes concernées : droit d’accès, de rectification, d’effacement et de suppression, droit d’opposition, droit à la limitation du traitement, droit à la portabilité des données, droit de ne pas faire l’objet d’une décision individuelle automatisée (y compris le profilage).

Lorsque des personnes concernées adressent à TRACKFORCE, en tant que sous-traitant, des demandes visant à exercer leurs droits, TRACKFORCE doit transmettre ces demandes dès leur réception par e-mail à l'adresse e-mail du client telle qu'elle figure dans son profil.

Clause n° 2-8 : Notification d’une violation de données à caractère personnel

En tant que sous-traitant, TRACKFORCE informera le Client, en tant que responsable du traitement, de toute violation de données à caractère personnel sans retard injustifié, conformément à l'article 68 du RGPD britannique, et ce par e-mail à l'adresse de contact du Client indiquée dans son profil.

Cette notification sera accompagnée de tous les documents pertinents afin de permettre au Client, en sa qualité de responsable du traitement, de signaler, si nécessaire, cette violation à l'autorité de contrôle, en l'occurrence l'Information Commissioner’s Office (ICO).

Clause n° 2-9 : Assistance apportée par TRACKFORCE, en tant que sous-traitant, au client, en tant que responsable du traitement, dans le cadre de ses obligations en matière de protection des donnéess

En tant que sous-traitant, TRACKFORCE assistera le client, en tant que responsable du traitement, en cas d’analyse d’impact relative à la protection des données ou de consultation de l’autorité de contrôle (ICO).

Les services décrits dans la présente clause 2-9 seront fournis par TRACKFORCE selon les conditions financières et les délais qui seront convenus au préalable entre le Client et TRACKFORCE.

Clause n° 2-10 : Mesures de sécurité

Dans la mesure où l'article 66 du RGPD britannique stipule que chaque responsable du traitement et chaque sous-traitant doit mettre en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté aux risques liés au traitement des données à caractère personnel, chaque partie s'engage, en ce qui concerne les données à caractère personnel dont elle est responsable, à mettre en œuvre des mesures visant à :

• Empêcher tout traitement non autorisé ou toute ingérence non autorisée dans les systèmes utilisés dans ce cadre ;
• Veiller à ce qu'il soit possible de déterminer les modalités précises de tout traitement effectué ;
• Veiller à ce que tous les systèmes utilisés dans le cadre du traitement fonctionnent correctement et puissent, en cas d'interruption, être remis en état de fonctionnement, et ;
• Veiller à ce que les données à caractère personnel stockées ne puissent pas être altérées en cas de dysfonctionnement d'un système utilisé dans le cadre du traitement.

Clause n° 2-11 : Sort des données

TRACKFORCE s'engage à détruire les données à caractère personnel à l'issue de leur délai de conservation, déterminé en fonction de la nature de ces données, étant rappelé que le Client doit effectuer régulièrement ses propres sauvegardes à l'aide des outils logiciels mis à disposition sur la plateforme Guardtek.

Article n° 2-12 : Délégué à la protection des données

TRACKFORCE communique au Client, en sa qualité de responsable du traitement, le nom et les coordonnées de son délégué à la protection des données, ci-après dénommé « DPO », désigné conformément à l'article 69 du RGPD britannique, si le Client en fait la demande.

Clause n° 2-13 : Registre des catégories d'activités de traitement

En tant que sous-traitant, TRACKFORCE s'engage à tenir un registre écrit de toutes les catégories d'opérations de traitement effectuées pour le compte du client, en tant que responsable du traitement, comprenant :

• Le nom et les coordonnées de TRACKFORCE en tant que sous-traitant, ainsi que celles de tout autre sous-traitant auquel TRACKFORCE a fait appel conformément à l'article 59, paragraphe 3 ;
• Le nom et les coordonnées du client, en tant que responsable du traitement, pour le compte duquel le sous-traitant agit ;
• Le cas échéant, le nom et les coordonnées du délégué à la protection des données ;
• Les catégories de traitements effectués pour le compte du client en tant que responsable du traitement ;
• Le cas échéant, des informations détaillées concernant les transferts de données à caractère personnel vers un pays tiers ou une organisation internationale, lorsque le responsable du traitement en a donné l'instruction expresse, y compris l'identification de ce pays tiers ou de cette organisation internationale ;
• Dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles visées à l'article 66 du RGPD britannique.

Clause n° 2-14 : Documentation

En tant que sous-traitant, TRACKFORCE met à la disposition du Client, en tant que responsable du traitement, la documentation nécessaire pour démontrer le respect de toutes ses obligations et pour permettre la réalisation d'audits, y compris des inspections, par le Client ou par un autre auditeur qu'il aurait désigné, et contribue à ces audits.

Clause n° 3 : Obligations du Client, en tant que responsable du traitement, envers TRACKFORCE, en tant que sous-traitant

En tant que responsable du traitement, le client s'engage à :

• Fournir à TRACKFORCE, en tant que sous-traitant, les informations et données énumérées à la clause 2-3 des présentes.
• Consigner par écrit toutes les instructions relatives au traitement des données par TRACKFORCE.
• Veiller, au préalable et pendant toute la durée du traitement, au respect des obligations prévues par le RGPD britannique.
• Superviser le traitement des données, notamment en réalisant des audits et des contrôles avec TRACKFORCE.

Clause n° 4 : Maintien en vigueur des dispositions non contraires des Conditions générales de vente de TRACKFORCE 

Les présentes clauses relatives au traitement des données complètent les Conditions générales de TRACKFORCE, dont les dispositions non contraires restent applicables.