Version française fournie pour faciliter la lecture. En cas de divergence, la version polonaise (Umowa powierzenia przetwarzania danych) fait foi.

VERSION 1 — document standard, conclu automatiquement par l'acceptation (case à cocher) lors de l'Inscription du Compte Client professionnel

Le présent Accord de traitement de données à caractère personnel (ci-après : « Accord de traitement ») constitue l'accord de sous-traitance de données à caractère personnel visé à l'article 28, paragraphe 3, du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après : « RGPD »), conclu entre :

SIGNSAFE SP. Z O.O. (société à responsabilité limitée de droit polonais), dont le siège est situé à Gdańsk (80-416), al. Gen. Józefa Hallera 134/197, inscrite au registre des entrepreneurs tenu par le tribunal de district (Sąd Rejonowy) de Gdańsk-Nord à Gdańsk, VIIe chambre commerciale du KRS (registre national des tribunaux), sous le numéro KRS : 0000742005, NIP : 1182178080, REGON : 380903532 — ci-après le « Sous-traitant »,

et chaque Client ayant la qualité de personne morale, d'entité sans personnalité juridique ou d'entrepreneur, qui a procédé à l'Inscription d'un Compte sur le Service SignSafe selon la procédure prévue pour les personnes exerçant une activité économique et qui a accepté le présent Accord de traitement conformément au § 2 — ci-après le « Responsable de traitement », identifié par les données renseignées dans le formulaire d'inscription ainsi que par les données associées à son Compte sur le Service.

Le Sous-traitant et le Responsable de traitement sont ci-après désignés conjointement les « Parties » et individuellement une « Partie ». Les termes commençant par une majuscule, qui ne sont pas définis autrement dans le présent Accord, ont le sens qui leur est donné dans les Conditions d'utilisation du Service Internet SignSafe (ci-après : les « Conditions d'utilisation »).

§ 1. Objet de l'Accord

1. L'Accord de traitement régit les règles selon lesquelles le Sous-traitant traite les données à caractère personnel que lui confie le Responsable de traitement dans le cadre de la fourniture du Service sur la base des Conditions d'utilisation, notamment les données figurant dans le contenu des Documents ainsi que les données des Signataires (ci-après conjointement : les « Données à caractère personnel »), décrites en détail dans l'Annexe n° 1.

2. L'Accord de traitement constitue un complément intégral aux Conditions d'utilisation en matière de protection des données à caractère personnel et s'applique à tout Responsable de traitement qui l'a accepté, quelle que soit la formule de paiement choisie ou le mode de conclusion du Contrat de fourniture du Service décrit au point VII des Conditions d'utilisation.

§ 2. Conclusion de l'Accord de traitement

1. L'Accord de traitement est réputé conclu au moment où la personne procédant à l'Inscription coche la case d'acceptation correspondante, placée dans le formulaire d'inscription à côté de l'acceptation des Conditions d'utilisation et de la Politique de confidentialité ; cette action équivaut à une déclaration de volonté du Responsable de traitement de conclure l'Accord de traitement aux conditions qui y sont fixées.

2. Le fait et la date de l'acceptation de l'Accord de traitement par un Responsable de traitement donné sont enregistrés par le Sous-traitant dans les systèmes du Service et peuvent être mis à la disposition du Responsable de traitement sur sa demande.

3. Pour les Clients ayant créé leur Compte avant l'introduction du présent Accord de traitement, le Sous-traitant peut demander son acceptation séparée dans le Panneau d'administration du Compte ; jusqu'à cette acceptation, s'appliquent les dispositions pertinentes des Conditions d'utilisation relatives au traitement des données à caractère personnel (point V, alinéa 4, et point XVI des Conditions d'utilisation).

§ 3. Durée de la sous-traitance

1. L'Accord de traitement est conclu pour la durée du Contrat de fourniture du Service (Conditions d'utilisation) et prend fin au moment de sa résiliation ou de son expiration, sous réserve du § 11 de l'Accord.

2. La résiliation ou l'expiration du Contrat de fourniture du Service ne libère pas le Sous-traitant des obligations découlant du présent Accord dans la mesure où les Données à caractère personnel restent en sa possession jusqu'à leur suppression ou leur restitution conformément au § 11.

§ 4. Étendue, nature et finalité du traitement

1. La nature et la finalité du traitement, le type de Données à caractère personnel ainsi que les catégories de personnes concernées sont définis à l'Annexe n° 1 du présent Accord.

2. Le Sous-traitant traite les Données à caractère personnel pendant la durée indiquée dans les Conditions d'utilisation et dans l'Annexe n° 1, notamment conformément aux règles de conservation et de suppression des Documents prévues au point V des Conditions d'utilisation.

3. Le Responsable de traitement déclare disposer d'une base juridique appropriée pour traiter les Données à caractère personnel et pour les confier au Sous-traitant, y compris — s'agissant des données de tiers désignés comme Signataires — pour transmettre leurs données aux fins de la réalisation du processus de signature.

4. Le Sous-traitant s'engage à traiter les Données à caractère personnel exclusivement dans l'étendue et pour la finalité définies dans le présent Accord et conformément aux instructions documentées du Responsable de traitement, y compris les instructions résultant de la configuration du Compte et des actions entreprises par le Responsable de traitement ou ses Utilisateurs sur le Service.

§ 5. Obligations du Sous-traitant

Le Sous-traitant s'engage à :

1. traiter les Données à caractère personnel uniquement sur instruction documentée du Responsable de traitement, à moins que le droit de l'Union ou le droit d'un État membre ne lui impose une telle obligation — auquel cas, avant de commencer le traitement, il informe le Responsable de traitement de cette obligation juridique, sauf si le droit concerné interdit une telle information ;

2. veiller à ce que les personnes autorisées à traiter les Données à caractère personnel s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité ;

3. prendre toutes les mesures requises en vertu de l'article 32 du RGPD, décrites à l'Annexe n° 3 du présent Accord ;

4. respecter les conditions de recours aux services d'un autre sous-traitant (sous-traitant ultérieur) visées au § 7 du présent Accord ;

5. compte tenu de la nature du traitement, aider autant que possible le Responsable de traitement, par des mesures techniques et organisationnelles appropriées, à s'acquitter de son obligation de donner suite aux demandes des personnes concernées en vue de l'exercice de leurs droits prévus au chapitre III du RGPD ;

6. compte tenu de la nature du traitement et des informations dont il dispose, aider le Responsable de traitement à s'acquitter des obligations prévues aux articles 32 à 36 du RGPD (sécurité du traitement, notification des violations, analyse d'impact relative à la protection des données, consultation préalable) ;

7. au terme de la prestation de services liés au traitement, selon le choix du Responsable de traitement, supprimer toutes les Données à caractère personnel ou les lui renvoyer, et détruire toutes les copies existantes, à moins que le droit de l'Union ou le droit d'un État membre n'exige la conservation des données à caractère personnel, conformément au § 11 du présent Accord ;

8. mettre à la disposition du Responsable de traitement les informations nécessaires pour démontrer le respect des obligations prévues à l'article 28 du RGPD et permettre la réalisation d'audits selon les modalités définies au § 9 du présent Accord.

§ 6. Obligations et droits du Responsable de traitement

1. Le Responsable de traitement est tenu de ne transmettre au Sous-traitant que les Données à caractère personnel pour le traitement et la transmission desquelles il dispose d'une base juridique appropriée.

2. Le Responsable de traitement est tenu de s'acquitter en permanence des obligations d'information à l'égard des personnes concernées (y compris les Signataires), dans la mesure où ces obligations n'ont pas été expressément attribuées au Sous-traitant par les Conditions d'utilisation ou la Politique de confidentialité.

3. Le Responsable de traitement a le droit de vérifier si le Sous-traitant a mis en œuvre les mesures techniques et organisationnelles visées au § 5, point 3, dans l'étendue et selon les modalités définies au § 9 du présent Accord.

§ 7. Sous-traitance ultérieure (Sous-traitants ultérieurs)

1. Le Responsable de traitement donne son autorisation générale au recours par le Sous-traitant aux services des Sous-traitants ultérieurs indiqués à l'Annexe n° 2 du présent Accord, aux fins et dans l'étendue qui y sont décrites.

2. Le Sous-traitant informe des changements concernant les Sous-traitants ultérieurs en mettant à jour l'Annexe n° 2 publiée sur le site du Service, avec un préavis suffisant permettant au Responsable de traitement de formuler une objection dans un délai de 14 jours à compter de la publication de l'information relative au changement. L'absence d'objection dans ce délai vaut acceptation du changement. En cas d'objection, le Responsable de traitement peut résilier le Contrat de fourniture du Service selon les modalités prévues par les Conditions d'utilisation.

3. Le Sous-traitant veille à ce que chaque Sous-traitant ultérieur soit lié — par contrat ou par un autre acte juridique — par les mêmes obligations en matière de protection des données que celles qui lui sont imposées par le présent Accord, notamment l'obligation de présenter des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées.

4. Le Sous-traitant demeure pleinement responsable à l'égard du Responsable de traitement de l'exécution de ses obligations par le Sous-traitant ultérieur.

§ 8. Violations de données à caractère personnel

1. Le Sous-traitant notifie au Responsable de traitement toute violation de données à caractère personnel dans les meilleurs délais, au plus tard dans les 48 (quarante-huit) heures suivant la constatation de la violation, à l'adresse e-mail associée au Compte du Responsable de traitement.

2. La notification visée à l'alinéa 1 contient au moins : la description de la nature de la violation, y compris, dans la mesure du possible, les catégories et le nombre approximatif de personnes concernées ainsi que les catégories et le nombre approximatif d'enregistrements de données à caractère personnel concernés par la violation ; la description des conséquences possibles de la violation ; la description des mesures prises ou proposées par le Sous-traitant pour remédier à la violation, y compris, le cas échéant, les mesures visant à en atténuer les éventuelles conséquences négatives.

3. Le Sous-traitant coopère avec le Responsable de traitement et lui apporte son soutien dans la mesure nécessaire pour que celui-ci s'acquitte des obligations découlant des articles 33 et 34 du RGPD.

§ 9. Audits et contrôles

1. Le Responsable de traitement peut, moyennant un préavis écrit adressé au Sous-traitant d'au moins 14 jours, réaliser un audit de la conformité du traitement des Données à caractère personnel au présent Accord, au maximum une fois par année civile, sauf si la réalisation d'un audit à un autre moment résulte d'une obligation légale ou d'une recommandation d'une autorité de contrôle.

2. L'audit est réalisé de la manière la moins gênante possible pour l'activité courante du Sous-traitant, dans le respect du secret des affaires et des données à caractère personnel des autres Clients du Sous-traitant. Les coûts de l'audit sont supportés par le Responsable de traitement, sauf accord contraire des Parties.

3. Le Sous-traitant peut, au lieu de donner accès à sa propre infrastructure, présenter au Responsable de traitement un rapport ou un certificat délivré par un organisme d'audit indépendant, s'il confirme de manière raisonnable le respect des obligations découlant du présent Accord.

§ 10. Mesures de sécurité du traitement des données

1. Le Sous-traitant met en œuvre les mesures techniques et organisationnelles décrites à l'Annexe n° 3, garantissant un niveau de sécurité adapté au risque de violation des droits et libertés des personnes physiques, compte tenu de l'état des connaissances techniques, des coûts de mise en œuvre ainsi que de la nature, de la portée, du contexte et des finalités du traitement.

2. Les Données à caractère personnel sont conservées sur des serveurs situés sur le territoire de l'Union européenne.

§ 11. Fin de la sous-traitance — restitution ou suppression des Données à caractère personnel

1. À l'expiration du Contrat de fourniture du Service, le Sous-traitant supprime les Données à caractère personnel conformément aux règles de conservation et de suppression des Documents prévues au point V des Conditions d'utilisation, notamment dans les délais qui y sont indiqués pour les comptes actifs et inactifs.

2. Sur demande motivée du Responsable de traitement présentée avant la suppression des Données à caractère personnel conformément à l'alinéa 1, le Sous-traitant permettra au Responsable de traitement de télécharger lui-même les Documents depuis son Compte, dans le format disponible sur le Service.

3. Les dispositions des alinéas 1 et 2 ne s'appliquent pas dans la mesure où des dispositions légales imposent au Sous-traitant l'obligation de continuer à conserver certaines données (par ex. les données figurant sur des documents comptables).

§ 12. Responsabilité

1. Chacune des Parties est responsable des dommages causés par un traitement violant le RGPD uniquement dans la mesure où elle n'a pas respecté les obligations que le RGPD lui impose directement, ou lorsqu'elle a agi en dehors des instructions licites du Responsable de traitement ou contrairement à celles-ci.

2. Les limitations de responsabilité du Prestataire de services prévues par les Conditions d'utilisation s'appliquent par analogie à la responsabilité du Sous-traitant découlant du présent Accord, dans la mesure autorisée par les dispositions légales d'ordre public, y compris le RGPD.

§ 13. Modification de l'Accord de traitement

1. Le Sous-traitant se réserve le droit de modifier le présent Accord de traitement selon des modalités analogues à celles applicables à la modification des Conditions d'utilisation, c'est-à-dire moyennant une information publiée sur le site du Service au moins 14 jours calendaires avant l'entrée en vigueur des modifications.

2. Si le Responsable de traitement n'accepte pas la modification de l'Accord de traitement, il peut résilier le Contrat de fourniture du Service selon la procédure prévue par les Conditions d'utilisation. La poursuite de l'utilisation du Compte après l'entrée en vigueur de la modification vaut acceptation de celle-ci.

§ 14. Dispositions finales

1. Pour les questions non régies par le présent Accord, s'appliquent les dispositions des Conditions d'utilisation, du RGPD ainsi que du droit polonais.

2. Le présent Accord de traitement est mis à disposition en permanence sur le site du Service d'une manière permettant d'en obtenir, d'en reproduire et d'en conserver le contenu.

Annexe n° 1 — Étendue du traitement des Données à caractère personnel

Catégories de personnes concernées

Client (Utilisateur agissant en son nom) — personne créant et utilisant le Compte ;

Signataire — personnes désignées par le Responsable de traitement comme destinataires de Documents à signer.

Catégories de Données à caractère personnel

données d'identification et de contact : prénom, nom, adresse e-mail, éventuellement numéro de téléphone, identifiant de la personne/de l'entité, nom de l'organisation ;

données figurant dans le contenu des Documents transmis pour signature — étendue dépendant du contenu du Document concerné, déterminé par le Responsable de traitement ;

métadonnées du processus de signature : horodatage, adresse IP, données relatives à l'appareil utilisé pour apposer la signature.

Nature du traitement

Conservation, mise à disposition, possibilité d'apposer une signature électronique, envoi de notifications, génération et mise à disposition en retour du Document signé.

Finalité du traitement

Fourniture du Service au Responsable de traitement conformément aux Conditions d'utilisation, c'est-à-dire permettre l'envoi de Documents à signer, leur signature et — pendant la période prévue par les Conditions d'utilisation — leur conservation.

Durée du traitement

Conformément au point V des Conditions d'utilisation : au moins 1 mois à compter du jour de l'envoi du Document à signer dans le cadre d'un Compte actif ; le Sous-traitant est en droit de supprimer les Documents à tout moment après cette période et, dans le cas d'un Compte inactif, à tout moment sans notification préalable.

Annexe n° 2 — Liste des Sous-traitants ultérieurs

OVH — fournisseur de services d'hébergement ; conservation des données sur des serveurs situés sur le territoire de l'Union européenne.

Krajowy Integrator Płatności S.A. (Tpay) — opérateur de paiement ; traitement des données nécessaires à la réalisation du paiement du Service (concerne uniquement les données du Client, et non celles des Signataires).

Annexe n° 3 — Mesures techniques et organisationnelles

contrôle d'accès aux systèmes fondé sur des comptes et mots de passe individuels ; limitation des droits d'administration au strict minimum nécessaire ;

chiffrement de la transmission des données (protocole HTTPS/TLS) entre le Service et l'appareil de l'utilisateur ;

réalisation de sauvegardes des données conformément à la procédure interne du Sous-traitant ;

enregistrement des événements clés liés à l'accès aux Documents et aux données des Signataires dans la mesure techniquement possible ;

absence d'accès du personnel du Sous-traitant au contenu des Documents conservés sur les Comptes des Clients, en dehors de ce qui est techniquement nécessaire à la fourniture du Service ou au traitement d'une demande du Responsable de traitement.

Accord de traitement des données SignSafe