3.1 Objet, portée et priorité
La présente annexe régit les traitements de données personnelles réalisés par PHASEN pour le compte de l’Utilisateur dans le cadre du Service. Elle forme l’accord prévu à l’article 28 du règlement (UE) 2016/679 (« RGPD »). En cas de contradiction sur un traitement de sous-traitance, elle prévaut sur les autres stipulations contractuelles.
3.2 Rôles des parties
L’Utilisateur agit en qualité de responsable du traitement pour les données personnelles qu’il détermine et introduit dans le Service. PHASEN agit en qualité de sous-traitant pour les opérations exécutées sur instructions de l’Utilisateur. PHASEN demeure responsable des traitements qu’elle détermine pour ses finalités propres, notamment la gestion contractuelle, la facturation, la sécurité de ses systèmes et la défense de ses droits.
3.3 Durée, nature et finalités
Le traitement dure pendant la fourniture du Service et les périodes de conservation prévues au contrat. Il comprend, selon les fonctions utilisées, la collecte, l’hébergement, l’organisation, la consultation, la transmission, la conversion, la sauvegarde, l’assistance, la sécurisation, l’export et la suppression. Ses finalités sont l’exécution des fonctions demandées, l’hébergement des projets et contenus, la collaboration, la génération ou transformation d’actifs, le support et la sécurité.
3.4 Personnes et catégories de données
Les personnes concernées peuvent comprendre les utilisateurs et collaborateurs de l’Utilisateur, ses clients et prospects, fournisseurs, prestataires et personnes apparaissant dans les contenus. Les données peuvent comprendre des données d’identité et de contact, données professionnelles, contenus de projets, images et médias, commentaires, informations produits et fournisseurs, données de connexion, journaux techniques et échanges de support. L’Utilisateur s’interdit d’introduire des données sensibles au sens des articles 9 et 10 du RGPD, sauf accord écrit préalable définissant les garanties adaptées.
3.5 Instructions documentées
PHASEN ne traite les données que sur les instructions documentées de l’Utilisateur, constituées par le contrat, les paramètres et les actions réalisées dans le Service, ainsi que les demandes écrites compatibles avec celui-ci. PHASEN informe immédiatement l’Utilisateur si elle estime qu’une instruction viole le RGPD ou une autre règle applicable, sauf interdiction légale d’en informer.
3.6 Confidentialité et sécurité
PHASEN veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité et n’y accèdent que pour les besoins de leur mission. PHASEN met en œuvre les mesures techniques et organisationnelles appropriées décrites dans les CGU et les fait évoluer selon les risques, l’état de l’art, les coûts et la nature des traitements.
3.7 Sous-traitants ultérieurs
L’Utilisateur donne une autorisation générale au recours aux catégories de sous-traitants ultérieurs décrites à l’Annexe 2 et aux prestataires identifiés dans le registre nominatif communiqué avec le DPA. PHASEN les lie par des obligations de protection des données substantiellement équivalentes. PHASEN informe l’Utilisateur de tout ajout ou remplacement substantiel au moins trente jours à l’avance. L’Utilisateur peut formuler, dans les quinze jours, une objection motivée par un risque réel de protection des données. Les parties recherchent alors une solution raisonnable ; à défaut, PHASEN peut proposer une solution alternative ou chacune des parties peut mettre fin au seul service affecté, sans pénalité pour la période non fournie.
3.8 Droits des personnes
Compte tenu de la nature du traitement, PHASEN aide raisonnablement l’Utilisateur, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes d’exercice de droits. PHASEN transmet sans délai indu toute demande reçue directement et ne répond pas au fond sauf instruction de l’Utilisateur ou obligation légale.
3.9 Violations de données
PHASEN notifie à l’Utilisateur, sans délai indu après en avoir pris connaissance, toute violation de données personnelles affectant les traitements sous-traités. La notification décrit, dans la mesure disponible, la nature de la violation, les catégories de personnes et données concernées, les conséquences probables, les mesures prises ou proposées et le point de contact. Les informations peuvent être communiquées progressivement.
3.10 Analyses d’impact et consultation
PHASEN fournit une assistance raisonnable pour les analyses d’impact et consultations préalables requises, dans la mesure où elles concernent le Service et où les informations sont disponibles. Les prestations dépassant l’assistance standard peuvent faire l’objet d’un devis préalable.
3.11 Informations et audits
PHASEN met à disposition les informations nécessaires pour démontrer le respect de la présente annexe. L’Utilisateur peut réaliser ou faire réaliser un audit au maximum une fois par période de douze mois, sauf incident ou demande d’une autorité, avec un préavis d’au moins trente jours, pendant les heures ouvrées, sans perturber le Service et sous confidentialité. Les coûts sont supportés par l’Utilisateur, sauf non-conformité substantielle imputable à PHASEN.
3.12 Sort des données
À la fin des prestations, PHASEN restitue ou supprime les données, au choix et sur instruction de l’Utilisateur, conformément à l’article 34 des CGU, sauf obligation légale de conservation. Les copies résiduelles de sauvegarde restent isolées, protégées et supprimées selon leur cycle normal.
3.13 Transferts internationaux
PHASEN ne transfère les données hors de l’Espace économique européen que conformément au chapitre V du RGPD, au moyen notamment d’une décision d’adéquation ou des clauses contractuelles types de la Commission européenne, complétées lorsque nécessaire par des mesures additionnelles.
3.14 Contact
Les demandes relatives au présent DPA et à la protection des données sont adressées à contact@phasen.co.