ACCORD DE PROTECTION DES DONNEES PERSONNELLES

Date du document : 16 octobre 2026

PREAMBULE

Le présent accord de sous-traitance des traitements de données à caractère personnel (ci-après l’« Accord »), établi en application de l’article 28 du RGPD, a pour objet de définir les conditions dans lesquelles S&C s’engage, en sa qualité de Sous-traitant, à effectuer pour le compte du Client, en sa qualité de Responsable de traitement, pendant toute la durée du Contrat tel que défini dans les CGA de S&C, les opérations de traitement de données à caractère personnel définies ci-après, pour lesquelles le Client détermine les finalités et les moyens essentiels. Dans le cadre de leurs relations contractuelles, chaque Partie déclare et garantit se conformer, dans le cadre de ses activités, à la Réglementation sur les Données Personnelles. Le présent Accord fait partie intégrante du Contrat et complète les stipulations des CGA relatives à la protection des Données Personnelles. En cas de contradiction entre le présent Accord et les CGA concernant les traitements de données à caractère personnel effectués par S&C en qualité de Sous-traitant, les stipulations du présent Accord prévalent.

ARTICLE 1 – DEFINITIONS

Les termes commençant par une majuscule et non définis dans le présent Accord ont le sens qui leur est donné dans les CGA ou, à défaut, dans la Réglementation sur les Données Personnelles :

• « Autorité de Régulation » : désigne toute autorité compétente en matière de protection des Données Personnelles.

• « Destinataire Autorisé » : désigne toute personne placée sous l’autorité du ST, ainsi que tout Sous-Traitant Ultérieur, ayant besoin d’accéder aux Données Personnelles pour l’exécution du Contrat et dûment autorisé à cet effet.

• « Données Personnelles » : désigne toute information se rapportant à une personne physique identifiée ou identifiable (« Personne Concernée ») ; est réputée être une personne physique identifiable une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale

• « Finalité Autorisé » : désigne la finalité des Traitements de Données Personnelles réalisés par le ST pour le compte du RT, telle que précisée à l’article 2 du présent Accord.

• « Instructions » : désigne l’ensemble des instructions documentées du RT adressées au ST.

• « Pays-Tiers » : désigne tout pays non-membre de l’Espace Economique Européen.

• « Personne Concernée » : désigne toute personne physique dont les Données Personnelles font l’objet d’un Traitement.

• « Responsable de Traitement » ou « RT » : désigne, dans le cadre du présent Accord, le Client.

• « Sous-Traitant » ou « ST » : désigne, dans le cadre du présent Accord, S&C.

• « Sous-Traitant Ultérieur » : désigne tout autre sous-traitant, situé ou non au sein de l’Union européenne ou de l’Espace économique européen, auquel le ST confie tout ou partie des opérations de Traitement de Données Personnelles réalisées pour le compte du RT dans le cadre du Contrat.

• « Traitement » : désigne toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des Données Personnelles ou à des ensembles de Données Personnelles, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction.

• « Violation de Données Personnelles » : désigne une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de Données Personnelles transmises, conservées ou traitées d’une autre manière, ou l’accès non autorisé à de telles données.

ARTICLE 2 – DESCRIPTION DES TRAITEMENTS FAISANT L’OBJET DE LA SOUS-TRAITANCE

Le nom et coordonnées du Délégué à la Protection des Données (DPO) ou du point de contact en matière de protection des Données Personnelles est communiqué préalablement à la signature du Contrat par chaque Partie. Le ST est autorisé à traiter, pour le compte du RT, uniquement les Données Personnelles nécessaires à l’exécution des Prestations, pour les Finalités Autorisées et conformément aux Instructions du RT :

Mesures de sécurité mises en place

Le ST met en œuvre les mesures techniques et organisationnelles appropriées au regard des risques présentés par les Traitements, conformément à l’article 32 du RGPD. Ces mesures sont adaptées à la nature des Données Personnelles traitées et aux caractéristiques du Service:

Concernant les Sous-Traitants Ultérieurs :

ARTICLE 3 – OBLIGATIONS GENERALES DES PARTIES

3.1 Obligations du RT

Le RT confirme que les mesures techniques et organisationnelles du sT, telles que décrites ci-dessus, sont appropriées et suffisantes pour protéger les droits des Personnes Concernées et répondre aux obligations prévues la Règlementation sur les Données Personnelles.

Le RT demeure responsable de la licéité, de la loyauté et de la transparence des Traitements, ainsi que de la détermination de leurs finalités et moyens essentiels. Il s’engage à assurer sa propre conformité aux exigences de la Règlementation sur les Données Personnelles et, sans que cette liste ne revête un caractère exhaustif, à :

• Respecter la Règlementation sur les Données Personnelles et documenter par écrit toute Instruction concernant les Traitements confiés au ST

• S’assurer de la licéité des Données Personnelles transmises au ST, de leur exactitude et de leur caractère nécessaire aux Finalités Autorisées ;

• Informer les Personnes Concernées et recueillir, lorsque cela est requis, leur consentement ;

• Mettre en œuvre les mesures de sécurité appropriées concernant ses propres systèmes, équipements, Utilisateurs et accès au Service ;

• Réaliser, lorsqu’elles sont requises, les analyses d’impact et tenir à jour son registre des activités de Traitement.

Le RT confirme avoir réalisé les inscriptions nécessaires sur son registre d’activités de traitement et/ou, le cas échéant, avoir procédé aux formalités préalables auprès de la Commission Nationale Informatique et Libertés (ci-après « CNIL »).

3.2 Obligations du ST

Le ST s’engage, dans le périmètre des Prestations qui lui sont confiées, à :

• Respecter les obligations lui incombant au titre de la Réglementation sur les Données Personnelles ;

• Traiter les Données Personnelles uniquement pour les Finalités Autorisées et conformément aux Instructions ;

• Garantir la confidentialité des Données Personnelles et limiter leur accès aux seuls Destinataires Autorisés ;

• Mettre en œuvre les mesures techniques et organisationnelles appropriées à la sécurité des Traitements, conformément à l’article 32 du RGPD ;

• Veiller au respect des obligations applicables par les personnes placées sous son autorité et par ses Sous-Traitants Ultérieurs ;

• Tenir le registre des catégories d’activités de Traitement prévu à l’article 30, paragraphe 2, du RGPD, lorsqu’il y est légalement tenu, et documenter les Violations de Données Personnelles ;

• Mettre à la disposition du RT les informations nécessaires pour démontrer le respect de ses obligations, dans les conditions prévues à l’article 4 ;

• Restituer ou supprimer les Données Personnelles à l’issue du Contrat, dans les conditions prévues au présent Accord.

Le ST n’est responsable que des obligations lui incombant en cette qualité et des Traitements relevant de son périmètre d’intervention.

Le Service n’étant pas destiné au Traitement de catégories particulières de Données Personnelles au sens de l’article 9 du RGPD, le RT s’interdit d’y introduire de telles données sans accord préalable et écrit du ST

3.3 Instructions

Le ST traite les Données Personnelles sur la base des Instructions documentées du RT, y compris pour les transferts vers les Pays Tiers, sauf obligation contraire résultant du droit applicable. Dans ce dernier cas, le ST en informe préalablement le RT, sauf interdiction légale. Les stipulations du Contrat et la description des Traitements figurant à l’article 2 constituent des Instructions documentées du RT. Toute Instruction complémentaire doit être adressée par écrit au ST. Lorsqu’elle implique une modification du périmètre des Services, des moyens techniques ou des coûts, sa mise en œuvre est subordonnée à l’accord préalable des Parties sur les conditions correspondantes. Le ST informe immédiatement le RT si, selon lui, une Instruction constitue une violation de la Réglementation sur les Données Personnelles. Il peut suspendre son exécution dans l’attente d’une Instruction conforme, sans être tenu d’exécuter une Instruction manifestement illicite.

ARTICLE 4 – AUDIT

Le ST met à la disposition du RT les informations nécessaires pour démontrer le respect de ses obligations au titre de l’article 28 du RGPD, sous réserve de la protection de ses informations confidentielles, de la sécurité de ses systèmes et des droits de ses autres clients. Si ces informations sont insuffisantes, le RT peut faire réaliser un audit dans les conditions suivantes :

• L’audit est réalisé par un auditeur indépendant, non concurrent du ST, choisi d’un commun accord entre les Parties et soumis à une obligation de confidentialité ;

• Il est limité aux Traitements réalisés pour le compte du RT ;

• Il ne peut avoir lieu plus d’une fois par an, sauf exigence légale, demande d’une Autorité de Régulation ou incident de sécurité majeur justifiant un contrôle supplémentaire ;

• Il est précédé d’un préavis écrit d’au moins vingt (20) jours ouvrés, sauf urgence légalement justifiée ;

• Il se déroule pendant les heures ouvrées, sans perturber de manière déraisonnable l’activité du ST ;

• Ses frais sont supportés par le RT.

Sous réserve de la signature par le Responsable de traitement et les auditeurs d’un engagement de confidentialité, le Sous-traitant s'engage à permettre l’accès des auditeurs sélectionnés à ses sites, installations, documents et informations nécessaires en vue d’évaluer son bon niveau de conformité, et coopère pleinement avec eux en vue de la bonne réalisation de leur mission. En cas de défaillances identifiées, les Parties conviennent des mesures correctives à mettre en œuvre. Tous les rapports d'audit sont confidentiels et ne peuvent être partagés qu'avec des tiers soumis à des obligations de confidentialité, ou si requis par la loi ou une autorité compétente. Le ST disposera d’un délai raisonnable à compter de la communication du rapport d’audit pour corriger à ses frais les manquements et/ou non-conformités constatées. En cas de contrôle par une autorité réglementaire, le ST s'engage à coopérer pleinement et à fournir l'assistance nécessaire pour vérifier la conformité des traitements effectués.

ARTICLE 5 – DROIT DES PERSONNES CONCERNEES

Le RT est responsable de l’information des Personnes Concernées et du traitement de leurs demandes d’exercice des droits. Lorsque le ST reçoit directement une demande concernant les Traitements réalisés pour le compte du RT, il

• La transmet au RT dans les meilleurs délais et au plus tard dans les cinq (5) jours ouvrables ;

• Ne répond pas directement à la Personne Concernée, sauf Instruction du RT ou obligation légale ;

• Apporte au RT, compte tenu de la nature des Traitements, l’assistance raisonnablement nécessaire pour répondre à cette demande.

Toute prestation d’assistance excédant les fonctionnalités et obligations habituelles du ST pourra faire l’objet d’une facturation complémentaire, sur devis préalablement accepté par le RT.

ARTICLE 6 – SOUS-TRAITANTS ULTERIEURS

Le RT accorde au ST une autorisation générale de recourir à des Sous-Traitants Ultérieurs pour les besoins de l’exécution du Contrat. Le ST informe préalablement le RT, par écrit, de tout ajout ou remplacement envisagé d’un Sous-Traitant Ultérieur, en précisant son identité et les activités de Traitement concernées. Le RT dispose de dix (10) jours à compter de cette information pour formuler une objection écrite et motivée, fondée sur des motifs légitimes relatifs à la protection des Données Personnelles. À défaut d’objection dans ce délai, le changement est réputé accepté. En cas d’objection, les Parties recherchent de bonne foi une solution adaptée. Si aucune solution raisonnable ne peut être trouvée, le ST pourra mettre fin aux seules Prestations concernées, dans les conditions prévues au Contrat. Le ST conclut avec chaque Sous-Traitant Ultérieur un accord imposant des obligations de protection des Données Personnelles substantiellement équivalentes à celles prévues au présent Accord, conformément à l’article 28 du RGPD. Le ST demeure responsable envers le RT de l’exécution par ses Sous-Traitants Ultérieurs de leurs obligations en matière de protection des Données Personnelles.

ARTICLE 7 – VIOLATION DES DONNEES PERSONNELLES

En cas de Violation de Données Personnelles affectant les Traitements réalisés pour le compte du RT, le ST en informe celui-ci sans retard injustifié après en avoir pris connaissance.

Cette notification précise, dans la mesure des informations disponibles :

• La nature de la Violation de Données Personnelles et, si possible, les catégories et le nombre approximatif de Personnes Concernées et d’enregistrements concernés ;

• Les coordonnées du point de contact compétent ;

• Les conséquences probables de la Violation de Données Personnelles ;

• Les mesures prises ou envisagées pour y remédier et en limiter les conséquences.

Lorsque toutes les informations ne sont pas immédiatement disponibles, le ST les communique progressivement, sans retard injustifié. Le ST apporte au RT, compte tenu de la nature des Traitements et des informations dont il dispose, l’assistance nécessaire pour permettre à celui-ci de satisfaire à ses obligations de notification à l’Autorité de Régulation et, le cas échéant, de communication aux Personnes Concernées. Le RT demeure responsable de l’appréciation de ces obligations et de l’accomplissement des notifications qui lui incombent .

ARTICLE 8 – TRANSFERTS INTERNATIONAUX

Tout transfert de Données Personnelles vers un Pays Tiers par le ST ou un Sous-Traitant Ultérieur est effectué conformément aux Instructions documentées du RT et à la Réglementation sur les Données Personnelles, sauf obligation légale contraire. Le RT autorise les transferts nécessaires à l’exécution du Contrat, sous réserve de la mise en œuvre des garanties requises par le chapitre V du RGPD. À ce titre, le ST et ses Sous-Traitants Ultérieurs peuvent notamment recourir aux décisions d’adéquation ou aux clauses contractuelles types adoptées par la Commission européenne, lorsque leurs conditions d’utilisation sont remplies.