Dpa

La présente DPA fait partie intégrante de l'Easybox et en constitue une annexe conditions générales conclu entre le Client et Easybox (le « Contrat »). Le présent accord de sous-traitance Easybox (le « DPA ») est conclu entre le client et Breex Easybox, dont le siège social est situé Moutstraat 66/boîte postale 601, 9000 Gand, immatriculée à la Banque-Carrefour des Entreprises sous le numéro d’entreprise BE 0760.527.015 (« Easybox »). La présente DPA décrit le traitement des données à caractère personnel effectué par Easybox pour le compte du Client.

INTRODUCTION

En vertu du Contrat, le Client s'est vu accorder l'accès à la plateforme Easybox (la «Plateforme”). Par l’intermédiaire de la Plateforme, Easybox collecte et traite des données à caractère personnel pour le compte du Client.

Les parties souhaitent conclure un accord de sous-traitance conforme aux exigences de la législation en vigueur en matière de protection des données, y compris le RGPD.

Le présent accord sur la protection des données (DPA) remplace les dispositions antérieures figurant dans les accords passés et actuels entre les parties qui concernent, de manière directe ou indirecte, le traitement des données à caractère personnel, la confidentialité, l'accès aux données à caractère personnel, le transfert de données et la sécurité des données.

1. DÉFINITIONS

1.1 Les termes qui ne sont pas explicitement définis dans le présent DPA ont la même signification que dans les Conditions d'utilisation. Les termes et expressions utilisés ici sont définis comme suit :

« Règlement général sur la protection des données ou RGPD »	désigne le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE.
« La personne concernée»	désigne toute personne physique identifiée ou identifiable à laquelle se rapportent les données à caractère personnel.
«Service»	désigne l'offre en ligne de la Plateforme ainsi que les services associés (assistance, maintenance, etc.)
«Finalités»	désignent les finalités bien définies, explicitement décrites et légitimes du traitement.
«Violation des données à caractère personnel »	désigne tout accès non autorisé ou illicite, toute suppression, modification, perte ou tout traitement des données à caractère personnel, ainsi que tout autre événement entraînant ou susceptible d’entraîner la suppression, la perte, la modification, la divulgation non autorisée ou l’accès non autorisé, involontaires ou illicites, aux données à caractère personnel, toute violation liée aux données à caractère personnel telle que définie dans le RGPD, ou tout indice laissant supposer qu’une telle violation va se produire ou s’est produite.
«Données clients»	désigne toutes les données, sous quelque forme que ce soit, traitées par Easybox pour le compte du Client dans le cadre de la fourniture de la Plateforme, y compris (le cas échéant) les Données à caractère personnel.
« Données à caractère personnel »	désigne toute information concernant une personne physique identifiée ou identifiable au sens de l'Accord. Une personne physique « identifiable » est une personne physique qui peut être identifiée, directement ou indirectement, notamment au moyen d’un identifiant tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou au moyen d’un ou plusieurs éléments propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale.
«Plateforme»	c'est la plateforme Easybox.
«Sous-traitant»	désigne le sous-traitant au sens de l'article 4, paragraphe 8, du RGPD.
« Responsable dutraitement »	désigne le responsable du traitement au sens de l'article 4, paragraphe 7, du RGPD.
«Législation relative à la laprotection desdonnées »	désigne le RGPD et toute autre législation locale au sein de l'Espace économique européen susceptible de s'appliquer au traitement des données à caractère personnel.
«Traitement» ou toute variante du verbe «traiter»	désigne toute opération ou tout ensemble d'opérations effectuées sur des données à caractère personnel, qu'elles soient ou non automatisées, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, la mise à jour ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, l'alignement ou la combinaison, la protection, l'effacement ou la destruction.

1.2. Tous les termes et expressions qui ne sont pas expressément définis dans le présent accord sur le traitement des données (DPA) ont le sens qui leur est donné dans le contrat.

2. TRAITEMENT DES DONNÉES À CARACTÈRE PERSONNEL

2.1 Les Parties reconnaissent qu’Easybox agit en tant que sous-traitant en ce qui concerne les données à caractère personnel dans le cadre de la prestation des Services. Le Client reste à tout moment le responsable du traitement des données à caractère personnel. 2.2 Chacune des parties doit respecter ses obligations respectives en matière de traitement des données à caractère personnel, conformément à la législation relative à la protection des données. 2.3 Lors de l'utilisation de la Plateforme, le Client peut fournir à Easybox certaines Données à caractère personnel en vue de leur Traitement. Easybox ne traitera ces Données à caractère personnel que pendant la durée du Contrat ou pendant toute autre période convenue (par exemple en cas de résiliation anticipée), et ne conservera en aucun cas ces Données à caractère personnel plus longtemps que nécessaire au regard de la finalité pour laquelle elles sont traitées. 2.4 La nature et la finalité du traitement, le type de données à caractère personnel des clients faisant l'objet du traitement et les catégories de personnes concernées dans le présent accord de traitement des données sont précisées à l'annexe 1. 2.5 Données à caractère personnel sont traitées au sein de l'Espace économique européen traitées. Easybox peut transférer des données à caractère personnel vers des pays situés en dehors de l'Espace économique européen, à condition que ce transfert respecte les garanties supplémentaires prescrites par la législation applicable en matière de protection des données.

3. OBLIGATIONS DU CLIENT

3.1 En concluant le présent ATD, le Client charge Easybox de traiter ses Données à caractère personnel : (a) afin de fournir le Service conformément à ses caractéristiques et fonctionnalités ; (b) afin de permettre la réalisation des actions initiées par le Client et les Utilisateurs enregistrés sur le Service, conformément au présent ATD et/ou au Contrat. 3.2 Easybox informe immédiatement le Client si, à son avis, une instruction du Client constitue une violation du RGPD (ou de toute autre législation relative à la protection des données). Easybox a le droit de suspendre l’exécution de cette instruction et de cesser de traiter les données à caractère personnel conformément aux instructions fournies précédemment, après cette notification. Une telle suspension ne donne lieu à aucun droit à indemnisation de la part du Client. 3.3 Si, en vertu d'une disposition qui lui est applicable, Easybox est tenue de traiter des données à caractère personnel ou de les transférer vers un pays tiers ou une organisation internationale, Easybox informe le Client de cette obligation légale, sauf si la législation en question interdit cette notification. 3.4 Dans le cadre du présent DPA et du fait de l'utilisation du Service, le Client est responsable du respect de toutes les obligations qui lui incombent en vertu de la législation applicable en matière de protection des données, notamment en ce qui concerne le traitement des données à caractère personnel. 3.5 Sans préjudice de ce qui précède, le Client reconnaît en particulier qu’il est seul responsable : (i) de l’exactitude, de la qualité et de la licéité des Données à caractère personnel, ainsi que de la manière dont il a obtenu ces Données à caractère personnel ; (ii) du respect de toutes les obligations en matière de transparence et de licéité prévues par la législation applicable en matière de protection des données en ce qui concerne la collecte et l’utilisation des Données à caractère personnel ; (iii) et qu’il a le droit de fournir les Données à caractère personnel à Easybox et de lui donner accès à celles-ci aux fins de leur Traitement conformément aux dispositions du Contrat ; et (iv) que ses instructions à Easybox concernant le Traitement des Données à caractère personnel sont conformes à la législation applicable, y compris la législation relative à la protection des données. Le Client doit informer Easybox sans retard injustifié s’il n’est pas en mesure de respecter ses obligations découlant du présent article ou de la législation applicable en matière de protection des données. 3.6 Aucune disposition du présent DPA ne confère au Client le droit de permettre à des personnes ou entités autres que les Utilisateurs enregistrés d’accéder, directement ou indirectement, au Service et de l’utiliser, ni d’utiliser le Service (ou de le faire utiliser par des tiers) à des fins illicites ou d’une manière autre que celle prévue dans le Contrat et/ou dans le présent DPA.

4. MESURES TECHNIQUES ET ORGANISATIONNELLES

4.1 Easybox a mis en œuvre des mesures techniques et organisationnelles appropriées afin de garantir que le traitement soit effectué conformément à la législation en matière de protection des données et d’assurer un niveau de sécurité adéquat des données à caractère personnel, compte tenu de l’état de la technique, des coûts de mise en œuvre ainsi que de la nature, de l’étendue, du contexte et des finalités du traitement, ainsi que du risque présentant différents degrés de probabilité et de gravité pour les droits et libertés des personnes physiques. 4.2 Le Client reconnaît que les exigences en matière de sécurité sont susceptibles d'évoluer et qu'une sécurité efficace nécessite une évaluation et une amélioration régulières des mesures de sécurité. C’est pourquoi Easybox évaluera en permanence les mesures prises pour respecter ses obligations et les renforcera, les complétera ou les améliorera. Easybox peut modifier et réviser les mesures techniques et organisationnelles à sa seule discrétion, dans la mesure où ces modifications ou révisions n’entraînent pas une dégradation significative de la protection actuellement offerte par les mesures en vigueur. 4.3 Easybox consignera toutes les informations nécessaires pour démontrer la conformité susmentionnée (y compris un registre des activités de traitement). Sur simple demande du Client, Easybox mettra ces documents à sa disposition.

5. CONFIDENTIALITÉ

5.1 Easybox s'engage à garantir la confidentialité des données à caractère personnel traitées. 5.2 Easybox informera toute personne ayant accès aux données à caractère personnel (y compris les salariés, les intérimaires et les collaborateurs indépendants) des obligations qui lui incombent au nom d'Easybox concernant les données à caractère personnel du client. 5.3 Easybox veillera à ce que toutes les personnes impliquées dans le traitement des données à caractère personnel du client soient tenues au secret professionnel ou à une obligation légale de confidentialité, afin de préserver la confidentialité et l'intégrité des données à caractère personnel du client.

6. SOUS-TRAITANTS

6.1 Le Client autorise la Société à faire appel à des sous-traitants (externes) afin de traiter des données à caractère personnel (y compris leur transfert). 6.2 À l'heure actuelle, Easybox utilise les Annexe 2 les parties externes mentionnées en tant que sous-traitants. En signant le présent Contrat, le Client donne son consentement écrit pour faire appel aux sous-traitants mentionnés en vue du traitement des données à caractère personnel pour le compte du Client. 6.3 Easybox informera le Client par e-mail et/ou par notification sur la Plateforme de toute modification envisagée concernant l'ajout ou le remplacement de ses sous-traitants actuels, avant la mise en œuvre de cette modification. Le Client peut s'opposer à un tel ajout ou remplacement dans un délai de 30 jours à compter de la notification, en invoquant des motifs valables liés à la protection des données à caractère personnel, en envoyant un e-mail à hello@easybox.com. Si le Client ne forme pas d'objection dans ce délai, il est réputé avoir renoncé à son droit d'opposition et avoir autorisé Easybox à faire appel à un tel sous-traitant. 6.4 Si le Client fait part à Easybox d’une telle objection, les Parties se réuniront pour examiner celle-ci dans le but de parvenir à une solution raisonnable. Si une telle solution ne peut être trouvée, Easybox peut, à son entière discrétion, décider de ne pas désigner le nouveau sous-traitant ou d’autoriser le Client à suspendre ou à résilier le Service concerné conformément aux dispositions relatives à la résiliation du Contrat, sans encourir de responsabilité envers l’autre partie (les éventuels frais correspondant à la période précédant la suspension ou la résiliation du Contrat restant toutefois à la charge du Client). 6.5 Les sous-traitants d’Easybox sont soumis aux mêmes obligations contractuelles que celles énoncées dans le présent Contrat, dans la mesure où cela s’applique compte tenu de la nature des services fournis par ces sous-traitants. Si un sous-traitant ne respecte pas ses obligations en matière de protection des données, Easybox reste pleinement responsable envers le Client du respect des obligations de ce sous-traitant.

7. OBLIGATION D'INFORMATION ET ASSISTANCE

7.1 Easybox aidera le Client à s'acquitter de son obligation de répondre aux demandes des personnes concernées visant à exercer leurs droits :

• en informant le Client de toutes les demandes reçues concernant les Données à caractère personnel d'une Personne concernée, d'une autorité de contrôle et/ou de toute autre autorité compétente en vertu de la Législation relative à la protection des données ;
• en apportant une coopération raisonnable au Client afin de répondre aux demandes de la personne concernée conformément au RGPD, après avoir obtenu l'accord du Client ;
• en veillant à ce qu’Easybox dispose des moyens techniques et organisationnels nécessaires pour supprimer de son système, de ses registres ou de ses bases de données les données à caractère personnel de la personne concernée qui exerce ce droit. Les données à caractère personnel peuvent rester présentes sur des supports de sauvegarde ou d’archivage qui sont isolés de manière sécurisée et protégés contre tout traitement ultérieur, avant d’être définitivement supprimées conformément à la politique de conservation des données.

Nonobstant ce qui précède, le Client reste responsable du traitement correct de ces demandes émanant des personnes concernées. 7.2 Compte tenu de la nature du traitement et dans la mesure où Easybox peut raisonnablement disposer des informations requises, Easybox apporte au Client, à sa demande, une assistance raisonnable pour la mise en œuvre d'un analyse d'impact sur la vie privée et, le cas échéant, après consultation préalable de l'autorité de contrôle compétente. Dans la mesure où la législation applicable en matière de protection des données le permet, les frais liés à cette assistance fournie par Easybox sont à la charge du Client. 7.3 Easybox informe le Client, sans retard injustifié et, en tout état de cause, dans les 48 heures suivant la prise de connaissance de celle-ci, par e-mail, de toute violation des données à caractère personnel du Client. Le Client doit s'assurer que ses coordonnées restent à jour et exactes pendant toute la durée du présent Contrat. 7.4 Easybox mettra à la disposition du Client toutes les informations nécessaires, dans la mesure où la loi l'exige, afin de démontrer le respect des obligations prévues dans le présent Contrat, et autorisera et collaborera, pendant toute la durée du Contrat, aux audits, y compris les inspections, menés par un auditeur externe mandaté par le Client afin de démontrer le respect des conditions du Contrat. 7.5 Le Client limitera ses initiatives visant à réaliser un audit ou une inspection à une fois par an au maximum, sauf dans le cas où (i) cela est imposé par la loi, (ii) si Easybox a subi une violation des données à caractère personnel au cours des douze (12) derniers mois ayant eu une incidence sur les données à caractère personnel du Client ou (iii) en cas d’accord mutuel, et informera Easybox de cette demande au moins 30 jours ouvrables avant la date de l’audit. 7.6 Le Client s'engage à ce que l'audit soit mené de manière à limiter au maximum les désagréments pour Easybox. Le Client impose à ses auditeurs une obligation de confidentialité suffisante. En outre, Easybox peut exiger du Client et de ses auditeurs qu'ils signent un accord de confidentialité avant le début de l'audit. 7.7 L'étendue d'un audit ne peut entraîner l'obligation de permettre à l'auditeur d'accéder à ou de lui fournir : (a) des informations ou des données concernant tout autre client d'Easybox ; (b) des secrets d'affaires d'Easybox ou des informations s'y rapportant ; (c) des informations qui, selon l’avis raisonnable d’Easybox, pourraient compromettre la sécurité de ses systèmes ou de ses locaux, ou qui pourraient avoir pour conséquence qu’Easybox enfreigne ses obligations en vertu de la Législation relative à la protection des données ou d’autres obligations en matière de sécurité, de confidentialité ou de respect de la vie privée envers d’autres clients d’Easybox ou envers des tiers ; ou (d) toute information que l’auditeur souhaite consulter pour des raisons autres que le respect de bonne foi des obligations découlant de la législation relative à la protection des données et le respect par Easybox des dispositions du présent DPA.

8. SUPPRESSION OU RETOUR

8.1 En cas de résiliation ou d’expiration du Contrat, Easybox procédera à la suppression ou à la restitution de toutes les Données à caractère personnel traitées en vertu du présent Contrat (ainsi que de toutes les copies existantes), sauf si (i) Easybox soit tenue, en vertu de la législation applicable, de conserver les données à caractère personnel, ou (ii) les données à caractère personnel aient été archivées dans un système de sauvegarde que Easybox conserve de manière sécurisée et isolée, à l’abri de tout traitement ultérieur, et dans lequel les données sont effacées conformément à la politique d’Easybox en matière de conservation des données.

9. DURÉE

9.1 Le présent DPA prend fin automatiquement à l'expiration de la Durée prévue dans la Confirmation de commande, sauf s'il est résilié avant cette date.

10. RESPONSABILITÉ

10.1 S'il est prouvé qu'Easybox n'a pas respecté ses obligations au titre du présent accord de sous-traitance ou au titre du RGPD, Easybox est responsable du préjudice direct prouvé subi par le Client. Easybox n’est pas responsable des dommages indirects, immatériels et/ou consécutifs, notamment le manque à gagner, la perte d’opportunités, la perte et/ou l’endommagement de données, l’atteinte à la réputation, les sanctions et/ou amendes, ainsi que les dommages imprévisibles. La responsabilité d’Easybox envers le Client est en tout état de cause limitée au montant total versé par le Client à Easybox au titre du Contrat au cours des 12 derniers mois. 10.2 Chaque partie est tenue de s'acquitter des amendes administratives infligées par une autorité de contrôle en rapport avec son propre traitement. 10.3 Aucune disposition du présent accord sur le traitement des données (DPA) n'implique la limitation ou l'exclusion d'une quelconque responsabilité ou d'un quelconque droit dont la personne concernée peut se prévaloir en vertu de la législation en cas de préjudice résultant d'une violation du RGPD par Easybox en sa qualité de sous-traitant. 10.4 Les dispositions du présent article ne portent pas atteinte aux autres dispositions relatives à la responsabilité figurant dans le Contrat.

11. DROIT APPLICABLE ET COMPÉTENCE JUDICIAIRE

11.1 La présente DPA est régie par la législation belge en matière de protection des données et doit être interprétée conformément à celle-ci, sauf disposition contraire de la législation applicable en matière de protection des données. 11.2 Tout litige découlant du présent contrat doit être porté devant les tribunaux désignés dans le contrat.