Le présent addendum sur le traitement des données ("DPA") est un accord formel entre Simbase INC.une société constituée en vertu des lois de l'État du Delaware ("Simbase) et l'entité décrite dans l'accord ("Client"). Les deux parties sont ci-après désignées individuellement comme une "partie" et ensemble comme les "parties".
Le présent DPA est parfaitement intégré au contrat d'abonnement qui régit l'utilisation du service (le "contrat") entre les parties et en constitue une partie essentielle. Tous les termes commençant par une majuscule dans le présent DPA, sauf définition contraire, ont la même signification que celle précisée dans l'accord. En cas de divergences ou d'incohérences entre le présent DPA, tout accord de traitement des données précédemment exécuté et d'autres parties de l'Accord, les stipulations du présent DPA prévaudront.
L'essence de cette DPA tourne autour des conditions qui s'appliquent lorsque Simbase traite des informations personnelles dans le cadre de l'accord. Il est conçu pour garantir que ce traitement est conforme au droit applicable et qu'il respecte les droits des personnes dont les données à caractère personnel sont traitées.
1. Définitions
"Droit applicable désigne l'ensemble des lois, règlements et autres exigences légales ou réglementaires applicables aux États-Unis, au niveau fédéral et au niveau des États, dans toute juridiction relative à l'accord, y compris, mais sans s'y limiter, le California Consumer Privacy Act tel que modifié par le California Privacy Rights Act ("CCPA/CPRA"), le Virginia Consumer Data Protection Act ("VCDPA"), le Colorado Privacy Act ("CPA"), le Connecticut Data Privacy Act ("CTDPA"), et toute autre loi nationale applicable en matière de protection de la vie privée ou des données.
"Informations personnelles désigne les informations qui identifient, concernent, décrivent, sont raisonnablement susceptibles d'être associées ou pourraient raisonnablement être liées, directement ou indirectement, à une personne ou à un ménage identifié ou identifiable, tel que défini par le droit applicable. Cela inclut, le cas échéant, les "informations personnelles" telles que définies dans la CCPA/CPRA et les termes équivalents dans d'autres lois nationales sur la protection de la vie privée.
"Fournisseur de services désigne Simbase lorsqu'elle traite des Données à caractère personnel pour le compte du Client conformément au Contrat, au sens de la Loi applicable (y compris le terme " sous-traitant " en vertu des lois étatiques applicables en matière de protection de la vie privée).
"Sous-processeur désigne tout tiers engagé par Simbase pour l'aider à traiter les Données à caractère personnel pour le compte du Client.
"Consommateur" désigne une personne physique qui fait l'objet d'informations à caractère personnel traitées en vertu du présent DPA, y compris tout "consommateur" ou "personne concernée" tel que défini par le droit applicable.
"Violation d'informations personnelles désigne une violation de la sécurité entraînant la destruction, la perte, l'altération, la divulgation non autorisée ou l'accès accidentel ou illégal aux informations personnelles transmises, stockées ou traitées de toute autre manière par Simbase ou ses sous-traitants dans le cadre de l'accord.
2. Champ d'application
Le présent RGPD s'applique au traitement des Données à caractère personnel par Simbase pour le compte du Client dans le cadre de la fourniture de Services au titre du Contrat. Le présent RGPD s'applique aux Clients domiciliés aux États-Unis ou au Canada et au traitement des Données à caractère personnel des Consommateurs situés aux États-Unis ou au Canada.
Simbase ne traitera les Données Personnelles que dans la mesure nécessaire à l'exécution de ses obligations au titre du Contrat et conformément aux instructions documentées du Client, à moins que le traitement ne soit requis par la Loi Applicable, auquel cas Simbase informera le Client, dans la mesure permise par la loi, de cette exigence légale avant de procéder au traitement.
3. Obligations de Simbase
En sa qualité de prestataire de services au titre du présent DPA, Simbase s'engage à
(a) traiter les données à caractère personnel uniquement dans la mesure où cela est raisonnablement nécessaire et proportionné pour atteindre les objectifs opérationnels définis dans l'accord, et conformément aux instructions documentées du client ;
(b) ne pas vendre d'informations personnelles, telles que ce terme est défini dans la CCPA/CPRA ou dans les lois nationales équivalentes sur la protection de la vie privée ;
(c) ne pas conserver, utiliser ou divulguer les informations personnelles à d'autres fins que les objectifs spécifiques énoncés dans l'accord, y compris la conservation, l'utilisation ou la divulgation d'informations personnelles à des fins commerciales autres que la fourniture des services spécifiés dans l'accord ;
(d) ne pas partager les informations personnelles à des fins de publicité comportementale inter-contexte, telle que définie par la CCPA/CPRA ;
(e) ne pas combiner les Données à caractère personnel reçues du Client ou en son nom avec les Données à caractère personnel que Simbase reçoit de ou au nom d'une ou plusieurs autres personnes, ou qu'elle recueille dans le cadre de ses propres interactions avec les Consommateurs, sauf dans les cas expressément autorisés par la Loi applicable ;
(f) mettre en œuvre et maintenir des mesures de protection administratives, techniques et physiques raisonnables conçues pour protéger les informations personnelles contre l'accès, la destruction, l'utilisation, la modification ou la divulgation non autorisés, conformément aux normes décrites dans les normes de sécurité des données de Simbase disponibles à l'adresse www.simbase.com/terms/data-security-standards ;
(g) s'assurer que tous les employés, agents et membres du personnel autorisés à traiter les informations personnelles se sont engagés à respecter la confidentialité ou sont soumis à une obligation légale ou contractuelle appropriée de confidentialité ;
(h) à la demande écrite du client, supprimer ou renvoyer les informations personnelles (et toute copie de celles-ci) au client à la fin du présent accord, à moins que le droit applicable n'exige la conservation de ces informations personnelles ;
(i) mettre à la disposition du client toutes les informations raisonnablement nécessaires pour démontrer qu'il se conforme aux obligations énoncées dans le présent article, et permettre les audits, y compris les inspections, effectués par le client ou son auditeur désigné (aux frais et dépens du client, sauf accord contraire), et y contribuer de manière significative ;
(j) avertir le client sans délai indu après avoir pris connaissance d'une violation de données à caractère personnel et fournir une coopération et une assistance raisonnables pour identifier, remédier et atténuer les effets d'une telle violation ; et
(k) sur demande raisonnable, fournir au client un résumé ou une copie des résultats de tous les audits ou évaluations de sécurité menés par des tiers en rapport avec les services.
4. Obligations du client
Le client doit :
(a) s'assurer que son utilisation des services et ses instructions relatives au traitement des données à caractère personnel sont conformes au droit applicable, y compris en fournissant les avis requis aux consommateurs dont les données à caractère personnel seront traitées dans le cadre de l'accord et en obtenant les consentements ou autorisations requis de leur part ;
(b) sont seuls responsables de l'exactitude, de la qualité et de la légalité des informations personnelles fournies à Simbase et des moyens par lesquels le Client a acquis ces informations personnelles ;
(c) notifier rapidement à Simbase toute demande de droits des Consommateurs nécessitant l'assistance de Simbase, et coopérer avec Simbase pour répondre à ces demandes dans les délais requis par le Droit Applicable ; et
(d) s'assurer de ne pas divulguer à Simbase des catégories de renseignements personnels que Simbase n'est pas autorisée à traiter en vertu de l'entente.
5. Demandes relatives aux droits des consommateurs
Simbase fournira une assistance raisonnable au Client pour répondre aux demandes vérifiables de droits des Consommateurs en vertu de la Loi applicable, y compris les demandes d'accès, de suppression, de correction ou d'exclusion de la vente ou du partage des Données à caractère personnel.
Si Simbase reçoit directement une demande relative aux droits des Consommateurs, Simbase en informera le Client dans les plus brefs délais et ne répondra pas directement à cette demande, à moins que le Client ne l'autorise ou que la Loi applicable ne l'exige. Simbase s'engage à coopérer avec le Client pour répondre à ces demandes dans les délais prescrits par la Loi applicable, qui sont généralement les suivants :
(a) Californie (CCPA/CPRA) : 45 jours à compter de la réception d'une demande vérifiable, avec une prolongation possible de 45 jours supplémentaires sur notification au consommateur ;
(b) Virginie (VCDPA) : 45 jours à compter de la réception, avec une prolongation possible de 45 jours supplémentaires sur notification ;
(c) Colorado (CPA) et Connecticut (CTDPA) : 45 jours à compter de la réception, avec une prolongation possible de 45 jours supplémentaires sur notification ; et
(d) autres États applicables : conformément à la loi sur la protection de la vie privée de l'État concerné.
6. Sous-processeurs
Par la présente, le Client accorde à Simbase une autorisation générale écrite d'engager des Sous-traitants pour le traitement des Données à caractère personnel dans le cadre de la présente DPA. Une liste actualisée des sous-traitants de Simbase est disponible à l'adresse www.simbase.com/terms/subprocessors.
Simbase informera le Client suffisamment à l'avance avant d'engager un nouveau Sous-traitant ou de remplacer un Sous-traitant existant, en mettant à jour la page des Sous-traitants mentionnée ci-dessus ou par notification directe. Si le Client s'oppose à un nouveau Sous-traitant pour des motifs raisonnables liés à la protection des données, il doit en informer Simbase par écrit dans un délai de quatorze (14) jours à compter de la réception de la notification. Les Parties collaboreront de bonne foi pour trouver une solution mutuellement acceptable. Si aucune solution n'est trouvée, le Client peut résilier le Service concerné sans pénalité, moyennant une notification écrite à Simbase.
Simbase veillera à ce que chaque Sous-Traitant soit lié par des obligations au moins aussi protectrices que celles énoncées dans le présent DPA, et Simbase demeurera pleinement responsable envers le Client des actes et omissions de ses Sous-Traitants.
7. Violation de données personnelles
En cas de violation des données personnelles, Simbase en informera le Client dans les plus brefs délais et, en tout état de cause, dans les soixante-douze (72) heures suivant la prise de connaissance de la violation. Cette notification comprendra, dans la mesure où cela est raisonnablement possible :
(a) une description de la nature de la violation, y compris, si possible, les catégories et le nombre approximatif de consommateurs et de dossiers concernés ;
(b) le nom et les coordonnées du point de contact au sein de Simbase auprès duquel des informations complémentaires peuvent être obtenues ;
(c) une description des conséquences probables de la violation ; et
(d) une description des mesures prises ou proposées par Simbase pour remédier à la violation et atténuer ses éventuels effets négatifs.
Simbase coopérera avec le Client pour remplir toute obligation de notification de violation en vertu de la loi applicable, qui exige généralement la notification aux consommateurs concernés et, le cas échéant, aux procureurs généraux de l'État dans des délais allant de trente (30) à quatre-vingt-dix (90) jours en fonction de la juridiction.
8. Mesures de sécurité
Simbase doit mettre en œuvre et maintenir un programme complet de sécurité de l'information qui comprend des mesures de protection administratives, techniques et physiques appropriées pour protéger les Données personnelles, conformément aux normes de l'industrie, y compris le NIST Cybersecurity Framework et l'ISO/IEC 27001. Les mesures de sécurité de Simbase sont décrites plus en détail dans les Normes de sécurité des données disponibles à l'adresse www.simbase.com/terms/data-security-standards.
Ces mesures comprennent au minimum : le cryptage des informations personnelles en transit et au repos ; des contrôles d'accès et des mécanismes d'authentification ; des évaluations régulières de la vulnérabilité et des tests de pénétration ; une formation de sensibilisation des employés à la sécurité ; et des procédures de réaction en cas d'incident.
9. Audits et conformité
Sur demande écrite raisonnable du Client, et sous réserve des obligations de confidentialité appropriées, Simbase mettra à disposition les informations nécessaires pour démontrer le respect du présent DPA. Le Client peut effectuer ou faire effectuer un audit des activités de traitement de Simbase, à condition que :
(a) le Client donne à Simbase un préavis écrit d'au moins trente (30) jours ;
(b) les audits sont effectués pendant les heures normales de travail et ne perturbent pas de manière déraisonnable les activités de Simbase ;
(c) le client supporte tous les coûts liés à l'audit, sauf accord contraire ; et
(d) les résultats de l'audit et toute information obtenue sont traités comme des informations confidentielles de Simbase.
Lorsque Simbase a obtenu des certifications ou des rapports d'audit de tiers (tels que SOC 2 Type II), Simbase peut mettre ces rapports à la disposition du client au lieu d'un audit direct, à la discrétion de Simbase.
10. Retour et suppression des données
En cas de résiliation ou d'expiration du Contrat, et sur demande écrite du Client, Simbase devra, au choix du Client, soit renvoyer toutes les Données personnelles au Client dans un format couramment utilisé et lisible par machine, soit supprimer de manière sécurisée toutes les Données personnelles en sa possession, y compris toutes les copies, dans un délai de trente (30) jours à compter de la réception de la demande.
Simbase fournira une attestation écrite de la suppression à la demande du Client. Simbase peut conserver les Données personnelles dans la mesure où le droit applicable l'exige, à condition que Simbase continue de protéger les Données personnelles conservées conformément au présent DPA et de les traiter uniquement aux fins requises par la loi.
11. Responsabilité et indemnisation
La responsabilité de chaque partie au titre du présent DPA est soumise aux limitations et exclusions de responsabilité énoncées dans l'accord. Aucune disposition du présent DPA ne limite la responsabilité de l'une ou l'autre des parties en cas de faute intentionnelle, de négligence grave ou de toute responsabilité qui ne peut être limitée ou exclue par le droit applicable.
Chaque partie indemnise, défend et garantit l'autre partie contre toute réclamation, tout dommage, toute perte, tout coût et toute dépense de tiers (y compris les honoraires raisonnables d'avocat) résultant de ou liés à une violation du présent DPA par la partie indemnisante, sous réserve des limitations de responsabilité prévues par l'accord.
12. Droit applicable et règlement des litiges
Le présent DPA est régi et interprété conformément aux lois de l'État du Delaware, sans tenir compte des principes de conflit de lois, et aux lois fédérales applicables des États-Unis. Dans la mesure où une loi étatique spécifique sur la protection de la vie privée s'applique au traitement des informations personnelles en vertu du présent DPA, cette loi étatique régira également les activités de traitement concernées.
Tout litige découlant du présent DPA ou s'y rapportant et qui ne peut être résolu par les parties dans le cadre d'une négociation de bonne foi est soumis à la compétence exclusive des tribunaux fédéraux ou d'État situés dans l'État du Delaware.
13. Durée et résiliation
Le présent DPA prend effet à la date de signature de l'accord et reste en vigueur pendant toute la durée de l'accord. En cas de résiliation de l'accord, le présent DPA prend automatiquement fin, sous réserve des dispositions de la section 10 (restitution et suppression des données) et de toute autre disposition qui, de par sa nature, est destinée à survivre à la résiliation, y compris les obligations de confidentialité, la responsabilité et l'indemnisation.
14. Divers et variés
Le présent DPA, ainsi que l'accord, constituent l'intégralité de l'accord entre les parties en ce qui concerne l'objet du présent DPA et remplacent tous les accords, propositions ou déclarations antérieurs et contemporains, écrits ou oraux, concernant l'objet du présent DPA.
Si une disposition du présent DPA est jugée inapplicable ou invalide, cette disposition sera limitée ou éliminée dans la mesure minimale nécessaire pour que le présent DPA reste par ailleurs pleinement en vigueur et applicable.
Simbase peut mettre à jour le présent DPA de temps à autre afin de refléter les modifications apportées au droit applicable ou aux pratiques de traitement de Simbase. Simbase s'engage à informer le Client dans un délai raisonnable de toute modification substantielle. La poursuite de l'utilisation des Services après cette notification vaut acceptation de la DPA mise à jour.
Informations sur le contact
Pour toute question concernant le présent DPA ou pour exercer des droits en vertu du présent DPA, veuillez contacter
Simbase INC.
1401 Pennsylvania Ave, Suite 105 Wilmington, DE 19806
Courriel : privacy@simbase.com
Site web : www.simbase.com
