Avenant relatif au traitement des données de zcal

Dernière mise à jour : 1er janvier 2024

Cette traduction vous est fournie pour votre commodité. En cas de divergence avec la version anglaise, la version anglaise prévaut.

Le présent Avenant relatif au traitement des données (DPA), qui intègre les Clauses contractuelles types et l'Avenant britannique auxquels il est fait référence (y compris les Pièces A et B), est intégré à tout Contrat-cadre de services ou aux Conditions d'utilisation (le Contrat) existants et valides conclus antérieurement ou simultanément entre vous, le Client (y compris vos filiales et sociétés affiliées), et zcal, Inc. (le Sous-traitant, y compris ses filiales et sociétés affiliées), et en fait partie intégrante. Le présent DPA introduit des conditions supplémentaires qui s'appliquent chaque fois que les informations que vous fournissez à zcal en vertu du Contrat contiennent des Données à caractère personnel (telles que définies ci-dessous). La date d'entrée en vigueur du DPA est régie par les Conditions d'utilisation de zcal.

1.0 Définitions

Les définitions suivantes sont utilisées dans le présent DPA.

1.1 « Personnel autorisé » désigne (a) le personnel de zcal qui a besoin d'accéder aux Données à caractère personnel ou d'en avoir connaissance pour fournir les services concernés ; et (b) les sous-traitants contractuels, agents et auditeurs de zcal qui ont besoin d'accéder aux Données à caractère personnel ou d'en avoir connaissance pour permettre à zcal de remplir ses obligations en vertu du Contrat et du présent DPA, et qui sont juridiquement liés par des obligations écrites de confidentialité et d'autres obligations qui protègent de manière adéquate les Données à caractère personnel conformément au présent DPA.

1.2 « CCPA » désigne le California Consumer Privacy Act of 2018, Cal. Civ. Code § [1798.100 - 1798.199.100], tel que modifié, y compris par le California Privacy Rights Act of 2020 et ses règles d'application ultérieures.

1.3 « Données du Client » désigne toute information, donnée et tout autre contenu, sous quelque format que ce soit, que vous ou vos représentants, en tant que client ou utilisateur, soumettez, publiez ou envoyez de toute autre manière par le biais des Services, ou qui sont soumis par vos clients potentiels, vos clients ou d'autres utilisateurs finaux des Services qui interagissent avec vous et vos utilisateurs, ou pour leur compte.

1.4 « Lois sur la protection des données » désigne toutes les lois fédérales, étatiques et internationales applicables, ainsi que les réglementations contraignantes et les directives formelles, relatives à la protection des données, à la vie privée et à la sécurité des données, telles que mises à jour au fil du temps. Cela inclut, sans s'y limiter, les Lois de l'UE sur la protection des données, les Lois britanniques sur la protection des données, les Lois suisses sur la protection des données, le CCPA, le Virginia Consumer Data Protection Act (VCDPA), le Colorado Privacy Act (CPA), le Connecticut Data Privacy Act (CTDPA) et le Utah Consumer Privacy Act (UCPA), mais exclut expressément les ordonnances sur consentement (consent decrees).

1.5 « Personne concernée » désigne la personne ou le consommateur spécifique auquel se rapportent les Données à caractère personnel.

1.6 « Lois de l'UE sur la protection des données » désigne le RGPD ainsi que toutes les lois ou réglementations applicables qui le mettent en œuvre, de même que les lois de l'Union européenne ou des États membres, telles que modifiées périodiquement.

1.7 « RGPD » désigne le Règlement général sur la protection des données (Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données).

1.8 « Données à caractère personnel » désigne toutes Données du Client se rapportant à une personne physique spécifique, identifiée ou identifiable, que zcal Traite pour le compte du Client dans le cadre de la fourniture des Services, lorsque ces informations sont juridiquement protégées en tant que « données à caractère personnel », « informations personnelles » ou sous un terme similaire en vertu de toute Loi sur la protection des données.

1.9 « Traiter » ou « Traitement » désigne toute opération ou tout ensemble d'opérations effectués sur des Données à caractère personnel, de manière automatisée ou non, tels que la collecte, l'enregistrement, l'organisation, le stockage, la modification, l'extraction, la consultation, l'utilisation, l'envoi, la diffusion ou toute autre forme de mise à disposition, l'interconnexion, la limitation, l'effacement ou la destruction des données.

1.10 « Violation de sécurité » désigne une violation confirmée des mesures de sécurité de l'information de zcal entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de Données à caractère personnel couvertes par le présent DPA ou l'accès non autorisé à celles-ci.

1.11 « Services » désigne les services que zcal vous fournit en vertu du Contrat.

1.12 « Clauses contractuelles types » ou « CCT » désigne les clauses types pour le transfert de Données à caractère personnel vers des sous-traitants établis dans des pays tiers, qui ont été approuvées par la Commission européenne. La version approuvée actuelle figure dans la Décision d'exécution (UE) 2021/914 de la Commission européenne du 4 juin 2021 et est disponible à l'adresse https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj?uri=CELEX%3A32021D0914&locale=e.

1.13 « Lois suisses sur la protection des données » désigne toutes les lois actuellement en vigueur en Suisse concernant la protection des données, le Traitement des Données à caractère personnel, la vie privée et/ou les communications électroniques. Cela inclut la loi fédérale sur la protection des données du 19 juin 1992, ses ordonnances et la future loi fédérale révisée sur la protection des données du 25 septembre 2020, dès son entrée en vigueur (collectivement, la « FADP »).

1.14 « Avenant britannique » désigne l'Avenant relatif au transfert international de données (International Data Transfer Addendum) aux Clauses contractuelles types de la Commission européenne (les « CCT » définies ci-dessus), émis par le Commissaire en vertu de la section S119A(1) du Data Protection Act 2018, Version B1.0, en vigueur depuis le 21 mars 2022, disponible à l'adresse https://ico.org.uk/media/for-organisations/documents/4019539/international-data-transfer-addendum.pdf.

1.15 « Lois britanniques sur la protection des données » désigne toutes les lois actuellement en vigueur au Royaume-Uni concernant la protection des données, le Traitement des Données à caractère personnel, la vie privée et/ou les communications électroniques, y compris le RGPD britannique et le Data Protection Act 2018.

1.16 « RGPD britannique » désigne le Règlement général sur la protection des données du Royaume-Uni (UK GDPR), qui fait partie du droit du Royaume-Uni en vertu de la section 3 du European Union (Withdrawal) Act 2018.

1.17 Les termes « Sous-traitant » et « Responsable du traitement » ont le sens qui leur est attribué par la Loi sur la protection des données applicable. Tout terme commençant par une majuscule qui n'est pas défini dans le présent DPA a le sens qui lui est attribué dans le Contrat, et ce sens est formellement adopté ici par renvoi.

2.0 Traitement et transfert des Données à caractère personnel

2.1 Obligations du Client. Le Client est le Responsable du traitement des Données à caractère personnel et doit (a) déterminer la finalité et les principaux moyens du Traitement des Données à caractère personnel conformément au Contrat ; (b) être responsable de l'exactitude des Données à caractère personnel ; et (c) respecter ses obligations en vertu des Lois sur la protection des données. Cela inclut, le cas échéant, le fait de s'assurer d'une base juridique pour la collecte des Données à caractère personnel, de fournir les notifications requises aux Personnes concernées et/ou d'obtenir le consentement de la Personne concernée au Traitement des Données à caractère personnel.

2.2 Obligations de zcal. zcal est le Sous-traitant des Données à caractère personnel et doit (a) Traiter les Données à caractère personnel pour le compte du Client conformément aux instructions écrites du Client données pendant la durée du présent DPA (sauf renonciation écrite), et (b) respecter ses obligations en vertu des Lois sur la protection des données. L'Annexe 1 de la Pièce A décrit le Traitement prévu des Données à caractère personnel en vertu du présent DPA. Les parties conviennent que le Contrat, y compris le présent DPA, ainsi que l'utilisation des Services par le Client conformément au Contrat, constituent les instructions écrites complètes et définitives du Client à zcal pour le Traitement des Données à caractère personnel. Toute instruction supplémentaire en dehors de ce cadre nécessitera un accord écrit préalable signé par le Client et zcal. Si zcal soupçonne raisonnablement l'existence d'un conflit entre une Loi sur la protection des données et les instructions du Client, zcal en informera rapidement le Client, et les deux parties collaboreront de bonne foi pour résoudre le conflit tout en atteignant les objectifs de l'instruction.

2.3 Utilisation des données. zcal n'utilisera pas les Données à caractère personnel, sauf lorsque les instructions du Client l'y autorisent, ou lorsque cela est nécessaire pour engager ou défendre des actions en justice, se conformer à des exigences légales, coopérer avec des organismes de réglementation, ou pour d'autres utilisations autorisées similaires expressément permises par les Lois sur la protection des données.

2.4 Lieu du Traitement. Les deux parties reconnaissent et acceptent que le Traitement des Données à caractère personnel aura lieu aux États-Unis et potentiellement dans d'autres juridictions situées en dehors du lieu de résidence de la Personne concernée. Le Client doit respecter toutes les exigences d'information et de consentement relatives à ce transfert et à ce Traitement imposées par les Lois sur la protection des données.

2.5 Restitution ou destruction des données. zcal restituera ou détruira de manière sécurisée les Données à caractère personnel, conformément aux instructions du Client, à la demande du Client ou à la résiliation du ou des comptes du Client, sauf si leur conservation est requise pour se conformer à la loi applicable.

3.0 Lois de l'UE, suisses et du Royaume-Uni sur la protection des données

La présente Section 3 s'applique au Traitement des Données à caractère personnel lorsqu'il est soumis aux Lois de l'UE sur la protection des données, aux Lois suisses sur la protection des données ou aux Lois britanniques sur la protection des données.

3.1 Transferts de Données à caractère personnel. Le Client reconnaît et accepte que zcal est établie aux États-Unis et que la fourniture à zcal, aux fins de Traitement, de Données à caractère personnel provenant de l'Espace économique européen (« UE »), de la Suisse ou du Royaume-Uni constitue un transfert de Données à caractère personnel vers les États-Unis. Tous les transferts de Données à caractère personnel du Client provenant de l'UE (« Données à caractère personnel de l'UE »), de la Suisse (« Données à caractère personnel suisses ») ou du Royaume-Uni (« Données à caractère personnel britanniques ») vers les États-Unis seront régis par les Clauses contractuelles types et l'Avenant britannique, selon le cas, dans les conditions suivantes :

a. Pour les transferts de Données à caractère personnel de l'UE ou les transferts comprenant des Données à caractère personnel suisses qui sont soumis à la fois aux Lois de l'UE sur la protection des données et aux Lois suisses sur la protection des données (dans ce dernier cas, la norme du RGPD sera utilisée pour tous les transferts de données), le Module 2 des CCT (pour les transferts de Responsable du traitement à Sous-traitant), ainsi que les Annexes de la Pièce A du présent DPA, s'appliqueront et sont intégrés aux présentes. Les parties conviennent que : (a) la Clause 7 ne s'applique pas ; (b) l'Option 2 de la Clause 9(a) s'applique avec un préavis de 30 jours ; (c) la formulation facultative de la Clause 11(a) ne s'applique pas ; (d) le droit applicable visé à la Clause 17 est celui de l'Irlande ; (e) les litiges visés à la Clause 18 seront tranchés par les juridictions de l'Irlande ; et (f) les annexes sont complétées dans la Pièce A du présent DPA.

b. Pour les transferts portant uniquement sur des Données à caractère personnel suisses, le Module 2 des CCT (pour les transferts de Responsable du traitement à Sous-traitant), ainsi que les Annexes de la Pièce A du présent DPA, s'appliqueront et sont intégrés aux présentes. Les parties conviennent que : (a) la Clause 7 ne s'applique pas ; (b) l'Option 2 de la Clause 9(a) s'applique avec un préavis de 30 jours ; (c) la formulation facultative de la Clause 11(a) ne s'applique pas ; (d) l'autorité de contrôle compétente visée à l'Annexe I.C en vertu de la Clause 13 sera le Préposé fédéral à la protection des données et à la transparence ; (e) le droit applicable visé à la Clause 17 est celui de la Suisse ; (f) les litiges visés à la Clause 18 seront tranchés par les juridictions de la Suisse ; (g) les annexes sont complétées dans la Pièce A du présent DPA ; et (h) toute référence au RGPD doit être comprise comme une référence à la FADP.

c. Pour les transferts de Données à caractère personnel suisses soumis aux Sections 3.1.a. et 3.1.b du présent DPA, le terme « État membre » ne doit pas être interprété de manière à empêcher les Personnes concernées en Suisse d'exercer leur droit d'agir en justice en Suisse conformément à la Clause 18c.

d. Pour les transferts de Données à caractère personnel britanniques, le Module 2 des CCT s'appliquera comme décrit à la sous-section 3.1.a. ci-dessus, et l'Avenant britannique figurant dans la Pièce B du présent DPA s'appliquera et est intégré aux présentes.

3.2 Obligations au titre du RGPD et du RGPD britannique. zcal : (a) fournira une assistance raisonnable au Client pour l'exécution de ses obligations concernant les Données à caractère personnel de l'UE en vertu des articles 32 à 36 du RGPD (ou de leurs équivalents en vertu des Lois britanniques sur la protection des données pour les Données à caractère personnel britanniques) ; (b) tiendra un registre de toutes les catégories d'activités de Traitement effectuées pour le compte du Client, comme l'exige l'article 30(2) du RGPD (ou son équivalent en vertu des Lois britanniques sur la protection des données pour les Données à caractère personnel britanniques) ; et (c) coopérera, sur demande, avec une autorité de contrôle de l'UE ou du Royaume-Uni en ce qui concerne l'exécution des Services.

4.0 Lois des États-Unis sur la protection des données

La présente Section 4 s'applique au Traitement des Données à caractère personnel lorsqu'il est soumis aux Lois sur la protection des données des États-Unis.

4.1 CCPA/CPRA. La présente sous-section 4.1 régit le Traitement par zcal des Données à caractère personnel soumises au CCPA, pour lesquelles zcal agit en tant que prestataire de services du Client. Le Client partage les Données à caractère personnel avec zcal, et zcal Traitera ces Données à caractère personnel exclusivement aux fins commerciales définies dans le présent Contrat, y compris le présent DPA.

a. zcal ne :

i. vendra ni ne partagera les Données à caractère personnel ;

ii. conservera, n'utilisera ni ne divulguera les Données à caractère personnel (i) à toute autre fin que les fins commerciales précisées dans le Contrat, y compris la conservation, l'utilisation ou la divulgation des Données à caractère personnel à une fin commerciale autre que les fins commerciales précisées dans le Contrat, ou autrement que ce que permet le CCPA ; ou (ii) en dehors de la relation commerciale directe entre les parties ;

iii. combinera les Données à caractère personnel que zcal reçoit du Client, ou pour son compte, avec des Données à caractère personnel que zcal reçoit d'une autre partie, ou pour son compte, ou qu'elle collecte dans le cadre de sa propre interaction avec le consommateur. Toutefois, zcal peut combiner des Données à caractère personnel pour réaliser toute fin commerciale autorisée par le CCPA, y compris ses règlements, ou par les règlements adoptés par la California Privacy Protection Agency.

b. zcal respectera les obligations qui lui incombent en tant que prestataire de services en vertu du CCPA et veillera à ce que les Données à caractère personnel bénéficient du même niveau de protection de la vie privée que celui exigé par le CCPA.

c. Le Client a le droit de prendre des mesures raisonnables et appropriées pour contribuer à garantir que zcal utilise les Données à caractère personnel d'une manière compatible avec les obligations du Client en vertu du CCPA. La procédure à suivre pour prendre de telles mesures est décrite à la Section 9 ci-dessous.

d. zcal informera le Client si elle détermine qu'elle ne peut plus remplir ses obligations en tant que prestataire de services en vertu du CCPA. Si zcal fournit une telle notification, le Client aura le droit de prendre des mesures raisonnables et appropriées pour faire cesser et corriger toute utilisation non autorisée des Données à caractère personnel.

e. Pour tout sous-traitant ultérieur auquel zcal fait appel pour Traiter des Données à caractère personnel soumises au CCPA, en plus de ses obligations prévues à la Section 5 ci-dessous, le contrat conclu entre zcal et le sous-traitant ultérieur doit exiger que le sous-traitant ultérieur respecte les exigences énoncées à la sous-section 4.1.a ci-dessus.

f. Aux fins de la présente Section 4, les termes « consumer » (consommateur), « service provider » (prestataire de services), « sell » (vendre) et « share » (partager) ont le sens qui leur est attribué en vertu du CCPA.

4.2 Virginie, Colorado, Connecticut et Utah. Par souci de clarté et aux fins du VCDPA, du CPA, du CTDPA et de l'UCPA, les informations pertinentes relatives au Traitement énoncées à la Section B de la Pièce A s'appliqueront.

5.0 Sous-traitants ultérieurs

5.1 Liste des sous-traitants ultérieurs. Le Client autorise zcal à faire appel aux sous-traitants ultérieurs énumérés dans la Pièce A jointe aux présentes. zcal peut mettre à jour périodiquement sa liste de sous-traitants ultérieurs et rendra toute mise à jour disponible ici : https://zcal.co/data-processors.

6.0 Déclaration et garantie du Client

Le Client déclare et garantit, en son nom et au nom de ses employés, que les Données à caractère personnel fournies à zcal aux fins de Traitement en vertu du Contrat et du présent DPA sont collectées, obtenues de manière licite et utilisées par le Client et ses employés conformément à toutes les Lois sur la protection des données, y compris, sans s'y limiter, les dispositions des Lois sur la protection des données relatives à l'information, au consentement éclairé et affirmatif et à la publicité ciblée, y compris le Chapitre II du RGPD. En outre, le Client s'engage à défendre, indemniser et dégager zcal de toute responsabilité à l'égard de toute perte, de tout coût (y compris les frais d'avocat raisonnables effectivement engagés et les frais de justice), de tout dommage ou de toute responsabilité résultant de toute réclamation découlant d'une violation de la présente Section 6.

7.0 Protection des données

7.1 Sécurité des données. zcal déploiera des efforts commercialement raisonnables pour protéger la sécurité, la confidentialité et l'intégrité des Données à caractère personnel qui lui sont transférées en utilisant des mesures de protection administratives, physiques et techniques raisonnables. Sans limiter la portée de ce qui précède, zcal : (a) mettra en œuvre des mesures de protection administratives, physiques et techniques raisonnables (y compris des mesures de protection commercialement raisonnables contre les vers, les chevaux de Troie et autres codes invalidants ou nuisibles) pour protéger les Données à caractère personnel conformément aux Lois sur la protection des données, de manière appropriée à la nature des Données à caractère personnel ; (b) déploiera des efforts commercialement raisonnables pour maintenir les Données à caractère personnel raisonnablement sécurisées et chiffrées, et utilisera des procédures et systèmes de sécurité conformes aux normes du secteur applicables à l'utilisation des Données à caractère personnel pour prévenir tout accès, copie, modification, stockage, reproduction, affichage ou distribution non autorisés de Données à caractère personnel, et pour prendre rapidement des mesures correctives appropriées à leur égard ; et (c) cessera de conserver les documents contenant des Données à caractère personnel, ou supprimera les moyens permettant de relier les Données à caractère personnel à des personnes spécifiques, dans un délai raisonnablement bref après qu'il est raisonnable de supposer que (i) les finalités précisées ne nécessitent plus la conservation des Données à caractère personnel par zcal, et (ii) la conservation n'est plus nécessaire pour des raisons juridiques ou commerciales.

7.2 Personnel autorisé. zcal doit s'assurer que le Personnel autorisé s'est engagé à respecter la confidentialité ou est soumis à une obligation légale de confidentialité appropriée, avec des obligations au moins aussi strictes que celles du présent DPA.

7.3 Violations de sécurité. Après la confirmation d'une Violation de sécurité : (a) zcal, dans les meilleurs délais : (i) informera le Client de la Violation de sécurité ; (ii) enquêtera sur la Violation de sécurité ; (iii) fournira au Client les informations nécessaires sur la Violation de sécurité, comme l'exige la loi applicable ; et (iv) prendra des mesures raisonnables pour éviter que la Violation de sécurité ne se reproduise ; et (b) zcal accepte de coopérer à la gestion de la situation par le Client : (i) en offrant une assistance raisonnable dans le cadre de l'enquête du Client ; et (ii) en mettant à disposition les registres pertinents et autres documents relatifs à l'impact de la Violation de sécurité sur le Client, dans la mesure nécessaire pour se conformer aux Lois sur la protection des données.

8.0 Assistance

8.1 Assistance du Sous-traitant. Sur demande écrite du Client, zcal fournira au Client une assistance raisonnable dans la mesure nécessaire pour aider le Client à remplir ses obligations en vertu des Lois sur la protection des données, notamment en fournissant au Client des informations sur les mesures de sécurité techniques et organisationnelles de zcal, et dans la mesure nécessaire pour réaliser des analyses d'impact relatives à la protection des données.

8.2 Demandes des Personnes concernées. zcal fournira une assistance raisonnable au Client pour l'exécution des obligations du Client envers les Personnes concernées qui exercent les droits conférés par les Lois sur la protection des données en ce qui concerne les Données à caractère personnel, dans le cas où le Client ne serait pas en mesure de donner suite à une telle demande sans l'aide de zcal. Si une Personne concernée adresse à zcal une demande d'exercice d'un droit relatif à ses Données à caractère personnel dont le Client est le Responsable du traitement, zcal informera rapidement le Client de la demande et invitera la Personne concernée à adresser sa demande directement au Client. Le Client sera responsable de la réponse à la demande.

9.0 Audits

Dans un délai de trente (30) jours à compter de la demande écrite du Client, dans la limite d'une fois par an et sous réserve des obligations de confidentialité prévues au Contrat, zcal mettra à la disposition du Client (ou d'un auditeur tiers choisi d'un commun accord) les informations raisonnablement nécessaires pour démontrer le respect par zcal des obligations énoncées dans le présent DPA.

10.0 Dispositions diverses

10.1 Conflit. En cas de conflit ou d'incohérence entre le présent DPA et les Lois sur la protection des données, les Lois sur la protection des données prévaudront. En cas de conflit ou d'incohérence entre les dispositions du présent DPA et celles du Contrat, les dispositions du présent DPA prévaudront, mais uniquement dans la mesure où l'objet concerne le Traitement des Données à caractère personnel.

10.2 Modifications. Le présent DPA ne peut être modifié que selon les modalités prévues dans la section « Modifications » des Conditions d'utilisation de zcal ou selon les conditions de modification énoncées dans le Contrat. Si une autorité de protection des données détermine que le Contrat ou le présent DPA est insuffisant pour se conformer aux Lois sur la protection des données ou à leurs modifications, le Client et zcal conviennent de collaborer de bonne foi pour modifier le Contrat ou le présent DPA, ou pour conclure des accords de traitement des données supplémentaires mutuellement acceptables, afin de se conformer à toutes les Lois sur la protection des données.

10.3 Responsabilité. La responsabilité de chaque Partie découlant du présent DPA ou s'y rapportant, qu'elle soit contractuelle, délictuelle ou fondée sur toute autre théorie juridique, est soumise aux limitations de responsabilité précisées dans le Contrat. Pour éviter toute ambiguïté, toute référence au « DPA » dans les présentes inclut le présent DPA ainsi que ses pièces et appendices.

10.4 Intégralité de l'accord. Le présent DPA n'affecte pas les droits et obligations des parties en vertu du Contrat, qui restent pleinement en vigueur. Le présent DPA, conjointement avec le Contrat, constitue l'accord final, complet et exclusif des Parties concernant l'objet des présentes, et remplace et intègre toutes les discussions et tous les accords antérieurs entre les parties relatifs à cet objet.

Pièce A : Clauses contractuelles types

La présente Annexe fait partie des Clauses contractuelles types.

Annexe I

A. Liste des parties

Exportateur de données

L'exportateur de données est le Client.

Adresse : l'adresse du Client telle qu'indiquée dans le Contrat.

Nom, fonction et coordonnées de la personne de contact (DPO et/ou représentant dans l'UE) : les coordonnées du Client telles que fournies dans le Contrat/bon de commande.

Activités en rapport avec les données transférées en vertu des présentes Clauses : activités nécessaires à la fourniture des Services décrits dans le Contrat.

Signature et date : le Client est réputé avoir signé la présente Annexe I en acceptant les Conditions d'utilisation de zcal.

Importateur de données

L'importateur de données est zcal.

Adresse : 9800 Centre Pkwy, Houston, TX 77036

Nom, fonction et coordonnées de la personne de contact (DPO et/ou représentant dans l'UE) : Saurabh Chandarana, [email protected]

Activités en rapport avec les données transférées en vertu des présentes Clauses : activités nécessaires à la fourniture des Services décrits dans le Contrat.

Signature et date : zcal est réputée avoir signé la présente Annexe I en acceptant les Conditions d'utilisation de zcal.

B. Description du transfert

Catégories de personnes concernées dont les données à caractère personnel sont transférées

L'exportateur de données peut soumettre des Données à caractère personnel à zcal. L'étendue de ces données est déterminée et contrôlée exclusivement par l'exportateur de données et peut inclure, sans s'y limiter, des Données à caractère personnel relatives aux groupes de personnes concernées suivants : (i) les utilisateurs finaux de l'exportateur de données, y compris les employés, sous-traitants contractuels, représentants, partenaires commerciaux, collaborateurs et clients ; et (ii) les personnes avec lesquelles l'exportateur de données planifie des rendez-vous au moyen des Services de l'importateur de données, ce qui peut inclure leurs représentants, partenaires commerciaux, collaborateurs, clients et clients potentiels.

Catégories de données à caractère personnel transférées

L'exportateur de données peut soumettre des Données à caractère personnel à zcal. L'étendue de ces données est déterminée et contrôlée exclusivement par l'exportateur de données et peut inclure, sans s'y limiter, les catégories de Données à caractère personnel suivantes : (a) prénom et nom ; (b) titre ; (c) fonction ; (d) employeur ; (e) coordonnées (entreprise, e-mail, téléphone, adresse professionnelle physique) ; (f) données de connexion ; (g) données de localisation ; et (h) autres données électroniques utilisées par le Client dans le cadre des Services.

Données sensibles transférées (le cas échéant)

Aucune

Fréquence du transfert

Continue

Nature du traitement

Les opérations peuvent inclure la collecte, le stockage, l'extraction, la consultation, l'utilisation, l'effacement ou la destruction, la communication par transmission, la diffusion ou toute autre forme de mise à disposition des données de l'exportateur de données, dans la mesure nécessaire à la fourniture des Services conformément aux instructions de l'exportateur de données, y compris à des fins internes connexes (telles que le contrôle qualité, le dépannage, le développement de produits, etc.).

Finalité(s) du transfert de données et du traitement ultérieur

L'objectif du Traitement des Données à caractère personnel par zcal est l'exécution des services contractuels prévus au Contrat avec l'exportateur de données.

Durée pendant laquelle les données à caractère personnel seront conservées ou, lorsque cela n'est pas possible, critères utilisés pour déterminer cette durée.

Les données à caractère personnel sont conservées aussi longtemps que cela est raisonnablement nécessaire pour atteindre les finalités pour lesquelles elles ont été collectées, pour remplir nos obligations contractuelles et légales, et pendant tout délai de prescription applicable aux fins d'intenter et de défendre des actions en justice.

Pour les transferts vers des (sous-)sous-traitants, préciser également l'objet, la nature et la durée du traitement :

L'objet et la nature du Traitement par les sous-traitants ultérieurs sont détaillés à l'Annexe III du présent DPA. La durée du Traitement par les sous-traitants ultérieurs correspondra à la période pendant laquelle l'importateur de données fournit les Services à l'exportateur de données en vertu du Contrat.

C. Autorité de contrôle compétente

Lorsque le RGPD de l'UE s'applique, l'autorité de contrôle compétente sera la Commission irlandaise de protection des données (Irish Data Protection Commissioner). Lorsque le RGPD britannique s'applique, l'autorité de contrôle compétente sera l'Information Commissioner's Office du Royaume-Uni.

Annexe II : Mesures techniques et organisationnelles, y compris les mesures techniques et organisationnelles visant à garantir la sécurité des données

Le Sous-traitant maintiendra des mesures de protection administratives, physiques et techniques raisonnables pour protéger la sécurité, la confidentialité et l'intégrité des Données à caractère personnel transférées au Sous-traitant, comme décrit dans le présent DPA et à l'adresse suivante : https://zcal.co/security.

Annexe III : Sous-traitants ultérieurs du Sous-traitant

En signant le présent DPA, le Client a autorisé le recours aux sous-traitants ultérieurs énumérés à l'adresse suivante : https://zcal.co/data-processors.

Pièce B : Avenant britannique

Clauses types de protection des données devant être émises par le Commissaire en vertu de la section S119A(1) du Data Protection Act 2018

Avenant relatif au transfert international de données aux Clauses contractuelles types de la Commission européenne

VERSION B1.0, en vigueur depuis le 21 mars 2022

Le présent Avenant a été émis par l'Information Commissioner pour les Parties effectuant des Transferts restreints. L'Information Commissioner considère qu'il offre des Garanties appropriées pour les Transferts restreints lorsqu'il est conclu sous la forme d'un contrat juridiquement contraignant.

Partie 1 : Tableaux

Tableau 1 : Parties

Exportateur (qui envoie le Transfert restreint)

Dénomination sociale complète : telle qu'indiquée à l'Annexe I de la Pièce A
Nom commercial (s'il est différent) : sans objet
Adresse principale (s'il s'agit d'une société, adresse du siège social) : telle qu'indiquée à l'Annexe I de la Pièce A
Numéro d'immatriculation officiel (le cas échéant) (numéro de société ou identifiant similaire) : sans objet
Nom complet (facultatif) : tel qu'indiqué à l'Annexe I de la Pièce A
Fonction : telle qu'indiquée à l'Annexe I de la Pièce A
Coordonnées, y compris l'e-mail : telles qu'indiquées à l'Annexe I de la Pièce A
Signature : l'Exportateur est réputé avoir signé le présent Avenant en acceptant les Conditions d'utilisation de zcal.

Importateur (qui reçoit le Transfert restreint)

Dénomination sociale complète : zcal
Nom commercial (s'il est différent) : sans objet
Adresse principale (s'il s'agit d'une société, adresse du siège social) : telle qu'indiquée à l'Annexe I de la Pièce A
Numéro d'immatriculation officiel (le cas échéant) (numéro de société ou identifiant similaire) : sans objet
Nom complet (facultatif) : tel qu'indiqué à l'Annexe I de la Pièce A
Fonction : telle qu'indiquée à l'Annexe I de la Pièce A
Coordonnées, y compris l'e-mail : telles qu'indiquées à l'Annexe I de la Pièce A
Signature : l'Importateur est réputé avoir signé le présent Avenant en acceptant les Conditions d'utilisation de zcal.

Tableau 2 : CCT, modules et clauses sélectionnés

CCT de l'UE de l'Avenant

La version des CCT de l'UE approuvées à laquelle le présent Avenant est joint, détaillée ci-dessous, y compris les Informations de l'appendice :

Date : telle qu'indiquée dans le DPA
Référence : sans objet
Autre identifiant (le cas échéant) : sans objet

Tableau 3 : Informations de l'appendice

« Informations de l'appendice » désigne les informations requises pour les modules sélectionnés, telles qu'énoncées dans l'Appendice des CCT de l'UE approuvées (à l'exclusion des Parties), et qui, pour le présent Avenant, figurent dans :

Annexe 1A : Liste des parties : telle qu'indiquée à l'Annexe I de la Pièce A

Annexe 1B : Description du transfert : telle qu'indiquée à l'Annexe I de la Pièce A

Annexe II : Mesures techniques et organisationnelles, y compris les mesures techniques et organisationnelles visant à garantir la sécurité des données : telles qu'indiquées à l'Annexe II de la Pièce A

Annexe III : Liste des sous-traitants ultérieurs (Modules 2 et 3 uniquement) : telle qu'indiquée à l'Annexe III de la Pièce A

Tableau 4 : Résiliation du présent Avenant en cas de modification de l'Avenant approuvé

Parties pouvant résilier le présent Avenant conformément à la Section 19 :

Importateur
Exportateur

Partie 2 : Clauses obligatoires

Clauses obligatoires

Partie 2 : Clauses obligatoires de l'Avenant approuvé, à savoir le modèle d'Avenant B.1.0 émis par l'ICO et présenté au Parlement conformément à la section s119A du Data Protection Act 2018 le 2 février 2022, tel que mis à jour en vertu de la Section 18 de ces Clauses obligatoires.