Addendum sur le traitement des données (DPA)

Date d'entrée en vigueur : 1er janvier 2026

Le présent addendum sur le traitement des données (“DPA”) fait partie de l'accord conclu entre Accepter la mission B.V. (“Accepter la mission”, “ Processeur ”) et l'entité cliente qui s'abonne à l'application Accepter la mission (“client”, “contrôleur”). La présente DPA s'applique dans la mesure où Accepter la mission traite les données à caractère personnel pour le compte du client dans le cadre de la Accepter la mission et les services connexes (le “service”).

Si vous acceptez cette DPA au nom d'une organisation, vous confirmez que vous avez le pouvoir d'engager cette organisation.

1) Définitions #

Aux fins du présent DPA :

• Loi sur la protection des données applicable désigne le GDPR et toute loi applicable des États membres de l'UE et, le cas échéant, le GDPR et la loi sur la protection des données 2018 du Royaume-Uni, ainsi que la loi suisse sur la protection des données.
• Les données à caractère personnel du client sont les données à caractère personnel contenues dans les données du client qui Accepter la mission pour le compte du client dans le cadre de la fourniture du service.
• Les données du client désignent les données, le contenu, les fichiers et les matériaux soumis au service par le client ou les utilisateurs autorisés.
• Les utilisateurs autorisés sont les personnes que le client autorise à utiliser le service sous son compte.
• Sous-traitant : un tiers engagé par Accepter la mission traiter les données à caractère personnel des clients pour faciliter la prestation de services.
• Incident de sécurité : la destruction, la perte, l'altération, la divulgation non autorisée des données à caractère personnel du client ou l'accès à celles-ci, confirmés comme étant accidentels ou illégaux.
• Les clauses contractuelles types (CCN) sont les clauses contractuelles types approuvées par la Commission européenne pour les transferts internationaux.

2) Champ d'application, rôles et responsabilités #

2.1 Le client en tant que contrôleur #

Le client est le contrôleur des données personnelles du client. Il détermine les finalités et les moyens du traitement, y compris les données qu'il soumet, les personnes qui y ont accès et la manière dont il les utilise au sein de son organisation.

2.2 Accepter la mission en tant que processeur #

Accepter la mission traite les données à caractère personnel des clients uniquement en tant que sous-traitant et uniquement pour fournir et sécuriser le service, conformément aux instructions documentées du client et au présent DPA.

3) Ordre de priorité #

En cas de conflit entre les documents, l'ordre suivant s'applique, sauf indication contraire explicite dans un bon de commande :

1. Bon de commande ou accord commercial signé
2. Ce RGPD (pour le traitement des données personnelles des clients)
3. Conditions d'utilisation du logiciel-service ou accord avec le client
4. Conditions applicables au programme (API, bêta, pilotes) si elles ont été explicitement convenues pour ce programme

4) Instructions de traitement #

4.1 Instructions documentées #

Accepter la mission traitera les données personnelles du client uniquement sur instructions documentées du client, y compris si cela est nécessaire pour fournir le service et l'assistance connexe demandés par le client, à moins que le traitement ne soit requis par la loi applicable. Lorsque la loi le permet, Accepter la mission informera le client de cette exigence légale avant le traitement.

4.2 Nature et finalité du traitement #

Le traitement est effectué pour fournir le service, y compris l'hébergement, le stockage, la transmission, la sécurisation et la mise à disposition des données du client pour les fonctions de collaboration et de flux de travail.

5) Confidentialité #

Accepter la mission veille à ce que les personnes autorisées à traiter les données à caractère personnel des clients soient soumises à des obligations de confidentialité et reçoivent des instructions adaptées à leur rôle. L'accès est limité aux personnes qui en ont besoin pour fournir le service, selon les principes du moindre privilège et du besoin d'en connaître.

6) Sécurité du traitement #

Accepter la mission met en œuvre des mesures techniques et organisationnelles appropriées conçues pour protéger les données à caractère personnel des clients conformément à l'article 32 du RGPD. Ces mesures sont décrites à un niveau élevé à l'annexe C.

7) Sous-processeurs #

7.1 Autorisation d'utiliser des sous-traitants secondaires #

Le client donne son autorisation générale pour Accepter la mission d'engager des sous-traitants secondaires pour soutenir la prestation de services. Accepter la mission garantit que les sous-traitants secondaires sont liés par des obligations qui ne sont pas moins protectrices que celles énoncées dans le présent DPA.

7.2 Liste des sous-processeurs et mises à jour #

Les catégories de sous-traitants secondaires et la liste actuelle utilisée pour la prestation de services sont décrites à l'annexe B.

Accepter la mission peut mettre à jour les sous-traitants. Si un nouveau sous-processeur est ajouté ou si un sous-processeur est remplacé, Accepter la mission fournira un préavis au client si la loi l'exige.

7.3 Objections #

Si le client s'oppose raisonnablement à un nouveau sous-traitant pour des raisons liées à la protection des données, il peut en informer Accepter la mission dans le délai de préavis. Les parties travailleront de bonne foi pour répondre à l'objection. Si aucune objection Solution est disponible et que le changement est matériellement nécessaire pour fournir le service, chaque partie peut résilier l'abonnement concerné sans pénalité pour la période prépayée non utilisée.

8) Assistance au client #

En tenant compte de la nature du traitement, Accepter la mission fournira une assistance raisonnable au client en ce qui concerne

• répondre aux demandes des personnes concernées concernant les données personnelles du client, lorsque le client ne peut pas répondre en utilisant les contrôles du service.
• Sécurité, notifications de violations et Risque les évaluations relatives à l'utilisation du service par le client.
• les DPIA et les consultations avec les autorités de contrôle, dans la mesure où elles sont pertinentes pour le service et où les informations disponibles pour le service sont suffisantes. Accepter la mission.

Le client reste responsable de la réponse aux personnes concernées et aux autorités de contrôle en tant que contrôleur.

9) Notification des incidents de sécurité #

Accepter la mission informera le client dans les meilleurs délais après avoir confirmé un incident de sécurité impliquant des données à caractère personnel du client. Dans la mesure du possible, la notification a lieu dans les 48 heures suivant la confirmation.

La notification comprendra les informations disponibles à l'appui des obligations du client, telles que

• Une description de l'incident et de son impact probable
• Catégories de données concernées (si elles sont connues)
• Mesures prises ou prévues pour remédier à l'incident
• Actions recommandées au client (le cas échéant)

10) Suppression ou restitution des données à caractère personnel du client #

Lors de la résiliation ou de l'expiration du service, et à la demande du client, le cas échéant :

• Le client peut exporter ses données à l'aide des outils d'exportation disponibles.
• Accepter la mission supprimera ou renverra les données à caractère personnel du client conformément aux instructions de ce dernier, sous réserve de la législation applicable et des cycles raisonnables de conservation des sauvegardes.

11) Audits et informations sur la conformité #

Accepter la mission mettra à disposition les informations raisonnablement nécessaires pour démontrer le respect du présent DPA. Le client peut demander un examen de la sécurité ou de la conformité une fois par an, à moins qu'un incident de sécurité ne se produise, auquel cas il peut demander des informations supplémentaires en rapport avec l'incident.

Les audits sur place sont soumis à une portée, un calendrier, des garanties de confidentialité et une répartition des coûts raisonnables et ne doivent pas perturber de manière déraisonnable les activités de l'UE. Accepter la mission des opérations.

12) Transferts internationaux #

12.1 Lieu de traitement primaire #

Les données personnelles des clients sont hébergées et traitées principalement dans l'Espace économique européen, avec un hébergement standard en Europe de l'Ouest, à moins que le client ne choisisse une autre région lorsqu'elle est disponible dans le cadre d'un accord d'entreprise.

12.2 Transferts en dehors de l'UE ou de l'EEE #

Si les données personnelles du client sont transférées en dehors de l'UE ou de l'EEE, Accepter la mission assurera un mécanisme de transfert approprié en vertu de la législation applicable en matière de protection des données, par exemple :

• CCN, plus mesures supplémentaires le cas échéant
• Pour les transferts en provenance du Royaume-Uni, l'addendum sur le transfert international de données du Royaume-Uni ou tout autre mécanisme valide au Royaume-Uni.
• Pour les transferts suisses, les mécanismes applicables reconnus en Suisse

13) Responsabilité #

Chaque partie reste responsable de son propre respect de la législation applicable en matière de protection des données. La responsabilité relative au présent DPA est régie par les dispositions relatives à la limitation de la responsabilité de l'accord commercial applicable, à moins que le droit impératif n'en dispose autrement.

14) Durée #

Le présent DPA reste en vigueur pour la durée Accepter la mission traite les données à caractère personnel des clients pour le compte de ces derniers.