Avenant relatif au traitement des données (DPA)

Le présent Avenant relatif au traitement des données (« DPA ») fait partie des Conditions d'utilisation conclues entre vous (« Client », le responsable du traitement) et Empire Luxury International Corporation (DBA Neuro Empire) (« NeuroCRM », le sous-traitant) et régit le traitement des données personnelles contenues dans le Contenu client. En cas de conflit sur des questions de protection des données, le présent DPA prévaut sur les Conditions.

1. Rôles et champ d'application

Pour le Contenu client, le Client est le responsable du traitement (ou un sous-traitant agissant pour ses propres clients) et NeuroCRM est le sous-traitant (ou le sous-traitant ultérieur). NeuroCRM traite le Contenu client uniquement pour fournir le Service et sur les instructions documentées du Client, lesquelles incluent les Conditions, le présent DPA et l'utilisation des fonctionnalités du Service. NeuroCRM agit en tant que responsable du traitement indépendant uniquement pour les données limitées de compte, de facturation et de sécurité décrites dans la Politique de confidentialité.

2. Détails du traitement

Objet : la fourniture du Service NeuroCRM. Durée : la durée de l'abonnement du Client, augmentée de toute période de cessation. Nature et finalité : les opérations d'hébergement, de stockage et de traitement nécessaires à la fourniture du Service tel que configuré par le Client. Catégories de personnes concernées : les contacts, prospects, clients, membres du personnel du Client et autres personnes dont le Client saisit les données. Catégories de données personnelles : telles que déterminées par le Client, généralement des données d'identification et de contact, des dossiers d'activité et des communications ; le Client ne doit pas saisir de données de catégorie particulière, sauf accord écrit.

3. Instructions du Client et conformité

NeuroCRM traitera le Contenu client uniquement sur instructions documentées, y compris pour les transferts, sauf si la loi applicable l'exige (auquel cas NeuroCRM en informera le Client, sauf interdiction). NeuroCRM informera le Client si, à son avis, une instruction enfreint la loi applicable en matière de protection des données. Le Client est responsable de la licéité du Contenu client ainsi que de la détention de toutes les mentions d'information et de tous les consentements requis.

4. Confidentialité du personnel

NeuroCRM veille à ce que le personnel autorisé à traiter le Contenu client soit soumis à des obligations de confidentialité et ne traite les données que selon les instructions.

5. Mesures de sécurité

NeuroCRM met en œuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, notamment le chiffrement en transit et le chiffrement des jetons d'accès au repos, l'isolation logique des locataires, des contrôles d'accès et la journalisation, la résilience et les sauvegardes, ainsi qu'un réexamen régulier. Un résumé est disponible sur demande et dans la Politique de confidentialité.

6. Sous-traitants ultérieurs

Le Client accorde une autorisation générale à NeuroCRM de faire appel à des sous-traitants ultérieurs. Une liste à jour figure à l'adresse /legal/subprocessors. NeuroCRM impose à chaque sous-traitant ultérieur des obligations de protection des données au moins aussi protectrices que celles du présent DPA et demeure responsable de leur exécution. NeuroCRM donnera un préavis d'au moins 30 jours pour tout sous-traitant ultérieur nouveau ou de remplacement ; le Client peut s'y opposer pour des motifs raisonnables de protection des données et, si les parties ne peuvent résoudre l'objection, le Client peut résilier le Service affecté et recevoir le remboursement des frais prépayés inutilisés.

7. Demandes des personnes concernées et assistance

Compte tenu de la nature du traitement, NeuroCRM, par des mesures appropriées et dans la mesure commercialement raisonnable, assistera le Client dans le traitement des demandes des personnes concernées et dans le respect de ses obligations relatives à la sécurité, à la notification des violations, aux analyses d'impact relatives à la protection des données et à la consultation préalable. Si NeuroCRM reçoit une demande directement d'une personne concernée, il la transmettra au Client et n'y répondra pas, sauf sur instruction ou si la loi l'exige.

8. Notification de violation de données personnelles

NeuroCRM informera le Client sans retard injustifié et, en tout état de cause, dans un délai de 24 heures après avoir pris connaissance d'une violation de données personnelles confirmée ou raisonnablement présumée affectant le Contenu client, et fournira les informations disponibles pour aider le Client à respecter ses obligations de notification, avec des mises à jour au fur et à mesure de l'enquête. Une telle notification ne constitue pas une reconnaissance de faute ou de responsabilité. Il appartient au Client, en sa qualité de responsable du traitement, de déterminer s'il convient de notifier les autorités de contrôle ou les personnes concernées et de procéder à ces notifications ; NeuroCRM apporte une coopération raisonnable.

9. Transferts internationaux

Lorsque le traitement implique un transfert de données personnelles en dehors de l'EEE, du Royaume-Uni ou de la Suisse vers un pays ne bénéficiant pas d'une décision d'adéquation, les parties intègrent les Clauses contractuelles types de la Commission européenne (2021/914), Module deux (responsable du traitement vers sous-traitant), complétées par les informations du présent DPA, ainsi que l'Avenant britannique relatif au transfert international de données (UK IDTA) et les adaptations suisses, le cas échéant ; à défaut, NeuroCRM peut s'appuyer sur le EU-US Data Privacy Framework lorsqu'il est certifié. NeuroCRM applique des mesures supplémentaires lorsque cela est approprié. En cas de conflit, les SCC prévalent uniquement dans la mesure nécessaire.

10. Contour de données russe (152-FZ)

Pour les données personnelles des personnes situées dans la Fédération de Russie, NeuroCRM maintient un contour russe cloisonné avec un enregistrement et un stockage primaires sur des serveurs situés en Russie, conformément à la Loi fédérale n° 152-FZ, et traite ces données sur instruction du Client en vertu de l'article 6, paragraphe 3, de la 152-FZ. Ce contour et son processus de notification des violations (préliminaire dans un délai de 24 heures et résultats dans un délai de 72 heures à Roskomnadzor) fonctionnent indépendamment de la chaîne du RGPD. Voir la Politique de traitement des données personnelles (Russie).

11. Audit

NeuroCRM mettra à disposition les informations nécessaires pour démontrer le respect du présent DPA et permettra la réalisation d'audits. Afin de réduire au minimum les perturbations, NeuroCRM peut satisfaire aux demandes d'audit en fournissant des certifications ou des rapports de tiers à jour (tels que ISO 27001 ou SOC 2 Type II) lorsqu'ils sont disponibles. Les audits sur site ou détaillés sont limités à une fois par an (sauf à la suite d'une violation), requièrent un préavis d'au moins 30 jours, un champ d'application convenu d'un commun accord, la confidentialité, et sont menés pendant les heures ouvrables sans interférence déraisonnable.

12. Restitution et suppression

À la résiliation, au choix du Client exprimé dans un délai de 30 jours, NeuroCRM restituera le Contenu client dans un format couramment utilisé ou le supprimera et, sur demande, certifiera la suppression dans un délai raisonnable, sauf dans la mesure où la conservation est requise par la loi. Les sauvegardes de routine sont écrasées selon le cycle standard de rotation.

13. Responsabilité et préséance

La responsabilité de chaque partie au titre du présent DPA est soumise aux limitations et exclusions des Conditions d'utilisation, y compris le plafond renforcé pour les violations en matière de protection des données. Le présent DPA, y compris les SCC qui y sont incorporées, prévaut sur les dispositions contradictoires des Conditions en matière de protection des données. Le DPA est régi par le droit et les dispositions de règlement des litiges des Conditions applicables au Client.