Accord de traitement des données

1.1. Parties

Le présent Accord de traitement des données (ci-après, l'« Accord » ou « DPA ») est conclu entre :

• Le client — le présentateur, l'organisation ou le professionnel qui souscrit à Votinova et crée ou anime des sessions de vote interactif — en sa qualité de responsable du traitement (ci-après, le « Responsable » ou le « Client ») ; et
• Atbion OÜ, société à responsabilité limitée (Osaühing) constituée conformément au droit estonien, immatriculée sous le code de registre 16890390 et le numéro de TVA EE102728154, dont le siège social est situé Ahtri tn 12, Kesklinna linnaosa, Tallinn 15551, Harju maakond, Estonie, exploitant du produit Votinova (votinova.com), en sa qualité de sous-traitant (ci-après, le « Sous-traitant » ou « Atbion OÜ »).

Le Responsable et le Sous-traitant sont désignés conjointement les « Parties ».

1.2. Objet de l'Accord

Le présent Accord régit le traitement des données à caractère personnel des participants — le public qui rejoint les sessions du Client et y répond — qu'Atbion OÜ effectue pour le compte et selon les instructions documentées du Client dans le cadre de la prestation du service Votinova. Il est conclu en application de l'article 28 du Règlement (UE) 2016/679 (ci-après, « RGPD ») et de la réglementation estonienne en matière de protection des données (Isikuandmete kaitse seadus).

1.3. Articulation avec les autres documents contractuels

Le présent Accord est incorporé aux Conditions de service et fait partie intégrante du contrat de service entre le Client et Atbion OÜ. Il s'applique dès lors que le Client traite des données à caractère personnel de participants au moyen de Votinova.

S'agissant des données de compte — les données du présentateur et des membres de l'organisation (nom, adresse électronique, identifiants, données de facturation, journaux de sécurité, entre autres) —, Atbion OÜ agit en tant que responsable du traitement pour son propre compte, et ce traitement n'est pas régi par le présent Accord, mais par la Politique de confidentialité. Le présent Accord se limite aux données de participants pour lesquelles Atbion OÜ est sous-traitant.

Aux fins du présent Accord, les termes suivants ont le sens que leur attribue le RGPD :

3.1. Nature et finalité

Atbion OÜ traite les données à caractère personnel des participants dans la seule finalité de fournir le service Votinova pour le compte du Responsable : permettre au public de rejoindre les sessions du Client, d'émettre des réponses et des votes, de participer aux questions ouvertes et aux Q&R, et faire en sorte que les résultats soient agrégés et affichés en temps réel. Le traitement comprend les opérations techniques nécessaires à cet effet (collecte, enregistrement, agrégation, conservation temporaire, communication au public de la session et effacement).

3.2. Types de données et catégories de personnes concernées

Les catégories de données à caractère personnel traitées et les catégories de personnes concernées (participants aux sessions du Client) sont résumées ci-après et détaillées à l'Annexe I. Par défaut, les participants sont anonymes ; le Client décide, par la configuration de la session, s'il active le mode identifié ou authentifié et, par conséquent, quelles données sont collectées.

3.3. Durée

Le traitement se déroule pendant toute la durée du contrat de service entre le Client et Atbion OÜ et prend fin conformément à la clause 9 du présent Accord.

Atbion OÜ, en sa qualité de Sous-traitant, s'engage à ce qui suit, conformément à l'article 28, paragraphe 3, du RGPD :

4.1. Traitement conforme aux instructions documentées

Traiter les données à caractère personnel uniquement sur la base des instructions documentées du Responsable, y compris en ce qui concerne les transferts internationaux, sauf si le droit de l'Union ou de l'Estonie oblige Atbion OÜ à procéder autrement, auquel cas elle informe le Responsable de cette obligation juridique avant le traitement, sauf interdiction légale. Si Atbion OÜ estime qu'une instruction enfreint le RGPD ou une autre règle de protection des données, elle en informe le Responsable sans délai.

4.2. Confidentialité du personnel

Veiller à ce que les personnes autorisées à traiter les données à caractère personnel s'engagent à respecter la confidentialité ou soient soumises à une obligation légale de confidentialité, et à ce que l'accès soit limité au personnel qui en a besoin pour fournir le service.

4.3. Mesures de sécurité (art. 32 du RGPD)

Mettre en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, conformément à l'article 32 du RGPD. Ces mesures sont décrites à l'Annexe II et sont réexaminées et actualisées périodiquement.

4.4. Assistance relative aux droits des personnes concernées

Aider le Responsable, par des mesures techniques et organisationnelles appropriées et dans la mesure du possible, à donner suite aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition) prévus au chapitre III du RGPD. Si un participant adresse une demande directement à Atbion OÜ, celle-ci la transmet sans délai au Responsable et n'y répond pas de son propre chef, sauf instruction du Responsable.

4.5. Assistance en matière de sécurité, d'analyses d'impact et de consultation préalable

Aider le Responsable à respecter les obligations des articles 32 à 36 du RGPD (sécurité du traitement, notification et communication des violations, analyse d'impact relative à la protection des données et consultation préalable de l'autorité de contrôle), compte tenu de la nature du traitement et des informations dont dispose Atbion OÜ.

4.6. Notification des violations de données

Notifier au Responsable, sans retard injustifié après en avoir pris connaissance, toute violation de données à caractère personnel traitées pour le compte du Responsable. La notification comprend, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les conséquences probables et les mesures prises ou proposées pour y remédier. Atbion OÜ coopère avec le Responsable afin que celui-ci puisse remplir, le cas échéant, ses obligations de notification à l'autorité de contrôle et de communication aux personnes concernées (articles 33 et 34 du RGPD).

4.7. Effacement ou restitution des données

Au choix du Responsable, effacer ou restituer l'ensemble des données à caractère personnel à l'issue de la prestation du service, et supprimer les copies existantes, sauf si le droit de l'Union ou de l'Estonie exige leur conservation, conformément à la clause 9.

4.8. Démonstration de la conformité

Mettre à la disposition du Responsable toutes les informations nécessaires pour démontrer le respect des obligations de l'article 28 du RGPD et permettre la réalisation d'audits et d'inspections prévus à la clause 7, et y contribuer.

5.1. Autorisation générale

Le Responsable accorde à Atbion OÜ une autorisation générale de recourir à des sous-traitants ultérieurs afin de fournir le service. La liste des sous-traitants ultérieurs vérifiés au moment de l'entrée en vigueur figure à l'Annexe III.

5.2. Garanties exigées des sous-traitants ultérieurs

Atbion OÜ impose à chaque sous-traitant ultérieur, par contrat, les mêmes obligations de protection des données que celles prévues par le présent Accord, en particulier la mise en œuvre de mesures techniques et organisationnelles appropriées (article 28, paragraphe 4, du RGPD). Atbion OÜ demeure pleinement responsable envers le Responsable de l'exécution par le sous-traitant ultérieur de ses obligations.

5.3. Information préalable des changements et droit d'opposition

Atbion OÜ informe le Responsable de tout changement prévu concernant l'ajout ou le remplacement de sous-traitants ultérieurs, donnant au Responsable la possibilité de s'opposer à ces changements pour des motifs raisonnables liés à la protection des données. Si le Responsable s'oppose et que les Parties ne parviennent pas à une solution, le Responsable peut résilier le service pour la partie concernée conformément à la clause 9.

6.1. Principe : traitement au sein de l'Union européenne

Le traitement des données de participants est réalisé principalement au sein de l'Union européenne : le calcul et le stockage sont hébergés sur AWS (région de l'UE) et la base de données principale réside dans un cluster MongoDB Atlas situé dans l'UE (voir l'Annexe II).

6.2. Garanties pour les transferts vers des pays tiers

Lorsqu'un sous-traitant ultérieur traite des données à caractère personnel en dehors de l'Espace économique européen, ce transfert est encadré par un mécanisme de transfert valable conformément au chapitre V du RGPD, en particulier :

• Les clauses contractuelles types (CCT) adoptées par la Commission européenne, complétées, le cas échéant, par des mesures supplémentaires ; et/ou
• Le cadre de protection des données UE-États-Unis (Data Privacy Framework, DPF) pour les fournisseurs des États-Unis certifiés à cet effet, lorsqu'il est applicable.

Le détail de la localisation de chaque sous-traitant ultérieur et des mécanismes de transfert applicables figure à l'Annexe III.

7.1. Droit d'audit

Atbion OÜ met à la disposition du Responsable les informations nécessaires pour démontrer le respect de l'article 28 du RGPD et permet la réalisation d'audits et d'inspections, y compris ceux menés par le Responsable ou par un auditeur indépendant qu'il désigne et soumis à confidentialité, et y contribue.

7.2. Modalités

Les audits sont réalisés moyennant un préavis raisonnable, pendant les heures ouvrables, sans perturbation injustifiée des opérations d'Atbion OÜ et à une fréquence raisonnable (en règle générale, pas plus d'une fois par an, sauf en cas d'incident de sécurité avéré ou si une autorité de contrôle l'exige). Atbion OÜ peut satisfaire au droit d'audit en fournissant des certifications, des rapports d'audit de tiers ou une documentation équivalente sur ses mesures et celles de ses sous-traitants ultérieurs, lorsque cette documentation répond raisonnablement à la demande du Responsable.

Chaque Partie répond des dommages causés par un traitement enfreignant le RGPD, dans les conditions de l'article 82 du RGPD. Aucune disposition du présent Accord — ni des Conditions de service — ne limite ou n'exclut la responsabilité des Parties dans la mesure où une telle limitation ou exclusion est interdite par le RGPD ou par la réglementation impérative en matière de protection des données. Les limitations de responsabilité convenues dans le contrat de service s'entendent sans préjudice de ce qui précède.

9.1. Durée

Le présent Accord entre en vigueur à la date indiquée en tête ou, si elle est postérieure, à la date à laquelle le Client commence à traiter des données de participants au moyen de Votinova, et reste en vigueur tant qu'Atbion OÜ traite des données à caractère personnel pour le compte du Responsable. Sa durée est liée à la durée du contrat de service.

9.2. Restitution ou effacement des données à l'issue

À l'issue du service, et au choix du Responsable, Atbion OÜ restitue ou efface les données à caractère personnel de participants traitées pour le compte du Responsable, et supprime les copies existantes, sauf si le droit de l'Union ou de l'Estonie exige de les conserver. Les données stockées temporairement dans l'infrastructure en temps réel sont supprimées automatiquement à l'expiration des délais techniques de conservation ; les copies de sauvegarde chiffrées sont écrasées conformément à leur cycle de rotation.

9.3. Survie

Les obligations de confidentialité, les garanties relatives aux transferts et les dispositions relatives à la responsabilité survivent à la résiliation dans la mesure nécessaire à la protection des personnes concernées.

10.1. Droit applicable

Le présent Accord est régi par le droit estonien ainsi que par le RGPD et les autres réglementations de l'Union européenne en matière de protection des données.

10.2. Hiérarchie

En cas de contradiction entre le présent Accord et les Conditions de service en ce qui concerne le traitement de données à caractère personnel de participants, le présent Accord prévaut. Pour le reste, les Conditions de service s'appliquent.

10.3. Modifications

Atbion OÜ peut mettre à jour le présent Accord pour refléter des changements juridiques, techniques ou organisationnels, en notifiant les changements substantiels moyennant un préavis raisonnable. Les documents connexes sont disponibles dans le centre juridique : https://votinova.com/legal.

10.4. Contact en matière de protection des données

Pour toute question relative au présent Accord ou au traitement de données à caractère personnel, vous pouvez vous adresser à privacy@votinova.com. L'autorité de contrôle compétente est l'Andmekaitse Inspektsioon (AKI) — Tatari 39, Tallinn 10134, Estonie — info@aki.ee — https://www.aki.ee.

Atbion OÜ applique, au minimum, les mesures suivantes, qu'elle réexamine et actualise périodiquement. Aucun paramètre sensible dont la publication pourrait faciliter des attaques n'est divulgué.