ANNEXE 2 : ACCORD DE RESPONSABILITÉ CONJOINTE DE TRAITEMENTS DE DONNÉES A CARACTÈRE PERSONNEL

ANNEXE 2 : ACCORD DE RESPONSABILITÉ CONJOINTE DE TRAITEMENTS DE DONNÉES A CARACTÈRE PERSONNEL

Préambule

L’entreprise individuelle Monsieur Costel BWATA ESALU, (« ANIGROOM ») est le fournisseur de la « plateforme ANIGROOM » (« la Plateforme ») et permet aux Utilisateurs Pro (« Utilisateurs Pro ») de vendre des Articles à d’autres utilisateurs sur la Plateforme. Vous vous êtes inscrit en tant qu’Utilisateur Pro et pouvez utiliser les services fournis par ANIGROOM sur la Plateforme en tant qu’Utilisateur Pro. Lorsque les Utilisateurs Pro utilisent la Plateforme et exercent des activités commerciales impliquant d’autres utilisateurs de la Plateforme en tant que personnes concernées, certains traitements de données sont effectués en tant que responsable de traitement conjoints avec ANIGROOM (ANIGROOM et vous, en tant qu’Utilisateur Pro étant désignés ensemble comme « les Parties ») au sens de l’Article 26, paragraphe 1, première phrase du Règlement Général sur la Protection des Données (« RGPD »). D’autres opérations de traitement des données sont effectuées séparément et indépendamment par les Parties.

Les Parties acceptent les responsabilités en matière de respect des obligations découlant des lois applicables (en particulier, le RGPD) énoncées dans le cadre du présent Accord de Responsables Conjoints de Traitements de Données Personnelles (« Accord ») et concluent le présent Accord pour remplir leur obligation légale en vertu de l’Article 26, paragraphe 1, deuxième phrase du RGPD et pour régir leur relation. La présente Convention est conclue de manière identique entre ANIGROOM et tous les Utilisateurs Pro de la Plateforme. Lorsqu’il est fait référence aux termes « Utilisateurs Pro » dans la présente Convention, les articles correspondants s’appliquent à chaque Utilisateur Pro séparément et individuellement. Tous les termes utilisés dans le présent Accord qui sont également utilisés dans le RGPD et toute autre loi directement applicable au traitement des données par les Parties en qualité de responsables conjoints de traitement, auront la même signification que les termes utilisés dans ces lois applicables.

1. Portée

Le présent Accord s’applique à tous les traitements de données à caractère personnel effectués par vous et ANIGROOM en tant que responsables de traitement conjoints. Les Parties ne sont responsables conjoints de traitement que pour les traitements de données et les phases de traitement des données pour lesquels elles déterminent conjointement les finalités et les moyens des traitements de données à caractère personnel au sens de l’Article 26, paragraphe 1, première phrase du RGPD. Plus précisément, ces opérations et phases de traitement des données peuvent être les suivantes, en fonction de vos activités et des interactions des personnes concernées avec vous.

2. Point de contact

Conformément à l’Article 26, paragraphe 1, troisième phrase du RGPD, les Parties désignent le point de contact suivant :

Nom : IE Monsieur Costel BWATA ESALU (ANIGROOM)
Adresse : 4 Rue Anne Frank 31300 Toulouse
Adresse électronique : nous@anigroom.com

3. Conditions Générales

Les Parties travaillent ensemble, s’entraident et coopèrent l’une avec l’autre. Les Parties s’informent immédiatement et de façon exhaustive si des erreurs ou des irrégularités dans le traitement des données pour lesquelles elles sont responsables conjoints de traitement sont constatées ou si des violations des dispositions du présent Accord ou des violations des lois applicables (notamment, le RGPD) sont découvertes.

Il vous est interdit de divulguer à un tiers toute information relative à la qualité de responsables conjoints de traitement de ANIGROOM et de vous-même, sauf en exécution d’une obligation légale en vertu des lois applicables, sans le consentement de ANIGROOM. Vous pouvez contacter ANIGROOM pour obtenir son consentement et vous vous engagez à ne pas divulguer d’informations à un tiers, sauf si ANIGROOM y consent par écrit, y compris par voie électronique.

Le présent Accord prévaut sur toute disposition similaire contenue dans d’autres accords entre les Parties et, en cas de conflit avec tout autre accord entre les parties, le présent Accord prévaut, à moins que les accords en conflit ne garantissent une protection plus élevée des droits et libertés des personnes concernées. Le présent Accord n’exonère pas les Parties de leurs obligations en vertu de toute loi applicable (notamment, en vertu du RGPD).

4. Droits de la Personne Concernée

Nonobstant le point de contact désigné indiqué à l’article « II. Point de Contact », les Parties reconnaissent que, en vertu du RGPD, les personnes concernées peuvent contacter l’une ou l’autre des Parties pour exercer leurs droits de personne concernée. Si une personne concernée vous contacte pour exercer un de ses droits qui implique ou pourrait impliquer un traitement de données pour lesquelles les Parties sont responsables conjoints de traitement, vous êtes tenu de transmettre la demande de la personne concernée à ANIGROOM rapidement et sans retard excessif.

Le respect des droits des personnes concernées relève de la responsabilité des deux Parties. Les Parties conviennent de centraliser la communication pour la réalisation des droits des personnes concernées envers les personnes concernées et dans les questions relatives aux droits des personnes concernées envers les autorités de contrôle. ANIGROOM s’occupe généralement de la communication avec les personnes concernées et les autorités de contrôle concernant le respect des droits des personnes concernées. Néanmoins, dans certains cas, il peut être nécessaire que vous communiquiez avec une personne concernée ou une autorité de contrôle sur des questions relatives aux droits de la personne concernée et vous n’êtes pas exempté de remplir vos propres obligations légales en vertu des lois applicables relatives aux droits de la personne concernée.

Vous êtes tenu d’assister ANIGROOM rapidement et sans retard injustifié en lui fournissant toutes les informations dont vous disposez et que vous pouvez collecter auprès de sources tierces, qui sont nécessaires à la réalisation des droits de la personne concernée. En outre, vous devez vous assurer que toutes les obligations relatives aux droits des personnes concernées en vertu des lois applicables (en particulier, le RGPD) qui doivent être remplies par vous seul (par exemple, la suppression des données dans votre base de données) sont respectées par vous.

5. Gestion des Violations de Données à Caractère Personnel

Les lois applicables (en vertu du RGPD, Articles 33 et 34 du RGPD) réglementent si les violations de données à caractère personnel doivent être notifiées et de quelle manière. Le respect des obligations de notification en vertu des lois applicables et l’évaluation des mesures nécessaires pour remplir ces obligations relèvent de la responsabilité de chacune des Parties. Les Parties conviennent de centraliser la communication pour l’accomplissement de leurs obligations légales en vertu de l’Article 33, paragraphe 1, première phrase du RGPD et de l’Article. 34, paragraphe 1 du RGPD. ANIGROOM se charge de toute communication externe avec les autorités de contrôle compétentes et les personnes concernées concernant toute violation suspectée ou avérée de données à caractère personnel.

Les Parties s’informent mutuellement sans retard excessif de toute violation présumée ou avérée de données à caractère personnel. Vous êtes tenu d’assister ANIGROOM rapidement et sans retard injustifié en lui fournissant toutes les informations dont vous disposez et que vous pouvez recueillir auprès de sources tierces, qui sont nécessaires pour évaluer et remplir toute obligation légale relative aux violations de données à caractère personnel. En outre, vous devez vous assurer que toutes les mesures nécessaires pour vous conformer aux dispositions des lois applicables (notamment, le RGPD) qui doivent être prises par vous seul (par exemple, la mise en œuvre de mesures d’atténuation des risques) sont prises par vous.

6. Base légale du traitement des Données à caractère personnel

Les Parties, en tant que responsables de traitement conjoints, doivent généralement toutes deux s’assurer qu’elles disposent d’une base légale pour tout traitement de données à caractère personnel. Nonobstant l’obligation pour chacune des Parties d’avoir une base légale pour les traitements de données à caractère personnel, ANIGROOM déterminera la base légale en vertu de la loi applicable utilisée pour les phases du traitement des données lorsque ANIGROOM traite effectivement les données à caractère personnel en qualité de responsable conjoint de traitement. Chacune des Parties s’engage à respecter les lois applicables en matière de protection des données et à veiller à ce que les données à caractère personnel qu’elle collecte en qualité de responsable conjoint de traitement ne soient pas traitées ultérieurement d’une manière incompatible avec les objectifs pour lesquels elles ont été initialement recueillies.

7. Information des Personnes Concernées

Les lois applicables réglementent comment et dans quelle mesure les personnes concernées doivent être informées du traitement des données à caractère personnel les concernant. En vertu du RGPD, l’Article 13 du RGPD et l’Article 14 du RGPD sont de telles dispositions. Les Parties conviennent que ANIGROOM informera les personnes concernées du traitement des données à caractère personnel dans le cadre du contrôle conjoint des Parties. En outre, ANIGROOM fournira aux personnes concernées l’essence de l’arrangement entre les Parties conformément à l’Article 26, paragraphe 2, deuxième phrase du RGPD. Chacune des Parties a le devoir d’informer du traitement des données à caractère personnel effectué dans le cadre du contrôle conjoint des Parties de manière indépendante par celles-ci.

8. Coopération avec les Autorités de Contrôle et Divulgation d’Informations

Les Parties sont tenues de s’informer rapidement et sans retard injustifié lorsqu’une autorité de contrôle contacte l’une des Parties et que cela concerne ou pourrait concerner les traitements de données à caractère personnel pour lesquels les Parties sont responsables conjoints de traitement. Les Parties coordonnent leurs réponses aux demandes des autorités de contrôle concernant le présent Accord et le traitement des données à caractère personnel pour lesquelles elles sont responsables conjoints de traitement, dans la mesure où cela est légalement permis et raisonnable. Les Parties conviennent que les décisions des autorités de contrôle doivent par principe être respectées. Néanmoins, les Parties se consulteront pour savoir si, et dans quelle mesure, des recours contre les décisions des autorités de contrôle seront introduits et se fourniront toutes les informations nécessaires pour évaluer leurs obligations légales. Nonobstant ce qui précède, chacune des Parties peut décider individuellement de former un recours contre toute décision d’une autorité de contrôle en son propre nom.

Vous ne pouvez divulguer d’informations relatives aux traitements de données à caractère personnel pour lesquels ANIGROOM et vous avez la qualité de responsables conjoints de traitement à une autorité de contrôle que si ANIGROOM y a consenti ou si vous êtes légalement obligé de divulguer l’information. Si vous êtes légalement obligé de divulguer des informations à une autorité de contrôle, vous devez informer ANIGROOM de toutes les circonstances y afférentes avant de divulguer toute information, dans la mesure où cela n’est pas interdit par les lois applicables. Dans le cas où informer ANIGROOM est interdit par les lois applicables, vous informerez ANIGROOM ultérieurement dès que la communication d’informations à ANIGROOM ne sera plus interdite.

9. Engagement de tiers

Pour certains traitements de données à caractère personnel, des tiers sont impliqués et agissent en tant que sous-traitants pour le compte des Parties ou en tant qu’autre responsable de conjoint de traitement. Il incombe aux deux Parties de veiller au respect des lois applicables (en particulier, le RGPD) lorsqu’elles engagent des tiers. Vous accordez par la présente le droit à ANIGROOM de décider de changer et d’ajouter des sous-traitants et d’autres responsables conjoints de traitement au nom des Parties et accordez le droit à ANIGROOM de conclure des accords contractuels au nom des deux Parties lorsque cela est requis par les lois applicables (notamment, le RGPD). Les accords contractuels déjà existants entre ANIGROOM et des tiers s’appliquent également aux traitements de données à caractère personnel pour lesquels les Parties sont responsables conjoints de traitement. Les tiers concernés sont énumérés dans la Politique de Confidentialité de ANIGROOM.

10. Transfert de Données à Caractère Personnel vers un Pays Tiers

Pour certaines opérations de traitement des données effectuées par les Parties, des sous-traitants ou d’autres responsables conjoints de traitement sont impliqués et sont basés en dehors de l’Union européenne et de l’Espace économique européen. De ce fait, des transferts de données à caractère personnel vers des pays tiers ont lieu. La conformité aux dispositions du Chapitre V du RGPD relève de la responsabilité de chacune des Parties. Nonobstant ce qui précède, ANIGROOM a conclu des accords contractuels avec les tiers concernés par les transferts de données à caractère personnel. Les accords contractuels déjà existants entre ANIGROOM et les sous-traitants et autres responsables conjoints de traitement s’appliquent également aux transferts de données à caractère personnel vers un pays tiers effectués par les Parties lorsqu’elles ont la qualité de responsable conjoint de traitement. S’il n’existe aucun accord contractuel relatif aux transferts de données à caractère personnel vers un pays tiers, ANIGROOM conclura un nouvel accord contractuel au nom des Parties lorsque cela est requis par les lois applicables. Par la présente, vous accordez à ANIGROOM le droit de conclure des accords contractuels avec des sous-traitants et d’autres responsables conjoints de traitement concernant les transferts de données à caractère personnel vers des pays tiers qui s’appliqueront aux transferts de données à caractère personnel vers des pays tiers lorsque les Parties ont la qualité de responsables conjoints de traitement.

S’il existe ou existera une décision d’adéquation de la Commission européenne pour un pays tiers, un territoire ou un ou plusieurs secteurs déterminés au sein de ce pays tiers ou si une exemption au titre de l’Article 49 du RGPD est applicable, les dispositions ci-dessus du présent article ne s’appliquent pas.

11. Sécurité du Traitement

Les Parties s’engagent mutuellement à mettre en œuvre les mesures techniques et organisationnelles requises par les lois applicables et, en particulier, par l’Article 32 du RGPD, pour les traitements de données à caractère personnel pour lesquels elles ont la qualité de responsables conjoints de traitement. Conformément à l’Article 32 du RGPD, compte tenu de l’état de l’art, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement des données ainsi que du risque de probabilité et de gravité variables pour les droits et libertés des personnes concernées, les Parties ont mis en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. Les mesures techniques et organisationnelles sont soumises à des progrès techniques et organisationnels et à des développements ultérieurs. Une liste des mesures techniques et organisationnelles que ANIGROOM a mises en place et applique au traitement des données à caractère personnel dans le cadre de la relation entre les Parties est incluse dans l’« Annexe A – Mesures de Sécurité » de la présente Convention.

12. Responsabilités des Parties

Les Parties conviennent des responsabilités pour assurer le respect des lois applicables (notamment, le RGPD) énoncées dans le tableau suivant.

13. Loi applicable, tribunaux compétents et établissement principal

La présente Convention est régie par les lois de la Lituanie et le droit de l’Union européenne directement applicable. Par la présente, vous acceptez expressément de vous soumettre à la juridiction personnelle exclusive de la Lituanie pour toute réclamation ou tout litige lié à la présente Convention. Pour bénéficier du principe du guichet unique, les Parties désignent ANIGROOM (Švitrigailos str. 13, Vilnius LT-03228, Lituanie,) comme établissement principal des responsables conjoints de traitement.

14. Responsabilité

La responsabilité des Parties en cas de violation du présent Accord, est généralement régie par les lois applicables en matière de protection des données (notamment, le RGPD). ANIGROOM n’est pas responsable des dommages matériels et immatériels causés exclusivement par votre violation de la présente Convention ou des lois applicables (notamment, le RGPD) et a le droit de vous demander réparation de ces dommages. Dans le cas où une autorité de surveillance ou une personne concernée demande une indemnisation à ANIGROOM pour une violation des lois applicables causée exclusivement par vous, ANIGROOM a le droit de recevoir de votre part une compensation adéquate, au moins du montant que ANIGROOM a payé aux autorités de surveillance et aux personnes concernées.

15. Modifications

Dans les limites prévues par les lois applicables, pour toute modification du présent Accord, vous serez informé par une notification sur la Plateforme quinze (15) jours avant l’entrée en vigueur de la modification ou, en cas de modification plus substantielle (par exemple, modifications qui augmentent vos obligations, impactent les principales fonctionnalités de la Plateforme), par un email envoyé à l’adresse email fournie lors de leur enregistrement quatre (4) semaines avant l’entrée en vigueur de la modification. Si vous êtes en désaccord avec l’une des modifications proposées, vous pouvez choisir de mettre fin à votre relation avec ANIGROOM et de fermer votre Compte Utilisateur Pro ANIGROOM.

16. Prise d’effet et Résiliation

Le présent Accord prend effet au moment de l’inscription en tant qu’Utilisateur Pro et de l’acceptation des Conditions d’Utilisation applicables aux Utilisateurs Pro. Il est conclu pour une durée indéterminée et pour au moins aussi longtemps que les Parties effectuent des traitements de données à caractère personnel en tant que responsables conjoints de traitement. Chacune des Parties a le droit de résilier le présent Accord. Vous pouvez résilier le présent Accord en fermant votre compte d’Utilisateur Pro. En cas de résiliation des Conditions d’Utilisation applicables aux Utilisateurs Pro, le présent Accord est également résilié. ANIGROOM peut résilier le présent Accord conformément aux Conditions d’Utilisation applicables aux Utilisateurs Pro.

17. Clause de Divisibilité

Si certaines parties du présent Accord sont invalides, nulles ou inapplicables, cela n’affecte pas l’efficacité des autres parties de la présente Convention. Les Parties s’engagent à remplacer la disposition invalide par une disposition légalement admissible qui se rapproche le plus de l’intention de la disposition invalide et répond au mieux aux exigences des lois applicables (en particulier, le RGPD).

Annexe A – Mesures de Sécurité

ANIGROOM met en œuvre un programme de sécurité étendu dont l’objectif principal est d’établir et de maintenir des contrôles de sécurité appropriés. La sécurité est assurée par la préservation des principaux principes de sécurité et de confidentialité des informations pour les informations de ANIGROOM et pour les informations que nous gérons au nom des clients et d’autres parties :

– Confidentialité – garantir que seuls les utilisateurs autorisés ont accès aux informations et aux biens associés.

– Intégrité – préserver l’exactitude, l’exhaustivité et l’actualité des informations et de leur traitement.

– Disponibilité – garantir que les utilisateurs autorisés ont accès, en cas de besoin, aux informations et aux biens associés.

Les politiques, procédures et normes de sécurité de ANIGROOM sont basées sur des normes industrielles reconnues au niveau international.

1. Organisation de la sécurité de l’information

La sécurité de l’information est établie par le département Ingénierie de ANIGROOM. Le domaine de la sécurité de l’information supervise les mesures de sécurité opérationnelles et techniques dans toute l’organisation, sous la direction du Directeur de la Sécurité de l’Information.

2. Sécurité Physique et Environnementale

Les mesures de sécurité de ANIGROOM comprennent des contrôles conçus pour fournir une assurance raisonnable que l’accès physique aux installations de traitement et de stockage des données est limité aux seules personnes autorisées. Les règles environnementales sont établies pour détecter, prévenir et contrôler les risques environnementaux.

3. Personnel

Des activités de communication et de sensibilisation sont entreprises pour promouvoir l’éducation à la sécurité de l’information auprès de tous les employés qui ont accès aux informations et aux systèmes. Un programme de sensibilisation à la sécurité de l’information garantit que des campagnes et des activités continues de sensibilisation à la sécurité sont obligatoires pour tout le personnel.

4. Tests de sécurité

Pour traiter les vulnérabilités rapidement et efficacement, ANIGROOM maintient des processus de test, de gestion et de correction des vulnérabilités.

Gestion des vulnérabilités : ANIGROOM effectue régulièrement des tests de vulnérabilité afin d’évaluer si les contrôles de sécurité essentiels sont correctement mis en œuvre. Ces tests couvrent les activités de balayage de vulnérabilité et de remédiation après la classification des actifs et des services.

Gestion des correctifs : Un processus de gestion des correctifs est établi pour assurer le traitement en temps utile des vulnérabilités et des déficiences connues affectant l’infrastructure ANIGROOM.

Tests de pénétration : Les activités de test de pénétration sont entreprises pour réduire les menaces à la sécurité et minimiser les vulnérabilités.

5. Contrôle d’accès

ANIGROOM met en œuvre des processus de contrôle d’accès aux installations et systèmes de ANIGROOM en utilisant le principe du moindre privilège.

Gestion des mots de passe : Le processus de gestion des mots de passe est mis en œuvre pour assurer le cycle de vie et la complexité des mots de passe en fonction de la criticité des actifs pour empêcher tout accès non autorisé, notamment :

– Le cycle de vie/la durée de vie des mots de passe, y compris les intervalles de changement de mot de passe.

– Les règles et mesures de gestion des mots de passe.

– Les mesures d’authentification multi-facteurs et de SSO (single sign-on).

6. Sécurité des Communications

Le processus de sécurité des communications de ANIGROOM garantit la sécurité des données de ANIGROOM et de nos clients. Ce processus met en œuvre des mesures de protection des informations contre toute violation de la confidentialité, de l’intégrité ou de la disponibilité. Les mesures de sécurité du réseau garantissent que la conception, la mise en œuvre et la gestion des réseaux ANIGROOM protège les données et les services ANIGROOM en utilisant des technologies innovantes, sûres et évolutives.

7. Sécurité des Opérations

La sécurité des opérations est conçue pour aider ANIGROOM à garantir que les opérations quotidiennes d’une organisation sont effectuées en toute sécurité. Cela inclut des procédures d’exploitation documentées, la garantie que les modifications des actifs informationnels sont effectuées de manière efficace, que les actifs informationnels sont protégés contre les logiciels malveillants et autres menaces et vulnérabilités, des contrôles pour garantir que les sauvegardes sont effectuées de manière efficace afin d’assurer la disponibilité des informations en temps voulu, l’enregistrement et le suivi des activités des utilisateurs et l’amélioration continue.

8. Gestion des Incidents

Le processus de Gestion des Incidents de ANIGROOM assure le traitement des incidents de manière appropriée et décrit les méthodes d’identification, de détection, de rapport et de réponse aux incidents. En cas d’incident, une journalisation correcte du système permet de recréer une trace historique des événements du réseau et du système informatique. La gestion des incidents comprend au minimum les mesures suivantes :

– Mesures et cycle de vie des incidents et de la sécurité.

– Plan de gestion des incidents.

– Mesures de détection et d’investigation des incidents.

– Classification de l’incident.

– Mesures de confinement et d’éradication de l’incident et de récupération après celui-ci.

– Activités post-incident.

– Activités de signalement des incidents.

9. Gestion des Risques

ANIGROOM maintient un cadre de gestion des risques pour s’assurer que les risques du secteur d’activité sont régulièrement identifiés, évalués et gérés conformément au cadre.

10. Cryptage des Données

ANIGROOM a mis en place des mesures appropriées de contrôle du chiffrement pour protéger ses ressources informatiques sensibles et critiques contre toute modification ou divulgation accidentelle ou malveillante et pour maintenir des niveaux appropriés de confidentialité, d’intégrité et de disponibilité pour ces ressources informatiques.