Accord de Traitement des Données

1. Introduction et Portée

Cet Accord de Traitement des Données ("DPA") fait partie de l'Accord de Service entre TR7 Ltd ("TR7", le "Sous-traitant") et le client ("Client", le "Responsable du traitement"). Ce DPA définit les conditions dans lesquelles TR7 traite des données personnelles pour le compte du Client en conformité avec le Règlement Général sur la Protection des Données du Royaume-Uni (UK GDPR), le Règlement Général sur la Protection des Données de l'Union Européenne (EU GDPR 2016/679) et la Data Protection Act 2018.

2. Définitions

Dans ce DPA, les termes "données personnelles", "personne concernée", "traitement", "responsable du traitement", "sous-traitant", "sous-traitant ultérieur" et "autorité de contrôle" ont les significations qui leur sont attribuées dans le UK GDPR et le EU GDPR. "Lois sur la Protection des Données" désigne le UK GDPR, le EU GDPR, la Data Protection Act 2018 et toute législation nationale d'application applicable, telle que modifiée de temps à autre.

3. Rôles et Responsabilités

Le Client agit en qualité de Responsable du traitement et détermine les finalités et les moyens du traitement des données personnelles. TR7 agit en qualité de Sous-traitant et traite les données personnelles uniquement pour le compte et conformément aux instructions documentées du Client. TR7 ne traitera pas les données personnelles à d'autres fins que celles instruites par le Client, sauf si la loi applicable l'exige, auquel cas TR7 informera le Client avant le traitement (sauf si la loi l'interdit).

4. Catégories de Données

Les catégories suivantes de données personnelles peuvent être traitées dans le cadre de ce DPA :

Personnes concernées : Employés, prestataires, utilisateurs finaux et contacts autorisés du Client.

Catégories de Données Personnelles :
• Informations de contact (nom, adresse e-mail, numéro de téléphone, fonction)
• Identifiants de compte (noms d'utilisateur, mots de passe chiffrés)
• Journaux d'accès au système et adresses IP
• Communications de support technique et contenu des tickets
• Métadonnées de configuration associées aux utilisateurs nommés

Catégories spéciales : TR7 ne traite pas intentionnellement de catégories spéciales de données personnelles (par exemple, données de santé, données biométriques). Le Client ne doit pas soumettre de données de catégories spéciales à TR7 sans accord écrit préalable.

5. Finalité et Durée du Traitement

TR7 traite les données personnelles uniquement aux fins suivantes :

• Fourniture et exploitation du Logiciel TR7 et des services associés
• Fourniture de support technique et de services professionnels
• Gestion des comptes utilisateurs et des contrôles d'accès
• Génération d'analyses d'utilisation et de rapports de performance (anonymisés dans la mesure du possible)
• Respect des obligations légales et réglementaires

Le traitement se poursuivra pendant la durée de l'Accord de Service et cessera à sa résiliation, sous réserve de la Section 10 (Conservation et Suppression des Données).

6. Mesures de Sécurité

TR7 met en œuvre et maintient des mesures techniques et organisationnelles appropriées pour protéger les données personnelles, y compris, mais sans s'y limiter :

• Chiffrement : Les données en transit sont chiffrées avec TLS 1.2 ou supérieur. Les données au repos sont chiffrées avec AES-256 ou équivalent.
• Contrôle d'accès : Contrôle d'accès basé sur les rôles (RBAC) selon le principe du moindre privilège. Authentification multi-facteurs (MFA) pour tout le personnel TR7 accédant aux données du Client.
• Sécurité réseau : Protection par pare-feu, systèmes de détection d'intrusion et segmentation réseau pour isoler les environnements Client.
• Surveillance : Surveillance de sécurité continue, analyse des journaux et alertes automatisées pour les activités suspectes.
• Personnel : Tout le personnel TR7 ayant accès aux données personnelles est soumis à des obligations de confidentialité et reçoit une formation régulière en matière de protection des données.
• Sécurité physique : Les centres de données utilisés par TR7 maintiennent des contrôles de sécurité physique conformes aux normes de l'industrie, incluant surveillance 24/7, accès biométrique et contrôles environnementaux.
• Réponse aux incidents : Procédures documentées de réponse aux incidents avec des rôles définis, des protocoles de communication et des processus de revue post-incident.
• Continuité d'activité : Sauvegardes régulières, procédures de reprise après sinistre et mesures de redondance pour assurer la disponibilité des données.

7. Sous-traitants Ultérieurs

Le Client donne une autorisation écrite générale pour que TR7 fasse appel à des sous-traitants ultérieurs pour le traitement de données personnelles, sous réserve des conditions suivantes :

• TR7 maintiendra une liste des sous-traitants ultérieurs actuels, disponible sur demande.
• TR7 notifiera le Client au moins trente (30) jours avant d'engager un nouveau sous-traitant ultérieur ou de remplacer un existant.
• Le Client peut s'opposer à un nouveau sous-traitant ultérieur dans les quatorze (14) jours suivant la notification. Si le Client s'oppose pour des motifs raisonnables et que TR7 ne peut accommoder l'objection, l'une ou l'autre des parties peut résilier les services concernés.
• TR7 imposera à chaque sous-traitant ultérieur des obligations de protection des données au moins aussi contraignantes que celles prévues dans ce DPA.
• TR7 restera pleinement responsable des actes et omissions de ses sous-traitants ultérieurs.

8. Droits des Personnes Concernées

TR7 assistera le Client pour répondre aux demandes des personnes concernées exerçant leurs droits en vertu des Lois sur la Protection des Données, y compris le droit d'accès, de rectification, d'effacement, de limitation du traitement, de portabilité des données et le droit d'opposition. TR7 notifiera rapidement le Client s'il reçoit directement une demande d'une personne concernée et n'y répondra pas sans les instructions écrites préalables du Client, sauf si la loi l'exige.

9. Notification de Violation de Données

TR7 notifiera le Client sans retard injustifié, et en tout état de cause dans les 72 heures, après avoir pris connaissance d'une violation de données personnelles. La notification comprendra :

• La nature de la violation, y compris les catégories et le nombre approximatif de personnes concernées et d'enregistrements affectés
• Les conséquences probables de la violation
• Les mesures prises ou proposées pour remédier à la violation et atténuer ses effets
• Les coordonnées du point de contact de TR7 en matière de protection des données

TR7 coopérera avec le Client et prendra toutes les mesures raisonnables pour aider à l'investigation, l'atténuation et la remédiation de la violation.

10. Conservation et Suppression des Données

À la résiliation de l'Accord de Service, TR7, au choix du Client, restituera toutes les données personnelles au Client ou supprimera de manière sécurisée toutes les données personnelles dans un délai de quatre-vingt-dix (90) jours, sauf si la conservation est requise par la loi applicable. TR7 fournira une confirmation écrite de la suppression à la demande du Client. Toute donnée personnelle conservée à des fins de conformité légale continuera d'être protégée conformément à ce DPA.

11. Transferts Internationaux de Données

TR7 ne transférera pas de données personnelles en dehors du Royaume-Uni ou de l'Espace Économique Européen (EEE) sans le consentement écrit préalable du Client et sans s'assurer que des garanties appropriées sont en place, telles que :

• Clauses Contractuelles Types (CCT) approuvées par l'Information Commissioner's Office du Royaume-Uni (ICO) ou la Commission Européenne
• Une décision d'adéquation du Secrétaire d'État du Royaume-Uni ou de la Commission Européenne
• Règles d'Entreprise Contraignantes approuvées par l'autorité de contrôle compétente

TR7 réalisera une évaluation d'impact du transfert lorsque nécessaire et mettra en œuvre des mesures supplémentaires si nécessaire pour garantir un niveau de protection des données essentiellement équivalent.

12. Audits et Inspections

TR7 mettra à la disposition du Client toutes les informations nécessaires pour démontrer la conformité avec ce DPA et permettra et contribuera aux audits, y compris les inspections, menés par le Client ou un auditeur indépendant mandaté par le Client. Ces audits seront réalisés avec un préavis raisonnable (au moins trente jours), pendant les heures normales de bureau, et ne devront pas interférer de manière déraisonnable avec les opérations de TR7. Le Client supportera les coûts de tout audit, sauf si l'audit révèle un manquement substantiel de la part de TR7.

13. Analyse d'Impact relative à la Protection des Données

TR7 fournira une assistance raisonnable au Client pour la réalisation d'Analyses d'Impact relatives à la Protection des Données (AIPD) lorsque celles-ci sont requises par les Lois sur la Protection des Données, ainsi que pour toute consultation préalable de l'autorité de contrôle compétente.

14. Responsabilité

La responsabilité de chaque partie au titre de ce DPA est soumise aux limitations prévues dans l'Accord de Service et le Contrat de Licence Utilisateur Final (EULA). Chaque partie sera responsable des dommages causés par un traitement enfreignant les Lois sur la Protection des Données, conformément aux dispositions de responsabilité du UK GDPR et du EU GDPR.

15. Contact

Pour les demandes relatives à la protection des données :

TR7 Ltd
Contact Protection des Données
EAGLE TOWER, Montpellier Drive, Office Suite 120
Cheltenham GL50 1TA, United Kingdom
Email: privacy@tr7.com

UK Information Commissioner's Office (ICO): ico.org.uk