Langue de confidentialité MSA

 ADDENDUM À LA PROTECTION DES DONNÉES

Le Client a conclu un Contrat-cadre ou un contrat de nature et d’objet similaires (ci-après le « Contrat-cadre ») avec G-P. La signature dudit Contrat-cadre peut entraîner le Traitement de Données à caractère personnel. Le Client et G-P (collectivement désignés les « Parties ») conviennent que le présent Addendum relatif à la protection des données (« APD ») énonce leurs obligations en ce qui concerne le traitement et la sécurité des Données G-P à caractère personnel en lien avec les Services fournis par le Client en vertu du Contrat-cadre et les Parties conviennent d’être liées par le présent APD. Le présent ATD complète les conditions générales du Contrat-cadre et y est incorporé. En cas de conflit entre le présent ATD et tout autre accord entre les parties sur les questions énoncées aux présentes, le présent ATD prévaudra. Si le Client a déjà signé un addendum relatif à la protection des données en vigueur avec G-P, cet accord prévaudra sur le présent ATD, et le présent ATD n’aura aucune force ni effet, sauf accord contraire écrit entre le Client et G-P.

Attendu que :

1. Lorsque G-P fournit au Client des services d’employeur de dossiers (« EOR »), G-P assume le rôle d’employeur légal pour toute personne sélectionnée par le Client (« Professionnels ») à embaucher.
2. En ce qui concerne les Données à caractère personnel de ces Professionnels, G-P est un Responsable du traitement au cours de la relation de travail.
3. En ce qui concerne les Données à caractère personnel des Professionnels collectées et utilisées par le Client à ses propres fins, le Client est également un Responsable du traitement ayant des obligations de confidentialité indépendantes.
4. Lors de la prestation des services EOR, l’échange de Données à caractère personnel des Professionnels entre G-P et le Client est effectué dans le cadre d’une relation indépendante de Responsable du traitement à Responsable du traitement et les termes Responsable du traitement à Responsable du traitement définis à l’ article 2 ci-dessous s’appliqueront.
5. G-P propose également divers produits logiciels en tant que service via G-Pla plateforme de (« GPP »), qui G-P permet au Client de gérer la relation avec ces Professionnels.
6. En donnant au Client l’accès aux GPP, G-P est le Sous-traitant pour les données liées au compte téléchargées sur les GPP par les Utilisateurs autorisés désignés par le Client des GPP et les conditions de Responsable à Sous-traitant définies à l’ article 3 ci-dessous s’appliqueront.

G-P et le Client a convenu de ce qui suit :

1. DÉFINITIONS

1.1.Les termes non définis dans les présentes ont la signification qui leur est attribuée dans le Contrat-cadre. Les mots suivants dans le présent ATD ont les significations suivantes :

1.2. “Utilisateur autorisé  » désigne une personne autorisée par le Client qui peut inclure soit un employé et/ou un sous-traitant du Client, soit un employé et/ou un sous-traitant du Client, pour accéder au PPG et l’utiliser pour le compte du Client, conformément à la signature du Contrat-cadre.

1.3. “Données du Client  » désigne toute Donnée à caractère personnel liée à un Utilisateur autorisé ou à une personne physique identifiable qui est transférée, traitée ou stockée par G-P pour le compte du Client pour l’utilisation des GPP par le Client.

1.4. “ Lois sur la protection des données  » désigne toutes les lois sur la protection des données et de la vie privée auxquelles une partie au présent Contrat est soumise et qui sont applicables aux Services fournis, y compris, le cas échéant, le RGPD, le RGPD du Royaume-Uni, les Lois suisses sur la protection des données, les Lois américaines sur la protection de la vie privée (y compris les lois étatiques et fédérales) et la LGPD du Brésil.

1.5. « RGPD » désigne le Règlement général sur la protection des données (UE) 2016/679.

1.6. “« GPP  » désigne le logiciel propriétaire de , y compris, mais sans s G-P’y limiter, le logiciel, la version mobile, tout logiciel qu’il contient, et toutes les données mises à disposition par l G-P’utilisation du logiciel propriétaire de ou des services tiers, y compris leurs mises à jour, mises à niveau, plateforme en tant que service et documentation.

1.7. “EEE  » désigne l’Espace économique européen.

1.8. “LGPD  » désigne la Loi brésilienne n° 13.709, la Loi générale sur la protection des données personnelles, telle qu’elle peut être modifiée, remplacée ou remplacée.

1.9. « Master Agreemen t » désigne le contrat signé entre le Client et G-P pour la fourniture des Services.

1.10. « Politique de confidentialité  » désigne la politique G-Pde confidentialité, telle que mise à jour de temps à autre, disponible sur https://www.globalization-partners.com/privacy-policy/

1.11. « Données des Professionnels  » désigne les Données à caractère personnel des Professionnels traitées par G-P dans le cadre de sa prestation de services EOR au Client.

1.12. « Transfert restreint » désigne tout transfert de Données à caractère personnel vers un pays en dehors de l’EEE, du Royaume-Uni, de la Suisse ou du Brésil qui n’est pas soumis à une décision d’adéquation en vertu des Lois

1.13. « Services » désigne les services devant être fournis par le Client G-P en vertu du Contrat-cadre, qui peuvent inclure les services EOR, ainsi que l’accès et l’utilisation des GPP.

1.14. « Clauses contractuelles types »  ou  « CCS » signifie (i) lorsque le RGPD s’applique, les clauses contractuelles types annexées à la décision d’exécution (UE) 2021/914 de la Commission européenne des clauses contractuelles 4 Juin 2021 types pour le transfert de données à caractère personnel vers des pays tiers conformément au règlement (UE) 2016/679 du Parlement européen et du Conseil, disponible sur https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32021D0914&from=EN (« CCT UE ») ; (ii) lorsque le RGPD du Royaume-Uni s’applique, les clauses types applicables en matière de protection des données adoptées en vertu de l’Article 46(2)(c), ou (d) lorsque le RGPD du Royaume-Uni désigne l’Addendum au transfert international de données (« Addenda du Royaume-Uni ») aux Clauses contractuelles types de l’UE émises par le Bureau du commissaire à l’information en vertu de l’article 119A(1) de la Loi sur la protection des données 2018, tel que ledit Addendum britannique peut être révisé en vertu de la Section 18 des présentes (« CCT britanniques ») ; (iii) lorsque les

1.15. “Lois suisses sur la protection des données  » ou « FADP » désigne (i) la loi fédérale suisse sur la protection des données (datée Juin 19, 1992du 1 Mars, 2019) (« FDPA  ») ; (ii) l’ ordonnance sur la loi fédérale sur la protection des données  (« FODP  ») ; et (iii) toutes les lois nationales sur la protection des données établies en vertu de, en vertu de, remplaçant ou succédant à, et toute législation remplaçant ou mettant à jour l’une des dispositions précédentes.

1.16. “Addendum britannique  » désigne l’addendum au transfert international de données du Royaume-Uni aux Clauses contractuelles types de l’UE émises par le Commissaire à l’information du Royaume-Uni.

1.17. “Lois britanniques sur la protection des données » désigne le RGPD tel qu’enregistré dans la loi du Royaume-Uni en vertu de la section 3 de la Loi de l’Union européenne (retrait) du Royaume-Uni 2019 (« RGPD du Royaume-Uni  ») et de la Loi sur la protection des données 2018 (ensemble, les  « Lois britanniques sur la protection des données  »).

1.18. “Lois américaines sur la protection de la vie privée  » désigne les lois, ordonnances, réglementations et directives réglementaires applicables des États-Unis (États-Unis) relatives au traitement des données à caractère personnel, y compris, sans s’y limiter : (a) le CCPA ; (b) la Loi sur la protection des données des consommateurs de Virginie ; (c) la Loi sur la protection de la vie privée du Colorado ; (d) la Loi du Connecticut sur la protection des données et la surveillance en ligne ; (e) la Loi sur la protection de la vie privée des consommateurs de l’Utah ; et (f) toutes les lois d’État similaires

1.19. "Responsable du traitement » « Personne concernée », « Données à caractère personnel », « Informations à caractère personnel », « Violation de données », « Sous-traitant », « Traitement/Traitement », « Transfert restreint », « Prestataire de services » et/ou tout autre terme et concept similaire auront la signification définie dans les Lois sur la protection des données.

2. LE CONTRÔLE DES DONNÉES PERSONNELLES

2.1. Rôles des Parties. Lorsque G-P fonctionne en tant que Responsable du traitement indépendant, G-P doit se conformer à ses obligations en vertu des Lois sur la protection des données lors du Traitement des Données à caractère personnel et doit traiter les Données à caractère personnel comme décrit dans la Politique de confidentialité de disponible à G-Pl’adresse  https://www.globalization-partners.com/privacy-policy/. Le Client se conformera à ses obligations en vertu des Lois sur la protection des données lors du Traitement des Données à caractère personnel en tant que Responsable du traitement. En aucun cas les Parties ne traiteront les Données à caractère personnel en vertu du présent ATD en tant que Responsables conjoints du traitement.

2.2. Responsabilités et reconnaissances. Chaque Partie peut traiter des Données à caractère personnel en vertu du présent ATD en ce qui concerne les Données des Professionnels en tant que Responsables du traitement indépendants. Les Parties conviennent de se conformer à leurs obligations respectives et de traiter toutes les Données à caractère personnel de manière équitable et légale conformément au présent ATD et à toutes les Lois sur la protection des données applicables aux opérations de Traitement des Données à caractère personnel de ladite Partie. Chaque Partie veillera à ce que son Traitement des Données à caractère personnel soit limité à la finalité du PPG fourni par G-P et repose sur un fondement juridique pour le traitement légal. Les Parties s’aideront mutuellement à se conformer à leurs obligations respectives en vertu des Lois sur la protection des données, y compris, mais sans s’y limiter, à s’entraider en cas de Violation de données, à répondre aux demandes des Personnes concernées et/ou des régulateurs. 

3. TRAITEMENT DES DONNÉES À CARACTÈRE PERSONNEL

3.1. Portée. L’ utilisation des GPP peut impliquer le Traitement des Données du Client par en tant G-P que Sous-traitant ou Prestataire de services pour le compte du Client.

3.2. Instructions. G-P traitera les Données Client conformément aux instructions documentées du Client. Le Client accepte que le présent ATD, le Contrat-cadre, et l’ Annexe I jointe aux présentes, comprennent les instructions complètes du Client G-P concernant le Traitement des Données du Client. Toute instruction supplémentaire ou alternative doit être convenue entre les parties par écrit, y compris les coûts (le cas échéant) associés au respect de ces instructions. Le Client s’assurera que ses instructions sont conformes aux Lois applicables en matière de protection des données. Le Client reconnaît qu’il n’ G-P est pas responsable de déterminer quelles lois sont applicables à l’activité du Client. Le Client veillera à ce que le traitement des Données du Client par , lorsqu G-P’il est effectué conformément aux instructions du Client, ne cause pas de violation G-P de toute loi applicable, y compris les Lois applicables en matière de protection des données. G-P Toutefois, si l G-P ’on estime qu’une instruction du Client enfreint les Lois applicables en matière de protection des données, G-P il en informera le Client dès que raisonnablement possible et ne sera pas tenu de se conformer à cette instruction contrefaisante.

3.3. Détails du traitement. Les détails de l’objet du Traitement, sa durée, sa nature et sa finalité, ainsi que le type de Données du Client et les personnes concernées sont tels que spécifiés dans l’Annexe I jointe aux présentes. 

3.4. Conformité. Le Client et G-P accepte de se conformer à ses obligations respectives en vertu des Lois sur la protection des données applicables aux Données du Client qui sont Traitées comme spécifié à l’Annexe I. Le Client est seul responsable du respect des Lois sur la protection des données concernant la légalité du Traitement des Données du Client avant la divulgation, transfert, ou de toute autre manière, toute Donnée client à G-P. Pour éviter toute ambiguïté, dans tous les cas, Le Client obtiendra, si nécessaire, tout consentement des Personnes concernées G-P pour traiter les Données du Client conformément aux instructions du Client.

3.5. Sous-traitants ultérieurs. Le Client autorise G-P à nommer et à utiliser des Sous-traitants (« Sous-traitants ultérieurs ») pour traiter les Données du Client en lien avec les Services.Les  Sous-traitants ultérieurs peuvent inclure des tiers ou tout membre du G-P groupe de sociétés. G-P peut continuer à utiliser les Sous-traitants ultérieurs déjà engagés par G-P à la date du présent ATD, et une liste de ces Sous-traitants ultérieurs est disponible en Annexe III jointe aux présentes. Lorsqu’un Sous-traitant ultérieur ne remplit pas ses obligations de protection des données telles que spécifiées ci-dessus, G-P sera responsable envers le Client de l’exécution des obligations du Sous-traitant ultérieur. G-P informera le Client de toute modification apportée à sa liste de Sous-traitants ultérieurs par le biais de GPP. Si, dans les 10 (dix) jours suivant la réception de cet avis, le Client s’oppose légitimement à l’ajout ou à la suppression d’un Sous-traitant ultérieur pour des raisons de protection des données et G-P ne peut raisonnablement répondre à l’objection du Client, les parties discuteront des préoccupations du Client de bonne foi en vue de résoudre le problème.

3.6. Mesures de sécurité techniques et organisationnelles. En tenant compte des normes du secteur, les coûts de mise en œuvre, la nature, portée, le contexte et les finalités du Traitement, et toute autre circonstance pertinente relative au Traitement des Données Client, G-P mettra en œuvre des mesures de sécurité techniques et organisationnelles appropriées pour assurer la sécurité, confidentialité, intégrité, la disponibilité et la résilience des systèmes et services de traitement impliqués dans le Traitement des Données du Client sont proportionnelles au risque concernant lesdites Données du Client, tel que détaillé dans l’Annexe II jointe aux présentes. G-P testera et surveillera périodiquement (i) l’efficacité de ses garanties, contrôles, les systèmes et procédures et (ii) identifier les risques internes et externes raisonnablement prévisibles pour la sécurité, confidentialité et intégrité des Données Client, et s’assurer que ces risques sont traités.

3.7. Confidentialité. G-P veillera à ce que les personnes autorisées à accéder aux Données client (i) se soient engagées à respecter la confidentialité ou soient soumises à une obligation légale de confidentialité appropriée et (ii) n’accèdent aux Données client que sur instruction documentée de G-P, sauf si la loi applicable l’exige.

3.8. Violation de données à caractère personnel. G-P informera le Client sans délai injustifié après avoir pris connaissance d’une Violation de données en lien avec le Traitement des Données du Client et déploiera des efforts raisonnables pour aider le Client à atténuer, dans la mesure du possible, les effets indésirables de toute Violation de données.

3.9. Suppression des Données à caractère personnel. À la résiliation des Services (pour quelque raison que ce soit), G-P devra, dès que raisonnablement possible, retourner ou supprimer les Données du Client stockées dans les GPP, sauf si la loi applicable exige le stockage des Données du Client pendant une période plus longue. Pour cette conservation, les dispositions du présent ATD continueront de s’appliquer à ces Données Client.

3.10.Demandes des Personnes  concernées. G-P informera rapidement le Client de toute demande des Personnes concernées concernant les Données du Client. Il incombe au Client de répondre à ces demandes. G-P aidera raisonnablement le Client à répondre à ces demandes de Personnes concernées dans la mesure où le Client n’est pas en mesure d’accéder aux Données client pertinentes dans son utilisation des GPP.

3.11. Demandes de tiers. Si G-P reçoit des demandes de tiers ou une ordonnance d’un tribunal, d’un organisme de réglementation ou d’un organisme gouvernemental compétent auquel G-P est soumis le Traitement des Données du Client en vertu du Contrat, G-P redirigera rapidement la demande au Client. G-P ne répondra pas à ces demandes sans l’autorisation préalable du Client, sauf si la loi l’y oblige. G-P informera le Client, sauf interdiction légale, à l’avance de toute divulgation des Données du Client et coopérera raisonnablement avec le Client pour limiter la portée de cette divulgation à ce qui est légalement requis. 

3.12.Évaluation de l’impact sur la protection des  données et consultation préalable. Dans la mesure requise par les Lois sur la protection des données, G-P fournira une assistance raisonnable au Client pour effectuer une évaluation de l’impact sur la protection des données en relation avec le Traitement des Données du Client entrepris par G-P et/ou toute consultation préalable requise(s) avec les autorités de contrôle. G-P se réserve le droit de facturer au Client des frais raisonnables pour la fourniture d’une telle assistance.

3.13. Audit. Le Client peut vérifier la G-P conformité au présent ATD et aux Lois sur la protection des données en demandant un certificat délivré pour la vérification de la sécurité reflétant le résultat d’un audit mené par un auditeur tiers (par ex., certification ISO27001 , certificat SOC2 ), dans les douze (12) mois suivant la date de la demande du Client. Sinon, dans le cas où la documentation fournie soumise à la présente Section 3.13 n’est pas suffisante aux fins de démontrer la conformité, le Client peut effectuer son propre audit en plus des certifications ou rapports fournis par des tiers, à condition que cet audit soit  effectué : i) pas plus d’une fois par période de 12 (douze) mois ; ii) pendant les heures normales d G-P’ouverture et sans perturber les activités quotidiennes ; iii) avec un préavis écrit de trente (30) jours ; iv) aux seuls frais du Client ; v) sur la base de paramètres et d’une portée mutuellement convenus, limité à la portée spécifique des services, les systèmes utilisés et/ou les activités de traitement envisagés dans les présentes ; vi) sur la base d’une date convenue mutuellement à l’avance, sous réserve d’un report raisonnable par le Client sur demande G-Praisonnable ; et vii) conformément à toutes les obligations et restrictions de confidentialité. Nonobstant ce qui précède, aucun droit d’audit n’est accordé après la résiliation du Contrat-cadre, à l’exception des obligations légales qui devront être démontrées par le Client. Tout représentant tiers sélectionné pour effectuer un audit au nom du Client ne doit pas avoir de participation dans une société de services EOR, une agence, une organisation ou un consultant associé ou être affilié à une société de services EOR. Rien dans le présent ATD n G-P ’exigera de divulguer au Client ou à son auditeur tiers, ou pour permettre au Client ou à son auditeur tiers d’accéder : (i) toute donnée d G-P’un autre client ; (ii) G-Ples informations comptables ou financières internes ; (iii) tout secret commercial de G-P ou de ses sociétés affiliées ; (iv) toute information qui, de l G-P’avis raisonnable de , pourrait compromettre la sécurité des systèmes G-Pde ou causer une violation de ses obligations en vertu de la loi applicable ou de ses obligations de sécurité ou de confidentialité envers un tiers ; ou (v) toute information à laquelle le Client ou son auditeur tiers cherche à accéder pour toute raison autre que l’exécution de bonne foi des obligations du Client en vertu des Lois sur la protection des données.

3.14. Lois américaines sur la protection de la vie privée. En vertu du présent article 3 (« Traitement des Données à caractère personnel »), les Parties conviennent qu’il s’ G-P agit d’un « Prestataire de services » ou d’un « Sous-traitant » tel que ces termes sont définis en vertu des Lois américaines applicables en matière de confidentialité. En conséquence, dans la mesure où les Lois américaines sur la protection de la vie privée s’appliquent au Traitement des Données client par G-P, G-P ne doit pas (a) conserver, utilisation, ou divulguer des Données Client en dehors de la relation commerciale directe entre G-P et le Client, ou à toute autre fin que celle énoncée en Annexe I jointe aux présentes, et ne G-P traitera les Données du Client que tant qu’elles fourniront des services au Client ; (b) vendre des Données Client ; (c) partager les Données Client ; ou (d) combiner les Données Client reçues G-P de, ou pour le compte de, Client ayant des « données à caractère personnel » (tel que ce terme ou équivalent est défini en vertu des Lois applicables en matière de protection des données) dont il reçoit la réception, ou pour le compte de, une autre personne, ou collecte à partir de sa propre interaction avec un consommateur, à condition que G-P cela puisse combiner les Données du Client si cela entre dans le cadre de la prestation des services au Client. Le cas échéant, chaque Partie informera l’autre partie si elle détermine qu’elle ne peut plus remplir ses obligations en vertu des Lois américaines sur la protection de la vie privée.

4. Transferts internationaux de données

4.1. Protection appropriée. G-P est autorisé, dans le cours normal de ses activités, à effectuer des transferts internationaux de Données Client à ses sociétés affiliées et/ou Sous-traitants ultérieurs. Lorsque ces transferts sont effectués vers un territoire qui n’a pas été reconnu par les autorités compétentes en matière de protection des données comme fournissant un niveau adéquat de protection des Données à caractère personnel conformément aux Lois sur la protection des données, G-P doit s’assurer qu’une protection appropriée est en place pour protéger les Données Client transférées en vertu du Contrat-cadre ou en relation avec celui-ci.

4.2. Cadre de confidentialité des données. Les données des professionnels et des clients sont stockées dans GPP, qui est hébergé aux États-Unis. G-P est certifié en vertu des Cadre de protection des données (UE-États-Unis DPF) et, le cas échéant, l’extension du Royaume-Uni à l’UE-États-Unis. DPF, et la Suisse-États-Unis Cadre de protection des données (Suisse-États-Unis DPF). G-PLa certification de peut être confirmée publiquement sur le site Web du  FPDhttps ://www.dataprivacyframework.gov/list. L’UE-États-Unis Le cadre de protection des données a été considéré comme adéquat par la Commission européenne, étant un mécanisme de transfert de données légal conformément à l’article 45 du RGPD, au RGPD du Royaume-Uni et au FADP, respectivement. Si le ou les Cadre(s) du FPD sont invalidés, suspendus ou autrement ne sont plus reconnus comme fournissant une protection adéquate pour les transferts internationaux de données, le Sous-traitant accepte de conclure et de se conformer aux CCT émises ou approuvées par la Commission européenne, le Bureau du Commissaire à l’information du Royaume-Uni (ICO) ou le Commissaire fédéral suisse à la protection des données et à l’information (FDPIC), selon le cas. Les parties coopéreront de bonne foi pour mettre en œuvre toutes les mesures supplémentaires nécessaires pour assurer un niveau de protection essentiellement équivalent pour les données transférées.

4.3.  Clauses contractuelles types. Les parties conviennent que lorsque le transfert de données à caractère personnel du Client (en tant qu’« exportateur de données ») à G-P (en tant qu’« importateur de données ») est un Transfert restreint et que les Lois applicables en matière de protection des données exigent que des garanties appropriées soient mises en place, ledit transfert sera soumis aux Clauses contractuelles types appropriées, qui seront réputées incorporées au présent ATD et en feront partie intégrante, comme suit :

1. En ce  qui concerne les transferts de Données à caractère personnel qui sont protégés par le RGPD, les CCT de l’UE s’appliqueront, comme suit :

1. Les modules Un et Deux s’appliqueront ;
2. à la Clause 7, la clause d’amarrage facultatif s’appliquera ;
3. à la Clause 9 du Module Deux, l’Option 2 s’appliquera, et la période de préavis des changements de Sous-traitant ultérieur sera telle qu’énoncée à la Section 3.5 du présent ATD ;
4. à l’article 11, la formulation facultative ne s’appliquera pas ;
5. à la Clause 12, toute réclamation déposée en vertu des CCT de l’UE sera soumise aux conditions générales énoncées dans le Contrat-cadre ;
6. à la Clause 17, l’Option 1 s’appliquera, et les CCT de l’UE seront régies par le droit irlandais ;
7. à la Clause 18(b), les litiges seront résolus devant les tribunaux irlandais ;
8. L’Annexe I des CCT de l’UE sera réputée complétée avec les informations énoncées à l’Annexe 1 du présent ATD ; et
9. L’Annexe II des CCT de l’UE sera réputée complétée avec les informations énoncées à l’Annexe 2 du présent ATD ;
10. L’Annexe III du Module Deux des CCT de l’UE sera réputée complétée avec les informations énoncées à l’Annexe 3 du présent ATD.

b. En ce qui concerne les transferts de données à caractère personnel protégés par les Lois britanniques sur la protection des données ou les Lois suisses sur la protection des données, les CCT de l’UE telles que mises en œuvre en vertu des sous-paragraphes (a) ci-dessus s’appliqueront avec les modifications suivantes :

1. les références à la « Réglementation (UE) 2016/679 » doivent être interprétées comme des références aux Lois britanniques sur la protection des données ou aux Lois suisses sur la protection des données (le cas échéant) ;
2. les références aux articles spécifiques de la « Réglementation (UE) 2016/679 » seront remplacées par l’article ou la section équivalent des Lois britanniques sur la protection des données ou des Lois suisses sur la protection des données (le cas échéant) ;
3. les références aux termes « UE », « Union », « État membre » et « Loi de l’État membre » seront remplacées par des références au « Royaume-Uni » ou à la « Suisse », ou au « droit britannique » ou au « droit suisse » (le cas échéant) ;
4. le terme « État membre » ne doit pas être interprété de manière à exclure les personnes concernées au Royaume-Uni ou en Suisse de la possibilité de poursuivre leurs droits dans leur lieu de résidence habituelle (c.-à-d. au Royaume-Uni ou en Suisse) ;
5. La Clause 13(a) et la Partie C de l’Annexe I ne sont pas utilisées et l’« autorité de contrôle compétente » est le Commissaire à l’information du Royaume-Uni ou le Commissaire fédéral suisse à l’information sur la protection des données (le cas échéant) ;
6. les références à l’« autorité de contrôle compétente » et aux « tribunaux compétents » seront remplacées par les références au « Commissaire à l’information » et aux « tribunaux d’Angleterre et du Pays de Galles » ou au « Commissaire fédéral suisse à l’information sur la protection des données » et aux « tribunaux applicables de Suisse » (le cas échéant) ;
7. à la Clause 17, les Clauses contractuelles types seront régies par les lois de l’Angleterre, du Pays de Galles ou de la Suisse (le cas échéant) ; et
8. en ce qui concerne les transferts auxquels s’appliquent les Lois britanniques sur la protection des données, la Clause 18 sera modifiée pour indiquer « Tout litige découlant des présentes Clauses sera résolu par les tribunaux d’Angleterre et du Pays de Galles. Une personne concernée peut intenter une procédure judiciaire contre l’exportateur de données et/ou l’importateur de données devant les tribunaux de tout pays du Royaume-Uni. Les Parties conviennent de se soumettre à la compétence de ces tribunaux », et en ce qui concerne les transferts auxquels les Lois suisses sur la protection des données s’appliquent, la Clause 18(b) stipule que les litiges seront résolus devant les tribunaux suisses applicables.
9. En ce qui concerne les données qui sont protégées par le RGPD du Royaume-Uni, les CCT de l’UE s’appliqueront comme suit : (i) s’appliquent comme complété conformément aux paragraphes (i) à (viii) ci-dessus ; et (ii) sont réputées modifiées comme spécifié par la Partie 2 de l’Addendum britannique, qui sera réputée incorporée au présent ATD et en fera partie intégrante. En outre, les tableaux 1 à 3 de la Partie 1 de l’Addendum britannique seront remplis respectivement avec les informations énoncées à l’Annexe I et à l’Annexe II du présent ATD et le tableau 4 de la Partie 1 de l’Addendum britannique sera réputé rempli en sélectionnant « aucune des parties ».

c. En ce qui concerne les transferts de données à caractère personnel protégées par la LGPD du Brésil, directement ou par transfert ultérieur, vers un pays en dehors du Brésil qui n’est pas soumis à une décision d’adéquation émise par l’ANPD, les CCT du Brésil seront réputées avoir été conclues et intégrées au présent ATD par cette référence, et complétées comme suit :

1. La clause 2 des CCT du Brésil est satisfaite par les informations énoncées à l’Annexe I, qui décrit le transfert de données ;
2. I n Clause 3 des CCT du Brésil, l’Option B s’appliquera, les transferts ultérieurs étant autorisés conformément à la Section 3.5 (« Sous-traitants ultérieurs ») du présent ATD. L’objet, la nature et la durée du traitement sont énoncés à l’Annexe I du présent ATD ;
3. La Clause 4 des CCT du Brésil est satisfaite par les informations énoncées à l’Annexe I du présent ATD. Lorsqu’il G-P est Responsable du traitement, il s’agira de la « Partie désignée », telle que définie dans les CCT du Brésil, et aux fins de la Clause 14 (Transparence), de la Clause 15 (Droits des personnes concernées) et de la Clause 16 (Signalement d’incident) des CCT du Brésil. Le Client demeure responsable du respect de la Clause 14 (Transparence), de la Clause 15 (Droits des personnes concernées) et de la Clause 16 Signalement des incidents) des CCT du Brésil pour toute donnée à caractère personnel dont il pourrait autrement être le Responsable du traitement ;
4. Dans la Clause 9 des CCT du Brésil, la clause d’amarrage facultatif ne s’appliquera pas ; et
5. La Section III (Mesures de sécurité) des CCT du Brésil sera réputée complétée avec les informations énoncées à l’Annexe II du présent ATD.

Annexe I

Description du traitement des données

Annexe II

Mesures techniques et organisationnelles

G-P a été certifié et certifié conforme aux normes SOC 2 et ISO 27001 par des auditeurs indépendants. Ces certifications démontrent notre engagement à sécuriser les Données Client. G-PLe programme de sécurité de est conçu pour :

• protéger la confidentialité, l G-P’intégrité et la disponibilité des Données Client en sa possession ou auxquelles il G-P a accès ;
• Protéger contre toute menace ou danger anticipé pour la confidentialité, l’intégrité et la disponibilité des Données Client ;
• Protéger contre l’accès, l’utilisation, la divulgation, l’altération ou la destruction non autorisés ou illégaux des Données du Client ;
• protéger contre la perte accidentelle, la destruction ou l’endommagement des Données du Client ; et
• Protéger les informations telles qu’énoncées dans toute réglementation par laquelle G-P peut être réglementée.

Ce qui suit décrit les fonctions, processus, contrôles, systèmes, procédures et mesures qui G-P ont été pris pour assurer la sécurité du Traitement des Données Client :

1) MESURES TECHNIQUES POUR ASSURER LA CONFIDENTIALITÉ ET LA PROTECTION DES DONNÉES 

1. Confidentialité dès la conception et par défaut : G-P prend en compte les exigences de l’article 25 du RGPD dans la phase de conception et de développement du développement du produit. Les processus et fonctionnalités sont mis en place de manière à ce que les principes de protection des données tels que la légalité, la transparence, la limitation des finalités, la minimisation des données, etc. ainsi que la sécurité du traitement soient pris en compte à un stade précoce.

2. Cryptage des données à caractère personnel  : s’assurer que les données à caractère personnel sont uniquement stockées dans le système d’une manière qui ne permet pas à des tiers d’identifier la personne concernée.

   1. Chiffrement de la base de données et du stockage : sur toutes les bases de données utilisées par G-P un chiffrement « au repos » selon l’état de l’art est utilisé de sorte que les données de la base de données ne peuvent être lues qu’après une authentification appropriée sur le système de base de données respectif.

   2. Chiffrement des supports de données mobiles : l’utilisation de supports de données mobiles pour stocker les données des clients n’est pas autorisée.

   3. Cryptage des supports de données sur les ordinateurs portables : un cryptage de disque dur de pointe approprié est installé sur les ordinateurs portables de tous les employés.

   4. Échange chiffré d’informations et de fichiers : en principe, l’échange d’informations et de fichiers est directement chiffré via une application spéciale. Si des données à caractère personnel ou des informations confidentielles doivent être transférées vers des serveurs qui ne peuvent pas être envoyés via des téléchargements HTTPS cryptés TLS, ils seront transférés à l’aide du protocole SFTP (Secure File Transfer Protocol), d’un service d’enveloppe crypté ou d’un autre mécanisme crypté conformément à l’état de l’art.

   5. Chiffrement des e-mails : en principe, tous les e-mails envoyés par les employés de G-P sont chiffrés avec TLS. Il peut y avoir des exceptions si le serveur de messagerie destinataire ne prend pas en charge TLS. Le Client s’assurera que les serveurs de messagerie correspondants utilisés dans le cadre de la commande prennent en charge le cryptage TLS.

3. Contrôle d’admission : des contrôles d’admission sont prévus et mis en place afin d’empêcher l’utilisation et le traitement des données qui sont protégées par les lois sur la protection des données par des personnes non autorisées.

   1. Utilisation de méthodes d’authentification :l’ accès aux données personnelles se fait toujours via des protocoles chiffrés : SSH, SSL/TLS, HTTPS ou protocoles comparables. Procédure d’authentification du système informatique : connexion d’authentification multifacteur au système informatique.

   2. Blocage automatique en cas d’inactivité : ordinateurs portables utilisés par les G-P employés verrouillés avec une protection par mot de passe ou code PIN lorsqu’ils ne sont pas utilisés par l’utilisateur. De plus, un verrouillage automatique de l’écran avec protection par mot de passe est configuré après 15 minutes d’inactivité.

   3. Utilisation d’un logiciel antivirus :les  ordinateurs portables utilisés par les G-P employés sont équipés d’un logiciel antivirus de pointe qui est tenu à jour sur tous les systèmes informatiques opérationnels ou commerciaux. En principe, aucun ordinateur ne peut être utilisé sans protection antivirus résidente, sauf si d’autres mesures de sécurité de pointe équivalentes ont été prises ou s’il n’y a aucun risque. Les paramètres de sécurité par défaut ne doivent pas être désactivés ou contournés.

   4. « Politique de bureau propre » :Les  employés de G-P ne doivent pas imprimer ou stocker localement les données à caractère personnel des personnes concernées, ne pas laisser les documents de travail dans un endroit où ils peuvent être consultés par des tiers, et stocker correctement tous les documents de travail. Les documents que la loi G-P exige de conserver sur papier sont stockés dans des armoires verrouillées.

4. Contrôles d’accès au sein de la Plateforme : les contrôles d’accès garantissent que les personnes autorisées à utiliser un système de traitement n’ont accès qu’aux données à caractère personnel couvertes par leur autorisation d’accès.

   1. Rôles et autorisation

      1. Plate-forme Rôles et Autorisation – Accès client : les utilisateurs client peuvent afficher et modifier les informations du compte client.

      2. Plate-forme Rôles et Autorisation – Accès professionnel : les utilisateurs professionnels peuvent afficher et modifier leurs propres informations professionnelles. Les professionnels peuvent également obtenir un rôle d’accès client sur demande + approbation

      3. Plateforme de rôles et d’autorisation – Accès interne : les utilisateurs d’accès interne ont des rôles variés. Ils ont un accès varié pour créer, afficher, modifier et approuver les éléments suivants :

         • Informations sur le client

         • Informations de facturation

         • Informations sur le partenaire

         • Le personnel professionnel enregistre les informations

      4. L’accès au système d’administration est généralement limité aux employés formés dans les domaines du support client et du développement de produits.

5. Pare-feu en tant que service : G-P utilise un pare-feu externe en tant que service qui lui permet d’accorder ou de bloquer l’accès aux sites Web pour s’assurer que les systèmes ne peuvent pas accéder à du contenu malveillant et pour restreindre l’accès à du contenu inapproprié.

6. Enregistrement de la connexion à la plateforme : G-P conserve un enregistrement de toutes les activités de connexion.

7. Séparabilité : s’assurer que les données à caractère personnel collectées à différentes fins peuvent être traitées séparément et sont séparées des autres données et systèmes de manière à exclure toute utilisation non prévue de ces données à d’autres fins.

   1. Séparation des environnements de développement, de test et d’exploitation : les données de l’environnement d’exploitation ne peuvent être transférées vers des environnements de test ou de développement que si elles ont été rendues totalement anonymes avant le transfert. Le transfert des données anonymisées doit être chiffré ou via un réseau fiable. Les logiciels à transférer vers l’environnement d’exploitation doivent d’abord être testés dans un environnement de test identique (« mise en scène »). Les programmes d’analyse des erreurs ou de création/compilation de logiciels ne peuvent être utilisés dans l’environnement d’exploitation que si cela ne peut pas être évité. C’est particulièrement le cas si les situations d’erreur dépendent de données qui seraient falsifiées en raison des exigences d’anonymisation lors du transfert vers des environnements de test.

   2. Séparation en réseaux : G-P sépare ses réseaux en fonction des tâches. Les réseaux suivants sont utilisés de manière permanente : environnement d’exploitation (« Production »), environnement de test (« Mise à disposition », « Sandbox »), environnement de développement (« Dev ») personnel informatique de bureau. En plus de ces réseaux, d’autres réseaux distincts sont créés selon les besoins, par exemple pour les tests de restauration et les tests de pénétration. En fonction des possibilités techniques, les réseaux sont séparés physiquement ou au moyen de réseaux virtuels.

8. Contrôle de disponibilité  : prend les mesures suivantes pour s’assurer que les données à caractère personnel sont protégées contre la destruction ou la perte accidentelle. G-P

   1. Procédures/sauvegarde de protection des données : pour garantir une disponibilité adéquate, met G-P en œuvre des instantanés quotidiens de sa base de données avec réplication vers une autre région. Des mesures sont également prises pour s’assurer que les employés ayant besoin d’examiner les données en fonction de leur poste n’ont accès qu’aux jeux de données en réplique.

   2. Géo-redondance en ce qui concerne l’infrastructure serveur des données productives et des sauvegardes

   3. Gestion des incidents informatiques (« Gestion de la réponse aux incidents ») : il existe un concept et des procédures documentées pour gérer les incidents et les événements de sécurité pertinents. Cela comprend la planification et la préparation de la réponse aux incidents, les procédures de surveillance, de détection et d’analyse des événements de sécurité pertinents et la définition des responsabilités correspondantes et des canaux de signalement en cas de violation de la protection des données à caractère personnel dans le cadre des exigences légales.

2) MESURES ORGANISATIONNELLES POUR ASSURER LA CONFIDENTIALITÉ ET LA PROTECTION DES DONNÉES

G-P a mis en place les mesures organisationnelles suivantes pour s’assurer que l’organisation fonctionne d’une manière qui répond aux exigences de confidentialité et de protection des données.

1. Instructions organisationnelles : G-P a développé et développe un programme de gouvernance des données comprenant des politiques, procédures et directives que les employés doivent suivre. La documentation comprend la manière d’identifier et de gérer les problèmes de confidentialité des données, les meilleures pratiques pour garantir la conformité en matière de confidentialité et les politiques pour traiter les incidents de confidentialité.
2. Engagement envers la confidentialité et la protection des données : G-P a développé et développe un programme de gouvernance des données comprenant des politiques, des procédures et des directives que les employés doivent suivre. Tous les employés et sous-traitants sont tenus par écrit à la confidentialité et à la protection des données ainsi qu’à d’autres lois pertinentes. Tous les employés reçoivent une formation sur la confidentialité et la sécurité. Des audits internes sur la protection des données et la sécurité des informations sont effectués régulièrement. Les audits sont effectués sur la base de critères/schémas de test courants. Les employés et sous-traitants de G-P sont chargés de traiter les données personnelles pour des raisons légales uniquement, conformément aux contrats applicables avec le client et le professionnel, en tenant compte de tout consentement exprès donné ou refusé par la personne concernée, et conformément à toute obligation légale de l’organisation.
3. Formation sur la protection des données : tous les employés reçoivent une formation sur la confidentialité et la sécurité qui reste disponible pour examen à tout moment sur la plateforme de G-P formation.
4. Contrôles d’accès physique : G-P a mis en place les contrôles physiques suivants pour refuser aux personnes non autorisées l’accès aux équipements des systèmes informatiques utilisés pour le traitement.
   1. Protection électronique des portes : Les portes d’entrée des locaux des G-P bureaux sont toujours verrouillées et sécurisées électroniquement. Les portes sont ouvertes via un transpondeur électronique personnel.
   2. Distribution contrôlée des clés : Une allocation centralisée et documentée des clés aux employés de G-P a lieu. Ces transpondeurs/clés électroniques peuvent être désactivés de manière centralisée par chaque responsable de bureau ou le service des ressources humaines.
   3. Supervision et accompagnement de personnes externes : Les prestataires de services externes et autres tiers ne peuvent se voir accorder l’accès aux locaux que par autorisation préalable ou lorsqu’ils sont accompagnés par un employé de G-P. G-P applique sa Politique écrite relative aux visiteurs lorsque les visiteurs sont invités dans les locaux.
   4. Sécurisation des locaux ayant un besoin accru de protection : Les locaux ou armoires ayant des exigences de protection accrues, tels que les bureaux juridiques et certains sites d’exploitation, sont équipés d’armoires de verrouillage et de tiroirs. Les armoires et tiroirs où les documents juridiques, les contrats et la documentation confidentielle sont détenus doivent être verrouillés à tout moment, sauf lorsqu’ils sont utilisés.
   5. Portes et fenêtres fermées : les employés ont pour instruction organisationnelle de garder les fenêtres et portes fermées ou verrouillées en dehors des heures de bureau.
5. Récupération : G-P garantit que les systèmes utilisés peuvent être restaurés en cas de défaillance physique ou technique.

   1. Tests réguliers de récupération des données (« Restaurer-Tests ») : des tests réguliers de restauration complète sont effectués pour assurer la récupération en cas d’urgence/de catastrophe.

   2. Plan d’urgence (« Concept de reprise après sinistre ») : il existe un concept pour le traitement des urgences/catastrophes et un plan d’urgence correspondant. G-P assure la récupération de tous les systèmes sur la base des sauvegardes de données, généralement dans les 48 heures.

   3. Mesures d’examen et d’évaluation : présentation des procédures d’examen, d’évaluation et d’évaluation réguliers de l’efficacité des mesures techniques et organisationnelles.

6. Équipe de protection de la vie privée : l’organisation dispose d’un Bureau mondial de protection des données chargé de planifier, mettre en œuvre, évaluer et adapter les mesures dans le domaine de la protection des données.

7. Gestion des risques : il existe un processus d’analyse, d’évaluation et d’allocation des risques et de détermination des mesures sur la base de ces risques.

3) EXAMEN INDÉPENDANT DE LA SÉCURITÉ DES INFORMATIONS

1. Réalisation d’audits : Des audits internes sur la protection des données et la sécurité de l’information sont effectués régulièrement. Les audits sont effectués sur la base de critères/schémas de test courants.
2. Examen de la conformité aux politiques et normes de sécurité : la conformité aux directives, normes et autres exigences de sécurité applicables pour le traitement des données à caractère personnel est vérifiée régulièrement. Dans la mesure du possible, ces contrôles sont effectués de manière aléatoire et inattendue.
3. Vérification de la conformité aux spécifications techniques : des analyses de vulnérabilité manuelles et automatisées régulières sont effectuées par le service informatique ou tout autre personnel qualifié pour vérifier la sécurité des applications et de l’infrastructure, ainsi que le développement régulier du produit. Des tests de pénétration détaillés sont effectués par un prestataire de services externe pour examiner spécifiquement les applications et l’infrastructure à la recherche de vulnérabilités.
4. Traitement sur instruction : les employés de G-P sont invités à traiter les données à caractère personnel pour des raisons légales uniquement, conformément aux contrats applicables avec le client et le professionnel, en tenant compte de tout consentement exprès donné ou refusé par la personne concernée, et conformément à toute obligation légale de l’organisation.
5. Sélection prudente des fournisseurs  : G-P respecte son processus de préqualification des fournisseurs lors de la sélection des fournisseurs susceptibles de rencontrer des données protégées. Ce processus comprend les commentaires des services financier et juridique/confidentialité et intègre les étapes d’évaluation des risques, de préqualification de la sécurité et de certification de la documentation. Les fournisseurs qui traiteront les données protégées devront démontrer leur adhésion aux lois applicables en matière de confidentialité des données, y compris l’article 28 RGPD pour les données couvertes.

Annexe III 

Liste des Sous-traitants ultérieurs