Politique générale de confidentialité

Définitions
« Contrat » désigne l’ensemble des documents contractuels liant ASAP et le Client.
« Données à caractère personnel » ou « Données » désigne les données à caractère personnel se rapportant à une personne physique identifiée ou identifiable au sens de la Réglementation en vigueur.

1. Déclarations :

1.1 Les Parties s’engagent à respecter les dispositions légales et règlementaires en vigueur relatives à l’informatique, aux fichiers et aux libertés et notamment le règlement UE 2016/679 du Parlement Européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après la « Réglementation en vigueur »).

1.2 Dans le cadre de l’exécution du Contrat, les Parties conviennent que :
– le Client agit en qualité de responsable du traitement des données personnelles au sens de la Réglementation en vigueur ;
– ASAP agit en qualité de sous-traitant au sens de la Réglementation en vigueur pour le compte du Client afin d’exécuter ses obligations aux termes du Contrat. Il aura accès et traitera les Données à caractère personnel fournies par le Client.

1.3 ASAP est autorisée à traiter pour le compte du Client les données à caractère personnel nécessaires au fonctionnement de la Solution qui permet l’informatisation des employés itinérants des entreprises. Les Données traitées sont constituées d’informations relatives aux collaborateurs du Client (notamment nom, prénom et adresse courriel) et aux clients du Client (notamment nom, prénom, adresse postale, numéro de téléphone). Ces Données sont conservées pendant toute la durée du Contrat et sont restituées au Client à l’issue de celui-ci.

1.4 Le Client, en sa qualité de responsable du traitement des Données à caractère personnel, est le seul à disposer de la maitrise et de la connaissance notamment de l’origine des Données et garantit respecter l’ensemble des obligations qui lui incombent à l’égard des personnes concernées par ces Données. Il demeure seul responsable des traitements de données à caractère personnel réalisés pour son propre compte dans le cadre du Contrat. Le Client s’engage à ne pas fournir à ASAP directement ou indirectement de Données à caractère personnel faisant apparaitre les opinions religieuses, philosophiques ou politiques, l’origine ethnique ou l’appartenance syndicale des personnes, ni des données relatives à la santé ou à la vie sexuelle de celles-ci.

1.5 ASAP s’engage à traiter les Données à caractère personnel dans le cadre de la stricte exécution du Contrat et conformément aux instructions du Client. Les Parties reconnaissent que la réalisation de l’objet du Contrat et l’utilisation par le Client de la Solution constituent des instructions documentées du Client au sens de la Réglementation en vigueur. Si le Client utilise la Solution pour traiter d’autres données ou catégories de données à caractère personnel ou pour d’autres traitements ou finalités que celles figurant au Contrat, le Client le fait à ses risques et ses périls et ASAP ne peut être tenue pour responsable en cas de manquement à la Réglementation en vigueur.

2. Sécurité :

2.1 ASAP s’engage à prendre toutes précautions utiles pour garantir la sécurité et la confidentialité des Données à caractère personnel et veille à ce que son personnel autorisé à traiter ces Données s’engage à respecter la confidentialité de celles-ci. En application de l’article 32.1 de la Réglementation en vigueur, ASAP met en œuvre les mesures techniques et organisationnelles appropriées afin de garantir à son Client un niveau de sécurité adapté au risque. La liste des moyens mis en œuvre par ASAP pourra être communiquée au Client à sa demande.

2.2 ASAP garantit que dans le cadre de l’exécution du Contrat, le Traitement de Données à caractère personnel est effectué sur le territoire de l’Espace Economique Européen.

2.3 Le Client demeure responsable de la sécurité et de la confidentialité de ses systèmes.

3. Coopération avec le Client :

ASAP met à la disposition du Client, s’il le lui en fait la demande, toutes les informations dont il dispose afin de l’aider à démontrer le respect de la Règlementation en vigueur, y compris pour la réalisation d’analyse d’impact relative à la protection des Données ou pour la consultation préalable de l’autorité de contrôle et ce, aux frais du Client.

4. Sous-traitance :

ASAP fait appel à des sous-traitants, notamment EQUINIX pour l’hébergement de la Solution dans le cadre de l’exécution du Contrat.
ASAP s’engage à faire appel à des sous-traitants présentant des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées afin de répondre aux exigences de la Réglementation en vigueur. ASAP informera par courriel le Client de tout changement prévu concernant l’ajout ou le remplacement d’un sous-traitant. Le Client disposera d’un délai de 30 jours à compter de la réception de l’information pour émettre des objections motivées par écrit à l’encontre de ce changement. Le Client reconnaît et accepte que l’absence d’objection dans ce délai équivaut à une acceptation de sa part du sous-traitant. Le sous-traitant d’ ASAP est tenu aux mêmes obligations en matière de protection des Données que celles fixées dans le Contrat entre ASAP et le Client. Si le sous-traitant ultérieur ne remplit pas ses obligations en matière de protection des Données, ASAP demeurera pleinement responsable devant le Client de l’exécution par l’autre sous-traitant de ses obligations.

5. Audit :

ASAP met à la disposition du Client à la demande de celui-ci la documentation nécessaire pour démontrer le respect de toutes ses obligations en qualité de sous-traitant au titre du Contrat et pour permettre la réalisation d’audit aux frais du Client, y compris des inspections, par le Client ou un auditeur qu’il a mandaté, et contribuer à cet audit. Un tel audit ne pourra être diligenté qu’une fois pendant la période initiale du Contrat, puis au maximum une fois par année et dans les conditions suivantes :
– le Client transmet par lettre recommandée avec accusé de réception à ASAP une demande d’explication concernant le respect de la Règlementation en vigueur ;
– en l’absence de réponse de ASAP dans le délai de quinze jours suivant la réception de cette lettre recommandée, le Client forme une demande d’audit auprès de ASAP en précisant le périmètre de l’audit envisagé et les conditions de réalisation de celui-ci ;
– l’audit ne pourra pas dépasser deux jours ouvrés, et sera mis en œuvre par deux personnes maximum qui auront accès aux locaux de ASAP aux dates convenues avec elle et aux horaires habituels de travail de ASAP ;
– les auditeurs devront remettre leur pré-rapport à ASAP afin de recueillir ses observations et y répondre dans le rapport final qui sera remis au Client.

6. Exercice et droits des personnes :

Le Client, en qualité de responsable du traitement, est chargé de fournir à la personne concernée les informations requises par la Réglementation en vigueur, au moment de la collecte des Données à caractère personnel. Dans la mesure du possible, ASAP doit aider le Client à s’acquitter de son obligation de donner suite aux demandes dont les personnes concernées le saisissent en vue d’exercer leurs droits sur leurs Données à caractère personnel et en particulier le droit d’accès, de rectification, d’effacement et d’opposition, droit à la limitation du traitement, droit à la portabilité des données, droit de ne pas faire l’objet d’une décision individuelle automatisée. Lorsque les personnes concernées exercent auprès d’ASAP des demandes d’exercice des droits sus visés, ASAP doit adresser ces demandes dès réception par courriel à l’Administrateur du Client. Le Client reste responsable de la réponse à apporter aux personnes physiques concernées.

7. Notification des violations de Données à caractère personnel :

7.1 ASAP notifie à l’Administrateur du Client par courriel dans les meilleurs délais toute violation de Données à caractère personnel dont il aurait connaissance. Cette notification est accompagnée de toute documentation utile afin de permettre au Client, si nécessaire, de notifier cette violation à l’autorité de contrôle compétente et dans la mesure du possible des informations suivantes :
– la description de la nature de la violation de Données à caractère personnel, y compris si possible les catégories et le nombre approximatif de personnes concernées par la violation et les catégories et le nombre approximatif d’enregistrements de Données à caractère personnel concerné ;
– le nom et les coordonnées du délégué à la protection des données ou d’un autre point de contact auprès duquel les informations supplémentaires peuvent être obtenues ;
– la description des conséquences probables de la violation de Données à caractère personnel ;
– la description des mesures prises pour remédier à la violation de Données à caractère personnel, y compris le cas échéant les mesures pour en atténuer les éventuelles conséquences négatives.
7.2 Il appartient au Client d’informer les personnes concernées de toute violation de leurs Données à caractère personnel conformément à la Réglementation en vigueur.
8. Renvoi ou destruction des Données à caractère personnel :
Au terme du Contrat, ASAP restituera au Client les données de son Compte et notamment les Données à caractère personnel, sous la forme d’un fichier CSV, puis détruira ces Données et leurs éventuelles copies en application de l’article 17 des Conditions Générales d’Abonnement à moins que le droit applicable n’en exige la conservation. ASAP fournira au Client à l’issue de cette procédure un procès-verbal de fermeture du Compte et de suppression des Données à caractère personnel.