1 Objet du présent contrat de sous-traitance
2 Définitions
Règles applicables en matière de protection des données : la version en vigueur à tout moment du règlement général sur la protection des données de l’UE (2016/679) (« le règlement sur la protection des données »), ainsi que la loi sur le traitement des données à caractère personnel du 15 juin 2018 (la « loi sur les données à caractère personnel ») et ses règlements d'application, etc., ainsi que toute autre législation pertinente relative au traitement et à la protection des données à caractère personnel et mentionnée à l'annexe C, point C.7.
Contrat-cadre : un ou plusieurs contrats conclus entre le responsable du traitement et le sous-traitant concernant la prestation de services impliquant le traitement de données à caractère personnel, comme précisé à l'annexe A. Le contrat de sous-traitance peut s'appliquer à plusieurs contrats sous-jacents.
Sous-traitant : toute autre entreprise à laquelle le sous-traitant fait appel en tant que sous-traitant pour le traitement des données à caractère personnel dans le cadre du contrat-cadre.
Pour les termes relatifs à la protection des données qui ne sont pas définis dans le présent accord de sous-traitance, les définitions figurant à l'article 4 du règlement général sur la protection des données s'appliquent.
3 Obligations et droits du responsable du traitement
Les responsables du traitement ont la charge de veiller à ce que le traitement des données à caractère personnel soit conforme à la réglementation en vigueur en matière de protection des données. À cet égard, les responsables du traitement doivent notamment s'assurer que :
-
le traitement des données à caractère personnel est limité aux finalités prévues et repose sur une base juridique valable ;
-
les personnes concernées ont reçu les informations nécessaires concernant le traitement de leurs données à caractère personnel ;
-
Le responsable du traitement a procédé à des évaluations des risques adéquates ; et
-
Le sous-traitant doit disposer à tout moment des instructions et des informations nécessaires pour s'acquitter de ses obligations conformément au contrat de sous-traitance et à la réglementation en vigueur en matière de protection des données.
4 Instructions du responsable du traitement à l'intention du sous-traitant
4.1 Le sous-traitant doit traiter les données à caractère personnel conformément à la réglementation en vigueur en matière de protection des données et aux instructions documentées du responsable du traitement, cf. point 4.2. Si un autre traitement est nécessaire pour respecter les obligations auxquelles le sous-traitant est soumis en vertu du droit applicable, celui-ci doit en informer le responsable du traitement dans la mesure où la loi l’y autorise, cf. l’article 28, paragraphe 3, point a), du règlement général sur la protection des données.
4.2 Les instructions du responsable du traitement figurent dans le contrat-cadre et dans le contrat de sous-traitance, ainsi que dans leurs annexes. Le sous-traitant doit informer sans délai le responsable du traitement s’il estime que ces instructions sont contraires à la réglementation en vigueur en matière de protection des données, conformément à l’article 28, paragraphe 3, point h), du règlement général sur la protection des données.
4.3 Toute modification apportée aux instructions doit être notifiée au sous-traitant par le biais d’une mise à jour de l’annexe D, et doit être mise en œuvre par le sous-traitant dans le délai convenu par les parties ou, à défaut de délai précis, dans un délai raisonnable. Le sous-traitant peut exiger que le responsable du traitement prenne en charge les frais justifiés engagés dans le cadre de la mise en œuvre de ces modifications ou procède à un ajustement proportionnel de la rémunération prévue dans le contrat-cadre si la modification des instructions entraîne des frais supplémentaires récurrents pour le sous-traitant. Il en va de même pour les coûts supplémentaires résultant d’une modification des règles de protection des données en vigueur applicables à l’activité du responsable du traitement.
5 Confidentialité et obligation de discrétion
5.1 Le sous-traitant doit s'assurer que les employés et toute autre personne ayant accès aux données à caractère personnel sont autorisés à traiter ces données pour le compte du sous-traitant. Si cette autorisation expire ou est retirée, l'accès aux données à caractère personnel doit cesser sans délai injustifié.
5.2 Le sous-traitant ne doit autoriser l'accès aux données à caractère personnel qu'aux personnes qui en ont besoin dans le cadre de leur travail afin de se conformer au contrat-cadre, au contrat de sous-traitance et, le cas échéant, à tout autre traitement nécessaire pour respecter les obligations auxquelles le sous-traitant est soumis en vertu de la législation en vigueur ; voir la dernière phrase du point 4.1.
5.3 Le sous-traitant doit veiller à ce que les personnes habilitées à traiter des données à caractère personnel pour le compte du responsable du traitement soient soumises à une obligation de confidentialité en vertu d'un contrat ou de la loi. Cette obligation de confidentialité subsiste même après la résiliation du contrat et/ou de la relation de travail.
5.4 Le sous-traitant doit être en mesure de prouver, à la demande du responsable du traitement, que les personnes concernées sont soumises à l'obligation de confidentialité susmentionnée.
5.5 En cas de résiliation du contrat de sous-traitance, le sous-traitant est tenu de supprimer tous les accès aux données à caractère personnel traitées dans le cadre dudit contrat.
6 Assistance au responsable du traitement
6.1 Le sous-traitant doit, sur demande, aider le responsable du traitement à respecter les droits des personnes concernées prévus au chapitre III du règlement général sur la protection des données, par le biais de mesures techniques ou organisationnelles appropriées. Cette obligation d’assistance ne s’applique toutefois que dans la mesure où cela est possible et approprié, compte tenu de la nature et de l’étendue du traitement des données à caractère personnel dans le cadre du contrat-cadre.
6.2 Le sous-traitant doit, sans retard injustifié, transmettre au responsable du traitement toutes les demandes qu’il pourrait recevoir de la part de la personne concernée concernant les droits de celle-ci en vertu de la réglementation en vigueur en matière de protection des données. Le sous-traitant ne peut répondre à ces demandes qu’après avoir obtenu l’autorisation écrite du responsable du traitement.
6.3 Le sous-traitant doit aider le responsable du traitement à se conformer aux exigences en matière de sécurité des données à caractère personnel prévues aux articles 32 à 36 du règlement général sur la protection des données, notamment en apportant son aide dans le cadre de l'analyse d'impact relative à la protection des données et des consultations préalables avec l'Autorité de protection des données, compte tenu de la nature et de l'étendue du traitement des données à caractère personnel prévu par le contrat-cadre.
6.4 Si, à la demande du responsable du traitement, le sous-traitant apporte son assistance conformément aux points 6.1 ou 6.3, et que cette assistance va au-delà de ce qui est nécessaire pour que le sous-traitant s'acquitte de ses propres obligations en vertu de la réglementation applicable en matière de protection des données, le sous-traitant peut exiger le remboursement de ses frais justifiés liés à cette assistance. Les prestations sont facturées conformément aux dispositions tarifaires du contrat-cadre.
7 Sécurité lors du traitement
7.1 Le sous-traitant doit mettre en œuvre les mesures techniques et organisationnelles appropriées afin d'atteindre un niveau de sécurité satisfaisant, compte tenu de la nature et de l'étendue du traitement, de l'évolution technique, des coûts de mise en œuvre et des risques réels pesant sur les droits et libertés des personnes physiques. Le sous-traitant doit au minimum mettre en œuvre les mesures spécifiées à l’annexe C du contrat de sous-traitance.
7.2 Le sous-traitant doit procéder à des évaluations des risques afin de garantir le maintien d'un niveau de sécurité adéquat à tout moment. Le sous-traitant doit notamment veiller à tester, analyser et évaluer régulièrement les mesures de sécurité, notamment en vue de garantir en permanence la confidentialité, l’intégrité, la disponibilité et la résilience des systèmes et services de traitement, ainsi que la capacité à rétablir rapidement l’accès aux données à caractère personnel en cas d’incident.
g)
7.3 Le sous-traitant doit documenter l'évaluation des risques et les mesures de sécurité, les mettre à la disposition des responsables du traitement sur demande, et permettre la réalisation des audits convenus entre les parties, conformément au point 11 du contrat de sous-traitance.
8 Notification d'une violation de la sécurité des données à caractère personnel
8.1 Le sous-traitant doit, sans retard injustifié, informer par écrit le responsable du traitement de toute violation de la sécurité des données à caractère personnel et, par ailleurs, fournir l'assistance et les informations nécessaires pour permettre au responsable du traitement de signaler la violation aux autorités de contrôle, conformément à la réglementation en vigueur en matière de protection des données.
8.2 La notification visée au point 8.1 doit être adressée au point de contact du responsable du traitement conformément à l'annexe C, point C.9, et doit :
a. décrire la nature de la violation de la sécurité des données à caractère personnel, y compris, dans la mesure du possible, les catégories et le nombre approximatif de personnes concernées, ainsi que les catégories et le nombre approximatif de dossiers de données à caractère personnel concernés,
b. mentionner le nom et les coordonnées du délégué à la protection des données ou d'un autre point de contact auprès duquel des informations complémentaires peuvent être obtenues,
c. décrire les conséquences probables de la violation de la sécurité des données à caractère personnel, et
d. décrire les mesures que le sous-traitant a prises ou propose de prendre pour remédier à la violation de la sécurité des données à caractère personnel, y compris, le cas échéant, les mesures visant à atténuer les éventuels effets préjudiciables résultant de cette violation.
Les informations peuvent, dans la mesure où cela s'avère nécessaire, être fournies par étapes, sans retard injustifié.
8.3 Le sous-traitant est tenu de mettre en œuvre toutes les mesures qui peuvent raisonnablement être exigées pour remédier à la violation de la sécurité des données à caractère personnel et pour éviter que de telles violations ne se reproduisent. Le sous-traitant doit, dans la mesure du possible, consulter le responsable du traitement au sujet des mesures à mettre en œuvre, notamment en examinant les éventuelles propositions de mesures formulées par ce dernier.
h)
8.4 Le responsable du traitement est tenu d'informer l'Autorité de protection des données et les personnes concernées de toute violation de la sécurité des données à caractère personnel. Le sous-traitant ne doit pas informer des tiers d’une violation de la sécurité des données à caractère personnel, sauf si la législation en vigueur l’exige ou si cela résulte d’une instruction écrite expresse du responsable du traitement.
9 Utilisation d'un sous-traitant de données
9.1 Le sous-traitant ne peut recourir à un sous-traitant secondaire qu’après avoir obtenu l’autorisation écrite préalable, générale ou spécifique, du responsable du traitement, conformément à l’annexe B du contrat de sous-traitance. La liste des sous-traitants secondaires agréés figure à l’annexe B du contrat de sous-traitance.
9.2 Si un sous-traitant fait appel à un sous-traitant secondaire pour effectuer des activités de traitement spécifiques pour le compte du responsable du traitement, le Sous-traitant est tenu de conclure un accord écrit avec le Sous-traitant secondaire lui imposant des obligations équivalentes en matière de protection des données à caractère personnel à celles auxquelles le Sous-traitant est lui-même soumis en vertu du présent accord de sous-traitance. Voir le point 9.7 concernant l’utilisation de services tiers standard.
9.3 Le sous-traitant ne doit faire appel qu’à des sous-traitants secondaires qui mettent en œuvre les mesures techniques et organisationnelles appropriées garantissant que le traitement est conforme aux exigences de la réglementation en vigueur en matière de protection des données. Le sous-traitant doit effectuer des contrôles auprès des sous-traitants secondaires afin de vérifier que des mesures satisfaisantes ont été mises en œuvre. Le sous-traitant doit être en mesure de présenter au responsable du traitement, sur demande, les rapports issus de ces contrôles.
9.4 Si le Responsable du traitement s'oppose à des modifications concernant le recours à des sous-traitants conformément à l'annexe B, point B.1, du Contrat de sous-traitance, les Parties doivent négocier de bonne foi en vue de convenir d'une solution raisonnable quant à la manière dont la prestation des services au titre du Contrat-cadre doit être assurée, y compris en ce qui concerne la répartition des coûts éventuels entre les Parties. La modification du recours aux sous-traitants ne peut être mise en œuvre avant que les parties ne soient parvenues à un accord.
9.5 Si le sous-traitant ne respecte pas ses obligations en matière de protection des données à caractère personnel, le sous-traitant est entièrement responsable vis-à-vis du responsable du traitement, comme s’il avait lui-même effectué le traitement.
9.6 Le sous-traitant est tenu de communiquer au responsable du traitement, sur simple demande, les contrats conclus avec les sous-traitants. Cette obligation ne s'applique toutefois qu'aux parties du contrat pertinentes pour le traitement des données à caractère personnel et dans les limites éventuellement imposées par la loi ou la réglementation. Les clauses purement commerciales ne peuvent en aucun cas faire l'objet d'une demande de communication.
9.7 Dans la mesure où le sous-traitant fait appel à un sous-traitant secondaire fournissant des services tiers standardisés que le responsable du traitement a expressément accepté de voir fournis selon les conditions générales du sous-traitant secondaire, conformément au contrat-cadre, et que le sous-traitant gère pour le compte du responsable du traitement, les parties peuvent convenir que le contrat de sous-traitance standard du sous-traitant serve de base et s'applique directement au Responsable du traitement dans le cadre d'une relation directe de sous-traitance (et non en tant que sous-traitant de second rang), à condition qu'il réponde aux exigences de la réglementation en vigueur en matière de protection des données. Le sous-traitant doit assurer le suivi du contrat de sous-traitance conclu avec le sous-traitant au nom du responsable du traitement, sauf accord contraire dans chaque cas particulier.
10 Transfert de données à caractère personnel vers des pays situés en dehors de l'EEE
10.1 Les données à caractère personnel ne peuvent être transférées vers un pays situé en dehors de l'EEE (« pays tiers ») ou vers une organisation internationale que si le responsable du traitement a donné son accord écrit à ce transfert et que les conditions énoncées au point 10.3 sont remplies. Sont notamment considérés comme des transferts :
i) traiter les données à caractère personnel dans des centres de données ou autres installations situés dans un pays tiers, ou par du personnel situé dans un pays tiers (par accès à distance) ;
j) le traitement ultérieur des données à caractère personnel par un sous-traitant situé dans un État tiers ; ou
k) transmettre les données à caractère personnel à un responsable du traitement situé dans un État tiers ou au sein d'une organisation internationale.
10.2 Le sous-traitant peut toutefois transférer des données à caractère personnel si la législation en vigueur dans l'EEE l'exige. Dans ce cas, le sous-traitant doit en informer le responsable du traitement dans la mesure où la loi l'y autorise.
10.3 Les transferts vers des pays tiers ou des organisations internationales ne peuvent avoir lieu que si les garanties nécessaires sont en place pour assurer un niveau de protection adéquat de la vie privée, conformément à la réglementation en vigueur en matière de protection des données. Sauf accord contraire entre les Parties, ces transferts ne peuvent avoir lieu que sur la base :
a) l'une des décisions de la Commission européenne relatives au niveau de protection adéquat au sens de l'article 45 du règlement général sur la protection des données ; ou
b) un contrat de sous-traitance intégrant les clauses types de protection des données visées à l'article 46, paragraphe 2, point c) ou d), du règlement général sur la protection des données (clauses types de l'UE) ; ou
c) les règles d'entreprise contraignantes (Binding Corporate Rules) au sens de l'article 47 du règlement général sur la protection des données.
10.4 L'autorisation éventuelle accordée par le responsable du traitement concernant le transfert de données à caractère personnel vers un État tiers ou une organisation internationale doit figurer à l'annexe B du contrat de sous-traitance.
11 Généralités sur l'audit
11.1 Le sous-traitant doit, sur demande, mettre à la disposition du responsable du traitement toutes les informations nécessaires pour démontrer que les obligations prévues à l'article 28 du règlement général sur la protection des données et dans le présent contrat de sous-traitance ont été respectées.
11.2 Le sous-traitant doit faciliter et coopérer aux inspections et audits menés par le responsable du traitement ou à sa demande. Le sous-traitant doit également faciliter et coopérer aux inspections menées par les autorités de contrôle compétentes. La surveillance par le responsable du traitement des éventuels sous-traitants secondaires s'effectue par l'intermédiaire du sous-traitant, sauf accord contraire. Les modalités détaillées de la réalisation des audits figurent à l'annexe C, point C.5.
11.3 Si un audit révèle un manquement aux obligations prévues par la Politique de confidentialité en vigueur ou par le Contrat de sous-traitance, le Sous-traitant doit remédier à ce manquement dans les meilleurs délais. Le Responsable du traitement peut exiger que le Sous-traitant suspende temporairement tout ou partie des activités de traitement jusqu’à ce que la mise en conformité soit approuvée par le Responsable du traitement.
11.4 Chacune des parties prend en charge ses propres frais liés à un audit annuel. Si un audit révèle des manquements graves aux obligations prévues par la Politique de confidentialité en vigueur ou par le Contrat de sous-traitance, le Sous-traitant prendra néanmoins en charge les frais raisonnables engagés par le Responsable du traitement dans le cadre de cet audit.
12 Suppression et restitution des informations
12.1 En cas de résiliation du présent contrat de sous-traitance, le sous-traitant est tenu de restituer et de supprimer toutes les données à caractère personnel traitées pour le compte du responsable du traitement dans le cadre du présent contrat, conformément aux dispositions de l'annexe C, point C.6. Cette obligation s'applique également aux éventuelles copies de sauvegarde.
12.2 Le responsable du traitement détermine les modalités d'une éventuelle restitution des données à caractère personnel. Le responsable du traitement peut exiger que la restitution s'effectue dans un format structuré, couramment utilisé et lisible par machine. Le responsable du traitement prend en charge les frais justifiés engagés par le sous-traitant pour la restitution, sauf si ceux-ci sont inclus dans la rémunération prévue par le contrat-cadre.
12.3 En cas d'utilisation d'une infrastructure partagée ou d'un système de sauvegarde ne permettant pas, d'un point de vue technique, la suppression directe des données, le sous-traitant doit veiller à ce que les données à caractère personnel soient rendues inaccessibles jusqu'à ce qu'elles soient écrasées.
12.4 Le sous-traitant doit confirmer par écrit au responsable du traitement que la suppression ou le verrouillage des données a bien été effectué et, sur demande, fournir des justificatifs attestant de la manière dont cette opération a été réalisée.
12.5 Les dispositions détaillées relatives à la suppression et aux restitutions figurent à l'annexe C.
13 Manquement aux obligations et ordonnance de suspension
13.1 En cas de violation du contrat de sous-traitance et/ou de la politique de confidentialité en vigueur, le responsable du traitement et les autorités de contrôle compétentes peuvent enjoindre au sous-traitant de mettre fin, avec effet immédiat, à tout ou partie du traitement des données.
13.2 Si le Sous-traitant ne respecte pas ses obligations au titre du présent Contrat de sous-traitance et/ou de la Réglementation applicable en matière de protection des données, cela sera considéré comme un manquement au Contrat-cadre, et les obligations, délais, sanctions et limitations de responsabilité découlant des dispositions du Contrat-cadre relatives à la violation par le Fournisseur s’appliqueront, sauf accord contraire expressément convenu entre les parties dans l’Annexe D.
14 Durée et résiliation
14.1 Le contrat de sous-traitance entre en vigueur dès sa signature par les deux parties. Il reste en vigueur tant que le sous-traitant traite des données à caractère personnel pour le compte du responsable du traitement. Il s'applique également à toutes les données à caractère personnel qui pourraient se trouver en possession du sous-traitant ou de l'un de ses sous-traitants secondaires après la résiliation du contrat-cadre.
14.2 Les dispositions relatives à la résiliation prévues dans le Contrat-cadre s'appliquent par analogie au Contrat de sous-traitance, dans la mesure où elles sont applicables. Le Contrat de sous-traitance ne peut être résilié tant que le Contrat-cadre reste en vigueur, sauf s'il est remplacé par un nouveau contrat de sous-traitance.
15 Choix de la loi applicable et juridiction compétente
l) Le contrat est régi par le droit norvégien. Les litiges seront réglés conformément aux dispositions du contrat-cadre, y compris les éventuelles dispositions relatives à la compétence judiciaire.