Conditions Générales des Services

 

1. Objet

Les présentes Conditions Générales de Services (CGS) définissent les engagements réciproques entre MAJORIAN, Société par actions simplifiée au capital de 8 484 593 euros, immatriculée sous le n° 532 956 166 au RCS de NANTERRE, située à 3, Esplanade du Foncet à 92441 Issy-les-Moulineaux (nommé ci-dessous « MAJORIAN ») et l’Etablissement Client qui souhaite faire appel aux services de MAJORIAN (nommé ci-dessous « CLIENT ») afin d’assurer une collaboration efficace et conforme aux prestations convenues dans les devis conseil et dans les conventions de formations. Chaque partie s’engage à respecter les obligations énoncées ci-après dans le cadre de l’exécution de la mission.

 

2. Obligations

2.1 Obligations du CLIENT
Le CLIENT s’engage à :
– Fournir à MAJORIAN toutes les informations, documents et accès nécessaires à la bonne exécution des prestations, dans les délais requis.
– Collaborer activement avec MAJORIAN, notamment en validant les livrables et en répondant aux sollicitations dans des délais raisonnables.
– Respecter les échéances de paiement définies dans les présentes conditions générales
– Utiliser les prestations fournies dans le respect des droits de propriété intellectuelle de MAJORIAN et des règles légales en vigueur.
– Ne pas solliciter, recruter ou employer directement ou indirectement tout collaborateur ou sous-traitant de MAJORIAN sans son accord écrit, conformément à la clause de non-débauchage.

2.2 Obligations de MAJORIAN
MAJORIAN s’engage à :
– Réaliser les prestations conformément aux engagements contractuels et aux règles de l’art de son domaine d’expertise.
– Informer le client de l’état d’avancement des prestations et de toute difficulté rencontrée pouvant impacter leur réalisation.
– Assurer la confidentialité des informations et documents fournis par le CLIENT dans le cadre de la mission.
– Respecter les délais convenus, sauf en cas de force majeure ou de circonstances imputables au CLIENT

 

3. Facturation

Les prestations sont facturées conformément au calendrier suivant : un paiement de 30 % de l’ensemble des prestations prévues est exigé à la signature du contrat, 30 % au démarrage de la première prestation, et le solde de 40 % à l’achèvement de la dernière prestation. Une facture détaillée est adressée au CLIENT à chaque échéance.
Les montants sont dus 45 jours fin de mois et sont payables sur le compte de MAJORIAN. Les conditions de facturation pour les formations peuvent différer et seront spécifiées dans les conventions de formation. En cas de désistement d’un organisme de financement tiers, l’entreprise demeure pleinement responsable du règlement de l’ensemble des sommes dues au titre de la prestation.

4. Frais

Les frais de déplacement des salariés de MAJORIAN et des experts ne sont pas compris dans les devis ni dans les conventions. Ceux-ci restant à la charge du CLIENT : déplacement en train, avion deuxième classe ou voiture et parking, nuitée et demi-pension (sur une ou plusieurs dates validées entre MAJORIAN et le CLIENT en cas de prestation sur plusieurs jours sur place). Ces frais seront remboursés sur présentation des justificatifs et facturés chaque mois sur la durée de la prestation. Dans les devis et conventions sont compris un nombre d’heures suffisant pour réaliser la ou les prestation(s) signée(s). En cas de modification de la prestation en cours ou de demande supplémentaire par le CLIENT, une facturation complémentaire sera établie sur la base d’un supplément de 200 € par heure de travail du consultant, 250 € par heure du directeur consultant ou le taux horaire réel de l’expert externe.

5. Retard de paiement

En cas de non-respect d’une échéance indiquée ci-dessus, MAJORIAN pourra facturer des pénalités de retard correspondant à trois fois le taux de l’intérêt légal en vigueur, ainsi qu’une indemnité forfaitaire de compensation de frais de recouvrement d’un montant de 40 euros.

 

6. Indépendance des parties

Le CLIENT exerce son activité professionnelle en toute indépendance à l’égard de MAJORIAN. Le CLIENT assume seul la gestion financière et commerciale et reconnaît expressément que la responsabilité de MAJORIAN, ne pourra jamais être engagée à quelque titre que ce soit pour des actes de son fait ou de celui de ses préposés.

7. Durée

Les présentes Conditions Générales prendront effet à partir de la date d’entrée en vigueur définie dans le devis ou la convention. En l’absence d’une telle définition, elles entreront en vigueur à la première des deux dates suivantes : à la date à laquelle la réalisation de la prestation aura commencé, ou à la signature du devis ou de la convention par Le CLIENT et MAJORIAN. Les Conditions Générales demeureront en vigueur pendant toute la durée d’exécution de la prestation.

8. Déroulement des prestations

Il est entendu que MAJORIAN est responsable du déroulement des prestations.
Pour les missions conseil, MAJORIAN proposera un planning des déroulements des prestations convenues. Si le CLIENT refuse à deux reprises les propositions de dates pour cette réalisation, la totalité des honoraires prévus, soit 100 %, sera facturée et due.
Les dates des formations sont précisées dans la convention de formation et convenues par les deux parties.

9. Livrables

Les devis et conventions précisent, le cas échéant, la nature, le contenu ainsi que les supports des livrables attendus. MAJORIAN s’engage à réaliser lesdits livrables conformément aux spécifications convenues, dans les délais mentionnés. Les livrables seront transmis au CLIENT par voie électronique, à l’adresse e-mail communiquée par ce dernier.
Sauf disposition contraire expressément convenue par écrit, MAJORIAN demeure titulaire exclusif des droits de propriété intellectuelle afférents aux livrables. Le CLIENT bénéficie d’un droit d’usage non exclusif, strictement limité à ses besoins internes, à l’exclusion de toute reproduction, représentation ou exploitation commerciale sans l’accord préalable et écrit de MAJORIAN.

10. Résiliation et report

10.1 Report ou Annulation par le CLIENT

Le CLIENT a la possibilité de reporter les missions à deux reprises, sous réserve d’en informer MAJORIAN par écrit au moins 15 jours avant la date initialement prévue. Passé ce délai ou en cas de troisième demande de report, la prestation sera considérée comme annulée et facturée.
Toute annulation totale ou partielle de la prestation par le CLIENT, intervenue plus de 15 jours après la signature du contrat, entraînera la facturation de l’intégralité du montant contractuel, soit 100 % des honoraires convenus.
Si la date de la mission intervient dans un délai inférieur ou égal à 15 jours à compter de la signature du contrat, ce délai est réduit à 7 jours. Passé ce délai, toute annulation entraînera la facturation intégrale des honoraires convenus.
10.2 Report ou Annulation par MAJORIAN
MAJORIAN se réserve le droit de reporter la date de la mission en cas de force majeur.
En cas d’annulation de la prestation par MAJORIAN, l’intégralité des sommes déjà versées par le CLIENT sera remboursée dans un délai raisonnable.
10.3 Résiliation pour faute
Chacune des parties pourra résilier de plein droit par courrier RAR pour défaillance de l’autre partie dans ses obligations, après mise en demeure restée sans effet pendant un (1) mois et ce, sans préjudice des dommages et intérêts qu’elle pourrait réclamer exclusivement en cas de faute de l’autre partie. Dans ce cas, le CLIENT devra payer à MAJORIAN les sommes correspondant aux travaux déjà effectués par MAJORIAN au moment de la résiliation et rembourser tous les coûts jusqu’à la date de résiliation.

11. Confidentialité

Chacune des Parties s’engage à conserver confidentielles l’ensemble des informations relatives à l’autre Partie auxquelles elles ont eu accès dans le cadre de l’exécution de la prestation et qui ne relèveraient pas du domaine public. Chacune des Parties s’interdit notamment de communiquer à tout tiers copie du Contrat et des documents y afférents, et de divulguer toute information sur l’autre Partie. En particulier, les Parties s’interdisent d’utiliser ces informations en vue de dénigrer et/ou de concurrencer l’autre Partie.

12. Communication

Toute communication externe, publication, ou utilisation à des fins promotionnelles du contenu des prestations réalisées dans le cadre du présent contrat devra faire l’objet d’un accord écrit et préalable entre les parties.
Chaque partie s’engage à ne pas mentionner l’autre partie, ni à utiliser son nom, son logo ou toute autre référence à son activité, sans son autorisation expresse.

13. Responsabilité

MAJORIAN est tenu à une obligation de moyens dans l’exécution des prestations et mettra en œuvre toutes les ressources nécessaires pour assurer leur réalisation conforme aux engagements contractuels.
MAJORIAN ne pourra être tenu responsable :
– Des conséquences d’une mauvaise utilisation ou interprétation des livrables par le CLIENT.
– Des retards ou manquements causés par une absence de collaboration du CLIENT (retard dans la transmission des informations, absence de validation, etc.).
– Des dommages indirects, immatériels ou pertes financières subis par le CLIENT tels que perte de chiffre d’affaires, atteinte à l’image ou perte de données.

14. Engagement de non-sollicitation du personnel

Le CLIENT s’interdit d’engager, ou de faire travailler, directement ou indirectement, tout collaborateur ou sous-traitant présent ou futur de MAJORIAN, sans accord écrit de l’entreprise MAJORIAN. La présente clause vaudra, quelle que soit la spécialisation du collaborateur ou sais-traitant en cause, et même dans l’hypothèse où la sollicitation serait à l’initiative du dit collaborateur ou sous-traitant. La présente clause développera ses effets pendant toute l’exécution du présent contrat, et pendant deux ans à compter de son expiration. En cas de non-respect de la présente clause, le contrevenant versera à l’autre Partie à titre de clause pénale, un montant égal à 40 000 €.

15. Sous-traitance

MAJORIAN se réserve le droit de confier tout ou partie de l’exécution des prestations à des sous-traitants qualifiés, tout en restant responsable de la bonne exécution du contrat vis-à-vis du CLIENT.
En cas de sous-traitance, MAJORIAN s’engage à s’assurer que les sous-traitants respectent les obligations définies dans les présentes conditions générales notamment en matière de confidentialité, de qualité des prestations et de respect des délais.

16. Cas de force majeur

MAJORIAN et le CLIENT ne pourront être tenus responsables de tout retard ou inexécution du contrat résultant d’un cas de force majeure tel que défini par l’article 1218 du Code civil.
Sont notamment considérés comme cas de force majeure, sans que cette liste soit limitative : les catastrophes naturelles, les pandémies, les incendies, les grèves, les coupures de réseaux ou d’énergie, les cyberattaques, les décisions gouvernementales, ou tout autre événement échappant au contrôle raisonnable des parties.
En cas de force majeure, l’exécution des obligations affectées sera suspendue pour la durée de l’événement. Si l’empêchement perdure au-delà d’une durée de 7 jours, chaque partie pourra résilier le contrat sans indemnité, par notification écrite à l’autre partie. Les sommes déjà versées resteront dues au prorata des prestations réalisées.

 

17. Règlement des différends

Les Parties sont tenues de respecter les dispositions du présent article pendant toute la durée de la prestation et un (1) an après sa résiliation, quelle qu’en soit la cause. Le fait pour l’une des parties de ne pas exercer, en une ou plusieurs occasions, les droits que lui réserve la proposition ne pourra être interprété comme une renonciation à se prévaloir dudit droit. Les parties conviennent de tout mettre en œuvre pour régler amiablement tout litige qui surgirait entre elles quant à la validité, l’interprétation et/ou l’exécution du Contrat.

À DEFAUT DE PARVENIR À UNE SOLUTION AMIABLE, ELLES CONVIENNENT DÈS À PRESENT DE SOUMETTRE TOUT LITIGE RELATIF À LA VALIDITE, L’INTERPRETATION OU L’EXECUTION DU CONTRAT ET DE SES SUITES AU TRIBUNAL DE COMMERCE DE PARIS, MEME EN CAS DE PROCEDURE D’URGENCE OU D’APPEL EN GARANTIE

18. Accord sur la Protection des Données

Dans le cadre de la réalisation du Contrat entre MAJORIAN et le CLIENT, le présent Accord a pour objet de définir les conditions dans lesquelles les Parties traiteront les données à caractère personnel qui leur seront communiquées. MAJORIAN et le CLIENT (ci-après « les Parties ») s’engagent à respecter la réglementation en vigueur applicable au traitement de données à caractère personnel et, en particulier :

– La loi Informatique et Liberté du 6 janvier 1978,
– Le Règlement Européen sur les Données Personnelles (RGPD.) du 23 mai 2018
– La loi de transposition du Règlement Européen sur la Protection des Données Personnelles (RGPD) du 20 juin 2018.

Les termes utilisés dans cette Annexe ont le sens qui leur sont conférés par le RGPD ou sont définis dans le Contrat qui lie les parties et auquel cette Annexe est jointe. En cas de contradiction entre l’Annexe et le Contrat, l’Annexe prévaut.

18.1 Définitions

Dans le cadre du présent Accord, les termes ci-dessous ont la signification qui leur est attribuée au sens du RGPD (Article 4) :

– Consentement : « de la personne concernée, toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement » ;
– Responsable du traitement : « la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement; lorsque les finalités et les moyens de ce traitement sont déterminés par le droit de l’Union ou le droit d’un État membre, le responsable du traitement peut être désigné ou les critères spécifiques applicables à sa désignation peuvent être prévus par le droit de l’Union ou par le droit d’un État membre » ;
– Sous-traitant : « la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement » ;
– Traitement : « toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction » ;
– Violation de données à caractère personnel : « une violation de la sécurité entrainant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d’une autre manière, ou l’accès non autorisé à de telles données ».

18.2 Rôle des Parties

Chaque Partie met à disposition de l’autre Partie et autorise cette dernière à traiter aux fins de réalisation des Prestations dans le cadre du Contrat principal des données, fichiers, etc. de quelque nature que ce soit et sous quelque forme que ce soit, constituant des Données personnelles.

Conformément à la règlementation applicable :

Chaque Partie agit en qualité de Responsable de traitement des Données personnelles de l’autre Partie à des fins de suivi et d’exécution du Contrat.

18.3 Information préalable

Chaque Partie s’engage à fournir à l’autre Partie toutes les instructions nécessaires au traitement des données personnelles et s’assurer au préalable de la licéité du traitement des Données personnelles. Elle s’engage à fournir l’information aux sujets concernés par les opérations de traitement et assurer aux Personnes concernées la possibilité d’exercer leurs droits sur leurs données personnelles.

Chaque Partie s’engage à informer ses propres clients, prospects, salariés et tout sujet dont les données personnelles sont transmises à l’autre Partie, du traitement de leurs données par l’autre Partie et doit d’assurer de la légalité de toute collecte ou traitement de données avant leur transmission à l’autre Partie. Dans le cas contraire – notamment en cas de non-respect par une Partie à ses obligations d’information préalable – la responsabilité de l’autre Partie ne saurait être engagée.
18.4 Obligations des Parties

1. Traitement des Données Personnelles par les Parties

Les Données personnelles d’une Partie seront collectées et traitées par l’autre Partie lors de l’exécution des Prestations indiquées au Contrat principal, aux seules fins de l’exécution des Prestations et dans le cadre des finalités indiquées ci-après à l’article 5.
Chaque Partie s’interdit ainsi toute utilisation ou traitement des Données personnelles de l’autre Partie de façon non conforme aux instructions écrites de l’autre Partie et/ou étranger(ère) à l’exécution des Prestations. Chaque Partie s’engage en particulier à ne faire aucun usage, y compris commercial, pour son propre compte ou pour le compte de tiers, des Données personnelles de l’autre Partie traitées à l’occasion de l’exécution des Prestations objets du Contrat.

Ces Données personnelles constituent des informations confidentielles, qui seront traitées comme telles par chaque Partie. Elle s’assurera que les personnes autorisées à traiter les Données personnelles en vertu du présent Contrat s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité et reçoivent la formation nécessaire en matière de protection des Données Personnelles.

Chaque Partie garantit qu’elle dispose de compétences techniques et organisationnelles nécessaires afin d’exécuter les Prestations dans le respect des obligations fixées dans le présent Accord et tout en assurant la protection des Données Personnelles de l’autre Partie en conformité avec la Réglementation applicable.

Chaque Partie devra conseiller et assister l’autre Partie afin de garantir la conformité à la Règlementation application des traitements des Données personnelles de l’autre Partie réalisés dans le cadre des Prestations et de lui permettre de respecter ses propres obligations imposées par la Règlementation applicable.

Chaque Partie garantit et indemnise l’autre Partie contre tout recours d’un tiers du fait d’un manquement par la Partie responsable à ses obligations contractuelles ou légales en matière de protection des données à caractère personnel, les limites de responsabilité prévues au sein du Contrat restant toutefois applicables.

2. Instructions

Chaque Partie informe immédiatement l’autre Partie si, selon elle, une instruction donnée par l’autre Partie constitue une violation du règlement (UE) 2016/679 / du règlement (UE) 2018/1725 ou d’autres dispositions du droit de l’Union ou du droit des États membres relatives à la protection des données.

Chaque Partie s’engage à informer l’autre Partie dans les plus brefs délais de tout évènement affectant le traitement des Données personnelles de l’autre Partie ou de toute modification ou changement le concernant pouvant impacter ledit traitement.

Au terme de l’exécution des Prestations, chaque Partie s’engage à restituer ou à détruire, selon les instructions et dans les délais indiqués par l’autre Partie, sauf s’il est tenu de les conserver pour respecter ses obligations légales et/ou réglementaires, l’ensemble des Données personnelles traitées de manière automatisée ou manuelle.

3. Données sensibles

Si le traitement porte sur des données à caractère personnel révélant l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que des données génétiques ou des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique, ou des données relatives aux condamnations pénales et aux infractions («données sensibles»), chaque Partie applique des limitations spécifiques et/ou des garanties supplémentaires.

18.5 Description des traitements

1. Catégories de personnes concernées dont les données à caractère personnel sont traitées

Données traitées par chaque Partie relativement aux données de l’autre Partie
Catégorie Personnes
Catégorie 1 Employés, agents, conseillers ou travailleurs indépendants de chaque Partie (personnes physiques) ;
2. Catégories de données à caractère personnel traitées
Catégorie Données personnelles
Catégorie 1 Nom, prénom et titre du responsable du suivi de l’exécution du Contrat
Mail et n° de téléphone du responsable du suivi de l’exécution du Contrat
RIB et coordonnées de facturation

3. Nature et finalités du Traitement

Le Traitement des Données personnelles intervient dans le cadre de l’exécution des Prestations par le Prestataire. Nature des opérations de traitement par les Parties

Catégorie Finalités des Traitements
Catégorie 1
Suivi et exécution du Contrat entre MAJORIAN et le CLIENT
Exécution des Prestations ;
Gestion de la facturation, relance des impayés, gestion des litiges
La base légale est l’Exécution d’un Contrat entre les Parties.

En outre, si le CLIENT a donné son accord, MAJORIAN est susceptible d’envoyer au CLIENT des informations commerciales sur l’activité de MAJORIAN et les autres entités du groupe MAJORIAN

Tout autre traitement ou tout autre finalité ne saurait rentrer dans le champ d’application de cet accord et chaque Partie dégagera la responsabilité de l’autre Partie pour tout litige lié à ces traitements tiers.

Chaque Partie s’interdit expressément de traiter les données de l’autre Partie pour toute autre finalité que celles mentionnées ci-dessus. Dans le cas contraire, la Partie lésée se réserve le droit de résoudre le contrat sans préavis et sans versement d’indemnités compensatrices et de rechercher la responsabilité de l’autre Partie pour violation de ses obligations en matière de traitement des données personnelles.

4. Durée du traitement et durée de conservation des données

A l’issue du Contrat, les Données à caractère personnel seront :
– Catégorie 1 : conservées jusqu’à cinq (5) ans après la fin du Contrat, à l’exception des données de facturation qui seront conservées jusqu’à dix (10) ans.

En outre, chaque Partie est susceptible de conserver certaines données personnelles afin de remplir ses obligations légales ou réglementaires, de permettre l’exercice des droits des personnes. A l’expiration de la durée de conservation des données personnelles, celles-ci seront supprimées ou anonymisées.

Les données peuvent également être transmises par une Partie à des tiers et autorités compétentes pour répondre à des obligations légales, judiciaires, fiscales ou règlementaires.

18.6 Sous-traitants

Chaque Partie dispose de l’autorisation générale de l’autre Partie pour ce qui est du recrutement de sous-traitants sur la base d’une liste convenue et après information préalable, exprès et écrit de l’autre Partie. La Partie informe spécifiquement par écrit l’autre Partie de tout projet de modification de cette liste par l’ajout ou le remplacement de sous-traitants au moins dix jours à l’avance, donnant ainsi à l’autre Partie suffisamment de temps pour pouvoir s’opposer à ces changements avant le recrutement du ou des sous-traitants concernés. Chaque Partie fournit à l’autre Partie les informations nécessaires pour lui permettre d’exercer son droit d’opposition.

Lorsqu’une Partie recrute un sous-traitant pour mener des activités de traitement spécifiques, elle le fait au moyen d’un contrat qui impose au sous-traitant, en substance, les mêmes obligations en matière de protection des données que celles imposées en vertu des présentes clauses.

Il appartient à chaque Partie de s’assurer que le sous-traitant présente les mêmes garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière que le traitement réponde aux exigences du règlement européen sur la protection des données. Si le sous-traitant ne remplit pas ses obligations en matière de protection des données, le Partie demeure pleinement responsable devant l’autre Partie de l’exécution par l’autre sous-traitant de ses obligations.

Les données personnelles de chaque Partie pourront toutefois être fournies à toute autorité judiciaire, administrative ou règlementaire qui en ferait la demande en application d’une quelconque loi, réglementation ou décision judiciaire.

18.7 Transferts des Données ors de l’Union Européenne

A l’exclusion des sous-traitants ci-dessus cités, les Parties déclarent et s’engagent à ne pas transférer les données personnelles en dehors de l’Union Européenne ou vers tout pays n’étant pas reconnu comme présentant un niveau de protection adéquat tel qu’entendu par la Commission Européenne, sans avoir pris les mesures légales et réglementaires applicables et notamment :

– Quand le tiers (sous-traitant ultérieur ou affilié d’une Partie est établi dans un pays tiers, signer les clauses contractuelles types sur le modèle le plus récent de la Commission Européenne ;
– Se conformer à toutes les obligations qui en découlent et fournir une copie des clauses à l’autre Partie ;
– Si la situation l’exige, à signer des Règles d’entreprise contraignantes (BCR) avec le tiers autorisé.

En outre, si une Partie est tenue de procéder à un transfert de données vers un pays tiers ou à une organisation internationale, en vertu du droit de l’Union ou du droit de l’État membre auquel elle est soumise, elle doit informer l’autre Partie de cette obligation juridique avant le traitement.

18.8 Protection des Données personnelles et sécurité du traitement

Chaque Partie met au moins en œuvre les mesures techniques et organisationnelles précisées ci-après, pour assurer la sécurité des données à caractère personnel. Figure parmi ces mesures la protection des données contre toute violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel ou l’accès non autorisé à de telles données (violation de données à caractère personnel). Lors de l’évaluation du niveau de sécurité approprié, les parties tiennent dûment compte de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les personnes concernées

Chaque Partie n’accorde aux membres de son personnel l’accès aux données à caractère personnel faisant l’objet du traitement que dans la mesure strictement nécessaire à l’exécution, à la gestion et au suivi du contrat. Chaque Partie veille à ce que les personnes autorisées à traiter les données à caractère personnel s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.

Mesures prises par les Parties :

– Mesures de pseudonymisation et de chiffrement des données à caractère personnel
– Mesures de sauvegarde :
– Mesures visant à garantir la confidentialité, l’intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement
– Mesures assurant de disposer de moyens permettant de rétablir la disponibilité des données à caractère personnel et l’accès à celles-ci dans des délais appropriés en cas d’incident physique ou technique
– Procédures visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement ;
– Mesures d’identification et d’autorisation de l’utilisateur
– Mesures de protection des données pendant la transmission
– Mesures de protection des données pendant le stockage

18.9 Violation des Données personnelles

En cas de violation de données à caractère personnel, chaque Partie coopère avec l’autre Partie et lui prête assistance aux fins de la mise en conformité avec les obligations qui lui incombent en vertu de la règlementation applicable.

La Partie ayant identifié une violation de données personnelles devra notifier à l’autre Partie ladite violation dans un délai maximal de quarante-huit (48) heures à compter de la découverte de la violation.

Cette notification s’accompagnera de :
– Description et la nature de la violation, y compris si possible, les catégories et le nombre approximatif des Personnes concernées par la violation et les catégories et le nombre approximatif d’enregistrements des Données personnelles concernées,
– Les coordonnées du délégué à la protection des données ou d’un autre point de contact auprès duquel des informations complémentaires peuvent être obtenues ;
– Les catégories et le nombre approximatif de personnes concernées par la violation ;
– Les conséquences probables de la violation de données personnelles ;
– Toute la documentation pertinente relative à la violation et permettant aux parties de prendre les mesures appropriées en vue d’avertir les sujets des données et de remédier aux conséquences éventuelles.

En cas de violation des données, les Parties procèderont à une enquête contradictoire en vue de déterminer la responsabilité de ladite violation. La partie responsable garantira l’autre partie contre toute action, réclamation, pertes et dommages subies par l’autre partie ou par un tiers relatif à cette violation de données.

En cas de violation de Données à caractère personnel, chaque Partie mettra en place ou, le cas échéant, assistera l’autre Partie dans la mise en place, sans que cela puisse donner lieu à facturation supplémentaire, des actions destinées à mettre fin à la violation, réparer les dommages qu’elle est susceptible d’avoir occasionnée et éviter qu’elle ne se reproduise.

18.10 Droits des Personnes Concernées

1. Données des Parties

Au regard des dispositions légales de la Loi Informatiques et Libertés du 6 janvier 1978 et du Règlement Européen sur la Protection des Données (« RGPD »), chaque Partie dispose des Droits suivants :

– droit d’accès (article 15 RGPD) et de rectification (article 16 RGPD), de mise à jour, de complétude des données, droit de verrouillage ou d’effacement des données de la Partie à caractère personnel (article 17 du RGPD), lorsqu’elles sont inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l’utilisation, la communication ou la conservation est interdit ;
– droit de retirer à tout moment un consentement (article 13-2c RGPD)
– droit à la limitation du traitement des données (article 18 RGPD)
– droit d’opposition au traitement des données (article 21 RGPD)
– droit à la portabilité des données, lorsque ces données font l’objet de traitements automatisés fondés sur leur consentement ou sur un contrat (article 20 RGPD)
– droit de définir le sort des données après leur mort et de choisir à qui les communiquer (ou non) ses à un tiers préalablement désigné.

Pour exercer l’un des droits, il suffit d’écrire un courrier aux responsables de traitement respectifs des Parties.

Les demandes seront traitées dans un délai d’un mois, sauf motif impérieux avancé et justifié par une Partie justifiant un rallongement du délai. Si le Partie ne satisfait pas la demande de l’autre Partie, cette dernière est en droit de saisir la CNIL (Commission Nationale de l’Informatique et des Libertés, https://www.cnil.fr) afin de faire prévaloir ses droits.

2. Données des Personnes concernées par les opérations de Traitement

Dans la mesure du possible, chaque Partie s’engage à assister l’autre Partie par des mesures techniques et organisationnelles appropriées à s’acquitter de son obligation de donner suite aux demandes d’exercice des droits des personnes.

Chaque Partie s’engage (sans répondre directement aux Personnes Concernées) à :

– Transmettre à l’autre Partie, dans un délai approprié et ne dépassant pas soixante-douze (72) heures, toute requête et/ou toute demande et/ou toute notification d’une Personne concernée ayant pour objet l’exercice de ses droits en vertu de la règlementation applicable (droits d’accès, de rectification, d’opposition, de limitation, droit à l’oubli, à la portabilité, etc.).
– A compter de l’information susvisée, coopérer avec l’autre Partie et lui fournir dans un délai approprié, ne pouvant excéder dix (10) jours, les informations nécessaires pour permettre au Responsable de traitement de répondre aux Personnes concernées ;
– Dans tous les cas, mettre en œuvre et faire mettre en œuvre par les Sous-traitants, dans un délai approprié et ne pouvant excéder dix (10) jours, toute demande d’une Partie concernant les droits des Personnes concernées.

18.11 Documentation

Chaque Partie déclare tenir un registre de traitement de toutes les activités de traitement effectuées pour le compte de l’autre Partie comprenant :
– Les catégories de traitements effectués pour le compte de l’autre Partie ;
– Les coordonnées du Responsable de traitement et de son Délégué à la Protection des Données ;
– Le cas échéant, les transferts de données vers un pays tiers ou une organisation internationale, hors et dans l’Union européenne ;
– Une description des mesures de sécurité prises par les Parties.

Chaque Partie met à la disposition du responsable de traitement la documentation nécessaire pour démontrer le respect de toutes ses obligations et pour permettre la réalisation d’audits, y compris des inspections, par le responsable du traitement ou un autre auditeur qu’il a mandaté, et contribuer à ces audits.

La Partie à l’origine de l’audit communiquera à l’autre Partie et au moins sept (7) jours avant toute demande d’opération d’audit, la date de l’audit et les coordonnées des personnes chargées de sa réalisation. Le rapport d’audit finalisé sera transmis à l’autre Partie qui pourra émettre des réserves. Chaque Partie collaborera de bonne foi avec l’auditeur et lui communiquera toutes les informations utiles. Si l’audit fait apparaitre des manquements aux obligations d’une Partie, et en l’absence de réserves dûment justifiées de la part de cette Partie, cette dernière s’engage expressément à mettre en œuvre à ses frais toutes les mesures correctives nécessaires dans un délai raisonnable et à en justifier par écrit auprès de l’autre Partie. A défaut, la Partie victime pourra mettre un terme immédiatement, de plein droit et sans autre formalité, à la relation d’affaires, sans aucun droit à dédommagement ou pénalités pour l’autre Partie.18.12 Autorités de contrôle

Chaque partie communique à l’autre Partie les coordonnées de son DPO s’il en a désigné un, conformément à l’article 37 du RGPD, ou à défaut, d’un point de contact unique compétent sur les problématiques de protection des Données personnelles.

Si nécessaire et sur demande d’une Partie, l’autre Partie l’assistera pour la réalisation de la consultation préalable de l’autorité de contrôle compétente. Chaque Partie prêtera également assistance à l’autre Partie afin de lui permettre de répondre à toute demande d’information d’une autorité de contrôle compétente dans les délais impartis.

Chaque Partie informera l’autre sans délais, et au plus tard dans les cinq (5) jours ouvrés, de toute demande d’une autorité de contrôle compétente portant sur le traitement des données personnelles de l’autre Partie. Elles s’informeront également immédiatement de tout contrôle, sur place ou sur pièces, de l’autorité de contrôle portant sur ce même traitement ainsi que de toute demande d’accès ou de communication émanant d’un tiers se prévalant d’une autorisation d’écoulant de dispositions légales ou règlementaires. Avant tout accès ou communication de Données personnelles des Parties, chaque Partie devra avoir procédé aux vérifications nécessaires quant au bienfondé de la demande, notamment auprès de l’autre Partie, sauf si une Partie n’est pas autorisée à prévenir l’autre Partie du fait de dispositions légales ou réglementaires applicables.