Contrat de sous-traitance (DPA)

1. Le responsable du traitement est responsable, en tant que responsable au sens de l'art. 4, n° 7 RGPD, du respect des exigences en matière de protection des données.

2. Le sous-traitant traite les données uniquement dans le cadre du contrat principal et des instructions du responsable du traitement, sauf obligation contraire en vertu du droit applicable.

3. Le responsable du traitement peut à tout moment donner des instructions complémentaires relatives au traitement des données.

4. Si, de l'avis du sous-traitant, une instruction enfreint le droit applicable en matière de protection des données, il en informe immédiatement le responsable du traitement et est autorisé à suspendre son exécution.

1. Le sous-traitant prend des mesures techniques et organisationnelles (MTO) afin de garantir la confidentialité, l'intégrité et la disponibilité des données (art. 32 RGPD). Ces mesures sont décrites à l'annexe 1.

2. Les MTO peuvent être adaptées au progrès technique, à condition que le niveau de sécurité ne soit pas diminué.

3. Le sous-traitant veille à ce que les personnes autorisées au traitement soient tenues à la confidentialité (art. 28, al. 3, phrase 2, let. b RGPD).

1. Les droits des personnes concernées doivent être exercés auprès du responsable du traitement. Le sous-traitant assiste le responsable du traitement à cet égard et l'informe des demandes entrantes (art. 28, al. 3, phrase 2, let. e RGPD).

2. Si le sous-traitant constate une violation de la protection des données à caractère personnel, il en informe immédiatement le responsable du traitement et prend les mesures de protection nécessaires (art. 33 et 34 RGPD).

3. Le sous-traitant informe le responsable du traitement des activités des autorités de contrôle susceptibles de concerner les données traitées.

4. Le sous-traitant met à disposition du responsable du traitement les informations nécessaires à l'exécution de ses obligations légales, y compris les obligations de responsabilité prévues à l'art. 5, al. 2 RGPD.

1. Le responsable du traitement a le droit de contrôler le respect du présent contrat de sous-traitance dans la mesure nécessaire (art. 28, al. 3, let. h RGPD).

2. Les contrôles sur site doivent être annoncés avec un préavis d'au moins 14 jours.

3. Le sous-traitant peut alternativement se référer à des preuves équivalentes, par exemple des certifications ou audits réalisés par des tiers indépendants.

1. Le sous-traitant peut faire appel à des sous-traitants ultérieurs et leur impose les mêmes obligations en matière de protection des données (art. 28, al. 2 et 4 RGPD).

2. Les relations de sous-traitance ultérieure existantes sont listées à l'annexe 2 et sont réputées approuvées.

3. Le sous-traitant informe le responsable du traitement des modifications concernant les sous-traitants ultérieurs. Le responsable du traitement peut s'y opposer dans le respect du principe de bonne foi.

1. Le traitement des données a lieu exclusivement au sein de l'UE/EEE.

2. Un traitement dans des pays tiers requiert l'accord préalable du responsable du traitement et le respect des conditions prévues aux art. 44 et suivants du RGPD.

1. La durée est déterminée par le contrat principal.

2. Le droit de résiliation extraordinaire reste réservé en cas de manquements graves.

3. À la fin du contrat, le sous-traitant supprime ou restitue toutes les données à caractère personnel, au choix du responsable du traitement (art. 28, al. 3, phrase 2, let. g RGPD), sauf obligation légale de conservation.

1. Dans leurs relations internes, les parties contractantes répondent chacune des dommages résultant d'une violation du présent contrat de sous-traitance ou des dispositions applicables en matière de protection des données qui leur est imputable.

2. Si une partie contractante est sollicitée par une personne concernée conformément à l'art. 82 RGPD, elle peut demander compensation à l'autre partie dans la mesure où celle-ci a causé le dommage.

3. Les parties contractantes s'assistent mutuellement dans la défense contre les réclamations injustifiées.

1. Les modifications et compléments doivent être effectués par écrit.

2. Le droit de la République fédérale d'Allemagne s'applique. Le for juridique est Bonn.