Annexe de Traitement des Données

Les termes en majuscules ont les significations qui leur sont données dans le RGPD. Les termes suivants ont les significations ci-dessous.

Cette DPA s'applique au traitement des Données Personnelles du Client effectué par upDevTeam LTD en la faveur du Client dans le cadre de la fourniture du Service.

Les parties reconnaissent qu'en ce qui concerne ce traitement, le Client est le Responsable et upDevTeam LTD est le Responsable de traitement.

upDevTeam LTD traite également des données en tant que Responsable concernant ses propres opérations commerciales (facturation des comptes, lutte contre les abus, marketing). La Politique de Confidentialité décrit ce traitement.

upDevTeam LTD s'engage à :

Le Client autorise upDevTeam LTD à engager les Sous-traitants suivants :

Nous donnerons au Client un préavis d'au moins 30 jours avant d'ajouter ou de remplacer un Sous-traitant en affichant le changement sur godeskflow.com/dpa ou en envoyant un e-mail au contact du compte. Si le Client s'oppose raisonnablement pour des raisons de protection des données, nous travaillerons de bonne foi pour trouver une solution; si aucune ne peut être convenue, le Client peut résilier le Service concerné pour convenance.

Nous restons responsables envers le Client des actes et omissions de nos Sous-traitants comme s'ils étaient les nôtres.

Nous mettons en œuvre et maintenons des mesures techniques et organisationnelles appropriées au risque, y compris :

Les Données Personnelles du Client sont hébergées dans l'EEE. Lorsque le transfert des Données Personnelles du Client en dehors de l'EEE est nécessaire (par exemple, lorsqu'un Sous-traitant ayant son siège aux États-Unis est impliqué), les parties incorporent les Clauses Contractuelles Types par référence, avec upDevTeam LTD agissant en tant qu'« exportateur de données » pour ce transfert ultérieur et le Sous-traitant en tant qu'« importateur de données ».

Lorsque le Client est établi en dehors de l'EEE et que des données personnelles transitent de upDevTeam LTD vers le Client, les parties intègrent les SCC (Module 4) pour le transfert correspondant.

Nous effectuons une évaluation de l'impact du transfert pour chaque Sous-traitant non-EEE et appliquons des mesures complémentaires (chiffrement, pseudonymisation) lorsque l'évaluation les recommande.

Si nous recevons une demande d'un sujet de données concernant des Données Personnelles du Client, nous ne répondrons pas directement sauf pour confirmer la réception et diriger le sujet de données vers le Client. Nous transmettrons la demande au Client sans retard injustifié.

Nous fournirons une assistance raisonnable au Client pour répondre aux demandes d'accès, de rectification, d'effacement, de restriction, de portabilité et d'opposition, en tenant compte de la nature du traitement et des informations à notre disposition. Lorsque la demande est excessive ou manifestement infondée, nous pouvons facturer des frais raisonnables.

Nous informerons le Client sans retard injustifié, et dans tous les cas dans les 72 heures suivant la prise de connaissance, d'une violation de données personnelles affectant des Données Personnelles du Client. La notification comprendra les informations requises par l'Article 33(3) du RGPD dans la mesure du connu, avec des mises à jour au fur et à mesure de l'avancement de l'enquête.

Nous coopérerons avec le Client pour contenir, enquêter et documenter la violation, et nous ne ferons aucune déclaration publique à son sujet sans le consentement préalable du Client, sauf si la loi l'exige.

Nous fournissons au Client les informations nécessaires pour démontrer la conformité avec l'Article 28 du RGPD par le biais de (a) cette DPA, (b) le livre blanc de sécurité disponible sur demande, et (c) les rapports d'audit tiers les plus récents des Sous-traitants concernés (par exemple, rapports SOC 2).

Si le Client pense raisonnablement que les matériaux mentionnés dans la section 10.1 sont insuffisants, le Client peut, à ses frais et avec au moins 30 jours de préavis écrit, auditer notre conformité avec cette DPA pas plus d'une fois par an (sauf en cas de violation matérielle), à condition que l'audit (i) soit effectué pendant les heures normales de bureau, (ii) ne perturbe pas nos opérations, (iii) soit réalisé par un auditeur indépendant soumis à des obligations de confidentialité appropriées, et (iv) n'inclut pas l'accès aux installations ou données d'autres clients.

Les rapports d'audit sont des informations confidentielles de upDevTeam LTD et ne peuvent être partagés qu'avec des régulateurs et des conseillers juridiques sous réserve de confidentialité.

À la résiliation du Service, nous, au choix du Client et dans les 30 jours suivant la date de résiliation, retournerons toutes les Données Personnelles du Client dans un format électronique structuré ou les supprimerons de manière sécurisée, sauf dans la mesure où la conservation est requise par la loi de l'UE ou d'un État membre.

Les copies de sauvegarde seront supprimées conformément à notre politique standard de rétention de sauvegarde (actuellement 35 jours). Les sauvegardes restent protégées par les mesures de sécurité de la section 6 jusqu'à ce qu'elles soient écrasées.

La responsabilité découlant de cette DPA est régie par la section de limitation de responsabilité des Conditions de Service.

Lorsque l'Article 82 du RGPD attribue la responsabilité entre les contrôleurs conjoints, les processeurs et les sous-traitants, les parties conviennent de suivre cette allocation légale.

Cette DPA prend effet à la date à laquelle le Client accepte les Conditions de Service et se poursuit tant que upDevTeam LTD traite des Données Personnelles du Client pour le compte du Client, plus toute période de survie nécessaire pour satisfaire aux obligations des sections 9, 10 et 11.

Cette DPA est régie par les lois de la République de Chypre, sauf que, lorsque les SCC s'appliquent, le droit applicable identifié dans les SCC prévaut pour les matières relevant du champ d'application des SCC.

Les notifications dans le cadre de cette DPA doivent être envoyées à info@godeskflow.com (questions relatives au traitement des données) et à info@godeskflow.com (questions relatives aux sujets de données et aux autorités de surveillance).