Accord de traitement des données

Contexte de l’accord de traitement des données

Le présent accord définit les droits et obligations applicables lorsque Booking Board (le sous-traitant) traite des données à caractère personnel pour le compte d’un client (le responsable du traitement).

Le présent accord est conçu pour garantir la conformité à l’article 28(3) du Règlement général sur la protection des données (EU) 2016/679, qui fixe des exigences spécifiques quant au contenu d’un accord de traitement des données.

Le traitement de données à caractère personnel par le sous-traitant a lieu dans le cadre de l’utilisation du système Booking Board par le responsable du traitement, tel que décrit dans les conditions générales de Booking Board.

L’accord de traitement des données et les conditions générales de Booking Board sont interdépendants et ne peuvent être résiliés séparément. Toutefois, l’accord de traitement des données peut être remplacé par un autre accord de traitement valide sans affecter les conditions générales. En cas de modification, Booking Board doit en informer le responsable du traitement et fournir le nouvel accord.

Le présent accord de traitement des données prévaut sur toute disposition similaire contenue dans d’autres accords entre les parties, y compris les conditions générales de Booking Board.

Droits et obligations

Le responsable du traitement est en définitive responsable de veiller à ce que le traitement des données à caractère personnel soit effectué dans le cadre du Règlement général sur la protection des données et de la loi sur la protection des données.

Le sous-traitant doit toujours se conformer sans retard injustifié aux demandes raisonnables du responsable du traitement afin de garantir le respect du Règlement général sur la protection des données et de la loi sur la protection des données.

Le sous-traitant agit conformément aux instructions

• Le sous-traitant ne peut traiter les données à caractère personnel que conformément aux instructions documentées du responsable du traitement, sauf si le droit de l’UE ou le droit national l’exige. Dans ce cas, le sous-traitant informe le responsable du traitement de cette obligation légale avant le traitement, sauf si la loi applicable interdit une telle notification pour des raisons importantes d’intérêt public.
• Le sous-traitant informe immédiatement le responsable du traitement si, à son avis, une instruction enfreint le Règlement général sur la protection des données ou les dispositions en matière de protection des données prévues par d’autres lois européennes ou nationales.

Confidentialité

Le sous-traitant veille à ce que seules les personnes ayant besoin d’un accès dans le cadre de leur travail pour Booking Board aient accès aux données à caractère personnel traitées pour le compte du responsable du traitement. L’accès aux données doit être immédiatement révoqué si la personne n’a plus besoin d’y accéder ou n’est plus affiliée à Booking Board.

Sécurité des données

Le sous-traitant met en œuvre toutes les mesures requises en vertu de l’article 32 du Règlement général sur la protection des données, en garantissant des mesures techniques et organisationnelles de sécurité appropriées en fonction du risque pour les droits et libertés des personnes physiques :

1. Pseudonymisation et chiffrement des données à caractère personnel
2. Capacité à garantir la confidentialité, l’intégrité, la disponibilité et la résilience continues des systèmes de traitement
3. Capacité à rétablir la disponibilité et l’accès aux données à caractère personnel dans un délai raisonnable en cas d’incident physique ou technique
4. Un processus de test, d’évaluation et d’appréciation réguliers de l’efficacité des mesures techniques et organisationnelles destinées à garantir la sécurité du traitement

Recours à des sous-traitants ultérieurs

Le sous-traitant doit remplir les conditions énoncées à l’article 28(2) et (4) du Règlement général sur la protection des données pour faire appel à un autre sous-traitant (sous-traitant ultérieur). Le sous-traitant ne peut faire appel à un sous-traitant ultérieur sans l’autorisation préalable spécifique ou générale écrite du responsable du traitement.

Transfert d’informations vers des pays tiers ou des organisations internationales

Le sous-traitant ne peut traiter les données à caractère personnel que conformément aux instructions documentées du responsable du traitement, y compris pour les transferts vers des pays tiers ou des organisations internationales, sauf si le droit de l’UE ou le droit national l’exige.

Assistance au responsable du traitement

Le sous-traitant aide le responsable du traitement à remplir son obligation de répondre aux demandes des personnes concernées relatives à l’exercice de leurs droits en vertu du chapitre 3 du Règlement général sur la protection des données.

Notification des violations de données

Le sous-traitant notifie le responsable du traitement sans retard injustifié dès qu’il a connaissance d’une violation de données à caractère personnel.

Suppression et restitution des données

À la fin des services liés au traitement, le sous-traitant doit, au choix du responsable du traitement, supprimer ou restituer toutes les données à caractère personnel au responsable du traitement et supprimer toute copie existante, à moins que le droit de l’UE ou le droit national n’exige la conservation des données à caractère personnel.

Supervision et audit

Le sous-traitant met à disposition toutes les informations nécessaires pour démontrer la conformité à l’article 28 du Règlement général sur la protection des données et au présent accord, et permet la réalisation d’audits ou d’inspections par le responsable du traitement.

Date d’entrée en vigueur et résiliation

Le présent accord prend effet lorsque le responsable du traitement commence à utiliser le système de Booking Board. L’accord reste en vigueur aussi longtemps que le traitement se poursuit et ne peut être résilié séparément des conditions générales de Booking Board.