Accord de traitement des données (DPA)

1. Définitions

• « Données personnelles du Client » désigne les données personnelles que Nebs-Creative traite pour le compte du Client dans le cadre du Contrat.
• « Lois sur la protection des données » désigne le UK GDPR, le Data Protection Act 2018 et, lorsqu'ils s'appliquent au traitement, le RGPD de l'UE, les lois des États américains applicables en matière de protection de la vie privée et les autres lois applicables en matière de vie privée et de protection des données, telles que modifiées ou remplacées.
• « CCT de l'UE » désigne les clauses contractuelles types de la Commission européenne approuvées par la décision d'exécution (UE) 2021/914.
• « Transfert restreint » désigne un transfert que les Lois sur la protection des données applicables interdiraient en l’absence de garantie appropriée.
• « Sous-traitant ultérieur » désigne un tiers ou une société affiliée engagé par Nebs-Creative pour traiter des Données personnelles du Client.
• « Mécanisme de transfert » désigne l’accord international de transfert de données du Royaume-Uni (UK International Data Transfer Agreement), l’addendum britannique aux CCT de l’UE (UK Addendum to the EU SCCs), les CCT de l’UE ou tout autre mécanisme reconnu par les Lois sur la protection des données applicables.
• « Jour ouvrable » désigne du dimanche au jeudi, à l’exclusion des jours fériés au Bangladesh et de toute fermeture du studio notifiée.

Les termes responsable du traitement, sous-traitant, personne concernée, données personnelles, violation de données personnelles, traitement et autorité de contrôle ont le sens que leur donne le UK GDPR ou les termes juridiques équivalents applicables.

2. Rôles et champ d’application

Le Client est le responsable du traitement et Nebs-Creative est le sous-traitant pour les Données personnelles du Client. Si le Client est lui-même sous-traitant pour le compte d’un autre responsable du traitement, Nebs-Creative agit en qualité de sous-traitant ultérieur et le Client confirme être autorisé à donner les instructions figurant dans le présent DPA. L’Annexe 1 décrit le traitement. Chaque partie demeure un responsable du traitement indépendant pour les données de contact professionnelles courantes qu’elle traite aux fins de la gestion de la relation commerciale.

3. Responsabilités du Client

• S’assurer qu’il existe une base légale et que les informations et consentements requis ont été fournis pour le traitement.
• Ne fournir que les données personnelles raisonnablement nécessaires aux services et utiliser, dans la mesure du possible, des données d’exemple, anonymisées ou pseudonymisées.
• Informer Nebs-Creative par écrit avant de fournir des données relevant de catégories particulières, des données relatives à des infractions pénales ou des données concernant des enfants.
• S’assurer que les instructions données à Nebs-Creative sont conformes aux Lois sur la protection des données applicables.

4. Obligations de Nebs-Creative

• Traiter les Données personnelles du Client uniquement sur instructions documentées du Client, y compris en ce qui concerne les transferts internationaux, sauf si la loi exige qu’il en soit autrement.
• Informer le Client si une instruction lui paraît enfreindre les Lois sur la protection des données applicables, dans la mesure permise par la loi.
• S’assurer que le personnel autorisé est soumis à des obligations de confidentialité.
• Maintenir des mesures techniques et organisationnelles appropriées, y compris les mesures décrites à l’Annexe 2 une fois celles-ci vérifiées.
• Fournir une assistance raisonnable en ce qui concerne les droits des personnes concernées, les obligations de sécurité, les violations, les analyses d’impact relatives à la protection des données (AIPD) et la consultation de l’autorité de contrôle, compte tenu de la nature du traitement et des informations disponibles.
• Mettre à disposition des informations raisonnables relatives à la conformité et autoriser les audits conformément à la clause 9.
• Ne pas vendre les Données personnelles du Client ni les utiliser à ses propres fins, y compris pour l’entraînement de modèles d’IA de Nebs-Creative.

5. Sous-traitants ultérieurs

Le Client donne une autorisation générale de recourir à des Sous-traitants ultérieurs. Les Sous-traitants ultérieurs actuels doivent être énumérés à l’Annexe 3. Nebs-Creative fournira un préavis d’au moins 14 jours de tout ajout ou remplacement envisagé. Le Client peut s’y opposer pour des motifs raisonnables liés à la protection des données. Si l’objection ne peut raisonnablement être résolue, le Client peut résilier les services concernés et obtenir le remboursement des honoraires prépayés pour les services non exécutés. Nebs-Creative imposera à chaque Sous-traitant ultérieur des obligations de protection des données substantiellement équivalentes et demeure responsable envers le Client de l’exécution de ces obligations par le Sous-traitant ultérieur, conformément à la loi applicable et au Contrat.

6. Transferts internationaux

Le Client reconnaît que l’équipe de Nebs-Creative travaille depuis le Bangladesh et que les Sous-traitants ultérieurs approuvés peuvent traiter des Données personnelles du Client dans les lieux indiqués à l’Annexe 3. Chaque Transfert restreint doit reposer sur un Mécanisme de transfert valide ou sur une autre base légale et, lorsque cela est requis, sur une évaluation appropriée des risques liés au transfert ou une évaluation équivalente.

Pour les Transferts restreints depuis le Royaume-Uni effectués par Nebs-Creative vers un destinataire tel que l’entité du studio au Bangladesh ou un Sous-traitant ultérieur, Nebs-Creative utilisera l’accord international de transfert de données du Royaume-Uni (UK International Data Transfer Agreement) applicable, l’addendum britannique (UK Addendum) avec le module de CCT de l’UE pertinent, ou un autre mécanisme valide. Pour les transferts depuis l’EEE lorsque les CCT de l’UE sont requises, le module applicable de responsable du traitement à sous-traitant ou de sous-traitant à sous-traitant s’appliquera selon le cas. En cas de conflit entre les conditions de transfert impératives et le présent DPA, les conditions de transfert impératives prévalent.

7. Violations de données à caractère personnel

Nebs-Creative notifiera le Client dans les meilleurs délais et, en vertu de l’accord type de traitement des données (DPA) actuellement en vigueur, en tout état de cause dans un délai de 48 heures après avoir pris connaissance d’une violation de données à caractère personnel affectant les Données personnelles du Client. La notification fournira les informations disponibles concernant la nature, l’étendue, les conséquences probables et les mesures d’atténuation, des informations complémentaires étant communiquées dès qu’elles seront disponibles. Nebs-Creative prendra des mesures raisonnables pour contenir l’incident et y remédier, et coopérera avec le Client. Sauf disposition légale contraire, Nebs-Creative ne notifiera pas une autorité de contrôle ou une personne concernée au nom du Client sans instruction de ce dernier.

8. Demandes des personnes concernées

Si Nebs-Creative reçoit une demande relative aux Données personnelles du Client, elle la transmettra au Client dans un délai de 5 Jours ouvrables et n’y répondra pas sur le fond, sauf autorisation du Client ou obligation légale.

9. Audits et informations relatives à la conformité

Nebs-Creative répondra aux questionnaires de conformité raisonnables, normalement une fois par an, avec des informations supplémentaires à la suite d’une violation pertinente ou d’une demande d’une autorité de contrôle, le cas échéant. Si les informations écrites raisonnables ne suffisent pas à démontrer la conformité, le Client ou un auditeur indépendant, non concurrent et tenu à la confidentialité, peut réaliser un audit dans le respect des restrictions de préavis, de fréquence, d’heures de travail et de non-perturbation prévues par le DPA applicable. Chaque partie supporte ses propres frais d’audit, sauf disposition contraire du Contrat ou de la loi applicable.

10. Restitution et suppression

À la fin des services concernés, ou plus tôt sur instruction écrite, Nebs-Creative restituera ou supprimera, au choix du Client, les Données personnelles du Client dans un délai de 30 jours et supprimera les copies existantes, sauf si la loi applicable impose leur conservation. Les données restant dans les sauvegardes courantes demeurent protégées par le présent DPA jusqu’à leur écrasement dans le cycle normal de sauvegarde. Une confirmation écrite de la suppression sera fournie sur demande.

11. Conditions relatives à la protection de la vie privée des États américains

Dans la mesure où une loi applicable d’un État américain sur la protection de la vie privée considère Nebs-Creative comme un prestataire de services, un contractant ou un sous-traitant pour les Données personnelles du Client, Nebs-Creative ne vendra ni ne partagera ces données au sens de la loi applicable, ne les conservera, utilisera ou divulguera pas en dehors de la relation de service autorisée, et ne les combinera pas avec d’autres données à caractère personnel, sauf dans la mesure permise par la loi. Nebs-Creative assurera le niveau de protection de la vie privée requis pour son rôle et informera le Client si elle ne peut plus respecter ces obligations. Le Client peut prendre les mesures raisonnables requises par la loi applicable pour faire cesser et remédier à toute utilisation non autorisée.

12. Responsabilité, primauté et droit applicable

La responsabilité au titre du présent DPA est soumise aux conditions de responsabilité du Contrat, dans la mesure où les Lois sur la protection des données le permettent. Le DPA reste en vigueur aussi longtemps que Nebs-Creative traite des Données personnelles du Client et prévaut sur les stipulations contraires du contrat en matière de données à caractère personnel. Le DPA type est régi par le droit d’Angleterre et du pays de Galles, sauf lorsque des clauses de transfert impératives imposent un autre droit applicable ou une autre juridiction.

Annexe 1 - Détails du traitement

Annexe 2 - Mesures techniques et organisationnelles

• Authentification multifacteur (MFA) sur les comptes utilisés pour accéder aux Données personnelles du Client lorsque le service la prend en charge.
• Contrôles d'accès par projet ; suppression des accès à la fin du projet ; revues périodiques des accès.
• Comptes utilisateurs individuels ; secrets partagés conservés dans un gestionnaire de mots de passe chiffré approuvé.
• Chiffrement intégral du disque, verrouillage de l'écran, systèmes d'exploitation pris en charge, mises à jour de sécurité automatiques et protection antimalware sur les appareils utilisés pour les travaux des clients, conformément à la politique interne.
• Données personnelles du Client stockées uniquement dans des outils approuvés ; aucun support amovible ni stockage sur compte personnel, sauf autorisation spécifique.
• Minimisation des données et recours à des données d'exemple, anonymisées ou pseudonymisées lorsque cela est possible.
• Partage de liens/fichiers à accès restreint et chiffrement en transit ; chiffrement au repos par le fournisseur de stockage le cas échéant.
• Aucune Donnée personnelle du Client dans des outils d'IA, sauf dans un outil approuvé assorti des garanties/paramètres requis et avec l'accord du client.
• Accords de confidentialité/de propriété intellectuelle avec l'équipe et formation à la sécurité et à la protection des données.
• Signalement interne rapide des incidents et consignation des incidents.
• Capacités de sauvegarde et de restauration du prestataire pour les services cloud approuvés.
• Restitution/suppression des Données personnelles du Client conformément aux règles de conservation du DPA.

Annexe 3 - Sous-traitants ultérieurs

Bloc de signature (facultatif lorsqu'un DPA signé est demandé)