Modèle de
CONTRAT DE TRANSFERT DE DONNÉES UE

Clauses contractuelles types pour le transfert de données à caractère personnel vers des sous-traitants établis dans des pays tiers en vertu de la directive 95/46/CE

Cette traduction est fournie à titre indicatif uniquement ; en cas de divergence, la version anglaise prévaut.

Entre :

<CLIENT> [et les entités <CLIENT> expressément désignées, le cas échéant] (chacune étant un « exportateur de données »),

MinMax, Inc., (l’« importateur de données », chargé du Traitement des Données)

chacune étant une « partie » et, ensemble, les « parties ».

[à titre alternatif, lorsque le Client dispose d’une succursale dans l’UE ayant la qualité d’« exportateur de données » et d’une succursale aux États-Unis, cliente directe de MinMax, ayant la qualité d’« importateur de données », MinMax n’intervenant qu’en qualité de « sous-traitant ultérieur » des données :]

<CLIENT> [et les entités <CLIENT> énumérées à l’appendice 5, le cas échéant] (chacune étant un « exportateur de données »),

<CLIENT> (l’« importateur de données »),

MinMax, Inc., (le « sous-traitant ultérieur », chargé du Traitement des Données)

chacune étant une « partie » et, ensemble, les « parties ».

CONSIDÉRANT QUE l’exportateur de données et l’importateur de données concluent ou ont conclu un contrat-cadre de prestation de services ainsi qu’un Avenant relatif à la protection de la vie privée et à la sécurité des données (ensemble, le « Contrat ») ;

CONSIDÉRANT QUE, conformément au Contrat, l’exportateur de données et l’importateur de données sont convenus de signer les présentes clauses contractuelles (les « Clauses ») avec les exportateurs de données afin de satisfaire aux exigences de l’Union européenne et de la Suisse applicables en matière de protection des données ;

Aux fins de l’article 26, paragraphe 2, de la directive 95/46/CE pour les données à caractère personnel provenant de l’Espace économique européen, et de l’article 6, alinéa 2, lettre a, de la loi fédérale suisse sur la protection des données de 1992 (LPD) pour les données à caractère personnel provenant de Suisse, s’agissant du transfert de données à caractère personnel vers des sous-traitants établis dans des pays tiers qui n’assurent pas un niveau adéquat de protection des données,

IL EST CONVENU des Clauses suivantes, afin d’offrir des garanties adéquates en ce qui concerne la protection de la vie privée et des libertés et droits fondamentaux des personnes lors du transfert, par l’exportateur de données à l’importateur de données, des données à caractère personnel visées à l’appendice 1.

Clause 1

Définitions

Aux fins des Clauses :

(a) « Données à caractère personnel » désigne toute information se rapportant à une personne concernée identifiée ou identifiable, y compris, sans s’y limiter, les informations précisées à l’appendice 1. Pour les données provenant de Suisse, l’expression « données à caractère personnel » couvre également les informations se rapportant à une personne morale identifiée ou identifiable ;
(b) « Catégories particulières de données » désigne les données à caractère personnel révélant la race, la religion, l’origine ethnique, l’appartenance syndicale, l’orientation sexuelle ou la situation familiale d’une personne concernée ;
(c) « Traiter/Traitement » désigne toute opération ou tout ensemble d’opérations, effectuées ou non à l’aide de procédés automatisés et appliquées à des données à caractère personnel, notamment la collecte, la génération, l’utilisation, l’extraction, l’enregistrement, le stockage, l’hébergement, la conservation, le traitement, la modification, la recherche, l’impression, la manipulation, la consultation, la révision, la reconstitution, la divulgation, la rectification, l’altération, l’effacement, la suppression, l’élimination ou toute autre forme de traitement de données à caractère personnel ;
(d) « Personne concernée » désigne la personne physique à laquelle se rapportent des données à caractère personnel déterminées ;
(e) « Autorité de contrôle » désigne l’autorité de protection des données dont relève l’exportateur de données ou tout autre organisme public investi d’un pouvoir de contrôle équivalent sur l’exportateur de données ;
(f) « Sous-traitant ultérieur » désigne tout sous-traitant engagé par l’importateur de données ou par tout autre sous-traitant ultérieur de celui-ci, qui accepte de recevoir de l’importateur de données ou de tout autre sous-traitant ultérieur de l’importateur de données des données à caractère personnel exclusivement destinées à des activités de traitement à effectuer pour le compte de l’exportateur de données après le transfert, conformément aux instructions de ce dernier, aux termes des Clauses et aux termes du contrat de sous-traitance écrit ;
(g) « Droit applicable à la protection des données » désigne la législation relative à la protection des données ou de la vie privée (y compris tout texte d’application ainsi que les modifications et mises à jour de cette législation) applicable à l’exportateur de données dans le ou les pays où celui-ci est établi ;
(h) « Mesures techniques et d’organisation liées à la sécurité » désigne les mesures destinées à protéger les données à caractère personnel contre la destruction fortuite ou illicite, la perte fortuite, l’altération, la divulgation ou l’accès non autorisés, notamment lorsque le traitement comporte la transmission de données par réseau, ainsi que contre toute autre forme de traitement illicite, y compris, sans s’y limiter, les mesures précisées à l’appendice 2.

Clause 2

Détails du transfert

Les détails du transfert, et notamment, le cas échéant, les catégories particulières de données à caractère personnel, sont précisés à l’appendice 1, qui fait partie intégrante des Clauses.

Clause 3

Clause du tiers bénéficiaire

(1) La personne concernée peut, en qualité de tiers bénéficiaire, se prévaloir à l’encontre de l’exportateur de données de la présente Clause, de la Clause 4(b) à (i), de la Clause 5(a) à (e) et (g) à (j), de la Clause 6(1) et (2), de la Clause 7, de la Clause 8(2) et des Clauses 9 à 12.
(2) La personne concernée peut se prévaloir à l’encontre de l’importateur de données de la présente Clause, de la Clause 5(a) à (e) et (g), de la Clause 6, de la Clause 7, de la Clause 8(2) et des Clauses 9 à 12 lorsque l’exportateur de données a matériellement disparu ou a cessé d’exister en droit, à moins que l’ensemble des obligations juridiques de l’exportateur de données n’ait été transféré, par contrat ou par effet de la loi, à une entité qui lui succède et qui reprend de ce fait les droits et obligations de l’exportateur de données, auquel cas la personne concernée peut se prévaloir de ces dispositions à l’encontre de cette entité.
(3) La personne concernée peut se prévaloir à l’encontre du sous-traitant ultérieur de la présente Clause, de la Clause 5(a) à (e) et (g), de la Clause 6, de la Clause 7, de la Clause 8(2) et des Clauses 9 à 12 lorsque l’exportateur de données et l’importateur de données ont tous deux matériellement disparu, ont cessé d’exister en droit ou sont devenus insolvables, à moins que l’ensemble des obligations juridiques de l’exportateur de données n’ait été transféré, par contrat ou par effet de la loi, à une entité qui lui succède et qui reprend de ce fait les droits et obligations de l’exportateur de données, auquel cas la personne concernée peut se prévaloir de ces dispositions à l’encontre de cette entité. Cette responsabilité du sous-traitant ultérieur envers les tiers est limitée à ses propres opérations de traitement effectuées en vertu des Clauses.
(4) Les parties ne s’opposent pas à ce que la personne concernée soit représentée par une association ou un autre organisme si elle en exprime expressément le souhait et si le droit national le permet.

Clause 4

Obligations de l’exportateur de données

L’exportateur de données convient et garantit :

(a) que le traitement des données à caractère personnel, y compris le transfert proprement dit, a été et continuera d’être effectué conformément aux dispositions pertinentes du droit applicable à la protection des données (et, le cas échéant, a été notifié aux autorités compétentes du pays où l’exportateur de données est établi) et n’enfreint pas les dispositions pertinentes de cet État ;
(b) qu’il a donné pour instruction à l’importateur de données, et lui donnera pour instruction pendant toute la durée des services de traitement de données à caractère personnel, de ne traiter les données à caractère personnel transférées que pour le compte de l’exportateur de données et conformément au droit applicable à la protection des données et aux Clauses ;
(c) que l’importateur de données offrira des garanties suffisantes au regard des mesures techniques et d’organisation liées à la sécurité précisées à l’appendice 2 du présent contrat ;
(d) qu’après évaluation des exigences du droit applicable à la protection des données, les mesures de sécurité sont adaptées pour protéger les données à caractère personnel contre la destruction fortuite ou illicite, la perte fortuite, l’altération, la divulgation ou l’accès non autorisés, notamment lorsque le traitement comporte la transmission de données par réseau, ainsi que contre toute autre forme de traitement illicite, et que ces mesures assurent un niveau de sécurité adapté aux risques présentés par le traitement et à la nature des données à protéger, compte tenu de l’état de la technique et du coût de leur mise en œuvre ;
(e) qu’il veillera au respect des mesures de sécurité ;
(f) que, si le transfert porte sur des catégories particulières de données, la personne concernée a été informée, ou le sera avant le transfert ou dès que possible après celui-ci, que ses données pourraient être transmises à un pays tiers n’offrant pas un niveau de protection adéquat au sens de la directive 95/46/CE (ou, s’agissant des données reçues de Suisse, au sens de l’article 6 LPD) ;
(g) qu’il transmettra à l’autorité de contrôle de la protection des données toute notification reçue de l’importateur de données ou de tout sous-traitant ultérieur en application de la Clause 5(b) et de la Clause 8(3), s’il décide de poursuivre le transfert ou de lever la suspension ;
(h) qu’il mettra à la disposition des personnes concernées qui en font la demande une copie des Clauses, à l’exception de l’appendice 2, et une description sommaire des mesures de sécurité, ainsi qu’une copie de tout contrat de sous-traitance ultérieure de services de traitement devant être conclu conformément aux Clauses, à moins que les Clauses ou le contrat ne contiennent des informations commerciales, auquel cas il pourra retirer ces informations commerciales ;
(i) qu’en cas de sous-traitance ultérieure, l’activité de traitement est effectuée conformément à la Clause 11 par un sous-traitant ultérieur offrant au moins le même niveau de protection des données à caractère personnel et des droits de la personne concernée que l’importateur de données en vertu des Clauses ; et
(j) qu’il veillera au respect de la Clause 4(a) à (i).

Clause 5

Obligations de l’importateur de données

L’importateur de données convient et garantit :

(a) qu’il ne traitera les données à caractère personnel que pour le compte de l’exportateur de données, conformément aux instructions de celui-ci et aux Clauses ; s’il ne peut s’y conformer, pour quelque raison que ce soit, il s’engage à en informer sans délai l’exportateur de données, lequel a alors le droit de suspendre le transfert de données et/ou de résilier le contrat ;
(b) qu’il n’a aucune raison de croire que la législation qui lui est applicable l’empêche d’exécuter les instructions reçues de l’exportateur de données et les obligations qui lui incombent en vertu du contrat, et que, si cette législation fait l’objet d’une modification susceptible d’avoir un effet négatif important sur les garanties et obligations prévues par les Clauses, il notifiera cette modification sans délai à l’exportateur de données dès qu’il en aura connaissance, lequel aura alors le droit de suspendre le transfert de données et/ou de résilier le contrat ;
(c) qu’il a mis en œuvre les mesures techniques et d’organisation liées à la sécurité précisées à l’appendice 2 avant de traiter les données à caractère personnel transférées ;
(d)
qu’il informera sans délai l’exportateur de données :
1. (i) de toute demande juridiquement contraignante de divulgation des données à caractère personnel émanant d’une autorité répressive, à moins que cela ne lui soit interdit, notamment par une interdiction de droit pénal visant à préserver la confidentialité d’une enquête judiciaire,
2. (ii) de tout accès fortuit ou non autorisé, et
3. (iii) de toute demande reçue directement des personnes concernées, sans y répondre, sauf s’il a été autorisé à le faire ;
(e) qu’il traitera rapidement et de manière appropriée toutes les demandes de l’exportateur de données relatives au traitement qu’il effectue des données à caractère personnel faisant l’objet du transfert, et qu’il se conformera à l’avis de l’autorité de contrôle concernant le traitement des données transférées ;
(f) qu’il soumettra, à la demande de l’exportateur de données, ses moyens de traitement de données à une vérification des activités de traitement couvertes par les Clauses, effectuée par l’exportateur de données ou par un organe de contrôle composé de membres indépendants possédant les qualifications professionnelles requises et tenus à une obligation de confidentialité, choisi par l’exportateur de données, le cas échéant en accord avec l’autorité de contrôle ;
(g) qu’il mettra à la disposition de la personne concernée qui en fait la demande une copie des Clauses ou de tout contrat de sous-traitance ultérieure existant, à moins que les Clauses ou le contrat ne contiennent des informations commerciales, auquel cas il pourra retirer ces informations commerciales, à l’exception de l’appendice 2, qui sera remplacé par une description sommaire des mesures de sécurité lorsque la personne concernée ne peut obtenir de copie auprès de l’exportateur de données ;
(h) qu’en cas de sous-traitance ultérieure, il a préalablement informé l’exportateur de données et obtenu son accord écrit préalable ;
(i) que les services de traitement fournis par le sous-traitant ultérieur seront exécutés conformément à la Clause 11 ;
(j) qu’il adressera sans délai à l’exportateur de données une copie de tout contrat de sous-traitance ultérieure qu’il conclut en vertu des Clauses.

Clause 6

Responsabilité

(1) Les parties conviennent que toute personne concernée ayant subi un dommage du fait d’un manquement, par l’une des parties ou par un sous-traitant ultérieur, aux obligations visées à la Clause 3 ou à la Clause 11 a le droit d’obtenir de l’exportateur de données réparation du préjudice subi.
(2) Si une personne concernée ne peut intenter contre l’exportateur de données l’action en réparation visée au paragraphe (a), pour manquement par l’importateur de données ou par son sous-traitant ultérieur à l’une quelconque de leurs obligations visées à la Clause 3 ou à la Clause 11, parce que l’exportateur de données a matériellement disparu, a cessé d’exister en droit ou est devenu insolvable, l’importateur de données accepte que la personne concernée puisse agir contre lui comme s’il était l’exportateur de données, à moins que l’ensemble des obligations juridiques de l’exportateur de données n’ait été transféré, par contrat ou par effet de la loi, à une entité qui lui succède, auquel cas la personne concernée peut faire valoir ses droits à l’encontre de cette entité.
(3) L’importateur de données ne peut invoquer un manquement d’un sous-traitant ultérieur à ses obligations pour se soustraire à sa propre responsabilité.
(4) Si une personne concernée ne peut intenter contre l’exportateur de données ou l’importateur de données l’action visée aux paragraphes (a) et (b), pour manquement par le sous-traitant ultérieur à l’une quelconque de ses obligations visées à la Clause 3 ou à la Clause 11, parce que l’exportateur de données et l’importateur de données ont tous deux matériellement disparu, ont cessé d’exister en droit ou sont devenus insolvables, le sous-traitant ultérieur accepte que la personne concernée puisse agir contre lui, pour ce qui concerne ses propres opérations de traitement effectuées en vertu des Clauses, comme s’il était l’exportateur de données ou l’importateur de données, à moins que l’ensemble des obligations juridiques de l’exportateur de données ou de l’importateur de données n’ait été transféré, par contrat ou par effet de la loi, à une entité qui lui succède, auquel cas la personne concernée peut faire valoir ses droits à l’encontre de cette entité. La responsabilité du sous-traitant ultérieur est limitée à ses propres opérations de traitement effectuées en vertu des Clauses.

Clause 7

Médiation et juridiction

(1)
L’importateur de données convient que, si la personne concernée invoque à son encontre des droits de tiers bénéficiaire et/ou demande réparation d’un préjudice en vertu des Clauses, il acceptera la décision de la personne concernée :
1. (a) de soumettre le litige à la médiation d’une personne indépendante ou, le cas échéant, de l’autorité de contrôle ;
2. (b) de porter le litige devant les tribunaux du pays où l’exportateur de données est établi.
(2) Les parties conviennent que le choix effectué par la personne concernée ne porte pas atteinte aux droits matériels ou procéduraux dont elle dispose pour obtenir réparation en vertu d’autres dispositions du droit national ou international.

Clause 8

Coopération avec les autorités de contrôle

(1) L’exportateur de données s’engage à déposer une copie du présent contrat auprès de l’autorité de contrôle si celle-ci le demande ou si ce dépôt est exigé par le droit applicable à la protection des données.
(2) Les parties conviennent que l’autorité de contrôle a le droit de procéder à une vérification auprès de l’importateur de données et de tout sous-traitant ultérieur, dans la même mesure et aux mêmes conditions que celles qui s’appliqueraient à une vérification auprès de l’exportateur de données en vertu du droit applicable à la protection des données.
(3) L’importateur de données informe sans délai l’exportateur de données de l’existence de toute législation applicable à lui-même ou à un sous-traitant ultérieur qui ferait obstacle à une vérification auprès de l’importateur de données ou de tout sous-traitant ultérieur en application du paragraphe (b). Dans ce cas, l’exportateur de données a le droit de prendre les mesures prévues à la Clause 5(b).

Clause 9

Droit applicable

Les Clauses sont régies par le droit du pays où l’exportateur de données est établi.

Clause 10

Modification du contrat

Les parties s’engagent à ne pas modifier les Clauses. Cela n’empêche pas les parties d’ajouter, si nécessaire, des clauses relatives à des questions commerciales, pour autant qu’elles ne contredisent pas les Clauses.

Clause 11

Sous-traitance ultérieure

(1) L’importateur de données ne sous-traite aucune des opérations de traitement qu’il effectue pour le compte de l’exportateur de données en vertu des Clauses sans l’accord écrit préalable de l’exportateur de données. Lorsque l’importateur de données sous-traite, avec l’accord de l’exportateur de données, les obligations qui lui incombent en vertu des Clauses, il ne peut le faire qu’au moyen d’un contrat écrit conclu avec le sous-traitant ultérieur, imposant à celui-ci les mêmes obligations que celles qui incombent à l’importateur de données en vertu des Clauses. Si le sous-traitant ultérieur manque aux obligations en matière de protection des données qui lui incombent en vertu de ce contrat écrit, l’importateur de données demeure pleinement responsable envers l’exportateur de données de l’exécution de ces obligations par le sous-traitant ultérieur.
(2) Le contrat écrit préalable entre l’importateur de données et le sous-traitant ultérieur prévoit également une clause du tiers bénéficiaire telle qu’énoncée à la Clause 3, pour les cas où la personne concernée ne peut intenter l’action en réparation visée au paragraphe (1) de la Clause 6 contre l’exportateur de données ou l’importateur de données parce que ceux-ci ont matériellement disparu, ont cessé d’exister en droit ou sont devenus insolvables, et qu’aucune entité qui leur succède n’a repris, par contrat ou par effet de la loi, l’ensemble des obligations juridiques de l’exportateur de données ou de l’importateur de données. Cette responsabilité du sous-traitant ultérieur envers les tiers est limitée à ses propres opérations de traitement effectuées en vertu des Clauses.
(3) Les dispositions du contrat visé au paragraphe (1) relatives aux aspects de la sous-traitance ultérieure touchant à la protection des données sont régies par le droit du pays où l’exportateur de données est établi.
(4) L’exportateur de données tient une liste des contrats de sous-traitance ultérieure conclus en vertu des Clauses et notifiés par l’importateur de données en application de la Clause 5(j), qu’il met à jour au moins une fois par an. Cette liste est tenue à la disposition de l’autorité de contrôle de la protection des données dont relève l’exportateur de données.

Clause 12

Obligations au terme des services de traitement des données à caractère personnel

(1) Les parties conviennent qu’au terme de la prestation des services de traitement des données, l’importateur de données et le sous-traitant ultérieur, au choix de l’exportateur de données, restituent à celui-ci l’ensemble des données à caractère personnel transférées ainsi que leurs copies, ou détruisent l’ensemble des données à caractère personnel et lui certifient l’avoir fait, à moins que la législation applicable à l’importateur de données ne l’empêche de restituer ou de détruire tout ou partie des données à caractère personnel transférées. Dans ce cas, l’importateur de données garantit qu’il assurera la confidentialité des données à caractère personnel transférées et qu’il ne les traitera plus activement.
(2) L’importateur de données et le sous-traitant ultérieur garantissent qu’à la demande de l’exportateur de données et/ou de l’autorité de contrôle, ils soumettront leurs moyens de traitement de données à une vérification des mesures visées au paragraphe (1).

APPENDICE 1 AUX CLAUSES CONTRACTUELLES TYPES

Le présent appendice fait partie intégrante des Clauses et doit être complété et signé par les parties.

Les États membres et la Suisse peuvent compléter ou préciser, selon leurs procédures nationales, toute information supplémentaire nécessaire devant figurer dans le présent appendice.

Exportateur de données

L’exportateur de données est : <CLIENT>

Importateur de données

L’importateur de données est : <CLIENT ou MinMax, selon le cas>

[le cas échéant :] Sous-traitant ultérieur

Le sous-traitant ultérieur est : MinMax, Inc.

Personnes concernées

Les données à caractère personnel transférées concernent les catégories de personnes concernées suivantes : salariés, clients, fournisseurs et prestataires du Client

Catégories de Données à caractère personnel

Les Données à caractère personnel transférées concernent les catégories de données suivantes : nom, coordonnées (adresse électronique) et pays de localisation

Catégories particulières de Données à caractère personnel

Les données à caractère personnel transférées concernent les catégories particulières de données suivantes (à préciser) : aucune

Opérations de traitement

Les données à caractère personnel transférées feront l’objet des activités de traitement de base suivantes : services et ressources permettant aux entreprises de créer, de lancer, d’exploiter et de gérer des programmes de récompenses

Juridiction compétente

Les parties conviennent que tous les litiges nés des présentes clauses contractuelles types ou s’y rapportant relèvent de la compétence exclusive des juridictions de Londres (Royaume-Uni), sauf si la loi impose une autre juridiction exclusivement compétente.

APPENDICE 2 AUX CLAUSES CONTRACTUELLES TYPES