AVENANT RELATIF À LA PROTECTION DE LA VIE PRIVÉE ET À LA SÉCURITÉ DES DONNÉES

Annexé aux
Conditions de service Entreprise

Cette traduction est fournie à titre indicatif uniquement ; en cas de divergence, la version anglaise prévaut.

1. Données personnelles concernées.

1.1 Personnes concernées. Les Personnes concernées dont les Données personnelles sont susceptibles d’être Traitées peuvent comprendre les salariés, les clients et/ou les Utilisateurs finaux du Client.
1.2 Catégories de données. Les Données personnelles susceptibles d’être Traitées peuvent comprendre, pour les Utilisateurs finaux, le nom, l’adresse électronique ou postale et l’adresse IP. Lorsqu’une personne physique accède au compte du Client auprès de MinMax, ces éléments peuvent être complétés par son numéro de téléphone et son pays de localisation.

2. Limitation de l’utilisation des Données personnelles.

MinMax ne Traite les Données personnelles du Client que dans la mesure nécessaire à la fourniture des Services demandés et conformément aux instructions du Client. MinMax s’interdit de Traiter les Données personnelles du Client à toute autre fin, sauf autorisation expresse et écrite du Client.

3. Respect de la législation.

Dans le cadre du traitement des Données personnelles du Client, MinMax se conforme à l’ensemble des lois applicables des États-Unis ainsi qu’aux lois, règles et réglementations des pays concernés qui s’appliquent à l’exécution du Contrat par MinMax, y compris, sans s’y limiter, celles relatives au Traitement des Données personnelles (la « Législation applicable »).

4. Information et consentement.

Il est entendu et convenu que MinMax ne collecte pas et ne collectera pas elle-même de Données personnelles au titre du présent Contrat. Toute Donnée personnelle collectée au titre du présent Contrat l’est par le Client. Dans le cadre du présent Contrat, MinMax agit exclusivement en qualité de « sous-traitant » au sens de la réglementation sur la protection des données. En conséquence, le Client déclare et garantit à MinMax que, pour toutes les Données personnelles communiquées à MinMax au titre du présent Contrat en lien avec les Services de MinMax, il a (i) fourni à chaque personne physique une information sur la collecte de ses données conforme aux exigences légales et (ii) obtenu le consentement de cette personne à l’utilisation de ses Données personnelles.

5. Personnel de MinMax

5.1
MinMax prend toutes les mesures raisonnables pour s’assurer de la fiabilité de ses salariés et des autres membres de son personnel ayant accès aux Données personnelles, notamment en procédant aux vérifications d’antécédents et/ou contrôles appropriés. Avant toute embauche, MinMax procède aux vérifications d’antécédents suivantes :
- Vérification du numéro de sécurité sociale américain (SSN)
- Vérification des listes de personnes faisant l’objet de restrictions
- Historique des adresses
- Consultation du registre national des délinquants sexuels
- Recherche nationale d’antécédents judiciaires
5.2
MinMax limite l’accès aux Données personnelles du Client aux seuls salariés qui en ont besoin pour l’exercice de leurs fonctions et veille à ce que ces salariés :
1. 5.2.1 accèdent aux Données personnelles au moyen d’une authentification individuelle et de procédures de connexion sécurisées ;
2. 5.2.2 se soient engagés par écrit, en signant leur contrat de travail, à protéger la confidentialité et la sécurité de l’ensemble des Informations confidentielles de la Société, dont les parties conviennent qu’elles comprennent les Données personnelles communiquées au titre du présent Contrat ; et
3. 5.2.3 aient reçu une formation appropriée sur le traitement des Données personnelles du Client et sur la Législation applicable, leur permettant de respecter les stipulations du présent Avenant.

6. Sous-traitants ultérieurs et autres tiers

6.1 MinMax ne peut sous-traiter les obligations qui lui incombent au titre du présent Avenant sans l’accord écrit préalable du Client. Lorsque le Client autorise MinMax à recourir à des sous-traitants ultérieurs, MinMax y recourt conformément au présent article.
6.2
Lorsqu’elle est autorisée à recourir à des sous-traitants ultérieurs, MinMax s’engage, lors de leur sélection et pendant toute la durée de leur intervention, à :
1. 6.2.1 procéder à des vérifications préalables appropriées à l’égard de chaque sous-traitant ultérieur afin de s’assurer qu’il est en mesure d’offrir aux Données personnelles du Client le niveau de protection exigé par le Contrat, y compris le présent Avenant, et en fournir la preuve au Client sur demande ;
2. 6.2.2 conclure avec chaque sous-traitant ultérieur un contrat écrit comportant des stipulations qui assurent aux Données personnelles une protection au moins équivalente à celle qui résulte des exigences et obligations prévues par le présent Avenant ; et
3. 6.2.3 demeurer responsable de l’ensemble des actes et/ou omissions du sous-traitant ultérieur.

7. Demandes d’accès et autres demandes

7.1 Sauf interdiction légale, MinMax informe le Client de toute demande ou réclamation relative à des Données personnelles du Client dans les meilleurs délais raisonnablement possibles et, en tout état de cause, dans un délai de trois (3) jours ouvrés à compter de sa réception. Sous réserve de la phrase qui précède, MinMax ne répond à aucune demande d’accès aux Données personnelles sans l’autorisation expresse et écrite du Client, sauf si la Législation applicable lui impose d’y répondre directement. Si la Législation applicable lui impose une telle obligation, MinMax en informe le Client lors de la notification initiale et déploie des efforts commercialement raisonnables pour tenir compte des demandes raisonnables du Client dans sa réponse.
7.2 Sauf obligation légale, MinMax ne communique aucune Donnée personnelle à un tiers sans l’accord écrit préalable du Client. Lorsque la loi exige une communication ou un transfert de Données personnelles, MinMax, à moins que, selon l’avis de son conseil juridique, cela ne lui soit par ailleurs interdit, en informe le Client et coopère pleinement avec lui dans toute démarche engagée par le Client pour intervenir et faire annuler ou limiter ces demandes, ou pour répondre à une autorité publique au sujet des Données personnelles que MinMax traite au titre du présent Avenant. Si MinMax est légalement tenue de répondre à une Demande d’une autorité publique et que la loi lui en laisse la possibilité, MinMax ne communique, après consultation du Client, que le minimum de Données personnelles nécessaire pour se conformer à la loi ou à la procédure judiciaire.
7.3 MinMax rectifie et/ou supprime les Données personnelles sur instruction du Client, étant toutefois entendu que MinMax est en droit de conserver, et conserve dans tous les cas, les Données personnelles nécessaires pour satisfaire à ses obligations réglementaires, conserver ses archives à des fins d’audit financier ou répondre à des exigences légales similaires.

8. Confidentialité.

Toutes les Données personnelles sont traitées comme des données confidentielles, conformément aux stipulations du Contrat relatives à la confidentialité ainsi qu’aux présentes. Si MinMax conserve des Données personnelles après la cessation du Contrat ou du présent Avenant, les obligations de MinMax au titre du présent Avenant demeurent en vigueur aussi longtemps que ces Données personnelles sont conservées.

9. Sécurité.

MinMax met en œuvre toutes les mesures techniques, physiques, administratives et organisationnelles appropriées pour protéger les Données personnelles contre le vol, l’acquisition, l’accès ou le traitement non autorisés ou illicites, ainsi que contre la perte, la destruction, l’altération ou l’endommagement accidentels, et respecte toute autre exigence minimale de sécurité prévue par la Législation applicable. MinMax veille à ce que ces mesures soient adaptées à la nature des données et au préjudice susceptible de résulter d’une acquisition, d’un accès ou d’un traitement non autorisés ou illicites, ou d’une perte, d’une destruction, d’une altération ou d’un endommagement accidentels des Données personnelles.

9.1 MinMax met en œuvre un programme formel de sensibilisation à la sécurité qui forme l’ensemble des salariés et prestataires à l’importance de la sécurité de l’information et qui prévoit en outre une formation complémentaire spécifique pour certains salariés et prestataires de la Société, en fonction de leur poste.
9.2 Une formation générale de sensibilisation à la sécurité est dispensée à tous les salariés lors de leur embauche, puis chaque année. Cette formation comprend la remise et l’examen de la Politique de sécurité de l’information de MinMax .Tous les participants doivent attester chaque année avoir pris connaissance de la Politique de sécurité de l’information. Les personnes qui ne suivent pas la formation ne sont pas habilitées à utiliser les ressources de l’entreprise ni à manipuler des informations sensibles de quelque nature que ce soit.
9.3 Données publiques – Les données électroniques que MinMax partage volontairement avec le public dans le cours normal de ses activités sont classées comme données publiques. Elles ne nécessitent aucune procédure particulière de manipulation ou de destruction. Constituent notamment des données publiques le contenu du site web, les supports marketing et les communications externes sur les réseaux sociaux.
9.4
Données classifiées – Les données électroniques ou documents papier dont la divulgation pourrait porter préjudice à MinMax sont classés comme données confidentielles. Constituent notamment des données confidentielles les informations financières de l’entreprise, les courriels internes, les feuilles de route produits, le détail des contrats conclus avec les partenaires, l’inventaire des produits et le code source propriétaire.
MinMax n’accorde l’accès aux données confidentielles qu’aux salariés justifiant d’un motif professionnel légitime. Tous les salariés doivent protéger les données confidentielles de MinMax en respectant les exigences de stockage et d’élimination décrites dans le présent document.
9.5
Données d’identification personnelle (PII) – Les PII constituent une catégorie particulière de données confidentielles permettant d’identifier individuellement des clients ou des salariés. Constituent notamment des PII les noms, les adresses postales et électroniques ainsi que, s’agissant de nos Clients, les numéros de téléphone et les informations de paiement figurant dans le compte du Client.
MinMax prend des mesures pour réduire au minimum la quantité de PII qu’elle conserve et n’en accorde l’accès qu’aux salariés justifiant d’un motif légitime. Tous les salariés doivent protéger les PII des Clients en respectant les exigences de stockage et d’élimination décrites dans la Politique de sécurité de Tango Card.
9.6
Données des titulaires de carte – Les données des titulaires de carte constituent une catégorie particulière de données confidentielles, qui comprend le numéro de compte principal (PAN) et les cryptogrammes visuels (CVV2) associés aux cartes de crédit des Clients. Les ordinateurs et réseaux sur lesquels MinMax stocke des données de titulaires de carte relèvent automatiquement du champ d’application de la norme de sécurité des données de l’industrie des cartes de paiement (PCI-DSS).
MinMax (i) réduit au minimum la quantité de données de titulaires de carte qu’elle stocke, (ii) ne stocke jamais les cryptogrammes visuels après autorisation et (iii) supprime les informations de titulaires de carte devenues inutiles après autorisation. Ces données bénéficient en outre de notre plus haut niveau de contrôles de sécurité.
Tous les salariés de MinMax doivent connaître les exigences de stockage, de manipulation et de destruction applicables aux données des titulaires de carte.

10. Chiffrement.

10.1 Sauf en cas de transmission sur un réseau sécurisé, MinMax chiffre l’ensemble des enregistrements et fichiers contenant des Données personnelles, en transit comme au repos, notamment lorsque les Données personnelles transitent par des réseaux publics, sont transmises sans fil, sont transportées sur un dispositif de stockage tel qu’un équipement informatique, ou sont de toute autre manière transmises au-delà du périmètre de contrôle logique ou physique du réseau de MinMax.
10.2 MinMax chiffre l’ensemble des enregistrements et fichiers contenant des Données personnelles stockés sur tout support amovible, y compris, sans s’y limiter, les ordinateurs portables, les appareils mobiles et les clés USB. Le Client reconnaît et accepte que l’obligation de MinMax qui précède est subordonnée à la condition que le Client n’utilise en aucun cas le courrier électronique pour transmettre des Données personnelles à MinMax.
10.3 MinMax utilise une technologie de chiffrement à jour, adoptée par un organisme de normalisation reconnu (par exemple les Federal Information Processing Standards publiées par le National Institute of Standards and Technology), qui rend ces données indéchiffrables en l’absence des clés cryptographiques nécessaires à leur déchiffrement.

11. Audits

11.1 Droit d’audit. Sous réserve des stipulations du présent paragraphe, le Client peut, moyennant un préavis d’au moins trente (30) jours, demander à réaliser un audit de sécurité complet, comprenant notamment des tests d’intrusion ou de vulnérabilité du réseau et des systèmes de MinMax, y compris ceux de tout Sous-traitant ultérieur, afin d’identifier les points forts et les points faibles des dispositifs de sécurité existants et de vérifier le respect par MinMax de ses obligations au titre du présent Avenant ainsi que la conformité globale de MinMax au présent Avenant. Un tel audit est réalisé entièrement aux frais du Client et ne doit perturber aucune des activités courantes de MinMax. Les constatations et/ou rapports issus d’un tel audit sont communiqués intégralement à MinMax en même temps qu’au Client et sont également réputés constituer des Informations confidentielles de MinMax. À toutes fins utiles, MinMax peut communiquer ces constatations ou rapports à tout tiers de son choix, alors que le Client ne peut les communiquer à aucun autre tiers. Lorsque MinMax mandate un auditeur tiers pour réaliser un audit SSAE 16 (ou selon toute norme qui lui succède) ou tout autre audit de sécurité portant sur tout ou partie de ses activités, de son programme de sécurité de l’information et de son plan de reprise après sinistre/continuité d’activité, MinMax peut choisir de communiquer au Client les conclusions de ces évaluations ou examens de sécurité. Si MinMax mandate un auditeur tiers pour réaliser un tel audit et choisit d’en communiquer les conclusions, le Client ne dispose pas, au cours des douze mois suivants, d’un droit distinct d’auditer également MinMax, à condition que MinMax confirme au Client avoir examiné les résultats et pris, le cas échéant, les mesures appropriées.
11.2 Problèmes de sécurité. Si un audit révèle un manquement à l’une quelconque des exigences prévues par le Contrat ou une vulnérabilité susceptible de compromettre les Données personnelles, MinMax en informe le Client par écrit dans les plus brefs délais. Dans un délai de dix (10) jours ouvrés suivant cette notification, MinMax ou le Sous-traitant ultérieur (selon le cas) remédie au problème ou soumet au Client un plan et un calendrier de correction acceptables. MinMax ou le Sous-traitant ultérieur (selon le cas) prend en charge l’ensemble des coûts raisonnables des nouveaux tests de contrôle destinés à vérifier qu’il a été remédié au problème.

12. Violation de données.

12.1
Si MinMax subit une Violation de données (telle que définie à l’article 18 ci-dessous), elle en informe le Client dans les meilleurs délais après sa découverte. MinMax s’engage à :
1. 12.1.1 enquêter sur la Violation de données et remédier à ses effets et, si le Client le demande expressément par écrit et que le conseil juridique de MinMax estime cette notification obligatoire, notifier la Violation de données aux Personnes concernées et/ou aux autorités de contrôle ;
2. 12.1.2 fournir au Client des assurances raisonnablement satisfaisantes pour celui-ci que cette Violation de données ne se reproduira pas.
12.2 Le Client a le droit de participer à toute enquête de sécurité relative à la Violation de données. Si la Violation de données est manifestement imputable à MinMax, MinMax prend en charge les frais et les dommages directs subis par le Client (y compris toute amende infligée par une autorité de régulation) liés à la Violation de données, notamment, sans que cette liste soit limitative, les coûts : (1) de notification de la Violation de données aux personnes touchées ainsi qu’aux autorités de régulation étatiques, fédérales et/ou étrangères ; et (2) de remédiation à la Violation de données.

13. Restitution des Données personnelles.

À l’expiration du Contrat, ou plus tôt à la demande du Client ou après l’exécution des Services demandés, MinMax restitue immédiatement au Client et/ou, à la demande de celui-ci, détruit de manière sécurisée l’ensemble des Données personnelles du Client, sous forme électronique ou papier, qui se trouvent en sa possession, sous sa garde ou sous son contrôle, ou en la possession, sous la garde ou sous le contrôle de tout Sous-traitant ultérieur. Sous réserve de la phrase suivante, si le Client demande la destruction, MinMax lui adresse, dans un délai de soixante (60) jours calendaires à compter de cette demande (sauf délai plus court imposé par la Législation applicable), un certificat de destruction écrit. Si la nécessité pour MinMax de conserver les données requises pour satisfaire à ses obligations réglementaires ou à des fins d’audit financier ne lui permet pas de détruire tout ou partie des Données personnelles, ou entraverait sensiblement cette destruction, MinMax garantit qu’elle assurera la stricte confidentialité des Données personnelles conservées et qu’elle ne Traitera plus aucune Donnée personnelle du Client, ou pour le compte de celui-ci, après la cessation du Contrat, étant entendu que les Données personnelles ainsi conservées demeurent soumises aux stipulations du présent Avenant.

14. Données et transferts internationaux

14.1 MinMax s’interdit de traiter ou de transférer des Données personnelles au-delà des frontières nationales, et d’autoriser un Sous-traitant ultérieur à les Traiter ou à les transférer, sans l’accord écrit préalable du Client.
14.2 À la demande du Client, MinMax déploie des efforts commercialement raisonnables pour conclure avec le Client, préalablement à tout transfert ou Traitement international de Données personnelles et dans le cadre de celui-ci, des accords de transfert de données ou des clauses contractuelles mutuellement convenus, tels que ceux prévus par le CONTRAT DE TRANSFERT DE DONNÉES UE (les clauses contractuelles types approuvées par l’UE pour le transfert international de Données personnelles) ou, le cas échéant, les clauses contractuelles exigées par d’autres pays pour les transferts internationaux de données personnelles. À toutes fins utiles, aucune stipulation des présentes n’oblige MinMax à accepter les modifications de ces clauses ou accords que le Client pourrait proposer.

15. Indemnisation et responsabilité

15.1 Indemnisation. MinMax s’engage à indemniser, défendre et garantir le Client et/ou les Sociétés affiliées du Client concernées contre tous dommages réels et directs liés à une Violation de données.
15.2 Recours. Les obligations d’indemnisation de MinMax au titre de l’article 15.1 s’ajoutent à toute obligation d’indemnisation ou obligation similaire de MinMax au titre du Contrat, y compris, sans s’y limiter, l’obligation de prendre en charge les mesures de remédiation prévues à l’article 12. Les droits et recours du Client au titre du présent Avenant ne sont soumis à aucune limitation du délai pour agir, clause d’arbitrage ou autre clause limitative similaire prévue par le Contrat. Sans préjudice de ce qui précède : (i) la responsabilité de MinMax n’est soumise à aucune limitation pour les dommages directs et réels découlant du présent Avenant ou se rapportant de toute autre manière à la protection de la vie privée, à la sécurité, à l’intégrité ou à la confidentialité des Données personnelles, (ii) rien n’empêche le Client d’exercer immédiatement tout droit ou recours dont il dispose au titre du présent Avenant ou en lien avec celui-ci, et (iii) MinMax est tenue de l’ensemble des obligations d’indemnisation prévues à l’article 15.

16. Qualité des données.

Lorsque des Données personnelles du Client sont en la possession de MinMax, et dans la mesure exigée par la Législation applicable, MinMax préserve l’exactitude et l’intégrité des Données personnelles et, lorsque les Services l’exigent ou sur instruction du Client, met à jour, modifie et rectifie les Données personnelles inexactes ou incomplètes.

17. Tiers bénéficiaires

17.1 Sous réserve de l’article 17.2, aucune stipulation du présent Avenant ne confère d’avantages ou de droits à une personne ou entité autre que les parties au présent Avenant.
17.2 À condition que le Client ait préalablement communiqué par écrit à MinMax l’identité et les coordonnées de ses Sociétés affiliées, lorsque les Services comprennent le Traitement, par MinMax ou pour son compte, de Données personnelles de Sociétés affiliées du Client, chacune de ces Sociétés affiliées du Client peut, en qualité de tiers bénéficiaire, se prévaloir des stipulations du présent Avenant à l’encontre de MinMax en ce qui concerne ses Données personnelles, comme si elle était partie au présent Avenant et au Contrat.

18. Définitions

Dans le présent Avenant, les termes commençant par une majuscule ont le sens qui leur est attribué ci-dessous. Les termes commençant par une majuscule qui ne sont définis ni ci-dessous ni ailleurs dans le présent Avenant ont le sens qui leur est attribué dans le Contrat :

« Société affiliée » désigne, à l’égard d’une partie, toute entité qui, directement ou indirectement, contrôle cette partie, est contrôlée par elle et/ou est placée sous un contrôle commun avec elle.

« Données personnelles » désigne toute information communiquée à MinMax par le Client (ou par une Société affiliée du Client) se rapportant à une personne identifiée ou identifiable, c’est-à-dire une personne qui peut être identifiée, directement ou indirectement (y compris par combinaison avec d’autres informations), étant précisé que cette information doit être exigée ou demandée par MinMax pour fournir ses Services au Client ou aux Sociétés affiliées du Client. Au titre du présent Contrat, les Données personnelles ne comprennent que les informations relevant de la définition donnée par toute Législation applicable aux données personnelles, aux informations personnelles et/ou aux informations d’identification personnelle si, et seulement si MinMax exige et demande ces informations pour effectuer son Traitement des données. Par conséquent, et à toutes fins utiles, si le Client (ou ses Sociétés affiliées) communique à MinMax des données supplémentaires susceptibles de relever de la définition des Données personnelles au sens de la Législation applicable, mais qui ne sont ni demandées ni exigées par MinMax pour fournir les Services, MinMax prendra toutes les mesures commercialement raisonnables pour protéger ces informations, mais ces informations superflues ne seront soumises ni (a) aux responsabilités et obligations d’indemnisation prévues à l’article 15, ni (b) à une quelconque obligation de mise à jour, de rectification ou de modification de ces données superflues.

« Violation de données » désigne tout accès, toute acquisition ou tout Traitement non autorisé et/ou illicite, avéré ou suspecté, de Données personnelles, sous forme électronique ou papier, alors qu’elles se trouvent en la possession de MinMax.

« Traiter » désigne toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des Données personnelles, telles que la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, le verrouillage, la restitution ou la destruction ; les termes « Traité », « Traitement » et leurs dérivés s’interprètent en conséquence.

« Mesures de sécurité » désigne les mesures administratives, techniques et physiques de protection de la vie privée et de sécurité, proportionnées aux Données personnelles Traitées par MinMax dans le cadre de la fourniture des Services et conformes aux lois applicables, visant à protéger les Données personnelles contre le vol, la perte et tout accès ou traitement non autorisé, y compris, sans s’y limiter, les mesures destinées à prévenir une Violation de données.

« Transfert » désigne le déplacement de Données personnelles d’un lieu ou d’une personne vers un autre, par des moyens physiques ou électroniques, ainsi que l’octroi de l’accès à des Données personnelles d’un lieu ou d’une personne à un autre, par des moyens physiques ou électroniques ; les termes « transféré », « transférer » et leurs dérivés s’interprètent en conséquence.