Plusmo est un prestataire de services informatiques ayant développé une gamme de services permettant à une entreprise de vérifier ou de confirmer l’identité de l’un de ses clients ou prospects personnes physiques, dans le cadre d’opérations réalisées en ligne par ce client ou prospect avec ladite entreprise.
Cette vérification ou confirmation d’identité, qui contribue à la lutte contre la fraude pour l’entreprise ayant souscrit à ce service, est effectuée par l’interrogation des opérateurs de téléphonie mobile concernant les données qu’ils détiennent relatives au client ou prospect de l’entreprise.
Le Client a souscrit à un ou plusieurs des services de vérification ou de confirmation d’identité proposés par Plusmo (ci-après le(s) « Service(s) »), détaillés dans un ou plusieurs bon(s) de commande contresigné(s) par Plusmo (ci-après le(s) « Bon(s) de Commande ») et auxquels s’appliquent les conditions générales de vente de Plusmo (ci-après les « Conditions Générales »).
Le présent accord (ci-après l’« Accord ») a pour objet, au sens et sur le fondement de l’article 28 du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, du Florida Information Protection Act (FIPA – 2014) ainsi que de la loi argentine n° 25 326 – « Ley de Protección de los Datos Personales » (2000) et de son décret 1558/2001 relatifs à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, d’encadrer l’exécution et l’organisation des traitements de données à caractère personnel réalisés par Plusmo, en sa qualité de sous-traitant, dans le cadre de l’exécution des Services, pour le compte du Client agissant en qualité de responsable du traitement.
Lors de la validation d’un Bon de Commande par Plusmo, incluant une Annexe spécifique au(x) traitement(s) de données personnelles mis en œuvre dans le cadre des Services souscrits par le Client (ci-après l’« Annexe »), le présent Accord ainsi que ladite Annexe lieront Plusmo et le Client conjointement avec les Conditions Générales et toutes conditions particulières convenues entre Plusmo et le Client relatives aux Services visés dans le Bon de Commande (ci-après le « Contrat »).
En cas de contradiction entre certaines stipulations du présent Accord et certaines stipulations contenues dans les Conditions Générales ou dans les conditions particulières applicables au traitement des données personnelles, le présent Accord prévaudra.
Le présent Accord remplace et annule tout accord, contrat, engagement, compréhension ou acte oral et/ou écrit pouvant avoir été conclu antérieurement entre les Parties concernant le même objet.
Les termes commençant par une majuscule utilisés dans le présent Accord et qui ne sont pas spécifiquement définis dans celui-ci sont définis dans les Conditions Générales.
« Données Personnelles » : toute information se rapportant à une personne physique identifiée ou identifiable.
« Instruction » : toute instruction écrite et/ou tout document écrit émis par le Responsable du traitement déterminant les conditions du Traitement mis en œuvre par le Sous-traitant pour le compte du Responsable du traitement dans le cadre de l’exécution des Services.
« Réglementation relative aux Données Personnelles » : le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des Données Personnelles et à la libre circulation de ces données, ainsi que toute législation ou réglementation relative à la protection des Données Personnelles applicable sur le territoire des États-Unis ou de l’Argentine aux Traitements réalisés en application du présent Accord, y compris la loi argentine n° 25 326 – « Ley de Protección de los Datos Personales » (2000) et son décret 1558/2001.
« Personne concernée » : une personne physique identifiée ou identifiable, c’est-à-dire une personne physique pouvant être identifiée, directement ou indirectement, notamment par référence à un identifiant tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale.
« Responsable du traitement » : la personne physique ou morale, le service ou tout autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du Traitement. Aux fins du présent Accord, le Responsable du traitement est le Client.
« RGPD » : le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des Données Personnelles et à la libre circulation de ces données, ainsi que le Florida Information Protection Act (FIPA – 2014).
« Sous-traitant » : la personne physique ou morale, le service ou tout autre organisme qui traite des Données Personnelles pour le compte du Responsable du traitement. Aux fins du présent Accord, le Sous-traitant est Plusmo.
« Sous-traitant ultérieur » : la personne physique ou morale, le service ou tout autre organisme recruté par le Sous-traitant afin de réaliser des activités spécifiques de Traitement pour le compte du Responsable du traitement.
« Traitement » : toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou ensembles de Données Personnelles, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction.
Dans le cadre du présent Accord, le Traitement réalisé par le Sous-traitant pour le compte du Responsable du traitement dans le cadre de l’exécution des Services est spécifiquement déterminé dans l’Annexe au Bon de Commande relative auxdits Services.
« Violation de Données Personnelles » : une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de Données Personnelles transmises, conservées ou traitées d’une autre manière, ou l’accès non autorisé à de telles données.
Par le présent Accord, le Responsable du traitement autorise le Sous-traitant à traiter des Données Personnelles pour son compte, dans le seul but d’exécuter les Services et conformément aux Instructions du Responsable du traitement ainsi qu’à l’Annexe du Bon de Commande concerné par les Services.
Le Client reconnaît qu’à la date de validation d’un Bon de Commande par Plusmo, le présent Accord ainsi que l’Annexe du Bon de Commande concerné constituent l’intégralité des Instructions données au Sous-traitant, en vertu desquelles celui-ci réalise les Traitements pour le compte du Responsable du traitement dans le cadre de l’exécution des Services visés au Bon de Commande.
Toute modification des Instructions ou ajout de nouvelles Instructions pendant l’exécution des Services devra faire l’objet d’un document écrit émanant du Responsable du traitement et sera soumis à l’accord écrit du Sous-traitant.
L’objet, la finalité, la durée et la nature des Traitements réalisés par le Sous-traitant pour le compte du Responsable du traitement dans le cadre de l’exécution des Services sont déterminés dans l’Annexe au Bon de Commande concerné par les Services.
Le Client reconnaît que l’objet, la finalité, la durée et la nature des Traitements définis dans ladite Annexe sont conformes à ses besoins et à ses Instructions pour l’exécution des Services.
Les catégories de Personnes concernées par les Traitements ainsi que les catégories de Données Personnelles impliquées dans les Traitements sont décrites dans l’Annexe au Bon de Commande concerné par le(s) Service(s) dans le cadre duquel/desquels le Traitement est mis en œuvre.
Les Données Personnelles sont contrôlées et fournies au Sous-traitant exclusivement par le Client.
Le Client reconnaît que les catégories de Personnes concernées et les catégories de Données Personnelles définies dans l’Annexe au Bon de Commande relatif au(x) Service(s) dans le cadre duquel/desquels le Traitement est mis en œuvre sont conformes à ses Instructions pour l’exécution des Services.
Les mesures techniques et organisationnelles mises en œuvre par le Sous-traitant dans le cadre des Traitements sont définies dans l’Annexe au Bon de Commande relatif au(x) Service(s) dans le cadre duquel/desquels le Traitement est mis en œuvre.
Le Client reconnaît que les mesures techniques et organisationnelles définies dans l’Annexe susmentionnée sont conformes à ses exigences pour l’exécution des Services.
Le Sous-traitant s’engage à traiter les Données Personnelles dans le cadre des Traitements uniquement sur instruction documentée du Responsable du traitement, sauf s’il y est tenu en vertu du droit de l’Union européenne ou du droit applicable en France.
Dans ce cas, le Sous-traitant informera le Responsable du traitement de cette obligation légale avant le Traitement, sauf si la loi interdit une telle information pour des motifs importants d’intérêt public.
Le Responsable du traitement reconnaît expressément que le Sous-traitant n’est pas tenu par des Instructions qui violeraient la Réglementation relative aux Données Personnelles.
Si, selon l’avis du Sous-traitant, une Instruction donnée par le Responsable du traitement constitue une violation de la Réglementation relative aux Données Personnelles, le Sous-traitant en informera immédiatement le Responsable du traitement.
Le Sous-traitant ne pourra en aucun cas être tenu responsable de toute perte ou dommage résultant de son respect des Instructions.
Le Sous-traitant s’engage à tenir un registre des catégories d’activités de traitement effectuées pour le compte du Responsable du traitement, conformément aux obligations prévues à l’article 30.2 du RGPD.
Le Sous-traitant s’engage à mettre en œuvre, pendant toute la durée des Traitements, des mesures techniques et organisationnelles destinées à assurer la sécurité des Données Personnelles, telles que listées dans l’Annexe au Bon de Commande concerné.
Ces mesures visent notamment à prévenir toute déformation, altération, détérioration, destruction accidentelle ou illicite, perte, divulgation et/ou accès par des tiers non autorisés aux Données Personnelles.
Le Sous-traitant est responsable de la sécurité des Données Personnelles pour les aspects relevant de son contrôle et, le cas échéant, de celui de ses Sous-traitants ultérieurs.
Le Sous-traitant pourra mettre à jour les mesures de sécurité en fonction des évolutions de la Réglementation relative aux Données Personnelles, ainsi que des codes de conduite approuvés et/ou des certifications approuvées susceptibles d’être publiés par la CNIL ou par les autorités européennes compétentes.
Le Sous-traitant informera le Responsable du traitement de ces mises à jour de sécurité.
Le Sous-traitant s’engage à n’autoriser l’accès aux Données Personnelles mises en œuvre dans les Traitements qu’aux membres de son personnel ainsi qu’aux éventuels Sous-traitants ultérieurs nécessitant cet accès pour l’exécution de leurs missions liées à la réalisation des Traitements ou à l’exécution, la gestion et le suivi du présent Accord.
Le Sous-traitant veillera à ce que les personnes autorisées à traiter les Données Personnelles s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.
Le Responsable du traitement demeure seul responsable de la réalisation des analyses d’impact prévues à l’article 35 du RGPD concernant la protection des Données Personnelles mises en œuvre dans le cadre des Traitements.
Toutefois, le Sous-traitant s’engage à fournir au Responsable du traitement, à la demande de ce dernier, les informations nécessaires à la réalisation d’une analyse d’impact relative à la protection des Données Personnelles mises en œuvre dans le cadre des Traitements.
Dans l’hypothèse où une analyse d’impact relative à la protection des Données Personnelles mises en œuvre dans le cadre des Traitements indiquerait que le Traitement présenterait un risque élevé si le Responsable du traitement ne prenait pas de mesures pour atténuer ce risque, le Sous-traitant s’engage à assister le Responsable du traitement dans l’accomplissement de son obligation de consultation préalable de l’autorité de contrôle compétente avant le Traitement.
Le Responsable du traitement demeure seul responsable du traitement et du respect de toute demande formulée par une Personne concernée concernant l’exercice de ses droits.
Toutefois, le Sous-traitant assistera le Responsable du traitement, à la demande de ce dernier, dans l’accomplissement de cette obligation de réponse aux demandes des Personnes concernées, compte tenu de la nature des Traitements.
Dans l’hypothèse où le Sous-traitant recevrait une demande d’une Personne concernée visant à exercer ses droits, le Sous-traitant en informera sans délai le Responsable du traitement, sans agir lui-même sur cette demande, et orientera la Personne concernée vers le Responsable du traitement.
Le Responsable du traitement demeure seul responsable de s’assurer que les Données Personnelles mises en œuvre dans le cadre des Traitements sont exactes et à jour.
Toutefois, le Sous-traitant informera sans délai le Responsable du traitement dans le cas où il apprendrait que les Données Personnelles mises en œuvre dans les Traitements sont inexactes ou devenues obsolètes.
Conformément à la Réglementation relative aux Données Personnelles, le Responsable du traitement et le Sous-traitant coopéreront avec toute autorité de contrôle compétente, à la demande de cette dernière, dans l’exécution de sa mission.
Ils mettront à la disposition de cette autorité compétente, dès que celle-ci en fera la demande, toute information pouvant être requise, y compris les résultats de tout audit.
Le Sous-traitant s’engage à maintenir un personnel dédié au traitement des demandes du Responsable du traitement intervenant pendant la durée des Traitements, lequel sera joignable aux coordonnées précisées dans l’Annexe au Bon de Commande.
En cas de Violation de Données Personnelles concernant des Données Personnelles traitées par le Sous-traitant, celui-ci notifiera le Responsable du traitement dans les meilleurs délais après en avoir pris connaissance.
Cette notification devra contenir au minimum :
Lorsque, et dans la mesure où, il n’est pas possible de fournir l’ensemble des informations simultanément, la notification initiale contiendra les informations disponibles à ce moment-là et, à mesure qu’elles deviendront disponibles, les informations complémentaires seront communiquées dans les meilleurs délais.
La notification initiale, ainsi que l’envoi de toute information complémentaire le cas échéant, seront adressés au Responsable du traitement à l’adresse électronique mentionnée dans l’Annexe au Bon de Commande concerné.
Le Responsable du traitement demeure seul responsable de déterminer l’opportunité de notifier une Violation de Données Personnelles relative aux Données Personnelles traitées par le Sous-traitant à toute autorité de contrôle compétente, ainsi que de déterminer l’opportunité d’informer les Personnes concernées qui pourraient être affectées par cette violation.
Le Responsable du traitement demeure seul responsable de l’exécution de ces notifications.
Le Sous-traitant fournira au Responsable du traitement toutes les informations nécessaires afin de démontrer le respect des obligations prévues par le présent Accord et découlant directement de la Réglementation relative aux Données Personnelles.
Une fois par an pendant l’exécution de l’Accord ou en présence d’indices de non-conformité, le Responsable du traitement pourra demander un audit des activités de Traitement couvertes par le présent Accord, auquel le Sous-traitant s’engage à coopérer.
Le Responsable du traitement notifiera au Sous-traitant son intention de réaliser un audit sur site ou dans les locaux du Sous-traitant au moins quinze (15) jours avant la tenue effective de cet audit.
Le Responsable du traitement pourra réaliser lui-même l’audit ou désigner un auditeur indépendant pour le mener.
Dans le cas où un auditeur indépendant serait désigné, celui-ci devra être soumis à des obligations spécifiques de confidentialité souscrites directement auprès du Sous-traitant.
En cas d’audit dans les locaux du Sous-traitant, le Responsable du traitement, ou tout auditeur indépendant mandaté par celui-ci, devra respecter le règlement intérieur ainsi que l’organisation opérationnelle du Sous-traitant.
À l’issue d’un audit, le Responsable du traitement notifiera au Sous-traitant un rapport d’audit, auquel le Sous-traitant pourra formuler toute observation qu’il jugera utile dans un délai d’un (1) mois suivant la notification du rapport d’audit.
L’ensemble des dépenses engagées par le Responsable du traitement dans le cadre d’un audit sera supporté exclusivement par le Responsable du traitement.
Les Parties s’engagent à mettre à disposition des autorités de contrôle compétentes, dès qu’elles en feront la demande, les informations prévues au présent article, y compris tout rapport d’audit ainsi que toute observation formulée par le Sous-traitant conformément à l’article 7.3 du présent Accord.
Le Sous-traitant n’est pas autorisé à sous-traiter à un Sous-traitant ultérieur, autre que ceux mentionnés dans l’Annexe au Bon de Commande concerné, les Traitements qu’il réalise pour le compte du Responsable du traitement dans le cadre du présent Accord sans l’autorisation écrite préalable et spécifique du Responsable du traitement.
Le Sous-traitant soumettra la demande d’autorisation spécifique au moins un (1) mois avant le recrutement du Sous-traitant ultérieur concerné, accompagnée des informations nécessaires permettant au Responsable du traitement de prendre une décision concernant cette autorisation, à savoir :
La liste des Sous-traitants ultérieurs autorisés par le Responsable du traitement figure dans l’Annexe au Bon de Commande concerné, tenue à jour par les Parties.
Lorsque le Sous-traitant recrute un Sous-traitant ultérieur afin de réaliser des activités spécifiques de Traitement pour le compte du Responsable du traitement, il le fait au moyen d’un contrat imposant au Sous-traitant ultérieur, dans leur substance, les mêmes obligations relatives à la protection des Données Personnelles que celles imposées au Sous-traitant en vertu du présent Accord.
Le Sous-traitant veillera à ce que le Sous-traitant ultérieur respecte les obligations auxquelles il est lui-même soumis en vertu du présent Accord et de la Réglementation relative aux Données Personnelles.
À la demande du Responsable du traitement, le Sous-traitant fournira à ce dernier une copie du contrat conclu avec le Sous-traitant ultérieur ainsi que de tout avenant ultérieur y afférent.
Dans la mesure nécessaire à la protection des secrets d’affaires ou d’autres informations confidentielles, y compris les Données Personnelles, le Sous-traitant pourra occulter certaines parties du contrat avant d’en transmettre une copie.
Le Responsable du traitement dispose d’un délai de sept (7) jours suivant la réception de la demande d’autorisation spécifique visée à l’article 8.1 ci-dessus pour autoriser ou non le recours à un Sous-traitant ultérieur par le Sous-traitant.
En l’absence de réponse du Responsable du traitement dans le délai susmentionné de sept (7) jours, celui-ci sera réputé avoir refusé le recours du Sous-traitant à un Sous-traitant ultérieur.
En cas de refus exprès ou tacite du Responsable du traitement concernant le recours à un Sous-traitant ultérieur, le Sous-traitant pourra, à sa seule discrétion :
Le Sous-traitant demeure pleinement responsable envers le Responsable du traitement de l’exécution des obligations du Sous-traitant ultérieur au titre du présent Accord.
Le Sous-traitant informera sans délai le Responsable du traitement de toute violation commise par le Sous-traitant ultérieur susceptible d’entraîner une violation par le Sous-traitant des dispositions du présent Accord.
Les Données Personnelles mises en œuvre dans le cadre des Traitements sont traitées par le Sous-traitant ainsi que par tout éventuel Sous-traitant ultérieur exclusivement sur le territoire d’un État membre de l’Union européenne, sans aucun transfert vers le territoire d’un État situé hors de l’Union européenne.
Tout transfert par le Sous-traitant de Données Personnelles mises en œuvre dans le cadre des Traitements vers le territoire d’un État situé hors de l’Union européenne :
Le présent Accord entrera en vigueur, pour chaque Traitement concerné, à la date d’entrée en vigueur du Contrat relatif au Service associé audit Traitement, et demeurera ensuite en vigueur pendant toute la durée d’exécution de ce Contrat.
Le présent Accord prendra automatiquement fin à l’égard d’un Traitement lorsque le Contrat relatif au Service associé à ce Traitement prendra fin, pour quelque raison que ce soit.
À l’expiration du présent Accord, pour quelque raison que ce soit, le Sous-traitant devra, au choix du Responsable du traitement :
Le Responsable du traitement informera le Sous-traitant de son choix par écrit au moins quinze (15) jours avant la fin du présent Accord, pour quelque raison que ce soit.
Sous réserve que le Responsable du traitement respecte le délai susmentionné de quinze (15) jours, le Sous-traitant procédera à la suppression ou à la restitution des Données Personnelles à la date d’expiration de l’Accord et veillera, jusqu’à cette date, à ce que les Traitements demeurent conformes au présent Accord.
Dans le cas où le Sous-traitant manquerait à ses obligations au titre du présent Accord, le Responsable du traitement pourra demander au Sous-traitant de suspendre les Traitements jusqu’à ce que le Sous-traitant se conforme à ses obligations prévues par le présent Accord.
Dans ce cas, le Responsable du traitement notifiera au Sous-traitant, par écrit et de manière motivée, l’existence, selon lui, d’un manquement à une ou plusieurs obligations incombant au Sous-traitant en vertu du présent Accord.
Sans que cela ne constitue une reconnaissance du bien-fondé ou non de la notification du Responsable du traitement, le Sous-traitant suspendra les Traitements concernés par cette notification dès réception de celle-ci.
Si le Sous-traitant considère que la notification est fondée et qu’il n’est pas en mesure de s’y conformer, il en informera rapidement le Responsable du traitement après réception de ladite notification.
Toute demande de suspension des Traitements formulée par le Responsable du traitement qui apparaîtrait comme infondée engagera la responsabilité du Responsable du traitement à l’égard du Sous-traitant.
En cas de manquement du Responsable du traitement à ses obligations au titre du présent Accord, le Sous-traitant pourra suspendre les Traitements jusqu’à ce que le Responsable du traitement se conforme à ses obligations prévues par le présent Accord.
Dans ce cas, le Sous-traitant notifiera au Responsable du traitement, par écrit et de manière motivée, l’existence, selon lui, d’un manquement à une ou plusieurs obligations incombant au Responsable du traitement au titre du présent Accord.
Le Sous-traitant pourra suspendre les Traitements immédiatement à compter de la réception de cette notification par le Responsable du traitement, notamment s’il considère que le manquement au présent Accord résulte d’une Instruction non conforme à la Réglementation relative aux Données Personnelles.
Toute suspension des Traitements décidée par le Sous-traitant qui apparaîtrait comme infondée engagera la responsabilité du Sous-traitant à l’égard du Responsable du traitement.
Le Responsable du traitement est autorisé à résilier le présent Accord avant son terme si les Traitements ont fait l’objet d’une demande de suspension par le Responsable du traitement conformément à l’article 11.1 du présent Accord et si, dans un délai raisonnable et en tout état de cause dans un délai d’un (1) mois suivant la notification de suspension :
Le Responsable du traitement est également autorisé à résilier le présent Accord avant son terme si :
La résiliation prendra effet de plein droit si, à l’expiration d’un délai d’un (1) mois suivant la réception ou la première présentation d’une lettre de mise en demeure motivée :
Le Sous-traitant est autorisé à résilier le présent Accord avant son terme si les Traitements ont été suspendus par le Sous-traitant conformément à l’article 11.2 du présent Accord et si, dans un délai raisonnable et en tout état de cause dans un délai d’un (1) mois suivant la notification de suspension :
Le Sous-traitant est également autorisé à résilier le présent Accord avant son terme si :
La résiliation prendra effet de plein droit si, à l’expiration d’un délai d’un (1) mois suivant la réception ou la première présentation d’une lettre de mise en demeure motivée :
Toute résiliation prononcée conformément au présent article 12 entraînera automatiquement la fin du présent Accord ainsi que des Traitements concernés par celui-ci à la même date.
Si l’une quelconque des dispositions du présent Accord est annulée ou autrement déclarée invalide, le reste de l’Accord demeurera pleinement en vigueur et la disposition concernée sera remplacée par une disposition valide reflétant aussi fidèlement que possible l’intention initiale des Parties.
Le présent Accord ainsi que les droits et obligations des Parties qui en découlent ne peuvent être cédés à un tiers, directement ou indirectement, sans l’accord écrit préalable des Parties.
Le présent Accord est régi par le droit français.
En cas de litige relatif à sa formation, son exécution, son interprétation et/ou sa résiliation, les Parties s’efforceront de trouver une solution amiable au différend dans un délai d’un (1) mois à compter de la première notification du litige par l’une des Parties, adressée par lettre recommandée avec accusé de réception.
À défaut de résolution amiable du litige dans le délai susmentionné d’un (1) mois, les tribunaux compétents de Paris auront compétence exclusive.