{"id":427922,"date":"2026-06-29T21:34:14","date_gmt":"2026-06-29T19:34:14","guid":{"rendered":"https:\/\/reev.com\/data-processing-agreement-dpa-reev\/"},"modified":"2026-07-22T11:28:06","modified_gmt":"2026-07-22T09:28:06","slug":"data-processing-agreement-dpa-reev","status":"publish","type":"page","link":"https:\/\/reev.com\/fr\/data-processing-agreement-dpa-reev\/","title":{"rendered":"Data Processing Agreement (DPA) reev"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t
\n\t\t
\n\t\t
Home<\/a><\/div>\n\t\t<\/div>\n\t\t<\/div>\n\t\t<\/div><\/div>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t
\n\t\t\t\t\t
\n\t\t
\n\t\t\t\t
\n\t\t\t\t\t

Data Processing
Agreement (DPA)<\/h1>\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Mise \u00e0 jour : juillet 2026 <\/span><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Avertissement :<\/strong> Traduction du document original en allemand. En cas de divergence, d\u2019incoh\u00e9rence ou de conflit avec la version allemande, notamment en raison de retards de traduction, la version allemande pr\u00e9vaut.<\/span><\/p><\/div><\/div><\/div><\/div><\/div><\/div><\/section><\/div><\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t\t\t\t\t

Le pr\u00e9sent Data Processing Agreement (ci-apr\u00e8s le \u00ab DPA \u00bb) s’applique entre reev GmbH, Sandstra\u00dfe 3, 80335 M\u00fcnchen (ci-apr\u00e8s le \u00ab Sous-traitant \u00bb) et le client concern\u00e9 qui recourt aux prestations du Sous-traitant et qui a conclu le contrat principal servant de fondement au pr\u00e9sent DPA (ci-apr\u00e8s le \u00ab Responsable du traitement \u00bb). Le DPA est int\u00e9gr\u00e9 par la conclusion du contrat principal ou par l’acceptation des conditions g\u00e9n\u00e9rales <\/span><\/span> du Sous-traitant et fait partie int\u00e9grante de la relation contractuelle entre les parties.<\/span><\/span> <\/span><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t\t
\n\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

1. <\/strong>Dispositions g\u00e9n\u00e9rales<\/strong> <\/span><\/h3>

1.1<\/b> Le Sous-traitant traite des donn\u00e9es \u00e0 caract\u00e8re personnel pour le compte du Responsable du traitement au sens de l’art. 4, point 8, et de l’art. 28 du R\u00e8glement (UE) 2016\/679 \u2013 R\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es (RGPD). Le pr\u00e9sent contrat r\u00e9git les droits et obligations des parties dans le cadre du traitement de donn\u00e9es \u00e0 caract\u00e8re personnel. <\/span><\/p>

2.2<\/b> Lorsque le pr\u00e9sent contrat emploie le terme \u00ab traitement de donn\u00e9es \u00bb ou \u00ab traitement \u00bb (de donn\u00e9es), il se fonde sur la d\u00e9finition du \u00ab traitement \u00bb au sens de l’art. 4, point 2, du RGPD.<\/span><\/p>

2. Objet du contrat<\/span><\/b><\/h3>

L’objet du traitement, la nature et la finalit\u00e9 du traitement, le type de donn\u00e9es \u00e0 caract\u00e8re personnel ainsi que les cat\u00e9gories de personnes concern\u00e9es sont d\u00e9finis \u00e0 l’Annexe 1<\/b> du pr\u00e9sent contrat.<\/p>

3. Droits et obligations du Responsable du traitement<\/span><\/b><\/h3>

3.1<\/b> Le Responsable du traitement est le responsable du traitement au sens de l’art. 4, point 7, du RGPD pour le traitement de donn\u00e9es effectu\u00e9 pour son compte par le Sous-traitant. Le Sous-traitant dispose, conform\u00e9ment \u00e0 la clause 3, al. 5, du droit d’attirer l’attention du Responsable du traitement lorsqu’un traitement de donn\u00e9es qu’il estime juridiquement inadmissible fait l’objet du contrat et\/ou d’une instruction. <\/span><\/p>

3.2<\/b> Le Responsable du traitement est, en sa qualit\u00e9 de responsable du traitement, responsable du respect des droits des personnes concern\u00e9es. Le Sous-traitant informe sans d\u00e9lai le Responsable du traitement lorsque des personnes concern\u00e9es font valoir aupr\u00e8s du Sous-traitant leurs droits de personne concern\u00e9e dans le cadre de ce traitement de donn\u00e9es effectu\u00e9 pour son compte. <\/span><\/p>

3.3<\/b> Le Responsable du traitement a le droit de donner \u00e0 tout moment au Sous-traitant des instructions compl\u00e9mentaires concernant la nature, l’\u00e9tendue et les modalit\u00e9s du traitement de donn\u00e9es. Les instructions doivent \u00eatre donn\u00e9es sous forme \u00e9crite (texte) (par ex. courrier \u00e9lectronique). <\/span><\/p>

3.4<\/b> Les dispositions relatives \u00e0 une \u00e9ventuelle r\u00e9mun\u00e9ration des surco\u00fbts occasionn\u00e9s au Sous-traitant par les instructions compl\u00e9mentaires du Responsable du traitement demeurent inchang\u00e9es.<\/span><\/p>

3.5<\/b> Le Responsable du traitement informe sans d\u00e9lai le Sous-traitant lorsqu’il constate des erreurs ou des irr\u00e9gularit\u00e9s en lien avec le traitement de donn\u00e9es \u00e0 caract\u00e8re personnel par le Sous-traitant.<\/span><\/p>

3.6<\/b> Dans le cas o\u00f9 une obligation d’information \u00e0 l’\u00e9gard de tiers existe en vertu des art. 33 et 34 du RGPD ou de toute autre obligation l\u00e9gale de notification applicable au Responsable du traitement, le Responsable du traitement est responsable de son respect.<\/span><\/p>

4. Obligations g\u00e9n\u00e9rales du Sous-traitant<\/span><\/b><\/h3>

4.1<\/b> Le Sous-traitant traite les donn\u00e9es \u00e0 caract\u00e8re personnel exclusivement dans le cadre des accords conclus et\/ou dans le respect des instructions compl\u00e9mentaires \u00e9ventuellement donn\u00e9es par le Responsable du traitement. En sont except\u00e9es les dispositions l\u00e9gales qui obligent le cas \u00e9ch\u00e9ant le Sous-traitant \u00e0 un traitement diff\u00e9rent. Dans un tel cas, le Sous-traitant communique au Responsable du traitement ces exigences l\u00e9gales avant le traitement, sauf si le droit concern\u00e9 interdit une telle communication pour un motif important d’int\u00e9r\u00eat public. La finalit\u00e9, la nature et l’\u00e9tendue du traitement de donn\u00e9es sont par ailleurs d\u00e9termin\u00e9es exclusivement par le pr\u00e9sent contrat et\/ou par les instructions du Responsable du traitement. Tout traitement de donn\u00e9es s’en \u00e9cartant est interdit au Sous-traitant, \u00e0 moins que le Responsable du traitement n’y ait consenti par \u00e9crit. <\/span><\/p>

4.2<\/b> Le Sous-traitant effectue en principe le traitement de donn\u00e9es pour le compte du Responsable du traitement dans des \u00c9tats membres de l’Union europ\u00e9enne (UE) ou de l’Espace \u00e9conomique europ\u00e9en (EEE). Tout transfert vers un pays tiers requiert le consentement pr\u00e9alable du Responsable du traitement et ne peut intervenir que si les conditions particuli\u00e8res des art. 44 \u00e0 48 du RGPD sont remplies ou qu’une d\u00e9rogation au sens de l’art. 49 du RGPD est applicable. <\/span><\/p>

4.3 <\/b> Le Sous-traitant informe sans d\u00e9lai le Responsable du traitement lorsqu’une instruction donn\u00e9e par le Responsable du traitement enfreint, selon lui, des dispositions l\u00e9gales. Le Sous-traitant est en droit de suspendre l’ex\u00e9cution de l’instruction concern\u00e9e jusqu’\u00e0 ce que celle-ci soit confirm\u00e9e ou modifi\u00e9e par le Responsable du traitement. Si le Sous-traitant peut d\u00e9montrer qu’un traitement effectu\u00e9 selon les instructions du Responsable du traitement est susceptible d’engager sa responsabilit\u00e9 au titre de l’art. 82 du RGPD, le Sous-traitant est libre de suspendre la poursuite du traitement \u00e0 cet \u00e9gard jusqu’\u00e0 clarification de la responsabilit\u00e9 entre les parties. <\/span><\/p>

5. D\u00e9l\u00e9gu\u00e9 \u00e0 la protection des donn\u00e9es du Sous-traitant<\/span><\/b><\/h3>

5.1<\/b> Le Sous-traitant confirme avoir d\u00e9sign\u00e9 un d\u00e9l\u00e9gu\u00e9 \u00e0 la protection des donn\u00e9es conform\u00e9ment \u00e0 l’art. 37 du RGPD. Le Sous-traitant veille \u00e0 ce que le d\u00e9l\u00e9gu\u00e9 \u00e0 la protection des donn\u00e9es dispose de la qualification et des connaissances sp\u00e9cialis\u00e9es requises. <\/span><\/p>

5.2<\/b> L’obligation de d\u00e9signer un d\u00e9l\u00e9gu\u00e9 \u00e0 la protection des donn\u00e9es pr\u00e9vue \u00e0 l’alin\u00e9a 1 peut, \u00e0 la discr\u00e9tion du Responsable du traitement, ne pas s’appliquer si le Sous-traitant peut d\u00e9montrer qu’il n’est pas l\u00e9galement tenu de d\u00e9signer un d\u00e9l\u00e9gu\u00e9 \u00e0 la protection des donn\u00e9es et que le Sous-traitant peut d\u00e9montrer l’existence de r\u00e8gles internes garantissant un traitement de donn\u00e9es \u00e0 caract\u00e8re personnel dans le respect des dispositions l\u00e9gales, des r\u00e8gles du pr\u00e9sent contrat ainsi que de toutes autres instructions du Responsable du traitement.<\/span><\/p>

6. Obligations de notification du Sous-traitant<\/span><\/b><\/h3>

6.1<\/b> Le Sous-traitant est tenu de communiquer sans d\u00e9lai au Responsable du traitement toute violation des dispositions en mati\u00e8re de protection des donn\u00e9es ou des accords contractuels conclus et\/ou des instructions donn\u00e9es par le Responsable du traitement, survenue au cours du traitement de donn\u00e9es par lui-m\u00eame ou par d’autres personnes charg\u00e9es du traitement. Il en va de m\u00eame pour toute violation de donn\u00e9es \u00e0 caract\u00e8re personnel que le Sous-traitant traite pour le compte du Responsable du traitement. <\/span><\/p>

6.2<\/b> Par ailleurs, le Sous-traitant informe sans d\u00e9lai le Responsable du traitement lorsqu’une autorit\u00e9 de contr\u00f4le intervient \u00e0 l’\u00e9gard du Sous-traitant en vertu de l’art. 58 du RGPD et que cela peut \u00e9galement concerner un contr\u00f4le du traitement que le Sous-traitant effectue pour le compte du Responsable du traitement.<\/span><\/p>

6.3<\/b> Le Sous-traitant a connaissance du fait qu’une obligation de notification peut incomber au Responsable du traitement en cas de violation de donn\u00e9es \u00e0 caract\u00e8re personnel au titre des art. 33 et 34 du RGPD, pr\u00e9voyant une notification \u00e0 l’autorit\u00e9 de contr\u00f4le dans les 72 heures apr\u00e8s en avoir pris connaissance. Le Sous-traitant assiste le Responsable du traitement dans la mise en \u0153uvre des obligations de notification. Le Sous-traitant communique en particulier au Responsable du traitement tout acc\u00e8s non autoris\u00e9 \u00e0 des donn\u00e9es \u00e0 caract\u00e8re personnel trait\u00e9es pour le compte du Responsable du traitement, sans d\u00e9lai et au plus tard dans les 72 heures \u00e0 compter de la connaissance de l’acc\u00e8s. La notification du Sous-traitant au Responsable du traitement doit notamment contenir les informations suivantes : <\/span><\/p>

  • une description de la nature de la violation de donn\u00e9es \u00e0 caract\u00e8re personnel, y compris, si possible, les cat\u00e9gories et le nombre approximatif de personnes concern\u00e9es, les cat\u00e9gories concern\u00e9es et le nombre approximatif d’enregistrements de donn\u00e9es \u00e0 caract\u00e8re personnel concern\u00e9s ;<\/span><\/li>
  • une description des mesures prises ou propos\u00e9es par le Sous-traitant pour rem\u00e9dier \u00e0 la violation de donn\u00e9es \u00e0 caract\u00e8re personnel et, le cas \u00e9ch\u00e9ant, des mesures destin\u00e9es \u00e0 att\u00e9nuer ses \u00e9ventuelles cons\u00e9quences n\u00e9gatives.<\/span><\/li><\/ul>

    7. Obligations de collaboration du Sous-traitant<\/span><\/b><\/h3>

    7.1<\/b> Le Sous-traitant assiste le Responsable du traitement dans son obligation de r\u00e9pondre aux demandes d’exercice des droits des personnes concern\u00e9es au titre des art. 12 \u00e0 23 du RGPD. Les dispositions de la clause 12 du pr\u00e9sent contrat s’appliquent. <\/span><\/p>

    7.2<\/b> Le Sous-traitant assiste le Responsable du traitement dans l’\u00e9tablissement des registres des activit\u00e9s de traitement. Il communique au Responsable du traitement, de mani\u00e8re appropri\u00e9e, les informations n\u00e9cessaires \u00e0 cet \u00e9gard. <\/span><\/p>

    7.3<\/b> Le Sous-traitant assiste le Responsable du traitement, en tenant compte de la nature du traitement et des informations dont il dispose, dans le respect des obligations \u00e9nonc\u00e9es aux art. 32 \u00e0 36 du RGPD.<\/span><\/p>

    7.4<\/b> Pour les prestations d’assistance qui ne sont pas comprises dans la description des prestations ou qui ne sont pas imputables \u00e0 un manquement du Sous-traitant et qui vont au-del\u00e0 des obligations l\u00e9gales du Sous-traitant, le Sous-traitant peut pr\u00e9tendre \u00e0 une r\u00e9mun\u00e9ration appropri\u00e9e sur la base d’une offre conforme aux conditions du march\u00e9 (cf. clause 14). <\/span><\/p>

    8. Disposition relative aux postes de travail mobiles<\/span><\/b><\/h3>

    8.1<\/b> Le Sous-traitant peut autoriser ses employ\u00e9s charg\u00e9s du traitement de donn\u00e9es \u00e0 caract\u00e8re personnel pour le compte du Responsable du traitement \u00e0 traiter des donn\u00e9es \u00e0 caract\u00e8re personnel sur des postes de travail mobiles situ\u00e9s en dehors des locaux du Sous-traitant.<\/span><\/p>

    8.2<\/b> Le Sous-traitant doit garantir que le respect des mesures techniques et organisationnelles convenues contractuellement est \u00e9galement assur\u00e9 lors de l’utilisation de postes de travail mobiles par les employ\u00e9s du Sous-traitant. Les d\u00e9rogations \u00e0 certaines mesures techniques et organisationnelles convenues contractuellement doivent \u00eatre concert\u00e9es au pr\u00e9alable avec le Responsable du traitement et approuv\u00e9es par celui-ci sous forme \u00e9crite (texte). <\/span><\/p>

    8.3<\/b> Le Sous-traitant veille en particulier \u00e0 ce que, lors d’un traitement de donn\u00e9es \u00e0 caract\u00e8re personnel sur des postes de travail mobiles, les emplacements de stockage soient configur\u00e9s de mani\u00e8re \u00e0 exclure tout stockage local de donn\u00e9es sur les syst\u00e8mes informatiques. Si cela n’est pas possible, le Sous-traitant veille \u00e0 ce que le stockage local s’effectue exclusivement sous forme chiffr\u00e9e et \u00e0 ce que les autres personnes pr\u00e9sentes sur le lieu du poste de travail mobile concern\u00e9 n’aient pas acc\u00e8s \u00e0 ces donn\u00e9es. <\/span> <\/b><\/p>

    9. Pouvoirs de contr\u00f4le<\/span><\/b><\/h3>

    9.1<\/b> Le Responsable du traitement a le droit de contr\u00f4ler \u00e0 tout moment, dans la mesure n\u00e9cessaire, le respect par le Sous-traitant des dispositions l\u00e9gales relatives \u00e0 la protection des donn\u00e9es et\/ou le respect des r\u00e8gles contractuelles convenues entre les parties et\/ou le respect des instructions du Responsable du traitement.<\/span><\/p>

    9.2<\/b> Le Sous-traitant est tenu de fournir des informations au Responsable du traitement, dans la mesure o\u00f9 cela est n\u00e9cessaire \u00e0 la r\u00e9alisation du contr\u00f4le au sens de l’alin\u00e9a 1.<\/span><\/p>

    9.3<\/b> Le Responsable du traitement peut, apr\u00e8s annonce pr\u00e9alable dans un d\u00e9lai raisonnable, proc\u00e9der au contr\u00f4le au sens de l’alin\u00e9a 1 dans l’\u00e9tablissement du Sous-traitant pendant les heures d’ouverture habituelles. Le Responsable du traitement veille \u00e0 ce que les contr\u00f4les ne soient effectu\u00e9s que dans la mesure n\u00e9cessaire, afin de ne pas perturber de mani\u00e8re disproportionn\u00e9e les processus op\u00e9rationnels du Sous-traitant. Les parties partent du principe qu’un contr\u00f4le est n\u00e9cessaire au maximum une fois par an. Tout contr\u00f4le suppl\u00e9mentaire doit \u00eatre motiv\u00e9 par le Responsable du traitement en indiquant le motif. En cas de contr\u00f4les sur place, le Responsable du traitement rembourse au Sous-traitant, dans une mesure appropri\u00e9e, les frais occasionn\u00e9s, y compris les co\u00fbts de personnel li\u00e9s \u00e0 l’encadrement et \u00e0 l’accompagnement des personnes charg\u00e9es du contr\u00f4le sur place. Les bases du calcul des co\u00fbts sont communiqu\u00e9es au Responsable du traitement par le Sous-traitant avant la r\u00e9alisation du contr\u00f4le. <\/span><\/p>

    9.4<\/b> Au choix du Sous-traitant, la preuve du respect des mesures techniques et organisationnelles peut \u00eatre apport\u00e9e, au lieu d’un contr\u00f4le sur place, par la pr\u00e9sentation d’une attestation appropri\u00e9e et actuelle, de rapports ou d’extraits de rapports d’instances ind\u00e9pendantes (par ex. commissaires aux comptes, audit interne, d\u00e9l\u00e9gu\u00e9 \u00e0 la protection des donn\u00e9es, service de s\u00e9curit\u00e9 informatique, auditeurs en protection des donn\u00e9es ou auditeurs qualit\u00e9) ou d’une certification appropri\u00e9e, lorsque le rapport d’audit permet au Responsable du traitement de s’assurer de mani\u00e8re appropri\u00e9e du respect des mesures techniques et organisationnelles conform\u00e9ment \u00e0 l’Annexe 3 du pr\u00e9sent contrat. Si le Responsable du traitement a des doutes fond\u00e9s quant \u00e0 l’ad\u00e9quation du document d’audit au sens de la premi\u00e8re phrase, un contr\u00f4le sur place peut \u00eatre effectu\u00e9 par le Responsable du traitement. Le Responsable du traitement a connaissance du fait qu’un contr\u00f4le sur place dans les centres de donn\u00e9es n’est pas possible ou ne l’est que dans des cas exceptionnels justifi\u00e9s. Pour les prestations d’assistance qui ne sont pas comprises dans la description des prestations ou qui ne sont pas imputables \u00e0 un manquement du Sous-traitant et qui vont au-del\u00e0 des obligations l\u00e9gales du Sous-traitant, le Sous-traitant peut pr\u00e9tendre \u00e0 une r\u00e9mun\u00e9ration appropri\u00e9e sur la base d’une offre conforme aux conditions du march\u00e9 (cf. clause 14). <\/span><\/p>

    9.5<\/b> Le Sous-traitant est tenu, en cas de mesures de l’autorit\u00e9 de contr\u00f4le \u00e0 l’\u00e9gard du Responsable du traitement au sens de l’art. 58 du RGPD, notamment en ce qui concerne les obligations d’information et de contr\u00f4le, de fournir au Responsable du traitement les informations n\u00e9cessaires et de permettre \u00e0 l’autorit\u00e9 de contr\u00f4le comp\u00e9tente d’effectuer un contr\u00f4le sur place. Le Sous-traitant informe le Responsable du traitement des mesures pr\u00e9vues \u00e0 cet \u00e9gard. <\/span><\/p>

    9.6<\/b> Les parties conviennent que, lors d’un traitement de donn\u00e9es \u00e0 caract\u00e8re personnel sur des postes de travail mobiles, les mesures de contr\u00f4le s’effectuent en priorit\u00e9, afin de pr\u00e9server les droits de la personnalit\u00e9 d’autres personnes pr\u00e9sentes sur ces postes de travail mobiles, par un contr\u00f4le de la mise en \u0153uvre des mesures \u00e0 prendre par le Sous-traitant conform\u00e9ment \u00e0 la clause 9, al. 2 et 3. Le cas \u00e9ch\u00e9ant, le Sous-traitant doit \u00e9galement permettre au Responsable du traitement de contr\u00f4ler le poste de travail mobile des employ\u00e9s. <\/span><\/p>

    10. Sous-traitance ult\u00e9rieure<\/span><\/b><\/h3>

    10.1 Le Sous-traitant est en droit de recourir aux sous-traitants ult\u00e9rieurs indiqu\u00e9s \u00e0 l’Annexe 2 <\/b><\/span> du pr\u00e9sent contrat pour le traitement de donn\u00e9es pour le compte du Responsable du traitement. Le remplacement de sous-traitants ult\u00e9rieurs ou le recours \u00e0 d’autres sous-traitants ult\u00e9rieurs est admis dans les conditions \u00e9nonc\u00e9es \u00e0 l’alin\u00e9a 2. <\/span><\/p>

    10.2<\/b> Le Sous-traitant doit s\u00e9lectionner avec soin le sous-traitant ult\u00e9rieur et v\u00e9rifier, avant de lui confier des t\u00e2ches, que celui-ci est en mesure de respecter les accords conclus entre le Responsable du traitement et le Sous-traitant. Le Sous-traitant doit en particulier contr\u00f4ler, au pr\u00e9alable et r\u00e9guli\u00e8rement pendant la dur\u00e9e du contrat, que le sous-traitant ult\u00e9rieur a pris les mesures techniques et organisationnelles requises au titre de l’art. 32 du RGPD pour la protection des donn\u00e9es \u00e0 caract\u00e8re personnel. Le Sous-traitant informe le Responsable du traitement, sous forme \u00e9crite (texte), en temps utile et au plus tard 4 semaines avant le remplacement ou le nouveau recours, en cas de remplacement pr\u00e9vu d’un sous-traitant ult\u00e9rieur ou de recours pr\u00e9vu \u00e0 un nouveau sous-traitant ult\u00e9rieur (\u00ab Information \u00bb). Le Responsable du traitement a le droit de s’opposer au remplacement ou au nouveau recours au sous-traitant ult\u00e9rieur, en indiquant un motif sous forme \u00e9crite (texte), dans un d\u00e9lai de 2 semaines \u00e0 compter de la r\u00e9ception de l’\u00ab Information \u00bb. L’opposition peut \u00eatre retir\u00e9e \u00e0 tout moment par le Responsable du traitement sous forme \u00e9crite (texte). En cas d’opposition, le Sous-traitant peut r\u00e9silier la relation contractuelle avec le Responsable du traitement moyennant un pr\u00e9avis d’au moins 14 jours pour la fin d’un mois civil. Le Sous-traitant tient d\u00fbment compte des int\u00e9r\u00eats du Responsable du traitement lors de la fixation du d\u00e9lai de pr\u00e9avis. \u00c0 d\u00e9faut d’opposition du Responsable du traitement dans un d\u00e9lai de trois semaines \u00e0 compter de la r\u00e9ception de l’\u00ab Information \u00bb, cela vaut consentement du Responsable du traitement au remplacement ou au nouveau recours au sous-traitant ult\u00e9rieur concern\u00e9. <\/span><\/p>

    10.3<\/b> Le Sous-traitant est tenu de se faire confirmer par le sous-traitant ult\u00e9rieur que celui-ci a d\u00e9sign\u00e9 un d\u00e9l\u00e9gu\u00e9 \u00e0 la protection des donn\u00e9es conform\u00e9ment \u00e0 l’art. 37 du RGPD, dans la mesure o\u00f9 le sous-traitant ult\u00e9rieur est l\u00e9galement tenu de d\u00e9signer un d\u00e9l\u00e9gu\u00e9 \u00e0 la protection des donn\u00e9es. <\/span><\/p>

    10.4<\/b> Le Sous-traitant doit s’assurer que les r\u00e8gles convenues dans le pr\u00e9sent contrat et, le cas \u00e9ch\u00e9ant, les instructions compl\u00e9mentaires du Responsable du traitement s’appliquent \u00e9galement \u00e0 l’\u00e9gard du sous-traitant ult\u00e9rieur.<\/span><\/p>

    10.5<\/b> Le Sous-traitant doit conclure avec le sous-traitant ult\u00e9rieur un contrat de sous-traitance conforme aux exigences de l’art. 28 du RGPD. En outre, le Sous-traitant doit imposer au sous-traitant ult\u00e9rieur les m\u00eames obligations de protection des donn\u00e9es \u00e0 caract\u00e8re personnel que celles fix\u00e9es entre le Responsable du traitement et le Sous-traitant. Une copie du contrat de sous-traitance doit \u00eatre transmise au Responsable du traitement sur demande. <\/span><\/p>

    10.6<\/b> Le Sous-traitant est notamment tenu de garantir, par des dispositions contractuelles, que les pouvoirs de contr\u00f4le (clause 9 du pr\u00e9sent contrat) du Responsable du traitement et des autorit\u00e9s de contr\u00f4le s’appliquent \u00e9galement \u00e0 l’\u00e9gard du sous-traitant ult\u00e9rieur et que des droits de contr\u00f4le correspondants du Responsable du traitement et des autorit\u00e9s de contr\u00f4le soient convenus. Il convient en outre de pr\u00e9voir contractuellement que le sous-traitant ult\u00e9rieur doit tol\u00e9rer ces mesures de contr\u00f4le et les \u00e9ventuels contr\u00f4les sur place. <\/span><\/p>

    10.7<\/b> Ne sont pas consid\u00e9r\u00e9es comme des relations de sous-traitance ult\u00e9rieure au sens des alin\u00e9as 1 \u00e0 6 les prestations de services auxquelles le Sous-traitant a recours aupr\u00e8s de tiers \u00e0 titre de simple prestation accessoire, afin d’exercer son activit\u00e9 commerciale. En font partie, par exemple, les prestations de nettoyage, les simples prestations de t\u00e9l\u00e9communication sans lien concret avec les prestations que le Sous-traitant fournit au Responsable du traitement, les services postaux et de coursier, les prestations de transport, les services de gardiennage. Le Sous-traitant est n\u00e9anmoins tenu, y compris pour les prestations accessoires fournies par des tiers, de veiller \u00e0 ce que des pr\u00e9cautions appropri\u00e9es ainsi que des mesures techniques et organisationnelles aient \u00e9t\u00e9 prises afin de garantir la protection des donn\u00e9es \u00e0 caract\u00e8re personnel. La maintenance et l’entretien de syst\u00e8mes informatiques ou d’applications constituent une relation de sous-traitance ult\u00e9rieure soumise \u00e0 consentement et un traitement pour le compte au sens de l’art. 28 du RGPD lorsque la maintenance et le contr\u00f4le concernent des syst\u00e8mes informatiques \u00e9galement utilis\u00e9s dans le cadre de la fourniture de prestations au Responsable du traitement et que la maintenance peut donner acc\u00e8s \u00e0 des donn\u00e9es \u00e0 caract\u00e8re personnel trait\u00e9es pour le compte du Responsable du traitement. <\/span><\/p>

    11. Obligation de confidentialit\u00e9<\/span><\/b><\/h3>

    11.1<\/b> Le Sous-traitant est tenu, lors du traitement de donn\u00e9es pour le compte du Responsable du traitement, de pr\u00e9server la confidentialit\u00e9 des donn\u00e9es qu’il re\u00e7oit ou dont il prend connaissance dans le cadre du contrat.<\/span><\/p>

    11.2<\/b> Le Sous-traitant a familiaris\u00e9 ses employ\u00e9s avec les dispositions de la protection des donn\u00e9es qui leur sont applicables et les a astreints \u00e0 la confidentialit\u00e9. <\/span><\/p>

    11.3<\/b> L’engagement des employ\u00e9s vis\u00e9 \u00e0 l’alin\u00e9a 2 doit \u00eatre justifi\u00e9 au Responsable du traitement sur demande.<\/span><\/p>

    12. Respect des droits des personnes concern\u00e9es<\/span><\/b><\/h3>

    12.1<\/b> Le Responsable du traitement est seul responsable du respect des droits des personnes concern\u00e9es. Le Sous-traitant est tenu d’assister le Responsable du traitement dans son obligation de traiter les demandes des personnes concern\u00e9es au titre des art. 12 \u00e0 23 du RGPD. Le Sous-traitant veille en particulier \u00e0 ce que les informations n\u00e9cessaires \u00e0 cet \u00e9gard soient fournies sans d\u00e9lai au Responsable du traitement, afin que celui-ci puisse notamment satisfaire \u00e0 ses obligations d\u00e9coulant de l’art. 12, paragraphe 3, du RGPD. <\/span><\/p>

    12.2<\/b> Dans la mesure o\u00f9 une collaboration du Sous-traitant est n\u00e9cessaire au respect des droits des personnes concern\u00e9es \u2013 notamment d’acc\u00e8s, de rectification, de limitation ou d’effacement \u2013 par le Responsable du traitement, le Sous-traitant prend les mesures n\u00e9cessaires \u00e0 cet \u00e9gard selon les instructions du Responsable du traitement. Le Sous-traitant assiste dans la mesure du possible le Responsable du traitement, par des mesures techniques et organisationnelles appropri\u00e9es, dans l’accomplissement de son obligation de r\u00e9pondre aux demandes d’exercice des droits des personnes concern\u00e9es. <\/span><\/p>

    12.3<\/b> Pour les prestations d’assistance qui ne sont pas comprises dans la description des prestations ou qui ne sont pas imputables \u00e0 un manquement du Sous-traitant et qui vont au-del\u00e0 des obligations l\u00e9gales du Sous-traitant, le Sous-traitant peut pr\u00e9tendre \u00e0 une r\u00e9mun\u00e9ration appropri\u00e9e sur la base d’une offre conforme aux conditions du march\u00e9 (cf. clause 14).<\/span><\/p>

    13. R\u00e9mun\u00e9ration<\/span><\/b><\/h3>

    Les droits \u00e0 r\u00e9mun\u00e9ration que le prestataire pourrait faire valoir en vertu des clauses pr\u00e9c\u00e9dentes doivent \u00eatre raisonnables. Est consid\u00e9r\u00e9e comme raisonnable la facturation des frais engag\u00e9s selon les tarifs horaires en vigueur sur le march\u00e9 demand\u00e9s par le prestataire, sur la base d’un devis convenu entre le donneur d’ordre et le prestataire avant que ces frais ne soient engag\u00e9s. <\/span><\/p>

    14. Mesures techniques et organisationnelles relatives \u00e0 la s\u00e9curit\u00e9 des donn\u00e9es<\/span><\/b><\/h3>

    14.1<\/b> Le Sous-traitant s’engage \u00e0 l’\u00e9gard du Responsable du traitement \u00e0 respecter les mesures techniques et organisationnelles n\u00e9cessaires au respect des dispositions applicables en mati\u00e8re de protection des donn\u00e9es. Cela comprend notamment les exigences de l’art. 32 du RGPD. <\/span><\/p>

    14.2<\/b> L’\u00e9tat des mesures techniques et organisationnelles existant au moment de la conclusion du contrat est joint au pr\u00e9sent contrat en tant qu’Annexe 3.<\/b><\/span> Les parties conviennent que des modifications des mesures techniques et organisationnelles peuvent s’av\u00e9rer n\u00e9cessaires en vue de l’adaptation aux \u00e9volutions techniques et juridiques. Le Sous-traitant concertera au pr\u00e9alable avec le Responsable du traitement les modifications substantielles susceptibles de porter atteinte \u00e0 l’int\u00e9grit\u00e9, \u00e0 la confidentialit\u00e9 ou \u00e0 la disponibilit\u00e9 des donn\u00e9es \u00e0 caract\u00e8re personnel. Les mesures n’entra\u00eenant que des modifications techniques ou organisationnelles mineures et n’affectant pas n\u00e9gativement l’int\u00e9grit\u00e9, la confidentialit\u00e9 et la disponibilit\u00e9 des donn\u00e9es \u00e0 caract\u00e8re personnel peuvent \u00eatre mises en \u0153uvre par le Sous-traitant sans concertation avec le Responsable du traitement. Le Responsable du traitement peut \u00e0 tout moment demander une version actuelle des mesures techniques et organisationnelles prises par le Sous-traitant. <\/span><\/p>

    15. Dur\u00e9e du contrat<\/span><\/b><\/h3>

    15.1<\/b> Le pr\u00e9sent DPA prend effet \u00e0 la conclusion du contrat principal ou \u00e0 l’acceptation par le Responsable du traitement des conditions g\u00e9n\u00e9rales du Sous-traitant sous forme \u00e9lectronique (art. 28, paragraphe 9, du RGPD) et court pour la dur\u00e9e du contrat principal existant entre les parties<\/span><\/p>

    15.2<\/b> Le Responsable du traitement peut r\u00e9silier le contrat \u00e0 tout moment sans pr\u00e9avis en cas de violation grave par le Sous-traitant des dispositions applicables en mati\u00e8re de protection des donn\u00e9es ou des obligations d\u00e9coulant du pr\u00e9sent contrat, lorsque le Sous-traitant ne peut ou ne veut pas ex\u00e9cuter une instruction du Responsable du traitement, ou lorsque le Sous-traitant refuse l’acc\u00e8s au Responsable du traitement ou \u00e0 l’autorit\u00e9 de contr\u00f4le comp\u00e9tente en violation du contrat.<\/span><\/p>

    16. Fin du contrat<\/span><\/b><\/h3>

    16.1<\/b> \u00c0 l’issue du contrat, le Sous-traitant doit, au choix du Responsable du traitement, restituer \u00e0 celui-ci ou effacer l’ensemble des documents, donn\u00e9es et r\u00e9sultats de traitement ou d’utilisation \u00e9tablis qui sont en sa possession et qui sont li\u00e9s \u00e0 la relation contractuelle. L’effacement doit \u00eatre document\u00e9 de mani\u00e8re appropri\u00e9e. <\/span><\/p>

    16.2<\/b> Le Sous-traitant peut conserver les donn\u00e9es \u00e0 caract\u00e8re personnel trait\u00e9es dans le cadre du contrat au-del\u00e0 de la fin du contrat, si et dans la mesure o\u00f9 une obligation l\u00e9gale de conservation incombe au Sous-traitant. Dans ces cas, les donn\u00e9es ne peuvent \u00eatre trait\u00e9es qu’aux fins de la mise en \u0153uvre des obligations l\u00e9gales de conservation concern\u00e9es. \u00c0 l’expiration de l’obligation de conservation, les donn\u00e9es doivent \u00eatre effac\u00e9es sans d\u00e9lai. <\/span><\/p>

    17. Dispositions finales<\/span><\/b><\/h3>

    17.1<\/b> Si la propri\u00e9t\u00e9 du Responsable du traitement se trouvant chez le Sous-traitant venait \u00e0 \u00eatre menac\u00e9e par des mesures de tiers (par exemple par une saisie ou une confiscation), par une proc\u00e9dure d’insolvabilit\u00e9 ou par d’autres \u00e9v\u00e9nements, le Sous-traitant doit en informer sans d\u00e9lai le Responsable du traitement. Le Sous-traitant informe sans d\u00e9lai les cr\u00e9anciers du fait qu’il s’agit de donn\u00e9es trait\u00e9es pour le compte d’autrui. <\/span><\/p>

    17.2<\/b> La forme \u00e9crite (texte) (\u00a7 126b BGB) s’applique aux accords annexes, modifications et compl\u00e9ments du pr\u00e9sent contrat ; cela vaut \u00e9galement pour toute modification de la pr\u00e9sente clause de forme \u00e9crite (texte).<\/span><\/p>

    17.3<\/b> Si certaines parties du pr\u00e9sent contrat devaient \u00eatre inapplicables, cela n’affecte pas la validit\u00e9 des autres dispositions du contrat<\/span><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

    \n\t\t\t\t\t
    \n\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    Annexe 1 – Objet du contrat<\/span><\/b> <\/span><\/h3>\n

    L’objet du contrat r\u00e9sulte du contrat principal (offre, accompagn\u00e9e de l’annexe au bordereau des prestations et de la confirmation de commande du Sous-traitant). <\/span> <\/span><\/p>\n

    Dur\u00e9e<\/strong> : dur\u00e9e du contrat principal major\u00e9e des d\u00e9lais l\u00e9gaux de conservation. <\/span> <\/span> <\/p>\n\n\n\n\n\n\n\n\n\n\n\n
    \n

    Type de donn\u00e9es<\/span><\/b> <\/span><\/p>\n<\/td>\n

    		\n

    Finalit\u00e9 du traitement<\/span><\/b> <\/span><\/p>\n<\/td>\n

    		\n

    Cat\u00e9gories de personnes concern\u00e9es<\/span><\/b> <\/span><\/p>\n<\/td>\n<\/tr>\n

    \n

    Nom (pr\u00e9nom, nom de famille)<\/span> <\/span><\/p>\n

    Adresse \u00e9lectronique<\/span> <\/span><\/p>\n

    Num\u00e9ro de t\u00e9l\u00e9phone (professionnel) \u2013 facultatif<\/span> <\/span><\/p>\n<\/td>\n

    		\n

    Cr\u00e9ation du compte utilisateur et identification lors de la transmission du mot de passe<\/span> <\/span><\/p>\n<\/td>\n

    		\n

    Employ\u00e9s ayant acc\u00e8s \u00e0 l’interface d’administration<\/span> <\/span><\/p>\n<\/td>\n<\/tr>\n

    \n

    Adresse \u00e9lectronique,<\/span> <\/span><\/p>\n

    Num\u00e9ro de tag RFID, num\u00e9ro de carte de recharge (le cas \u00e9ch\u00e9ant) et nom de la carte<\/span> <\/span><\/p>\n<\/td>\n

    		\n

    Cr\u00e9ation du compte utilisateur et identification lors de la transmission du mot de passe<\/span> <\/span><\/p>\n<\/td>\n

    		\n
      \n
    • Employ\u00e9s en tant que conducteurs de VE<\/span> <\/span><\/li>\n<\/ul>\n
        \n
      • Autres personnes (invit\u00e9s, sous-traitants) en tant que conducteurs de VE autoris\u00e9es \u00e0 utiliser r\u00e9guli\u00e8rement l’infrastructure de recharge<\/span> <\/span><\/li>\n<\/ul>\n<\/td>\n<\/tr>\n
    \n

    Nom de famille, pr\u00e9nom<\/span> <\/span><\/p>\n

    Adresse (rue, num\u00e9ro, code postal, ville)<\/span> <\/span><\/p>\n<\/td>\n

    		\n

    Facturation des op\u00e9rations de recharge effectu\u00e9es<\/span> <\/span><\/p>\n<\/td>\n

    		\n
      \n
    • Employ\u00e9s en tant que conducteurs de VE<\/span> <\/span><\/li>\n<\/ul>\n
        \n
      • Autres personnes (invit\u00e9s, sous-traitants) autoris\u00e9es \u00e0 conduire des v\u00e9hicules \u00e9lectriques et \u00e0 utiliser r\u00e9guli\u00e8rement l’infrastructure de recharge<\/span> <\/span><\/li>\n<\/ul>\n<\/td>\n<\/tr>\n
    \n

    Scan du certificat d’immatriculation du v\u00e9hicule<\/span> <\/span><\/p>\n

    Coordonn\u00e9es bancaires :<\/span> <\/span><\/p>\n

      \n
    • Titulaire du compte (nom de famille, pr\u00e9nom)<\/span> <\/span><\/li>\n<\/ul>\n
        \n
      • IBAN<\/span> <\/span><\/li>\n<\/ul>\n<\/td>\n
    		\n

    Gestion et comptabilisation du syst\u00e8me d’\u00e9change de quotas de r\u00e9duction des \u00e9missions de gaz \u00e0 effet de serre<\/span> <\/span><\/p>\n<\/td>\n

    		\n

    Les collaborateurs en tant que conducteurs de v\u00e9hicules \u00e9lectriques<\/span> <\/span><\/p>\n<\/td>\n<\/tr>\n

    \n

    Donn\u00e9es relatives aux v\u00e9hicules de soci\u00e9t\u00e9 :<\/span> <\/span><\/p>\n

      \n
    • Num\u00e9ro d’immatriculation du v\u00e9hicule<\/span> <\/span><\/li>\n<\/ul>\n
        \n
      • Num\u00e9ro de tag RFID<\/span> <\/span><\/li>\n<\/ul>\n
          \n
        • Facultatif : constructeur, marque<\/span> <\/span><\/li>\n<\/ul>\n<\/td>\n
    		\n

    Autorisation et attribution des op\u00e9rations de chargement<\/span> <\/span><\/p>\n<\/td>\n

    		\n

    Propri\u00e9taires des v\u00e9hicules d’entreprise du donneur d’ordre<\/span> <\/span><\/p>\n<\/td>\n<\/tr>\n

    \n

    Scan du certificat d’immatriculation du v\u00e9hicule<\/span> <\/span><\/p>\n<\/td>\n

    		\n

    Mise en \u0153uvre du syst\u00e8me d’\u00e9change de quotas de r\u00e9duction des \u00e9missions de gaz \u00e0 effet de serre<\/span> <\/span><\/p>\n<\/td>\n

    		\n

    Propri\u00e9taires des v\u00e9hicules d’entreprise du donneur d’ordre<\/span> <\/span><\/p>\n<\/td>\n<\/tr>\n

    \n

    Donn\u00e9es relatives aux op\u00e9rations de chargement :<\/span> <\/span><\/p>\n

      \n
    • Station de recharge et raccordement<\/span> <\/span><\/li>\n<\/ul>\n
        \n
      • Num\u00e9ro de l’\u00e9tiquette RFID du conducteur ou du v\u00e9hicule<\/span> <\/span><\/li>\n<\/ul>\n
          \n
        • D\u00e9but et fin<\/span> <\/span><\/li>\n<\/ul>\n
            \n
          • Quantit\u00e9 d’\u00e9nergie charg\u00e9e, \u00e9tat de charge et puissance de charge toutes les 5 minutes pendant le processus<\/span> <\/span><\/li>\n<\/ul>\n
              \n
            • Tarif<\/span> <\/span><\/li>\n<\/ul>\n<\/td>\n
    		\n

    Autorisation, attribution et facturation des op\u00e9rations de recharge<\/span> <\/span><\/p>\n<\/td>\n

    		\n
      \n
    • Employ\u00e9s en tant que conducteurs de VE<\/span> <\/span><\/li>\n<\/ul>\n
        \n
      • Autres personnes (invit\u00e9s, sous-traitants) autoris\u00e9es \u00e0 conduire des v\u00e9hicules \u00e9lectriques et \u00e0 utiliser r\u00e9guli\u00e8rement l’infrastructure de recharge<\/span> <\/span><\/li>\n<\/ul>\n
          \n
        • Propri\u00e9taires des v\u00e9hicules d’entreprise du donneur d’ordre<\/span> <\/span><\/li>\n<\/ul>\n<\/td>\n<\/tr>\n
    \n

    Donn\u00e9es statistiques relatives au comportement d’utilisation (pseudonymis\u00e9es) :<\/span> <\/span><\/p>\n

      \n
    • Utilisation de l’infrastructure de recharge \u2013 fr\u00e9quence, quantit\u00e9 d’\u00e9nergie et emplacement par utilisateur<\/span> <\/span><\/li>\n<\/ul>\n<\/td>\n
    		\n

    Am\u00e9lioration du produit<\/span> <\/span><\/p>\n<\/td>\n

    		\n
      \n
    • Collaborateurs ayant acc\u00e8s \u00e0 l’interface d’administration<\/span> <\/span><\/li>\n<\/ul>\n
        \n
      • Les collaborateurs en tant que conducteurs de v\u00e9hicules \u00e9lectriques<\/span> <\/span><\/li>\n<\/ul>\n
          \n
        • Autres personnes (invit\u00e9s, sous-traitants) autoris\u00e9es \u00e0 conduire des v\u00e9hicules \u00e9lectriques et \u00e0 utiliser r\u00e9guli\u00e8rement l’infrastructure de recharge<\/span> <\/span><\/li>\n<\/ul>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

           <\/span><\/b><\/h3>\n

          Annexe 2 – Sous-traitants<\/span><\/b> <\/span><\/h3>\n

          Le <\/span>Prestataire<\/span><\/i> fait appel \u00e0 des tiers pour le traitement des donn\u00e9es pour le compte du donneur d\u2019ordre ; ces tiers traitent les donn\u00e9es pour son compte (\u00ab sous-traitants \u00bb).<\/span> <\/span><\/p>\n

          Il s’agit des entreprises suivantes :<\/span> <\/span><\/p>\n\n\n\n\n\n\n
          \n

          Sous-traitants<\/span><\/b> <\/span><\/p>\n<\/td>\n

          		\n

          Objet de la <\/span><\/b> <\/span><\/p>\n

          Mandat<\/span><\/b> <\/span><\/p>\n<\/td>\n

          		\n

          Lieu de traitement<\/span><\/b> <\/span><\/p>\n<\/td>\n

          		\n

          Transfert de donn\u00e9es vers des pays tiers (base juridique)<\/span><\/b> <\/span><\/p>\n<\/td>\n<\/tr>\n

          \n

          Amazon Web Services EMEA SARL, 38 avenue John F. Kennedy, L-1855 Luxembourg <\/span> <\/span><\/p>\n<\/td>\n

          		\n

          Infrastructure cloud et CDN<\/span> <\/span><\/p>\n<\/td>\n

          		\n

          Allemagne \/ UE<\/span> <\/span><\/p>\n<\/td>\n

          		\n

          \/<\/span> <\/span><\/p>\n<\/td>\n<\/tr>\n

          \n

          Intercom R&D Unlimited Company<\/span> 124 St Stephen’s Green<\/span> Dublin 2, D02 C628<\/span> Irlande<\/span> <\/span><\/p>\n<\/td>\n

          		\n

          Assistance et chat en direct<\/span> <\/span><\/p>\n<\/td>\n

          		\n

          Irlande \/ UE<\/span> <\/span><\/p>\n<\/td>\n

          		\n

          \/<\/span> <\/span><\/p>\n<\/td>\n<\/tr>\n

          \n

          PostHog Inc., 2261 Market St., #4008, San Francisco, CA 94114, \u00c9tats-Unis (serveur situ\u00e9 \u00e0 Francfort, en Allemagne)<\/span> <\/span><\/p>\n<\/td>\n

          		\n

          Analyse des produits et de leur utilisation en vue de l’am\u00e9lioration des produits<\/span> <\/span><\/p>\n<\/td>\n

          		\n

          Allemagne \/ UE<\/span> <\/span><\/p>\n<\/td>\n

          		\n

          \/<\/span> <\/span><\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

           <\/span><\/b><\/h3>\n

          Annexe 3 – Mesures techniques et organisationnelles<\/span><\/b><\/h3>\n

          1. Introduction <\/span><\/strong><\/h3>\n

          Conform\u00e9ment \u00e0 l’art. 32 du RGPD, reev GmbH (\u00ab reev \u00bb) met en \u0153uvre des mesures techniques et organisationnelles appropri\u00e9es afin de garantir un niveau de protection adapt\u00e9 au risque. \u00c0 cet \u00e9gard, reev tient compte de l’\u00e9tat de l’art, des co\u00fbts de mise en \u0153uvre ainsi que de la nature, de l’\u00e9tendue, des circonstances et des finalit\u00e9s du traitement, de m\u00eame que de la probabilit\u00e9 de survenance et de la gravit\u00e9 du risque pour les droits et libert\u00e9s des personnes physiques. <\/span> <\/span><\/p>\n

          Ces mesures visent \u00e0 prot\u00e9ger les donn\u00e9es \u00e0 caract\u00e8re personnel contre tout traitement non autoris\u00e9 ou illicite ainsi que contre la perte, la destruction, l’alt\u00e9ration, la divulgation accidentelles ou l’acc\u00e8s non autoris\u00e9. Les mesures d\u00e9crites ci-apr\u00e8s s’appliquent au traitement de donn\u00e9es \u00e0 caract\u00e8re personnel effectu\u00e9 par reev dans le cadre des produits, services, processus internes et de l’infrastructure cloud de soutien de reev, sauf disposition contraire pr\u00e9vue dans un accord sp\u00e9cifique au client. <\/span> <\/span><\/p>\n

          reev exploite un syst\u00e8me de management de la s\u00e9curit\u00e9 de l’information (SMSI) certifi\u00e9 selon la norme ISO\/IEC 27001. La mise en \u0153uvre, la surveillance et la d\u00e9monstration des contr\u00f4les de s\u00e9curit\u00e9 peuvent \u00eatre appuy\u00e9es par des outils de conformit\u00e9 appropri\u00e9s, y compris Vanta. <\/span> <\/span><\/p>\n

           <\/h3>\n

          2. Mesures techniques<\/span><\/b> <\/span><\/h3>\n
          2.1 Confidentialit\u00e9<\/span><\/b><\/h5>\n
          Contr\u00f4le d’acc\u00e8s<\/strong><\/h6>\n

          L’acc\u00e8s aux informations, syst\u00e8mes, applications, infrastructures et donn\u00e9es \u00e0 caract\u00e8re personnel est limit\u00e9 aux personnes autoris\u00e9es et est accord\u00e9 conform\u00e9ment aux besoins op\u00e9rationnels ainsi que selon le principe du moindre privil\u00e8ge. reev applique un strict principe du besoin d’en conna\u00eetre (need-to-know). <\/span> <\/span><\/p>\n

          Les droits d’acc\u00e8s sont attribu\u00e9s, adapt\u00e9s, v\u00e9rifi\u00e9s et retir\u00e9s conform\u00e9ment \u00e0 la Access Control Policy de reev ainsi que selon des processus d\u00e9finis pour les arriv\u00e9es, mutations et d\u00e9parts (joiner, mover, leaver). Les acc\u00e8s sont r\u00e9voqu\u00e9s ou adapt\u00e9s lorsque des employ\u00e9s changent de r\u00f4le ou quittent l’entreprise. Les acc\u00e8s privil\u00e9gi\u00e9s sont limit\u00e9s aux personnes autoris\u00e9es et soumis \u00e0 des contr\u00f4les suppl\u00e9mentaires. <\/span> <\/p>\n

          Authentification <\/strong><\/h6>\n

          reev utilise des m\u00e9canismes d’authentification s\u00e9curis\u00e9s afin d’emp\u00eacher tout acc\u00e8s non autoris\u00e9 aux syst\u00e8mes d’information. L’authentification multifacteur (MFA) est requise pour l’acc\u00e8s aux environnements de production ainsi que pour d’autres syst\u00e8mes, dans la mesure o\u00f9 cela est requis sur la base du risque et selon la criticit\u00e9. <\/span> <\/span><\/p>\n

          Dans la mesure o\u00f9 cela est techniquement possible, une gestion centralis\u00e9e des identit\u00e9s et des acc\u00e8s, des contr\u00f4les d’acc\u00e8s bas\u00e9s sur les r\u00f4les ainsi que des exigences s\u00e9curis\u00e9es en mati\u00e8re de mots de passe ou d’authentification sont appliqu\u00e9s.<\/span> <\/p>\n

          Chiffrement des donn\u00e9es au repos <\/strong><\/h6>\n

          Les donn\u00e9es confidentielles au repos sont prot\u00e9g\u00e9es par des m\u00e9canismes de chiffrement robustes, y compris le chiffrement AES-256 bits, dans la mesure applicable, conform\u00e9ment \u00e0 la Cryptography Policy de reev. Les cl\u00e9s de chiffrement et les secrets sont g\u00e9r\u00e9s au moyen de m\u00e9canismes contr\u00f4l\u00e9s de gestion des cl\u00e9s et des secrets. L’acc\u00e8s aux cl\u00e9s de chiffrement et aux secrets est limit\u00e9 aux syst\u00e8mes et personnes autoris\u00e9s ; les cl\u00e9s sont renouvel\u00e9es conform\u00e9ment aux exigences de s\u00e9curit\u00e9 internes. <\/span> <\/p>\n

          Chiffrement lors de la transmission <\/strong><\/h6>\n

          Les donn\u00e9es transmises via des r\u00e9seaux publics sont prot\u00e9g\u00e9es au moyen du Transport Layer Security (TLS) et de suites de chiffrement robustes. Les services accessibles publiquement sont configur\u00e9s et r\u00e9guli\u00e8rement v\u00e9rifi\u00e9s de mani\u00e8re \u00e0 maintenir des configurations TLS s\u00e9curis\u00e9es. reev s’efforce de faire en sorte que les points d’acc\u00e8s publics respectent les normes reconnues du secteur en mati\u00e8re de chiffrement du transport. <\/span><\/p>\n

          S\u00e9curit\u00e9 physique <\/strong><\/h6>\n

          reev met en \u0153uvre des mesures destin\u00e9es \u00e0 emp\u00eacher tout acc\u00e8s physique non autoris\u00e9 aux installations de traitement de l’information. Des contr\u00f4les d’acc\u00e8s physique, des zones de s\u00e9curit\u00e9 et des contr\u00f4les d’acc\u00e8s sont appliqu\u00e9s conform\u00e9ment \u00e0 la Physical Security Policy de reev. Dans la mesure o\u00f9 l’infrastructure est h\u00e9berg\u00e9e chez des fournisseurs tiers de services cloud, la s\u00e9curit\u00e9 physique est couverte par les contr\u00f4les certifi\u00e9s des centres de donn\u00e9es et les engagements contractuels de s\u00e9curit\u00e9 du fournisseur concern\u00e9. <\/span> <\/p>\n

          S\u00e9paration des donn\u00e9es et s\u00e9paration logique <\/strong><\/h6>\n

          Dans la mesure applicable, les donn\u00e9es des clients sont logiquement s\u00e9par\u00e9es afin d’emp\u00eacher tout acc\u00e8s non autoris\u00e9 entre clients, environnements et syst\u00e8mes. Les environnements de production, de d\u00e9veloppement et de test sont s\u00e9par\u00e9s les uns des autres ; les donn\u00e9es de production ne sont pas utilis\u00e9es dans des environnements hors production, sauf si elles sont prot\u00e9g\u00e9es de mani\u00e8re appropri\u00e9e et que leur utilisation est autoris\u00e9e. <\/span> <\/p>\n

          Pseudonymisation, masquage et minimisation des donn\u00e9es <\/strong><\/h6>\n

          Dans la mesure appropri\u00e9e et techniquement possible, reev recourt \u00e0 la minimisation des donn\u00e9es, \u00e0 la pseudonymisation, au masquage, \u00e0 l’agr\u00e9gation ou \u00e0 des restrictions d’acc\u00e8s afin de r\u00e9duire la divulgation de donn\u00e9es \u00e0 caract\u00e8re personnel et de limiter le traitement \u00e0 ce qui est n\u00e9cessaire \u00e0 la finalit\u00e9 concern\u00e9e.<\/span> <\/span><\/p>\n

          2.2 Int\u00e9grit\u00e9<\/span><\/b> <\/span><\/h5>\n
          Gestion des changements <\/strong><\/h6>\n

          Les modifications substantielles apport\u00e9es aux syst\u00e8mes, r\u00e9seaux, infrastructures et installations de traitement sont document\u00e9es, v\u00e9rifi\u00e9es, test\u00e9es et approuv\u00e9es avant leur d\u00e9ploiement dans l’environnement de production. Les modifications sont test\u00e9es dans des environnements s\u00e9par\u00e9s de la production, par exemple dans des environnements de staging ou de d\u00e9veloppement. <\/span> <\/span><\/p>\n

          Les modifications d’urgence font l’objet d’une v\u00e9rification et d’une documentation appropri\u00e9es apr\u00e8s leur mise en \u0153uvre. Les proc\u00e9dures de gestion des changements visent \u00e0 r\u00e9duire le risque de modifications non autoris\u00e9es, non test\u00e9es ou involontaires des syst\u00e8mes de production. <\/span> <\/p>\n

          D\u00e9veloppement s\u00e9curis\u00e9 <\/strong><\/h6>\n

          reev applique des principes de d\u00e9veloppement s\u00e9curis\u00e9 et des normes d’ing\u00e9nierie aux activit\u00e9s de d\u00e9veloppement logiciel. Les environnements de d\u00e9veloppement, de test, de staging et de production sont s\u00e9par\u00e9s les uns des autres. L’acc\u00e8s aux d\u00e9p\u00f4ts de code source et aux pipelines de d\u00e9ploiement est limit\u00e9 aux personnes autoris\u00e9es. <\/span> <\/span><\/p>\n

          Les aspects de s\u00e9curit\u00e9 sont int\u00e9gr\u00e9s au cycle de vie de d\u00e9veloppement, y compris les revues de code, les tests, la gestion des d\u00e9pendances et les pratiques de configuration s\u00e9curis\u00e9e.<\/span> <\/p>\n

          Journalisation et surveillance <\/strong><\/h6>\n

          L’infrastructure de production et les applications pertinentes sont configur\u00e9es de mani\u00e8re \u00e0 g\u00e9n\u00e9rer des journaux des \u00e9v\u00e9nements relatifs \u00e0 la s\u00e9curit\u00e9, y compris les \u00e9v\u00e9nements d’authentification des utilisateurs, les acc\u00e8s aux syst\u00e8mes, les activit\u00e9s administratives, les op\u00e9rations CRUD pertinentes et les modifications des param\u00e8tres de s\u00e9curit\u00e9, dans la mesure o\u00f9 cela est techniquement possible.<\/span> <\/span><\/p>\n

          Les journaux sont prot\u00e9g\u00e9s contre tout acc\u00e8s, toute modification et toute suppression non autoris\u00e9s. Les journaux sont conserv\u00e9s pendant une dur\u00e9e d\u00e9termin\u00e9e qui d\u00e9pend de la criticit\u00e9 du syst\u00e8me, des exigences l\u00e9gales, des obligations contractuelles et des besoins op\u00e9rationnels. Les journaux de production pertinents sont conserv\u00e9s pendant au moins 30 jours, sauf si une dur\u00e9e de conservation plus longue s’applique. <\/span> <\/p>\n

          Protection de l’int\u00e9grit\u00e9 <\/strong><\/h6>\n

          reev met en \u0153uvre des contr\u00f4les destin\u00e9s \u00e0 prot\u00e9ger les syst\u00e8mes et les donn\u00e9es contre toute modification non autoris\u00e9e, y compris des restrictions d’acc\u00e8s, la gestion des changements, la journalisation, la surveillance, des proc\u00e9dures de sauvegarde et des processus de d\u00e9ploiement s\u00e9curis\u00e9s.<\/span> <\/span><\/p>\n

          2.3 Disponibilit\u00e9 et r\u00e9silience<\/span><\/b> <\/span><\/h5>\n
          Sauvegarde des donn\u00e9es <\/strong><\/h6>\n

          Des sauvegardes des syst\u00e8mes et bases de donn\u00e9es pertinents sont effectu\u00e9es quotidiennement. Les sauvegardes sont stock\u00e9es s\u00e9par\u00e9ment des donn\u00e9es de production et prot\u00e9g\u00e9es contre tout acc\u00e8s non autoris\u00e9. reev utilise, dans la mesure applicable, la Cross-Region Replication (CRR) dans AWS afin de soutenir la redondance, la r\u00e9silience et la reprise apr\u00e8s sinistre (disaster recovery). <\/span> <\/span><\/p>\n

          Les donn\u00e9es de sauvegarde sont prot\u00e9g\u00e9es par des mesures techniques et organisationnelles appropri\u00e9es, y compris des restrictions d’acc\u00e8s et le chiffrement, dans la mesure applicable.<\/span> <\/p>\n

          Tests de restauration <\/strong><\/h6>\n

          La restaurabilit\u00e9 des sauvegardes est test\u00e9e au moins une fois par an afin de valider l’int\u00e9grit\u00e9 des donn\u00e9es, les proc\u00e9dures de restauration et la pr\u00e9paration op\u00e9rationnelle. Les r\u00e9sultats des tests de restauration sont document\u00e9s et examin\u00e9s ; les probl\u00e8mes identifi\u00e9s sont trait\u00e9s par des mesures correctives appropri\u00e9es. <\/span> <\/p>\n

          Redondance et r\u00e9silience <\/strong><\/h6>\n

          Les installations de traitement de l’information sont mises en \u0153uvre avec une redondance suffisante afin de satisfaire aux exigences de disponibilit\u00e9 et de r\u00e9silience. reev recourt \u00e0 des contr\u00f4les d’infrastructure et d’architecture cloud appropri\u00e9s afin de r\u00e9duire le risque d’interruptions de service et de perte de donn\u00e9es. <\/span> <\/span><\/p>\n

          Les donn\u00e9es \u00e0 caract\u00e8re personnel trait\u00e9es dans la plateforme reev sont par d\u00e9faut h\u00e9berg\u00e9es dans des centres de donn\u00e9es AWS situ\u00e9s au sein de l’Union europ\u00e9enne, en particulier dans la r\u00e9gion eu-central-1, Frankfurt am Main. Dans la mesure o\u00f9 la Cross-Region Replication est utilis\u00e9e, celle-ci s’effectue au sein de l’Union europ\u00e9enne ou de l’Espace \u00e9conomique europ\u00e9en. Un traitement de donn\u00e9es \u00e0 caract\u00e8re personnel en dehors de l’UE\/de l’EEE n’a lieu que conform\u00e9ment aux r\u00e8gles relatives aux transferts internationaux d\u00e9crites \u00e0 la clause 3.4. <\/span> <\/p>\n

          Continuit\u00e9 des activit\u00e9s et reprise apr\u00e8s sinistre <\/strong><\/h6>\n

          reev maintient des mesures de continuit\u00e9 d’activit\u00e9 (business continuity) et de reprise apr\u00e8s sinistre (disaster recovery) pour les syst\u00e8mes et processus critiques. Ces mesures sont con\u00e7ues pour soutenir la disponibilit\u00e9 continue des services ainsi que le r\u00e9tablissement rapide de l’acc\u00e8s aux donn\u00e9es \u00e0 caract\u00e8re personnel en cas d’incident physique ou technique, conform\u00e9ment \u00e0 l’art. 32 du RGPD. <\/span> <\/span><\/p>\n

          Les proc\u00e9dures de restauration et les responsabilit\u00e9s sont d\u00e9finies et r\u00e9guli\u00e8rement v\u00e9rifi\u00e9es.<\/span> <\/span><\/p>\n

          2.4 Gestion des vuln\u00e9rabilit\u00e9s, des correctifs et des logiciels malveillants<\/span><\/b> <\/span><\/h5>\n
          Gestion technique des vuln\u00e9rabilit\u00e9s <\/strong><\/h6>\n

          reev obtient des informations sur les vuln\u00e9rabilit\u00e9s techniques au moyen de scans de vuln\u00e9rabilit\u00e9s, d’avis de fournisseurs, de la surveillance des d\u00e9pendances, d’alertes de s\u00e9curit\u00e9 et de tests d’intrusion. Les vuln\u00e9rabilit\u00e9s sont \u00e9valu\u00e9es sur la base de leur gravit\u00e9, de leur exploitabilit\u00e9, de l’exposition et des impacts potentiels. Les vuln\u00e9rabilit\u00e9s critiques sont corrig\u00e9es ou att\u00e9nu\u00e9es sans d\u00e9lai sur la base du risque. <\/span> <\/span><\/p>\n

          Les vuln\u00e9rabilit\u00e9s \u00e0 haut risque sont corrig\u00e9es dans des d\u00e9lais internes d\u00e9finis, en principe dans un d\u00e9lai de 30 jours, dans la mesure o\u00f9 cela est techniquement et op\u00e9rationnellement possible, sauf si une d\u00e9rogation document\u00e9e fond\u00e9e sur le risque s’applique. <\/span> <\/p>\n

          Gestion des correctifs <\/strong><\/h6>\n

          Les mises \u00e0 jour de s\u00e9curit\u00e9 sont \u00e9valu\u00e9es et appliqu\u00e9es sur la base du risque, de la gravit\u00e9 et de la criticit\u00e9 du syst\u00e8me. Les proc\u00e9dures de gestion des correctifs sont con\u00e7ues pour r\u00e9duire l’exposition aux vuln\u00e9rabilit\u00e9s connues tout en maintenant la stabilit\u00e9 et la disponibilit\u00e9 des syst\u00e8mes. <\/span> <\/p>\n

          Tests d’intrusion et \u00e9valuations de s\u00e9curit\u00e9 <\/strong><\/h6>\n

          reev r\u00e9alise des tests d’intrusion au moins une fois par an et proc\u00e8de \u00e0 des \u00e9valuations de s\u00e9curit\u00e9 suppl\u00e9mentaires, dans la mesure o\u00f9 cela est appropri\u00e9, par exemple apr\u00e8s des modifications substantielles des syst\u00e8mes ou de l’architecture. Les constatations sont examin\u00e9es, hi\u00e9rarchis\u00e9es et corrig\u00e9es sur la base du risque. <\/span> <\/p>\n

          Protection contre les logiciels malveillants <\/strong><\/h6>\n

          Des mesures de protection anti-logiciels malveillants et de protection des terminaux (endpoint protection) sont d\u00e9ploy\u00e9es sur les terminaux fournis par reev et sur les syst\u00e8mes de messagerie pertinents. Les m\u00e9canismes de protection sont, dans la mesure o\u00f9 cela est techniquement possible, configur\u00e9s de mani\u00e8re \u00e0 \u00eatre mis \u00e0 jour automatiquement. <\/span> <\/span><\/p>\n

          2.5 V\u00e9rification, \u00e9valuation et appr\u00e9ciation r\u00e9guli\u00e8res<\/span><\/b> <\/span><\/h5>\n

          reev teste, appr\u00e9cie et \u00e9value r\u00e9guli\u00e8rement l’efficacit\u00e9 des mesures techniques et organisationnelles au moyen de revues internes, d’\u00e9valuations de vuln\u00e9rabilit\u00e9s, de tests d’intrusion, d’\u00e9valuations des risques, d’activit\u00e9s de surveillance, d’audits et de v\u00e9rifications des contr\u00f4les ISO\/IEC 27001. Les faiblesses identifi\u00e9es font l’objet d’un suivi et sont trait\u00e9es par des mesures correctives appropri\u00e9es. <\/span> <\/span><\/p>\n

          3. Mesures organisationnelles<\/span><\/b> <\/span><\/h3>\n
          3.1 Gouvernance et gestion des risques<\/span><\/b><\/h5>\n
          Cadre du SMSI<\/b>
          <\/strong><\/h6>\n

          reev exploite un syst\u00e8me de management de la s\u00e9curit\u00e9 de l’information (SMSI) certifi\u00e9 selon la norme ISO\/IEC 27001. Le SMSI d\u00e9finit les structures de gouvernance, les responsabilit\u00e9s, les politiques, les contr\u00f4les, les proc\u00e9dures de gestion des risques et les processus d’am\u00e9lioration continue pour la s\u00e9curit\u00e9 de l’information. <\/span><\/p>\n

          \u00c9valuation des risques<\/b>
          <\/strong><\/h6>\n

          reev proc\u00e8de r\u00e9guli\u00e8rement \u00e0 des \u00e9valuations des risques dans le domaine de la s\u00e9curit\u00e9 de l’information afin d’identifier les menaces, les vuln\u00e9rabilit\u00e9s et les risques pesant sur les actifs informationnels et les donn\u00e9es \u00e0 caract\u00e8re personnel. Les mesures de traitement des risques sont d\u00e9finies, mises en \u0153uvre, surveill\u00e9es et v\u00e9rifi\u00e9es conform\u00e9ment au SMSI. <\/span> <\/p>\n

          Gestion des politiques<\/b>
          <\/span><\/h6>\n

          Les politiques de s\u00e9curit\u00e9 de l’information et de protection des donn\u00e9es sont v\u00e9rifi\u00e9es au moins une fois par an ou en cas de modifications substantielles. Les politiques sont communiqu\u00e9es aux personnes concern\u00e9es et mises \u00e0 disposition par des canaux internes appropri\u00e9s. <\/span> <\/p>\n

          Classification des actifs et des informations<\/b>
          <\/strong><\/h6>\n

          reev maintient des processus d’identification et de classification des actifs informationnels sur la base de leur sensibilit\u00e9, de leur importance pour l’activit\u00e9 et des exigences de s\u00e9curit\u00e9. Des exigences de traitement appropri\u00e9es sont appliqu\u00e9es en fonction de la classification de l’information ou de l’actif concern\u00e9. <\/span> <\/span><\/p>\n

          3.2 S\u00e9curit\u00e9 du personnel<\/span><\/b> <\/span><\/h5>\n
          V\u00e9rification des ant\u00e9c\u00e9dents <\/b>
          <\/span><\/h6>\n

          Dans la mesure o\u00f9 cela est l\u00e9galement admissible et proportionn\u00e9 au r\u00f4le concern\u00e9, reev proc\u00e8de, avant le d\u00e9but de l’emploi, \u00e0 des v\u00e9rifications correspondant aux responsabilit\u00e9s, aux droits d’acc\u00e8s et au profil de risque du poste.<\/span> <\/p>\n

          Sensibilisation et formation<\/b>
          <\/strong><\/h6>\n

          Tous les employ\u00e9s re\u00e7oivent r\u00e9guli\u00e8rement des formations \u00e0 la s\u00e9curit\u00e9 de l’information, y compris des formations relatives aux responsabilit\u00e9s en mati\u00e8re de protection des donn\u00e9es, \u00e0 la confidentialit\u00e9, au traitement s\u00e9curis\u00e9 des donn\u00e9es \u00e0 caract\u00e8re personnel, \u00e0 la sensibilisation au hame\u00e7onnage (phishing), au signalement des incidents de s\u00e9curit\u00e9 et aux obligations RGPD pertinentes. Les formations ont lieu au moins une fois par an ainsi que dans le cadre de l’int\u00e9gration (onboarding). <\/span> <\/p>\n

          Engagements de confidentialit\u00e9 <\/em><\/b><\/span><\/p>\n

          Les employ\u00e9s, sous-traitants et autres personnes ayant acc\u00e8s \u00e0 des informations confidentielles ou \u00e0 des donn\u00e9es \u00e0 caract\u00e8re personnel sont tenus de souscrire des engagements de confidentialit\u00e9 ou des accords de non-divulgation. Ces engagements continuent de s’appliquer, dans la mesure o\u00f9 ils sont juridiquement ex\u00e9cutoires, au-del\u00e0 de la fin de la relation de travail ou contractuelle. <\/span> <\/p>\n

          Utilisation autoris\u00e9e et s\u00e9curit\u00e9 des terminaux<\/b>
          <\/strong><\/h6>\n

          reev d\u00e9finit des exigences relatives \u00e0 l’utilisation autoris\u00e9e des syst\u00e8mes, appareils et actifs informationnels de l’entreprise. Les terminaux fournis par reev sont soumis \u00e0 des contr\u00f4les de s\u00e9curit\u00e9 appropri\u00e9s, qui peuvent inclure la gestion des appareils, le chiffrement, des exigences de verrouillage d’\u00e9cran, la protection anti-logiciels malveillants et la gestion des mises \u00e0 jour. <\/span> <\/span><\/p>\n

          3.3 Gestion des incidents<\/span><\/b> <\/span><\/h5>\n
          Plan de r\u00e9ponse aux incidents<\/b><\/strong><\/h6>\n

          reev maintient un plan formel de r\u00e9ponse aux incidents pour l’identification, le signalement, l’\u00e9valuation, l’escalade, le confinement, l’investigation et la r\u00e9solution des incidents de s\u00e9curit\u00e9. Les employ\u00e9s sont tenus de signaler les incidents de s\u00e9curit\u00e9 suspect\u00e9s ou confirm\u00e9s via les voies de signalement d\u00e9finies. <\/span> <\/p>\n

          Traitement des violations de donn\u00e9es \u00e0 caract\u00e8re personnel<\/b><\/strong><\/h6>\n

          Dans la mesure o\u00f9 un incident concerne des donn\u00e9es \u00e0 caract\u00e8re personnel, reev \u00e9value si l’incident constitue une violation de donn\u00e9es \u00e0 caract\u00e8re personnel et examine les obligations de notification et de communication au titre des art. 33 et 34 du RGPD. Dans la mesure o\u00f9 reev agit en qualit\u00e9 de sous-traitant, reev notifie au responsable du traitement concern\u00e9 dans un d\u00e9lai de soixante-douze (72) heures conform\u00e9ment \u00e0 l’art. 33, paragraphe 2, du RGPD et aux obligations contractuelles applicables. <\/span> <\/span><\/p>\n

          Les incidents et les violations de donn\u00e9es \u00e0 caract\u00e8re personnel sont document\u00e9s, y compris les faits relatifs \u00e0 l’incident, les impacts, les mesures correctives prises et les d\u00e9cisions relatives aux notifications ou communications. Les enseignements tir\u00e9s des incidents sont utilis\u00e9s pour am\u00e9liorer les contr\u00f4les de s\u00e9curit\u00e9 et les proc\u00e9dures de r\u00e9ponse. <\/span> <\/span><\/p>\n

          3.4 Gestion des fournisseurs tiers et des sous-traitants<\/span><\/b> <\/span><\/h5>\n
          S\u00e9curit\u00e9 des fournisseurs<\/b><\/strong> <\/span><\/h6>\n

          Les exigences en mati\u00e8re de s\u00e9curit\u00e9 de l’information et de protection des donn\u00e9es sont d\u00e9finies et convenues avec les fournisseurs sur la base de la nature des prestations fournies et du risque associ\u00e9 au traitement. Les fournisseurs qui traitent des donn\u00e9es \u00e0 caract\u00e8re personnel pour le compte de reev ou de clients de reev sont soumis \u00e0 des obligations contractuelles appropri\u00e9es. <\/span> <\/p>\n

          Contrats de sous-traitance<\/b><\/strong><\/h6>\n

          reev ne transmet pas de donn\u00e9es \u00e0 caract\u00e8re personnel \u00e0 un sous-traitant ou \u00e0 un sous-traitant ult\u00e9rieur en l’absence de dispositions contractuelles appropri\u00e9es, y compris un contrat de sous-traitance ou des clauses \u00e9quivalentes en mati\u00e8re de protection des donn\u00e9es, dans la mesure o\u00f9 cela est requis au titre de l’art. 28 du RGPD.<\/span> <\/p>\n

          Sous-traitants ult\u00e9rieurs<\/b><\/strong><\/h6>\n

          Les sous-traitants ult\u00e9rieurs ne sont recourus que conform\u00e9ment aux accords clients applicables et aux exigences de l’art. 28 du RGPD. Dans la mesure n\u00e9cessaire, les obligations des sous-traitants ult\u00e9rieurs comprennent des obligations appropri\u00e9es en mati\u00e8re de protection des donn\u00e9es, de confidentialit\u00e9, de s\u00e9curit\u00e9, d’assistance, d’audit, d’effacement ou de restitution ainsi que de transmission ult\u00e9rieure. <\/span> <\/span><\/p>\n

          Une liste actualis\u00e9e des sous-traitants ult\u00e9rieurs auxquels reev a recours est tenue \u00e0 l’adresse reev.com\/legal. reev informe les clients au moins 30 jours \u00e0 l’avance de toute modification envisag\u00e9e concernant les sous-traitants ult\u00e9rieurs qui traitent des donn\u00e9es \u00e0 caract\u00e8re personnel du client concern\u00e9, sauf si un d\u00e9lai plus court est requis pour des raisons de s\u00e9curit\u00e9, de disponibilit\u00e9 ou d’autres raisons urgentes. Les clients peuvent, pour des motifs l\u00e9gitimes relevant de la protection des donn\u00e9es, faire opposition \u00e0 la modification dans le d\u00e9lai d’annonce. Dans ce cas, les parties coop\u00e9reront de bonne foi afin de trouver une solution appropri\u00e9e. <\/span> <\/p>\n

          Transferts internationaux<\/b><\/h6>\n

          Dans la mesure o\u00f9 des donn\u00e9es \u00e0 caract\u00e8re personnel sont transf\u00e9r\u00e9es vers un pays situ\u00e9 en dehors de l’Espace \u00e9conomique europ\u00e9en ou y sont accessibles depuis un tel pays, reev met en \u0153uvre des m\u00e9canismes de transfert et des garanties appropri\u00e9s conform\u00e9ment au chapitre V du RGPD, par exemple des d\u00e9cisions d’ad\u00e9quation, des clauses contractuelles types et des mesures suppl\u00e9mentaires, dans la mesure n\u00e9cessaire.<\/span> <\/span><\/p>\n

          3.5 Conservation des donn\u00e9es et effacement s\u00e9curis\u00e9<\/span><\/b> <\/span><\/h5>\n

          Les donn\u00e9es \u00e0 caract\u00e8re personnel ne sont conserv\u00e9es que pendant la dur\u00e9e n\u00e9cessaire \u00e0 la finalit\u00e9 de traitement concern\u00e9e ou pendant la dur\u00e9e n\u00e9cessaire au titre du droit applicable, d’un contrat ou de besoins commerciaux l\u00e9gitimes. Des proc\u00e9dures de conservation et d’effacement sont mises en \u0153uvre pour les syst\u00e8mes et cat\u00e9gories de donn\u00e9es pertinents. <\/span> <\/span><\/p>\n

          \u00c0 l’expiration des dur\u00e9es de conservation applicables ou en cas de demandes d’effacement valables, les donn\u00e9es \u00e0 caract\u00e8re personnel sont effac\u00e9es, anonymis\u00e9es ou trait\u00e9es d’une autre mani\u00e8re conform\u00e9ment aux exigences l\u00e9gales et contractuelles applicables, sauf si une conservation ult\u00e9rieure est l\u00e9galement requise ou admise.<\/span> <\/span><\/p>\n

          3.6 Droits des personnes concern\u00e9es et assistance au responsable du traitement<\/span><\/b> <\/span><\/h5>\n

          Dans la mesure o\u00f9 reev agit en qualit\u00e9 de sous-traitant, reev assiste le responsable du traitement, dans la mesure du possible et en tenant compte de la nature du traitement, dans l’accomplissement des obligations li\u00e9es aux droits des personnes concern\u00e9es au titre du chapitre III du RGPD ainsi qu’\u00e0 la s\u00e9curit\u00e9 du traitement au titre de l’art. 32 du RGPD, conform\u00e9ment aux obligations contractuelles applicables.<\/span> <\/span><\/p>\n

          3.7 Audit, conformit\u00e9 et am\u00e9lioration continue<\/span><\/b> <\/span><\/h5>\n

          reev surveille l’efficacit\u00e9 de ses contr\u00f4les de s\u00e9curit\u00e9 au moyen du SMSI, de revues internes, d’audits, d’\u00e9valuations des risques, d’\u00e9valuations techniques et de processus de mesures correctives. La documentation relative \u00e0 la s\u00e9curit\u00e9 et \u00e0 la conformit\u00e9 est tenue afin de d\u00e9montrer la mise en \u0153uvre de mesures techniques et organisationnelles appropri\u00e9es. <\/span> <\/span><\/p>\n

          Les mesures techniques et organisationnelles sont r\u00e9guli\u00e8rement v\u00e9rifi\u00e9es et actualis\u00e9es en tant que de besoin, notamment en raison de modifications des exigences l\u00e9gales, de la technologie, du contexte de risque, de la structure organisationnelle, des activit\u00e9s de traitement ou des pratiques de s\u00e9curit\u00e9.<\/span> <\/span><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t","protected":false},"excerpt":{"rendered":"

          Home Data Processing Agreement (DPA) Mise \u00e0 jour : juillet 2026 Avertissement : Traduction du document original en allemand. En cas de divergence, d\u2019incoh\u00e9rence ou de conflit avec la version allemande, notamment en raison de retards de traduction, la version allemande pr\u00e9vaut. Le pr\u00e9sent Data Processing Agreement (ci-apr\u00e8s le \u00ab DPA \u00bb) s’applique entre reev […]<\/p>\n","protected":false},"author":14,"featured_media":0,"parent":0,"menu_order":0,"comment_status":"closed","ping_status":"closed","template":"","meta":{"_seopress_titles_title":"Accord sur le traitement des donn\u00e9es (DPA) %%sep%% %%sitetitle%%","_seopress_titles_desc":"reev GmbH - Sandstra\u00dfe 3 - 80335 Munich Nous g\u00e9rons nos sites Web conform\u00e9ment aux principes \u00e9nonc\u00e9s ci-apr\u00e8s : nous nous engageons \u00e0 respecter les dispositions l\u00e9gales en mati\u00e8re de protection des donn\u00e9es et nous nous effor\u00e7ons de toujours tenir compte des principes de limitation et de minimisation des donn\u00e9es.","_seopress_robots_index":"","_seopress_robots_follow":"","_seopress_robots_imageindex":"","_seopress_robots_snippet":"","_seopress_robots_primary_cat":"","_seopress_robots_breadcrumbs":"","_seopress_robots_freeze_modified_date":"","_seopress_robots_custom_modified_date":"","_seopress_robots_canonical":"","_seopress_social_fb_title":"Accord sur le traitement des donn\u00e9es (DPA) %%sep%% %%sitetitle%%","_seopress_social_fb_desc":"","_seopress_social_fb_img":"","_seopress_social_fb_img_attachment_id":0,"_seopress_social_fb_img_width":0,"_seopress_social_fb_img_height":0,"_seopress_social_twitter_title":"Accord sur le traitement des donn\u00e9es (DPA) %%sep%% %%sitetitle%%","_seopress_social_twitter_desc":"","_seopress_social_twitter_img":"","_seopress_social_twitter_img_attachment_id":0,"_seopress_social_twitter_img_width":0,"_seopress_social_twitter_img_height":0,"_seopress_redirections_value":"","_seopress_redirections_enabled":"","_seopress_redirections_enabled_regex":"","_seopress_redirections_logged_status":"both","_seopress_redirections_param":"","_seopress_redirections_type":301,"_seopress_analysis_target_kw":"","_seopress_news_disabled":"","_seopress_video_disabled":"","_seopress_video":[],"_seopress_pro_schemas_manual":[],"_seopress_pro_rich_snippets_disable_all":"","_seopress_pro_rich_snippets_disable":[],"_seopress_pro_schemas":[],"footnotes":""},"class_list":["post-427922","page","type-page","status-publish","hentry"],"translations":{"de":"data-processing-agreement-dpa-reev","en":"data-processing-agreement-dpa-reev","fr":"data-processing-agreement-dpa-reev"},"_links":{"self":[{"href":"https:\/\/reev.com\/fr\/wp-json\/wp\/v2\/pages\/427922","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/reev.com\/fr\/wp-json\/wp\/v2\/pages"}],"about":[{"href":"https:\/\/reev.com\/fr\/wp-json\/wp\/v2\/types\/page"}],"author":[{"embeddable":true,"href":"https:\/\/reev.com\/fr\/wp-json\/wp\/v2\/users\/14"}],"replies":[{"embeddable":true,"href":"https:\/\/reev.com\/fr\/wp-json\/wp\/v2\/comments?post=427922"}],"version-history":[{"count":7,"href":"https:\/\/reev.com\/fr\/wp-json\/wp\/v2\/pages\/427922\/revisions"}],"predecessor-version":[{"id":428035,"href":"https:\/\/reev.com\/fr\/wp-json\/wp\/v2\/pages\/427922\/revisions\/428035"}],"wp:attachment":[{"href":"https:\/\/reev.com\/fr\/wp-json\/wp\/v2\/media?parent=427922"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}