Accord de traitement des données

1. Définitions

« Données à caractère personnel », « Traitement », « Personne concernée », « Responsable du traitement », « Sous-traitant », « Sous-traitant ultérieur » et « Violation de données à caractère personnel » ont le sens qui leur est donné dans le RGPD. « Données de la Plateforme » désigne les données à caractère personnel des Clients mises à la disposition du Sous-traitant via la Plateforme aux fins de l'exécution d'une Mission.

2. Objet et durée

Le Sous-traitant traite les Données de la Plateforme pour le compte du Responsable du traitement pendant la durée du Contrat Prestataire, et ensuite uniquement dans la mesure nécessaire pour se conformer à la Section 10 (Restitution ou suppression des données).

3. Nature et finalité du traitement

Le Sous-traitant traite les Données de la Plateforme uniquement pour exécuter les services de collecte de déchets et connexes demandés par les Clients via la Plateforme, y compris la planification, l'accès au site, l'exécution de l'enlèvement et la documentation des preuves.

4. Catégories de personnes concernées

• Les Clients qui soumettent des demandes d'enlèvement.
• Les personnes présentes à une adresse d'enlèvement (p. ex. occupants du bâtiment), dans la mesure limitée où leurs données apparaissent incidemment dans les preuves d'enlèvement.

5. Catégories de données à caractère personnel

Aucune catégorie particulière de données (art. 9 du RGPD) n'est destinée à être traitée. Si le Sous-traitant constate que des données de catégorie particulière ont été incidemment capturées, il doit en informer le Responsable du traitement sans retard injustifié.

• Données d'identification : nom, numéro de téléphone.
• Données de localisation : adresse d'enlèvement et, le cas échéant, identifiant de site ou instructions d'accès.
• Données visuelles : photographies avant/après du site d'enlèvement.
• Données liées à la Mission : classification des déchets, quantité, notes échangées via la messagerie de Mission.

6. Obligations du sous-traitant

Le Sous-traitant :

• ne traite les Données de la Plateforme que sur instruction documentée du Responsable du traitement, sauf obligation contraire du droit de l'UE ou d'un État membre ;
• veille à ce que les personnes autorisées à traiter les Données de la Plateforme soient soumises à une obligation de confidentialité ;
• met en œuvre des mesures techniques et organisationnelles appropriées pour assurer une sécurité adaptée au risque (Annexe 2) ;
• n'engage pas de sous-traitant ultérieur sans l'autorisation écrite préalable du Responsable du traitement, et l'informe de tout changement envisagé afin qu'il puisse s'y opposer ;
• aide le Responsable du traitement, dans la mesure raisonnablement possible, à répondre aux demandes d'exercice des droits des Personnes concernées ;
• aide le Responsable du traitement en matière de sécurité du traitement, de notification des violations et d'analyses d'impact relatives à la protection des données ;
• au choix du Responsable du traitement, supprime ou restitue toutes les Données de la Plateforme à la fin des services, sauf si la conservation est légalement requise ;
• met à disposition toutes les informations nécessaires pour démontrer la conformité, et permet et contribue aux audits moyennant un préavis raisonnable.

7. Sous-traitants ultérieurs

Le Sous-traitant ne peut engager de sous-traitants ultérieurs (p. ex. équipes sous-traitées, installations d'élimination ou de traitement) que lorsque cela est nécessaire à l'exécution d'une Mission et lorsqu'ils sont liés par des obligations de protection des données au moins aussi protectrices que celles du présent DPA. Le Sous-traitant demeure pleinement responsable envers le Responsable du traitement des actes et omissions de ses sous-traitants ultérieurs.

8. Transferts internationaux

Le Sous-traitant ne transférera pas les Données de la Plateforme en dehors de l'Espace économique européen sans le consentement écrit préalable du Responsable du traitement et, le cas échéant, sans un mécanisme de transfert approprié (p. ex. clauses contractuelles types).

9. Notification des violations de données à caractère personnel

Le Sous-traitant notifiera au Responsable du traitement sans retard injustifié, et en tout état de cause dans les 24 heures suivant la prise de connaissance, toute Violation de données à caractère personnel affectant les Données de la Plateforme, en fournissant des informations suffisantes pour permettre au Responsable du traitement de remplir ses obligations au titre des articles 33 et 34 du RGPD.

10. Restitution ou suppression des données

Dans les 30 jours suivant la résiliation du Contrat Prestataire, ou plus tôt à la demande du Responsable du traitement, le Sous-traitant supprimera ou restituera toutes les Données de la Plateforme en sa possession, et certifiera la suppression par écrit sur demande, sauf lorsque la conservation est légalement requise.

11. Responsabilité

Chaque Partie est responsable des dommages causés par un traitement qui enfreint le RGPD uniquement lorsqu'elle n'a pas respecté les obligations spécifiquement destinées aux sous-traitants, ou lorsqu'elle a agi en dehors ou à l'encontre des instructions licites du Responsable du traitement. Rien ne limite la responsabilité de l'une ou l'autre Partie envers les Personnes concernées au titre de l'article 82 du RGPD.

12. Durée et droit applicable

Le présent DPA prend effet à la même date que le Contrat Prestataire et demeure en vigueur tant que le Sous-traitant traite des Données de la Plateforme pour le compte du Responsable du traitement. Il est régi par le droit du Grand-Duché de Luxembourg.

Annexe 2 — Mesures techniques et organisationnelles de sécurité

• Accès aux Données de la Plateforme limité au personnel qui en a besoin pour exécuter la Mission concernée.
• Les appareils utilisés pour accéder à la Plateforme doivent être protégés par un code d'accès ou un verrouillage biométrique.
• Les photographies et notes ne doivent être soumises que via la Plateforme, et non conservées localement au-delà de ce qui est nécessaire pour achever la Mission.
• Signalement rapide des appareils perdus ou volés susceptibles d'avoir contenu des Données de la Plateforme.
• Respect des obligations de confidentialité de la Section 10 du Contrat Prestataire.