Accord sur le traitement des données

1.1 Le Contrôleur a convenu de nommer le Responsable du traitement pour fournir des logiciels et des services au Contrôleur aux termes du Contrat.

1.2 Dans le cadre de l’exécution du logiciel et des services, le Responsable du traitement sera tenu de Traiter les données personnelles qui peuvent être liées à des personnes physiques spécifiques, comme décrit à l’annexe A.

1.3 L’Accord sur le traitement des données définit les conditions générales qui s’appliquent au Traitement des données personnelles par le Responsable du traitement.

2.1       Les mots et expressions qui suivent ont le sens qui leur est donné dans l’Accord sur le traitement des données, à moins que le contexte ne s’y oppose.

2.2 Sauf indication contraire du contexte, les mots au singulier comprennent le pluriel et les mots au pluriel comprennent le singulier.

2.3 Les mots qui suivent les termes « y compris », « inclure », « en particulier » ou « par exemple » ou toute expression similaire doivent être interprétés comme illustratifs et ne doivent pas limiter la généralité des mots généraux connexes.

2.4 Toute exclusion ou limitation de responsabilité dans le Contrat s’applique également à la responsabilité du Responsable du traitement en vertu du présent Accord sur le traitement des données.

3.1 L’Accord sur le traitement des données s’applique à tout Traitement de données personnelles effectué par le Responsable du traitement dans le cadre de l’exécution des Services de traitement des données pour le Contrôleur, comme défini à l’annexe A (l’objet).

3.2 Le Client et Planday reconnaissent que le Client est le Contrôleur et que Planday est le Responsable du traitement en ce qui concerne les Données Personnelles fournies à Planday par ou pour le compte du Client, y compris les Données Personnelles décrites à l’Annexe A, dans le cadre de la fourniture des Services de traitement des données.

3.3 La nature et la finalité du Traitement, les types de Données personnelles et les catégories d’Objets des données sont indiqués à l’Annexe A.

3.4 Rien dans le présent Accord sur le traitement des données ne doit porter atteinte aux droits et obligations de Planday énoncés dans la Licence d’utilisateur final.

4.1 Le responsable du traitement doit :

a) Traiter les données personnelles uniquement selon les instructions documentées du Contrôleur, comme spécifié dans le présent Accord sur le traitement des données et aux fins énoncées à l’Annexe A ;

b) accomplir ses opérations en vertu du présent Accord sur le traitement des données avec toute la compétence, le soin et la diligence nécessaires ;

c) tenir un registre tel que décrit dans l’art. 30 du RGPD à son siège social normal de tout Traitement des données personnelles effectué dans le cadre des Services de traitement des données et du respect des obligations qui lui incombent en vertu du présent Accord sur le traitement des données (« Enregistrements ») ;

d) s’assurer que les personnes autorisées à Traiter les Données personnelles se sont engagées à respecter la confidentialité ou sont soumises à une obligation légale de confidentialité ;

e) mettre en œuvre les mesures techniques et organisationnelles appropriées pour protéger les Données personnelles contre la destruction accidentelle ou illégale, la perte accidentelle, l’altération, la divulgation ou l’accès non autorisé, et contre toute autre forme de traitement illicite, y compris les exigences relatives à ces mesures en vertu de la loi sur la protection des données, comme spécifié dans la clause 6 ;

f) ne faire des copies des Données Personnelles que dans la mesure raisonnablement nécessaire, ce qui peut inclure, entre autres, la sauvegarde, la mise en miroir, la sécurité, la reprise après sinistre et le test des Données Personnelles ;

g) ne sous-traiter qu’à des responsables du traitement conformément aux exigences de la clause 7 ;

h) informer immédiatement le Contrôleur s’il y a raison de croire qu’une instruction enfreint la Loi sur la protection des données ;

i) assister le Contrôleur par des mesures techniques et organisationnelles appropriées, dans la mesure du possible, pour remplir l’obligation du Contrôleur de répondre aux demandes d’exercice des droits non exclusifs d’accès, de rectification, d’effacement et de portabilité des données de la personne concernée, tels qu’ils sont énoncés dans la Loi sur la protection des données ;

j) au choix du Contrôleur, détruire ou retourner toutes les Données personnelles au Contrôleur pendant ou après la durée du présent contrat de traitement des données, cf. clause 11 ;

k) mettre à la disposition du Contrôleur toutes les informations nécessaires pour démontrer le respect de la Loi sur la protection des données, par exemple un certificat d’audit annuel délivré par les comptables tiers du Responsable du traitement, le cas échéant ;

l) dans le cadre de la clause 4.1 (k), si cela est juridiquement et techniquement possible), permettre et contribuer aux audits, y compris les inspections effectuées par le Contrôleur ou une autre instance mandatée par le Contrôleur, comme indiqué dans la clause 8 ;
m) respecter les obligations qui lui incombent en vertu de la Loi sur la protection des données, y compris, le cas échéant, la nomination d’un délégué à la protection des données.

4.2 Si le Responsable du traitement reçoit une plainte, une notification ou une communication se rapportant directement ou indirectement au Traitement des données personnelles ou au respect de la Loi sur la protection des données par l’une ou l’autre partie, il en informe immédiatement le Contrôleur et lui fournit toute la coopération et assistance nécessaires pour traiter une telle plainte, notification ou communication.

4.3 La responsabilité du Responsable du traitement en vertu du Contrat, y compris l’Accord sur le traitement des données, est plafonnée et déclinée conformément aux modalités du Contrat.

4.4 Le Responsable du traitement doit informer le Contrôleur sans délai indu si le Responsable du traitement prend connaissance d’une Violation des données personnelles.

4.5 Le Responsable du traitement a le droit de facturer séparément au Contrôleur tous les coûts (y compris les ressources internes aux taux standard du Responsable du traitement) qui peuvent être engagés en rapport avec l’assistance visée à la clause 4.1 (a) à (m).

5.1 Le Contrôleur sera seul responsable de sa conformité aux lois applicables en tant que Contrôleur. Avant d’utiliser le logiciel et de recevoir des services dans le cadre du Contrat d’une manière qui inclut le traitement des données personnelles, le Contrôleur s’assurera qu’il se conforme à toutes les Lois sur la protection des données, par exemple en ce qui concerne la fourniture d’informations/notification et/ou les approbations des Objets des données et/ou des autorités réglementaires liées au Traitement.

5.2 Le Contrôleur informera rapidement le Responsable du traitement s’il apprend que le Traitement des données personnelles du Contrôleur peut être contraire à la Loi sur la protection des données.

5.3 Le Contrôleur garantit que le respect strict par le Responsable du traitement de toute instruction du Contrôleur en ce qui concerne le Traitement des données personnelles n’entraînera pas de violation de la Loi en vigueur sur la protection des données.

5.4 Le Contrôleur indemnisera le Responsable du traitement de toute perte résultant du défaut du Contrôleur de se conformer à ses obligations en vertu des présentes.

6.1 Le Responsable du traitement est tenu de mettre en œuvre les mesures techniques et organisationnelles appropriées pour assurer un niveau de sécurité adapté aux risques présentés par le Traitement, notamment en cas de destruction accidentelle ou illicite, de perte, d’altération, de divulgation non autorisée ou d’accès non autorisé aux Données personnelles transmises, stockées ou autrement Traitées, en tenant compte de l’état de la technique, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du Traitement, ainsi que des risques de probabilité et de gravité variables pour les droits et libertés des personnes physiques, y compris, entre autres, le cas échéant :

a) la pseudonymisation et le cryptage des Données Personnelles ;

b) la capacité d’assurer la confidentialité, l’intégrité, la disponibilité et la résilience des systèmes et services de traitement ;

c) la possibilité de rétablir la disponibilité et l’accès aux données personnelles en temps opportun en cas d’incident physique ou technique ;

d) un processus permettant de tester, d’estimer et d’évaluer régulièrement l’efficacité des mesures techniques et organisationnelles visant à garantir la sécurité du Traitement.

6.2 Le Responsable du traitement prend des mesures pour s’assurer que toute personne physique agissant sous l’autorité du Responsable du traitement qui a accès aux Données personnelles ne Traite pas les Données personnelles, sauf sur instructions du Contrôleur, à moins qu’elle ne soit tenue de le faire en vertu de la Loi sur la protection des données.

6.3 Les mesures de sécurité techniques et organisationnelles spécifiques mises en œuvre par le Responsable du traitement sont présentées à l’annexe B (Mesures de sécurité).

7.1 Le Contrôleur autorise par la présente le Responsable du traitement à engager des sous-traitants, y compris, sans limitation, les Sous-traitants mentionnés à l’Annexe A, pour effectuer le Traitement des données personnelles, à condition que le Responsable du traitement conclue un accord écrit avec chaque Sous-traitant, lequel impose aux Sous-traitants les mêmes obligations que celles imposées au Responsable du traitement en vertu du présent Accord sur le traitement des données. Le Contrôleur aura à tout moment, moyennant un préavis écrit raisonnable, le droit de recevoir une copie de l’accord sur le traitement des données du Responsable du traitement avec chaque Sous-traitant.

7.2 Le Responsable du traitement informera le Contrôleur par e-mail de tout ajout ou remplacement prévu d’un sous-traitant à l’avance, ce qui permettra au Contrôleur/Objet des données de s’opposer et/ou de donner son consentement éclairé, afin de ne pas être refusé de façon déraisonnable. Le Contrôleur ne peut s’y opposer sans raison objective et de bonne foi, à moins que le droit impératif ne l’exige. Si le Contrôleur s’oppose à l’ajout ou au remplacement d’un sous-traitant, à condition que cette objection soit fondée sur une raison objective et de bonne foi, le Responsable du traitement a le droit (i) de résilier l’Accord sur le traitement des données avec effet immédiat par notification écrite.

7.3 Lorsqu’un Sous-traitant ne remplit pas ses obligations en matière de protection des données en vertu de l’Accord sur le traitement des données visé à la clause 7.1, le Responsable du traitement reste entièrement responsable envers le Contrôleur de l’exécution générale de ses obligations en matière de protection des données effectuée par le Sous-traitant.

8.1 Afin de contrôler si le Responsable du traitement respecte ses obligations en vertu du présent Accord sur le traitement des données, le Responsable du traitement permet au Contrôleur, moyennant un préavis écrit raisonnable d’au moins trente (30) jours à l’attention du Responsable du traitement pendant les Heures d’ouverture, mais sans préavis en cas de soupçon raisonnable de violation du présent Accord sur le traitement des données par le Responsable du traitement, d’effectuer un Audit, y compris entre autres les suivants :

a) obtenir accès pour inspecter et prendre des copies des dossiers et de toute autre information détenue dans les locaux du Responsable du traitement ou dans le Système du Responsable du traitement lié aux Services de traitement des données, et ;

b) obtenir accès pour inspecter le Système du Responsable du traitement.

8.2 L’avis écrit doit comprendre un plan d’audit proposé. Si une partie de l’étendue de l’audit demandé est couverte par l’étendue d’un rapport d’audit réalisé par un auditeur tiers qualifié au cours des 12 derniers mois, le Responsable du traitement peut demander au Contrôleur d’examiner s’il peut s’appuyer sur ce rapport au lieu d’effectuer un audit. Le Responsable du traitement aura le droit de suggérer la date et l’heure de l’audit afin de minimiser la perturbation des activités et peut suggérer que l’audit soit combiné avec les audits d’autres Contrôleurs. Le Contrôleur ne peut pas refuser les suggestions en question du Responsable du traitement, à moins qu’il n’ait une raison objective et de bonne foi de le faire.

8.3 À la demande du Contrôleur, conformément à la Clause 8.1 et 8.2, le Contrôleur (ou un organisme d’inspection composé de membres indépendants et en possession des qualifications professionnelles requises liées par un devoir de confidentialité nommé par le Contrôleur ou le Régulateur) aura le droit d’effectuer des audits sur les installations du Responsable du traitement et sur les pratiques de sécurité directement liées au traitement des données personnelles dans le cadre du Contrat afin de contrôler le respect du présent Accord sur le traitement des données. Sauf en cas de suspicion raisonnable de violation du présent Accord sur le traitement des données ou si le droit impératif l’autorise, cet audit sera limité à 1 audit par période de 12 mois.

8.4 Le Contrôleur prendra en charge tous les coûts liés aux audits et le Responsable du traitement a le droit de facturer séparément au Contrôleur tous les coûts (y compris les ressources internes aux taux standard du Responsable du traitement) que le Responsable du traitement peut encourir en relation avec son assistance dans le cadre de ces audits.

8.5 Toute vérification doit être effectuée conformément aux politiques internes du Responsable du traitement et tous les participants sont assujettis à des obligations de confidentialité écrites adéquates. Dans la mesure permise par la loi en vigueur, le contrôleur doit remettre au Responsable du traitement une copie du rapport d’audit et le Responsable du traitement a le droit d’utiliser ce rapport gratuitement par rapport aux autres Contrôleurs.

8.6 Le Contrôleur ne peut utiliser les informations obtenues au cours d’un audit, y compris tout rapport d’audit, que dans le seul but de remplir ses obligations d’audit en vertu de la Loi sur la protection des données. Afin d’éviter tout doute, le Contrôleur n’est pas autorisé à divulguer au public une partie quelconque du rapport d’audit, sans le consentement écrit préalable du Responsable du traitement, sauf si la loi l’exige.

8.7 Le Responsable du traitement apportera toute l’assistance nécessaire à la réalisation de ces audits pendant la durée (telle que définie dans la clause 11) du présent Accord sur le traitement des données.

8.8 Le Contrôleur, ou ses représentants tiers tels que spécifiés à la clause 8.3, est autorisé à effectuer des audits avec les Sous-traitants du Responsable du traitement dans la mesure du possible, conformément aux conditions générales de la version alors en vigueur et applicable des conditions générales du Responsable du traitement.

9.1 Le Responsable du traitement peut traiter les Données personnelles dans des pays situés en dehors de l’EEE, sous réserve des instructions documentées du Contrôleur, comme indiqué à l’Annexe A.

9.2 Si le Responsable du traitement a l’intention de traiter des Données personnelles dans un autre pays tiers, le Responsable du traitement informera à l’avance le Contrôleur du transfert envisagé, ce qui donnera au Contrôleur la possibilité de s’y opposer.

10.1 Le Responsable du traitement reconnaît que les personnes autorisées à Traiter les Données personnelles sont tenues à la confidentialité, y compris toutes les informations relatives au Contrat et aux affaires des Parties.

10.2 Les dispositions relatives à la confidentialité continuent de s’appliquer après la résiliation du présent Accord sur le traitement des données.

11.1 Le présent Accord sur le traitement des données prendra effet à la date d’entrée en vigueur précisée dans le Contrat ou à la date de signature du Contrôleur sur la page de signature, selon la première de ces dates, et restera en vigueur pendant la Durée définie dans le Contrat.

11.2 En cas de résiliation du Contrat, le présent Accord sur le traitement des données prend également fin.

11.3 Nonobstant la clause 11.2 ci-dessus, le présent Accord sur le traitement des données ne devient caduc que lorsque le Contrôleur a reçu et accepté la documentation relative à la suppression décrite à la clause 11.6(b), à moins que le Contrôleur n’accepte expressément le contraire.

11.4 Toute disposition du présent Accord sur le traitement des données qui, expressément ou implicitement, est destiné à entrer en vigueur ou à se poursuivre après la résiliation du présent Accord sur le traitement des données demeure pleinement en vigueur.

11.5 La résiliation du présent Accord sur le traitement des données, pour quelque raison que ce soit, n’affectera pas les droits, les recours, les obligations ou les responsabilités des Parties existant au moment de la résiliation.

11.6 En cas de résiliation du présent Accord sur le traitement des données pour quelque raison que ce soit :

a) le Responsable du traitement doit, dès que possible, Retourner ou Détruire (selon les instructions écrites du Contrôleur) toutes les Données personnelles et toutes les informations et autres documents qui lui sont fournis par le Contrôleur ou au nom de ce dernier dans le cadre du présent Accord sur le traitement des données ;

b) si le Contrôleur choisit la Destruction plutôt que le retour des documents en vertu de la clause 11.6 (a), le Responsable du traitement doit, dès que possible, s’assurer qu’ils sont détruits et que toutes les Données personnelles sont supprimées du Logiciel et du Système Planday.
Nonobstant ce qui précède, la Destruction ne peut avoir lieu tant que le Responsable du traitement n’a pas informé le Contrôleur de la méthode de Destruction envisagée et n’a pas reçu la confirmation du Contrôleur précisant que la Destruction doit avoir lieu conformément à cette méthode. Si le Contrôleur ne trouve pas la méthode de Destruction envisagée suffisamment efficace, il informera le Responsable du traitement de la méthode jugée suffisamment efficace.

11.7 Le Responsable du traitement doit fournir par écrit une confirmation de conformité à l’article 11 (a) au plus tard 14 jours après la résiliation du présent Accord sur le traitement des données.

12.1 En cas de modification de la Loi sur la protection des données, le Responsable du traitement est en droit de modifier le présent Accord sur le traitement des données en conséquence.

13.1 Cet Accord sur le traitement des données est régi par et sera interprété conformément à la loi danoise. Toutefois, les règles de conflit de lois doivent être ignorées dans la mesure où ces règles ne sont pas obligatoires.

13.2 Tout litige découlant du présent Accord sur le traitement des données, y compris tout litige concernant l’existence ou la validité du présent Accord sur le traitement des données, sera porté devant les tribunaux danois.

Annexe A de l’Accord sur le traitement des données

Dans le cadre de la prestation de services du Responsable du traitement et de l’hébergement des Données personnelles pour le compte du Contrôleur, le Contrôleur donne au Responsable du traitement des instructions et son consentement en vue de traiter les données personnelles suivantes aux fins énoncées ci-dessous :

1. Description générale et finalité des Opérations de traitement

Opérations de traitement :

Le Responsable du traitement traite les Données personnelles du Contrôleur dans le but de fournir des services de gestion des effectifs.

2. Catégories d’Objets des données

Les catégories d’Objets des données peuvent être adaptées de temps à autre, dans la mesure où le traitement des Données personnelles et ses finalités continuent à relever de la description générale. 

• Employés
• Employés potentiels
• Anciens employés

3. Types de Données personnelles

Description des types de Données personnelles pour chaque catégorie d’Objets des données

Nom complet et initiales, adresse, adresse e-mail, téléphone, sexe, numéro d’identification fiscale, coordonnées bancaires, date de naissance, nom complet et téléphone du parent ou du plus proche parent, données de paie, photographie, informations sur le contrat de l’employé, informations sur la fiche de paie de l’employé, données entrées dans des champs personnalisés créés par le Client qui peuvent contenir des Données personnelles sensibles, y compris des données médicales. 

4. Qui, chez le Responsable du traitement, a accès aux Données personnelles ?

Seules les personnes engagées aux fins pour lesquelles les Données personnelles sont traitées seront autorisées à accéder aux Données personnelles et à les Traiter, y compris les employés qui les fournissent :

• Services de soutien,
• Maintenance et sauvegarde,
• Système opérationnel/personnel de soutien

5. Quelles parties externes (en dehors du Responsable du traitement) ont accès à tout ou à une partie des données personnelles (sous-traitant), à quelle(s) fin(s) et leur localisation géographique (y compris en dehors de l’EEE) ?

Annexe B de l’Accord sur le traitement des données

Mesures de sécurité

Le Responsable du traitement mettra en œuvre les mesures techniques et organisationnelles appropriées pour assurer un niveau de sécurité approprié au risque du traitement. Ces mesures comprennent, sans toutefois s’y limiter :

1. Contrôle d’accès aux locaux et aux installations (physique)

1.1 Le Responsable du traitement maintiendra des systèmes de sécurité physique commercialement raisonnables dans tous les centres de données du Responsable du traitement et sur les sites d’administration qui sont utilisés pour Traiter les Données personnelles ;

1.2 Le contrôle d’accès physique sera mis en œuvre pour tous les centres de données. L’accès non autorisé aux centres de données est interdit par le personnel sur place, le balayage biométrique ou la surveillance par caméra de sécurité en tout temps (24 heures sur 24, 7 jours sur 7) ;

1.3 Le Responsable du traitement maintiendra des procédures dans les centres de données pour la délivrance de badges d’identification au personnel autorisé et le contrôle de l’accès physique aux systèmes qu’il contrôle ;

1.4 Dans les centres de données, les tourniquets seront intégrés avec des lecteurs de contrôle d’accès pour contrôler l’accès physique à tous les sites à tout moment en exigeant que le personnel présente une carte d’identité avec photo avant d’entrer sur le site ;

1.5 Les visiteurs doivent être pré-approuvés avant de se rendre sur les sites du Responsable du traitement utilisés pour le Traitement des Données personnelles et devront présenter une pièce d’identité et/ou signer un registre des visiteurs et être accompagnés en tout temps sur les sites.

2. Contrôle d’accès aux systèmes (virtuel)

2.1 Le Responsable du traitement établira et maintiendra des mesures de protection contre l’accès accidentel ou non autorisé, la destruction, la perte ou l’altération des données personnelles sur les systèmes utilisés pour traiter les données personnelles :

2.1.1      l’accès sera accordé au personnel au moyen de procédures documentées de demande d’accès. Les responsables des employés ou d’autres personnes responsables doivent autoriser ou valider l’accès avant qu’il ne soit accordé ;

2.1.2       les contrôles d’accès sont activés au niveau du système d’exploitation, de la base de données ou de l’application ;

2.1.3       l’accès administratif sera restreint afin d’empêcher toute modification des systèmes ou des applications ;

2.1.4       les utilisateurs se verront attribuer un seul compte et n’auront pas le droit de partager des comptes.

3. Contrôle d’accès aux appareils et aux ordinateurs portables

3.1 Le Responsable du traitement mettra en œuvre et maintiendra des mesures de sécurité commercialement raisonnables en ce qui concerne les appareils mobiles et les ordinateurs portables utilisés pour Traiter les Données personnelles.

4. Contrôle d’accès aux Données personnelles

4.1 L’accès ne sera accordé qu’après le traitement d’un « formulaire de contrôle d’accès » approuvé, c’est-à-dire l’identifiant de connexion au réseau local, l’identifiant d’accès à l’application ou toute autre identification similaire.

4.2 Des identifiants utilisateurs et des mots de passe uniques seront délivrés aux utilisateurs.

4.3 Une fois authentifiés, les utilisateurs seront autorisés à accéder aux niveaux d’accès en fonction de leurs fonctions.

5. Transmission et contrôle de la divulgation

5.1 Le Responsable du traitement mettra en œuvre et maintiendra des mesures pour empêcher que des Données personnelles soient lues, copiées, modifiées ou supprimées sans autorisation pendant la transmission ou le transport électronique et pour permettre au Responsable du traitement de vérifier et d’établir à quels organismes le transfert de Données personnelles au moyen de transmission de données est envisagé.

5.2 Le Responsable du traitement maintiendra la technologie et les processus conçus pour réduire au minimum l’accès au Traitement illégitime, y compris la technologie de cryptage des Données personnelles.

6. Contrôle d’entrée

6.1 Le Responsable du traitement tiendra à jour les registres du système et de la base de données pour l’accès à toutes les Données personnelles sous son contrôle ;

6.2 Tous les systèmes du Responsable du traitement doivent être configurés de manière à permettre l’enregistrement d’événements afin d’identifier une mise en danger du système, un accès non autorisé ou toute autre violation de la sécurité. Les journaux doivent être protégés contre tout accès ou modification non autorisés ;

6.3 Le Client/Responsable du traitement maintiendra des contrôles d’entrée sur ses systèmes.

7. Contrôle des travaux

7.1 Le Responsable du traitement mettra en œuvre des procédures pour assurer la fiabilité de ses employés et de toute autre personne agissant sous sa supervision susceptible d’entrer en contact avec des Données personnelles ou y avoir accès et les Traiter, par exemple en exigeant un certificat de bonne conduite (« VOG ») avant le début de l’emploi.

7.2 Le Responsable du traitement mettra en œuvre des procédures pour s’assurer que son personnel est au courant de ses responsabilités en vertu de l’Accord. Le Responsable du traitement instruit et forme toutes les personnes qu’il autorise à avoir accès aux Données personnelles sur la Législation relative à la Protection des données ainsi que sur toutes les normes de sécurité pertinentes et les engage par écrit à respecter le secret des données, la Législation relative à la Protection des données et les autres normes de sécurité pertinentes.

7.3 Le Responsable du traitement agira promptement pour révoquer l’accès aux Données personnelles du Client/Responsable du traitement en raison d’une cessation d’emploi, d’un changement de fonction ou du respect de l’inactivité ou de l’absence prolongée de l’utilisateur.

7.4 Le Responsable du traitement doit disposer d’une politique de protection des données et une politique de conservation des documents que son personnel doit respecter.

8. Gestion des incidents

8.1 Le Responsable du traitement mettra en œuvre et maintiendra une procédure de gestion des incidents qui permet au Responsable du traitement d’informer le Contrôleur dans les délais requis de toute violation de la sécurité.

8.2. Si une violation de la sécurité affecte (potentiellement) les données personnelles, le Responsable du traitement doit en informer le Contrôleur conformément à la clause 4 de l’Accord sur le traitement des données.

8.3 La procédure de gestion des incidents comprend une évaluation périodique des problèmes récurrents qui pourraient indiquer une violation de la sécurité.

8.4 Le Responsable du traitement doit mettre en œuvre un processus pour tirer des leçons des incidents/attaques et améliorer le niveau de sécurité existant.

9. Contrôle des disponibilités

9.1 Le responsable du traitement protégera les Données personnelles contre la destruction ou la perte accidentelle en s’assurant que :

9.1.1    Les postes de travail seront protégés par des logiciels commerciaux anti-virus et de prévention des logiciels malveillants qui seront régulièrement mis à jour ;

9.1.2    Dès la détection d’un virus ou d’un logiciel malveillant, le Responsable du traitement prendra des mesures immédiates pour arrêter la propagation et les dommages du virus ou du logiciel malveillant et pour éradiquer le virus ou les logiciels malveillants.

9.1.3    Les serveurs seront protégés par des pare-feux commerciaux et des systèmes de prévention des intrusions.

10. Gestion de la continuité des activités

10.1 Le Responsable du traitement mettra en œuvre et maintiendra un plan de continuité des activités.

10.2 Le Responsable du traitement évaluera régulièrement ce plan.

11. Gestion du changement

11.1 Le Responsable du traitement mettra en œuvre et maintiendra un plan de continuité des activités qui permettra, entre autres, au Responsable du traitement de rétablir la disponibilité et l’accès aux Données personnelles en temps opportun, convenu par les parties concernées, en cas d’événement physique ou technique.

11.2 Dans le cadre de la procédure de gestion du changement, le Responsable du traitement évaluera l’impact sur la sécurité et adaptera les mesures pour maintenir le niveau de sécurité convenu, le cas échéant.

12. Contrôle des instructions

12.1 Le Responsable du traitement mettra en œuvre et maintiendra des procédures pour s’assurer que les Données personnelles ne sont traitées que conformément aux instructions du Contrôleur.

13. Contrôle de séparation

13.1 Le Responsable du traitement mettra en œuvre et maintiendra des procédures pour s’assurer que les données personnelles recueillies à des fins différentes seront traitées séparément dans la mesure où le Responsable du traitement a été expressément avisé de ces différentes fins et prié de le faire et à la condition que le Responsable du traitement puisse facturer son temps et ses dépenses pour se conformer à cette demande.

14. Tests réguliers des mesures de sécurité

14.1 Le Responsable du traitement testera, estimera et évaluera fréquemment l’efficacité de ses mesures de sécurité techniques et organisationnelles. Les résultats et les actions de suivi doivent être partagés avec le client.