Avenant relatif au traitement des données

Cette traduction reprend à l'identique la numérotation, la structure et les variables de rédaction de la version anglaise 0.1. Aucune variable n'a été résolue dans cette langue : un fait ne peut pas être connu dans une seule langue.

Avenant relatif au traitement des données

Le présent Avenant relatif au traitement des données (« Avenant ») fait partie du contrat conclu entre Virtik USA, Inc. (« Virtik ») et l'entité cliente identifiée dans ce contrat (« Client ») pour l'utilisation par le Client de la plateforme Virtik (le « Contrat »).

1. Définitions

1.1 « Droit applicable en matière de protection des données » désigne l'ensemble des lois relatives au traitement de Données à caractère personnel applicables à l'exécution par une partie, notamment le Règlement général sur la protection des données de l'Union européenne 2016/679 (« RGPD »), le RGPD britannique et le Data Protection Act 2018, la loi fédérale suisse sur la protection des données, ainsi que les lois des États américains sur la vie privée, dont le California Consumer Privacy Act tel que modifié par le California Privacy Rights Act (« CCPA »).

1.2 « Données à caractère personnel » désigne toute information relative à une personne physique identifiée ou identifiable qui est traitée au titre du Contrat. Lorsque le CCPA s'applique, ce terme inclut les « personal information » au sens de ce texte.

1.3 « Données à caractère personnel du Client » désigne les Données à caractère personnel contenues dans les Données du Client telles que définies au Contrat, traitées par Virtik pour le compte du Client.

1.4 « Responsable du traitement », « Sous-traitant », « Personne concernée », « Traitement » et « Autorité de contrôle » ont le sens qui leur est donné par le RGPD. « Business », « Service Provider », « Contractor », « Sell » et « Share » ont le sens qui leur est donné par le CCPA.

1.5 « Sous-traitant ultérieur » désigne un tiers auquel Virtik fait appel pour traiter des Données à caractère personnel du Client.

1.6 « Violation de sécurité » a le sens que lui donne l'article 1.17 des Conditions, appliqué aux Données à caractère personnel du Client. La question de savoir si Virtik était en faute ne fait pas partie de la définition.

1.7 « Clauses contractuelles types » ou « CCT » désigne les clauses annexées à la décision 2021/914 de la Commission européenne.

1.8 « Avenant britannique » désigne l'International Data Transfer Addendum aux CCT publié par l'Information Commissioner du Royaume-Uni.

1.9 « Données sensibles » désigne les catégories particulières de données à caractère personnel au sens de l'article 9 du RGPD, les données relatives aux condamnations pénales au sens de l'article 10, et les « sensitive personal information » au sens du CCPA.

1.10 Les termes commençant par une majuscule que le présent Avenant utilise sans les définir, notamment les Conditions (les Conditions générales de service et contrat d'abonnement SaaS en ligne, LEG-001), Administrateur, Order, Order Form, Contrat cadre de services, Plafond général, Plafond renforcé et Provider Order, ont le sens que leur donne le Contrat et, lorsque le Contrat ne les définit pas, le sens que leur donnent les Conditions.

2. Champ d'application et intégration

2.1 Le présent Avenant s'applique au Traitement par Virtik de Données à caractère personnel du Client pour le compte de celui-ci.

2.2 Le présent Avenant est intégré au Contrat et en fait partie. Lorsque le Client contracte en ligne, le présent Avenant s'applique sans signature distincte. Lorsque le Client exige un exemplaire signé, Virtik lui en fournira un sur demande.

2.3 Si le Client a conclu un accord négocié de traitement des données signé par les deux parties qui s'y substitue, cet accord prévaut.

3. Rôles des parties

3.1 Trois rôles distincts s'appliquent, et les confondre est l'erreur la plus répandue dans les contrats de ce type. Chacun est énoncé séparément ci-dessous.

3.2 Données opérationnelles sous le contrôle du Client — Virtik est Sous-traitant / Prestataire de services. Pour les données de caméras et de vidéo, l'audio lorsque le Client l'active, les images fixes, les détections et métadonnées de détection, les alertes, les modèles spatiaux et Sites virtuels, les enregistrements de personnel et de rondes, la géolocalisation, les dossiers d'incidents et le contenu des communications au sein de l'espace client du Client :

(a) le Client est le Responsable du traitement et l'entreprise (Business). Le Client décide quelles caméras existent, leurs champs de vision, si l'audio est capté, qui est surveillé et quand, quelles alertes se déclenchent, qui peut voir quoi, et la durée de conservation.

(b) Virtik est le Sous-traitant et le Prestataire de services, agissant uniquement sur les instructions documentées du Client.

(c) Il appartient au Client d'établir une base légale, de fournir les informations requises, de recueillir les consentements requis et de mener toute analyse ou consultation exigée par le Droit applicable en matière de protection des données. Virtik ne détermine pas les finalités de ce Traitement et n'apprécie pas la licéité de la configuration du Client.

3.3 Données de compte, de facturation, de sécurité et d'exploitation — Virtik est Responsable du traitement indépendant. Pour les enregistrements de compte du Client, les données de compte des utilisateurs autorisés, les enregistrements de facturation et fiscaux, la correspondance d'assistance (à l'exception des pièces jointes et autres contenus qui comportent des Données du Client, que Virtik Traite en qualité de Sous-traitant en vertu de l'article 3.2), ainsi que la télémétrie de sécurité et les enregistrements d'audit propres à Virtik, Virtik agit en qualité de Responsable du traitement indépendant aux fins de fournir, sécuriser, facturer et assister le service et de satisfaire à ses propres obligations légales. Ce Traitement est régi par la Politique de confidentialité de Virtik (LEG-002) et non par les obligations de Sous-traitant du présent Avenant.

3.4 La télémétrie de sécurité de Virtik est produite pour les besoins de sécurité propres à Virtik et ne constitue pas un Traitement effectué sur instruction du Client, même lorsqu'elle porte sur une activité au sein de l'espace client du Client.

3.5 Déploiements de Fournisseurs de sécurité (Security Provider). Lorsque le Client est un Fournisseur de sécurité agréé qui utilise le Service pour ses propres clients, le Client peut lui-même être Sous-traitant pour son client. Virtik est alors Sous-traitant ultérieur du Client, le Client demeure responsable envers Virtik de la transmission des instructions de son client dans des conditions conformes au présent Avenant, et le Module Trois s'applique lorsque les CCT s'appliquent, comme l'énonce l'article 16.2. L'activation commerciale d'un Fournisseur de sécurité (Security Provider) exige l'approbation écrite de Virtik et un Provider Order que Virtik a signé (article 5.8 des Conditions). Le présent article ne s'applique à un Client que dans le cadre d'un tel Provider Order signé, et rien dans le présent Avenant ne déclare qu'un modèle de Provider Order ou une activation automatisée existe.

3.6 CCPA. À l'égard du Traitement relevant de l'article 3.2, Virtik est un Service Provider. Virtik ne procédera pas : (a) à la vente (Sell) ni au partage (Share) de Données à caractère personnel du Client ; (b) à leur conservation, utilisation ou divulgation en dehors de l'exécution des services, ou de ce que le CCPA autorise par ailleurs ; (c) à leur conservation, utilisation ou divulgation en dehors de la relation commerciale directe ; ni (d) à leur combinaison avec des informations personnelles reçues d'une autre source, sauf dans la mesure permise par le CCPA. Virtik certifie qu'elle comprend ces restrictions et s'y conformera.

3.7 Aucune des parties n'est responsable conjoint du traitement avec l'autre, et rien dans le Contrat ne crée de responsabilité conjointe.

4. Instructions du Client

4.1 Virtik ne Traitera les Données à caractère personnel du Client que : (a) comme prévu au Contrat, au présent Avenant et à l'Annexe 3 ; (b) selon les instructions écrites complémentaires du Client, dans la mesure où elles sont compatibles avec le Contrat ; et (c) comme la loi l'exige.

4.2 L'usage et la configuration de la plateforme par le Client constituent ses instructions. Les instructions complémentaires excédant les fonctionnalités de la plateforme sont soumises à accord, y compris quant au coût.

4.3 Virtik informera le Client si, à son avis, une instruction enfreint le Droit applicable en matière de protection des données, et pourra suspendre l'exécution de cette instruction jusqu'à ce qu'elle soit modifiée ou confirmée. Il ne s'agit pas d'un avis juridique et cela ne transfère pas à Virtik l'obligation du Responsable du traitement d'apprécier la licéité.

4.4 Le Client garantit que ses instructions respectent le Droit applicable en matière de protection des données et qu'il détient tous les droits, informations et bases légales nécessaires.

4.5 Données sensibles. Le Client ne doit pas instruire Virtik de Traiter des Données sensibles à moins d'avoir confirmé une base légale et satisfait toute condition supplémentaire applicable. Le Traitement biométrique est en outre restreint par le Contrat et par les Conditions relatives à l'usage de l'IA et à la supervision humaine (LEG-007). Virtik n'active pas l'identification, la vérification ou la reconnaissance faciale biométriques par défaut ni par l'achat d'un Forfait, et ne déclare pas que le Service procède à une identification biométrique.

5. Confidentialité et personnel

5.1 Virtik traitera les Données à caractère personnel du Client comme des Informations confidentielles du Client.

5.2 Virtik veillera à ce que le personnel disposant d'un accès soit soumis à une obligation de confidentialité qui survit à la fin de son engagement.

5.3 Virtik ne fait dans le présent Avenant aucune déclaration sur la manière dont l'accès aux systèmes de production est accordé, réexaminé ou enregistré, et n'indique pas qu'elle conserve des enregistrements d'accès. Les seuls enregistrements d'audit que Virtik indique sont ceux que décrivent l'article 6.2 et l'Annexe 6 (Avenant de sécurité, sections 2.1 et 3.1).

5.4 Virtik ne fait dans le présent Avenant aucune déclaration concernant la vérification des antécédents du personnel.

5.5 Virtik ne fait dans le présent Avenant aucune déclaration concernant la fréquence des formations du personnel.

6. Obligations de sécurité

6.1 Virtik mettra en œuvre les mesures techniques et organisationnelles qu'énoncent l'Annexe 6 et l'Avenant de sécurité (LEG-015) pour protéger les Données à caractère personnel du Client, compte tenu de l'état de l'art, du coût de mise en œuvre et de la nature, de la portée, du contexte et des finalités du Traitement. Sauf ce que prévoit la phrase suivante, une mesure que ces documents n'énoncent pas n'est pas déclarée, et les points que l'Avenant de sécurité énumère comme non déclarés limitent le présent article. Lorsque le RGPD, le RGPD britannique ou le droit suisse de la protection des données s'applique au Traitement, Virtik prendra également les mesures que l'article 32 du RGPD (ou la disposition équivalente de ce droit) exige d'un Sous-traitant, et ni l'Annexe 6 ni l'Avenant de sécurité ne limite cette obligation ni n'indique que chacune de ces mesures est en place.

6.2 Les mesures que la mise en œuvre et la configuration du Service procurent comprennent le cloisonnement multi-espaces, le contrôle d'accès fondé sur les rôles, HTTPS et HTTP Strict Transport Security configurés pour ses applications web, l'authentification multifacteur que Virtik met à disposition des utilisateurs du Service, des enregistrements d'audit de certains événements d'administration et de sécurité (les rôles de base de données du Service exposés aux clients ne peuvent ni lire, ni modifier, ni supprimer la table d'audit principale, et Virtik ne déclare pas que les enregistrements d'audit sont complets, infalsifiables ou immuables à l'égard d'un accès privilégié de Virtik), et des droits de base de données à privilèges minimaux pour les rôles exposés aux clients. Ils ne représentent pas l'état déployé d'un environnement particulier.

6.3 Le présent Avenant n'indique aucune norme cryptographique, aucune pratique de gestion des clés, aucune région d'hébergement, ni aucune fréquence, durée de conservation ou objectif de restauration des sauvegardes, et Virtik ne fait aucune déclaration à leur sujet ni sur le point de savoir si des sauvegardes sont conservées, à quelle fréquence ni pendant combien de temps. Les données supprimées peuvent persister dans toute sauvegarde jusqu'à son expiration. Le présent article 6.3 ne limite pas l'obligation prévue à la dernière phrase de l'article 6.1.

6.4 Virtik ne détient actuellement ni attestation SOC 2, ni certification ISO 27001, ni certification de conformité HIPAA, ni homologation FedRAMP, et ne déclare pas en détenir. Lorsque les propres obligations du Client exigent une certification que Virtik ne détient pas, il appartient au Client de déterminer si la plateforme convient à son usage.

6.5 Virtik peut mettre à jour ses mesures à condition que le niveau de protection ne soit pas substantiellement réduit.

6.6 Le Client est responsable de la sécurité de ses propres Systèmes, de ses identifiants, de la configuration des autorisations, de la gestion des appareils, ainsi que des choix qu'il opère quant aux données entrant dans la plateforme et aux personnes autorisées à les consulter.

7. Sous-traitants ultérieurs

7.1 Le Client autorise de manière générale Virtik à faire appel à des Sous-traitants ultérieurs pour Traiter des Données à caractère personnel du Client.

7.2 Virtik imposera à chaque Sous-traitant ultérieur des obligations de protection des données au moins aussi protectrices que celles du présent Avenant, et demeure responsable de l'exécution par ses Sous-traitants ultérieurs.

7.3 La liste actuelle est tenue à /legal/subprocessors (LEG-009). Elle classe les tiers avec lesquels le code du Service s'intègre en sous-traitants ultérieurs gérés par Virtik, fournisseurs d'infrastructure et prestataire de paiement, fournisseurs et connecteurs que le Client fournit, et services dont Virtik n'a pas vérifié l'utilisation. Seul le premier groupe est soumis à l'article 8. Un fournisseur répertorié à la section 1.3 de la liste l'est sans rôle indiqué, et l'article 8 s'applique à un Sous-traitant ultérieur avant qu'il ne Traite des Données à caractère personnel du Client. La liste n'indique ni lieu de traitement, ni mécanisme de transfert, ni statut d'accord.

7.4 La Liste des sous-traitants ultérieurs n'indique aucun statut d'accord pour aucune de ses entrées, comme l'énonce l'article 7.3. Virtik imposera à chaque Sous-traitant ultérieur qui Traite des Données à caractère personnel du Client pour le compte de Virtik les obligations énoncées à l'article 7.2.

8. Information et opposition relatives aux sous-traitants ultérieurs

8.1 Virtik informera le Client, au moins 30 jours à l'avance, avant qu'un Sous-traitant ultérieur important nouveau ou de remplacement Traite des Données à caractère personnel du Client. « Sous-traitant ultérieur important » désigne un Sous-traitant ultérieur qui héberge, conserve, analyse ou Traite autrement le contenu des Données à caractère personnel du Client afin de fournir le Service au Client. Ne sont pas visés un Sous-traitant ultérieur qui ne reçoit que des données de compte, de contact ou des données techniques (telles que des métadonnées de requête) nécessaires pour fournir, sécuriser ou facturer le Service, ni un service tiers que le Client connecte ou dirige lui-même.

8.2 Virtik donne l'information par courriel à l'Administrateur du Client, ou au contact désigné dans l'Order Form, et met à jour la Liste des sous-traitants ultérieurs (LEG-009) pour faire apparaître le changement à la date à laquelle il prend effet, et la Liste des sous-traitants ultérieurs s'applique au Client dans la version en vigueur au titre du présent article 8, sans nouvelle acceptation et, dans le cadre d'un Contrat cadre de services ou d'un Order Form, sans avenant (l'article 2.7 des Conditions énonce la même règle pour un Client qui contracte en ligne). L'information identifiera le Sous-traitant ultérieur, le Traitement qu'il effectuera et la date à compter de laquelle il Traitera des Données à caractère personnel du Client. Virtik ne propose pas de service d'abonnement ou de notification automatisée pour ces changements.

8.3 Le Client peut s'y opposer par notification écrite adressée à privacy@virtik.ai dans un délai de 15 jours après l'information de Virtik, en exposant des motifs raisonnables et légitimes de protection des données. Une notification écrite au titre des articles 8.3, 8.4 ou 8.6 envoyée à cette adresse satisfait l'article 26.1 des Conditions (ou l'article 13.1 du Contrat cadre de services).

8.4 En cas d'opposition formée dans les délais, les parties en discuteront de bonne foi. Virtik peut (a) ne pas procéder au changement à l'égard du Client, ou (b) proposer une modification répondant à l'opposition. Si l'opposition n'est pas résolue dans un délai de 30 jours après sa réception par Virtik (la « Période de résolution »), le Client peut, par notification écrite donnée dans un délai de 15 jours après la fin de la Période de résolution, résilier la composante du Service concernée ou, si cette composante ne peut être dissociée du reste du Service, l'Order Form concerné, avec effet à une date antérieure au moment où le Sous-traitant ultérieur important nouveau ou de remplacement commence à Traiter des Données à caractère personnel du Client. Virtik ne permettra pas à ce Sous-traitant ultérieur de commencer à Traiter les Données à caractère personnel du Client qui s'est opposé tant que l'opposition n'est pas résolue, tant que le délai de 15 jours ouvert au Client pour sa notification n'a pas expiré sans notification, ou tant que la résiliation n'a pas pris effet. En cas de résiliation au titre du présent article 8.4, le Client ne paie aucune indemnité de résiliation anticipée et n'est pas redevable des Redevances afférentes à la période postérieure à la date d'effet de la résiliation, et Virtik remboursera les Redevances prépayées afférentes à cette période pour la composante résiliée, calculées et payées comme le prévoit l'article 16.19 des Conditions ; les Redevances afférentes à la composante résiliée sont déterminées par Virtik, agissant raisonnablement et de bonne foi, par référence à la grille tarifaire ou à l'Order Form relatif à cette composante, et lorsque la composante ne peut être tarifée séparément, l'ensemble de l'Abonnement concerné constitue la composante résiliée. Ce remboursement constitue une exception expresse à la règle générale de l'article 16.6 des Conditions (article 16.6(g)). La résiliation au titre du présent article 8.4, avec ce remboursement, est le seul recours du Client à raison de l'opposition et de la poursuite du changement par Virtik ; elle ne limite ni un recours pour manquement au présent Avenant, ni un droit que le Droit applicable en matière de protection des données ou les CCT confèrent au Client ou à une Personne concernée.

8.5 L'absence d'opposition dans les délais vaut approbation de ce changement.

8.6 Remplacement d'urgence. Sous réserve de l'article 16.5(b), lorsque Virtik doit remplacer d'urgence un Sous-traitant ultérieur pour maintenir la sécurité ou la continuité du Service, Virtik peut donner une information avec un délai plus court que celui de l'article 8.1 et la donnera dès que raisonnablement possible, et le Sous-traitant ultérieur de remplacement peut commencer à Traiter des Données à caractère personnel du Client avant la fin de la Période de résolution. Le Client peut s'opposer dans un délai de 15 jours après cette information pour les motifs de l'article 8.3. Si l'opposition n'est pas résolue dans un délai de 30 jours après sa réception par Virtik, le Client peut résilier la composante du Service concernée (ou l'Order Form concerné s'il ne peut être dissocié) par notification écrite, avec effet à la date indiquée dans la notification, et la charge, la libération et le remboursement prévus à l'article 8.4 s'appliquent.

8.7 Autres Sous-traitants ultérieurs. Virtik fera figurer l'engagement de tout Sous-traitant ultérieur qui n'est pas un Sous-traitant ultérieur important dans la Liste des sous-traitants ultérieurs avant que ce Sous-traitant ultérieur Traite des Données à caractère personnel du Client. Aucun droit de résiliation au titre de l'article 8.4 ne s'applique à un Sous-traitant ultérieur qui n'est pas un Sous-traitant ultérieur important. Lorsque les CCT s'appliquent, Virtik fournit au Client une information écrite sur chaque ajout ou remplacement d'un Sous-traitant ultérieur figurant sur la liste, au moins 30 jours à l'avance, comme l'énonce l'article 16.5(b) ; le Client peut s'opposer à ce changement au titre de l'article 8.3 dans un délai de 15 jours après cette information, les parties discuteront de l'opposition de bonne foi, et Virtik ne commencera pas à Traiter les Données à caractère personnel de ce Client avec ce Sous-traitant ultérieur au titre des CCT avant l'expiration de ce délai de 30 jours. Virtik donne cette information par courriel à l'Administrateur du Client, ou au contact désigné dans l'Order Form, comme l'article 8.2 le prévoit pour un Sous-traitant ultérieur important.

9. Assistance en matière de droits des personnes concernées

9.1 Le Service fournit les fonctionnalités qu'il prend alors en charge permettant au Client d'accéder aux Données à caractère personnel du Client au sein de son espace, de les rectifier, de les exporter et de les supprimer, afin que le Client puisse répondre lui-même aux demandes des Personnes concernées. Virtik ne déclare pas que le Service offre une fonctionnalité en libre-service pour chaque catégorie de Données à caractère personnel du Client.

9.2 Lorsque le Client ne peut pas satisfaire une demande au moyen de ces fonctionnalités, Virtik fournira une assistance raisonnable, aux frais du Client lorsque cette assistance est substantielle.

9.3 Virtik ne répondra pas directement à une Personne concernée s'agissant des données sous le contrôle du Client. Lorsque Virtik reçoit une telle demande, elle informera sans retard injustifié la Personne concernée qu'elle doit s'adresser à l'organisation compétente, et en informera le Client lorsqu'elle peut identifier l'espace client concerné. Virtik ne fouillera pas les espaces d'autres clients pour localiser une Personne concernée, car cela constituerait en soi une intrusion disproportionnée dans les informations d'autres Personnes concernées.

10. Assistance en cas de Violation de sécurité

10.1 Virtik informera le Client sans retard injustifié après avoir confirmé une Violation de sécurité affectant des Données à caractère personnel du Client. Virtik confirme une Violation de sécurité lorsque, agissant raisonnablement et sans retarder son enquête, elle détermine que la Violation de sécurité est survenue ou estime raisonnablement, comme le prévoit l'article 1.17 des Conditions, qu'elle est survenue. Lorsque les CCT s'appliquent, la clause 8.6(c) régit la notification d'une violation de données à caractère personnel : l'importateur de données notifie l'exportateur de données dans les meilleurs délais après en avoir pris connaissance. Le présent Avenant n'énonce aucune formulation plus stricte que celle qu'exigent le Droit applicable en matière de protection des données et les CCT, et aucun de ces textes ne fixe un nombre d'heures pour la notification d'un sous-traitant à son responsable du traitement. Lorsque le Module Trois s'applique, la clause 8.6(c) prévoit aussi, le cas échéant et lorsque cela est faisable, une notification au responsable du traitement, et Virtik la donnera lorsque le Client lui a communiqué par écrit les coordonnées du responsable du traitement.

10.2 La notification comprendra, dans la mesure du connu : la nature de l'incident, les catégories et le nombre approximatif d'enregistrements concernés, les conséquences probables, les mesures prises ou proposées, et un point de contact. Les informations peuvent être fournies par étapes au fur et à mesure de l'enquête.

10.3 Virtik prendra des mesures raisonnables de confinement et de remédiation, et fournira les informations raisonnablement nécessaires au Client pour satisfaire à ses propres obligations de notification.

10.4 Une notification ne constitue pas une reconnaissance de faute ni de responsabilité.

10.5 Une tentative infructueuse, ou un événement qui ne compromet pas la sécurité des Données à caractère personnel du Client — y compris les pings, les balayages de ports, les échecs de connexion et les tentatives de déni de service qui n'aboutissent pas à un accès — ne constitue pas une Violation de sécurité.

10.6 Objectif opérationnel de notification. Lorsque cela est raisonnablement possible, l'objectif de Virtik est de donner la notification prévue à l'article 10.1 dans un délai de 72 heures après avoir confirmé la Violation de sécurité. Ce délai de 72 heures est uniquement un objectif opérationnel de notification. Il ne constitue ni une garantie contractuelle inconditionnelle ni une déclaration de garantie. Une notification donnée après 72 heures ne constitue pas en soi un manquement au présent Avenant, à l'article 19 des Conditions ou au Contrat. Le défaut de notifier sans retard injustifié constitue un manquement au présent article et à l'article 19.5 des Conditions, et la responsabilité de Virtik pour la perte que ce défaut cause est soumise au Plafond renforcé en vertu de l'article 21.3(b) des Conditions ; il ne fait pas de la Violation de sécurité sous-jacente une Violation de sécurité qualifiée.

10.7 Obligations propres du Client. La notification de Virtik au Client est distincte de toute notification que le Client doit effectuer auprès d'une Autorité de contrôle, de Personnes concernées ou d'autres personnes en tant que Responsable du traitement (y compris au titre des articles 33 et 34 du RGPD) ou autrement. Ces obligations, et les délais dans lesquels elles doivent être satisfaites, sont déterminés par le Droit applicable en matière de protection des données et courent à compter de la propre connaissance du Responsable du traitement ; elles incombent au Client. Lorsque le Client est Sous-traitant pour un autre Responsable du traitement, il lui incombe d'informer ce Responsable du traitement.

11. Analyses d'impact et consultation des autorités

11.1 Virtik fournira une assistance raisonnable pour une analyse d'impact relative à la protection des données ou une consultation préalable d'une Autorité de contrôle concernant la plateforme, dans la mesure où le Client ne peut raisonnablement obtenir l'information par lui-même et où celle-ci se rapporte au Traitement effectué par Virtik.

11.2 L'assistance peut être fournie par de la documentation, des réponses à des questionnaires ou l'Avenant de sécurité (LEG-015). Virtik peut facturer une assistance substantielle.

11.3 Il appartient au Client de mener sa propre analyse. Seul le Client connaît ses finalités, ses locaux, les personnes qu'il surveille et pourquoi — les faits dont dépend toute analyse.

12. Demandes des autorités publiques et des forces de l'ordre

12.1 Si Virtik reçoit d'une autorité publique une demande de Données à caractère personnel du Client, Virtik, sauf interdiction légale : (a) en informera le Client sans retard injustifié ; (b) informera l'autorité qu'elle est Sous-traitant et que la demande devrait être adressée au Client ; et (c) ne divulguera rien sauf contrainte légale.

12.2 En cas de contrainte légale, Virtik ne divulguera que le minimum requis et s'efforcera de contester une demande qui apparaît illicite, excessivement large ou contraire à la courtoisie internationale.

12.3 Le traitement des procédures légales par Virtik est décrit dans les Lignes directrices relatives aux demandes des forces de l'ordre (LEG-020).

12.4 Virtik conservera un registre des demandes reçues dans la mesure permise par la loi.

13. Restitution et suppression

13.1 À l'expiration ou à la résiliation, Virtik mettra les Données à caractère personnel du Client à disposition pour export au moyen de la fonctionnalité d'export que le Service fournit alors, et sinon avec une assistance raisonnable (y compris, lorsque cela est techniquement faisable, dans un format couramment utilisé et lisible par machine), pendant la durée indiquée au Contrat (30 jours en vertu de l'article 10.7 des Conditions et de l'article 5.6 du Contrat cadre de services). L'article 16.18 des Conditions s'applique en outre lorsque le Règlement (UE) 2023/2854 s'applique.

13.2 Passé ce délai, Virtik supprimera ou anonymisera les Données à caractère personnel du Client, sauf dans la mesure où leur conservation est exigée par la loi ou nécessaire pour constater, exercer ou défendre des droits en justice. Lorsque les CCT s'appliquent, Virtik supprimera les Données à caractère personnel du Client plutôt que de les anonymiser si le Client en fait le choix par notification écrite, et la certification prévue à l'article 13.4 indique si Virtik les a supprimées ou anonymisées.

13.3 Le présent Avenant n'indique aucun délai de suppression ni aucun délai d'expiration des sauvegardes. Les données supprimées peuvent persister dans les sauvegardes jusqu'à l'expiration de celles-ci, comme l'énonce l'article 13.4.

13.4 Sur demande écrite du Client, une fois que Virtik a supprimé ou anonymisé les Données à caractère personnel du Client conformément au présent article 13, Virtik le confirmera par écrit. La confirmation est un acte manuel et n'affirme pas qu'aucune copie ne subsiste dans les sauvegardes, dans lesquelles les données supprimées peuvent persister jusqu'à l'expiration des sauvegardes. Lorsque les CCT s'appliquent, Virtik fournira également, sur demande écrite du Client, la certification de suppression qu'exige la clause 8.5 des CCT, sous la forme d'une déclaration écrite signée par un représentant autorisé de Virtik attestant si Virtik a supprimé ou anonymisé les Données à caractère personnel du Client conformément à l'article 13.2 (et, lorsque le Client a choisi la suppression en vertu de l'article 13.2, que Virtik les a supprimées), et laquelle indique l'exception relative aux sauvegardes et toute conservation qu'exige le droit applicable.

14. Audits et informations de conformité

14.1 Virtik mettra à disposition les informations raisonnablement nécessaires pour démontrer le respect du présent Avenant, principalement au moyen de l'Avenant de sécurité (LEG-015) et de réponses à des questionnaires de sécurité raisonnables.

14.2 Lorsque le Droit applicable en matière de protection des données ou, lorsqu'elle s'applique, la clause 8.9 des CCT confère au Client un droit d'audit et que les informations visées au point 14.1 sont insuffisantes, le Client peut demander un audit moyennant un préavis écrit raisonnable, au plus une fois par période de douze mois, sauf exigence d'une Autorité de contrôle ou à la suite d'une Violation de sécurité affectant le Client.

14.3 Un audit doit avoir lieu pendant les heures ouvrables, ne doit pas perturber les opérations de manière déraisonnable, doit être soumis à la confidentialité, ne doit pas accéder aux données d'un autre client ni à l'infrastructure multi-espaces de Virtik d'une manière susceptible d'affecter d'autres clients, et doit être conduit par le Client ou par un auditeur indépendant qui n'est pas un concurrent de Virtik. Le Client en supporte le coût.

14.4 Virtik ne propose pas actuellement de rapport d'audit émanant d'un tiers, faute d'attestation SOC 2 ou de certification ISO 27001. Virtik n'accorde aucun droit d'audit au-delà des points 14.1 à 14.3 : les informations décrites au point 14.1, et un audit uniquement lorsque le Droit applicable en matière de protection des données ou la clause 8.9 des CCT en confère un au Client, dans les conditions des points 14.2 et 14.3 dans la mesure où ces clauses le permettent.

15. Transferts internationaux de données

15.1 Virtik est établie aux États-Unis et les Données à caractère personnel du Client peuvent y être Traitées ainsi que dans d'autres lieux où Virtik ou ses Sous-traitants ultérieurs opèrent. Le présent Avenant ne désigne aucune région d'hébergement.

15.2 Lorsque Virtik Traite des Données à caractère personnel soumises au RGPD, au RGPD britannique ou au droit suisse et les transfère vers un pays dépourvu de décision d'adéquation, le transfert est régi par les articles 16 et 17.

15.3 Virtik ne transférera pas de Données à caractère personnel du Client vers une juridiction sans mécanisme de transfert valide en place.

15.4 La localisation des données n'est pas offerte comme un engagement.

16. Clauses contractuelles types de la Commission européenne

16.1 Lorsque le RGPD s'applique et que l'article 15.2 est mobilisé, les CCT sont intégrées par référence et s'appliquent au transfert.

16.2 Sélection des modules. Les CCT sont les clauses figurant à l'annexe de la décision d'exécution (UE) 2021/914 de la Commission, et toute référence du présent article 16 à une clause est une référence à une clause des CCT. L'exportateur de données est le Client et l'importateur de données est Virtik USA, Inc., comme l'énonce l'Annexe 1. Les Modules s'appliquent comme suit :

(a) Le Module Deux (responsable du traitement vers sous-traitant) s'applique au Traitement relevant de l'article 3.2 lorsque le Client est responsable du traitement des Données à caractère personnel du Client.

(b) Le Module Trois (sous-traitant vers sous-traitant) s'applique lorsque le Client est lui-même sous-traitant agissant pour le compte d'un autre responsable du traitement, y compris lorsque l'article 3.5 s'applique. Le Client confirme alors que les instructions de son responsable du traitement sont compatibles avec le présent Avenant, comme le prévoit l'article 3.5.

(c) Le Client indiquera dans l'Order Form, ou par notification écrite à Virtik avant le premier transfert, s'il agit en qualité de responsable du traitement ou de sous-traitant pour les Données à caractère personnel du Client. À défaut d'indication du Client, le Module Deux s'applique.

(d) Le Module Un (responsable du traitement vers responsable du traitement) n'est pas retenu. Le Traitement par Virtik en qualité de Responsable du traitement indépendant au titre de l'article 3.3 est régi par la Politique de confidentialité (LEG-002), et Virtik s'appuiera sur le mécanisme de transfert qu'exige le Droit applicable en matière de protection des données pour ce Traitement, le cas échéant. Le Module Quatre ne s'applique pas.

16.3 Les éléments suivants sont préremplis lorsque les CCT s'appliquent et figurent aux Annexes : exportateur et importateur de données (Annexe I.A), description du traitement de l'Annexe I.B, mesures techniques et organisationnelles de l'Annexe II. L'Annexe III (liste des sous-traitants ultérieurs) n'est complétée que lorsque la clause 9(a), option 1 (autorisation écrite préalable spécifique) s'applique. L'article 16.5(b) retient l'option 2, de sorte qu'aucune Annexe III n'est complétée, et la liste convenue aux fins de la clause 9(a) est la Liste des sous-traitants ultérieurs (Annexe 7).

16.4 En cas de contradiction entre les CCT et le présent Avenant, les CCT prévalent.

16.5 Choix opérés. Lorsque les CCT s'appliquent : (a) la clause 7 (clause d'adhésion), qui est facultative, n'est pas incluse ; (b) à la clause 9(a), l'option 2 (autorisation écrite générale) s'applique, la liste convenue est la Liste des sous-traitants ultérieurs (Annexe 7), et le délai de la notification écrite spécifique des modifications envisagées de cette liste (ajouts ou remplacements de sous-traitants ultérieurs) est d'au moins 30 jours à l'avance, comme l'énoncent les articles 8.1 et 8.7. La notification prévue à l'article 8.2 (pour un Sous-traitant ultérieur important) et l'information écrite prévue à l'article 8.7 (pour tout autre Sous-traitant ultérieur) sont l'information qu'exige la clause 9(a), et le droit d'opposition du Client prévu à l'article 8.3, qui s'applique à chacun de ces changements, est le droit d'opposition que confère la clause 9(a) ; le droit de résiliation de l'article 8.4 ne s'applique qu'à un Sous-traitant ultérieur important. Lorsque le Module Trois s'applique, la clause 9(a) exige que la notification soit donnée au responsable du traitement, et Virtik la donne au Client et, lorsque le Client lui a communiqué par écrit les coordonnées du responsable du traitement, également à ce responsable du traitement ; Virtik informe aussi le Client, en sa qualité d'exportateur de données, de l'engagement du sous-traitant ultérieur. L'article 8.6 (remplacement d'urgence) ne raccourcit pas le délai de la clause 9(a) pour un Client auquel les CCT s'appliquent : pour ce Client, un Sous-traitant ultérieur de remplacement ne commence à Traiter des Données à caractère personnel du Client qu'après l'expiration de ce délai ou après que le Client a accepté par écrit une date plus proche ; (c) à la clause 11(a), la formulation facultative relative à un organisme indépendant de règlement des litiges n'est pas incluse ; (d) la clause 13 et l'Annexe I.C sont celles qu'énonce l'article 16.6 ; et (e) les clauses 17 et 18 sont celles qu'énonce l'article 16.7.

16.6 Autorité de contrôle (clause 13 et Annexe I.C). La clause 13(a) contient trois formulations alternatives, et seule celle qui correspond à la situation de l'exportateur de données s'applique, comme l'indique l'Annexe I.C : (a) lorsque l'exportateur de données est établi dans un État membre de l'UE, l'autorité de contrôle chargée de veiller au respect du RGPD par l'exportateur en ce qui concerne le transfert de données ; (b) lorsque l'exportateur de données n'est pas établi dans un État membre de l'UE mais relève du champ d'application territorial du RGPD en vertu de l'article 3, paragraphe 2, et a désigné un représentant en vertu de l'article 27, paragraphe 1, l'autorité de contrôle de l'État membre dans lequel le représentant est établi ; et (c) lorsque l'exportateur de données n'est pas établi dans un État membre de l'UE, relève de l'article 3, paragraphe 2, et n'est pas tenu de désigner un représentant en vertu de l'article 27, paragraphe 2, l'autorité de contrôle de l'un des États membres dans lesquels se trouvent les Personnes concernées dont les Données à caractère personnel sont transférées en vertu des CCT en lien avec l'offre de biens ou de services qui leur est faite, ou dont le comportement est suivi. Le Client, en sa qualité d'exportateur de données, identifie son autorité de contrôle compétente dans l'Order Form ou par notification écrite à Virtik avant le premier transfert, et cette indication constitue l'Annexe I.C pour ce Client ; Virtik ne la choisit pas. En vertu de la clause 13(b), Virtik, en sa qualité d'importateur de données, accepte de se soumettre à la compétence de l'autorité de contrôle compétente et de coopérer avec elle comme le prévoit cette clause. Le présent article n'affirme pas que Virtik dispose d'un établissement ou d'un représentant dans l'Union européenne. Lorsque le Client n'en indique aucune, l'autorité de contrôle compétente est celle que désigne l'alternative de la clause 13(a) qui correspond à la situation du Client.

16.7 Droit applicable et juridictions (clauses 17 et 18). Pour le Module Deux et le Module Trois, la clause 17, option 1 s'applique et l'option 2 n'est pas retenue : les CCT sont régies par le droit de l'Irlande, que les Parties désignent comme le droit d'un État membre de l'UE qui reconnaît des droits au tiers bénéficiaire. En vertu de la clause 18(a) et (b), tout litige découlant des CCT est tranché par les juridictions de l'Irlande, et en vertu de la clause 18(c) une Personne concernée peut également intenter une action en justice contre l'exportateur de données ou l'importateur de données devant les juridictions de l'État membre dans lequel elle a sa résidence habituelle. Les Parties se soumettent à la compétence des juridictions de l'Irlande, comme le prévoit la clause 18(d). Le présent article 16.7 ne s'applique qu'aux CCT. Le droit de l'État du Delaware et la juridiction exclusive du Delaware prévue à l'article 26.9 des Conditions (ou à l'article 13.10 du Contrat cadre de services) continuent de régir le présent Avenant, le Contrat et toute autre question, y compris toute réclamation entre les parties qui n'est pas une réclamation au titre des CCT.

17. Transferts vers le Royaume-Uni

17.1 Lorsque le RGPD britannique s'applique, l'Avenant britannique est intégré et s'applique au transfert, les CCT constituant les clauses approuvées qu'il modifie.

17.2 Pour l'Avenant britannique : le Tableau 1 (Parties) est tel que l'énoncent l'Annexe 1 et le Contrat ; le Tableau 2 (CCT sélectionnées, Modules et clauses sélectionnées) correspond aux CCT telles que l'article 16 les intègre, Modules Deux et Trois, clause 7 non incluse, formulation facultative de la clause 11(a) non incluse, et clause 9(a) option 2 avec le délai de notification de l'article 16.5(b) ; et la Partie 2 (Clauses obligatoires) correspond aux Clauses obligatoires de l'Avenant approuvé, telles que révisées en vertu de l'article 18 de ces Clauses obligatoires. Tableau 3 (Informations de l'annexe) : l'Annexe 1A (Liste des parties) correspond à l'Annexe 1 et au Contrat ; l'Annexe 1B (Description du transfert) correspond aux Annexes 1, 2, 4 et 5 ; l'Annexe II (Mesures techniques et organisationnelles) correspond à l'Annexe 6, qui énonce uniquement les mesures que l'article 6.2 et l'Annexe 6 énoncent comme configurées et ne fait aucune autre déclaration ; et l'Annexe III (Liste des sous-traitants ultérieurs) est sans objet, car la clause 9(a) option 2 (autorisation écrite générale) s'applique, la liste convenue étant la Liste des sous-traitants ultérieurs (LEG-009), comme l'énoncent l'Annexe 7 et l'article 16.5(b). Tableau 4 (Résiliation du présent Avenant lorsque l'Avenant approuvé change) : aucune des Parties.

17.3 Lorsque le droit suisse s'applique, les références sont adaptées de sorte que le Préposé fédéral à la protection des données et à la transparence soit l'autorité compétente et que la protection s'étende aux personnes morales lorsque le droit suisse l'exige.

18. Clauses californiennes relatives aux Service Providers et Contractors

18.1 L'article 3.6 s'applique. En outre :

18.2 Virtik ne procédera ni à la vente ni au partage de Données à caractère personnel du Client, et n'y procède pas.

18.3 Virtik fournira une assistance raisonnable pour les demandes de consommateurs visant à savoir, supprimer, rectifier et s'opposer, comme décrit à l'article 9.

18.4 Virtik informera le Client si elle constate qu'elle ne peut plus satisfaire à ses obligations de Service Provider.

18.5 Le Client peut prendre des mesures raisonnables et appropriées pour faire cesser et corriger un usage non autorisé de Données à caractère personnel du Client par Virtik, y compris comme prévu à l'article 14.

18.6 Virtik n'utilisera pas les Données à caractère personnel du Client à des fins de publicité comportementale intercontextuelle, et ne le fait pas.

19. Conflit et ordre de priorité

19.1 En cas de contradiction quant au Traitement de Données à caractère personnel, l'ordre suivant s'applique, du plus élevé au moins élevé :

1. les CCT et l'Avenant britannique, lorsqu'ils s'appliquent, quant aux transferts qu'ils couvrent ;
2. un accord négocié de traitement des données signé par les deux parties ;
3. le présent Avenant ;
4. l'Avenant de sécurité, s'agissant des mesures de sécurité ;
5. le reste du Contrat, y compris tout Order Form et tout Contrat cadre de services (Master Services Agreement) ;
6. la Documentation.

19.2 Un Order Form ou un Contrat cadre de services ne peut modifier le présent Avenant que s'il identifie expressément la disposition du présent Avenant qu'il modifie et que la modification ne réduit pas une protection qu'exige le Droit applicable en matière de protection des données. L'article 26.11 des Conditions et l'article 1.4 du Contrat cadre de services classent les documents de la même manière quant aux Données à caractère personnel, de sorte qu'aucun document n'est classé au-dessus d'un document qui le classe.

19.3 Droit et juridiction applicables aux CCT. Les CCT sont régies par le droit et soumises aux juridictions qu'énonce l'article 16.7, et l'Avenant britannique par le droit et les juridictions qu'il précise. L'article 26.9 des Conditions et l'article 13.10 du Contrat cadre de services ne s'y appliquent pas, et l'article 16.7 ne confère au droit et aux juridictions de l'Irlande aucune compétence sur une autre question.

20. Durée, survie et responsabilité

20.1 Le présent Avenant prend effet en même temps que le Contrat et se poursuit tant que Virtik Traite des Données à caractère personnel du Client.

20.2 Les articles 5, 6, 8, 9, 10, 12, 13, 14, 16, 19 et 20 survivent à la résiliation, et les articles 6, 8, 10 et 16 s'appliquent aussi longtemps que Virtik détient des Données à caractère personnel du Client.

20.3 La responsabilité de chaque partie au titre du présent Avenant, y compris, entre Virtik et le Client et dans la mesure où la clause 12 des CCT et le Droit applicable en matière de protection des données le permettent, la responsabilité au titre des CCT, est soumise aux limitations et exclusions prévues au Contrat, y compris le Plafond général et, pour les manquements que l'article 21.3 des Conditions identifie, le Plafond renforcé.

20.4 Rien dans le Contrat ni dans le présent Avenant ne limite (a) les droits d'une Personne concernée au titre du Droit applicable en matière de protection des données ni la responsabilité d'une partie envers une Personne concernée au titre de la clause 12 des CCT, ni (b) une responsabilité qui ne peut légalement être limitée. Lorsqu'une limitation prévue au Contrat contredirait les CCT entre les parties, les CCT prévalent dans cette mesure seulement.

20.5 Virtik peut mettre à jour le présent Avenant moyennant un préavis d'au moins 30 jours donné au Client lorsque la mise à jour est exigée par le Droit applicable en matière de protection des données ou par une modification des CCT ou de l'Avenant britannique par l'autorité qui les a émis, ou reflète une modification de la Liste des sous-traitants ultérieurs effectuée comme l'énonce l'article 8, et lorsqu'elle ne réduit pas une protection qu'exige le Droit applicable en matière de protection des données. Toute autre modification exige l'accord écrit du Client. Dans le cadre d'un Contrat cadre de services, l'article 13.9 de ce contrat régit les modifications, sauf qu'une modification que l'article 8 permet n'est pas un avenant et sauf qu'une modification des CCT ou de l'Avenant britannique par l'autorité qui les a émis s'applique aux transferts qu'elle couvre à compter de sa date d'effet.

Annexes

Annexe 1 — Description du traitement

Annexe 2 — Catégories de données à caractère personnel et de personnes concernées

Catégories de Données à caractère personnel (selon la configuration du Client) : identifiants et coordonnées des utilisateurs autorisés ; données de rôle et d'autorisations ; métadonnées d'authentification ; images et vidéos de personnes captées par les Systèmes du Client ; audio lorsque le Client l'active ; métadonnées de détection se référant à des personnes ; géolocalisation et parcours de rondes du personnel ; contenu des communications ; dossiers d'incidents ; registres de visiteurs lorsque le Client les configure ; et données d'appareil et de journalisation.

Catégories de Personnes concernées : les utilisateurs autorisés et administrateurs du Client ; les salariés et prestataires du Client ; les visiteurs des locaux du Client ; les membres du public se trouvant dans le champ de vision des Systèmes du Client ; et les propres clients du Client lorsqu'ils sont présents dans les locaux surveillés.

Données sensibles : aucune, sauf si le Client configure un Traitement qui en capte, auquel cas l'article 4.5 s'applique.

Annexe 3 — Instructions du Client

Les instructions permanentes de Virtik sont les suivantes : Traiter les Données à caractère personnel du Client uniquement pour fournir, maintenir, sécuriser et assister la plateforme conformément à la configuration du Client ; les conserver selon la durée de conservation configurée par le Client ; les rendre accessibles aux personnes que la configuration des autorisations du Client habilite ; les transmettre aux intégrations que le Client active ; et les supprimer sur instruction du Client ou conformément à l'article 13.

Annexe 4 — Durée du traitement

La durée suit la Durée d'abonnement et les délais prévus à l'article 13. Le présent Avenant n'indique aucune durée de conservation.

Annexe 5 — Nature et finalité par catégorie de données

Annexe 6 — Mesures techniques et organisationnelles

La présente Annexe énonce les mesures que la mise en œuvre et la configuration du Service procurent, comme l'énonce l'article 6.2. Une mesure qui n'y figure pas n'est pas déclarée par la présente Annexe. Lorsque les CCT s'appliquent, la présente Annexe est l'Annexe II des CCT. Elle n'énumère que les mesures énoncées ci-dessous et ne décrit aucune autre mesure que l'Annexe II demanderait par ailleurs. Rien dans la présente Annexe ne limite l'obligation prévue à la dernière phrase de l'article 6.1, et la présente Annexe n'indique pas que chaque mesure qu'exige l'article 32 du RGPD est en place.

Mesures énoncées comme configurées : cloisonnement multi-espaces ; contrôle d'accès fondé sur les rôles ; HTTPS et HTTP Strict Transport Security configurés pour les applications web ; authentification multifacteur disponible pour les utilisateurs du Service ; enregistrements d'audit de certains événements d'administration et de sécurité, que les rôles de base de données du Service exposés aux clients ne peuvent ni lire, ni modifier, ni supprimer dans la table d'audit principale (Virtik ne déclare pas que les enregistrements d'audit sont complets, infalsifiables ou immuables à l'égard d'un accès privilégié de Virtik) ; droits de base de données à privilèges minimaux pour les rôles exposés aux clients ; validation côté serveur des écritures ; validation de l'origine et limitation de débit sur certains points d'accès (Virtik ne déclare pas qu'une limite est partagée entre les instances de serveur).

Virtik ne fait dans la présente Annexe aucune déclaration concernant le chiffrement au repos ou la gestion des clés, la sauvegarde et la restauration, la gestion des vulnérabilités, les tests d'intrusion, la continuité d'activité et la reprise après sinistre, la sécurité physique des lieux d'hébergement, le cycle de développement sécurisé, la durée de conservation des journaux, l'accès du personnel aux systèmes de production ou la rotation des clés.

Annexe 7 — Sous-traitants ultérieurs

Tenue à /legal/subprocessors (LEG-009), qui constitue la liste convenue pour la clause 9(a), option 2 des CCT. L'Annexe III des CCT, qu'exigerait la clause 9(a), option 1, n'est pas complétée.

Annexe 8 — Mécanismes de transfert

Annexe 9 — Contacts

Langue. Cette traduction est fournie à titre informatif. En cas de contradiction, la version anglaise prévaut, sauf disposition impérative contraire.

Historique des versions

FIN DU DOCUMENT