ACCORD SUR LE TRAITEMENT DES DONNÉES EasySIGN

Le présent Accord de traitement des données fait partie intégrante de l'Accord. L'utilisateur est dans l'accord responsable ("le contrôleur") des données personnelles. EasySIGN BV est le sous-traitant (« le sous-traitant ») des données personnelles. Après cela, les deux parties seront citées en tant que contrôleur ou sous-traitant.

ATTENDU QUE

Les parties ont convenu que le Responsable du traitement utilise le Sous-traitant en tant que fournisseur de logiciel pour le logiciel de production graphique EasySIGN. Le sous-traitant traite les données personnelles du responsable du traitement dans le cadre de l'exécution de l'accord.

Afin de permettre aux parties de mener à bien leur relation d'une manière conforme à la loi, les parties ont conclu le présent accord de traitement de données (« DPA »), comme suit :

1. Définitions

Aux fins du présent ATD :

"Loi applicable sur la protection des données"	: la législation qui protège les libertés et droits fondamentaux des personnes et en particulier leur droit à la vie privée à l'égard du traitement des données personnelles, laquelle législation s'applique au responsable du traitement et au sous-traitant ; le terme Loi applicable sur la protection des données inclut également le RGPD ;
"Manette"	: Le client d'EasySIGN nommé ci-dessus qui, en tant que personne physique ou morale, seul ou avec d'autres, détermine les finalités et les moyens du Traitement des Données Personnelles ;
« Le PIB est »	: règlement (UE) 2016/679 du Parlement européen et du Conseil relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, entré en vigueur le 25 mai 2018 ;
"Organisation internationale"	: une organisation et ses organes subordonnés régis par le droit international public, ou tout autre organisme créé par ou sur la base d'un accord entre deux ou plusieurs pays ;
"Etat membre"	: un pays appartenant à l'Union Européenne ;
"Données personnelles"	: toute information relative à une personne physique identifiée ou identifiable (personne concernée) ;
« Personne concernée »	: une personne identifiable qui peut être identifiée, directement ou indirectement, notamment au moyen d'un identifiant tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne ou à un ou plusieurs éléments caractéristiques des caractéristiques physiques, physiologiques, génétiques, l'identité mentale, économique, culturelle ou sociale de cette personne physique ;
« Violation des données personnelles »	: une violation de la sécurité entraînant la destruction accidentelle ou illégale, la perte, l'altération, la divulgation non autorisée ou l'accès à des données personnelles transmises, stockées ou autrement traitées ;
"Traitement/Traitement"	: toute opération ou ensemble d'opérations effectuées sur des Données Personnelles ou sur des ensembles de Données Personnelles, par des moyens automatisés ou non, tels que la collecte, l'enregistrement, l'organisation, la structuration, le stockage, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la divulgation par transmission, diffusion ou autre mise à disposition, alignement ou combinaison, restriction, effacement ou destruction ;
"Processeur"	: EasySIGN BV, qui traite les données personnelles pour le compte du responsable du traitement ;
« Accord entre le client et EasySIGN lors de la saisie Abonnement"	: l'accord principal conclu entre le Responsable du traitement et le Sous-traitant qui définit les conditions de fourniture des Services ;
"Prestations de service"	: les services fournis par le sous-traitant au responsable du traitement et décrits sous « Objet du traitement » à l'annexe 1 du présent ATD ;
« Catégories particulières de données personnelles »	: données personnelles révélant l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale ; le Traitement de données génétiques et de données biométriques à des fins d'identification unique d'une personne physique, de données concernant la santé ou de données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique ;
"Sous-traitant"	: un processeur de données engagé par le processeur qui déclare sa volonté de recevoir des données personnelles du processeur destinées uniquement aux activités de traitement qui doivent être effectuées pour le contrôleur conformément à ses instructions, aux conditions du présent ATD et aux conditions d'une sous-traitance écrite -accord de traitement ;
"Autorité de tutelle"	: une autorité publique indépendante établie par un État membre conformément à l'article 51 du RGPD ;
« Technique et organisationnelle Mesures de sécurité"	: les mesures visant à protéger les Données Personnelles contre la destruction accidentelle ou la perte accidentelle, l'altération, la divulgation ou l'accès non autorisé, notamment lorsque le Traitement implique la transmission de données sur un réseau, et contre toute autre forme de Traitement illicite ;
"pays tiers »	: un pays pour lequel la Commission européenne n'a pas décidé que ce pays, ou une zone ou un ou plusieurs secteurs spécifiés dans ce pays, garantit un niveau adéquat de protection des données.

2. Détails du traitement

Les détails des activités de traitement que le sous-traitant effectue pour le responsable du traitement en tant que sous-traitant ayant reçu des instructions à cet effet (tels que l'objet, la nature et la finalité du traitement, le type de données personnelles et les catégories des personnes concernées) sont énoncées à l'annexe 1 du présent DPA.

3. Droits et obligations du responsable du traitement

Le Responsable du traitement a donné instruction au Sous-traitant, et continuera de lui donner, pendant toute la durée du traitement des données pour lequel l'instruction a été donnée, de traiter les Données personnelles uniquement pour le Responsable du traitement et conformément à la Loi applicable sur la protection des données, à l'Accord entre le client et EasySIGN lors de la souscription d'un Abonnement, le présent ATD et les instructions du Responsable du traitement. Le responsable du traitement a le droit et l'obligation de donner des instructions au sous-traitant pour le traitement des données personnelles, à la fois en général et dans des cas individuels. Les instructions peuvent également concerner la rectification, la suppression et le blocage des données personnelles. Les instructions sont généralement données par écrit, à moins que l'urgence ou d'autres circonstances particulières n'exigent une forme différente (par exemple orale ou électronique). Le responsable du traitement doit immédiatement confirmer par écrit les instructions non écrites. Dans la mesure où l'exécution d'une instruction entraîne des coûts pour le sous-traitant, celui-ci doit d'abord informer le responsable du traitement de ces coûts. Le sous-traitant n'exécute une instruction qu'une fois que le responsable du traitement a confirmé qu'il est responsable des coûts d'exécution de cette instruction.

4. Obligations du sous-traitant

Le processeur :

traiter les données personnelles exclusivement conformément aux instructions du responsable du traitement et pour le compte du responsable du traitement ; ces instructions sont données dans l'accord entre le client et EasySIGN lors de la conclusion d'un abonnement, le présent DPA et autrement sous forme documentée comme mentionné à l'article 3 ci-dessus. Cette obligation de suivre les instructions du responsable du traitement s'applique également au transfert des données personnelles vers un pays tiers ou une organisation internationale ;
informer immédiatement le Responsable du traitement si le Sous-traitant n'est pas en mesure de se conformer à une instruction du Responsable du traitement pour quelque raison que ce soit ;
s'assurer que les personnes autorisées par le sous-traitant à traiter les données personnelles pour le compte du responsable du traitement s'engagent à respecter la confidentialité ou que ces personnes sont soumises à une obligation de confidentialité appropriée et que les personnes qui ont accès aux données personnelles traiteront ces données personnelles Données conformément aux instructions du responsable du traitement ;
mettre en œuvre les mesures de sécurité techniques et organisationnelles qui répondent aux exigences de la loi applicable sur la protection des données, comme indiqué plus en détail à l'annexe 2, avant de traiter les données personnelles et s'assurer qu'il fournit au responsable du traitement des garanties suffisantes en ce qui concerne ces mesures de sécurité techniques et organisationnelles ;
assister le responsable du traitement au moyen de mesures techniques et organisationnelles appropriées, dans la mesure du possible, pour l'accomplissement de l'obligation du responsable du traitement de répondre aux demandes d'exercice des droits des personnes concernées concernant l'information, l'accès, la rectification et la suppression, la limitation du traitement , notification, portabilité des données, objections et prise de décision automatisée ; dans la mesure où ces mesures techniques et organisationnelles réalisables nécessitent des modifications ou des modifications des mesures techniques et organisationnelles telles que mentionnées à l'annexe 2, le sous-traitant informera le responsable du traitement des coûts de mise en œuvre de ces mesures techniques et organisationnelles supplémentaires ou modifiées. Dès que le responsable du traitement a confirmé que ces coûts sont à sa charge, le sous-traitant mettra en œuvre ces mesures techniques et organisationnelles supplémentaires ou modifiées pour aider le responsable du traitement à garantir le respect des demandes des personnes concernées ;
mettre à la disposition du responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations énoncées dans le présent DPA et l'article 28 du RGPD, et permettre et contribuer aux audits, y compris les inspections menées par le responsable du traitement ou un autre auditeur mandaté par le responsable du traitement. Le contrôleur est conscient que les audits en personne et sur place peuvent perturber considérablement les opérations commerciales du sous-traitant, coûter cher et prendre beaucoup de temps. En conséquence, le responsable du traitement ne peut effectuer un audit en personne et sur place que s'il rembourse les frais encourus par le sous-traitant en raison de la perturbation de ses activités commerciales ;
notifier au Contrôleur sans délai inutile :

i.
de toute demande juridiquement contraignante de divulgation des données personnelles par une autorité chargée de l'application des lois, sauf si cet avis est autrement interdit, comme une interdiction en vertu du droit pénal de préserver la confidentialité d'une enquête des forces de l'ordre ;

ii.
des réclamations et demandes reçues directement des personnes concernées (par exemple, réclamations et demandes relatives à l'accès, la rectification, la suppression, la limitation du traitement, la notification, la portabilité des données, les objections au traitement des données et la prise de décision automatisée) sans traiter cette demande plus avant à moins qu'il ne soit autrement autorisé à le faire ;

iii.
si le sous-traitant est obligé, sur la base de la législation de l'UE ou de la législation d'un État membre qui lui est applicable, de traiter les données personnelles au-delà du champ d'application des instructions du responsable du traitement, avant d'effectuer ce traitement au-delà de ce champ, à moins que la législation de l'UE ou la législation de cet État membre interdit ces informations pour des raisons impérieuses d'intérêt public ; l'avis doit préciser l'exigence légale en vertu de cette législation de l'UE ou de la législation de l'État membre ;

iv.
si, de l'avis du Sous-traitant, une instruction est contraire à la Loi applicable sur la protection des données ; s'il donne cet avis, le sous-traitant n'est pas tenu de suivre l'instruction, à moins que et jusqu'à ce que le responsable du traitement l'ait confirmée ou modifiée ; et

v.
dès que le Sous-traitant a connaissance d'une Violation de Données Personnelles, dans un délai maximum de 24 heures. Si une telle violation de données personnelles se produit, le sous-traitant doit assister le responsable du traitement, à la demande écrite de celui-ci, dans son obligation, en vertu de la loi applicable sur la protection des données, de signaler la violation aux personnes concernées ou à l'autorité de contrôle, et de documenter la violation de données personnelles. . Les coordonnées relatives au signalement sont enregistrées dans le système du service client. Les personnes de contact sont listées en annexe de la présente convention ;
assister le responsable du traitement dans une évaluation d'impact sur la protection des données, comme l'exige l'article 35 du RGPD concernant les services fournis par le sous-traitant au responsable du traitement et les données personnelles que le sous-traitant traite pour le responsable du traitement ;
traiter toutes les questions du responsable du traitement concernant son traitement des données personnelles (par exemple, pour permettre au responsable du traitement de répondre rapidement aux plaintes ou aux demandes des personnes concernées) et de se conformer à l'avis de l'autorité de contrôle sur le traitement des données transmises Les données;
dans la mesure où il est obligé et demandé de rectifier, supprimer et/ou bloquer les données personnelles qui sont traitées dans le cadre du présent ATD, faites-le immédiatement. Si et dans la mesure où les données personnelles ne peuvent pas être supprimées en raison des exigences légales de conservation des données, le sous-traitant, au lieu de supprimer les données personnelles concernées, limitera le traitement et/ou l'utilisation ultérieurs des données personnelles, ou supprimera l'identité correspondante des données personnelles. ('blocage'). Si une telle obligation de blocage s'applique au Sous-traitant, celui-ci supprimera les Données personnelles concernées au plus tard le dernier jour de l'année civile au cours de laquelle la période de conservation se termine.

5. Sous-traitement

Le responsable du traitement autorise l'utilisation de sous-traitants ultérieurs engagés par le sous-traitant pour la fourniture des services. Le responsable du traitement accorde son approbation au(x) sous-traitant(s) ultérieur(s) en ce qui concerne :

Baleines Web	Boutique en ligne Woocommerce
Hubspot	CRM
Copernica	CRM
Chef d'équipe	CRM
U-numérique	Prestataire de services marketing
Hotjar	Outil d'enregistrement de comportement en ligne
Mollie	Prestataire de services de paiement
Exactement en ligne	Comptabilité basée sur le cloud
Automatisation du service Libra	Prestataire de services informatiques
Microsoft Office 365	E-mail et feuilles de calcul basés sur le cloud
Wibu	Gestionnaire de licences basé sur le cloud
Google	Google Analytics

Les accords de traitement mis à disposition par eux ont été conclus avec ces parties.

Dans le cas où le sous-traitant a l'intention d'engager de nouveaux ou plusieurs sous-traitants ultérieurs, le sous-traitant s'assurera que la « Politique de confidentialité » d'EasySIGN (https://www.easysign.com/about-us/privacy-policy/) Est mis à jour. Le responsable du traitement assure la consultation périodique de la « politique de confidentialité » d'EasySIGN. Si le responsable du traitement a des motifs raisonnables de s'opposer à l'utilisation de nouveaux ou de plusieurs sous-traitants ultérieurs, le responsable du traitement doit immédiatement en informer le sous-traitant par écrit dans les 14 jours suivant la réception de la notification du sous-traitant ultérieur. Dans le cas où le Contrôleur s'opposerait à un Sous-traitant ultérieur nouveau ou différent, et que la rétention n'est pas déraisonnable, le Sous-traitant déploiera-t-il des efforts raisonnables pour apporter des modifications aux Services disponibles pour le Contrôleur ou recommandera-t-il un changement commercialement raisonnable dans la configuration du Contrôleur ou du utilisation par le contrôleur des services pour empêcher le traitement des données personnelles par le nouveau sous-traitant ultérieur ou différent auquel des objections ont été faites, sans imposer une charge déraisonnable au contrôleur. Si le Sous-traitant n'est pas en mesure de rendre cette modification disponible dans un délai raisonnable, lequel délai ne dépassera pas soixante (60) jours, le Responsable du traitement peut résilier la partie concernée de la partie concernée des « Conditions générales » (https://www.easysign.com/about-us/general-terms-and-conditions/), cependant, uniquement en ce qui concerne les services qui ne peuvent pas être fournis par le sous-traitant sans l'utilisation du sous-traitant ultérieur nouveau ou différent auquel une objection a été faite au moyen d'un avis écrit au sous-traitant.
Le sous-traitant imposera contractuellement la même obligation de protection des données que celle incluse dans le présent DPA à tous les sous-traitants ultérieurs. L'accord entre le sous-traitant et le sous-traitant ultérieur doit notamment donner des garanties adéquates pour la mise en œuvre des mesures de sécurité techniques et organisationnelles telles que spécifiées à l'annexe 2, dans la mesure où ces mesures de sécurité techniques et organisationnelles sont importantes pour les services fournis par le sous-traitant ultérieur. .
Le Sous-traitant choisit le Sous-traitant ultérieur avec le plus grand soin.
Si un tel sous-traitant ultérieur est situé dans un pays tiers, le sous-traitant, à la demande écrite du responsable du traitement, conclut un contrat type de l'UE (responsable du traitement > sous-traitant) au nom du responsable du traitement (au nom du responsable du traitement), conformément à la décision de la Commission 2010/87/UE. Dans ce cas, le responsable du traitement ordonne et autorise le sous-traitant à donner des instructions aux sous-traitants ultérieurs au nom du responsable du traitement et à faire valoir tous les droits du responsable du traitement à l'égard des sous-traitants ultérieurs en vertu du contrat type de l'UE.
Le sous-traitant reste responsable envers le responsable du traitement de l'exécution des obligations du sous-traitant ultérieur, si ce sous-traitant ultérieur ne remplit pas ses obligations. Cependant, le sous-traitant n'est pas responsable des dommages/pertes et réclamations découlant des instructions du contrôleur aux sous-traitants ultérieurs.

6. Exclusions et limitations de responsabilité

Toute responsabilité découlant de ou en relation avec le présent DPA suit et est régie uniquement par les dispositions de responsabilité énoncées dans les « Termes et conditions » ou autrement applicables à celles-ci. Par conséquent, et aux fins du calcul des limites de responsabilité et/ou de la détermination de l'application d'autres limitations de responsabilité, toute responsabilité découlant du présent ATD sera réputée découler des « Termes et conditions » pertinents.

7. Durée et résiliation

La durée de ce DPA est égale à celle des « Termes et conditions » concernés. Sauf disposition contraire dans le présent Contrat, les droits et obligations en matière de résiliation sont les mêmes que ceux énoncés dans les « Conditions générales » correspondantes.
Le sous-traitant, à la première demande du responsable du traitement, supprimera ou retournera au responsable du traitement toutes les données personnelles après la fin de la fourniture des services, et supprimera toutes les copies existantes, sauf si le sous-traitant est obligé de conserver ces données personnelles en vertu de l'UE ou des États membres. Droit de l'État.

8. Divers

En cas de conflit entre les dispositions du présent ATD et tout autre accord entre les Parties, les dispositions du présent ATD prévaudront en ce qui concerne les obligations des Parties en matière de protection des données. En cas de doute quant à savoir si les clauses de ces autres accords se rapportent aux obligations de protection des données des Parties, le présent ATD prévaudra.
L'invalidité ou l'inapplicabilité de toute disposition du présent DPA n'affectera pas la validité ou l'applicabilité des autres dispositions du présent DPA. La disposition invalide ou inapplicable est (i) modifiée de manière à garantir sa validité ou son applicabilité tout en préservant autant que possible les intentions des Parties ou – si cela n'est pas possible – (ii) comme si la partie invalide ou inapplicable n'y avait jamais été incluse. Ce qui précède s'applique également si ce DPA contient une omission
Le présent ATD est régi par la même loi que l'accord entre le Client et EasySIGN lors de la souscription d'un Abonnement, sauf dans la mesure où la Loi applicable obligatoire sur la protection des données s'applique.
Cet accord de traitement est soumis au droit néerlandais. Tout litige relatif à l'exécution de celle-ci sera soumis au tribunal compétent d'Eindhoven

Au nom du sous-traitant :

Nom complet:	Paul Schoofs
Poste:	Directeur Général
Adresse :	Melkweg 5, 5527 CZ Hapert
Date :	21 Mars 2022

Signature:

Annexe 1 – Catégories de personnes concernées

Les Données Personnelles transférées concernent les catégories de Personnes Concernées suivantes :

Sociétés
Clients du client
Employés
Fournisseurs

Objet du traitement

Utilisation de logiciels pour la conception et la fabrication d'enseignes et autres productions graphiques.

Nature et finalité du traitement

Le sous-traitant collecte, stocke, traite et utilise les données personnelles des personnes concernées pour le compte du responsable du traitement afin d'exécuter l'accord, y compris :

Gestion des tâches, réunions et appels ;
Ajouter des données personnelles aux outils CRM à des fins de suivi des e-mails, de gestion des contacts et des entreprises ;
Suivi d'un processus de vente;
Facturation ;
Enregistrement du temps ;
Création et gestion des tickets d'assistance (y compris les statistiques de ceux-ci)
Création et gestion des objectifs
Voix sur IP

Type de données personnelles

Les données personnelles collectées, traitées et utilisées par le sous-traitant pour le compte du responsable du traitement concernent les catégories de données personnelles suivantes : données d'utilisation et coordonnées, plus précisément : Abonnementsgegevens:

l'abonnement souhaité ;
Nom d'utilisateur;
le mot de passe;

Vos coordonnées:

nom et prénom ;
numéro de téléphone;
adresse e-mail;
voorkeurtaal ;

Coordonnées de votre entreprise:

Nom de l'entreprise;
adresse de facturation;
code postal et ville;
Pays;
adresse e-mail;
Numéro de TVA;

détails du paiement:

IBAN et attribution.

Personne de contact en cas de faille de sécurité

Il s'agira de la personne qui a été désignée comme personne de contact pour l'accord. Vous pouvez le trouver en vous connectant à www.EasySIGN.com sous 'Mes coordonnées'.

Contact avec le sous-traitant

Responsable de la conformité et de la confidentialité : EasySIGN BV, Paul Schoofs support@easysign.com

Annexe 2 – Fiche des mesures de sécurité

Description des mesures de sécurité techniques et organisationnelles mises en œuvre par le sous-traitant conformément à la loi applicable sur la protection des données : cette annexe décrit les mesures de sécurité techniques et organisationnelles et les procédures que le sous-traitant doit maintenir au moins pour protéger la sécurité des données personnelles créées, collectées, reçues , ou autrement obtenu.

Général

Les mesures techniques et organisationnelles peuvent être considérées comme l'état de la technique au moment de la conclusion du contrat de service. Le Sous-traitant évaluera les mesures techniques et organisationnelles dans le temps, en tenant compte des coûts de mise en œuvre, de la nature, de la portée, du contexte et des objectifs du traitement, ainsi que du risque de différences de degré de probabilité et de gravité pour les droits et libertés des personnes physiques.

Mesures techniques détaillées

Contrôle d'accès logique aux systèmes d'EasySIGN, à l'aide de mots de passe :

Tous les employés d'EasySIGN sont informés et se méfient du "Social Engineering" ;

EasySIGN surveille ses systèmes 24h/7 et XNUMXj/XNUMX :

La disponibilité est mesurée toutes les cinq minutes.
La surveillance des serveurs (virtuels) d'EasySIGN est effectuée par une équipe qualifiée d'ingénieurs d'exploitation et de développeurs, ce qui permet de mesurer par machine et par service s'ils sont disponibles et s'ils offrent les performances nécessaires pour atteindre les niveaux de service convenus. Les alertes ont lieu via Whatsapp et par e-mail.

Selon la configuration des Clients, EasySIGN fonctionne généralement en partie dans le cloud. Cela signifie que les licences de connexion nécessitent la disponibilité des centres de données de Wibu Systems (sous-traitant Claranet GmbH) et Webwhales Woocommerce. Le fonctionnement et la disponibilité des systèmes d'accès aux licences client ne dépendent pas des serveurs locaux de notre bureau à Hapert. EasySIGN utilise les protocoles de sécurité SSL. Un mécanisme adéquat et à jour est en place pour détecter et traiter les logiciels malveillants, y compris les virus informatiques. Seul le personnel autorisé peut accéder aux données personnelles. Les employés ont une obligation de confidentialité stricte, qui est incluse dans le contrat de travail. Le bâtiment dispose d'un système d'alarme et est surveillé 24h/7 et XNUMXj/XNUMX en dehors des heures de bureau. Pendant les heures de bureau, la porte est fermée et l'accès n'est possible que sur rendez-vous et sous la direction d'un employé d'EasySIGN.

Log files

Toutes les actions de l'utilisateur sont enregistrées et stockées indéfiniment. Les journaux sont constitués des composants suivants :

Courrier entrant : tous les courriers envoyés à EasySIGN
Site Web et logiciel EasySIGN : toutes les actions que l'utilisateur effectue avec EasySIGN et toutes les erreurs qui en résultent ;

Les données personnelles suivantes sont présentes dans les logs :

Nom d'utilisateur
nom de l'ordinateur
ID utilisateur
adresse IP
Adresse e-mail / e-mail complet

Avec ces données, il est possible de savoir qui est cet utilisateur et ce qu'il a fait. EasySIGN stocke le « Document Workflow Status » dans des fichiers journaux pour une durée indéterminée et le stocke donc également indéfiniment. Dans ce journal, vous pouvez toujours vérifier quelles actions ont été entreprises sur les documents, des actions telles que l'octroi d'une licence, le changement de nom, l'ouverture, la suppression, le fractionnement, le regroupement, l'exportation, le traçage, les messages d'erreur, etc. Ces données de journal sont stockées sur les serveurs de production dans les bases de données de journaux. Il s'agit d'une base de données différente de la base de données de la boutique en ligne WooCommerce.