Contrat de traitement des données à caractère personnel

Selon l'article 28 paragraphe 3 phrase 1 RGPD

• – ci-après dénommé le contrat TD –

entre

• l‘utilisateur du kit de construction de site internet (ma-page.fr)
• – ci-après appelé „client“ –

et

• Nom / Société:webme GmbH
• N ° de rue:Strassburger Strasse 55
• Code postal, ville, pays:10405 Berlin, Allemagne
• Registre du commerce / n °:Tribunal d'instance de Charlottenburg (Amtsgericht Charlottenburg) , HRB 244053 B
• Directeur général:Sven Lubek
• – ci-après appelé le „fournisseur“ –
• – Le fournisseur et le client sont ci-après également dénommés parties contractantes. –

Annexes

• Appendice 1 "Concept de sécurité"
• Appendice 2 "Sous-traitance"

1.Objet du contrat, catégories de données, personnes concernées, nature, portée et finalité du traitement (article 28 paragraphe 3, 30 paragraphe 2 RPGD)

1.1. L'objet du contrat TD, les données à caractère personnel traitées dans le cadre du contrat (Art. 4 N° 1 RPGD; ci-après dénommé brièvement "données"), les personnes concernées du traitement (ci-après dénommées "personnes concernées ") ainsi que la nature, la portée et les finalités du traitement sont déterminées par les relations juridiques suivantes entre les parties contractants (ci-après dénommé le contrat principal):

Les relations contractuelles concernant l'utilisation du kit de construction de site internet et de ses services et fonctions liés.

Les dispositions de ce contrat TD prevalent sur le contrat principal.

1.2. Type de données:

• • données d‘encours (par exemple, noms, adresses).
• • les coordonnées (par exemple, courriel, numéros de téléphone).
• • données de contenu (par exemple, saisie de texte, photographies, vidéos).
• • données de contrat (par exemple, objet du contrat, durée, catégorie de client).
• • données de paiement (par exemple, coordonnées bancaires, historique de paiement).
• • données d’utilisation (par exemple, les intérêts, les sites Web visités, le comportement d’achat, les heures d’accès, le journal).
• Méta-/ données de communication (par exemple, identifiants de dispositifs, adresses IP).

1.3. Traitement portant sur des catégories particulières de données (article 9, paragraphe 1 RPGD):

• Par principe, aucune catégorie particulière de données n'est traitée, sauf si celles-ci sont amenées au traitement par le client / ses clients, les utilisateurs ou les employés, etc.

1.4. Catégories de personnes concernées:

• Clients / prospects.
• Utilisateurs et visiteurs de sites Web créés avec le kit de construction de site internet.

1.5. finalité du traitement:

• Espace de stockage (hébergement Web).
• Prestation de logiciel en tant que service (Software as a service-SaaS).
• Enregistrement de domaines.
• Administration du serveur / maintenance du matériel informatique.

2. Responsabilité et droit d‘instruction

2.1. En tant que responsable du traitement selon l‘Article 4 n° 7 RPDG, le client est responsable pour le respect des règles relatives à la protection des données, notamment pour la sélection du fournisseur, pour les données fournies à celui-ci et pour les instructions données (article 28, paragraphe 3, point a), 29 et 32, paragraphe 4 RGPD).

2.2. Le fournisseur ne peut traiter les données que dans le cadre du contrat principal ainsi que selon les instructions du client (ce qui vaut également pour leur correction, la suppression ou la limitation du traitement) et seulement dans la mesure où le traitement est nécessaire à cet effet, sauf si le fournisseur est obligé au traitement selon le droit de l'Union ou des États membres auquel le fornisseur est soumis; dans ce cas, le fournisseur informe le client de cette obligation juridique avant le traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d'intérêt public (article 28 paragraphe 3 phrase 2 point a) RGPD).

2.3. A tout moment, Le client a le droit de donner des instructions supplémentaires concernant le traitement des données et les mesures de sécurité.

2.4. Si le fournisseur est d’avis qu’une instruction du client enfreint le droit de la protection de données en vigueur, il en avertira immédiatement le client. Dans ce cas le fournisseur est habilité à suspendre l‘exécution de l'instruction jusqu'à la confirmation de l'instruction par le client et à la refuser dans le cas où les instructions sont manifestement illégales.

2.5. Le fournisseur peut refuser les instructions, si l‘exécution de celles-ci lui n‘est pas possible ou elles sont déraisonnables (notamment parce que leur exécution entraînera un effort disproportionné ou en cas de manquement de possibilités techniques). Le refus ne peut avoir lieu qu‘en tenant dûment compte de la protection des données des personnes concernées et habilite le client à la résiliation extraordinaire du contrat TD, si sa continuation est déraisonnable pour le client. Si la résiliation a lieu avant l'expiration de la durée convenue du contrat, le client est obligé au paiement de la rémunération convenue, sauf si et dans la mesure où le motif de l'instruction ayant entraîné la résiliation était imputable au fournisseur ou était dans la sphère de risque du fournisseur.

2.6. Si les instructions supplémentaires du client dépassent l'obligation du fournisseur selon le contrat principal et si elles ne sont pas fondées sur un acte répréhensible du fournisseur, le client doit rémunérer le fournisseur pour les charges supplémentaires résultant de cette opération.

2.7. Les parties contractantes peuvent nommer des personnes autorisées à donner et à recevoir des instructions (surtout si celles-ci ne se révèlent pas déjà du contrat principal) et elles sont tenues de communiquer un changement de celles-ci immédiatement.

3. Concept de sécurité et obligations connexes

3.1. Le fournisseur formera l'organisation interne dans son domaine de responsabilité conformément aux exigences légales, et prendra notamment les mesures techniques et organisationnelles (ci-après dénommées "MTO") pour la sauvegarde adéquate, notamment la confidentialité, l'intégrité et la disponibilité des données du client, en conformité avec l'état des connaissances technologiques, en tenant compte aux coûts de mise en œuvre et de la nature, de l‘étendue, des circonstances et des finalités du traitement ainsi que des probabilités différentes et de la gravité du risque aux droits et libertés des personnes concernées, ainsi qu'à leur maintenance (article 28, paragraphe 3 et de l‘article 32 à l‘article 39 conjointement avec l'article 5 du RPDG). Parmi les MTO figurent en particulier le contrôle d'accès physique, le contrôle d'accès logique, le contrôle d‘entrée, le contrôle de transmission, le contrôle de la saisie, le contrôle des commandes, le contrôle des disponibilités, le contrôle de séparation et la sauvegarde des droits des personnes concernées.

3.2. Les MTO sous-jacentes à ce contrat TD découlent de l' annexe 1 "Concept de sécurité". Elles peuvent être développées conformément au progrès techniques et être remplacées par des mesures de protection adéquates, à condition qu‘elles ne soient pas inférieures au niveau de sécurité des mesures déterminées et que les changements importants soient communiqués au client.

3.3. Le fournisseur veillera à ce que les personnes autorisées à traiter les données du client s‘engagent à respecter la confidentialité et la discrétion (article 28, paragraphes 3 phrase 2, point b) et art. 29, art. 32 paragraphe 4 RGPD) et à ce qu‘elles soient instruites des dispositions de protection du RGPD ou soient soumises à une obligation légale appropriée de confidentialité.

3.4. Les données fournies dans le cadre du contrat TD ainsi que les supports de données et toutes les copies de celles-ci restent la propriété du client, ils doivent être soigneusement conservés par le fournisseur, ils doivent être protegés contre l’accès de tiers non autorisés et ils ne peuvent être détruits qu‘avec l‘autorisation du client, et alors seulement en conformité avec la protection des données. Des copies des données ne peuvent être créées que s'il est nécessaire pour remplir les obligations principales et secondaires du fournisseur à l’envers du client (p. ex. les sauvegardes).

3.5. Si le RGPD ou des règles supplémentaires, en particulier nationaux, l‘exigent, le fournisseur désigne un/e délégué/e à la protection des données conformément aux exigences légales et en informe le client (articles 37 à 39 du RGPD).

4. Obligations d'information et de coopération

4.1. Les droits de personnes concernées doivent être exercés à l‘envers du client. Le fournisseur soutient le client à cela selon l‘article 28, paragraphe 3, phrase 2, point e) RGPD et l‘informe en particulier des demandes dont les personnes concernées le saisissent.

4.2. Le client doit informer le fournisseur immédiatement et complètement s'il constate des erreurs ou des irrégularités concernant le traitement de données en ce qui concerne l‘obéissance aux reglès de ce contrat TD ou aux dispositions sur la protection de données.

4.3. Si le fournisseur constate des faits susceptibles d'engager une violation de la protection des données traitées pour le client, le fournisseur doit informer le client immédiatement et complètement, prendre immédiatement des mesures de protection nécessaires et soutenir le client en remplissant les obligations, qui lui incombent selon les articles 33 et 34 RGPD.

4.4. Si la sécurité des données du client est mis en danger (saisie, séquestre, procédure de faillite, etc.) par des mesures des tiers (telles que créanciers, autorités administratives, tribunaux, etc.), le fournisseur informe immédiatement les tiers que la souveraineté et la propriété des données appartiennt exclusivement au client et si nécessaire, -après consultation avec le client- il prend les mesures de protection appropriées (par exemple, faire appel ou recours, etc.).

4.5. Le fournisseur informera immédiatement le client, si une autorité de contrôle agit envers le fournisseur et dont les activités peuvent être pertinentes aux données traitées pour le client. Le fournisseur soutient le client à l‘accomplissement de ses obligations (en particulier concernant les renseignements et la tolérance des contrôles) vis-à-vis les autorités de contrôle (l‘article 31 RGPD).

4.6. Le fournisseur rend disponible au client les informations concernant le traitement des données dans le cadre de ce contrat TD qui sont nécessaire pour l‘accomplissement d‘obligations légales (auxquelles peuvent appartenir en particulier les enquêtes des personnes concernées ou des autorités administratives et le respect de ses responsabilités selon l’article 5, paragraphe 2, du RGPD, ainsi que la mise en œuvre d’une analyse d'impact relative à la protection des données selon l'article 35 RGPD), à condition que le client ne peut pas se procurer ces informations lui-même. Les informations doivent être disponibles au fournisseur. Il n'a pas l‘obligation de se procurer des informations par des tiers. Les employés, les agents et les sous-traitants du client ne sont pas considérés comme des tiers.

4.7. Si la transmission des informations nécessaires et la participation excèdent l‘obligation du fournisseur selon le contrat principal et n‘est pas fondée sur une faute du fournisseur, le client est tenu de rémunérer les coûts supplémentaires.

5. Pouvoirs de contrôle

5.1. Le client a le droit de contrôler à tout moment et dans l‘étendue nécessaire la conformité aux exigences légales et aux dispositions de ce contrat TD, en particulier de MTO chez le fournisseur (l‘article 28, paragraphe 3, point h) du RGPD).

5.2. Les contrôles sur place sont effectués pendant les heures normales de bureau et doivent être annoncés par le client avec un délai raisonnable (au moins 14 jours, sauf en cas d'urgence) et le fournisseur doit les soutenir (par exemple en fournissant du personnel).

5.3. Les contrôles sont limités à la portée requise et doivent tenir compte des secrets professionnels et commerciaux du fournisseur ainsi qu‘à la protection des données à caractère personnel de tiers (par exemple, d'autres clients ou les employés du fournisseur). Seules les personnes compétentes sont admises au contrôle qui peuvent se légitimer et qui sont tenus à la discrétion en ce qui concerne les secrets professionnels et commerciaux ainsi que les processus du fournisseur et les données à caractère personnels de tiers.

5.4. Au lieu d'inspections et de contrôles sur place, le fournisseur peut renvoyer le client à un contrôle équivalent par des tiers indépendants (p.ex. les auditeurs de protection des données neutres), à l‘application des codes de conduite approuvés (l‘article 40 du RGPD) ou aux certifications appropriées en matière de protection des données ou de sécurité informatique selon l‘article 42 RGPD. En particulier, ceci s'applique dans le cas où les secrets professionnels et commerciaux du fournisseur ou les données à caractère personnel de tiers seraient compromises par les contrôles.

5.5. Si la tolérance de et la participation aux contrôles, ou des mesures alternatives adéquates du client excèdent l‘obligation du fournisseur selon le contrat principal et n‘est pas fondée sur une faute du fournisseur, le client est tenu de rémunérer les coûts supplémentaires.

6. sous-traitance

6.1. Si le fournisseur utilise les services d'un sous-traitant (c'est-à-dire un sous-entrepreneur ou marchandeur) pour effectuer certaines activités de traitement au nom du client, il doit alors imposer au sous-traitant par voie d'un contrat ou tout autre instrument juridique autorisé par le RGPD les mêmes obligations de protection des données auxquelles le fournisseur s'est engagé dans le présent contrat TD, (notamment en ce qui concerne le respect des instructions, le respect des MTO, la transmission d‘informations et la tolérance des contrôles). En outre, le fournisseur doit sélectionner avec soin le sous-traitant, vérifier sa fiabilité et les surveiller ainsi que surveiller le respect des obligations contractuelles et légales (article 28, paragraphe 2 et 4 RGPD).

6.2. Le client accepte sans préjudice des limitations eventuelles imposées par le contrat principal expressément que le fournisseur peut utiliser les sous-traitants dans le cadre du traitement.

6.3. Les contrats de sous-traitance déjà existants au moment de la conclusion de ce contrat TD sont indiqués dans l' appendice 2 "Sous-traitance" et sont reputés approuvés par le client.

6.4. Le fournisseur informe le client des modifications auprès de sous-traitants qui sont essentielles pour le traitement. Le client n‘excerce son droit d‘objection aux modifications ou de nouveaux sous-traitants qu‘en considerant les principes de bonne foi et de l‘adéquation et de l‘équité.

6.5. Les relations contractuelles dans lesquelles le fournisseur utilise les services de tiers comme des services auxiliaires pour exercer son activité commerciale (nettoyage, services de gardiennage ou de transport) ne constituent pas un traitement de sous-traitance au sens de règles precendentes de ce contrat TD. Néanmoins le sous-traitant doit assurer, par exemple, par des accords contractuels ou des avis et d‘instructions, que la sécurité des données n’est pas compromise et les exigences de ce contrat TD et des règles de protection des données sont respectées.

7. Traitement dans des pays tiers

7.1. La prestation du traitement des données convenue dans le contrat TD a lieu exclusivement dans un Etat-Membre de l’Union européenne ou dans un autre Etat contractant du traité sur l'Espace économique européen (EEE).

7.2. La sous-traitance dans un pays tiers, y compris par les sous-traitants, nécessite l'approbation préalable du client et ne peut être faite que si les conditions particulières des articles 44 et suivants RGPD sont remplies, sauf si le fournisseur doit se conformer au traitement dans le pays tiers à cause du droit de l'Union ou des États membres auquel le fournisseur est soumis; dans ce cas, le fournisseur informe le client du traitement de cette obligation juridique avant le traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d'intérêt public (article 28 Paragraphe 3 phrase 2 point a) RGPD).

7.3. Le consentement du client au traitement dans un pays tiers est reputé avoir donné pour les traitements visé à l' appendice 2 "Sous-traitance".

8. Durée du contrat, résiliation du contrat et suppression des données

8.1. Ce contrat TD entre en vigueur à sa conclusion, est conclu pour une durée indéterminée et se termine au plus tard à la fin du contrat principal.

8.2. Le droit de résiliation extraordinaire est réservé aux parties contractantes, en particulier en cas de violation grave des dispositions de ce contrat TD et le droit applicable à la protection des données. La résiliation extraordinaire doit être précédée d‘une mise en garde contenant un délai raisonnable, cette mis en garde n'est pas nécessaire si on ne peut pas s'attendre à ce que les violations contestées soient corrigées ou si elles sont tellement grave que la continuation du contrat TD ne peut pas être imposée à la partie résiliante.

8.3. Au terme de la prestation de services relatifs au traitement, dans le cadre de ce contrat TD, le fournisseur selon le choix du client, supprimera ou renvoyera toutes les données à caractère personnel et leurs copies (ainsi que tous les documents, les resultats du traitement et de l‘utilisation établis ainsi que les stocks de données dont la possession il a acquis en relation avec la sous-traitance), à moins que le droit de l'Union ou le droit de l'État membre n'exige la conservation des données à caractère personnel (article 28 Paragraphe 1 phrase 2 point g) RGPD). L’objection d’un droit de rétention est exclue concernant les données traitées et les supports associés. En ce qui concerne la suppression ou le renvoi, les droits du client en matière d’information, de preuve et de contrôle s’appliquent selon ce contrat TD.

8.4. Par ailleurs, les obligations en vertu de ce contrat TD restent inchangées concernant les données traitées, même après la résiliation du contrat TD.

8.5. Si la suppression et le renvoi des données excèdent l‘obligation du fournisseur selon le contrat principal et n‘est pas fondée sur une faute du fournisseur, le client est tenu de rémunérer les coûts supplémentaires.

9. Rémunération

9.1. La rémunération convenue dans ce contrat TD inclut également une compensation pour le temps de travail du personnel requis par le fournisseur et les frais éventuels (par exemple, frais de déplacement ou de matériel). Si possible, prévisible et raisonnable, le fournisseur informe le client du montant de la rémunération au moyen d'une estimation appropriée.

9.2. Si le fournisseur a droit à une rémunération conformément à ce contrat TD, elle se calcule au taux horaire de 100,00 EUR net. En outre, les règles de rémunération du contrat principal s‘appliquent.

10. Responsabilité

10.1. Pour la réparation des dommages subis d‘une personne concernée à cause d‘un traitement de données ou d‘une utilisation dans le cadre du sous-traitance interdits ou fautifs, au plan interne concernant le fournisseur exclusivement le client est responsable envers la personne concernée, si le dommage résulte de la faute du client, ou si le client est tenu légalement ou contractuellement de reparer le dommage subi.

10.2. Les parties contractantes se dégagent l‘un l‘autre de toute responsabilité dans le cas où l'une des parties contractantes prouve que le fait qui a causé le dommage à la personne concernée ne lui est point imputable.

11. Dispositions finales, classement, modifications, forme de communication, choix de la loi, juridiction

11.1. Les modifications, les accords supplémentaires et les compléments à ce contrat TD et ses annexes exigent un accord écrit et l'indication expresse qu'il s‘agit d‘une modification ou d‘un complément à ce contrat TD. Ceci s'applique également à la renonciation de cette exigence formelle.

11.2. Ce contrat TD n'oblige le fournisseur que dans la mesure où cela est nécessaire à l'exécution des obligations légales, en particulier en vertu des articles 28 et suivants du RGPD, et n‘impose aucunes obligations supplémentaires au fournisseur.

11.3. Sous la réserve d‘une obligation d‘utiliser la forme écrite dans ce contrat TD et dans le contrat principal, la communication a lieu au moins sous forme textuelle (par exemple, courrier électronique) entre le fournisseur et le client dans le cadre de ce contrat TD (notamment en ce qui concerne les instructions et les informations). Une forme moindre (par exemple, orale) au lieu de la forme textuelle peut, selon les circonstances, être admise (par exemple dans une situation d'urgence), mais elle doit être confirmée immediatement au moins sous forme textuelle. Si la forme écrite est demandée, cela signifie la forme écrite au sens du RGPD.

11.4. Le droit de la République fédérale d’Allemagne s‘applique, à condition que le client est un entrepreneur et n’est ni un consommateur, ni a son domicile ou sa résidence habituelle hors de l‘Union européenne. La juridiction exclusive pour tous les litiges découlant de ou en relation avec le contrat TD est le siège du fournisseur, à condition que le client est un homme d'affaires, une personne morale de droit public ou un fonds spécial de droit public ou le client n'est pas soumis à une juridiction en la République fédérale d'Allemagne. Le fournisseur se réserve le droit de faire valoir ses droits devant la juriction determinée par la loi.

Contrat de traitement des données à caractère personnel

Appendice 1 - Concept de sécurité

Mesures techniques et organisationnelles selon l‘Article 32 RGPD

1. Concept de protection des données, droits des personnes concernées, conception technique et protection des données à l‘echelon du personnel

Les mesures fondamentales visant à préserver les droits des personnes concernées, réponse immédiate en cas d‘urgences, les spécifications de la conception technique et de la protection des données à l‘echelon du personnel:

• Il existe une gestion interne de la protection des données, dont le respect est constamment surveillé et qui est évaluée en fonction de l'événement et au moins deux fois par an.
• Il existe un concept garantissant les droits des personnes concernées (information, rectification, suppression ou limitation du traitement, transfert de données, révocations & oppositions) dans les délais légaux. Il comprend des formulaires, des guides et des procédures établies de la mise en œuvre, ainsi que la désignation de personnes compétentes de la mise en œuvre.
• Il existe un concept garantissant une réaction immédiate et conforme aux exigences légales aux violations de la protection des données à caractère personnel (vérification, documentation, notification). Il comprend des formulaires, des guides et des procédures établies de la mise en œuvre, ainsi que la désignation de personnes compétentes de la mise en œuvre.
• La protection des données à caractère personnel est tenue compte déjà en développant et en séléctionnant les matériels informatiques, les logiciels et des processus correspondant au principe de la protection de données par la conception technique et par des paramètres par défaut respectueux de la protection des données; de plus, l'état des connaissances, les coûts de mise en œuvre et la nature, la portée, le contexte et les finalités du traitement ainsi que les risques, dont le degré de probabilité et de gravité varie, que présente le traitement pour les droits et libertés des personnes physiques sont tenus en compte (l‘art. 25 RGPD).
• Les employés sont obligés, renseignés et instruits de garder le secret en ce qui concerne la protection des données, et ils ont été avertis des conséquences possibles en termes de responsabilité. Si les employés travaillant en dehors des locaux de l'entreprise ou utilisent des dispositfs privés pour les activités opérationnelles, il existe des réglementations spéciales pour la protection des données dans ces constellations et pour la sauvegarde des droits des clients d‘une sous-traitance.
• Des clés, des cartes d’accès ou des codes remis aux employés, ainsi que des autorisations accordées pour le traitement des données à caractère personnel seront revoqués ou retirés après le départ de l'entreprise ou le changement de responsabilités.
• Le personnel de nettoyage, les gardes de sécurité et autres prestataires de services remplissant les tâches commerciales secondaires sont soigneusement sélectionnés et on veillera à ce qu'il respecte la protection des données à caractère personnel.

2. Contrôle d'accès physique

Les mesures visant à empêcher les personnes non autorisées d'avoir accès aux installations de traitement de données avec lesquelles les données à caractère personnel sont traitées ou utilisées:

• Sauf les postes de travail et les dispositifs mobiles, aucunes installations de traitement de données sont maintenues dans les propres locaux de l'entreprise. Les données du client sont stockées chez un fournisseur d’hébergement externe en conformité avec les exigences de sous-traitance.
• Il existe des règles d'accès pour les personnes étrangères à l‘entreprise.
• Les visiteurs doivent s’inscrire à la réception, sont enregistrés et sont allé chercher par un employé (locaux du serveur).
• Les visiteurs des locaux du serveur sont enregistrés.
• L’accès physique aux systèmes informatiques (locaux du serveur) du fournisseur est totalement refusé aux personnes non autorisées et uniquement accordé aux employés autorisés.
• Un système d'alarme est installé dans les locaux du serveur.
• L'accès est sécurisé par un système de verrouillage manuel avec des serrures de sécurité.
• Il existe un contrôle des clés ou des cartes d'accès (enregistrement de la délivrance).
• Les entrées sont vidéo-surveillées (locaux du serveur).

3. Contrôle d'accès logique

Les mesures visant à empêcher l'utilisation de systèmes de traitement de données par des personnes non autorisées:

• Il existe un concept de droits ou un concept de rôle avec lequel les autorisations d’accès des employés, des représentants et d‘autres personnes (par exemple, des utilisateurs à l‘intérieur du système) sont déterminés et qui ne s‘étend qu‘à la mesure nécessaire à l'utilisation prédéterminée.
• Tous les systèmes de traitement de données sont protégés par un mot de passe.
• Il existe un concept de mot de passe spécifiant que les mots de passe doivent avoir une longueur minimum et une complexité repondant aux éxigences à la sécurité et à l‘état de la technique.
• Un logiciel de gestion de mot de passe est utilisé.
• Les inscriptions électroniques dans les systèmes de traitement sont enregistrées.
• Un logiciel anti-virus est utilisé.
• Des pare-feu matériels sont utilisés.
• Des pare-feu logiciels sont utilisés.
• Le site Web et / ou l’accès aux offres logicielles en ligne sont protégés par un cryptage TLS / SSL mise à jour.
• Les systèmes internes sont protégés contre les accès non autorisés par un pare-feu, ainsi que par un nom d’utilisateur et un mot de passe et / ou par des certificats-client.
• Les supports de données mobiles sont cryptés.

4. Contrôle d'accès et contrôle d'entrée

Les mesures visant à garantir que les personnes autorisées à l'utilisation d'un système de traitement de données peuvent accéder uniquement aux données concernées par leur autorisation d'accès et qu‘en traitant, en utilisant et après le stockage, les données à caractère personnel ne peuvent pas être entrées, lues, copiées, modifiées ou supprimées sans autorisation, ainsi que des mesures permettant de reconstituer les opérations de traitement de manière rétrospective:

• Il existe un concept de droits ou un concept de rôle avec lequel les autorisations d’accès des employés, des représentants et d‘autres personnes (par exemple, des utilisateurs à l‘intérieur du système) sont déterminés et qui ne s‘étend qu‘à la mesure nécessaire à l'utilisation prédéterminée.
• L‘enregistrement de chaque étape du traitement des données, en particulier des accès sur les applications, notamment lors de l‘entrée, de la modification et de la suppression de données.
• Les accès des employés aux données dans les secteurs de haute sécurité sont enregistrés. Si les accès singuliers ne sont pas enregistrés, il est assuré qu‘il est traçable qui a eu accès à quelles données à quel moment (par exemple, en enregistrant l’utilisation du logiciel ou par les conclusions à tirer de temps d’accès et de concept d'autorisation).
• L‘enregistrement de chaque étape, en particulier des accès sur les applications, notamment lors de l‘entrée, de la modification et de la suppression de données.
• Les supports de données contenant des informations de haute sécurité ou des données à caractère personnel sont stockés en toute sécurité.
• Il existe un concept de suppression et d’élimination avec des responsabilités définies et des obligations d'enregistrement. Les employés étaient informés des exigences légales, des délais de suppression et des spécifications pour la destruction de données ou la destruction de dispositifs par les prestataires de service .
• Le traitement de données qui ne seront pas supprimées (par exemple suite à une obligation légale d'archivage), est limité par les avis de blocage et la séparation.
• Les formulaires dont les données ont été transférées pour un traitement automatisé, seront conservées, si cela est fondé sur une instruction de client ou si le document papier a une pertinence juridique.

5. Contrôle de transmission

Les mesures visant à garantir que les données à caractère personnel ne peuvent pas être lues, copiées, modifiées ou supprimées sans autorisation pendant la transmission électronique ou lors de leur transport ou leur stockage sur des supports de données, et qu‘il peut être vérifié et déterminé à quels organismes le transfer des données à caractère personnel par des moyens de transmission des données est prévu:

• Les personnes autorisées à la remise des supports de données et les destinataires autorisés sont déterminés.
• Il existe un inventaire et une contrôle des stocks des supports de données.
• Il est défini pour quelle période de temps l'accès aux données est possible.
• En cas de transport physique, des conteneurs de transport ou des emballages de transport sécures seront choisis, ou la sécurité des données est garantie par une supervision personnelle, à condition qu’ils soient suffisants en considérant les risques pour les données.
• En cas d’accès à distance aux données, des mesures de protocole garantissent que les transferts de données ou les divulgations sont traçables.
• Un aperçu des processus d'appel et de transmission réguliers est créé et vérifié.
• Si nécessaire, possible et raisonnable, les données seront transmises sous une forme anonyme ou pseudonymisée.

6. Contrôle de mission

Les mesures visant à garantir que les données à caractère personnel traitées pour un client ne peuvent être traitées que conformément aux instructions des clients:

• L‘engagement des employés et des agents à respecter les instructions.
• Spécification écrite et documentation des instructions.
• Les exigences contractuelles et légales pour la mise en service des sous-traitants sont respectées en concluant des contrats TD et en sécurisant les garanties nécessaires et leur contrôle.
• Il est garanti que les données sont renvoyées ou détruites après la terminaison de la mission.

7. Contrôle de disponibilité

Les mesures visant à garantir que les données à caractère personnel sont protégées contre la destruction ou la perte accidentelles:

• On utilise des systèmes et des services de serveur sécurisés contre les défaillances, qui sont conçus doubles ou multiples, sont soumis aux tests de charge et aux tests de matériel, ont la protection DDoS ainsi qu‘une alimentation éléctrique sans interruption (par exemple, RAID, HA-alimentations).
• On utilise des systèmes et des services de serveur dotés de détecteurs d’humidité et également de systèmes d'alarme incendie et de fumée ainsi que de dispositifs d'extinction correspondants ou de matériels d'extinction d'incendie dans la salle informatique.
• On utilise des systèmes et des services de serveur fournissant un concept de sauvegarde & de récupération fiable et contrôlé. Les sauvegardes sont effectuées quotidiennement.
• Les sauvegardes sont également créées et contrôlées pour le traitement des données sur les postes de travail et sur les dispositfs mobiles (stockage sur serveur ou sur le cloud).
• La disponibilité des systèmes de traitement de données est surveillée en permanence.

8. Garantie de la finalité / exigence de séparation

Les mesures visant à garantir que des données collectées à des fins différentes peuvent être traitées séparement:

• Si nécessaire, possible et raisonnable, les données sont physiquement séparées (par exemple par l‘utilisation de serveurs différents). S'il n'y a pas de séparation physique, les données seront logiquement séparées (par exemple dans différentes bases de données ou par l‘étiquetage avec des attributs fonctionnels ou des champs de données).
• Une atteinte par des personnes ou des processus non autorisés est empêchée par une concept d'autorisation.
• Les systèmes de production et de test sont séparés si tel est nécessaire pour la protection de la finalité.

Contrat de traitement des données à caractère personnel

Appendice 2 - Sous-traitance

• Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande;
  Objectif: Google Analytics, Google Suite;
  Base du contrat: contrat TD du 26/03/2018;
  Garantie dans le cas des pays tiers: Privacy Shield.
• IP Exchange GmbH, Am Tower 5, 90475 Nürnberg, Allemagne;
  PObjet: emplacement de propre serveur Web, connexion Internet, services de sécurité, services techniques de maintenance;
  Base contractuelle: contrat TD du 23.05.2018;
• LeaseWeb Deutschland GmbH, Kleyerstraße 75-87, 60326 Frankfurt am Main, Allemagne;
  Objectif: Services de stockage et de base de données, services de sécurité, services techniques de maintenance;
  Base du contrat: contrat TD du 16.04.2018;
• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Allemagne;
  Objectif: Services de stockage et de base de données, services de sécurité, services techniques de maintenance;
  Base du contrat: contrat TD du 16.03.2018;
• Binect GmbH, Robert-Koch-Str. 9, 64331 Weiterstadt, Allemagne;
  Objectif: envoi de courrier;
  Base du contrat: contrat TD du 17.04.2018;
• InterNetX GmbH, Johanna-Dachs-Str. 55, 93055 Regensburg, Allemagne;
  Objectif: Domain-Provider;
  Base du contrat: contrat TD du 05.06.2018;