Accord sur le traitement des données — DPA
Le présent DPA complète le contrat lorsque UESE ITALIA S.p.A. traite des données personnelles pour le compte d’un Client professionnel en qualité de sous-traitant au sens de l’article 28 RGPD. Il ne s’applique pas aux traitements pour lesquels UESE agit comme responsable autonome.
1. Parties, portée et qualification
Le Client est le responsable du traitement, ou le sous-traitant principal lorsqu’il agit pour un tiers ; UESE est le sous-traitant ou sous-traitant ultérieur pour les traitements couverts. Les activités concernent l’hébergement, transmission, workflow de signature, stockage, support, preuve, sauvegarde et fonctions techniques demandées par le Client.
2. Objet, durée, nature et finalité
Le traitement a pour objet de fournir Firmato pendant la durée du contrat et les périodes limitées de restitution, sauvegarde ou conservation autorisées. Sa nature est principalement la collecte, consultation, organisation, stockage, transmission, transformation technique, vérification et suppression. Les finalités sont exclusivement celles nécessaires au service et aux instructions documentées du Client.
3. Catégories de personnes et données
Les personnes peuvent comprendre employés, collaborateurs, clients, fournisseurs, représentants, signataires, prospects et autres personnes dont les données figurent dans les documents du Client. Les données peuvent inclure identité, coordonnées, rôle, signature, métadonnées, informations contractuelles et toute donnée insérée par le Client. Le Client détermine si des catégories particulières ou données pénales sont légitimement incluses.
4. Instructions
UESE traite les données uniquement sur instructions documentées du Client, y compris pour les transferts internationaux, sauf obligation légale. Si une instruction semble violer le RGPD ou une autre règle applicable, UESE en informe le Client dans les limites permises par la loi.
5. Confidentialité
Les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité appropriée et n’y accèdent que selon le besoin d’en connaître et leurs habilitations.
6. Mesures techniques et organisationnelles
UESE maintient des mesures proportionnées au risque comprenant, selon le service : gestion des identités et accès, 2FA pour fonctions sensibles, séparation logique des tenants, TLS, chiffrement ou protection des secrets au repos lorsque pertinent, sauvegardes, journalisation, durcissement, gestion des vulnérabilités, minimisation, continuité, procédures incident et tests périodiques.
7. Sous-traitants ultérieurs
Le Client autorise de manière générale le recours aux catégories/sous-traitants nécessaires publiés dans la liste Subprocessors. UESE informe des changements importants avec un préavis raisonnable et permet au Client de formuler une objection motivée en matière de protection des données. UESE impose au sous-traitant ultérieur des obligations de protection essentiellement équivalentes pour les traitements confiés.
8. Assistance aux droits
Compte tenu de la nature du traitement, UESE assiste le Client par des mesures techniques et organisationnelles appropriées pour répondre aux demandes d’exercice de droits. Lorsqu’une demande reçue concerne clairement le Client, UESE la lui transmet, sauf interdiction légale.
9. Sécurité et violations de données
UESE notifie au Client une violation de données personnelles couverte sans retard indu après en avoir pris connaissance, avec les informations disponibles sur nature, catégories, conséquences probables et mesures. Les informations complémentaires peuvent être fournies progressivement. Cette notification ne constitue pas une reconnaissance de responsabilité.
10. DPIA et consultations
UESE fournit, compte tenu des informations dont elle dispose et de la nature du service, une assistance raisonnable pour les analyses d’impact et consultations préalables relevant des traitements du Client.
11. Transferts hors EEE
Les transferts internationaux reposent sur un mécanisme conforme au chapitre V RGPD, tel qu’une décision d’adéquation ou les clauses contractuelles types de la Commission. Lorsque UESE est exportateur vers un sous-traitant ultérieur, le module pertinent et des mesures complémentaires sont utilisés lorsque requis.
12. Restitution et suppression
À la fin des services, et au choix du Client lorsque le cadre le permet, UESE restitue ou supprime les données personnelles traitées pour son compte, sous réserve des sauvegardes à cycle limité, preuves légales, legal hold ou obligations imposées par la loi. Les copies conservées restent protégées et leur accès est restreint.
13. Audit et informations
UESE met à disposition les informations raisonnablement nécessaires pour démontrer le respect de l’article 28. Les audits sont organisés de manière proportionnée, sans compromettre la sécurité ou les données d’autres clients, en privilégiant d’abord documents, attestations et contrôles à distance. Les inspections sur site nécessitent un préavis raisonnable sauf incident grave ou exigence d’autorité.
14. Responsabilité et ordre de priorité
La responsabilité entre les parties demeure régie par le contrat principal dans les limites admises par le RGPD. En cas de contradiction sur la protection des données traitées pour le compte du Client, le présent DPA prévaut sur les conditions générales. Les droits des personnes concernées et pouvoirs des autorités ne sont pas affectés.
15. Versionnement, primauté et conservation de la preuve
Firmato conserve la version du document mise à disposition et, lorsque le parcours applicatif le prévoit, la preuve de sa consultation ou de son acceptation avec la date, le compte concerné et les informations techniques d’audit. Les modifications substantielles peuvent imposer une nouvelle information ou acceptation. La langue et le pays constituent deux paramètres distincts : la langue détermine la version linguistique, tandis que le pays détermine le complément national applicable.