CONDITIONS GÉNÉRALES DU CONTRAT DE PRESTATION DE SERVICES

En souscrivant à un abonnement au logiciel et/ou aux services d’une entité de Piano (tels que définis ci-dessous et ci-après désignée « Piano »), vous (ci-après le « Client ») acceptez les présentes conditions. Piano et le Client sont individuellement désignés une « Partie » et collectivement les « Parties ».
Entité « Piano » :
L’entité Piano concernée sera précisée dans l’annexe relative au logiciel et/ou dans le bon de commande conclu entre le Client et Piano. Il peut s’agir :
• Piano Software, Inc., situé au 111 S Independence Mall E, Philadelphie, PA 19106;
• Piano Software Norway, situé à Drammensveien 165, 0277 Oslo, Norvège ;
• Applied Technologies Internet SAS, situé au 85 avenue du Président JF Kennedy, 33700 Mérignac, France ;
• Piano Software GmbH, situé au 55 Mehringdamm, 10961 Berlin, Allemagne
DÉFINITIONS
« Société Affiliée » désigne toute entité qui, directement ou indirectement, contrôle l'entité concernée, est contrôlée par elle ou est placée sous le même contrôle qu'elle. Au sens de la présente définition, le « contrôle » s'entend de la détention, directe ou indirecte, de plus de cinquante pour cent (50 %) des droits de vote de l'entité concernée, ou du pouvoir d'en diriger la gestion.
« Service Bêta » désigne tout service ou toute fonctionnalité de Piano pouvant être mis à la disposition du Client, à titre d'essai facultatif et sans frais supplémentaires, et expressément désigné comme « bêta », « pilote », « à diffusion restreinte », « préversion pour développeurs », « hors production », « d'évaluation » ou par toute désignation similaire.
« Données du Client » désigne l'ensemble des données ou informations électroniques transmises aux Services, que ces données ou informations soient fournies par le Client, par les Utilisateurs Autorisés ou par les utilisateurs du Réseau issus du grand public. Le Client est responsable (a) de l'utilisation des Services par lui-même et par les Utilisateurs, ainsi que (b) du caractère approprié et de la licéité de l'ensemble des Données du Client.
« Comptes de Réseaux Sociaux du Client » désigne tout compte de réseau social contrôlé par le Client, destiné à l'être, ou enregistré par lui ou pour son compte.
« Réseau » désigne l'ensemble des sites web ou services web exploités par le Client et par les Utilisateurs Autorisés et utilisés en lien avec les Services, y compris, sans s'y limiter, le ou les sites web ou services web propres au Client, ainsi que les sites web ou services web de tiers qui utilisent, directement ou indirectement, les Services.
1.SERVICES.
(a) Services. Piano s’engage à fournir au Client des services de monétisation de contenu sur une base hébergée, en utilisant la plateforme de logiciel en tant que service de Piano, telle qu’elle peut être révisée de temps à autre (« Logiciel »), y compris toute personnalisation du Logiciel, les services de reporting, la formation, l’assistance et/ou les services de conseil (collectivement, les « Services »), conformément au présent Contrat et comme décrit dans tout avenant logiciel ou bon de commande signé (« Avenant logiciel » ou « Bon de commande ») ou dans les cahiers des charges signés relatifs au présent Contrat (« Cahier des charges » ou « SOW ») sous la forme jointe aux présentes. Lorsque le Client a souscrit un abonnement à la plateforme d’abonnement de Piano Activation, l’utilisation de celle-ci est soumise aux Conditions générales d’orchestration des abonnements de Piano, https://www.piano.io/legal/subscription-orchestration-terms. Piano peut, de temps à autre et à sa seule discrétion, développer et fournir des mises à jour du Logiciel, qui peuvent inclure des mises à niveau, des corrections de bug, des correctifs et autres corrections d’erreurs, l’optimisation du Logiciel et/ou de nouvelles fonctionnalités (collectivement dénommées « Mises à jour »). Toutes les Mises à jour sont considérées comme faisant partie du Logiciel. Les Cahiers des charges, les Annexes relatives au Logiciel, les Bons de commande et toute autre pièce jointe ou annexe au présent Contrat sont collectivement désignés dans le présent Contrat sous le terme « Annexes » et sont tous intégrés par les présentes au présent Contrat. Chaque Annexe est soumise aux stipulations et conditions du présent Contrat, sauf disposition expresse contraire prévue dans ladite Annexe, et comprend les stipulations et conditions spécifiques aux Services qui y sont identifiés. Le Logiciel peut notamment comprendre, sans que cette liste soit limitative :
Logiciels Modules
Piano Analytics PA
Piano Amplifier Socialflow
ESP
Piano Audience Insight
DMP
CDP

Stockage à long terme
Piano Activation Composer
Orchestration des abonnements
ID

(b) Annexes. Le cas échéant, chaque Annexe peut inclure : (i) une description du Logiciel et des Services ; (ii) les sites web et/ou applications mobiles du Client pour lesquels les Services seront fournis (« Sites web ») ; (iii) une description des responsabilités respectives des Parties ; (iv) les tarifs et conditions de paiement ; et (v) les noms et coordonnées des interlocuteurs de Piano et du Client.
(c) Livrables. Le terme « Livrables » désigne l’ensemble des œuvres d’auteur, programmes, codes, processus, outils, rapports, manuels, supports d’accompagnement, dessins, schémas, organigrammes et concepts créés par Piano spécifiquement pour le Client pendant la durée du présent Contrat et décrits dans une Annexe, ainsi que toute documentation spécifique créée pour le Client en rapport avec l’un des éléments susmentionnés. Au cours de l’exécution par Piano des Services prévus dans une Annexe, le Client peut demander des modifications du Logiciel ou des Services (y compris l’ajout d’autres sites Web). Piano intégrera ces modifications, à condition que les parties s’accordent mutuellement sur celles-ci et signent un ordre de modification ou une nouvelle annexe, signé par les deux Parties, précisant le périmètre de travail modifié ainsi que toute modification apportée aux sites Web, au logiciel, aux services, aux dates d’achèvement prévues ou aux honoraires applicables.
(d) Acceptation des Livrables relatifs aux prestations de conseil. Les prestations de conseil sont réalisées au temps passé et aux frais engagés ou au forfait, selon ce qui est prévu dans l’Annexe relative au Logiciel ou le cahier des charges (SOW) applicable. Les prestations au temps passé sont réputées acceptées au fur et à mesure de leur exécution. Les Livrables à prix forfaitaire sont soumis à l’examen et à l’acceptation du Client. Cette acceptation ne peut être refusée, retardée ni assortie de conditions de manière déraisonnable ; elle ne peut être refusée qu’en cas de non-conformité substantielle et vérifiable aux spécifications convenues dans l’Annexe ou le SOW applicable. Le Client communique par écrit les réserves en décrivant la non-conformité ; les Parties consignent les réserves et conviennent d’un délai raisonnable de correction.
(e) Exactitude des données. Le Logiciel peut traiter, analyser, interpréter, enrichir ou modifier de toute autre manière les données collectées sur les sites Web du Client. Piano ne saurait être tenu responsable des interprétations, prévisions, évaluations ou analyses de ces données effectuées par le Client. Sauf disposition contraire prévue dans un cahier des charges distinct, le Client reste seul responsable de l’interprétation de ces données et ne saurait tenir Piano pour responsable des dommages ou pertes qui en résulteraient.
(f) Ordre de priorité. Les documents mentionnés à la section 1(a) constituent le présent Contrat et doivent être interprétés selon l’ordre de priorité suivant (du plus élevé au plus faible), sauf indication contraire expresse : (i) l’annexe relative au logiciel, (ii) les annexes, (iii) le Contrat, et (iv) tout autre document incorporé au présent contrat par référence.
(g) Services bêta : Piano peut mettre des Services bêta à la disposition du Client sans frais supplémentaires. Le Client est libre, à sa seule discrétion, de choisir d’essayer ou non ces Services bêta. Les Services bêta sont destinés exclusivement à des fins d’évaluation et ne doivent pas être utilisés en production ; ils ne bénéficient d’aucune assistance et peuvent être soumis à des conditions supplémentaires. Les services bêta sont expressément exclus du SLA disponible à l’adresse https://www.piano.io/legal/sla. Piano peut interrompre les services bêta à tout moment, à sa seule discrétion, et peut apporter des modifications substantielles au service bêta avant de publier une version de production, ou ne jamais proposer de version de production. Piano décline toute responsabilité pour tout préjudice ou dommage résultant de ou lié à un service bêta.
(h) Rapports : Afin d’enrichir les Services, le Client accorde par les présentes à Piano une licence libre de droits pendant la Durée du contrat, telle que définie ci-dessous, lui permettant d’accéder, de reproduire, d’afficher et de créer des rapports ou d’autres œuvres dérivées, y compris sur la base de Données à caractère personnel et/ou de Données à caractère non personnel, telles que définies ci-dessous, qui ont déjà été traitées aux fins de la fourniture des Services, uniquement sous forme agrégée et anonymisée (« Rapports ») et de diffuser ces Rapports pendant la Durée du contrat à des tiers uniquement lorsque les Rapports contiennent des données agrégées et anonymes conformément à l’article 89 du Règlement général sur la protection des données.
2.OBLIGATIONS DU CLIENT. Outre les obligations énoncées ailleurs dans le présent Contrat, le Client est tenu de respecter les obligations suivantes en vertu des présentes.
(a) Généralités. Le Client s’engage (i) à mettre à disposition, à ses frais, tout le personnel du Client raisonnablement nécessaire pour fournir les informations requises par Piano afin de réaliser l’un quelconque des Livrables ou de fournir les Services, et (ii) dans la mesure précisée dans une annexe, à solliciter et à faciliter, aux frais du Client, la participation, si nécessaire, de tout fournisseur tiers, prestataire de solutions ou autre ressource acceptable pour le Client, le cas échéant. Le Client s’engage en outre à accorder à Piano un accès raisonnable aux informations et documents pertinents du Client, à la demande de Piano, afin de permettre à Piano de fournir les Livrables et les Services, ainsi qu’un accès aux systèmes, logiciels et bases de données du Client afin de permettre à Piano de fournir les Services et les Livrables, y compris en accordant à Piano l’intégralité des droits d’administration sur les comptes du Client au sein du Logiciel. Le cas échéant, le Client devra créer, ou demander à Piano de créer en son nom, un compte sur le site web de Piano conformément à la procédure d’inscription prévue sur ce site, et autoriser ou permettre à Piano d’accéder aux Comptes de Réseaux Sociaux du Client dans la mesure nécessaire pour que Piano puisse s’acquitter de ses obligations au titre du présent Contrat. Le Client reconnaît et accepte que la capacité de Piano à fournir les Services et les Livrables conformément aux termes du présent Contrat dépend de l’exécution en temps opportun par le Client de ses obligations au titre du présent Contrat et de chaque Annexe, ainsi que de toute autre tâche raisonnablement nécessaire pour assurer le bon fonctionnement des Services. Le Client reconnaît en outre que Piano agit en tant que simple support technologique et n’est pas responsable du contenu des Données du Client ni de l’évaluation de la pertinence de ces dernières par rapport à l’environnement dans lequel elles sont divulguées ou publiées. Le Client est seul responsable de la mise en œuvre, de la configuration, de la modification, de l’administration, de la maintenance et de la suppression de tout élément de code devant être implémenté sur les Sites Web du Client afin de permettre le bon fonctionnement du Logiciel (« Marqueurs »). Le Client reconnaît que le Logiciel ne peut fonctionner correctement sans la mise en œuvre des Marqueurs. Le Client est seul responsable du suivi et de la validation de la Capacité sous licence, telle que définie dans une Annexe applicable, générée par le(s) site(s) web ou l’application (les applications) utilisant les Services. Le Client reconnaît que les Services enregistrent la Capacité sous licence en se basant uniquement sur les Marqueurs. En outre, le Client reconnaît que, lorsqu’une mise à jour du Logiciel est effectuée et nécessite de sa part qu’il prenne des mesures spécifiques raisonnables afin de garantir le bon fonctionnement du Logiciel conformément au présent Contrat, il devra suivre les instructions raisonnables de Piano pour mettre en œuvre ces mesures, y compris, sans s’y limiter, la réimplémentation des Marqueurs.
(b) Notification. Le Client doit immédiatement notifier par écrit à Piano (i) toute utilisation du Logiciel ou des Services via l’un quelconque de ses sites Web ou de ses installations par toute personne autre que ses salariés, ses mandataires autorisés ou toute autre personne qu’il a autorisée à accéder au Logiciel ou aux Services et à les utiliser en son nom (« Utilisateurs autorisés), ou (ii) de la divulgation effective ou présumée, qu’elle soit délibérée ou accidentelle, de tout nom d’utilisateur, mot de passe, URL ou autre moyen d’accès aux informations nécessaires à l’utilisation du Logiciel ou des Services, à toute personne autre que les Utilisateurs autorisés ayant besoin de connaître ces informations.
(c) Traduction. Le Client peut, à sa seule discrétion, utiliser le logiciel Piano pour présenter divers e-mails, alertes, interfaces et messages à ses utilisateurs en ligne. Piano fournit, à l’intention du Client, des traductions de son tableau de bord administratif et des communications destinées aux utilisateurs finaux en anglais, allemand, français, espagnol et portugais, mais n’offre aucune garantie quant à l’exactitude ou à la pertinence de ces traductions. Si le Client le juge nécessaire, il lui incombera de modifier et/ou de traduire toute communication destinée aux utilisateurs finaux, à ses frais exclusifs.
(d) Conformité légale. Le Client est tenu de s’assurer que son utilisation du Logiciel et des Services est conforme à l’ensemble des lois, règles et réglementations applicables des pays dans lesquels se trouvent ses utilisateurs (« Législation applicable »). Dans le cas où, dans le cadre du présent Contrat, l’une ou l’autre des Parties collecterait des données à caractère personnel (telles que définies dans le Règlement (UE) n° 2016/679, le Règlement général sur la protection des données (le « RGPD »)) auprès de personnes concernées situées dans l’Espace économique européen en vertu du présent Contrat, les Parties concluront un accord de traitement des données (« DPA ») conformément à l’article 28 du RGPD, et le DPA applicable (en fonction de l’entité Piano concernée, telle que définie dans une annexe, et des Services achetés par le Client) figure ci-dessous en tant que pièce jointe. Le Client veillera également à ce que son utilisation du Service soit conforme aux lois applicables, dans la mesure où celles-ci diffèrent de la législation des États-Unis ou du RGPD.
(e) Taxes. Le cas échéant, le Client percevra la taxe sur les ventes, la TVA ou toute autre taxe applicable (« Taxe ») auprès de chaque abonné effectuant un achat via le Service sur les sites Web du Client, lorsque les lois applicables l’exigent, et versera toute Taxe due à la ou aux autorités fiscales compétentes, déposera tous les documents requis, conservera des copies de tous les documents pertinents pour le calcul de la Taxe, et traitera toute demande de renseignements émanant d’une autorité fiscale concernant la Taxe sur l’achat.
(f) Respect des politiques. Le Client est tenu de respecter la Politique d’utilisation acceptable (https://piano.io/aup) ainsi que toute autre politique que Piano lui communiquera de temps à autre. Le Client reconnaît que toute violation de la présente section peut entraîner : (i) le retrait immédiat des contenus incriminés ou la suspension de l’activité incriminée sans préavis ; (ii) le blocage de l’accès aux Services ou la suspension partielle ou totale de ceux-ci ; ou (iii) toute autre mesure raisonnable jugée appropriée pour remédier à la violation, telle que déterminée par Piano à sa seule discrétion.
3.FRAIS ET CONDITIONS DE PAIEMENT.
(a) Les honoraires sont ceux indiqués dans l’Annexe applicable. Sauf indication contraire dans l’Annexe, le Client s’engage à régler tous les montants non contestés dans un délai de trente (30) jours à compter de la date de la facture correspondante. Si le Client conteste de bonne foi un montant facturé, il en informera Piano par écrit, en précisant la nature des frais contestés et le motif de son désaccord, avant la date d’échéance de la facture concernée ; à défaut, le Client renonce à son droit de contester ladite facture et s’engage à régler tous les frais non contestés figurant sur la facture concernée à leur date d’échéance. Piano répondra en fournissant des justificatifs suffisamment détaillés concernant les frais contestés. Les Parties mettront tout en œuvre, de bonne foi et de la manière la plus amiable possible, pour résoudre le litige dans un délai de trente (30) jours.
(b) Le Client s’engage à verser à Piano l’intégralité des frais dus au titre du présent Contrat, même s’il n’a pas encore perçu de paiement au titre des transactions réalisées à l’aide du Logiciel et/ou des Services. Sauf disposition contraire prévue dans le présent Contrat ou dans l’une de ses annexes, (i) les frais sont dus en fonction du Logiciel ou des Services achetés et non de leur utilisation effective, (ii) les obligations de paiement sont irrévocables et, sauf disposition expresse contraire dans les présentes, les frais versés ne sont pas remboursables, et (iii) le montant des frais convenu ne peut être réduit pendant la durée applicable indiquée dans une annexe.
(c) Tous les paiements dus à l’une ou l’autre des parties en vertu des présentes s’entendent nets de tout frais bancaire ou de virement, et doivent être remis ou envoyés par courrier à l’adresse indiquée dans les présentes pour les notifications, ou virés sur un compte désigné par écrit par la partie à laquelle le paiement est dû. Sauf mention expresse dans une Annexe, le Client ne sera redevable d’aucuns autres frais au titre des présentes (y compris à l’égard de tiers pour tout composant tiers pouvant être inclus dans le Logiciel). Tous les frais sont payables en dollars américains (USD), sauf si une autre devise est spécifiée dans l’Annexe applicable. Les paiements destinés au Client, le cas échéant, doivent être versés à l’adresse ou sur le compte indiqué dans l’annexe. Les paiements destinés à Piano doivent être versés sur le compte ou à l’adresse indiquée sur la facture correspondante.
(d) Le Client sera réputé en défaut au titre du présent Contrat si des montants facturés non contestés restent impayés trente (30) jours après la date d’échéance de la facture (à titre de précision, lorsque le Client bénéficie d’un délai de paiement de trente (30) jours, les pénalités de retard décrites dans la phrase suivante ne s’appliqueront qu’à compter de trente (30) jours après la date d’échéance de la facture, soit soixante (60) jours à compter de la date de facturation). Les retards de paiement du Client donneront lieu à des pénalités de retard au taux de un et demi pour cent (1,5 %) par mois, ou, s’il est inférieur, au taux maximal autorisé par la loi, calculées et capitalisées quotidiennement à compter de la date d’échéance de la facture jusqu’au paiement intégral de celle-ci. Si le Client est en défaut au titre du présent Contrat, Piano peut, sans limiter ses autres droits et recours en vertu du présent Contrat et/ou des lois applicables, exiger le paiement anticipé des redevances impayées par le Client au titre du présent Contrat, y compris toutes les annexes, et suspendre la fourniture du Logiciel et/ou des Services, sans pénalité ni responsabilité pour Piano, moyennant notification au Client. La suspension du Logiciel et/ou des Services ne saurait libérer le Client de ses obligations de paiement au titre du présent Contrat. En cas de défaut de paiement du Client, celui-ci sera tenu de rembourser à Piano l’ensemble des frais raisonnables engagés par cette dernière aux fins de recouvrement des sommes impayées.
(e) Les honoraires facturés au Client en vertu des présentes n’incluent aucune taxe, aucun prélèvement ni aucun droit de nature locale, régionale, fédérale ou étrangère, y compris la taxe sur la valeur ajoutée, la taxe sur les ventes, la taxe d’utilisation ou la retenue à la source (« Taxes »). Le Client est tenu de s’acquitter de toutes les Taxes, à l’exception des seules taxes fondées sur les revenus de Piano. Si Piano a l’obligation légale de payer ou de percevoir des Taxes dont le Client est redevable en vertu de la présente section, le montant correspondant sera facturé au Client et devra être payé par celui-ci, à moins que le Client ne fournisse à Piano un certificat d’exonération fiscale valide, délivré par l’autorité fiscale compétente. Le Client s’acquittera de toute taxe supplémentaire nécessaire pour garantir que les montants nets perçus par Piano, après paiement de l’ensemble de ces taxes, soient égaux aux montants auxquels Piano aurait eu droit conformément au présent Contrat, comme si ces taxes n’existaient pas.
(f) À compter du premier anniversaire de toute Annexe établie en vertu du présent Contrat, ou si la durée de validité prévue dans une Annexe est supérieure à un (1) an, alors au maximum une fois au cours de chaque période de renouvellement telle que définie dans ladite annexe, Piano augmentera les frais sur une base de tarification unitaire du montant le plus élevé entre : (i) sept pour cent (7 %) ; ou (ii) d’un pourcentage égal à la hausse enregistrée au cours de la période de douze (12) mois précédente, ou de la période précédente de même durée que la Période initiale telle que définie dans une Annexe, si celle-ci est supérieure à douze (12) mois, de l’indice IPC- Tous les consommateurs urbains (États-Unis Tous les articles) ou de la série qui lui succède, telle que publiée par le Bureau américain des statistiques du travail. Si le Client s’oppose à cette augmentation, il doit notifier à Piano son intention de ne pas renouveler l’Annexe concernée au moins soixante (60) jours avant l’expiration de la durée de ladite annexe. Une telle résiliation prendra effet à l’expiration de la durée de l’annexe alors en vigueur. Sauf disposition expresse contraire dans l’Annexe applicable, le renouvellement des abonnements promotionnels ou à tarif unique s’effectuera au tarif unitaire actuel de Piano en vigueur au moment du renouvellement concerné. Nonobstant toute disposition contraire, tout renouvellement dans le cadre duquel la Capacité sous licence, telle que définie dans l’Annexe applicable, ou le volume de tout Service diminue pour le renouvellement suivant, sera facturé au tarif en vigueur au moment du renouvellement, sans tenir compte du prix unitaire de la période précédente.
4.PROPRIÉTÉ INTELLECTUELLE.
(a) Propriété intellectuelle relative au piano.
(i) Propriété intellectuelle préexistante de Piano. Les Parties conviennent que Piano sera le propriétaire exclusif et conservera l’intégralité de la « Propriété Intellectuelle de Piano », définie comme suit : (A) le Logiciel, ainsi que toutes ses modifications et versions futures ; (B) toutes les œuvres d’auteur, tous les programmes, codes, processus, outils, rapports, manuels, supports d’accompagnement, dessins, schémas, organigrammes et concepts, existant avant la date d’entrée en vigueur du présent Contrat, qu’ils aient été créés par ou pour Piano (« Éléments préexistants »), y compris, sans s’y limiter, la technologie propriétaire proposée sur Piano.io (et d’autres sites exploités par Piano) ainsi que d’autres applications; (C) l’activité, les modèles, les documents, les supports, la technologie, les logiciels, le code source, le(s) site(s) web, les modifications, les mises à jour et les améliorations de Piano; (D) l’ensemble des œuvres d’auteur, programmes, codes, processus, outils, rapports, manuels, supports d’accompagnement, dessins, schémas, organigrammes et concepts développés par Piano (à l’exception des livrables) ; et (E) tous les droits d’auteur, marques de commerce, marques de service, secrets d’affaires, brevets, demandes de brevet, droits moraux, droits contractuels de non-divulgation ou tout autre droit de propriété intellectuelle ou droit exclusif, quelle qu’en soit l’origine, dans le monde entier (collectivement « Droits de propriété intellectuelle ») relatifs à l’ensemble des éléments susmentionnés tels que définis aux alinéas (A) à (E).
(ii) Retours et/ou Commentaires. En outre, les Parties reconnaissent que Piano peut continuer à modifier son Logiciel et ses Services, et que le Client peut adresser à Piano des demandes ou des suggestions concernant des modifications ou des ajouts au Logiciel ou aux Services (« Retours et/ou Commentaires »). Les Parties conviennent que toute modification ou amélioration apportée au Logiciel ou aux Services, qu’elle découle ou non des Commentaires ou qu’elle y soit liée, fera également partie de la Propriété intellectuelle de Piano, sauf indication contraire dans un cahier des charges distinct conclu entre les parties.
(iii) Cession des droits de propriété intellectuelle. Dans la mesure où Piano n’est pas automatiquement considéré comme l’auteur, l’inventeur ou le titulaire de toute propriété intellectuelle de Piano, le Client s’engage à céder et cède par la présente à Piano tous les droits, titres et intérêts qu’il pourrait détenir sur toute propriété intellectuelle de Piano, et s’engage à signer tous les documents nécessaires pour conférer à Piano la pleine propriété de l’ensemble de la propriété intellectuelle de Piano. Le Client désigne Piano comme son mandataire pour signer ces documents. Cette désignation est assortie d’un intérêt et est donc irrévocable.
(b) Droits relatifs aux données. Les droits suivants relatifs aux données s’appliquent au présent Contrat :
(i) Les « Données à caractère personnel » désignent toute information à caractère personnel relative à un utilisateur final identifié ou identifiable au sens de l’article 4, paragraphe 1, du RGPD, telle que le nom, l’adresse e-mail, numéro de téléphone, données financières, le contenu spécifique consulté, l’heure et la durée de la visite, les données relatives à la conversion d’une offre et/ou à l’interaction, le site référent, ou toute autre information relative à cette personne physique collectée par le biais du Service, que ce soit via des cookies ou d’autres technologies de suivi, les fonctionnalités du Service, ou par tout autre moyen. Les Données à caractère personnel seront la propriété du Client.
(ii) Les « Données non personnelles » désignent les informations autres que les Données personnelles, qu’elles soient collectées par le biais de cookies ou d’autres technologies de suivi, des fonctionnalités du Service ou par tout autre moyen, de manière anonyme, dans les cas où il n’existe aucun moyen raisonnablement susceptible d’être utilisé par les parties pour identifier la personne physique à laquelle ces données se rapportent. Les données non personnelles seront la propriété du Client, sous réserve des exceptions décrites dans les présentes.
(iii) Piano s’engage à respecter l’accord sur la protection des données (DPA) joint en annexe A aux présentes et faisant partie intégrante des présentes. En cas de conflit explicite et direct entre les dispositions de la présente section 4(b) et celles du DPA figurant en annexe A, et dans la mesure de ce conflit, les dispositions du DPA prévaudront.
(c) Propriété intellectuelle du Client. Le Client détient en exclusivité et conserve tous les droits, titres et intérêts relatifs (i) à son activité, à sa technologie, à ses marques et à ses sites web, ainsi qu’à tous les autres droits de propriété intellectuelle sur les éléments développés et détenus par le Client ; (ii) l’ensemble des œuvres d’auteur, programmes, données, codes, processus, outils, rapports, manuels, documents d’accompagnement, dessins, schémas, organigrammes et concepts que le Client développe indépendamment de toute collaboration avec Piano, et qui ne découlent pas des Services, les Éléments préexistants ou toute autre propriété intellectuelle de Piano, et qui se rapportent aux sites Web, aux biens ou aux données du Client ; (iii) l’ensemble des contenus ou données fournis ou stockés dans le Logiciel par le Client (ou ses utilisateurs), sous réserve des droits sur les données décrits à la section 4(b) ci-dessus ou dans toute Annexe ; et (iv) les comptes du Client sur les réseaux sociaux (collectivement, les « Éléments du Client »). Le Client détient en exclusivité et conserve l’ensemble des droits de propriété intellectuelle, titres et intérêts relatifs à chacun des Éléments du Client, sous réserve des droits et licences accordés dans le présent Contrat ou dans une Annexe. Le Client accorde à Piano une licence non exclusive et entièrement libérée lui permettant d’utiliser, de reproduire et de créer des œuvres dérivées des Éléments du Client aux fins de la prestation des Services et de la création des Livrables pendant la Durée du présent Contrat.
(d) Livrables. Le Client détient l’intégralité des droits, titres et intérêts relatifs à tous les Livrables. Piano s’engage à céder, et cède par la présente, tous les droits, titres et intérêts qu’elle pourrait détenir sur les Livrables au Client. Piano s’engage à signer tous les documents nécessaires pour conférer au Client la pleine propriété de l’ensemble des Livrables. Pour plus de clarté, les livrables du Client n’incluent pas la propriété intellectuelle de Piano ni aucun logiciel libre.
5.DROITS DU CLIENT.
Piano accorde au Client une licence non exclusive, non transférable (sauf dans les cas prévus dans les présentes) et limitée lui permettant d’utiliser la Propriété intellectuelle de Piano conformément aux conditions du présent Contrat et de chacune de ses annexes, et uniquement dans le but d’utiliser les Services et les Produits livrables. Sauf disposition contraire expressément prévue dans le présent Contrat, aucune autre licence ni aucun autre droit ne sera réputé accordé ou implicite en ce qui concerne la Propriété intellectuelle de Piano. Sauf autorisation expresse contraire prévue dans le présent Contrat, le Client ne doit pas (i) utiliser, distribuer, vendre, concéder en sous-licence ou divulguer tout élément de la Propriété intellectuelle de Piano sans l’autorisation écrite de Piano ; ni (ii) reproduire, modifier, créer des œuvres dérivées, désassembler, décompiler ou procéder de toute autre manière à une ingénierie inverse de la Propriété intellectuelle de Piano. Aucune disposition des présentes ne saurait être interprétée comme accordant au Client, par implication, préclusion ou autrement, une licence ou tout autre droit sur les droits de propriété intellectuelle de Piano ou de ses concédants, à l’exception des droits et de la licence expressément accordés dans les présentes. Piano et ses concédants se réservent tous les droits non expressément accordés.
6.CONFIDENTIALITÉ.
(a) Aux fins du présent Contrat, le terme « Informations confidentielles » désigne toutes les informations non publiques divulguées avant ou après la signature du présent Contrat, qu’elles soient écrites ou orales, qui sont désignées comme confidentielles ou qui, compte tenu de leur nature ou des circonstances de leur divulgation, doivent raisonnablement être considérées comme confidentielles. Les Informations confidentielles comprennent la Propriété intellectuelle de Piano, les Documents du Client, les Données à caractère personnel, les termes du présent Contrat (y compris les Annexes), ainsi que toute autre information jugée exclusive ou confidentielle par la partie divulguant les Informations confidentielles (la « Partie divulgatrice »), et tous les supports d’enregistrement contenant ou divulguant ces informations. Pour éviter toute ambiguïté, les informations confidentielles de Piano comprennent la propriété intellectuelle de Piano, tandis que les informations confidentielles du client comprennent les documents du client, les données à caractère personnel et les données à caractère non personnel.
(b) Une Partie recevant des informations confidentielles (la « Partie destinataire ») s’engage à ne pas, à aucun moment, utiliser ou divulguer, directement ou indirectement, sans le consentement écrit préalable de la Partie divulgatrice, les informations confidentielles ou toute partie de celles-ci, sauf dans la mesure nécessaire à l’exécution des obligations qui lui incombent en vertu du présent accord. La Partie destinataire s’engage à prendre toutes les mesures nécessaires pour protéger la confidentialité des Informations confidentielles.
(c) Le terme « Informations confidentielles » n’englobe pas les informations qui : (i) ont été ou deviennent publiques et accessibles à tous, ou qui relèvent actuellement ou à l’avenir du domaine public sans qu’il y ait eu violation du présent Contrat ou d’un contrat similaire par un tiers ; (ii) avant leur divulgation en vertu des présentes, se trouvent légitimement en la possession de la Partie destinataire, ce qui peut être vérifié par des preuves indépendantes ; (iii) après leur divulgation en vertu des présentes, ont été légalement reçues d’un tiers en détenant des droits sur celles-ci, sans restriction des droits de ce tiers ou de la Partie destinataire à diffuser ces informations et sans notification d’aucune restriction quant à leur divulgation ultérieure ; (iv) a été développée de manière indépendante par la Partie destinataire sans utilisation ni référence à ces Informations confidentielles, ce qui peut être vérifié par des preuves indépendantes ; ou (v) est divulguée en vertu d’une exigence d’une entité gouvernementale ou dont la divulgation est requise par la loi, sous réserve de la section 6(d) ci-dessous.
(d) Si la Partie destinataire est sommée par un tribunal, une autorité publique ou tout autre tiers de divulguer des Informations confidentielles, elle en informera sans délai la Partie divulgatrice (dans la mesure où la loi le permet) afin de permettre à cette dernière de solliciter une ordonnance de protection ou de prendre toute autre mesure appropriée. La Partie destinataire coopérera également de manière raisonnable (aux frais exclusifs de la Partie divulgatrice) aux efforts de la Partie divulgatrice visant à obtenir une ordonnance de protection ou toute autre garantie raisonnable que les Informations confidentielles bénéficieront d’un traitement confidentiel, et ne divulguera que la partie des Informations confidentielles dont la divulgation est exigée par la loi ; la Partie destinataire mettra tout en œuvre, dans la mesure du raisonnable, pour obtenir un traitement confidentiel à cet égard.
(e) Les informations confidentielles ne doivent pas, sans le consentement écrit préalable de la Partie divulgatrice, être communiquées à toute personne ou entité autre que les employés ou mandataires de la Partie destinataire qui ont besoin d’en prendre connaissance et, dans ces cas, uniquement dans la mesure justifiée par ce besoin. La Partie destinataire veillera à ce que toutes ces entités et tout ce personnel respectent les termes du présent Contrat. La Partie destinataire sera responsable de toute violation du présent Contrat commise par ses employés et/ou mandataires, ainsi que par toute autre personne à qui elle aura divulgué des informations confidentielles. Ce qui précède ne sera pas considéré comme empêchant Piano de divulguer des données non personnelles anonymisées lorsqu’elles sont agrégées à des informations similaires qu’elle a reçues de ses autres clients, de telle sorte que les données non personnelles ne permettent pas d’identifier le client.
(f) La Partie destinataire doit informer la Partie divulgatrice dès que cela est raisonnablement possible et coopérer avec celle-ci dès qu’elle constate la perte ou la compromission d’Informations confidentielles.
(g) Sauf disposition contraire expressément prévue dans les présentes, la Partie destinataire reconnaît que les Informations confidentielles constituent la propriété exclusive de la Partie divulgatrice et lui appartiennent à titre exclusif, et s’engage à ne pas prétendre le contraire à quelque titre que ce soit.
(h) La Partie destinataire s’engage à restituer à la Partie divulgatrice, à détruire et/ou à supprimer définitivement, au choix de la Partie divulgatrice, et à confirmer par écrit la destruction, la suppression définitive et/ou la restitution, de tout document écrit, matériel ou accessible de quelque manière que ce soit, sous quelque forme que ce soit (y compris les supports électroniques tels que les disquettes, CD-ROM, les copies électroniques ou tout document stocké sur le disque dur ou un disque dur externe de tout ordinateur) contenant ou reflétant des Informations confidentielles (y compris toutes les copies, résumés, extraits ou autres reproductions) sans délai à la demande de la Partie divulgatrice, à condition toutefois que, sous réserve de son obligation permanente de préserver la confidentialité de ces documents, la Partie destinataire puisse conserver un exemplaire des Informations confidentielles dans ses dossiers juridiques à des fins de conformité et de réglementation, et qu’elle ne soit pas tenue de supprimer les archives électroniques et les sauvegardes réalisées dans le cadre normal de ses activités.
(i) Outre tout autre droit et recours dont dispose la Partie divulgatrice en vertu des présentes ou en vertu de la loi, la Partie destinataire reconnaît et accepte que, compte tenu de la nature des Informations confidentielles, ses obligations de confidentialité envers la Partie divulgatrice en vertu des présentes revêtent un caractère unique, et elle accepte que tout manquement à ces obligations puisse entraîner un préjudice irréparable et durable pour la Partie divulgatrice, pour lequel il pourrait ne pas exister de réparation adéquate sous forme de dommages-intérêts. Nonobstant toute disposition contraire du présent Contrat, la Partie divulgatrice peut solliciter une mesure injonctive, sans avoir à constituer de caution ou autre garantie, même si cela est normalement requis, et/ou une ordonnance de contrainte, ainsi que toute autre mesure appropriée auprès d’un tribunal compétent.
7.DURÉE ET RÉSILIATION.
(a) Durée. Sauf résiliation anticipée conformément aux droits prévus dans le présent Contrat, la durée de chaque Annexe est celle indiquée dans ladite Annexe (« Durée »). Le présent Contrat prend effet à la Date d’entrée en vigueur et reste en vigueur jusqu’à ce que toutes les Annexes prévoyant une Durée spécifique aient été résiliées. La résiliation d’une Annexe n’entraîne pas automatiquement la résiliation d’une autre annexe ou du présent contrat, sauf disposition contraire prévue à l’article 7.(b) ; elle ne dégage pas non plus l’une des Parties des réclamations que l’autre Partie pourrait faire valoir à son encontre au titre du présent contrat et n’affecte pas les obligations des parties au titre de toute autre annexe non résiliée.
(b) Résiliation. Chacune des Parties peut résilier le présent Contrat ou toute Annexe moyennant un préavis écrit de résiliation si l’autre Partie: (1) manque à l’exécution de toute exigence ou obligation substantielle découlant du présent Contrat, ou enfreint toute disposition substantielle du présent Contrat, sans que ce manquement ou cette violation ne soit corrigé(e) dans les trente (30) jours suivant la réception par la partie défaillante d’une notification écrite de manquement ou de violation ; (2) cesse d’exercer ses activités dans le cadre normal de ses affaires ; (3) fait l’objet d’une procédure étatique ou fédérale (qu’elle soit volontaire ou involontaire) relative à sa faillite, à son insolvabilité ou à sa liquidation, qui n’est pas classée sans suite dans un délai de quatre-vingt-dix (90) jours ; (4) procède à une cession au profit de ses créanciers ou se voit désigner un administrateur judiciaire pour une partie substantielle de ses actifs ; ou (5) pendant une période supérieure à trente (30) jours, ne remplit pas ses obligations au titre du présent Contrat en raison d’un cas de force majeure.
En cas de résiliation du présent Contrat conformément aux dispositions ci-dessus, toutes les Annexes au présent Contrat prendront également fin immédiatement. Toutefois, la résiliation d’une Annexe ne dispensera pas le Client de son obligation de verser à Piano (ni n’autorisera Piano à retenir sur les paiements des utilisateurs finaux qu’elle perçoit pour le compte du Client en vertu des présentes) les honoraires et autres sommes dus au titre des Services fournis. En cas de résiliation d’une annexe ou du présent Contrat, autre qu’une résiliation par Piano pour manquement du Client, ce dernier recevra de Piano le remboursement de tout paiement prépayé et non utilisé à la date d’effet de la résiliation.
(c) ùffets de la résiliation ; survie des dispositions. En cas de résiliation du présent Contrat, tous les droits et licences accordés en vertu des présentes prendront fin, sauf disposition contraire du présent Contrat. Les dispositions du présent Contrat qui, de par leur nature, sont destinées à survivre à la résiliation survivront effectivement, et comprennent, sans s’y limiter, les dispositions relatives à la propriété intellectuelle, à la confidentialité, à l’indemnisation, à la limitation de responsabilité, aux garanties et déclarations, au droit applicable et à la juridiction compétente, ainsi qu’au paiement (dans la mesure où ces paiements ont été acquis pendant la durée du présent Contrat). Nonobstant la résiliation du présent Contrat pour quelque raison que ce soit, aucune des parties ne sera libérée des devoirs, obligations, dettes ou responsabilités nés ou accumulés avant la résiliation du Contrat ou de l’Annexe. Sauf dans le cas où le Client résilie le Contrat en vertu de la section 7 (b), le Client s’engage à payer tous les honoraires impayés dus au titre de toute Annexe applicable en vigueur avant la date de résiliation, pour la durée restante de la période de validité de ladite Annexe.
(d) Restitution des données du Client : Sur demande du Client formulée dans les trente (30) jours suivant la date d’entrée en vigueur de la résiliation du présent Contrat ou de toute Annexe, Piano mettra à la disposition du Client, en vue de son téléchargement, un fichier contenant les données du Client. À l’issue de ce délai de trente (30) jours, Piano n’aura plus aucune obligation de conserver ou de fournir les données du Client et pourra, sauf interdiction légale, supprimer l’ensemble des données du Client présentes dans ses systèmes ou dont il a la possession ou le contrôle de quelque manière que ce soit.
8.DÉCLARATIONS ET GARANTIES.
(a) Chaque Partie garantit et déclare, à tout moment pendant la Durée du présent Contrat, que : (i) elle dispose du droit, du plein pouvoir et de l’autorité nécessaires pour conclure le présent Contrat et chacune de ses annexes ; (ii) elle est dûment constituée, valide et en règle au regard des lois de l’État et du pays où elle a été constituée ou créée ; (iii) elle n’est soumise à aucune obligation contractuelle ou autre obligation légale susceptible d’entraver de quelque manière que ce soit l’exécution intégrale, rapide et complète des dispositions des présentes; (iv) elle se conformera à toutes les lois applicables dans le cadre de l’exécution du présent contrat.
(b) Piano déclare et garantit en outre que : (i) à sa connaissance à la Date d’entrée en vigueur, les Services et les Livrables ne portent atteinte à aucun Droit de propriété intellectuelle valide et exécutoire d’un tiers (étant entendu que toute indemnisation liée à une violation ou à une violation présumée de la présente garantie ne sera pas limitée par une réserve de connaissance) ; (ii) tous les Services fournis aux termes des présentes le seront de manière compétente et professionnelle ; (iii) tous les Services seront conformes, pour l’essentiel, aux spécifications énoncées dans l’Annexe applicable ; (iv) ni le Logiciel ni les Livrables ne contiennent de Code nuisible ; (v) Piano respecte toutes les licences de logiciels libres intégrées à son Logiciel ou utilisées ou incorporées de toute autre manière dans celui-ci et ne provoquera aucune contamination de la technologie du Client ou de son concédant de licence dans le cadre de la prestation de ses Services ; et (vi) sauf mention expresse dans le Contrat ou dans une Annexe, aucune licence ou autorisation supplémentaire de tiers ne sera nécessaire dans le cadre de l’utilisation par le Client des Services en vertu du présent Contrat. Aux fins du présent Contrat, « Code Nuisible » désigne tout Logiciel ou autre élément intentionnellement conçu pour (a) perturber, désactiver, endommager ou entraver le fonctionnement, ou (b) altérer le fonctionnement en fonction du temps écoulé, y compris, sans s’y limiter, les virus, vers, bombes à retardement, verrous temporels, codes d’accès ou dispositifs de trappe. Le terme « Contamination » désigne le fait qu’une technologie propriétaire soit désormais soumise aux conditions d’une licence de logiciel libre en vertu de laquelle les destinataires en aval ou d’autres tiers peuvent revendiquer le droit (a) de copier, de créer des œuvres dérivées ou de redistribuer la technologie propriétaire, ou (b) de recevoir le code source de la technologie propriétaire. Si Piano, après avoir déployé des efforts commercialement raisonnables, n’est pas en mesure de remédier de manière substantielle à toute non-conformité matérielle signalée au titre de la présente garantie, l’une ou l’autre des Parties peut résilier le présent Contrat et le Client, à titre de seul recours, aura droit au remboursement de tout paiement prépayé et non utilisé à la date d’effet de la résiliation.
(c) Le Client déclare et garantit en outre que : (i) à sa connaissance, les Contenus du Client n’enfreignent, ne violent ni ne détournent aucun droit de propriété intellectuelle valide et exécutoire d’un tiers (étant précisé que toute indemnisation liée à une violation ou à une violation présumée de la présente garantie ne sera pas limitée par une clause de connaissance) ; (ii) à sa connaissance, il a obtenu tous les droits de propriété intellectuelle nécessaires associés aux Données du Client et au contenu mis à la disposition des consommateurs par le biais de ses sites Web (étant entendu que toute indemnisation liée à une violation ou à une violation présumée de la présente garantie ne sera pas limitée par une réserve de connaissance) ; (iii) il a obtenu l’autorisation ou le consentement requis pour utiliser les Données du Client et les fournir à Piano en vue de leur traitement ; (iv) il s’est assuré que les Données du Client ne contiennent aucun message ni aucune image enfreignant les lois applicables ; (v) il utilisera les Services conformément aux conditions générales des présentes et à la loi applicable ; et (vi) qu’il n’utilisera pas les Services à des fins de segmentation, de reciblage, de création ou de complément de profils d’utilisateurs ou de profils d’inventaire, de création, de complément ou de modification de catégories d’intérêts, ni à des fins de syndication ou de toute autre forme de diffusion à des tiers, sauf si cette collecte et cette utilisation des données sont autorisées par le propriétaire des données ou en son nom.
(d) Le Client reconnaît qu’il peut être amené, de temps à autre, à fournir à Piano des éléments pouvant avoir été développés par des tiers (collectivement, les « Éléments de tiers »). Le Client déclare qu’au moment où il remet des Éléments de tiers à Piano, il a obtenu le droit d’utiliser ces Éléments de tiers, et que l’utilisation de ces Éléments de tiers par Piano ne portera pas atteinte aux droits de propriété intellectuelle d’un tiers quelconque.
(e) Sauf disposition contraire expressément prévue dans le présent Contrat, le Logiciel est fourni « tel quel ». Le Client accepte que l’abonnement aux Services ne soit pas subordonné à la mise à disposition de fonctionnalités ou de caractéristiques futures, ni ne dépende d’éventuelles remarques orales ou écrites formulées par Piano concernant les fonctionnalités ou caractéristiques futures. Piano assurera la maintenance du Logiciel et/ou des Services conformément au Contrat de niveau de service disponible à l’adresse https://www.piano.io/legal/sla. Si le Client dépasse de quinze pour cent (15 %) ou plus la Capacité sous licence définie dans une Annexe applicable au cours d’une période d’un (1) mois sur une base glissante, Piano ne saurait être tenu responsable d’aucun manquement au Contrat de niveau de service et le Client ne recevra aucun Crédit, tel que défini dans le Contrat de niveau de service (SLA), à compter de la date à laquelle ladite Capacité sous licence a été dépassée.
9.INDEMNISATION
(a) Le terme « Pertes » désigne les pertes, responsabilités, dommages-intérêts, amendes, pénalités, règlements à l’amiable, jugements, frais et dépenses, y compris les honoraires raisonnables d’avocats et d’experts, ainsi que les intérêts (y compris les taxes) découlant d’une réclamation d’un tiers.
(b) Indemnisation par Piano. Piano indemnisera le Client ainsi que ses dirigeants, administrateurs, salariés, successeurs et ayants droit (les « Parties indemnisées du Client ») contre toutes les pertes subies, encourues ou supportées par une partie indemnisée du Client ou auxquelles une partie indemnisée du Client est exposée, résultant de, découlant de ou liées à: (i) une réclamation d’un tiers alléguant que Piano IP, lorsqu’il est acheté et utilisé conformément au présent Contrat, porte atteinte à un droit de propriété intellectuelle dudit tiers ; (ii) toute violation par Piano du présent Contrat (y compris les Annexes) ; ou (iii) tout préjudice corporel, décès ou dommage matériel causé par ou découlant d’actes de négligence ou d’omissions de la part de Piano dans le cadre de l’exécution du Contrat.
(c) Indemnisation par le Client. Le Client s’engage à indemniser Piano, ses filiales, ainsi que les dirigeants, administrateurs, salariés, actionnaires, successeurs et ayants droit de chacune d’entre elles (les « Parties Indemnisées par Piano ») contre toute perte subie, encourue ou supportée par une partie indemnisée de Piano, ou dont une partie indemnisée de Piano devient l’objet, résultant de, découlant de ou liée à (i) une réclamation d’un tiers découlant de ou liée à tout Contenu du Client ou toute Donnée à caractère personnel utilisé(e) en relation avec le Logiciel ; (i) toute violation par le Client du présent Contrat (y compris les Annexes) ; ou (ii) le défaut de paiement et de règlement par le Client de toute taxe (y compris les intérêts et pénalités) dont il est redevable en vertu des dispositions du présent Contrat.
(d) Recours en cas de contrefaçon. Si une Propriété intellectuelle de Piano venait à faire l’objet, ou, de l’avis de Piano, était susceptible de faire l’objet d’une plainte pour contrefaçon, Piano aura le droit, à sa seule discrétion et à ses frais, soit d’obtenir pour le Client le droit de continuer à utiliser ou à recevoir la Propriété intellectuelle de Piano, soit de remplacer ou de modifier la Propriété intellectuelle de Piano afin qu’elle ne porte plus atteinte à des droits de tiers, soit de retirer la Propriété intellectuelle de Piano contestée. La présente section 9 définit l’intégralité de la responsabilité de Piano, ainsi que le recours unique et exclusif du Client en cas de réclamations relatives aux droits de propriété intellectuelle liées à toute propriété intellectuelle de Piano ou découlant de celle-ci, à l’exception des obligations d’indemnisation prévues dans les présentes si Piano renonçait à ce droit. Piano n’aura aucune obligation d’indemnisation envers le Client concernant toute réclamation pour contrefaçon dans la mesure où la réclamation ou l’allégation de contrefaçon de la Propriété intellectuelle de Piano repose sur : (1) une modification apportée par une entité autre que Piano ou son mandataire ; (2) une violation du présent Contrat par le Client ; (3) l’intégration par le Client de tout Contenu du Client ou Contenu de tiers dans toute Propriété intellectuelle de Piano, si la réclamation n’aurait pas été soulevée sans cette modification, cette violation ou cette intégration du Contenu du Client ou du Contenu de tiers, respectivement.
(e) Procédures d’indemnisation. Si une action est intentée par un tiers à l’encontre d’une personne physique ou morale ayant droit à une indemnisation en vertu de la présente section (la « Partie Indemnisée »), la Partie tenue de fournir l’indemnisation (la « Partie Indemnisante ») en sera informée dans les meilleurs délais. La Partie Indemnisée coopérera, aux frais de la Partie Indemnisante, dans toutes les limites raisonnables, avec la Partie indemnisante et ses avocats dans le cadre de l’enquête, du procès et de la défense relatifs à cette action ainsi qu’à tout recours en appel qui en découlerait; sous réserve toutefois que la Partie Indemnisée puisse, à ses propres frais, participer, par l’intermédiaire de ses avocats ou de toute autre manière, à cette enquête, à ce procès et à la défense contre cette réclamation ainsi qu’à tout recours en appel qui en découlerait. Aucun règlement d’une réclamation impliquant une réparation autre que le paiement d’une somme d’argent par la partie indemnisante ne sera conclu sans le consentement de la partie indemnisée.
10.EXCLUSIONS DE GARANTIE ET LIMITATIONS DE RESPONSABILITÉ.
SAUF DISPOSITION EXPRESSE CONTRAIRE DES PRÉSENTES, AUCUNE DES PARTIES NE CONSENT DE GARANTIE DE QUELQUE NATURE QUE CE SOIT, EXPRESSE OU IMPLICITE, Y COMPRIS TOUTE GARANTIE IMPLICITE DE QUALITÉ MARCHANDE, D'ADÉQUATION DES SERVICES OU DE PIANO IP À UN USAGE PARTICULIER, OU D'ABSENCE DE CONTREFAÇON.
DANS LA MESURE OÙ CELA DÉPASSE LE CONTRÔLE DE PIANO OU DE SES CONCÉDANTS DE LICENCE, QUE LES ÉLÉMENTS SUIVANTS AFFECTENT PIANO OU L’UN DE SES PRESTATAIRES DE SERVICES TIERS, Y COMPRIS, SANS S’Y LIMITER, AMAZON WEB SERVICES, SNOWFLAKE INC., GOOGLE, PAYPAL OU TOUT AUTRE PRESTATAIRE DE SERVICES TIERS MENTIONNÉ DANS LES ANNEXES JOINTES AUX PRÉSENTES, PIANO ET SES CONCÉDANTS DE LICENCE NE SERONT PAS RESPONSABLES ENVERS LE CLIENT OU TOUT TIERS EN CAS DE DYSFONCTIONNEMENT TECHNIQUE, DE SUSPENSION DES SERVICES, DE PANNE OU DE PROBLÈME DE TÉLÉCOMMUNICATION OU D’INTERNET, ERREUR INFORMATIQUE, CORRUPTION, INEFFICACITÉ, PERTE D’INFORMATIONS, PERTE D’ACTIVITÉ, PERTE DE DONNÉES, ATTEINTE À LA RÉPUTATION COMMERCIALE, PERTE DE BÉNÉFICES OU TOUTE AUTRE PERTE ÉCONOMIQUE.
EN AUCUN CAS (A) L’UNE DES PARTIES NE POURRA ÊTRE TENUE RESPONSABLE ENVERS L’AUTRE PARTIE DE DOMMAGES INDIRECTS, SPÉCIAUX, ACCESSOIRES, CONSÉCUTIFS OU PUNITIFS, MÊME SI CETTE PARTIE A ÉTÉ INFORMÉE DE LA POSSIBILITÉ DE TELS DOMMAGES, ET (B) LA RESPONSABILITÉ GLOBALE DE CHACUNE DES PARTIES AU TITRE DES DOMMAGES-INTÉRÊTS EN VERTU DU PRÉSENT CONTRAT NE PEUT EXCÉDER UN MONTANT ÉGAL À LA SOMME TOTALE DUE OU PAYABLE PAR LE CLIENT À PIANO AU COURS DE LA PÉRIODE DE DOUZE (12) MOIS PRECEDANT LA DATE A LAQUELLE LA RESPONSABILITE A PRIS NAISSANCE.

11.SÉCURITÉ DES DONNÉES ET MESURES TECHNIQUES.
(a) Piano fournira les Services dans le respect de toutes les lois applicables (y compris, sans s’y limiter, celles relatives à la confidentialité et à la sécurité des données ainsi qu’à la protection des consommateurs) et du RGPD.
(b) Si le Client ou son prestataire de services tiers traite des informations relatives aux cartes de crédit à l’aide du Logiciel et des Services, le Client (et/ou ledit prestataire de services, le cas échéant) doit : (i) se conformer à ses obligations au titre de la norme de sécurité des données de l’industrie des cartes de paiement (« PCI DSS ») ; (ii) mettre en œuvre et maintenir des mesures de sécurité raisonnables afin de protéger toutes les données des titulaires de cartes en sa possession ou sous son contrôle ; et (iii) s’abstenir de toute action liée à l’utilisation du Logiciel et des Services qui placerait Piano en situation de non-conformité avec la norme PCI DSS (par exemple, le stockage de données de titulaires de cartes dans des champs personnalisés du Logiciel et des Services).
12. DIVERS.
(a) Notifications. Les notifications, mises en demeure, demandes, consentements ou autres communications requises ou autorisées en vertu du présent Contrat ou de l’une de ses annexes devront être formulées par écrit et seront réputées dûment notifiées ou remises (i) en cas de remise en mains propres, (ii) lorsqu’elles sont envoyées à l’autre partie par courrier recommandé avec accusé de réception, (iii) lorsqu’elles sont remises en mains propres ou envoyées par un service de messagerie express reconnu (avec accusé de réception du transporteur), ou (iv) lorsqu’elles sont envoyées par courrier électronique (étant entendu que le courrier électronique ne saurait valoir à des fins d’indemnisation), si leur réception est confirmée par le destinataire.
Les notifications devront être remises ou envoyées aux parties aux adresses respectives indiquées ci-dessus ou figurant dans l’annexe correspondante.
(b) Intégralité de l'accord ; Divisibilité ; Modification. Le présent Contrat, y compris ses Annexes, constitue l'intégralité de l'accord entre les Parties et remplace tous les accords et communications antérieurs entre les Parties relatifs à son objet. Piano peut modifier ou amender le présent Contrat, y compris toute politique ou condition d'utilisation en ligne qui y est incorporée, de temps à autre, uniquement afin : (i) d'assurer la conformité avec les lois, règlements ou directives réglementaires contraignantes applicables ; (ii) de tenir compte des Mises à jour, évolutions, améliorations ou modifications apportées aux Services, à la plateforme ou à la technologie sous-jacente ; ou (iii) de répondre à des exigences de sécurité, de confidentialité ou d'exploitation. Piano s'engage à ce que ces modifications : (a) ne réduisent pas de manière significative la fonctionnalité, les performances ou la sécurité des Services ; (b) n'aient pas d'incidence négative sur l'utilisation des Services par le Client ; et (c) n'entraînent pas de réduction significative des niveaux de service ou des engagements d'assistance prévus au présent Contrat et dans les SLA.
(c) Absence de renonciation. Le fait pour une Partie de ne pas exercer, à une ou plusieurs reprises, un droit ou un privilège découlant du présent Contrat ne constitue pas une renonciation et ne l’empêche pas d’exiger de l’autre Partie qu’elle s’acquitte pleinement de ses obligations, ni de faire valoir ce droit ou ce privilège à tout moment.
(d) Prestataires indépendants. Piano et le Client agiront chacun en tant que prestataires indépendants. Aucune disposition du présent Contrat ne saurait être considérée comme créant, ni interprétée comme créant, une coentreprise ou toute autre relation entre les Parties. Aucune des Parties n’aura le pouvoir, explicite ou implicite, d’engager ou d’imposer des obligations à l’autre Partie de quelque manière que ce soit, sauf autorisation expresse et écrite donnée ponctuellement par un représentant habilité de la Partie concernée.
(e) Non-exclusivité. Piano et le Client reconnaissent tous deux que le présent Contrat est non exclusif et que chacun des Parties se réserve le droit de mener des activités commerciales avec d’autres personnes. Chaque Partie reconnaît et accepte que l’autre partie puisse, sans restriction, conclure des accords avec d’autres personnes, entreprises, sociétés ou autres entités, y compris des entités concurrentes de l’autre partie, ou leur octroyer des licences, pour des services et des produits, selon les conditions que cette partie jugera appropriées.
(f) Cession. Le présent Contrat ne peut être cédé ou transféré, en tout ou en partie, par l’une des Parties sans le consentement écrit préalable de l’autre Partie, étant entendu que chacune des Parties peut céder le présent Contrat sans consentement écrit préalable dans le cadre d’une offre publique de ses titres ou d’une cession ou d’un transfert de la totalité ou de la quasi-totalité de ses actifs ou de son capital social auxquels le présent Contrat se rapporte, ou à la suite d’une fusion, d’une consolidation, ou d’une opération similaire. Toute cession ou tout transfert présumé en violation de la présente section sera nul. Aucune disposition du présent Contrat ne saurait être interprétée comme autorisant un syndic de faillite ou un acquéreur dans le cadre d’une procédure de faillite à reprendre le présent Contrat sans le consentement écrit de l’autre Partie. Sous réserve des restrictions susmentionnées, le présent Contrat lie et profite aux parties ainsi qu’à leurs successeurs et ayants droit autorisés.
(g) Force Majeure. Aucune des Parties ne saurait être tenue responsable des retards ou des manquements dans l’exécution du présent Contrat résultant d’un cas de force majeure. La résiliation en vertu de la présente section ne dégage pas le Client de son obligation de payer les Services fournis avant la date du cas de force majeure. Piano déploiera des efforts commercialement raisonnables pour rétablir les Services dès que possible en cas d’événement de force majeure. Si un événement de force majeure empêche une Partie d’exécuter ses obligations essentielles au titre du présent Contrat pendant plus de trente (30) jours consécutifs, l’autre Partie pourra choisir de résilier le présent Contrat ou toute Annexe moyennant un préavis écrit, sans autre obligation envers l’autre partie que le paiement des honoraires dus mais non encore versés pour les Services fournis avant la date dudit cas de force majeure. On entend par « Cas de Force Majeure » tout événement ou circonstance échappant au contrôle des Parties, sans qu’il y ait faute ou négligence de la part de l’une ou l’autre d’entre elles, et qu’aucune des Parties n’a pu prévenir malgré l’exercice d’une diligence raisonnable. Ces événements comprennent, sans s’y limiter, (a) les émeutes, la guerre, l’invasion, les actes d’ennemis étrangers, les hostilités (que la guerre soit déclarée ou non), les actes de terrorisme, la guerre civile, la rébellion, la révolution, l’insurrection militaire ou la prise de pouvoir par usurpation, la réquisition ou l’expropriation par toute autorité gouvernementale ou compétente ; (b) les rayonnements ionisants ou la contamination, la radioactivité provenant de tout combustible nucléaire ou de tout déchet nucléaire issu de la combustion de combustible nucléaire, les propriétés radioactives, toxiques, explosives ou autres propriétés dangereuses de tout dispositif explosif ou composant nucléaire ; (c) les tremblements de terre, les inondations, les incendies ou toute autre catastrophe naturelle d’origine physique, à l’exclusion toutefois des conditions météorologiques, quelle que soit leur gravité ; et (d) les grèves à l’échelle nationale ou les conflits sociaux à l’échelle nationale.
(h) Marketing. À condition qu’au moins trois (3) clients soient cités, Piano aura le droit d’utiliser le nom et le logo du Client dans ses listes de clients et autres supports marketing. Sous réserve de l’accord du Client, qui ne pourra être refusé sans motif valable, Piano aura également le droit de publier un communiqué de presse, une étude de cas et/ou un témoignage, et d’élaborer des supports marketing liés à toute intervention à laquelle le Client accepte de participer au nom de Piano lors d’événements professionnels (événements en présentiel, webinaires ou vidéos).
(i) Accès aux sites Web du Client. Pendant la Durée du présent Contrat ou de toute Annexe, le personnel de Piano aura accès au contenu des sites Web du Client.
(j) Respect des politiques. Le Client fournira à Piano, au préalable, ses règles écrites en matière de sécurité et autres réglementations, et Piano mettra en œuvre tous les efforts commercialement raisonnables pour s’assurer que son personnel ou ses Sous-traitants s’y conforment, dans le cadre de toute activité menée sur les sites du Client ou en lien avec les systèmes du Client. Le Client, son personnel ou ses Sous-traitants respecteront à tout moment la Politique d’utilisation acceptable de Piano énoncée à l’adresse https://piano.io/aup et incorporée aux présentes par référence.
(k) OMIS INTENTIONNELLEMENT
(l) Non-sollicitation. Pendant la durée du présent Contrat et pendant les douze (12) mois qui suivront, aucune des Parties ne devra, directement ou indirectement, pour son propre compte, pour le compte d’une filiale, d’un tiers ou de toute autre entité affiliée, embaucher sciemment ou s’engager à embaucher toute personne ayant été salariée ou Sous-traitante de l’autre Partie à un moment quelconque au cours de la période susmentionnée, ni ne sollicitera sciemment une telle personne afin qu’elle mette fin à son contrat de travail ou à sa relation d’affaires avec l’autre Partie, ou qu’elle en réduise la portée. La présente clause n’empêche aucune des Parties d’employer un salarié ou un Sous-traitant de l’autre Partie qui répond à une offre d’emploi générale publiée et ne visant pas spécifiquement cette personne.
(m) Commerçant de référence et/ou Merchant of Record : le cas échéant, le Client agira en tant que Commerçant de référence et/ou Merchant of Record aux fins du présent Contrat et se conformera à l’ensemble des exigences PCI et légales applicables.
(n) Assurance. Piano et le Client souscriront chacun une assurance couvrant l’ensemble de leurs activités respectives prévues aux termes du présent Contrat pendant toute la durée de celui-ci.
(o) Litiges et droit applicable. Le présent Contrat sera régi et interprété conformément aux lois de la juridiction dont relève l’Entité Piano soumise au présent Contrat, telle que définie ci-dessous (« Juridiction applicable »), sans référence aux principes de conflit de lois. Les litiges entre les parties concernant le présent Contrat, ou toute modification, toute Annexe logicielle ou tout cahier des charges, seront résolus comme suit :
i. Les dirigeants de Piano et du Client disposeront d’un délai de trente (30) jours pour se rencontrer et tenter de résoudre le litige.
ii. Dans le cas où un accord à l’amiable ne pourrait être trouvé, les Parties conviennent de soumettre le litige aux tribunaux d’État ou fédéraux situés dans la juridiction compétente, et les Parties acceptent par les présentes la compétence exclusive et le lieu de juridiction de ces tribunaux pour les questions relatives à des mesures injonctives immédiates.
iii. Dans le cas où l’une ou l’autre des parties intenterait une action en justice pour faire valoir ou exercer ses droits en vertu du présent Contrat, ou de tout avenant, Annexe logicielle ou Cahier des charges, y compris dans le cadre d’un arbitrage exécutoire, la Partie gagnante dans le cadre de cette action (c’est-à-dire la Partie en faveur de laquelle le jugement est rendu, quel que soit le montant des dommages-intérêts accordés ou que la Partie obtienne une réparation inférieure à celle demandée, voire une réparation symbolique, mais uniquement dans les cas où l’instance chargée d’établir les faits désigne un vainqueur et où le tribunal rend un jugement en faveur de cette partie) aura droit au remboursement de ses honoraires d’avocat et frais raisonnables engagés dans le cadre de cette action.
La juridiction compétente dépendra de l’entité Piano concernée par le présent Contrat :

Piano Entity Registered Address Applicable Jurisdiction
Piano Software, Inc. 111 S Independence Mall E, Philadelphia PA 19106; New York, NY
Piano Software Norway 165 0277, Oslo, Norway; Oslo, Norvège
Applied Technologies Internet SAS 85 avenue Président JF Kennedy 33700 Merignanc France Paris, France
Piano Software GmbH Mehringdamm 55, 10961 Berlin, Germany Berlin, Allemagne

(p) Recours cumulatifs. Sauf stipulation expresse contraire, les recours prévus au présent Contrat s’ajoutent aux autres recours disponibles en vertu du droit applicable.
13.RÈGLES D’INTERPRÉTATION.
(a) Le terme « y compris » (sous toutes ses formes) signifie « y compris, sans s’y limiter », sauf indication contraire expresse.
(b) Les titres figurant dans le présent Contrat sont uniquement destinés à faciliter la lecture ou à servir de référence ; ils ne font pas partie intégrante du présent Contrat et n’ont aucune incidence sur le sens, l’interprétation ou la portée de celui-ci.
(c) Sauf indication contraire expresse, toute référence à un nombre de jours désigne des jours civils.
(d) Les considérants et les Annexes du présent accord sont réputés faire partie intégrante de celui-ci et y sont incorporés par référence.
(e) Aucun document échangé ni aucune pratique commerciale entre les Parties ne saurait être considéré comme modifiant ou amendant l’une quelconque des clauses du présent Contrat, sauf s’il est établi par écrit et signé par un représentant habilité de chacune des Parties.
(f) En cas d’incohérence, d’ambiguïté, de contradiction ou de conflit entre les dispositions du présent Contrat, de ses Annexes et de toute modification apportée à l’un des éléments susmentionnés, ces documents seront interprétés selon l’ordre de priorité suivant : (i) les dispositions de tout amendement au présent Contrat prévaudront, sauf si une Annexe stipule expressément qu’elle prévaut ; (ii) suivies des dispositions du présent Contrat, sauf si une Annexe stipule expressément qu’elle prévaut ; (iii) suivies des dispositions des Annexes au présent Contrat.
ANNEXE A (1)
ACCORD DE TRAITEMENT DES DONNÉES POUR TOUS LES PRODUITS AUTRES QUE PIANO ANALYTICS ET LORSQUE L’ENTITÉ PIANO EST PIANO SOFTWARE, INC.
Le présent accord de traitement des données s’applique uniquement à l’utilisation par le Client des Produits autres que Piano Analytics et lorsque l’Entité Piano est Piano Software, Inc. Pour le contrat de traitement des données applicable lorsque l’entité Piano concernée n’est pas Piano Software, Inc. ou pour l’utilisation de Piano Analytics par le Client, voir respectivement l’annexe A (2) et l’annexe A (3).
ATTENDU QUE :

1. Les Parties ont conclu l’accord ;

2. Dans le cadre de la fourniture des Services conformément au Contrat, Piano traitera les données à caractère personnel des Utilisateurs pour le compte du Client ;

3. Le RGPD s’applique directement au Client, mais également à Piano, du fait que cette dernière dispose d’un établissement dans l’UE, conformément à l’article 3 du RGPD ;

4. Le Contrat et le présent Accord sur le traitement des données prévoient et autorisent Piano à faire appel à des sociétés affiliées et à des Sous-traitants de Piano pour le traitement des données à caractère personnel des Utilisateurs, conformément aux conditions énoncées dans le présent Accord sur le traitement des données ;

5. Le Contrat et le présent Accord sur le traitement des données prévoient et autorisent Piano à traiter les données à caractère personnel des Utilisateurs dans un cadre transfrontalier et/ou en dehors de l’Espace économique européen, conformément aux conditions énoncées dans le présent Accord sur le traitement des données ;

6. Le Client ne fera appel qu’à des Sous-traitants offrant des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées, de manière à ce que le traitement soit conforme aux exigences du RGPD, le présent accord sur le traitement des données (« DPA ») justifiant pourquoi le Client est satisfait des garanties fournies par Piano ;

7. Les parties souhaitent s’accorder explicitement sur la portée et la répartition des obligations découlant du RGPD, principalement à l’égard des utilisateurs en tant que personnes concernées ;
   PAR CONSÉQUENT, LES PARTIES SONT CONVENUES DE CE QUI SUIT :

8. Définitions. Les termes utilisés dans le présent accord sur le traitement des données (DPA) doivent être interprétés conformément au RGPD. Tous les termes définis dans le Contrat ont la même signification lorsqu’ils sont utilisés dans le présent DPA. Aux fins du présent DPA, les termes suivants ont la signification indiquée ci-après :
   Le terme « Contrat » désigne les conditions générales du contrat-cadre de services Piano Master conclu entre les parties ;
   On entend par «clauses» les clauses contractuelles types approuvées par la Commission (décision (UE) 2021⁄914 de la Commission)
   (Clauses contractuelles types) afin de garantir la sécurité des transferts transfrontaliers de données à caractère personnel entre les parties.
   Le terme « Commission » désigne la Commission de l’Union européenne ;
   Le terme « Conditions » désigne les conditions suivantes : (i) Piano conclut un accord de traitement des données avec ses sociétés affiliées et ses Sous-traitants, garantissant que tout traitement des données à caractère personnel est conforme aux conditions et au niveau de protection des données à caractère personnel requis en vertu du présent accord ; (ii) la liste actualisée de toutes les sociétés affiliées à Piano et de tous les Sous-traitants est mise à disposition et tenue à jour par Piano via https://piano.io/privacy-policy ; (iii) les données à caractère personnel ne seront transférées et traitées que par des sociétés affiliées à Piano et des Sous-traitants situés dans l’EEE, au Royaume-Uni, aux États-Unis, aux Philippines ou dans des pays tiers garantissant un niveau de protection adéquat conformément à la décision de la Commission ou, le cas échéant, conformément à la décision équivalente en vertu de la législation britannique ; (iv) dans le cas où les sociétés affiliées à Piano ou les Sous-traitants sont situés au Royaume-Uni, aux Philippines ou aux États-Unis, le transfert transfrontalier est effectué par Piano sur la base des clauses contractuelles types de l’UE ou des décisions d’adéquation de la Commission, ou conformément aux règles d’entreprise contraignantes adoptées par Piano et disponibles à l’adresse https://piano.io/bcr ; (v) dans le cas où des sociétés affiliées à Piano ou des Sous-traitants sont situés aux Philippines ou aux États-Unis, Piano adoptera des mesures techniques, contractuelles et organisationnelles supplémentaires pour garantir la sécurité du transfert transfrontalier, telles que : 1) l’évaluation visant à déterminer si la société affiliée à Piano ou le Sous-traitant relève de la législation locale en matière de surveillance, ainsi que l’évaluation de la législation et des pratiques locales ; 2) le chiffrement des données à caractère personnel, ainsi que la conservation des clés de chiffrement hors de portée de la société affiliée à Piano ou du Sous-traitant, celles-ci étant contrôlées localement uniquement par les ingénieurs DevOps de Piano au sein de l’EEE/de l’UE ; 3) l’évaluation des informations accessibles au public et des informations fournies sur demande ; 4) les méthodes d’organisation au sein du groupe (formations, politiques internes) ; 5) les mesures de minimisation des données ; (vi) Le Client est en droit, sur demande écrite, de recevoir des copies des clauses pertinentes de l’accord interne de traitement des données conclu entre Piano et ses Filiales ; (vii) Le Client peut demander à Piano de réaliser un audit auprès d’une Filiale de Piano ou d’un Sous-traitant, ou de fournir la confirmation qu’un tel audit a bien eu lieu (ou, le cas échéant, d’obtenir ou d’aider le Client à obtenir un rapport d’audit réalisé par un tiers concernant les activités d’une société affiliée de Piano ou d’un Sous-traitant) afin de garantir le respect de ces obligations, sous réserve toutefois que la section 16.19 du présent accord sur le traitement des données s’applique mutatis mutandis ; et (viii) Piano sera responsable des actes et omissions des sociétés affiliées de Piano et de ses Sous-traitants dans la même mesure que si Piano fournissait directement les services de chacune de ces sociétés affiliées et de chacun de ces Sous-traitants conformément aux termes du présent accord, sauf disposition contraire prévue dans le présent accord et/ou dans les exigences en matière de confidentialité et de protection des données ;
   « Données du Client » désigne l’ensemble des données et informations fournies par ou pour le compte du Client, de ses sociétés affiliées ou de leurs clients, consommateurs et Utilisateurs respectifs, ou collectées directement ou indirectement auprès de ceux-ci, y compris, sans s’y limiter, les données ou informations collectées via le Logiciel et/ou le Service, qui peuvent inclure, sans s’y limiter, les Données de carte de crédit (telles que définies à la section 17 ci-dessous), les Données non personnelles ou les Données à caractère personnel. Par souci de clarté, toutes les Données à caractère personnel constituent des Données du Client, mais toutes les Données du Client ne constituent pas des Données à caractère personnel (les Données non personnelles ne sont pas des Données à caractère personnel) ;
   « EEE » désigne l’Espace économique européen ;
   « UE » désigne l’Union européenne ;
   « Espace économique européen » désigne l’ensemble des États membres de l’Union européenne ainsi que l’Islande, la Norvège et le Liechtenstein ;
   « Utilisateurs non inscrits » désigne les utilisateurs non inscrits des sites Web ;
   « Piano Affiliates » désigne les sociétés contrôlées par Piano, le contrôle s’entendant comme la détention, directe ou indirecte, du pouvoir de diriger ou de faire diriger la gestion d’une entité, que ce soit par le biais de la propriété, des droits de vote, d’un contrat ou de toute autre manière. La liste de ces sociétés est publiée sur https://piano.io/privacy-policy et régulièrement mise à jour sur ce site ;
   « Exigences en matière de confidentialité et de protection des données » désigne le RGPD, la directive « vie privée et communications électroniques » (2002/58/CE) ainsi que l’ensemble des lois et réglementations nationales applicables relatives au traitement des données à caractère personnel et à la confidentialité, telles qu’elles ont été communiquées à Piano par le Client ;
   Le terme « Finalités » désigne les finalités du traitement des Données à caractère personnel déterminées par le Client, dans la mesure où ces finalités découlent des fonctionnalités du Logiciel, notamment : (i) les expériences de l’audience, c’est-à-dire les activités de traitement essentielles menées pour le compte du Client (à savoir les Services), telles que l’analyse des performances des abonnements, des tendances des utilisateurs, de leurs préférences et de leur segmentation, ainsi que tout autre traitement intervenant généralement dans le cadre de l’utilisation du Logiciel par le Client ; (ii) les finalités de facturation et de comptabilité, c’est-à-dire le traitement des paiements et des informations financières conformément aux lois applicables en matière de facturation, de comptabilité et de fiscalité ; et (iii) toute autre finalité de traitement prévue par les fonctionnalités du Logiciel ;
   « Utilisateurs enregistrés » désigne les utilisateurs enregistrés des sites Web ;
   « Règles de sécurité » désigne les mesures de sécurité raisonnables demandées par le Client concernant l’accès physique de Piano à ses locaux en vue de la prestation des Services, ainsi que, le cas échéant, l’accès à distance ou virtuel aux logiciels, systèmes, données, informations et documents du Client ;
   « Sous-traitants » désigne les Sous-traitants auxquels Piano fait appel pour traiter les données à caractère personnel ; leur liste est publiée à l’adresse https://piano.io/privacy-policy et y est régulièrement mise à jour ;
   Le terme « utilisateurs » désigne collectivement les utilisateurs enregistrés et les utilisateurs non enregistrés ;
   Dans le présent document, les références aux « Services » désignent le Logiciel et/ou les Services.

9. Objet. Piano fournira les Services conformément aux dispositions du présent DPA. Piano est chargé et habilité à traiter les Données du Client conformément aux dispositions du Contrat, y compris du présent DPA. Les Parties souhaitent que tout traitement des Données du Client soumis au RGPD soit conforme au RGPD. Pour plus de clarté, le présent DPA ne concerne pas le traitement des données à caractère personnel par les Parties, mais uniquement le traitement des Données du Client dans le cadre du Contrat.

10. Durée et résiliation. Le présent DPA fait partie intégrante du Contrat. Il est impossible de fournir les Services conformément au Contrat sans traiter les Données du Client en vertu du présent DPA. Par conséquent, le présent DPA ne peut être résilié qu’en cas de résiliation du Contrat, dont il fait partie intégrante. En cas de résiliation ou d’expiration du Contrat, Piano devra, au choix du Client, soit restituer, soit effacer de manière sécurisée toutes les Données du Client, sauf si la législation de l’UE ou d’un État membre de l’UE applicable à Piano ou à ses Filiales impose la conservation de ces données.

11. Nature du traitement des données à caractère personnel. La nature du traitement des données à caractère personnel dans le cadre du présent accord de traitement des données (DPA) est déterminée par la nature des services fournis par Piano et par les fonctionnalités du logiciel. Le Logiciel est conçu pour aider les entreprises de contenu numérique à générer des visites de pages, à renforcer l’engagement et à augmenter le nombre d’inscriptions, à réduire le blocage des publicités, ainsi qu’à vendre ou à accorder d’une autre manière l’accès à du contenu premium. La nature du traitement des données à caractère personnel par Piano est également déterminée par le fait que Piano n’entretient pas de relation directe avec les personnes concernées, ainsi que par son modèle économique de « logiciel en tant que service » (SaaS), qui n’inclut pas de techniques de monétisation des données telles que le courtage de données ou de bases de données, ni la vente de données à des tiers.

12. Finalité du traitement des données à caractère personnel. En tant que Sous-traitant du Client, Piano est autorisé à traiter les Données à caractère personnel aux fins prévues. Piano traitera les Données à caractère personnel uniquement dans le cadre de la prestation des Services, et s’abstiendra de (i) traiter ou utiliser les Données à caractère personnel à des fins autres que celles énoncées dans le présent DPA et/ou le Contrat ou conformément aux instructions du Client, ou (ii) ne divulguera pas ces données à caractère personnel à des tiers autres que les sociétés affiliées de Piano ou les Sous-traitants, conformément à la Section 8 ci-dessous ou lorsque la loi l’exige.

13. Types de données à caractère personnel. Les types de données à caractère personnel traitées par Piano en vertu du présent accord de traitement des données comprennent, selon le cas, le nom, l’adresse e-mail, le numéro de téléphone, les données financières, le contenu spécifique consulté, l’heure et la durée de la visite, l’adresse IP, la localisation géographique de l’appareil de l’utilisateur final, les données relatives à la conversion d’offres et/ou aux interactions, le site de provenance, ou toute autre information relative à cette personne physique collectée par le biais du Service, que ce soit par le biais de cookies ou d’autres technologies de suivi, des fonctionnalités du Service ou par tout autre moyen. Les parties ne prévoient pas le traitement de catégories particulières de données à caractère personnel au sens de l’article 9 du RGPD.

14. Catégories de personnes concernées. Les données à caractère personnel traitées par Piano concerneront les utilisateurs des sites Web du client et les personnes utilisant le logiciel ou les services.

15. Sous-traitants et transferts. Par le présent DPA, le Client fournit à Piano une instruction/autorisation spécifique et documentée lui permettant de recourir à ses sociétés affiliées et à ses Sous-traitants pour le traitement des Données à caractère personnel conformément aux Conditions, y compris pour leur transférer ces données. Sous réserve du respect des Conditions, Piano est autorisé à recourir à des sociétés affiliées à Piano et à des Sous-traitants, ainsi qu’à en changer, sans instructions ni autorisations supplémentaires de la part du Client. Piano informera expressément le Client de tout changement concernant les sociétés affiliées à Piano et/ou les Sous-traitants lorsque les Conditions ne seraient pas respectées et donnera au Client la possibilité de s’opposer à ces changements. Si le Client ne répond pas dans un délai de quinze (15) jours, Piano est autorisé à procéder au changement et au transfert. À tout moment, Piano fournira une liste à jour des sociétés affiliées à Piano et/ou des Sous-traitants à la demande du Client.

16. Clauses contractuelles types de l’UE. Le cas échéant, les Parties concluent par les présentes les clauses (jointes en annexe A aux présentes) et conviennent de les mettre à jour ou de les remplacer si et lorsque celles-ci seront mises à jour ou remplacées par de nouvelles clauses conformes au RGPD. Les Parties conviennent d’interpréter ces clauses conformément au régime du RGPD.

17. Instructions documentées. Piano traitera les données à caractère personnel aux fins prévues uniquement conformément aux instructions documentées du Client, y compris en ce qui concerne les transferts de données à caractère personnel vers un pays tiers ou une organisation internationale, sauf si la législation de l’UE ou de l’État membre à laquelle Piano est soumise l’y oblige ; dans ce cas, Piano informera le Client de cette obligation légale avant le traitement, à moins que cette législation n’interdise une telle information pour des motifs importants d’intérêt public. Certaines autorisations générales et certaines instructions/autorisations spécifiques documentées figurent déjà dans le présent DPA, principalement à la section 8 ci-dessus ; elles sont par les présentes accordées par le Client à Piano et ne peuvent être modifiées qu’avec l’accord mutuel des Parties. Toute autre autorisation générale ou instruction/autorisation spécifique documentée du Client doit être communiquée à Piano conformément à la section 12(a) du Contrat (Notifications). Piano est tenu d’informer le Client s’il estime qu’une instruction de ce dernier serait contraire au RGPD. Piano ne saurait être tenu responsable du manquement à toute obligation contractuelle au titre du Contrat et/ou du présent DPA si ce manquement résulte du respect d’une instruction documentée du Client en vertu du présent DPA. Pour éviter toute ambiguïté, les instructions du Client relatives au traitement des Données à caractère personnel doivent être conformes aux Exigences en matière de confidentialité et de protection des données. Le Client est seul responsable de l’exactitude, de la qualité et de la légalité des Données à caractère personnel, ainsi que des moyens par lesquels il les a obtenues.

18. Droits des personnes concernées. Conformément à l’article 28, paragraphe 3, point e), du RGPD, Piano, agissant en tant que Sous-traitant, doit, dans la mesure du possible et compte tenu de la nature du traitement, aider le Client, en tant que Responsable du traitement, à s’acquitter de son obligation de répondre aux demandes d’exercice des droits des personnes concernées en vertu du RGPD. Piano se conformera à cette obligation en fournissant, à la demande du Client, les informations justificatives dont il dispose. Ces informations justificatives peuvent inclure une liste mise à jour des Sous-traitants, des sociétés affiliées à Piano, des destinataires et des pays tiers concernés. À la demande du Client, Piano s’engage à effacer, divulguer, rectifier, fournir une copie de ou bloquer l’accès à des Données à caractère personnel spécifiques ou, si ce qui précède n’est pas réalisable et uniquement dans la mesure autorisée par la loi applicable, à suivre les instructions écrites détaillées du Client afin d’effacer, divulguer, rectifier ou bloquer l’accès aux Données à caractère personnel conservées dans l’environnement des Services du Client. Toutefois, Piano n’est pas habilitée à traiter ou à répondre à la demande d’une personne concernée si celle-ci se rapporte aux finalités. Ces demandes doivent être traitées et faire l’objet d’une réponse de la part du Client. Si Piano reçoit une demande d’une personne concernée qui est de nature générale et qui pourrait être ou est liée aux finalités, Piano transmettra cette demande au Client sans retard injustifié.

19. Transparence des informations. Tout Responsable du traitement a l’obligation générale de fournir certaines informations aux personnes concernées, principalement en vertu des articles 13 ou 14 du RGPD. Le Client reste entièrement responsable de la communication de ces informations aux personnes concernées par le biais de sa propre politique de confidentialité. Le client est en droit, sans y être obligé, de se référer à la politique de confidentialité de Piano et aux informations relatives au RGPD publiées et mises à jour sur https://piano.io/privacy-policy, ou d’utiliser ces informations.

20. Fondements juridiques du traitement des données à caractère personnel. Les fondements juridiques du traitement des données à caractère personnel sont déterminés exclusivement par le Client. Ces fondements juridiques doivent toujours être conformes à l’article 6 du RGPD. En concluant le présent accord sur le traitement des données (DPA), le Client déclare et garantit à Piano qu’il dispose de fondements juridiques suffisants pour le traitement des données à caractère personnel, y compris le consentement de la personne concernée lorsque le RGPD l’exige.

21. Confidentialité. Piano mettra en œuvre les mesures organisationnelles nécessaires pour garantir que l’accès aux données à caractère personnel par le personnel de Piano soit limité à ce qui est nécessaire pour atteindre les finalités. Piano mettra également en œuvre les mesures organisationnelles nécessaires pour garantir que l’ensemble du personnel de Piano s’engage à respecter la confidentialité des données à caractère personnel. Ces obligations peuvent être respectées par l’adoption d’une politique interne appropriée au sein du groupe Piano.

22. Obligations générales relatives aux Données du Client. Le Client est propriétaire de toutes les Données du Client et en conserve l’intégralité des droits. Toutes les Données du Client doivent être stockées exclusivement sur des serveurs situés dans l’UE, sauf autorisation expresse contraire prévue dans le présent DPA ou accordée par écrit par le Client. Piano ne peut utiliser les Données du Client que dans la mesure nécessaire à l’exécution de ses obligations en vertu des présentes. Dans le cadre de la fourniture des Services, Piano s’engage à ne pas accéder aux Données du Client et à ne pas autoriser son personnel et/ou ses prestataires de services tiers à y accéder, sauf dans la mesure nécessaire à l’exécution des Services et uniquement conformément aux exigences du Contrat et du présent DPA. Piano ne saurait être tenu responsable envers le Client des dommages subis par ce dernier en lien avec tout accès non autorisé résultant des actions du Client. Piano doit disposer des connaissances appropriées concernant l’activité du Client afin de s’acquitter de ses obligations au titre du présent DPA.
    15.1. Approche globale. Piano traite toutes les données à caractère personnel conformément aux exigences du présent accord sur le traitement des données (DPA) partout dans le monde. Les politiques, normes et pratiques de gouvernance de Piano en matière d’information sont gérées à l’échelle mondiale.
    15.2. Procédures de sécurité. Piano mettra en œuvre des procédures de sécurité physiques et logiques concernant l’accès au Service et à sa maintenance, ainsi qu’à toutes les Données client qu’il contient. Piano prendra les mesures organisationnelles et technologiques appropriées pour protéger la sécurité des Données du Client et défendre ses locaux et son équipement contre les « pirates informatiques » et toute personne ou entité qui chercherait à modifier ou à accéder sans autorisation aux systèmes de Piano ou aux informations qui s’y trouvent. Piano mettra également tout en œuvre, dans le cadre de ses obligations commerciales, pour prendre toutes les mesures raisonnables visant à sécuriser et à protéger les Données du Client ainsi que l’utilisation du Service contre tout autre utilisateur tiers.
    15.3. Surveillance et failles de sécurité. Piano surveillera en permanence ses réseaux, sa connectivité et ses systèmes, et effectuera au moins une fois par an des tests d’intrusion sur ses systèmes afin de détecter d’éventuelles failles de sécurité ; Piano se réunira avec le Client une fois par an pour examiner les résultats de ces tests de sécurité. Piano signalera immédiatement au Client, et au plus tard dans les 24 heures suivant la prise de connaissance de toute faille de sécurité ou de tout accès non autorisé affectant les Données du Client que Piano détecte ou dont il a connaissance. Piano remédiera à cette faille de sécurité ou à cet accès non autorisé dès que possible et remettra au Client une analyse des causes profondes ainsi qu’un plan d’atténuation des incidents futurs. Le Client ou un tiers désigné par lui peut, sans y être obligé, et aux frais du Client, réaliser des audits de l’environnement de Piano pendant la Durée du contrat, y compris des tests de pénétration et de sécurité coordonnés, dans la mesure où ceux-ci concernent la réception, la maintenance, l’utilisation ou la conservation d’informations à caractère personnel ou d’autres Données du Client. Piano est en droit de réclamer une rémunération pour les audits ou inspections effectués par le Client. Ces audits seront menés conformément à la section 16.19 ci-dessous. Sous réserve de ce qui précède, toute autorité de régulation du Client disposera du même droit sur simple demande. Piano s’engage à examiner toutes les recommandations raisonnables issues de ces inspections, tests et audits dans des délais raisonnables et informera le Client de ses projets et de son calendrier pour donner suite et/ou mettre en œuvre ces recommandations.
    15.4. Contournement. Si, à tout moment, le Client ou Piano constate qu’un membre du personnel de Piano : (i) a cherché à contourner ou a contourné les Règles de sécurité ; (ii) a accédé ou est susceptible d’accéder au réseau du Client sans autorisation ; ou (iii) s’est livré à des activités susceptibles d’entraîner l’accès non autorisé, la destruction, l’altération ou la perte de données, d’informations ou de logiciels, Piano mettra immédiatement fin à l’accès dudit membre du personnel de Piano et informera immédiatement le Client, dans tous les cas dans les vingt-quatre (24) heures suivant la prise de connaissance de cette violation, des faits justifiant cette résiliation. Si le Client estime raisonnablement qu’un membre du personnel de Piano a tenté de contourner ou a contourné les Règles de sécurité, il peut immédiatement résilier l’accès de ce membre du personnel de Piano au réseau du Client et informera Piano de cette résiliation. Nonobstant toute disposition contraire dans le présent DPA, tout manquement de la part de Piano, de tout membre du personnel de Piano ou d’autres agents ou représentants aux Règles de sécurité constituera une violation du présent DPA donnant au Client le droit de résilier le Contrat avec effet immédiat moyennant notification écrite adressée à Piano pour motif valable. À tout moment pendant la Durée du contrat, le Client peut procéder à un audit de l’utilisation du Réseau du Client par Piano. Piano accepte que le Client puisse examiner toute information, toute communication par courrier électronique et toute autre donnée stockée sur ou contenue dans tout disque dur d’ordinateur, disquette ou tout autre support de stockage afin de déterminer s’il y a eu une faille de sécurité ou une violation du présent DPA. Dans le cas où le Client conclurait, selon son jugement raisonnable, qu’il y a eu une faille de sécurité ou une violation du présent DPA par Piano ou par tout membre du Personnel de Piano, agent ou représentant, le Client se réserve le droit de divulguer tout fichier informatique ou message de courrier électronique à des tiers, y compris (mais sans s’y limiter) aux autorités chargées de l’application de la loi, comme le Client le juge approprié, sans notification préalable aux personnes susceptibles d’avoir rédigé, envoyé ou reçu ces fichiers ou messages.

23. Mesures de sécurité appropriées. Piano reconnaît et accepte que, de temps à autre pendant la durée du présent DPA, Piano, ses sociétés affiliées, ses employés, ses mandataires, ses Sous-traitants ou ses ayants droit puissent être exposés à des Données du client ou y avoir accès, dont certaines peuvent constituer des Données à caractère personnel. Piano ne traitera ou ne divulguera des données à caractère personnel qu’aux fins prévues, ou à d’autres fins de traitement requises par un tribunal compétent ou par toute autorité gouvernementale nationale ou de l’Union européenne compétente. Piano reconnaît qu’en raison de certaines lois obligatoires en matière de protection des données, le traitement des données à caractère personnel est soumis à certaines exigences légales. Piano aidera le Client à garantir le respect des obligations prévues aux articles 32 à 36 du RGPD, en tenant compte de la nature du traitement et des informations dont dispose Piano. Dans la mesure où cela s’applique aux Services et aux activités connexes de Piano, Piano se conformera à toutes les dispositions des politiques de confidentialité applicables, y compris la politique de confidentialité applicable du Client, si cela est raisonnablement exigé par le Client et fourni au préalable à Piano. Piano ne consultera pas, ne déchiffrera pas ni n’accédera d’aucune autre manière aux Données à caractère personnel, sauf si cet accès est nécessaire à l’exécution des obligations de Piano au titre du présent DPA. Piano maintiendra, mettra en œuvre et fera respecter, dans le cadre de la prestation des Services, des procédures de sûreté et de sécurité qui : (a) sont au moins équivalentes aux normes du secteur pour ces Services et réseaux (le cas échéant), mais qui, en tout état de cause, sont conformes à une norme de diligence raisonnable ; (b) conformes aux exigences en matière de confidentialité et de protection des données ; et © conformes aux exigences de sécurité énoncées dans la présente section ci-dessous. Ces mesures comprendront, à titre d’exemple et sans s’y limiter, des pare-feu, des systèmes de détection d’intrusion, des armoires de classement verrouillées et d’autres mécanismes de sécurité physiques et électroniques appropriés, y compris les versions actuelles de tous les logiciels et tous les correctifs logiciels. Piano mettra en place des audits de sécurité adéquats et fournira la preuve de la réussite d’un audit de sécurité annuel conforme aux normes de sécurité standard du secteur jugées acceptables par le Client, à la seule discrétion de ce dernier. Sur demande, Piano remplira le questionnaire d’évaluation de sécurité du Client. Piano se conformera à une politique écrite de sécurité de l’information mise en œuvre (« Politique de sécurité de l’information ») comprenant des mesures de protection administratives, techniques et physiques qui garantissent la confidentialité, l’intégrité et la disponibilité des Données à caractère personnel, protègent contre toute menace ou tout risque raisonnablement prévisible pesant sur la confidentialité, l’intégrité et la disponibilité des Données à caractère personnel, et protègent contre tout accès, utilisation, divulgation, altération ou destruction non autorisés des Données à caractère personnel. Outre les mesures de sécurité spécifiques et/ou complémentaires établies dans tout accord entre les parties, la Politique de sécurité de l’information de Piano inclura, sans s’y limiter, les mesures suivantes lorsque cela est approprié ou nécessaire pour garantir la protection des Données à caractère personnel :
    16.1. Pseudonymisation. Le cas échéant, Piano mettra en œuvre des mesures de sécurité comprenant la pseudonymisation des données à caractère personnel.
    16.2. Contrôles d’accès. Politiques, procédures et contrôles physiques et techniques : (i) visant à limiter l’accès physique à ses systèmes d’information et au(x) site(s) où ils sont hébergés aux personnes dûment autorisées, notamment, mais sans s’y limiter : la limitation de l’accès aux serveurs physiques du centre de données de production aux personnes autorisées, l’enregistrement et la surveillance des tentatives d’accès non autorisées au centre de données par le personnel de sécurité de celui-ci, le contrôle des entrées et sorties du site à l’aide de points de contrôle d’accès (par exemple, des agents de sécurité et des lecteurs de badges électroniques), et la tenue de registres d’accès physique aux points d’entrée et de sortie ; (ii) de veiller à ce que tous les membres de son personnel qui ont besoin d’accéder à des données à caractère personnel disposent d’un accès dûment contrôlé, et d’empêcher tout autre membre du personnel ainsi que toute autre personne non autorisée d’y accéder ; (iii) d’authentifier et de n’autoriser l’accès qu’aux personnes autorisées, et d’empêcher les membres de son personnel de communiquer des données à caractère personnel ou des informations s’y rapportant à des personnes non autorisées ; et (iv) de chiffrer et de déchiffrer les données à caractère personnel lorsque cela est approprié.
    16.3. Sensibilisation et formation à la sécurité. Un programme de sensibilisation et de formation à la sécurité destiné à l’ensemble du personnel de Piano (y compris les cadres), comprenant notamment une formation sur la mise en œuvre et le respect de sa politique de sécurité de l’information ainsi que des exigences en matière de confidentialité et de protection des données.
    16.4. Procédures relatives aux incidents de sécurité. Politiques et procédures visant à détecter, à traiter et à gérer de toute autre manière les incidents de sécurité, c’est-à-dire, sans s’y limiter, l’accès, l’acquisition, la divulgation ou l’utilisation non autorisés de Données à caractère personnel (« incident de sécurité), y compris les procédures de surveillance des systèmes et de détection des attaques avérées ou tentées, ainsi que des intrusions visant les Données à caractère personnel ou les systèmes d’information qui s’y rapportent, et les procédures permettant d’identifier les incidents de sécurité présumés ou avérés et d’y répondre, d’atténuer leurs effets préjudiciables, ainsi que de consigner les incidents de sécurité et leurs conséquences.
    16.5. Planification d’urgence. Politiques et procédures visant à faire face à une situation d’urgence ou à tout autre événement (par exemple, un incendie, un acte de vandalisme, une panne du système ou une catastrophe naturelle) susceptible d’endommager des données à caractère personnel ou les systèmes qui les contiennent, y compris un plan de sauvegarde des données et un plan de reprise après sinistre.
    16.6. Contrôles des appareils et des supports. Politiques et procédures régissant la réception et le retrait, au sein et hors d’un établissement Piano, du matériel informatique et des supports électroniques contenant des données à caractère personnel, ainsi que le déplacement de ces éléments au sein d’un site Piano, y compris les politiques et procédures relatives à l’élimination définitive des données à caractère personnel et/ou du matériel ou des supports électroniques sur lesquels elles sont stockées, ainsi que les procédures de suppression des données à caractère personnel des supports électroniques avant que ceux-ci ne soient mis à disposition en vue d’une réutilisation.
    16.7. Contrôles d’audit/Journalisation. Mécanismes matériels, logiciels et/ou procéduraux qui enregistrent et analysent l’activité au sein des systèmes d’information contenant ou utilisant des informations électroniques, y compris les journaux et rapports appropriés concernant ces exigences de sécurité, les lois et réglementations applicables, ainsi que leur respect.
    16.8. Intégrité des données. Politiques et procédures visant à garantir la confidentialité, l’intégrité et la disponibilité des données à caractère personnel, ainsi qu’à les protéger contre toute divulgation, modification abusive ou destruction.
    16.9. Sécurité du stockage et de la transmission. Toutes les données à caractère personnel stockées ou transmises doivent être chiffrées. Les données à caractère personnel stockées seront chiffrées conformément aux normes en vigueur dans le secteur, telles que, le cas échéant, AES-128 ou une norme équivalente, ou Triple-DES (3-DES) ou une norme équivalente. Toutes les données à caractère personnel en cours de transmission seront protégées au minimum par un cryptage conforme aux normes du secteur, tel que SSLv3/TLS.
    16.10. Élimination sécurisée. Politiques et procédures relatives à l’élimination des données à caractère personnel et des biens matériels contenant de telles données, en tenant compte des technologies disponibles afin que les données à caractère personnel ne puissent, dans la pratique, être lues ou reconstituées.
    16.11. Désignation d’un responsable de la sécurité. Piano désignera un responsable de la sécurité chargé de l’élaboration, de la mise en œuvre et du maintien de sa politique de sécurité de l’information. Piano informera le Client de l’identité de cette personne.
    16.12. Tests. Piano doit tester régulièrement, et au moins une fois par an, les mesures de contrôle, les systèmes et les procédures prévus par sa politique de sécurité de l’information afin de s’assurer qu’ils sont correctement mis en œuvre et qu’ils permettent de faire face efficacement aux menaces et aux risques identifiés. Ces tests doivent être menés ou examinés par des tiers indépendants ou par du personnel indépendant de celui chargé de l’élaboration ou de la maintenance des programmes de sécurité.
    16.13. Adaptation de la politique. Piano s’engage à surveiller, évaluer et adapter, le cas échéant, la Politique de sécurité de l’information à la lumière de toute évolution pertinente des technologies ou des normes de sécurité du secteur, du caractère sensible des Données à caractère personnel, des menaces internes ou externes pesant sur Piano ou sur les Données à caractère personnel, des exigences des ordres de travail applicables, et de l’évolution des accords commerciaux de Piano, tels que les fusions et acquisitions, les alliances et coentreprises, les accords d’externalisation et les modifications apportées aux systèmes d’information.
    16.14. Contrôles environnementaux. Mettre en place et maintenir des contrôles environnementaux visant à détecter, prévenir et maîtriser toute perturbation et/ou destruction des systèmes d’information contenant ou stockant des données à caractère personnel, résultant de conditions environnementales extrêmes.
    16.15. Gestion des correctifs de sécurité. Assurer la mise à jour du système, l’application des correctifs et la gestion des configurations à une fréquence au moins conforme aux normes du secteur et raisonnable d’un point de vue commercial.
    16.16. Tests. Piano doit tester régulièrement, et au moins une fois par an, les contrôles, systèmes et procédures prévus par sa politique de sécurité de l’information afin de s’assurer qu’ils sont correctement mis en œuvre et qu’ils permettent de faire face efficacement aux menaces et aux risques identifiés, notamment, mais sans s’y limiter, par des analyses de vulnérabilité et des tests d’intrusion. Les tests d’intrusion doivent être réalisés ou vérifiés par des tiers indépendants ou par le personnel de l’entreprise.
    16.17. Tests de sécurité des applications. Recourir au minimum à des tests et à des évaluations de sécurité conformes aux normes du secteur (par exemple, Veracode).
    16.18. Vérification des antécédents des consultants et des prestataires. Mettre en œuvre et maintenir des procédures vérifiables et conformes au moins aux normes du secteur (en fonction, entre autres, du contexte et du niveau d’accès) pour effectuer des vérifications des antécédents du personnel ayant accès aux Données personnelles du Client. Sur demande raisonnable de sa part, le Client peut exiger des exigences plus spécifiques concernant ces vérifications.
    16.19. Audits. Le Client peut, à ses propres frais, demander, moyennant un préavis écrit de trois (3) semaines adressé à Piano, l’accès aux installations, systèmes, registres et pièces justificatives afin de vérifier le respect par Piano de ses obligations découlant de la Politique de sécurité de l’information ou liées à celle-ci. Le Client peut vérifier le respect par Piano des dispositions du présent DPA et des Exigences en matière de confidentialité et de protection des données au maximum une fois par an. Le Client peut effectuer des audits plus fréquents des systèmes informatiques du Service qui traitent des Données à caractère personnel dans la mesure requise par les lois applicables au Client. Si un tiers doit réaliser l’audit, ce tiers doit être choisi d’un commun accord par le Client et Piano et doit signer un accord de confidentialité acceptable pour Piano avant de procéder à l’audit. Dans le cadre de la demande d’audit, le Client doit soumettre à Piano, au moins trois (3) semaines avant la date d’audit proposée, un plan d’audit détaillé décrivant la portée, la durée et la date de début prévues de l’audit. Piano examinera le plan d’audit et fera part au Client de ses éventuelles préoccupations ou questions (par exemple, toute demande d’informations susceptible de compromettre la sécurité, la confidentialité, les politiques en matière d’emploi ou d’autres politiques pertinentes de Piano). Piano coopérera de bonne foi avec le Client afin de convenir d’un plan d’audit définitif. Les audits seront soumis à toutes les obligations de confidentialité applicables convenues entre le Client et Piano et seront menés de manière à minimiser toute perturbation de la prestation des services de Piano et de ses autres opérations normales, c’est-à-dire en dehors des heures de travail habituelles. Ces audits peuvent, au choix et à la demande du Client, inclure des tests de pénétration et de sécurité portant sur l’ensemble des systèmes de Piano, ainsi que sur leurs installations d’hébergement et leurs environnements d’exploitation. Le Client ne peut utiliser les rapports d’audit qu’aux fins de satisfaire à ses exigences réglementaires en matière d’audit et/ou de confirmer la conformité aux exigences du présent DPA et/ou aux exigences en matière de confidentialité et de protection des données. Les rapports d’audit constituent des informations confidentielles des parties au sens des termes du Contrat. Si l’audit venait à révéler des informations confidentielles ou des éléments de propriété intellectuelle d’un tiers, tout audit devra être réalisé dans le respect des clauses de confidentialité ou des conditions de licence applicables dudit tiers.
    16.20. Les Parties s’engagent à s’informer mutuellement sans délai de toute mesure ou demande réglementaire ou judiciaire, potentielle ou effective, concernant les Données à caractère personnel traitées dans le cadre du présent DPA. Piano informera le Client et obtiendra son consentement avant de communiquer des Données à caractère personnel à des autorités publiques, sauf si la communication de ces Données à caractère personnel est requise par la loi applicable.
    16.21. Lorsque le Client en fera la demande de temps à autre, Piano s’engage à signer et/ou à faire en sorte que ses sociétés affiliées signent des clauses complémentaires relatives à la confidentialité et à la sécurité, avec le Client ou les sociétés affiliées de ce dernier qui bénéficient des Services en vertu du Contrat, selon ce que le Client jugera nécessaire, pour le traitement et/ou le transfert des Données à caractère personnel conformément à la législation applicable. Au moment de la signature du présent DPA, l’application du règlement « ePrivacy » n’a pas encore été entièrement définie ni par les autorités européennes ni par l’autorité de contrôle locale du Client. Par conséquent, les Parties conviennent de modifier le présent DPA si nécessaire afin de garantir la conformité des Services avec le règlement « ePrivacy ».
    16.22. Si un pays hors de l’UE dans lequel les Services doivent être fournis en vertu du Contrat dispose ou adopte une loi relative à la protection des données dont le Client estime, à sa seule discrétion, qu’elle exige la signature de conditions supplémentaires en matière de confidentialité et de sécurité, Piano s’engage alors à signer et/ou à faire en sorte que ses Filiales signent sans délai ces conditions supplémentaires avec le Client et/ouses sociétés affiliées, sous réserve des mêmes conditions générales que celles énoncées ci-dessus ; à condition toutefois que les parties déploient des efforts raisonnables pour tirer parti des clauses supplémentaires en matière de confidentialité et de sécurité déjà conclues au titre de la législation de l’UE relative à la protection des données afin de satisfaire à une telle exigence, de manière à minimiser les coûts et les efforts nécessaires pour se conformer à cette exigence.
    16.23. Nonobstant toute disposition contraire du Contrat, dans le cas où l’une des Parties aurait connaissance d’une violation de données à caractère personnel au sens de l’article 4, paragraphe 12, du RGPD (par exemple, une violation de la sécurité entraînant la destruction, la perte, l’altération, la divulgation non autorisée ou l’accès non autorisé, de manière accidentelle ou illicite, à des données à caractère personnel transmises, stockées ou traitées de toute autre manière) (la « violation de données à caractère personnel ») susceptible d’avoir une incidence sur les obligations de l’autre Partie au titre des articles 32 et 33 du RGPD, chaque Partie doit notifier immédiatement à l’autre Partie toute violation de données à caractère personnel de ce type (c’est-à-dire dans un délai de 24 heures). Les parties coopéreront ensuite pour évaluer le risque potentiel pour les droits et libertés des personnes physiques découlant de cette violation de données à caractère personnel, atténuer ce risque et conviendront de la notification ou de la communication de la violation de données à caractère personnel conformément aux articles 32 et 33 du RGPD.
    16.24. Piano veillera à ce que des procédures soient mises en place pour garantir que les données à caractère personnel soient transférables, dans un format lisible par machine, et que Piano soit en mesure de fournir au Client toute donnée à caractère personnel dans un délai de trois jours ouvrés. En outre, Piano devra être en mesure de supprimer l’ensemble des données du Client, si celui-ci en fait la demande.

24. Norme de sécurité des données du secteur des cartes de paiement (PCI DSS). Si et dans la mesure où Piano a accès à des données relatives aux cartes de crédit, le présent paragraphe s’applique. Aux fins des présentes, (a) « PCI DSS » désigne la norme de sécurité des données du secteur des cartes de paiement ; et (b) « Données de carte de crédit » désigne toutes les données qualifiées de « Données du titulaire de la carte » ou de « Données d’authentification sensibles » dans la norme PCI DSS. Piano s’engage à se conformer aux normes et pratiques du secteur, y compris, sans s’y limiter, à la norme PCI DSS. Le cas échéant, Piano n’utilisera les données de titulaire de carte que pour faciliter la réalisation d’une transaction par carte, à des fins de services de lutte contre la fraude, ou conformément à ce qui a été spécifiquement convenu avec Visa, MasterCard, American Express et/ou Discover (collectivement, les « émetteurs »), ou tel que requis par la loi applicable. En cas d’utilisation, de modification, de destruction, de divulgation ou d’accès non autorisés aux données des titulaires de carte (chacun des événements ou circonstances susmentionnés étant un « incident de sécurité ») stockées par ou pour Piano (ou relevant de toute autre manière du contrôle de Piano), Piano en informera immédiatement le Client et permettra au Client ou à la personne qu’il aura désignée, aux Émetteurs, ainsi qu’à l’établissement financier acquéreur et à leurs représentants respectifs, d’accéder aux locaux de Piano et à tous les documents pertinents afin de vérifier la conformité de Piano aux présentes exigences. Piano mettra en place des procédures et des systèmes de continuité des activités appropriés afin de garantir la sécurité des données des titulaires de carte en cas de perturbation, de sinistre ou de défaillance de ses systèmes de données principaux présentant un risque pour les données des titulaires de carte. Piano donnera accès à ses systèmes et procédures de sécurité, conformément aux demandes raisonnables du Client ou de son représentant. Piano coopérera pleinement à tout contrôle de ses installations et de ses registres prévu au présent paragraphe. Piano est et restera en conformité avec les normes de sécurité PCI DSS, telles qu’elles peuvent être modifiées de temps à autre. Piano est responsable de la sécurité de toutes les données obtenues, stockées, consultées ou auxquelles il a accédé dans le cadre du présent DPA, qu’elles soient fournies par le Client ou par ses clients. Piano conservera des registres attestant de sa conformité PCI et les fournira au Client sur simple demande. Piano contactera immédiatement le Client en cas de violation de la sécurité ou de menace grave concernant les Données du Client et coopérera pleinement avec le Client dans le cadre des enquêtes et des poursuites relatives à toute violation de la sécurité.

25. Reprise après sinistre. Les parties conviennent que Piano a préalablement fourni au Client une copie de son plan écrit de prévention et de reprise après sinistre (le « Plan de prévention et de reprise après sinistre ») et que Piano a mis en œuvre et maintient ce plan. Le Plan de prévention et de reprise après sinistre de Piano fera l’objet d’une révision active tous les trimestres et sera mis à jour pendant la Durée du contrat, en s’appuyant sur les normes de l’American Institute of Certified Public Accountants (AICPA) à titre de référence. Piano informera le Client de la fin de tout audit de ce type et mettra le rapport d’audit à la disposition du Client ou de son représentant désigné pour examen. Le Plan de prévention et de reprise après sinistre de Piano comprendra des procédures destinées à protéger les Données du Client et à garantir la disponibilité des Services pendant toute la Durée du contrat. Ce Plan de prévention et de reprise après sinistre comprendra, sans s’y limiter, les éléments suivants :
    (a) Protection contre les incendies. Piano déclare que le système de protection contre les incendies sur le(s) site(s) de Piano est composé d’équipements de type et de qualité appropriés, nécessaires pour assurer une protection efficace contre les incendies, qu’il fait l’objet de vérifications et de mises à jour régulières, et qu’il comprend actuellement des détecteurs de fumée (avec des avertisseurs à distance et des indicateurs de zone), de systèmes d’arrosage automatiques et d’un système au halon à deux parties dans toutes les salles informatiques. Piano déclare en outre que chaque pièce du ou des sites de Piano dispose de sa propre réserve de halon et que toutes les salles informatiques des sites de service de Piano sont équipées d’un deuxième système au halon servant de secours. Piano déclare que des dispositifs de détection d’eau et des canalisations d’évacuation sont installés sous toutes les zones de plancher surélevé.
    (b) Alimentation électrique. Piano doit disposer de plusieurs niveaux de systèmes d’alimentation de secours conçus pour assurer le fonctionnement ininterrompu de ses équipements en cas de coupure de courant. Piano doit disposer de plusieurs alimentations vers son ou ses sites, provenant de différentes stations de traitement de la compagnie d’électricité locale qui fournit l’alimentation principale à ces sites. Piano doit disposer de deux (2) niveaux de systèmes d’alimentation électrique sans coupure afin d’assurer une transition en douceur vers l’utilisation de ses sources d’énergie alternatives (par exemple, des générateurs diesel) en cas de coupure prolongée du réseau électrique.
    © Équipements / Climatisation. Piano doit mettre en place plusieurs niveaux de protection contre toute perte de refroidissement, notamment un système de secours principal, qui doit fournir une capacité de refroidissement d’appoint suffisante, et un système de secours secondaire, qui doit être capable d’assurer un refroidissement continu en cas de coupure de courant, afin de maintenir les équipements à tout moment dans les limites de tolérance spécifiées par le fabricant concerné.
    (d) Matériel informatique. Piano s’engage à ce que le(s) site(s) Piano dispose(nt) d’un équipement de secours approprié, capable d’assurer la continuité des opérations en cas de défaillance matérielle sur le(s) site(s) Piano. En outre, Piano s’engage à conserver sur le(s) site(s) de Piano des procédures de reprise d’activité détaillées et consignées par écrit, que son personnel connaît bien et qui permettent à ce dernier de basculer rapidement vers le matériel de secours.
    (e) Modifications matérielles et logicielles. Piano mettra en place un processus rigoureux de contrôle des modifications, que le personnel de Piano connaît bien et qui s’applique aussi bien aux modifications matérielles qu’aux modifications logicielles.
    (f) Tests. Piano accepte que ses tests de reprise après sinistre soient effectués sur le(s) site(s) de Piano deux fois par an. Ces tests porteront notamment, sans s’y limiter, sur le matériel, l’installation et le fonctionnement de tous les systèmes, le traitement des données et la génération de rapports, ainsi que sur les infrastructures de télécommunications.
    (g) Procédures de recouvrement. Piano doit mettre en place des procédures de recouvrement adaptées ainsi que des outils de recouvrement automatisés pour son centre d’appels.
    (h) Stockage hors site des données. Piano doit stocker quotidiennement une copie à jour des données et des fichiers système sur des supports magnétiques, dans des coffres-forts résistants aux dommages et ignifugés, situés dans un site hors site. Ce site externe doit être surveillé vingt-quatre (24) heures sur vingt-quatre, sept (7) jours sur sept. Piano doit également mettre en place un système de gestion des bandes, manuel ou autre, qui contrôle le processus quotidien de sauvegarde des fichiers.
    (i) Interruptions de service. En cas d’interruptions imprévues ou non programmées du fonctionnement du ou des sites de Piano, ou de l’accès à ceux-ci, Piano mettra en œuvre tous les moyens commercialement raisonnables pour rétablir le service au Client dans les meilleurs délais. Piano informera le Client au moins dix (10) minutes avant toute interruption imprévue. Piano informera le Client au plus tard dans les deux (2) minutes suivant la survenue de toute interruption imprévue.
    (j) Délais de rétablissement. Les délais de rétablissement du service du Client varieront en fonction de la nature et de l’ampleur de la catastrophe, de la disponibilité du matériel de remplacement pour une livraison directe et de la rapidité avec laquelle des circuits de télécommunication alternatifs pourront être mis à disposition. Piano mettra en œuvre tous les efforts commercialement raisonnables pour collaborer avec les opérateurs de télécommunications et les fournisseurs de matériel afin de rétablir le service dans les meilleurs délais.
    (k) Mise en place de mesures de sécurité. Outre les exigences expressément énoncées dans le présent accord sur le traitement des données (DPA), Piano s’engage à mettre en place, pendant toute la durée du contrat, des mesures de sécurité contre la destruction, la perte ou l’altération des données du client, dont le niveau de rigueur ne sera pas inférieur à celui des mesures en vigueur sur le ou les autres sites de prestataires similaires à la date d’entrée en vigueur du présent DPA.

26. Analyse d’impact relative à la protection des données. Chaque Partie reste seule responsable de la réalisation d’une analyse d’impact relative à la protection des données conformément à l’article 35 du RGPD et de la consultation préalable prévue à l’article 36 du RGPD en ce qui concerne les finalités. Néanmoins, si l’une des parties réalise une telle analyse d’impact relative à la protection des données en rapport avec le présent accord, l’autre partie s’engage à lui apporter une aide raisonnable en lui fournissant une assistance ou des informations appropriées. En toute bonne foi, Piano peut fournir au Client sa propre analyse d’impact relative à la protection des données concernant les Finalités, sur la base des informations disponibles avant la conclusion du présent DPA, afin d’aider le Client à réaliser sa propre analyse d’impact relative à la protection des données.

27. Utilisation acceptable. Piano doit disposer d’une politique d’utilisation acceptable pour le Client. Cette politique doit notamment interdire aux employés et agents de Piano l’utilisation d’applications non professionnelles susceptibles d’affecter les performances du réseau et/ou des outils, et stipuler qu’en aucun cas des applications ou utilisations de type « peer-to-peer » ne seront autorisées sur le réseau. Les politiques d’utilisation acceptable de Piano sont soumises à l’examen et à l’approbation du Client. La politique d’utilisation acceptable doit comporter des contrôles d’accès adéquats, raisonnables et au moins conformes aux normes du secteur.

28. Responsabilité. Conformément à l’article 82 du RGPD, Piano ne sera responsable des dommages causés par le traitement que s’il n’a pas respecté les obligations du RGPD qui s’appliquent spécifiquement aux Sous-traitants ou s’il a agi en dehors ou à l’encontre des instructions légitimes du Client. Piano est exonéré de toute responsabilité s’il prouve qu’il n’est en aucune manière responsable de l’événement à l’origine du préjudice.

29. Lorsque le Client est domicilié au Royaume-Uni (« RU »), toute référence au RGPD doit être interprétée comme une référence à la législation britannique équivalente au RGPD ou qui met en œuvre le RGPD, sans que cela n’affecte la validité et l’efficacité du présent DPA. Les Parties souhaitent interpréter le présent DPA conformément à la législation britannique applicable. Le Client est tenu d’informer Piano de toute exigence découlant de la législation britannique qui va au-delà des exigences découlant du RGPD. La présente section 22 ne s’applique pas lorsque le Client n’est pas domicilié au Royaume-Uni.

30. Analyse des services. Dans le cadre des Services et du traitement prévu des Données à caractère personnel, Piano peut (i) compiler des informations statistiques et autres liées aux performances, au fonctionnement et à l’utilisation des Services, et (ii) utiliser les Données du Client issues de l’environnement des Services sous forme agrégée à des fins de sécurité et de gestion des opérations, pour réaliser des analyses statistiques, ainsi qu’à des fins de recherche et de développement (les clauses (i) et (ii) sont collectivement désignées sous le nom d’« Analyses des Services »). Piano peut rendre publiques les analyses des services ; toutefois, les analyses des services qui en résultent n’incluront pas de données client ni d’informations confidentielles sous une forme susceptible d’identifier ou de permettre l’identification du client ou de toute personne concernée. Piano conservera tous les droits de propriété intellectuelle sur lesdites analyses des services en tant qu’informations confidentielles lui appartenant.

31. Délégué à la protection des données. Piano a nommé Louis-Marie Guerif (privacy@piano.io) au poste de délégué à la protection des données.

Pièce A
Décision (UE) 2021⁄914 de la Commission
Clauses contractuelles types (Responsable du traitement - Sous-traitant)
Afin de garantir le respect des exigences du règlement (UE) 2016⁄679 du Parlement européen et du Conseil du 27 mai 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (Règlement général sur la protection des données) en ce qui concerne le transfert de données à caractère personnel vers un pays tiers.
SECTION I
Nom de l’organisme exportateur des données : indiqué dans l’annexe correspondante. Adresse (complète) : indiquée dans l’annexe correspondante. Tél. : indiqué dans l’annexe correspondante. E-mail : indiqué dans l’annexe correspondante.
Autres informations nécessaires à l’identification de l’organisation :
________________________________________________ (l’exportateur de données)
et
Nom de l’organisme chargé de l’importation des données : Piano Software, Inc. Adresse (complète) : 111 S. Independence Mall E, Suite 950, Philadelphie, PA 19106 Tél. : +1-646-350-2816E-Mail:privacy@piano.io
Autres informations nécessaires à l’identification de l’organisation :
________________________________________________ (l’importateur de données)
chacune étant dénommée ci-après une « partie » ; collectivement « les parties », SONT CONVENUES des clauses contractuelles suivantes (les « clauses ») afin d’apporter des garanties adéquates en matière de protection de la vie privée et des droits et libertés fondamentaux des personnes physiques pour le transfert, par l’exportateur de données à l’importateur de données, des données à caractère personnel spécifiées à l’annexe 1.
Article 1
Objet et champ d’application
(a) Les présentes clauses contractuelles types ont pour objet de garantir le respect des exigences du règlement (UE) 2016⁄679 du Parlement européen et du Conseil du 27 mai 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données)[1] en matière de transfert de données à caractère personnel vers un pays tiers.
(b) Les parties :
(i) la ou les personnes physiques ou morales, l’autorité ou les autorités publiques, l’organisme ou les organismes ou tout autre organisme (ci-après dénommés « l’entité ou les entités ») qui transfèrent les données à caractère personnel, tels qu’énumérés à l’annexe I.A (ci-après dénommés individuellement « l’exportateur de données »), et (ii) la ou les entités situées dans un pays tiers qui reçoivent les données à caractère personnel de la part de l’exportateur de données, directement ou indirectement par l’intermédiaire d’une autre entité également partie aux présentes clauses, telles qu’énumérées à l’annexe I.A (ci-après dénommées individuellement « importateur de données ») ont accepté les présentes clauses contractuelles types (ci-après dénommées « les clauses »).
© Les présentes clauses s’appliquent au transfert des données à caractère personnel visées à l’annexe I.B.
(d) L’appendice aux présentes clauses, qui contient les annexes qui y sont mentionnées, fait partie intégrante des présentes clauses.
Article 2
Validité et caractère immuable des clauses
(a) Les présentes clauses prévoient des garanties appropriées, notamment des droits exécutoires pour les personnes concernées et des voies de recours efficaces, conformément à l’article 46, paragraphe 1, et à l’article 46, paragraphe 2, point c), du règlement (UE) 2016⁄679 et, en ce qui concerne les transferts de données des responsables du traitement vers les Sous-traitants et/ou entre Sous-traitants, des clauses contractuelles types conformément à l’article 28, paragraphe 7, du règlement (UE) 2016⁄679, à condition qu’elles ne soient pas modifiées, sauf pour sélectionner le ou les modules appropriés ou pour ajouter ou mettre à jour des informations dans l’annexe. Cela n’empêche pas les parties d’inclure les clauses contractuelles types prévues dans les présentes clauses dans un contrat plus large et/ou d’ajouter d’autres clauses ou garanties supplémentaires, à condition qu’elles ne contredisent pas, directement ou indirectement, les présentes clauses ni ne portent atteinte aux droits ou libertés fondamentaux des personnes concernées.
(b) Les présentes clauses ne portent pas atteinte aux obligations auxquelles l’exportateur de données est soumis en vertu du règlement (UE) 2016⁄679.
Article 3
Bénéficiaires tiers
(a) Les personnes concernées peuvent invoquer et faire valoir les présentes clauses, en tant que tiers bénéficiaires, à l’encontre de l’exportateur et/ou de l’importateur de données, sous réserve des exceptions suivantes :
(i) clause 1, clause 2, clause 3, clause 6, clause 7 ;
(ii) clause 1, clause 2, clause 3, clause 6, clause 7 ;
(iii) Clause 8 – clauses 8.1(b), 8.9(a), ©, (d) et (e) ;
(iv) Clause 9 – Clauses 9(a), ©, (d) et (e) ;
(v) Article 12 – alinéas a), d) et f) de l’article 12 ;
(vi) clause 13 ;
(vii) les alinéas c), d) et e) de l’article 15.1 ;
(viii) clause 16, point e) ;
(ix) Article 18 – Article 18, point a).
(b) Le paragraphe (a) ne porte pas atteinte aux droits des personnes concernées en vertu du règlement (UE) 2016⁄679.
Article 4
Interprétation
(a) Lorsque les présentes clauses utilisent des termes définis dans le règlement (UE) 2016⁄679, ces termes ont le même sens que celui qui leur est donné dans ledit règlement.
(b) Les présentes clauses doivent être lues et interprétées à la lumière des dispositions du règlement (UE) 2016⁄679.
© Les présentes clauses ne doivent pas être interprétées d’une manière qui soit contraire aux droits et obligations prévus par le règlement (UE) 2016⁄679.
Article 5
Hiérarchie
En cas de contradiction entre les présentes clauses et les dispositions d’accords connexes conclus entre les parties, qu’ils soient en vigueur au moment de la conclusion des présentes clauses ou conclus ultérieurement, les présentes clauses prévaudront.
Article 6
Description du ou des virements
Les modalités du ou des transferts, et notamment les catégories de données à caractère personnel transférées ainsi que la ou les finalités de ces transferts, sont précisées à l’annexe I.B.
Article 7
Clause de retenue
(a) Une entité qui n’est pas partie aux présentes clauses peut, avec l’accord des parties, y adhérer à tout moment, soit en tant qu’exportateur de données, soit en tant qu’importateur de données, en remplissant l’appendice et en signant l’annexe I.A.
(b) Une fois qu’elle aura rempli l’appendice et signé l’annexe I.A, l’entité adhérente deviendra partie aux présentes clauses et se verra conférer les droits et obligations d’un exportateur ou d’un importateur de données, conformément à la désignation qui lui est attribuée à l’annexe I.A.
© L’entité adhérente ne jouit d’aucun droit ni n’est soumise à aucune obligation découlant des présentes clauses pour la période antérieure à son adhésion en tant que Partie.
SECTION II – OBLIGATIONS DES PARTIES
Article 8
Mesures de protection des données
L’exportateur de données garantit avoir déployé tous les efforts raisonnables pour s’assurer que l’importateur de données est en mesure, grâce à la mise en œuvre de mesures techniques et organisationnelles appropriées, de remplir les obligations qui lui incombent en vertu des présentes clauses.
8.1. Instructions
(a) L’importateur de données ne traite les données à caractère personnel que sur la base d’instructions écrites de l’exportateur de données. L’exportateur de données peut donner ces instructions pendant toute la durée du contrat.
(b) L’importateur de données doit immédiatement informer l’exportateur de données s’il n’est pas en mesure de se conformer à ces instructions.
8.2. Limitation de la finalité
L’importateur de données ne traite les données à caractère personnel qu’aux fins spécifiques du transfert, telles que définies à l’annexe I.B, sauf instruction contraire de l’exportateur de données.
8.3. Transparence
Sur demande, l’exportateur de données met gratuitement à la disposition de la personne concernée une copie des présentes clauses, y compris l’annexe telle que complétée par les parties. Dans la mesure nécessaire à la protection des secrets d’affaires ou d’autres informations confidentielles, y compris les mesures décrites à l’annexe II et les données à caractère personnel, l’exportateur de données peut expurger une partie du texte de l’annexe aux présentes clauses avant d’en communiquer une copie, mais il doit fournir un résumé pertinent lorsque, sans cela, la personne concernée ne serait pas en mesure de comprendre son contenu ou d’exercer ses droits. Sur demande, les parties communiquent à la personne concernée les motifs des expurgations, dans la mesure du possible sans révéler les informations expurgées. La présente clause ne porte pas atteinte aux obligations de l’exportateur de données au titre des articles 13 et 14 du règlement (UE) 2016⁄679.
8.4. Précision
Si l’importateur de données constate que les données à caractère personnel qu’il a reçues sont inexactes ou ne sont plus à jour, il en informe l’exportateur de données sans retard injustifié. Dans ce cas, l’importateur de données coopère avec l’exportateur de données en vue de l’effacement ou de la rectification des données.
8.5. Durée du traitement et effacement ou restitution des données
Le traitement par l’importateur de données n’aura lieu que pendant la durée spécifiée à l’annexe I.B. À l’issue de la prestation des services de traitement, l’importateur de données doit, au choix de l’exportateur de données, soit effacer toutes les données à caractère personnel traitées pour le compte de ce dernier et certifier à l’exportateur de données qu’il l’a fait, soit restituer à l’exportateur de données toutes les données à caractère personnel traitées pour son compte et effacer les copies existantes. Jusqu’à ce que les données soient effacées ou restituées, l’importateur de données continue de garantir le respect des présentes clauses. Si la législation locale applicable à l’importateur de données interdit la restitution ou la suppression des données à caractère personnel, l’importateur de données garantit qu’il continuera à veiller au respect des présentes clauses et ne traitera ces données que dans la mesure et pendant la durée requises par ladite législation locale. Ceci est sans préjudice de la clause 14, en particulier de l’obligation faite à l’importateur de données, en vertu de la clause 14(e), d’informer l’exportateur de données, pendant toute la durée du contrat, s’il a des raisons de croire qu’il est ou est devenu soumis à des lois ou pratiques non conformes aux exigences de la clause 14(a).
8.6. Sécurité du traitement
(a) L’importateur de données et, pendant la transmission, l’exportateur de données doivent mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir la sécurité des données, y compris la protection contre toute violation de la sécurité entraînant la destruction, la perte, l’altération, la divulgation non autorisée ou l’accès non autorisé à ces données (ci-après dénommée « violation de données à caractère personnel »). Lorsqu’elles évaluent le niveau de sécurité approprié, les parties tiennent dûment compte de l’état de la technique, des coûts de mise en œuvre, de la nature, de la portée, du contexte et de la ou des finalités du traitement, ainsi que des risques que ce traitement présente pour les personnes concernées. Les parties envisagent en particulier de recourir au chiffrement ou à la pseudonymisation, y compris lors de la transmission, lorsque la finalité du traitement peut être atteinte de cette manière. En cas de pseudonymisation, les informations supplémentaires permettant d’attribuer les données à caractère personnel à une personne concernée spécifique restent, dans la mesure du possible, sous le contrôle exclusif de l’exportateur de données. Afin de se conformer aux obligations qui lui incombent en vertu du présent paragraphe, l’importateur de données met au moins en œuvre les mesures techniques et organisationnelles spécifiées à l’annexe II. L’importateur de données procède à des contrôles réguliers afin de s’assurer que ces mesures continuent d’offrir un niveau de sécurité approprié.
(b) L’importateur de données ne doit accorder l’accès aux données à caractère personnel aux membres de son personnel que dans la mesure strictement nécessaire à la mise en œuvre, à la gestion et au suivi du contrat. Il doit veiller à ce que les personnes autorisées à traiter les données à caractère personnel se soient engagées à respecter la confidentialité ou soient soumises à une obligation légale de confidentialité appropriée.
© En cas de violation de données à caractère personnel concernant des données traitées par l’importateur de données en vertu des présentes clauses, celui-ci prendra les mesures appropriées pour remédier à cette violation, y compris des mesures visant à en atténuer les effets négatifs. L’importateur de données en informera également l’exportateur de données sans retard injustifié dès qu’il aura pris connaissance de la violation. Cette notification doit contenir les coordonnées d’un point de contact auprès duquel des informations complémentaires peuvent être obtenues, une description de la nature de la violation (y compris, si possible, les catégories et le nombre approximatif de personnes concernées et d’enregistrements de données à caractère personnel concernés), ses conséquences probables et les mesures prises ou proposées pour y remédier, y compris, le cas échéant, les mesures visant à atténuer ses effets négatifs éventuels. Lorsque, et dans la mesure où, il n’est pas possible de fournir toutes les informations en même temps, la notification initiale doit contenir les informations alors disponibles et les informations complémentaires doivent, dès qu’elles sont disponibles, être fournies par la suite sans retard injustifié.
(d) L’importateur de données coopère avec l’exportateur de données et lui apporte son aide afin de permettre à ce dernier de se conformer aux obligations qui lui incombent en vertu du règlement (UE) 2016⁄679, notamment en ce qui concerne la notification à l’autorité de contrôle compétente et aux personnes concernées, en tenant compte de la nature du traitement et des informations dont dispose l’importateur de données.
8.7. Données sensibles
Lorsque le transfert porte sur des données à caractère personnel révélant l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, ou l’appartenance syndicale, des données génétiques ou des données biométriques destinées à identifier de manière unique une personne physique, des données relatives à la santé, à la vie sexuelle ou à l’orientation sexuelle d’une personne, ou des données relatives aux condamnations pénales et aux infractions (ci-après dénommées «données sensibles»), l’importateur de données applique les restrictions spécifiques et/ou les garanties supplémentaires décrites à l’annexe I.B.
8.8. Transferts ultérieurs
L’importateur de données ne peut communiquer les données à caractère personnel à un tiers que sur instruction écrite de l’exportateur de données. En outre, les données ne peuvent être communiquées à un tiers situé en dehors de l’Union européenne[2] (dans le même pays que l’importateur de données ou dans un autre pays tiers, ci-après dénommé «transfert ultérieur») que si ce tiers est lié par les présentes clauses, au titre du module approprié, ou accepte de s’y soumettre, ou si :
(i) le transfert ultérieur est destiné à un pays bénéficiant d’une décision d’adéquation au titre de l’article 45 du règlement (UE) 2016⁄679 qui couvre ce transfert ultérieur ;
(ii) le tiers garantit par ailleurs des garanties appropriées conformément aux articles 46 ou 47 du règlement (UE) 2016⁄679 en ce qui concerne le traitement en question ;
(iii) le transfert ultérieur est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice dans le cadre de procédures administratives, réglementaires ou judiciaires spécifiques ; ou (iv) le transfert ultérieur est nécessaire pour protéger les intérêts vitaux de la personne concernée ou d’une autre personne physique.
Tout transfert ultérieur est subordonné au respect, par le destinataire des données, de toutes les autres garanties prévues par les présentes clauses, notamment la limitation de la finalité.
8.9. Documentation et conformité
(a) L’importateur de données doit répondre rapidement et de manière adéquate aux demandes de renseignements de l’exportateur de données concernant le traitement effectué en vertu des présentes clauses.
(b) Les parties doivent être en mesure de démontrer qu’elles respectent les présentes clauses. En particulier, l’importateur de données doit conserver une documentation appropriée sur les activités de traitement effectuées pour le compte de l’exportateur de données.
© L’importateur de données met à la disposition de l’exportateur de données toutes les informations nécessaires pour démontrer le respect des obligations énoncées dans les présentes clauses et, à la demande de l’exportateur de données, autorise et facilite les audits des activités de traitement couvertes par les présentes clauses, à des intervalles raisonnables ou en cas d’indices de non-conformité. Pour décider d’un contrôle ou d’un audit, l’exportateur de données peut tenir compte des certifications pertinentes détenues par l’importateur de données.
(d) L’exportateur de données peut choisir de réaliser lui-même l’audit ou de mandater un auditeur indépendant. Les audits peuvent inclure des inspections dans les locaux ou les installations physiques de l’importateur de données et doivent, le cas échéant, être effectués moyennant un préavis raisonnable.
(e) Les parties mettent à la disposition de l’autorité de contrôle compétente, à sa demande, les informations visées aux paragraphes (b) et ©, y compris les résultats de tout audit.
Article 9
Recours à des Sous-traitants secondaires
(a) L’importateur de données dispose d’une autorisation générale de l’exportateur de données pour faire appel à un ou plusieurs Sous-traitants figurant sur une liste convenue. L’importateur de données informe expressément l’exportateur de données par écrit de toute modification envisagée de cette liste, qu’il s’agisse de l’ajout ou du remplacement de Sous-traitants, au moins quinze (15) jours à l’avance, afin de laisser à l’exportateur de données un délai suffisant pour s’opposer à ces modifications avant le recours au(x) Sous-traitant(s). L’importateur de données doit fournir à l’exportateur de données les informations nécessaires pour permettre à ce dernier d’exercer son droit d’opposition.
(b) Lorsque l’importateur de données fait appel à un Sous-traitant pour effectuer des activités de traitement spécifiques (pour le compte de l’exportateur de données), il doit le faire au moyen d’un contrat écrit prévoyant, en substance, les mêmes obligations en matière de protection des données que celles qui lient l’importateur de données en vertu des présentes clauses, y compris en ce qui concerne les droits des personnes concernées en tant que tiers bénéficiaires.[3] Les parties conviennent que, en se conformant à la présente clause, l’importateur de données remplit ses obligations au titre de la clause 8.8. L’importateur de données veille à ce que le Sous-traitant respectant les obligations auxquelles l’importateur de données est soumis en vertu des présentes clauses.
© L’importateur de données doit fournir, à la demande de l’exportateur de données, une copie dudit accord de sous-traitance et de toute modification ultérieure à cet accord à l’exportateur de données. Dans la mesure où cela est nécessaire pour protéger des secrets d’affaires ou d’autres informations confidentielles, y compris des données à caractère personnel, l’importateur de données peut expurger le texte de l’accord avant d’en communiquer une copie.
(d) L’importateur de données reste pleinement responsable vis-à-vis de l’exportateur de données de l’exécution des obligations du Sous-traitant en vertu du contrat conclu avec l’importateur de données. L’importateur de données doit informer l’exportateur de données de tout manquement du Sous-traitant à ses obligations au titre dudit contrat.
(e) L’importateur de données doit convenir avec le Sous-traitant d’une clause de tiers bénéficiaire prévoyant que, dans le cas où l’importateur de données aurait disparu de fait, cessé d’exister en droit ou serait devenu insolvable, l’exportateur de données aurait le droit de résilier le contrat de sous-traitance et d’ordonner au Sous-traitant d’effacer ou de restituer les données à caractère personnel.
Article 10
Droits des personnes concernées
(a) L’importateur de données doit informer sans délai l’exportateur de données de toute demande qu’il a reçue de la part d’une personne concernée. Il ne doit pas répondre lui-même à cette demande, sauf s’il y a été autorisé par l’exportateur de données.
(b) L’importateur de données aide l’exportateur de données à s’acquitter de ses obligations de répondre aux demandes des personnes concernées visant à exercer leurs droits en vertu du règlement (UE) 2016⁄679. À cet égard, les parties définissent à l’annexe II les mesures techniques et organisationnelles appropriées, compte tenu de la nature du traitement, par lesquelles cette assistance doit être fournie, ainsi que la portée et l’étendue de l’assistance requise.
© Dans le cadre de l’exécution des obligations qui lui incombent en vertu des paragraphes (a) et (b), l’importateur de données doit se conformer aux instructions de l’exportateur de données.
Article 11
Recours
(a) L’importateur de données doit informer les personnes concernées, dans un format transparent et facilement accessible, par le biais d’une notification individuelle ou sur son site web, de l’existence d’un point de contact habilité à traiter les réclamations. Il doit traiter sans délai toute réclamation qu’il reçoit de la part d’une personne concernée.
(b) En cas de litige entre une personne concernée et l’une des parties concernant le respect des présentes clauses, cette partie mettra tout en œuvre pour résoudre le différend à l’amiable et dans les meilleurs délais. Les parties se tiendront mutuellement informées de ces litiges et, le cas échéant, coopéreront pour les résoudre.
© Lorsque la personne concernée invoque un droit de tiers bénéficiaire en vertu de la clause 3, l’importateur de données doit accepter la décision de la personne concernée visant à :
(i) déposer une réclamation auprès de l’autorité de contrôle de l’État membre dans lequel il a sa résidence habituelle ou son lieu de travail, ou auprès de l’autorité de contrôle compétente conformément à la clause 13 ;
(ii) porter le litige devant les juridictions compétentes au sens de la clause 18.
(d) Les parties conviennent que la personne concernée peut être représentée par un organisme, une organisation ou une association à but non lucratif, dans les conditions prévues à l’article 80, paragraphe 1, du règlement (UE) 2016⁄679.
(e) L’importateur de données doit se conformer à toute décision ayant force obligatoire en vertu du droit de l’Union européenne ou du droit d’un État membre applicable.
(f) L’importateur de données s’engage à ce que le choix effectué par la personne concernée ne porte pas atteinte à ses droits, tant sur le fond que sur la forme, de faire valoir ses droits conformément à la législation applicable.
Article 12
Responsabilité
(a) Chaque partie est responsable envers l’autre ou les autres parties de tout préjudice qu’elle leur cause en raison d’un manquement aux présentes clauses.
(b) L’importateur de données est responsable envers la personne concernée, et celle-ci a droit à une indemnisation, pour tout préjudice matériel ou moral que l’importateur de données ou son Sous-traitant lui cause en violant les droits des tiers bénéficiaires prévus par les présentes clauses.
© Nonobstant le paragraphe (b), l’exportateur de données est responsable envers la personne concernée, et celle-ci a droit à une indemnisation, pour tout préjudice matériel ou moral que l’exportateur de données ou l’importateur de données (ou son Sous-traitant secondaire) cause à la personne concernée en violant les droits des tiers bénéficiaires prévus par les présentes clauses. Cela ne porte pas atteinte à la responsabilité de l’exportateur de données et, lorsque celui-ci est un Sous-traitant agissant pour le compte d’un Responsable du traitement, à la responsabilité du Responsable du traitement en vertu du règlement (UE) 2016⁄679 ou du règlement (UE) 2018⁄1725, selon le cas.
(d) Les parties conviennent que si l’exportateur de données est tenu responsable, en vertu du paragraphe ©, des dommages causés par l’importateur de données (ou son Sous-traitant), il est en droit de réclamer à l’importateur de données la partie de l’indemnisation correspondant à la part de responsabilité de ce dernier dans le préjudice causé.
(e) Lorsque plusieurs Parties sont responsables d’un préjudice causé à la personne concernée à la suite d’une violation des présentes clauses, toutes les Parties responsables sont solidairement responsables et la personne concernée est en droit d’intenter une action en justice contre l’une quelconque de ces Parties.
(f) Les parties conviennent que si l’une d’entre elles est tenue pour responsable en vertu du paragraphe (e), elle est en droit de réclamer à l’autre ou aux autres parties la partie de l’indemnisation correspondant à leur part de responsabilité dans le préjudice.
(g) Le destinataire des données ne peut invoquer le comportement d’un Sous-traitant pour se soustraire à sa propre responsabilité.
Article 13
Supervision
(a) Lorsque l’exportateur de données est établi dans un État membre de l’UE, l’autorité de contrôle chargée de veiller au respect par l’exportateur de données du règlement (UE) 2016⁄679 en ce qui concerne le transfert de données, telle qu’indiquée à l’annexe I.C, agit en tant qu’autorité de contrôle compétente.
(b) Lorsque l’exportateur de données n’est pas établi dans un État membre de l’Union européenne, mais relève du champ d’application territorial du règlement (UE) 2016⁄679 conformément à son article 3, paragraphe 2, et a désigné un représentant en vertu de l’article 27, paragraphe 1, du règlement (UE) 2016⁄679, l’autorité de contrôle de l’État membre dans lequel le représentant au sens de l’article 27, paragraphe 1, du règlement (UE) 2016⁄679 est établi, comme indiqué à l’annexe I.C, agit en tant qu’autorité de contrôle compétente.
© Lorsque l’exportateur de données n’est pas établi dans un État membre de l’UE, mais relève du champ d’application territorial du règlement (UE) 2016⁄679 conformément à son article 3, paragraphe 2, sans toutefois être tenu de désigner un représentant en vertu de l’article 27, paragraphe 2, du règlement (UE) 2016⁄679, l’autorité de contrôle de l’un des États membres dans lesquels se trouvent les personnes concernées dont les données à caractère personnel sont transférées en vertu des présentes clauses dans le cadre de l’offre de biens ou de services à leur intention, ou dont le comportement fait l’objet d’un suivi, comme indiqué à l’annexe I.C, agit en tant qu’autorité de contrôle compétente.
(d) L’importateur de données s’engage à se soumettre à la compétence de l’autorité de contrôle compétente et à coopérer avec celle-ci dans le cadre de toute procédure visant à garantir le respect des présentes clauses. En particulier, l’importateur de données s’engage à répondre aux demandes de renseignements, à se soumettre à des audits et à se conformer aux mesures adoptées par l’autorité de contrôle, y compris les mesures correctives et compensatoires. Il fournit à l’autorité de contrôle une confirmation écrite attestant que les mesures nécessaires ont été prises.
SECTION III – LÉGISLATION LOCALE ET OBLIGATIONS EN CAS D’ACCÈS PAR LES AUTORITÉS PUBLIQUES
Article 14
Législations et pratiques locales ayant une incidence sur le respect des clauses
(a) Les parties garantissent qu’elles n’ont aucune raison de croire que les lois et pratiques du pays tiers de destination applicables au traitement des données à caractère personnel par l’importateur de données, y compris toute obligation de divulgation de données à caractère personnel ou toute mesure autorisant l’accès par les autorités publiques, empêchent l’importateur de données de remplir ses obligations au titre des présentes clauses. Cette garantie repose sur le principe selon lequel les lois et pratiques qui respectent l’essence même des droits et libertés fondamentaux et qui ne vont pas au-delà de ce qui est nécessaire et proportionné dans une société démocratique pour préserver l’un des objectifs énumérés à l’article 23, paragraphe 1, du règlement (UE) 2016⁄679 ne sont pas en contradiction avec les présentes clauses.
(b) Les parties déclarent que, en accordant la garantie visée au paragraphe (a), elles ont notamment tenu dûment compte des éléments suivants :
(i) les circonstances spécifiques du transfert, notamment la longueur de la chaîne de traitement, le nombre d’acteurs impliqués et les canaux de transmission utilisés ; les transferts ultérieurs envisagés ; le type de destinataire ; la finalité du traitement ; les catégories et le format des données à caractère personnel transférées ; le secteur économique dans lequel le transfert a lieu ; le lieu de stockage des données transférées ;
(ii) la législation et les pratiques du pays tiers de destination – y compris celles qui imposent la communication de données aux autorités publiques ou qui autorisent l’accès de ces dernières à ces données – pertinentes au regard des circonstances spécifiques du transfert, ainsi que les limitations et garanties applicables (12) ;
(iii) toute garantie contractuelle, technique ou organisationnelle pertinente mise en place pour compléter les garanties prévues par les présentes clauses, y compris les mesures appliquées lors de la transmission et du traitement des données à caractère personnel dans le pays de destination.
© L’importateur de données garantit que, dans le cadre de l’évaluation visée au paragraphe (b), il a mis tout en œuvre pour fournir à l’exportateur de données les informations pertinentes et s’engage à continuer de coopérer avec ce dernier afin d’assurer le respect des présentes clauses.
(d) Les parties s’engagent à consigner par écrit l’évaluation visée au paragraphe (b) et à la mettre à la disposition de l’autorité de contrôle compétente sur demande.
(e) L’importateur de données s’engage à informer sans délai l’exportateur de données si, après avoir accepté les présentes clauses et pendant toute la durée du contrat, il a des raisons de croire qu’il est ou est devenu soumis à des lois ou à des pratiques non conformes aux exigences du paragraphe (a), y compris à la suite d’une modification de la législation du pays tiers ou d’une mesure (telle qu’une demande de divulgation) indiquant une application de ces lois dans la pratique qui n’est pas conforme aux exigences du paragraphe (a).
(f) À la suite d’une notification effectuée conformément au paragraphe (e), ou si l’exportateur de données a par ailleurs des raisons de croire que l’importateur de données n’est plus en mesure de remplir ses obligations au titre des présentes clauses, l’exportateur de données doit rapidement déterminer les mesures appropriées (par exemple, des mesures techniques ou organisationnelles visant à garantir la sécurité et la confidentialité) que l’exportateur de données et/ou l’importateur de données doivent adopter pour remédier à la situation. L’exportateur de données suspend le transfert de données s’il estime qu’aucune garantie appropriée ne peut être assurée pour ce transfert, ou s’il en reçoit l’instruction de l’autorité de contrôle compétente. Dans ce cas, l’exportateur de données est en droit de résilier le contrat, dans la mesure où celui-ci concerne le traitement de données à caractère personnel en vertu des présentes clauses. Si le contrat implique plus de deux parties, l’exportateur de données ne peut exercer ce droit de résiliation qu’à l’égard de la partie concernée, sauf accord contraire entre les parties. En cas de résiliation du contrat en vertu de la présente clause, les alinéas d) et e) de la clause 16 s’appliquent.
Article 15
Obligations de l’importateur de données en cas d’accès par les autorités publiques
15.1. Notification
(a) L’importateur de données s’engage à informer sans délai l’exportateur de données et, dans la mesure du possible, la personne concernée (si nécessaire, avec l’aide de l’exportateur de données) s’il :
(i) reçoit une demande juridiquement contraignante émanant d’une autorité publique, y compris des autorités judiciaires, en vertu de la législation du pays de destination, visant la divulgation de données à caractère personnel transférées conformément aux présentes clauses ; cette notification doit inclure des informations concernant les données à caractère personnel demandées, l’autorité requérante, la base juridique de la demande et la réponse fournie ; ou (ii) a connaissance d’un accès direct par des autorités publiques aux données à caractère personnel transférées en vertu des présentes clauses, conformément à la législation du pays de destination ; cette notification doit inclure toutes les informations dont dispose l’importateur.
(b) Si la législation du pays de destination interdit à l’importateur de données d’informer l’exportateur de données et/ou la personne concernée, l’importateur de données s’engage à tout mettre en œuvre pour obtenir une dérogation à cette interdiction, afin de communiquer le plus d’informations possible, dans les meilleurs délais. L’importateur de données s’engage à consigner par écrit les efforts qu’il a déployés afin de pouvoir en apporter la preuve à la demande de l’exportateur de données.
© Lorsque la législation du pays de destination le permet, l’importateur de données s’engage à fournir à l’exportateur de données, à intervalles réguliers pendant toute la durée du contrat, autant d’informations pertinentes que possible sur les demandes reçues (notamment le nombre de demandes, le type de données demandées, l’autorité ou les autorités requérantes, si les demandes ont fait l’objet de contestations et l’issue de ces contestations, etc.).
(d) Le destinataire du transfert s’engage à conserver les informations visées aux paragraphes (a) à © pendant toute la durée du contrat et à les mettre à la disposition de l’autorité de contrôle compétente sur simple demande.
(e) Les paragraphes (a) à © ne portent pas atteinte à l’obligation qui incombe à l’importateur de données, en vertu de la clause 14, point e), et de la clause 16, d’informer sans délai l’exportateur de données lorsqu’il n’est pas en mesure de se conformer aux présentes clauses.
15.2. Contrôle de la légalité et limitation des données
(a) L’importateur de données s’engage à examiner la légalité de la demande de divulgation, notamment à vérifier si celle-ci relève des compétences conférées à l’autorité publique requérante, et à contester la demande si, après une évaluation minutieuse, il conclut qu’il existe des motifs raisonnables de considérer que la demande est illégale au regard de la législation du pays de destination, des obligations applicables en vertu du droit international et des principes de courtoisie internationale. L’importateur de données doit, dans les mêmes conditions, explorer les voies de recours. Lorsqu’il conteste une demande, l’importateur de données doit solliciter des mesures provisoires en vue de suspendre les effets de la demande jusqu’à ce que l’autorité judiciaire compétente se soit prononcée sur le fond. Il ne divulguera pas les données à caractère personnel demandées tant qu’il n’y sera pas tenu en vertu des règles de procédure applicables. Ces exigences ne portent pas atteinte aux obligations de l’importateur de données au titre de la clause 14(e).
(b) L’importateur de données s’engage à consigner par écrit son analyse juridique et toute contestation de la demande de divulgation et, dans la mesure où la législation du pays de destination le permet, à mettre ces documents à la disposition de l’exportateur de données. Il doit également les mettre à la disposition de l’autorité de contrôle compétente sur demande.
© L’importateur de données s’engage à ne fournir que le minimum d’informations autorisées lorsqu’il répond à une demande de communication, sur la base d’une interprétation raisonnable de cette demande.
SECTION IV – DISPOSITIONS FINALES
Article 16
Non-respect des clauses et résiliation (a) L’importateur de données doit informer sans délai l’exportateur de données s’il n’est pas en mesure de se conformer aux présentes clauses, pour quelque raison que ce soit.
(b) En cas de manquement de la part de l’importateur de données aux présentes clauses ou s’il se trouve dans l’impossibilité de s’y conformer, l’exportateur de données suspend le transfert de données à caractère personnel vers l’importateur de données jusqu’à ce que la conformité soit à nouveau assurée ou que le contrat soit résilié. Cette disposition ne porte pas atteinte à la clause 14, point f).
© L’exportateur de données est en droit de résilier le contrat, dans la mesure où celui-ci concerne le traitement de données à caractère personnel au titre des présentes clauses, lorsque :
(i) l’exportateur de données a suspendu le transfert de données à caractère personnel vers l’importateur de données conformément au paragraphe (b) et le respect des présentes clauses n’est pas rétabli dans un délai raisonnable et, en tout état de cause, dans un délai d’un mois à compter de la suspension ;
(ii) l’importateur de données enfreint de manière substantielle ou persistante les présentes clauses ; ou (iii) l’importateur de données ne se conforme pas à une décision exécutoire rendue par une juridiction compétente ou une autorité de contrôle concernant ses obligations au titre des présentes clauses.
Dans ces cas, il doit informer l’autorité de contrôle compétente de ce manquement. Lorsque le contrat implique plus de deux parties, l’exportateur de données ne peut exercer ce droit de résiliation qu’à l’égard de la partie concernée, sauf accord contraire entre les parties.
(d) Les données à caractère personnel qui ont été transférées avant la résiliation du contrat conformément au paragraphe © doivent, au choix de l’exportateur de données, lui être immédiatement restituées ou être intégralement effacées. Il en va de même pour toutes les copies de ces données.
(e) Chacune des parties peut révoquer son acceptation d’être liée par les présentes clauses lorsque (i) la Commission européenne adopte une décision en vertu de l’article 45, paragraphe 3, du règlement (UE) 2016⁄679 qui couvre le transfert de données à caractère personnel auquel s’appliquent les présentes clauses ; ou (ii) le règlement (UE) 2016⁄679 est intégré au cadre juridique du pays vers lequel les données à caractère personnel sont transférées. Cela ne porte pas atteinte aux autres obligations applicables au traitement en question en vertu du règlement (UE) 2016⁄679.
Article 17
Loi applicable
Les présentes clauses sont régies par le droit de l’un des États membres de l’Union européenne, à condition que ce droit prévoie des droits de tiers bénéficiaires. Les parties conviennent que ce droit sera celui de la République slovaque.
Article 18
Choix du tribunal compétent et de la juridiction
(a) Tout litige découlant des présentes clauses sera tranché par les tribunaux d’un État membre de l’Union européenne.
(b) Les parties conviennent que ces tribunaux seront ceux de la République slovaque.
© Une personne concernée peut également intenter une action en justice contre l’exportateur de données et/ou l’importateur de données devant les tribunaux de l’État membre dans lequel elle a sa résidence habituelle.
(d) Les parties conviennent de se soumettre à la compétence de ces tribunaux.
ANNEXE I
A. LISTE DES PARTIES
Nom de l’organisme exportateur des données : indiqué dans l’annexe correspondante. Adresse (complète) : indiquée dans l’annexe correspondante. Tél. : indiqué dans l’annexe correspondante. E-mail : indiqué dans l’annexe correspondante.
Autres informations nécessaires à l’identification de l’organisation :
________________________________________________ (l’exportateur de données)
et
Nom de l’organisme chargé de l’importation des données : Piano Software, Inc. Adresse (complète) : 111 S. Independence Mall E, Suite 950, Philadelphie, PA 19106 Tél. : +1-646-350-2816E-Mail:privacy@piano.io
Autres informations nécessaires à l’identification de l’organisation :
________________________________________________ (l’importateur de données)
B. DESCRIPTION DU TRANSFERT
Exportateur de données
L’exportateur de données est (veuillez décrire brièvement vos activités en rapport avec le transfert) :
Exploitants de sites web ayant choisi d’utiliser l’outil d’importation de données afin de faciliter la fourniture de certains services de mesure d’audience en ligne, ce qui implique nécessairement le traitement de données à caractère personnel.
Importateur de données
L’importateur de données est (veuillez décrire brièvement les activités en rapport avec le transfert) :
Prestataire de certains services de mesure d’audience en ligne pour le compte de l’exportateur de données, ce qui implique nécessairement le traitement de données à caractère personnel.
Personnes concernées
Les données à caractère personnel transférées concernent les catégories suivantes de personnes concernées (veuillez préciser) :
Principalement les utilisateurs des sites web du Client, comme expliqué plus en détail dans l’accord de traitement des données conclu entre les parties, mentionné ci-dessus.
Catégories de données
Les données à caractère personnel transférées concernent les catégories de données suivantes (veuillez préciser) :
Nom, adresse e-mail, numéro de téléphone, données financières, contenu spécifique consulté, heure et durée de la visite, données relatives à la conversion d’une offre et/ou à l’interaction, site d’origine, ou toute autre information relative à cette personne physique collectée par le biais du Service, que ce soit via des cookies ou d’autres technologies de suivi, les fonctionnalités du Service ou par tout autre moyen
Catégories particulières de données (le cas échéant)
Les données à caractère personnel transférées concernent les catégories particulières de données suivantes (veuillez préciser) :
À la connaissance des deux parties, aucune catégorie particulière de données à caractère personnel n’est transférée.
La fréquence du transfert (par exemple, s’il s’agit d’un transfert ponctuel ou continu).
sur une base continue
Nature du traitement
Collecte, enregistrement, organisation, structuration, conservation, adaptation ou modification, extraction, consultation, utilisation, communication par transmission, diffusion ou toute autre forme de mise à disposition, recoupement ou combinaison, limitation, transfert transfrontalier, effacement ou destruction.
Finalité(s) du transfert de données et du traitement ultérieur
Prestation de services
La durée de conservation des données à caractère personnel ou, si cela n’est pas possible, les critères utilisés pour déterminer cette durée
Les données seront conservées jusqu’à ce que l’objectif soit atteint, c’est-à-dire soit : (a) la résiliation du contrat, soit (b) l’envoi par le Responsable du traitement d’une demande de suppression des données.
Pour les transferts vers des (sous-)Sous-traitants, précisez également l’objet, la nature et la durée du traitement
C. AUTORITÉ DE CONTRÔLE COMPÉTENTE
Autorité chargée de la protection des données à caractère personnel de la République slovaque
Hraničná 12
820 07 Bratislava 27
République slovaque
ANNEXE II
MESURES TECHNIQUES ET ORGANISATIONNELLES, NOTAMMENT CELLES VISANT À ASSURER LA SÉCURITÉ DES DONNÉES
NOTE EXPLICATIVE :
Description des mesures techniques et organisationnelles mises en œuvre par le ou les importateurs de données (y compris toute certification pertinente) afin de garantir un niveau de sécurité approprié, compte tenu de la nature, de la portée, du contexte et de la finalité du traitement, ainsi que des risques pesant sur les droits et libertés des personnes physiques.
En ce qui concerne les transferts vers des (sous-)Sous-traitants, décrire également les mesures techniques et organisationnelles spécifiques que le (sous-)Sous-traitant doit prendre pour pouvoir apporter son aide au Responsable du traitement et, dans le cas de transferts d’un Sous-traitant vers un sous-Sous-traitant, à l’exportateur de données
Ces mesures techniques et organisationnelles sont décrites en détail dans l’accord de traitement des données susmentionné, conclu entre les parties.
ANNEXE A (2)
ACCORD DE TRAITEMENT DES DONNÉES POUR TOUS LES PRODUITS AUTRES QUE PIANO ANALYTICS ET LORSQUE L’ENTITÉ PIANO N’EST PAS PIANO SOFTWARE, INC.
Le présent accord de traitement des données s’applique uniquement à l’utilisation par le Client des Produits autres que Piano Analytics et lorsque l’Entité Piano n’est pas Piano Software, Inc. Pour le contrat de traitement des données applicable lorsque l’entité Piano concernée est Piano Software, Inc. ou pour l’utilisation de Piano Analytics par le Client, voir respectivement l’annexe A (1) et l’annexe A (3).
ATTENDU QUE :

1. Les parties ont conclu l’accord ;

2. Dans le cadre de la fourniture des Services conformément au Contrat, Piano traitera les données à caractère personnel des Utilisateurs pour le compte du Client ;

3. Le Contrat et le présent Accord sur le traitement des données prévoient et autorisent Piano à faire appel à des sociétés affiliées et à des Sous-traitants de Piano pour le traitement des données à caractère personnel des Utilisateurs, conformément aux conditions énoncées dans le présent Accord sur le traitement des données ;

4. Le Contrat et le présent Accord sur le traitement des données prévoient et autorisent Piano à traiter les données à caractère personnel des Utilisateurs dans un cadre transfrontalier et/ou en dehors de l’Espace économique européen, conformément aux conditions énoncées dans le présent Accord sur le traitement des données ;

5. Le Client ne fera appel qu’à des Sous-traitants offrant des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées, de manière à ce que le traitement soit conforme aux exigences du RGPD, le présent accord de traitement des données (DPA) justifiant pourquoi le Client est satisfait des garanties fournies par Piano ;

6. Les parties souhaitent s’accorder explicitement sur la portée et la répartition des obligations découlant du RGPD, principalement à l’égard des utilisateurs en tant que personnes concernées ;
   PAR CONSÉQUENT, LES PARTIES SONT CONVENUES DE CE QUI SUIT :

7. Définitions. Les termes utilisés dans le présent accord sur le traitement des données (DPA) doivent être interprétés conformément au RGPD. Tous les termes définis dans le Contrat ont la même signification lorsqu’ils sont utilisés dans le présent DPA. Aux fins du présent DPA, les termes suivants ont la signification indiquée ci-dessous :
   Le terme « Contrat » désigne les conditions générales du contrat-cadre de services Piano Master conclu entre les Parties ;
   On entend par «clauses» les clauses contractuelles types approuvées par la Commission (décision (UE) 2021⁄914 de la Commission
   (Clauses contractuelles types) afin de garantir la sécurité des transferts transfrontaliers de données à caractère personnel entre les parties.
   Le terme « Commission » désigne la Commission de l’Union européenne ;
   Le terme « Conditions » désigne les conditions suivantes : (i) Piano conclut un accord de traitement des données avec ses sociétés affiliées et ses Sous-traitants, garantissant que tout traitement de données à caractère personnel est conforme aux conditions et au niveau de protection des données à caractère personnel requis en vertu du présent accord ; (ii) la liste actualisée de toutes les sociétés affiliées à Piano et de tous les Sous-traitants est mise à disposition et tenue à jour par Piano via https://piano.io/privacy-policy, Piano Software, Inc., Philadelphie, États-Unis, est automatiquement considérée comme une société affiliée à Piano, qu’elle figure ou non sur la liste) ; (iii) les données à caractère personnel ne seront transférées et traitées que par des sociétés affiliées à Piano et des Sous-traitants situés dans l’EEE, au Royaume-Uni, aux États-Unis, aux Philippines ou dans des pays tiers garantissant un niveau de protection adéquat conformément à la décision de la Commission ou, le cas échéant, conformément à la décision équivalente en vertu de la législation britannique ; (iv) dans le cas où les sociétés affiliées à Piano ou les Sous-traitants sont situés au Royaume-Uni, aux Philippines ou aux États-Unis, le transfert transfrontalier est effectué par Piano sur la base des clauses contractuelles types de l’UE ou des décisions d’adéquation de la Commission, ou conformément aux règles d’entreprise contraignantes adoptées par Piano et disponibles à l’adresse https://piano.io/bcr ; (v) dans le cas où des sociétés affiliées à Piano ou des Sous-traitants sont situés aux Philippines ou aux États-Unis, Piano adoptera des mesures techniques, contractuelles et organisationnelles supplémentaires pour garantir la sécurité du transfert transfrontalier, telles que : 1) l’évaluation de la question de savoir si la société affiliée à Piano ou le Sous-traitant relève de la législation locale en matière de surveillance, ainsi que l’évaluation de la législation et des pratiques locales ; 2) le chiffrement des données à caractère personnel, ainsi que la conservation des clés de chiffrement hors de portée de la société affiliée à Piano ou du Sous-traitant, sous le contrôle exclusif des ingénieurs dev-op de Piano au sein de l’EEE/de l’UE ; 3) l’évaluation des informations accessibles au public et de celles fournies sur demande ; 4) les méthodes d’organisation au sein du groupe (formations, politiques internes) ; 5) les mesures de minimisation des données ; (vi) Le Client est en droit, sur demande écrite, de recevoir des copies des clauses pertinentes de l’accord interne de traitement des données conclu entre Piano et ses Filiales ; (vii) Le Client peut demander à Piano de réaliser un audit auprès d’une Filiale de Piano ou d’un Sous-traitant, ou de fournir la confirmation qu’un tel audit a bien eu lieu (ou, le cas échéant, d’obtenir ou d’aider le Client à obtenir un rapport d’audit réalisé par un tiers concernant les activités d’une société affiliée à Piano ou d’un Sous-traitant) afin de garantir le respect de ces obligations, sous réserve toutefois que la section 16.19 du présent accord sur le traitement des données s’applique mutatis mutandis ; et (viii) Piano sera responsable des actes et omissions des sociétés affiliées de Piano et de ses Sous-traitants dans la même mesure que si Piano fournissait directement les services de chacune de ces sociétés affiliées et de chacun de ces Sous-traitants en vertu des termes du présent DPA, sauf disposition contraire prévue dans le présent DPA et/ou dans les Exigences en matière de confidentialité et de protection des données ;
   « Données du Client » désigne l’ensemble des données et informations fournies par ou au nom du Client, de ses sociétés affiliées ou de leurs clients, consommateurs et Utilisateurs respectifs, ou collectées directement ou indirectement auprès de ceux-ci, y compris, sans s’y limiter, les données collectées via le Logiciel et/ou le Service, lesquelles peuvent inclure, sans s’y limiter, les Données de carte de crédit (telles que définies à l’article 16 ci-dessous), les Données non personnelles ou les Données à caractère personnel. Pour plus de clarté, toutes les Données à caractère personnel constituent des Données du Client, mais toutes les Données du Client ne constituent pas des Données à caractère personnel (les Données non personnelles ne sont pas des Données à caractère personnel) ;
   « EEE » désigne l’Espace économique européen ;
   « UE » désigne l’Union européenne ;
   « Espace économique européen » désigne l’ensemble des États membres de l’UE ainsi que l’Islande, la Norvège et le Liechtenstein ;
   « Utilisateurs non inscrits » désigne les utilisateurs non inscrits des sites Web ;
   « Piano Affiliates » désigne les sociétés contrôlées par Piano Software Inc., Philadelphie, États-Unis, le terme « contrôle » désignant la détention, directe ou indirecte, du pouvoir de diriger ou de faire diriger la gestion d’une entité, que ce soit par le biais de la propriété, de droits de vote, par contrat ou de toute autre manière. La liste de ces sociétés est publiée sur https://piano.io/privacy-policy et y est régulièrement mise à jour ; elle inclut Piano Software, Inc., Philadelphie, États-Unis, qui est toujours considérée comme une société affiliée à Piano, qu’elle figure ou non sur la liste ;
   « Exigences en matière de confidentialité et de protection des données » désigne le RGPD, la directive « e-Privacy » (2002/58/CE) ainsi que l’ensemble des lois et réglementations nationales applicables relatives au traitement des données à caractère personnel et à la confidentialité dont le Client a informé Piano ;
   Le terme « Finalités » désigne les finalités du traitement des Données à caractère personnel déterminées par le Client, dans la mesure où ces finalités découlent des fonctionnalités du Logiciel, notamment : (i) les expériences de l’audience, c’est-à-dire les activités de traitement essentielles menées pour le compte du Client (à savoir les Services), telles que l’analyse des performances des abonnements, des tendances des utilisateurs, de leurs préférences et de leur segmentation, ainsi que tout autre traitement intervenant généralement dans le cadre de l’utilisation du Logiciel par le Client ; (ii) les finalités de facturation et de comptabilité, c’est-à-dire le traitement des paiements et des informations financières conformément aux lois applicables en matière de facturation, de comptabilité et de fiscalité ; et (iii) toute autre finalité de traitement prévue par les fonctionnalités du Logiciel ;
   « Utilisateurs enregistrés » désigne les utilisateurs enregistrés des sites Web ;
   « Règles de sécurité » désigne les mesures de sécurité raisonnables demandées par le Client concernant l’accès physique de Piano à ses locaux aux fins de la prestation des Services, ainsi que, le cas échéant, l’accès à distance ou virtuel aux logiciels, systèmes, données, informations et documents du Client ;
   « Sous-traitants » désigne les Sous-traitants auxquels Piano fait appel pour traiter les données à caractère personnel ; leur liste est publiée à l’adresse https://piano.io/privacy-policy et y est régulièrement mise à jour ;
   Le terme « utilisateurs » désigne collectivement les utilisateurs enregistrés et les utilisateurs non enregistrés ;
   Dans le présent document, les références aux « Services » désignent le Logiciel et/ou les Services.

8. Objet. Piano fournira les Services conformément aux dispositions du présent DPA. Piano est chargé et habilité à traiter les Données du Client conformément aux dispositions du Contrat, y compris le présent DPA. Les Parties souhaitent que tout traitement des Données du Client soumis au RGPD soit conforme au RGPD. Pour plus de clarté, le présent DPA ne concerne pas le traitement des données à caractère personnel par les Parties, mais uniquement le traitement des Données client dans le cadre du Contrat.

9. Durée et résiliation. Le présent DPA fait partie intégrante du Contrat. Il est impossible de fournir les Services conformément au Contrat sans traiter les Données du Client en vertu du présent DPA. Par conséquent, le présent DPA ne peut être résilié qu’en cas de résiliation du Contrat, dont il fait partie intégrante. En cas de résiliation ou d’expiration du Contrat, Piano devra, au choix du Client, soit restituer, soit effacer de manière sécurisée toutes les Données du Client, sauf si la législation de l’UE ou d’un État membre de l’UE applicable à Piano ou à ses Filiales impose la conservation de ces données.

10. Nature du traitement des données à caractère personnel. La nature du traitement des données à caractère personnel dans le cadre du présent DPA est déterminée par la nature des services fournis par Piano et par les fonctionnalités du logiciel. Le logiciel est conçu pour aider les entreprises de contenu numérique à générer des visites de pages, à stimuler l’engagement et les inscriptions, à réduire le blocage des publicités, ainsi qu’à vendre ou à accorder d’une autre manière l’accès à du contenu premium. La nature du traitement des données à caractère personnel par Piano est également déterminée par le fait que Piano n’entretient pas de relation directe avec les personnes concernées, ainsi que par son modèle économique de « logiciel en tant que service » (SaaS), qui n’inclut pas de techniques de monétisation des données telles que le courtage de données ou de bases de données, ni la vente de données à des tiers.

11. Finalité du traitement des données à caractère personnel. En tant que Sous-traitant du Client, Piano est autorisé à traiter les Données à caractère personnel aux fins prévues. Piano traitera les Données à caractère personnel uniquement aux fins de la fourniture des Services, et s’abstiendra de (i) traiter ou utiliser les Données à caractère personnel à des fins autres que celles énoncées dans le présent DPA et/ou le Contrat ou conformément aux instructions du Client, ou (ii) ne divulguera pas ces données à caractère personnel à des tiers autres que les sociétés affiliées à Piano ou les Sous-traitants, conformément à la section 8 ci-dessous ou lorsque la loi l’exige.

12. Types de données à caractère personnel. Les types de données à caractère personnel traitées par Piano en vertu du présent accord de traitement des données comprennent, selon le cas, le nom, l’adresse e-mail, le numéro de téléphone, les données financières, le contenu spécifique consulté, l’heure et la durée de la visite, l’adresse IP, la localisation géographique de l’appareil de l’utilisateur final, les données relatives à la conversion d’offres et/ou aux interactions, le site de provenance, ou toute autre information relative à cette personne physique collectée par le biais du Service, que ce soit par le biais de cookies ou d’autres technologies de suivi, des fonctionnalités du Service, ou par tout autre moyen. Les parties ne prévoient pas le traitement de catégories particulières de données à caractère personnel au sens de l’article 9 du RGPD.

13. Catégories de personnes concernées. Les données à caractère personnel traitées par Piano concerneront les utilisateurs des sites Web du client et les personnes utilisant le logiciel ou les services.

14. Sous-traitants et transferts. Par le présent DPA, le Client fournit à Piano une instruction/autorisation spécifique et documentée lui permettant de faire appel à ses sociétés affiliées et à ses Sous-traitants pour le traitement des Données à caractère personnel conformément aux Conditions, y compris pour leur transférer ces données. Sous réserve du respect des Conditions, Piano est autorisé à recourir à des sociétés affiliées à Piano et à des Sous-traitants, ainsi qu’à les changer, sans instructions ni autorisations supplémentaires de la part du Client. Piano informera expressément le Client de tout changement concernant les sociétés affiliées à Piano et/ou les Sous-traitants lorsque les Conditions ne seraient pas respectées et donnera au Client la possibilité de s’opposer à ces changements. Si le Client ne répond pas dans un délai de quinze (15) jours, Piano est autorisé à procéder au changement et au transfert. À tout moment, Piano fournira une liste à jour de ses sociétés affiliées et/ou Sous-traitants à la demande du Client.

15. Clauses contractuelles types de l’UE. OMISSION INTENTIONNELLE.

16. Instructions documentées. Piano traitera les Données à caractère personnel aux Fins prévues uniquement conformément aux instructions documentées du Client, y compris en ce qui concerne les transferts de Données à caractère personnel vers un pays tiers ou une organisation internationale, sauf si la législation de l’UE ou de l’État membre à laquelle Piano est soumise l’y oblige ; dans ce cas, Piano informera le Client de cette obligation légale avant le traitement, à moins que cette législation n’interdise une telle information pour des motifs importants d’intérêt public. Certaines autorisations générales et certaines instructions/autorisations spécifiques documentées figurent déjà dans le présent DPA, principalement à la section 8 ci-dessus ; elles sont par les présentes accordées par le Client à Piano et ne peuvent être modifiées qu’avec l’accord mutuel des Parties. Toute autre autorisation générale ou instruction/autorisation spécifique documentée du Client doit être communiquée à Piano conformément à la section 12(a) du Contrat (Notifications). Piano est tenu d’informer le Client s’il estime qu’une instruction de ce dernier serait contraire au RGPD. Piano ne saurait être tenu responsable du non-respect de toute obligation contractuelle au titre du Contrat et/ou du présent DPA si ce manquement résulte du respect d’une instruction documentée du Client en vertu du présent DPA. Pour éviter toute ambiguïté, les instructions du Client relatives au traitement des Données à caractère personnel doivent être conformes aux Exigences en matière de confidentialité et de protection des données. Le Client est seul responsable de l’exactitude, de la qualité et de la légalité des Données à caractère personnel, ainsi que des moyens par lesquels il les a obtenues.

17. Droits des personnes concernées. Conformément à l’article 28, paragraphe 3, point e), du RGPD, Piano, agissant en tant que Sous-traitant, doit, dans la mesure du possible et compte tenu de la nature du traitement, aider le Client, en tant que Responsable du traitement, à s’acquitter de son obligation de répondre aux demandes d’exercice des droits des personnes concernées en vertu du RGPD. Piano se conformera à cette obligation en fournissant, à la demande du Client, les informations justificatives dont il dispose. Ces informations justificatives peuvent inclure une liste mise à jour des Sous-traitants, des sociétés affiliées à Piano, des destinataires et des pays tiers concernés. À la demande du Client, Piano s’engage à effacer, divulguer, rectifier, fournir une copie de ou bloquer l’accès à des Données à caractère personnel spécifiques ou, si cela n’est pas réalisable et uniquement dans la mesure autorisée par la législation applicable, à suivre les instructions écrites détaillées du Client afin d’effacer, de divulguer, de rectifier ou de bloquer l’accès aux Données à caractère personnel conservées dans l’environnement des Services du Client. Toutefois, Piano n’est pas habilitée à traiter ou à répondre à la demande d’une personne concernée si celle-ci se rapporte aux finalités. Ces demandes doivent être traitées et faire l’objet d’une réponse de la part du Client. Si Piano reçoit une demande d’une personne concernée qui est de nature générale et qui pourrait être ou est liée aux finalités, Piano transmettra cette demande au Client sans retard injustifié.

18. Transparence des informations. Tout Responsable du traitement a l’obligation générale de fournir certaines informations aux personnes concernées, principalement en vertu des articles 13 ou 14 du RGPD. Le Client reste entièrement responsable de la communication de ces informations aux personnes concernées par le biais de sa propre politique de confidentialité. Le client est en droit, sans y être obligé, de se référer à la politique de confidentialité de Piano et aux informations relatives au RGPD publiées et mises à jour sur https://piano.io/privacy-policy, ou d’utiliser ces informations.

19. Fondements juridiques du traitement des données à caractère personnel. Les bases juridiques du traitement des données à caractère personnel sont déterminées exclusivement par le Client. Ces bases juridiques doivent toujours être conformes à l’article 6 du RGPD. En concluant le présent accord sur le traitement des données (DPA), le Client certifie et garantit à Piano qu’il dispose de bases juridiques suffisantes pour le traitement des données à caractère personnel, y compris le consentement de la personne concernée lorsque le RGPD l’exige.

20. Confidentialité. Piano mettra en œuvre les mesures organisationnelles nécessaires pour garantir que l’accès aux données à caractère personnel par le personnel de Piano soit limité à ce qui est nécessaire pour atteindre les finalités. Piano mettra également en œuvre les mesures organisationnelles nécessaires pour garantir que l’ensemble du personnel de Piano s’engage à respecter la confidentialité des données à caractère personnel. Ces obligations peuvent être respectées par l’adoption d’une politique interne appropriée au sein du groupe Piano.

21. Obligations générales relatives aux Données du Client. Le Client est propriétaire de toutes les Données du Client et en conserve l’intégralité des droits. Toutes les Données du Client doivent être stockées exclusivement sur des serveurs situés dans l’UE, sauf autorisation expresse contraire prévue dans le présent DPA ou accordée par écrit par le Client. Piano ne peut utiliser les Données du Client que dans la mesure nécessaire à l’exécution de ses obligations au titre des présentes. Dans le cadre de la fourniture des Services, Piano s’engage à ne pas accéder aux Données du Client et à ne pas autoriser son personnel et/ou ses prestataires de services tiers à y accéder, sauf dans la mesure nécessaire à l’exécution des Services et uniquement conformément aux exigences du Contrat et du présent DPA. Piano ne saurait être tenu responsable envers le Client des dommages subis par ce dernier à la suite d’un accès non autorisé résultant des actions du Client. Piano disposera des connaissances appropriées sur l’activité du Client pour s’acquitter de ses obligations en vertu du présent DPA.
    15.1. Approche globale. Piano traite toutes les données à caractère personnel conformément aux exigences du présent accord sur le traitement des données (DPA) dans tous ses sites à travers le monde. Les politiques, normes et pratiques de gouvernance de Piano en matière d’information sont gérées à l’échelle mondiale.
    15.2. Procédures de sécurité. Piano mettra en œuvre des procédures de sécurité physiques et logiques concernant l’accès au Service et à sa maintenance, ainsi qu’à toutes les Données client qu’il contient. Piano prendra les mesures organisationnelles et technologiques appropriées pour protéger la sécurité des Données du Client et défendre ses locaux et ses équipements contre les « pirates informatiques » et toute personne ou entité susceptible de chercher à modifier ou à accéder sans autorisation aux systèmes de Piano ou aux informations qui s’y trouvent. Piano mettra également tout en œuvre, dans le cadre de ses obligations commerciales, pour prendre toutes les mesures raisonnables visant à sécuriser et à protéger les Données du Client ainsi que l’utilisation du Service contre d’autres utilisateurs tiers.
    15.3. Surveillance et failles de sécurité. Piano surveillera en permanence ses réseaux, sa connectivité et ses systèmes, et effectuera au moins une fois par an des tests d’intrusion sur ses systèmes afin de détecter d’éventuelles failles de sécurité ; Piano se réunira avec le Client une fois par an pour examiner les résultats de ces tests de sécurité. Piano signalera immédiatement au Client, et au plus tard dans les 24 heures suivant la prise de connaissance de toute faille de sécurité ou de tout accès non autorisé affectant les Données du Client que Piano détecte ou dont il a connaissance. Piano remédiera à cette faille de sécurité ou à cet accès non autorisé dès que possible et remettra au Client une analyse des causes profondes ainsi qu’un plan d’atténuation des incidents futurs. Le Client ou un tiers désigné par lui peut, sans y être obligé, et aux frais du Client, réaliser des audits de l’environnement de Piano pendant la Durée du contrat, y compris des tests de pénétration et de sécurité coordonnés, dans la mesure où ceux-ci concernent la réception, la maintenance, l’utilisation ou la conservation d’informations à caractère personnel ou d’autres Données du Client. Piano est en droit de réclamer une rémunération pour les audits ou inspections effectués par le Client. Ces audits seront menés conformément à la section 15.19 ci-dessous. Sous réserve de ce qui précède, toute autorité de régulation du Client disposera du même droit sur simple demande. Piano s’engage à examiner toutes les recommandations raisonnables issues de ces inspections, tests et audits dans des délais raisonnables et informera le Client de ses projets et de son calendrier pour donner suite et/ou mettre en œuvre ces recommandations.
    15.4. Contournement. Si, à tout moment, le Client ou Piano constate qu’un membre du personnel de Piano : (i) a cherché à contourner ou a contourné les Règles de sécurité ; (ii) a accédé ou est susceptible d’accéder au réseau du Client sans autorisation ; ou (iii) s’est livré à des activités susceptibles d’entraîner l’accès non autorisé, la destruction, l’altération ou la perte de données, d’informations ou de logiciels, Piano mettra immédiatement fin à l’accès dudit membre du personnel de Piano et informera immédiatement le Client, dans tous les cas dans les 24 heures suivant la prise de connaissance de cette violation, des faits justifiant cette résiliation. Si le Client estime raisonnablement qu’un membre du personnel de Piano a tenté de contourner ou a contourné les Règles de sécurité, il peut immédiatement résilier l’accès de ce membre du personnel de Piano au réseau du Client et informera Piano de cette résiliation. Nonobstant toute disposition contraire dans le présent DPA, tout manquement de la part de Piano, de tout membre du personnel de Piano ou d’autres agents ou représentants aux Règles de sécurité constituera une violation du présent DPA autorisant le Client à résilier le Contrat avec effet immédiat par notification écrite adressée à Piano pour motif valable. À tout moment pendant la Durée du contrat, le Client peut procéder à un audit de l’utilisation du Réseau du Client par Piano. Piano accepte que le Client puisse examiner toute information, toute communication par courrier électronique et toute autre donnée stockée sur ou contenue dans tout disque dur d’ordinateur, disque ou tout autre support de stockage afin de déterminer s’il y a eu une faille de sécurité ou une violation du présent DPA. Dans le cas où le Client conclurait, selon son jugement raisonnable, qu’il y a eu une faille de sécurité ou une violation du présent DPA par Piano ou par tout membre du personnel, agent ou représentant de Piano, le Client se réserve le droit de divulguer tout fichier informatique ou message de courrier électronique à des tiers, y compris (mais sans s’y limiter) aux autorités chargées de l’application de la loi, comme le Client le juge approprié, sans préavis aux personnes ayant pu rédiger, envoyer ou recevoir ces fichiers ou messages.

22. Mesures de sécurité appropriées. Piano reconnaît et accepte que, de temps à autre pendant la durée du présent DPA, Piano, ses sociétés affiliées, ses employés, ses mandataires, ses Sous-traitants ou ses ayants droit puissent être exposés à des Données du client ou y avoir accès, certaines d’entre elles pouvant constituer des Données à caractère personnel. Piano ne traitera ou ne divulguera des données à caractère personnel qu’aux fins prévues, ou à d’autres fins de traitement exigées par un tribunal compétent ou par toute autorité gouvernementale nationale ou de l’Union européenne compétente. Piano reconnaît qu’en raison de certaines lois obligatoires en matière de protection des données, le traitement des données à caractère personnel est soumis à certaines exigences légales. Piano aidera le Client à garantir le respect des obligations prévues aux articles 32 à 36 du RGPD, en tenant compte de la nature du traitement et des informations dont dispose Piano. Dans la mesure où cela s’applique aux Services et aux activités connexes de Piano, Piano se conformera à toutes les dispositions des politiques de confidentialité applicables, y compris la politique de confidentialité applicable du Client, si cela est raisonnablement exigé par le Client et fourni à l’avance à Piano. Piano ne consultera pas, ne déchiffrera pas ni n’accédera de quelque autre manière que ce soit aux Données à caractère personnel, sauf si cet accès est nécessaire à l’exécution des obligations de Piano au titre du présent DPA. Piano maintiendra, mettra en œuvre et fera respecter, dans le cadre de la prestation des Services, des procédures de sûreté et de sécurité qui : (a) sont au moins équivalentes aux normes du secteur applicables à ces Services et réseaux (le cas échéant), mais qui, en tout état de cause, sont conformes à une norme de diligence raisonnable ; (b) conformes aux exigences en matière de confidentialité et de protection des données ; et © conformes aux exigences de sécurité énoncées dans la présente section ci-dessous. Ces mesures comprendront, à titre d’exemple et sans s’y limiter, des pare-feu, des systèmes de détection d’intrusion, des armoires de classement verrouillables et d’autres mécanismes de sécurité physiques et électroniques appropriés, y compris les dernières versions de tous les logiciels et tous les correctifs logiciels. Piano mettra en place des audits de sécurité adéquats et fournira la preuve de la réussite d’un audit de sécurité annuel conforme aux normes de sécurité de l’industrie jugées acceptables par le Client, à la seule discrétion de ce dernier. Sur demande, Piano remplira le questionnaire d’évaluation de sécurité du Client. Piano se conformera à une politique écrite de sécurité de l’information mise en œuvre (« Politique de sécurité de l’information ») comprenant des mesures de protection administratives, techniques et physiques qui garantissent la confidentialité, l’intégrité et la disponibilité des Données à caractère personnel, protègent contre toute menace ou tout risque raisonnablement prévisible pesant sur la confidentialité, l’intégrité et la disponibilité des Données à caractère personnel, et protègent contre tout accès, utilisation, divulgation, altération ou destruction non autorisés des Données à caractère personnel. Outre les mesures de sécurité spécifiques et/ou supplémentaires établies dans tout accord entre les parties, la Politique de sécurité de l’information de Piano inclura, sans s’y limiter, les mesures suivantes lorsque cela est approprié ou nécessaire pour assurer la protection des Données à caractère personnel :
    16.1. Pseudonymisation. Le cas échéant, Piano mettra en œuvre des mesures de sécurité comprenant la pseudonymisation des données à caractère personnel.
    16.2. Contrôles d’accès. Politiques, procédures et contrôles physiques et techniques : (i) visant à limiter l’accès physique à ses systèmes d’information et au(x) site(s) où ils sont hébergés aux seules personnes dûment autorisées, notamment, mais sans s’y limiter : la limitation de l’accès aux serveurs physiques du centre de données de production aux seules personnes autorisées, l’enregistrement et la surveillance des tentatives d’accès non autorisées au centre de données par le personnel de sécurité de celui-ci, le contrôle des entrées et sorties du site à l’aide de points de contrôle d’accès (par exemple, des gardes et des lecteurs de badges électroniques), et la tenue à jour de registres d’accès physique aux points d’entrée et de sortie ; (ii) de veiller à ce que tous les membres de son personnel nécessitant un accès aux données à caractère personnel disposent d’un accès dûment contrôlé, et d’empêcher tout autre membre du personnel ainsi que toute autre personne non autorisée d’y accéder ; (iii) d’authentifier et de n’autoriser l’accès qu’aux personnes autorisées, et d’empêcher les membres de son personnel de communiquer des données à caractère personnel ou des informations s’y rapportant à des personnes non autorisées ; et (iv) de chiffrer et de déchiffrer les données à caractère personnel lorsque cela est approprié.
    16.3. Sensibilisation et formation à la sécurité. Un programme de sensibilisation et de formation à la sécurité destiné à l’ensemble du personnel de Piano (y compris les cadres), comprenant notamment une formation sur la mise en œuvre et le respect de sa politique de sécurité de l’information ainsi que des exigences en matière de confidentialité et de protection des données.
    16.4. Procédures en cas d’incident de sécurité. Politiques et procédures visant à détecter, à traiter et à gérer de toute autre manière les incidents de sécurité, c’est-à-dire, sans s’y limiter, l’accès, l’acquisition, la divulgation ou l’utilisation non autorisés de Données à caractère personnel (« incident de sécurité), y compris les procédures de surveillance des systèmes et de détection des attaques avérées ou tentées contre les Données à caractère personnel ou les systèmes d’information s’y rapportant, ainsi que des tentatives d’intrusion dans ceux-ci, et les procédures visant à identifier et à traiter les incidents de sécurité présumés ou avérés, à atténuer leurs effets néfastes, et à consigner les incidents de sécurité et leurs conséquences.
    16.5. Planification d’urgence. Politiques et procédures visant à faire face à une situation d’urgence ou à tout autre événement (par exemple, un incendie, un acte de vandalisme, une panne du système ou une catastrophe naturelle) susceptible d’endommager les Données à caractère personnel ou les systèmes qui les contiennent, y compris un plan de sauvegarde des données et un plan de reprise après sinistre.
    16.6. Contrôles des appareils et des supports. Politiques et procédures régissant la réception et le retrait, au sein et hors d’un site Piano, du matériel informatique et des supports électroniques contenant des données à caractère personnel, ainsi que le déplacement de ces éléments au sein d’un site Piano, y compris les politiques et procédures relatives à l’élimination définitive des données à caractère personnel et/ou du matériel ou des supports électroniques sur lesquels elles sont stockées, ainsi que les procédures de suppression des données à caractère personnel des supports électroniques avant que ceux-ci ne soient mis à disposition en vue d’une réutilisation.
    16.7. Contrôles d’audit/Journalisation. Mécanismes matériels, logiciels et/ou procéduraux qui enregistrent et analysent l’activité au sein des systèmes d’information contenant ou utilisant des informations électroniques, y compris les journaux et rapports appropriés concernant ces exigences de sécurité, ainsi que les lois et réglementations applicables et leur respect.
    16.8. Intégrité des données. Politiques et procédures visant à garantir la confidentialité, l’intégrité et la disponibilité des données à caractère personnel, ainsi qu’à les protéger contre toute divulgation, modification abusive ou destruction.
    16.9. Sécurité du stockage et de la transmission. Toutes les données à caractère personnel stockées ou transmises doivent être chiffrées. Les données à caractère personnel stockées seront chiffrées conformément aux normes en vigueur dans le secteur, telles que, le cas échéant, AES-128 ou une norme équivalente, ou Triple-DES (3-DES) ou une norme équivalente. Toutes les données à caractère personnel en cours de transmission seront protégées au minimum par un chiffrement conforme aux normes du secteur, tel que SSLv3/TLS.
    16.10. Élimination sécurisée. Politiques et procédures relatives à l’élimination des données à caractère personnel et des biens matériels contenant de telles données, en tenant compte des technologies disponibles afin que les données à caractère personnel ne puissent, dans la pratique, être lues ou reconstituées.
    16.11. Désignation d’un responsable de la sécurité. Piano désignera un responsable de la sécurité chargé de l’élaboration, de la mise en œuvre et du maintien de sa politique de sécurité de l’information. Piano informera le Client de l’identité de la personne responsable de la sécurité.
    16.12. Tests. Piano doit tester régulièrement, et au moins une fois par an, les mesures de contrôle, les systèmes et les procédures prévus par sa politique de sécurité de l’information afin de s’assurer qu’ils sont correctement mis en œuvre et qu’ils permettent de faire face efficacement aux menaces et aux risques identifiés. Ces tests doivent être menés ou contrôlés par des tiers indépendants ou par du personnel indépendant de celui chargé de l’élaboration ou de la maintenance des programmes de sécurité.
    16.13. Adaptation de la politique. Piano s’engage à surveiller, évaluer et adapter, le cas échéant, la Politique de sécurité de l’information à la lumière de toute évolution pertinente des technologies ou des normes de sécurité du secteur, du caractère sensible des Données à caractère personnel, des menaces internes ou externes pesant sur Piano ou sur les Données à caractère personnel, des exigences des ordres de mission applicables, et de l’évolution des accords commerciaux de Piano, tels que les fusions et acquisitions, les alliances et coentreprises, les accords d’externalisation et les modifications apportées aux systèmes d’information.
    16.14. Contrôles environnementaux. Mettre en place et maintenir des contrôles environnementaux visant à détecter, prévenir et maîtriser toute perturbation et/ou destruction des systèmes d’information contenant ou stockant des données à caractère personnel, résultant de conditions environnementales extrêmes.
    16.15. Gestion des correctifs de sécurité. Assurer la mise à jour du système, l’application des correctifs et la gestion des configurations à une fréquence au moins conforme aux normes du secteur et raisonnable d’un point de vue commercial.
    16.16. Tests. Piano doit tester régulièrement, et au moins une fois par an, les contrôles, systèmes et procédures prévus par sa politique de sécurité de l’information afin de s’assurer qu’ils sont correctement mis en œuvre et qu’ils permettent de faire face efficacement aux menaces et aux risques identifiés, notamment, mais sans s’y limiter, par le biais d’analyses de vulnérabilité et de tests d’intrusion. Les tests d’intrusion doivent être réalisés ou contrôlés par des tiers indépendants ou par le personnel de l’entreprise.
    16.17. Tests de sécurité des applications. Recourir au minimum à des tests et à des évaluations de sécurité conformes aux normes du secteur (par exemple, Veracode).
    16.18. Vérification des antécédents des consultants et des prestataires. Mettre en œuvre et maintenir des procédures vérifiables et conformes au moins aux normes du secteur (en fonction, entre autres, du contexte et du niveau d’accès) pour effectuer la vérification des antécédents du personnel ayant accès aux Données personnelles du Client. Sur demande raisonnable de sa part, le Client peut exiger des exigences plus spécifiques concernant ces vérifications d’antécédents.
    16.19. Audits. Le Client peut, à ses propres frais, demander, moyennant un préavis écrit de trois (3) semaines adressé à Piano, l’accès aux installations, systèmes, registres et pièces justificatives afin de vérifier le respect par Piano de ses obligations découlant de la Politique de sécurité de l’information ou liées à celle-ci. Le Client peut vérifier le respect par Piano des dispositions du présent DPA et des Exigences en matière de confidentialité et de protection des données au maximum une fois par an. Le Client peut effectuer des audits plus fréquents des systèmes informatiques du Service qui traitent des Données à caractère personnel dans la mesure requise par les lois applicables au Client. Si un tiers doit réaliser l’audit, ce tiers doit être choisi d’un commun accord par le Client et Piano et doit signer un accord de confidentialité acceptable pour Piano avant de réaliser l’audit. Dans le cadre de la demande d’audit, le Client doit soumettre à Piano, au moins trois (3) semaines avant la date d’audit proposée, un plan d’audit détaillé décrivant la portée, la durée et la date de début prévues de l’audit. Piano examinera le plan d’audit et fera part au Client de ses éventuelles préoccupations ou questions (par exemple, toute demande d’informations susceptible de compromettre la sécurité, la confidentialité, les politiques en matière d’emploi ou d’autres politiques pertinentes de Piano). Piano coopérera de bonne foi avec le Client afin de convenir d’un plan d’audit définitif. Les audits seront soumis à toutes les obligations de confidentialité applicables convenues entre le Client et Piano et seront menés de manière à minimiser toute perturbation de la prestation des services de Piano et de ses autres opérations normales, c’est-à-dire en dehors des heures de travail habituelles. Ces audits peuvent, au choix et à la demande du Client, inclure des tests de pénétration et de sécurité portant sur l’ensemble des systèmes de Piano, ainsi que sur leurs installations d’hébergement et leurs environnements d’exploitation. Le Client ne peut utiliser les rapports d’audit qu’aux fins de satisfaire à ses obligations réglementaires en matière d’audit et/ou de confirmer la conformité aux exigences du présent DPA et/ou aux exigences en matière de confidentialité et de protection des données. Les rapports d’audit constituent des informations confidentielles des parties au sens du Contrat. Si l’audit venait à révéler des informations confidentielles ou des éléments de propriété intellectuelle d’un tiers, tout audit devra être réalisé dans le respect des clauses de confidentialité ou des conditions de licence applicables dudit tiers.
    16.20. Les Parties s’engagent à s’informer mutuellement sans délai de toute mesure ou demande réglementaire ou judiciaire, potentielle ou effective, concernant les Données à caractère personnel traitées dans le cadre du présent DPA. Piano informera le Client et obtiendra son consentement avant de communiquer des Données à caractère personnel à des autorités publiques, sauf si la communication de ces Données à caractère personnel est requise par la législation applicable.
    16.21. Lorsque le Client en fera la demande de temps à autre, Piano s’engage à signer et/ou à faire en sorte que ses sociétés affiliées signent des clauses complémentaires relatives à la confidentialité et à la sécurité, avec le Client ou les sociétés affiliées de ce dernier bénéficiant des Services en vertu du Contrat, selon ce que le Client jugera nécessaire, pour le traitement et/ou le transfert des Données à caractère personnel conformément à la législation applicable. Au moment de la signature du présent DPA, l’application du règlement « ePrivacy » n’a pas encore été entièrement définie ni par les autorités européennes ni par l’autorité de contrôle locale du Client. Par conséquent, les Parties conviennent de modifier le présent DPA si nécessaire afin de garantir la conformité des Services au règlement « ePrivacy ».
    16.22. Si un pays hors de l’UE dans lequel les Services doivent être fournis en vertu du Contrat dispose ou adopte une loi relative à la protection des données qui, selon l’avis exclusif du Client, nécessite la signature de conditions supplémentaires en matière de confidentialité et de sécurité, Piano s’engage alors à signer et/ou à faire en sorte que ses Filiales signent sans délai ces conditions supplémentaires avec le Client et/ouses sociétés affiliées, sous réserve des mêmes conditions générales que celles énoncées ci-dessus ; à condition toutefois que les parties déploient des efforts raisonnables pour tirer parti des clauses supplémentaires en matière de confidentialité et de sécurité déjà conclues au titre de la législation de l’UE relative à la protection des données afin de satisfaire à une telle exigence, de manière à minimiser les coûts et les efforts nécessaires pour se conformer à cette exigence.
    16.23. Nonobstant toute disposition contraire du Contrat, dans le cas où l’une des Parties aurait connaissance d’une violation de données à caractère personnel au sens de l’article 4, paragraphe 12, du RGPD (par exemple, une violation de la sécurité entraînant la destruction, la perte, l’altération, la divulgation non autorisée ou l’accès non autorisé, de manière accidentelle ou illicite, à des données à caractère personnel transmises, stockées ou traitées de toute autre manière) (la « violation de données à caractère personnel ») susceptible d’avoir une incidence sur les obligations de l’autre Partie au titre des articles 32 et 33 du RGPD, chaque Partie doit notifier immédiatement à l’autre Partie une telle violation de données à caractère personnel (c’est-à-dire dans un délai de 24 heures). Les parties coopéreront ensuite pour évaluer le risque potentiel pour les droits et libertés des personnes physiques découlant de cette violation de données à caractère personnel, atténuer ce risque et conviendront de la notification ou de la communication de la violation de données à caractère personnel conformément aux articles 32 et 33 du RGPD.
    16.24. Piano veillera à ce que des procédures soient mises en place pour garantir la portabilité des données à caractère personnel, dans un format lisible par machine, et s’assurera d’être en mesure de fournir au Client toute donnée à caractère personnel dans un délai de trois jours ouvrés. En outre, Piano devra être en mesure de supprimer l’ensemble des données du Client, si celui-ci en fait la demande.

23. Norme de sécurité des données du secteur des cartes de paiement (PCI DSS). Si et dans la mesure où Piano a accès à des données de cartes de crédit, le présent paragraphe s’applique. Aux fins des présentes, (a) « PCI DSS » désigne la norme de sécurité des données du secteur des cartes de paiement ; et (b) « Données de carte de crédit » désigne toutes les données qualifiées de « Données du titulaire de carte » ou de « Données d’authentification sensibles » dans la norme PCI DSS. Piano s’engage à respecter les normes et pratiques du secteur, y compris, sans s’y limiter, la norme PCI DSS. Le cas échéant, Piano n’utilisera les données du titulaire de carte que pour faciliter la réalisation d’une transaction par carte, à des fins de services de lutte contre la fraude, ou conformément à ce qui a été spécifiquement convenu avec Visa, MasterCard, American Express et/ou Discover (collectivement, les « émetteurs »), ou tel que requis par la loi applicable. En cas d’utilisation, de modification, de destruction ou de divulgation non autorisées des Données du titulaire de carte, ou d’accès non autorisé à celles-ci (chacun des événements ou circonstances susmentionnés étant un « Incident de sécurité ») stockées par ou pour Piano (ou relevant de toute autre manière du contrôle de Piano), Piano en informera immédiatement le Client et permettra au Client ou à la personne qu’il désignera, aux Émetteurs, ainsi qu’à l’établissement financier acquéreur et aux personnes qu’ils désigneront respectivement, d’accéder aux locaux de Piano et à tous les documents pertinents afin de procéder à un contrôle du respect par Piano des présentes exigences. Piano mettra en place des procédures et des systèmes de continuité des activités appropriés afin de garantir la sécurité des données des titulaires de carte en cas de perturbation, de sinistre ou de défaillance de ses systèmes de données principaux présentant un risque pour les données des titulaires de carte. Piano donnera accès à ses systèmes et procédures de sécurité, sur demande raisonnable du Client ou de son représentant désigné. Piano coopérera pleinement à tout contrôle de ses installations et de ses documents prévu au présent paragraphe. Piano est et restera en conformité avec les normes de sécurité PCI DSS, telles qu’elles peuvent être modifiées de temps à autre. Piano est responsable de la sécurité de toutes les données obtenues, stockées, consultées ou auxquelles il a accédé dans le cadre du présent DPA, qu’elles soient fournies par le Client ou par ses clients. Piano conservera des registres attestant de sa conformité PCI et les fournira au Client sur demande. Piano contactera immédiatement le Client en cas de violation de la sécurité ou de menace grave concernant les Données du Client et coopérera pleinement avec le Client dans le cadre des enquêtes et des poursuites relatives à toute violation de la sécurité.

24. Reprise après sinistre. Les parties conviennent que Piano a préalablement fourni au Client une copie de son plan écrit de prévention et de reprise après sinistre (le « Plan de prévention et de reprise après sinistre ») et que Piano a mis en œuvre et maintient ce plan. Le Plan de prévention et de reprise après sinistre de Piano fera l’objet d’un examen approfondi tous les trimestres et sera mis à jour pendant la Durée du contrat, en s’appuyant sur les normes de l’American Institute of Certified Public Accountants (AICPA) à titre de référence. Piano informera le Client de la réalisation de tout audit de ce type et mettra le rapport d’audit à la disposition du Client ou de la personne qu’il désignera pour examen. Le Plan de prévention et de reprise après sinistre de Piano doit contenir des procédures destinées à protéger les Données du Client et à garantir la disponibilité des Services, pendant toute la Durée du Contrat. Ce Plan de prévention et de reprise après sinistre doit inclure, sans s’y limiter, les éléments suivants : (a) Protection contre les incendies. Piano déclare que le système de protection contre les incendies sur le(s) site(s) de Piano est composé d’équipements de type et de qualité appropriés, nécessaires pour assurer une protection efficace contre les incendies, qu’il est régulièrement révisé et mis à jour, et qu’il comprend actuellement des détecteurs de fumée (avec avertisseurs à distance et indicateurs de zone), des systèmes d’extinction automatique par gicleurs et d’un système au halon à deux circuits dans toutes les salles informatiques. Piano déclare en outre que chaque pièce des sites de Piano dispose de sa propre réserve de halon et que toutes les salles informatiques des sites de Piano sont équipées d’un deuxième système au halon à des fins de secours. Piano déclare que des dispositifs de détection d’eau et des canalisations d’évacuation sont installés sous toutes les zones de plancher surélevé.(b) Alimentation électrique. Piano doit maintenir plusieurs niveaux d’alimentation de secours conçus pour assurer le fonctionnement ininterrompu de ses équipements en cas de coupure de courant. Piano doit disposer de plusieurs alimentations vers ses sites provenant de différentes sous-stations de la compagnie d’électricité locale qui fournit l’alimentation principale à ces sites. Piano doit disposer de deux (2) niveaux de systèmes d’alimentation électrique ininterrompue afin d’assurer une transition en douceur vers l’utilisation de ses sources d’énergie de secours (par exemple, des générateurs diesel) en cas de coupure prolongée du réseau électrique. © Équipements/Climatisation. Piano doit disposer de plusieurs niveaux de protection contre la perte de refroidissement, y compris un système de secours primaire qui doit fournir une capacité de refroidissement de secours adéquate, et un système de secours secondaire, qui doit être capable d’assurer un refroidissement continu pendant une coupure de courant afin de maintenir l’équipement à tout moment dans les limites de tolérance spécifiées par le fabricant concerné. (d) Matériel informatique. Piano s’engage à ce que le ou les sites de Piano disposent des équipements de secours appropriés, capables d’assurer la continuité des opérations en cas de défaillance matérielle sur le ou les sites de Piano. En outre, Piano s’engage à disposer, sur le ou les sites Piano, de procédures de reprise d’activité détaillées et consignées par écrit, que son personnel connaît bien et qui permettent à celui-ci de basculer rapidement vers le matériel de secours. (e) Modifications matérielles et logicielles. Piano mettra en place un processus rigoureux de contrôle des modifications, que son personnel connaît bien et qui s’applique aussi bien aux modifications matérielles qu’aux modifications logicielles. (f) Tests. Piano s’engage à ce que ses tests de reprise après sinistre soient effectués sur le(s) site(s) de Piano deux fois par an. Ces tests porteront notamment, sans s’y limiter, sur le matériel, l’installation et le fonctionnement de tous les systèmes, le traitement des données et la génération de rapports, ainsi que sur les installations de télécommunications.(g) Procédures de reprise d’activité. Piano mettra en place des procédures de reprise d’activité appropriées et des outils de reprise automatisés pour un centre d’appels.(h) Archivage des données hors site. Piano stockera quotidiennement une copie à jour des données et des fichiers système sur des supports magnétiques, dans des coffres-forts résistants aux dommages et ignifugés, situés dans un site hors site. Le site hors site doit être surveillé vingt-quatre (24) heures sur vingt-quatre, sept (7) jours sur sept. Piano doit également disposer d’un système de gestion des bandes, manuel ou autre, qui contrôle le processus quotidien de sauvegarde des fichiers. (i) Interruptions d’exploitation. En cas d’interruption imprévue ou non programmée des opérations ou de l’accessibilité au(x) site(s) de Piano, Piano mettra en œuvre tous les efforts commercialement raisonnables pour rétablir le service au Client aussi rapidement que possible. Piano informera le Client au moins dix (10) minutes avant toute interruption imprévue. Piano informera le Client au plus tard dans les deux (2) minutes suivant la survenue de toute interruption imprévue. (j) Délais de rétablissement. Les délais de rétablissement du service du Client varieront en fonction de la nature et de l’ampleur de l’incident, de la disponibilité des équipements de remplacement pour une livraison directe et de la rapidité avec laquelle des circuits de télécommunication alternatifs pourront être mis à disposition. Piano mettra en œuvre tous les efforts commercialement raisonnables collaborer avec les opérateurs de télécommunications et les fournisseurs d’équipements afin de rétablir le service dans les meilleurs délais. (k) Maintien des mesures de sécurité. Outre les exigences spécifiquement énoncées dans le présent accord de traitement des données (DPA), Piano s’engage à maintenir, pendant toute la durée du contrat, des mesures de sécurité contre la destruction, la perte ou l’altération des données du client, dont le niveau de rigueur ne sera pas inférieur à celui en vigueur sur d’autres sites de fournisseurs similaires à la date d’entrée en vigueur du présent DPA.

25. Analyse d’impact relative à la protection des données. Chaque Partie reste seule responsable de la réalisation d’une analyse d’impact relative à la protection des données conformément à l’article 35 du RGPD et de la consultation préalable prévue à l’article 36 du RGPD en ce qui concerne les finalités. Néanmoins, si l’une des Parties réalise une telle analyse d’impact relative à la protection des données en rapport avec le présent DPA, l’autre Partie s’engage à lui apporter une aide raisonnable en lui fournissant une assistance ou des informations appropriées. En toute bonne foi, Piano peut fournir au Client sa propre analyse d’impact relative à la protection des données concernant les Finalités, sur la base des informations disponibles avant la conclusion du présent DPA, afin d’aider le Client à réaliser sa propre analyse d’impact relative à la protection des données.

26. Utilisation acceptable. Piano doit disposer d’une politique d’utilisation acceptable pour le Client. Cette politique doit notamment interdire aux employés et agents de Piano l’utilisation d’applications non professionnelles susceptibles d’affecter les performances du réseau et/ou des outils, et stipuler qu’en aucun cas des applications ou utilisations de type « peer-to-peer » ne sont autorisées sur le réseau. Les politiques d’utilisation acceptable de Piano sont soumises à l’examen et à l’approbation du Client. La politique d’utilisation acceptable doit comporter des contrôles d’accès adéquats, raisonnables et au moins conformes aux normes du secteur.

27. Responsabilité. Conformément à l’article 82 du RGPD, Piano ne sera responsable des dommages causés par le traitement que s’il n’a pas respecté les obligations du RGPD s’appliquant spécifiquement aux Sous-traitants ou s’il a agi en dehors ou à l’encontre des instructions légitimes du Client. Piano est exonérée de toute responsabilité si elle prouve qu’elle n’est en aucune manière responsable de l’événement à l’origine du préjudice.

28. Lorsque le Client est domicilié au Royaume-Uni (« RU »), toute référence au RGPD doit être interprétée comme une référence à la législation britannique équivalente au RGPD ou qui met en œuvre le RGPD, sans que cela n’affecte la validité et l’efficacité du présent DPA. Les Parties souhaitent interpréter le présent DPA conformément à la législation britannique applicable. Le Client est tenu d’informer Piano de toute exigence découlant de la législation britannique allant au-delà des exigences découlant du RGPD. La présente section 22 ne s’applique pas lorsque le Client n’est pas domicilié au Royaume-Uni.

29. Analyse des services. Dans le cadre des Services et du traitement prévu des Données à caractère personnel, Piano peut (i) compiler des informations statistiques et autres relatives aux performances, au fonctionnement et à l’utilisation des Services, et (ii) utiliser les Données du Client issues de l’environnement des Services sous forme agrégée à des fins de sécurité et de gestion des opérations, pour réaliser des analyses statistiques, ainsi qu’à des fins de recherche et de développement (les clauses (i) et (ii) sont collectivement désignées sous le nom d’« Analyses des Services »). Piano peut rendre publiques les Analyses des services ; toutefois, les Analyses des services qui en résultent n’incluront pas de Données client ni d’Informations confidentielles sous une forme susceptible d’identifier ou de permettre l’identification du Client ou de toute personne concernée. Piano conservera tous les droits de propriété intellectuelle sur lesdites Analyses des services en tant qu’informations confidentielles lui appartenant.

30. Délégué à la protection des données. Piano a nommé Louis-Marie Guerif (privacy@piano.io) au poste de délégué à la protection des données.
    ANNEXE A (3)
    ACCORD DE TRAITEMENT DES DONNÉES POUR PIANO ANALYTICS
    Préambule
    Le présent accord de traitement des données (DPA) s’applique au traitement des données à caractère personnel effectué par le Client et Piano, exclusivement dans le cadre de Piano Analytics. Le présent DPA a pour objectif de définir les obligations de chaque partie afin de garantir le respect de la législation en vigueur en matière de traitement des données à caractère personnel et de protection de la vie privée. Il n’inclut pas les dispositions commerciales également convenues entre les parties dans des contrats commerciaux distincts. Le présent accord de traitement des données s’applique uniquement à Piano Analytics. Tout autre produit acheté par le Client fera l’objet d’un accord de traitement des données distinct.
    Article 1. Définitions
    Aux fins du présent accord, les termes « données à caractère personnel », « traitement », « limitation du traitement », « fichier », « Responsable du traitement », « Sous-traitant », « destinataire », « tiers », « consentement », « violation de données à caractère personnel » et « autorité de contrôle » ont la même signification que dans le règlement (UE) 2016⁄679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après « RGPD »).
    « Personnel autorisé » désigne toute personne physique autorisée par le Responsable du traitement à accéder à la Solution et à laquelle le Responsable du traitement (ou, le cas échéant, le Sous-traitant, à la demande du Responsable du traitement) a accordé des droits d’accès. Le personnel autorisé peut inclure, par exemple, les salariés, les consultants, les travailleurs indépendants et les mandataires du Responsable du traitement, ainsi que les tiers entretenant des relations commerciales avec ce dernier.
    Le terme « Responsable du traitement » désigne le Client.
    Le terme « Solution » désigne le service de mesure et d’analyse du trafic des sites web et autres supports multimédias liés. Ce service repose sur une Solution technique de type SaaS (Software as a Service) que le Prestataire a mise au point et dont il assure l’exploitation, la maintenance et la mise à disposition par des liens télécoms. La Solution peut, le cas échéant, comprendre des fonctionnalités complémentaires de personnalisation, de traitement automatisé ou d’analyse avancée, susceptibles de reposer sur des technologies d’intelligence artificielle. Toute utilisation de l’intelligence artificielle sera réalisée dans le respect des stipulations du présent accord, des obligations légales et réglementaires applicables, et conformément à notre politique d’utilisation de l’Intelligence Artificielle.

« Données » désigne l’ensemble des données définies ci-dessous :
• « Données brutes disponibles » désigne une partie des données brutes accessibles en temps réel afin de permettre au Responsable du traitement de vérifier la mise en œuvre et le marquage.
• « Données traitées » : il s’agit de l’ensemble des données auxquelles le Responsable du traitement a accès via l’interface web sécurisée, par API ou dans les fichiers exportés (dans tous leurs formats : Excel, CSV, Word, etc.), après leur restructuration et leur enrichissement par le Sous-traitant (géolocalisation, détection des appareils, exclusion des robots, etc.).
• « Données brutes » désigne l’ensemble des données collectées, avant leur enrichissement par le Sous-traitant. Elles comprennent le hit [4] et l’en-tête HTTP contenant l’adresse IP, l’agent utilisateur, l’identifiant de l’appareil (identifiant de cookie, identifiant mobile, etc.) et l’URL de la page à l’origine du hit (mode web). Ces données ne sont pas accessibles au Responsable du traitement.
Article 2. Respect des principes européens
Chaque partie s’engage à se conformer à la législation applicable en matière de données à caractère personnel et de respect de la vie privée, notamment au règlement (UE) 2016⁄679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, ainsi qu’à la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive «vie privée et communications électroniques»).
Article 3. Objet
Le présent accord a pour objet de définir les conditions dans lesquelles le Sous-traitant s’engage, pour le compte du Responsable du traitement, à traiter les données à caractère personnel définies ci-dessous afin de fournir une solution d’analyse numérique.
Article 4. Respect des instructions
Le Sous-traitant s’engage à traiter les données conformément aux instructions du Responsable du traitement, telles que définies dans le présent accord.
Le Responsable du traitement bénéficie d’une solution SaaS d’analyse numérique développée par le Sous-traitant pour l’ensemble de ses clients. Toute instruction particulière propre au Responsable du traitement sera donc soumise à l’accord préalable du Sous-traitant, et ce dernier se réserve le droit d’accepter ou de refuser de suivre ladite instruction en fonction des ressources nécessaires à sa mise en œuvre, de leurs coûts et/ou de la faisabilité de son intégration dans la plateforme technique de la solution. Les instructions spécifiques ne seront mises en œuvre qu’après la signature d’un accord écrit entre le Responsable du traitement et le Sous-traitant, qui précisera, le cas échéant, les frais correspondants à la charge du Responsable du traitement.
Si le Sous-traitant estime qu’une instruction communiquée par le Responsable du traitement ou que l’utilisation de la Solution par tout membre du Personnel autorisé constitue une violation de la réglementation en vigueur, il en informe immédiatement le Responsable du traitement.
Article 5. Licéité du traitement
Le Responsable du traitement est seul garant de la licéité du traitement effectué par le Sous-traitant. À cet égard, le Responsable du traitement s’engage, d’une part, à informer les utilisateurs de ses Sites Web et mobiles ainsi que de ses applications mobiles de l’existence du service d’analyse numérique ; et, d’autre part, à recueillir valablement le consentement des personnes concernées, lorsque celui-ci est requis, et à les informer de leur droit de retirer leur consentement à tout moment. Le Responsable du traitement s’engage à recueillir et à conserver les preuves relatives au consentement obtenu afin de justifier de son obtention.
Lorsque le Responsable du traitement utilise des cookies tiers de Piano/AT Internet, le Sous-traitant s’engage à fournir au Responsable du traitement les moyens techniques permettant aux personnes concernées de s’opposer à la collecte et au traitement de leurs données à caractère personnel (option de désactivation), étant entendu que la mise à disposition d’une telle solution technique aux personnes concernées relève de la responsabilité du Responsable du traitement.
Lorsque le Responsable du traitement utilise un cookie propriétaire dans le cadre de la solution d’analyse numérique, il s’engage à mettre à la disposition des personnes concernées son propre système de désactivation.
Article 6. Description du traitement devant faire l’objet d’une sous-traitance
6.1 Portée du traitement
Dans le cadre de la fourniture d’une solution SaaS d’analyse numérique au Responsable du traitement, le Sous-traitant collecte et traite des données sur la base du balisage effectué par le Responsable du traitement afin de mesurer l’audience de ses sites Internet, intranet et mobiles, ainsi que de ses applications mobiles ; le Responsable du traitement peut également mesurer l’audience de sites et d’applications mobiles tiers, si cela est dûment autorisé par le propriétaire du site tiers et/ou de l’application tierce (le Responsable du traitement devra fournir la preuve de cette autorisation à la première demande du Sous-traitant).
6.2 Finalité du traitement
La solution conçue par le Sous-traitant a pour objectif de générer des données et des analyses relatives aux statistiques d’audience et à l’intelligence numérique, et de les mettre à disposition via ladite solution (interface web accessible au Responsable du traitement, exportations de données, API, etc.)
Outre la finalité principale exposée ci-dessus, le Responsable du traitement peut souhaiter utiliser la solution d’analyse numérique à d’autres fins accessoires, notamment liées à son secteur d’activité et/ou aux objectifs stratégiques numériques qu’il poursuit.
Par ailleurs, l’accès aux données brutes disponibles n’est autorisé que dans le but de permettre au Responsable du traitement de vérifier la mise en œuvre et le balisage.
6.3 Durée du traitement
Nonobstant la durée de conservation des données définie à l’article 11 du DPAt, la collecte et le traitement des données à caractère personnel se poursuivront pendant toute la durée de la relation commerciale entre les parties.
6.4 Personnes concernées
Les données à caractère personnel concernent les catégories suivantes de personnes concernées :
• Le personnel habilité du contrôleur.
• Les utilisateurs de sites Web, de sites mobiles et d’applications mobiles faisant l’objet d’un audit à l’aide de la solution d’analyse numérique du Sous-traitant.
6.5Type de données à caractère personnel
Les données à caractère personnel relèvent de l’une des catégories suivantes :
• Personnel habilité du Responsable du traitement : nom, prénom, fonction, adresse e-mail professionnelle, numéro de téléphone professionnel, photo, identifiant/mot de passe (haché) pour se connecter à la solution.
• Utilisateurs de sites Web, de sites mobiles et d’applications mobiles :
o données collectées par le Marqueur afin de répondre à l’objectif principal :
• Adresse IP du visiteur du site web ou mobile faisant l’objet de l’audit.
• ID de cookie : identifiant généré par le cookie Piano/AT Internet lorsqu’il est activé dans le navigateur Web utilisé par le visiteur du site Web audité.
• Identifiant mobile.
• Toutes les données de navigation liées à ces identifiants.
• Données créées par le Sous-traitant pour atteindre l’objectif principal :
o l’identifiant du visiteur.
o Toutes les données d’analyse numérique restructurées par le Sous-traitant et liées à cet identifiant.
• Toute donnée collectée par le tag à des fins accessoires du Responsable du traitement (collectée non pas de manière systématique, mais en fonction de la mise en œuvre de la solution par le Responsable du traitement) :
o coordonnées GPS du visiteur du site ou de l’application mobile audités ;
o identifiant utilisateur, permettant d’identifier un utilisateur identifié (utilisateur connecté) ;
o L’identifiant de transaction, un identifiant permettant d’identifier une commande lors de l’utilisation du module de commerce électronique ;
o L’identifiant du destinataire d’un e-mail.
o D’autres données à caractère personnel collectées via la mise en œuvre particulière de la solution par le Responsable du traitement.
o Toutes les données d’analyse numérique associées à un tel identifiant ou à ces données à caractère personnel.
• Toute donnée importée dans la solution par le Responsable du traitement à des fins accessoires à celles de ce dernier :
o toute donnée à caractère personnel détenue par le Responsable du traitement et qu’il importe dans la solution d’analyse numérique, ainsi que toute donnée d’analyse numérique associée à cette donnée à caractère personnel.
6.6Nature du traitement
Personnel autorisé du Responsable de traitement :

Les traitements portant sur les données à caractère personnel du Personnel autorisé du Responsable de traitement sont nécessaires à l’exécution du Contrat de mise à disposition d’une Solution de digital analytics en mode SaaS : ces données sont collectées et utilisées par le Sous-traitant pour assurer la mise en œuvre de la relation contractuelle (accès, sécurisation des interfaces web sécurisées de la Solution, communication, suivi de projet, facturation, etc.).
En outre, le Sous-traitant monitore l’utilisation de la Solution par le personnel autorisé du Responsable de traitement, dans l’objectif d’amélioration des services et afin de conseiller au mieux le Responsable de traitement dans l’utilisation de la Solution.
Ces données sont conservées pour toute la durée de la relation commerciale augmentée d’un (1) mois ou conformément aux délais légaux le cas échéant.
Solution d’analyse numérique :

Types de données collectées par défaut par le marqueur AT Internet et nécessaires pour la réalisation de la finalité principale.
Adresse IP Oui + option d’anonymisation disponible à la demande du Responsable de traitement (suppression du dernier octet) + anonymisation obligation en exemption NON
Non
Cookie ID Oui (fonction de la plateforme visitée) Visitor ID
Mobile ID Oui (fonction de la plateforme visitée)
Toutes les données analytics se rapportant aux identifiants ci-dessus Oui Oui (enrichies)
Types de données qui peuvent être collectées par le marqueur AT Internet à l’initiative du Responsable de traitement et pour la réalisation de ses propres finalités accessoires.*
GPS oui (si utilisation SDK et implémentation de la collecte par le Responsable de traitement)
troncature à une décimale Oui (si collectée)
User ID Oui (si implémentation de la collecte par le Responsable de traitement) Oui (si collectée)
Transaction ID Oui (si implémentation de la collecte par le Responsable de traitement) Oui (si collectée)
Emailing-recipient ID Oui (si implémentation de la collecte par le Responsable de traitement) Oui (si collectée)
Autre donnée à caractère personnel Oui (si implémentation de la collecte par le Responsable de traitement)
Oui (si collectée)

Le Responsable du traitement, dans le cadre de la fourniture de la solution SaaS d’analyse numérique, met en œuvre le traitement de la manière suivante :

1. Le Responsable du traitement définit les sites, les applications et les appareils connectés pour lesquels il souhaite mettre en œuvre la solution, ainsi que les objectifs qu’il compte atteindre grâce à la solution d’analyse numérique du Sous-traitant. Il désigne un ou plusieurs administrateurs parmi son personnel habilité.

2. Le Sous-traitant informe le ou les administrateurs désignés de leurs droits d’accès et met à leur disposition le tag Internet Piano/AT via son interface Web sécurisée.

3. Le Responsable du traitement, qu’il s’agisse de l’administrateur désigné ou de toute autre personne mandatée par celui-ci et à laquelle il a accordé les droits d’accès correspondants, installe le tag AT Internet sur les pages de ses sites Web et mobiles ainsi que sur ses applications mobiles.

4. En fonction de la technologie choisie, et sous réserve du consentement de l’utilisateur ou dans les cas où aucun consentement n’est requis, un identifiant de suivi (identifiant de cookie, identifiant mobile, etc.) est utilisé pendant la visite de l’utilisateur dans le périmètre audité.

5. Afin de déterminer si un même utilisateur a effectué plusieurs visites, le Sous-traitant utilise l’adresse IP du visiteur et/ou l’identifiant du cookie et/ou l’identifiant mobile pour générer automatiquement un identifiant numérique, l’identifiant de visiteur. Cet identifiant ne permettra en aucun cas d’identifier l’utilisateur par son nom. Il n’est pas non plus réversible : une fois déterminé, le Sous-traitant ne peut pas remonter jusqu’à l’adresse IP, l’identifiant de cookie ou l’identifiant mobile d’où il provient.

6. Les Marqueurs mises en place par le Responsable du traitement déclenchent automatiquement l’envoi des données brutes vers les serveurs de collecte du Sous-traitant. Le Responsable du traitement n’y a pas accès. Outre divers éléments de données relatifs aux connexions, les données brutes contiennent également des données à caractère personnel concernant les utilisateurs des périmètres audités. Toutefois, le Responsable du traitement peut avoir accès aux données brutes disponibles.

7. Le Sous-traitant effectue un premier traitement des données brutes afin de les mettre sous une forme exploitable par une base de données. Les données traitées résultent de cette conversion. Le Responsable du traitement peut, s’il le souhaite et aux fins qui lui sont propres, enrichir les données traitées à l’aide d’autres fichiers en sa possession. Outre les données collectées à des fins accessoires telles qu’énumérées ci-dessus, le Responsable du traitement dispose des moyens techniques nécessaires pour mettre en place un Marqueurs Piano/AT Internet afin de collecter d’autres données à caractère personnel, telles que les données issues des formulaires remplis par l’utilisateur du site web ou de l’application auditée. Les données ainsi collectées feront donc partie des « données brutes » et pourront également figurer dans les « données traitées » et être ainsi accessibles depuis la solution.

8. Le Sous-traitant permet de récupérer les analyses et les données d’audience via la solution accessible uniquement au personnel autorisé du Responsable du traitement. C’est de cette manière que le Responsable du traitement accède aux données traitées. Les données ne sont transférées à aucun tiers, sauf si le Responsable du traitement en fait la demande expresse et écrite au préalable, par exemple si des partenariats technologiques sont proposés dans le cadre de la solution et sont adoptés par le Responsable du traitement.
   Article 7. Obligation d’information
   Le Responsable du traitement s’engage à informer les visiteurs des sites et applications faisant l’objet d’un audit du traitement des données et des droits qui en découlent, de manière concise, transparente, compréhensible et facilement accessible, conformément aux conditions énoncées aux articles 13 et 14 du RGPD.
   Le Sous-traitant s’engage à coopérer avec le Responsable de traitement afin de l’aider à satisfaire à son obligation relative à l’information des personnes concernées et à répondre aux demandes d’information de la part du Responsable de traitement dans les plus brefs délais.
   Article 8. Limitation des finalités
   Les traitements mis en œuvre par le Sous-traitant ont pour finalité principale la mise à disposition d’une Solution de digital analytics en mode SaaS au Responsable de traitement lui permettant de mesurer l’audience de ses sites internet, mobiles et de ses applications mobiles. La Solution recueille des données statistiques d’audience sur les médias numériques qui sont ensuite reproduites sur une interface web sécurisée. Ces données permettent au Responsable de traitement d’améliorer notamment l’ergonomie de ses supports numériques, de son offre ainsi que la qualité de ses produits et services.
   Le Responsable de traitement reste techniquement en mesure d’utiliser la Solution pour des finalités accessoires qui lui sont propres. Dans ce cas, le Sous-traitant ne saurait être tenu responsable de toute utilisation de la Solution et des données par le Responsable de traitement dans la poursuite de finalités autres que l’analyse statistique de l’audience de ses sites, et notamment en cas de collecte de données à caractère personnel non indispensables, en cas d’import de données à caractère personnel dans la Solution et en cas de croisement des données issues de la Solution avec des données ou systèmes propres au Responsable de traitement. Ainsi, si le Responsable de traitement va au-delà de la finalité principale, il sera seul responsable envers tout tiers ou toute autorité de contrôle.
   Le Sous-traitant s’interdit toute utilisation des Données autre que celle strictement nécessaire à la fourniture de la Solution au Responsable de traitement.

Article 9. Réduction au minimum des données
Le Responsable de traitement, via l’implémentation des marqueurs sur les sites et applications qu’il souhaite auditer ou via import de données dans la Solution, a l’intégrale maîtrise technique du périmètre des Données.
Les données à caractère personnel collectées pour atteinte de la finalité principale (cf la première partie du tableau inséré à l’article 6.6) sont les seules données strictement nécessaires à la fourniture de la Solution de digital analytics et dont la collecte est pertinente et appropriée au regard de la finalité principale du traitement
En complément, le Responsable de traitement a la possibilité technique de collecter ou d’importer des données, et notamment des données à caractère personnel, dans la Solution de digital analytics pour la poursuite de finalités accessoires qui lui sont propres. Le Sous-traitant décline toute responsabilité quant à une telle collecte ou de tels imports, et informe le Responsable de traitement que les mesures techniques et organisationnelles assurant la sécurité, la confidentialité et l’intégralité des données collectées et ou importées pour les finalités accessoires du Responsable de traitement seront identiques à celles mises en œuvre pour les finalités principales.
En tout état de cause, le Responsable de traitement s’interdit de collecter ou d’importer des données dites sensibles (article 9 du RGPD, catégories particulières de données à caractère personnel) ou des données relatives aux condamnations pénales et aux infractions (article 10 du RGPD).
Article 10. Exactitude des données
Le Responsable du traitement s’engage à prendre toutes les mesures raisonnables pour veiller à ce que les données à caractère personnel inexactes soient rectifiées ou effacées. Le Sous-traitant s’engage à coopérer avec le Responsable du traitement et à traiter les demandes de rectification ou d’effacement formulées par le Responsable du traitement et/ou par les utilisateurs de ses sites Web et mobiles ainsi que de ses applications mobiles.
Article 11. Limite de conservation
11.1 Conservation des données pendant la durée du contrat
Durée standard
Les données brutes et traitées sont conservées par le Sous-traitant pendant vingt-cinq (25) mois à compter de leur collecte.
Fidélisation sur mesure
Le Responsable du traitement reste libre de fixer une autre durée de conservation, à condition que celle-ci soit inférieure à vingt-cinq (25) mois. L’administrateur du Responsable du traitement doit adresser une demande écrite au Centre d’assistance du Sous-traitant afin de permettre à ce dernier d’adapter la durée de conservation des données brutes et des données traitées.
Toute durée de stockage supérieure à la période standard doit faire l’objet d’un accord spécifique (option payante)
11.2 Purge à l’expiration du contrat commercial
Le Sous-traitant s’engage à détruire les données du Responsable du traitement et à n’en conserver aucune copie au-delà d’un délai d’un (1) mois à compter de la fin de la relation commerciale entre le Responsable du traitement et le Sous-traitant, en l’absence de litige avec le Responsable du traitement. Le Responsable du traitement reste par ailleurs libre de demander la destruction immédiate de toutes les données dès la fin de la relation commerciale.
Article 12. Exercice des droits par les personnes concernées
Il est entendu que les personnes concernées sont libres d’exercer les droits que le traitement leur confère à l’égard du Responsable du traitement. Les parties s’engagent à coopérer entre elles afin de traiter toutes les demandes avec rapidité et efficacité, et d’être en mesure de répondre à la personne concernée dans le délai légal d’un (1) mois à compter de la date de réception de la demande.
Lorsque la demande est adressée au Responsable du traitement, si celui-ci ne peut donner suite à la demande sans l’aide du Sous-traitant, il s’engage à contacter la personne de référence du Sous-traitant dans les plus brefs délais et au plus tard dans les cinq (5) jours ouvrés suivant la réception de la demande, par e-mail à l’adresse privacy@piano.io ou au Centre d’assistance du Sous-traitant. Le Responsable du traitement fournira au Sous-traitant tous les éléments nécessaires à la compréhension et à l’examen de la demande. Le Sous-traitant fournira au Responsable du traitement les informations requises dans un délai lui permettant de répondre à la personne concernée dans le délai légal d’un (1) mois. Si le Sous-traitant n’est pas en mesure de fournir au Responsable du traitement les informations requises dans les délais impartis, et/ou s’il s’avère impossible de fournir ces informations, le Sous-traitant informera le Responsable du traitement qu’il a besoin d’un délai supplémentaire, ou qu’il n’est pas possible de donner suite à la demande de la personne concernée.
Lorsque la demande est adressée au Sous-traitant et concerne uniquement le traitement effectué pour le compte du Responsable du traitement, le Sous-traitant s’engage à informer le Responsable du traitement par écrit de cette demande dans les plus brefs délais et au plus tard dans les cinq (5) jours ouvrables suivant sa réception. Le Sous-traitant fournit au Responsable du traitement les informations requises dans un délai lui permettant de répondre à la personne concernée dans le délai légal d’un (1) mois. Si le Sous-traitant n’est pas en mesure de fournir au Responsable du traitement les informations requises dans les délais impartis, et/ou s’il s’avère impossible de fournir ces informations, le Sous-traitant informera le Responsable du traitement qu’il a besoin d’un délai supplémentaire, ou qu’il n’est pas possible de donner suite à la demande de la personne concernée.
Article 13. Intégrité, confidentialité et sécurité des données
Le Sous-traitant s’engage à garantir la sécurité des données à caractère personnel et, plus généralement, celle des données du Responsable du traitement, ainsi qu’à en préserver l’intégrité et la confidentialité. À cet égard, il s’engage à concevoir et à mettre en œuvre toutes les mesures techniques et organisationnelles appropriées pour assurer la sécurité des données et les protéger contre toute destruction accidentelle ou illicite, perte accidentelle, altération, diffusion ou accès non autorisé.
Les mesures techniques et organisationnelles doivent au minimum inclure :

• Désigner un délégué à la protection des données, sensibiliser son personnel à la confidentialité des données à caractère personnel et lui imposer une obligation stricte de confidentialité ;

• Disposer d’une politique de sécurité informatique et la mettre à jour régulièrement ;

• Disposer d’un plan de reprise après sinistre afin d’assurer la continuité du service en cas d’incident ;

• Réaliser régulièrement des tests d’intrusion et, si une faille ou une vulnérabilité est détectée, mettre rapidement en œuvre les mesures correctives nécessaires.
  Le Sous-traitant s’engage à limiter l’accès aux données à caractère personnel aux seuls membres du personnel qui ont besoin d’en prendre connaissance, et il rappelle que le Responsable du traitement est seul responsable de la gestion des droits d’accès à la solution.
  Le Responsable du traitement se réserve le droit de procéder à un audit annuel de la solution afin de vérifier que les mesures techniques et organisationnelles mises en œuvre par le Sous-traitant sont adéquates. Ce droit est subordonné à la condition qu’il notifie, dans un délai raisonnable (au moins 10 jours ouvrables à l’avance), son intention de procéder à un tel audit pendant les heures de travail du Sous-traitant. Le Responsable du traitement prend en charge le coût de l’audit et le Sous-traitant lui facturera toutes les ressources, humaines ou matérielles, auxquelles le Responsable du traitement aura fait appel pendant l’audit. Les deux Parties sont soumises à une obligation de confidentialité quant aux résultats de ces audits.
  Article 14. Protection des données dès la conception et par défaut
  Le Sous-traitant s’engage à protéger les données à caractère personnel par défaut dès la conception du traitement et le développement des fonctionnalités de la solution. Les mesures mises en œuvre à cette fin comprennent notamment la désignation d’un délégué à la protection des données doté des compétences techniques requises, la sensibilisation des collaborateurs à la protection des données et l’imposition à ces derniers d’une obligation stricte de confidentialité.
  Article 15. Sous-traitance
  Le Sous-traitant déclare que, avec l’accord du Responsable du traitement, la filiale du Sous-traitant située en France (Applied Technologies Internet SAS, immatriculée au Registre du commerce et des sociétés de Bordeaux sous le numéro 403 261 258, dont le siège social est situé au 85 avenue J. F. Kennedy, 33700 Mérignac, France) se voit confier, avec l’accord du Responsable du traitement, le développement, la mise à disposition et la maintenance de la solution, ainsi que les services d’assistance à la clientèle et le soutien administratif (tels que les services de marketing et de gestion des ventes).
  Pour fournir les services énumérés ci-dessus, la société Applied Technologies Internet SAS (ci-après dénommée « Sous-traitant »), filiale du Sous-traitant, fait appel aux prestataires (ci-après dénommés « prestataires ») répertoriés via le lien suivant : https://www.piano.io/legal/privacy-policy#piano-sub-processors.
  En signant le devis faisant référence au présent accord de traitement des données, le Responsable du traitement reconnaît avoir lu et accepté ladite liste.
  En toutes circonstances, le Sous-traitant reste seul responsable envers le Responsable du traitement de toutes les obligations découlant du présent accord. Il incombe au Sous-traitant initial de s’assurer que le Sous-traitant secondaire offre des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles permettant de garantir que le traitement est conforme aux exigences du RGPD. Si le sous-Sous-traitant ne remplit pas ses obligations en matière de protection des données, le Sous-traitant initial reste pleinement responsable vis-à-vis du Responsable du traitement de l’exécution par le sous-Sous-traitant de ses obligations.
  Le Sous-traitant est libre de modifier la liste des Sous-traitants secondaires. Il doit toutefois informer au préalable le Responsable du traitement de toute modification prévue impliquant l’ajout ou le remplacement de Sous-traitants secondaires. Ces informations doivent indiquer clairement les activités de traitement sous-traitées ainsi que l’identité et les coordonnées du Sous-traitant. Le Responsable du traitement dispose de huit (8) jours calendaires à compter de la date de réception de ces informations pour faire valoir ses objections. La sous-traitance ne peut être finalisée que si le Responsable du traitement n’a formulé aucune objection pendant le délai convenu.
  Article 16. Transfert hors de l’Union européenne
  Les données d’audience du Responsable de traitement, soit celles relatives aux visiteurs des sites et applications audités par la Solution AT Internet, sont stockées en Union-Européenne. La Solution étant fournie en mode SaaS, les données d’audience restent cependant accessibles par tout Personnel autorisé du Responsable de traitement disposant des droits d’accès et d’une connexion internet, quelle que soit sa localisation.
  S’agissant des données relatives au Personnel autorisé du Responsable de traitement, le Sous-traitant est cependant autorisé par le Responsable de traitement à recourir à des moyens de traitement situés dans un pays tiers au sens du RGPD si le Sous-traitant respecte l’une des garanties suivantes :
  • la législation du pays tiers concerné offre un niveau de protection des données à caractère personnel adéquat et reconnu comme tel par une décision de la Commission Européenne ;
  • le Sous-traitant a conclu avec un Sous-traitant ultérieur extra-européen un contrat de transfert de données à caractère personnel conforme aux modèles de clauses-type élaborés par la Commission Européenne ;
  • le Sous-traitant ultérieur extra-européen du Sous-traitant a souscrit à un mécanisme de transfert autorisé de données à caractère personnel validé par les institutions de l’Union européenne ;
  • le Sous-traitant ultérieur extra-européen du Sous-traitant a adopté des « Binding Corporate Rules» validées par une autorité de protection des données personnelles européenne habilitée.

Article 17. Responsabilité
Conformément à l’article 82 du RGPD, Piano ne sera responsable des dommages causés par le traitement que s’il n’a pas respecté les obligations du RGPD spécifiquement imposées aux Sous-traitants ou s’il a agi en dehors ou à l’encontre des instructions légitimes du Client. Piano est exonéré de toute responsabilité s’il prouve qu’il n’est en aucune manière responsable de l’événement à l’origine du préjudice.
Article 18. Autorité de contrôle compétente
L’autorité de contrôle compétente en ce qui concerne les activités et les traitements effectués par le Sous-traitant est l’autorité chargée de la surveillance du Responsable du traitement.
Les parties s’engagent à coopérer avec l’autorité de contrôle compétente et à lui fournir sans délai toutes les informations dont elle a besoin pour mener à bien sa mission.
Article 19. Notification en cas de violation de données à caractère personnel
En cas de violation de données à caractère personnel, le Sous-traitant s’engage à en informer le Responsable du traitement sans retard injustifié dès qu’il en a connaissance. La notification doit respecter la forme et le contenu requis par le RGPD afin que le Responsable du traitement puisse signaler la violation à l’autorité de contrôle compétente.
Le Responsable du traitement est tenu d’informer les personnes concernées sans retard injustifié, par exemple en publiant un avis sur les sites web, les sites mobiles et les applications mobiles d’où proviennent les données compromises.
Article 20. Documentation et registre des traitements
Le Sous-traitant déclare tenir un registre des traitements effectués pour le compte du Responsable du traitement. Ce registre présente le contenu et la forme requis par le RGPD. Le Sous-traitant met également à la disposition du Responsable du traitement la documentation nécessaire pour démontrer le respect de l’ensemble de ses obligations et pour permettre au Responsable du traitement de réaliser des audits.
Article 21. Évaluation d’impact et consultation préalable
Le Sous-traitant s’engage à fournir toute l’assistance nécessaire au Responsable du traitement si celui-ci est tenu de réaliser une analyse d’impact concernant une opération de traitement couverte par le présent accord. Si cette analyse d’impact indique que le traitement présente un risque élevé pour les droits et libertés des personnes concernées, le Sous-traitant apporte également son aide au Responsable du traitement afin que celui-ci puisse répondre aux demandes d’informations formulées par l’autorité de contrôle compétente en cas de consultation préalable à la mise en œuvre de l’opération de traitement.
Article 22. Interlocuteur : délégué à la protection des données (DPD-DPO en anglais)
Le Sous-traitant s’engage à désigner un délégué à la protection des données (DPD) pour toute la durée de la relation contractuelle entre le Responsable du traitement et le Sous-traitant, et à communiquer ses coordonnées au Responsable du traitement.
Le Responsable du traitement s’engage à faire de même s’il remplit les critères énoncés dans le RGPD qui imposent la désignation d’un délégué à la protection des données (DPO). Dans le cas contraire, il communiquera les coordonnées de la personne chargée de traiter les questions relatives à la protection des données à caractère personnel et au respect de la vie privée.
Le Responsable du traitement désignera un interlocuteur chargé des questions relatives à la protection des données en adressant une notification au centre d’assistance du Sous-traitant. Si le Responsable du traitement n’a pas désigné d’interlocuteur spécifique, le ou les administrateurs du compte feront office d’interlocuteurs.
Les interlocuteurs mentionnés ci-dessus peuvent être contactés non seulement par l’autre partie, mais également directement par toute personne concernée, qui trouvera leurs coordonnées sur les sites Internet du Sous-traitant et du Responsable du traitement.
Piano a nommé Louis-Marie Guerif (privacy@piano.io) au poste de délégué à la protection des données.
Chaque partie s’engage à informer immédiatement l’autre partie de tout changement concernant la personne de contact désignée.
[1] Lorsque l’exportateur de données est un Sous-traitant soumis au règlement (UE) 2016/679 agissant pour le compte d’une institution ou d’un organe de l’Union en tant que Responsable du traitement, le recours aux présentes clauses lors du recours à un autre Sous-traitant (sous-traitance en cascade) non soumis au règlement (UE) 2016/679 garantit également le respect de l’article 29, paragraphe 4, du règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 mai 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et offices et agences de l’Union, ainsi que sur la libre circulation de ces données, et abrogeant le règlement (CE) n° 45/2001 et la décision n° 1247/2002/CE (JO L 295 du 21.11.2018, p. 39), dans la mesure où les présentes clauses et les obligations en matière de protection des données telles qu’énoncées dans le contrat ou tout autre acte juridique conclu entre le Responsable du traitement et le Sous-traitant conformément à l’article 29, paragraphe 3, du règlement (UE) 2018/1725 sont alignées. Ce sera notamment le cas lorsque le Responsable du traitement et le Sous-traitant se fondent sur les clauses contractuelles types figurant dans la décision 2021/915.
[2] L’accord sur l’Espace économique européen (accord EEE) prévoit l’extension du marché intérieur de l’Union européenne aux trois États membres de l’EEE que sont l’Islande, le Liechtenstein et la Norvège. La législation de l’Union en matière de protection des données, y compris le règlement (UE) 2016⁄679, relève de l’accord EEE et a été intégrée à son annexe XI. Par conséquent, toute communication par l’importateur de données à un tiers situé dans l’EEE ne constitue pas un transfert ultérieur au sens des présentes clauses.
[3] Cette exigence peut être satisfaite si le Sous-traitant adhère aux présentes clauses dans le cadre du module approprié, conformément à la clause 7.
[4] Le « hit » correspond à la requête HTTP (ou HTTPS, selon la configuration du contrôleur) adressée aux serveurs du processeur ; elle provient généralement du Marqueur JavaScript du SDK mobile fournie par le processeur et contient les données brutes de navigation de l’utilisateur.