La présente annexe fait partie intégrante des Conditions Générales de Vente auxquelles s’ajoute la Proposition Commerciale (ci-après, « CGV ») conclues entre les parties et a pour objet de définir les conditions dans lesquelles SOLUTIONS & TERRITOIRE, dans le cadre des services définis dans les « CGV », traite sur instruction de son Client, des données à caractère personnel telles que définies dans le RGPD (« Données à caractère personnel »).

Aux fins de la présente convention, SOLUTIONS & TERRITOIRE agit en tant que « sous-traitant » et son Client est présumé agir en tant que « responsable de traitement ». Les termes « sous-traitant » et « responsable de traitement » ont le sens qui leur est donné par le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (« RGPD »).

La finalité de la présente annexe conclue entre SOLUTIONS & TERRITOIRE et son Client conformément à l’article 28 du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (« Règlement Général sur la Protection des Données » ou « RGPD »), est de définir les conditions dans lesquelles SOLUTIONS & TERRITOIRE agit en qualité de sous- traitant et dans le cadre des Services définis dans le Contrat, traite, sur instruction du Client, des données à caractère personnel telles que définies dans le RGPD (« Données à caractère personnel »).

La présente Annexe a pour objet de définir les conditions dans lesquelles SOLUTIONS & TERRITOIRE, ci-après désignée « le Prestataire » s'engage à effectuer pour le compte du Client les opérations de traitement de données à caractère personnel définies au contrat, et assure leur protection et leur traitement conformément à la réglementation applicable mentionnée ci-dessous.

En cas de conflit ou d'ambiguïté entre les dispositions de la présente Annexe et celles du Contrat, les dispositions de la présente Annexe prévaudront.

3.1 - Le Prestataire est autorisé à traiter pour le compte du Client les données personnelles nécessaires pour l’exécution du contrat et la fourniture des services suivants :

 Détail des prestations

Le Prestataire ne peut traiter les données personnelles pour d'autres finalités que celles décrites dans le Contrat sans l'autorisation écrite préalable du Client.

3.2 - Le Client détermine sous sa responsabilité les finalités des traitements confiés au Prestataire, lesquelles sont les suivantes :

Les catégories de personnes concernées sont :

La durée des traitements mis en œuvre par le Prestataire pour le compte du Client correspond à la durée du Contrat entre le Prestataire et le Client.

4.1 - Le Prestataire s'engage à :

Dans ce cas, le Prestataire informera le Client de cette obligation juridique avant le traitement, sauf si le droit concerné interdit une telle information pour des motifs d'intérêt public :

4.2 - Le Prestataire est responsable de son personnel, salariés et sous-traitants, et du respect par ces derniers des obligations lui incombant en vertu de la présente Annexe. A cet égard, le personnel du Prestataire ne pourra accéder aux données personnelles, les utiliser, les modifier, sauf lorsque cela est strictement nécessaire aux fins de la fourniture des services tels que mentionnés au Contrat, de la prévention ou du traitement des problèmes techniques ou pour en assurer la sécurisation.

Le Sous-traitant met en place des mesures organisationnelles et techniques pour s'assurer du respect par son personnel de ses obligations notamment en termes de contrôle des personnes habilitées à accéder aux données, de sécurisation des accès et de traçabilité. Il en tient la description détaillée à la disposition du Client à première demande.

4.3 - Le Prestataire s'engage à ne transférer aucune Donnée Personnelle en dehors du territoire de l'Union européenne sans l'autorisation écrite et préalable du Client. Dans l'hypothèse où le Prestataire serait autorisé à transférer des données personnelles hors du territoire de l'Union européenne, il s'engage à ce que de tels transferts soient encadrés soit par l'adhésion à une décision d'adéquation de la Commission européenne, la conclusion de Clauses Contractuelles Types de la Commission européenne ou toutes autres garanties appropriées prévues par l'article 46 du RGPD. En tout état de

cause, aucun transfert de données personnelles hors du territoire de l'Union européenne ne doit diminuer d'une quelconque manière la protection accordée aux Personnes concernées du Client.

4.4 - Le Prestataire reconnaît qu'il doit être en mesure, en tout temps, à première demande et sans délai, pendant l'exécution des services, de rendre compte et de faire la preuve de l'ensemble des procédures et des dispositifs de protection des données personnelles, de minimisation de leur utilisation, et de conformité aux exigences légales susmentionnées.

4.5 - Le Prestataire met à la disposition du Client la documentation nécessaire pour démontrer le respect de toutes ses obligations dans le cadre de la présente Annexe et du RGPD.

Le Client fournit l’information aux personnes concernées par les opérations de traitements nécessaires à la fourniture des services par le Prestataire.

6.1 - Dans la mesure du possible, le sous-traitant doit aider le responsable de traitement à s’acquitter de son obligation de donner suite aux demandes d’exercice des droits des personnes concernées : droit d’accès, de rectification, d’effacement et d’opposition, droit à la limitation du traitement, droit à la portabilité des données, droit de ne pas faire l’objet d’une décision individuelle automatisée (y compris le profilage).

Lorsque les personnes concernées exercent auprès du sous-traitant des demandes d’exercice de leurs droits, le sous-traitant doit adresser ces demandes dès réception par courrier électronique au responsable de traitement de la collectivité.

6.2 - Sur demande écrite du client, le Prestataire s’engage à collaborer loyalement et à fournir une assistance raisonnable au Client dans le cadre de réalisation d'analyses d'impact relative à la protection des données personnelles.

6.3 - Le Prestataire s'engage à coopérer loyalement et sans délai avec le Client dans le cadre de consultation préalable des autorités de contrôle.

7.1 - Le Prestataire est autorisé à recourir à des sous-traitants ultérieurs pour réaliser des activités de traitements spécifiques ou pour l’assister dans la fourniture des Services.

Dans les conditions prévues à l’article 28 du RGPD, le Prestataire en informe le Client par e-mail 30 jours à l'avance voir modèle d’information sous-traitance ultérieure.

Le Client a le droit d’émettre des objections en cas de changement ou d’ajout de sous-traitant, les objections doivent être notifiées au Prestataire dans les 15 jours suivants envoi de la notification du changement de sous-traitant par Prestataire en précisant le motif de l’objection. Si à la suite d’une objection du Client, le Prestataire ne renonce pas au changement de sous-traitant, le Client peut mettre fin aux services concernés sans pouvoir prétendre à une indemnisation.

Tout changement de sous-traitant devra faire l'objet d'une nouvelle demande dans les conditions du présent article.

7.2 - Dans ce cadre, le Prestataire s'engage à signer un contrat écrit avec chaque sous-traitant ultérieur imposant à ce dernier le respect du RGPD et de l'ensemble des obligations mentionnées dans la présente annexe. À ce titre, le Prestataire s'engage à ne faire appel qu'à des sous-traitants ultérieurs qui présentent des garanties suffisantes, et en tout état de cause au moins équivalentes à celles du Prestataire. Le Prestataire devra fournir au Client avec la demande d'autorisation de sous-traitance, l'ensemble des justificatifs permettant d'établir que ce sous-traitant présente effectivement les garanties suffisantes.

7.3 - En cas de non-respect par un sous-traitant ultérieur de ses obligations en matière de protection des données personnelles, le Prestataire demeure pleinement responsable à l'égard du Client.

8.1 - Le Prestataire s'engage à informer le Client de tout incident tant physique que technique relatif à la sécurité ou à la confidentialité des données personnelles sans délai et, en tout état de cause, dans

une durée maximale de 48 heures après la prise de connaissance de la survenance d'un incident de sécurité.

8.2 - Le Prestataire notifie par courrier électronique au Client la survenance de toute violation de données personnelles ayant ou susceptible d'avoir des conséquences directes ou indirectes sur les données personnelles, la vie privée, les droits et libertés des Personnes concernées, ou susceptible d'affecter négativement l'image, la réputation ou l'honorabilité du Responsable du traitement. La notification est adressée au Client à l'adresse suivante ........................................................................... .................................................................................................................................................................... dans un délai maximum de 48 heures à compter de la prise de connaissance de la violation de données personnelles. La notification faite au Client contient au moins :

8.3 - Le Prestataire s'engage à collaborer activement avec le Client afin de mettre en place les actions nécessaires à la correction de tout dysfonctionnement qui serait à l'origine ou une conséquence de la violation des données personnelles et à empêcher que cette violation ne se reproduise plus.

8.4 - Le Prestataire s'abstient de divulguer et de communiquer toute information relative à une violation de données personnelles, sauf obligation légale ou autorisation préalable du Client.

9.1 - Le Prestataire s'engage à prendre toutes précautions utiles afin de préserver la confidentialité et la sécurité des données personnelles et notamment d'empêcher qu'elles ne soient déformées, endommagées, détournées ou communiquées à des tiers non autorisés, et plus généralement à mettre en œuvre toutes mesures techniques et organisationnelles appropriées pour protéger les données

personnelles contre la destruction accidentelle ou illicite, la perte accidentelle, l'altération, la diffusion ou l'accès non autorisé.

9.2 - Le Prestataire s'engage à prendre toutes mesures afin (i) de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement, (ii) de rétablir la disponibilité des données personnelles et l'accès à celles-ci dans les délais appropriés en cas d'incident physique ou technique et (iii) de tester, analyser et évaluer régulièrement l'efficacité de ces mesures.

Le sous-traitant communique au responsable de traitement le nom et les coordonnées de son délégué à la protection des données, s’il en a désigné un conformément à l’article 37 du règlement européen sur la protection des données. Toute demande est à adresser à [email protected].

Le Prestataire déclare tenir par écrit un registre de toutes les catégories d'activités de traitement effectuées pour le compte du Client comprenant l'ensemble des éléments mentionnés à l'article 30.2 du RGPD.

12.1 - Le Client a la possibilité d'auditer ou de faire auditer le respect des obligations du Prestataire visées à la présente Annexe pendant toute la durée des traitements des données personnelles.

12.2 - Dans la mesure où l'audit réalisé par le Client démontre une non-conformité du Prestataire aux obligations de la présente Annexe, le Prestataire s'engage à remédier à cette non-conformité dans un délai maximal de dix (10) jours.

13.1 - Au terme du Contrat, le Prestataire s'engage à détruire les données au bout de 90 jours.

Le Client est informé que SOLUTIONS & TERRITOIRE ne conserve pas le contenu du Client indéfiniment. Le Client s’engage par conséquent à exporter lui-même ses données à partir des modules, à la fin de la Durée ou de la résiliation, quelle qu’en soit la cause. Le Client s’engage à cet effet à notifier dans un délai suffisant, et par tout moyen, aux Utilisateurs, qu’ils doivent télécharger leurs données à partir des Modules. À défaut, le Client pourra solliciter SOLUTIONS & TERRITOIRE un nouvel accès au Logiciel pour récupérer son Contenu dans une limite de 90 jours, pour une durée de 7 jours.

13.2 - Le Prestataire s'engage à détruire les copies existantes des données personnelles, à moins que le droit applicable au Contrat n'exige la conservation de celles-ci.

Le Client s’engage à :