Le présent document (ci-après dénommée « DPA » en référencement à l’acronyme de l’appellation anglaise « Data Processing Agreement ») fait partie intégrante du contrat de Services Cloud STORYFOX (le « Contrat ») conclu entre STORYFOX et le Client, et ayant pour objet de définir les conditions applicables aux Services fournis par STORYFOX (les « Services »).

Le DPA et le Contrat sont complémentaires et s’expliquent mutuellement. Toutefois, en cas de contradiction, le DPA prévaut.

Les expressions qui commencent par une lettre majuscule et qui ne sont pas définies dans le présent DPA ont le sens qui leur est donné dans le Contrat.

La finalité du présent DPA conclu entre STORYFOX et le Client conformément à l’article 28 du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (« Règlement général sur la protection des données » ou « RGPD »), est de définir les conditions dans lesquelles STORYFOX, en qualité de Sous-traitant et dans le cadre des Services définis dans le Contrat, traite, sur instruction du Client, des données à caractère personnel telles que définies dans le RGPD (« Données à caractère personnel »).

Le traitement des données à caractère personnel par STORYFOX en tant que responsable du traitement n’entre pas dans le champ d’application du présent DPA.

Aux fins du présent DPA, STORYFOX agit en tant que « Sous-traitant » et le Client est présumé agir en tant que  » Responsable du traitement « .

Les termes  » Sous-traitant  » et  » Responsable du traitement  » ont le sens qui leur est donné au sein du RGPD.

Si le Client agit en tant que sous-traitant pour le compte d’un tiers responsable du traitement, les Parties conviennent expressément que les conditions suivantes s’appliquent :

a) Le Client doit s’assurer que :

(i) Toutes les autorisations nécessaires pour conclure le présent DPA, y compris la nomination par le Client de STORYFOX en tant que sous-traitant ultérieur, ont été obtenues du Responsable du traitement ;

(ii) Un contrat, qui est en parfaite adéquation avec les termes et conditions du Contrat (y compris le présent DPA), a été conclu avec le Responsable du traitement conformément à l’article 28 du RGPD ;

(iii) Toutes les instructions reçues par STORYFOX de la part du Client en exécution du Contrat et du présent DPA sont parfaitement conformes aux instructions du Responsable du traitement et (iv) toutes les informations communiquées ou mises à disposition par STORYFOX en vertu du présent DPA sont, lorsque cela est requis, communiquées de manière appropriée au Responsable du traitement.

b) STORYFOX

i) Traite les Données à caractère personnel uniquement sur instruction du Client ;

ii) Ne reçoit aucune instruction directement du Responsable du traitement, sauf dans les cas où le Client a matériellement disparu ou a cessé d’avoir une existence juridique sans que les droits et obligations du Client n’aient été transférés à une entité tierce ;

c) Le Client, qui est entièrement responsable envers STORYFOX de la bonne exécution des obligations du Responsable du traitement conformément au présent DPA.

1. Champ d’application

STORYFOX est autorisé, en tant que Sous-traitant agissant selon les instructions du Client, à traiter les Données à caractère personnel du Responsable du traitement dans la mesure nécessaire au bon fonctionnement des Services.

La nature des opérations menées par STORYFOX concernant les Données à caractère personnel peut être le calcul de données, le stockage et/ou tout autre Service tel que décrit dans le Contrat.

Le type de Données à caractère personnel et les catégories de personnes concernées sont déterminés et contrôlés par le Client, à sa seule discrétion.

Les activités de traitement sont effectuées par STORYFOX pour la durée prévue au Contrat.

2. Offre de Services

Le Client est seul responsable du choix des Services de la Solution. Le Client doit s’assurer que les Services choisis ont les caractéristiques et les conditions requises compte tenu des activités et traitements du Responsable du traitement, ainsi que du type de Données à caractère personnel à traiter dans le cadre des Services, notamment. STORYFOX propose des Services traitant des Données à caractère personnel récoltés directement par les utilisateurs (par exemple, avatar, métier, numéro de téléphone, etc.) Le Client est informé qu’STORYFOX récolte également des données de manière indirecte comme les logs d’accès ; afin d’assurer l’amélioration continue de sa Solution, et de prévenir les failles de sécurité.

Si le traitement effectué par le Responsable du traitement est susceptible d’entraîner un risque élevé pour les droits et libertés des personnes physiques, le Client doit choisir ses Services avec précaution.

Lors de l’évaluation du risque, il est notamment tenu compte des critères suivants, sans toutefois s’y limiter : évaluation systématique et approfondie d’aspects personnels concernant des personnes physiques ; prise de décision automatisée ayant des effets juridiques ou pouvant affecter de manière significative la personne concernée ; traitement de catégories particulières de données ou de données sensibles ; traitement à grande échelle ; interconnexion de données ; combinaison de données ; utilisation de nouvelles technologies innovantes méconnues du public pour le traitement.

STORYFOX peut mettre à la disposition du Client, dans les conditions prévues à l’article « Audits », les informations relatives aux mesures de sécurité mises en œuvre dans le cadre des Services, afin qu’il puisse évaluer la conformité de ces mesures aux traitements de données personnelles du Responsable du traitement.

3. Conformité à la réglementation applicable

Chaque partie respecte la réglementation applicable en matière de protection des données, y compris le Règlement Général sur la Protection des Données, à compter de sa date d’application dans l’Union européenne.

4. Obligations de STORYFOX

STORYFOX s’engage à :

a) Traiter les Données à caractère personnel téléchargées, stockées et utilisées par le Client de manière directe ou indirecte dans le cadre des Services uniquement dans la mesure nécessaire à la fourniture des Services tels que définis dans le Contrat ;

b) Ne pas accéder à ou utiliser des Données à caractère personnel à d’autres fins que celles nécessaires à l’exécution des Services (en particulier dans le cadre de la gestion des incidents) ;

c) Mettre en place les mesures techniques et organisationnelles décrites dans le Contrat, afin d’assurer la sécurité des Données à caractère personnel dans le cadre du Service ;

d) S’assurer que les employés de STORYFOX autorisés à traiter les Données à caractère personnel dans le cadre du Contrat sont soumis à une obligation de confidentialité et reçoivent une formation appropriée concernant la protection des Données à caractère personnel ;

e) Informer le Client si, à son avis et compte tenu des informations dont il dispose, une des instructions du Client enfreint les dispositions du RGPD ou d’autres dispositions de l’Union européenne ou d’un État membre de l’Union européenne en matière de protection des données personnelles ;

f) Dans le cas de demandes reçues d’une autorité compétente et relatives aux Données à caractère personnel traitées en vertu du Contrat, à informer le Client (à moins que les lois applicables ou l’injonction d’une autorité compétente ne l’interdisent), et à limiter la communication des données à ce que l’autorité a expressément demandé.

Sur demande écrite du Client, STORYFOX fournit au Client une assistance raisonnable dans la réalisation d’analyses d’impact relatives à la protection des données et la consultation de l’autorité de contrôle compétente, dans la mesure où le Client est tenu de le faire en vertu de la loi applicable en matière de protection des données, et si une telle assistance est nécessaire et se rapporte aux traitements de Données à caractère personnel opérés par STORYFOX en vertu du Contrat. Cette assistance consiste à assurer la transparence des mesures de sécurité mises en œuvre par STORYFOX pour ses Services.

STORYFOX s’engage à mettre en place les mesures de sécurité techniques et organisationnelles suivantes :

a) Des mesures de sécurité physique destinées à empêcher les personnes non autorisées d’accéder à l’infrastructure dans laquelle les données du client sont stockées ;

b) Des contrôles d’identité et d’accès au moyen d’un système d’authentification et d’une politique de sécurité en matière de mots de passe ;

c) Un système de gestion des accès qui limite l’accès aux locaux, aux personnes ayant besoin d’y accéder dans l’exercice de leurs fonctions et dans le cadre de leurs responsabilités ;

d) Un système qui isole physiquement et/ou de façon logique les clients les uns des autres ;

e) Des processus d’authentification des utilisateurs et des administrateurs, ainsi que des mesures visant à protéger l’accès aux fonctions d’administration ;

f) Un système de gestion de l’accès pour les opérations de soutien et d’entretien qui fonctionne selon les principes du moindre privilège et du besoin de savoir ;

g) Des processus et des mesures de suivi des actions effectuées sur son système d’information.

5. Atteintes à la protection des Données à caractère personnel

Si STORYFOX a connaissance d’un incident affectant les Données à caractère personnel du Responsable du traitement (accès non autorisé, perte, divulgation ou altération de données), STORYFOX en informe le Client dans les meilleurs délais.

La notification doit :

i) Décrire la nature de l’incident ;

ii) Décrire les conséquences probables de l’incident ;

iii) Décrire les mesures prises ou proposées par STORYFOX en réponse à l’incident ;

iv) Préciser qui est l’interlocuteur chez STORYFOX.

6. Localisation et transfert des Données à caractère personnel

L’utilisation des Services permettent au Client de stocker des Contenus et notamment des Données à caractère personnel, la ou les localisation(s), ou zone(s) géographique(s) du ou des datacenter(s) disponible(s) sont précisées dans les mentions légales sur le Site Internet de STORYFOX. Si plusieurs localisations ou zones géographiques sont disponibles, le Client sélectionne celle(s) de son choix au moment de la Commande. Sous réserve des Conditions Particulières de Service applicables, STORYFOX s’interdit de modifier, sans l’accord du Client, la localisation ou zone géographique prévue à la Commande.

Les données stockées par le Client dans le cadre des Services ne sont pas accessibles à STORYFOX à partir d’un pays non conforme au RGPD, sauf (a) si cet accès est expressément prévu dans les Conditions Particulières d’un Service (hébergement vidéo par exemple), et / ou (b) si le Client choisit un Datacenter situé en dehors de l’Union européenne dans un pays qui n’est pas soumis à une Décision d’adéquation.

7. Sous-traitance

Sous réserve des dispositions de la clause « Localisation et transfert des Données à caractère personnel » ci-dessus, STORYFOX peut engager un autre sous-traitant pour traiter les Données personnelles dans le cadre de l’exécution des Services (« Sous-traitant ultérieur »).

Le Client autorise expressément STORYFOX à engager d’éventuels Sous-traitants ultérieurs. STORYFOX s’engage à informer le Client dans un délai de trente (30) jours avant de faire intervenir en qualité de Sous-traitant ultérieur.

STORYFOX veille à ce que le Sous-traitant ultérieur soit, au minimum, en mesure de remplir les obligations mises à la charge de STORYFOX dans le présent DPA concernant le traitement des Données à caractère personnel effectué par le Sous-traitant ultérieur. À cette fin, STORYFOX conclut un accord avec le Sous-traitant ultérieur. STORYFOX reste vis-à-vis du Client entièrement responsable de l’exécution de toute obligation que le Sous-traitant ultérieur ne remplit pas.

Nonobstant ce qui précède, STORYFOX est expressément autorisé à engager des fournisseurs tiers (tels que des fournisseurs techniques, des sociétés de sécurité), sans devoir informer le Client ou obtenir son autorisation préalable, à condition que ces fournisseurs tiers n’aient pas accès aux Données à caractère personnel.

8. Obligations du client et du Responsable du traitement

Pour le traitement des Données à caractère personnel conformément au Contrat, le Client doit fournir à STORYFOX par écrit (a) toute instruction pertinente et (b) toute information nécessaire à la création du registre des activités de traitement du sous-traitant. Le Client reste seul responsable du traitement des informations et instructions communiquées à STORYFOX.

Le Responsable du traitement a la responsabilité de s’assurer que :

a) Le traitement des Données personnelles du Responsable du traitement dans le cadre de l’exécution du service a une base juridique appropriée (par exemple, le consentement de la personne concernée, les intérêts légitimes du Responsable de traitement, etc.) ;

b) Toutes les procédures et formalités requises (telles que l’analyse d’impact relative à la protection des données, notification et demande d’autorisation à l’autorité de contrôle compétente en matière de traitement de données personnelles ou à tout autre organisme compétent, le cas échéant) ont été effectuées ;

c) La personne concernée est informée du traitement de ses Données à caractère personnel de façon concise, transparente, intelligible et facilement accessible, en utilisant un langage clair et simple, comme le prévoit le RGPD ;

d) Les personnes concernées sont informées et ont à tout moment la possibilité d’exercer facilement les droits relatifs aux données prévus par le RGPD directement auprès du Client ou du Responsable du traitement ;

Le Client est responsable de la mise en œuvre des mesures techniques et organisationnelles appropriées pour assurer la sécurité des ressources, systèmes, applications et opérations qui ne relèvent pas du périmètre de responsabilité de STORYFOX tel que prévu au Contrat (notamment tous les systèmes et logiciels déployés et exploités par le Client ou les Utilisateurs au sein des Services).

9. Droit des personnes concernées

Le Responsable du traitement est pleinement responsable de l’information des personnes concernées concernant leurs droits et du respect de ces droits, y compris les droits d’accès, de rectification, d’effacement, de limitation ou de portabilité.

STORYFOX fournit la coopération et l’assistance, dans la mesure où cela est raisonnablement nécessaire, pour répondre aux demandes des personnes concernées.

Cette coopération et cette assistance raisonnable peuvent consister à (a) communiquer au Client toute demande reçue directement de la personne concernée et (b) permettre au Responsable du traitement de concevoir et de déployer les mesures techniques et organisationnelles nécessaires pour répondre aux demandes des personnes concernées. Le Responsable du traitement est seul responsable des réponses à ces demandes.

Le Client reconnaît et convient que, dans l’éventualité où une telle coopération et assistance nécessiterait des ressources importantes de la part de STORYFOX, cela pourra être facturé au Client à condition de le lui notifier et d’obtenir son accord au préalable.

10. Suppression et restitution des Données à caractère personnel

À la fin du Service (notamment en cas de résiliation ou de non-renouvellement), STORYFOX s’engage à supprimer dans les conditions prévues au Contrat, tout Contenu (notamment les informations, données, fichiers, systèmes, applications, sites internet et autres éléments) reproduit, stocké, hébergé ou autrement utilisé par le Client dans le cadre des Services, sauf si une demande émise par une autorité légale ou judiciaire compétente, ou la loi applicable de l’Union européenne ou d’un État membre de l’Union européenne, en exigent autrement.

Le Client est seul responsable de faire en sorte que les opérations nécessaires (telles que la sauvegarde, le transfert vers une solution tierce, les instantanés, etc.) à la conservation des Données à caractère personnel soient effectuées, notamment avant la résiliation ou l’expiration des Services, et avant de procéder à toute opération de suppression, de mise à jour ou de réinstallation des Services. À cet égard, le Client est informé que la résiliation et l’expiration d’un Service pour quelque raison que ce soit (incluant, mais de façon non exclusive le non-renouvellement), ainsi que certaines opérations de mise à jour ou de réinstallation des Services, peuvent automatiquement entraîner la suppression irréversible de tout Contenu (y compris les informations, données, fichiers, systèmes, applications, sites internet et autres éléments) reproduit, stocké, hébergé ou autrement utilisé par le Client dans le cadre des Services, ce compris toute sauvegarde potentielle.

11. Responsabilité

STORYFOX ne peut être tenu responsable que des dommages causés par un traitement pour lequel (i) il n’a pas respecté les obligations prévues par le RGPD qui incombent spécifiquement aux sous-traitants ou pour lequel (ii) il a agi en-dehors des instructions licites du Client ou contrairement à celles-ci. Dans de tels cas, la disposition du Contrat relative à la Responsabilité s’applique.

Lorsque STORYFOX et le Client sont impliqués dans un traitement dans le cadre du présent Contrat qui a causé un dommage à une personne concernée, le Client prend en charge, dans un premier temps, l’intégralité de la réparation effective (ou toute autre compensation) due à la personne concernée et, dans un second temps, réclame à STORYFOX la part de la réparation correspondant à la part de responsabilité de STORYFOX dans le dommage, étant précisé que les clauses limitatives de responsabilité prévues par le Contrat demeurent applicables.