Accord sur le traitement des données

1. Définitions

« Législation applicable en matière de protection des données » désigne la législation relative à la vie privée et à la protection des données applicable au traitement, y compris le RGPD lorsqu’il est applicable. « Données à caractère personnel du Client » désigne les données à caractère personnel contenues dans le Contenu du Client que Cadvex reçoit et traite effectivement pour le compte du Client. Les termes « responsable du traitement », « sous-traitant », « données à caractère personnel », « traitement » et « personne concernée » ont le sens qui leur est donné par la législation applicable.

2. Rôles et champ d’application

S’agissant des Données à caractère personnel du Client soumises à Cadvex Cloud ou fournies volontairement à Cadvex à des fins de support, le Client est le responsable du traitement ou l’entité équivalente, et Cadvex est le sous-traitant/prestataire de services, dans la mesure où Cadvex traite ces données pour le compte du Client.

Le contenu de fabrication de Cadvex Desktop demeure exclusivement sur l’appareil du Client et n’entre pas dans le champ de cette sous-traitance, car Cadvex ne le reçoit ni ne le traite jamais. Cadvex peut agir, de manière distincte, en qualité de responsable du traitement pour les données relatives aux comptes, aux licences, à la sécurité des appareils, à la facturation et à la relation commerciale directe décrites dans la Politique de confidentialité.

Cadvex ne traitera les Données à caractère personnel du Client que sur instructions documentées, telles qu’elles figurent dans le contrat et dans le présent DPA et découlent de l’utilisation licite du Service par le Client, sauf si la loi en dispose autrement. Le Client est responsable de la licéité de ses instructions, de ses mentions d’information et de ses bases juridiques, de l’exactitude des données et de son droit de soumettre des Données à caractère personnel du Client.

3. Détails du traitement

Objet

Fourniture de l’analyse de fichiers de Cadvex Cloud, de l’extraction facultative de plans, des devis, de la collaboration, du stockage, du support, de la sécurité et des fonctions de service associées.

Durée

Pendant la durée du contrat conclu avec le Client et pendant les durées de conservation/suppression prévues dans le contrat et la Politique de confidentialité.

Nature et finalité

Collecte, hébergement, organisation, consultation, transmission, analyse, extraction, affichage, suppression, support, sécurité et réponse aux incidents concernant les Données à caractère personnel du Client effectivement reçues par Cadvex.

Personnes concernées

Utilisateurs et administrateurs du Client, contacts professionnels, fournisseurs, clients du Client et personnes identifiées dans les documents techniques/commerciaux soumis.

Catégories de données

Noms, coordonnées professionnelles, identifiants de compte et données à caractère personnel figurant incidemment dans les plans, demandes de prix (RFQ), devis et correspondances du Cloud.

Données sensibles

Non prévues. Les Clients ne doivent pas soumettre de données réglementées/sensibles interdites en violation de la Politique d’utilisation acceptable.

4. Confidentialité et personnel

Cadvex veillera à ce que les personnes autorisées à traiter les Données à caractère personnel du Client soient soumises à des obligations de confidentialité et n’y aient accès que dans la mesure raisonnablement nécessaire à l’exercice de leurs fonctions.

5. Sécurité

Cadvex mettra en œuvre des mesures techniques et organisationnelles appropriées destinées à protéger les Données à caractère personnel du Client contre la destruction, la perte ou l’altération, accidentelles ou illicites, ainsi que contre la divulgation ou l’accès non autorisés, compte tenu de l’état des connaissances, des coûts de mise en œuvre, de la nature du traitement et du risque. Ces mesures peuvent notamment comprendre le chiffrement pris en charge par les prestataires, les contrôles d’accès, l’autorisation par locataire (tenant), l’authentification, la restriction des identifiants à privilèges, le stockage privé, la journalisation, la sauvegarde/restauration, la gestion des vulnérabilités et la réponse aux incidents.

6. Sous-traitants ultérieurs

Le Client accorde à Cadvex une autorisation générale de recourir aux sous-traitants ultérieurs figurant dans la Liste des sous-traitants. Cadvex leur imposera des obligations en matière de protection des données adaptées aux services qu’ils fournissent. Lorsque la loi ou un contrat écrit conclu avec le Client l’exige, Cadvex notifiera tout nouveau sous-traitant ultérieur et permettra la formulation d’objections raisonnables fondées sur la protection des données.

7. Transferts internationaux

Lorsque des Données à caractère personnel du Client protégées par le RGPD sont transférées vers un pays ne bénéficiant pas d’une décision d’adéquation, Cadvex recourra à un mécanisme de transfert licite, qui peut comprendre les clauses contractuelles types de la Commission européenne et, le cas échéant, des mesures supplémentaires. Dans la mesure requise, les modules applicables des clauses contractuelles types sont intégrés par référence et les parties compléteront les informations requises dans les annexes sur la base du traitement effectivement réalisé et de la localisation des prestataires.

8. Demandes des personnes concernées

Compte tenu de la nature du traitement, Cadvex apportera une assistance raisonnable au Client pour l’aider à répondre aux demandes d’exercice des droits relatifs à la protection de la vie privée. Cadvex peut rediriger un demandeur vers le Client lorsque Cadvex traite les données concernées exclusivement pour le compte du Client.

9. Incidents de sécurité

Cadvex notifiera le Client dans les meilleurs délais après avoir pris connaissance d’une violation de données à caractère personnel avérée affectant les Données à caractère personnel du Client et lui communiquera les informations raisonnablement disponibles pour l’aider à satisfaire à ses obligations légales. La notification ne vaut pas reconnaissance de faute.

10. Analyses d’impact et assistance à la conformité

Compte tenu de la nature du traitement et des informations dont elle dispose, Cadvex apportera une assistance raisonnable en matière de sécurité, de notification des violations, d’analyses d’impact relatives à la protection des données et de consultation des autorités de contrôle, lorsque cela est requis. Les travaux supplémentaires allant au-delà du support ordinaire du Service peuvent donner lieu à des frais raisonnables.

11. Informations et audits

Cadvex mettra à disposition les informations raisonnablement nécessaires pour démontrer la conformité, au moyen de documentation, de politiques, de questionnaires et de rapports des prestataires. Lorsque ces informations sont insuffisantes et que la loi exige un audit, le Client peut demander un audit raisonnable au maximum une fois par an, sous réserve de mesures encadrant la confidentialité, la sécurité, le périmètre et les coûts. Les audits ne doivent pas compromettre les données d’un autre client, la sécurité de Cadvex, son code source, ses mécanismes de licence/de sécurité ni la confidentialité due à des tiers.

12. Restitution et suppression

À la fin du contrat et sur instruction du Client, Cadvex supprimera ou restituera les Données à caractère personnel du Client qu’elle détient, conformément au contrat et à la Politique de confidentialité, sauf si la loi en exige la conservation. Des copies résiduelles peuvent subsister temporairement dans les sauvegardes jusqu’à leur rotation normale. Cadvex ne peut ni restituer ni supprimer le contenu de fabrication Desktop qui n’a jamais quitté l’appareil local du Client ; le Client contrôle ce contenu local et ses sauvegardes.

13. Contradiction et responsabilité

En cas de contradiction entre le présent DPA et les Conditions concernant le traitement des Données à caractère personnel du Client, le présent DPA prévaut pour ce traitement. La responsabilité au titre du présent DPA est soumise aux limitations/exclusions prévues dans les Conditions, sauf lorsque la législation applicable interdit une telle limitation.

14. Droit applicable

Le présent DPA est régi par les dispositions relatives au droit applicable et à la juridiction compétente figurant dans les Conditions, sauf lorsque les clauses contractuelles types ou la législation impérative en matière de protection des données en disposent autrement.