Addendum relatif au traitement des données

Date d’entrée en vigueur : le 1er septembre 2026

Le présent avenant relatif au traitement des données (« DPA ») est conclu entre le Client, dont le nom et l’adresse figurent dans le Contrat, et V2 Cloud Solutions, Inc., ou sa société affiliée, tel qu’il est prévu dans le Contrat (« V2 Cloud Solutions ») (collectivement, les « Parties »). Le DPA régit le traitement des Données à caractère personnel lorsque le Client utilise les produits et services de V2 Cloud Solutions et lorsque les Lois sur la protection des données s’appliquent.

Définitions.

Les termes définis qui sont utilisés mais non définis dans les présentes ont le même sens que dans le Contrat. Lorsque le DPA emploie d’autres termes qui n’y sont pas définis, ces termes ont le même sens que dans le GDPR. L’emploi des termes prévus dans le GDPR ne signifie pas qu’une Partie a accepté de se conformer au GDPR, sauf si le GDPR lui est applicable.

Le DPA doit être lu et interprété à la lumière des dispositions des Lois sur la protection des données et ne doit pas être interprété d’une manière contraire aux droits et obligations qu’elles prévoient, ni d’une manière portant atteinte aux droits ou libertés fondamentaux des personnes concernées, des consommateurs et des entités analogues au sens des Lois sur la protection des données (« Personnes concernées »).

« Société affiliée » d’une partie s’entend de toute entité qui est contrôlée par une partie au présent Contrat, tant que ce contrôle existe.

« Contrôle » s’entend du contrôle direct ou indirect de plus de 50% des actions ou autres participations au capital de l’entité en cause conférant le droit de vote lors de l’élection des administrateurs (ou, dans le cas d’une entité qui n’est pas une société par actions, lors de l’élection ou de la nomination de l’organe de direction correspondant). En ce qui concerne le Client, toute référence à une « Société affiliée » dans les présentes se limite strictement aux Sociétés affiliées du Client qui ont la qualité de responsable du traitement à l’égard des Données à caractère personnel et qui sont autorisées à utiliser les Services en vertu du Contrat, mais qui n’ont pas signé leur propre bon de commande et ne sont pas un « Client » au sens du Contrat.

« Contrat » s’entend du contrat relatif à la fourniture des Services.

« Responsable du traitement » s’entend de l’entité qui détermine les finalités et les moyens du traitement des Données à caractère personnel, à savoir, aux fins du présent DPA, le Client.

« Lois sur la protection des données » s’entend des lois sur la protection des données applicables aux Données à caractère personnel visées par le présent DPA, notamment, mais sans s’y limiter : la Personal Information Protection and Electronic Documents Act (S.C. 2000, c. 5) (« PIPEDA »), ainsi que toute législation provinciale applicable en matière de protection de la vie privée au Canada (« PIPEDA »), le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (« GDPR »), la loi fédérale sur la protection des données du 19 juin 1992 (Suisse) et la loi fédérale suisse révisée sur la protection des données entrée en vigueur le 1er septembre 2023 (« Swiss FADP »), la Data Protection Act 2018 du Royaume-Uni (UK) et le UK GDPR à compter du 31 décembre 2020 (« UK Privacy Laws »), l’Australian Privacy Act 1988, la New Zealand Privacy Act 2020, la California Consumer Privacy Act telle que modifiée par la California Privacy Rights Act, la Colorado Privacy Act, la Virginia Consumer Data Protection Act, la Connecticut Act Concerning Personal Data Privacy and Online Monitoring, la Utah Consumer Privacy Act, la Iowa Data Privacy Act, la Indiana Consumer Data Protection Act, la Montana Consumer Data Privacy Act, la Tennessee Information Protection Act et la Texas Data Privacy and Security Act, ainsi que toute loi ultérieure adoptée aux États-Unis en matière de protection de la vie privée et exigeant des accords de traitement des données (« US Privacy Laws »).

« Données à caractère personnel » s’entend de l’ensemble des données relatives à des personnes physiques qui sont traitées par V2 Cloud Solution pour le compte du Client dans le cadre du présent DPA.

« Sous-traitant » s’entend d’une entité qui traite des Données à caractère personnel pour le compte du Responsable du traitement, à savoir, aux fins du présent DPA, la Société affiliée de V2 Cloud Solution désignée dans le Contrat.

Portée et hiérarchie. Chaque Partie a accepté le DPA afin de s’assurer qu’elle respecte les Lois sur la protection des données qui lui sont applicables. Le DPA s’applique au traitement des Données à caractère personnel tel qu’il est décrit à l’Annexe II uniquement. Les Annexes I à IV font partie intégrante du DPA. Le DPA ne porte pas atteinte aux obligations auxquelles le Client est assujetti en vertu des Lois sur la protection des données. En cas de contradiction entre le DPA et les dispositions d’accords connexes conclus entre les Parties existant au moment de la conclusion du DPA ou conclus ultérieurement, le DPA prévaut.
Description du traitement. Les détails des opérations de traitement, en particulier les catégories de Données à caractère personnel et les finalités du traitement pour lesquelles les Données à caractère personnel sont traitées pour le compte du Client, sont précisés à l’Annexe II.
Obligations de V2 Cloud Solutions
1. Instructions. V2 Cloud Solutions ne traite les Données à caractère personnel que sur instructions documentées du Client et aux seules fin(s) et durée du traitement précisées à l’Annexe II, à moins d’y être tenue par les Lois sur la protection des données. Dans ce cas, V2 Cloud Solutions informe le Client de cette exigence légale avant le traitement, sauf si la loi l’interdit. Le Client peut également donner des instructions ultérieures par écrit pendant toute la durée du traitement des Données à caractère personnel. V2 Cloud Solutions informe le Client si, de l’avis de V2 Cloud Solutions, les instructions données par le Client enfreignent les Lois sur la protection des données.
2. Sécurité du traitement. V2 Cloud Solutions met en œuvre des mesures techniques et organisationnelles afin d’assurer la sécurité et la protection des Données à caractère personnel, notamment de protéger les Données à caractère personnel contre toute violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de Données à caractère personnel ou l’accès non autorisé à celles-ci (« Violation de données »). Pour évaluer le niveau de sécurité approprié, les Parties tiennent dûment compte de l’état des connaissances, des coûts de mise en œuvre, de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques encourus par les Personnes concernées. Les mesures mises en œuvre par V2 Cloud Solution au moment de la conclusion du présent DPA sont précisées à l’Annexe III.
3. Confidentialité et accès aux Données à caractère personnel. V2 Cloud Solutions n’accorde l’accès aux Données à caractère personnel aux membres de son personnel que dans la mesure strictement nécessaire aux fins précisées à l’Annexe II. V2 Cloud Solutions veille à ce que les personnes autorisées à traiter les Données à caractère personnel reçues se soient engagées à en respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.
4. Documentation et conformité. Les Parties doivent être en mesure de démontrer leur conformité au DPA. V2 Cloud Solution met à la disposition du Client toutes les informations raisonnablement nécessaires pour démontrer le respect des obligations du présent DPA
5. Audit. À la demande du Client et sous réserve d’un préavis écrit de 30 jours, V2 Cloud Solutions autorise également les audits des activités de traitement visées par le DPA et y contribue, au maximum une fois par année civile, ou plus fréquemment en cas de Violation de données touchant les Données à caractère personnel. Le Client peut choisir de réaliser l’audit lui-même ou de mandater un auditeur indépendant, soumis à des obligations de confidentialité. Les audits ne comprennent pas d’inspections des locaux ou des installations physiques de V2 Cloud Solutions. Le Client reconnaît que les obligations de V2 Cloud Solutions peuvent être satisfaites, en tout ou en partie, par la fourniture au Client d’informations appropriées, de registres ainsi que de certifications et de rapports d’audit émis par des tiers indépendants de bonne réputation, à condition qu’aucune modification importante n’ait été apportée aux contrôles utilisés par V2 Cloud Solutions depuis la délivrance de la certification ou du rapport d’audit. V2 Cloud Solutions se réserve le droit de réaliser des audits indépendants de ses activités et systèmes de traitement. Les Parties mettent à la disposition des organismes de réglementation compétents et de la ou des autorités de contrôle compétentes, sur demande, les informations visées par le présent DPA, y compris les résultats de tout audit.
Recours à des sous-traitants ultérieurs / prestataires de services
1. V2 Cloud Solutions est autorisée à faire appel (et à permettre à chaque sous-traitant ultérieur / prestataire de services engagé conformément au présent DPA et figurant dans la liste accessible au moyen du lien de l’Appendice IV de faire appel) à des sous-traitants ultérieurs / prestataires de services (« Sous-traitant ultérieur ») conformément au présent DPA. Si un nouveau Sous-traitant ultérieur est engagé ou si un Sous-traitant ultérieur existant est retiré, la liste accessible au moyen du lien de l’Appendice IV est mise à jour. Pour recevoir des alertes concernant ces mises à jour de la liste, un courriel doit être envoyé à [email protected] en indiquant « Subscribe to sub-processor updates » comme objet.
2. Si le Client s’oppose, pour des motifs raisonnables fondés sur les Lois sur la protection des données, à l’engagement ou au retrait d’un Sous-traitant ultérieur, l’opposition doit être formulée par écrit dans les trente (30) jours suivant la réception d’un tel courriel d’alerte. Si V2 Cloud Solutions n’est pas en mesure d’adapter ses services et de poursuivre la fourniture des services sans le Sous-traitant ultérieur désigné, le Client peut fermer son compte. La résiliation constitue le seul et unique recours du Client s’il s’oppose à la désignation d’un nouveau Sous-traitant ultérieur ou au retrait d’un Sous-traitant ultérieur existant, et tous les droits et obligations antérieurement acquis survivent à cette résiliation. Si aucune opposition n’est formulée dans ce délai, l’ajout du nouveau Sous-traitant ultérieur ou le retrait du Sous-traitant ultérieur existant est réputé accepté.
3. Lorsque V2 Cloud Solution fait appel à un Sous-traitant ultérieur, elle impose à ce dernier, en substance, les mêmes obligations en matière de protection des données que celles qui incombent à V2 Cloud Solutions au titre du présent DPA.
4. V2 Cloud Solutions demeure pleinement responsable envers le Client de l’exécution des obligations du Sous-traitant ultérieur conformément au Contrat.
Transferts internationaux.
1. Dans le cadre de la fourniture des Services au titre du Contrat, V2 Cloud Solutions peut transférer des Données à caractère personnel vers un pays tiers ou une organisation internationale. V2 Cloud Solutions se conforme aux Lois sur la protection des données et aux mécanismes de transfert qu’elles autorisent pour l’ensemble de ces transferts.
2. Dans la mesure où les Données à caractère personnel comprennent des Données à caractère personnel provenant de l’UE et de l’EEE, en concluant le Contrat et le présent DPA, les Parties sont réputées avoir signé les clauses contractuelles types de l’UE du 4 juin 2021 (« SCCs »), y compris leurs annexes, jointes aux présentes. Dans la mesure où les SCCs sont conclues, les options suivantes du Module 2 des SCCs s’appliquent :
  1. Clause 7. La clause d’amarrage facultative ne s’applique pas.
  2. Clause 9. Recours à des sous-traitants ultérieurs, Option 2 : l’autorisation écrite générale est retenue et le délai minimal de préavis des changements de sous-traitant ultérieur ainsi que la méthode de notification ont été convenus à la section 6.5 du DPA
  3. Clause 11. La formulation facultative ne s’applique pas.
  4. Clause 17. L’Option 2 est retenue et les Parties conviennent qu’il s’agit du droit applicable au Contrat.
  5. Clause 18 (b). Les Parties conviennent que tout litige découlant des présentes Clauses sera tranché par les tribunaux d’Irlande.
  6. Clause 13. Tous les crochets qui y figurent sont par les présentes supprimés;
  7. L’Annexe I du présent DPA contient les informations requises à l’Annexe I des SCCs;
  8. L’Annexe II du présent DPA contient les informations requises à l’Annexe II des SCCs; et
  9. L’Annexe III du présent DPA contient les informations requises à l’Annexe III des SCCs.
3. Dans la mesure où les Données à caractère personnel comprennent des données à caractère personnel provenant du Royaume-Uni, aux fins d’adapter les SCCs au droit du Royaume-Uni, les parties conviennent que les SCCs sont réputées modifiées dans la mesure nécessaire pour qu’elles s’appliquent aux transferts du Royaume-Uni vers un pays tiers et offrent des garanties appropriées pour les transferts conformément à l’article 46 du UK GDPR. Ces modifications comprennent le remplacement des références au GDPR par des références au UK GDPR et le remplacement des références aux États membres de l’UE par des références au Royaume-Uni. Les parties conviennent que l’Avenant du Royaume-Uni s’appliquera aux transferts de Données à caractère personnel du Royaume-Uni protégées par le UK GDPR et sera complété comme suit :
Le Tableau 1 sera complété avec les informations pertinentes figurant à l’Annexe I du présent DPA;
Le Tableau 2 sera complété avec les modules et clauses sélectionnés des SCCs de l’UE tels qu’indiqués à la Section 6.2 du présent DPA;
Le Tableau 3 sera complété avec les informations pertinentes provenant des Annexes I, II et III du présent DPA;
Dans le Tableau 4, tant l’exportateur de données que l’importateur de données peuvent mettre fin à l’Avenant du Royaume-Uni conformément aux conditions de l’Avenant du Royaume-Uni.
1. Dans la mesure où les Données à caractère personnel comprennent des données à caractère personnel provenant de la Suisse, aux fins d’adapter les SCCs au droit suisse, ce qui suit s’applique :
  1. Les parties adoptent la norme du GDPR pour tous les transferts de données, ou la norme prévue par le droit suisse lorsque celle-ci est plus élevée.
  2. Les parties conviennent que les références aux dispositions du GDPR figurant dans les SCCs s’entendent comme des références aux dispositions correspondantes de la loi fédérale suisse sur la protection des données, dans la version applicable au moment de l’introduction de tout litige.
  3. Le terme « État membre » utilisé dans les SCCs s’applique également à la Suisse. En particulier, cela garantit que les personnes concernées ne sont pas privées de la possibilité de faire valoir leurs droits en justice au lieu de leur résidence habituelle.
  4. Clause 13 et Annexe I(C) : les autorités compétentes au titre de la Clause 13 et de l’Annexe I(C) sont le Préposé fédéral à la protection des données et à la transparence et, concurremment, l’autorité de l’État membre de l’EEE désignée ci-dessus.
  5. Clause 17 : les Parties conviennent que la juridiction compétente est l’État membre dans lequel l’exportateur de données est établi pour les réclamations fondées sur le GDPR, et le droit matériel de la Suisse pour les réclamations fondées sur la loi fédérale suisse sur la protection des données.
  6. Clause 18 : tout litige découlant des présentes Clauses sera tranché par les tribunaux de Zurich (Suisse). Une personne concernée peut également engager une action en justice contre l’exportateur de données ou l’importateur de données devant les tribunaux de l’État membre dans lequel elle a sa résidence habituelle. Les Parties conviennent de se soumettre à la compétence de ces tribunaux.
US Privacy Laws. Dans la mesure où le traitement des Données à caractère personnel par V2 Cloud Solution au titre du Contrat est assujetti aux US Privacy Laws :
1. Les Parties reconnaissent que la conservation, l’utilisation et la divulgation des Données à caractère personnel par V2 Cloud Solution, autorisées par les instructions du Client énoncées dans le présent Contrat, font partie intégrante des Services et de la relation d’affaires entre les Parties.
2. V2 Cloud Solution doit :
  1. utiliser, conserver et divulguer les Données à caractère personnel uniquement dans la mesure nécessaire à la réalisation des finalités commerciales précisées dans le présent Contrat ou selon ce qui est autrement permis par les US Privacy Laws;
  2. respecter les obligations applicables au titre des US Privacy Laws et offrir le même niveau de protection de la vie privée que celui exigé d’un "prestataire de services" ou d’un "cocontractant" en vertu de chaque US Privacy Law applicable;
  3. mettre en œuvre des mesures techniques et organisationnelles raisonnables et appropriées visant à protéger les Données à caractère personnel contre tout traitement, accès, utilisation ou divulgation non autorisés ou illicites;
  4. informer le Client sans retard injustifié si V2 Cloud Solution détermine qu’elle ne peut respecter ses obligations au titre des US Privacy Laws;
  5. collaborer avec le Client afin de faire cesser et de remédier à toute utilisation non autorisée des Données à caractère personnel.
3. V2 Cloud Solution ne doit pas :
  1. vendre ou partager des Données à caractère personnel
  2. conserver, utiliser ou divulguer des Données à caractère personnel à toute fin autre que les finalités commerciales précisées dans le Contrat, y compris conserver, utiliser ou divulguer les Données à caractère personnel à une fin commerciale autre que les finalités commerciales précisées dans le Contrat ou selon ce qui est autrement permis par les US Privacy Laws
  3. combiner les Données à caractère personnel reçues du Client avec des Données à caractère personnel reçues d’une autre personne ou pour le compte de celle-ci, ou avec des Données à caractère personnel que V2 Cloud Solution recueille lors de sa propre interaction avec le consommateur, sauf dans la mesure où les US Privacy Laws le permettent
  4. dépersonnaliser ou agréger les Données à caractère personnel, sauf si la dépersonnalisation est conforme aux US Privacy Laws et si le résultat ne peut être réidentifié.
Déclarations et garanties du Client. Le Client déclare et garantit par les présentes qu’il : (a) se conformera à l’ensemble des Lois sur la protection des données; (b) veillera à ce que ses instructions données à V2 Cloud Solution en vue du traitement des Données à caractère personnel soient conformes aux Lois sur la protection des données; (c) maintiendra des communications et des politiques de confidentialité appropriées, des mécanismes d’avis et de consentement, ainsi que des méthodes de traitement des demandes des Personnes concernées conformément aux Lois sur la protection des données; (d) détient l’ensemble des consentements, autorisations et droits nécessaires pour transférer ou divulguer toutes les Données à caractère personnel dans le cadre du Contrat, et pour permettre à V2 Cloud Solution de les traiter; et (e) assume et assumera l’entière responsabilité de l’exactitude, de la qualité et de la légalité de l’ensemble des Données à caractère personnel traitées par V2 Cloud Solution. Afin de dissiper toute ambiguïté, dans la mesure où le Client demande à V2 Cloud Solution de transférer des Données à caractère personnel à des tiers pour le compte du Client, le Client est seul responsable de s’assurer qu’il détient tous les consentements et droits nécessaires pour transférer ces Données à caractère personnel. Le Client informe sans délai V2 Cloud Solution s’il n’est pas en mesure de respecter l’une quelconque de ses obligations au titre du présent DPA ou des Lois sur la protection des données.
Assistance au Client
1. V2 Cloud Solution informe le Client sans délai, et au plus tard dans les dix (10) jours ouvrables, de toute demande qu’elle a reçue d’une Personne concernée. Elle ne répond pas elle-même à la demande, sauf autorisation du Client à cet effet.
2. V2 Cloud Solution assiste raisonnablement le Client dans l’exécution de ses obligations de répondre aux demandes des Personnes concernées visant à exercer leurs droits, compte tenu de la nature du traitement.
  1. En outre, compte tenu de la nature du traitement des données et des informations dont dispose V2 Cloud Solution, celle-ci assiste le Client afin d’assurer le respect des obligations légales du Client, y compris, sans s’y limiter, la réalisation d’analyses d’impact relatives à la protection des données lorsqu’un type de traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques, ainsi que la consultation de la ou des autorités de contrôle compétentes.
Notification d’une Violation de données.
1. En cas de Violation de données, V2 Cloud Solution en informe le Client sans retard injustifié après en avoir pris connaissance. Cette notification contient au moins : a) une description de la nature de la violation (y compris, dans la mesure du possible, les catégories et le nombre approximatif de Personnes concernées et d’enregistrements de données touchés); b) les coordonnées d’un point de contact auprès duquel des informations supplémentaires concernant la Violation de données peuvent être obtenues; et c) les conséquences probables ainsi que les mesures prises ou proposées pour remédier à la violation, notamment pour en atténuer les éventuels effets négatifs.
2. Lorsque, et dans la mesure où, il n’est pas possible de fournir toutes ces informations simultanément, la notification initiale contient les informations alors disponibles et les informations complémentaires sont, à mesure qu’elles deviennent disponibles, communiquées ultérieurement sans retard injustifié.
Non-conformité, résiliation et expiration.
1. Le Client a le droit de faire cesser et de remédier à l’utilisation non autorisée des Données à caractère personnel par V2 Cloud Solution.
2. Sans préjudice de toute disposition des Lois sur la protection des données applicables à V2 Cloud Solution, dans le cas où V2 Cloud Solution manque à ses obligations au titre du DPA, le Client peut enjoindre à V2 Cloud Solution de suspendre le traitement des Données à caractère personnel jusqu’à ce que cette dernière se conforme au DPA ou que le DPA soit résilié. V2 Cloud Solution informe sans délai le Client dans le cas où elle n’est pas en mesure de se conformer au DPA, pour quelque raison que ce soit.
3. Le Client est en droit de résilier le DPA dans la mesure où il concerne le traitement des Données à caractère personnel conformément au Contrat si :
  1. le traitement des Données à caractère personnel par V2 Cloud Solution a été suspendu par le Client en application du point 11.2 et si la conformité au Contrat n’est pas rétablie dans un délai raisonnable et, en tout état de cause, dans un délai d’un mois suivant la suspension; ou
  2. V2 Cloud Solution ne se conforme pas à une décision contraignante d’un tribunal compétent ou de la ou des autorités de contrôle compétentes concernant ses obligations au titre du Contrat ou des Lois sur la protection des données qui lui sont applicables.
4. V2 Cloud Solution est en droit de résilier le Contrat dans la mesure où il concerne le traitement des Données à caractère personnel au titre du Contrat lorsque, après avoir informé le Client que ses instructions enfreignent les exigences légales applicables, le Client insiste sur le respect des instructions
5. À la suite de la résiliation ou de l’expiration du DPA, V2 Cloud Solution doit, au choix du Client, supprimer l’ensemble des Données à caractère personnel traitées pour le compte du Client, ou restituer l’ensemble des Données à caractère personnel au Client et supprimer les copies existantes, à moins que les Lois sur la protection des données qui lui sont applicables n’exigent la conservation des Données à caractère personnel. Jusqu’à ce que les données soient supprimées ou restituées, V2 Cloud Solution continue d’assurer le respect du DPA. En l’absence d’instructions du Client, les Données à caractère personnel seront supprimées conformément à l’Annexe II.
Demandes gouvernementales et réglementaires. Dans le cas où V2 Cloud Solution reçoit une demande juridiquement contraignante émanant d’une autorité gouvernementale, réglementaire ou chargée de l’application de la loi en vue de la divulgation de Données à caractère personnel traitées au titre du présent DPA ("Demande gouvernementale"), V2 Cloud Solution doit : (a) dans la mesure permise par la loi applicable, informer sans délai le Client par écrit de la Demande gouvernementale avant de divulguer toute Donnée à caractère personnel, et en tout état de cause dès que cela est raisonnablement possible; (b) ne divulguer que la quantité minimale de Données à caractère personnel strictement requise pour se conformer à la Demande gouvernementale; et (d) tenir un registre de toutes les Demandes gouvernementales reçues. Lorsque la loi applicable interdit à V2 Cloud Solution d’informer le Client d’une Demande gouvernementale, V2 Cloud Solution doit : (i) déployer des efforts commercialement raisonnables pour faire lever cette interdiction ou obtenir le droit d’informer le Client; et (ii) informer le Client dès qu’elle y est légalement autorisée. Aucune disposition de la présente section 12 n’oblige V2 Cloud Solution à agir en contravention de la loi applicable ou à engager des coûts ou une responsabilité pour contester une Demande gouvernementale, sauf si le Client a accepté par écrit de rembourser ces coûts à l’avance.
Modifications du DPA. V2 Cloud Solution peut mettre à jour ou modifier le présent DPA de temps à autre en publiant une version révisée sur son site Web, et la version révisée prend effet à la date de "Dernière mise à jour" indiquée ci-dessus. V2 Cloud Solution se réserve le droit de mettre à jour le DPA si les Lois sur la protection des données l’exigent ou afin de se conformer à ses obligations relatives aux transferts de Données à caractère personnel vers des pays tiers, telles que les clauses contractuelles types de l’UE.
Limitation de responsabilité. La responsabilité de chaque partie et de l’ensemble de ses Sociétés affiliées, prise globalement, découlant du présent DPA ou s’y rapportant, qu’elle soit de nature contractuelle, délictuelle ou fondée sur toute autre théorie de la responsabilité, est assujettie aux limitations et exclusions de responsabilité prévues dans le Contrat, et toute référence, dans des dispositions, à la responsabilité d’une partie s’entend de la responsabilité globale de cette partie et de l’ensemble de ses Sociétés affiliées au titre du Contrat et du DPA pris ensemble. Afin de dissiper toute ambiguïté, la responsabilité totale de V2 Cloud Solution, de ses Sociétés affiliées et de son Sous-traitant ultérieur à l’égard de toutes les réclamations du Client et de l’ensemble de ses Sociétés affiliées agissant comme Responsable du traitement, découlant du Contrat et du DPA ou s’y rapportant, s’applique de manière globale à l’ensemble des réclamations au titre du Contrat comme du DPA.
Droit applicable, choix du for et compétence. Le Contrat est régi et interprété conformément au droit prévu par le Contrat.

ANNEXE I : Liste des parties

Responsable(s) du traitement : Client

Sous-traitant(s) : V2 Cloud Solutions, Inc.

ANNEXE II : Description du traitement

Catégories de Personnes concernées dont les données à caractère personnel sont traitées

Les consommateurs qui visitent les sites Web de V2 Cloud Solutions
Les consommateurs qui soumettent des demandes de renseignements à V2 Cloud Solutions
Les employés du Client autorisés à utiliser les Services infonuagiques.

Catégories de données à caractère personnel traitées

Adresse IP, identifiant unique, historique de navigation
Pour les utilisateurs des produits de V2 Cloud Solutions : nom, adresse courriel, numéro de téléphone, toute donnée à caractère personnel qu’un utilisateur peut communiquer au moyen d’un formulaire Web, d’un clavardage en ligne ou d’un courriel .
Pour les clients potentiels de V2 Cloud Solutions : coordonnées professionnelles

Données sensibles traitées (le cas échéant) et restrictions ou garanties appliquées qui tiennent pleinement compte de la nature des données et des risques encourus, telles que, par exemple, une limitation stricte des finalités, des restrictions d’accès (y compris un accès réservé au personnel ayant suivi une formation spécialisée), la tenue d’un registre des accès aux données, des restrictions relatives aux transferts ultérieurs ou des mesures de sécurité supplémentaires.

Aucune

Nature du traitement

Collecte, transfert, saisie, suppression, correction, ajustement, stockage, analyse, mise en correspondance, partage, extraction, combinaison

Finalité(s) pour laquelle/lesquelles les données à caractère personnel sont traitées pour le compte du responsable du traitement / de l’entreprise

Fourniture de services d’accès à des postes de travail infonuagiques.

Durée du traitement

La durée du Contrat et, au plus tard, six (6) mois après son expiration ou sa résiliation.

Pour le traitement effectué par des (sous-)traitants / prestataires de services, préciser également l’objet, la nature et la durée du traitement

Identiques à ce qui est décrit ci-dessus dans la présente Annexe II.

ANNEXE III : Mesures techniques et organisationnelles, y compris les mesures techniques et organisationnelles visant à assurer la sécurité des données

Description des mesures techniques et organisationnelles de sécurité mises en œuvre par le(s) sous-traitant(s) (y compris toute certification pertinente) afin d’assurer un niveau de sécurité approprié, compte tenu de la nature, de la portée, du contexte et de la finalité du traitement, ainsi que des risques pour les droits et libertés des personnes physiques.

- 1. Accès du personnel et confidentialité

Accès limité aux données : V2 Cloud, agissant à titre de Sous-traitant, veille à ce que son personnel ne soit autorisé à accéder aux Données à caractère personnel du Client que lorsque cela est nécessaire à la fourniture des services et du soutien.
Interdiction de stockage local : il est interdit au personnel de V2 Cloud Solutions de stocker, de télécharger ou de conserver des Données à caractère personnel du Client ou des Données confidentielles du Client sur des appareils locaux ou personnels, à quelque moment que ce soit, y compris pendant les séances de soutien. Tout accès aux données du Client doit se faire exclusivement au moyen de systèmes autorisés et gérés de façon centralisée.

II. Confidentialité : contrôles d’entrée

Le Sous-traitant empêche l’utilisation des systèmes informatiques par des personnes non autorisées. Cela se concrétise par :

Des listes d’accès restreint
Des portes sécurisées
Un processus selon lequel l’octroi d’un accès à un utilisateur nécessite une revue par les pairs
d. Une authentification multifacteur ("MFA") requise pour tout accès administratif et privilégié aux environnements du Client.

III. Confidentialité : contrôles d’accès

Le Sous-traitant garantit que les personnes autorisées à utiliser un système de traitement des données ne peuvent accéder qu’aux données visées par leur autorisation d’accès et que les données à caractère personnel ne peuvent être lues, copiées, modifiées ou supprimées sans autorisation pendant leur traitement, leur utilisation ou après leur stockage. Cela se concrétise par :

Un processus selon lequel l’octroi d’un accès à un utilisateur nécessite une revue par les pairs
L’examen des journaux d’accès
c. Tout accès du personnel de V2 Cloud Solutions aux machines virtuelles et aux environnements du Client pendant les séances de soutien doit être documenté et suivi au moyen d’un système centralisé de billetterie (p. ex. Jira) avant que cet accès ne soit accordé.

IV. Confidentialité : contrôles de séparation

Le Sous-traitant garantit que les données collectées à des fins différentes peuvent être traitées séparément. Une séparation physique n’est pas nécessaire; une séparation logique des données est suffisante. Cela se concrétise par :

Une séparation logique pour tous les clients

V. Intégrité : contrôles de divulgation

Le Sous-traitant garantit que les données à caractère personnel ne peuvent être lues, copiées, modifiées ou supprimées sans autorisation pendant leur transmission ou leur transport électroniques ou leur stockage sur des supports de données, et qu’il est possible de vérifier et de déterminer à quels endroits les données à caractère personnel doivent être transmises au moyen d’équipements de transmission de données. Cela se concrétise par :

Le chiffrement des données en transit.

VI. Intégrité : contrôles de saisie

Le Sous-traitant garantit qu’il est possible de vérifier et de déterminer a posteriori si des données à caractère personnel ont été saisies, modifiées ou supprimées dans les systèmes de traitement des données, et par qui. Cela se concrétise par :

La journalisation

VII. Disponibilité et résilience : contrôles de disponibilité

Le Sous-traitant garantit que les données à caractère personnel sont protégées contre toute destruction ou perte accidentelle ou intentionnelle. Cela se concrétise par :

La journalisation
L’accès selon le principe du moindre privilège
Des sauvegardes

VIII. Disponibilité et résilience : capacité de rétablissement

Le Sous-traitant garantit la capacité de rétablir rapidement la disponibilité des données à caractère personnel et l’accès à celles-ci en cas d’incident physique ou technique, au moyen des mesures suivantes :

Des plans de reprise après sinistre et de continuité des activités

IX. Évaluation : gestion de la protection des données

Le Sous-traitant a mis en place un processus permettant d’examiner et d’évaluer régulièrement l’efficacité des mesures techniques et organisationnelles de protection afin de garantir la sécurité du traitement. Cela comprend :

Des vérifications aléatoires des mesures

Pour les transferts vers des (sous-)traitants / prestataires de services, décrire également les mesures techniques et organisationnelles spécifiques que le (sous-)traitant doit prendre pour être en mesure de prêter assistance au responsable du traitement

V2 Cloud Solutions tient à jour une politique de gestion des fournisseurs comportant des critères permettant d’identifier les fournisseurs clés, y compris ceux qui traitent des données à caractère personnel.

V2 Cloud Solutions tient à jour une liste des fournisseurs clés et procède à la gestion des risques liés aux fournisseurs.

Les Sous-traitants ultérieurs doivent adhérer à des SCCs, à des DPA ou à des accords similaires exigeant des mesures techniques et organisationnelles au moins aussi efficaces que celles de V2 Cloud Solutions.

Description des mesures techniques et organisationnelles spécifiques que le sous-traitant / prestataire de services doit prendre pour être en mesure de prêter assistance au responsable du traitement / à l’entreprise.

Des politiques et des procédures sont en place qui obligent V2 Cloud Solutions à prêter assistance au Client conformément aux exigences du Contrat et des Lois sur la protection des données.

ANNEXE IV : Liste des sous-traitants ultérieurs

Le nom, l’adresse, le nom de la personne-ressource, sa fonction et ses coordonnées, ainsi que la description du traitement (y compris une délimitation claire des responsabilités) pour chaque sous-traitant ultérieur sont accessibles à l’adresse Politique de confidentialité

Plateforme cloud sécurisée pour les équipes et les agents IA

Vous avez encore des questions ?