Parties

Le présent accord de traitement des données (le "DPA"), conclu en application de l'article 28 du Règlement (UE) 2016/679 (le "RGPD"), constitue une annexe intégrante du contrat-cadre de services et d'abonnement (le "MSA") conclu entre : Le responsable du traitement : l'entreprise qui a accepté le MSA lors de l'intégration, identifiée par l'entité juridique assujettie à la TVA renseignée au moyen du formulaire d'intégration et vérifiée par le service VIES (ci-après le "responsable du traitement" ou "vous") ; et Le sous-traitant : Forge Digital EOOD, exerçant sous l'enseigne Cars by Forge Digital, dont le siège social est établi ul. Aleksandar Stamboliiski N 5-B, flr. 8, office 60, 6000 Stara Zagora, Bulgarie, TVA BG208556549, EIK/UIC 208556549. Contact en matière de protection des données : Jonas Van Gavere, Managing Director, info@forgedigital.io (ci-après le "sous-traitant" ou "Forge Digital"). Le responsable du traitement et le sous-traitant sont chacun une "Partie" et ensemble les "Parties".

1 Définitions et rôles

Les termes tels que "données à caractère personnel", "traitement", "responsable du traitement", "sous-traitant", "personne concernée", "violation de données à caractère personnel" et "autorité de contrôle" ont le sens qui leur est donné dans le RGPD. Le RGPD désigne le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016. Les termes commençant par une majuscule utilisés dans le présent DPA et qui n'y sont pas définis ont le sens qui leur est donné dans le MSA. Aux fins du MSA et du présent DPA, le responsable du traitement agit en qualité de responsable du traitement et Forge Digital agit en qualité de sous-traitant à l'égard des données à caractère personnel traitées par Forge Digital pour le compte du responsable du traitement dans le cadre du Site web et des services connexes (les "Données à caractère personnel du responsable du traitement"). Les données à caractère personnel que Forge Digital traite au sujet du responsable du traitement lui-même, de ses utilisateurs administrateurs et de sa facturation (par exemple, l'adresse e-mail de l'administrateur du responsable du traitement et ses informations de facturation) sont traitées par Forge Digital en qualité de responsable du traitement indépendant et sont régies par la politique de confidentialité propre à Forge Digital, et non par le présent DPA.

2 Objet, durée, nature et finalité

Le présent DPA régit le traitement des Données à caractère personnel du responsable du traitement effectué par Forge Digital pour le compte du responsable du traitement dans le cadre du MSA. L'objet, la durée, la nature et la finalité du traitement, les types de Données à caractère personnel du responsable du traitement concernées et les catégories de personnes concernées sont exposés à l'Annexe 1. Le présent DPA prend effet à la date à laquelle le responsable du traitement l'accepte et reste en vigueur aussi longtemps que Forge Digital traite des Données à caractère personnel du responsable du traitement pour le compte de celui-ci. Cette période correspond à la durée du MSA, prolongée de la Période de grâce et de toute période supplémentaire raisonnablement nécessaire à la restitution ou à la suppression des Données à caractère personnel du responsable du traitement conformément à la Section 10.

3 Obligations du sous-traitant

Forge Digital s'engage, en ce qui concerne les Données à caractère personnel du responsable du traitement, à :

• traiter les Données à caractère personnel du responsable du traitement uniquement sur instruction documentée du responsable du traitement, y compris en ce qui concerne les transferts de données à caractère personnel vers un pays tiers, à moins qu'elle n'y soit tenue en vertu du droit de l'Union ou du droit de l'État membre auquel Forge Digital est soumise, auquel cas Forge Digital informe le responsable du traitement de cette obligation juridique avant le traitement, sauf si ce droit interdit une telle information pour des motifs importants d'intérêt public ;
• reconnaître que le MSA et le présent DPA (y compris ses annexes), conjointement avec l'utilisation de la Console par le responsable du traitement, constituent les instructions documentées du responsable du traitement à Forge Digital ;
• veiller à ce que les personnes autorisées à traiter les Données à caractère personnel du responsable du traitement s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité ;
• mettre en œuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, conformément à l'article 32 du RGPD, tel que décrit plus en détail à l'Annexe 3 ;
• respecter les conditions énoncées à la Section 5 pour recruter un autre sous-traitant (un sous-traitant ultérieur) ;
• compte tenu de la nature du traitement, aider le responsable du traitement, par des mesures techniques et organisationnelles appropriées, dans toute la mesure du possible, à s'acquitter de son obligation de donner suite aux demandes dont les personnes concernées le saisissent en vue d'exercer leurs droits prévus au chapitre III du RGPD ;
• aider le responsable du traitement à garantir le respect des obligations prévues aux articles 32 à 36 du RGPD, compte tenu de la nature du traitement et des informations à la disposition de Forge Digital ;
• selon le choix du responsable du traitement, supprimer ou renvoyer au responsable du traitement toutes les Données à caractère personnel du responsable du traitement au terme de la prestation de services relatifs au traitement, et détruire les copies existantes, à moins que le droit de l'Union ou le droit de l'État membre n'exige la conservation des Données à caractère personnel du responsable du traitement, conformément à la Section 10 ;
• mettre à la disposition du responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations prévues à l'article 28 du RGPD, et permettre la réalisation d'audits, y compris des inspections, et contribuer à ceux-ci, conformément à la Section 9.

4 Sécurité du traitement

Forge Digital met en œuvre les mesures techniques et organisationnelles exposées à l'Annexe 3 afin de garantir un niveau de sécurité adapté au risque. Ces mesures tiennent compte de l'état des connaissances, des coûts de mise en œuvre, de la nature, de la portée, du contexte et des finalités du traitement, ainsi que du risque, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques. Forge Digital peut mettre à jour ces mesures de temps à autre, pour autant que le niveau global de sécurité ne soit pas réduit.

5 Sous-traitance ultérieure

5.1 Autorisation écrite générale

Le responsable du traitement accorde à Forge Digital une autorisation écrite générale, au sens de l'article 28, paragraphe 2, du RGPD, de recruter les sous-traitants ultérieurs décrits à l'Annexe 2 pour les activités de traitement décrites dans cette annexe. L'Annexe 2 décrit chaque sous-traitant ultérieur par sa fonction et par sa région de traitement ; la liste complète, indiquant chaque sous-traitant ultérieur et son entité juridique, est mise à la disposition du responsable du traitement à tout moment sur demande adressée à support@forgedigital.io.

5.2 Information relative aux nouveaux sous-traitants ultérieurs

Lorsque Forge Digital entend ajouter ou remplacer un sous-traitant ultérieur, elle informe préalablement le responsable du traitement du changement envisagé, en indiquant la fonction, l'entité juridique et la région de traitement du sous-traitant ultérieur entrant, et en donnant au responsable du traitement la possibilité de s'y opposer pour des motifs raisonnables tenant à la protection des données dans un délai de trente (30) jours à compter de la notification. Si le responsable du traitement ne s'y oppose pas dans ce délai, le changement est réputé accepté. La liste complète et à jour des sous-traitants ultérieurs, indiquant chacun d'eux, est mise à la disposition du responsable du traitement à tout moment sur demande adressée à support@forgedigital.io.

5.3 Opposition

Si le responsable du traitement s'oppose raisonnablement à un sous-traitant ultérieur nouveau ou de remplacement pour des motifs tenant à la protection des données, les Parties examinent l'opposition de bonne foi. Si les Parties ne parviennent pas à résoudre l'opposition, le responsable du traitement peut résilier les services concernés avec effet à une date qu'il détermine, auquel cas Forge Digital rembourse les Frais prépayés afférents à la période postérieure à la résiliation. Il s'agit du seul et unique recours du responsable du traitement en cas d'opposition non résolue.

5.4 Répercussion des obligations

Forge Digital impose à chaque sous-traitant ultérieur, par voie de contrat ou d'un autre acte juridique au titre du droit de l'Union ou du droit d'un État membre, les mêmes obligations en matière de protection des données que celles énoncées dans le présent DPA, en particulier l'obligation de présenter des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. Lorsqu'un sous-traitant ultérieur ne remplit pas ses obligations en matière de protection des données, Forge Digital demeure pleinement responsable envers le responsable du traitement de l'exécution des obligations de ce sous-traitant ultérieur.

6 Transferts internationaux

6.1 Localisation principale

Les Données à caractère personnel du responsable du traitement sont traitées au sein de l'Union européenne / de l'Espace économique européen (UE/EEE). Le prestataire de la base de données et du stockage de fichiers héberge les données à Francfort, en Allemagne, et le prestataire d'hébergement de l'application sert le Site web depuis sa région de Francfort.

6.2 Transferts vers des sous-traitants ultérieurs

Lorsqu'un sous-traitant ultérieur recruté conformément à la Section 5 est établi en dehors de l'EEE, ou lorsque des Données à caractère personnel du responsable du traitement sont autrement transférées en dehors de l'EEE, un tel transfert n'a lieu que sous réserve des garanties requises au titre du chapitre V du RGPD, à savoir (selon le cas) :

• une décision d'adéquation de la Commission européenne (y compris le recours à l'EU-US Data Privacy Framework lorsque le destinataire est une organisation américaine certifiée) ;
• les clauses contractuelles types de la Commission européenne relatives au transfert de données à caractère personnel vers des pays tiers en application du Règlement (UE) 2016/679, assorties des mesures supplémentaires appropriées à la suite d'une analyse d'impact du transfert ; ou
• une autre garantie appropriée reconnue par le RGPD.

6.3 Analyses d'impact des transferts

Forge Digital documente, pour chaque sous-traitant ultérieur vers lequel des Données à caractère personnel du responsable du traitement sont susceptibles d'être transférées en dehors de l'EEE, le mécanisme de transfert invoqué et, le cas échéant, une brève analyse d'impact du transfert. Ces documents sont mis à la disposition du responsable du traitement sur demande.

7 Violation de données à caractère personnel

Forge Digital notifie au responsable du traitement, dans les meilleurs délais et en tout état de cause au plus tard soixante-douze (72) heures après en avoir pris connaissance, toute violation de données à caractère personnel affectant les Données à caractère personnel du responsable du traitement. La notification comprend, dans la mesure où l'information est disponible pour Forge Digital à ce moment, les informations visées à l'article 33, paragraphe 3, du RGPD, à savoir :

• une description de la nature de la violation, y compris, si possible, les catégories et le nombre approximatif de personnes concernées et d'enregistrements de données à caractère personnel concernés ;
• le nom et les coordonnées du contact de Forge Digital en matière de protection des données ;
• une description des conséquences probables de la violation ;
• une description des mesures prises ou proposées pour remédier à la violation, y compris, le cas échéant, les mesures visant à en atténuer les éventuelles conséquences négatives.

Lorsque les informations ne peuvent être fournies en même temps, elles le sont de manière échelonnée sans autre retard indu. Forge Digital fournit au responsable du traitement une assistance raisonnable supplémentaire pour lui permettre de satisfaire à ses propres obligations au titre des articles 33 et 34 du RGPD.

8 Droits des personnes concernées

Lorsque Forge Digital reçoit une demande d'une personne concernée visant à exercer des droits au titre du RGPD (tels que l'accès, la rectification, l'effacement, la limitation, la portabilité des données ou l'opposition) en lien avec des Données à caractère personnel du responsable du traitement, Forge Digital transmet cette demande au responsable du traitement dans les meilleurs délais et, sauf interdiction de le faire, sans y répondre elle-même. Forge Digital aide le responsable du traitement à répondre à ces demandes ainsi qu'il est décrit à la Section 3.

9 Audits

Forge Digital met à la disposition du responsable du traitement toutes les informations raisonnablement nécessaires pour démontrer le respect du présent DPA et de l'article 28 du RGPD, et permet la réalisation d'audits, y compris des inspections, menés par le responsable du traitement ou par un auditeur indépendant mandaté par celui-ci, et y contribue. Le responsable du traitement peut exercer ce droit d'audit une fois par année civile moyennant un préavis écrit raisonnable d'au moins trente (30) jours, et en outre sans un tel délai de préavis à la suite d'une violation de données à caractère personnel confirmée affectant les Données à caractère personnel du responsable du traitement. Les audits sont réalisés pendant les heures normales de bureau, d'une manière qui limite au minimum la perturbation des activités de Forge Digital, et sous réserve d'engagements de confidentialité raisonnables souscrits par le responsable du traitement et son auditeur à l'égard des informations commerciales de Forge Digital et des données à caractère personnel des autres clients de Forge Digital. Lorsque Forge Digital dispose de certifications de tiers, de rapports d'audit ou d'évaluations de sécurité en cours de validité et pertinents pour le traitement couvert par le présent DPA, elle peut satisfaire, en tout ou en partie, à la demande d'audit du responsable du traitement en fournissant cette documentation. Chaque Partie supporte ses propres frais d'audit, étant entendu que si un audit révèle un manquement substantiel de Forge Digital au présent DPA, Forge Digital rembourse les honoraires raisonnables de l'auditeur du responsable du traitement.

10 Restitution et suppression

10.1 En cas de résiliation

À la résiliation ou à l'expiration du MSA, ou sur demande écrite antérieure du responsable du traitement, Forge Digital, selon le choix du responsable du traitement, supprime ou restitue au responsable du traitement toutes les Données à caractère personnel du responsable du traitement traitées pour son compte, et supprime les copies existantes détenues par Forge Digital, sous réserve des Sections 10.2 et 10.3.

10.2 Fenêtre de récupération de 90 jours

Les Parties reconnaissent que la Plateforme conserve les Données à caractère personnel du responsable du traitement pendant une Période de grâce de quatre-vingt-dix (90) jours suivant la résiliation, afin de permettre au responsable du traitement de rétablir l'abonnement et de récupérer ses données. Pendant la Période de grâce, les Données à caractère personnel du responsable du traitement sont conservées à l'état suspendu, ne font pas l'objet d'un traitement actif et ne sont accessibles à aucune partie autre que le personnel autorisé de Forge Digital, aux seules fins strictes du maintien de la capacité de récupération. Cette conservation constitue une instruction documentée du responsable du traitement aux fins de l'article 28, paragraphe 3, point g), du RGPD : en acceptant le présent DPA, le responsable du traitement donne instruction à Forge Digital de conserver les Données à caractère personnel du responsable du traitement pendant la Période de grâce et de les supprimer par la suite.

10.3 Après la Période de grâce

À l'issue de la Période de grâce, Forge Digital supprime définitivement les Données à caractère personnel du responsable du traitement de la Plateforme, à l'exception des enregistrements limités identifiés à la Section 14.4 du MSA (factures et documents comptables, journal d'acceptation des versions contractuelles, journal d'envoi expurgé comportant uniquement les adresses e-mail destinataires de la boîte de réception et des administrateurs du responsable du traitement, et historique des offres de rétention). Forge Digital continue de protéger ces enregistrements conformément au présent DPA aussi longtemps qu'ils sont conservés.

11 Responsabilité et droit applicable

Le régime de responsabilité légale du RGPD s'applique à chaque Partie en ce qui concerne son traitement de données à caractère personnel. Sous réserve de ce qui précède, le présent DPA est régi par le droit bulgare et tout litige né du présent DPA ou en relation avec celui-ci relève de la compétence exclusive des tribunaux de Stara Zagora, Bulgarie, conformément à la Section 22 du MSA (qui comporte l'exception unilatérale en faveur de Forge Digital). En cas de contradiction entre le présent DPA et le MSA sur des questions de protection des données, le présent DPA prévaut. Le présent DPA constitue une annexe intégrante du MSA ; les autres dispositions du MSA demeurent inchangées.

12 Acceptation

Le présent DPA est conclu par voie électronique. En cliquant sur "Accepter" lors de l'intégration, le responsable du traitement accepte d'être lié par celui-ci et aucune signature manuscrite n'est requise. Forge Digital enregistre l'acceptation, l'identifiant et la version du présent DPA, la date et l'heure exactes, une adresse IP hachée, ainsi que la langue dans laquelle le présent DPA a été affiché.

Annex 1 Détails du traitement

Objet

L'hébergement du Site web du responsable du traitement et la transmission au responsable du traitement des demandes soumises par les visiteurs du site web, ainsi qu'il est décrit plus en détail dans le MSA.

Durée

Pour la durée du MSA conclu entre les Parties, prolongée de la Période de grâce et, par la suite, de toute période nécessaire à la restitution ou à la suppression des Données à caractère personnel du responsable du traitement conformément à la Section 10 du présent DPA.

Nature et finalité du traitement

• l'hébergement et le stockage du contenu du site web et des données soumises ;
• la réception et la transmission par e-mail au responsable du traitement des demandes et des soumissions de formulaires de contact, lesquelles ne sont pas conservées sur la Plateforme ;
• le stockage des offres de véhicules soumises par des vendeurs particuliers au moyen du formulaire "proposez votre voiture", lesquelles sont effacées lorsque le véhicule est vendu ou, à défaut de vente, vingt-quatre (24) mois après le dernier contact ;
• la fourniture et l'exploitation de la Console utilisée par le ou les utilisateurs autorisés du responsable du traitement pour gérer les véhicules, les offres et les paramètres ;
• la génération de statistiques d'analyse web agrégées et non identifiantes ;
• la traduction automatique des textes de véhicules rédigés par le responsable du traitement vers les autres langues publiques du Site web ;
• le traitement d'images assisté par IA en option (illustration de la page d'accueil, remplacement de l'arrière-plan des photos de véhicules) tel que commandé par le responsable du traitement ;
• la recherche VIN facultative utilisée par le responsable du traitement pour préremplir une annonce.

Types de données à caractère personnel

• Données d'identification et de contact des visiteurs soumises via le Site web : nom, adresse e-mail, numéro de téléphone, contenu du message et préférence de langue / de paramètres régionaux.
• Coordonnées et photographies de véhicules soumises par des vendeurs particuliers au moyen du formulaire "proposez votre voiture", y compris toute donnée à caractère personnel captée incidemment sur une photographie (par exemple, un visage ou une plaque d'immatriculation visible à l'arrière-plan).
• Données techniques : un hachage salé de l'adresse IP du visiteur (aux fins du tri des spams et de la prévention des abus), la chaîne user-agent du navigateur et les horodatages de la requête.
• L'adresse e-mail du ou des utilisateurs administrateurs du responsable du traitement utilisée pour accéder à la Console, ainsi que les codes de connexion sans mot de passe à huit chiffres émis à cette adresse.

Catégories de personnes concernées

• Les visiteurs du Site web du responsable du traitement et les clients potentiels du responsable du traitement qui soumettent une demande ou une requête via le formulaire de contact.
• Les vendeurs particuliers qui soumettent un véhicule au responsable du traitement au moyen du formulaire "proposez votre voiture", ainsi que toute personne physique incidemment identifiable sur les photographies fournies avec une telle soumission.
• Le ou les utilisateurs administrateurs du responsable du traitement autorisés à accéder à la Console.

Catégories particulières de données

Néant. Le traitement ne porte pas sur des catégories particulières de données à caractère personnel au sens de l'article 9 du RGPD ni sur des données à caractère personnel relatives aux condamnations pénales et aux infractions au sens de l'article 10 du RGPD. Le responsable du traitement s'abstient de soumettre, et veille à ce que les visiteurs du Site web ne soient pas invités à soumettre, des données relevant de catégories particulières via les formulaires de demande ou de contact du Site web.

Annex 2 Sous-traitants ultérieurs

Le responsable du traitement autorise Forge Digital à recruter les sous-traitants ultérieurs suivants dans le cadre du traitement décrit à l'Annexe 1. Chaque sous-traitant ultérieur est décrit ici par sa fonction et par sa région de traitement ; la liste complète, indiquant chaque sous-traitant ultérieur et son entité juridique, est mise à la disposition du responsable du traitement à tout moment sur demande adressée à support@forgedigital.io. Forge Digital informe préalablement le responsable du traitement de tout ajout ou remplacement envisagé d'un sous-traitant ultérieur, afin que le responsable du traitement puisse s'y opposer, et peut mettre cette liste à jour de temps à autre conformément à la Section 5 du présent DPA.

Note relative au prestataire de services de paiement

Le prestataire de services de paiement fournit, par l'intermédiaire de son entité américaine et de son entité irlandaise, des services de paiement par carte et de facturation dans le cadre de la facturation du responsable du traitement par Forge Digital. En ce qui concerne ce traitement, Forge Digital est le responsable du traitement et le prestataire de services de paiement est un responsable du traitement distinct au titre de sa propre déclaration de confidentialité. Ce traitement n'est pas effectué pour le compte du responsable du traitement et se situe dès lors en dehors du champ d'application du présent DPA. Il est décrit dans la politique de confidentialité propre à Forge Digital, et l'identité du prestataire de services de paiement est communiquée sur demande adressée à support@forgedigital.io.

Note relative aux appels d'API de tiers

Les appels d'API de tiers effectués dans le cadre d'un Site web sont acheminés via le plan de contrôle propre à Forge Digital plutôt qu'émis directement depuis le Site web du responsable du traitement. Par conséquent, le Site web du responsable du traitement ne détient aucune donnée d'identification d'API de tiers. Juridiquement, chacun de ces prestataires demeure un sous-traitant ultérieur de Forge Digital et est repris dans la liste ci-dessus.

Annex 3 Mesures techniques et organisationnelles (article 32 du RGPD)

Forge Digital met en œuvre et maintient les mesures techniques et organisationnelles suivantes, telles qu'elles existent de temps à autre. Forge Digital peut mettre ces mesures à jour pour autant que le niveau global de sécurité ne soit pas réduit.

Chiffrement et sécurité du transport

• Chiffrement TLS des données en transit sur l'ensemble des points de terminaison accessibles au public, chaque Site web étant servi exclusivement en HTTPS.
• Chiffrement au repos de la base de données et du stockage de fichiers.
• Provisionnement et renouvellement automatiques des certificats de sécurité.

Contrôle des accès

• Contrôle d'accès fondé sur les rôles et principe du moindre privilège pour les accès d'administration et de support.
• Authentification forte pour la Console au moyen d'une connexion par code à usage unique envoyé par e-mail, sans mot de passe. Aucun mot de passe n'est conservé.
• Authentification multifacteur (application d'authentification) exigée en outre pour le compte super-administrateur propre à Forge Digital.

Protection des données au repos

• Base de données mono-locataire dédiée par responsable du traitement : aucun mélange de données.
• Pseudonymisation des données techniques : les adresses IP des visiteurs sont conservées uniquement sous la forme d'un hachage cryptographique salé, jamais en clair.
• Résidence des données exclusivement dans l'UE (Francfort, Allemagne), sous réserve de l'Annexe 2.

Sauvegardes et continuité

• Sauvegardes automatisées quotidiennes de la base de données, conservées pendant sept (7) jours.
• Déploiements sans interruption de service, chaque version passant des contrôles automatisés ainsi qu'une approbation humaine explicite avant d'atteindre les responsables du traitement.

Audit et journalisation

• Journalisation et surveillance de l'activité de l'infrastructure et de l'application.
• Un journal d'audit immuable, en ajout seul, des e-mails sortants envoyés via la Plateforme. Le journal contient l'adresse e-mail du destinataire (la boîte de réception du responsable du traitement ou son utilisateur administrateur, jamais celle d'un visiteur du Site web), ainsi qu'un identifiant de référence, le type de message, le véhicule concerné (le cas échéant) et l'état de la remise. Le nom de l'expéditeur, le nom du visiteur et le texte du message n'atteignent jamais le journal.

Réseau et infrastructure

• Sécurité réseau et pare-feu de l'infrastructure d'hébergement et de base de données.
• DNSSEC sur les domaines gérés par Forge Digital.
• Atténuation des attaques DDoS au niveau du réseau et du DNS (telle que fournie par les prestataires d'infrastructure sous-jacents).

Développement et exploitation

• Pratiques de développement logiciel sécurisé, y compris l'analyse des dépendances et des vulnérabilités.
• Processus de gestion des changements avec approbation humaine avant tout déploiement en production.

Sous-traitants ultérieurs et confidentialité

• Accords écrits de traitement des données avec tous les sous-traitants ultérieurs énumérés à l'Annexe 2.
• Sécurité physique et sécurité des centres de données héritées des sous-traitants ultérieurs de Forge Digital établis dans l'UE.
• Obligations de confidentialité s'imposant à l'ensemble du personnel et des prestataires ayant accès aux données à caractère personnel.

Fin de l'accord de traitement des données.