Addendum relatif au traitement des données

DATE D'ENTRÉE EN VIGUEUR : 29 juin 2026

Le présent avenant relatif au traitement des données (ci-après dénommé «l’Avenant ») est intégré au Contrat-cadre d’abonnement ou à tout autre contrat (ci-après dénommé «le Contrat ») conclu entre SnapLogic, Inc. et la partie désignée dans le Contrat sous le nom de« Client »(ci-après dénommées collectivement « lesParties ») et en fait partie intégrante. Les termes en majuscules utilisés dans le présent Avenant mais non définis dans celui-ci ont le sens qui leur est attribué dans le Contrat.

Objet et durée.
1. Objet. Le présent accord sur le traitement des données (DPA) reflète l’engagement des parties à respecter les lois applicables en matière de protection des données concernant le traitement des données à caractère personnel dans le cadre de la fourniture des services de SnapLogic conformément au contrat. En cas de contradiction entre les dispositions du présent DPA ou de l’une de ses annexes et celles du contrat, le présent DPA prévaudra.
2. Durée et survie. Le présent accord sur le traitement des données (DPA) deviendra juridiquement contraignant à la dernière des deux dates suivantes : (i) la date d’entrée en vigueur du Contrat ou (ii) la date à laquelle les Parties signeront le présent DPA. SnapLogic traitera les données à caractère personnel jusqu’à la résiliation du Contrat. Les obligations de SnapLogic et les droits du Client au titre du présent DPA resteront en vigueur tant que SnapLogic traitera des données à caractère personnel.
Définitions.

Aux fins du présent ATD, les termes suivants s'appliquent.

Le terme « Législation applicable en matière de protection des données »désigne l’ensemble des lois et réglementations mondiales relatives à la protection des données et à la vie privée applicables aux Données à caractère personnel en question (telles qu’elles peuvent être modifiées, abrogées ou remplacées de temps à autre), y compris, le cas échéant :

«Législation de l’UE en matière de protection des données» : le règlement (UE) 2016/679 du Parlement européen et du Conseil relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données) (« RGPD ») et la directive européenne « e-Privacy » (directive 2002/58/CE), telles que mises en œuvre et transposées dans le droit national par les États membres de l’UE.

« Loifédéralesuisse sur la protectiondesdonnées» : la loi fédérale suisse sur la protection des données de 1992.

«Législation britannique en matière de protection des données» : la loi britannique sur la protection des données et le RGPD, tels qu’incorporés dans le droit britannique par la loi de 2018 sur la protection des données et modifiés par le règlement de 2019 relatif à la protection des données, à la vie privée et aux communications électroniques (modifications, etc.) (sortie de l’UE).

«Législation américaine en matière de protection des données» : l’ensemble des lois et règlements étatiques applicables en matière de protection des données, tels qu’ils peuvent être modifiés ou remplacés de temps à autre, y compris la loi californienne sur les droits à la vie privée (« CPRA ») ; la loi sur la vie privée du Colorado ; la loi sur la confidentialité des données à caractère personnel et la surveillance en ligne du Connecticut ; la loi sur la confidentialité des données à caractère personnel du Delaware ; la loi sur la protection des données des consommateurs de l’Indiana ; la loi sur la protection des données des consommateurs de l’Iowa ; la loi sur la confidentialité des données des consommateurs du Montana ; la loi sur la vie privée des consommateurs de l’Oregon ; la loi sur la protection de l’information du Tennessee ; la loi sur la confidentialité et la sécurité des données du Texas ; la loi sur la vie privée des consommateurs de l’Utah ; la loi sur la protection des données des consommateurs de Virginie.

Les termes« Responsable du traitement »,« Sous-traitant », «Personne concernée »et «Traitement »(qu’ils soient ou non écrits avec une majuscule) ont le sens qui leur est attribué par le RGPD et englobent les termes équivalents figurant dans d’autres lois applicables en matière de protection des données, dans chaque cas tels qu’ils s’appliquent aux Services.
Le terme « Données à caractère personnel »désigne toute Donnée client : (a) relative à une personne physique identifiée ou identifiable, au sens du RGPD (que celui-ci s’applique ou non), (b) constituant des « informations personnelles » telles que ce terme est défini dans la législation américaine sur la protection des données, et (c) les termes équivalents dans d’autres législations applicables en matière de protection des données.
Les « SCC »ou« clauses contractuelles types »désignent les clauses contractuelles types relatives au transfert de données à caractère personnel vers des sous-traitants établis dans des pays tiers en vertu du RGPD, telles qu’approuvées par la décision d’exécution 2021/914 de la Commission européenne. L’annexe A du présent accord sur le traitement des données (DPA) contient certaines dispositions interprétatives et complémentaires concernant l’application des clauses contractuelles types.
«Incident(s) de sécurité» désigne toute violation de la sécurité entraînant la perte accidentelle ou illégale, la divulgation non autorisée ou l'accès non autorisé aux données personnelles du client traitées par SnapLogic.
Le terme«Services »désigne l'ensemble des services fournis par SnapLogic dans le cadre du Contrat.
Le terme « sous-traitant »désigne les sous-traitants, agents, fournisseurs et prestataires de services tiers agréés par SnapLogic (c'est-à-dire les sous-traitants) qui traitent des données à caractère personnel.

Utilisation et traitement des données.
1. Le Client et SnapLogic conviennent que : (i) le Client est le responsable du traitement ou le sous-traitant des Données à caractère personnel et SnapLogic est le sous-traitant ou le sous-traitant secondaire, selon le cas ; et (ii) le présent Avenant s’applique uniquement dans la mesure où SnapLogic traite des Données à caractère personnel pour le compte du Client en tant que sous-traitant ou sous-traitant secondaire dans le cadre de la fourniture des Services. Dans la mesure où les parties partagent des coordonnées professionnelles afin d’entretenir leur relation, chaque partie est un responsable du traitement distinct de ces données à caractère personnel.
2. Le Client s’engage à ce que : (i) il ait obtenu tous les consentements nécessaires ou se soit assuré de disposer d’autres bases juridiques valables (le cas échéant), autorisations et droits, et ait fourni toutes les notifications pertinentes requises en vertu des Lois applicables en matière de protection des données afin que SnapLogic puisse traiter légalement les Données à caractère personnel conformément au présent Contrat, y compris, sans s’y limiter, le partage et/ou la réception par le Client de Données à caractère personnel avec des tiers via les Services ; (ii) il se conformera aux lois applicables en matière de protection des données et sera responsable du respect de ces lois par ses sociétés affiliées et ses utilisateurs ; et (iii) ses instructions de traitement données à SnapLogic sont conformes aux lois applicables en matière de protection des données et à toutes les instructions émanant de responsables du traitement tiers, le cas échéant.
3. Respect des lois. Les données à caractère personnel seront traitées conformément aux dispositions du présent ATD et à toutes les lois applicables en matière de protection des données.
4. Instructions documentées. SnapLogic et ses sous-traitants ne traiteront les données à caractère personnel que conformément aux instructions documentées du client ou comme expressément autorisé par le présent ATD, le contrat ou tout cahier des charges applicable. SnapLogic informera le client par écrit, sauf si la loi l'interdit, s'il estime raisonnablement qu'il existe un conflit entre les instructions du client et la loi applicable ou s'il cherche à traiter les données à caractère personnel d'une manière incompatible avec les instructions du client.
5. Autorisation d'utiliser des sous-traitants. Dans la mesure nécessaire pour remplir les obligations contractuelles de SnapLogic en vertu du Contrat ou de tout Énoncé des travaux, le Client autorise par la présente SnapLogic à faire appel à des sous-traitants. Tout traitement de données à caractère personnel par un sous-traitant doit être conforme aux instructions documentées du Client et respecter toutes les lois applicables en matière de protection des données.
6. Conformité de SnapLogic et des sous-traitants. SnapLogic s'engage à (i) conclure un accord écrit avec chaque sous-traitant concernant son traitement des données à caractère personnel, qui impose à ce sous-traitant des exigences en matière de protection et de sécurité des données à caractère personnel conformes à la ou aux lois applicables en matière de protection des données ; et (ii) rester responsable envers le client en cas de manquement des sous-traitants de SnapLogic à leurs obligations en matière de traitement des données à caractère personnel conformément à ces instructions, au contrat et au présent ATD.
7. Droit d’opposition aux sous-traitants. SnapLogic tient à jour une liste des sous-traitants des Services qui traitent les Données à caractère personnel fournies par le Client à l’adresse https://www.snaplogic.com/privacy-subprocessors (« Liste des sous-traitants »). Cette page comprend un mécanisme d’abonnement permettant de recevoir des notifications concernant les nouveaux sous-traitants. SnapLogic s’engage à notifier aux clients abonnés, au moins trente (30) jours à l’avance, la désignation d’un ou de plusieurs nouveaux sous-traitants avant d’autoriser ces derniers à traiter des données à caractère personnel via les Services. Si le Client a des objections légitimes à la désignation d’un nouveau sous-traitant, les parties collaboreront de bonne foi pour résoudre les motifs de l’objection pendant une période maximale de trente (30) jours ; à défaut d’une telle résolution, le Client pourra résilier la partie du Service fournie au titre du Contrat qui ne peut être exécutée par SnapLogic sans le recours au sous-traitant contesté. SnapLogic remboursera au Client les frais prépayés au prorata de la partie du Service résiliée.
8. Confidentialité. Toute personne ou tout sous-traitant secondaire autorisé à traiter des données à caractère personnel doit s'engager à préserver la confidentialité de ces informations ou être soumis à une obligation de confidentialité appropriée sur le plan éthique, légal ou contractuel.
9. Demandes et requêtes relatives aux données personnelles. SnapLogic s'engage à se conformer à toutes les instructions raisonnables du Client relatives à toute demande émanant de personnes physiques/personnes concernées exerçant leurs droits en matière de données personnelles qui leur sont accordés en vertu des lois applicables en matière de protection des données («Demande relative à la confidentialité »). À la demande du Client et sans retard injustifié, SnapLogic s'engage à aider le Client à répondre ou à se conformer à toute Demande relative à la confidentialité dans la mesure du possible.
10. Évaluation de l'impact sur la protection des données et consultation préalable. SnapLogic s'engage à fournir une assistance raisonnable au client, aux frais de ce dernier, lorsque, selon le jugement du client, le type de traitement effectué par SnapLogic est susceptible d'entraîner un risque élevé pour les droits et libertés des personnes physiques (par exemple, profilage systématique et étendu, traitement de données à caractère personnel sensibles à grande échelle ou surveillance systématique à grande échelle, ou lorsque le traitement utilise de nouvelles technologies) et nécessite donc une analyse d'impact relative à la protection des données et/ou une consultation préalable avec les autorités compétentes en matière de protection des données.
11. Conformité démontrable. SnapLogic s'engage à conserver les registres de son traitement conformément aux lois applicables en matière de protection des données et à fournir au client tous les registres nécessaires pour démontrer sa conformité sur demande raisonnable.
12. Exigences de la CPRA. En ce qui concerne les données à caractère personnel auxquelles s'applique la CPRA (les termes en majuscules utilisés dans la présente section ayant la signification qui leur est donnée dans la CPRA), SnapLogic s'engage à NE PAS :
  - vendre ou partager les données personnelles des clients ;
  - conserver, utiliser ou divulguer les données à caractère personnel des clients à des fins autres que celles spécifiées dans le contrat, sauf autorisation expresse prévue par la CCPA ;
  - conserver, utiliser ou divulguer les données personnelles du client en dehors du cadre de la relation commerciale directe entre le client et SnapLogic ; ou
  - combiner les données à caractère personnel des clients avec des données à caractère personnel qu’elle reçoit de, ou pour le compte de, une ou plusieurs autres personnes, ou qu’elle collecte dans le cadre de ses propres interactions avec le consommateur, sauf pour poursuivre des finalités commerciales telles que définies dans les règlements adoptés en application de l’article 1798.185(a)(10) de la CPRA.

Nonobstant ce qui précède, aucune disposition du présent accord sur le traitement des données (DPA) ne limite la capacité de SnapLogic à divulguer des données à caractère personnel afin de se conformer aux lois applicables ; toutefois, si une telle divulgation est requise, SnapLogic en informera sans délai le client, à moins que cette notification ne soit interdite par la loi applicable ou par une décision juridiquement contraignante, ou la communiquera à un sous-traitant dans le cadre d’une finalité commerciale et conformément aux dispositions relatives aux sous-traitants énoncées ci-dessus. SnapLogic certifie par la présente qu’elle comprend les obligations énoncées dans les présentes et qu’elle s’engage à les respecter.

Transferts transfrontaliers de données à caractère personnel.
1. Consentement. SnapLogic ne peut transférer des Données à caractère personnel vers un lieu situé en dehors de l’Espace économique européen ou du Royaume-Uni, ni traiter ces données dans un tel lieu, sans le consentement écrit préalable du Client, sauf conformément à la section 4(b) ci-dessous (dans chaque cas, un «Transfert »).
2. Mécanismes de transfert conformes. Sans préjudice de ce qui précède, le Client consent aux Transferts lorsque SnapLogic a mis en œuvre une solution de transfert conforme aux Lois applicables en matière de protection des données, qui peut par exemple inclure : (a) lorsque ce transfert fait l'objet d'une décision d'adéquation de la Commission européenne ; (b) les clauses contractuelles types ; (c) le cadre de protection des données administré par le ministère américain du Commerce (et son ou ses successeurs, le cas échéant) ; (d) une autre garantie appropriée conformément à l'article 46 du RGPD ou une garantie équivalente en vertu du RGPD, de la loi suisse sur la protection des données ou de la loi britannique sur la protection des données ; ou (e) une dérogation conformément à l'article 49 du RGPD ou son équivalent en vertu de la loi suisse sur la protection des données ou de la loi britannique sur la protection des données.

Programme de sécurité de l'information.
1. SnapLogic s'engage à mettre en œuvre les mesures techniques et organisationnelles appropriées destinées à protéger les données à caractère personnel, conformément aux lois applicables en matière de protection des données (les «Programme de sécurité de l'information« »). Ces mesures comprennent notamment :
  - la pseudonymisation des données à caractère personnel, le cas échéant, et le chiffrement des données à caractère personnel en transit et au repos ;
  - La capacité à garantir en permanence la confidentialité, l'intégrité et la disponibilité du traitement et des données à caractère personnel de SnapLogic ;
  - La capacité à rétablir la disponibilité et l'accès aux données à caractère personnel en cas d'incident physique ou technique ; et
  - Processus visant à évaluer et à tester régulièrement l'efficacité du programme de sécurité de l'information de SnapLogic afin de garantir la sécurité des données personnelles contre toute destruction, perte, altération, divulgation ou accès non autorisé, accidentel ou illégal, raisonnablement suspecté ou avéré.
Incidents de sécurité.
1. Procédure en cas d'incident de sécurité. SnapLogic suivra les politiques et procédures visant à détecter, traiter et résoudre les incidents de sécurité, y compris les procédures visant à (i) identifier et traiter les incidents de sécurité raisonnablement suspectés ou connus, atténuer les effets néfastes des incidents de sécurité, documenter les incidents de sécurité et leurs conséquences, et (ii) rétablir la disponibilité ou l'accès aux données personnelles dans les meilleurs délais.
2. Avis. SnapLogic s’engage à adresser sans délai et dans les délais prévus par la ou les lois applicables en matière de protection des données (sans toutefois dépasser quarante-huit (48) heures) un avis écrit au point de contact désigné par le Client (tel que défini à la section 9) dès qu’elle a connaissance qu’un incident de sécurité s’est produit. Cette notification comprendra toutes les informations disponibles requises par la ou les lois applicables en matière de protection des données afin que le Client puisse se conformer à ses propres obligations de notification envers les autorités réglementaires ou les personnes concernées par l’incident de sécurité.
Audits.
1. Droit d'audit ; audits autorisés. Outre les autres droits d'audit décrits dans le Contrat, le Client et ses régulateurs ont le droit de procéder à un audit sur site de l'architecture, des systèmes, des politiques et des procédures de SnapLogic liés à la sécurité et à l'intégrité des Données personnelles, ou tel que requis par un régulateur gouvernemental :
  - À la suite de toute notification adressée par SnapLogic au Client concernant un incident de sécurité impliquant des données à caractère personnel et dont la responsabilité incombe à SnapLogic ;
  - Conformément aux exigences des organismes de réglementation gouvernementaux ; et
  - À la demande du Client, au maximum une fois par an (ou plus fréquemment si les autorités de régulation compétentes l’exigent ou à la suite d’un incident de sécurité), et sous réserve d’un préavis raisonnable ainsi que de restrictions concernant la date, le lieu, la fréquence et les modalités, et des exigences de confidentialité, SnapLogic mettra à la disposition du Client les informations nécessaires pour démontrer le respect des obligations de SnapLogic au titre de l’Avenant et des lois applicables en matière de protection des données. SnapLogic autorisera et collaborera aux audits, y compris aux inspections, menés par le Client ou par un auditeur tiers indépendant désigné par le Client. Dans la mesure où les droits du Client en vertu de la présente section ne peuvent être raisonnablement satisfaits par les rapports d’audit, la documentation ou les informations de conformité que SnapLogic met généralement à la disposition de ses clients, le Client prendra en charge l’ensemble des coûts et frais liés à cet audit.
2. Conditions d'audit. Tous les audits décrits dans la présente section doivent être :
  - Réalisée par le client ou son organisme de réglementation, ou par l'intermédiaire d'un prestataire tiers indépendant sélectionné par l'une de ces parties ;
  - Réalisé pendant les heures normales de bureau de SnapLogic ;
  - Effectuées après avoir donné un préavis raisonnable à SnapLogic ; et
  - D'une durée raisonnable et ne doit pas perturber de manière déraisonnable les activités quotidiennes de SnapLogic.
3. Tiers. Dans le cas où le Client procède à un audit par l'intermédiaire d'un auditeur indépendant tiers ou qu'un tiers accompagne le Client ou participe à cet audit, ce tiers sera tenu de conclure un accord de non-divulgation contenant des dispositions de confidentialité substantiellement similaires à celles énoncées dans le Contrat afin de protéger les informations confidentielles et exclusives de SnapLogic et des clients de SnapLogic. Dans tous les cas, SnapLogic aura droit à une copie de tout rapport d'audit. Les organismes de réglementation ne sont pas tenus de conclure un accord de non-divulgation.
Stockage et suppression des données.
1. Stockage des données. SnapLogic ne stocke ni ne conserve aucune donnée personnelle, sauf dans la mesure nécessaire à la prestation des services prévus dans le contrat.
2. Accès aux données et suppression après résiliation. À l'expiration ou à la résiliation du Contrat, sur demande écrite du Client formulée dans les 30 jours suivant ladite résiliation ou expiration, SnapLogic autorisera le Client à récupérer toutes les Données client ou données de journal des transactions restant dans le système de SnapLogic.
Coordonnées.
1. SnapLogic et le Client conviennent de désigner un interlocuteur privilégié pour les questions urgentes relatives à la confidentialité et à la sécurité (ci-après dénommé «interlocuteur privilégié »). L’interlocuteur privilégié de SnapLogic est [email protected]. L’interlocuteur privilégié du Client est indiqué dans le Bon de commande.
Conditions générales.
1. Le présent ATD fait partie intégrante du Contrat et est régi par ses conditions générales, y compris les limitations de responsabilité.
2. Le présent ATD sera régi et interprété conformément aux dispositions relatives au droit applicable et à la juridiction compétente prévues dans le Contrat, sauf indication contraire dans l'Annexe B.

Pièce A

Catégories de personnes concernées	Prospects, clients, partenaires commerciaux et fournisseurs du Client (qui sont des personnes physiques) Les salariés ou personnes de contact des prospects, clients, partenaires commerciaux et fournisseurs du Client Les employés, mandataires, conseillers et travailleurs indépendants du Client (qui sont des personnes physiques) Les utilisateurs du Client autorisés par ce dernier à utiliser les Services
Catégories de données à caractère personnel transférées	Nom, adresse e-mail, données de localisation (par exemple, la fonction de localisation d'un téléphone portable) ; adresse IP ; identifiant de cookie ; identifiant de l'appareil mobile Toute autre catégorie de données à caractère personnel choisie par le Client pour être traitée via les services
Rôles du responsable du traitement et du sous-traitant	Du responsable du traitement (client) au sous-traitant (fournisseur) ou du sous-traitant (client) au sous-traitant secondaire (fournisseur)
Données sensibles transférées	Le Service ne nécessite pas de données à caractère personnel sensibles concernant le personnel du Client. Si le Client choisit de traiter des données à caractère personnel sensibles via son pipeline de données, ces données seront traitées
Fréquence du transfert	En continu
Nature du traitement	Fournir les services décrits dans le contrat de base
Objet du transfert	Fournir les services décrits dans le contrat de base
Durée du traitement	Pendant la durée du contrat sous-jacent

Pièce B

Clauses contractuelles types

[Intégration du MODULE DEUX : Transfert du contrôleur vers le processeur et du MODULE TROIS : Transfert du processeur vers le processeur]

En concluant le présent ATD, les parties sont réputées signer les clauses contractuelles types et leurs annexes applicables.
Pour les transferts transfrontaliers de données soumis aux clauses contractuelles types, celles-ci seront réputées conclues et intégrées au présent ATD par la présente référence, et complétées comme suit :
1. Le client est l'« exportateur », dont les coordonnées sont indiquées ci-dessous.
2. SnapLogic est l'« importateur », dont les coordonnées sont indiquées ci-dessous.
3. Le module deux s'appliquera dans la mesure où le client est un responsable du traitement des données à caractère personnel, et le module trois s'appliquera dans la mesure où le client est un sous-traitant des données à caractère personnel pour le compte d'un responsable du traitement tiers.
4. à la clause 7, la clause facultative d'amarrage ne s'appliquera pas ;
5. à la clause 9, l'option 2 s'appliquera, et le délai de préavis concernant les changements de sous-traitants sera celui prévu à la clause 9 du présent accord de traitement des données ;
6. dans la clause 11, la formulation facultative ne s'appliquera pas ;
7. Les annexes I à III seront considérées comme complétées par les informations figurant dans les annexes I à III du présent ATD.

SCC de l'UE. Les données à caractère personnel provenant de l'Union européenne seront régies par les CCT conformément aux dispositions ci-dessus et complétées comme suit :
1. à la clause 17, l'option 1 s'appliquera et les CCT de l'UE seront régies par le droit irlandais ;
2. dans la clause 18(b), les litiges seront tranchés devant les tribunaux de la République d'Irlande.

SCC britanniques. Les transferts de données à caractère personnel depuis le Royaume-Uni seront régis par les CCT conformément aux dispositions ci-dessus et à l'addendum britannique relatif au transfert international de données (le «IDTA»), complété comme suit.
1. Dans la partie 1 de l'IDTA, les informations requises par les tableaux 1 à 3 sont fournies dans l'accord et dans le présent DPA ;
2. Les clauses obligatoires de l'IDTA sont intégrées par référence dans le présent ATD conformément à la partie alternative 2 du modèle d'IDTA ;
3. Les références à l'UE, aux États membres et au RGPD sont modifiées mutatis mutandis pour faire référence au Royaume-Uni et à la loi britannique sur la protection des données.
4. Dans la clause 17 des clauses contractuelles types (loi applicable), les lois d'Angleterre et du Pays de Galles s'appliquent, et dans la clause 18 (choix du tribunal compétent et de la juridiction), les tribunaux de Londres, en Angleterre, sont compétents. Une personne concernée peut également intenter une action en justice contre l'exportateur de données et/ou l'importateur de données devant les tribunaux du Royaume-Uni.
SCC suisses. Les transferts de données à caractère personnel depuis la Suisse seront régis par les CCT conformément aux dispositions ci-dessus et effectués comme suit :
1. les références au « règlement (UE) 2016/679 » dans les CCT de l'UE seront considérées comme renvoyant à la LPD suisse ;
2. les références à des articles spécifiques du « règlement (UE) 2016/679 » seront considérées comme remplacées par l'article ou la section équivalent(e) de la LPD suisse ;
3. les références à « l'UE », « l'Union » et « l'État membre » seront considérées comme remplacées par « la Suisse » ;
4. les références à « l'autorité de surveillance compétente » et aux « tribunaux compétents » sont remplacées par « le Préposé fédéral à la protection des données et à la transparence » et « les tribunaux compétents de Suisse » (selon le cas) ;
5. Dans la clause 17, les CCT de l'UE seront régies par le droit suisse, et
6. Clause 18(b), les litiges seront tranchés par les tribunaux compétents de Suisse.
Si une disposition du Contrat (y compris le présent ATD) contredit, directement ou indirectement, les Clauses contractuelles types, ces dernières prévaudront.

ANNEXE I

A. LISTE DES PARTIES

Responsable(s) du traitement / Exportateur(s) de données : Identité et coordonnées du ou des responsables du traitement / exportateurs de données et, le cas échéant, de leur délégué à la protection des données et/ou de leur représentant dans l’Union européenne

Nom :	Tel que fourni par le client
Adresse :	Tel que fourni par le client
Nom, fonction et coordonnées de la personne à contacter :	Tel que fourni par le client
Activités liées aux données transférées en vertu des présentes clauses :	Comme décrit dans l'accord
Rôle (responsable du traitement/sous-traitant) :	Contrôleur/processeur

Sous-traitant(s) / Importateur(s) de données :Identité et coordonnées du ou des sous-traitants / importateurs de données, y compris toute personne de contact chargée de la protection des données

Nom :	SnapLogic, Inc.
Adresse :	1825 S. Grant Street,^5e étage, San Mateo, Californie 94402, États-Unis
Nom, fonction et coordonnées de la personne à contacter :	[email protected]
Activités liées aux données transférées en vertu des présentes clauses :	Prestation des services décrits dans le contrat
Rôle (responsable du traitement/sous-traitant) :	Processeur/Sous-processeur

В. DESCRIPTION DU TRANSFERT

Comme indiqué dans l'annexe A

C. AUTORITÉ DE CONTRÔLE COMPÉTENTE

Comme décrit dans l'annexe B

ANNEXE II

MESURES TECHNIQUES ET ORGANISATIONNELLES, Y COMPRIS LES MESURES TECHNIQUES ET ORGANISATIONNELLES VISANT À ASSURER LA SÉCURITÉ DES DONNÉES

L’Importateur de données met en œuvre et applique des mesures techniques et organisationnelles conformes aux normes du secteur afin de protéger les données à caractère personnel contre toute destruction accidentelle ou illicite, toute perte accidentelle, toute altération, toute divulgation ou tout accès non autorisé, et de garantir un niveau de sécurité adapté au risque lié au traitement des données à caractère personnel, conformément à ses obligations au titre du Contrat et du RGPD. Ces mesures comprennent un programme complet de sécurité de l’information, comprenant des mesures de protection administratives, physiques et techniques visant à garantir la sécurité, la confidentialité et l’intégrité des données à caractère personnel, adaptées au type d’informations que l’importateur de données traitera. L’importateur de données doit contrôler régulièrement le respect de ces mesures de protection.

Les principales mesures de sécurité techniques et organisationnelles mises en œuvre par l’importateur de données à la date de la signature sont décrites dans le dernier rapport d’audit SOC 2 de type II de l’importateur de données, qui sera fourni à l’exportateur de données sur simple demande.

Afin d’atténuer les risques pesant sur les ressources de traitement de l’information, la divulgation ou la suppression non autorisées d’informations, ainsi que l’interruption du soutien aux processus opérationnels pouvant résulter d’un accès non autorisé, les mesures de sécurité mises en œuvre par l’importateur de données sont présentées dans les sections suivantes :

Contrôle organisationnel – Mesures conformes aux exigences spécifiques en matière de protection des données, concernant l'organisation interne, telles que l'engagement des collaborateurs à respecter la confidentialité des données, la sauvegarde et la suppression des données, la séparation physique et personnelle des données par rapport à celles d'autres clients, etc.
Contrôle d'accès – Mesures visant à limiter l'accès des personnes non autorisées aux zones où des données à caractère personnel sont utilisées ou traitées, telles que le contrôle aux portails, les badges d'identification, les cartes à code, etc.
Contrôle d'accès – Mesures visant à limiter l'accès des personnes non autorisées aux systèmes dans lesquels des données à caractère personnel sont utilisées ou traitées, telles que la sécurisation de l'infrastructure physique du réseau, les pare-feu, etc.
Contrôle d'accès – Mesures visant à limiter l'accès des personnes non autorisées aux systèmes dans lesquels des données à caractère personnel sont utilisées ou traitées, telles que la mise en place d'une politique de « privilèges minimaux » ou d'accès sélectif, le recours au chiffrement, la journalisation des audits, l'attribution d'identifiants individuels et de mots de passe forts, ainsi que des procédures réglementées pour l'octroi, la modification et la révocation des droits d'accès, etc.
Contrôle de la transmission – Mesures visant à garantir que les données à caractère personnel ne puissent être lues, copiées, modifiées ou supprimées sans autorisation, telles que le chiffrement des données au repos et en transit, ainsi que la mise en place de journaux d'audit permettant de savoir rétrospectivement quelles données ont été consultées et par qui, etc.
Contrôle de la disponibilité – Mesures visant à garantir la protection des données à caractère personnel contre toute destruction ou perte accidentelle, telles que des capacités de basculement, des sauvegardes régulièrement testées et stockées à plusieurs emplacements, un plan de reprise après sinistre, un processus de gestion des changements, etc.
Contrôle de la séparation – Mesures visant à garantir que les données collectées à des fins différentes puissent être traitées séparément, par exemple par le recours à des rôles d'utilisateur distincts, la séparation logique ou physique des données, etc.

ANNEXE III

LISTE DES SOUS-TRAITANTS

Le client a autorisé le recours aux sous-traitants suivants : https://www.snaplogic.com/privacy-subprocessors