Addendum relatif au traitement des données

Le présent addendum relatif au traitement des données (ci-après dénommé «DPA ») est intégré et fait partie intégrante du contrat d'abonnement principal ou de tout autre contrat (ci-après dénommé« Contrat ») conclu entre SnapLogic et la partie désignée dans le Contrat comme le« Client »(ci-après dénommés conjointement les« Parties »). Les termes en majuscules utilisés dans le présent DPA mais non définis dans les présentes ont la signification qui leur est donnée dans le Contrat.

1. Objet et durée.

Objet. Le présent ATD reflète l'engagement des Parties à respecter les lois applicables en matière de protection des données concernant le traitement des données à caractère personnel dans le cadre de la fourniture des Services SnapLogic conformément au Contrat. En cas de conflit entre les dispositions du présent ATD ou de l'une de ses annexes et celles du Contrat, le présent ATD prévaudra.
Durée et survie. Le présent ATD entre en vigueur à la date à laquelle il a été dûment signé par les deux parties et fait partie intégrante du contrat conclu entre les parties. SnapLogic traitera les données à caractère personnel jusqu'à la résiliation du contrat. Les obligations de SnapLogic et les droits du client en vertu du présent ATD resteront en vigueur tant que SnapLogic traitera des données à caractère personnel.

2. Définitions.

Aux fins du présent ATD, les termes suivants s'appliquent.

"Loi(s) applicable(s) en matière de protection des données» désigne l'ensemble des lois et réglementations mondiales en matière de protection des données et de confidentialité applicables aux Données personnelles en question (telles qu'elles peuvent être modifiées, remplacées ou substituées de temps à autre), y compris, le cas échéant :
- «Loi européenne sur la protection des données» : Règlement 2016/679 du Parlement européen et du Conseil relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données) («RGPD») et directive européenne sur la vie privée et les communications électroniques (directive 2002/58/CE), tels que mis en œuvre et transposés dans la législation locale par les États membres de l'UE.
- «LPD suisse» : la loi fédérale suisse sur la protection des données de 1992.
- «Loi britannique sur la protection des données» : la loi britannique sur la protection des données et le RGPD, tels qu'intégrés dans le droit britannique par la loi de 2018 sur la protection des données et modifiés par le règlement de 2019 sur la protection des données, la vie privée et les communications électroniques (modifications, etc.) (sortie de l'UE).
- «Loi américaine sur la protection des données» : toutes les lois et réglementations applicables en matière de protection des données dans chaque État, telles que modifiées ou remplacées de temps à autre, y compris la loi californienne sur les droits à la vie privée (California Privacy Rights Act, «CPRA») ; Colorado Privacy Act ; Connecticut Personal Data Privacy and Online Monitoring Act ; Delaware Personal Data Privacy Act ; Indiana Consumer Data Protection Act ; Iowa Consumer Data Protection Act ; Montana Consumer Data Privacy Act ; Oregon Consumer Privacy Act ; Tennessee Information Protection Act ; Texas Data Privacy and Security Act ; Utah Consumer Privacy Act ; Virginia Consumer Data Protection Act. »
Les termes « Responsable du traitement »,« Sous-traitant », «Personne concernée »et« Traitement »(qu'ils soient ou non écrits en majuscules) ont la signification qui leur est attribuée par le RGPD et comprennent les termes équivalents dans d'autres lois applicables en matière de protection des données, dans chaque cas tel qu'applicable aux Services.
Les « données à caractère personnel »désignent toutes les données client : (a) relatives à une personne identifiée ou identifiable, au sens du RGPD (que le RGPD s'applique ou non), (b) constituant des « informations personnelles » telles que définies dans la loi américaine sur la protection des données, et (c) des termes équivalents dans d'autres lois applicables en matière de protection des données.Les « SCC »ou« clauses contractuelles types »désignent les clauses contractuelles types pour le transfert de données à caractère personnel vers des sous-traitants établis dans des pays tiers en vertu du RGPD, telles qu'approuvées par la décision d'exécution 2021/914 de la Commission européenne. L'annexe A du présent ATD contient certaines dispositions interprétatives et complémentaires concernant l'application des clauses contractuelles types.
Les « mesures de sécurité » désignent les mesures de sécurité applicables aux Services spécifiques achetés par le Client, telles que mises à jour de temps à autre, y compris au minimum les mesures énoncées à l'annexe II.
«Incident(s) de sécurité» désigne toute violation de la sécurité entraînant la perte accidentelle ou illégale, la divulgation non autorisée ou l'accès non autorisé aux données personnelles du client traitées par SnapLogic.
Le terme«Services »désigne l'ensemble des services fournis par SnapLogic dans le cadre du Contrat.
Le terme « sous-traitant »désigne les sous-traitants, agents, fournisseurs et prestataires de services tiers agréés par SnapLogic (c'est-à-dire les sous-traitants) qui traitent des données à caractère personnel.

3. Utilisation et traitement des données.

Respect des lois. Les données à caractère personnel seront traitées conformément aux dispositions du présent ATD et à toutes les lois applicables en matière de protection des données.
Instructions documentées. SnapLogic et ses sous-traitants ne traiteront les données à caractère personnel que conformément aux instructions documentées du client ou comme expressément autorisé par le présent ATD, le contrat ou tout cahier des charges applicable. SnapLogic informera le client par écrit, sauf si la loi l'interdit, s'il estime raisonnablement qu'il existe un conflit entre les instructions du client et la loi applicable ou s'il cherche à traiter les données à caractère personnel d'une manière incompatible avec les instructions du client.
Autorisation d'utiliser des sous-traitants. Dans la mesure nécessaire pour remplir les obligations contractuelles de SnapLogic en vertu du Contrat ou de tout Énoncé des travaux, le Client autorise par la présente SnapLogic à faire appel à des sous-traitants. Tout traitement de données à caractère personnel par un sous-traitant doit être conforme aux instructions documentées du Client et respecter toutes les lois applicables en matière de protection des données.
Conformité de SnapLogic et des sous-traitants. SnapLogic s'engage à (i) conclure un accord écrit avec chaque sous-traitant concernant son traitement des données à caractère personnel, qui impose à ce sous-traitant des exigences en matière de protection et de sécurité des données à caractère personnel conformes à la ou aux lois applicables en matière de protection des données ; et (ii) rester responsable envers le client en cas de manquement des sous-traitants de SnapLogic à leurs obligations en matière de traitement des données à caractère personnel conformément à ces instructions, au contrat et au présent ATD.
Droit d'opposition aux sous-traitants secondaires. SnapLogic mettra à la disposition du Client la liste actuelle des sous-traitants secondaires pour les Services qui traitent les Données personnelles fournies par le Client https://www.snaplogic.com/privacy-subprocessors («Liste des sous-traitants secondaires »). SnapLogic mettra à la disposition du Client un mécanisme d'abonnement pour recevoir des notifications concernant les nouveaux sous-traitants. SnapLogic informera les Clients abonnés au moins trente (30) jours à l'avance de la nomination d'un ou plusieurs nouveaux sous-traitants avant d'autoriser ces derniers à traiter des Données personnelles via les Services. Si le client a des objections légitimes à la nomination d'un nouveau sous-traitant, les parties travailleront ensemble de bonne foi pour résoudre les motifs de l'objection pendant une période maximale de trente (30) jours, et à défaut d'une telle résolution, le client pourra résilier la partie du service exécutée dans le cadre du contrat qui ne peut être exécutée par SnapLogic sans recourir au sous-traitant contesté. SnapLogic remboursera au Client les frais prépayés au prorata de la partie résiliée du Service.
Confidentialité. Toute personne ou tout sous-traitant secondaire autorisé à traiter des données à caractère personnel doit s'engager à préserver la confidentialité de ces informations ou être soumis à une obligation de confidentialité appropriée sur le plan éthique, légal ou contractuel.
Demandes et requêtes relatives aux données personnelles. SnapLogic s'engage à se conformer à toutes les instructions raisonnables du Client relatives à toute demande émanant de personnes physiques/personnes concernées exerçant leurs droits en matière de données personnelles qui leur sont accordés en vertu des lois applicables en matière de protection des données («Demande relative à la confidentialité »). À la demande du Client et sans retard injustifié, SnapLogic s'engage à aider le Client à répondre ou à se conformer à toute Demande relative à la confidentialité dans la mesure du possible.
Évaluation de l'impact sur la protection des données et consultation préalable. SnapLogic s'engage à fournir une assistance raisonnable au client, aux frais de ce dernier, lorsque, selon le jugement du client, le type de traitement effectué par SnapLogic est susceptible d'entraîner un risque élevé pour les droits et libertés des personnes physiques (par exemple, profilage systématique et étendu, traitement de données à caractère personnel sensibles à grande échelle ou surveillance systématique à grande échelle, ou lorsque le traitement utilise de nouvelles technologies) et nécessite donc une analyse d'impact relative à la protection des données et/ou une consultation préalable avec les autorités compétentes en matière de protection des données.
Conformité démontrable. SnapLogic s'engage à conserver les registres de son traitement conformément aux lois applicables en matière de protection des données et à fournir au client tous les registres nécessaires pour démontrer sa conformité sur demande raisonnable.
Exigences de la CPRA. En ce qui concerne les données personnelles auxquelles s'applique la CPRA (les termes en majuscules utilisés dans cette section ont la signification qui leur est donnée dans la CPRA) :
1. SnapLogic agira en tant que prestataire de services auprès du client et collectera, consultera, conservera, utilisera, traitera et transférera les données personnelles uniquement dans le but de fournir le service et à aucune autre fin commerciale.
2. SnapLogic s'engage à ne pas vendre, partager, divulguer, publier, transférer, mettre à disposition ou communiquer de quelque manière que ce soit des Données personnelles à une autre entreprise ou à un tiers sans le consentement écrit préalable du Client, sauf dans la mesure où cette divulgation est faite à un Sous-traitant à des fins commerciales, sous réserve des obligations susmentionnées de conclure des accords écrits avec les Sous-traitants. Nonobstant ce qui précède, aucune disposition du présent ATD ne limite la capacité de SnapLogic à divulguer des données personnelles afin de se conformer aux lois applicables ; toutefois, si une telle divulgation est requise, SnapLogic informera rapidement le client de la demande de divulgation, sauf si cette notification est interdite par la loi applicable ou par une ordonnance juridiquement contraignante.

4. Transferts transfrontaliers de données à caractère personnel.

Consentement. SnapLogic ne peut transférer ni traiter des Données personnelles vers un lieu situé en dehors de l'Espace économique européen ou du Royaume-Uni sans le consentement écrit préalable du Client, sauf conformément à la section 6.2 ci-dessous (dans chaque cas, un «Transfert »).
Mécanismes de transfert conformes. Sans préjudice de ce qui précède, le Client consent aux Transferts lorsque SnapLogic a mis en œuvre une solution de transfert conforme aux Lois applicables en matière de protection des données, qui peut par exemple inclure : (a) lorsque ce transfert fait l'objet d'une décision d'adéquation de la Commission européenne ; (b) les clauses contractuelles types ; (c) le cadre de protection des données administré par le ministère américain du Commerce (et son ou ses successeurs, le cas échéant) ; (d) une autre garantie appropriée conformément à l'article 46 du RGPD ou une garantie équivalente en vertu du RGPD, de la loi suisse sur la protection des données ou de la loi britannique sur la protection des données ; ou (e) une dérogation conformément à l'article 49 du RGPD ou son équivalent en vertu de la loi suisse sur la protection des données ou de la loi britannique sur la protection des données.

5. Sécurité

SnapLogic s'engage à mettre en œuvre les mesures techniques et organisationnelles appropriées destinées à protéger les données à caractère personnel, conformément aux lois applicables en matière de protection des données, telles que définies dans les mesures de sécurité. Ces mesures comprennent :
1. Pseudonymisation des données à caractère personnel, le cas échéant, et chiffrement des données à caractère personnel en transit et au repos ;
2. ii) La capacité à garantir la confidentialité, l'intégrité et la disponibilité continues du traitement et des données personnelles de SnapLogic ;
3. La capacité à rétablir la disponibilité et l'accès aux données à caractère personnel en cas d'incident physique ou technique ;
4. Processus visant à évaluer et à tester régulièrement l'efficacité du programme de sécurité de l'information de SnapLogic afin de garantir la sécurité des données personnelles contre toute destruction, perte, altération, divulgation ou accès non autorisé, accidentel ou illégal, raisonnablement suspecté ou avéré.

6. Incidents liés à la sécurité.

Procédure en cas d'incident de sécurité. SnapLogic suivra les politiques et procédures visant à détecter, traiter et résoudre les incidents de sécurité, y compris les procédures visant à (i) identifier et traiter les incidents de sécurité raisonnablement suspectés ou connus, atténuer les effets néfastes des incidents de sécurité, documenter les incidents de sécurité et leurs conséquences, et (ii) rétablir la disponibilité ou l'accès aux données personnelles dans les meilleurs délais.
Avis. SnapLogic s'engage à fournir sans délai et dans les délais requis par la ou les lois applicables en matière de protection des données (mais en aucun cas au-delà de soixante-douze (72) heures) un avis écrit au point de contact désigné du client (tel que défini à la section 9) s'il apprend qu'un incident de sécurité s'est produit. Cette notification comprendra toutes les informations disponibles requises par la ou les lois applicables en matière de protection des données afin que le client puisse se conformer à ses propres obligations de notification envers les autorités réglementaires ou les personnes concernées par l'incident de sécurité.

7. Audits

Droit d'audit ; audits autorisés. Outre les autres droits d'audit décrits dans le Contrat, le Client et ses régulateurs ont le droit de procéder à un audit sur site de l'architecture, des systèmes, des politiques et des procédures de SnapLogic liés à la sécurité et à l'intégrité des Données personnelles, ou tel que requis par un régulateur gouvernemental :
1. À la suite de toute notification adressée par SnapLogic au client concernant un incident de sécurité impliquant des données à caractère personnel dont SnapLogic est responsable ; Conformément aux exigences des autorités réglementaires gouvernementales ; Et pour quelque raison que ce soit, ou sans raison, une fois par année civile. Conditions d'audit. Tous les audits décrits dans la présente section doivent être :
2. Conformément aux exigences des organismes de réglementation gouvernementaux ; et
3. Pour quelque raison que ce soit, ou sans raison, une fois par année civile.

Conditions d'audit. Tous les audits décrits dans la présente section doivent être :
1. Réalisée par le client ou son organisme de réglementation, ou par l'intermédiaire d'un prestataire tiers indépendant sélectionné par l'une de ces parties ;
2. Réalisé pendant les heures normales de bureau de SnapLogic ;
3. Effectuées après avoir donné un préavis raisonnable à SnapLogic ; et
4. D'une durée raisonnable et ne doit pas perturber de manière déraisonnable les activités quotidiennes de SnapLogic.

Tiers. Dans le cas où le Client procède à un audit par l'intermédiaire d'un auditeur indépendant tiers ou qu'un tiers accompagne le Client ou participe à cet audit, ce tiers sera tenu de conclure un accord de non-divulgation contenant des dispositions de confidentialité substantiellement similaires à celles énoncées dans le Contrat afin de protéger les informations confidentielles et exclusives de SnapLogic et des clients de SnapLogic. Dans tous les cas, SnapLogic aura droit à une copie de tout rapport d'audit. Les organismes de réglementation ne sont pas tenus de conclure un accord de non-divulgation.

8. Stockage et suppression des données.

Stockage des données. SnapLogic ne stocke ni ne conserve aucune donnée personnelle, sauf dans la mesure nécessaire à la prestation des services prévus dans le contrat.
Accès aux données et suppression après résiliation. À l'expiration ou à la résiliation du Contrat, sur demande écrite du Client formulée dans les 30 jours suivant ladite résiliation ou expiration, SnapLogic autorisera le Client à récupérer toutes les Données client ou données de journal des transactions restant dans le système de SnapLogic.

9. Coordonnées.

SnapLogic et le Client conviennent de désigner un interlocuteur pour les questions urgentes relatives à la confidentialité et à la sécurité (un «Interlocuteur désigné »). SnapLogic a nommé un délégué à la protection des données. La personne désignée peut être contactée àl'adresse [email protected]. L'Interlocuteur désigné du Client est identifié dans le Bon de commande.

10. Conditions générales.

Le présent ATD fait partie intégrante du Contrat et est régi par ses conditions générales, y compris les limitations de responsabilité.
Le présent ATD sera régi et interprété conformément aux dispositions relatives au droit applicable et à la juridiction compétente prévues dans le Contrat, sauf indication contraire dans l'Annexe B.

EN FOI DE QUOI, le signataire autorisé de chaque partie a lu, compris et accepté les conditions générales énoncées dans le présent accord.

Pièce A

Objet du traitement	L'objet du traitement est constitué par les services prévus dans le contrat d'abonnement principal.
Durée du traitement	Le traitement se poursuivra jusqu'à l'expiration ou la résiliation du contrat d'abonnement principal.
Catégories de personnes concernées	Comprend les éléments suivants : Prospects, clients, partenaires commerciaux et fournisseurs du Client (qui sont des personnes physiques)Employés ou personnes de contact des prospects, clients, partenaires commerciaux et fournisseurs du ClientEmployés, agents, conseillers, freelances du Client (qui sont des personnes physiques)Utilisateurs du Client autorisés par le Client à utiliser les Services
Nature et finalité du traitement	Comprend les éléments suivants : Le traitement des données personnelles par SnapLogic a pour objectif la prestation des Services conformément au Contrat d'abonnement principal.
Types de renseignements personnels	Comprend les éléments suivants : nom et prénom ; adresse postale ; adresse e-mail telle que[email protected]; numéro de carte d'identité ; données de localisation (par exemple, la fonction de localisation d'un téléphone mobile) ; adresse IP (Internet Protocol) ; identifiant de cookie ; identifiant publicitaire de votre téléphone.
Données sensibles transférées (le cas échéant) et restrictions ou mesures de protection appliquées	Les types de données personnelles traitées sont déterminés par le client et peuvent inclure des informations personnelles relatives à la santé. D'autres types de données sensibles limitées peuvent être traitées via les services avec l'accord écrit préalable de SnapLogic, le cas échéant.

Pièce B

Clauses contractuelles types

[Intégration du MODULE DEUX : Transfert du contrôleur vers le processeur et du MODULE TROIS : Transfert du processeur vers le processeur]

En concluant le présent ATD, les parties sont réputées signer les clauses contractuelles types et leurs annexes applicables.
Pour les transferts transfrontaliers de données soumis aux clauses contractuelles types, celles-ci seront réputées conclues et intégrées au présent ATD par la présente référence, et complétées comme suit :
1. Le client est l'« exportateur », dont les coordonnées sont indiquées ci-dessous.
2. SnapLogic est l'« importateur », dont les coordonnées sont indiquées ci-dessous.
3. Le module deux s'appliquera dans la mesure où le client est un responsable du traitement des données à caractère personnel, et le module trois s'appliquera dans la mesure où le client est un sous-traitant des données à caractère personnel pour le compte d'un responsable du traitement tiers.
4. à la clause 7, la clause facultative d'amarrage ne s'appliquera pas ;
5. à la clause 9, l'option 2 s'appliquera, et le délai de préavis pour les changements de sous-traitants sera celui prévu à la clause 9 du présent ATD ;
6. dans la clause 11, la formulation facultative ne s'appliquera pas ;
7. Les annexes I à III seront considérées comme complétées par les informations figurant dans les annexes I à III du présent ATD.
SCC de l'UE. Les données à caractère personnel provenant de l'Union européenne seront régies par les CCT conformément aux dispositions ci-dessus et complétées comme suit :
1. à la clause 17, l'option 1 s'appliquera et les CCT de l'UE seront régies par le droit irlandais ;
2. dans la clause 18(b), les litiges seront tranchés devant les tribunaux de la République d'Irlande.
SCC britanniques. Les transferts de données à caractère personnel depuis le Royaume-Uni seront régis par les CCT conformément aux dispositions ci-dessus et à l'addendum britannique relatif au transfert international de données (le «IDTA»), complété comme suit.
1. Dans la partie 1 de l'IDTA, les informations requises par les tableaux 1 à 3 sont fournies dans l'accord et dans le présent DPA ;
2. Les clauses obligatoires de l'IDTA sont intégrées par référence dans le présent ATD conformément à la partie alternative 2 du modèle d'IDTA ;
3. Les références à l'UE, aux États membres et au RGPD sont modifiées mutatis mutandis pour faire référence au Royaume-Uni et à la loi britannique sur la protection des données.
4. Dans la clause 17 des clauses contractuelles types (loi applicable), les lois d'Angleterre et du Pays de Galles s'appliquent, et dans la clause 18 (choix du tribunal compétent et de la juridiction), les tribunaux de Londres, en Angleterre, sont compétents. Une personne concernée peut également intenter une action en justice contre l'exportateur de données et/ou l'importateur de données devant les tribunaux du Royaume-Uni.
SCC suisses. Les transferts de données à caractère personnel depuis la Suisse seront régis par les CCT conformément aux dispositions ci-dessus et effectués comme suit :
1. les références au « règlement (UE) 2016/679 » dans les CCT de l'UE seront considérées comme renvoyant à la LPD suisse ;
2. les références à des articles spécifiques du « règlement (UE) 2016/679 » seront considérées comme remplacées par l'article ou la section équivalent(e) de la LPD suisse ;
3. les références à « l'UE », « l'Union » et « l'État membre » seront considérées comme remplacées par « la Suisse » ;
4. les références à « l'autorité de surveillance compétente » et aux « tribunaux compétents » sont remplacées par « le Préposé fédéral à la protection des données et à la transparence » et « les tribunaux compétents de Suisse » (selon le cas) ;
5. Dans la clause 17, les CCT de l'UE seront régies par le droit suisse, et
6. Clause 18(b), les litiges seront tranchés par les tribunaux compétents de Suisse.
Si une disposition du Contrat (y compris le présent ATD) contredit, directement ou indirectement, les Clauses contractuelles types, ces dernières prévaudront.

ANNEXE I

A. LISTE DES PARTIES

Responsable(s) du traitement / Exportateur(s) de données : Identité et coordonnées du ou des responsables du traitement / exportateurs de données et, le cas échéant, de leur délégué à la protection des données et/ou représentant dans l'Union européenne

Nom :	Comme stipulé dans l'accord
Adresse :	Comme stipulé dans l'accord
Nom, fonction et coordonnées de la personne à contacter :	Comme stipulé dans le Contrat ou comme prévu séparément par écrit au Sous-traitant/Sous-traitant secondaire
Activités liées aux données transférées en vertu des présentes clauses :	Comme décrit dans l'accord
Rôle (responsable du traitement/sous-traitant) :	Contrôleur/processeur

Responsable(s) du traitement / Importateur(s) de données : Identité et coordonnées du ou des sous-traitants / importateurs de données, y compris toute personne de contact responsable de la protection des données

Nom :	SnapLogic, Inc.
Adresse :	1825 S. Grant Street,^5e étage, San Mateo, Californie 94402, États-Unis
Coordonnées de la personne à contacter :	SnapLogic a nommé un délégué à la protection des données. Vous pouvez contacter la personne désignée à l'adresse[email protected].
Activités liées aux données transférées en vertu des présentes clauses :	Prestation des services décrits dans le contrat
Rôle (responsable du traitement/sous-traitant) :	Processeur/Sous-processeur

В. DESCRIPTION DU TRANSFERT

Comme décrit dans l'annexe A

C. AUTORITÉ DE CONTRÔLE COMPÉTENTE

Comme décrit dans l'annexe B

ANNEXE II

MESURES TECHNIQUES ET ORGANISATIONNELLES, Y COMPRIS LES MESURES TECHNIQUES ET ORGANISATIONNELLES VISANT À ASSURER LA SÉCURITÉ DES DONNÉES

Les mesures de sécurité mises en œuvre par SnapLogic pour protéger les données personnelles des clients sont décrites dans la politique de sécurité de SnapLogic. Cette politique est susceptible d'être modifiée à mesure que les normes et les meilleures pratiques du secteur sont mises à jour. La dernière version de cette politique est disponible sur demande. La version actuelle de la politique de sécurité à la date d'entrée en vigueur du présent ATD est présentée ci-dessous :

POLITIQUE DE SÉCURITÉ DE SNAPLOGIC

La présente politique de sécurité de SnapLogic (la« Politique de sécurité ») décrit les mesures techniques et procédurales mises en œuvre par SnapLogic pour protéger les Données client contre tout accès ou divulgation non autorisés. SnapLogic applique ces mesures de sécurité conformément à la norme SOC 2 Type 2. SnapLogic suit les pratiques de codage OWASP pour le développement de ses produits et respecte les directives de la norme ISO 27001, du NIST et d'autres pratiques standard du secteur. La présente Politique de sécurité est mentionnée dans votre contrat client avec SnapLogic (le «Contrat ») et en fait partie intégrante. En cas de conflit entre les termes du Contrat et la présente Politique de sécurité, cette dernière prévaudra. Les termes en majuscules utilisés mais non définis dans la présente Politique de sécurité ont la signification qui leur est donnée dans le Contrat ou dans la Documentation.

1. ACCÈS AUX DONNÉES DES CLIENTS ET GESTION DE CELLES-CI

1.1. Le client contrôle l'accès à son compte dans le service via des identifiants et des mots de passe.

1.2. L'accès aux systèmes de production et aux données de production de SnapLogic, y compris les Données personnelles, est restreint conformément au principe du moindre privilège, sauf si le Client fournit l'accès à son compte SnapLogic au Personnel SnapLogic concerné. Le terme« Personnel SnapLogic »désigne les employés de SnapLogic et les sous-traitants individuels impliqués dans le Traitement des Données personnelles. SnapLogic utilise les Données client uniquement dans la mesure nécessaire pour fournir le Service au Client, comme prévu dans le Contrat.

1.3. Les données client sont stockées uniquement dans l'environnement de production du Service.

1.4. Le Service ne conserve pas les données, y compris les Données personnelles. De par sa conception, tout stockage temporaire utilisé par le Service est un stockage éphémère, utilisé uniquement pendant le fonctionnement du Service, et qui ne persiste pas après l'arrêt du Service. Le stockage éphémère est utilisé comme une ressource non facturable incluse dans le fonctionnement d'un Service. Le stockage éphémère est adapté au stockage temporaire d'informations qui changent fréquemment, telles que les tampons, les caches, les données temporaires et autres contenus temporaires pendant l'exécution de l'application. Si le Client ne configure pas les options de stockage, les Services peuvent utiliser par défaut le stockage temporaire intégré de SnapLogic.

1.4. SnapLogic doit créer et tenir à jour un ou plusieurs organigrammes indiquant comment les données du client circulent dans le service. SnapLogic doit fournir ces organigrammes à la demande raisonnable du client.

1.5. Après la résiliation de tous les abonnements associés à un client, les données client contenues dans le service sont conservées dans un état inactif pendant 30 jours, après quoi elles sont supprimées de manière sécurisée de tous les environnements de production et entièrement supprimées de notre système de sauvegarde virtuel dans un délai de 180 jours. Ce processus est soumis aux exigences légales applicables.

2. CRYPTAGE ET SÉPARATION LOGIQUE DES DONNÉES CLIENTS

2.1. Le Service dans l'environnement de stockage de production crypte les Données client au repos à l'aide d'un cryptage AES 256 bits.

2.2. Le Service crypte les Données client en transit à l'aide du protocole TLS 1.2 ou supérieur lors des communications sur des réseaux non sécurisés tels que l'Internet public.

2.3. Le Service attribue un identifiant client unique à chaque client locataire du Service. Toutes les données des clients finaux sont stockées avec cet identifiant client en tant que clé étrangère directe ou chaînée dans notre base de données. Le modèle de données de cette application de service est conçu pour répondre à l'exigence de multi-location.

2.4. Le Service utilise un système de gestion des clés (« KMS ») conforme à la norme FIPS 140-2 (ou supérieure) pour la gestion et le stockage des clés de chiffrement. Les clés de chiffrement et les clés de chiffrement des clés sont séparées des Données client par table de base de données ou emplacement dans le système de fichiers. Le Service protège les clés de chiffrement de niveau supérieur en gérant de manière stricte l'accès aux clés et en utilisant le partage des connaissances et le double contrôle, ainsi qu'une rotation régulière, comme décrit dans nos Politiques et procédures de sécurité.

3. GESTION DE L'ACCÈS À L'INFRASTRUCTURE DE SERVICE SNAPLOGIC

3.1. L'accès aux systèmes et à l'infrastructure qui prennent en charge le Service est réservé au personnel de SnapLogic qui en a besoin dans le cadre de ses fonctions.

3.2. Des identifiants utilisateur uniques sont attribués au personnel SnapLogic qui doit accéder aux serveurs SnapLogic qui prennent en charge le Service.

3.3. La politique relative aux mots de passe des serveurs pour le Service dans l'environnement de production respecte les politiques conformes aux exigences SOC 2 Type 2 en matière de mots de passe.

3.4. Les privilèges d'accès du personnel SnapLogic licencié sont immédiatement désactivés. Les privilèges d'accès des personnes transférées vers des postes nécessitant des privilèges réduits sont ajustés en conséquence.

3.5. L'accès des utilisateurs aux systèmes et à l'infrastructure qui prennent en charge le Service est revu tous les trimestres.

3.6. Les tentatives d'accès aux systèmes et à l'infrastructure qui prennent en charge le Service sont enregistrées et surveillées.

3.7. Les groupes de sécurité AWS ont des politiques par défaut de refus systématique et n'autorisent que les protocoles réseau nécessaires à l'activité pour le trafic réseau sortant et entrant.

4. GESTION DES RISQUES

4.1. Le processus de gestion des risques du système SnapLogic s'inspire des directives en matière de gestion des risques du CIS et du NIST.

4.2. SnapLogic procède à divers types d'évaluations des risques tout au long du cycle d'attestation annuel, notamment des évaluations et des tests internes et externes, des analyses automatisées et des examens manuels.

4.3. Les résultats des évaluations, y compris les rapports officiels pertinents, sont communiqués au directeur de la sécurité et de la conformité. Un comité de sécurité se réunit au moins une fois par trimestre pour examiner les rapports, identifier les lacunes en matière de contrôle et les changements importants dans l'environnement des menaces, et formuler des recommandations à la direction générale concernant de nouveaux contrôles ou des contrôles améliorés et des stratégies d'atténuation des menaces.

4.4. Les modifications apportées aux contrôles et aux stratégies d'atténuation des menaces sont évaluées et classées par ordre de priorité en vue de leur mise en œuvre, en fonction du risque.

4.5. Les menaces sont surveillées par divers moyens, notamment les services de renseignements sur les menaces, les notifications des fournisseurs et les sources publiques fiables.

5. ANALYSE DE VULNÉRABILITÉ ET TESTS DE PÉNÉTRATION

5.1. Des analyses statiques et dynamiques du code sont effectuées afin de détecter les 10 principales vulnérabilités OWASP et les 25 principales vulnérabilités SANS avant que le nouveau code ne soit déployé dans nos environnements de production.

5.2. Des analyses de vulnérabilité internes et externes sont effectuées chaque mois, et des tests de pénétration indépendants sont réalisés chaque trimestre sur les systèmes nécessaires au fonctionnement et à la gestion du Service. La base de données des vulnérabilités est mise à jour régulièrement.

5.3. L'impact potentiel des vulnérabilités qui déclenchent des alertes est évalué par le personnel.

5.4. Les vulnérabilités qui déclenchent des alertes et pour lesquelles des exploits ont été publiés sont signalées au comité de sécurité, qui détermine et supervise les mesures correctives appropriées.

5.5. La direction de la sécurité surveille ou s'abonne à des sources fiables de rapports sur les vulnérabilités et de renseignements sur les menaces.

6. RÉSEAU D'ACCÈS À DISTANCE

6.1. Tout accès aux environnements orientés client SnapLogic nécessite une authentification via une connexion sécurisée à l'aide de méthodes approuvées telles que les VPN et l'authentification multifactorielle (MFA).

6.2. L'accès VPN est renforcé par une authentification mutuelle TLS (Transport Layer Security).

6.3. Les réseaux du siège social de SnapLogic n'ont pas accès aux réseaux des services clients. Une connexion VPN est nécessaire pour accéder aux réseaux des services clients.

6.4 Aucun réseau sans fil n'est utilisé pour exploiter et gérer le Service. Cela inclut les réseaux sans fil d'entreprise, qui n'ont pas accès aux réseaux des services clients.

6.5 Les données des clients sont logiquement séparées de celles des autres clients.

6.6 Les environnements de développement/test et de production sont séparés.

6.7. SnapLogic applique une politique consistant à ne pas stocker les données client sur des ordinateurs de bureau, ordinateurs portables, appareils mobiles, disques partagés, supports amovibles locaux, ni sur des systèmes accessibles au public qui ne relèvent pas du contrôle administratif ou des processus de surveillance de la conformité de SnapLogic Operations.

7. EMPLACEMENT DU SERVICE SNAPLOGIC

7.1. Les données client sont stockées dans la région de service disponible pour le compte demandé par le client.

8. ENREGISTREMENT DES ÉVÉNEMENTS SYSTÈME

8.1. Des outils et services de surveillance sont utilisés pour surveiller les systèmes, notamment le réseau, les événements serveur, les événements de sécurité AWS, les événements de disponibilité et l'utilisation des ressources.

8.2. Les journaux d'événements de sécurité de l'infrastructure SnapLogic sont collectés dans un système central et protégés contre toute altération. Les journaux sont conservés pendant 90 jours.

8.3. Tous les journaux d'application des 30 derniers jours sont immédiatement disponibles en ligne pour nos clients via notre interface utilisateur (portail web).

8.4. Tous les journaux de sécurité sont enregistrés dans un service de journalisation centralisé doté d'une technologie d'écriture unique.

9. ADMINISTRATION DU SYSTÈME ET GESTION DES CORRECTIFS

9.1. SnapLogic doit créer, mettre en œuvre et maintenir des procédures d'administration système pour les systèmes qui accèdent aux Données client et qui satisfont ou dépassent les normes de l'industrie, y compris, sans s'y limiter, le renforcement du système, l'application de correctifs au système et aux appareils (système d'exploitation et applications) et l'installation appropriée d'un logiciel de détection des menaces, ainsi que les mises à jour quotidiennes des signatures.

9.2. SnapLogic Security examine les nouvelles annonces de vulnérabilité et évalue leur impact sur SnapLogic en fonction de critères de risque définis par SnapLogic, notamment l'applicabilité et la gravité.

9.3. Les mises à jour de sécurité applicables classées comme « élevées » ou « critiques » sont traitées dans l'environnement de production conformément aux politiques conformes aux exigences de gestion des correctifs SOC 2 Type 2.

9.4. La gestion des correctifs est effectuée via IaC et des correctifs manuels en fonction de la gravité afin de garantir que toutes les vulnérabilités logicielles sont corrigées conformément aux exigences SOC 2 Type 2.

10. FORMATION À LA SÉCURITÉ SNAPLOGIC ET PERSONNEL SNAPLOGIC

10.1. SnapLogic met en œuvre un programme de sensibilisation à la sécurité destiné à son personnel, qui comprend une formation initiale, une sensibilisation continue et une reconnaissance individuelle par le personnel de SnapLogic de son intention de se conformer aux politiques de sécurité de l'entreprise SnapLogic System. Les nouveaux employés suivent une formation initiale sur des sujets tels que, entre autres, la sensibilisation générale à la sécurité, la communication, le smishing/phishing, cloud , les services d'IA, la norme PCI-DSS, la loi HIPAA et le RGPD. Ils signent également un accord de confidentialité et apposent leur signature numérique sur les politiques de sécurité de l'information qui couvrent les aspects clés de la politique de sécurité de l'information et des politiques du personnel de SnapLogic.

10.2. Le personnel de SnapLogic reconnaît qu'il est tenu de signaler tout incident ou problème de sécurité réel ou présumé, tout vol, toute violation, toute perte et toute divulgation ou tout accès non autorisé aux données du client.

10.3. Le personnel de SnapLogic est tenu de suivre avec succès une formation annuelle en matière de sécurité.

10.4 Les développeurs SnapLogic sont tenus de suivre une formation initiale et une formation annuelle sur les thèmes liés à la sécurité du codage, notamment : le top 10 de l'OWASP et les meilleures pratiques pour les développeurs.

10.5. SnapLogic procède à une vérification des antécédents judiciaires dans le cadre du processus de recrutement de SnapLogic, dans la mesure où la loi le permet.

10.6. SnapLogic veillera à ce que ses sous-traitants, fournisseurs et autres tiers ayant un accès direct aux Données client dans le cadre des Services respectent les mêmes normes de sécurité que celles en vigueur pour les employés de SnapLogic.

11. SÉCURITÉ PHYSIQUE

11.1. Le Service est hébergé dans AWS, tirant parti des capacités de sécurité et de conformité d'AWS. Tous les contrôles de sécurité physique sont gérés par AWS. SnapLogic examine chaque année les rapports SOC 1 Type 2 et SOC 2 Type 2 afin de s'assurer que les contrôles de sécurité physique sont appropriés :

11.1.1. Les centres de données AWS qui stockent ou traitent des informations sensibles sont des centres de données de niveau 3 qui respectent la norme SSAE 18.

11.1.2. Gestion des visiteurs, y compris le suivi et la surveillance des accès physiques.

11.1.3. L'accès physique aux serveurs est géré par des dispositifs électroniques de contrôle d'accès.

11.1.3. Procédures de surveillance et d'intervention en cas d'alarme.

11.1.4. Utilisation de caméras de vidéosurveillance dans les installations.

11.1.5. Dispositifs de capture vidéo dans les centres de données avec conservation des images pendant 90 jours.

12. NOTIFICATION D'INCIDENT CONCERNANT LES DONNÉES À CARACTÈRE PERSONNEL

12.1. SnapLogic informera le Client par écrit dans les soixante-douze (72) heures suivant la confirmation d'un Incident lié aux Données personnelles.

12.2. Cette notification décrira l'incident lié aux données personnelles et l'état d'avancement de l'enquête menée par SnapLogic System.

12.3. SnapLogic prendra les mesures appropriées pour contenir, enquêter et atténuer l'incident lié aux données personnelles.

13. REPRISE APRÈS SINISTRE ET CONTINUITÉ DES ACTIVITÉS

13.1. SnapLogic dispose d'un plan de reprise après sinistre (DRP) pour les Services. Le DRP est testé au moins une fois par an.

13.2. Le Service est déployé dans différentes zones de disponibilité AWS et régions AWS afin de garantir la disponibilité des applications.

13.3. SnapLogic a défini des objectifs RTO et RPO à des fins de récupération.

13.4. Les services DR font partie de notre offre de produits standard pour les clients résidant dans nos services multi-locataires.

14. SÉCURITÉ, CERTIFICATIONS ET ATTESTATIONS DE TIERS DE SNAPLOGIC

14.1. SnapLogic engage des tiers agréés pour réaliser des audits et attester chaque année de diverses conformités et certifications, notamment :

14.1.1. SOC 1 Type 2

14.1.2. SOC 2 Type 2

14.1.3. SSAE 22 Type 2

14.1.4. ISAE 3402 Type 2

14.1.5. HIPAA (HITECH)

14.1.6. Cadre de protection des données UE-États-Unis

14.1.7. Cadre suisse-américain pour la protection des données

14.1.8. Extension britannique au cadre UE-États-Unis pour la protection des données

15. RESPONSABILITÉS DU CLIENT

15.1. Le client est responsable de la gestion de ses propres comptes utilisateurs et rôles au sein du Service, ainsi que de la protection de son propre compte et de ses identifiants utilisateur. Le client s'engage à respecter les conditions de son contrat avec SnapLogic, ainsi que toutes les lois applicables.

15.2. Le Client informera immédiatement SnapLogic si les identifiants d'un utilisateur ont été compromis ou s'il soupçonne des activités suspectes susceptibles d'avoir un impact négatif sur la sécurité du Service ou du compte du Client. Le Client ne peut effectuer aucun test de pénétration ou aucune évaluation de sécurité sans l'accord écrit préalable et explicite de SnapLogic.

15.3. Le client est responsable du maintien de la relation et doit s'assurer que tous les accords nécessaires (c'est-à-dire les accords de traitement des données) sont en place avec les autres sous-traitants auxquels le client fait appel et auxquels il transmet des données à caractère personnel, par le biais de son utilisation du service SnapLogic.

15.4 Le client est seul responsable de la mise en œuvre de contrôles de sécurité appropriés sur ses applications et appareils terminaux, y compris la définition des paramètres de cryptage. SnapLogic recommande au client d'appliquer les meilleures pratiques suivantes dans la mesure du possible :

15.4.1 Le client active le chiffrement des connexions de session à l'aide de la version la plus récente de SSL ou TLS pour toute connexion entre les applications du client et les services.

14.5.2 Lorsque le chiffrement de la connexion de session n'est pas disponible pour une application particulière du Client, celui-ci doit chiffrer les données utiles à l'aide d'un chiffrement puissant (chiffrement 128 bits ou supérieur).

14.5.3 Le client utilise les meilleures pratiques du secteur en matière de contrôle d'authentification pour l'accès des utilisateurs aux Services.

ANNEXE III

LISTE DES SOUS-TRAITANTS

Le client a autorisé l'utilisation des sous-traitants suivants : https://www.snaplogic.com/privacy-subprocessors