Accord relatif au traitement des données personnelles (DPA)

Article 1 — Objet

La présente annexe (« DPA ») fait partie intégrante des Conditions Générales de Vente et/ou du contrat conclu entre ECELD SAS, exploitant la solution ADOSS, et le Client.

Elle définit les conditions dans lesquelles ADOSS traite des données à caractère personnel pour le compte du Client dans le cadre de la fourniture de la plateforme ADOSS, conformément au Règlement (UE) 2016/679 (« RGPD »).

En cas de contradiction entre le présent DPA et les stipulations générales du Contrat relatives au traitement de données personnelles pour le compte du Client, le présent DPA prévaut.

Article 2 — Rôle et responsabilité des parties

Pour les données personnelles relatives aux dossiers gérés par le Client au moyen d’ADOSS :

• le Client agit en qualité de responsable de traitement ;
• ECELD SAS / ADOSS agit en qualité de sous-traitant, au sens de l’article 28 du RGPD.

Le Client détermine les finalités et les moyens essentiels des traitements réalisés au moyen d’ADOSS et demeure responsable de leur licéité.

À ce titre, le Client est notamment responsable :

• de la base juridique des traitements ;
• du respect de ses obligations d’information des personnes concernées ;
• de la pertinence et de la proportionnalité des données collectées ;
• du respect des droits des personnes concernées ;
• des durées de conservation qu’il applique à ses dossiers ;
• des données, documents et informations qu’il décide d’intégrer dans ADOSS ;
• des personnes auxquelles il accorde un accès aux données.

ADOSS traite les données exclusivement dans le cadre de la fourniture du Service et conformément aux instructions documentées du Client, sous réserve des obligations qui lui sont directement imposées par la réglementation applicable.

Article 3 — Description des traitements

Objet : fourniture d’une plateforme de gestion des dossiers d’expertise.

Durée : pendant toute la durée de la relation contractuelle, sous réserve des périodes de restitution, suppression et sauvegarde prévues au présent DPA.

Nature des opérations : collecte, enregistrement, organisation, structuration, consultation, stockage, modification, mise à disposition, transmission aux personnes autorisées, communication, archivage et suppression nécessaires au fonctionnement du Service.

Finalités : permettre au Client de créer, administrer et suivre ses dossiers, centraliser les informations et documents, gérer les utilisateurs et intervenants autorisés, suivre l’avancement des dossiers, communiquer avec les personnes autorisées et utiliser les fonctionnalités et automatisations proposées par ADOSS.

Article 4 — Données traitées et responsabilité du Client

Selon l’utilisation du Service, les personnes concernées peuvent notamment être :

• les assurés et leurs représentants ;
• les experts et collaborateurs du Client ;
• les courtiers et prescripteurs ;
• les utilisateurs autorisés ;
• les tiers et professionnels intervenant dans les dossiers.

Les données peuvent notamment comprendre : données d’identification et coordonnées, informations relatives aux dossiers et sinistres, échanges et messages, documents et pièces justificatives, photographies, données financières et économiques, informations contractuelles, données de connexion et traces d’activité.

Certaines informations déposées par le Client peuvent exceptionnellement comporter des catégories particulières de données au sens de l’article 9 du RGPD.

4.1 Responsabilité concernant les données communiquées

Le Client demeure seul responsable de la licéité, de la pertinence, de l’exactitude, de la qualité, du contenu et de la nature des données qu’il collecte, importe, saisit, transmet, stocke ou fait traiter au moyen d’ADOSS.

Il appartient notamment au Client de s’assurer :

• qu’il dispose d’une base juridique appropriée ;
• que les personnes concernées ont reçu les informations requises ;
• que les données traitées sont nécessaires et proportionnées ;
• que les données sont exactes et, lorsque nécessaire, actualisées ;
• qu’il est autorisé à communiquer à ADOSS les documents et informations concernés ;
• qu’il dispose, lorsqu’elles sont requises, des conditions permettant le traitement de catégories particulières de données.

ADOSS n’est pas tenue de contrôler préalablement la licéité, l’exactitude, la pertinence ou le contenu des données communiquées par le Client.

Le Client demeure également responsable des données communiquées par ses salariés, collaborateurs, utilisateurs, mandataires et toute personne à laquelle il a accordé un accès au Service.

Article 5 — Instructions du Client

ADOSS ne traite les données personnelles que sur instruction documentée du Client.

Le Contrat, le présent DPA, les paramétrages réalisés par le Client ainsi que les actions effectuées par ses utilisateurs dans ADOSS constituent notamment des instructions documentées.

Si ADOSS considère qu’une instruction constitue une violation du RGPD ou d’une autre disposition applicable en matière de protection des données, elle en informe le Client dans les meilleurs délais.

ADOSS peut suspendre l’exécution d’une instruction manifestement illicite jusqu’à sa modification, son retrait ou la clarification de sa conformité.

5.1 Production et utilisation de données agrégées et anonymisées

Le Client autorise spécifiquement ADOSS à réaliser les opérations strictement nécessaires à la production, à partir des données traitées dans le cadre du Service, de données statistiques, techniques, fonctionnelles ou d’usage agrégées et/ou anonymisées, aux seules fins d’analyse, de sécurité, de mesure d’usage, de recherche, de développement et d’amélioration de la Solution, de ses fonctionnalités, workflows, modèles documentaires, trames, paramétrages, référentiels et contenus génériques.

Cette autorisation ne permet pas à ADOSS de réutiliser pour son propre compte des données personnelles ou des Données Client sous une forme identifiable au-delà de ce qui est nécessaire à la fourniture du Service. ADOSS met en œuvre des mesures appropriées afin que les données résultantes ne permettent plus d’identifier, directement ou indirectement, le Client, ses Utilisateurs, ses propres clients, assurés, partenaires ou toute autre personne concernée.

Une fois effectivement anonymisées de manière à ne plus constituer des données à caractère personnel au sens de la réglementation applicable, ces données peuvent être utilisées par ADOSS pour ses propres finalités d’amélioration et d’évolution de la Solution, y compris après la fin du Contrat.

ADOSS ne communique pas à un autre Client les données, documents ou contenus propres au Client sous une forme identifiable et n’utilise pas ces éléments sous une forme identifiable afin de constituer les modèles, référentiels ou contenus proposés aux autres utilisateurs.

Sauf accord exprès contraire du Client, les données personnelles ou Données Client sous une forme identifiable ne sont pas utilisées afin d’entraîner ou d’améliorer un modèle général d’intelligence artificielle destiné à être utilisé pour d’autres Clients ou pour des finalités étrangères à la fourniture du Service.

Article 6 — Gestion des utilisateurs et des habilitations

Le Client est responsable de la désignation de ses utilisateurs et des tiers auxquels il décide d’accorder un accès au Service ou à un dossier.

Il lui appartient de s’assurer que chaque personne dispose uniquement des droits nécessaires à ses fonctions.

Le Client demeure notamment responsable :

• de l’attribution et du retrait des habilitations ;
• de la confidentialité des identifiants relevant de ses utilisateurs ;
• des accès accordés à des tiers ;
• de l’utilisation des comptes placés sous son contrôle ;
• de la suppression des accès devenus inutiles ;
• des erreurs de destinataire, partages ou divulgations résultant d’une action relevant de son périmètre.

Le Client doit informer ADOSS dans les meilleurs délais de toute compromission connue ou suspectée d’un compte ou identifiant.

Article 7 — Sécurité

ADOSS met en œuvre des mesures techniques et organisationnelles appropriées au regard des risques présentés par les traitements relevant de son périmètre.

Ces mesures portent notamment, selon les fonctionnalités concernées, sur la gestion des accès et habilitations, l’authentification, la sécurisation des infrastructures et communications, les sauvegardes, la journalisation des activités pertinentes et la limitation des accès aux données.

Ces mesures peuvent évoluer afin de tenir compte de l’état de l’art, des risques identifiés et de l’évolution du Service, sans diminution substantielle du niveau global de protection.

7.1 Répartition des responsabilités de sécurité

Chaque partie demeure responsable des mesures de sécurité relevant de son propre périmètre.

En conséquence, ADOSS ne saurait être tenue responsable d’une perte, destruction, altération, divulgation, accès non autorisé ou violation de données résultant directement d’un fait imputable au Client, notamment :

• d’une mauvaise gestion des habilitations ;
• du maintien d’un accès qui aurait dû être supprimé ;
• d’un partage ou d’une compromission d’identifiants relevant du Client ou de ses utilisateurs ;
• d’une erreur de manipulation ou de destinataire ;
• d’un équipement, réseau ou système placé sous le contrôle du Client ;
• d’une transmission volontaire de données à un tiers ;
• d’une instruction du Client ;
• d’une utilisation du Service contraire au Contrat ou à la documentation applicable.

Cette stipulation ne limite pas les obligations ou responsabilités directement imposées à ADOSS par le RGPD ou toute autre disposition impérative applicable.

Article 8 — Confidentialité

ADOSS veille à ce que les personnes autorisées à traiter les données pour son compte :

• soient soumises à une obligation appropriée de confidentialité ;
• n’accèdent qu’aux données nécessaires à l’exercice de leurs fonctions ;
• soient sensibilisées aux obligations relatives à la protection des données.

Article 9 — Sous-traitants ultérieurs

Le Client donne à ADOSS une autorisation générale de recourir aux sous-traitants ultérieurs nécessaires à la fourniture du Service.

ADOSS veille à ce que les sous-traitants ultérieurs traitant des données personnelles pour son compte soient soumis aux obligations requises par l’article 28 du RGPD.

ADOSS informe le Client de tout ajout ou remplacement significatif d’un sous-traitant ultérieur afin de lui permettre de formuler une objection motivée fondée sur des considérations légitimes relatives à la protection des données.

Une telle objection ne peut avoir pour effet d’imposer à ADOSS le maintien d’une architecture technique ou d’un prestataire déterminé lorsque celui-ci est nécessaire à la fourniture du Service. Les parties rechercheront alors une solution raisonnable ; à défaut, les conséquences contractuelles seront traitées conformément au Contrat.

ADOSS demeure responsable envers le Client de l’exécution des obligations de protection des données qu’elle confie à ses sous-traitants ultérieurs, conformément aux dispositions impératives du RGPD.

Article 10 — Transferts hors EEE

Lorsque la fourniture du Service implique un transfert de données personnelles hors de l’Espace économique européen, ADOSS veille à ce que celui-ci repose sur un mécanisme autorisé par la réglementation applicable.

Il peut notamment s’agir d’une décision d’adéquation, du EU-U.S. Data Privacy Framework lorsqu’il est applicable, des clauses contractuelles types adoptées par la Commission européenne ou de toute autre garantie reconnue par le RGPD.

Article 11 — Exercice des droits

Le Client demeure responsable du traitement des demandes d’exercice des droits des personnes concernées.

Il lui appartient notamment de déterminer la réponse à apporter et de respecter les délais réglementaires applicables.

Compte tenu de la nature du traitement, ADOSS apporte au Client une assistance raisonnable lorsqu’une intervention technique de sa part est nécessaire pour répondre à une demande.

Lorsqu’ADOSS reçoit directement une demande concernant des données traitées pour le compte d’un Client identifiable, ADOSS la transmet à celui-ci, sauf obligation légale contraire.

Article 12 — Violations de données personnelles

ADOSS informe le Client dans les meilleurs délais après en avoir pris connaissance de toute violation de données personnelles affectant des données traitées pour son compte et relevant du Service.

ADOSS communique, dans la mesure des informations raisonnablement disponibles, les éléments nécessaires au Client pour satisfaire à ses propres obligations.

Le Client, en sa qualité de responsable de traitement, demeure responsable de :

• l’analyse de la violation au regard de ses traitements ;
• l’évaluation des risques pour les personnes concernées ;
• la décision de notification à l’autorité de contrôle ;
• la réalisation de cette notification lorsque celle-ci est requise ;
• la décision d’informer les personnes concernées et la réalisation de cette information lorsque celle-ci est requise.

ADOSS apporte l’assistance raisonnablement nécessaire à l’accomplissement de ces obligations.

Lorsque la violation trouve son origine dans le périmètre technique ou organisationnel d’ADOSS, celle-ci met en œuvre les mesures correctrices relevant de sa responsabilité.

Lorsque la violation résulte d’un fait imputable au Client, à l’un de ses utilisateurs ou à une personne à laquelle il a accordé un accès, le Client demeure responsable des conséquences relevant de son propre périmètre, sans préjudice des obligations d’assistance qui incombent légalement à ADOSS.

Article 13 — Assistance et conformité

Compte tenu de la nature des traitements et des informations dont elle dispose, ADOSS apporte au Client une assistance raisonnable concernant les obligations prévues aux articles 32 à 36 du RGPD lorsque cette assistance nécessite une intervention relevant du Service.

Le Client demeure responsable de sa propre conformité au RGPD et notamment, lorsque cela est nécessaire, de la réalisation de ses analyses d’impact et consultations préalables.

Article 14 — Restitution et suppression des données

À compter de la fin de la relation contractuelle, le Client dispose d’une période de 30 jours pour récupérer ou exporter les données mises à disposition dans ADOSS, selon les fonctionnalités d’export proposées par le Service.

Il appartient au Client d’effectuer, avant l’expiration de ce délai, les exports et sauvegardes des données qu’il souhaite conserver.

À l’issue de cette période de 30 jours, ADOSS procède à la suppression des données actives du Client, sauf obligation légale ou réglementaire imposant leur conservation ou autre motif légitime prévu par la réglementation applicable.

Les copies résiduelles susceptibles de subsister dans les systèmes de sauvegarde ne sont pas utilisées dans le cadre du fonctionnement courant du Service et sont supprimées ou écrasées conformément au cycle normal de rotation des sauvegardes, et au plus tard 90 jours après la suppression des données actives, sous réserve des obligations légales applicables et des contraintes techniques légitimes.

Les données qu’ADOSS est tenue de conserver au titre de ses propres obligations légales, réglementaires, comptables ou fiscales sont conservées séparément pendant les durées légalement applicables et ne sont plus utilisées aux fins de fourniture du Service.

Le Client reconnaît qu’après expiration des périodes précitées, ADOSS n’est pas tenue de restituer, restaurer ou reconstituer les données supprimées.

Article 15 — Accès externes

Les accès externes liés à un dossier sont désactivés au plus tard trois mois après la clôture du dossier, sauf suppression antérieure par le Client ou nécessité justifiée de maintien de l’accès.

Le Client demeure responsable de la décision initiale d’accorder l’accès et de la vérification des personnes auxquelles il donne accès à ses dossiers.

En cas de résiliation, les accès sont désactivés conformément aux modalités de fin de Service prévues au Contrat.

Article 16 — Audit et informations

ADOSS met à disposition du Client les informations raisonnablement nécessaires pour démontrer le respect des obligations prévues à l’article 28 du RGPD.

Le Client privilégie, lorsqu’ils sont suffisants, les documents, attestations, rapports, certifications ou questionnaires de conformité mis à sa disposition.

Lorsqu’un audit complémentaire est justifié, celui-ci doit notamment :

• faire l’objet d’un préavis raisonnable ;
• intervenir pendant les horaires habituels d’activité ;
• respecter la confidentialité et la sécurité des autres clients ;
• être limité aux systèmes et informations pertinents pour les traitements du Client ;
• ne pas perturber de manière disproportionnée le Service.

Les frais raisonnables générés par un audit spécifiquement demandé par le Client peuvent être mis à sa charge dans les conditions prévues au Contrat, sous réserve des dispositions impératives applicables.

Article 17 — Responsabilité respective des parties

Chaque partie répond des obligations qui lui incombent en vertu du RGPD, du présent DPA et de la réglementation applicable.

Le Client demeure responsable des traitements qu’il décide de réaliser, des données qu’il communique au Service, des personnes auxquelles il en permet l’accès et des instructions qu’il adresse à ADOSS.

ADOSS demeure responsable des obligations qui lui sont directement applicables en sa qualité de sous-traitant.

Aucune stipulation du présent DPA ne saurait avoir pour effet de transférer à ADOSS les obligations qui incombent au Client en sa qualité de responsable de traitement, ni d’exonérer ADOSS des obligations qui lui sont directement imposées en sa qualité de sous-traitant.

Dans les limites autorisées par la réglementation applicable, les règles de limitation et de plafonnement de responsabilité prévues au Contrat ou aux CGV s’appliquent également aux obligations résultant du présent DPA.

Article 18 — Sort des données et obligations légales

ADOSS ne conserve pas les données traitées pour le compte du Client au-delà des durées prévues au présent DPA, sauf lorsqu’une disposition légale ou réglementaire impose une conservation supplémentaire.

Dans ce cas, les données concernées sont conservées uniquement pendant la durée nécessaire au respect de cette obligation et leur traitement est limité à cette finalité.

Article 19 — Contact relatif à la protection des données

Pour toute question relative à la protection des données personnelles ou au présent DPA :

ECELD SAS — ADOSS
11 boulevard de la Grande Thumine
13090 Aix-en-Provence
rgpd@adoss.fr

ADOSS n’a pas désigné de délégué à la protection des données (DPO) à la date d’entrée en vigueur du présent DPA. Les demandes sont prises en charge par le référent RGPD d’ADOSS.

Caractéristiques essentielles du traitement