Données à caractère personnel - DPA

Article 1 — Objet et cadre

Le présent accord (le « DPA ») encadre les traitements de données à caractère personnel qu'EuropaTrad réalise pour le compte du Client dans le cadre des Prestations régies par les CGV. Il complète les CGV et prévaut sur elles pour les seules questions de protection des données. En cas de contrat-cadre ou de conditions particulières signés comportant des stipulations de protection des données, ces dernières prévalent sur le présent DPA pour les points qu'elles traitent.

Article 2 — Rôles des parties

Pour les données contenues dans les contenus que le Client transmet aux fins des Prestations, le Client agit en qualité de responsable de traitement et EuropaTrad en qualité de sous-traitant au sens du RGPD. Le présent DPA ne concerne pas les traitements qu'EuropaTrad met en œuvre en qualité de responsable de traitement pour la gestion de sa relation commerciale, décrits dans sa Charte de confidentialité.

Article 3 — Description du traitement

La nature, la finalité, la durée du traitement, les catégories de données et de personnes concernées sont décrites à l'Annexe 1. Le Client garantit la licéité du traitement qu'il confie et de la transmission des données à EuropaTrad.

Article 4 — Instructions documentées

EuropaTrad ne traite les données que sur instruction documentée du Client, telle qu'elle résulte des CGV, du devis, du contrat-cadre et de toute instruction écrite ultérieure. Elle informe le Client si une instruction lui paraît constituer une violation du RGPD ou d'une autre disposition applicable en matière de protection des données. Si EuropaTrad est tenue de procéder à un transfert ou à un traitement par une obligation légale, elle en informe le Client avant traitement, sauf interdiction légale.

Article 5 — Confidentialité

EuropaTrad veille à ce que les personnes autorisées à traiter les données, salariés comme prestataires, s'engagent à la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité, et n'accèdent qu'aux données nécessaires à l'exécution de leurs tâches.

Article 6 — Sécurité

EuropaTrad met en œuvre les mesures techniques et organisationnelles appropriées pour assurer un niveau de sécurité adapté au risque, conformément à l'article 32 du RGPD. Ces mesures, détaillées à l'Annexe 2, comprennent notamment le contrôle des accès selon le principe du moindre privilège, l'authentification à deux facteurs sur les outils qui le permettent, le chiffrement des données en transit et, lorsque cela est approprié, au repos, la traçabilité des accès et une politique de gestion des habilitations. EuropaTrad est certifiée ISO 9001 et recourt, pour l'hébergement et les principaux outils de traitement, à des prestataires présentant des garanties de sécurité appropriées, dont certains sont certifiés ISO 27001.

Article 7 — Sous-traitants ultérieurs

Le Client autorise EuropaTrad à recourir à des sous-traitants ultérieurs pour l'exécution des Prestations, notamment des traducteurs et interprètes indépendants, des éditeurs d'outils de traduction et d'intelligence artificielle, des plateformes de gestion de traduction, et des prestataires d'hébergement et d'infrastructure. La liste des principales catégories de sous-traitants ultérieurs figure à l'Annexe 3 et est tenue à jour ; elle est communiquée sur demande.

EuropaTrad impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes à celles du présent DPA, et demeure responsable envers le Client de leur exécution.

EuropaTrad informe le Client de tout projet d'ajout ou de remplacement d'un sous-traitant ultérieur ; le Client peut former une objection motivée dans un délai de quinze (15) jours. En l'absence de solution acceptable, le Client peut résilier la Prestation concernée, sans indemnité de part et d'autre, pour la partie affectée.

Article 8 — Assistance au Client

Dans la mesure du possible et compte tenu de la nature du traitement, EuropaTrad aide le Client, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes d'exercice des droits des personnes concernées. Elle transmet au Client, dans les meilleurs délais, toute demande qu'elle recevrait directement d'une personne concernée, sans y répondre elle-même sauf instruction du Client.

Compte tenu des informations à sa disposition, EuropaTrad assiste le Client dans le respect de ses obligations de sécurité, de notification des violations, d'analyse d'impact relative à la protection des données et de consultation préalable de l'autorité de contrôle.

Article 9 — Violation de données

EuropaTrad notifie au Client toute violation de données à caractère personnel la concernant dans les meilleurs délais après en avoir pris connaissance, et au plus tard dans les soixante-douze (72) heures, en communiquant les informations disponibles à ce stade puis en complétant au fil de l'enquête, afin de permettre au Client de satisfaire à ses propres obligations.

Article 10 — Sort des données en fin de traitement

Au terme des Prestations, EuropaTrad, selon le choix du Client, restitue les données ou les supprime, ainsi que les copies existantes, sauf obligation légale de conservation. À défaut d'instruction du Client, les contenus transmis sont conservés pour la durée nécessaire à la gestion de la relation puis supprimés, dans les conditions de la politique de conservation d'EuropaTrad. Les mémoires de traduction et bases terminologiques suivent le régime de l'article 8 des CGV, sous forme anonymisée.

Article 11 — Audit

EuropaTrad met à la disposition du Client les informations nécessaires pour démontrer le respect des obligations du présent DPA. Le Client peut, à ses frais, à raison d'une fois par an sauf incident avéré, réaliser un audit après un préavis raisonnable, dans le respect de la confidentialité et de la continuité de l'activité d'EuropaTrad. La communication des certifications, rapports et réponses à un questionnaire est privilégiée avant tout audit sur site.

Article 12 — Transferts hors Union européenne

Les données sont, en principe, traitées au sein de l'Union européenne. Certains sous-traitants ultérieurs peuvent toutefois impliquer un traitement en dehors de l'Union européenne. Dans ce cas, le transfert n'intervient que vers un pays bénéficiant d'une décision d'adéquation ou sous réserve de garanties appropriées, notamment les clauses contractuelles types de la Commission européenne, assorties le cas échéant de mesures supplémentaires. Le recours aux outils d'intelligence artificielle susceptibles d'impliquer un tel transfert est encadré conformément à l'article 9 des CGV et à la politique interne d'EuropaTrad.

Article 13 — Responsabilité

La responsabilité de chaque partie au titre du présent DPA s'exerce dans les conditions et limites prévues par les CGV et par le RGPD. Chaque partie supporte les conséquences de ses propres manquements.

Annexe 1 — Description du traitement

Les caractéristiques ci-dessous décrivent le traitement réalisé par EuropaTrad pour le compte du Client. Les catégories de données et de personnes dépendant des contenus transmis, le Client les complète ou les confirme en sa qualité de responsable de traitement.

• Nature du traitement : réception, traduction, interprétariat et services linguistiques et techniques associés, incluant le stockage et la restitution des contenus.
• Finalité : exécution des Prestations commandées par le Client.
• Durée : durée des Prestations, augmentée des durées de conservation légales et contractuelles.
• Catégories de données : données contenues dans les contenus transmis (notamment données d'identification et données professionnelles), et toute autre donnée que le Client choisit d'y inclure.
• Catégories de personnes concernées : personnes visées par les contenus transmis (notamment salariés, clients et partenaires du Client).
• Catégories particulières de données : le Client s'engage à n'en transmettre (article 9 du RGPD) que sous une forme convenue et encadrée.

Annexe 2 — Mesures de sécurité

EuropaTrad met en œuvre notamment les mesures suivantes :

• contrôle des accès selon le principe du moindre privilège ;
• authentification à deux facteurs sur les outils compatibles ;
• chiffrement des données en transit et, le cas échéant, au repos ;
• journalisation des accès ;
• gestion des habilitations et des départs ;
• sensibilisation du personnel à la protection des données ;
• recours à des prestataires d'hébergement et d'outils présentant des garanties appropriées.

Annexe 3 — Catégories de sous-traitants ultérieurs

Les Prestations peuvent faire intervenir les catégories de sous-traitants ultérieurs suivantes :

• traducteurs et interprètes indépendants ;
• éditeurs d'outils de traduction automatique et d'intelligence artificielle ;
• plateforme de gestion de traduction ;
• prestataires d'hébergement et d'infrastructure ;
• outils bureautiques et de gestion.

La liste détaillée est tenue à jour et communiquée sur demande.