Accord de Traitement des Données

Contrat de sous-traitance (CST) conformément à l'article 28 du RGPD

Version du 20/03/2026

Entre

le client enregistré de Biscotti CMP – ci-après dénommé « responsable du traitement » ou « client » –

et la

Campcruisers GmbH Berliner Str. 21 B 14612 Falkensee République fédérale d'Allemagne

Tribunal d'enregistrement : Tribunal d'instance de Potsdam Numéro d'enregistrement : HRB 40180 P Numéro d'identification TVA : DE368000447 Numéro fiscal : 29/249/36095 Représentée par : Daniel Bosch (PDG), Philipp André Marschall (fondé de pouvoir) E-mail : [email protected] Téléphone : +49 3322 50703301 Heures d'ouverture : du lundi au vendredi, de 9 h à 17 h – ci-après dénommés « sous-traitant » ou « prestataire » –

– le responsable du traitement et le sous-traitant étant ci-après dénommés conjointement les « parties » –

Préambule

Bienvenue chez Campcruisers GmbH ! Nous sommes ravis de vous compter parmi nos clients. La transparence, les normes de sécurité les plus strictes et une relation de partenariat d’égal à égal sont nos priorités absolues. La protection de vos données et de celles des visiteurs de votre site web n’est pas seulement pour nous une obligation légale, mais aussi un engagement de qualité central de notre entreprise.

Le responsable du traitement utilise la solution SaaS (Software-as-a-Service) basée sur le cloud « Biscotti CMP » (Consent Management Platform), développée, exploitée et commercialisée par le sous-traitant. Dans le cadre de la fourniture de ces services SaaS, qui sont mis à disposition sous le domaine biscotti-cmp.com ainsi que via l'application app.biscotti-cmp.com, le sous-traitant traite des données à caractère personnel pour le compte et selon les instructions du responsable du traitement. Le présent contrat précise les obligations des parties en matière de protection des données découlant de l'utilisation de Biscotti CMP. Il s'applique à toutes les activités liées au contrat principal (contrat d'utilisation des services SaaS) et dans le cadre desquelles les employés du sous-traitant ou des tiers mandatés par celui-ci sont susceptibles d'avoir accès aux données à caractère personnel du responsable du traitement.

Le présent contrat est indispensable pour satisfaire aux exigences du règlement (UE) 2016/679 (Règlement général sur la protection des données – RGPD), en particulier de l'article 28 du RGPD, ainsi qu'aux dispositions complémentaires de la loi fédérale sur la protection des données (BDSG) et de la loi sur la protection des données dans le domaine des télécommunications et des services numériques (TDDDG).

[!NOTE] Conclusion du contrat dans le cadre du commerce électronique Le présent contrat est conclu sous forme électronique conformément à l'article 28, paragraphe 9, du RGPD. Lors de l'inscription/l'enregistrement par le responsable du traitement, il fait partie intégrante des conditions générales de vente (CGV) de Biscotti CMP. La conclusion du contrat intervient par le consentement électronique explicite donné lors de l'inscription (par exemple en cliquant sur un bouton de confirmation) et ne nécessite aucune signature manuscrite distincte pour être valable et juridiquement opposable.

§ 1 Objet et durée du traitement

1.1 Objet du traitement Le sous-traitant fournit au responsable du traitement des services dans le domaine de la gestion du consentement (Consent Management) et de l'automatisation de la conformité en matière de protection des données. L'objet du traitement des données à caractère personnel découle du contrat principal conclu entre les parties concernant l'utilisation de Biscotti CMP. Le traitement comprend toutes les opérations liées aux données qui sont nécessaires à la mise à disposition des fonctionnalités logicielles convenues contractuellement. Cela comprend notamment, mais sans s'y limiter :

• La mise à disposition et l'affichage de bannières de consentement (bannières de cookies) sur les sites web du responsable du traitement.
• La collecte, le stockage, la gestion et la documentation des décisions de consentement (acceptation / refus) des utilisateurs finaux (visiteurs du site web) du responsable du traitement conformément à l'article 7, paragraphe 1, du RGPD et à l'article 25, paragraphe 1, de la TDDDG.
• La réalisation de scans de cookies assistés par IA sur les sites web du responsable du traitement afin d'identifier et de catégoriser les technologies de suivi et de les comparer avec la base de données des fournisseurs de l'IAB.
• Le traitement des signaux dans le cadre du Google Consent Mode v2, du cadre de transparence et de consentement de l'IAB (TCF 2.4) ainsi que du Global Privacy Control (GPC).
• La détermination, sur la base de l'adresse IP, de la juridiction du visiteur du site web afin d'afficher de manière dynamique des variantes de bannières conformes à la législation (par exemple, RGPD, CCPA/CPRA).
• La génération de textes juridiques (mentions légales, politique de confidentialité, politique en matière de cookies) assistée par l'IA via l'assistant Legal Suite intégré, à l'aide de Alibaba Cloud Qwen.
• La mise à disposition de journaux d'audit (audit logs), de webhooks pour la notification en temps réel, de fonctionnalités de tests A/B ainsi que de fonctions d'exportation de données pour le respect des droits des personnes concernées conformément à l'article 15 du RGPD.
• La gestion des sous-comptes d'agence dans le cadre du tarif « Agency », y compris la gestion des clients et le branding en marque blanche.

1.2 Durée du traitement La durée du présent contrat de sous-traitance dépend de la durée du contrat principal sous-jacent relatif à l’utilisation de la CMP Biscotti. Le contrat entre en vigueur dès l'enregistrement du responsable du traitement et l'activation du compte (pour les formules gratuites) ou dès la confirmation du paiement (pour les formules payantes telles que Starter, Growth, Business, Agency). Il prend fin automatiquement à l'expiration du contrat principal, quel qu'en soit le motif juridique (par exemple, par résiliation ordinaire, résiliation extraordinaire ou suppression du compte). Le délai de préavis pour le contrat principal est d'un jour avant la fin de la période de facturation concernée. Les dispositions du présent contrat qui, de par leur nature, sont censées s'appliquer au-delà de la résiliation (en particulier les dispositions relatives à la suppression et à la restitution des données ainsi qu'aux questions de responsabilité) ne sont pas affectées par la résiliation.

§ 2 Nature et finalité du traitement

2.1 Nature du traitement La nature du traitement comprend la collecte, l'enregistrement, l'organisation, la structuration, le stockage, l'adaptation ou la modification, la consultation, l'interrogation, l'utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction des données. Le traitement s'effectue principalement de manière automatisée dans l'infrastructure cloud du sous-traitant (par exemple, hébergée sur la plateforme Google Cloud, les serveurs étant généralement situés dans l'Union européenne).

2.2 Finalité du traitement La finalité du traitement réside exclusivement dans l'exécution des obligations contractuelles découlant du contrat principal. Cela comprend :

• La traçabilité du consentement : enregistrement des données de consentement afin de satisfaire à l'obligation de rendre compte du responsable du traitement conformément à l'article 5, paragraphe 2, en liaison avec l'article 7, paragraphe 1, du RGPD.
• Mise à disposition technique : affichage de la bannière de consentement et garantie du bon fonctionnement du site web du responsable du traitement en tenant compte des préférences des utilisateurs.
• Analyse de conformité : vérification automatisée des sites web du responsable du traitement afin de détecter les risques en matière de protection des données (scanner de cookies).
• Rédaction de textes juridiques : traitement des données d'entreprise et des coordonnées du responsable du traitement en vue de la rédaction, assistée par IA, de textes juridiques sur mesure.
• Facturation et gestion des comptes : gestion des comptes utilisateurs, attribution de limites de sessions (par exemple, 5 000 sessions dans la formule Free, 500 000 dans la formule Business) et traitement des transferts de sessions.
• Gestion d'agence : gestion de jusqu'à 25 sous-comptes dans la formule Agency, y compris la mise à disposition de pages revendeurs et de fonctions d'envoi d'e-mails.

Le traitement des données à des fins propres au sous-traitant, notamment à des fins publicitaires ou pour la création de profils d'utilisateurs, qui vont au-delà de la prestation contractuelle, est strictement interdit, sauf en cas d'autorisation légale expresse ou de consentement distinct.

§ 3 Nature des données à caractère personnel

Dans le cadre du traitement des données, les catégories suivantes de données à caractère personnel sont traitées. Le responsable du traitement détermine lui-même l'étendue exacte des données par son utilisation de Biscotti CMP et la configuration du logiciel :

• Données de consentement : décisions (acceptation / refus pour différentes catégories telles que Essentiel, Fonctionnel, Analyse, Marketing, Services d'IA), horodatage (date et heure exacte du consentement), numéro d'identification unique (pour l'attribution pseudonyme de la décision au terminal/navigateur concerné).
• Données techniques : adresses IP (traitées principalement pour la reconnaissance de la juridiction basée sur la localisation et généralement anonymisées/tronquées immédiatement, sauf configuration contraire par le responsable), informations sur le navigateur, informations sur l'appareil, chaînes d'agent utilisateur, données de session.
• Données de cookies et de trackers : résultats d'analyse des sites web du responsable du traitement, y compris les cookies détectés, le contenu de la mémoire locale, les trackers de tiers et leur classification.
• Contenus générés par l'IA : données que le responsable du traitement saisit dans l'assistant Legal Suite afin de générer des textes juridiques (politique de confidentialité, mentions légales, conditions générales). Cela peut inclure des données d'entreprise, les noms des représentants légaux, des adresses et des activités de traitement spécifiques traitées via l'API Alibaba Cloud Qwen.
• Coordonnées (titulaire du compte) : prénom et nom, adresse e-mail, nom de l'entreprise, adresse postale, numéro de téléphone, numéro d'identification fiscale (NIF) des clients ou des titulaires de compte.
• Données d'utilisation : activités du tableau de bord, statistiques des bannières (affichages, interactions, taux d'acceptation), rapports de conformité, journaux de vérification des modifications de compte.
• Données de paiement : informations de facturation traitées via le prestataire de services de paiement Stripe (les données de carte de crédit étant tokenisées directement chez Stripe et non stockées en clair chez le sous-traitant).

§ 4 Catégories de personnes concernées

Le traitement concerne les catégories suivantes de personnes concernées :

• Visiteurs du site web (utilisateurs finaux) : personnes physiques qui visitent les pages web du responsable du traitement et dont les décisions de consentement sont sollicitées, traitées et enregistrées via la bannière Biscotti CMP.
• Clients (titulaires de compte) : personnes physiques, entrepreneurs individuels ou représentants de personnes morales qui, en tant que partenaires contractuels du sous-traitant, ont créé un compte auprès de Biscotti CMP.
• Membres de l'équipe et collaborateurs : personnes invitées par le titulaire du compte (responsable du traitement) en tant qu'utilisateurs supplémentaires dans le tableau de bord Biscotti CMP afin de gérer le système.
• Clients d'agences (titulaires de sous-comptes) : clients finaux d'agences qui utilisent le tarif « Agency » et pour lesquels des sous-comptes ont été créés.

§ 5 Obligations et droits du responsable du traitement

5.1 Licéité du traitement Le responsable est seul responsable de l'évaluation de la licéité du traitement pour le compte de tiers ainsi que de la protection des droits des personnes concernées (art. 4, n° 7 du RGPD). Le responsable du traitement veille à ce qu’il existe une base juridique valable (par exemple, le consentement au sens de l’art. 6, al. 1, let. a du RGPD ou l’intérêt légitime au sens de l’art. 6, al. 1, let. f du RGPD) pour le traitement des données à caractère personnel par le sous-traitant. Cela vaut en particulier pour l'utilisation du Biscotti CMP en vue de l'obtention des consentements conformément à l'article 25, paragraphe 1, de la TDDDG.

5.2 Obligations d'information Le responsable du traitement est entièrement chargé d'informer les personnes concernées (en particulier les visiteurs du site web) de manière transparente, précise et en temps utile sur le traitement des données, conformément aux articles 13 et 14 du RGPD. À cette fin, le sous-traitant met à la disposition du responsable du traitement les informations techniques nécessaires sur le fonctionnement de Biscotti CMP ainsi que des modèles de textes via l'assistant Legal Suite. La vérification juridique et l'intégration de la déclaration de confidentialité incombent au responsable du traitement.

5.3 Utilisation par les agences et les revendeurs Si le responsable du traitement utilise le tarif « Agence » et crée des sous-comptes pour ses propres clients, il reste, vis-à-vis du sous-traitant, l’unique partenaire contractuel et le responsable du traitement au sens de la législation sur la protection des données. Le responsable du traitement garantit qu’il dispose des accords contractuels nécessaires (y compris ses propres contrats de sous-traitance) avec ses clients finaux. Si le responsable du traitement met en place un site de revendeur ou utilise ses propres serveurs de messagerie sous son propre domaine, il assume l’entière responsabilité, au regard de la protection des données et du droit de la concurrence, de cette infrastructure. Le sous-traitant n’assume aucune responsabilité à cet égard.

5.4 Signalement d'erreurs Le responsable doit informer le sous-traitant sans délai et de manière exhaustive s'il constate, lors de la vérification des résultats de la mission, des erreurs ou des irrégularités concernant les dispositions en matière de protection des données.

§ 6 Droit de donner des instructions du responsable du traitement

6.1 Nature et étendue des instructions Le sous-traitant traite les données à caractère personnel exclusivement sur instruction documentée du responsable du traitement, à moins qu'il n'y soit tenu par le droit de l'Union ou des États membres auquel il est soumis (art. 28, al. 3, let. a du RGPD). Dans un tel cas, le sous-traitant informe le responsable du traitement de cette exigence légale avant le traitement, à moins que le droit en question n'interdise une telle notification pour des raisons d'intérêt public important.

Le contrat principal ainsi que les présentes CGU constituent l’instruction initiale documentée. L’utilisation des fonctionnalités du Biscotti CMP (par exemple, la configuration de la bannière, le lancement d’un scan, la génération de textes) par le responsable du traitement dans le tableau de bord est considérée comme une instruction individuelle documentée.

6.2 Forme des instructions Les instructions peuvent généralement être données via l'interface utilisateur du logiciel (application). Les instructions supplémentaires doivent être données par écrit (par exemple par e-mail à [email protected]). Les instructions verbales doivent être immédiatement confirmées par écrit par le responsable du traitement.

6.3 Objections aux instructions Le sous-traitant informe immédiatement le responsable du traitement s’il estime qu’une instruction enfreint le RGPD, la BDSG ou d’autres dispositions en matière de protection des données de l’Union ou des États membres. Le sous-traitant est en droit de suspendre l’exécution de l’instruction en question jusqu’à ce qu’elle soit confirmée ou modifiée par le responsable du traitement. Le sous-traitant peut refuser les instructions manifestement illégales.

§ 7 Obligation de confidentialité

7.1 Obligation des collaborateurs Le sous-traitant confirme qu’il a imposé une obligation de confidentialité à toutes les personnes habilitées à traiter les données à caractère personnel du responsable du traitement (collaborateurs, collaborateurs indépendants, organes) avant le début de leur activité (art. 28, al. 3, let. b du RGPD) ou que celles-ci sont soumises à une obligation légale de confidentialité appropriée. Cette obligation inclut également le secret des données et subsiste même après la cessation de l'activité ou de la relation de travail.

7.2 Formation et sensibilisation Le sous-traitant veille à ce que les personnes habilitées au traitement soient régulièrement formées et sensibilisées aux dispositions relatives à la protection des données (RGPD, BDSG) et à la sécurité des données. Le sous-traitant, représenté par la direction (Daniel Bosch, Philipp André Marschall), veille à instaurer une culture d'entreprise conforme à la protection des données.

7.3 Délégué à la protection des données Le sous-traitant a désigné un délégué à la protection des données compétent et fiable, dans la mesure où la loi l'exige en vertu de l'article 38, paragraphe 1, de la BDSG ou de l'article 37 du RGPD (par exemple, lorsqu'au moins 20 personnes sont habituellement affectées au traitement automatisé).

En l'absence d'obligation légale de désignation, le sous-traitant veille néanmoins à ce que les obligations en matière de protection des données soient pleinement surveillées et respectées par la direction.

§ 8 Mesures techniques et organisationnelles (TOM) conformément à l'article 32 du RGPD

8.1 Principe de sécurité du traitement Le sous-traitant déclare de manière contraignante qu'il a pris, compte tenu de l'état de la technique, des coûts de mise en œuvre et de la nature, de la portée, des circonstances et des finalités du traitement, ainsi que de la probabilité et de la gravité variables du risque pour les droits et libertés des personnes physiques, il a mis en place des mesures techniques et organisationnelles (TOM) appropriées afin de garantir un niveau de protection adapté au risque (art. 32 RGPD). Ces mesures s'appuient sur des normes de sécurité informatique reconnues (telles que ISO 27001 et SOC 2).

8.2 Mesures concrètes Le sous-traitant met notamment en œuvre les mesures suivantes et les maintient pendant toute la durée du contrat :

a) Pseudonymisation et chiffrement (art. 32, al. 1, let. a du RGPD)

• Chiffrement lors de la transmission : tous les transferts de données entre l'utilisateur final, le responsable du traitement et l'infrastructure Biscotti CMP s'effectuent obligatoirement via des protocoles de chiffrement de pointe (TLS 1.2 ou TLS 1.3).
• Chiffrement au repos : toutes les bases de données et tous les supports de stockage sur la plateforme Google Cloud (serveurs situés aux Pays-Bas) sont chiffrés au niveau du disque dur (AES-256).
• Pseudonymisation : les décisions de consentement ne sont pas associées à des noms réels, mais à un numéro d'identification cryptographique généré de manière aléatoire. Les adresses IP sont raccourcies/anonymisées par défaut dès que l'attribution basée sur la localisation est terminée.

b) Confidentialité (contrôle des entrées, des accès et des accès)

• Contrôle d'accès : la sécurité physique des serveurs utilisés est garantie par le prestataire de services d'infrastructure externe (par exemple, Google Cloud). Les centres de données sont soumis à des contrôles d'accès et de sécurité stricts, conformes aux normes du secteur. Les locaux de Campcruisers GmbH sont sécurisés par des restrictions d'accès physiques appropriées (par exemple, des serrures de sécurité).
• Contrôle d'accès : l'accès aux systèmes informatiques du sous-traitant est sécurisé par des politiques de mots de passe restrictives, une authentification multifactorielle (MFA) pour les accès administratifs pertinents ainsi que des délais d'expiration de session. Des systèmes tels que Cloudflare Turnstile sont utilisés pour protéger les tentatives de connexion contre les attaques de bots.
• Contrôle des accès : le principe de l'attribution minimale des droits (Role-Based Access Control - RBAC) s'applique. Les collaborateurs du sous-traitant n'ont accès qu'aux données strictement nécessaires à l'accomplissement de leur tâche respective. Les données clients des différentes formules tarifaires sont logiquement séparées les unes des autres (multitenancy).

c) Intégrité (contrôle de la transmission, de la saisie et de la séparation)

• Contrôle de la transmission : les données ne sont pas transportées sur des supports physiques. La transmission s'effectue exclusivement via des réseaux sécurisés.
• Contrôle des entrées : Biscotti CMP dispose d'un journal d'audit complet. Il est possible de retracer à tout moment quel utilisateur (client, membre de l'équipe, agence) a effectué quelles modifications dans le tableau de bord et à quel moment (par exemple, modification des textes des bannières, adaptation des catégories de cookies).
• Contrôle de séparation : les données collectées à des fins différentes sont traitées séparément. Les environnements de production, de test et de développement sont strictement isolés les uns des autres.

d) Disponibilité et résilience (art. 32, al. 1, let. b et c du RGPD)

• Disponibilité : le sous-traitant prend des mesures appropriées, conformes aux pratiques du secteur, pour garantir la disponibilité des systèmes (hébergement sur la plateforme Google Cloud). Toutefois, aucune disponibilité SLA explicite n'est garantie et il n'existe pas de redondance complète de l'infrastructure.
• Résilience : l'architecture du système est conçue de manière à ce que les volumes de sessions attendus soient généralement traités de manière fiable. Toutefois, aucun mécanisme dédié d'équilibrage de charge ou de mise à l'échelle automatique (auto-scaling) n'est utilisé.
• Récupérabilité : le sous-traitant prend les mesures appropriées (par exemple, des sauvegardes régulières des bases de données) pour permettre la restauration des données en cas d'incident technique. Il n'existe toutefois aucune garantie de restauration sans perte, raison pour laquelle le responsable du traitement est invité à utiliser sous sa propre responsabilité les fonctions d'exportation mises à sa disposition.

e) Procédures d'évaluation périodique (art. 32, al. 1, let. d du RGPD)

• Le sous-traitant vérifie régulièrement en interne l'efficacité des mesures techniques et organisationnelles mises en place.
• Il existe des processus internes de réponse aux incidents de sécurité (Incident Response) afin de pouvoir faire face à d'éventuels incidents dans le cadre légal.
• Les mesures techniques et organisationnelles font l'objet d'un processus d'amélioration continue.

8.3 Adaptation des mesures techniques et organisationnelles Les mesures techniques et organisationnelles sont soumises au progrès technique et à l'évolution. Le sous-traitant est autorisé à mettre en œuvre des mesures alternatives adéquates, à condition que le niveau de sécurité des mesures définies ne soit pas inférieur. Les modifications importantes doivent être communiquées par écrit au responsable du traitement.

§ 9 Sous-traitants

9.1 Recours à des sous-traitants Le responsable du traitement accorde par la présente au sous-traitant l'autorisation générale écrite (art. 28, al. 2 du RGPD) de faire appel à d'autres sous-traitants. Le sous-traitant veille à sélectionner avec soin les sous-traitants et à leur imposer contractuellement les mêmes obligations en matière de protection des données que celles définies dans le présent contrat (art. 28, al. 4 du RGPD).

9.2 Sous-traitants actuellement agréés Au moment de la conclusion du contrat, les sous-traitants suivants interviennent dans la fourniture des services Biscotti CMP et sont considérés comme agréés par le responsable du traitement. Le sous-traitant s’est assuré que, dans le cas de prestataires américains, la succursale européenne concernée agit en tant que partenaire contractuel afin de garantir le niveau de protection des données de l’UE :

9.3 Transferts vers des pays tiers Si un traitement est effectué par des sous-traitants situés en dehors de l'Union européenne (UE) ou de l'Espace économique européen (EEE) (par exemple chez Resend), le sous-traitant veille à ce que les conditions particulières prévues aux articles 44 et suivants du RGPD soient remplies. Cela se fait généralement par la conclusion des clauses contractuelles types (SCC) actuelles de la Commission européenne, en liaison avec une analyse d'impact du transfert (Transfer Impact Assessment) et la mise en œuvre de mesures techniques supplémentaires (par exemple, le chiffrement).

9.4 Changement ou recours à de nouveaux sous-traitants Le sous-traitant informera le responsable du traitement de toute modification envisagée concernant le recours à de nouveaux sous-traitants ou le remplacement de sous-traitants existants. Cette information sera communiquée par écrit (par exemple par e-mail à l'adresse enregistrée dans le compte) au moins 30 jours avant la modification prévue. Le responsable du traitement peut s'opposer à la modification pour un motif important lié à la protection des données dans un délai de 14 jours à compter de la réception de la notification. En l'absence d'opposition, la modification est réputée approuvée. En cas d'opposition justifiée que le sous-traitant ne peut lever par des mesures raisonnables, le responsable du traitement est en droit de résilier le contrat principal de manière extraordinaire à la date d'entrée en vigueur de la modification.

§ 10 Assistance en matière de droits des personnes concernées

10.1 Obligation d'assistance Le sous-traitant assiste le responsable du traitement, dans la mesure du possible, par des mesures techniques et organisationnelles appropriées, afin de lui permettre de s'acquitter de son obligation de répondre aux demandes d'exercice des droits des personnes concernées visés au chapitre III du RGPD (articles 15 à 22 du RGPD) (article 28, paragraphe 3, point e) du RGPD).

10.2 Mise en œuvre technique dans Biscotti CMP Biscotti CMP vise à apporter un soutien technique au responsable du traitement dans l'exercice de ses obligations :

• Droit d'accès (art. 15 RGPD) et droit à la portabilité des données (art. 20 RGPD) : le logiciel offre des possibilités d'exportation des données (par exemple au format CSV) ; il est également possible de demander au service d'assistance l'exportation d'identifiants de consentement spécifiques, dans le respect de la protection des données.
• Droit de retrait (art. 7, al. 3 du RGPD) : la bannière de consentement de Biscotti CMP offre aux utilisateurs finaux la possibilité de consulter les paramètres définis et de les retirer à tout moment.
• Droit à l'effacement (art. 17 du RGPD) : les données collectées peuvent être effacées par le responsable du traitement via les fonctions mises à disposition dans le tableau de bord ou, sur demande justifiée, par le service d'assistance.

10.3 Transmission des demandes Si une personne concernée fait valoir ses droits directement auprès du sous-traitant, celui-ci ne répondra pas de sa propre initiative à la demande, mais renverra immédiatement la personne concernée vers le responsable du traitement, dans la mesure où une attribution au responsable du traitement est possible sur la base des données disponibles. Le sous-traitant transmet immédiatement la demande au responsable du traitement.

§ 11 Assistance en matière d'analyse d'impact relative à la protection des données et d'obligations de notification

11.1 Analyse d'impact relative à la protection des données (art. 35 du RGPD) Le sous-traitant assiste le responsable du traitement, en tenant compte de la nature du traitement et des informations dont il dispose, dans la réalisation d'une analyse d'impact relative à la protection des données (AIPD) conformément à l'art. 35 du RGPD, ainsi que dans le cadre d'une consultation préalable de l'autorité de contrôle si nécessaire (art. 36 du RGPD).

11.2 Notification des violations de la protection des données à caractère personnel Le sous-traitant est tenu de notifier par écrit au responsable du traitement toute violation de la protection des données à caractère personnel (fuite de données) concernant les données traitées dans le cadre du contrat, sans délai et au plus tard dans les 48 heures suivant la prise de connaissance de celle-ci.

§ 12 Effacement et restitution des données

12.1 Effacement après la fin du contrat À l'issue de la prestation des services de traitement (résiliation du contrat principal), le sous-traitant est tenu, au choix du responsable du traitement, soit de supprimer toutes les données à caractère personnel, soit de les restituer, à moins qu’une obligation de conservation des données à caractère personnel ne soit prévue par le droit de l’Union ou le droit des États membres (par exemple, obligations de conservation en matière de droit commercial et fiscal selon le Code de commerce allemand (HGB) et le Code fiscal allemand (AO)).

12.2 Procédure standard de Biscotti CMP Sauf instruction contraire du responsable du traitement, la procédure standard suivante s'applique : le responsable du traitement a la possibilité de sauvegarder lui-même ses données avant la fin du contrat à l'aide de la fonction d'exportation (CSV). Après la prise d'effet de la résiliation et l'expiration de la période de facturation, le compte du responsable du traitement est désactivé. Les données à caractère personnel stockées dans le compte sont conservées pendant une période transitoire de 30 jours (délai de conservation) afin de permettre une restauration en cas de déclassement accidentel. À l'expiration de ces 30 jours, les données sont supprimées de manière irréversible et conforme à la protection des données des systèmes opérationnels.

12.3 Confirmation de la suppression Le sous-traitant confirme par écrit au responsable du traitement, à la demande expresse de ce dernier, la suppression des données conformément à la réglementation en matière de protection des données.

§ 13 Droits de contrôle et audits

13.1 Droit de vérification Le sous-traitant met à la disposition du responsable du traitement toutes les informations nécessaires pour prouver le respect des obligations énoncées à l'article 28 du RGPD et dans le présent contrat. Il autorise les vérifications – y compris les inspections – effectuées par le responsable du traitement ou par un auditeur mandaté par celui-ci et tenu à la confidentialité, et y contribue.

13.2 Réalisation d'audits Afin de ne pas compromettre la sécurité des centres de données et la confidentialité des données d'autres clients (séparation des mandants), les parties conviennent de la procédure suivante pour les audits :

• Le responsable exercera son droit de contrôle principalement en exigeant et en évaluant des certificats pertinents (par exemple ISO 27001) ou au moyen de questionnaires détaillés sur la sécurité informatique.
• Si ces informations s'avèrent insuffisantes, le responsable est en droit de procéder à une inspection sur place dans les locaux de Campcruisers GmbH (Berliner Str. 21 B, 14612 Falkensee).
• Les inspections sur place doivent être annoncées avec un préavis raisonnable (en règle générale, au moins 14 jours).

§ 14 Responsabilité et dommages-intérêts

14.1 Relations externes (vis-à-vis des personnes concernées) Le responsable du traitement et le sous-traitant sont responsables de l'indemnisation des dommages envers la personne concernée conformément à l'article 82 du RGPD. Le sous-traitant n'est responsable des dommages résultant d'un traitement que s'il n'a pas respecté ses obligations découlant du RGPD ou s'il a agi en violation des instructions légalement données par le responsable du traitement.

14.2 Relations internes (entre les parties) Dans le cadre des relations internes, les parties s’exonèrent de toute responsabilité si l’une d’entre elles prouve qu’elle n’est en aucune manière responsable de la circonstance à l’origine du dommage.

14.3 Limitation de responsabilité découlant du contrat principal Les dispositions en matière de responsabilité du contrat principal (CGV) s'appliquent à titre complémentaire. La responsabilité pour négligence légère est exclue, sauf en cas de violation d'obligations contractuelles essentielles (obligations cardinales). Dans ce cas, la responsabilité est limitée au préjudice prévisible et typique du contrat.

§ 15 Dispositions finales

15.1 Forme écrite et modifications Les modifications et les ajouts au présent contrat doivent être effectués par écrit (par exemple par e-mail). Le sous-traitant se réserve le droit de modifier le présent contrat afin de l'adapter à l'évolution de la situation juridique ou aux progrès techniques. Le responsable est informé des modifications par e-mail.

15.2 Hiérarchie des dispositions Si certaines dispositions du présent contrat de sous-traitance sont en contradiction avec les dispositions du contrat principal (CGV), les dispositions du présent contrat de sous-traitance prévalent en matière de protection et de sécurité des données.

15.3 Clause de sauvegarde Si certaines dispositions du présent contrat sont ou deviennent invalides ou inapplicables, la validité des autres dispositions n'en est pas affectée. Les parties s'engagent à remplacer la disposition invalide ou inapplicable par une disposition valide et applicable.

15.4 Droit applicable et juridiction compétente Le présent contrat est exclusivement régi par le droit de la République fédérale d'Allemagne, à l'exclusion de la Convention des Nations Unies sur les contrats de vente internationale de marchandises. La juridiction exclusive pour tous les litiges découlant du présent contrat ou en rapport avec celui-ci est, dans la mesure où la loi le permet, le siège social du sous-traitant (Falkensee). La langue du contrat est l'allemand.