11.1 Traitement des données
Dans le cadre du Contrat, les Parties s'engagent à respecter la réglementation en vigueur applicable au traitement de données à caractère personnel (« Données personnelles ») et notamment le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 dit « Règlement Général relatif à la Protection des Données » (RGPD), ainsi que la loi n° 78-17 modifiée du 6 janvier 1978, dans sa dernière version en vigueur, dite « Loi Informatique et libertés », ainsi que toute disposition nationale et européenne applicable les complétant (« Réglementation »).
Les Traitements de données à caractère personne hors exécution du Logiciel
Chaque Partie, en qualité de Responsable du traitement autonome, collecte et traite des données d'identité, telles que civilité, nom, prénom, adresse email, numéro de téléphone des représentants et/ou préposés des Parties (« Données de contact ») pour les finalités suivantes : la gestion de la relation d'affaires qui lie les Parties, y compris en matière administrative, de facturation et à des fins de communication sur les offres de Services et la conformité à toute exigence résultant de la loi, de la règlementation ou d'une autorité professionnelle à laquelle une des Partie serait soumise.
Les Données de contact seront conservées pendant toute la durée de la relation contractuelle et pendant les durées de prescription applicables. Par ailleurs, chaque Personne Concernée peut, pour l'ensemble des Données de contact communiquées entre les Parties, la concernant, exercer directement ses droits auprès du Responsable du traitement de ses Données.
Coordonnées du Délégué à la Protection des Données : dpo@athelians.com
Les Traitements de données à caractère personne dans l'exécution du Logiciel
L'exécution des CGV implique que ATHELIANS effectue pour le compte du Client des opérations de Traitement de Données personnelles ; ATHELIANS agit en qualité de Sous-traitant et le Client a la qualité de Responsable de traitement (« RT »), étant précisé que le Client est et demeure propriétaire de l'ensemble des Données qu'il utilise via le Logiciel. Les opérations réalisées par le Sous-traitant sur les Données personnelles est le stockage, extraction, consultation utilisation, enregistrement, adaptation et modification, rapprochement et interconnexion, transmission et effacement.
Les Finalités du traitement de Données personnelles effectué par ATHELIANS sont le maintien en bon état de fonctionnement, l'assistance aux Utilisateurs, la maintenance corrective et évolutive du Logiciel en mode Saas. A titre accessoire, ATHELIANS peut utiliser des données agrégées et couvertes par l'anonymat pour suivre les statistiques quant à l'utilisation des modules fonctionnels, identifier les tendances métier, contribuer à la conception d'améliorations futures du Logiciel, et garantir l'efficacité et la sécurité des solutions qu'il développe.
Les Données personnelles susceptibles d'être traitées sont les suivantes :
- Données des Utilisateurs : Nom/prénom, Identifiant, et adresse courriel professionnelle ;
- Données des personnes concernées par le Traitement : Etat civil, coordonnées professionnelle et personnelle, informations contractuelles, rémunérations, statut, grade et gratification, données de gestion des pensions et invalidités.
- Données de géolocalisation : numéro de plaque d'immatriculation du véhicule, données de localisation issues de l'utilsation du dispositif, nombre de kilomètres parcourus, historique des déplacements effectués.
ATHELIANS garantie une conformité stricte et proportionnée de la collecte des données de géolocalisation, en obtenant le consentement spécifique des utilisateurs finaux, et en assurant la sécurité des données collectées. Les clients professionnels qui envisagent d'utiliser le système de géolocalisation, doivent consulter leurs instances représentatives du personnel (IRP) et/ou les salariés avant la mise en œuvre du dispositif. Cette consultation est obligatoire pour tout dispositif entraînant une surveillance des salariés. Ces données ne peuvent être traitées que pour des finalités légitimes et proportionnées, comme stipulé par l'article 6 de la loi Informatique et Libertés et l'article L1121-1 du Code du travail.
En principe, la durée de conservation des données de géolocalisation est fixée à une durée maximale de deux mois. Elles peuvent être conservées un an lorsqu'elles sont utilisées pour optimiser les tournées ou à des fins de preuve des interventions effectuées, lorsqu'il n'est pas possible de rapporter cette preuve par un autre moyen. Enfin, elles peuvent être conservées cinq ans lorsqu'elles sont utilisées pour le suivi du temps de travail.
11.2 Obligations de ATHELIANS
ATHELIANS a désigné un délégué à la protection des données qui peut être contacté à l'adresse : dpo@athelians.com.
En sa qualité de Sous-traitant, ATHELIANS s'engage à :
- traiter les Données personnelles uniquement pour la ou les seule(s) Finalité(s) qui fait/font l'objet des CGV ;
- traiter les Données personnelles conformément aux instructions écrites du RT ;
- signaler au Client toute instruction de ce dernier qui semblerait illicite au regard de la Réglementation ;
- mettre en œuvre les mesures techniques et organisationnelles visant à préserver la confidentialité des Données personnelles ;
- veiller à ce que les personnes autorisées à traiter les Données personnelles en vertu des présentes CGV s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité, reçoivent la formation nécessaire en matière de protection des Données personnelles, et prennent en compte, s'agissant d'outils, produits, applications logicielles ou services, les principes de protection des données dès la conception et de protection des données par défaut ;
- tenir par écrit un Registre de toutes les catégories d'activités de traitement effectuées pour le compte du Client qui précise pour chaque traitement opéré, les mentions requises par le RGPD ;
- au terme d'une durée de cinq (5) ans à compter de la fin de l'Abonnement, sauf disposition légale particulière justifiant une durée supérieure, à procéder à la restitution ou à la destruction des Données personnelles ainsi qu'à la destruction de toutes copies
ATHELIANS s'engage à apporter son aide au Client :
- pour s'acquitter de son obligation de donner suite aux demandes d'exercice des droits des Personnes concernées ;
- pour la réalisation, le cas échéant, d'analyses d'impact relative à la protection des Données personnelles ;
- pour la réalisation, le cas échéant, de la consultation préalable de l'autorité de contrôle.
ATHELIANS notifiera au Client toute Violation de Données personnelles dans un délai maximum de deux (2) jours après en avoir pris connaissance, par courrier électronique à l'adresse communiquée par le Client ; cette notification sera accompagnée de toute documentation utile afin de permettre au Client, si nécessaire, de notifier cette Violation de Données personnelles à l'autorité de contrôle compétente.
ATHELIANS est autorisée à sous-traiter auprès d'un tiers, d'une part, l'hébergement de l'application LEMMPO et, d'autre part, les services de maintenance applicative. Les Sous-traitants ultérieurs de ATHELIANS sont tenus de respecter les obligations des présentes pour le compte et selon les instructions du RT.
Il appartient à ATHELIANS de s'assurer que ses Sous-traitants ultérieurs présentent les mêmes garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées conformément à la Réglementation.
La liste des Sous-traitants ultérieurs est communicable sur demande au Client.
11.3 Obligations du Client
Pour l'exécution des CGV, le Client garantit à ATHELIANS qu'il a procédé à l'ensemble des obligations qui lui incombent en sa qualité de RT et qu'il a notamment informé les Personnes concernées de l'usage qui est fait de leurs Données personnelles au moment de la collecte de ces Données. Le Client garantit ainsi ATHELIANS contre tout recours, plainte ou réclamation émanant d'une Personne concernée dont les Données personnelles seraient reproduites et hébergées via le Logiciel.
Le Client met uniquement à la disposition de ATHELIANS les Données personnelles strictement nécessaires à la réalisation des services contractuels incombant à ATHELIANS et déclare qu'il a procédé à leur collecte de façon strictement conforme à la Réglementation. Le Client est seul responsable de la qualité, de la licéité, de la pertinence des Données personnelles, ainsi que tout autre donnée et contenu, qu'il renseigne dans le Logiciel.
ATHELIANS se dégage toute responsabilité en cas de non-conformité des Données personnelles et/ou des données et contenus aux lois et règlements, à l'ordre public ou encore aux besoins du Client.
Le Client garantit ATHELIANS à première demande contre tout préjudice qui résulterait de sa mise en cause par un tiers pour une violation de cette garantie.
Plus généralement, le Client est seul responsable des contenus et messages diffusés et/ou téléchargés via le Logiciel.
11.4 Sécurité des Données
Chacune des Parties s'engage à mettre en œuvre les moyens techniques appropriés pour assurer la sécurité des Données personnelles.
ATHELIANS s'engage à préserver l'intégrité et la confidentialité des Données personnelles contenues dans le Logiciel.
ATHELIANS mettra en place les mesures techniques et organisationnelles de nature à empêcher les accès ou utilisations frauduleuses des Données personnelles et à prévenir les pertes ou altérations de ces Données. Ces mesures sont communicables sur demande du Client.
ATHELIANS s'emploie à sécuriser l'accès et l'utilisation du Logiciel, en tenant compte des protocoles, conformément aux usages en la matière.
ATHELIANS a mis en place des contrôles efficaces de protection contre l'accès physique et électronique non autorisé à ses systèmes d'exploitation et applications, ainsi qu'aux renseignements confidentiels des Clients afin de procurer une assurance raisonnable que l'accès aux systèmes et aux Données personnelles est limité aux seules personnes autorisées.
ATHELIANS s'engage à préserver l'intégrité et la confidentialité des Données personnelles contenues dans le Logiciel.
ATHELIANS mettra en place les mesures techniques et organisationnelles de nature à empêcher les accès ou utilisations frauduleuses des Données personnelles et à prévenir les pertes ou altérations de ces Données.