Accord de Traitement des Données

KS Agents ne traitera les données personnelles que sur instructions documentées du Responsable du traitement, y compris en ce qui concerne les transferts de données personnelles vers un pays tiers ou une organisation internationale, à moins qu'il n'y soit obligé par le droit de l'Union ou d'un État membre auquel KS Agents est soumis ; dans un tel cas, KS Agents informera le Responsable du traitement de cette obligation légale avant le traitement, à moins que ce droit n'interdise une telle information pour des motifs d'intérêt public.

Les Conditions de Service et le présent DPA constituent l'ensemble complet des instructions documentées. Le Responsable du traitement peut donner d'autres instructions via l'interface administrative de la plateforme ou par écrit à [email protected]. KS Agents informera rapidement le Responsable du traitement si, selon son opinion raisonnable, une instruction enfreint la législation applicable en matière de protection des données.

KS Agents s'assure que les personnes autorisées à traiter des données personnelles en son nom se sont engagées à la confidentialité ou sont soumises à une obligation légale appropriée de confidentialité. L'accès au contenu client est limité au personnel de KS Agents et aux sous-traitants qui en ont besoin pour fournir les Services.

KS Agents mettra en œuvre et maintiendra les mesures techniques et organisationnelles définies à l'Annexe C. Ces mesures tiennent compte de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques. KS Agents peut mettre à jour les mesures de l'Annexe C de temps à autre, à condition que les mesures mises à jour maintiennent au moins un niveau de sécurité équivalent.

En acceptant le présent DPA, le Responsable du traitement accorde à KS Agents une autorisation écrite générale pour engager les sous-traitants ultérieurs répertoriés à l'Annexe B (Registre des sous-traitants ultérieurs).

Aux fins de cette clause, sous-traitant désigne un tiers engagé par les agents KS qui a accès au contenu du client dans le cadre de la fourniture des services. Les services auxiliaires qui n'impliquent pas un tel accès — y compris les télécommunications et la connectivité, les prestataires postaux et d'expédition, les outils de maintenance et d'assistance à l'utilisateur final, ainsi que d'autres mesures destinées à protéger la confidentialité, la disponibilité, l'intégrité et la résilience des systèmes des agents KS — ne sont pas des sous-traitants au sens de cette clause et ne nécessitent pas de préavis en vertu de cette section.

KS Agents informera le Responsable du traitement au moins 30 jours avant d'ajouter ou de remplacer tout sous-traitant ultérieur pouvant accéder au contenu client, en mettant à jour le registre des sous-traitants ultérieurs sur ks-agents.com/legal/subprocessors/ et en envoyant un avis par e-mail à l'adresse e-mail enregistrée du Responsable du traitement.

Le Responsable du traitement peut s'opposer par écrit à cet ajout ou remplacement dans le délai de préavis de 30 jours, pour des motifs raisonnables de protection des données. Si une objection n'est pas résolue dans le délai de préavis, le Responsable du traitement peut résilier les Services concernés sans pénalité en fournissant un préavis écrit avant la date d'entrée en vigueur prévue pour le nouveau sous-traitant ultérieur.

Lorsque KS Agents engage un sous-traitant ultérieur, il impose à ce sous-traitant ultérieur les mêmes obligations de protection des données que celles définies dans le présent DPA, en fournissant notamment des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du RGPD.

KS Agents aidera le Responsable du traitement à répondre aux demandes des personnes concernées exerçant leurs droits en vertu du Chapitre III du RGPD (y compris les droits d'accès, de rectification, d'effacement, de limitation du traitement, de portabilité des données et d'opposition).

KS Agents fournit des outils de droits sur les données en libre-service (effacement et exportation) accessibles aux utilisateurs au sein de la plateforme. KS Agents informera le Responsable du traitement de toute demande directe d'une personne concernée reçue dans les 5 jours ouvrables et ne répondra pas à cette demande sans l'autorisation préalable du Responsable du traitement, à moins que la loi applicable ne l'exige.

L'assistance de KS Agents est fournie gratuitement pour les demandes qui peuvent être satisfaites à l'aide d'outils standards de la plateforme. KS Agents peut facturer des frais raisonnables pour les demandes nécessitant une extraction personnalisée ou un effort inhabituel.

Compte tenu de la nature du traitement et des informations à sa disposition, KS Agents aidera le Responsable du traitement à garantir le respect de ses obligations en vertu des Articles 32 à 36 du RGPD, y compris : (a) sécurité du traitement ; (b) notification des violations de données à caractère personnel à l'autorité de contrôle ; (c) communication des violations de données à caractère personnel aux personnes concernées ; (d) analyses d'impact relatives à la protection des données ; et (e) consultation préalable des autorités de contrôle.

Lors de la résiliation des Conditions de Service pour quelque raison que ce soit, KS Agents devra, au choix du Responsable du traitement et sur demande écrite formulée dans les 30 jours suivant la résiliation : (a) supprimer tout le contenu client et fournir une certification écrite de la suppression ; ou (b) restituer tout le contenu client dans un format lisible par machine (JSON/CSV).

Si aucune instruction n'est reçue dans les 30 jours suivant la résiliation, KS Agents supprimera tout le contenu client. KS Agents peut conserver des données personnelles lorsque le droit de l'Union ou de l'État membre applicable l'exige ; dans ce cas, KS Agents informera le Responsable du traitement de l'obligation de conservation et de la base juridique.

Exclusion de sauvegarde. L'obligation de suppression ci-dessus ne s'étend pas aux copies de sauvegarde qui existent uniquement à des fins de reprise après sinistre. Ces sauvegardes sont conservées pendant une période continue pouvant aller jusqu'à 7 jours à compter de leur création, ne sont pas accessibles pour une récupération ou une restauration dans le cours normal et vieillissent automatiquement. Les agents KS ne restaureront pas le contenu client supprimé à partir de la sauvegarde, sauf lorsque la loi l'exige. Les données personnelles dont la conservation est nécessaire pour le respect des obligations légales (par exemple le droit fiscal) ne relèvent pas non plus du champ d'application de l'obligation de suppression, mais sont soumises à des restrictions de traitement appropriées pendant la durée de la période de conservation.

KS Agents mettra à la disposition du Responsable du traitement toutes les informations nécessaires pour démontrer le respect de ses obligations en tant que sous-traitant, et permettra et contribuera aux audits, y compris les inspections, menés par le Responsable du traitement ou un auditeur tiers mandaté.

Les agents KS peuvent démontrer leur conformité au moyen de l’une des formes de preuve suivantes :

• le respect d'un code de conduite approuvé en vertu de l'art. 40 RGPD ;
• un mécanisme de certification approuvé en vertu de l'art. 42 RGPD ;
• évaluations actuelles, rapports ou extraits de ceux-ci émanant de parties indépendantes (auditeurs externes, auditeurs internes, délégué à la protection des données, sécurité informatique, contrôle qualité) ;
• certifications de sous-traitants selon des cadres reconnus tels que ISO 27001, ISO 27017, ISO 27018, ISO 27701, SOC 2 Type II ou des audits de sécurité informatique équivalents ;
• le registre public des sous-traitants ultérieurs et les mesures techniques et organisationnelles énoncées à l'annexe C du présent DPA.

Le contrôleur doit fournir un préavis écrit d'au moins 30 jours de tout audit sur site. Les audits sur site doivent être effectués : (a) pendant les heures normales de bureau ; (b) pas plus d'une fois par année civile, à moins qu'une violation confirmée des données personnelles ne justifie un examen supplémentaire ; (c) aux frais du Contrôleur, y compris le temps raisonnable du personnel des KS-Agents ; et (d)soumis à un accord de confidentialité protégeant les données et les secrets commerciaux des autres clients des agents KS. Lorsque le Contrôleur mandate un auditeur tiers, les KS-Agents peuvent s'y opposer pour des motifs raisonnables, y compris lorsque le tiers est un concurrent direct des KS-Agents.

Les parties conviennent que l'examen par le Responsable du traitement du présent DPA, du registre des sous-traitants ultérieurs, de l'Annexe C (TOM) et des certifications de sécurité applicables des sous-traitants ultérieurs constituera une preuve d'audit suffisante à des fins de conformité de routine.