Accord de traitement des données

Le présent accord (l’« Accord ») fait partie du contrat conclu entre l’organisation utilisant EUlabel (le « Client ») et Búzios e Tartarugas, Lda., Rua Gil Vicente, 2, 2775-198 Parede, Portugal (« EUlabel »). Il satisfait aux exigences de l’article 28 du règlement (UE) 2016/679 (RGPD). Les termes définis dans le RGPD ont ici le même sens.

Le Client accepte le présent Accord avec les Conditions d’utilisation de la plateforme. Aucune signature n’est requise. Le texte portugais prévaut sur toute traduction. Pour recevoir un exemplaire contresigné, écrivez à legal@eulabel.eu.

1. Rôles et champ d’application

1.1 Pour les données à caractère personnel figurant dans les Données du Client, le Client est le responsable du traitement, ou un sous-traitant pour le compte d’un autre responsable du traitement, et EUlabel est le sous-traitant, ou un sous-traitant ultérieur. Le Client confirme que tout responsable du traitement pour le compte duquel il agit a autorisé le présent Accord.

1.2 L’annexe 1 décrit l’objet, la durée, la nature et la finalité du traitement, les types de données à caractère personnel et les catégories de personnes concernées.

1.3 EUlabel est un responsable du traitement distinct pour les données que son avis de confidentialité décrit comme les siennes : son site web, sa newsletter, la connexion, la sécurité des comptes et les documents contractuels. Le présent Accord ne couvre pas ces données.

2. Instructions

2.1 EUlabel ne traite les données à caractère personnel que sur instruction documentée du Client, y compris pour les transferts. Les instructions du Client sont le présent Accord, les Conditions d’utilisation de la plateforme, l’utilisation par le Client du tableau de bord et de l’API, ainsi que toute autre instruction écrite convenue entre les parties.

2.2 Si le droit de l’Union ou le droit d’un État membre exige un autre traitement, EUlabel en informe préalablement le Client, sauf si ce droit l’interdit.

2.3 EUlabel informe immédiatement le Client si elle estime qu’une instruction constitue une violation du droit applicable à la protection des données, et peut suspendre cette instruction jusqu’à ce que le Client la confirme ou la modifie.

2.4 EUlabel ne vend pas de données à caractère personnel et ne les utilise pas à ses propres fins.

3. Responsabilités du Client

Le Client est responsable de disposer d’une base juridique, d’informer les personnes concernées, de l’exactitude des données et du choix de ce qui est publié. Les champs publics des passeports sont visibles par tous : le Client ne doit donc pas y faire figurer de données à caractère personnel, sauf s’il entend les publier. Le Client ne doit saisir ni catégories particulières de données ni données relatives aux condamnations pénales. Chaque page produit renvoie à l’avis d’EUlabel, et le Client peut ajouter le sien dans Settings → Data and legal.

4. Confidentialité

EUlabel veille à ce que toutes les personnes autorisées à traiter des données à caractère personnel soient tenues à la confidentialité, par contrat ou par la loi.

5. Sécurité

5.1 EUlabel maintient les mesures techniques et organisationnelles décrites à l’annexe 2, comme l’exige l’article 32 du RGPD.

5.2 EUlabel peut mettre à jour ces mesures si le niveau de protection ne diminue pas.

5.3 Le Client est responsable des mesures qui relèvent de son contrôle, notamment la gestion des membres, des rôles, des clés API et des autorisations d’accès.

6. Sous-traitants ultérieurs

6.1 Le Client donne à EUlabel une autorisation générale de recourir à des sous-traitants ultérieurs. Ceux qui sont utilisés à la date d’acceptation sont énumérés à l’annexe 3.

6.2 EUlabel préviendra les propriétaires de l’organisation du Client par e-mail au moins 30 jours avant d’ajouter ou de remplacer un sous-traitant ultérieur. L’e-mail désignera le sous-traitant ultérieur et indiquera que le Client est réputé accepter, sauf s’il s’y oppose en temps utile. Un délai plus court ne s’applique que si le Client l’accepte par e-mail.

6.3 Le Client peut s’y opposer pour tout motif raisonnable dans les 14 jours suivant la notification. Les parties s’efforceront alors de résoudre l’opposition, et EUlabel n’utilisera pas le nouveau sous-traitant ultérieur pour les données de ce Client tant qu’elles n’y seront pas parvenues ou que le contrat n’aura pas pris fin. À défaut de résolution, le Client peut mettre fin au contrat sans frais, et EUlabel peut y mettre fin en application de la section 13 des Conditions d’utilisation de la plateforme.

6.4 EUlabel impose par contrat à chaque sous-traitant ultérieur des obligations en matière de protection des données dont le contenu n’est pas moins protecteur que celles du présent Accord, et reste pleinement responsable envers le Client de l’exécution de ses obligations par le sous-traitant ultérieur, comme l’explique la clause 13.1.

6.5 Les sous-traitants ultérieurs ont recours à leurs propres sous-traitants ultérieurs, selon leurs propres listes publiées, dont les liens figurent sur la page des sous-traitants ultérieurs.

7. Transferts hors de l’EEE

7.1 EUlabel ne transfère des données à caractère personnel hors de l’Espace économique européen que sur instruction du Client et conformément au chapitre V du RGPD. L’annexe 3 indique les transferts et leurs garanties. En acceptant le présent Accord, le Client donne à EUlabel instruction d’effectuer ces transferts.

7.2 Lorsqu’un transfert repose sur les clauses contractuelles types (décision d’exécution (UE) 2021/914 de la Commission), EUlabel a conclu le module trois avec le sous-traitant ultérieur par l’intermédiaire des conditions de traitement des données de celui-ci. EUlabel en remet une copie sur demande, expurgée des conditions commerciales.

7.3 Si une garantie cesse d’être valable, les parties recourront à une autre garantie licite. S’il n’en existe aucune, EUlabel en informera le Client, qui pourra mettre fin au contrat sans frais.

7.4 Si le Client est établi hors de l’EEE, le module quatre des mêmes clauses s’applique entre les parties, et le droit et les juridictions du Portugal sont choisis pour ce module.

7.5 Si EUlabel reçoit d’une autorité publique une demande de données à caractère personnel, elle renvoie l’autorité vers le Client lorsqu’elle le peut, informe le Client sauf si la loi l’interdit, et ne divulgue que ce que la loi exige.

8. Assistance pour les demandes des personnes concernées

8.1 Si EUlabel reçoit d’une personne concernée une demande relative aux Données du Client, elle la transmet au Client dans les meilleurs délais et n’y répond pas, si ce n’est pour renvoyer la personne vers le Client.

8.2 EUlabel aide le Client à répondre, au moyen du tableau de bord, de l’API et de l’export, et par une assistance complémentaire raisonnable lorsque ceux-ci ne suffisent pas.

9. Violations de données à caractère personnel

9.1 EUlabel notifie par e-mail aux propriétaires de l’organisation du Client, dans les meilleurs délais et en tout état de cause dans les 48 heures après en avoir pris connaissance, toute violation de données à caractère personnel affectant les Données du Client.

9.2 La notification indique, dans la mesure où ils sont connus, la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d’enregistrements, les conséquences probables, les mesures prises ou proposées et un point de contact. Des informations complémentaires peuvent être communiquées de manière échelonnée.

9.3 EUlabel prend des mesures raisonnables pour contenir la violation et y remédier, et en conserve une trace. La notification d’une violation ne constitue pas une reconnaissance de faute.

10. Assistance en matière de conformité

Compte tenu de la nature du traitement et des informations dont elle dispose, EUlabel aide raisonnablement le Client pour la sécurité, la notification des violations, les analyses d’impact relatives à la protection des données et la consultation préalable (articles 32 à 36 du RGPD).

11. Suppression ou restitution des données

11.1 Pendant la durée du contrat, le Client peut exporter et supprimer lui-même les Données du Client.

11.2 À la fin du contrat, la période de récupération prévue par les Conditions d’utilisation de la plateforme s’applique. EUlabel supprime ensuite les Données du Client, et les sauvegardes sont écrasées dans un délai de 30 jours, sauf si le droit de l’Union ou le droit d’un État membre exige qu’elle conserve les données.

11.3 Pendant la durée du contrat, EUlabel supprime les enregistrements conformément à l’annexe 1.

12. Audits et informations

12.1 EUlabel met à disposition toutes les informations nécessaires pour démontrer le respect de l’article 28 du RGPD et répond aux questions écrites raisonnables dans un délai de 30 jours.

12.2 EUlabel permet la réalisation d’audits, y compris d’inspections, par le Client ou par un auditeur qu’il a mandaté et qui est tenu à la confidentialité, et contribue à ces audits. Le Client donne un préavis de 30 jours, sauf après une violation de données à caractère personnel ou lorsqu’une autorité de contrôle en dispose autrement, et évite toute perturbation déraisonnable.

12.3 Lorsque les informations visées au point 12.1 ne suffisent pas à démontrer la conformité, un audit peut avoir lieu. Les audits ne s’étendent pas aux locaux ou systèmes des sous-traitants ultérieurs au-delà de ce que permettent leurs conditions. Leurs certifications et rapports publiés constituent la preuve principale.

12.4 Chaque partie supporte ses propres frais d’audit.

13. Responsabilité, durée et ordre de priorité

13.1 La responsabilité entre les parties au titre du présent Accord, y compris pour l’exécution de ses obligations par un sous-traitant ultérieur (clause 6.4) et pour le recours prévu à l’article 82, paragraphe 5, du RGPD, suit la section 18 des Conditions d’utilisation de la plateforme, avec les exceptions qui y sont énumérées, et dans la mesure où la loi le permet. Rien dans le présent Accord ne limite la responsabilité de l’une ou l’autre partie envers les personnes concernées ou les autorités de contrôle.

13.2 Le présent Accord s’applique aussi longtemps qu’EUlabel traite des Données du Client.

13.3 Le présent Accord prévaut sur les Conditions d’utilisation de la plateforme en matière de protection des données. Les clauses contractuelles types, lorsqu’elles s’appliquent, prévalent sur les deux.

13.4 EUlabel peut modifier le présent Accord comme le prévoit la section 19 des Conditions d’utilisation de la plateforme, ou lorsque la loi ou une autorité de contrôle l’exige. Les modifications ne peuvent réduire la protection du Client sans son accord.

13.5 Le droit portugais régit le présent Accord, et les juridictions désignées dans les Conditions d’utilisation de la plateforme sont compétentes.

Annexe 1 : Description du traitement

Objet. Hébergement et publication de passeports numériques de produit et d’étiquettes électroniques du vin, résolution d’identifiants de produit, contrôle des accès restreints et, lorsque le Client le choisit, comptage des scans.

Durée. La durée du contrat et la période de récupération, puis jusqu’à l’écrasement des sauvegardes.

Nature et finalité. Conservation, organisation, extraction, publication, transmission et effacement des Données du Client, afin de fournir le service.

Catégories de personnes concernées.

• Personnes nommées dans les fiches de fournisseurs, d’opérateurs ou de sites, telles que des entrepreneurs individuels et des contacts
• Personnes nommées dans les passeports, telles que des mandataires ou des réparateurs
• Personnes ou organisations bénéficiant d’un accès restreint, nommées dans les autorisations d’accès
• Personnes qui scannent une page produit, lorsque le Client a activé le comptage, le temps qu’une adresse IP et les informations de la requête soient traitées pour déterminer un pays et exclure le trafic automatisé. Les enregistrements de scans stockés n’ont pas vocation à identifier qui que ce soit
• Membres de l’organisation du Client, tels que nommés dans les événements et les enregistrements

Types de données à caractère personnel.

• Noms, coordonnées professionnelles, numéros de TVA et numéros de localisation des personnes physiques figurant dans les fiches de fournisseurs et de sites
• Tout ce que le Client saisit dans les champs des passeports, des unités et des événements
• Nom et numéro de localisation du bénéficiaire, justificatifs de l’autorisation et utilisateur qui l’a créée
• Relevés de consultation restreinte : autorisation, produit, numéro de série, destinataire et heure
• Enregistrements de scans : produit, GTIN, pays et jour. Aucune adresse IP, information sur le navigateur ni identifiant n’est conservé. Le comptage est désactivé sauf si le Client l’active dans Settings → Data and legal, après avoir fourni un lien vers son propre avis de confidentialité. Il s’agit de son instruction et de sa décision en tant que responsable du traitement. Les produits vitivinicoles ne sont jamais comptés
• Identifiants d’utilisateur associés aux événements des passeports et des unités

Catégories particulières. Aucune. La clause 3 les interdit.

Fréquence. Continue.

Conservation.

Annexe 2 : Mesures techniques et organisationnelles

Localisation et hébergement. Les fonctions applicatives s’exécutent dans la région de Francfort. La base de données est stockée dans la région de Francfort. Les pages sont diffusées via un réseau mondial, comme le décrit l’annexe 3.

Chiffrement. Tout le trafic utilise TLS, avec HTTP Strict Transport Security. Le fournisseur de la base de données chiffre les données au repos avec AES-256.

Secrets. Les mots de passe sont stockés sous forme de hachages scrypt et vérifiés au regard des violations connues lors de leur définition. Les clés API et les jetons d’accès sont stockés sous forme de hachages SHA-256 et affichés une seule fois. Les secrets de double authentification sont chiffrés, et les jetons de Google ou de Microsoft ne sont pas conservés après la connexion.

Contrôle d’accès. Quatre rôles d’organisation, avec vérification des permissions à chaque requête et à chaque action dans le tableau de bord. L’accès aux Données du Client via le tableau de bord et l’API est contrôlé par rapport à l’organisation du Client. Les clés API peuvent être limitées par permission et à un projet, et peuvent être révoquées. Les membres peuvent utiliser des clés d’accès et la double authentification, et peuvent consulter leurs sessions et y mettre fin. Les champs restreints des passeports sont filtrés sur le serveur, et les jetons d’accès peuvent être limités dans le temps et révoqués.

Sécurité applicative. Limitation du débit de connexion, contrôle de l’origine des requêtes pour les modifications authentifiées par cookie, Content Security Policy et autres en-têtes de sécurité sur chaque application, et validation des entrées sur les routes de l’API.

Gestion des changements et des vulnérabilités. Les modifications du code font l’objet de contrôles de types, de tests et d’audits des dépendances automatisés, et les mises à jour des dépendances sont surveillées automatiquement. Les signalements de vulnérabilités sont à adresser à security@eulabel.eu.

Journalisation. Chaque consultation restreinte est enregistrée. Les changements de statut des passeports et les événements des unités sont enregistrés avec leur date et, lorsqu’une personne en est l’auteur, avec l’utilisateur. Il n’existe pas encore de journal d’audit complet des administrateurs.

Disponibilité. Le fournisseur de la base de données propose une restauration à un instant donné. EUlabel ne promet aucun délai de rétablissement. L’hébergement comprend l’atténuation des attaques DDoS par la plateforme.

Minimisation des données. Les enregistrements de scans ne contiennent ni adresse IP ni informations sur le navigateur. Les produits vitivinicoles ne sont pas comptés. Aucun script d’analyse ou de publicité n’est exécuté sur nos sites. Une tâche quotidienne supprime les données dont la durée de conservation a expiré.

Personnel. L’accès aux systèmes de production est limité aux personnes qui en ont besoin, et celles-ci sont tenues à la confidentialité.

Limites. EUlabel ne détient aucune certification ISO 27001 ou SOC 2 et n’a pas encore fait réaliser de test d’intrusion externe. Ses prestataires d’hébergement et de base de données détiennent leurs propres certifications, énumérées sur la page des sous-traitants ultérieurs.

Annexe 3 : Sous-traitants ultérieurs et transferts

La liste à jour et les liens vers la liste propre à chaque sous-traitant ultérieur figurent sur la page des sous-traitants ultérieurs.