Les termes utilisés dans le présent Avenant avec une majuscule initiale ont le sens qui leur est donné ci-après, sans préjudice des définitions prévues à l'article 4 du RGPD qui s'imposent par ailleurs :

• « RGPD » : Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données.
• « Données » ou « Données à caractère personnel » : toute information se rapportant à une personne physique identifiée ou identifiable, au sens de l'article 4, 1) du RGPD, que le Client soumet au Service ou qui est générée dans le cadre de son utilisation.
• « Traitement » : toute opération ou ensemble d'opérations appliquées à des Données au sens de l'article 4, 2) du RGPD.
• « Responsable de traitement » : le Client, qui détermine les finalités et les moyens du Traitement au sens de l'article 4, 7) du RGPD.
• « Sous-traitant » : Consia, qui traite les Données pour le compte du Responsable de traitement au sens de l'article 4, 8) du RGPD.
• « Sous-traitant ultérieur » : tout tiers auquel le Sous-traitant fait appel pour réaliser tout ou partie du Traitement pour le compte du Responsable de traitement, tel que listé à l'Annexe 2.
• « Personne concernée » : la personne physique identifiée ou identifiable à qui se rapportent les Données.
• « Violation » ou « Violation de Données » : violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée ou l'accès non autorisé aux Données, au sens de l'article 4, 12) du RGPD.
• « Service » : la plateforme Consia telle qu'accessible sur consia.fr et définie dans les CGU.
• « Instructions documentées » : les instructions du Responsable de traitement telles qu'exprimées par l'utilisation du Service, les CGU applicables, le présent DPA, et toute instruction écrite ultérieure adressée à contact@consia.fr.

Le présent Avenant a pour objet de définir les conditions dans lesquelles le Sous-traitant traite, pour le compte et sur Instructions documentées du Responsable de traitement, des Données à caractère personnel dans le cadre de la fourniture du Service.

Les Parties reconnaissent que :

• Le Client agit en qualité de Responsable de traitement au sens de l'article 4, 7) du RGPD, dès lors qu'il détermine les finalités et les moyens du traitement des Données de ses propres clients ou tiers
• Consia agit en qualité de Sous-traitant au sens de l'article 4, 8) du RGPD, traitant les Données uniquement sur Instructions documentées du Responsable de traitement et aux seules fins d'exécution du Service

Les caractéristiques détaillées du Traitement (nature, finalités, catégories de Données, catégories de Personnes concernées, durée) sont précisées à l'Annexe 1 du présent Avenant.

Le présent Avenant prend effet à la date d'acceptation des CGU par le Client (création du Compte) et demeure en vigueur pendant toute la durée de la relation contractuelle entre les Parties, jusqu'à la résiliation du Compte ou la cessation de l'utilisation du Service.

Les obligations de confidentialité, de suppression ou de restitution des Données et d'assistance (articles 6, 11 et 16 notamment) survivent à la cessation du présent Avenant pendant toute durée nécessaire à leur exécution.

Le Sous-traitant ne traite les Données que sur les Instructions documentées du Responsable de traitement. Au sens du présent Avenant, constituent des Instructions documentées :

• Les CGU acceptées par le Client à la création du Compte
• Les termes du présent DPA
• Les requêtes et questions soumises au Service par le Client via l'interface utilisateur
• Toute instruction écrite ultérieure adressée par le Client à contact@consia.fr et explicitement acceptée par le Sous-traitant

Si le Sous-traitant estime qu'une instruction constitue une violation du RGPD ou de toute autre disposition du droit de l'Union ou d'un État membre, il en informe immédiatement le Responsable de traitement et suspend l'exécution de l'instruction concernée.

Le Responsable de traitement autorise expressément le Sous-traitant à faire appel aux Sous-traitants ultérieurs listés à l'Annexe 2 du présent Avenant.

Toute addition, substitution ou modification substantielle d'un Sous-traitant ultérieur fera l'objet d'une information préalable du Responsable de traitement au moins trente (30) jours avant sa mise en œuvre effective, par notification à l'adresse e-mail associée au Compte ou par publication dans le tableau de bord du Service.

Le Responsable de traitement dispose, durant ce délai, du droit motivé de s'opposer à cette modification. En cas d'opposition légitime maintenue après concertation, le Responsable de traitement peut résilier l'Avenant sans pénalité, avec un préavis de quinze (15) jours.

Le Sous-traitant demeure pleinement responsable envers le Responsable de traitement de l'exécution par les Sous-traitants ultérieurs de leurs obligations au titre du présent Avenant.

Le traitement par intelligence artificielle est effectué exclusivement sur des serveurs certifiés ISO 27001 situés à Paris (France) et ne constitue pas un transfert hors Union européenne au sens du chapitre V du RGPD.

La base de données (Frankfurt), l'authentification (instance UE dédiée) et le monitoring (Frankfurt) sont hébergés en Union européenne.

L'hébergement applicatif (Vercel) et le paiement (Stripe) peuvent impliquer des transferts vers les États-Unis. Ces transferts sont encadrés par :

• Les Clauses Contractuelles Types (SCCs) approuvées par la Décision d'exécution (UE) 2021/914 de la Commission européenne du 4 juin 2021
• La certification Data Privacy Framework (DPF) UE-US pour Vercel et Stripe
• Des mesures supplémentaires (chiffrement de bout-en-bout, absence de données sensibles dans les payloads Stripe et Vercel)

Le Responsable de traitement demeure seul responsable de la gestion des demandes d'exercice des droits formulées par les Personnes concernées (droit d'accès, de rectification, d'effacement, de limitation, d'opposition, de portabilité, articles 15 à 22 du RGPD).

Le Sous-traitant s'engage à transmettre sans délai au Responsable de traitement toute demande reçue directement d'une Personne concernée relative au Traitement, et à fournir, dans la mesure du possible et à sa charge, les outils techniques nécessaires (extraction, suppression, portabilité) pour permettre au Responsable de traitement de donner suite à la demande dans les délais légaux.

Le Sous-traitant met en œuvre les mesures techniques et organisationnelles décrites à l'Annexe 3 afin de garantir la confidentialité, l'intégrité, la disponibilité et la résilience du Service et des Données traitées.

En cas de Violation de Données à caractère personnel, le Sous-traitant notifie le Responsable de traitement sans délai injustifié et au plus tard dans les soixante-douze (72) heures suivant la prise de connaissance de l'incident, conformément à l'article 33 du RGPD.

La notification comprend a minima :

• La nature de la Violation, y compris, dans la mesure du possible, les catégories et le nombre approximatif de Personnes concernées et de Données concernées
• Les coordonnées du point de contact pour plus d'informations
• Les conséquences probables de la Violation
• Les mesures prises ou envisagées par le Sous-traitant pour remédier à la Violation et atténuer ses éventuelles conséquences

Le Sous-traitant met à disposition du Responsable de traitement, sur demande écrite, toutes les informations nécessaires pour démontrer le respect des obligations du présent Avenant (rapports d'audit des sous-traitants ultérieurs, certifications ISO 27001, rapports de tests, politiques internes).

Le Responsable de traitement peut, au maximum une (1) fois par an et moyennant un préavis écrit d'au moins trente (30) jours, faire procéder à un audit du Sous-traitant, directement ou par un tiers qualifié mandaté par ses soins. Les modalités (date, durée, périmètre, confidentialité) sont définies d'un commun accord. Les frais afférents à l'audit sont à la charge du Responsable de traitement, sauf si l'audit révèle un manquement substantiel imputable au Sous-traitant.

Conformément à l'article 82 du RGPD, chaque Partie est responsable des dommages causés par un traitement constituant une violation du RGPD qui lui est imputable.

La responsabilité du Sous-traitant ne peut être engagée que dans la mesure où il n'a pas respecté les obligations du RGPD qui incombent spécifiquement aux sous-traitants, ou lorsqu'il a agi en dehors des Instructions documentées du Responsable de traitement ou contrairement à celles-ci.

La limitation de responsabilité globale prévue à l'article 10 des Conditions Générales d'Utilisation s'applique intégralement au présent Avenant, dans la limite autorisée par la loi applicable. Pour mémoire, la responsabilité contractuelle et extracontractuelle cumulée du Sous-traitant est expressément plafonnée au montant total des sommes effectivement versées par le Responsable de traitement au Sous-traitant au titre des douze (12) mois précédant le fait générateur du dommage.

Chaque Partie s'engage à considérer comme strictement confidentielles les informations de toute nature (commerciales, techniques, juridiques, opérationnelles) auxquelles elle aurait accès dans le cadre de l'exécution du présent Avenant et à ne pas les divulguer à des tiers, sauf obligation légale ou accord écrit préalable.

Cette obligation survit pendant cinq (5) ans à compter de la cessation du présent Avenant.

Aucune Partie ne pourra céder, transférer, déléguer ou sous-licencier tout ou partie de ses droits et obligations au titre du présent Avenant sans l'accord préalable écrit de l'autre Partie, à l'exception des opérations de restructuration interne (fusion, scission, apport partiel d'actif) ou de cession de fonds de commerce par le Sous-traitant, sous réserve que le cessionnaire présente des garanties équivalentes.

Aucune Partie ne saurait être tenue responsable d'un manquement à ses obligations au titre du présent Avenant résultant d'un cas de force majeure au sens de l'article 1218 du Code civil, en ce compris, sans que cette liste soit limitative : catastrophe naturelle, épidémie, guerre, acte de terrorisme, grève, mouvement social, décision d'une autorité publique, défaillance généralisée d'Internet ou des réseaux de télécommunication, cyberattaque majeure contre un Sous-traitant ultérieur, panne prolongée d'un fournisseur cloud, IA ou d'authentification tiers.

Le présent Avenant est régi par le droit français et le droit de l'Union européenne, notamment le RGPD.

En cas de différend relatif à la formation, l'interprétation, l'exécution ou la résiliation du présent Avenant, les Parties s'efforceront de rechercher une solution amiable avant toute action contentieuse. À défaut d'accord amiable dans un délai de trente (30) jours à compter de la notification du différend, le litige sera soumis à la compétence exclusive du Tribunal judiciaire de Tarascon (siège social du Sous-traitant), y compris en cas de pluralité de défendeurs, d'appel en garantie ou de procédure d'urgence.