Dernière mise à jour : 20 décembre 2023

Vue d'ensemble

Le présent addendum sur le traitement des données, y compris ses annexes ("DPA) régit tous les services fournis au client mentionné dans le formulaire de commande ("client").client"), par OPSWAT Inc. et ses sociétés affiliées ("OPSWAT") en tant que sous-traitant ou soustraitant dans la mesure où des données à caractère personnel sont traitées.

Le client et OPSWAT sont chacun désignés dans les présentes par le terme "partie".partie" et ensemble comme "parties".

Le présent DPA complète et est intégré à tout accord entre les parties, y compris, mais sans s'y limiter, les conditions générales de OPSWAT, les conditions générales des services professionnels de OPSWAT, les conditions de service de l'évaluation de la cybersécurité de OPSWAT, ou tout autre accord de vente, de licence ou accord similaire, le cas échéant (l'"accord"), et restera en vigueur pendant toute la durée de l'accord.

Sans limiter la généralité de ce qui précède, l'objet, la nature et la finalité du traitement en vertu du présent DPA sont la fourniture des services dans le cadre de l'accord, et les catégories de données à caractère personnel et les catégories de personnes concernées sont celles qui sont nécessaires à la fourniture des services dans le cadre de l'accord.

Le présent DPA entrera en vigueur et remplacera toutes les conditions de traitement et de sécurité des données précédemment applicables à compter de la date d'entrée en vigueur du DPA.

1. Définitions

Aux fins du présent DPA, les termes ci-dessous ont la signification qui leur est donnée. Les termes commençant par une majuscule qui sont utilisés sans être définis dans le présent DPA ont la signification qui leur est donnée dans l'accord.

"Affiliés" désigne, pour chaque partie, les entités qui la contrôlent, sont contrôlées par elle ou sont sous contrôle commun avec elle.

"données agrégées"désigne les statistiques, les points de référence, les mesures et autres informations ou données qui sont rendues anonymes par la suppression d'informations personnelles ou autres, de sorte que les données ne peuvent être attribuées à une personne ou à un client spécifique (en déployant des efforts commercialement raisonnables ou comme l'exigent les lois en vigueur).

"lois applicables"désigne les lois, règles, lignes directrices, ordonnances des tribunaux ou des agences gouvernementales et réglementations nationales, fédérales, étatiques et locales applicables.

"Rapports d'audit" désigne le rapport d'audit ISO 27001, SSAE 16 SOC II ou un rapport d'audit similaire réalisé par un auditeur tiers qualifié.

"contrôle"désigne la propriété effective de plus de cinquante pour cent (50 %) des droits de vote ou des capitaux propres d'une entité.

"Données personnelles du client"désigne les informations relatives à une personne physique identifiée ou identifiable, protégée par la législation sur la protection des données, que le client fournit ou met à la disposition de OPSWAT, ou que OPSWAT traite pour le compte du client, dans chaque cas, dans le cadre de la fourniture des services ou en tant que partie des services conformément à l'accord, à tout moment et jusqu'à la résiliation de l'accord.

"Affiliés du contrôleur de données" désigne les affiliés du client qui n'ont pas signé leur propre bon de commande ou l'accord avec OPSWAT, qui sont des entités : (a) soumises à la législation sur la protection des données ; et (b) autorisées à utiliser les services conformément à l'accord.

"Législation sur la protection des données"désigne les lois applicables, y compris, mais sans s'y limiter, les lois de l'EEE et/ou des États membres (telles que le GDPR), du Royaume-Uni et de la Suisse, applicables au traitement des données à caractère personnel des clients en vertu de l'accord (dans tous les cas, telles que modifiées, remplacées ou remplacées).

"personne concernée" désigne la personne physique à laquelle se rapportent les données à caractère personnel du client.

"EEE" désigne l'Espace économique européen.

"GDPR" désigne le règlement général sur la protection des données UE 2016/679.

"incident de sécurité de l'information" désigne une violation de la sécurité entraînant la destruction accidentelle ou illégale ou la perte accidentelle, l'altération, la divulgation ou l'accès non autorisé aux données personnelles du client en possession, sous la garde ou sous le contrôle de OPSWAT. Les "incidents de sécurité de l'information" n'incluent pas les tentatives infructueuses ou les activités qui ne compromettent pas la sécurité des données personnelles du client, y compris les tentatives infructueuses de connexion, les pings, les balayages de port, les attaques par déni de service et autres attaques de réseau sur les pare-feux ou les systèmes en réseau.

On entend par "bon de commande" un document d'inscription ou de commande.

"traitement"désigne toute opération ou ensemble d'opérations effectuées sur les données à caractère personnel des clients, y compris la collecte, l'enregistrement, l'organisation, la structuration, le stockage, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la divulgation par transmission, la diffusion ou toute autre forme de mise à disposition, l'alignement ou la combinaison, la restriction ou l'effacement des données à caractère personnel des clients. Les termes "processus", "processus" et "traité" seront interprétés en conséquence.

"CCN" désigne la décision (UE) 2021/914 de la Commission européenne du 4 juin 2021 relative aux clauses contractuelles types pour le transfert de données à caractère personnel vers des pays tiers en application du règlement (UE) 2016/679 du Parlement européen et du Conseil, telle qu'elle peut être modifiée, reformulée ou remplacée de temps à autre.

"Mesures de sécurité" désigne les mesures techniques et organisationnelles utilisées par OPSWAT pour protéger les Données à caractère personnel des Clients, comme décrit plus en détail dans la Section 5.1 (" Mesures de sécurité deOPSWAT").

"Services"est défini dans l'accord et désigne en outre les services et/ou les produits fournis par OPSWAT au client dans le cadre de l'accord, tels qu'ils sont détaillés dans un bon de commande.

"Sous-traitants" désigne des tiers, autres que OPSWAT, engagés et autorisés par OPSWAT, en vertu du présent DPA, à traiter les Données à caractère personnel du Client en relation avec les Services.

"terme"a la signification qui lui est donnée à la section 2.

2. Durée du DPA

Le présent DPA prend effet à la date d'entrée en vigueur de l'accord et expire automatiquement en cas de résiliation de l'accord.

3. Traitement des données

3.1 Portée du traitement ; instructions du client ; OPSWAT Conformité aux instructions du client. En concluant le présent DPA, le Client donne instruction à OPSWAT de traiter les Données personnelles du Client uniquement en conformité avec la Législation sur la protection des données. OPSWAT ne traitera les Données personnelles du Client que conformément aux instructions du Client : (a) pour fournir les Services ; (b) comme autorisé par l'Accord, y compris le présent DPA ; et (c) comme documenté dans d'autres instructions écrites fournies par le Client et reconnues par écrit par OPSWAT comme constituant des instructions aux fins du présent DPA, à moins que les Lois applicables ne l'exigent autrement. L'objet et les détails du traitement sont décrits à l'annexe 1 (Détails du traitement).

3.2 Responsabilités du client. Le client déclare et garantit que (a) le client a obtenu toutes les autorisations, consentements et permissions nécessaires en vertu de la législation sur la protection des données pour le traitement par OPSWATdes données à caractère personnel du client (y compris le transfert ou la fourniture d'un accès aux données à caractère personnel du client à OPSWAT) conformément aux conditions du présent DPA ; et (b) les instructions, décisions et actions du client concernant le traitement des données à caractère personnel du client sont conformes aux lois applicables, y compris la législation sur la protection des données. Le client informera OPSWAT dans les meilleurs délais s'il n'est pas en mesure de se conformer à la présente section 3.2 (Responsabilités du client).

3.3 Analyse. OPSWAT peut collecter, développer, créer, extraire, compiler, synthétiser, analyser, utiliser, commercialiser ou partager des données agrégées avec des tiers à diverses fins, notamment pour : (i) maintenir, améliorer, commercialiser et promouvoir nos services ; (ii) identifier, comprendre et anticiper les problèmes de performance et de sécurité et les facteurs qui les affectent ; (iii) fournir des mises à jour, des améliorations et des expériences personnalisées à nos clients ; et (iv) rechercher et développer de nouveaux produits et services. Pour éviter toute ambiguïté, les données agrégées excluent les données personnelles du client ou toute information permettant d'identifier le client.

4. Suppression ou restitution des données.

À la date de résiliation effective du présent DPA, ou sur demande écrite du client, OPSWAT supprimera, donnera accès au client, corrigera ou retournera les données à caractère personnel du client (y compris les copies existantes) des systèmes de OPSWATconformément aux lois applicables dès que cela sera raisonnablement possible, sauf si les lois applicables exigent ou autorisent OPSWAT à conserver les données à caractère personnel du client (par exemple, les lois applicables peuvent autoriser OPSWAT à conserver des copies des données à caractère personnel du client stockées électroniquement dans des archives de données ou dans des systèmes de sauvegarde).

5. Sécurité des données.

5.1 Mesures de sécurité de OPSWAT. OPSWAT mettra en œuvre et maintiendra des mesures de sécurité raisonnablement appropriées pour protéger les données personnelles des clients, comme décrit dans l'annexe 2 (Mesures de sécurité). OPSWAT peut mettre à jour ou modifier les mesures de sécurité de temps à autre, à condition que ces mises à jour et modifications ne diminuent pas matériellement la sécurité globale des services.

5.2 Respect de la sécurité par le personnel de OPSWAT . OPSWAT n'accordera l'accès aux Données personnelles du Client qu'aux employés, aux entrepreneurs indépendants, aux Affiliés de OPSWAT et aux Sous-traitants qui ont besoin d'un tel accès dans le cadre de leurs performances et qui ont des obligations de confidentialité qui ne sont pas moins restrictives que les obligations de confidentialité de OPSWATdans le cadre de l'Accord.

5.3 Incidents liés à la sécurité de l'information

5.3.1 Notification d'un incident de sécurité de l'information. Si OPSWAT a connaissance d'un incident de sécurité de l'information, OPSWAT : (a) notifiera l'incident de sécurité de l'information au client dans les meilleurs délais, conformément à l'article 13 (notifications), après avoir pris connaissance de l'incident de sécurité de l'information ; et (b) prendra des mesures raisonnables pour identifier la cause de l'incident de sécurité de l'information, minimiser les dommages et empêcher qu'il ne se reproduise. Sauf dans la mesure requise par les Lois applicables, OPSWAT ne fera aucune notification à des tiers d'un Incident de sécurité de l'information nommant explicitement le Client sans le consentement écrit préalable du Client, autre que les Sous-processeurs approuvés, les forces de l'ordre, les experts en assurances et les fournisseurs de services de réponse aux Incidents de sécurité de l'information de OPSWAT.

5.3.2 Notification. Le client est seul responsable du respect des lois sur la notification des incidents qui lui sont applicables et de l'exécution des obligations de notification aux tiers liées à tout incident de sécurité de l'information (par exemple, les articles 33 et 34 du GDPR). Dans ce cas, OPSWAT fournira une assistance raisonnable au client.

5.3.3 Pas de reconnaissance de faute par OPSWAT. La notification par OPSWATd'un incident de sécurité de l'information ou la réponse à un tel incident en vertu de la présente section 5.3 (incidents de sécurité de l'information) ne sera pas interprétée comme une reconnaissance par OPSWAT d'une quelconque faute ou responsabilité en ce qui concerne l'incident de sécurité de l'information.

5.4 Responsabilités du client en matière de sécurité et évaluation.

5.4.1 Responsabilités du client en matière de sécurité. Le client accepte que, sans préjudice des obligations de OPSWATen vertu de la section 5.1 (Mesures de sécurité deOPSWAT) et de la section 5.3 (Incidents de sécurité de l'information) :

(a) Le client est seul responsable de l'utilisation qu'il fait des services, y compris :

(i) en faisant un usage approprié des services pour garantir un niveau de sécurité adapté au risque en ce qui concerne les données à caractère personnel du client ;

(ii) la sécurisation des identifiants d'authentification des comptes, des systèmes et des dispositifs que le client utilise pour accéder aux services ;

(iii) la sécurisation des systèmes et appareils du client que OPSWAT utilise pour fournir les services ; et

(iv) la sauvegarde des données à caractère personnel de ses clients.

(b)OPSWAT n'a aucune obligation de protéger les données personnelles du client que celui-ci choisit de stocker ou de transférer en dehors des systèmes de OPSWATet de ses sous-traitants (par exemple, stockage hors ligne ou sur site).

5.4.2 Évaluation de la sécurité par le client.

(a) Le client est seul responsable de l'examen et de l'évaluation par lui-même de la question de savoir si les services, les mesures de sécurité et les engagements de OPSWATau titre de la présente section 5 (sécurité des données) répondent à ses besoins, y compris en ce qui concerne toute obligation de sécurité du client en vertu de la législation sur la protection des données.

(b) Le Client reconnaît et accepte que (compte tenu des normes industrielles, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du Traitement des Données Personnelles du Client ainsi que des risques pour les personnes concernées) les Mesures de Sécurité mises en œuvre et maintenues par OPSWAT comme indiqué à l'Annexe 2 (Mesures de Sécurité deOPSWAT) fournissent un niveau de sécurité approprié au risque concernant les Données Personnelles du Client.

5.5 Contrôles de conformité. Les rapports d'audit sont mis à la disposition du client sur demande écrite de celui-ci et sous réserve des obligations de confidentialité énoncées dans l'accord.

6. Droits des personnes concernées

6.1 Responsabilité du client concernant les demandes des personnes concernées. Si OPSWAT reçoit une demande de la part d'une personne concernée par les données personnelles du client, dans la mesure où les lois applicables le permettent, OPSWAT informera rapidement le client de cette demande. Le Client sera responsable de la réponse à une telle demande.

6.2 Assistance de OPSWATaux demandes des personnes concernées. OPSWAT (en tenant compte de la nature du traitement des données personnelles du client) fournira au client l'assistance raisonnable nécessaire pour lui permettre de remplir son obligation de répondre aux demandes des personnes concernées en vertu de la législation sur la protection des données. OPSWATLe client remboursera à OPSWAT tous les frais ou coûts encourus dans le cadre de cette assistance, au tarif des services professionnels en vigueur à l'époque.

7. Transferts de données

OPSWAT peut stocker et traiter les données personnelles du client partout où OPSWAT, ses sociétés affiliées ou ses sous-traitants exercent leurs activités, conformément à la section 8 ci-dessous. Pour les transferts internationaux de Données à caractère personnel du Client soumis à la législation sur la protection des données dans l'EEE, en Suisse et au Royaume-Uni, les conditions de l'Annexe 3, sections 1.10 et/ou 1.11 s'appliquent.

8. Sous-traitants

Le Client autorise OPSWAT à engager ses Affiliés et d'autres tiers en tant que Sous-Traitants. La liste des sous-traitants de OPSWATest disponible à l'adresse https://www.opswat.com/legal/subprocessors et le client peut s'abonner aux mises à jour de cette liste par flux RSS. Si le Client conclut le CCN ou d'autres accords similaires, la signature de ces accords par le Client constitue l'autorisation écrite préalable du Client à la sous-traitance par OPSWAT du Traitement des Données à caractère personnel du Client si une telle autorisation est requise en vertu du CCN ou d'autres accords similaires. OPSWAT est responsable de toutes les obligations sous-traitées à ses Sous-traitants, ainsi que de tous les actes et omissions de ces derniers.

9. Affiliés du contrôleur des données

9.1 Relations et communication. En signant le présent DPA, le Client reconnaît et accepte qu'il conclut le présent DPA en son nom propre et, dans la mesure requise par la législation applicable en matière de protection des données, au nom et pour le compte de ses affiliés responsables du traitement des données, dans la mesure où OPSWAT traite les données personnelles du Client pour lesquelles ces affiliés responsables du traitement des données sont qualifiés de responsables du traitement, établissant ainsi un DPA entre OPSWAT et chaque affilié responsable du traitement des données, sous réserve des dispositions de l'Accord et du présent DPA. Le client accepte de s'assurer que chaque affilié contrôleur de données accepte d'être lié par les obligations de cette DPA. Toutefois, un affilié contrôleur de données n'est pas et ne devient pas une partie à l'Accord, et n'est qu'une partie à la présente DPA. Tout accès et toute utilisation des services par l'affilié contrôleur de données doivent être conformes à l'accord et toute violation de l'accord par un affilié contrôleur de données sera considérée comme une violation par le client. Le client qui est la partie contractante dans l'accord reste responsable de la coordination de toutes les communications avec OPSWAT dans le cadre de ce DPA et est autorisé à faire et à recevoir toute communication relative à ce DPA au nom de son affilié responsable du traitement des données.

9.2 Droits des affiliés du contrôleur de données. Si un contrôleur de données affilié devient partie au DPA avec OPSWAT, il ne le fera que dans la mesure requise par la législation sur la protection des données. Sauf si la législation sur la protection des données l'exige expressément pour qu'un affilié de contrôleur de données exerce un droit ou cherche à obtenir une réparation en vertu du présent DPA auprès de OPSWAT directement, les parties conviennent que : (a) le client qui est la partie contractante de l'accord a le droit exclusif d'exercer un tel droit ou de demander une telle réparation au nom de l'affilié contrôleur de données ; et (b) le client qui est la partie contractante de l'accord doit, dans la mesure où la législation sur la protection des données ne l'interdit pas, exercer ces droits en vertu du présent DPA d'une manière combinée pour tous ses affiliés contrôleurs de données ensemble.

10. Droits d'audit

Sur demande écrite du client, OPSWAT lui fournira une copie de son dernier rapport d'audit, qui sera soumis aux dispositions de confidentialité de l'accord en tant qu'informations confidentielles de OPSWAT. OPSWAT répondra également à toutes les questions d'audit écrites qui lui seront soumises par le client, étant entendu que le client n'exercera pas ce droit plus d'une fois par an.

11. Dispositions spécifiques aux juridictions

Si OPSWAT traite des données à caractère personnel à partir d'une juridiction énumérée à l'annexe 3, les dispositions correspondantes s'appliqueront à ce traitement.

12. Plafond de responsabilité

Sauf dans la mesure où les lois applicables l'interdisent, la responsabilité totale combinée de l'une des parties et de ses affiliés (y compris les affiliés responsables du traitement des données) envers l'autre partie et ses affiliés, que ce soit dans le cadre d'un contrat, d'un délit ou de toute autre théorie de la responsabilité, en vertu ou en relation avec l'Accord, le présent DPA et le CCN, s'il est conclu, sera limitée aux limitations de responsabilité ou aux autres plafonds de responsabilité convenus par les parties dans l'Accord. OPSWAT La responsabilité totale de la Commission européenne et de ses affiliés ( OPSWAT ) pour toutes les réclamations du client et de tous ses affiliés contrôleurs de données découlant de l'accord ou de tout DPA s'applique globalement à toutes les réclamations en vertu de l'accord et de tous les DPA et ne doit pas être interprétée comme s'appliquant individuellement et séparément au client ou à tout affilié contrôleur de données qui est une partie contractuelle à un tel DPA.

13. Avis

Les notifications requises ou autorisées par une partie peuvent être adressées (a) conformément aux dispositions de l'accord relatives à la notification ; (b) aux principaux points de contact d'une partie avec l'autre partie ; et/ou (c) à tout courrier électronique fourni par le client dans le but de lui fournir des communications ou des alertes relatives au service. Le client est seul responsable de la mise à jour et de la validité de ses courriels. Une copie de tous les avis doit être envoyée par courrier électronique à l'adresse suivante : Legal@opswat.com.

14. Effet des présentes conditions

À l'exception des modifications apportées par le présent DPA, l'accord et/ou tout autre accord relatif aux services restent inchangés et pleinement en vigueur. En cas de conflit entre l'accord et le présent DPA, ce sont les dispositions du présent DPA qui prévalent et qui régissent l'objet du contrat. En cas de conflit entre le présent DPA et le CCAP, ce sont les dispositions du CCAP qui prévalent et qui font foi en ce qui concerne l'objet du CCAP.

15. Droit applicable

Le présent DPA est régi par le droit de la même juridiction que l'accord, sauf si et dans la mesure où la législation sur la protection des données exige que le présent DPA soit régi par le droit d'une autre juridiction.

Veuillez consulter notre politique de confidentialité à l'adresse https://www.opswat.com/legal/privacy-policy pour plus de détails sur la manière dont OPSWAT traite les données personnelles des clients.

1. le contrôle d'accès physique.

OPSWAT utilise des mesures conçues pour empêcher les personnes non autorisées d'accéder aux systèmes de traitement des données dans lesquels les données à caractère personnel des clients sont traitées, telles que le recours à du personnel de sécurité, à des bâtiments sécurisés et aux locaux des centres de données.

2. le contrôle d'accès au système.

Les contrôles suivants peuvent, entre autres, être appliqués en fonction des services commandés : authentification par mot de passe et/ou authentification à deux facteurs, processus d'autorisation documentés, processus de gestion des changements documentés et enregistrement des accès à plusieurs niveaux. Pour l'environnement des services hébergés par OPSWAT: (i) les connexions aux environnements des services par les employés de OPSWAT et les sous-traitants sont enregistrées ; (ii) l'accès logique aux centres de données est restreint et protégé par des règles de pare-feu/VLAN et de routage ; et (iii) des systèmes de détection d'intrusion, une journalisation et une alerte centralisées, et des pare-feu sont utilisés. OPSWAT gère chaque système qui fait partie du développement logiciel des services avec des politiques de sécurité pour chaque système. Ces politiques sont approuvées par le propriétaire du risque OPSWAT et gérées par les propriétaires des actifs. Par exemple, aucun entrepreneur indépendant n'a accès à un système de construction.

3. le contrôle des transmissions.

Sauf indication contraire pour les services (y compris dans le bon de commande, l'énoncé des travaux ou les spécifications de service applicables référencées dans l'accord), les transmissions de données en dehors de l'environnement du service sont cryptées. OPSWAT maintient un programme de sécurité réseau approprié qui comprend le cryptage des données personnelles du client. Certains Services peuvent être configurés par le Client pour permettre l'accès à des sites tiers qui nécessitent des communications non cryptées. Le contenu des communications (y compris les adresses de l'expéditeur et du destinataire) envoyées par le biais de certains services de courrier électronique ou de messagerie peut ne pas être crypté. Le client est seul responsable des résultats de sa décision d'utiliser de telles communications ou transmissions non cryptées.

4. contrôle des entrées.

La source des données personnelles du client est sous le contrôle du client, et l'intégration des données personnelles du client dans le système OPSWAT est gérée par transfert de fichiers sécurisé (c'est-à-dire via des services web ou introduits dans l'application) depuis OPSWAT. Certains services permettent au client d'utiliser des protocoles de transfert de fichiers non cryptés. Dans ce cas, le client est seul responsable de sa décision d'utiliser ces protocoles de transfert de fichiers non cryptés.

5. sauvegarde des données.

Pour les Services hébergés par OPSWAT: des sauvegardes sont effectuées régulièrement ; les sauvegardes sont sécurisées par une combinaison de contrôles techniques et physiques, en fonction des Services détaillés dans le Bon de commande.

6. continuité des activités ; reprise après sinistre.

OPSWAT a mis en œuvre un plan de continuité des activités et de reprise après sinistre.

7. la sécurité deSupply Chain .

Les sous-traitants ou les composants tiers des services sont examinés par un responsable de OPSWAT et par le service juridique de OPSWAT avant d'être utilisés dans le cadre des services.

8. les analyses de vulnérabilité.

Des analyses de vulnérabilité sont effectuées chaque semaine afin de déterminer en permanence les menaces de risque qui font l'objet de mesures correctives dans cet environnement.

9.OPSWAT Sous-traitants.

OPSWAT Les sous-traitants utilisés pour les produits OPSWAT sont évalués en fonction des risques de sécurité et doivent signer des avenants relatifs au traitement des données (DPA) et/ou des clauses contractuelles types avec OPSWAT afin de garantir le respect des exigences minimales de sécurité et des niveaux de service prévus par le GDPR.

10. développement deSoftware .

Le développement des logiciels des services suit des procédures strictes de cycle de vie du développement des systèmes ("SDLC"), y compris OPSWAT Le gestionnaire de produit ("PM") définit et exécute les exigences, la conception, la mise en œuvre, les tests unitaires, l'examen du code, les tests automatisés, les tests manuels d'assurance de la qualité ("QA") et les tests d'acceptation.

11.Secure SDLC.

LOPSWAT a adopté l'OWSAP SAMMSoftware Assurance Maturity Model) et l'OWASP ASVS (Application Security Verification Standard) pour sécuriser le SDLC.

12.IT Sécurité.

OPSWAT utilise l'authentification multifactorielle ("MFA") pour l'authentification sécurisée et suit les normes NIST 800-63B : https://pages.nist.gov/800-63-3/sp800-63b.html#memsecretver.

1. Espace économique européen, Suisse et Royaume-Uni

1.1 Champ d'application. Les dispositions suivantes s'appliquent uniquement au traitement par OPSWATdes données personnelles des clients soumises à la législation sur la protection des données dans l'EEE, en Suisse et au Royaume-Uni.

1.2 Définitions.

(a) Les termes "responsable du traitement", "sous-traitant" et "autorité de surveillance" ont la signification qui leur est donnée dans le GDPR.

(b) "UK Addendum" : l'International Data Transfer Addendum to the SCC, Version B1.0, tel que publié par l'Information Commisioner's Office (bureau du commissaire à l'information) du Royaume-Uni.

1.3 Responsabilités du sous-traitant et du contrôleur. Les parties reconnaissent et conviennent que :

(a)OPSWAT est un sous-traitant ou un sous-traitant secondaire, selon le cas, des données personnelles du client en vertu de la législation sur la protection des données ;

(b) le client est un contrôleur ou un sous-traitant, selon le cas, des données personnelles du client en vertu de la législation sur la protection des données ;

(c) le client est seul responsable de l'exactitude, de la qualité et de la légalité des données personnelles du client et des moyens par lesquels il a acquis ces données ; et

(d) chaque partie se conformera aux obligations qui lui incombent en vertu de la législation sur la protection des données en ce qui concerne le traitement des données à caractère personnel des clients.

1.4 Autorisation par un contrôleur tiers. Si le client est un sous-traitant, il déclare et garantit à OPSWAT que les instructions et les actions du client concernant les données personnelles du client, y compris sa désignation de OPSWAT en tant que sous-traitant, ont été autorisées par le contrôleur concerné. Le Client reconnaît que OPSWAT n'est pas responsable de la collecte du consentement ou de l'autorisation pour le traitement des données personnelles du Client.

1.5 Traitement par OPSWAT pour se conformer aux lois applicables. Si OPSWAT doit traiter les Données à caractère personnel du Client contrairement aux instructions du Client ou comme l'autorise l'Accord (y compris le présent DPA) pour se conformer aux Lois applicables, OPSWAT informera le Client des Lois applicables avant le Traitement, à moins que les Lois applicables n'interdisent une telle notification pour des raisons importantes d'intérêt public.

1.6 Mesures de sécurité. OPSWAT (en tenant compte de l'état de la technique, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement, ainsi que du risque de probabilité et de gravité variables pour les droits et libertés des personnes concernées) met en œuvre des mesures de sécurité appropriées pour garantir un niveau de sécurité adapté au risque, y compris les mesures de sécurité détaillées à l'appendice 2, et le cas échéant :

(a) la pseudonymisation et le cryptage des données à caractère personnel des clients ;

(b) la capacité à garantir la confidentialité, l'intégrité, la disponibilité et la résilience des systèmes de traitement et des services, y compris les mesures et pratiques spécifiques suivantes ;

(c) la capacité à rétablir la disponibilité des données personnelles du client et l'accès à celles-ci en temps utile en cas d'incident physique ou technique ; et

(d) un processus permettant de tester, d'apprécier et d'évaluer régulièrement l'efficacité des mesures techniques et organisationnelles destinées à garantir la sécurité du traitement des données à caractère personnel des clients.

1.7 Assistance raisonnable. OPSWAT fournira une assistance raisonnable au Client, comme l'exigent les Lois applicables au rôle de OPSWATen tant que Processeur, pour que le Client se conforme aux obligations du Client d'effectuer une évaluation de l'impact sur la protection des données en vertu de l'article 35 GDPR. Dans les situations où le traitement par le Client des données à caractère personnel du Client entraîne un risque élevé pour les droits et libertés des personnes concernées, OPSWAT fournira une assistance raisonnable au Client pour qu'il sollicite la consultation préalable d'une autorité de contrôle conformément à l'article 36 du GDPR.

1.8 Détails de l'incident de sécurité de l'information. Les notifications effectuées conformément à la section 5.3 du RGPD (incidents liés à la sécurité de l'information) :

(a) décrire la nature de l'incident de sécurité de l'information, y compris, si possible, les catégories et le nombre approximatif de personnes concernées, ainsi que les catégories et le nombre approximatif d'enregistrements de données à caractère personnel concernés ;

(b) communiquer le nom et les coordonnées du délégué à la protection des données ou d'un autre point de contact où de plus amples informations peuvent être obtenues ;

(c) décrire les conséquences probables de l'incident de sécurité de l'information ; et

(d) décrire les mesures prises ou proposées par OPSWAT pour remédier à l'incident de sécurité de l'information, y compris, le cas échéant, les mesures visant à en atténuer les effets négatifs éventuels.

Lorsque, et dans la mesure où, il n'est pas possible de fournir les informations en même temps, celles-ci peuvent être fournies par étapes sans délai supplémentaire indu.

1.9 Contrôles de conformité.

1.9.1Le client peut, sur demande écrite raisonnable et avec un préavis écrit d'au moins quarante-cinq (45) jours, vérifier le respect par OPSWATde ses obligations au titre du présent DPA une fois tous les douze (12) mois pendant la durée de l'accord, afin de satisfaire aux exigences de la législation sur la protection des données. Le client doit effectuer tous les audits pendant les heures normales d'ouverture de OPSWAT et ne doit pas interférer de manière déraisonnable avec les activités commerciales de OPSWAT . Dans la mesure où la législation sur la protection des données l'exige, y compris lorsque l'autorité de surveillance du client l'exige, le client ou l'autorité de surveillance du client peut effectuer des audits fréquents.

1.9.2Si un tiers doit effectuer l'audit, OPSWAT peut s'opposer à l'auditeur si celui-ci, de l'avis raisonnable de OPSWAT, n'est pas suffisamment qualifié ou indépendant, ou s'il s'agit d'un concurrent de OPSWAT . Une telle objection de la part de OPSWAT obligera le client à nommer un autre auditeur ou à procéder lui-même à l'audit.

1.9.3Pour demander un audit, le client doit soumettre une proposition de plan d'audit détaillé à OPSWAT au moins deux (2) semaines avant la date proposée pour l'audit. Le plan d'audit proposé doit décrire la portée, la durée et la date de début de l'audit. OPSWAT examinera le plan d'audit proposé et fera part au client de ses préoccupations ou de ses questions (par exemple, toute demande d'information susceptible de compromettre la sécurité, la confidentialité, l'emploi ou d'autres politiques pertinentes de OPSWAT ). OPSWAT travaillera en coopération avec le client pour convenir d'un plan d'audit final. Rien dans la présente section 1.9 (Audits de conformité) n'oblige OPSWAT à manquer à ses obligations de confidentialité.

1.9.4Si l'étendue de l'audit demandé fait l'objet de rapports d'audit dans les douze (12) mois suivant la demande d'audit du client et que OPSWAT confirme qu'il n'y a pas de modifications matérielles connues dans les contrôles audités, le client accepte les rapports d'audit au lieu de demander un audit des contrôles couverts par les rapports d'audit.

1.9.5Les audits sont aux frais du client. Le client remboursera à OPSWAT le temps passé par OPSWAT ou ses sous-traitants dans le cadre des audits prévus par la présente section 1.9 (Audits de conformité) au tarif des services professionnels alors en vigueur de OPSWAT. Le client paiera tous les frais facturés par tout auditeur désigné par le client pour effectuer un tel audit.

1.9.6Les parties conviennent que la présente section 1.9 (audits de conformité) satisfera aux obligations de OPSWATen matière d'audit prévues par le CCN et appliquées à l'importateur de données en vertu de la clause 5(f) et à tout sous-traitant secondaire en vertu de la clause 11 et de la clause 12(2).

1.10 Transferts de données hors de l'EEE ou de la Suisse. Si le stockage et/ou le traitement des données personnelles du client implique des transferts de données personnelles du client en dehors de l'EEE ou de la Suisse, et que la législation sur la protection des données s'applique aux transferts de ces données personnelles du client, les dispositions suivantes s'appliquent, sauf si le transfert est effectué vers un pays de l'EEE pour lequel il existe une décision d'adéquation de la Commission européenne :

1.10.1L'annexe 4 s'appliquera et OPSWAT effectuera ces transferts conformément au CCN contrôleur à processeur qui y est mentionné si OPSWAT est un processeur et le client un contrôleur des données personnelles du client en vertu de la législation sur la protection des données.

1.10.2L'annexe 5 s'appliquera et OPSWAT effectuera ces transferts conformément au CCN de sous-traitant à sous-traitant qui y est mentionné si OPSWAT est un Sous-Traitant et le Client un Sous-Traitant des Données Personnelles du Client en vertu de la Législation sur la Protection des Données.

1.11 Transferts de données hors du Royaume-Uni. Si le stockage et/ou le traitement des données personnelles du client implique des transferts de données personnelles du client hors du Royaume-Uni et que la législation sur la protection des données s'applique aux transferts de ces données personnelles du client, l'annexe 6 s'appliquera et OPSWAT effectuera ces transferts conformément au CCN qui y est mentionné, sauf si le transfert est effectué vers un pays de l'EEE ou un pays pour lequel il existe une décision d'adéquation de la Commission européenne qui est reconnue par le gouvernement britannique.

1.12 Accords de sous-traitance. OPSWAT peut expurger tous les termes commerciaux ou juridiques confidentiels dans ses accords avec les sous-traitants avant de répondre à la demande du client d'obtenir une copie d'un accord de sous-traitance conformément à la clause 9(c) du CCAP.

1.13 Possibilité de s'opposer aux changements de sous-traitant. Lorsqu'un nouveau Sous-Traitant est engagé pendant la Durée, OPSWAT , au moins quinze (15) jours avant que le nouveau Sous-Traitant ne traite les Données à caractère personnel du Client, notifiera au Client l'engagement par écrit en mettant à jour sa liste de Sous-Traitants située sur https://www.opswat.com/legal/subprocessors. Le Client peut s'opposer à un nouveau Sous-Traitant en adressant une notification écrite à OPSWAT dans un délai de cinq (5) jours ouvrables à compter de la date figurant sur la notification de OPSWAT. Si le client s'oppose à un nouveau sous-traitant ultérieur, le client et OPSWAT travailleront ensemble de bonne foi pour trouver une solution mutuellement acceptable afin de répondre à cette objection. Si les parties ne parviennent pas à trouver une solution mutuellement acceptable dans un délai raisonnable, le client peut, à titre de recours unique et exclusif, résilier le bon de commande applicable pour les services utilisant le sous-traitant en question en adressant une notification écrite à OPSWAT.

1.14 Registres de traitement. Le client reconnaît que OPSWAT est tenu, en vertu du GDPR, de : (a) collecter et conserver certaines informations conformément à l'article 30 (2) du GDPR, y compris le nom et les coordonnées de chaque Processeur et/ou Contrôleur au nom duquel OPSWAT agit et, le cas échéant, du représentant local et du responsable de la protection des données de ce Processeur ou Contrôleur ; et (b) mettre ces informations à la disposition des autorités de contrôle conformément à l'article 30 (4) du GDPR. Si le GDPR s'applique au traitement des données personnelles du client, ce dernier fournira, sur demande, ces informations à OPSWAT et veillera à ce que toutes les informations fournies soient exactes et à jour.

2. Californie

2.1 Champ d'application. Les dispositions suivantes s'appliquent uniquement au traitement par OPSWATdes données personnelles des clients soumises à la loi californienne de 2018 sur la protection de la vie privée des consommateurs (California Consumer Privacy Act of 2018), Cal. Civil Code §1798.100 et suivants, tel qu'amendé par le California Privacy Rights Act, et les règlements connexes, tels qu'ils peuvent être amendés de temps à autre (collectivement, le "CCPA").

2.2 Définitions. Les termes "vendre","partager" et "fournisseur de services" ont la même signification que celle qui leur est attribuée par l'ACCP.

2.3 Prestataire de services. OPSWAT est un prestataire de services pour le Client. OPSWAT ne traitera les Données à caractère personnel du Client que dans le but de fournir les Services. Sauf autorisation contraire en vertu de l'Accord ou de la CCPA :

(a) OPSWAT ne collectera pas, ne conservera pas, n'utilisera pas et ne divulguera pas les données personnelles des clients à des fins commerciales ou à des fins autres que celles prévues par l'accord ;

(b) OPSWAT ne conservera, n'utilisera ni ne divulguera les données personnelles des clients en dehors de la relation commerciale directe entre les parties ; et

(c) OPSWAT ne combinera pas les données personnelles du client reçues de ce dernier ou en son nom avec les données personnelles d'autres personnes ou recueillies lors de ses propres interactions avec le client, sauf si cela est nécessaire pour fournir les services dans le cadre de l'accord.

2.4 Pas de vente ni de partage. OPSWAT ne vendra ni ne partagera les données personnelles des clients.

2.5 Conformité avec la CCPA. OPSWAT doit se conformer à toutes les sections applicables de la CCPA, y compris en fournissant le même niveau de protection de la vie privée que celui exigé par la CCPA en ce qui concerne les données personnelles du client traitées conformément au présent accord.

2.6 Audits de l'ACCP.

2.6.1 Le client peut, sur demande écrite raisonnable et avec un préavis d'au moins quarante-cinq (45) jours, contrôler le respect par OPSWATdes obligations qui lui incombent en vertu du présent DPA une fois tous les douze (12) mois pendant la durée de l'accord. Le client doit effectuer tous les audits pendant les heures normales d'ouverture de OPSWAT et ne doit pas interférer de manière déraisonnable avec les activités commerciales de OPSWAT . Dans la mesure où la CCPA l'exige, y compris lorsque l'Agence californienne de protection de la vie privée l'impose, le client peut effectuer des audits fréquents.

2.6.2 Si un tiers doit effectuer l'audit, OPSWAT peut s'opposer à l'auditeur si celui-ci, de l'avis raisonnable de OPSWAT, n'est pas suffisamment qualifié ou indépendant, ou s'il s'agit d'un concurrent de OPSWAT . Une telle objection de la part de OPSWAT obligera le client à nommer un autre auditeur ou à procéder lui-même à l'audit.

2.6.3 Pour demander un audit, le client doit soumettre une proposition de plan d'audit détaillé à OPSWAT au moins deux (2) semaines avant la date d'audit proposée. Le plan d'audit proposé doit décrire la portée, la durée et la date de début de l'audit. OPSWAT examinera le plan d'audit proposé et fera part au client de ses préoccupations ou de ses questions (par exemple, toute demande d'information susceptible de compromettre la sécurité, la confidentialité, l'emploi ou d'autres politiques pertinentes de OPSWAT ). OPSWAT travaillera en coopération avec le client pour convenir d'un plan d'audit final. Rien dans la présente section 2.6 (Audits de la CCPA) n'oblige OPSWAT à manquer à ses obligations de confidentialité.

2.6.4 Si l'étendue de l'audit demandé fait l'objet de rapports d'audit dans les douze (12) mois suivant la demande d'audit du client et que OPSWAT confirme qu'il n'y a pas de modifications matérielles connues dans les contrôles audités, le client accepte les rapports d'audit au lieu de demander un audit des contrôles couverts par les rapports d'audit.

2.6.5 Les audits sont aux frais du client. Le client remboursera à OPSWAT le temps passé par OPSWAT ou ses sous-traitants dans le cadre des audits prévus par la présente section 2.6 (audits CCPA), au tarif des services professionnels alors en vigueur de OPSWAT. Le client paiera tous les frais facturés par tout auditeur désigné par le client pour effectuer un tel audit.

2.6.6 Les parties conviennent que la présente section 2.6 (Audits CCPA) satisfera aux obligations de OPSWATen vertu de la CCPA de fournir au client le droit de prendre des mesures raisonnables et appropriées pour s'assurer que le traitement par OPSWATdes données personnelles du client en vertu du présent accord est conforme aux obligations de OPSWATen vertu de la CCPA.

2.7 Notification. OPSWAT informera le client si OPSWAT détermine qu'il n'est plus en mesure de respecter ses obligations au titre de l'ACCP. Sur notification de OPSWATen vertu de la présente section 2.7, les parties négocieront de bonne foi des modifications au présent accord ou aux services afin de permettre à OPSWAT de respecter ses obligations en vertu de la CCPA. Si ces négociations durent plus de trente (30) jours, le client peut résilier le bon de commande applicable exigeant que OPSWATtraite les données à caractère personnel.

2.8 Remédiation à l'utilisation non autorisée des données personnelles. Sur demande écrite du client, OPSWAT cessera le traitement et supprimera ou retournera les données personnelles du client conformément à la section 4 du RGPD (suppression ou retour des données). OPSWAT fournira au client un certificat attestant que OPSWATs'est conformé à la demande écrite du client. Les parties conviennent que la présente section 2.8 satisfait aux obligations de OPSWATde fournir au client le droit de prendre des mesures raisonnables et appropriées pour arrêter et remédier à l'utilisation non autorisée par OPSWATdes données personnelles du client.

2.9 Sécurité raisonnable. Les parties conviennent que la section 5 (sécurité des données) satisfait aux obligations de OPSWATen matière de sécurité des données en vertu de la CCPA.

2.10 Demandes de la personne concernée au titre de la CCPA. Les parties conviennent que la section 6 du RGPD (droits de la personne concernée) satisfait aux obligations de OPSWATen ce qui concerne les demandes de la personne concernée en vertu du CCPA.

2.11 Sous-traitants. Les parties conviennent que la section 8 du DPA (Sous-traitants) satisfait aux obligations de OPSWATen ce qui concerne les Sous-traitants en vertu du CCPA.

Les parties conviennent par la présente qu'elles se conformeront au module 2 du CCN, qui est incorporé dans le présent document par référence et dont une copie peut être consultée à l'adresse suivante : https://ec.europa.eu/info/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc/standard-contractual-clauses-international-transfers_en. Le client peut également demander une copie des clauses pertinentes à privacy@opswat.com.

Les parties conviennent que les conditions suivantes s'appliquent :

1. Clause 7 : Les parties ont choisi d'inclure la clause 7.

2. Clause 9(a) : Les parties ont choisi d'inclure l'option 2 (autorisation générale écrite) avec un délai de 15 jours.

3. Clause 11(a) : Les parties n'intègrent pas la formulation facultative permettant à une personne concernée de déposer une plainte auprès d'un organisme indépendant de règlement des litiges, sans frais pour la personne concernée.

4. Clause 17 : Les présentes clauses sont régies par le droit de l'un des États membres de l'Union européenne, à condition que ce droit permette l'exercice des droits des tiers bénéficiaires. Les parties conviennent qu'il s'agit du droit de l'État membre dans lequel l'exportateur de données est situé. Si l'exportateur de données n'est pas situé dans l'UE, les parties conviennent qu'il s'agit du droit irlandais.

5. Clause 18(b) : Les parties conviennent qu'il s'agit des tribunaux de l'État membre de l'UE dans lequel l'exportateur de données est situé. Si l'exportateur de données n'est pas situé dans l'UE, les parties conviennent que les tribunaux irlandais seront compétents.

Les parties conviennent que le module 2 du CCAP a priorité sur tout autre accord entre les parties, qu'il ait été conclu avant ou après la date d'entrée en vigueur des présentes clauses. Si la législation ou les procédures réglementaires d'une juridiction l'exigent, les parties exécutent ou réexécutent le module 2 du CCAP sous la forme d'un document distinct.

Annexe 1 à l'appendice 4

A. Liste des parties

Exportateur(s) de données : Client
Rôle (contrôleur/traitement) : Contrôleur
Importateur(s) de données : OPSWAT
Rôle (contrôleur/processeur) : Processeur

B. Description du transfert

Catégories de personnes concernées : voir l'annexe 1 du RGPD
Catégories de données personnelles transférées : voir l'annexe 1 du RGPD
Catégories de données sensibles/spéciales : aucune
Fréquence du transfert : continue, selon les besoins de la fourniture des services
Nature du traitement et finalité(s) du transfert de données : voir l'annexe 1 du RGPD
Durée de conservation des données personnelles : voir l'annexe 1 du RGPD

C. Autorité de surveillance compétente

L'État membre de l'UE dans lequel l'exportateur de données est situé. Si l'exportateur de données n'est pas situé dans l'UE, il s'agit de l'Irlande.

Annexe 2 à l'appendice 4

Mesures techniques et organisationnelles, y compris les mesures techniques et organisationnelles visant à garantir la sécurité des données

Voir l'annexe 2 du RGPD. En ce qui concerne les transferts à des sous-traitants secondaires, OPSWAT veille à ce que ces sous-traitants secondaires respectent matériellement les mesures de sécurité énumérées à l'annexe 2 du RGPD.

Les parties conviennent par la présente qu'elles se conformeront au module 3 du CCN, qui est incorporé dans le présent document par référence et dont une copie peut être consultée à l'adresse suivante : https://ec.europa.eu/info/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc/standard-contractual-clauses-international-transfers_en. Le client peut également demander une copie des clauses pertinentes à privacy@opswat.com.

Les parties conviennent que les conditions suivantes s'appliquent :

1) Clause 7 : les parties ont choisi d'inclure la clause 7.

2. clause 9(a) : Les parties ont choisi d'inclure l'option 2 (autorisation générale écrite) avec un délai de 15 jours.

3) Clause 11(a) : Les parties n'intègrent pas la formulation facultative permettant à une personne concernée de déposer une plainte auprès d'un organisme indépendant de règlement des litiges, sans frais pour la personne concernée.

4) Clause 17 : Les présentes clauses sont régies par le droit de l'un des États membres de l'Union européenne, à condition que ce droit autorise les droits des tiers bénéficiaires. Les parties conviennent qu'il s'agit du droit de l'État membre dans lequel l'exportateur de données est situé. Si l'exportateur de données n'est pas situé dans l'UE, les parties conviennent qu'il s'agit du droit irlandais.

5. clause 18(b) : Les parties conviennent qu'il s'agit des tribunaux de l'État membre de l'UE dans lequel l'exportateur de données est situé. Si l'exportateur de données n'est pas situé dans l'UE, les parties conviennent que les tribunaux irlandais seront compétents.

6) Annexe I A. Voir l'annexe 1 de l'appendice 4 du RGPD, le client et OPSWAT agissant tous deux en tant que sous-traitants.

7) Annexe I B et C : voir l'annexe 1 de l'appendice 4 du DPA.

8) Annexe II : voir l'annexe 2 de l'appendice 4 du DPA.

Les parties conviennent que le module 3 du CCAP a priorité sur tout autre accord entre les parties, qu'il ait été conclu avant ou après la date d'entrée en vigueur des présentes clauses. Si la législation ou les procédures réglementaires d'une juridiction l'exigent, les parties exécutent ou réexécutent le module 2 du CCAP sous la forme d'un document distinct.

Les parties conviennent par la présente qu'elles se conformeront au module 2 ou au module 3 du CCN (selon le cas), complété par l'appendice 4 ou l'appendice 5 (respectivement) et modifié par l'addendum britannique, qui est incorporé par référence et dont une copie peut être consultée sur le site web de l'Information Commissioner's Office(https://ico.org.uk/media/for-organisations/documents/4019535/addendum-international-data-transfer.docx). Le client peut également demander une copie des clauses pertinentes à privacy@opswat.com.

1) Tableau 1 : Parties

Exportateur de données : Client
Importateur de données : OPSWAT

2) Tableau 2 : Sélection de CCN, de modules et de clauses sélectionnées

Module 2 ou Module 3 du CCN, tel que complété par l'annexe 4 ou l'annexe 5

3. tableau 3 : informations sur l'annexe

Annexe 1A : voir l'annexe 1 de l'appendice 4 du DPA
Annexe 1B : voir l'annexe 1 de l'appendice 4 du DPA
Annexe II : voir l'annexe 2 de l'appendice 4 du DPA
Annexe III : la liste des sous-traitants de OPSWATest disponible à l'adresse https://www.opswat.com/legal/subprocessors

4) Tableau 4 : Fin du présent addendum en cas de modification de l'addendum approuvé

Importateur ou exportateur
Les parties conviennent que le module 2 ou le module 3 de la CCN (selon le cas), tel que modifié par l'addendum britannique, a priorité sur tout autre accord entre les parties, qu'il ait été conclu avant ou après la date d'entrée en vigueur des présentes clauses. Si la législation ou les procédures réglementaires d'une juridiction l'exigent, les parties exécuteront ou réexécuteront le module 2 ou le module 3 du CCAP (selon le cas), tel qu'amendé par l'addendum britannique, sous la forme d'un document distinct.