1. Définitions
Tous les termes en majuscules non définis dans le présent addendum sur la protection des données (« DPA ») ont la signification indiquée dans l’accord.
- Affilier désigne toute personne ou entité contrôlant directement ou indirectement une Partie, contrôlée par elle ou placée sous son contrôle commun. Aux fins de la présente définition, le terme « contrôle » (y compris, avec leurs significations corrélatives, les termes « contrôlant », « contrôlé par » et « placé sous son contrôle commun ») désigne le pouvoir de gérer ou de diriger les affaires de la personne ou de l'entité concernée, que ce soit par la détention de titres avec droit de vote, par contrat ou autrement.
- Accord désigne le contrat de services de compte professionnel MuchBetter entre MIR et le titulaire du compte qui implique l'accès ou le traitement des données personnelles ;
- Juridiction approuvée désigne un État membre de l'EEE, ou toute autre juridiction pouvant être approuvée comme disposant de protections juridiques adéquates pour les données par la Commission européenne, ou par les réglementations d'adéquation du Royaume-Uni émises en vertu de l'article 17A de la loi sur la protection des données de 2018 ou des paragraphes 4 et 5 de l'annexe 21 de la loi sur la protection des données de 2018, selon le cas ;
- Incident de violation désigne une violation de la sécurité entraînant la destruction, la perte, l'altération, la divulgation non autorisée ou l'accès accidentel ou illicite à des données personnelles transmises, stockées ou traitées d'une autre manière ;
- Lois sur la protection des données désigne toute loi, règle, directive et réglementation nationale et étrangère applicable relative à la confidentialité des données, à la sécurité des données et/ou à la protection des données personnelles, y compris la directive 2002/58/CE sur la vie privée et les communications électroniques (et les lois locales d'application respectives) concernant le traitement des données personnelles et la protection de la vie privée dans le secteur des communications électroniques (directive sur la vie privée et les communications électroniques), y compris toutes modifications ou remplacements de celles-ci, y compris le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (« RGPD ») et y compris la loi de 2018 sur la protection des données et le RGPD tel qu'il fait partie du droit de l'Angleterre et du Pays de Galles, de l'Écosse et de l'Irlande du Nord en vertu de l'article 3 de la loi de 2018 sur le retrait de l'Union européenne (« RGPD britannique »).
- EEE désigne les pays membres de l'Espace économique européen.
- MIR désigne MIR Limited UK Ltd, fournisseur de services de compte professionnel MuchBetter
- Données personnelles « Données personnelles » désigne toute information concernant une personne identifiable ou pouvant lui être associée. Cela inclut toute information pouvant être liée à une personne ou utilisée pour identifier directement ou indirectement une personne physique. Les données personnelles sont considérées comme des informations confidentielles, quelle que soit leur source.
- Processus désigne toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données personnelles, telles que la collecte, l'enregistrement, l'organisation, la conservation, l'adaptation ou la modification, l'accès, l'extraction, la consultation, l'utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, le verrouillage, l'effacement ou la destruction. Les termes « traitements » et « traitement » doivent être interprétés en conséquence.
- Clauses contractuelles types ou « SCC » le module applicable des clauses contractuelles types pour le transfert de données personnelles vers des pays tiers conformément au règlement (UE) 2016/679 du Parlement européen et du Conseil du 4 juin 2021, tel qu'il peut être modifié, remplacé ou remplacé de temps à autre.
- Addendum du Royaume-Uni désigne l'addendum sur le transfert international de données aux clauses contractuelles types, entré en vigueur le 21 mars 2022.
2. Application du présent DPA
- Le présent DPA ne s'appliquera que dans la mesure où toutes les conditions suivantes sont remplies :
- Chacune des Parties traite les Données Personnelles mises à disposition par l’autre Partie dans le cadre de l’Accord ;
- Les lois sur la protection des données s’appliquent au traitement des données personnelles.
- Le présent DPA s'appliquera uniquement aux services convenus par les Parties dans l'Accord et qui intègre le DPA par référence.
3. Protection des données et confidentialité
- Dans la mesure où une Partie a accès aux Données personnelles mises à la disposition de l'autre Partie ou les traite d'une autre manière, cette Partie doit alors :
- Être un responsable indépendant du traitement des données personnelles et déterminer les finalités et les moyens du traitement conformément à l'accord et aux lois sur la protection des données.
- Traitez uniquement les données personnelles conformément aux exigences des lois sur la protection des données et, comme l'exigent les lois sur la protection des données, conservez des enregistrements écrits précis de toutes les activités de traitement de toutes les données personnelles effectuées dans le cadre de l'accord.
- Sans déroger à ce qui précède, il incombe à la personne concernée de fournir toute information requise en vertu des lois sur la protection des données et de permettre aux personnes concernées d'exercer leurs droits en vertu des lois sur la protection des données, et de fournir à l'autre partie une coopération et une assistance raisonnables pour remplir les obligations qui précèdent et toute obligation légale ou réglementaire ;
- Mettre en œuvre et maintenir des mesures de sécurité physiques, techniques et organisationnelles commercialement raisonnables et appropriées pour protéger les données personnelles contre la destruction accidentelle ou illégale ; la perte accidentelle, l'altération, la divulgation ou l'accès non autorisé aux données personnelles transmises, stockées ou traitées d'une autre manière, et toutes autres formes illégales de traitement ;
- Se conformer à toutes les obligations de notification de violation de données personnelles à l'autorité de contrôle et aux obligations de communication aux personnes concernées, comme l'exigent les lois sur la protection des données ;
- Notifier l'autre Partie sans retard injustifié et au plus tard vingt-quatre (24) heures après avoir pris connaissance d'un incident de violation.
- La partie qui obtient initialement les données personnelles d'une personne concernée est responsable de l'obtention de tout consentement éventuellement requis de la part de cette dernière (dans chaque cas, dans la mesure nécessaire au respect des lois sur la protection des données) et de la fourniture d'informations à la personne concernée avant la collecte des données personnelles (par exemple, « Avis de confidentialité » ou « Politique de confidentialité »), si nécessaire au respect des lois sur la protection des données. Ce qui précède ne saurait déroger aux responsabilités de l'autre partie en vertu des lois sur la protection des données (telles que l'obligation de fournir des informations à la personne concernée lors de la collecte des données personnelles dans le cadre du traitement de celles-ci).
- Chaque Partie peut désigner des sous-traitants, y compris des Sociétés affiliées, pour traiter les Données personnelles en son nom (« Sous-traitants ») afin d'exécuter ses obligations et services en vertu du Contrat, à condition que : (i) la désignation soit soumise à un accord écrit avec le Sous-traitant désigné contenant, le cas échéant, des conditions prévoyant une protection équivalente des Données personnelles comme prévu dans le présent Addendum sur la protection des données ; et (ii) chaque Partie sera responsable des actes ou omissions de ses propres Sous-traitants dans la même mesure qu'elle est responsable de ses propres actions ou omissions en vertu du présent Addendum sur la protection des données, du Contrat et des Lois sur la protection des données.
4. Le transfert de données personnelles
Les Parties ne doivent pas traiter ni transférer des Données Personnelles en dehors d'une Juridiction Approuvée ;
- si une Partie souhaite Traiter des Données Personnelles ou transférer des Données Personnelles vers une juridiction autre qu'une Juridiction Approuvée, elle sera alors réputée conclure les SCC, le cas échéant avec l'Addendum du Royaume-Uni, auquel cas : (i) l'Addendum du Royaume-Uni et les SCC sont incorporés aux présentes par référence ; et (ii) la Partie divulguant les Données Personnelles sera considérée comme l'Exportateur et la Partie recevant les Données Personnelles sera considérée comme l'Importateur (tels que ces termes y sont définis).
5. Généralités
- Si l'une des lois sur la protection des données est remplacée par des lois sur la protection des données nouvelles ou modifiées (y compris toute décision ou interprétation d'un tribunal ou d'une autorité gouvernementale compétente s'y rapportant), les lois sur la protection des données nouvelles ou modifiées seront réputées être intégrées au présent addenda sur la protection des données, et les deux parties commenceront rapidement à se conformer à ces lois sur la protection des données.
- En cas de conflit ou d'incohérence entre les termes du présent DPA et les clauses contractuelles types ou l'addendum britannique (le cas échéant), les termes des clauses contractuelles types ou de l'addendum britannique (le cas échéant) prévaudront.
Annexe I des SCC
- L'annexe 1 fait partie de l'accord sur la protection des données et définit l'interprétation convenue par les parties de leurs obligations respectives en vertu de l'addendum britannique et/ou des clauses contractuelles types.
- Les Parties conviennent qu'aux fins du transfert de Données Personnelles entre MIR et le Titulaire du Compte, les dispositions suivantes s'appliqueront :
- L'article 7 des SCC ne sera pas applicable
- L'autorité de contrôle sera le Bureau du Commissaire à l'information du Royaume-Uni lorsque l'addendum du Royaume-Uni est incorporé ou le Commissaire irlandais à la protection des données lorsque seuls les SCC sont incorporés.
- Les lois de l'Angleterre et du Pays de Galles régissent les cas où l'avenant du Royaume-Uni s'applique et celles de l'Irlande lorsqu'il ne s'applique pas.
- Les parties choisissent les tribunaux anglais comme leur choix de forum et de juridiction lorsque l'addendum britannique s'applique et ceux d'Irlande lorsqu'il ne s'applique pas.
- Dans le tableau 4 de l’addendum du Royaume-Uni, chaque partie peut résilier l’accord conformément à l’article 19 de l’addendum du Royaume-Uni.
Identification des parties
« Exportateur de données »: l'émetteur des Données Personnelles ;
« Importateur de données »: le destinataire des Données Personnelles
Description du transfert
Personnes concernées
Les données personnelles traitées concernent les catégories de personnes concernées suivantes (veuillez préciser) :
- ☐ Les employés de MIR
- ☐ Les clients de MIR
- ☐ Utilisateurs finaux du titulaire du compte
- ☐ Employés du titulaire du compte
- ☐ Clients du titulaire du compte
- ☐ Autre : ________
Catégories de données personnelles
Les données personnelles transférées concernent les catégories de données suivantes (veuillez préciser) :
- ☐ Coordonnées (nom, âge, sexe, adresse, numéro de téléphone, adresse e-mail, etc.)
- ☐ Données financières et de paiement (par exemple numéro de carte de crédit, compte bancaire, transactions)
- ☐ Pièces d'identité gouvernementales (passeport, permis de conduire)
- ☐ Identifiants de l'appareil et activité sur Internet ou sur le réseau électronique (adresses IP, GAID/IDFA, historique de navigation, horodatages)
- ☐ Informations de géolocalisation
- ☐ Données biométriques
- ☐ Autre : ________
Catégories spéciales de données (le cas échéant)
Les données personnelles transférées concernent les catégories particulières de données suivantes (veuillez préciser) :
- ☐ Aucun
- ☐ Données génétiques ou biométriques
- ☐ Données de santé
- ☐ Origine raciale ou ethnique
- ☐ Opinions politiques, croyances religieuses ou philosophiques
- ☐ Autre : ________
La fréquence du transfert :
- ☐ Unique
- ☐ Continu
- ☐ Autre : ________
Nature du traitement
- ☐ Collection
- ☐ Enregistrement
- ☐ Organisation ou structuration
- ☐ Stockage
- ☐ Adaptation ou modification
- ☐ Récupération
- ☐ Consultation
- ☐ Divulgation, diffusion ou mise à disposition de toute autre manière
- ☐ Analyse
- ☐ Effacement ou destruction
- ☐ Autre : ________
-
Finalité du transfert et traitement ultérieur
- ☐ Fournir, gérer et exploiter les services de compte MBB
- ☐ Autre : ________
Durée de conservation
Les données personnelles seront conservées pendant la durée de l’accord ou conformément à la loi applicable.
Annexe II des CCT – Mesures techniques et organisationnelles, y compris les mesures techniques et organisationnelles visant à garantir la sécurité des données
La présente annexe fait partie intégrante du DPA et décrit les mesures de sécurité techniques et organisationnelles mises en œuvre par l’importateur de données.
Compte tenu de l'état de la technique, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que du risque, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, l'importateur de données doit mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, y compris, entre autres, le cas échéant :
- la pseudonymisation et le cryptage des données personnelles ;
- la capacité d’assurer la confidentialité, l’intégrité, la disponibilité et la résilience continues des systèmes et services de traitement ;
- la capacité de rétablir la disponibilité et l’accès aux données personnelles en temps utile en cas d’incident physique ou technique ;
- un processus permettant de tester, d'évaluer et d'apprécier régulièrement l'efficacité des mesures techniques et organisationnelles visant à garantir la sécurité du traitement ; et
- maintenance des politiques de sécurité de l'information et de confidentialité des données
RU 
TR 
ZH 
NB 