Avenant relatif au traitement des données

Le présent avenant relatif au traitement des données, y compris toutes les annexes qui y sont jointes (le « DPA »), est intégré aux Conditions d’utilisation ou au Contrat-cadre de services Snyk, selon le cas (le « Contrat »), conclu entre le Client et Snyk, et est soumis à leurs dispositions. Tous les termes commençant par une majuscule utilisés dans le présent DPA sans y être définis ont le sens qui leur est attribué dans le Contrat. En cas de conflit explicite entre le Contrat et le DPA, les dispositions du DPA prévalent.

1. DÉFINITIONS

Lois sur la protection des données désigne l’ensemble des lois et réglementations nationales, fédérales et étatiques relatives à la protection des données, telles qu’elles peuvent être modifiées ou mises à jour périodiquement, applicables au traitement des Données à caractère personnel par Snyk aux fins de la fourniture des Services décrits dans le Contrat. Ces Lois sur la protection des données comprennent, selon le cas :

La loi californienne sur la protection de la vie privée des consommateurs (California Consumer Privacy Act), Cal. Civ. Code § 1798.100 et suivants, ainsi que ses règlements d’application (« CCPA ») ;

Le règlement général sur la protection des données (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (« RGPD ») ou le « RGPD britannique », qui désigne le règlement général britannique sur la protection des données, tel qu’il fait partie du droit du Royaume-Uni en vertu de l’article 3 de la loi de 2018 sur le retrait de l’Union européenne ; et

La loi fédérale suisse sur la protection des données du 25 septembre 2020 (« LPD »).

Clauses contractuelles types de l’UE désigne les clauses contractuelles types annexées à la décision d’exécution (UE) 2021/914 de la Commission européenne, disponibles à l’adresse https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj.

Données à caractère personnel désigne toute information relative à une personne physique identifiée ou identifiable, traitée par Snyk en sa qualité de sous-traitant aux fins de la fourniture des Services au titre du Contrat.

Transfert restreint désigne tout transfert transfrontalier de Données à caractère personnel qui serait restreint par les Lois sur la protection des données en l’absence des Clauses contractuelles types de l’UE, des Clauses contractuelles types du Royaume-Uni ou des Clauses contractuelles types suisses, selon le cas, y compris les avenants appropriés.

Clauses contractuelles types suisses désigne les Clauses contractuelles types de l’UE, telles que modifiées conformément à l’article 6.3 du présent DPA.

Avenant britannique désigne l’avenant relatif aux transferts internationaux de données aux Clauses contractuelles types de l’UE, publié par l’ICO en vertu de l’article 119A(1) de la loi de 2018 sur la protection des données, version B1.0, ainsi que toute mise à jour ou tout remplacement que l’ICO pourrait publier périodiquement conformément à l’article 119A(1).

L’expression « Clauses contractuelles types du Royaume-Uni » désigne l’Avenant britannique, tel que modifié ou remplacé périodiquement, conformément à l’article 46 du RGPD britannique .

Les termes « responsable du traitement », « sous-traitant », « personne concernée », « traiter » et « autorité de contrôle », ainsi que leurs dérivés et termes analogues, ont le même sens que celui qui leur est attribué dans les Lois sur la protection des données applicables.

2.       DROITS ET OBLIGATIONS

2.1 Les parties reconnaissent et conviennent qu’en ce qui concerne le traitement des Données à caractère personnel, le Client est le responsable du traitement et Snyk est le sous-traitant. Les parties conviennent que le Contrat et le présent DPA, ainsi que la configuration des Services par le Client, constituent les instructions du Client concernant le traitement des Données à caractère personnel. Chaque partie respecte les obligations qui lui incombent au titre des Lois sur la protection des données. Le Client ne donne pas à Snyk d’instructions visant à traiter des Données à caractère personnel en violation du droit applicable. Dans la mesure requise par les Lois sur la protection des données, Snyk aide le Client à respecter les obligations qui lui incombent au titre desdites Lois. Le Client est seul responsable de l’exactitude, de la qualité et de la licéité des Données à caractère personnel qu’il fournit ou met autrement à la disposition de Snyk, des moyens par lesquels il a obtenu et transféré ces Données à caractère personnel à Snyk, ainsi que de la base juridique autorisant le traitement de ces Données à caractère personnel par Snyk au titre du Contrat et du présent DPA. Les engagements de Snyk en matière de sécurité et ses obligations relatives aux Incidents de sécurité concernant les Données à caractère personnel sont précisés dans le Contrat. En outre, le processus de suppression des Données du Client, y compris des Données à caractère personnel, est décrit dans le Contrat.

2.2 Comme l’exige la législation sur la protection des données, Snyk tient un registre écrit de ses activités de traitement relatives aux Données à caractère personnel. Les droits d’audit du Client concernant les Données à caractère personnel sont précisés dans le Contrat.

3.       SOUS-TRAITANTS ULTÉRIEURS

3.1 Le Client autorise de manière générale Snyk à faire appel à des tiers pour traiter les Données à caractère personnel (les « Sous-traitants ultérieurs »). Snyk tient à jour la liste des Sous-traitants ultérieurs à l’adresse https://snyk.io/policies/subprocessors/.

3.2 Snyk informera le Client trente (30) jours à l’avance (la « Période de préavis ») avant d’ajouter ou de remplacer un Sous-traitant ultérieur, en publiant les détails à l’adresse https://snyk.io/policies/subprocessors/. Si le Client s’oppose raisonnablement à l’ajout ou au remplacement de ce Sous-traitant ultérieur, il communiquera par écrit à Snyk son objection et les motifs raisonnables de celle-ci pendant la Période de préavis, et les parties discuteront de bonne foi afin de parvenir à une solution commercialement raisonnable. Si aucune solution n’est trouvée, Snyk ne désignera pas le nouveau Sous-traitant ultérieur pour l’utilisation des Services par le Client, ou autorisera le Client à suspendre ou résilier les Services concernés sans engager la responsabilité de l’une ou l’autre partie. Nonobstant ce qui précède, Snyk peut remplacer un Sous-traitant ultérieur si ce changement est urgent et nécessaire à la fourniture des Services. Dans ce cas, Snyk informera le Client du remplacement dès que raisonnablement possible, et le Client conservera le droit de s’opposer au Sous-traitant ultérieur remplaçant.

3.3 Snyk veille à ce que chaque Sous-traitant ultérieur soit engagé aux termes d’un contrat écrit lui imposant, concernant les Données à caractère personnel, des obligations substantiellement identiques à celles du présent DPA, et répond du respect de ces obligations par chacun de ces Sous-traitants ultérieurs.

4.       DEMANDES RELATIVES AUX DONNÉES

4.1 Dans la mesure requise par la législation applicable sur la protection des données, Snyk informe le Client si elle reçoit des demandes valides d’une personne concernée identifiée dans le cadre de l’abonnement du Client à Snyk, visant à exercer ses droits individuels en vertu de cette législation. Dans la mesure permise par la loi et compte tenu de la nature du traitement, Snyk apporte une aide raisonnable au Client pour répondre aux demandes valides des personnes concernées au titre des Lois sur la protection des données.

4.2 Si Snyk fait l’objet d’une demande d’une autorité publique, elle vérifie la légalité de cette demande avant d’y donner suite. Dans la mesure permise par la loi, Snyk informe rapidement le Client par écrit de toute demande de ce type. En réponse à une telle demande, Snyk ne divulgue que la quantité minimale de Données à caractère personnel qu’elle estime raisonnablement nécessaire.

5.       RGPD

5.1 Le présent article s’applique uniquement dans la mesure où les Données à caractère personnel comprennent des informations personnelles soumises au RGPD, au RGPD britannique ou à la LPD, et s’ajoute aux autres exigences du Contrat et aux autres dispositions du présent DPA. Les parties conviennent que Snyk peut traiter des Données à caractère personnel dans le cadre de la fourniture des Services au titre du Contrat. Snyk informe le Client si elle constate que les instructions de celui-ci enfreignent le RGPD, le RGPD britannique ou la LPD, selon le cas, sans toutefois être tenue de surveiller activement le respect de ces textes par le Client.

6.       TRANSFERTS INTERNATIONAUX DE DONNÉES

6.1 Le Client reconnaît et accepte que Snyk puisse transférer, consulter et traiter des Données à caractère personnel à l’échelle mondiale, dans la mesure nécessaire à la fourniture des Services conformément au Contrat. Snyk effectue ces transferts dans le respect des Lois sur la protection des données.

6.2 Les parties conviennent que les dispositions du module deux des Clauses contractuelles types de l’UE (responsable du traitement vers sous-traitant) s’appliquent à tout Transfert restreint relevant du RGPD, du Client (en qualité d’exportateur de données) à Snyk (en qualité d’importateur de données). Les parties conviennent qu’aux fins des Clauses contractuelles types de l’UE :

6.2.1 La clause 7 (clause d’adhésion) ne s’applique pas ;

6.2.2 La clause 9 (recours à des sous-traitants ultérieurs), option 2, autorisation écrite générale, s’applique et le « délai » est de 30 jours ;

6.2.3 Dans la clause 11 (recours), le texte facultatif ne s’applique pas ;

6.2.4 L’annexe I.A (liste des parties) est réputée désigner le Client comme exportateur de données et Snyk comme importateur de données ;

6.2.5 L’annexe I.B (description du transfert) est réputée intégrer les informations de l’annexe 1 ;

6.2.6 L’annexe I.C (autorité de contrôle compétente) est réputée désigner l’autorité de contrôle de l’Irlande ; et

6.2.7 L’annexe II (mesures techniques et organisationnelles) est réputée renvoyer à l’avenant relatif à la sécurité de l’information (tel que précisé dans le Contrat).

6.3 Les parties conviennent que les dispositions du module deux des Clauses contractuelles types de l’UE (responsable du traitement vers sous-traitant) s’appliquent à tout Transfert restreint relevant de la LPD, du Client (en qualité d’exportateur de données) à Snyk (en qualité d’importateur de données), dans la même mesure que celle définie à l’article 6.2, sous réserve des modifications suivantes :

6.3.1.   Les références au « règlement (UE) 2016/679 » ou au « RGPD » s’interprètent comme des références à la LPD ;

6.3.2.   Les références à « UE », « Union », « Union européenne », « État membre de l’UE » ou « État membre » : (a) s’interprètent comme incluant la « Suisse » ; et (b) ne s’interprètent pas de manière à exclure les personnes concernées en Suisse de la possibilité d’exercer leurs droits en Suisse ;

6.3.3.   L’annexe I.C (autorité de contrôle compétente) est réputée désigner le Préposé fédéral à la protection des données et à la transparence ; et

6.3.4.   La clause 17 (option 1) et la clause 18(b) sont réputées renvoyer au droit applicable et aux tribunaux compétents prévus à l’article 8.1 ci-dessous, sauf dans la mesure où la LPD l’exige autrement ou pour donner effet à l’article 6.3.2(b) ci-dessus, auquel cas le droit applicable est le droit suisse et les litiges sont soumis aux tribunaux suisses (« Clauses contractuelles types suisses »).

6.4.    Les parties conviennent que les dispositions des Clauses contractuelles types du Royaume-Uni s’appliquent à tout Transfert restreint relevant du RGPD britannique, du Client (en qualité d’exportateur de données) à Snyk (en qualité d’importateur de données). Les parties conviennent qu’aux fins des Clauses contractuelles types du Royaume-Uni :

6.4.1   Le tableau 1 est réputé complété en désignant le Client comme exportateur de données et Snyk comme importateur de données ;

6.4.2   Le tableau 2 est réputé complété avec les renseignements et les choix correspondants décrits à l’article 6.2 ci-dessus ;

6.4.3   Le tableau 3 est réputé complété avec les renseignements et les choix correspondants décrits aux articles 6.2.4, 6.2.5 et 6.2.7 ci-dessus, ainsi qu’à l’annexe 1 ; et

6.4.4   Le tableau 4 de l’Avenant britannique relatif aux transferts est complété en sélectionnant uniquement « Importateur ».

6.5   Dans la mesure où Snyk effectue un transfert ultérieur constituant un Transfert restreint, elle prend les mesures nécessaires pour garantir que le transfert est effectué conformément aux Lois sur la protection des données.

7.       CCPA

7.1 Le présent article s’applique uniquement dans la mesure où les Données à caractère personnel comprennent des informations personnelles soumises à la CCPA, et s’ajoute aux autres exigences du Contrat et aux autres dispositions du présent DPA.

7.2 Snyk informe rapidement le Client si elle détermine qu’elle n’est plus en mesure de respecter ses obligations au titre du présent DPA ou de la CCPA.

7.3 Après avoir adressé un préavis écrit à Snyk, le Client peut prendre des mesures raisonnables et appropriées pour faire cesser et corriger toute utilisation non autorisée des Données à caractère personnel par Snyk.

7.4 Snyk traite les Données à caractère personnel soumises à la CCPA pour le compte du Client ou en son nom, aux fins commerciales précisées dans le Contrat. Snyk ne conserve, n’utilise ni ne divulgue les Données à caractère personnel à d’autres fins que celles découlant de la relation commerciale entre les parties et de la fourniture des Services au titre du Contrat, ou celles autrement autorisées aux prestataires de services par la CCPA.

7.5 Snyk ne vendra pas les données personnelles au sens du CCPA. Dans la mesure où le CCPA s’applique, les parties reconnaissent que le transfert des données personnelles du Client à Snyk ne constitue pas une « vente » et que Snyk ne fournit au Client aucune contrepartie monétaire ou autre avantage de valeur en échange de ces données personnelles.

7.6 Dans la mesure où des données personnelles visées aux présentes sont dépersonnalisées par Snyk ou le Client, Snyk prendra des mesures raisonnables pour s’assurer que ces données dépersonnalisées ne puissent être associées à un consommateur ou à un foyer et ne tentera pas de réidentifier ces données personnelles dépersonnalisées.

7.7 Snyk certifie comprendre les obligations et restrictions énoncées dans la présente section 7 et s’engage à les respecter.

8.       DISPOSITIONS GÉNÉRALES

8.1 Droit applicable. Sauf exigence contraire, les parties conviennent de ce qui suit :

(1)  Si le Contrat est conclu entre le Client et Snyk, Inc., le présent DPA est régi et interprété conformément au droit de la juridiction indiquée dans le Contrat, et les parties acceptent la compétence des tribunaux qui y sont spécifiés.

(2)  Si le Contrat est conclu entre le Client et Snyk Limited, le présent DPA est régi et interprété conformément au droit irlandais, et les parties acceptent la compétence des tribunaux situés en Irlande.

8.2 Mises à jour. Snyk peut modifier le présent DPA si nécessaire à la suite (a) de changements apportés aux lois sur la protection des données ; (b) d’une fusion, d’une acquisition, d’une réorganisation d’entreprise ou d’un événement similaire ; ou (c) du lancement de nouvelles fonctionnalités, fonctions, produits ou services, ou de changements substantiels apportés aux Services existants. Snyk peut apporter ces modifications en publiant une version révisée du présent DPA à l’adresse https://snyk.io/policies/dpa/ ou en informant le Client par tout autre moyen. Snyk fournira un préavis d’au moins sept (7) jours pour toute modification. Sous réserve de ce préavis de sept (7) jours, la version modifiée du DPA prendra effet dès sa publication. En continuant à utiliser les Services après la date d’entrée en vigueur de toute modification du présent DPA, le Client accepte d’être lié par le DPA modifié.

Annexe 1 : DÉTAILS DU TRAITEMENT DES DONNÉES

Catégories de personnes concernées :           

Les développeurs et autres employés du Client qui utilisent les services de Snyk ou contribuent d’une autre manière au code source du Client, ainsi que les personnes concernées dont les données personnelles peuvent être traitées de manière incidente dans le cadre de l’utilisation des services par le Client.

Catégories de données personnelles :      

• Prénom et nom, employeur, titre et fonction

• Adresses e-mail

• Identifiants ou balises utilisateur associés aux dépôts de code source ou à d’autres services intégrés à Snyk par les utilisateurs du Client

• Données de connexion et/ou de localisation, et

• Autres données personnelles non sensibles incluses de manière incidente dans les données du Client.

Données sensibles transférées (le cas échéant) :

Aucune.

Fréquence du transfert (par exemple, transfert ponctuel ou continu des données) :        

En continu.

Nature du traitement :

Traitement par Snyk, pour le compte du Client, de certaines données personnelles afin de permettre aux utilisateurs du Client d’accéder à la plateforme Snyk pour examiner les projets logiciels soumis à la plateforme.

Finalité(s) du transfert de données :  

Fournir les Services conformément au Contrat.

Durée de conservation des données personnelles ou, si cela n’est pas possible, critères utilisés pour déterminer cette durée :    

Comme indiqué dans le Contrat.

Pour les transferts à des sous-traitants ultérieurs, préciser également l’objet, la nature et la durée du traitement :

Consultez https://snyk.io/policies/subprocessors/ pour en savoir plus.