Traitement des données

Version : 2025

Parties :

• La société à responsabilité limitée Payt B.V., ci-après dénommée « Sous-traitant » ;
• Client de Payt B.V., ci-après dénommé « Responsable du traitement » ;

Ci-après dénommées collectivement les « Parties » et individuellement la « Partie ».

Considérant que :

• Le Sous-traitant a développé une plateforme en ligne pour la gestion des créances clients ;
• Le Responsable du traitement utilise ou souhaite utiliser les services du Sous-traitant ;
• Cette utilisation conduit le Sous-traitant à traiter des Données Personnelles pour le compte du Responsable du traitement ;
• Le Responsable du traitement et le Sous-traitant souhaitent établir dans le présent Contrat de Sous-traitance les droits, obligations et accords mutuels concernant le Traitement des Données Personnelles dans le cadre de ces services.
• Les Annexes suivantes font partie intégrante du présent Contrat de Sous-traitance :
  • ANNEXE 1 : Données Personnelles ; personnes concernées, objet et durée, nature et finalité, modalités et moyens de traitement ;
  • ANNEXE 2 : Mesures de sécurité
• Si une disposition d’une Annexe est incompatible ou en conflit avec une disposition du Contrat de Sous-traitance, la disposition de l’Annexe prévaut.

1 : Définitions

Dans le présent Contrat de Sous-traitance, les termes suivants, toujours désignés par une majuscule, au singulier comme au pluriel, ont la signification suivante :

• Personne concernée : personne physique (ou son représentant) à laquelle une donnée personnelle est liée.
• Sous-traitant : celui qui traite des Données Personnelles pour le compte du Responsable du traitement, sans être soumis à son autorité directe. Dans le présent Contrat de Sous-traitance, il s’agit de Payt B.V.
• Annexe : partie du Contrat de Sous-traitance qui fournit des explications et des informations supplémentaires sur une partie ou un élément spécifique des services.
• Donnée Personnelle : toute information concernant une personne physique identifiée ou identifiable.
• Responsable du traitement : la personne physique, la personne morale ou toute autre personne, ou l’autorité publique qui, seule ou conjointement avec d’autres, détermine les finalités et les moyens du Traitement des Données Personnelles.
• Traitement : toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des Données Personnelles, telles que la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction des Données Personnelles.

2 : Durée et résiliation

• Le présent Contrat de Sous-traitance est valable tant que le Sous-traitant traite des Données Personnelles pour le compte du Responsable du traitement et ne peut être résilié de manière anticipée.
• Le Sous-traitant mettra toutes les Données Personnelles à la disposition du Responsable du traitement à sa première demande, au plus tard dans les dix jours ouvrables suivant la fin du présent Contrat de Sous-traitance.
• Dès la fin du présent Contrat de Sous-traitance, le Sous-traitant supprimera et/ou détruira toutes les Données Personnelles en sa possession et toutes les copies de celles-ci.
• Le Sous-traitant peut déroger aux dispositions des deux paragraphes précédents si une obligation légale de conservation s’applique aux Données Personnelles ou si cela est nécessaire pour prouver l’exécution de ses obligations envers le Responsable du traitement.

3 : Objet

• Le Sous-traitant traitera des Données Personnelles pour le compte du Responsable du traitement. Le Responsable du traitement fournira des Données Personnelles au Sous-traitant à cette fin.
• Le Sous-traitant ne traitera les Données Personnelles que sur la base des instructions écrites du Responsable du traitement (telles qu’énoncées dans le présent Contrat de Sous-traitance et le contrat de services conclu entre le Responsable du traitement et le Sous-traitant et dont le présent Contrat de Sous-traitance fait partie), sauf si le Sous-traitant est soumis à une obligation légale de traiter les Données Personnelles. Dans ce cas, le Sous-traitant informera le Responsable du traitement avant le traitement, à moins que la loi pertinente ne l’interdise pour des raisons importantes d’intérêt général.
• Le Sous-traitant informera immédiatement le Responsable du traitement s’il estime qu’une instruction du Responsable du traitement est contraire aux lois et réglementations en matière de protection des données, y compris le Règlement Général sur la Protection des Données (RGPD).
• Le Responsable du traitement a déterminé les finalités du Traitement des Données Personnelles et en a informé le Sous-traitant.
• Le Sous-traitant ne traitera pas les Données Personnelles à d’autres fins que les finalités de traitement établies telles que décrites à l’Annexe 1.
• Les Données Personnelles à traiter par le Sous-traitant pour le compte du Responsable du traitement, obtenues de quelque manière que ce soit, restent la propriété du Responsable du traitement et/ou de la Personne concernée.
• Le Responsable du traitement garantit au Sous-traitant que le contenu, l’utilisation et/ou le traitement des Données Personnelles ne sont pas illégaux et ne portent pas atteinte à un droit d’un Tiers, que ces Données Personnelles sont collectées et partagées légalement et indemnisera le Sous-traitant contre toute action en justice d’un Tiers, pour quelque motif que ce soit, en relation avec le traitement de ces Données Personnelles, à moins que le Responsable du traitement ne prouve que les faits qui sous-tendent la réclamation sont imputables au Sous-traitant.

4 : Exécution du traitement

• Le Sous-traitant est responsable du traitement des Données Personnelles qu’il traite dans le cadre des services offerts dans les conditions énoncées dans le présent Contrat de Sous-traitance. Pour les autres Traitements de Données Personnelles, y compris la collecte de Données Personnelles par le Responsable du traitement et/ou des tiers, le Sous-traitant n’est expressément pas responsable.
• Le Sous-traitant ne traitera pas de Données Personnelles dans des pays en dehors de l’Espace Économique Européen (« EEE ») qui n’offrent pas un niveau de protection adéquat, sauf s’il a obtenu l’autorisation écrite préalable expresse du Responsable du traitement et si les exigences légales sont remplies. Le transfert de Données Personnelles vers des pays en dehors de l’EEE qui n’ont pas un niveau de protection adéquat n’est pas autorisé.
• Le Sous-traitant stockera et traitera les Données Personnelles concernant le Responsable du traitement séparément des Données Personnelles qu’il traite pour son propre compte ou pour le compte de tiers.
• Le Sous-traitant traitera les Données Personnelles de manière appropriée et diligente et conformément aux obligations qui lui incombent en tant que Sous-traitant en vertu de la législation sur la protection de la vie privée, telle que le Règlement Général sur la Protection des Données.
• Le Responsable du traitement fournit au Sous-traitant les données nécessaires à l’exécution des tâches. Le Responsable du traitement ne fournit que les données (personnelles) nécessaires à l’exécution des tâches du Sous-traitant et que le Responsable du traitement est autorisé à fournir à cette fin.

5 : Sécurité des Données Personnelles

• Les Parties conviennent que le Sous-traitant prend des mesures de sécurité techniques et organisationnelles appropriées qui, compte tenu de l’état actuel de la technique et des coûts impliqués, correspondent à la nature des Données Personnelles à traiter, afin de protéger les Données Personnelles contre la perte, l’accès non autorisé, l’altération ou le traitement illégal, ainsi que pour garantir la disponibilité (en temps voulu) des Données Personnelles.
• Les Parties reconnaissent que les exigences de sécurité évoluent constamment et qu’une sécurité efficace nécessite une évaluation fréquente et une amélioration régulière des mesures de sécurité obsolètes. Le Sous-traitant évaluera donc en permanence les mesures de sécurité visant à protéger les Données Personnelles et, si nécessaire, les renforcera, les complétera ou les améliorera afin de continuer à respecter ses obligations.
• En complément des dispositions du présent article, le Sous-traitant prend les mesures de sécurité telles que spécifiées plus en détail à l’Annexe 2.
• Le Sous-traitant ne garantit pas que la sécurité est efficace en toutes circonstances.

6 : Contrôle

• Le Responsable du traitement a le droit d’effectuer ou de faire effectuer une fois par an un test (de pénétration) pour vérifier les accords du présent Contrat de Sous-traitance. Le Responsable du traitement peut le faire lui-même ou le faire faire par un expert-comptable indépendant, un informaticien ou un autre auditeur certifié à cet effet.
• Le Sous-traitant conserve les données de support nécessaires aux tests (de pénétration) du présent article, telles que les fichiers journaux.
• Les personnes effectuant le test se conformeront aux procédures de sécurité en vigueur chez le Sous-traitant.
• Le Sous-traitant s’engage à coopérer et à mettre à disposition en temps voulu toutes les informations raisonnablement pertinentes pour le test.
• Les coûts d’un test sont à la charge du Responsable du traitement, sauf accord écrit contraire.
• Le Responsable du traitement annoncera un test prévu par écrit, après quoi le Sous-traitant veillera à ce que ce test puisse commencer dans un délai raisonnable.

7 : Obligation de notification des violations de données et de surveillance

• En cas de violation de données personnelles relevant de la sphère d’influence du Sous-traitant, le Sous-traitant en informera sans délai le Responsable du traitement après constatation.
• L’obligation de notification comprend au moins la notification du fait qu’une fuite ou un incident s’est produit, ainsi que la cause (présumée) de la fuite ou de l’incident, la conséquence connue et/ou attendue à ce jour et la solution (proposée).
• Le Responsable du traitement informera, si cela est jugé nécessaire, les Personnes concernées et d’autres tiers, y compris l’Autorité de protection des données, d’une violation de données ou d’autres incidents. Le Sous-traitant n’est pas autorisé à fournir directement des informations sur une violation de données ou d’autres incidents aux Personnes concernées ou à d’autres tiers, sauf si le Sous-traitant y est légalement obligé ou a obtenu l’autorisation du Responsable du traitement.

8 : Confidentialité

• Toutes les Données Personnelles que le Sous-traitant reçoit du Responsable du traitement et/ou collecte lui-même dans le cadre du présent contrat de traitement sont soumises à une obligation de confidentialité envers les tiers.
• Le Sous-traitant veille à ce que son personnel autorisé à traiter les Données Personnelles soit lié par l’obligation de confidentialité énoncée dans le présent article.
• L’obligation de confidentialité ne s’applique pas si le Responsable du traitement a donné son autorisation expresse pour fournir les informations à des tiers, si la fourniture des informations à des tiers est logiquement nécessaire compte tenu de la nature de la mission confiée et de l’exécution du présent Contrat de Sous-traitance, ou s’il existe une obligation légale de fournir les informations à un tiers. En cas de fourniture d’informations à des tiers en raison d’une obligation légale, le Sous-traitant en informera le Responsable du traitement dès que possible et en tout état de cause avant cette fourniture.

9 : Droits des Personnes concernées

Le Sous-traitant coopère pleinement avec le Responsable du traitement pour, après approbation et sur instruction du Responsable du traitement :

• Donner aux Personnes concernées l’accès aux Données Personnelles pertinentes et des informations sur le traitement de leurs Données Personnelles ;
• Permettre aux Personnes concernées d’accéder aux Données Personnelles pertinentes dans un format structuré, couramment utilisé et lisible par machine et de les transférer à un tiers ;
• (Temporairement) limiter le traitement des Données Personnelles à leur stockage, ou au traitement pour lequel la Personne concernée donne son consentement, jusqu’à ce que le Responsable du traitement décide que la limitation du traitement doit être levée.
• Supprimer ou corriger les Données Personnelles des Personnes concernées (par exemple si une Personne concernée s’oppose à juste titre au traitement des Données Personnelles la concernant) ;
• Démontrer que les Données Personnelles ont été supprimées ou corrigées si elles sont incorrectes (ou, si le Responsable du traitement n’est pas d’accord sur le fait que les Données Personnelles sont incorrectes, enregistrer le fait que la Personne concernée considère ses Données Personnelles comme incorrectes).

Le Sous-traitant procédera en outre à la première demande du Responsable du traitement dès que possible, mais au plus tard dans les cinq jours ouvrables suivant la demande :

• La fourniture écrite de toutes les informations nécessaires dont le Responsable du traitement pourrait avoir besoin ;
• L’amélioration, le complément, la suppression ou la protection des Données Personnelles.

Le Sous-traitant coopère pleinement, dans la mesure du possible, avec le Responsable du traitement pour se conformer à ses obligations en vertu de la législation applicable en matière de traitement des Données Personnelles.

10 : Recours à un sous-traitant ultérieur et partage de données personnelles avec celui-ci

Le Sous-traitant est autorisé à faire appel à des tiers pour le Traitement des Données Personnelles si :

• Le Sous-traitant l’a annoncé par écrit au préalable et le Responsable du traitement ne s’y oppose pas dans les quatorze jours suivant l’annonce ; ou
• Le Sous-traitant a obtenu l’autorisation du Responsable du traitement ; ou
• Si le recours à des tiers est logiquement nécessaire compte tenu de la nature de la mission et/ou de l’exécution du présent Contrat de Sous-traitance.
• Le Sous-traitant veille à ce que le(s) tiers concerné(s) assume(nt) au moins les mêmes obligations que celles énoncées pour le Sous-traitant dans le présent Contrat de Sous-traitance.
• Pour l’exécution correcte des services, le Sous-traitant fait appel à des tiers et partage les données personnelles collectées pour le compte du Responsable du traitement avec au moins (mais sans s’y limiter) les partenaires spécifiés à l’ANNEXE 1, pour lesquels le Responsable du traitement donne par la présente son autorisation.
• Si le tiers que le Sous-traitant souhaite engager est établi en dehors de l’EEE, le Sous-traitant devra d’abord obtenir l’autorisation du Responsable du traitement avant d’engager ce tiers. En outre, le Sous-traitant garantit, sans préjudice de ce qui précède, que ce tiers assure un niveau de protection et de sécurité des Données Personnelles adéquat au sens du Règlement Général sur la Protection des Données.
• Le Sous-traitant est responsable envers le Responsable du traitement du ou des tiers qu’il a engagés.
• Dans le cas où le Responsable du traitement demande au Sous-traitant de partager des Données Personnelles avec un tiers qui ne figure pas déjà sur la liste des noms des parties avec lesquelles le Sous-traitant partage des données comme mentionné à l’ANNEXE 1, alors les dispositions du présent article ne s’appliquent pas et le Responsable du traitement est entièrement responsable de tout dommage qui en découle directement ou indirectement.
• Le Sous-traitant peut également fournir des Données Personnelles à des tiers si le Sous-traitant est tenu de fournir les données à un tiers en vertu d’une demande ou d’un ordre dûment donné par une autorité publique ou judiciaire ou en relation avec une obligation légale.

11 : Durée de conservation

• Payt s’efforce de conserver le moins de données possible qui ne sont plus pertinentes. En même temps, les données historiques offrent des possibilités pour une meilleure compréhension, pour des opportunités de financement et des références pour les rapports annuels.
• Compte tenu de la nature du service, la durée de conservation commence dès qu’une facture est payée.
• Le Sous-traitant applique une durée de conservation standard de 25 mois.
• Une dérogation à cette règle est possible via l’application ou le service d’assistance.

12 : Dispositions finales

• Les modifications du présent Contrat de Sous-traitance ne sont valables que si elles ont été convenues par écrit entre les Parties.
• Le présent Contrat de Sous-traitance prévaut sur tous les autres accords entre le Responsable du traitement et le Sous-traitant concernant le traitement des Données Personnelles.
• Le présent Contrat de Sous-traitance est régi exclusivement par le droit néerlandais.
• Les litiges concernant ou en relation avec le présent Contrat de Sous-traitance seront soumis exclusivement au tribunal compétent du lieu d’établissement du Sous-traitant.

ANNEXE 1 Données Personnelles ; finalité, modalités et moyens de traitement ; durées de conservation

Données Personnelles traitées

Données concernant les débiteurs du Responsable du traitement :

• Nom, adresse, lieu de résidence, numéro de téléphone, adresse e-mail, sexe, débiteurs, ainsi que des données sur le comportement de paiement et la communication entre les débiteurs et les clients de Payt et les données de facturation.

Catégories de Personnes concernées

• Débiteurs

Objet, durée et nature du traitement

Le Sous-traitant offre au Responsable du traitement une solution SaaS pour automatiser la gestion des débiteurs et des créances clients. Les conditions dans lesquelles cette solution SaaS est fournie au Responsable du traitement et les services qu’elle comprend sont décrits plus en détail dans le contrat de services que le Sous-traitant a conclu avec le Responsable du traitement.

Les finalités, modalités et moyens de traitement

Les Données Personnelles sont traitées par le Sous-traitant dans le but de :

1. a) parvenir au paiement des créances proposées par le Responsable du traitement via le Sous-traitant ;
2. b) exécuter les services convenus entre le Responsable du traitement et le Sous-traitant.

Ces Données Personnelles sont traitées et stockées dans les systèmes logiciels pertinents du Sous-traitant. En outre, le Sous-traitant fait appel à des tiers pour l’exécution correcte des services. Au moment de la conclusion du présent Contrat de Sous-traitance, le Sous-traitant utilise les sous-traitants suivants :

Une liste actualisée des noms des parties avec lesquelles le Sous-traitant partage des données, ainsi qu’une indication des données et de la finalité du partage de ces données, peut être demandée via servicedesk@paytsoftware.com.

Le Sous-traitant prend également en charge la liaison avec des Tiers qui ont leur propre responsabilité de traitement et avec lesquels le Responsable du traitement a une relation contractuelle directe. Cela comprend, entre autres, les huissiers de justice, les fournisseurs de services de paiement (tels que, mais sans s’y limiter, Pay et Mollie), les fournisseurs de services d’évaluation de crédit (tels que GraydonCreditsafe).

ANNEXE 2 : Mesures de sécurité

Le Sous-traitant prend notamment des mesures de sécurité dans les domaines suivants, tels que définis dans sa politique de sécurité de l’information. Le Sous-traitant possède une certification ISO 27001 pour sa politique de sécurité de l’information.

• Personnel sûr ;
• Gestion des actifs ;
• Sécurité des accès ;
• Cryptographie ;
• Sécurité physique ;
• Sécurité des opérations ;
• Sécurité des communications ;
• Acquisition, etc. de systèmes ;
• Relations avec les fournisseurs ;
• Gestion des incidents de sécurité de l’information ;
• Aspects de la gestion de la continuité des activités ;
• Conformité.

La déclaration d’applicabilité est disponible en toute confidentialité et sur demande.