1. Définitions

• « Clauses Contractuelles Types de la Commission Européenne (CCT) » désigne les clauses annexées à la Décision d’exécution (UE) 2021/914 de la Commission du 4 juin 2021 concernant les clauses contractuelles types pour le transfert de données à caractère personnel vers des pays tiers conformément au RGPD, dont le texte est disponible à l’adresse suivante :  https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj?uri=CELEX:32021D0914 .
• « Contrat » désigne l’accord conclu entre les Parties régissant la fourniture des Services Intent au Souscripteur. Le DPA est incorporé par référence au Contrat.
• « Description du Traitement » désigne la description du traitement objet de l’Annexe 2.A du présent DPA ( Description du Traitement).
• « Données Personnelles » désigne toute Donnée du Souscripteur qui : (i) constitue des « données à caractère personnel » ou « informations personnelles » (ou des variantes analogues de ces termes) telles que définies par la Législation Applicable en Matière de Protection des Données, et (ii) que Intent traite en tant que Sous-traitant, comme décrit plus en détail dans le Contrat.
• « Législation Applicable en Matière de Protection des Données » désigne toute loi ou réglementation applicable en matière de confidentialité, de sécurité des données ou de protection des données, y compris, dans la mesure où il s’applique, le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 applicable depuis le 25 mai 2018 (le « RGPD »).
• « Pays Restreint » désigne tout pays situé en dehors de l’Espace Économique Européen (EEE) et qui ne bénéficie pas d’une décision d’adéquation de la Commission européenne.
• « Services » : désigne l’ensemble des fonctionnalités de la Plateforme et des prestations de services associées mises à la disposition du Souscripteur par Intent dans le cadre du Contrat.
• « Souscripteur » : désigne l'organisation (personne morale) qui a conclu le Contrat avec Intent.
• « Sous-traitant ultérieur » désigne tout Sous-traitant désigné par Intent pour effectuer tout ou partie du Traitement pour le compte du Souscripteur.
• « Transfert International de Données » désigne tout transfert de Données Personnelles vers un Pays Restreint.
• « Traiter » ou « Traitement » désigne le traitement des Données Personnelles tel que décrit dans la Description du Traitement.

2. Description des Traitements de Données Personnelles

2.1. Rôles des Parties

• Le Souscripteur est le Responsable du Traitement des Données Personnelles. 
• Intent traite les Données Personnelles pour le compte du Souscripteur en tant que Sous-traitant.

2.2. Description du Traitement

3. Obligations générales des Parties

3.1. Obligations d'Intent (Sous-traitant)

• Ne pas utiliser ces données pour des finalités autres que celles spécifiées dans le présent DPA et le Contrat, et limiter le traitement à ce qui est nécessaire.
• Ne pas divulguer ces données à d’autres personnes, sauf aux destinataires autorisés pour les besoins des Services.
• Prendre toutes mesures permettant d’éviter toute utilisation détournée ou frauduleuse de ces données dans le cadre de la fourniture des Services.
• Coopérer avec le Souscripteur pour permettre à celui-ci de notifier à l’autorité de contrôle compétente toute violation de données à caractère personnel dans le délai prévu par la réglementation en vigueur.
• Mettre en œuvre les Mesures Techniques et Organisationnelles (MTO) détaillées dans l'Annexe 2.B (MTO) pour assurer la conservation et l’intégrité de ces données pendant la durée du Contrat.
• Établir et tenir à jour un registre des traitements effectués sous sa responsabilité pour le compte du Souscripteur conformément aux dispositions du RGPD et, plus largement, respecter l’ensemble des obligations prévues par ce texte en ce qui concerne le suivi du traitement des données et le conseil au responsable du traitement et, plus largement, les dispositions relatives aux sous-traitants.
• Mettre à la disposition du Souscripteur la documentation nécessaire pour démontrer le respect de ces obligations.

3.2. Obligations du Souscripteur (Responsable de Traitement)

• Avoir défini une base légale valide (consentement, exécution d'un contrat, intérêt légitime, etc.) pour la collecte, le traitement, le transfert et le stockage des Données à Caractère Personnel les concernant et pour leur transmission à Intent dans les conditions et pour les finalités prévues au Contrat.
• Que toutes les informations devant être communiquées aux Personnes concernées en vertu de la réglementation en vigueur ont été communiquées à ces derniers dans les conditions et selon les modalités fixées par cette réglementation. Il appartient notamment au seul Souscripteur d’informer les Personnes concernées par les Données à Caractère Personnel de ces différentes finalités de traitement.
• Que dans l’hypothèse où le Souscripteur traite des données « sensibles » telles que définies à l’Article 9 du RGPD, le Souscripteur les a collectées, et requiert de la part d’Intent de procéder à leur Traitement, en parfait respect avec les dispositions dudit Article 9 et a défini une condition de licéité le permettant.
• Qu’il répondra dans les meilleurs délais aux demandes d’information de la CNIL, le cas échéant.
• Qu’il répondra dans les meilleurs délais aux demandes de toute Personne Concernée par le Traitement de ses Données à Caractère Personnel et qu’il donnera à Intent les instructions adéquates, en temps utiles.
• Qu’il documentera par écrit toute instruction concernant le Traitement de Données à Caractère Personnel par Intent.

4. Durée de Conservation et Sort des Données

Restituer au Souscripteur l'ensemble des Données Personnelles et copies existantes sous un format standard dans un délai convenu ;
Détruire l'ensemble des Données Personnelles et copies existantes.

5. Sous-traitance

5.1. Autorisation de sous-traitance

• Intent met à disposition du Souscripteur et maintient à jour la liste de ses sous-traitants ultérieurs sur la page suivante :  ⁠⁠Sous-traitants ultérieurs⁠ 
• Ces sous-traitants ultérieurs sont tenus de respecter les obligations du présent DPA pour le compte et selon les instructions du Souscripteur. Il appartient à Intent de s’assurer que ces sous-traitants ultérieurs mettent en œuvre des mesures techniques et organisationnelles suffisantes pour garantir que le Traitement de Données Personnelles réponde aux exigences de la Législation Applicable en Matière de Protection des Données.
• Si un sous-traitant ultérieur ne remplit pas ses obligations en matière de protection des données, Intent demeure pleinement responsable devant le Souscripteur de l’exécution par le sous-traitant ultérieur de ses obligations.

5.2. Notifications

6. Transferts de Données

7. Exercice des Droits des Personnes Concernées

8. Notification des Violations de Données à Caractère Personnel

9. Audits

• Intent met à la disposition du Souscripteur à sa demande et par email la documentation nécessaire pour démontrer le respect par Intent de ses obligations en qualité de sous-traitant. Si le Souscripteur estime que cette documentation ne lui permet pas de démontrer la conformité des Services à la réglementation, le Souscripteur formule une demande d’audit sur site, justifiée et documentée, par lettre recommandée avec accusé de réception.
• L’audit doit être effectué par un auditeur indépendant de réputation notoire n’entrant pas en concurrence avec les activités commerciales d’Intent. Cet auditeur indépendant est choisi par le Souscripteur et accepté par Intent. Il doit posséder les qualifications professionnelles requises et est soumis à un accord de confidentialité.2
• Les Parties reconnaissent que tous rapports et informations obtenus dans le cadre de cet audit sont des informations confidentielles.
• La date de début de l'audit, la durée et le périmètre de l'audit sont définis d'un commun accord par les Parties avec un préavis minimum de 30 jours ouvrés.
• La fréquence des audits est limitée à un audit par an et ne doit pas perturber l'activité d'Intent.
• L'audit ne peut être effectué qu’aux jours et aux heures ouvrées. L'audit ne comporte pas d'accès aux informations non liées aux traitements visés par les présentes, ni d'accès physique aux infrastructures sur lesquelles les Données à Caractère Personnel sont traitées.
• Le Souscripteur supporte l’intégralité des frais et dépenses occasionnés par l'audit et rembourse à Intent tous les frais engagés à cet effet, notamment, le temps consacré à l'audit sur la base du taux horaire moyen du personnel d'Intent ayant collaboré à l'audit.

Annexe 2.A : Description du Traitement

1. Liste des Parties

2. Description du Traitement

Annexe 2.B : Mesures Techniques et Organisationnelles (MTO)

Les mesures techniques et organisationnelles (MTO) mises en oeuvre par Intent sont listées dans la section de la documentation de la Plateforme consacrée à la conformité   ⁠⁠Conformité⁠ 

Annexe 2.C : Durées de Conservation