DEFINITIONS
« Audit » et « Paramètres d’Audit » ont la définition donnée à l’Article 10.3 ci-dessous.
« Données à caractère personnel » désigne toute information relative à une personne physique identifiée ou identifiable ou qui constitue autrement des « données à caractère personnel », « informations personnelles », « informations personnellement identifiables » ou termes similaires tels que définis par les Lois sur la Protection des Données.
« Données Personnelles du Client » désigne les Données à caractère personnel contenues dans les données Utilisateur.
« EEE » désigne l’Espace économique européen.
« Instructions du Client » a la définition donnée à l’Article 4.1 ci-dessous.
« Lois sur la Protection des Données » désigne l’ensemble des lois et règlements applicables au Traitement des Données Personnelles du Client en vertu du Contrat, y compris, le cas échéant : (i) le California Consumer Privacy Act, tel que modifié par le California Privacy Rights Act, ainsi que toute réglementation contraignante prise en application de celui-ci (« CCPA »), (ii) le Règlement Général sur la Protection des Données (Règlement (UE) 2016/679) (« RGPD de l’UE » ou « RGPD »), (iii) la Loi fédérale suisse sur la protection des données (« LPD »), (iv) le RGPD tel qu’il fait partie du droit d’Angleterre et du pays de Galles en vertu de l’article 3 du European Union (Withdrawal) Act 2018 (« RGPD du Royaume-Uni »), et (v) le UK Data Protection Act 2018 ; chaque texte tel que mis à jour, modifié ou remplacé de temps à autre.
« Personne Concernée » désigne une personne physique identifiée ou identifiable à laquelle se rapportent les Données Personnelles du Client.
« Rapport d’Audit » a la définition donnée à l’Article 10.2 ci-dessous.
« Responsable du Traitement » désigne une personne physique ou morale, une autorité publique, une agence ou tout autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du Traitement de Données à caractère personnel.
« Sous-traitant » désigne une personne physique ou morale, une autorité publique, une agence ou tout autre organisme qui traite des Données à caractère personnel pour le compte du Responsable du Traitement.
« Sous-traitant ultérieur » désigne un tiers mandaté par Perk pour traiter les Données Personnelles du Client dans le cadre du présent DPA, uniquement en lien avec la fourniture des Services par Perk au titre du Contrat.
« Termes Clés » désigne les informations essentielles relatives au Traitement envisagé des Données Personnelles du Client, telles que précisées par les Parties à l’Article 3 du présent DPA.
« Traitement » et ses dérivés désignent toute opération ou ensemble d’opérations effectuées sur des Données à caractère personnel ou des ensembles de Données à caractère personnel, à l’aide ou non de procédés automatisés, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction.
« Transfert Restreint » désigne : (i) lorsque le RGPD s’applique, un transfert de Données Personnelles du Client depuis l’EEE vers un pays situé en dehors de l’EEE qui n’est pas couvert par une décision d’adéquation, (ii) lorsque le RGPD du Royaume-Uni s’applique, un transfert de Données Personnelles du Client depuis le Royaume-Uni vers tout autre pays qui n’est pas couvert par une décision d’adéquation, ou (iii) lorsque la LPD s’applique, un transfert de Données Personnelles du Client depuis la Suisse vers tout autre pays qui n’est pas couvert par une décision d’adéquation.
2. CHAMP D’APPLICATION ET DUREE
2.1 – Le présent DPA s’applique à Perk en tant que Sous-traitant des Données Personnelles du Client et au Client en tant que Responsable du Traitement des Données Personnelles du Client.
2.2 – Le présent DPA prend effet à la Date d’Entrée en Vigueur et prend fin à l’expiration ou à la résiliation du Contrat (ou, si elle est postérieure, à la date à laquelle Perk a cessé tout Traitement des Données Personnelles du Client).
3. TERMES CLES
3.1 – Catégories de Personnes Concernées. Tout Utilisateur invité par le Client à accéder à la Plateforme et/ou à bénéficier des Services.
3.2 – Catégories de Données Personnelles du Client.
Données relatives à l’Utilisateur - niveau Plateforme
Nom, coordonnées (par exemple, adresse e-mail, numéro de téléphone, adresse professionnelle), informations sur l'emploi et le poste
Documents d'identité et données de vérification (par exemple, passeport, carte d'identité, justificatif de domicile, informations professionnelles)
Communications entre les Utilisateurs et le service clientèle de Perk, y compris la correspondance, les commentaires et les requêtes
Informations « Know Your Business » (KYB) / « Know Your Customer » (KYC) (par exemple, nom, justificatif de domicile, documents d'identité, coordonnées professionnelles et commerciales)
Données traitées afin de se conformer aux réglementations financières, fiscales et anti-fraude applicables
Module Voyages et Evénements - uniquement
Informations relatives à l'affiliation voyage (par exemple, numéros de programme de fidélité)
Historique des voyages (par exemple, séjours à l'hôtel, vols, locations de voiture, itinéraires de voyage)
Contenu lié aux factures transféré par un Prestataire de Services de Voyage
Informations limitées relatives à la carte, enregistrées en lien avec le profil Utilisateur ou le centre de coûts auquel elles sont attribuées (par exemple, type de carte, quatre derniers chiffres, date d'expiration, informations bancaires)
Module de Dépenses - uniquement
Informations relatives aux dépenses (par exemple, détails du centre de coûts, reçus, contenu téléchargé par l'Utilisateur Client pouvant inclure des Données à caractère personnel)
Données de localisation Google pour le géocodage lors de la création d'un trajet (par exemple, pour calculer l'indemnité kilométrique, sans suivi en temps réel des Utilisateurs Clients)
Données du titulaire de la carte (par exemple, nom, adresse, numéro de téléphone, adresse e-mail professionnelle) à des fins d'authentification ou de tokenisation
Données de carte (par exemple, numéro de compte partiel, date d'expiration, CVV, code de service), numéros de compte et données de transaction associées
Données d'authentification lorsque cela est nécessaire (par exemple, informations 3DS, codes de validation de carte, codes PIN, données d'authentification sensibles traitées par des tiers)
Données de paiement mobile (par exemple, numéros d'appareil Apple Pay ou Google Pay et codes de transaction)
3.3 – Données sensibles. Perk n’exige pas des Utilisateurs qu’ils partagent des catégories particulières de Données à caractère personnel, et le Client informera ses Utilisateurs de ne le faire que lorsque cela est nécessaire. Perk supprimera ces informations, sauf obligation de suivre des instructions raisonnables des Utilisateurs (par exemple, demande de repas spécifique).
3.4 – Nature et finalité du Traitement. La fourniture des Services, telle que prévue par le Contrat, incluant notamment la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction.
3.5 – Durée du Traitement. Perk supprimera ou anonymisera les Données Personnelles du Client dans un délai de 30 jours après la résiliation, sauf conservation requise par les Lois sur la Protection des Données, pour la résolution de litiges ou pour l’exécution du Contrat. Certains enregistrements (y compris contrats, journaux de consentement, factures et échanges avec le service client) pourront être conservés jusqu’à 6 ans afin de respecter des obligations légales. Les Données à caractère personnel pourront être conservées plus longtemps si la loi l’exige ou si cela est nécessaire dans le cadre d’un contentieux. Sur demande, Perk confirmera par écrit la suppression ou l’anonymisation. Le présent DPA reste en vigueur jusqu’à la suppression ou l’anonymisation de l’ensemble de ces données.
4. TRAITEMENT DES DONNÉES PERSONNELLES
4.1 – Perk traitera les Données Personnelles du Client en qualité de Sous-traitant uniquement :
conformément aux Instructions du Client ; et
afin de respecter les obligations de Perk en vertu des Lois sur la Protection des Données applicables.
« Instructions du Client » désigne : (i) le Traitement nécessaire à la fourniture des Services et à l’exécution des obligations de Perk en vertu du Contrat ; et (ii) toute instruction raisonnable du Client matériellement cohérente avec les termes du Contrat.
4.2 – Perk informera le Client si elle reçoit une instruction qu’elle estime raisonnablement contraire aux Lois sur la Protection des Données (étant précisé que Perk n’a pas l’obligation de surveiller activement la conformité du Client aux Lois sur la Protection des Données).
4.3 – Perk protégera les Données Personnelles du Client conformément à ses obligations de confidentialité telles que définies dans le Contrat. Perk veillera à ce que le personnel qui traite des Données Personnelles du Client soit lié par un accord écrit de confidentialité ou soumis à des obligations légales de confidentialité.
4.4 – Perk et le Client respecteront chacun les Lois sur la Protection des Données dans le cadre de leurs Traitements respectifs des Données Personnelles du Client. Le Client respectera les Lois sur la Protection des Données dans la transmission de ses instructions à Perk. Le Client s’assurera qu’il dispose de toutes les bases légales nécessaires, conformément aux Lois sur la Protection des Données, permettant à Perk de traiter légalement les Données Personnelles du Client aux fins envisagées par le Contrat (y compris le présent DPA), notamment, le cas échéant, en recueillant tous les consentements requis auprès des Personnes Concernées et en leur fournissant toutes les informations nécessaires.
4.5 – Les Parties collaboreront de bonne foi afin de négocier une modification du présent DPA, si l’une ou l’autre Partie estime raisonnablement qu’une telle modification est nécessaire pour répondre aux exigences des Lois sur la Protection des Données, telles qu’elles évoluent.
5. SOUS-TRAITANTS ULTERIEURS
5.1 – Le Client octroie à Perk une autorisation générale à recourir à des Sous-traitants ultérieurs pour traiter les Données Personnelles du Client. Le Client accepte en outre que Perk puisse engager ses Affiliées en tant que Sous-traitants ultérieurs.
5.2 – Perk :
conclura un accord écrit avec chaque Sous-traitant ultérieur imposant des obligations de protection des données sensiblement équivalentes à celles prévues dans le présent DPA ; et
demeurera responsable du respect des obligations du présent DPA ainsi que de tout acte ou omission d’un Sous-traitant ultérieur ayant pour effet de placer Perk en violation de l’une quelconque de ses obligations au titre du présent DPA.
5.3 – Perk tiendra à jour une liste de ses Sous-traitants ultérieurs, telle que spécifiée dans son Trust Centre (la « Liste des Sous-traitants ultérieurs »).
5.4 – Perk pourra mettre à jour la Liste des Sous-traitants ultérieurs de temps à autre. Au moins 30 jours avant qu’un nouveau Sous-traitant ultérieur ne traite des Données Personnelles du Client, Perk ajoutera ce Sous-traitant ultérieur à la Liste des Sous-traitants ultérieurs et en informera le Client par e-mail ou par tout autre moyen précisé dans le Bon de Commande.
5.5 – Si, dans les 30 jours suivant la notification de l’ajout d’un nouveau Sous-traitant ultérieur, le Client notifie par écrit à Perk qu’il s’oppose à la désignation de ce Sous-traitant ultérieur en raison de préoccupations raisonnables en matière de protection des données, les Parties discuteront de ces préoccupations de bonne foi.
5.6 – Si les Parties ne parviennent pas à un accord mutuellement acceptable concernant l’objection du Client à l’égard d’un nouveau Sous-traitant ultérieur, le Client pourra, en tant que seul et unique recours, résilier pour convenance le Service concerné, et Perk remboursera les frais prépayés non utilisés afférents au Service concerné pour la portion résiliée de la Durée.
6. SECURITE
6.1 – Perk mettra en œuvre et maintiendra des mesures techniques et organisationnelles, procédures et pratiques raisonnables et appropriées, adaptées à la nature des Données Personnelles du Client, conçues pour protéger la sécurité, la confidentialité, l’intégrité et la disponibilité des Données Personnelles du Client et pour prévenir les incidents de sécurité, conformément aux mesures de sécurité décrites dans le Trust Centre de Perk.
6.2 – Perk mettra en œuvre et appliquera des procédures permettant de détecter et de répondre aux incidents de sécurité. Perk :
informera le Client sans retard injustifié et, en tout état de cause, au plus tard dans les quarante-huit (48) heures après avoir eu connaissance de l’incident affectant le Client ; et
fera des efforts raisonnables pour identifier la cause de l’incident de sécurité, en atténuer les effets et y remédier dans la mesure du raisonnable et du contrôle de Perk.
6.3 – Sur demande du Client et compte tenu de la nature du Traitement concerné, Perk assistera le Client en lui fournissant, lorsque cela est disponible, les informations raisonnablement nécessaires pour lui permettre de satisfaire à ses obligations légales de notification des incidents de sécurité en vertu des Lois sur la Protection des Données. Le Client est seul responsable du respect des lois lui imposant la notification d’incidents de sécurité et de l’exécution de toute obligation de notification aux autorités publiques, aux personnes concernées ou à d’autres tiers en lien avec de tels incidents.
6.4 – Le Client reconnaît que la notification par Perk d’un incident de sécurité ne constitue pas une reconnaissance de faute ou de responsabilité de la part de Perk.
6.5 – Les incidents de sécurité n’incluent pas les tentatives ou activités infructueuses qui ne compromettent pas la sécurité des Données Personnelles du Client, y compris les tentatives de connexion échouées, pings, port scans, attaques par déni de service ou autres attaques réseau visant des pare-feu ou systèmes en réseau.
6.6 – Le Client est responsable d’examiner les informations mises à disposition par Perk relatives à la sécurité des données et de déterminer de manière indépendante si les Services répondent à ses besoins et à ses obligations légales au titre des Lois sur la Protection des Données.
7. ANALYSE D’IMPACT RELATIVE A LA PROTECTION DES DONNEES
À la demande du Client et compte tenu de la nature du Traitement concerné, dans la mesure où ces informations sont disponibles pour Perk, Perk assistera le Client dans le respect de ses obligations, au titre des Lois sur la Protection des Données, de réaliser une analyse d’impact relative à la protection des données ou toute autre évaluation de risques similaire liée à l’utilisation des Services par le Client, y compris, si les Lois sur la Protection des Données l’exigent, en l’assistant dans ses consultations avec les autorités publiques compétentes.
8. DEMANDES DES PERSONNES CONCERNÉES
8.1 – À la demande du Client et compte tenu de la nature du Traitement concerné, Perk aidera le Client à respecter ses obligations, au titre des Lois sur la Protection des Données, de répondre aux demandes des Personnes Concernées visant à exercer leurs droits en vertu de ces Lois sur la Protection des Données, lorsque le Client ne peut raisonnablement y répondre seul (y compris via l’utilisation des Services).
8.2 – Si Perk reçoit une demande d’une Personne Concernée relative aux Données Personnelles du Client la concernant, Perk en informera le Client et invitera la Personne Concernée à soumettre sa demande directement au Client (sans autre communication avec la Personne Concernée concernant la demande, sauf si les Lois sur la Protection des Données l’exigent). Le Client sera responsable de répondre à toute demande de ce type.
9. RESTITUTION OU SUPPRESSION DES DONNÉES
9.1 – Pendant la Durée, le Client peut, via ses Utilisateurs administrateurs et les fonctionnalités de la Plateforme, accéder aux Données Personnelles du Client, les récupérer ou les supprimer.
9.2 – Après la résiliation ou l’expiration du Contrat, Perk, conformément à ses obligations contractuelles, restituera ou supprimera toutes les Données Personnelles du Client de ses systèmes (au choix du Client). La suppression sera effectuée conformément aux pratiques de suppression sécurisée reconnues par les standards du secteur. Perk délivrera un certificat de suppression sur demande du Client.
9.3 – Nonobstant ce qui précède, Perk pourra conserver les Données Personnelles du Client :
lorsque les Loi sur la Protection des Données l’exigent ; ou
conformément à ses politiques standard de sauvegarde ou de conservation des enregistrements,
étant entendu que, dans l’un ou l’autre cas, Perk (i) préservera la confidentialité des Données Personnelles du Client conservées et respectera les dispositions applicables du présent DPA à leur égard ; et (ii) ne traitera pas davantage les Données Personnelles du Client conservées, sauf aux fins et pour la durée prévues par les Lois sur la Protection des Données applicables.
10. AUDITS
10.1 – Perk conservera des registres de ses activités de Traitement conformément aux Lois sur la Protection des Données et, à la demande du Client, mettra à disposition de celui-ci tout registre raisonnablement nécessaire pour démontrer la conformité de Perk à ses obligations au titre du présent DPA et des Lois sur la Protection des Données.
10.2 – Perk décrira ses programmes d’audit et de certification réalisés par des tiers (le cas échéant) et fournira au Client, sur demande écrite et à intervalles raisonnables, des copies résumées de ses rapports d’audit (chacun, un « Rapport d’Audit »), sous réserve des obligations de confidentialité. Le Client pourra partager un Rapport d’Audit avec les autorités publiques compétentes si cela est exigé par celles-ci. Le Client accepte que tout droit d’audit conféré par les Lois sur la Protection des Données soit satisfait par les Rapports d’Audit et par les procédures prévues à l’Article 10.3 (Audit du Client) ci-dessous.
10.3 – Sous réserve des dispositions du présent Article 10.3, le Client a le droit, à ses frais, de conduire un audit d’une portée et d’une durée raisonnables conformément à un plan d’audit convenu entre les Parties, cohérent avec les Paramètres d’Audit (un « Audit »). Le Client pourra exercer ce droit d’Audit :
dans la mesure où la remise d’un Rapport d’Audit par Perk ne fournit pas d’informations suffisantes pour permettre au Client de vérifier la conformité de Perk au présent DPA ou la conformité des Parties aux Lois sur la Protection des Données ;
dans la mesure où cela est nécessaire pour permettre au Client de répondre à un audit d’une autorité publique ou à l’exercice des droits d’une Personne Concernée ; ou
dans le cadre d’un incident de sécurité.
10.4 – Chaque Audit devra respecter les paramètres suivants (« Paramètres d’Audit ») :
être mené par un tiers indépendant qui signera un accord de confidentialité avec Perk ;
être limité à la portée raisonnablement nécessaire pour permettre au Client d’évaluer la conformité de Perk au présent DPA et la conformité des Parties aux Lois sur la Protection des Données ;
avoir lieu à une date et une heure convenues d’un commun accord et uniquement pendant les heures ouvrables normales de Perk ;
ne pas avoir lieu plus d’une fois par an (sauf exigence des Lois sur la Protection des Données ou dans le cadre d’un incident de sécurité) ;
porter uniquement sur les installations contrôlées par Perk ;
limiter les recherches aux seules Données Personnelles du Client ; et
traiter tout résultat comme des informations confidentielles dans toute la mesure permise par les Lois sur la Protection des Données.
11. TRANSFERTS TRANSFRONTALIERS
11.1 – Perk traite les Données Personnelles du Client :
en Irlande, en Allemagne, en Espagne et en Suisse pour les Clients établis dans l’EEE ;
également aux États-Unis pour les Clients établis aux États-Unis ; et
également au Royaume-Uni pour les Clients établis au Royaume-Uni.
11.2 – Perk (et ses Affiliées) peut traiter et transférer des Données Personnelles du Client à l’échelle mondiale, dans la mesure nécessaire à la fourniture de ses Services. En cas de Transfert Restreint, Perk mettra en place des garanties appropriées, notamment :
en s’assurant que tout pays destinataire a été jugé offrir un niveau de protection adéquat par une autorité compétente ; ou
en concluant les Clauses Contractuelles Types approuvées par la Commission européenne (ou tout instrument équivalent approuvé par une autorité compétente) et en réalisant une analyse d’impact relative au transfert.
12. CONDITIONS SPÉCIFIQUES À CERTAINES RÉGIONS
12.1 – Dans la mesure où Perk traite des Données Personnelles du Client en Californie, alors, pour l’interprétation du CCPA, les références faites dans le présent DPA aux termes :
« finalité professionnelle », « finalité commerciale », « informations personnelles », « vendre », « prestataire de services » et « partager » ont la signification donnée par le CCPA ;
la définition de « Personne Concernée » inclut la notion de « consommateur » telle que définie par le CCPA ;
la définition de « Responsable du Traitement » inclut la notion d’« entreprise » telle que définie par le CCPA ; et
la définition de « Sous-traitant » inclut la notion de « prestataire de services » telle que définie par le CCPA.
12.2 – Le Client fournit les Données Personnelles du Client à Perk dans le cadre du Contrat aux seules fins professionnelles et spécifiques de fourniture des Services décrits dans le Bon de Commande et les Termes Clés du présent DPA, ainsi que pour l’exécution du Contrat.
12.3 – Perk respectera les obligations qui lui incombent au titre du CCPA et garantira aux Données Personnelles du Client le même niveau de protection de la vie privée que celui exigé par le CCPA.
12.4 – Perk reconnaît que le Client a le droit de : (i) prendre les mesures raisonnables et appropriées prévues à l’Article 10 (Audits) du présent DPA afin de s’assurer que l’utilisation des Données Personnelles du Client par Perk est conforme aux obligations du Client au titre du CCPA ; (ii) recevoir de Perk les notifications et l’assistance prévues à l’Article 8 (Demandes des Personnes Concernées) du présent DPA en lien avec les demandes des consommateurs visant à exercer leurs droits au titre du CCPA ; et (iii) après notification, prendre les mesures raisonnables et appropriées pour mettre fin à toute utilisation non autorisée des Données Personnelles du Client et y remédier.
12.5 – Perk notifiera rapidement le Client dès lors qu’elle constatera qu’elle n’est plus en mesure de respecter ses obligations au titre du CCPA.
12.6 – Perk ne conservera, n’utilisera ni ne divulguera les Données Personnelles du Client : (i) à aucune fin, y compris à une fin commerciale, autre que les finalités professionnelles décrites à l’Article 12.2 ci-dessus ; ou (ii) en dehors de la relation contractuelle directe entre Perk et le Client, sauf si et dans la mesure permise par le CCPA.
12.7 – Perk ne vendra ni ne partagera les Données Personnelles du Client reçues dans le cadre du Contrat.
12.8 – Perk ne combinera pas les Données Personnelles du Client avec d’autres informations personnelles, sauf dans la mesure où un prestataire de services est autorisé à le faire par le CCPA.