Annexe Hébergement et Sous-traitants ultérieurs

La présente Annexe est incorporée au Contrat par référence, en fait partie intégrante, est régie par celui-ci et produit les mêmes effets contractuels que si elle y était reproduite intégralement. Lorsque le Contrat ou l'Avenant relatif au traitement des données fait référence aux Sous-traitants ultérieurs auxquels le Fournisseur a recours, cette référence s'entend de la présente Annexe dans sa version en vigueur à la date concernée. En cas de contradiction, le Contrat (y compris l'Avenant relatif au traitement des données) prévaut, à l'exception de l'identification des Régions d'hébergement, des fournisseurs d'infrastructure, des Sous-traitants ultérieurs et des mécanismes de transfert appliqués, qui relève de la présente Annexe. La présente Annexe ne crée aucun recours distinct ou supplémentaire, et toute responsabilité née de celle-ci ou en lien avec elle est soumise aux limitations et exclusions de l'Article 12 (Limitation de responsabilité) du Contrat et s'impute sur celles-ci.

La présente Annexe est mise à jour conformément aux stipulations relatives aux Sous-traitants ultérieurs de l'Avenant relatif au traitement des données faisant partie du Contrat (et, le cas échéant, de l'Annexe complémentaire RGPD). Le Fournisseur notifie au moins trente (30) jours à l'avance tout ajout ou remplacement envisagé d'un Sous-traitant ultérieur, et le Licencié peut s'y opposer pour des motifs raisonnables tenant à la protection des données dans un délai de trente (30) jours, conformément à ces stipulations.

Chaque version de la présente Annexe porte un numéro de version et une date d'entrée en vigueur. L'historique des versions figurant à la Section 8 indique ce qui a changé et à quelle date.

Le Licencié choisit une Région d'hébergement dans le Devis applicable, sauf si le Contrat précise la Région d'hébergement, auquel cas celle-ci s'applique. Les Données du Licencié sont stockées et Traitées uniquement dans la Région d'hébergement applicable. Une Région d'hébergement ne peut plus être modifiée une fois le compte créé.

Le service de base de données managée utilisé dans la Région d'hébergement Allemagne est OVHcloud Managed MongoDB, exploité par OVHcloud. MongoDB, Inc. n'a pas accès aux Données du Licencié et n'est pas Sous-traitant ultérieur au titre de ce service.

3.1 Région d'hébergement Allemagne

3.2 Région d'hébergement États-Unis

Références des clauses contractuelles types des Sous-traitants ultérieurs :

• Amazon Web Services : https://d1.awsstatic.com/legal/aws-dpa/processor-to-processor-sccs.pdf
• MongoDB : https://www.mongodb.com/legal/dpa

Les fournisseurs d'infrastructure mentionnés à la Section 2 ont recours à leurs propres sous-traitants pour la fourniture de leurs services. Chaque fournisseur tient sa propre liste de sous-traitants et demeure responsable de ceux-ci au titre de son contrat avec le Fournisseur.

Les modifications apportées par un fournisseur d'infrastructure à ses propres sous-traitants sont régies par le contrat conclu entre le Fournisseur et ce fournisseur d'infrastructure. Lorsqu'une telle modification affecte la Région d'hébergement choisie par le Licencié, le Fournisseur en informe le Licencié conformément aux stipulations relatives aux Sous-traitants ultérieurs de l'Avenant relatif au traitement des données.

Les Sous-traitants ultérieurs suivants interviennent dans la relation administrative et commerciale avec le Licencié et s'appliquent à toutes les Régions d'hébergement. Ils n'ont pas accès aux Données du Licencié.

Cette section reste soumise à la confirmation de l'ensemble complet des sous-traitants des Données de Compte.

Le traitement des paiements ne s'applique que lorsque le Licencié règle par carte. Lorsque le Licencié règle par facture et virement bancaire, aucun Sous-traitant ultérieur de paiement ne Traite de Données de Compte pour le compte du Fournisseur.

Lorsque le Licencié a choisi la Région d'hébergement Allemagne, l'accès aux Données du Licencié est réservé au personnel autorisé du Fournisseur et de ses Sous-traitants ultérieurs situé dans l'Espace économique européen, au Royaume-Uni ou en Suisse.

Le Fournisseur maintient des mesures techniques et organisationnelles pour faire respecter cette restriction, notamment des comptes individuels nominatifs, l'interdiction des identifiants partagés ou génériques, la journalisation de tous les accès d'administration et la limitation de l'accès aux environnements de production au personnel situé dans les lieux indiqués ci-dessus. Ces mesures sont imposées par la configuration des systèmes et non par la seule politique interne.

Lorsque le Licencié a choisi la Région d'hébergement États-Unis, les Données du Licencié sont Traitées aux États-Unis et les mécanismes de transfert identifiés à la Section 3.2 s'appliquent.

Les Données de Compte sont Traitées dans les systèmes de gestion du Fournisseur, qui peuvent être situés en dehors de l'Espace économique européen, pour toutes les Régions d'hébergement. Les Sous-traitants ultérieurs concernés sont identifiés à la Section 5, avec le mécanisme de transfert appliqué.

Kendis Oy est certifiée ISO/IEC 27001. Le certificat en vigueur est disponible sur demande, conformément à l'Article 10 de l'Avenant relatif au traitement des données (Audit et conformité).

Les certifications détenues par les fournisseurs d'infrastructure mentionnés à la Section 2 sont publiées par ces fournisseurs et disponibles sur demande, conformément à l'Article 10 de l'Avenant relatif au traitement des données (Audit et conformité).