Document contractuel B2B.
Version 1.0 - En vigueur au 8 novembre 2026
SECALYS exerce une activité de conseil et d'accompagnement auprès d'une clientèle exclusivement professionnelle. Les CGV ne s'appliquent pas aux consommateurs ni aux non-professionnels au sens du Code de la consommation.
L'accès, l'abonnement et l'utilisation de la plateforme ORBIT et de ses briques applicatives sont régis par des conditions distinctes, qui prévalent sur les CGV pour tout ce qui concerne la plateforme.
1. Dans les présentes Conditions générales de Vente (ci-après dénommées « CGV »), les termes et expressions débutants par une majuscule, qu’ils soient employés au singulier ou au pluriel, au masculin ou au féminin, ont la signification qui leur est donné ci-après :
Client : Désigne toute personne morale bénéficiant de la réalisation de la Prestation par SECALYS ;
Contrat : Désigne l’ensemble contractuel constitué, par ordre juridique décroissant des documents suivants :
En cas de contradiction entre des documents contractuels, les dispositions du document du rang supérieur prévalent ;
Devis : Désigne le document émis par SECALYS conforme à la Proposition commerciale et signé par le Client ;
Etat de l’art : Désigne les pratiques, méthodologies et référentiels professionnels généralement reconnus, à la date d'émission de la Proposition commerciale, comme adaptés au contexte de la Prestation. La référence à l'État de l'art n'emporte ni obligation de résultat ni engagement de certification ;
Livrables : Désigne les documents, études, rapports ou supports expressément listés comme livrables dans la Proposition commerciale ou le Devis et remis au Client, quel qu'en soit le support. Ne constituent pas des Livrables : le Savoir-faire, la plateforme ORBIT (y compris ses contenus, modèles et paramétrages) et les documents de travail internes de SECALYS ;
ORBIT : Désigne la plateforme de gestion de crise éditée et exploitée par SECALYS, ainsi que ses briques applicatives, utilisée par SECALYS dans le cadre de certaines Prestations et, le cas échéant, mise à disposition du Client dans les conditions prévues par ses conditions spécifiques ;
Partie(s) : SECALYS et/ou le Client, collectivement ou individuellement ;
Prestation(s) : Désigne toute prestation de services réalisée par SECALYS en exécution d’une Proposition commerciale et d’un Devis ;
Proposition commerciale : Désigne le document émis par SECALYS détaillant la nature, le périmètre, le calendrier prévisionnel et le prix des Prestations, en réponse à un besoin exprimé par le Client ;
Savoir-faire : Désigne les méthodes, outils, modèles, trames, référentiels, processus et connaissances développés ou détenus par SECALYS, indépendamment de toute Prestation ;
SECALYS : Désigne la Société par Actions Simplifiée Unipersonnelle (SASU), dont le siège social est situé 2 rue des Iris, 85750 Angles, immatriculée au registre du commerce et des sociétés de La roche-sur-yon sous le numéro 999 766 892, représentée par Monsieur Alexandre BALIGAND, le président ;
Tiers : Désigne toute personne, physique ou morale, qui n’est pas partie au Contrat.
1. Les CGV ont pour objet de définir les conditions dans lesquelles SECALYS réalise les Prestations au profit du Client.
2. Les présentes CGV prévalent le cas échéant sur les conditions générales d’Achat du Client ou sur tout autre document. Le Client reconnaît expressément que toute stipulation contraire au CGV sera inopposable à SECALYS.
3. Les CGV s'appliquent notamment, sans que cette liste soit limitative, aux prestations de conseil, d'audit, de préparation et d'entraînement à la gestion de crise, de pilotage et de coordination de crise, de continuité et de reprise d'activité, de résilience, d'accompagnement stratégique, de sensibilisation, de formation, de conférence, d'exercices et de retours d'expérience.
4. Elles ne régissent pas, sauf mention expresse au devis, les abonnements ou conditions d’utilisation des solutions ORBIT et de ses briques applicatives.
5. Les CGV sont communiquées avec chaque Devis et accessible à tout moment à l’adresse suivante : https://www.secalys.fr/cgv/.
6. Les présentes CGV peuvent faire l’objet de modifications ultérieures par SECALYS, la version applicable étant celle en vigueur à la date de la signature du Devis.
1. Le Contrat est formé à compter de la signature du Devis par le Client. Cette signature emporte acceptation de la Proposition commerciale à laquelle le Devis se réfère.
2. Les dispositions du Contrat annulent et remplacent toutes les conventions préalables, tout document contractuel de quelque nature que ce soit, intervenu entre SECALYS et le Client et qui se rapporteraient à la même Prestation, objet du Devis et de la Proposition commerciale, à l’exception de l’accord de confidentialité éventuellement conclu entre les Parties, qui demeure en vigueur.
3. Le Client reconnaît avoir lu et accepté les présentes dispositions et s’engagent à les respecter.
1. SECALYS exécute la mission conformément au périmètre, objectifs, calendrier prévisionnel et Livrables définis au sein de la Proposition commerciale et du Devis.
2. Toute Prestation non expressément incluse est hors périmètre pourra faire l’objet d’une Proposition commerciale complémentaire.
3. Les Prestations sont réalisées à distance, dans les locaux de SECALYS ou dans les locaux du Client selon les dispositions prévues au sein de la Proposition commerciale. En cas d’absence de mention, les Parties conviennent d’un commun accord du lieu de réalisation de la Prestation.
4. Les Prestations, réalisées en urgence ou non, reposent sur des informations partielles et évolutives. Les recommandations de SECALYS sont formulées au regard des informations disponibles au moment où elles sont données. SECALYS ne saurait être responsable des conséquences de leur caractère incomplet ou de leur évolution ultérieure.
5. SECALYS peut être amenée à utiliser l’Intelligence Artificielle dans le cadre de la réalisation de ses Prestations conformément aux respects des clauses de confidentialité des présentes CGV.
1. En situation de crise ou d'incident majeur, SECALYS peut débuter une assistance sur instruction, y compris orale, d'un représentant du Client habilité ou apparaissant légitimement comme tel au regard de l'urgence. SECALYS confirme l'instruction par écrit dès que possible. Le Client ne peut se prévaloir d'un défaut de pouvoir de la personne ayant donné l'instruction pour refuser le paiement des Prestations réalisées.
2. Lorsque l'urgence ne permet pas de formaliser immédiatement le Contrat, les Parties le régularisent dans les meilleurs délais. Dans l'intervalle, les CGV s'appliquent dès la première instruction et les Prestations sont facturées au tarif d'intervention en urgence en vigueur de SECALYS. À défaut de régularisation, les Prestations réalisées restent dues.
3. Le Client demeure seul décisionnaire des actes engageant son organisation. SECALYS peut recommander, coordonner, structurer les arbitrages et piloter la mission sans se substituer aux pouvoirs des dirigeants, autorités, professionnels réglementés ou prestataires techniques. Tout mandat de représentation du Client doit faire l'objet d'un écrit exprès définissant précisément son étendue et ses limites. SECALYS est libre de l'accepter ou de le refuser.
4. Le Client reste seul responsable des notifications, déclarations et démarches qui lui incombent légalement, notamment auprès de la CNIL, de l'ANSSI, des autorités sectorielles, de ses assureurs ou des forces de l'ordre, ainsi que du respect des délais correspondants. Les recommandations de SECALYS à ce sujet ne la rendent pas débitrice de ces obligations.
5. SECALYS peut refuser ou cesser d'exécuter toute instruction contraire à la loi ou à la déontologie, ou exposant ses intervenants à un risque pour leur sécurité, sans que sa responsabilité puisse être engagée.
Une Garantie de Temps d’Intervention (GTI) ne s'applique que si elle est expressément prévue au Devis ou dans l'offre souscrite. Son point de départ, son amplitude horaire, son canal de déclenchement et les niveaux de criticité sont ceux qui y figurent. À défaut de précision, les niveaux suivants s'appliquent à titre indicatif :
| Niveau | Qualification indicative | Traitement |
|---|---|---|
| Critique | Interruption majeure, risque humain, juridique, réputationnel ou opérationnel immédiat, ou activation d’un dispositif de crise. | Prise en charge prioritaire selon la GTI contractuelle. |
| Majeur | Dégradation significative ou incident sérieux nécessitant une coordination rapide. | Selon le niveau de service convenu. |
| Non bloquant | Demande ou difficulté sans compromission immédiate de l’activité essentielle. | Traitement planifié. |
La GTI est un délai de prise en charge et non un délai de résolution. La GTI est suspendue lorsque le retard est imputable au Client (interlocuteur injoignable, informations ou accès non fournis, canal non respecté), à un Tiers ou à un cas de force majeure.
SECALYS exécute les Prestations avec diligence et conformément à l’Etat de l'art. A cet effet, il rassemblera les moyens nécessaires à la réalisation de la Prestation. Quel que soit la Prestation, SECALYS est tenu que d'une obligation de moyens.
Le Client est seul responsable de l'expression de ses besoins. SECALYS s’engage à exécuter les Prestations au regard des besoins exprimés par le Client et retenus dans la Proposition commerciale. Toute évolution de ces besoins pourra faire l’objet d’une nouvelle Proposition commerciale et d’une possible facturation complémentaire.
SECALYS n'est pas tenue de vérifier l'exactitude des informations transmises. Elle ne saurait être responsable d'un manquement ou d'un retard résultant d'informations erronées, incomplètes ou tardives, ou d'un défaut de collaboration du Client.
1. Le Client s’engage à coopérer activement avec SECALYS : désignation des interlocuteurs, fourniture d’informations exactes et suffisamment complètes, accès aux personnes, sites, documents et moyens nécessaires, signalement des changements utiles et obtention des autorisations requises.
2. Le Client reste responsable de ses décisions, systèmes, sauvegardes, accès et actions relevant de ses équipes ou prestataires, sauf engagement écrit contraire.
3. Le Client s’engage toujours à se comporter vis-à-vis de SECALYS comme un partenaire loyal et de bonne foi, et notamment à porter sans délai à la connaissance de SECALYS, tout différend ou toute difficulté qu’il pourrait rencontrer dans le cadre de l’exécution des présentes.
4. Le Client s’engage à payer à SECALYS la somme due dans le délai visé à l’article 9 selon les modalités de règlement prévues dans les présentes.
5. Lorsqu’une date de réalisation est fixée dans le cadre d’une Prestation, le Client s’engage à respecter la date de réalisation de la Prestation telle que convenue et fixée par les Parties. Toute annulation ou report est régi par l’article 12.
6. Le Client s’engage à respecter et à faire en sorte que ses salariés, sous-traitants, ou les Tiers sous sa responsabilité, respectent les calendriers ou échéances indiqués par SECALYS. Le Client devra notifier sans délai SECALYS de tout évènement qui serait susceptible d’avoir un impact sur la Prestation, le calendrier ou le paiement de la Prestation dès qu’il aura connaissance d’un tel évènement.
7. Lorsque la Prestation implique l'utilisation d'ORBIT, celle-ci est régie par les Conditions Générales d'Utilisation d'ORBIT. Le Client reconnaît avoir lu et accepté sans réserve les Conditions Générales d’Utilisation. L'abonnement à ORBIT en dehors d'une Prestation relève de conditions générales de vente distinctes. Le Client se porte fort du respect de ces conditions par ses salariés et par toute personne à laquelle il donne accès à ORBIT.
1. Le prix des Prestations figure au sein du Devis.
2. A défaut d’indication contraire, le prix des Prestations est formulé en euros et s’entendent hors taxes (HT). La TVA et les taxes applicables sont facturées en sus.
3. Sauf inclusion expresse, les frais nécessaires à la réalisation de la Prestation peuvent être refacturés selon les modalités prévues au Devis. Toute modification substantielle du périmètre, des Prestations ou du calendrier peut entraîner une révision du prix et/ou des délais.
1. Les modalités de facturation figurent au sein du Devis. À défaut, les Prestations sont facturées comme suit :
2. Les factures rendues exigibles seront réglées par virement bancaire, dans un délai de 30 (trente) jours calendaires à compter de la date d’émission de la facture, sauf dispositions contraires convenues entre les Parties et figurant au sein du Devis et/ou de la Proposition commerciale.
3. Tout retard ou défaut de paiement entraînera de plein droit l’exigibilité immédiate de pénalités de retard à un taux égal au taux d’intérêt appliqué par la Banque centrale européenne à son opération de refinancement la plus récente, majoré de 10 (dix) points de pourcentage, conformément à l’article L441-10 du Code de commerce.
4. Davantage, conformément à l’article D441-5 du Code de commerce, tout retard de paiement entrainera l’exigibilité d’une indemnité forfaitaire minimale de 40 (quarante) euros pour frais de recouvrement, due de plein droit, sans qu’un rappel soit nécessaire.
5. En cas de retard significatif ou répété de paiement, SECALYS peut, après l’envoi d’une mise en demeure restée infructueuse 15 (quinze) jours ouvrés suivants la réception, et sous réserve des nécessités propres à une crise en cours, suspendre la réalisation des Prestations considérées comme non urgentes selon SECALYS.
1. Le Contrat prend effet à la date prévue au Devis ou, à défaut, à compter de sa signature par le Client.
2. S’agissant d’un contrat conclu entre professionnels, les Parties n’entendent pas conditionner leur engagement à un délai de réflexion ou de rétractation.
3. La durée du Contrat figure au sein du Devis et/ou de la Proposition commerciale. À défaut, le Contrat demeure en vigueur pendant la durée nécessaire à l’exécution de la Prestation.
4. Le Contrat prend fin automatiquement à l’issue de la Prestation. Dans le cas où une date de fin de Contrat est fixée et que la Prestation en cours n’a pas été entièrement exécutée à cette date, pour quelque raison que ce soit, le Contrat est automatiquement prorogé par périodes supplémentaires de 3 (trois) mois, dans la limite de 2 (deux) prorogations, jusqu’à l’issue de la Prestation.
5. Cette prorogation se poursuit selon les mêmes termes et conditions que ceux prévus au sein du Contrat. Les Parties considèrent la prorogation comme une extension de la durée initialement prévue et non comme un renouvellement du Contrat. Toute modification des termes et conditions du Contrat durant la période de prorogation devra faire l’objet d’un avenant écrit et signé par les Parties.
1. Sauf stipulation contraire du Devis ou des conditions particulières, le Client peut reporter ou annuler une intervention à date fixe (atelier, exercice, formation, conférence, intervention sur site) par notification écrite à SECALYS dans un délai de 20 (vingt) jours avant la date prévue. Les coûts déjà engagés, prestations préparatoires réalisées et frais non remboursables restent dus.
2. En cas de report, les Parties recherchent de bonne foi une nouvelle date. Un report n’est accepté qu’1 (une) seule fois, sous réserve de fixer une nouvelle date dans un délai de 3 (trois) mois ; à défaut, il vaut annulation.
3. Toute annulation de la mission par le Client, pour une cause non imputable à SECALYS, entraîne le paiement des Prestations réalisées et des frais engagés à la date d’annulation, ainsi qu’une indemnité de dédit égale à 30 (trente) % du montant restant à facturer.
1. Chaque Partie est susceptible d’avoir connaissance d’informations de nature confidentielle appartenant à l’autre Partie.
2. Sont considérés comme confidentiels et sans que cette liste soit limitative : les informations, documents, données, méthodes et éléments, quel qu’en soit le support, identifiés comme confidentiels ou dont le caractère confidentiel découle de leur nature ou du contexte de leur communication (ci-après les « Informations confidentielles »). Sont notamment confidentielles les informations relatives à toute situation de crise ou d’incident du Client, ainsi que le Savoir-faire, les méthodes, les scénarios d’exercice, les supports, les tarifs et les propositions commerciales de SECALYS.
3. Chaque Partie s’engage à ce que les Informations confidentielles soient :
4. Ne sont pas considérées comme confidentielles les Informations confidentielles :
5. Les Parties s’engagent à s’informer réciproquement, par écrit et sans délai, si elles font l’objet, en vertu de la loi ou dans le cadre d’une procédure judiciaire ou administrative d’une demande de divulgation de toute Information Confidentielle objet de l’Accord.
6. Chaque Partie garantit qu’elle a le droit de divulguer à l’autre Partie toutes les Informations Confidentielles qu’elle lui communique.
7. À la fin du Contrat, chaque Partie restitue ou détruit, à la demande de l’autre, les Informations confidentielles de celle-ci. SECALYS peut toutefois conserver une copie d’archive des documents nécessaires à la preuve de l’exécution de ses obligations et à la défense de ses droits, pendant la durée de prescription applicable.
8. Ces obligations s’appliquent pendant toute la durée du Contrat et pendant 5 (cinq) ans après son terme.
9. Lorsqu’un accord de confidentialité a été conclu entre les Parties, il demeure en vigueur et s’applique conjointement avec le présent article. En cas de contradiction, la stipulation la plus protectrice des Informations confidentielles prévaut.
1. Conformément à la loi « Informatique et libertés » du 6 janvier 1978 et au Règlement Général sur la Protection des Données (ci-après le « RGPD »). Les Parties s’engagent à respecter les obligations qui leur incombent et à garantir la protection des données à caractère personnel.
1. Dans le cadre de la réalisation de la Prestation, SECALYS agit en tant que Sous-traitant des données à caractère personnel.
2. Le traitement des données à caractère personnel, les modalités d’exécution y référant sont régis par l’Accord de traitement de données, figurant au sein de l’Annexe des présentes CGV.
1. SECALYS traite, en qualité de responsable de traitement, les données d’identification et de contact des interlocuteurs du Client (nom, prénom, fonction, coordonnées professionnelles), ainsi que les données de facturation, aux fins suivantes : gestion de la relation commerciale et exécution du Contrat (base légale : exécution du Contrat) ; facturation et respect de ses obligations comptables et fiscales (base légale : obligation légale).
2. SECALYS s’engage à mettre en place toutes les mesures techniques et organisationnelles nécessaires pour assurer un niveau de sécurité conformément à l’Etat de l’art.
3. Les données à caractère personnel sont conservées pendant toute la durée de la relation contractuelle, puis pendant 5 (cinq) ans après son terme. Les pièces comptables sont conservées 10 (dix) ans conformément à l’article L. 123-22 du Code de commerce.
4. Les personnes concernées disposent d’un droit d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition, qu’elles peuvent exercer à l’adresse suivante : [email protected]. Elles disposent également du droit d’introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL).
1. SECALYS n’est tenue, au titre de l’ensemble des Prestations, que d’une obligation de moyens.
2. SECALYS ne pourra être tenue responsable que des dommages directs et prévisibles résultant d’un manquement prouvé à ses obligations.
3. SECALYS ne pourra en aucun cas être tenue responsable des dommages indirects, tels que, sans que cette liste soit limitative, la perte de chiffre d’affaires, de bénéfice, de clientèle, de chance ou de données, l’atteinte à l’image ou à la réputation, même si de tels dommages résultent de l’exécution ou de l’inexécution de la Prestation.
4. Sauf disposition contraire, la responsabilité globale de SECALYS au titre d’une Prestation ne pourra excéder le montant hors taxes effectivement payé par le Client au titre de la Proposition commerciale concernée.
5. Toute action en responsabilité contre SECALYS doit être introduite dans un délai d'1 (un) an à compter de la connaissance du fait générateur par le Client, conformément à l'article 2254 du Code civil.
6. Les limitations du présent article ne s'appliquent pas en cas de faute lourde ou dolosive, de dommage corporel, ni lorsque la loi l'interdit.
1. SECALYS déclare être titulaire d’une assurance de responsabilité civile professionnelle couvrant les activités entrant dans le champ de ses prestations. Une attestation peut être communiquée à la demande du Client.
1. SECALYS peut recourir à des salariés, consultants, experts, partenaires ou sous-traitants compétents pour la réalisation de tout ou partie de la Prestation.
2. SECALYS demeure responsable vis-à-vis du Client de l’exécution des prestations qu’elle leur confie dans les limites du contrat.
3. Lorsqu’un professionnel réglementé ou prestataire spécialisé contracte directement avec le Client, ses prestations restent placées sous sa responsabilité propre.
1. SECALYS demeure propriétaire de ses méthodes, Savoir-faire, modèles, outils, canevas, bibliothèques, contenus génériques, logiciels, y compris ORBIT, éléments préexistants et améliorations de portée générale, y compris lorsqu’ils sont utilisés, adaptés ou intégrés dans les Livrables. SECALYS reste libre de les réutiliser, y compris enrichis à l’occasion de la Prestation, sous réserve de ses obligations de confidentialité.
2. Sous réserve du paiement intégral du prix, le Client bénéficie d’un droit d’utilisation interne, non exclusif et non transférable des Livrables remis pour ses besoins propres. Toute diffusion externe, commercialisation ou reproduction substantielle au bénéfice de Tiers nécessite l’accord écrit préalable de SECALYS, sauf obligation légale ou stipulation contraire. Les données et documents fournis par le Client restent sa propriété ou celle de leurs titulaires.
1. Est considéré comme évènement de force majeure au sens de l’article 1218 du Code civil, tout évènement indépendant de la volonté des Parties qui ne pouvait être raisonnablement prévu lors de la conclusion du Contrat et dont les effets ne peuvent être évités.
2. SECALYS ne pourra être tenue responsable des retards ou inexécutions de ses obligations résultant de la survenance d’un évènement de force majeure. Sont notamment assimilés à la force majeure, sans que cette liste soit limitative : maladie, accident grave, épidémie, grève, panne des réseaux de télécommunication ou d'énergie, cyberattaque, décision d'une autorité publique, catastrophe naturelle, incendie, panne ou indisponibilité des moyens de transports, guerre, ou autre évènement hors du contrôle raisonnable de SECALYS.
3. Les obligations sont suspendues pendant la durée de l'empêchement. Si celui-ci dure plus de 60 (soixante) jours, chaque Partie peut résilier le Contrat par lettre recommandée, sans indemnité. Les Prestations réalisées restent dues.
4. Les cas de force majeure ne suspendent pas l’obligation de payer une somme d’argent restant due par le Client.
1. Sans accord exprès du Client, SECALYS ne publie pas d’informations permettant d’identifier une crise, un incident ou des éléments confidentiels de la mission. L’utilisation du nom, du logo, d’un témoignage ou d’un retour d’expérience identifiable du Client à des fins de communication est soumise à son accord préalable.
2. SECALYS peut toutefois utiliser, à des fins de formation, de conférence ou d’amélioration de ses méthodes, des retours d’expérience anonymisés ne permettant pas d’identifier, directement ou indirectement, le Client.
1. Pendant toute la durée du Contrat et pendant un délai de 12 (douze) mois suivant la date de fin des Prestations pour quelque raison que ce soit, le Client s’interdit, sauf accord écrit préalable de SECALYS, d’embaucher, de faire travailler directement ou indirectement ou de solliciter en vue d’une collaboration toute personne salariée ou collaborateur régulier de SECALYS ayant participé à la réalisation de la Prestation.
2. Dans le cadre du non-respect de cette obligation, et sans préjudice d’un préjudice supérieur dûment démontré, le Client s’engage à verser à SECALYS une indemnité égale à salaire brut que le salarié concerné aura perçus pendant les 12 (douze) mois précédents son départ.
1. Chacune des Parties peut résilier le Contrat dans un délai de 20 (vingt) jours après une mise en demeure adressée par lettre recommandée avec accusé de réception visant le présent article et restée sans effet, dans les cas suivants :
2. SECALYS peut en outre résilier le Contrat avec effet immédiat, par notification écrite, en cas de comportement du Client portant atteinte à la sécurité ou à l’intégrité de ses intervenants, ou lorsque l’exécution d’une instruction du Client serait contraire à la loi.
3. Indépendamment des cas ci-dessus, chaque Partie peut résilier le Contrat en cas d’inexécution suffisamment grave par l’autre Partie de ses obligations, dans les conditions prévues aux articles 1224 et suivants du Code civil.
4. Les articles relatifs au paiement, à la confidentialité, à la propriété intellectuelle, à la responsabilité, aux références commerciales, à la non-sollicitation et au droit applicable survivent à la fin du Contrat.
1. Le fait pour une Partie de ne pas se prévaloir d’une stipulation ne vaut pas renonciation à s’en prévaloir ultérieurement. Si une stipulation est déclarée nulle ou inapplicable,, elle est réputée non écrite et les autres stipulations demeurent en vigueur.
2. Les Parties conviennent que les échanges électroniques, validations, comptes rendus, relevés de temps, journaux d’intervention et éléments issus des outils de mission, y compris ORBIT, font foi entre elles, sauf preuve contraire.
3. Les CGV sont rédigées en langue française. En cas de traduction, seule la version française fait foi.
1. Le Client ne peut céder le Contrat sans l'accord écrit de SECALYS. SECALYS peut le céder à toute société de son groupe ou à l'acquéreur de son fonds.
Les présentes CGV sont régies par la loi française. En cas de différend, les Parties s’efforceront de parvenir à un accord amiable dans un délai de 30 (trente) jours. À défaut d’accord amiable, les Parties conviennent que les juridictions de La Roche-sur-Yon, seront exclusivement compétentes pour en juger sauf règles de procédure impératives contraires.
1. Le présent Accord sur le traitement de données (ci-après « Accord ») a pour objet de garantir la conformité avec l’article 28, règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données).
2. Cet Accord fait partie intégrante du contrat conclu entre les Parties et complète les Conditions Générales de Vente (les « CGV »). Les termes définis dans les CGV conservent leur signification dans le présent Accord.
3. En cas de contradiction entre le DPA et les CGV sur le seul terrain de la protection des données à caractère personnel, le DPA prévaut. Pour toute autre question, les CGV prévalent.
4. Le présent Accord est composé du présent Accord et de ses annexes présentées ci-dessous, le tout étant désigné comme étant l’« Accord » ou le « DPA » :
5. Le Client (ci-après désigné le « Responsable du traitement ») et SECALYS (ci-après désigné le « Sous-traitant ») ont accepté les dispositions du présent Accord afin de garantir le respect des dispositions de l’article 28, paragraphe 3 et 4, du règlement (UE) 2016/679.
6. Le présent Accord s’applique au traitement des données à caractère personnel tel que décrit à la Sous-annexe 1.
7. Les présentes clauses sont sans préjudice des obligations auxquelles le Responsable du traitement est soumis en vertu du règlement (UE) 2016/679.
8. Les clauses ne suffisent pas à elles seules pour assurer le respect des obligations relatives aux transferts internationaux conformément au chapitre V du règlement (UE) 2016/679.
9. Le Responsable du traitement et le Sous-traitant sont ci-après désignés collectivement les « Parties » et individuellement une « Partie ».
Responsable du traitement : désigne le Client qui détermine les finalités et les moyens relatifs au traitement de données à caractère personnel ;
Sous-traitant : désigne SECALYS qui traite les données à caractère personnel pour le compte du Responsable du traitement et conformément aux instructions de ce dernier ;
Sous-traitant ultérieur : Désigne toute personne physique ou morale à laquelle le Sous-traitant peut confier tout ou partie des opérations de traitement des données à caractère personnel qu’il réalise pour le compte du Responsable du traitement ;
Personne concernée : Désigne la personne physique identifiée ou identifiable dont les données sont traitées ;
Données à caractère personnel, Traitement et Mesures techniques et organisationnelles ont le sens qui leur est attribué en vertu du règlement (UE) 2016/679 ;
Violation de données à caractère personnel : Désigne une violation de la sécurité, entrainant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d’une autre manière, ou l’accès non autorisé à de telles données.
Les définitions utilisées dans le présent Accord et non définies dans le présent Article auront la signification indiquée dans le règlement (UE) 2016/679.
1. Les Parties s’engagent à ne pas modifier les articles du présent Accord, ni à ajouter des informations aux annexes, sous quelque forme que ce soit. Toute modification du présent Accord devra faire l’objet d’un accord préalable entre les Parties et, le cas échéant, d’un avenant.
1. Lorsque des termes définis respectivement dans le règlement (UE) 2016/679 figurent dans le présent Accord, ils s’entendent comme dans le règlement en question.
2. Le présent Accord doit être lu et interprété à la lumière des dispositions du règlement (UE) 2016/679.
3. Le présent Accord ne doit pas être interprété d’une manière contraire aux droits et obligations prévus par le règlement (UE) 2016/679 ou d’une manière qui porte atteinte aux libertés ou droits fondamentaux des personnes concernées.
A. Description du traitement
1. Les détails des opérations de traitement, et notamment les catégories de données à caractère personnel et les finalités du traitement pour lesquelles les données à caractère personnel sont traitées pour le compte du Responsable du traitement, sont précisés à la sous-annexe 1.
B. Instructions
1. Le Sous-traitant ne traite les données à caractère personnel que sur instruction documentée du Responsable du traitement, à moins qu’il ne soit tenu d’y procéder en vertu du droit de l’Union ou du droit de l’État membre auquel il est soumis. Dans ce cas, le Sous-traitant informe le Responsable du traitement de cette obligation juridique avant le traitement, sauf si la loi le lui interdit pour des motifs importants d’intérêt public. Des instructions peuvent également être données ultérieurement par le Responsable du traitement pendant toute la durée du traitement des données à caractère personnel. Ces instructions doivent toujours être documentées.
2. Le Sous-traitant informe immédiatement le Responsable du traitement si, selon lui, une instruction donnée par le Responsable du traitement constitue une violation du règlement (UE) 2016/679 ou d'autres dispositions du droit de l'Union ou du droit des États membres relatives à la protection des données.
C. Limitation de la finalité
1. Le Sous-traitant traite les données à caractère personnel uniquement pour la ou les finalités spécifiques du traitement, telles que définies au sein de la Sous-annexe 1, sauf instruction complémentaire du Responsable du traitement.
D. Durée du traitement de données à caractère personnel
1. Le traitement par le Sous-traitant n’a lieu que pendant la durée précisée à la Sous-annexe 1.
E. Sécurité du traitement
1. Le Sous-traitant met au moins en œuvre les mesures techniques et organisationnelles pour assurer la sécurité des données à caractère personnel. Les mesures de sécurité figurent au sein de la Sous-annexe 2 du présent Accord.
2. Le Sous-traitant n’accorde aux membres de son personnel l’accès aux données à caractère personnel faisant l’objet du traitement que dans la mesure strictement nécessaire à l’exécution, à la gestion et au suivi du contrat. Le Sous-traitant veille à ce que les personnes autorisées à traiter les données à caractère personnel s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.
F. Données sensibles
1. Sauf dispositions contraires, le Client s'interdit d'introduire des données sensibles. En ce sens, aucune donnée sensible ne pourra faire l'objet d'un traitement par le Sous-traitant.
2. Si le traitement porte sur des données à caractère personnel révélant l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, ainsi que des données génétiques ou des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique, ou des données relatives aux condamnations pénales et aux infractions (« données sensibles »), le Sous-traitant applique des limitations spécifiques et/ou des garanties supplémentaires.
G. Documentation et conformité
1. Les Parties doivent pouvoir démontrer la conformité avec le présent Accord.
2. Le Sous-traitant traite de manière adéquate et dans un délai raisonnable les demandes du Responsable du traitement concernant le traitement des données.
3. Le Sous-traitant met à la disposition du Responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations énoncées dans le présent Accord et découlant directement du règlement (UE) 2016/679.
4. À la demande du Responsable du traitement, le Sous-traitant permet également la réalisation d’audits des activités de traitement couvertes par le présent Accord lorsqu’un risque est identifié ou en présence d’indices de non-conformité. Ce risque peut découler, notamment, d’une Violation de données à caractère personnel, du non-respect aux obligations contractuelles en matière de protection des données à caractère personnel ou de toute autre situation donnant lieu à une suspicion légitime de manquement aux obligations du Sous-traitant.
5. Une fois la preuve apportée par le Responsable du traitement de l’existence d’un risque identifié, l’audit pourra être réalisé sous réserve d’un délai de préavis de 30 (trente) jours ouvrables, à compter de la réception par le Sous-traitant d’une lettre recommandée avec accusé de réception. Chaque audit sera limité à 1 (une) fois par an et réalisé à distance.
6. Tout audit est réalisé par une société tierce désignée communément par les Parties, non-concurrente du Sous-traitant et soumise au secret professionnel. En ce sens, un accord de confidentialité pourra être signé. Dans cette hypothèse, le Sous-traitant se réserve le droit de refuser l’intervention de l’auditeur dans le cas où il existerait une situation de conflit d’intérêt ou de concurrence directe. Il est entendu que le refus de l’auditeur ne constitue pas un refus général de réaliser un audit. Lorsqu’il décide d’un examen ou d’un audit, le Responsable du traitement peut tenir compte des certifications pertinentes en possession du Sous-traitant. A la suite de la réalisation de l’audit, le Sous-traitant peut formuler des observations sur les conclusions de l’audit. Tout frais ou dépenses engagées pour la réalisation de l’audit seront exclusivement à la charge du Responsable du traitement, initiateur de l’audit.
7. Les parties mettent à la disposition de l’autorité de contrôle compétente/des autorités de contrôle compétentes, dès que celles-ci en font la demande, les informations énoncées dans la présente clause, y compris les résultats de tout audit.
H. Recours à des Sous-traitants ultérieurs
1. Le Sous-traitant dispose de l’autorisation générale du Responsable du traitement pour ce qui est du recrutement de Sous-traitants ultérieurs sur la base d’une liste établie au sein de la Sous-annexe 3 du présent Accord.
2. Le Sous-traitant a la possibilité de modifier cette liste par l’ajout ou le remplacement des Sous-traitants. Le Sous-traitant s’engage à fournir, à la demande du Responsable du traitement, les informations pertinentes aux Sous-traitants ultérieurs.
3. Lorsque le Sous-traitant recrute un Sous-traitant ultérieur pour mener des activités de traitement spécifiques pour le compte du Responsable du traitement, il le fait au moyen d’un contrat qui impose au Sous-traitant ultérieur, en substance, les mêmes obligations en matière de protection des données que celles imposées au Sous-traitant en vertu du présent Accord. Le Sous-traitant veille à ce que le Sous-traitant ultérieur respecte les obligations auxquelles il est lui-même soumis en vertu du présent Accord et du règlement (UE) 2016/679.
4. À la demande du Responsable du traitement, le Sous-traitant lui fournit une copie de ce contrat conclu avec le Sous-traitant ultérieur. Dans la mesure nécessaire à la protection des secrets d’affaires ou d’autres informations confidentielles, y compris les données à caractère personnel, le Sous-traitant peut expurger le texte du contrat avant d’en diffuser une copie.
5. Le Sous-traitant demeure pleinement responsable, à l’égard du Responsable du traitement, de l’exécution des obligations du Sous-traitant ultérieur conformément au contrat conclu avec le Sous-traitant ultérieur.
I. Transferts internationaux
1. Tout transfert de données vers un pays tiers ou une organisation internationale par le Sous-traitant n’est effectué que sur la base d’instructions documentées du Responsable du traitement ou afin de satisfaire à une exigence spécifique du droit de l’Union ou du droit de l’État membre à laquelle le Sous-traitant est soumis et s’effectue conformément au chapitre V du règlement (UE) 2016/679.
2. Le Responsable du traitement convient que lorsque le Sous-traitant recrute un Sous-traitant ultérieur pour mener des activités de traitement spécifiques pour le compte du Responsable du traitement et que ces activités de traitement impliquent un transfert de données à caractère personnel au sens du chapitre V du règlement (UE) 2016/679, le Sous-traitant et le Sous-traitant ultérieur peuvent garantir le respect du chapitre V du règlement (UE) 2016/679.
1. Le Sous-traitant informe sans délai le Responsable du traitement de toute demande qu’il a reçue de la part de la personne concernée. Il ne donne pas lui-même suite à cette demande, à moins que le Responsable du traitement des données ne l’y ait autorisé.
2. Le Sous-traitant prête assistance au Responsable du traitement pour ce qui est de remplir l’obligation qui lui incombe de répondre aux demandes des personnes concernées d’exercer leurs droits, en tenant compte de la nature du traitement. Le Sous-traitant se conforme aux instructions du Responsable du traitement.
3. En outre, le Sous-traitant aide le Responsable du traitement à garantir le respect des obligations suivantes, compte tenu de la nature du traitement et des informations dont dispose le Sous-traitant :
1. En cas de violation de données à caractère personnel, le Sous-traitant coopère avec le Responsable du traitement et lui prête assistance aux fins de la mise en conformité avec les obligations qui lui incombent en vertu des articles 33 et 34 du règlement (UE) 2016/679 en tenant compte de la nature du traitement et des informations dont dispose le Sous-traitant.
2. En cas de violation de données à caractère personnel en rapport avec des données traitées par le Sous-traitant, celui-ci en informe le Responsable du traitement dans les meilleurs délais et dans un délai de 48 (quarante-huit) heures maximum après en avoir pris connaissance. Cette notification contient au moins :
3. Lorsque, et dans la mesure où, il n’est pas possible de fournir toutes les informations en même temps, la notification initiale contient les informations disponibles à ce moment-là et, à mesure qu’elles deviennent disponibles, des informations supplémentaires sont communiquées par la suite dans les meilleurs délais.
1. Sans préjudice des dispositions du règlement (UE) 2016/679, en cas de manquement du Sous-traitant aux obligations qui lui incombent en vertu du présent Accord, le Responsable du traitement peut donner instruction au Sous-traitant de suspendre le traitement des données à caractère personnel jusqu’à ce que ce dernier se soit conformé au présent Accord. Cependant, avant toute suspension éventuelle, le Responsable du traitement devra informé par lettre recommandée avec accusé réception le manquement constaté du Sous-traitant. Ce dernier, disposera d’un délai de 30 (trente) jours ouvrés pour rectifier la situation à compter de la réception de ladite lettre recommandée. La suspension ne pourra avoir lieu qu’en cas de non-conformité constatée au-delà du délai précité.
2. Le Sous-traitant informe rapidement le Responsable du traitement s’il n’est pas en mesure de se conformer au présent Accord, pour quelque raison que ce soit.
3. Le Responsable du traitement est en droit de résilier le contrat dans la mesure où il concerne le traitement de données à caractère personnel conformément au présent Accord si :
4. Le Sous-traitant est en droit de résilier le contrat dans la mesure où il concerne le traitement de données à caractère personnel en vertu du présent Accord lorsque, après avoir informé le Responsable du traitement que ses instructions enfreignent les exigences juridiques applicables, le Responsable du traitement insiste pour que ses instructions soient suivies.
5. À la suite de la résiliation du contrat, le Sous-traitant supprime ou renvoie, selon le choix du Responsable du traitement, toutes les données à caractère personnel traitées pour le compte du Responsable du traitement et peut certifier la suppression des données à caractère personnel à la demande du Responsable de traitement, à moins que le droit de l’Union ou le droit national n’impose de les conserver plus longtemps. Le Sous-traitant continue de veiller à la conformité au présent Accord jusqu’à la suppression ou à la restitution des données.
6. Les Parties conviennent que l’autorité de contrôle compétente en charge de garantir le respect du règlement (UE) 2016/679 est la Commission nationale de l’Informatique et des Libertés (CNIL).
Les différentes Sous-annexes tels que la Sous-annexe 1 (description de traitement), Sous-annexe 2 (Mesures techniques et organisationnelles) et Sous-annexe 3 (Liste des Sous-traitants ultérieurs) sont communiquées sur simple demande à [email protected].