Juridique

Accord sur le traitement des données personnelles

Catégorie

Privacy Notice

Customized Services Supplemental Terms and ConditionsDMCAMessaging ComplianceSub-Processors

Version 8 – Date de publication : 29 octobre 2025

Le présent Accord sur le Traitement des Données Personnelles (le présent « DPA ») fait partie de et est sujet à l’accord de services sous-jacent (le « Contrat principal ») conclu entre l’entité Sinch (« Sinch ») et l’entité cliente (le « Client »), qui ont conclu ce Contrat principal pour la fourniture de services par Sinch au Client. Le présent Accord sur le traitement des données personnelles s’applique à Sinch et au Client, ainsi qu’à leurs affiliés respectifs. Les parties du présent Accord sur le traitement des données personnelles sont identiques à celles du Contrat principal.

  1. Definitions. For the purposes of this DPA, capitalized terms shall have the following meanings. Capitalized terms not otherwise defined shall have the meaning given to them in the Principal Agreement.  
    1. « Données à caractère personnel du Client » désigne toutes les données à caractère personnel traitées par Sinch pour le compte du Client afin de fournir les Services en vertu du Contrat principal.
    2. « Lois applicables en matière de protection des données » désigne le RGPD, tel que transposé dans la législation nationale de chaque État membre (et du Royaume-Uni) et tel que modifié, remplacé ou substitué de temps à autre, et les lois mettant en œuvre, remplaçant ou complétant le RGPD et toutes les lois applicables au traitement des Données à caractère personnel du client, y compris le California Consumer Privacy Rights Act de 2020, qui modifie le California Consumer Privacy Act de 2018 Cal. Civ. Code § 1798.100 et seq (« CCPA »).
    3. « RGPD » désigne le Règlement Général sur la Protection des Données (UE) 2016/679 sur la protection des personnes physiques à l’égard du traitement des données à caractère personnel et de la libre circulation de ces données.
    4. « Infrastructure de Sinch » désigne (i) Les installations physiques de Sinch ; (ii) l’infrastructure hébergée dans le cloud ; (iii) le réseau d’entreprise de Sinch et le réseau interne non public, les logiciels et le matériel nécessaires pour fournir les Services et qui sont contrôlés par Sinch ; dans chaque cas, dans la mesure où ils sont utilisés pour fournir les Services.
    5. « Transfert restreint »désigne un transfert de Données à caractère personnel du client de Sinch à un Sous-traitant ultérieur, si ce transfert était interdit par les Lois applicables en matière de protection des données (ou par les modalités des accords de transfert de données mis en place pour répondre à des restrictions de transfert de données imposées par les Lois applicables en matière de protection des données) en l’absence de garanties appropriées imposées au regard de transferts de ce type en vertu des Lois applicables en matière de protection des données.
    6. « Services » désigne les services fournis au Client par Sinch en vertu du Contrat principal.
    7. « Clauses contractuelles types » désigne la dernière version des Clauses contractuelles types pour le transfert de données à caractère personnel vers des sous-traitants établis dans des pays tiers en vertu du RGPD (la version en vigueur à la date du présent Accord figure en annexe de la décision (UE) 2021/914 de la Commission européenne en date du 4 juin 2021).
    8. « Addendum RU » désigne l’Addendum du Royaume-Uni (International Data Transfer Addendum to the EU Commission Standard Contractual Clauses) défini dans https://ico.org.uk/media2/migrated/4019539/international-data-transfer-addendum.pdf
    9. Les termes « consentement », « responsable du traitement », « personne concernée », « État membre », « données à caractère personnel», « violation de données à caractère personnel», « sous-traitant », « sous-traitant ultérieur », « traitement », « autorité de contrôle » et « tiers» ont la signification qui leur est attribuée à l’article 4 du RGPD ou du CCPA, dans les cas où le CCPA est applicable.
  1. Compliance with Applicable Data Protection Laws 
    1. Sinch et le Client se conformeront chacun aux dispositions et obligations imposées par les Lois applicables en matière de protection des données et s’assureront que leurs employés et sous-traitants ultérieurs respectent les dispositions des Lois applicables en matière de protection des données.
  1. Details and Scope of the Processing 
    1. The Processing of the Customer’s Personal Data within the scope of the Agreement shall be carried out in accordance with the following stipulations and as required according to the Applicable Data Protection Laws. The parties may amend this information from time to time, as the parties may reasonably consider necessary to meet those requirements.  
      1. Objet et durée du traitement des données à caractère personnel : l’objet et la durée du traitement des données à caractère personnel sont définis dans le Contrat principal.
      2. Nature et finalité du traitement des données à caractère personnel : en vertu du Contrat principal, Sinch fournit certains services, tels que l’envoi de messages textuels, d’emails, d’appels vocaux et tout autre service de communication, comme décrit dans le Contrat principal, au Client, ce qui implique le traitement de données à caractère personnel. Sous réserve de la section 3(a)(iv), ces activités de traitement incluent (a) la fourniture des Services ; (b) la détection, la prévention et la résolution de problèmes de sécurité et techniques ; et (c) la réponse aux demandes d’assistance du Client.
      3. Types de donnéesà caractère personnel traitées : les données à caractère personnel transmises au réseau de Sinch, dont l’étendue est déterminée et contrôlée par le Responsable du traitement à son entière discrétion, peuvent inclure des noms, adresses email, numéros de téléphone, adresses IP et autres données à caractère personnel figurant dans la liste de contacts et le contenu des messages ou appels.
      4. Exclusion du Responsable du traitement des données indépendant :nonobstant toute autre disposition des présentes, lors du traitement des données à caractère personnel dans le cadre de la fourniture de services de communication dans le cadre des Services, y compris la transmission et l’échange de SMS via des réseaux de télécommunication, ainsi que d’autres types de messages et de communications, dont les emails, les messages vocaux, et tout autre média via d’autres plateformes de communication, indépendamment du fait que le Client agisse en tant que responsable ou sous-traitant du traitement, Sinch agit en tant que responsable du traitement des données indépendant, et non en tant que cocontrôleur, afin de fournir ses services de communication et d’exécuter ses fonctions et activités nécessaires en tant que fournisseur de services de communication et de services à valeur ajoutée, y compris les mesures nécessaires à la prévention du spam et de la fraude, et le contrôle, la sécurisation et la maintenance de son réseau, la gestion de ses activités et de ses fonctions de mise en conformité, et de rester conforme à ses obligations en vertu des lois applicables.
      5. Catégories de personnes concernées auxquelles les données à caractère personnel se rapportent : expéditeurs et destinataires des emails et SMS, des appels vocaux et de tout autre type de communication.
    2. Sinch traitera uniquement les Données à caractère personnel du Client (i) pour s’acquitter de ses obligations au titre du Contrat principal et (ii) conformément aux instructions documentées décrites dans le présent DPA ou à d’autres instructions données par le Client de temps à autre. Toutes instructions de ce type du Client devront être documentées dans la commande, la description des services ou le ticket de support applicable ou dans toute autre communication écrite ou de la manière indiquée par le Client utilisant les Services (notamment via une API ou un panneau de contrôle).
    3. Si Sinch estime raisonnablement qu’une instruction du Client est contraire aux dispositions du Contrat principal ou du présent Accord, ou qu’elle contrevient au RGPD ou à d’autres dispositions applicables en matière de protection des données, elle en informera le Client sans délai. Dans les deux cas, Sinch sera autorisé à reporter l’exécution de l’instruction en question jusqu’à ce qu’elle soit modifiée par le Client ou convenue d’un commun accord par le Client et Sinch.
    4. Le Client est seul responsable de l’utilisation et de la gestion des données à caractère personnel soumises ou transmises par le biais des Services, notamment : (i) la vérification des informations du destinataire, telles que le numéro de téléphone ou l’adresse, et la vérification qu’elles ont été correctement saisies dans les Services, (ii) la communication raisonnable à tout destinataire du caractère non sécurisé des emails ou de la messagerie comme mode de transmission de données à caractère personnel (selon le cas), (iii) la limitation raisonnable du volume ou du type de données divulguées par le biais des Services, (iv) le chiffrement de toutes les données à caractère personnel transmises par le biais des Services, le cas échéant ou comme l’impose la loi applicable (notamment grâce à des pièces jointes chiffrées, des outils PGP ou S/MIME). Si le Client décide de ne pas configurer le chiffrement obligatoire, celui-ci reconnaît que les Services peuvent inclure la transmission d’emails non chiffrés en clair sur l’Internet public et des réseaux ouverts. Les informations téléchargées sur les Services, y compris le contenu des messages, sont stockées sous une forme chiffrée lorsqu’elles sont traitées par l’infrastructure de Sinch.
  1. Controller and Processor 
    1. Aux fins des présentes, le Client est le responsable du traitement de ses propres Données à caractère personnel et Sinch en est le sous-traitant, sauf lorsque le Client agit en qualité de sous-traitant de ses propres Données à caractère personnel, auquel cas Sinch en est le sous-traitant ultérieur.
    2. Sinch maintiendra à tout moment à disposition un délégué à la protection des données chargé d’assister le Client (i) pour répondre à des demandes de renseignements concernant le Traitement des Données émanant de Personnes concernées ; et (ii) pour satisfaire à toutes les obligations légales en matière d’information et de divulgation en vigueur et associées au Traitement des Données. Cette assistance peut être demandée en écrivant à l’adresse dpo@sinch.com.
    3. The Customer warrants that: 
      1. Le traitement de ses Données à caractère personnel s’appuie sur des fondements juridiques, comme l’imposent les Lois applicables en matière de protection des données, et celui-ci a obtenu et conservera pendant toute la durée du Contrat principal l’ensemble des droits, autorisations, enregistrements et consentements imposés par celles-ci au regard du traitement par Sinch des Données à caractère personnel du Client en vertu du présent Accord et du Contrat principal ;
      2. il est autorisé à et dispose de l’ensemble des droits, autorisations et consentements nécessaires pour transférer ses Données à caractère personnel à Sinch et pour autoriser, de quelque manière que ce soit, Sinch à les traiter en son nom, afin que Sinch puisse utiliser, traiter et transférer légalement les Données à caractère personnel du Client dans le cadre de l’exécution des Services et satisfaire à l’ensemble des autres droits et obligations de Sinch en vertu du présent Accord et du Contrat principal ;
      3. il informera les Personnes concernées de son recours à des Sous-traitants aux fins du Traitement de leurs données à caractère personnel, dans la mesure prescrite par les Lois applicables en matière de protection des données ; et,
      4. il répondra, dans un délai raisonnable et dans la mesure de ce qui s’avérera raisonnablement possible, aux demandes de renseignements soumises par les Personnes concernées concernant le Traitement de leurs données à caractère personnel, et donnera des instructions appropriées à Sinch en temps opportun.
  1. Confidentiality 
    1. Sinch s’assurera que chaque membre de son personnel et de celui des sous-traitants ultérieurs autorisés à traiter les Données à caractère personnel du Client est soumis à des accords de confidentialité ou à des obligations professionnelles ou légales de confidentialité et qu’il est formé aux exigences de sécurité et de Protection des données pertinentes.
  1. Technical and Organizational Measures 
    1. Sinch devra, en ce qui concerne les Données à caractère personnel du Client (a) prendre et documenter les mesures raisonnables et appropriées décrites dans l’Annexe 2, en ce qui concerne la sécurité de l’Infrastructure de Sinch et des plateformes utilisées pour fournir les Services telles que décrites dans le Contrat principal, et (b) si une demande raisonnable lui est faite, aider le Client, aux frais de celui-ci, à s’assurer du respect des obligations imposées à celui-ci en vertu des Lois applicables en matière de protection des données.
    2. Les procédures opérationnelles internes de Sinch devront respecter les exigences spécifiques d’une gestion efficace de la Protection des données.
  1. Data Subject Requests 
    1. Sinch fournit des outils spécifiques pour aider les clients à répondre aux demandes émanant de personnes concernées. Il s’agit notamment de nos API et interfaces de recherche d’événements, de suppression et de récupération du contenu des messages. Lorsque Sinch reçoit une réclamation, une question ou une demande (y compris les demandes émanant de personnes concernées afin d’exercer leurs droits en vertu des Lois applicables en matière de protection des données) concernant les Données à caractère personnel du Client, directement de la part d’une personne concernée, Sinch en informera le Client. Compte tenu de la nature du traitement, Sinch assistera le Client, par des Mesures techniques et organisationnelles appropriées, dans la mesure de ce qui s’avérera raisonnablement possible, aux fins de l’exécution de l’obligation qui incombe au Client de répondre aux demandes de personnes concernées souhaitant exercer leurs droits.
  1. Personal Data Breaches 
    1. Sinch doit informer le Client dans les meilleurs délais dès que Sinch a connaissance d’une violation de données à caractère personnel affectant les Données à caractère personnel du Client. Sinch devra, compte tenu de la nature du traitement et des informations mises à la disposition de Sinch, prendre toutes les mesures professionnelles raisonnables pour fournir au Client suffisamment d’informations pour lui permettre, aux frais de celui-ci, de se conformer à toute obligation de notification ou d’information des autorités de réglementation, des personnes concernées et d’autres entités de cette violation de données à caractère personnel dans la mesure requise par les Lois applicables en matière de protection des données.
  1. Data Protection Impact Assessments 
    1. Sinch devra, compte tenu de la nature du traitement et des informations mises à sa disposition, fournir une assistance raisonnable au Client, aux frais de celui-ci, dans le cadre de toute analyse d’impact relative à la protection des données et de la consultation préalable des autorités de contrôle ou autres autorités de réglementation dans la mesure nécessaire pour permettre au Client de se conformer à toute obligation en vertu des Lois applicables en matière de protection des données.
  1. Audits 
    1. Sinch mettra à la disposition du Client, sur demande raisonnable, les informations raisonnablement nécessaires pour démontrer le respect du présent Accord.
    2. Le Client, ou un auditeur tiers mandaté par ce dernier, pourra, sur demande écrite, procéder à une inspection des activités de Traitement des Données à caractère personnel du client menées par Sinch dans la mesure de ce qui s’avérera nécessaire en vertu des Lois relatives à la protection des données, sans interrompre les activités commerciales de Sinch et en préservant la confidentialité.
    3. Le droit à l’audit tel que décrit dans le Paragraphe 10(b) ci-dessus devient applicable pour le Client, dans le cas où Sinch n’aurait pas fourni de preuves suffisantes de sa conformité avec les dispositions du présent Accord. Les preuves suffisantes comprennent la fourniture de, au choix : (i) un certificat de conformité avec ISO 27001 ou tout autre standard implémenté par Sinch (tel que défini dans le certificat) ; ou (ii) un rapport d’audit ou d’attestation provenant d’un tiers indépendant. Les coûts et dépenses d’un audit tel que décrit dans ce Paragraphe 10 devront être pris en charge par le Client et nécessitent un préavis raisonnable du Client d’au moins trente (30) jours.
  1. Return or Destruction of the Customer’s Personal Data 
    1. Le Client peut, moyennant l’envoi d’une notification écrite à Sinch au plus tard au moment de la résiliation du Contrat principal, demander la restitution et/ou l’attestation de destruction de toutes les copies de ses Données à caractère personnel sous le contrôle ou en la possession de Sinch et des sous-traitants ultérieurs. Sinch devra fournir une copie des Données du Client sous une forme qui peut être lue et traitée par la suite.
    2. Dans les quatre-vingt-dix (90) jours suivant la résiliation du compte, Sinch devra supprimer toutes les données à caractère personnel traitées conformément au présent Accord sur le traitement des données personnelles, à moins que le Client ne demande la restitution des données à caractère personnel comme décrit au paragraphe 11(a) ci-dessus. La présente disposition n’aura aucune incidence sur les éventuelles obligations légales des Parties de conserver des archives pendant les durées de conservation fixées par la loi, par la législation ou par contrat.
    3. Tous les frais supplémentaires liés à la restitution de données à caractère personnel après la résiliation ou l’expiration du Contrat seront à la charge du Client.
  1. Data Transfers 
    1. Le Client reconnaît et convient que, dans le cadre de l’exécution des Services en application du Contrat, Sinch pourra transférer des données à caractère personnel à des sociétés de son groupe. Ces transferts sont nécessaires pour fournir les Services dans le monde entier.
    2. Lorsque des données à caractère personnel sont traitées en dehors du pays où l’entité juridique Sinch contractée est établie, Sinch assurera un niveau adéquat de protection des données à caractère personnel au moyen de Mesures organisationnelles, techniques et contractuelles, comme l’exigent les Lois applicables en matière de protection des données et le présent DPA.
    3. Les Clauses contractuelles types et, si nécessaire, l’addendum du Royaume-Uni, où Sinch agit en qualité d’importateur de données et où le Client agit en qualité d’exportateur de données, sont incorporés au présent contrat. Si l’accord conclu entre Sinch et un sous-traitant ultérieur implique un Transfert restreint, Sinch devra s’assurer que les dispositions des Clauses contractuelles types relatives aux transferts ultérieurs et/ou l’addendum du Royaume-Uni sont intégrés au Contrat principal, ou conclus, de quelque manière que ce soit, entre Sinch et le sous-traitant ultérieur concerné. Le Client s’engage à exercer son droit d’audit, tel que prévu par les Clauses contractuelles types, en demandant à Sinch de réaliser l’audit conformément au Paragraphe 10.
    4. Concernant les transferts de données à caractère personnel depuis l’Union européenne, l’Espace économique européen et/ou leurs États membres, la Suisse et le Royaume-Uni vers des pays qui ne garantissent pas un niveau adéquat de Protection des données au sens des Lois relatives à la protection des données en vigueur dans ces juridictions, dans la mesure où ces transferts sont soumis aux Lois relatives à la protection des données et aux réglementations applicables en la matière, et pour mettre en œuvre des garanties appropriées, les mesures de protection suivantes sont prévues : (1) des Clauses contractuelles types conformément à la décision (UE) 2021/914 de la Commission européenne prise le 4 juin 2021, (2) pour Sinch Email, le Cadre de protection des données UE-États-Unis (le EU-US DPF) et l’extension britannique du EU-US DPF, tels que définis par le ministère américain du Commerce, (3) l’addendum du Royaume-Uni, et (4) des garanties supplémentaires en ce qui concerne les mesures de sécurité, y compris le chiffrement des données, l’agrégation de données, la séparation des contrôles d’accès et les principes de minimisation des données.
  1. Sub-processing 
    1. Par les présentes, le Client donne une autorisation générale à Sinch à faire appel à des sous-traitants ultérieurs conformément au présent Paragraphe 13 et à l’Annexe 1. Sinch devra s’assurer que ces sous-traitants ultérieurs sont liés par des accords écrits qui les obligent à fournir au minimum le niveau de protection des données exigé de Sinch par le présent Accord. Le Client donne également à Sinch l’autorisation spécifique de continuer à faire appel aux sous-traitants ultérieurs auxquels il fait déjà appel à la date du présent Accord, comme indiqué dans la section (b).
    2. Les sous-traitants ultérieurs actuels des Services sont répertoriés sur la page https://sinch.com/fr/legal/data-protection-agreement-sub-processors/ (« Liste des sous-traitants ultérieurs »). À condition que le Client s’abonne aux notifications de nouveaux sous-traitants ultérieurs par le biais du mécanisme d’abonnement disponible à l’adresse https://sinch.com/fr/legal/data-protection-agreement-sub-processors/, Sinch notifie le Client, par le biais de ce mécanisme, trente (30) jours à l’avance, de tout changement envisagé concernant l’ajout ou le remplacement d’un Sous-traitant ultérieur. Si, dans les dix (10) jours ouvrables suivant la réception de cet avis, le Client informe Sinch par écrit de toute objection, pour des motifs raisonnables, à la désignation proposée, Sinch ne nommera pas ce sous-traitant ultérieur proposé tant que des mesures raisonnables n’auront pas été prises afin de répondre à l’objection formulée par le Client et tant que le Client n’aura pas reçu une explication écrite raisonnable concernant les mesures prises. Si Sinch et le Client ne sont pas en mesure de trouver un accord concernant le recours à un sous-traitant ultérieur dans un délai raisonnable, chacune des parties aura le droit de résilier le Contrat principal pour motif valable.
    3. Sinch sera responsable des actes et omissions de tout sous-traitant ultérieur vis-à-vis du Client comme s’il s’agissait de ses propres actes et omissions au titre des questions visées dans le présent Accord.
  1. Governing law and jurisdiction 
    1. Les parties au présent Accord se soumettent par les présentes à la compétence des tribunaux indiqués dans le Contrat principal au titre de tous les litiges ou de toutes les demandes résultant de quelque manière que ce soit du présent Accord, y compris les litiges concernant son existence, sa validité, sa résiliation ou les conséquences de sa nullité.
    2. Le présent Accord ainsi que toutes les obligations non contractuelles ou autres découlant de ou en rapport avec celui-ci sont régis par les lois du pays ou du territoire prévues à cet effet dans le Contrat principal.
    3. Nonobstant ce qui précède au titre du présent Paragraphe (a) et (b), toutes les obligations découlant des Clauses contractuelles types incorporées dans le présent DPA ou en rapport avec celles-ci sont régies par les lois de l’État membre de l’UE spécifié à l’Annexe 1, comme requis pour la validité de ces Clauses contractuelles types conformément à la décision (UE) 2021/914 de la Commission européenne du 4 juin 2021.
  1. Order of precedence 
    1. En ce qui concerne l’objet du présent Accord, en cas de divergences entre les dispositions des présentes et celles de tout autre accord entre les parties, y compris le Contrat principal et (sauf si cela a été expressément convenu de quelque manière que ce soit par écrit et signé au nom des parties) les contrats conclus ou envisagés après la date du présent Accord, les dispositions des présentes prévaudront.
  1. Severance 
    1. Si une stipulation des présentes est invalide ou inapplicable, les autres stipulations du présent Accord resteront en vigueur et de plein effet. Toute stipulation invalide ou inapplicable sera soit (i) modifiée dans la mesure nécessaire pour assurer sa validité et sa force exécutoire, tout en préservant le plus possible les intentions des parties ou, si cela n’est pas possible, (ii) interprétée comme si ladite partie invalide ou inapplicable n’y avait jamais figuré.
  1. Termination 
    1. Le présent Accord et les Clauses contractuelles types prendront fin simultanément et de plein droit avec la résiliation du Contrat principal.

ANNEXE 1

CLAUSES CONTRACTUELLES TYPES

En ce qui concerne les Clauses contractuelles types, les parties conviennent que :

  1. Le Module 2 (du Responsable du traitement au Sous-traitant) s’appliquera lorsque Sinch agira en tant que sous-traitant des données du Client ; le Module 3 (de Sous-traitant à Sous-traitant) s’appliquera lorsque Sinch agira en tant que sous-traitant ultérieur. Pour chaque Module, le cas échéant :
  2. La Clause 7 (Clause d’adhésion) est incorporée ;
  3. Aux fins de la Clause 9.a) (Recours à des sous-traitants ultérieurs), l’Option 2 : autorisation générale écrite s’applique. L’importateur de données a l’autorisation générale de l’exportateur de données de recruter un ou plusieurs sous-traitants ultérieurs à partir d’une liste arrêtée d’un commun accord. L’importateur de données informe expressément par écrit l’exportateur de données de tout changement concernant l’ajout ou le remplacement de sous-traitants ultérieurs qu’il est prévu d’apporter à cette liste au moins trente (30) jours à l’avance ;
  4. La formulation facultative de la Clause 11 (Voies de recours) sur les organes indépendants de résolution n’est pas incorporée ;
  5. Pour l’application de la Clause 13 (Contrôle), l’IMY (Integritetsskyddsmyndigheten), l’autorité suédoise de protection des données, agit en tant qu’autorité de contrôle ;
  6. L’Option 1 de la Clause 17 (Droit applicable) s’applique, et les lois suédoises régissent les Clauses contractuelles types ;
  7. Aux fins de la Clause 18 (Élection de for et juridiction), les tribunaux suédois résoudront tout litige découlant des Clauses contractuelles types ;
  8. L’Annexe IA (Liste des parties) et l’Annexe IB (Description du transfert) doivent être complétées en utilisant les informations et les détails spécifiés dans le Contrat principal et énumérés dans le Paragraphe 3 du présent Accord ;
  9. L’Annexe IB (Description du transfert) est complétée en précisant qu’aucune donnée sensible ne doit être transférée. La fréquence du transfert doit être continue. Pour les transferts à des sous-traitants ultérieurs, l’objet, la nature et la durée du traitement sont les mêmes que ceux de l’importateur de données ;
  10. Aux fins de l’Annexe IC, l’autorité de contrôle compétente, conformément à la Clause 13, est l’IMY (Integritetsskyddsmyndigheten), l’autorité suédoise de protection des données ;
  11. Aux fins de l’Annexe II, les Mesures techniques et organisationnelles sont décrites dans l’Annexe 2 du présent Accord ;
  12. Aux fins de l’Annexe III, la liste des Sous-traitants ultérieurs est mentionnée dans la Clause 13 du présent Accord ;
  13. where the Restricted Transfer is subject to the Regulation as it forms part of the law of England and Wales, Scotland and Northern Ireland (UK GDPR), the Standard Contractual Clauses shall incorporate the UK Addendum completed as follows: 
    1. Aux fins du Tableau 1, la date de début est la date de signature du présent Accord et les renseignements sur les Parties doivent être complétés en utilisant les informations et les détails spécifiés dans le Contrat principal ;
    2. Aux fins du Tableau 2, la version des Clauses contractuelles types approuvées par l’Union européenne, à laquelle l’addendum du Royaume-Uni est ajouté, correspond aux Clauses contractuelles types telles que complétées conformément à l’Annexe 1, la date étant la date d’entrée en vigueur du présent Addendum ;
    3. Aux fins du Tableau 3, les informations sur l’Annexe sont décrites aux paragraphes (h) – (l) de la présente Annexe 1 ; et
    4. Aux fins du Tableau 4, l’entité de Sinch agissant en tant qu’Importateur peut mettre fin à l’addendum du Royaume-Uni lorsque l’Addendum approuvé change.

ANNEXE 2

SÉCURITÉ DE L’INFORMATION – MESURES TECHNIQUES ET ORGANISATIONNELLES

Les Mesures techniques et organisationnelles figurant dans la présente Annexe sont des mesures applicables au(x) Service(s) fournis par Sinch. Si nécessaire, pour l’exercice du ou des Services, Sinch peut inclure d’autres Mesures techniques et organisationnelles dans l’Ordre de service ou le Service.

1) Inventaire des informations et autres actifs associés

Un inventaire des informations et des autres actifs associés, y compris les propriétaires, est élaboré et tenu à jour.Un propriétaire a été désigné pour chaque actif de l’inventaire conformément à la politique d’étiquetage des actifs.

2) Informations d’authentification 

L’attribution et la gestion des informations d’authentification sont contrôlées par un processus de gestion, qui consiste notamment à conseiller le personnel sur le traitement approprié des informations d’authentification.

En particulier :

  • Les caractères autorisés qui peuvent être utilisés ne sont pas limités.
  • La longueur minimale des mots de passe est de 12 caractères et la complexité des mots de passe est imposée.
  • Les questions secrètes ne peuvent pas être utilisées comme seule exigence de réinitialisation du mot de passe.
  • Une vérification par email est requise pour les demandes de changement du mot de passe.
  • Le mot de passe actuel est exigé en plus du nouveau mot de passe lors du changement de mot de passe.
  • Les mots de passe nouvellement créés sont vérifiés par rapport aux listes de mots de passe courants ou aux bases de données de mots de passe divulgués.
  • Les mots de passe des utilisateurs existants sont régulièrement vérifiés pour garantir qu’ils ne sont pas compromis.
  • Les secrets mémorisés doivent être salés et hachés à l’aide d’une fonction de dérivation de clé à sens unique appropriée.
  • Un verrouillage approprié des comptes est appliqué, ainsi qu’une protection contre l’accès à force brute des comptes. 5 échecs de connexion maximum, puis verrouillage pendant 30 minutes.
  • Le dernier mot de passe ne doit pas être réutilisé.
  • L’authentification multifacteurs et l’authentification unique doivent être utilisées dans tous les cas.

3) Droits d’accès

Les droits d’accès aux informations et aux autres actifs associés sont attribués, examinés, modifiés et supprimés conformément à la politique et aux règles de contrôle d’accès propres à l’organisation.

En particulier :

  • Les droits d’accès aux bureaux, aux informations et aux systèmes sont revus tous les trimestres.

4) Préparation des TIC à la continuité des activités

L’état de préparation des TIC est planifié, mis en œuvre, entretenu et testé sur la base des objectifs de continuité des activités et des exigences de continuité des TIC.

En particulier :

  • Toutes les Unités opérationnelles disposent d’un ou de plusieurs Plans de reprise après sinistre spécifiquement adaptés à l’offre produit.
  • Les Plans de reprise après sinistre sont testés chaque année.  

5) Sensibilisation, éducation et formation à la sécurité de l’information

Le personnel de l’organisation et les parties intéressées pertinentes reçoivent une sensibilisation, une éducation et une formation appropriées à la sécurité de l’information, ainsi que des mises à jour régulières de la politique de sécurité de l’information de l’entreprise, des politiques et des procédures spécifiques, en fonction de leur poste.

En particulier :

  • Tous les employés ont été formés dans les 2 semaines suivant la date d’entrée en fonction.
  • Tous les employés ont suivi une formation de sensibilisation à la sécurité de l’information au cours des 12 derniers mois.
  • Le contenu de la formation de sensibilisation à la sécurité de l’information est mis à jour tous les 12 mois.

6) Gestion des capacités

L’utilisation des ressources est contrôlée et ajustée en fonction des besoins actuels et prévus en matière de capacité.

7) Protection contre les malwares

La protection contre les malwares ou logiciels malveillants est mise en œuvre et soutenue par une sensibilisation appropriée des utilisateurs.  Tous les appareils de terminaison doivent être dotés d’un système de détection des points de terminaison EDR (Endpoint detection and response) ou XDR (Extended detection and response).

8) Gestion des vulnérabilités techniques

Des informations sur les vulnérabilités techniques des systèmes d’information utilisés sont obtenues, l’exposition de Sinch à ces vulnérabilités est évaluée et des mesures appropriées sont prises.

En particulier :

  • Une Analyse de vulnérabilité est effectuée tous les 7 jours.
  • Des correctifs de sécurité sont appliqués à tous les composants de la pile d’applications dont le niveau de gravité est supérieur à « moyen », tel que déterminé par l’émetteur du correctif, dans un délai d’un mois (30 jours) après la publication.
  • Un test manuel d’intrusion en boîte noire est réalisé tous les 12 mois.

9) Gestion de la configuration

Les configurations, y compris les configurations de sécurité, du matériel, des logiciels, des services et des réseaux sont établies, documentées, mises en œuvre, surveillées et examinées au regard des normes suivantes : NIST 800-53 et CIS Controls.

10) Sauvegarde des informations

Des copies de Sauvegarde des informations, des logiciels et des systèmes sont conservées et régulièrement testées conformément à la politique de sauvegarde spécifique convenue.  

La routine de sauvegarde spécifie au moins :

  • Les intervalles de sauvegarde (minimum hebdomadaire)
  • Les exigences en matière de conservation
  • L’emplacement du stockage de sauvegarde
  • L’étendue de la sauvegarde (par exemple, données, configurations, sauvegarde complète du système)
  • La stratégie de sauvegarde (par exemple, en ligne ou hors ligne, nombre de sauvegardes, relation entre sauvegarde complète et incrémentale)
  • Des tests de restauration des sauvegardes sont effectués au moins une fois par trimestre pour les systèmes critiques et au moins une fois par an pour tous les autres systèmes.

11) Activités de suivi

Les réseaux, les systèmes et les applications sont surveillés pour détecter tout comportement anormal et des mesures appropriées sont prises pour évaluer les incidents potentiels en matière de sécurité de l’information.Les réseaux, les systèmes et les applications sont surveillés afin de détecter les comportements anormaux et malveillants et de détecter les incidents de sécurité potentiels.

12) Sécurité des réseaux

Les réseaux et les appareils en réseau sont sécurisés, gérés et contrôlés afin de protéger les informations contenues dans les systèmes et les applications.

Par exemple :

  • Les données sont chiffrées au repos sur les serveurs, les applications et les bases de données (AES256 au minimum). Les données sont chiffrées en transit (TLS 1.2 ou supérieur).
  • Les rapports et le suivi sont effectués de manière appropriée afin de permettre l’enregistrement et la détection des actions susceptibles d’affecter la sécurité de l’information, y compris l’EDR/XDR, ou de s’y rapporter.
  • Le propriétaire du produit doit tenir à jour la documentation, y compris les diagrammes de réseau et les fichiers de configuration des dispositifs (par exemple, routeurs, commutateurs).
  • Les dispositifs en réseau sont durcis.
  • Les canaux d’administration du réseau sont séparés du reste du trafic du réseau.

13) Gestion du cycle de vie des systèmes

Des règles pour le développement sécurisé des logiciels et des systèmes sont établies et appliquées.   

Par exemple, pour Sinch :

  • Le système est conçu de manière sécurisée en utilisant la modélisation des menaces si nécessaire.
  • Il existe un plan pour maintenir le système conformément au contrôle de la gestion des vulnérabilités.
  • Il existe un propriétaire du système.
  • Il existe un plan de remplacement du système (politique de l’héritage zéro).

14) Tests de sécurité dans le cadre du développement et de l’acceptation

Les processus de test de sécurité sont définis et mis en œuvre dans le cadre du cycle de développement.

  • Des SAST et des scans de détection des vulnérabilités et des secrets sont effectués dans les pipelines CI/CD. Si possible, des DAST sont effectués.
  • Aucune vulnérabilité critique ou élevée n’a été corrigée avant la mise à disposition des clients.
  • L’infrastructure réseau est gérée en toute sécurité.
  • Tous les projets suivent les Listes de contrôle de sécurité de sortie des produits.

15) Mesures visant à assurer la sécurité physique des lieux où sont traitées les données à caractère personnel

Des mesures de sécurité physique et environnementale ont été mises en œuvre chez Sinch.

Par exemple, pour Sinch :

  • Des périmètres de sécurité sont définis et utilisés pour protéger les zones qui contiennent des informations et d’autres actifs associés.
  • Les zones sécurisées sont protégées par des contrôles d’entrée et des points d’accès appropriés.
  • La sécurité physique des bureaux, des salles et des installations est planifiée et mise en œuvre.
  • Les locaux sont surveillés en permanence afin de détecter tout accès physique non autorisé.
  • La protection contre les menaces physiques et environnementales, telles que les catastrophes naturelles et d’autres menaces physiques intentionnelles ou non intentionnelles contre les infrastructures, est planifiée et mise en œuvre.
  • Des mesures de sécurité pour le travail dans les zones sécurisées sont planifiées et mises en œuvre.
  • Des règles claires pour les papiers et les supports de stockage amovibles et des règles claires pour les écrans des installations de traitement des informations sont définies et appliquées de manière appropriée.
  • L’équipement est installé de manière sûre et protégée.
  • Les actifs hors site sont protégés.
  • Les supports de stockage sont gérés tout au long de leur cycle de vie (acquisition, utilisation, transport et élimination) conformément au système de classification et aux exigences de manipulation de l’entreprise.
  • Les installations de traitement de l’information sont protégées contre les pannes de courant et autres perturbations causées par des défaillances des services publics.
  • Les câbles transportant l’énergie, des données ou des services d’information complémentaires sont protégés contre les interceptions, les interférences et les dommages.
  • L’équipement est entretenu correctement afin de garantir la disponibilité, l’intégrité et la confidentialité des informations.
  • Les équipements contenant des supports de stockage sont vérifiés pour s’assurer que les données sensibles et les logiciels sous licence ont été supprimés ou écrasés de manière sécurisée avant l’élimination ou la réutilisation.

Sinch a également mis en place un Système de gestion de sécurité de l’information, conformément à la norme ISO/IEC 27001:2022.

16) Mesures visant à garantir une conservation limitée des données

Des mesures visant à garantir une conservation limitée des données à caractère personnel ont été mises en œuvre.

Par exemple, Sinch :

  • Une politique de conservation des données a été mise en place, définissant clairement les types spécifiques de données qui seront collectées, leur durée de conservation et leur date de suppression.
  • Des processus de suppression automatisés ont été mis en place.
  • La politique de conservation est régulièrement revue et mise à jour.
  • La collecte de données est limitée à ce qui est nécessaire aux fins spécifiques de l’entreprise.
  • Les employés sont formés à la conservation des données.
  • La conservation des données est régulièrement revue et surveillée.
  • Le chiffrement est utilisé pour protéger les données conservées, afin de réduire le risque d’accès ou de divulgation non autorisés.

17) Mesures visant à garantir la responsabilité

Des Mesures techniques et organisationnelles appropriées ont été mises en œuvre pour répondre aux exigences en matière de responsabilité.

Par exemple, pour Sinch :

  • Des politiques de protection des données ont été adoptées et mises en œuvre.
  • Une approche de « protection des données dès la conception et par défaut » a été adoptée.
  • Des contrats écrits ont été signés avec les organisations qui traitent les données à caractère personnel au nom de Sinch.
  • Les activités de traitement ont été documentées.
  • Des analyses de l’impact relatives à la protection des données ont été menées.
  • Un Délégué à la protection des données pour le Groupe a été nommé. 

18) Mesures visant à permettre la portabilité des données et à garantir leur effacement

Des mesures permettant l’exercice des droits des personnes concernées sont mises en œuvre au sein de Sinch.

Par exemple, Sinch :

  • Efface les données à caractère personnel des systèmes de sauvegarde ainsi que des systèmes actifs si nécessaire, et indique clairement à la personne concernée ce qu’il adviendra de ses données.
  • Contacte chaque destinataire pour l’informer de l’effacement, si les données à caractère personnel sont divulguées à d’autres personnes, à moins que cela ne soit impossible ou n’implique des efforts disproportionnés. Si des données à caractère personnel ont été rendues publiques dans un environnement en ligne, l’entreprise prend des mesures raisonnables pour informer les autres responsables du traitement, s’ils traitent ces données, afin qu’ils effacent les liens vers ces données, ainsi que les copies ou réplications de celles-ci.
  • Informe la personne concernée des tiers qui ont reçu les données à caractère personnel lorsqu’elle en fait la demande.
  • Fournit les données à caractère personnel dans un format structuré, couramment utilisé et lisible par machine, lorsque cela est demandé. Dans la mesure du possible et si une personne le demande, l’entreprise peut transmettre directement les informations à une autre organisation.

19) Mesures visant à assurer la minimisation des données

Des mesures visant à réduire la quantité de données traitées sont mises en œuvre.

Par exemple, pour chaque activité de traitement, Sinch :

  • A mis en œuvre des mesures garantissant que la collecte de données à caractère personnel est adéquate, pertinente et strictement limitée à ce qui est nécessaire au regard des fins auxquelles elles sont traitées.
  • A déterminé ne pas pouvoir atteindre les objectifs de son activité de traitement avec des données portant moins atteinte à la vie privée (par exemple, en travaillant avec des données moins granulaires) ou un processus moins intrusif (c’est-à-dire en utilisant des moyens moins intrusifs).
  • A documenté les besoins de chaque champ de données en fonction de l’objectif poursuivi.

ANNEXE 3

DÉVIATIONS

  1. Deviations. 
    1. For Customers and contracts in Brazil, in addition to what is agreed upon in this DPA, the established obligations will adopt the following word and guidelines: 
      1. The definitions highlighted below shall replace the ones used in this DPA: 
        1. Les « Catégories spéciales de données à caractère personnel » désignent les Données à caractère personnel sensibles, c’est-à-dire les données concernant l’origine raciale ou ethnique, les convictions religieuses, les opinions politiques, l’appartenance à un syndicat ou à une organisation religieuse, philosophique ou politique, les données relatives à la santé ou à la vie sexuelle d’une personne physique, les données génétiques ou biométriques, lorsqu’elles se rapportent à une personne physique.
        2. Les « Lois applicables en matière de protection des données » désignent la loi générale sur la protection des données du Brésil (loi n<sup>o</sup> 13.709/2018) (« LGPD ») et le RGPD, tels que transposés dans la législation nationale de chaque État membre (et du Royaume-Uni) et tels que modifiés, remplacés ou annulés de temps à autre, et les lois mettant en œuvre, remplaçant ou complétant le RGPD et toutes les lois applicables au traitement des Données à caractère personnel du client, y compris le California Consumer Privacy Act de 2018, Cal. Civ. Code § 1798.100 et seq (« CCPA »).
        3. Le « Traitement des données » désigne toute opération effectuée sur des données à caractère personnel, telle que la collecte, la production, la réception, la classification, l’utilisation, l’accès, la reproduction, la transmission, la distribution, le traitement, l’archivage, le stockage, l’élimination, l’évaluation ou le contrôle des informations, la modification, la communication, le transfert, la diffusion ou l’extraction.
        4. Les termes « consentement », « sous-traitant », « responsable du traitement », « personne concernée », « données à caractère personnel », « traitement » et « autorité nationale » ont la signification qui leur est attribuée dans la LGPD. En l’absence de définition spécifique dans la LGPD, la définition figurant à l’Article 4 du RGPD est adoptée pour les termes suivants : « tiers », « violation de données à caractère personnel », « sous-traitant ultérieur » et « autorité(s) de contrôle ».
      2. La section 3(b) adopte le libellé suivant :
        Sinch ne traitera les Données à caractère personnel du client qu’aux fins suivantes : (i) remplir ses obligations au titre du Contrat principal ; (ii) l’exercice régulier des droits, y compris dans le cadre de contrats et de procédures judiciaires, administratives et arbitrales ; (iii) assurer la prévention de la fraude et la sécurité de la personne concernée ; et (iv) conformément aux instructions documentées décrites dans le présent DPA ou à d’autres instructions données par le Client de temps à autre. Toutes instructions de ce type du Client devront être documentées dans la commande, la description des services ou le ticket de support applicable ou dans toute autre communication écrite ou de la manière indiquée par le Client utilisant les Services (notamment via une API ou un panneau de contrôle).
      3. Les dispositions de la Clause 13(b) ne s’appliquent pas.
      4. La section 6(b) adopte le libellé suivant :
        Les procédures opérationnelles internes des deux parties doivent être conformes aux exigences spécifiques d’une gestion efficace de la Protection des données et de la sécurité de l’information, y compris, mais sans s’y limiter, la gestion de l’accès, la prévention de la fraude et l’utilisation non autorisée des services de Sinch.
    2. For Customers and contracts in Colombia, in addition to what is agreed upon in this DPA, the following is applicable concerning the definition of the term “Applicable Data Protection Laws” as well the processing and transfer of personal data:  
      1. Les « Lois applicables en matière de protection des données » désignent la Loi statutaire colombienne 1581 de 2012 et le Décret réglementaire 1377 de 2013, et d’autres règlements qui modifient, remplacent ou complètent les textes susmentionnés, ainsi que le RGPD, tel que transposé dans la législation nationale de chaque État membre (et du Royaume-Uni) et tel que modifié, remplacé ou annulé de temps à autre, et les lois mettant en œuvre, remplaçant ou complétant le RGPD et toutes les lois applicables au traitement des Données à caractère personnel du client, y compris le California Consumer Privacy Act de 2018, Cal. Civ. Code § 1798.100 et seq (« CCPA »).
      2. « Le Responsable du traitement reconnaît que le Sous-traitant peut transférer, stocker et traiter des Données à caractère personnel dans des territoires situés en dehors de la Colombie, où elles seront soumises aux lois des juridictions étrangères dans lesquelles elles sont détenues. Le Responsable du traitement reconnaît qu’il possède toutes les autorisations préalables nécessaires des personnes concernées et tous les enregistrements de bases de données qui permettraient au Sous-traitant de traiter les données dans des bases de données et dans des pays qui répondent au moins aux mêmes normes de protection des données (niveau de protection adéquat) que celles prévues par les lois colombiennes (telles que, sans s’y limiter, la Loi statutaire 1581 de 2012, le Décret réglementaire 1377 de 2013, le Décret n<sup>o</sup> 90 de 2018, la Circulaire unique de la Surintendance de l’industrie et du commerce et la Circulaire externe n<sup>o</sup> 005 de 2017 de la Surintendance de l’industrie et du commerce, ainsi que d’autres réglementations qui modifient, remplacent ou complètent les textes susmentionnés). »
    3. Pour les Clients et les contrats en Argentine, en plus de ce qui est convenu dans le présent Accord, les dispositions suivantes s’appliquent au traitement et au transfert de données à caractère personnel : le Client reconnaît qu’il dispose de toutes les autorisations préalables nécessaires des personnes concernées pour le traitement et le transfert de données à caractère personnel, y compris les données sensibles, le cas échéant, à Sinch. Les parties reconnaissent et acceptent que le traitement des données à caractère personnel sera effectué conformément à la loi n<sup>o</sup> 25.326 (« Loi de protection des données à caractère personnel de la République d’Argentine ») et aux dispositions et résolutions émises par l’Agence pour l’accès à l’information publique. Le transfert de données à caractère personnel vers des pays ou des organisations internationales ou supranationales ne sera effectué que si les Destinataires offrent des niveaux de protection adéquats.
    4. For Customers and contracts in Uruguay, in addition to what is agreed upon in this DPA, the following applies concerning the processing and transfer of personal data: 
      1. Le Responsable du traitement reconnaît qu’il dispose de toutes les autorisations préalables nécessaires de la part des personnes concernées et de tous les enregistrements de base de données qui permettraient à Sinch de traiter les données à caractère personnel et de les transférer et/ou de les transmettre à des pays qui respectent au moins les mêmes normes de protection des données à caractère personnel (niveau de protection adéquat) que celles prévues par la législation uruguayenne, telles que, sans s’y limiter, la Loi n<sup>o</sup> 18.331, le Décret réglementaire n<sup>o</sup> 414/009 et la Loi n<sup>o</sup> 19.670, ainsi que d’autres réglementations qui modifient, remplacent ou complètent les textes susmentionnés.
      2. Les dispositions de la Clause 13(b) ne s’appliquent pas.
    5. Pour les Clients et les contrats au Mexique, outre ce qui est convenu dans le présent Accord, les définitions mises en évidence ci-dessous remplacent les définitions utilisées dans le présent Accord :
      Les « Lois applicables en matière de protection des données » désignent la Loi fédérale mexicaine sur la Protection des Données à caractère personnel détenues par des Parties privées (« LFPDPPP »), et d’autres règlements qui modifient, remplacent ou complètent les textes susmentionnés, ainsi que le RGPD, tel que transposé dans la législation nationale de chaque État membre (et du Royaume-Uni) et tel que modifié, remplacé ou annulé de temps à autre, et les lois mettant en œuvre, remplaçant ou complétant le RGPD et toutes les lois applicables au traitement des Données à caractère personnel du client, y compris le California Consumer Privacy Act de 2018, Cal. Civ. Code § 1798.100 et seq (« CCPA »).