Juridique

Accord sur le Traitement des Données Personnelles

Version 8 – Date de publication : 29 octobre 2025

Le présent Accord sur le Traitement des Données Personnelles (le présent « DPA ») fait partie de et est sujet à l’accord de services sous-jacent (le « Contrat principal ») conclu entre l’entité Sinch (« Sinch ») et l’entité cliente (le « Client »), qui ont conclu ce Contrat principal pour la fourniture de services par Sinch au Client. Le présent Accord sur le Traitement des Données Personnelles s’applique à Sinch et au Client, ainsi qu’à leurs affiliés respectifs. Les parties au présent Accord sur le Traitement des Données Personnelles sont identiques à celles du Contrat principal.

Définitions. Aux fins du présent Accord sur le Traitement des Données Personnelles, les termes commençant par une majuscule ont le sens prévu ci-après. Les termes commençant par une majuscule qui ne sont pas définis dans les présentes auront la signification qui leur est conférée dans le Contrat principal.
1. « Données à caractère personnel du Client » désigne toutes les données à caractère personnel traitées par Sinch pour le compte du Client afin de fournir les Services en vertu du Contrat principal.
2. « Lois applicables en matière de protection des données » désigne le RGPD, tel que transposé dans la législation nationale de chaque État membre (et du Royaume-Uni) et tel que modifié, remplacé ou substitué de temps à autre, et les lois mettant en œuvre, remplaçant ou complétant le RGPD et toutes les lois applicables au traitement des Données à caractère personnel du client, y compris le California Consumer Privacy Rights Act de 2020, qui modifie le California Consumer Privacy Act de 2018 Cal. Civ. Code § 1798.100 et seq (« CCPA »).
3. « RGPD » désigne le Règlement Général sur la Protection des Données (UE) 2016/679 sur la protection des personnes physiques à l’égard du traitement des données à caractère personnel et de la libre circulation de ces données.
4. « Infrastructure Sinch » désigne (i) les installations physiques de Sinch ; (ii) l’infrastructure cloud hébergée ; (iii) le réseau d’entreprise de Sinch et le réseau interne non public, les logiciels et le matériel nécessaires pour fournir les Services et qui sont contrôlés par Sinch ; dans chaque cas, dans la mesure où ils sont utilisés pour fournir les Services.
5. « Transfert restreint » désigne un transfert de Données à caractère personnel du client de Sinch à un sous-traitant ultérieur, si ce transfert était interdit par les Lois applicables en matière de protection des données (ou par les modalités des accords de transfert de données mis en place pour répondre à des restrictions de transfert de données imposées par les Lois applicables en matière de protection des données) en l’absence de garanties appropriées imposées au regard de transferts de ce type en vertu des Lois applicables en matière de protection des données.
6. « Services » désigne les services fournis au Client par Sinch en vertu du Contrat principal.
7. « Clauses contractuelles types » désigne la dernière version des clauses contractuelles types pour le transfert de données à caractère personnel vers des sous-traitants établis dans des pays tiers en vertu du RGPD (la version en vigueur à la date du présent Accord sur le Traitement des Données Personnelles figure en annexe de la décision (UE) 2021/914 de la Commission européenne en date du 4 juin 2021).
8. « Addendum RU » désigne l’Addendum du Royaume-Uni (International Data Transfer Addendum to the EU Commission Standard Contractual Clauses) défini à l’adresse https://ico.org.uk/media2/migrated/4019539/international-data-transfer-addendum.pdf
9. Les termes « consentement », « responsable du traitement », « personne concernée », « État membre », « données à caractère personnel », « violation de données à caractère personnel », « sous-traitant », « sous-traitant ultérieur », « traitement », « autorité de contrôle » et « tiers » ont la signification qui leur est attribuée à l’article 4 du RGPD ou du CCPA, dans les cas où le CCPA est applicable.

Conformité aux Lois applicables en matière de protection des données
1. Sinch et le Client se conformeront chacun aux dispositions et obligations imposées par les Lois applicables en matière de protection des données et s’assureront que leurs employés et sous-traitants ultérieurs respectent les dispositions des Lois applicables en matière de protection des données.

Détails et champ d’application du Traitement
1. Le Traitement des Données à caractère personnel du Client dans le cadre du présent Accord sera réalisé conformément aux stipulations suivantes et tel que l’imposent les lois applicables en matière de protection des données. Les parties peuvent modifier ces informations à tout moment dans la mesure où elles considèrent que cela est raisonnablement nécessaire pour satisfaire à ces exigences.
  1. Objet et durée du traitement des données à caractère personnel : l’objet et la durée du traitement des données à caractère personnel sont définis dans le Contrat principal.
  2. La nature et la finalité du traitement des données à caractère personnel : En vertu du Contrat principal, Sinch fournit certains services, tels que la messagerie, l’email, les appels vocaux et d’autres services de communication, comme décrit plus en détail dans le Contrat principal, au Client, ce qui implique le traitement de données à caractère personnel. Sous réserve de la section 3(a)(iv), ces activités de traitement incluent (a) la fourniture des Services ; (b) la détection, la prévention et la résolution de problèmes de sécurité et techniques ; et (c) la réponse aux demandes de support du Client.
  3. Les types de données à caractère personnel à traiter : Les données à caractère personnel transmises au réseau de Sinch, dont l’étendue est déterminée et contrôlée par le Responsable du traitement à son entière discrétion, peuvent inclure des noms, adresses email, numéros de téléphone, adresses IP et autres données à caractère personnel figurant dans les listes de contacts et le contenu des messages ou des appels.
  4. Exclusion du responsable du traitement des données indépendant : Nonobstant toute autre disposition des présentes, lors du traitement des données à caractère personnel dans le cadre de la fourniture de services de communication dans le cadre des Services, y compris la transmission et l’échange de SMS via des réseaux de télécommunication, ainsi que d’autres types de messages et de communications, dont les emails, la voix et tout autre média via d’autres plateformes de communication, indépendamment du fait que le Client agisse en tant que responsable du traitement ou sous-traitant, Sinch agit en tant que responsable du traitement des données indépendant, et non en tant que responsable conjoint du traitement, afin de fournir ses services de communication et d’exécuter ses fonctions et activités nécessaires en tant que fournisseur de services de communication et de services à valeur ajoutée (SVA), y compris les mesures nécessaires pour prévenir le spam et la fraude, et le contrôle, la sécurité et la maintenance de son réseau, la gestion de ses activités et de ses fonctions de conformité, et conformément à ses obligations en vertu des lois applicables.
  5. Catégories de personnes concernées auxquelles les données à caractère personnel se rapportent : expéditeurs et destinataires des emails et SMS, des appels vocaux et de tout autre type de communication.
2. Sinch ne traitera les Données à caractère personnel du client que (i) pour remplir ses obligations en vertu du Contrat principal et (ii) conformément aux instructions documentées décrites dans le présent Accord sur le Traitement des Données Personnelles ou selon les autres instructions ponctuelles du Client. Toutes instructions de ce type du Client devront être documentées dans la commande, la description des services ou le ticket de support applicable ou dans toute autre communication écrite ou de la manière indiquée par le Client utilisant les Services (notamment via une API ou un panneau de contrôle).
3. Si Sinch estime raisonnablement qu’une instruction du Client est contraire aux dispositions du Contrat principal ou du présent Accord sur le Traitement des Données Personnelles, ou qu’elle contrevient au RGPD ou à d’autres dispositions applicables en matière de protection des données, elle en informera le Client sans délai. Dans les deux cas, Sinch sera autorisé à reporter l’exécution de l’instruction en question jusqu’à ce qu’elle soit modifiée par le Client ou convenue d’un commun accord par le Client et Sinch.
4. Le Client est seul responsable de son utilisation et de la gestion des données à caractère personnel soumises ou transmises par les Services, y compris : (i) vérifier les informations du destinataire, telles que le numéro de téléphone ou l’adresse, et qu’elles sont correctement saisies dans les Services, (ii) notifier raisonnablement à tout destinataire la nature non sécurisée de l’email ou de la messagerie comme moyen de transmission de données à caractère personnel (le cas échéant), (iii) limiter raisonnablement la quantité ou le type d’informations divulguées via les Services, (iv) chiffrer toute donnée à caractère personnel transmise par les Services lorsque cela est approprié ou requis par la loi applicable (par exemple grâce à l’utilisation de pièces jointes chiffrées, d’ensembles d’outils PGP ou S/MIME). Si le Client décide de ne pas configurer le chiffrement obligatoire, celui-ci reconnaît que les Services peuvent inclure la transmission d’emails non chiffrés en clair sur l’Internet public et des réseaux ouverts. Les informations téléchargées sur les Services, y compris le contenu des messages, sont stockées sous une forme chiffrée lorsqu’elles sont traitées par l’infrastructure de Sinch.

Responsable du traitement et Sous-traitant
1. Aux fins du présent Accord sur le Traitement des Données Personnelles, le Client est le responsable du traitement des Données à caractère personnel du Client et Sinch en est le sous-traitant, sauf lorsque le Client agit en qualité de sous-traitant des Données à caractère personnel du Client, auquel cas Sinch en est le sous-traitant ultérieur.
2. Sinch devra à tout moment disposer d’un responsable chargé d’aider le Client (i) à répondre aux demandes d’informations concernant le Traitement des données reçues de la part des personnes concernées ; et (ii) à remplir toutes les exigences en matière d’informations légales et de divulgation qui s’appliquent et sont associées au Traitement des données. Cette assistance peut être demandée à l’adresse dpo@sinch.com.
3. Le Client garantit les éléments suivants :
  1. Le traitement des Données à caractère personnel du Client s’appuie sur des fondements juridiques, comme l’imposent les Lois applicables en matière de protection des données, et celui-ci a obtenu et conservera pendant toute la durée du Contrat principal l’ensemble des droits, autorisations, enregistrements et consentements imposés par celles-ci au regard du traitement par Sinch des Données à caractère personnel du Client en vertu du présent Accord sur le Traitement des Données Personnelles et du Contrat principal ;
  2. il est autorisé à et dispose de l’ensemble des droits, autorisations et consentements nécessaires pour transférer les Données à caractère personnel du Client à Sinch et pour autoriser par ailleurs Sinch à traiter les Données à caractère personnel du Client en son nom, afin que Sinch puisse utiliser, traiter et transférer légalement les Données à caractère personnel du Client dans le cadre de l’exécution des Services et satisfaire à l’ensemble des autres droits et obligations de Sinch en vertu du présent Accord sur le Traitement des Données Personnelles et du Contrat principal ;
  3. il informera les Personnes concernées de son recours à des Sous-traitants aux fins du Traitement de leurs données à caractère personnel, dans la mesure prescrite par les Lois applicables en matière de protection des données ; et,
  4. il répondra, dans un délai raisonnable et dans la mesure de ce qui s’avérera raisonnablement possible, aux demandes de renseignements soumises par les Personnes concernées concernant le Traitement de leurs données à caractère personnel, et donnera des instructions appropriées à Sinch en temps opportun.

Confidentialité
1. Sinch s’assurera que chaque membre de son personnel et de celui des sous-traitants ultérieurs autorisés à traiter les Données à caractère personnel du Client est soumis à des accords de confidentialité ou à des obligations professionnelles ou légales de confidentialité et qu’il est formé aux exigences de sécurité et de Protection des données pertinentes.

Mesures techniques et organisationnelles
1. Sinch devra, en ce qui concerne les Données à caractère personnel du client, (a) prendre et documenter les mesures raisonnables et appropriées, telles que décrites à l’Annexe 2, concernant la sécurité de l’Infrastructure Sinch et des plateformes utilisées pour fournir les Services tel que décrit dans le Contrat principal, et (b) sur demande raisonnable aux frais du Client, aider le Client à garantir la conformité avec les obligations du Client en vertu des Lois applicables en matière de protection des données.
2. Les procédures opérationnelles internes de Sinch devront respecter les exigences spécifiques d’une gestion efficace de la Protection des données.

Demandes de Personnes concernées
1. Sinch fournit des outils spécifiques pour aider les clients à répondre aux demandes émanant de personnes concernées. Il s’agit notamment de nos API et interfaces de recherche d’événements, de suppression et de récupération du contenu des messages. Lorsque Sinch reçoit une réclamation, une question ou une demande (y compris les demandes émanant de personnes concernées afin d’exercer leurs droits en vertu des Lois applicables en matière de protection des données) concernant les Données à caractère personnel du Client, directement de la part d’une personne concernée, Sinch en informera le Client. Compte tenu de la nature du traitement, Sinch assistera le Client, par des Mesures techniques et organisationnelles appropriées, dans la mesure de ce qui s’avérera raisonnablement possible, aux fins de l’exécution de l’obligation qui incombe au Client de répondre aux demandes de personnes concernées souhaitant exercer leurs droits.

Violations de données à caractère personnel
1. Sinch doit informer le Client dans les meilleurs délais dès que Sinch a connaissance d’une violation de données à caractère personnel affectant les Données à caractère personnel du Client. Sinch devra, compte tenu de la nature du traitement et des informations mises à la disposition de Sinch, prendre toutes les mesures commercialement raisonnables pour fournir au Client suffisamment d’informations pour lui permettre, aux frais de celui-ci, de se conformer à toute obligation de notifier ou d’informer les autorités de réglementation, les personnes concernées et d’autres entités de cette violation de données à caractère personnel dans la mesure requise par les Lois applicables en matière de protection des données.

Analyses d’impact relatives à la protection des données
1. Sinch devra, compte tenu de la nature du traitement et des informations mises à sa disposition, fournir une assistance raisonnable au Client, aux frais de celui-ci, dans le cadre de toute analyse d’impact relative à la protection des données et des consultations préalables avec les autorités de contrôle ou autres autorités de réglementation compétentes dans la mesure nécessaire pour permettre au Client de se conformer à ses obligations en vertu des Lois applicables en matière de protection des données.

Audits
1. Sinch mettra à la disposition du Client, sur demande raisonnable, les informations raisonnablement nécessaires pour démontrer la conformité au présent Accord sur le Traitement des Données Personnelles.
2. Le Client, ou un auditeur tiers mandaté par ce dernier, pourra, sur demande écrite raisonnable, procéder à une inspection des activités de Traitement des Données à caractère personnel du Client menées par Sinch dans la mesure de ce qui s’avérera nécessaire en vertu des Lois relatives à la protection des données, sans interrompre les activités commerciales de Sinch et en garantissant la confidentialité.
3. Le droit d’audit tel que décrit dans le Paragraphe 10(b) ci-dessus deviendra applicable pour le Client, dans le cas où Sinch n’aurait pas fourni de preuves suffisantes de sa conformité avec les dispositions du présent Accord sur le Traitement des Données Personnelles. Les preuves suffisantes incluent la fourniture soit : (i) d’une certification de conformité à la norme ISO 27001 ou à d’autres normes mises en œuvre par Sinch (périmètre tel que défini dans le certificat) ; soit (ii) d’un rapport d’audit ou d’attestation d’un tiers indépendant. Un audit tel que décrit dans le présent Paragraphe 10 sera réalisé aux frais et dépens du Client et nécessite un préavis raisonnable de la part du Client d’au moins trente (30) jours.

Restitution ou destruction des Données à caractère personnel du client
1. Le Client peut, moyennant l’envoi d’une notification écrite à Sinch au plus tard au moment de la résiliation du Contrat principal, demander la restitution et/ou l’attestation de destruction de toutes les copies de ses Données à caractère personnel sous le contrôle ou en la possession de Sinch et des sous-traitants ultérieurs. Sinch devra fournir une copie des Données du client sous une forme pouvant être lue et traitée ultérieurement.
2. Dans les quatre-vingt-dix (90) jours suivant la résiliation du compte, Sinch devra supprimer toutes les données à caractère personnel traitées conformément au présent Accord sur le traitement des données personnelles, à moins que le Client ne demande la restitution des données à caractère personnel comme décrit au paragraphe 11(a) ci-dessus. La présente disposition n’aura aucune incidence sur les éventuelles obligations légales des Parties de conserver des archives pendant les durées de conservation fixées par la loi, par la législation ou par contrat.
3. Tous les frais supplémentaires liés à la restitution de données à caractère personnel après la résiliation ou l’expiration du Contrat seront à la charge du Client.

Transferts de données
1. Le Client reconnaît et convient que, dans le cadre de l’exécution des Services en application du Contrat, Sinch pourra transférer des données à caractère personnel à des sociétés de son groupe. Ces transferts sont nécessaires pour fournir les Services à l’échelle mondiale.
2. Chaque fois que des données à caractère personnel sont traitées en dehors du pays où l’entité juridique Sinch contractée est établie, Sinch assurera un niveau adéquat de protection des données à caractère personnel au moyen de mesures organisationnelles, techniques et contractuelles, comme l’exigent les Lois applicables en matière de protection des données et le présent Accord sur le Traitement des Données Personnelles.
3. Les Clauses contractuelles types et, si nécessaire, l’addendum du Royaume-Uni, où Sinch agit en qualité d’importateur de données et où le Client agit en qualité d’exportateur de données, sont incorporés au présent Accord sur le Traitement des Données Personnelles. Si l’accord conclu entre Sinch et un sous-traitant ultérieur implique un Transfert restreint, Sinch devra s’assurer que les dispositions des Clauses contractuelles types relatives aux transferts ultérieurs et/ou l’addendum du Royaume-Uni sont intégrés au Contrat principal, ou conclus, de quelque manière que ce soit, entre Sinch et le sous-traitant ultérieur concerné. Le Client s’engage à exercer son droit d’audit, tel que prévu par les Clauses contractuelles types, en demandant à Sinch de réaliser l’audit conformément au Paragraphe 10.
4. Concernant les transferts de données à caractère personnel depuis l’Union européenne, l’Espace économique européen et/ou leurs États membres, la Suisse et le Royaume-Uni vers des pays qui ne garantissent pas un niveau adéquat de Protection des données au sens des Lois relatives à la protection des données des territoires susmentionnés, dans la mesure où ces transferts sont soumis aux Lois et Réglementations relatives à la protection des données et pour mettre en œuvre des garanties appropriées, les garanties suivantes sont prises : (i) des Clauses contractuelles types conformément à la décision 2021/914/UE de la Commission européenne du 4 juin 2021, (2) pour Sinch Email, le Cadre de confidentialité des données UE-États-Unis (EU-US DPF) et l’extension britannique du EU-US DPF, tels que définis par le ministère américain du Commerce, (3) l’addendum du Royaume-Uni, et (4) des garanties supplémentaires en ce qui concerne les mesures de sécurité, y compris le chiffrement des données, l’agrégation de données, la séparation des contrôles d’accès et les principes de minimisation des données.

Sous-traitance ultérieure
1. Par les présentes, le Client donne une autorisation générale à Sinch à faire appel à des sous-traitants ultérieurs conformément au présent Paragraphe 13 et à l’Annexe 1. Sinch devra s’assurer que ces sous-traitants ultérieurs sont liés par des accords écrits qui les obligent à fournir au minimum le niveau de protection des données exigé de Sinch par le présent Accord sur le Traitement des Données Personnelles. Le Client donne également à Sinch l’autorisation spécifique de continuer à faire appel aux sous-traitants ultérieurs auxquels il fait déjà appel à la date du présent Accord sur le Traitement des Données Personnelles, comme indiqué dans la section (b).
2. Les sous-traitants ultérieurs actuels pour les Services sont répertoriés à l’adresse https://sinch.com/fr/legal/data-protection-agreement-sub-processors/ (« Liste des sous-traitants ultérieurs »). À condition que le Client s’inscrive aux notifications de nouveaux sous-traitants ultérieurs par le biais du mécanisme d’abonnement disponible à l’adresse https://sinch.com/fr/legal/data-protection-agreement-sub-processors/, Sinch notifiera le Client, par le biais de ce mécanisme, trente (30) jours à l’avance de tout changement envisagé concernant l’ajout ou le remplacement d’un Sous-traitant ultérieur. Si, dans les dix (10) jours ouvrables suivant la réception de cet avis, le Client informe Sinch par écrit de toute objection, pour des motifs raisonnables, à la désignation proposée, Sinch ne nommera pas ce sous-traitant ultérieur proposé tant que des mesures raisonnables n’auront pas été prises afin de répondre à l’objection formulée par le Client et tant que le Client n’aura pas reçu une explication écrite raisonnable concernant les mesures prises. Si Sinch et le Client ne sont pas en mesure de trouver un accord concernant le recours à un sous-traitant ultérieur dans un délai raisonnable, chacune des parties aura le droit de résilier le Contrat principal pour motif valable.
3. Sinch sera responsable des actes et omissions de tout sous-traitant ultérieur vis-à-vis du Client comme s’il s’agissait de ses propres actes et omissions au titre des questions visées dans le présent Accord sur le Traitement des Données Personnelles.

Droit applicable et compétence
1. Les parties au présent Accord sur le Traitement des Données Personnelles se soumettent par les présentes à la compétence des tribunaux indiqués dans le Contrat principal au titre de tous les litiges ou de toutes les demandes résultant de quelque manière que ce soit du présent Accord sur le Traitement des Données Personnelles, y compris les litiges concernant son existence, sa validité, sa résiliation ou les conséquences de sa nullité.
2. Le présent Accord sur le Traitement des Données Personnelles ainsi que toutes les obligations non contractuelles ou autres découlant de ou en rapport avec celui-ci sont régis par les lois du pays ou du territoire prévues à cet effet dans le Contrat principal.
3. Nonobstant ce qui précède aux paragraphes (a) et (b), toutes les obligations découlant des Clauses contractuelles types incorporées dans le présent Accord sur le Traitement des Données Personnelles ou en rapport avec celles-ci sont régies par les lois de l’État membre de l’UE spécifié à l’Annexe 1, comme requis pour la validité de ces Clauses contractuelles types conformément à la Décision 2021/914/UE de la Commission européenne du 4 juin 2021.

Hiérarchie
1. En ce qui concerne l’objet du présent Accord sur le Traitement des Données Personnelles, en cas de divergences entre les dispositions du présent Accord sur le Traitement des Données Personnelles et de tout autre accord entre les parties, y compris le Contrat principal et y compris (sauf si cela a été expressément convenu de quelque manière que ce soit par écrit et signé au nom des parties) les contrats conclus ou envisagés après la date du présent Accord sur le Traitement des Données Personnelles, les dispositions du présent Accord sur le Traitement des Données Personnelles prévaudront.

Autonomie des dispositions
1. Si une stipulation du présent Accord sur le Traitement des Données Personnelles est invalide ou inapplicable, les autres stipulations du présent Accord sur le Traitement des Données Personnelles resteront en vigueur et de plein effet. La disposition invalide ou inapplicable sera soit (i) modifiée selon les besoins pour garantir sa validité et son applicabilité, tout en préservant le plus fidèlement possible les intentions des parties, soit, si cela n’est pas possible, (ii) interprétée de la même manière que si la partie invalide ou inapplicable n’y avait jamais figuré.

Résiliation
1. Le présent Accord sur le Traitement des Données Personnelles et les Clauses contractuelles types prendront fin simultanément et de plein droit avec la résiliation du Contrat principal.

ANNEXE 1

CLAUSES CONTRACTUELLES TYPES

En ce qui concerne les Clauses contractuelles types, les Parties conviennent que :

Le Module 2 (du Responsable du traitement au Sous-traitant) s’appliquera lorsque Sinch agira en tant que sous-traitant des données du Client ; le Module 3 (de Sous-traitant à Sous-traitant) s’appliquera lorsque Sinch agira en tant que sous-traitant ultérieur. Pour chaque Module, le cas échéant :
La Clause 7 (Clause d’adhésion) est incorporée ;
Aux fins de la Clause 9.a) (Recours à des sous-traitants ultérieurs), l’Option 2 : autorisation générale écrite s’applique. L’importateur de données a l’autorisation générale de l’exportateur de données pour l’engagement de sous-traitants ultérieurs à partir d’une liste arrêtée d’un commun accord. L’importateur de données informera expressément par écrit l’exportateur de données de tout changement concernant l’ajout ou le remplacement de sous-traitants ultérieurs qu’il est prévu d’apporter à cette liste au moins trente (30) jours à l’avance ;
La formulation facultative de la Clause 11 (Voies de recours) sur les organes de résolution indépendants n’est pas incorporée ;
Pour l’application de la Clause 13 (Contrôle), l’IMY (Integritetsskyddsmyndigheten), l’autorité suédoise de protection des données, agit en tant qu’autorité de contrôle compétente ;
L’Option 1 de la Clause 17 (Droit applicable) s’appliquera, et les lois suédoises régiront les Clauses contractuelles types ;
Aux fins de la Clause 18 (Élection de for et juridiction), les tribunaux suédois résoudront tout litige découlant des Clauses contractuelles types ;
L’Annexe IA (Liste des parties) et l’Annexe IB (Description du transfert) doivent être complétées en utilisant les informations et les détails spécifiés dans le Contrat principal et énumérés dans le Paragraphe 3 de l’Accord sur le Traitement des Données Personnelles ;
L’Annexe IB (Description du transfert) sera complétée en précisant qu’aucune donnée sensible ne sera transférée. La fréquence du transfert sera continue. Pour les transferts à des sous-traitants ultérieurs, l’objet, la nature et la durée du traitement seront les mêmes que ceux de l’importateur de données ;
Aux fins de l’Annexe IC, l’autorité de contrôle compétente, conformément à la Clause 13, est l’IMY, l’autorité suédoise de protection des données (Integritetsskyddsmyndigheten) ;
Aux fins de l’Annexe II, les mesures techniques et organisationnelles sont décrites dans l’Annexe 2 de l’Accord sur le Traitement des Données Personnelles ;
Aux fins de l’Annexe III, la Liste des sous-traitants ultérieurs est mentionnée dans la Clause 13 de l’Accord sur le Traitement des Données Personnelles ;
Lorsque le Transfert restreint est soumis à la Réglementation telle qu’elle fait partie des lois d’Angleterre, du Pays de Galles, d’Écosse et d’Irlande du Nord (RGPD britannique), les Clauses contractuelles types intégreront l’addendum du Royaume-Uni complété comme suit :
1. Aux fins du Tableau 1, la date de début est la date de signature de l’Accord sur le Traitement des Données Personnelles et les détails sur les Parties devront être complétés en utilisant les informations et les détails spécifiés dans le Contrat principal ;
2. Aux fins du Tableau 2, la version des CCT de l’UE approuvées à laquelle l’addendum du Royaume-Uni est annexé correspond aux Clauses contractuelles types telles que complétées conformément à cette Annexe 1, la date étant la date d’entrée en vigueur de cet Addendum ;
3. Aux fins du Tableau 3, les Informations de l’Annexe sont telles que décrites dans les paragraphes (h) – (l) de cette Annexe 1 ; et,
4. Aux fins du Tableau 4, l’entité Sinch agissant en tant qu’Importateur peut mettre fin à l’addendum du Royaume-Uni lorsque l’Addendum approuvé change.

ANNEXE 2

SÉCURITÉ DE L’INFORMATION – MESURES TECHNIQUES ET ORGANISATIONNELLES

Les Mesures techniques et organisationnelles figurant dans la présente Annexe sont des mesures applicables au(x) Service(s) fournis par Sinch. Si nécessaire, pour l’exercice du ou des Services, Sinch peut inclure d’autres Mesures techniques et organisationnelles dans l’Ordre de service ou le Service.

1) Inventaire des informations et autres actifs associés   

Un inventaire des informations et des autres actifs associés, y compris les propriétaires, est élaboré et tenu à jour.  Un propriétaire a été désigné pour chaque actif de l’inventaire conformément à la politique d’étiquetage des actifs.  

2) Informations d’authentification 

L’attribution et la gestion des informations d’authentification sont contrôlées par un processus de gestion, qui consiste notamment à conseiller le personnel sur le traitement approprié des informations d’authentification.    

En particulier :  

Les caractères autorisés qui peuvent être utilisés ne sont pas limités. 
La longueur minimale des mots de passe est de 12 caractères et la complexité des mots de passe est imposée.
Les questions secrètes ne peuvent pas être utilisées comme seule exigence de réinitialisation du mot de passe.    
Une vérification par email est requise pour les demandes de changement du mot de passe.   
Le mot de passe actuel est exigé en plus du nouveau mot de passe lors du changement de mot de passe. 
Les mots de passe nouvellement créés sont vérifiés par rapport aux listes de mots de passe courants ou aux bases de données de mots de passe divulgués.  
Les mots de passe des utilisateurs existants sont régulièrement vérifiés pour garantir qu’ils ne sont pas compromis.    
Les secrets mémorisés doivent être salés et hachés à l’aide d’une fonction de dérivation de clé à sens unique appropriée.      
Appliquer un verrouillage de compte approprié et une protection contre la force brute sur l’accès au compte max 5 échecs de connexion, puis verrouillage pendant 30 mins    
Le dernier mot de passe ne doit pas être réutilisé.    
L’authentification multifacteurs (MFA) et l’authentification unique (SSO) doivent être utilisées dans tous les cas.

3) Droits d’accès  

Les droits d’accès aux informations et aux autres actifs associés sont attribués, examinés, modifiés et supprimés conformément à la politique et aux règles de contrôle d’accès propres à l’organisation.  

En particulier :

Les droits d’accès aux bureaux, aux informations et aux systèmes sont revus tous les trimestres.

4) Préparation des TIC à la continuité des activités    

L’état de préparation des TIC est planifié, mis en œuvre, entretenu et testé sur la base des objectifs de continuité des activités et des exigences de continuité des TIC.   

En particulier :

Toutes les Unités opérationnelles disposent d’un ou de plusieurs Plans de reprise après sinistre spécifiquement adaptés à l’offre produit.    
Les Plans de reprise après sinistre sont testés chaque année.

5) Sensibilisation, éducation et formation à la sécurité de l’information 

Le personnel de l’organisation et les parties intéressées pertinentes reçoivent une sensibilisation, une éducation et une formation appropriées à la sécurité de l’information, ainsi que des mises à jour régulières de la politique de sécurité de l’information de l’entreprise, des politiques et des procédures spécifiques, en fonction de leur poste. 

En particulier :

Tous les employés ont été formés dans les 2 semaines suivant leur date d’entrée en fonction.  
Tous les employés ont suivi une formation de sensibilisation à la sécurité de l’information au cours des 12 derniers mois.  
Le contenu de la formation de sensibilisation à la sécurité de l’information est mis à jour tous les 12 mois.

6) Gestion des capacités   

L’utilisation des ressources est surveillée et ajustée en fonction des exigences de capacité actuelles et attendues.   

7) Protection contre les malwares   

La protection contre les logiciels malveillants est mise en œuvre et prise en charge par une sensibilisation appropriée des utilisateurs.  Tous les points de terminaison doivent être dotés d’un système de détection des points de terminaison EDR/XDR.

8) Gestion des vulnérabilités techniques 

Des informations sur les vulnérabilités techniques des systèmes d’information utilisés sont obtenues, l’exposition de Sinch à ces vulnérabilités est évaluée et des mesures appropriées sont prises.   

En particulier :

Analyse des vulnérabilités tous les 7 jours.    
Appliquer des correctifs de sécurité à tous les composants de la pile d’applications avec un score de gravité supérieur à « Moyen », tel que déterminé par l’émetteur du correctif, dans le mois (30 jours) suivant la publication
Un test d’intrusion manuel en boîte noire est réalisé tous les 12 mois.

9) Gestion de la configuration  

Les configurations, y compris les configurations de sécurité, du matériel, des logiciels, des services et des réseaux sont établies, documentées, mises en œuvre, surveillées et examinées au regard des normes suivantes : NIST 800-53 et CIS Controls.

10)  Sauvegarde des informations     

Des copies de Sauvegarde des informations, des logiciels et des systèmes sont conservées et régulièrement testées conformément à la politique de sauvegarde spécifique convenue.    

La routine de sauvegarde spécifie au moins :     

Les intervalles de sauvegarde (minimum hebdomadaire)    
Les exigences en matière de conservation    
L’emplacement du stockage de sauvegarde     
L’étendue de la sauvegarde (par exemple, données, configurations, sauvegarde complète du système)    
La stratégie de sauvegarde (par exemple, en ligne ou hors ligne, nombre de sauvegardes, relation entre sauvegarde complète et incrémentale)    
Les tests de restauration de sauvegarde doivent être effectués au moins une fois par trimestre pour les systèmes critiques pour l’entreprise et au moins une fois par an pour tous les autres

11) Activités de suivi 

Les réseaux, les systèmes et les applications sont surveillés pour détecter tout comportement anormal et des actions appropriées sont prises pour évaluer les incidents potentiels en matière de sécurité de l’information.  Les réseaux, les systèmes et les applications sont surveillés afin de détecter les comportements anormaux et malveillants et de détecter les incidents de sécurité potentiels.     

12) Sécurité des réseaux 

Les réseaux et les appareils en réseau sont sécurisés, gérés et contrôlés afin de protéger les informations contenues dans les systèmes et les applications. 

Par exemple :

Chiffrer les données au repos sur les serveurs, les applications et les bases de données (AES256 au minimum). Chiffrer les données en transit (TLS 1.2 ou supérieur).   
Journalisation et surveillance appropriées pour permettre l’enregistrement et la détection des actions qui peuvent affecter ou sont pertinentes pour la sécurité de l’information, y compris EDR/XDR    
Le propriétaire du produit doit tenir à jour la documentation, y compris les diagrammes de réseau et les fichiers de configuration des dispositifs (par exemple, routeurs, commutateurs).    
Durcissement des dispositifs réseau
Les canaux d’administration du réseau sont séparés du reste du trafic du réseau.

13) Gestion du cycle de vie des systèmes 

Des règles pour le développement sécurisé des logiciels et des systèmes sont établies et appliquées.  

Par exemple, pour Sinch :

Le système est conçu de manière sécurisée en utilisant la modélisation des menaces si nécessaire.     
Il existe un plan pour maintenir le système conformément au contrôle de la gestion des vulnérabilités. 
Il existe un propriétaire du système.    
Il existe un plan pour remplacer le système (politique de l’héritage zéro).

14) Tests de sécurité dans le développement et l’acceptation 

Les processus de test de sécurité sont définis et mis en œuvre dans le cadre du cycle de développement.  

SAST et analyses de détection des vulnérabilités et des secrets dans les pipelines CI/CD. Si possible, des DAST.    
Aucune vulnérabilité critique ou élevée non corrigée avant la mise à disposition des clients.    
Gérer l’infrastructure réseau en toute sécurité.  
Tous les projets suivent les Listes de contrôle de sécurité de sortie des produits.

15) Mesures visant à assurer la sécurité physique des lieux où sont traitées les données à caractère personnel 

Des mesures de sécurité physique et environnementale ont été mises en œuvre au sein de Sinch.

Par exemple, pour Sinch :

Des périmètres de sécurité sont définis et utilisés pour protéger les zones contenant des informations et d’autres actifs associés.
Les zones sécurisées sont protégées par des contrôles d’entrée et des points d’accès appropriés.
La sécurité physique des bureaux, des salles et des installations est conçue et mise en œuvre.
Les locaux sont surveillés en permanence pour détecter tout accès physique non autorisé.
La protection contre les menaces physiques et environnementales, telles que les catastrophes naturelles et d’autres menaces physiques intentionnelles ou non intentionnelles pesant sur l’infrastructure, est conçue et mise en œuvre.
Des mesures de sécurité pour le travail dans des zones sécurisées sont conçues et mises en œuvre.
Des règles de bureau dégagé pour les documents et les médias de stockage amovibles et des règles d’écran verrouillé pour les installations de traitement de l’information sont définies et appliquées de manière appropriée.
L’équipement est installé en toute sécurité et protégé.
Les actifs hors site sont protégés.
Les médias de stockage sont gérés tout au long de leur cycle de vie d’acquisition, d’utilisation, de transport et d’élimination conformément au système de classification et aux exigences de manipulation de l’organisation.
Les installations de traitement de l’information sont protégées contre les pannes de courant et autres perturbations causées par des défaillances des services de support publics.
Les câbles transportant l’énergie, des données ou des services d’information de support sont protégés contre l’interception, les interférences ou les dommages.
L’équipement est entretenu correctement afin de garantir la disponibilité, l’intégrité et la confidentialité des informations.
Les éléments d’équipement contenant des médias de stockage sont vérifiés pour s’assurer que toute donnée sensible et logiciel sous licence a été supprimé ou écrasé de manière sécurisée avant l’élimination ou la réutilisation.

Sinch a également mis en place un Système de gestion de la sécurité de l’information (ISMS), conformément à la norme ISO/IEC 27001:2022.

16) Mesures visant à garantir une conservation limitée des données  

Des mesures visant à garantir une conservation limitée des données à caractère personnel ont été mises en œuvre.

Par exemple, Sinch :

A établi une politique de conservation des données, qui définit clairement les types spécifiques de données qui seront collectées, combien de temps elles seront conservées et quand elles seront supprimées.
A mis en œuvre des processus de suppression automatisés. 
Révise et met à jour régulièrement la politique de conservation.
Limite la collecte de données à ce qui est strictement nécessaire pour la finalité commerciale spécifique.
Forme ses employés sur la conservation des données.
Révise et surveille régulièrement la conservation des données
Utilise le chiffrement pour protéger les données conservées, afin de réduire le risque d’accès ou de divulgation non autorisés.

17) Mesures visant à garantir la responsabilité 

Des mesures techniques et organisationnelles appropriées ont été mises en œuvre pour répondre aux exigences en matière de responsabilité.

Par exemple, Sinch :  

A adopté et mis en œuvre des politiques de protection des données.
A adopté une approche de « protection des données dès la conception et par défaut ».  
A mis en place des contrats écrits avec les organisations qui traitent les données à caractère personnel au nom de Sinch.
A documenté ses activités de traitement.
A réalisé des analyses d’impact relatives à la protection des données.
A nommé un Délégué à la protection des données (DPO) du Groupe

18) Mesures visant à permettre la portabilité des données et à garantir leur effacement  

Des mesures permettant l’exercice des droits des personnes concernées sont mises en œuvre au sein de Sinch.

Par exemple, Sinch :

Efface les données à caractère personnel des systèmes de sauvegarde ainsi que des systèmes actifs si nécessaire, et indique clairement à la personne ce qu’il adviendra de ses données.
Contacte chaque destinataire pour l’informer de l’effacement, si les données à caractère personnel sont divulguées à d’autres personnes, à moins que cela ne soit impossible ou n’implique des efforts disproportionnés. Si des données à caractère personnel ont été rendues publiques dans un environnement en ligne, l’organisation prend des mesures raisonnables pour informer les autres responsables du traitement, s’ils les traitent, afin qu’ils effacent les liens vers ces données, leurs copies ou réplications.
Informe la personne concernée des tiers qui ont reçu les données à caractère personnel lorsqu’elle en fait la demande.
Fournit les données à caractère personnel dans un format structuré, couramment utilisé et lisible par machine, lorsque cela est demandé. Dans la mesure du possible et si une personne le demande, l’organisation peut transmettre directement les informations à une autre organisation.

19) Mesures visant à assurer la minimisation des données 

Des mesures visant à réduire la quantité de données traitées sont mises en œuvre.

Par exemple, pour chaque activité de traitement, Sinch :

A mis en œuvre des mesures garantissant que la collecte de données à caractère personnel est adéquate, pertinente et strictement limitée à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées.
A évalué ne pas pouvoir atteindre les objectifs de son activité de traitement avec des données portant moins atteinte à la confidentialité (par exemple, en travaillant avec des données moins granulaires) ou un processus moins intrusif (c’est-à-dire en utilisant des moyens moins intrusifs).
A documenté l’exigence de chaque champ de données en fonction de l’objectif poursuivi.

ANNEXE 3

DÉVIATIONS

Dérogations.
1. Pour les Clients et les contrats au Brésil, en plus de ce qui est convenu dans le présent Accord sur le Traitement des Données Personnelles, les obligations établies adopteront la formulation et les lignes directrices suivantes :
  1. Les définitions mises en évidence ci-dessous remplacent celles utilisées dans le présent Accord sur le Traitement des Données Personnelles :
    1. « Catégories spéciales de données à caractère personnel » désignera les Données à caractère personnel sensibles : cela signifie les données concernant l’origine raciale ou ethnique, les convictions religieuses, les opinions politiques, l’appartenance à un syndicat ou à des organisations religieuses, philosophiques ou politiques, les données relatives à la santé ou à la vie sexuelle d’une personne physique, les données génétiques ou biométriques, lorsqu’elles se rapportent à une personne physique.
    2. « Lois applicables en matière de protection des données » désigne la loi générale sur la protection des données du Brésil (loi n° 13.709/2018) (« LGPD ») et le RGPD, tels que transposés dans la législation nationale de chaque État membre (et du Royaume-Uni) et tels que modifiés, remplacés ou annulés de temps à autre, et les lois mettant en œuvre, remplaçant ou complétant le RGPD et toutes les lois applicables au traitement des Données à caractère personnel du Client, y compris le California Consumer Privacy Act de 2018, Cal. Civ. Code § 1798.100 et seq (« CCPA »).
    3. « Traitement des données » désignera toute opération effectuée avec des données à caractère personnel, telles que celles qui se réfèrent à la collecte, la production, la réception, la classification, l’utilisation, l’accès, la reproduction, la transmission, la distribution, le traitement, l’archivage, le stockage, l’élimination, l’évaluation ou le contrôle des informations, la modification, la communication, le transfert, la diffusion ou l’extraction.
    4. Les termes « consentement », « sous-traitant », « responsable du traitement », « personne concernée », « données à caractère personnel », « traitement » et « autorité nationale » ont la signification qui leur est attribuée dans la LGPD. En l’absence d’une définition spécifique dans la LGPD, la définition contenue dans l’Article 4 du RGPD sera adoptée pour les termes suivants : « tiers », « violation de données à caractère personnel », « sous-traitant ultérieur » et « autorité(s) de contrôle ».
  2. La section 3(b) adoptera la formulation suivante :
    Sinch ne traitera les Données à caractère personnel du client qu’aux fins de (i) remplir ses obligations en vertu du Contrat principal ; (ii) l’exercice régulier des droits, y compris en matière de contrat et dans le cadre de procédures judiciaires, administratives et arbitrales ; (iii) garantir la prévention de la fraude et la sécurité de la personne concernée ; et (iv) conformément aux instructions documentées décrites dans le présent Accord sur le Traitement des Données Personnelles ou selon les autres instructions ponctuelles du Client. Toutes instructions de ce type du Client devront être documentées dans la commande, la description des services ou le ticket de support applicable ou dans toute autre communication écrite ou de la manière indiquée par le Client utilisant les Services (notamment via une API ou un panneau de contrôle).
  3. Les dispositions contenues dans la Clause 13(b) ne s’appliquent pas.
  4. La section 6 (b) adoptera la formulation suivante :
    Les procédures opérationnelles internes des deux parties doivent être conformes aux exigences spécifiques d’une gestion efficace de la protection des données et de la sécurité de l’information, y compris, mais sans s’y limiter, la gestion des accès, la prévention de la fraude et l’utilisation non autorisée des services de Sinch.
2. Pour les Clients et les contrats en Colombie, en plus de ce qui est convenu dans cet Accord sur le Traitement des Données Personnelles, ce qui suit s’applique concernant la définition du terme « Lois applicables en matière de protection des données » ainsi que le traitement et le transfert de données à caractère personnel :
  1. « Lois applicables en matière de protection des données » désigne la Loi statutaire colombienne 1581 de 2012 et le Décret réglementaire 1377 de 2013, et d’autres réglementations qui modifient, remplacent ou complètent les textes susmentionnés, ainsi que le RGPD, tel que transposé dans la législation nationale de chaque État membre (et du Royaume-Uni) et tel que modifié, remplacé ou annulé de temps à autre, et les lois mettant en œuvre, remplaçant ou complétant le RGPD et toutes les lois applicables au traitement des Données à caractère personnel du Client, y compris le California Consumer Privacy Act de 2018, Cal. Civ. Code § 1798.100 et seq (« CCPA »).
  2. « Le responsable du traitement reconnaît que le sous-traitant peut transférer, stocker et traiter des Données à caractère personnel vers des territoires en dehors de la Colombie, où elles seront soumises aux lois des juridictions étrangères dans lesquelles elles sont détenues. Le responsable du traitement reconnaît qu’il possède toutes les autorisations préalables nécessaires des personnes concernées et les enregistrements de bases de données qui permettraient au sous-traitant de traiter les données au sein de bases de données et dans des pays qui répondent au moins aux mêmes normes de protection des données (niveau de protection adéquat) que celles prévues par les lois colombiennes (telles que, sans s’y limiter, la Loi statutaire 1581 de 2012, le Décret réglementaire 1377 de 2013, le Décret N° 90 de 2018, la Circulaire unique de la Surintendance de l’industrie et du commerce et la Circulaire externe Nº 005 de 2017 de la Surintendance de l’industrie et du commerce, et d’autres réglementations qui modifient, remplacent ou complètent les éléments susmentionnés).”
3. Pour les Clients et les contrats en Argentine, en plus de ce qui est convenu dans cet Accord sur le Traitement des Données Personnelles, ce qui suit s’applique concernant le traitement et le transfert de données à caractère personnel : le Client reconnaît qu’il dispose de toutes les autorisations préalables nécessaires des personnes concernées pour le traitement et le transfert de données à caractère personnel, y compris les données sensibles, le cas échéant, à SINCH. Les parties reconnaissent et acceptent que le traitement des données à caractère personnel sera effectué conformément à la loi no 25.326 (« Loi de protection des données à caractère personnel de la République d’Argentine ») et aux dispositions et résolutions émises par l’Agence pour l’accès à l’information publique. Le transfert de données à caractère personnel vers des pays ou des organisations internationales ou supranationales ne sera effectué que vers des destinataires offrant des niveaux de protection adéquats.
4. Pour les Clients et les contrats en Uruguay, en plus de ce qui est convenu dans cet Accord sur le Traitement des Données Personnelles, ce qui suit s’applique concernant le traitement et le transfert de données à caractère personnel :
  1. Le responsable du traitement reconnaît qu’il dispose de toutes les autorisations préalables nécessaires de la part des personnes concernées et des enregistrements de base de données qui permettraient à Sinch de traiter les données à caractère personnel et de les transférer et/ou de les transmettre à des pays qui respectent au moins la même norme de protection des données à caractère personnel (niveau de protection adéquat) que celle prévue par la législation uruguayenne, telle que, mais sans s’y limiter, la Loi n° 18.331, le Décret réglementaire n° 414/009 et la Loi n° 19.670, ainsi que d’autres réglementations qui modifient, remplacent ou complètent les éléments susmentionnés.
  2. Les dispositions contenues dans la Clause 13(b) ne s’appliquent pas.
5. Pour les Clients et les contrats au Mexique, en plus de ce qui est convenu dans le présent Accord sur le Traitement des Données Personnelles, les définitions mises en évidence ci-dessous remplaceront les définitions utilisées dans le présent Accord sur le Traitement des Données Personnelles :
  « Lois applicables en matière de protection des données » désigne la Loi fédérale mexicaine sur la protection des données à caractère personnel détenues par des personnes privées (« LFPDPPP »), et d’autres réglementations qui modifient, remplacent ou complètent les textes susmentionnés, ainsi que le RGPD, tel que transposé dans la législation nationale de chaque État membre (et du Royaume-Uni) et tel que modifié, remplacé ou annulé de temps à autre, et les lois mettant en œuvre, remplaçant ou complétant le RGPD et toutes les lois applicables au traitement des Données à caractère personnel du client, y compris la loi California Consumer Privacy Act de 2018, Cal. Civ. Code § 1798.100 et seq (« CCPA »).