Juridique

Accord sur le Traitement des Données Personnelles

Version 8 – Date de publication : 29 octobre 2025

Le présent Accord sur le Traitement des Données Personnelles (le présent « accord sur le traitement des données personnelles ») fait partie de et est sujet à l’accord de services sous-jacent (le « Contrat principal ») conclu entre l’entité Sinch (« Sinch ») et l’entité cliente (le « Client »), qui ont conclu ce Contrat principal pour la fourniture de services par Sinch au Client. Le présent accord sur le traitement des données personnelles s’applique à Sinch et au Client, ainsi qu’à leurs affiliées respectives. Les parties du présent accord sur le traitement des données personnelles sont identiques à celles du Contrat principal. 

  1. Definitions. For the purposes of this DPA, capitalized terms shall have the following meanings. Capitalized terms not otherwise defined shall have the meaning given to them in the Principal Agreement.  
    1. « Données à caractère personnel du Client » désigne toutes les données à caractère personnel traitées par Sinch pour le compte du Client afin de fournir les Services en vertu du Contrat principal. 
    2. « Lois applicables en matière de protection des données » désigne le règlement général sur la protection des données, tel que transposé dans la législation nationale de chaque État membre (et du Royaume-Uni) et tel que modifié, remplacé ou substitué de temps à autre, et les lois mettant en œuvre, remplaçant ou complétant le règlement général sur la protection des données et toutes les lois applicables au traitement des données à caractère personnel du client, y compris le California Consumer Privacy Rights Act de 2020, qui modifie le California Consumer Privacy Act de 2018 Cal. Civ. Code § 1798.100 et seq (« CCPA »). 
    3. « règlement général sur la protection des données » désigne le RGPD (UE) 2016/679 sur la protection des personnes physiques à l’égard du traitement des données à caractère personnel et de la libre circulation de ces données. 
    4. « Infrastructure de Sinch » désigne (i) les installations physiques de Sinch ; (ii) l’infrastructure cloud hébergée ; (iii) le réseau d’entreprise de Sinch et le réseau interne non public, les logiciels et le matériel nécessaires pour fournir les Services et qui sont contrôlés par Sinch ; dans chaque cas, dans la mesure où ils sont utilisés pour fournir les Services. 
    5. « Transfert restreint » désigne un transfert de Données à caractère personnel du Client de Sinch à un sous-traitant ultérieur, si ce transfert était interdit par les lois applicables en matière de protection des données (ou par les modalités des accords de transfert de données mis en place pour répondre à des restrictions de transfert de données imposées par les lois applicables en matière de protection des données) en l’absence de garanties appropriées imposées au regard de transferts de ce type en vertu des lois applicables en matière de protection des données. 
    6. « Services » désigne les services fournis au Client par Sinch en vertu du Contrat principal. 
    7. « Clauses contractuelles types » désigne la dernière version des clauses contractuelles types pour le transfert de données à caractère personnel vers des sous-traitants établis dans des pays tiers en vertu du règlement général sur la protection des données (la version en vigueur à la date du présent accord sur le traitement des données personnelles figure en annexe de la décision 2021/914 (UE) de la Commission européenne en date du 4 juin 2021).  
    8. « Addendum du Royaume-Uni » désigne l’Addendum du Royaume-Uni (International Data Transfer Addendum to the EU Commission Standard Contractual Clauses) défini dans https://ico.org.uk/media2/migrated/4019539/international-data-transfer-addendum.pdf 
    9. Les termes « consentement », « responsable du traitement », « personne concernée », « État membre », « données à caractère personnel », « violation de données à caractère personnel », « sous-traitant », « sous-traitant ultérieur », « traitement », « autorité de contrôle » et « tiers » ont la signification qui leur est attribuée à l’article 4 du règlement général sur la protection des données ou du CCPA, dans les cas où le CCPA est applicable. 
  1. Compliance with Applicable Data Protection Laws 
    1. Sinch et le Client se conformeront chacun aux dispositions et obligations imposées par les Lois applicables en matière de protection des données et s’assureront que leurs employés et sous-traitants ultérieurs respectent les dispositions des Lois applicables en matière de protection des données.
  1. Details and Scope of the Processing 
    1. The Processing of the Customer’s Personal Data within the scope of the Agreement shall be carried out in accordance with the following stipulations and as required according to the Applicable Data Protection Laws. The parties may amend this information from time to time, as the parties may reasonably consider necessary to meet those requirements.  
      1. Objet et durée du traitement des données à caractère personnel : l’objet et la durée du traitement des données à caractère personnel sont définis dans le Contrat principal. 
      2. La nature et la finalité du traitement des données à caractère personnel : En vertu du Contrat principal, Sinch fournit certains services, tels que les Messages, les emails, les appels vocaux et d’autres services de communication, comme décrit plus en détail dans le Contrat principal, au Client, ce qui implique le traitement de données à caractère personnel. Sous réserve de la section 3(a)(iv), ces activités de traitement incluent (a) la fourniture des Services ; (b) la détection, la prévention et la résolution de problèmes de sécurité et techniques ; et (c) la réponse aux demandes de support du Client. 
      3. Les types de données à caractère personnel à traiter : Les données à caractère personnel envoyées au réseau de Sinch, dont l’étendue est déterminée et contrôlée par le responsable du traitement à son entière discrétion, peuvent inclure le prénom, l’email, les numéros de téléphone, l’adresse IP et d’autres données à caractère personnel figurant dans les listes de contacts et le contenu des messages ou des appels.  
      4. Exclusion du responsable du traitement des données indépendant :  Nonobstant toute autre disposition des présentes, lors du traitement des données à caractère personnel dans le cadre de la fourniture de services de communication dans le cadre des Services, y compris la transmission et l’échange de services de messagerie simple via des réseaux de télécommunication, ainsi que d’autres types de messages et de communications, dont les emails, les messages vocaux, et tout autre média via d’autres plateformes de communication, indépendamment du fait que le Client agisse en tant que responsable du traitement ou sous-traitant, Sinch agit en tant que responsable du traitement des données indépendant, et non en tant que cocontrôleur, afin de fournir ses services de communication et d’exécuter ses fonctions et son entreprise nécessaires en tant que fournisseur de services de communication et de services à valeur ajoutée, y compris les mesures nécessaires à la prévention du pourriel et de la fraude, et le contrôle, la sécurité et la maintenance de son réseau, la direction de son entreprise et de ses fonctions de conformité, et de rester conforme à ses obligations en vertu des lois applicables.   
      5. Catégories de personnes concernées auxquelles les données à caractère personnel se rapportent : expéditeurs et destinataires des emails et SMS, des appels vocaux et de tout autre type de communication. 
    2. Sinch ne traitera les Données à caractère personnel du Client que (i) aux fins de remplir ses obligations en vertu du Contrat principal et (ii) conformément aux instructions documentées décrites dans le présent accord sur le traitement des données personnelles ou selon les autres instructions du Client de temps à autre. Ces instructions du Client devront être documentées dans la commande applicable, la description des services, le ticket de support, toute autre communication écrite ou tel qu’indiqué par le Client utilisant les Services (notamment via une API ou un tableau de bord).   
    3. Si Sinch estime raisonnablement qu’une instruction du Client est contraire aux dispositions du Contrat principal ou du présent accord sur le traitement des données personnelles, ou qu’elle contrevient au règlement général sur la protection des données ou à d’autres dispositions applicables en matière de protection des données, elle en informera le Client sans délai. Dans les deux cas, Sinch sera autorisé à reporter l’exécution de l’instruction en question jusqu’à ce qu’elle soit modifiée par le Client ou convenue d’un commun accord par le Client et Sinch.
    4. Le Client est seul responsable de son utilisation et de la direction des données à caractère personnel envoyées ou transmises par les Services, y compris : (i) la vérification des informations du destinataire telles que le numéro de téléphone ou l’adresse et de leur saisie correcte dans les Services, (ii) la notification raisonnable à tout destinataire de la nature non sécurisée de l’email ou des Messages comme moyen de transmission de données à caractère personnel (le cas échéant), (iii) la limitation raisonnable de la quantité ou du type d’informations divulguées via les Services, (iv) le chiffrement de toute donnée à caractère personnel transmise via les Services lorsque cela est approprié ou requis par la loi applicable (notamment via l’utilisation de pièces jointes chiffrées, d’ensembles d’outils PGP ou S/MIME). Si le Client décide de ne pas configurer le chiffrement obligatoire, celui-ci reconnaît que les Services peuvent inclure la transmission d’emails non chiffrés en texte brut sur l’Internet public et des réseaux ouverts. Les informations téléchargées sur les Services, y compris le contenu des messages, sont stockées sous une forme chiffrée lorsqu’elles sont traitées par l’infrastructure de Sinch.
  1. Controller and Processor 
    1. Aux fins du présent accord sur le traitement des données personnelles, le Client est le responsable du traitement de ses propres Données à caractère personnel et Sinch en est le sous-traitant, sauf lorsque le Client agit en qualité de sous-traitant de ses propres Données à caractère personnel, auquel cas Sinch en est le sous-traitant ultérieur.  
    2. Sinch doit à tout moment disposer d’un responsable chargé d’aider le client (i) à répondre aux demandes concernant le traitement reçues de la part des personnes concernées ; et (ii) à remplir de manière complète toutes les exigences en matière d’information juridique et de divulgation qui s’appliquent et sont associées au traitement. Cette assistance peut être demandée à l’adresse dpo@sinch.com. 
    3. The Customer warrants that: 
      1. Le traitement de ses Données à caractère personnel s’appuie sur des fondements juridiques, comme l’imposent les Lois applicables en matière de protection des données, et celui-ci a obtenu et conservera pendant toute la durée du Contrat principal l’ensemble des droits, autorisations, enregistrements et consentements imposés par celles-ci au regard du traitement par Sinch des Données à caractère personnel du Client en vertu du présent accord sur le traitement des données personnelles et du Contrat principal ;
      2. il est autorisé à et dispose de l’ensemble des droits, autorisations et consentements nécessaires pour transférer ses Données à caractère personnel à Sinch et pour autoriser, de quelque manière que ce soit, Sinch à les traiter en son nom, afin que Sinch puisse utiliser, traiter et transférer légalement les Données à caractère personnel du Client dans le cadre de l’exécution des Services et satisfaire à l’ensemble des autres droits et obligations de Sinch en vertu du présent accord sur le traitement des données personnelles et du Contrat principal ; 
      3. il informera les Personnes concernées de son recours à des Sous-traitants aux fins du Traitement de leurs données à caractère personnel, dans la mesure prescrite par les Lois applicables en matière de protection des données ; et,
      4. il répondra, dans un délai raisonnable et dans la mesure de ce qui s’avérera raisonnablement possible, aux demandes de renseignements soumises par les Personnes concernées concernant le Traitement de leurs données à caractère personnel, et donnera des instructions appropriées à Sinch en temps opportun.
  1. Confidentiality 
    1. Sinch s’assurera que chaque membre de son personnel et de celui des sous-traitants ultérieurs autorisés à traiter les données à caractère personnel du client est soumis à des engagements de confidentialité ou à des obligations professionnelles ou légales de confidentialité et qu’il est formé aux exigences de sécurité et de protection des données pertinentes.   
  1. Technical and Organizational Measures 
    1. S’agissant des données à caractère personnel du client, Sinch doit (a) prendre et documenter des mesures raisonnables et appropriées, telles que décrites à l’Annexe 2, concernant la sécurité de l’infrastructure de Sinch et des plateformes utilisées pour fournir les services tels que décrits dans l’accord principal, et (b) sur demande raisonnable et aux frais du client, aider le client à s’assurer de la conformité avec les obligations de ce dernier en vertu des lois applicables en matière de protection des données. 
    2. Les procédures opérationnelles internes de Sinch devront respecter les exigences spécifiques d’une direction efficace de la protection des données.  
  1. Data Subject Requests 
    1. Sinch fournit des outils spécifiques pour aider les clients à répondre aux demandes émanant de personnes concernées. Il s’agit notamment de nos API et interfaces de recherche d’événements, de suppressions et de récupération du contenu des messages. Lorsque Sinch reçoit une réclamation, une question ou une requête (y compris les requêtes émanant de personnes concernées afin d’exercer leurs droits en vertu des Lois applicables en matière de protection des données) concernant les Données à caractère personnel du Client, directement de la part d’une personne concernée, Sinch en informera le Client. Compte tenu de la nature du traitement, Sinch assistera le Client, par des Mesures techniques et organisationnelles appropriées, dans la mesure de ce qui s’avérera raisonnablement possible, aux fins de l’exécution de l’obligation qui incombe au Client de répondre aux requêtes de personnes concernées souhaitant exercer leurs droits.  
  1. Personal Data Breaches 
    1. Sinch doit informer le Client dans les meilleurs délais dès que Sinch a connaissance d’une violation de données à caractère personnel affectant les Données à caractère personnel du Client. Sinch devra, compte tenu de la nature du traitement et des informations mises à la disposition de Sinch, prendre toutes les mesures professionnelles raisonnables pour fournir au Client suffisamment d’informations pour lui permettre, aux frais de celui-ci, de se conformer à toute obligation de notification ou d’information des autorités de réglementation, des personnes concernées et d’autres entités de cette violation de données à caractère personnel dans la mesure requise par les Lois applicables en matière de protection des données.
  1. Data Protection Impact Assessments 
    1. Sinch devra, compte tenu de la nature du traitement et des informations mises à sa disposition, fournir une assistance raisonnable au Client, aux frais de celui-ci, dans le cadre de toute analyse d’impact relative à la protection des données et de la consultation préalable des autorités de contrôle ou autres autorités de réglementation dans la mesure nécessaire pour permettre au Client de se conformer à toute obligation en vertu des Lois applicables en matière de protection des données.
  1. Audits 
    1. Sinch mettra à la disposition du Client, sur requête raisonnable, les informations raisonnablement nécessaires pour démontrer la conformité au présent accord sur le traitement des données personnelles.  
    2. Le Client, ou un auditeur tiers mandaté par ce dernier, pourra, sur requête écrite raisonnable, procéder à une inspection des activités de Traitement des Données à caractère personnel du client menées par Sinch dans la mesure de ce qui s’avérera nécessaire en vertu des Lois relatives à la protection des données, sans interrompre les activités de l’entreprise de Sinch et en préservant la confidentialité.  
    3. Le droit à l’audit tel que décrit dans le Paragraphe 10(b) ci-dessus devient applicable pour le Client, dans le cas où Sinch n’aurait pas fourni de preuves suffisantes de sa conformité avec les dispositions du présent accord sur le traitement des données personnelles. Les preuves suffisantes incluent la fourniture de l’un des éléments suivants : (i) une certification de conformité à la norme ISO 27001 ou à d’autres normes mises en œuvre par Sinch (périmètre tel que défini dans le certificat) ; ou (ii) un rapport d’audit ou d’attestation d’un tiers indépendant. Un audit tel que décrit dans ce paragraphe 10 sera effectué aux frais du Client et nécessite un préavis raisonnable du Client d’au moins trente (30) jours.  
  1. Return or Destruction of the Customer’s Personal Data 
    1. Le Client peut, moyennant l’envoi d’une notification écrite à Sinch au plus tard au moment de la résiliation du Contrat principal, demander la restitution et/ou l’attestation de destruction de toutes les copies de ses Données à caractère personnel sous le contrôler ou en la possession de Sinch et des sous-traitants ultérieurs. Sinch devra fournir une copie des Données du Client sous une forme qui peut être lue et traitée par la suite.  
    2. Dans les quatre-vingt-dix (90) jours suivant la résiliation du compte, Sinch devra supprimer toutes les données à caractère personnel traitées conformément au présent Accord sur le traitement des données personnelles, à moins que le Client ne demande la restitution des données à caractère personnel comme décrit au paragraphe 11(a) ci-dessus. Cette disposition n’affectera pas les éventuelles obligations légales des Parties de conserver des enregistrements pour des périodes de rétention fixées par la loi, le statut ou le contrat.  
    3. Tous les frais supplémentaires liés à la restitution de données à caractère personnel après la résiliation ou l’expiration de l’accord seront à la charge du Client. 
  1. Data Transfers 
    1. Le Client reconnaît et convient que, dans le cadre de l’exécution des Services en application de l’accord, Sinch pourra transférer des données à caractère personnel au sein de son groupe d’entreprise. Ces transferts sont nécessaires pour fournir les services dans le monde entier. 
    2. Chaque fois que des données à caractère personnel sont traitées en dehors du pays où l’entité juridique Sinch contractante est établie, Sinch garantira un niveau adéquat de protection des données à caractère personnel au moyen de mesures organisationnelles, techniques et contractuelles, tel que requis par les lois applicables en matière de protection des données et le présent accord sur le traitement des données personnelles.   
    3. Les Clauses contractuelles types et, si nécessaire, l’addendum du Royaume-Uni, où Sinch agit en qualité d’importateur de données et où le Client agit en qualité d’exportateur de données, sont incorporés au présent accord sur le traitement des données personnelles. Si l’accord conclu entre Sinch et un sous-traitant ultérieur implique un Transfert restreint, Sinch devra s’assurer que les dispositions des Clauses contractuelles types relatives aux transferts ultérieurs et/ou l’addendum du Royaume-Uni sont intégrés au Contrat principal, ou conclus, de quelque manière que ce soit, entre Sinch et le sous-traitant ultérieur concerné. Le Client s’engage à exercer son droit d’audit, tel que prévu par les Clauses contractuelles types, en demandant à Sinch de réaliser l’audit conformément au Paragraphe 10.
    4. Concernant les transferts de données à caractère personnel depuis l’Union européenne, l’Espace économique européen et/ou leurs États membres, la Suisse et le Royaume-Uni vers des pays qui ne garantissent pas un niveau adéquat de Protection des données au sens des Lois relatives à la protection des données en vigueur dans ces juridictions, dans la mesure où ces transferts sont soumis aux Lois relatives à la protection des données et aux réglementations applicables en la matière, et pour mettre en œuvre des garanties appropriées, les mesures de protection suivantes sont prévues : (1) des Clauses contractuelles types conformément à la décision (UE) 2021/914 de la Commission européenne prise le 4 juin 2021, (2) pour Sinch Email, le Cadre de protection des données UE-États-Unis (le EU-US DPF) et l’extension britannique du EU-US DPF, tels que définis par le ministère américain du Commerce, (3) l’addendum du Royaume-Uni, et (4) des garanties supplémentaires en ce qui concerne les mesures de sécurité, y compris le chiffrement des données, l’agrégation de données, la séparation des contrôles d’accès et les principes de minimisation des données.
  1. Sub-processing 
    1. Par les présentes, le Client donne une autorisation générale à Sinch à faire appel à des sous-traitants ultérieurs conformément au présent Paragraphe 13 et à l’Annexe 1. Sinch devra s’assurer que ces sous-traitants ultérieurs sont liés par des accords écrits qui les obligent à fournir au minimum le niveau de protection des données exigé de Sinch par le présent accord sur le traitement des données personnelles. Le Client donne également à Sinch l’autorisation spécifique de continuer à faire appel aux sous-traitants ultérieurs déjà engagés à la date du présent accord sur le traitement des données personnelles, comme indiqué dans la section (b).  
    2. Les sous-traitants ultérieurs actuels pour les services sont indiqués à https://sinch.com/fr/legal/data-protection-agreement-sub-processors/ (« Liste des sous-traitants »). À condition que le Client s’abonne aux notifications de nouveaux sous-traitants ultérieurs par le biais du mécanisme d’abonnement disponible à l’adresse https://sinch.com/fr/legal/data-protection-agreement-sub-processors/Sinch notifie le Client, par le biais de ce mécanisme, trente (30) jours à l’avance, de tout changement envisagé concernant l’ajout ou le remplacement d’un Sous-traitant ultérieur. Si, dans les dix (10) jours ouvrables suivant la réception de cet avis, le Client informe Sinch par écrit de toute objection, pour des motifs raisonnables, à la désignation proposée, Sinch ne nommera pas ce sous-traitant ultérieur proposé tant que des mesures raisonnables n’auront pas été prises afin de répondre à l’objection formulée par le Client et tant que le Client n’aura pas reçu une explication écrite raisonnable concernant les mesures prises. Si Sinch et le Client ne sont pas en mesure de trouver un accord concernant le recours à un sous-traitant ultérieur dans un délai raisonnable, chacune des parties aura le droit de résilier le Contrat principal pour motif valable.  
    3. Sinch sera responsable des actes et omissions de tout sous-traitant ultérieur vis-à-vis du Client comme s’il s’agissait de ses propres actes et omissions au titre des questions visées dans le présent accord sur le traitement des données personnelles. 
  1. Governing law and jurisdiction 
    1. Les parties au présent accord sur le traitement des données personnelles se soumettent par les présentes à la compétence des tribunaux indiqués dans le Contrat principal au titre de tous les litiges ou de toutes les demandes résultant de quelque manière que ce soit du présent accord sur le traitement des données personnelles, y compris les litiges concernant son existence, sa validité, sa résiliation ou les conséquences de sa nullité.  
    2. Le présent accord sur le traitement des données personnelles et toutes les obligations non contractuelles ou autres découlant de ou en rapport avec celui-ci sont régis par les lois du pays ou du territoire stipulé à cet effet dans l’accord principal.  
    3. Nonobstant ce qui précède dans ce paragraphe (a) et (b), toutes les obligations découlant des Clauses contractuelles types incorporées dans le présent accord sur le traitement des données personnelles ou en rapport avec celles-ci seront régies par les lois de l’État membre de l’UE spécifié à l’Annexe 1, comme requis pour la validité de ces Clauses contractuelles types conformément à la décision 2021/914/UE de la Commission européenne du 4 juin 2021. 
  1. Order of precedence 
    1. En ce qui concerne l’objet du présent accord sur le traitement des données personnelles, en cas de divergences entre les dispositions du présent accord sur le traitement des données personnelles et celles de tout autre accord entre les parties, y compris le Contrat principal et (sauf si cela a été expressément convenu de quelque manière que ce soit par écrit et signé au nom des parties) les contrats conclus ou envisagés après la date du présent accord sur le traitement des données personnelles, les dispositions du présent accord sur le traitement des données personnelles prévaudront. 
  1. Severance 
    1. Si une stipulation du présent accord sur le traitement des données personnelles est invalide ou inapplicable, les autres stipulations du présent accord sur le traitement des données personnelles resteront en vigueur et de plein effet. La disposition invalide ou inapplicable sera soit (i) modifiée selon les besoins pour garantir sa validité et son applicabilité, tout en préservant le plus fidèlement possible les intentions des parties, ou, si cela n’est pas possible, (ii) interprétée de manière à ce que la partie invalide ou inapplicable n’y ait jamais été contenue. 
  1. Termination 
    1. Le présent accord sur le traitement des données personnelles et les Clauses contractuelles types prendront fin simultanément et de plein droit avec la résiliation de l’accord principal.  

ANNEXE 1

CLAUSES CONTRACTUELLES TYPES

En ce qui concerne les Clauses contractuelles types, les Parties conviennent que :

  1. Le Module 2 (du Responsable du traitement au Sous-traitant) s’appliquera lorsque Sinch agira en tant que sous-traitant des données du Client ; le Module 3 (de Sous-traitant à Sous-traitant) s’appliquera lorsque Sinch agira en tant que sous-traitant ultérieur. Pour chaque Module, le cas échéant :
  2. La Clause 7 (Clause d’adhésion) est incorporée ;
  3. Aux fins de la Clause 9.a) (Recours à des sous-traitants ultérieurs), l’Option 2 : autorisation générale écrite s’applique. L’importateur de données a l’autorisation générale de l’exportateur de données de recruter un ou plusieurs sous-traitants ultérieurs à partir d’une liste arrêtée d’un commun accord. L’importateur de données informe expressément par écrit l’exportateur de données de tout changement concernant l’ajout ou le remplacement de sous-traitants ultérieurs qu’il est prévu d’apporter à cette liste au moins trente (30) jours à l’avance ;
  4. La formulation optionnelle de la Clause 11 (Voies de recours) sur les corps de résolution indépendants n’est pas incorporée ;
  5. Pour l’application de la Clause 13 (Contrôle), l’IMY, l’autorité suédoise de protection des données (Integritetsskyddsmyndigheten)  agira en tant qu’autorité de contrôle compétente ;
  6. L’Option 1 de la Clause 17 (Droit applicable) s’applique, et les lois suédoises régissent les Clauses contractuelles types ;
  7. Aux fins de la Clause 18 (Élection de for et juridiction), les tribunaux suédois résoudront tout litige découlant des Clauses contractuelles types ;
  8. L’Annexe IA (Liste des parties) et l’Annexe IB (Description du transfert) doivent être complétées en utilisant les informations et les détails spécifiés dans le Contrat principal et énumérés dans le Paragraphe 3 de l’accord sur le traitement des données personnelles ; 
  9. L’Annexe IB (Description du transfert) est complétée en précisant qu’aucune donnée sensible ne doit être transférée. La fréquence du transfert doit être continue. Pour les transferts à des sous-traitants ultérieurs, l’objet, la nature et la durée du traitement sont les mêmes que ceux de l’importateur de données ;
  10. Aux fins de l’Annexe IC, l’autorité de contrôle compétente, conformément à la Clause 13, est l’IMY (Integritetsskyddsmyndigheten), l’autorité suédoise de protection des données ;
  11. Aux fins de l’Annexe II, les mesures techniques et organisationnelles sont décrites dans l’Annexe 2 de l’accord sur le traitement des données personnelles ;
  12. Aux fins de l’Annexe III, la liste des sous-traitants ultérieurs est mentionnée dans la Clause 13 de l’accord sur le traitement des données personnelles ;
  13. where the Restricted Transfer is subject to the Regulation as it forms part of the law of England and Wales, Scotland and Northern Ireland (UK GDPR), the Standard Contractual Clauses shall incorporate the UK Addendum completed as follows: 
    1. Aux fins du Tableau 1, la date de début est la date de signature de l’accord sur le traitement des données personnelles et les renseignements sur les Parties doivent être complétés en utilisant les informations et les détails spécifiés dans le Contrat principal ; 
    2. Aux fins du Tableau 2, la version des Clauses contractuelles types approuvées par l’Union européenne, à laquelle l’addendum du Royaume-Uni est ajouté, correspond aux Clauses contractuelles types telles que complétées conformément à l’Annexe 1, la date étant la date d’entrée en vigueur du présent Addendum ;
    3. Aux fins du Tableau 3, les informations sur l’Annexe sont décrites aux paragraphes (h) – (l) de la présente Annexe 1 ; et
    4. Aux fins du Tableau 4, l’entité de Sinch agissant en tant qu’Importateur peut mettre fin à l’addendum du Royaume-Uni lorsque l’Addendum approuvé change.

ANNEXE 2

SÉCURITÉ DE L’INFORMATION – MESURES TECHNIQUES ET ORGANISATIONNELLES

Les Mesures techniques et organisationnelles figurant dans la présente Annexe sont des mesures applicables au(x) Service(s) fournis par Sinch. Si nécessaire, pour l’exercice du ou des Services, Sinch peut inclure d’autres Mesures techniques et organisationnelles dans l’Ordre de service ou le Service.

1) Inventaire des informations et autres actifs associés    

Un inventaire des informations et des autres actifs associés, y compris les propriétaires, est élaboré et tenu à jour.  Un propriétaire a été désigné pour chaque actif de l’inventaire conformément à la politique d’étiquetage des actifs.   

2) Informations d’authentification  

L’attribution et la direction des informations d’authentification sont contrôlées par un processus de direction, qui consiste notamment à conseiller le personnel sur le traitement approprié des informations d’authentification.     

En particulier :   

  • Ne pas limiter les caractères autorisés qui peuvent être utilisés.  
  • Longueur minimale du mot de passe de 12 caractères avec complexité imposée 
  • Ne pas utiliser de questions secrètes comme seule exigence de réinitialisation de mot de passe     
  • Exiger une validation des emails pour une requête de changement de mot de passe    
  • Exiger le mot de passe actuel en plus du nouveau mot de passe lors du changement de mot de passe  
  • Vérifier les mots de passe nouvellement créés par rapport aux listes de mots de passe courants ou aux bases de données de mots de passe divulgués   
  • Vérifier régulièrement que les mots de passe des utilisatrices existantes ne sont pas compromis     
  • Les secrets mémorisés doivent être salés et hachés à l’aide d’une fonction de dérivation de clé à sens unique appropriée.       
  • Un verrouillage approprié des comptes est appliqué, ainsi qu’une protection contre l’accès à force brute des comptes. 5 échecs de se connecter maximum, puis verrouillage pendant 30 minutes.
  • Le dernier mot de passe ne doit pas être réutilisé     
  • Le MFA et le SSO doivent être utilisés dans toutes les études de cas

3) Droits d’accès   

Les droits d’accès aux informations et aux autres actifs associés sont provisionnés, révisés, édités et retirés conformément à la politique et aux règles de contrôler d’accès propres à l’organisation.   

En particulier :  

  • Les droits d’accès aux bureaux, aux informations et aux systèmes sont révisés tous les trimestres. 

4) Préparation des TIC à la continuité de l’entreprise     

L’état de préparation des TIC est planifié, mis en œuvre, entretenu et testé sur la base des objectifs de continuité de l’entreprise et des exigences de continuité des TIC.    

En particulier : 

  • Toutes les unités d’entreprise disposent d’un ou de plusieurs Plans de reprise après sinistre spécifiquement adaptés à l’offre produit.     
  • Les Plans de reprise après sinistre sont testés chaque année.   

5) Découverte, éducation et formation à la sécurité de l’information  

Le personnel de l’organisation et les parties intéressées pertinentes reçoivent une découverte, une éducation et une formation appropriées à la sécurité de l’information, ainsi que des mises à jour régulières de la politique de sécurité de l’information de l’entreprise, des politiques et des procédures spécifiques, en fonction de leur poste.  

En particulier : 

  • Formation complète pour tous les employés dans les 2 semaines suivant la date de début   
  • Tous les employés ont suivi une formation ISA au cours des 12 derniers mois   
  • Le contenu de la formation ISA est mis à jour tous les 12 mois   

6) Direction des capacités    

L’utilisation des ressources est contrôlée et ajustée en fonction des besoins actuels et prévus en matière de capacité.    

7) Protection contre les malwares    

La protection contre les malwares ou logiciels malveillants est mise en œuvre et soutenue par une découverte appropriée des utilisateurs.    Tous les appareils de point de terminaison doivent être dotés d’une détection EDR/XDR de point de terminaison. 

8) Direction des vulnérabilités techniques  

Des informations sur les vulnérabilités techniques des systèmes d’information utilisés sont obtenues, l’exposition de Sinch à ces vulnérabilités est évaluée et des mesures appropriées sont prises.    

En particulier :  

  • Analyse de vulnérabilité tous les 7 jours.     
  • Des correctifs de sécurité sont appliqués à tous les composants de la pile d’applications dont le niveau de gravité est supérieur à « moyen », tel que déterminé par l’émetteur du correctif, dans un délai d’un mois (30 jours) après la publication.
  • Test d’intrusion manuel en boîte noire effectué tous les 12 mois 

9) Direction de la configuration   

Les configurations, y compris les configurations de sécurité, du matériel, des logiciels, des services et des réseaux sont établies, documentées, mises en œuvre, surveillées et révisées au regard des normes suivantes : NIST 800-53 et CIS Controls.   

10)  Sauvegarde des informations      

Des copies de Sauvegarde des informations, des logiciels et des systèmes sont conservées et régulièrement testées conformément à la politique de sauvegarde spécifique convenue.     

La routine de sauvegarde spécifie au moins :      

  • Intervalles de sauvegarde (minimum hebdomadaire)     
  • Exigences en matière de rétention     
  • Localisation du stockage de sauvegarde      
  • Étendue de la sauvegarde (par ex. données, configurations, sauvegarde complète du système)     
  • Stratégie de sauvegarde (par ex. en ligne ou hors ligne, nombre de sauvegardes, relation entre sauvegarde complète et incrémentale)     
  • Des tests pour restaurer les sauvegardes sont effectués au moins une fois par trimestre pour les systèmes critiques pour l’entreprise et au moins une fois par an pour tous les autres systèmes.

11) Activités de suivi  

Les réseaux, les systèmes et les applications sont surveillés pour détecter tout comportement anormal et des mesures appropriées sont prises pour évaluer les incidents potentiels en matière de sécurité de l’information.  Les réseaux, les systèmes et les applications sont surveillés afin de détecter les comportements anormaux et malveillants et de détecter les incidents de sécurité potentiels.      

12) Sécurité des réseaux  

Les réseaux et les appareils en réseau sont sécurisés, gérés et contrôlés afin de protéger les informations contenues dans les systèmes et les applications.  

Par exemple : 

  • Les données sont chiffrées au repos sur les serveurs, les applications et les bases de données (AES256 au minimum).  Chiffrer les données en transit (TLS 1.2 ou supérieur).    
  • Les rapports et le suivi sont effectués de manière appropriée afin de permettre l’enregistrement et la détection des actions susceptibles d’affecter la sécurité de l’information, y compris l’EDR/XDR, ou de s’y rapporter.
  • Le propriétaire du produit doit tenir à jour la documentation, y compris les diagrammes de réseau et les fichiers de configuration des dispositifs (par exemple, routeurs, changer).     
  • Durcissement des appareils réseau 
  • Les canaux d’administration du réseau sont séparés des autres trafics réseau 

13) Direction du cycle de vie des systèmes  

Des règles pour le développement sécurisé des logiciels et des systèmes sont établies et appliquées.   

Par exemple, pour Sinch : 

  • Le système intègre un design sécurisé utilisant la modélisation des menaces selon les besoins.      
  • Il y a un abonnement pour maintenir le système en ligne avec le fait de contrôler la direction des vulnérabilités   
  • Il y a un propriétaire du système     
  • Il y a un abonnement pour remplacer le système (politique zéro héritage)     

14) Tests de sécurité dans le développement et l’acceptation  

Les processus de test de sécurité sont définis et mis en œuvre dans le cadre du cycle de développement.   

  • SAST et scans de détection de vulnérabilités et de secrets dans les pipelines CI/CD. Si possible DAST     
  • Aucune vulnérabilité critique ou élevée n’est présente avant la mise à disposition des clients     
  • L’infrastructure réseau est gérée en toute sécurité.   
  • Tous les projets suivent les listes de contrôle de sécurité des sorties de produits     

15) Mesures visant à assurer la sécurité physique des localisations où les données à caractère personnel sont traitées  

Des mesures de sécurité physique et environnementale ont été mises en œuvre au sein de Sinch.   

Par exemple, pour Sinch : 

  • Des périmètres de sécurité sont définis et utilisés pour protéger les zones qui contiennent des informations et d’autres actifs associés. 
  • Les zones sécurisées sont protégées par des points d’accès et des moyens de contrôler l’entrée appropriés. 
  • La sécurité physique pour les bureaux, les salles et les installations intègre un design mis en œuvre. 
  • Les locaux sont surveillés en permanence pour détecter tout accès physique non autorisé. 
  • La protection contre les menaces physiques et environnementales, telles que les catastrophes naturelles et d’autres menaces physiques intentionnelles ou non intentionnelles contre les infrastructures, est planifiée et mise en œuvre.
  • Les mesures de sécurité pour le travail dans les zones sécurisées font l’objet d’un design et sont mises en œuvre. 
  • Des règles claires pour les papiers et les supports de stockage amovibles et des règles claires pour les écrans des installations de traitement des informations sont définies et appliquées de manière appropriée.
  • L’équipement est installé en toute sécurité et protégé. 
  • Les actifs hors site sont protégés. 
  • Les supports de stockage sont gérés tout au long de leur cycle de vie (acquisition, utilisation, transport et élimination) conformément au système de classification et aux exigences de manipulation de l’entreprise.
  • Les installations de traitement de l’information sont protégées contre les pannes de courant et autres perturbations causées par des défaillances des services publics.
  • Les câbles transportant l’énergie, des données ou des services d’information complémentaires sont protégés contre les interceptions, les interférences et les dommages.
  • L’équipement est entretenu correctement pour garantir la disponibilité, l’intégrité et la confidentialité des informations. 
  • Les équipements contenant des supports de stockage sont vérifiés pour s’assurer que les données sensibles et les logiciels sous licence ont été retirés ou écrasés de manière sécurisée avant l’élimination ou la réutilisation. 

Sinch a également appliqué un système de gestion de sécurité de l’information (ISMS), conformément à la norme ISO/IEC 27001:2022. 

16) Mesures visant à garantir une rétention limitée des données   

Des mesures visant à garantir une rétention limitée des données à caractère personnel ont été mises en œuvre.  

Par exemple, Sinch :  

  • Une politique de rétention des données a été mise en place, définissant clairement les types spécifiques de données qui seront collectées, leur durée de conservation et leur date de suppression.
  • Des processus de suppression automatisés ont été mis en place.  
  • Révise et met à jour régulièrement la politique de rétention. 
  • Limite la collecte de données à ce qui est strictement nécessaire pour l’objectif spécifique de l’entreprise. 
  • Forme les employés sur la rétention des données. 
  • Révise et surveille régulièrement la rétention des données 
  • Le chiffrement est utilisé pour protéger les données conservées, afin de réduire le risque d’accès ou de divulgation non autorisés.   

17) Mesures visant à garantir la responsabilité  

Des mesures techniques et organisationnelles appropriées ont été mises en œuvre pour répondre aux exigences de responsabilité.  

Par exemple, Sinch :   

  • A adopté et mis en œuvre des politiques de protection des données. 
  • Une approche de « protection des données par design et par défaut » a été adoptée.   
  • A mis en place des contrats écrits avec les organisations qui traitent les données à caractère personnel au nom de Sinch. 
  • A documenté ses activités de traitement. 
  • A réalisé des analyses d’impact relatives à la protection des données. 
  • A nommé un DPO de groupe  

18) Mesures pour permettre la portabilité des données et garantir l’effacement   

Des mesures pour permettre l’exercice des droits de la personne concernée sont mises en œuvre au sein de Sinch. 

Par exemple, Sinch :  

  • Efface les données à caractère personnel des systèmes de sauvegarde ainsi que des systèmes actifs si nécessaire, et indique clairement à la personne concernée ce qu’il adviendra de ses données.
  • Contacte chaque destinataire pour l’informer de l’effacement, si les données à caractère personnel sont divulguées à d’autres personnes, à moins que cela ne soit impossible ou n’implique des efforts disproportionnés. Si des données à caractère personnel ont été rendues publiques dans un environnement en ligne, l’entreprise prend des mesures raisonnables pour informer les autres responsables du traitement, s’ils traitent ces données, afin qu’ils effacent les liens vers ces données, ainsi que les copies ou réplications de celles-ci.
  • Informe la personne concernée des tiers qui ont reçu les données à caractère personnel à chaque requête. 
  • Fournit les données à caractère personnel dans un format structuré, couramment utilisé et lisible par machine, lorsque cela est demandé. Dans la mesure du possible et si une personne le demande, l’entreprise peut transmettre directement les informations à une autre organisation.

19) Mesures visant à garantir la minimisation des données   

Des mesures pour minimiser la quantité de données traitées sont mises en œuvre.  

Par exemple, pour chaque activité de traitement, Sinch :  

  • A mis en œuvre des mesures garantissant que la collecte de données à caractère personnel est adéquate, pertinente et strictement limitée à ce qui est nécessaire par rapport aux finalités pour lesquelles elles sont traitées.  
  • A déterminé ne pas pouvoir atteindre les objectifs de son activité de traitement avec des données portant moins atteinte à la vie privée (par exemple, en travaillant avec des données moins granulaires) ou un processus moins intrusif (c’est-à-dire en utilisant des moyens moins intrusifs).
  • A documenté l’exigence de chaque champ de données par rapport à l’objectif. 

ANNEXE 3

DÉVIATIONS

  1. Deviations. 
    1. For Customers and contracts in Brazil, in addition to what is agreed upon in this DPA, the established obligations will adopt the following word and guidelines: 
      1. The definitions highlighted below shall replace the ones used in this DPA: 
        1. Les « Catégories spéciales de données à caractère personnel » désignent les Données à caractère personnel sensibles, c’est-à-dire les données concernant l’origine raciale ou ethnique, les convictions religieuses, les opinions politiques, l’appartenance à un syndicat ou à une organisation religieuse, philosophique ou politique, les données relatives à la santé ou à la vie sexuelle d’une personne physique, les données génétiques ou biométriques, lorsqu’elles se rapportent à une personne physique.
        2. Les « Lois applicables en matière de protection des données » désignent la loi générale sur la protection des données du Brésil (loi no 13.709/2018) (« LGPD ») et le règlement général sur la protection des données, tel que transposé dans la législation nationale de chaque État membre (et du Royaume-Uni) et tel que modifié, remplacé ou annulé de temps à autre, et les lois mettant en œuvre, remplaçant ou complétant le règlement général sur la protection des données et toutes les lois applicables au traitement des Données à caractère personnel du client, y compris le California Consumer Privacy Act de 2018, Cal. Civ. Code § 1798.100 et seq (« CCPA »). 
        3. Le « Traitement des données » désigne toute opération effectuée sur des données à caractère personnel, telle que la collecte, la production, la réception, la classification, l’utilisation, l’accès, la reproduction, la transmission, la distribution, le traitement, l’archivage, le stockage, l’élimination, l’évaluation ou le contrôle des informations, la modification, la communication, le transfert, la diffusion ou l’extraction.
        4. Les termes « consentement », « sous-traitant », « responsable du traitement », « personne concernée », « données à caractère personnel », « traitement » et « autorité nationale » ont la signification qui leur est attribuée dans la LGPD. En l’absence de définition spécifique dans la LGPD, la définition figurant à l’Article 4 du règlement général sur la protection des données est adoptée pour les termes suivants : « tiers », « violation de données à caractère personnel », « sous-traitant ultérieur » et « autorité(s) de contrôle » (ou « autorité de contrôler »). 
      2. La section 3(b) adoptera la formulation suivante : 
        Sinch ne traitera les données à caractère personnel du client qu’aux fins (i) de remplir ses obligations en vertu de l’accord principal ; (ii) de l’exercice régulier des droits, y compris en matière contractuelle et dans le cadre de procédures judiciaires, administratives et arbitrales ; (iii) d’assurer la prévention de la fraude et la sécurité de la personne concernée ; et (iv) conformément aux instructions documentées décrites dans cet accord sur le traitement des données personnelles ou selon les autres instructions données par le Client de temps à autre. Toutes instructions de ce type du Client devront être documentées dans la commande, la description des services ou le ticket de support applicable ou dans toute autre communication écrite ou de la manière indiquée par le Client utilisant les Services (notamment via une API ou un tableau de bord). 
      3. Les dispositions contenues dans la Clause 13(b) ne s’appliqueront pas. 
      4. La section 6 (b) adoptera la formulation suivante :  
        Les procédures opérationnelles internes des deux parties doivent respecter les exigences spécifiques d’une direction efficace de la protection des données et de la sécurité de l’information, y compris, mais sans s’y limiter, la direction des accès, la prévention des fraudes et l’utilisation irrégulière des services de Sinch.  
    2. For Customers and contracts in Colombia, in addition to what is agreed upon in this DPA, the following is applicable concerning the definition of the term “Applicable Data Protection Laws” as well the processing and transfer of personal data:  
      1. Les « Lois applicables en matière de protection des données » désignent la Loi statutaire colombienne 1581 de 2012 et le Décret réglementaire 1377 de 2013, et d’autres règlements qui modifient, remplacent ou complètent les textes susmentionnés, ainsi que le règlement général sur la protection des données, tel que transposé dans la législation nationale de chaque État membre (et du Royaume-Uni) et tel que modifié, remplacé ou annulé de temps à autre, et les lois mettant en œuvre, remplaçant ou complétant le règlement général sur la protection des données et toutes les lois applicables au traitement des Données à caractère personnel du client, y compris le California Consumer Privacy Act de 2018, Cal. Civ. Code § 1798.100 et seq (« CCPA »). 
      2. « Le Responsable du traitement reconnaît que le Sous-traitant peut transférer, stocker et traiter des Données à caractère personnel dans des territoires situés en dehors de la Colombie, où elles seront soumises aux lois des juridictions étrangères dans lesquelles elles sont détenues. Le Responsable du traitement reconnaît qu’il possède toutes les autorisations préalables nécessaires des personnes concernées et tous les enregistrements de bases de données qui permettraient au Sous-traitant de traiter les données dans des bases de données et dans des pays qui répondent au moins aux mêmes normes de protection des données (niveau de protection adéquat) que celles prévues par les lois colombiennes (telles que, sans s’y limiter, la Loi statutaire 1581 de 2012, le Décret réglementaire 1377 de 2013, le Décret no 90 de 2018, la Circulaire unique de la Surintendance de l’industrie et du commerce et la Circulaire externe no 005 de 2017 de la Surintendance de l’industrie et du commerce, ainsi que d’autres réglementations qui modifient, remplacent ou complètent les textes susmentionnés). »
    3. Pour les Clients et les contrats en Argentine, en plus de ce qui est convenu dans le présent accord sur le traitement des données personnelles, les dispositions suivantes s’appliquent au traitement et au transfert de données à caractère personnel : le Client reconnaît qu’il dispose de toutes les autorisations préalables nécessaires des personnes concernées pour le traitement et le transfert de données à caractère personnel, y compris les données sensibles, le cas échéant, à Sinch. Les parties reconnaissent et acceptent que le traitement des données à caractère personnel sera effectué conformément à la loi no 25.326 (« Loi de protection des données à caractère personnel de la République d’Argentine ») et aux dispositions et résolutions émises par l’Agence pour l’accès à l’information publique. Le transfert de données à caractère personnel vers des pays ou des organisations internationales ou supranationales ne sera effectué que vers des destinataires offrant des niveaux de protection adéquats.  
    4. For Customers and contracts in Uruguay, in addition to what is agreed upon in this DPA, the following applies concerning the processing and transfer of personal data: 
      1. Le Responsable du traitement reconnaît qu’il dispose de toutes les autorisations préalables nécessaires de la part des personnes concernées et de tous les enregistrements de base de données qui permettraient à Sinch de traiter les données à caractère personnel et de les transférer et/ou de les transmettre à des pays qui respectent au moins les mêmes normes de protection des données à caractère personnel (niveau de protection adéquat) que celles prévues par la législation uruguayenne, telles que, sans s’y limiter, la Loi no 18.331, le Décret réglementaire no 414/009 et la Loi no 19.670, ainsi que d’autres réglementations qui modifient, remplacent ou complètent les textes susmentionnés.
      2. Les dispositions contenues dans la Clause 13(b) ne s’appliqueront pas. 
    5. Pour les Clients et les contrats au Mexique, en plus de ce qui est convenu dans le présent accord sur le traitement des données personnelles, les définitions mises en évidence ci-dessous doivent remplacer les définitions utilisées dans le présent accord sur le traitement des données personnelles :  
      « Lois applicables en matière de protection des données » désigne la Loi fédérale mexicaine sur la protection des données à caractère personnel détenues par des personnes privées (« LFPDPPP »), et d’autres règlements qui modifient, remplacent ou complètent ce qui précède, ainsi que le règlement général sur la protection des données, tel que transposé dans la législation nationale de chaque État membre (et du Royaume-Uni) et tel que modifié, remplacé ou annulé de temps à autre, et les lois mettant en œuvre, remplaçant ou complétant le règlement général sur la protection des données et toutes les lois applicables au traitement des données à caractère personnel du client, y compris la loi californienne sur la protection de la vie privée des consommateurs de 2018 (California Consumer Privacy Act), Cal. Civ. Code § 1798.100 et seq (« CCPA »).