Greip

Addendum de traitement des données

Bienvenue sur Greip et notre site web à l'adresse greip.io. Afin que vous, en tant qu'utilisateur du service et responsable du traitement (désigné par « Responsable du traitement » ou « vous » ou « Client »), puissiez utiliser ou continuer à utiliser nos modules alimentés par l'IA pour prévenir la fraude de paiement (les « Services ») proposés par nous, GRE DEVELOPMENT LTD (numéro d'immatriculation 13031797), 24-26 Arcadia Avenue, Fin009, London N3 2JU, United Kingdom (désigné par « Greip » ou « Sous-traitant »), vous avez accepté que ces conditions de traitement des données (« Conditions ») s'appliquent (nonobstant toute autre condition applicable à la fourniture des Services) afin de répondre aux obligations de conformité imposées à Greip et à ses Clients en vertu de la législation applicable en matière de protection des données et en particulier la Data Protection Act du Royaume-Uni (« DPA ») et le Règlement général sur la protection des données de l'UE (« GDPR »).

Ces Conditions constituent un accord distinct, ou elles peuvent être incorporées par référence dans l'accord de Services pertinent, selon le cas.

  1. DÉFINITIONS
    1. 1.1. Dans le présent Accord, les mots commençant par une majuscule ont la signification définie ci-dessous ou, selon le cas, ailleurs dans le présent Accord :
      1. 1.1.1. « Filiale » désigne toute entité qui contrôle directement ou indirectement, est contrôlée par, ou est sous contrôle commun avec, une partie de temps à autre pendant la Durée.
      2. 1.1.2. « Législation en matière de protection des données » désigne les lois sur la confidentialité des données applicables au traitement en lien avec les Services, y compris, le cas échéant, le GDPR et la DPA ou les lois applicables en matière de confidentialité des données de toute autre juridiction pertinente.
      3. 1.1.3. « Client » désigne tout client de Greip.
      4. 1.1.4. « Clauses contractuelles » désigne les clauses contractuelles types de la Commission européenne pour le transfert de données personnelles au-delà des frontières, telles que modifiées ou remplacées de temps à autre, ou tout ensemble équivalent de clauses contractuelles approuvé en vertu de la Législation en matière de protection des données ; et
      5. 1.1.5. « Données personnelles » désigne les données personnelles traitées par le Sous-traitant en lien avec les Services pour le compte du Client pendant la Durée et peut inclure des Données personnelles et des Données de catégories spéciales spécifiquement requises et transférées par le Client. Le traitement peut inclure des activités auxiliaires aux services Greip, telles que les services administratifs et autres services. Cela inclura les noms et autres informations sur les personnes concernées incluses dans les documents du Client.
      6. 1.1.6. Les termes « personne concernée », « données personnelles », « traitement » et leurs variantes, « responsable du traitement » et « sous-traitant » ont la signification qui leur est attribuée dans la Législation en matière de protection des données.
      7. 1.1.7. « Données de compte Client » désigne les données personnelles relatives au compte et à la facturation du Client, y compris les informations d'inscription, les coordonnées, les paramètres d'authentification et de sécurité et les métadonnées d'abonnement et de paiement traitées via le tableau de bord ou le paiement.
      8. 1.1.8. « Données d'utilisation Client » désigne les données personnelles issues de l'utilisation des Services, y compris les métadonnées de requêtes API, les journaux d'événements et d'utilisation, les données d'appareil et de connexion et une télémétrie similaire pour l'exploitation, la sécurité et la facturation.
      9. 1.1.9. « Contenu Client » désigne les données personnelles contenues dans les données que le Client (ou ses utilisateurs finaux) soumet aux Services pour la prévention de la fraude, la validation ou l'enrichissement (p. ex. adresses IP, e-mails, numéros de téléphone, identifiants de paiement et champs associés) et les résultats renvoyés au Client.
      10. 1.1.10. « Mesures de sécurité prévues » désigne les mesures techniques et organisationnelles de sécurité décrites à l'Annexe du présent Addendum.
  2. DÉSIGNATION
    1. 2.1. Greip est désigné par ses Clients, les Filiales du Client et les Filiales commerciales (collectivement les « Parties donneuses d'instructions ») pour fournir et gérer divers services, y compris les Services pour leur compte. En conséquence, les Données personnelles peuvent contenir des données personnelles relatives auxquelles le Client et ses Parties donneuses d'instructions sont responsables du traitement. Greip confirme qu'il est autorisé à communiquer au Client toute instruction ou autre exigence au nom du Client en ce qui concerne le traitement des Données personnelles en lien avec les Services.
    2. 2.2. Le Sous-traitant est désigné par le Client pour traiter les Données personnelles pour le compte du Client et / ou des Parties donneuses d'instructions, selon le cas, comme nécessaire pour fournir les Services ou comme convenu par les parties par écrit.
  3. DURÉE
    1. Les Conditions entrent en vigueur à la Date d'effet et restent pleinement en vigueur jusqu'à ce que tous les Services aient cessé et que toutes les Données personnelles en possession du Sous-traitant ou sous son contrôle raisonnable aient été retournées ou détruites (la « Durée »).
  4. CONFORMITÉ EN MATIÈRE DE PROTECTION DES DONNÉES
    1. 4.1. En ce qui concerne son traitement des Données personnelles, sauf disposition contraire de la loi, Greip accepte de :
      1. 4.1.1. traiter les Données personnelles uniquement comme requis en lien avec les Services et conformément aux instructions légales documentées du Client et de ses Parties donneuses d'instructions de temps à autre ;
      2. 4.1.2. informer le Client et ses Parties donneuses d'instructions si, de l'avis de Greip, une instruction enfreint la Législation en matière de protection des données ;
      3. 4.1.3. veiller à ce que tout le personnel autorisé par Greip à traiter les Données personnelles se soit engagé à respecter la confidentialité ou soit soumis à une obligation légale appropriée de confidentialité ;
      4. 4.1.4. mettre en œuvre des mesures techniques et organisationnelles appropriées pour protéger adéquatement les Données personnelles compte tenu de la nature des données personnelles à protéger et du risque de préjudice qui pourrait résulter de tout Incident de sécurité (tel que défini ci-dessous), au minimum les Mesures de sécurité prévues ;
      5. 4.1.5. informer rapidement le Client et ses Parties donneuses d'instructions de toute demande de personne concernée en vertu de la Législation en matière de protection des données ou de toute demande réglementaire ou d'application de la loi relative aux Données personnelles. Greip ne reconnaîtra ni ne répondra autrement à la demande d'accès de la personne concernée sauf avec l'approbation écrite préalable du Client et de ses Parties donneuses d'instructions, qui ne sera pas refusée de manière déraisonnable ;
      6. 4.1.6. fournir l'assistance que le Client et ses Parties donneuses d'instructions peuvent raisonnablement exiger pour assurer la conformité de Greip à la Législation en matière de protection des données en matière de sécurité des données, de notifications de violation de données, d'évaluations d'impact sur la protection des données et de consultations préalables avec une autorité compétente ;
      7. 4.1.7. au choix du Client et de ses Parties donneuses d'instructions, sans délai supprimer ou retourner toutes les Données personnelles au Client et à ses Parties donneuses d'instructions, et supprimer les copies existantes de toutes les Données personnelles en possession du Sous-traitant ou sous son contrôle raisonnable (y compris celles détenues par un Sous-traitant ultérieur) ; et
      8. 4.1.8. mettre à la disposition du Client et de ses Parties donneuses d'instructions les informations raisonnablement nécessaires pour démontrer la conformité de Greip à ces Conditions, répondre à des questionnaires de sécurité raisonnables et contribuer aux audits menés conformément à la clause 7.
  5. SOUS-TRAITANTS ULTÉRIEURS
    1. 5.1. En concluant ou en continuant d'utiliser les Services après la Date d'effet, le Client donne au Sous-traitant une autorisation écrite générale d'engager des Sous-traitants ultérieurs qui traitent des Données personnelles en lien avec les Services, sous réserve de la présente clause 5. Le Sous-traitant ne sous-traitera, externalisera, cédera, novéra ou transférera autrement des obligations en vertu de ces Conditions d'une manière impliquant qu'un nouveau Sous-traitant ultérieur traite des Données personnelles que conformément à la clause 5.2.
    2. 5.2. Lors de l'engagement d'un Sous-traitant ultérieur, le Sous-traitant :
      1. 5.2.1. effectuera une diligence raisonnable ;
      2. 5.2.2. conclura un contrat aux termes, dans la mesure du possible, identiques à ceux de ces Conditions, et qui peut inclure des Clauses contractuelles pour fournir des garanties adéquates en ce qui concerne le traitement des Données personnelles ; et
      3. 5.2.3. notifiera au Client au moins 14 jours à l'avance toute addition ou substitution prévue d'un Sous-traitant ultérieur, en mettant à jour la liste publique visée à la clause 5.2.4 et, lorsque le Client a souscrit aux notifications de changement, par e-mail ou via le Compte. Si le Client s'oppose à un tel changement pour des motifs raisonnables dans ce délai, les parties agiront de bonne foi pour résoudre l'opposition. Si l'opposition ne peut être résolue dans un délai raisonnable (et en tout état de cause dans les 30 jours suivant la fin du délai de notification, sauf accord contraire), le Client peut résilier les Services concernés par notification écrite et, comme seul recours relativement à cette opposition, recevoir le remboursement des frais prépayés pour la portion inutilisée de la période d'abonnement à ces Services après la date d'effet de la résiliation.
      4. 5.2.4. tient une liste publique des sous-traitants ultérieurs traitant des données personnelles dans le cadre des Services sur https://greip.io/fr/legal-and-security/sub-processors, mise à jour périodiquement. Le Client peut demander des notifications de changement via son compte ou le support.
  6. INCIDENTS DE SÉCURITÉ
    1. 6.1. « Incident de sécurité » désigne une violation de la sécurité entraînant la destruction accidentelle ou illicite, la perte, l'altération, la divulgation non autorisée ou l'accès aux Données personnelles transmises, stockées ou autrement traitées.
    2. 6.2. Greip informera le Client sans retard injustifié et en tout état de cause dans les 72 heures suivant le moment où Greip prend connaissance d'un Incident de sécurité, et fournira au Client les informations suivantes au fur et à mesure de leur disponibilité :
      1. 6.2.1. une description de la nature de l'Incident de sécurité, y compris, lorsque possible, les catégories et le nombre approximatif de personnes concernées et d'enregistrements de données personnelles concernés ;
      2. 6.2.2. le type de données qui a fait l'objet de l'Incident de sécurité ;
      3. 6.2.3. dans la mesure où Greip en a connaissance au moment de la notification, les catégories de personnes concernées et d'enregistrements associés, et des détails complémentaires (y compris, le cas échéant et au fur et à mesure de leur disponibilité, l'identité des personnes concernées) ; et
      4. 6.2.4. les mesures que Greip prend ou propose de prendre pour atténuer et remédier à l'Incident de sécurité.
    3. 6.3. Greip déploiera des efforts raisonnables pour atténuer et remédier rapidement à tout Incident de sécurité et empêcher tout autre Incident de sécurité.
    4. 6.4. Greip accepte que le Client ait le droit exclusif de déterminer (i) si une notification de l'Incident de sécurité doit être fournie à des personnes, des régulateurs, des forces de l'ordre, des agences de renseignement sur les consommateurs ou d'autres personnes comme requis par la loi ou la réglementation, ou autrement à la discrétion du Client, (ii) le contenu de cette notification, et (iii) si un type de remédiation peut être offert aux personnes concernées, ainsi que la nature et l'étendue de toute remédiation.
    5. 6.5. Sous réserve de la clause 10.3, si un Incident de sécurité concerne des Données personnelles en possession ou sous le contrôle de Greip et a été causé par une violation de Greip du présent Addendum, Greip remboursera au Client les coûts documentés et raisonnables engagés par le Client pour notifier les régulateurs ou les personnes concernées et atténuer l'Incident de sécurité, mais uniquement dans la mesure où ces coûts sont raisonnablement imputables à la violation de Greip et ne dupliquent pas des recouvrements disponibles en vertu de la clause 9 ou de la loi applicable. La responsabilité globale de Greip pour ce remboursement en vertu de la clause 6.5 est plafonnée au total des frais payés par le Client à Greip pour les Services concernés au cours des douze (12) mois précédant immédiatement l'Incident de sécurité (ou, si le Client est client depuis moins de douze mois, aux frais payés depuis le début de l'abonnement).
    6. 6.6. Greip enquêtera sur l'Incident de sécurité et prendra des mesures raisonnables pour identifier, prévenir et atténuer les effets de l'Incident de sécurité. Greip prendra les mesures supplémentaires que le Client peut raisonnablement demander pour se conformer à la Législation en matière de protection des données.
    7. 6.7. Greip ne peut publier ou diffuser aucun dépôt, communication, notification, communiqué de presse ou rapport concernant un Incident de sécurité (« Notifications ») sans l'approbation écrite préalable du Client ; cette approbation ne sera pas refusée de manière déraisonnable.
  7. AUDIT
    1. 7.1. Le Client peut vérifier la conformité de Greip au présent Addendum principalement en demandant des questionnaires de sécurité complétés et la documentation raisonnablement nécessaire pour démontrer la conformité. Les audits sur site des installations, systèmes ou personnel de Greip ne sont autorisés que (a) à la suite d'un Incident de sécurité que le Client estime raisonnablement révéler un manquement important de Greip au présent Addendum, ou (b) lorsque requis par une autorité de contrôle compétente ayant juridiction sur le traitement du Client, et dans les deux cas au plus une fois par période de douze (12) mois sauf exigence légale. Tout audit sur site autorisé requiert un préavis écrit d'au moins 30 jours, est soumis à un accord de confidentialité mutuellement acceptable, a lieu pendant les heures ouvrables normales et est mené aux frais du Client sans perturber de manière déraisonnable les opérations de Greip. Greip coopérera aux demandes d'audit raisonnables et donnera accès aux dossiers pertinents dans la mesure nécessaire pour démontrer la conformité au présent Addendum et aux Mesures de sécurité prévues.
    2. 7.2. Si un audit ou une évaluation identifie un écart par rapport aux Mesures de sécurité prévues, Greip (a) pour les constats critiques, commencera la remédiation sans délai et (b) pour les autres constats, présentera au Client, dans les 30 jours suivant la notification de l'écart, un plan de remédiation écrit fixant des jalons priorisés selon la gravité. Greip mettra diligemment en œuvre le plan et corrigera les écarts dans les délais prévus au plan ou autrement convenus par écrit.
  8. TRANSFERTS INTERNATIONAUX DE DONNÉES
    1. 8.1. Greip veillera à ce qu'aucune Donnée personnelle ne soit transférée hors de :
      1. 8.1.1. l'environnement de données approuvé par le Client ; ou
      2. 8.1.2. tout territoire dans lequel des restrictions sont imposées sur le transfert de Données personnelles au-delà des frontières en vertu des Lois de protection des données,
      3. 8.1.3. sans le consentement écrit préalable du Client.
      4. 8.1.4. Greip veillera à ce que des Clauses contractuelles ou d'autres mécanismes de transfert applicables soient en place pour assurer un niveau adéquat de protection des données.
  9. INDEMNISATION
    1. Nonobstant toute disposition de l'accord de Services pertinent à cet égard, le Sous-traitant indemnisera et accepte par la présente d'indemniser le Client et les Parties donneuses d'instructions et leurs dirigeants, employés, agents et sous-traitants (chacun une « Partie indemnisée ») contre toute réclamation, perte, demande, action, responsabilité, amende, pénalité, dépenses raisonnables, dommages et montants de règlement (y compris les honoraires et coûts juridiques raisonnables) engagés par toute Partie indemnisée en raison de toute négligence grave ou violation intentionnelle par le Sous-traitant de ces Conditions.
  10. DISPOSITIONS DIVERSES
    1. 10.1. Les titres de clauses et autres titres dans ces Conditions sont fournis uniquement pour des raisons de commodité et n'affectent pas la signification ou l'interprétation de ces Conditions.
    2. 10.2. En cas de conflit, ces Conditions prévaudront sur tout accord de Services ou autre accord.
    3. 10.3. Rien dans ces Conditions n'exclura ou ne limitera la responsabilité de l'une ou l'autre partie qui ne peut être limitée ou exclue par la loi applicable (y compris la responsabilité qui ne peut être plafonnée en vertu de la clause 6.5). Sous réserve de la phrase précédente, (i) ces Conditions, y compris toute annexe, constituent l'intégralité de l'accord entre les parties concernant l'objet des présentes et remplacent tous les accords, ententes, négociations et discussions antérieurs des parties relatifs à son objet ; et (ii) en ce qui concerne l'objet de ces Conditions, aucune des parties ne s'est fiée à, et aucune des parties n'aura de droit ou de recours fondé sur, toute déclaration, représentation ou garantie, qu'elle soit faite par négligence ou de bonne foi, sauf celles expressément énoncées dans ces Conditions.
    4. 10.4. Le Client acceptera toute modification de ces Conditions qui peut être requise de temps à autre pour que nous et les Parties donneuses d'instructions nous conformions à toute Législation en matière de protection des données modifiée.
    5. 10.5. Toutes les notifications de résiliation ou de violation doivent être en anglais, par écrit et adressées à la personne de contact principale ou au service juridique de l'autre partie. La notification sera considérée comme donnée à réception, telle que vérifiée par un accusé de réception valide ou un journal électronique. Les notifications postales seront réputées reçues 48 heures après la date d'envoi par courrier recommandé ou enregistré.
    6. 10.6. Les dispositions de ces Conditions sont divisibles. Si une phrase, clause ou disposition est invalide ou inapplicable en tout ou en partie, cette invalidité ou inapplicabilité n'affectera que cette phrase, clause ou disposition, et le reste de ces Conditions restera pleinement en vigueur.
    7. 10.7. Ces Conditions sont régies par le droit de l'Angleterre et du Pays de Galles et les parties se soumettent à la juridiction exclusive des tribunaux de l'Angleterre et du Pays de Galles en ce qui concerne tout litige (contractuel ou non contractuel) concernant ces Conditions, sauf que l'une ou l'autre partie peut demander à tout tribunal une injonction ou autre recours pour protéger ses biens ou informations confidentielles.
ANNEXE
  1. Mesures de sécurité
    Greip déclare, garantit et s'engage à avoir établi et, tant que Greip Traite des Données personnelles, à faire respecter en permanence, un programme continu de Politiques de sécurité, Procédures de sécurité et Contrôles techniques de sécurité, qui assure raisonnablement la mise en œuvre des Mesures de sécurité prévues, et qui comprend, sans limitation, les éléments suivants :
    1. 1.1. Sécurité de l'information
      1. 1.1.1. un programme de gestion des incidents de confidentialité et de sécurité ;
      2. 1.1.2. un programme de sensibilisation à la confidentialité et à la sécurité ;
      3. 1.1.3. des plans de continuité des activités et de reprise après sinistre, y compris des tests réguliers ; et
      4. 1.1.4. des procédures pour effectuer des évaluations périodiques indépendantes des risques de sécurité pour identifier les actifs d'information critiques, évaluer les menaces pesant sur ces actifs, déterminer les vulnérabilités potentielles et assurer une remédiation rapide et appropriée.
    2. 1.2. Accès physique
      1. 1.2.1. des mécanismes de protection physique pour tous les actifs d'information et technologies de l'information pour garantir que ces actifs et technologies sont stockés et protégés de manière appropriée ;
      2. 1.2.2. des contrôles d'entrée appropriés pour les installations et les salles pour limiter l'accès physique aux systèmes qui stockent ou traitent les Données du Client ;
      3. 1.2.3. des processus pour garantir que l'accès aux installations et aux salles est surveillé et restreint sur la base du « besoin d'en connaître » ; et
      4. 1.2.4. des contrôles pour sécuriser physiquement toutes les Données du Client et pour détruire de manière sécurisée ces informations lorsqu'elles ne sont plus nécessaires conformément au présent Accord.
    3. 1.3. Accès logique
      1. 1.3.1. des mécanismes appropriés pour l'authentification et l'autorisation des utilisateurs conformément à une politique de « besoin d'en connaître » ;
      2. 1.3.2. des contrôles et des journaux auditables pour appliquer et maintenir des restrictions d'accès rigoureuses pour les employés et les sous-traitants ;
      3. 1.3.3. une administration rapide et précise de la gestion des comptes utilisateurs et de l'authentification ;
      4. 1.3.4. des processus pour garantir que les paramètres par défaut fournis par Greip pour les mots de passe et les paramètres de sécurité sont gérés de manière appropriée (par exemple, changés périodiquement, etc.) ;
      5. 1.3.5. des mécanismes pour chiffrer ou hacher tous les mots de passe ou autrement garantir que tous les mots de passe ne sont pas stockés en clair non sécurisé ; et
      6. 1.3.6. des processus pour révoquer immédiatement les accès des comptes inactifs ou des utilisateurs licenciés/transférés.
    4. 1.4. Architecture et conception de la sécurité
      1. 1.4.1. une architecture de sécurité qui assure raisonnablement la mise en œuvre des Mesures de sécurité prévues ;
      2. 1.4.2. des normes de configuration technologique documentées et appliquées ;
      3. 1.4.3. des tests réguliers des systèmes de sécurité et des Mesures de sécurité prévues ;
      4. 1.4.4. un système de pare-feu efficace et de technologies de détection d'intrusion nécessaires pour protéger les Données du Client ; et
      5. 1.4.5. des processus de conception de la couche base de données et application qui garantissent que les applications web sont conçues pour protéger les données d'information qui sont Traitées via ces systèmes.
    5. 1.5. Gestion des systèmes et des réseaux
      1. 1.5.1. des mécanismes pour maintenir les correctifs de sécurité à jour ;
      2. 1.5.2. surveiller, analyser et répondre aux alertes de sécurité ;
      3. 1.5.3. des éléments de conception de sécurité réseau appropriés qui prévoient la ségrégation des données d'autres données tierces ;
      4. 1.5.4. utiliser et mettre à jour régulièrement un logiciel antivirus ; et
      5. 1.5.5. l'intégrité, la résilience et la disponibilité de tout logiciel ou service utilisé pour Traiter les Données du Client.
      6. 1.5.6. Le non-respect par Greip des Mesures de sécurité prévues ou de ses obligations en vertu des présentes constitue une violation de l'Accord.
    6. 1.6. Mesures techniques minimales
      1. 1.6.1. Pare-feu correctement configurés et utilisant les derniers logiciels ;
      2. 1.6.2. gestion du contrôle d'accès des utilisateurs ;
      3. 1.6.3. mots de passe uniques d'une complexité suffisante, avec rotation ou réinitialisation lorsque les identifiants pourraient être compromis ou pour les accès privilégiés ;
      4. 1.6.4. configuration sécurisée sur tous les appareils ;
      5. 1.6.5. mises à jour logicielles régulières, le cas échéant, en utilisant un logiciel de gestion des correctifs ;
      6. 1.6.6. décommissionnement rapide et effacement sécurisé (qui rend les données irrécupérables) des anciens logiciels et matériels ;
      7. 1.6.7. logiciel antivirus, anti-malware et anti-spyware de protection en temps réel ;
      8. 1.6.8. https ;
      9. 1.6.9. chiffrement de tous les appareils portables garantissant une protection appropriée de la clé ;
      10. 1.6.10. chiffrement des données personnelles en transit en utilisant des solutions de chiffrement appropriées ;
      11. 1.6.11. authentification multifacteur pour l'accès à distance ;
      12. 1.6.12. accès WiFi sécurisé WPA2 ou WPA3 ;
      13. 1.6.13. filtrage web rigoureux et autres restrictions d'accès Internet appropriées ;
      14. 1.6.14. systèmes de détection et de prévention des intrusions ;
      15. 1.6.15. surveillance appropriée et proportionnée du personnel ; et
      16. 1.6.16. mesures et procédures de sauvegarde des données et de reprise après sinistre.
      17. 1.6.17. Mesures organisationnelles minimales
      18. 1.6.18. Vérifier tout le personnel, y compris le personnel, les contractants, les fournisseurs et les sous-traitants (y compris les Sous-traitants ultérieurs) de manière continue ;
      19. 1.6.19. accords de non-divulgation utilisés avec tout le personnel ;
      20. 1.6.20. formation régulière de tout le personnel sur la confidentialité, les obligations de traitement des données, l'identification des Incidents de sécurité et les risques ;
      21. 1.6.21. appliquer le principe du moindre privilège, y compris un transit restreint ou strictement contrôlé des données et du matériel en dehors du bureau ;
      22. 1.6.22. sécurité physique sur les locaux, y compris réception ou accueil, badges de sécurité, politique de bureau propre, stockage des documents dans des armoires sécurisées, élimination sécurisée des matériaux, etc. ;
      23. 1.6.23. appliquer les politiques appropriées, le cas échéant.
  2. MÉCANISMES DE TRANSFERT TRANSFRONTALIER DE DONNÉES
    1. 2.1. Dans le cas où les Services sont couverts par plus d'un Mécanisme de transfert, le transfert de données personnelles sera soumis à un seul Mécanisme de transfert conformément à l'ordre de priorité suivant :
      1. 2.1.1. les Clauses contractuelles types applicables telles qu'énoncées dans cette Annexe
      2. 2.1.2. autres Mécanismes de transfert de données applicables autorisés en vertu de la Législation applicable en matière de protection des données.
  3. CLAUSES CONTRACTUELLES TYPES
    1. 3.1. Les parties conviennent que les Clauses contractuelles types 2021 pour les transferts internationaux publiées et disponibles à l'adresse https://ec.europa.eu/info/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc/standard-contractual-clauses-international-transfers_en s'appliqueront aux données personnelles transférées via les Services de l'Espace économique européen ou de la Suisse, directement ou par transfert ultérieur, vers tout pays ou destinataire en dehors de l'Espace économique européen ou de la Suisse qui est :
      1. 3.1.1. non reconnu par la Commission européenne (ou, dans le cas de transferts depuis la Suisse, l'autorité compétente pour la Suisse) comme offrant un niveau adéquat de protection des données personnelles et
      2. 3.1.2. Pour les transferts de données de l'Espace économique européen soumis aux Clauses contractuelles types 2021, les Clauses contractuelles types 2021 seront réputées conclues (et incorporées dans cet Addendum par cette référence) et complétées comme suit :
        1. 3.1.2.1. Le Module Un (Responsable du traitement à Responsable du traitement) des Clauses contractuelles types 2021 s'appliquera lorsque Greip traite les Données de compte client et
        2. 3.1.2.2. le Client est responsable du traitement des Données d'utilisation client et Greip traite les Données d'utilisation client.
        3. 3.1.2.3. Le Module Deux (Responsable du traitement à Sous-traitant) des Clauses contractuelles types 2021 s'appliquera lorsque le Client est responsable du traitement du Contenu client et Greip traite le Contenu client.
        4. 3.1.2.4. Le Module Trois (Sous-traitant à Sous-traitant) des Clauses contractuelles types 2021 s'appliquera lorsque le Client est sous-traitant du Contenu client et Greip traite le Contenu client.
        5. 3.1.2.5. Le Module Quatre (Sous-traitant à Responsable du traitement) des Clauses contractuelles types 2021 s'appliquera lorsque le Client est sous-traitant des Données d'utilisation client et Greip traite les Données d'utilisation client.
      3. 3.1.3. Pour chaque Module, le cas échéant :
        1. 3.1.3.1. Exportateur de données : Client.
        2. 3.1.3.2. Coordonnées : L'adresse ou les adresses e-mail désignées par le Client dans le compte du Client via ses préférences de notification.
        3. 3.1.3.3. Rôle de l'exportateur de données : Le rôle de l'exportateur de données est défini dans le présent Accord.
        4. 3.1.3.4. Signature et date : En concluant l'Accord, l'exportateur de données est réputé avoir signé ces Clauses contractuelles types incorporées aux présentes, à compter de la Date d'effet de l'Accord.
        5. 3.1.3.5. Importateur de données : Greip.
        6. 3.1.3.6. Coordonnées : Équipe de support Greip
        7. 3.1.3.7. Rôle de l'importateur de données : Le rôle de l'importateur de données est défini dans le présent Accord.
        8. 3.1.3.8. Signature et date : En concluant l'Accord, l'importateur de données est réputé avoir signé ces Clauses contractuelles types, incorporées aux présentes, y compris leurs Annexes, à compter de la Date d'effet de l'Accord.
        9. 3.1.3.9. Pour les transferts soumis aux clauses contractuelles types de 2021 lorsque l'exportateur est établi dans l'EEE (ou la Suisse, le cas échéant) : l'autorité de contrôle compétente est l'autorité de contrôle de l'UE (ou suisse) de l'État membre de l'UE (ou de la Suisse) dans lequel l'exportateur est établi, ou toute autre autorité documentée par les parties à l'Annexe I.
        10. 3.1.3.10. Pour les transferts depuis le Royaume-Uni soumis au UK International Data Transfer Agreement (IDTA) ou à l'UK Addendum aux SCC de l'UE : l'autorité de contrôle est l'Information Commissioner's Office (ICO), Wycliffe House, Water Lane, Wilmslow SK9 5AF, Royaume-Uni (ico.org.uk).
    2. 3.2. Les catégories de personnes concernées sont décrites à l'Annexe I du présent Addendum.
    3. 3.3. Les catégories de données personnelles transférées sont décrites à l'Annexe I du présent Addendum.
    4. 3.4. La fréquence du transfert est continue pour la durée de l'Accord.
    5. 3.5. La nature et la finalité du traitement sont décrites à l'Annexe I du présent Addendum.
    6. 3.6. La période de conservation des données personnelles est décrite dans l'Accord et les conditions d'abonnement du Client.
    7. 3.7. Les Mesures de sécurité prévues de la présente Annexe servent d'Annexe II des Clauses contractuelles types.
    8. 3.8. Conflit. Dans la mesure où il existe un conflit entre les Clauses contractuelles types et toute autre condition du présent Accord ou de la Politique de confidentialité, les dispositions des Clauses contractuelles types prévaudront.
  4. TRANSFERTS INTERNATIONAUX DE DONNÉES AU ROYAUME-UNI
    1. 4.1. Lorsque des données personnelles sont transférées depuis le Royaume-Uni vers un pays non reconnu par le droit britannique comme offrant une protection adéquate, les parties conviennent que l'UK International Data Transfer Agreement (IDTA) publié par l'ICO, ou l'UK Addendum aux Clauses contractuelles types 2021 de la Commission européenne (UK Addendum), selon le cas, est incorporé dans le présent Addendum par référence et complété à l'aide des informations figurant à l'Annexe I.
    2. 4.2. L'IDTA britannique est disponible à l'adresse https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/international-data-transfer-agreement-and-guidance/. L'UK Addendum est disponible à l'adresse https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/international-data-transfer-addendum-to-the-eu-commission-standard-contractual-clauses/.
    3. 4.3. Lorsque les SCC de 2021 et l'IDTA britannique ou l'UK Addendum s'appliquent au même transfert, les parties utiliseront le mécanisme exigé par la loi de la juridiction d'où provient le transfert.
  5. ANNEXE I (CLAUSES CONTRACTUELLES TYPES)
    1. A.1. Exportateur de données : Client (dénomination sociale et adresse figurant dans le contrat de Services ou le compte).
    2. A.2. Importateur de données : GRE DEVELOPMENT LTD (numéro d'entreprise 13031797), 24-26 Arcadia Avenue, Fin009, London N3 2JU, Royaume-Uni ; contact : support@greip.io.
    3. A.3. Rôles : Comme indiqué à la clause 3.1.2 de la présente Annexe (Modules Un à Quatre, selon le cas).
    4. A.4. Catégories de personnes concernées : Personnel et utilisateurs autorisés du Client ; utilisateurs finaux ou clients du Client dont les données sont soumises aux Services ; personnes concernées identifiées dans le Contenu client.
    5. A.5. Catégories de données personnelles : Données de compte client, Données d'utilisation client et Contenu client (y compris coordonnées, identifiants, adresses IP, données d'appareil et de connexion, champs liés aux paiements et transactions soumis pour la prévention de la fraude, et communications de support).
    6. A.6. Catégories particulières de données : Uniquement si le Client les soumet explicitement dans le Contenu client ; Greip n'exige pas de catégories particulières pour les Services standard.
    7. A.7. Fréquence : Continue pendant la Durée.
    8. A.8. Nature et finalité : Stockage, validation, enrichissement, notation, journalisation, surveillance, support, facturation et sécurité des Services tels que décrits dans l'Accord.
    9. A.9. Sous-traitants ultérieurs : Comme indiqué sur https://greip.io/fr/legal-and-security/sub-processors.

Dernière mise à jour : 6 novembre 2026