Accord de traitement des données

Le présent Accord de traitement des données fait partie intégrante du Contrat conclu entre EventDock B.V. (« EventDock ») et le Client et s'applique dès lors qu'EventDock traite des données à caractère personnel pour le compte du Client dans le cadre de l'exécution du Contrat.

Définitions : - Produits : matériel et équipements, y compris les systèmes de caméras, d'accès, de connectivité et de sécurité. - Services : installation, configuration, gestion, maintenance, surveillance, connectivité, services cloud et logiciels, et assistance. - Location : mise à disposition temporaire de Produits. - Vente : transfert de propriété de Produits. - Systèmes gérés : systèmes sur lesquels EventDock effectue une gestion à distance ou fournit des Services, qu'ils soient loués ou achetés. - Contrat : tout ce qui a été convenu contractuellement entre EventDock et le Client.

Responsable du traitement : Le Client détermine les finalités et les moyens de la surveillance par caméra et de la sécurité : l'emplacement des caméras, ce qui est capturé, les fonctionnalités de détection actives, les personnes autorisées à visionner les images et la durée de conservation de celles-ci. Le Client est par conséquent le responsable du traitement au sens de l'article 4, paragraphe 7, du RGPD.

Sous-traitant : EventDock traite ces données à caractère personnel uniquement sur les instructions et pour le compte du Client et est par conséquent le sous-traitant au sens de l'article 4, paragraphe 8, du RGPD.

Traitements propres à EventDock : Pour les données qu'EventDock traite pour ses propres finalités, telles que la gestion des clients, les devis, la facturation, les prises de contact, l'assistance et l'utilisation du site Internet, EventDock est elle-même le responsable du traitement. Notre Politique de confidentialité s'applique à ces traitements, et non le présent Accord de traitement des données.

Objet : La fourniture, la location, la vente, l'installation, la configuration, la gestion, la maintenance et, lorsqu'il en a été convenu, la surveillance de systèmes de caméras, d'accès, de connectivité et de sécurité, ainsi que des logiciels et services cloud associés.

Nature du traitement : L'enregistrement, le stockage, la transmission (streaming), la visualisation, l'exportation, l'effacement et la sécurisation d'images et de métadonnées associées, ainsi que l'analyse, la détection et la classification d'événements et d'objets au moyen d'une analyse d'images automatisée.

Types de données à caractère personnel : - Images de personnes entrant dans le champ de vision des caméras - Métadonnées associées telles que la date, l'heure, la localisation et l'identification de la caméra - Événements de détection, données de mouvement, classifications d'objets, instantanés, événements d'alarme et autres métadonnées générés par le système de sécurité - Pour les applications ANPR : plaques d'immatriculation et caractéristiques des véhicules - Pour la reconnaissance faciale : données biométriques (voir article 3) - Fichiers d'accès et de journalisation des utilisateurs du portail de gestion

Catégories de personnes concernées : Visiteurs du site, employés et sous-traitants du Client, passants et, en cas d'ANPR, détenteurs des véhicules enregistrés.

Durée : Le présent Accord de traitement des données s'applique aussi longtemps qu'EventDock traite des données à caractère personnel pour le compte du Client en vertu du Contrat et prend fin dès lors que les services de traitement correspondants ont pris fin et que les données à caractère personnel ont été effacées ou restituées conformément à l'article 10. La durée n'est pas liée à une seule Période de location : en cas de Vente assortie de Services continus, le présent Accord de traitement des données demeure applicable aussi longtemps que ces Services sont fournis.

Détails du traitement par mission : La configuration spécifique par mission (système, fonctionnalités de détection, ANPR, surveillance, lieu de stockage, durée de conservation et échéance) est consignée dans l'Annexe A.

3.1. EventDock traite les données à caractère personnel uniquement sur la base des instructions écrites du Client et non pour ses propres finalités.

3.2. Les instructions sont consignées dans le Contrat, la confirmation de commande, l'Annexe A et les paramètres sélectionnés dans le portail de gestion.

3.3. EventDock ne traite aucune donnée à caractère personnel en dehors des instructions du Client, à moins qu'une disposition du droit de l'Union ou du droit national applicable à EventDock ne l'y oblige. Dans ce cas, EventDock informe le Client de cette obligation juridique préalablement au traitement, sauf si cette obligation interdit une telle notification.

3.4. EventDock informe le Client sans délai si, de l'avis d'EventDock, une instruction enfreint le RGPD ou une autre législation applicable.

3.5. Le Client garantit qu'une base juridique valable existe pour le traitement et que, lorsque le traitement est fondé sur un intérêt légitime, la mise en balance des intérêts requise a été effectuée. Le Client garantit en outre qu'une AIPD a été réalisée lorsque cela s'avérait nécessaire et que les personnes concernées présentes sur le lieu sont clairement informées de la surveillance par caméra et de la surveillance de sécurité.

3.6. Les images de caméra peuvent inévitablement contenir des données susceptibles de révéler des catégories particulières de données à caractère personnel. EventDock n'utilise aucune analyse d'image automatisée pour déduire des caractéristiques sensibles telles que la santé, l'origine ethnique, les convictions religieuses ou les opinions politiques. Il incombe au Client de limiter le champ de vision de la caméra à ce qui est nécessaire.

3.7. La reconnaissance faciale implique le traitement de données biométriques aux fins d'identifier une personne physique de manière unique et constitue un traitement de catégories particulières de données à caractère personnel au sens de l'article 9 du RGPD. Cette fonctionnalité n'est activée que sur instruction expresse et documentée du Client. Le Client est responsable de l'existence d'une exception valable en vertu de l'article 9 du RGPD, de l'AIPD en principe obligatoire, ainsi que de l'information des personnes concernées.

4.1. EventDock s'engage à préserver la confidentialité de l'ensemble des données à caractère personnel qu'elle traite pour le compte du Client.

4.2. Le personnel d'EventDock et les tiers engagés sont contractuellement soumis à une obligation de confidentialité et n'ont accès aux données que dans la mesure nécessaire à l'accomplissement de leur mission (need-to-know).

4.3. L'obligation de confidentialité continue de s'appliquer après la résiliation ou le terme du Contrat.

5.1. EventDock met en œuvre des mesures techniques et organisationnelles appropriées conformément à l'article 32 du RGPD. Les mesures qu'EventDock applique effectivement sont décrites à l'Annexe B et sont réexaminées périodiquement et adaptées si nécessaire.

5.2. Les connexions pour la diffusion (streaming) et l'accès aux images sont chiffrées (TLS). Le stockage des images est protégé par des mesures appropriées, y compris le chiffrement lorsque l'infrastructure de stockage concernée le prend en charge. EventDock ne garantit pas que chaque forme de stockage applique le chiffrement au repos ; la forme de stockage applicable découle de la configuration et de l'Annexe A.

5.3. Une distinction est faite entre les formes de stockage suivantes :
- stockage local sur les équipements d'EventDock sur site
- stockage local dans les systèmes du Client ou sur les propres équipements du Client
- stockage cloud EventDock, uniquement lorsque cela a été convenu
- services cloud ou de plateforme de tiers externes, lorsque le Client fait ce choix ou que cela fait partie de la configuration convenue

Pour les données situées dans les systèmes du Client ou auprès d'un tiers choisi par le Client, ce Client ou ce fournisseur respectif est responsable de la sécurité, de l'accès, de la conservation et de la suppression.

5.4. Le Client est responsable de la gestion rigoureuse de ses propres comptes, de la limitation du groupe d'utilisateurs et de la révocation sans délai des accès pour les collaborateurs quittant l'entreprise.

6.1. Le Client accorde à EventDock une autorisation générale de faire appel à des sous-traitants ultérieurs. Aux fins du présent Accord de traitement des données, seules les parties qui traitent des données à caractère personnel pour le compte d'EventDock pour le Client sont qualifiées de sous-traitants ultérieurs, telles que l'hébergement, le stockage, l'accès à distance et la gestion des systèmes de sécurité. Les fournisseurs qui traitent uniquement des données pour lesquelles EventDock est elle-même le responsable du traitement, comme les services de paiement et de messagerie électronique pour sa propre administration, ne sont pas des sous-traitants ultérieurs au sens du présent Accord de traitement des données.

6.2. EventDock impose aux sous-traitants ultérieurs des obligations au moins équivalentes à celles énoncées dans le présent Accord de traitement des données.

6.3. Une liste actualisée des sous-traitants ultérieurs figure à l'Annexe C. EventDock informe le Client au moins 14 jours avant le recours ou le remplacement envisagé d'un sous-traitant ultérieur, afin que le Client puisse s'y opposer. En cas de modification urgente nécessaire à la sécurité ou à la continuité des services, EventDock en informe le Client dès que possible et au plus tard immédiatement après la modification.

6.4. Si une objection est maintenue et qu'aucune alternative raisonnable ne peut être trouvée, le Client peut résilier la partie concernée du Contrat sans pénalité.

6.5. EventDock demeure pleinement responsable envers le Client de l'exécution des obligations découlant du présent Accord de traitement des données par ses sous-traitants ultérieurs.

7.1. Les images de caméra et les métadonnées de sécurité associées sont en principe stockées et traitées au sein de l'Espace économique européen. EventDock vérifie ce point par fournisseur et consigne le lieu de traitement effectif ainsi que tout mécanisme de transfert à l'Annexe C.

7.2. Pour les services d'assistance, tels que les plateformes cloud et de gestion, le support et la télémétrie des fournisseurs, un traitement limité en dehors de l'EEE peut avoir lieu. Dans ce cas, EventDock fonde le transfert sur une décision d'adéquation de la Commission européenne ou sur les Clauses contractuelles types, assorties de mesures supplémentaires le cas échéant.

7.3. EventDock respecte les instructions documentées du Client concernant les transferts internationaux de données à caractère personnel. En l'absence d'instruction ou de mécanisme de transfert valide, aucun transfert hors de l'EEE n'a lieu.

7.4. EventDock ne divulgue pas de données à caractère personnel à des autorités situées en dehors de l'EEE, à moins d'y être légalement tenue ; dans ce cas, EventDock en informe le Client dès que cela est autorisé.

8.1. Les demandes des personnes concernées (accès, rectification, effacement, limitation, portabilité ou opposition) sont traitées par le Client en qualité de responsable du traitement.

8.2. Si EventDock reçoit une demande relative aux données qu'elle traite pour le compte du Client, EventDock ne traite pas le fond de cette demande de manière autonome sans instruction du Client, à moins d'y être légalement tenue. EventDock informe le Client dans un délai de 3 jours ouvrés et, le cas échéant, renvoie la personne concernée vers le Client.

8.3. Compte tenu de la nature du traitement et des informations dont elle dispose, EventDock fournit au Client l'assistance nécessaire au traitement des demandes des personnes concernées, par exemple en localisant, exportant ou effaçant des fragments d'images. Cette assistance nécessaire est incluse. Ce n'est que pour des travaux exceptionnels ou sur mesure ne relevant raisonnablement pas de ce cadre qu'EventDock peut facturer des frais au taux horaire applicable, sous réserve d'une notification préalable.

9.1. Une violation de données à caractère personnel s'entend d'une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel traitées ou l'accès non autorisé à de telles données. Cela inclut le visionnage non autorisé d'images, la perte ou le vol d'équipements ainsi que le partage accidentel d'extraits d'images.

9.2. EventDock informe le Client dans les meilleurs délais et, en tout état de cause, dans les 24 heures suivant la prise de connaissance d'une violation de données à caractère personnel.

9.3. La notification comprend, dans la mesure où ces éléments sont connus : la nature de la violation, les catégories de données et de personnes concernées, les conséquences probables et les mesures prises ou envisagées. EventDock fournit des informations complémentaires dans les meilleurs délais au fur et à mesure de leur disponibilité.

9.4. EventDock ne notifie pas elle-même une autorité de contrôle ni les personnes concernées au nom du Client, sauf accord contraire par écrit. Il appartient au Client d'évaluer si une notification est requise.

9.5. EventDock assiste le Client dans l'enquête relative à l'incident, la limitation de ses conséquences et sa documentation.

10.1. Le Client détermine la durée de conservation, en tenant compte de la finalité du traitement, du principe de limitation de la conservation ainsi que des lois et réglementations applicables. Sauf accord contraire, la durée de conservation par défaut configurée techniquement est de 7 jours.

10.2. Après la fin des services de traitement concernés, EventDock efface toutes les données à caractère personnel qu'elle traite pour le compte du Client ou les lui restitue, au choix du Client. L'effacement ou la restitution intervient au plus tard 30 jours après la résiliation, à moins que le Client ne demande un effacement anticipé ou que des obligations légales de conservation ne s'y opposent.

10.3. À la demande du Client, EventDock met à disposition un export dans un format couramment utilisé avant de procéder à l'effacement.

10.4. Les données à caractère personnel figurant dans les sauvegardes techniques sont supprimées conformément au cycle habituel de conservation des sauvegardes et ne sont traitées à aucune autre fin pendant cette période.

10.5. L'équipement est effacé après restitution ou remplacement avant d'être réémis.

11.1. Compte tenu de la nature du traitement et des informations dont elle dispose, EventDock apporte au Client une assistance raisonnable pour lui permettre de respecter les obligations prévues aux articles 32 à 36 du RGPD, notamment la sécurité du traitement, la notification et la documentation des violations de données à caractère personnel, les analyses d'impact relatives à la protection des données (AIPD) et la consultation préalable d'une autorité de contrôle.

11.2. EventDock ne rédige pas l'AIPD du Client, mais fournit sur demande les informations techniques et organisationnelles dont le Client a besoin à cette fin, y compris les informations sur les caméras et leur positionnement, les fonctionnalités de détection et d'analyse, la LAPI (lecture automatisée de plaques d'immatriculation) et la reconnaissance faciale le cas échéant, la forme et le lieu de stockage, la gestion des accès, la journalisation, les mesures de sécurité et les sous-traitants ultérieurs.

11.3. Cette assistance est incluse dans le cadre d'une utilisation normale. L'article 8.3 s'applique uniquement aux travaux exceptionnels ou sur mesure.

12.1. Sur demande, EventDock met à disposition les informations permettant au Client de démontrer le respect de l'article 28 du RGPD, y compris l'aperçu des mesures techniques et organisationnelles (Annexe B), la liste des sous-traitants ultérieurs (Annexe C) et, lorsqu'ils sont disponibles, les certifications et rapports d'audit pertinents.

12.2. Le Client peut faire réaliser un audit par un expert indépendant au maximum une fois par an, sous réserve d'un préavis d'au moins 30 jours et pendant les heures de bureau.

12.3. Les limitations prévues à l'article 12.2 ne s'appliquent pas lorsqu'un audit supplémentaire est raisonnablement nécessaire en raison d'une violation de données à caractère personnel, d'indices concrets de non-conformité ou d'une demande émanant d'une autorité de contrôle compétente.

12.4. EventDock autorise les audits et y contribue. Les frais de l'audit sont à la charge du Client, sauf si l'audit démontre qu'EventDock manque à ses obligations au titre du présent Accord de traitement des données.

12.5. Lorsqu'un manquement est constaté, EventDock y remédie dans un délai raisonnable.

13.1. Les limitations de responsabilité stipulées dans les Conditions générales d'EventDock s'appliquent au présent Accord de traitement des données, dans la mesure où le RGPD le permet.

13.2. En cas de contradiction entre le présent Accord de traitement des données et les Conditions générales, le présent Accord de traitement des données prévaut pour ce qui concerne le traitement des données à caractère personnel. Pour le reste, l'ordre de priorité des documents stipulé dans les Conditions générales s'applique.

13.3. Toute relation juridique découlant du présent Accord de traitement des données ou s'y rapportant est régie exclusivement par le droit néerlandais, quel que soit le pays dans lequel les Produits sont livrés, positionnés, installés ou utilisés. La Convention des Nations Unies sur les contrats de vente internationale de marchandises (CVIM) est expressément exclue. Tous les litiges sont, dans la mesure où la loi le permet, soumis exclusivement au tribunal néerlandais compétent du ressort dans lequel EventDock a son siège social. Cette élection de droit et de for est identique à celle des Conditions générales.

13.4. Souhaitez-vous une version signée du présent Accord de traitement des données ? Demandez-en une via privacy@eventdock.nl et nous vous enverrons un exemplaire au nom de votre organisation, comprenant l'Annexe A complétée.

La présente annexe est complétée par mission et fait partie intégrante du présent Accord de traitement des données. En cas de modification des services, seule la présente annexe est modifiée.

- Service : Location / Vente / Installation / Système géré - Système : Case / Pole / Tower / Edge / Connect / système permanent - Surveillance par caméra : oui / non - Détection par IA : personnes / véhicules / autres objets / non actif - ANPR (reconnaissance de plaques d'immatriculation) : oui / non - Reconnaissance faciale : oui / non (si oui : uniquement sur instruction documentée, voir article 3.7) - Surveillance et traitement des alarmes : oui / non - Forme de stockage : local sur équipement EventDock / local chez le Client / cloud EventDock / cloud externe - Lieu de stockage : en principe EEE (voir Annexe C) - Durée de conservation : 7 jours par défaut, sauf mention contraire consignée - Catégories de personnes concernées : visiteurs / employés / sous-traitants / passants / détenteurs de véhicules - Traitement particulier : le cas échéant - Durée : durée des Services concernés

EventDock applique les mesures suivantes. La présente annexe est mise à jour à chaque modification de ces mesures.

• Connexions chiffrées (TLS) pour le streaming et l'accès aux images
• Identifiants de connexion uniques par utilisateur ; aucun compte partagé
• Droits d'accès basés sur les rôles selon le principe du besoin d'en connaître
• Journalisation de l'accès aux images et des modifications des paramètres système
• Mises à jour des micrologiciels (firmware) et logiciels sur les systèmes de caméras et de sécurité
• Sécurité physique des équipements, verrouillages et boîtiers des mâts, valises et installations
• Politique de mots de passe et gestion des autorisations au sein d'EventDock
• Contrôle périodique de la configuration lors de l'installation, de la modification et du retour
• Effacement des données des équipements avant toute nouvelle mise à disposition
• Confidentialité contractuelle pour le personnel et les tiers engagés

Les mesures non mentionnées ici ne constituent pas une garantie contractuelle de la part d'EventDock. Si le Client requiert des mesures supplémentaires, celles-ci font l'objet d'un accord séparé.

Ci-dessous figurent les parties qui traitent des données à caractère personnel pour le compte d'EventDock pour le Client. Les prestataires qui traitent uniquement des données pour lesquelles EventDock est elle-même le responsable du traitement, tels que les services de paiement et de messagerie électronique, ne sont pas répertoriés ici ; voir la Politique de confidentialité.

Pour chaque sous-traitant ultérieur, la dénomination sociale, le service, les catégories de données à caractère personnel, la finalité, le lieu de traitement et tout éventuel mécanisme de transfert sont consignés. L'aperçu actuel figure dans le tableau au bas de cette page et est disponible sur demande via privacy@eventdock.nl.

Des questions concernant le présent Accord de traitement des données ? Veuillez nous contacter :

EventDock B.V. Dortherweg 29 7214 PS Epse, Pays-Bas Chambre de commerce néerlandaise (KvK) : 42095557 E-mail : privacy@eventdock.nl Téléphone : +31 85 505 5059 Site web : www.eventdock.nl