Traitements des données

TRAITEMENT DEs DONNÉES à CARACTèRE PERSONNEL

– SOUS-TRAITANT
Cette annexe a vocation à vous informer sur le traitement des données à caractère personnel que l’Expert-Comptable (ou le « Cabinet » « Nous ») effectue dans le cadre de la mission que vous le Client (ou « Vous »), lui avez confiée.

Pour en savoir plus, consultez :

1. CONTEXTE DU TRAITEMENT

En tant que Client, Vous nous autorisez à traiter pour votre compte les données à caractère personnel, telles que définies par la réglementation en vigueur applicable, nécessaires pour fournir les services faisant l’objet de la lettre de mission.

Nous nous engageons à traiter les données à caractère personnel conformément à la/ les lettre(s) de mission jointe(s) et, uniquement sur base de vos instructions.

Dans le cadre de l’exécution de la mission, le Client et l’Expert-Comptable s’engagent à respecter la réglementation en vigueur applicable au traitement de données à caractère personnel et, en particulier, le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (le « RGPD »).

2. RÔLES DE L’EXPERT-COMPTABLE ET DU CLIENT

L’Expert-Comptable traite des données à caractère personnel pour le compte du Client et sur base de ses instructions. A ce titre, l’Expert-Comptable est qualifié de sous-traitant.

Le Client détermine dans la lettre de mission les finalités, les moyens du traitement et les données faisant l’objet du traitement. A ce titre, le Client est qualifié de responsable du traitement.

Les traitements de données à caractère personnel effectués par l’Expert-Comptable au titre de la mission confiée seront effectués conformément à la lettre de mission et au RGPD. La lettre de mission devra ainsi contenir :

l’objet et la durée du traitement ;
la nature et la finalité du traitement ;
le type de données à caractère personnel ;
les catégories de personnes concernées et
les obligations et les droits de l’Expert-Comptable et du Client.

3. OBLIGATIONS DE L’EXPERT-COMPTABLE

L’Expert-Comptable s’engage à respecter l’ensemble des obligations imposées au sous-traitant en vertu du RGPD et s’engage dans la lettre de mission à :

traiter les données à caractère personnel uniquement pour la ou les seule(s) finalité(s) qui fait/font l’objet de la sous-traitance ;
traiter les données conformément aux instructions documentées du Client figurant dans la lettre de mission ;
garantir la confidentialité des données à caractère personnel traitées dans le cadre de la lettre de mission ;
veiller à ce que les personnes autorisées à traiter les données à caractère personnel en vertu de la lettre de mission:
- s’engagent à respecter la confidentialité et soient soumises à une obligation légale appropriée de confidentialité et
- reçoivent la formation nécessaire en matière de protection des données à caractère personnel ;
prendre en compte, s’agissant de ses services, les principes de protection des données dès la conception et par défaut ;
aider, dans toute la mesure du possible, le Client à s’acquitter de son obligation de donner suite aux demandes d’exercice des droits des personnes concernées: droit d’accès, de rectification, d’effacement et d’opposition, droit à la limitation du traitement, droit à la portabilité des données, droit de ne pas faire l’objet d’une décision individuelle automatisée (y compris le profilage) ;
notifier au Client toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance ;
aider le Client pour la réalisation d’analyses d’impact relatives à la protection des données si celles-ci s’avèrent nécessaires ;
selon le choix du Client, supprimer toutes les données à caractère personnel ou les renvoyer au Client au terme de la prestation de services relative au traitement, et détruire les copies existantes, sauf disposition légale ou réglementaire contraire ;
communiquer au Client le nom et les coordonnées de son délégué à la protection des données, s’il en a désigné un conformément à l’article 37 du RGPD. La communication peut être effectuée au moyen d’un renvoi dans la lettre de mission au site internet de l’Expert-Comptable sur lequel le nom et les coordonnées du délégué à la protection des données sont publiées ;
tenir par écrit un registre de toutes les catégories d’activités de traitement effectuées pour le compte du Client conformément à l’article 30, paragraphe 2 du RGPD ;
mettre à la disposition du Client la documentation nécessaire pour démontrer le respect de toutes ses obligations et pour permettre la réalisation d’audits, y compris des inspections, par le Client ou un autre auditeur qu’il a mandaté, et contribuer à ces audits.

En revanche, si l’Expert-Comptable est amené à déterminer les finalités et les moyens du traitement, il est considéré comme un responsable du traitement pour ce qui concerne ce traitement et il est tenu de respecter l’ensemble des obligations imposées au responsable du traitement en vertu du RGPD.

4. OBLIGATIONS DU CLIENT

Le Client s’engage à respecter l’ensemble des obligations imposées au responsable du traitement en vertu du RGPD.

Le Client garantit notamment que les données à caractère personnel sont :

traitées de manière licite, loyale et transparente au regard de la personne concernée ;
collectées pour des finalités déterminées, explicites et légitimes ;
adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées ;
exactes et, si nécessaire, tenues à jour ;
conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ;
traitées de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d’origine accidentelle, à l’aide de mesures techniques ou organisationnelles appropriées.

Le Client garantit à l’Expert-Comptable qu’il a fourni l’information nécessaire conformément aux articles 13 et 14 du RGPD aux personnes concernées sur les opérations de traitement et qu’il donnera suite aux demandes d’exercice des droits des personnes concernées : droit d’accès, de rectification, d’effacement et d’opposition, droit à la limitation du traitement, droit à la portabilité des données, droit de ne pas faire l’objet d’une décision individuelle automatisée (y compris le profilage).

Vis-à-vis de l’Expert-Comptable, le Client s’engage à :

lui fournir des données correctes, adéquates, pertinentes et limitées strictement à ce qui est nécessaire pour permettre à l’Expert-Comptable d’exécuter la ou les prestation(s) faisant l’objet de la lettre de mission;
documenter par écrit toute instruction concernant le traitement des données à réaliser par l’Expert-Comptable;
veiller, au préalable et pendant toute la durée du traitement réalisé par l’Expert-Comptable, au respect des obligations prévues par le RGPD;
superviser le traitement, y compris réaliser les audits et les inspections nécessaires auprès de l’Expert-Comptable.

5. MESURES DE SECURITÉ

Compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, l’Expert-Comptable et le Client mettent en œuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins :

la pseudonymisation et le chiffrement des données à caractère personnel ;
des moyens permettant de garantir la confidentialité, l’intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement (tels que notamment les contrôles à l’entrée des installations, des supports, de la mémoire, de l’accès, de la transmission, de l’introduction, du transport) ;
des moyens permettant de rétablir la disponibilité des données à caractère personnel et l’accès à celles-ci dans des délais appropriés en cas d’incident physique ou technique (tels que notamment le contrôle de la disponibilité) ;
une procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement.

Lors de l’évaluation du niveau de sécurité approprié, il est tenu compte en particulier des risques que présente le traitement, résultant notamment de la destruction, de la perte, de l’altération, de la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d’une autre manière, ou de l’accès non autorisé à de telles données, de manière accidentelle ou illicite.

Le Client et l’Expert-Comptable prennent des mesures afin de garantir que toute personne physique agissant sous l’autorité du Client ou sous celle de l’Expert-Comptable, qui a accès à des données à caractère personnel, ne les traite pas, excepté sur instruction du Client, à moins d’y être obligée par le droit de l’Union ou le droit luxembourgeois.

Les responsabilités de chacune des Parties au regard des mesures de sécurité à mettre en œuvre sont précisément définies dans la lettre de mission.

6. DIVULGATION AUTORISÉE

L’obligation de confidentialité se dégageant du présent article n’interdira pas à l’Expert-Comptable de divulguer une information si cette information est requise ou permise en vertu des règles légales ou professionnelles applicables, notamment dans le cadre d’une procédure disciplinaire, civile, commerciale ou pénale, ou dans le cadre de la législation relative à la lutte contre le blanchiment et contre le financement du terrorisme. A ce titre, l’Expert-Comptable est considéré comme un responsable du traitement et il est tenu de respecter les obligations imposées au responsable du traitement en vertu du RGPD dans les limites prévues par les lois en vigueur.