Contrat sur le traitement des données

1 Accord sur la protection des données (ci-après également désigné comme contrat) concernant le traitement des données personnelles pour le compte de tiers

Annexe 1 - Sous-traitants

Annexe 2 - Mesures techniques et organisationnelles/politique de protection des données

Annexe 3 - Description du transfert et du traitement

0. Champ d'application

Cet Accord sur la protection des données (ci-après également désigné comme "Contrat" ou "Accord") concernant le traitement des données personnelles pour le compte de tiers (traitement de données selon l'Art. 28 RGPD et l'Art. 9 LPD) s'applique à l'utilisation de l'infrastructure IT et des infrastructures de collecte de fonds en ligne et hors ligne disponibles via www.raisenow.com ou www.altruja.de, et tous les sites web connectés, services numériques, plugins de navigateur, ou applications, ainsi que le logiciel sous-jacent (désignés ensemble comme les « Services »). Le client est le responsable du traitement des données (ci-après désigné comme "Client"), et RaiseNow AG ainsi que sa filiale à 100%, Altruja GmbH, agissent en tant que processeur de données (ci-après désigné comme "Processeur de Données").

En signant le contrat individuel, le client reconnaît expressément cet Accord.

Si le client n'accepte pas cet Accord, il ne peut pas accéder aux Services.

Définition

Sauf définition contraire ici, tous les termes auront la même signification que dans la Loi Fédérale Suisse sur la Protection des Données (LPD). Il est supposé que la plupart des termes dans la LPD correspondent à ceux dans le RGPD. Dans l'événement où il y a une différence significative entre la définition d'un terme dans la LPD et le RGPD, la définition dans le RGPD prévaudra, à l'exception de la définition des données personnelles.

1. Objet et Durée de l'Accord

L'attribution comprend ce qui suit :

Traitement opérationnel des données personnelles dans le cadre de la prestation de services

Le Processeur de Données traite les données personnelles pour le Client conformément à l'Art. 28 RGPD et l'Art. 9 LPD sur la base de cet Accord.

Le service convenu contractuellement sera exclusivement fourni dans un État membre de l'Union Européenne ou dans un état contractant de l'Accord sur l'Espace Économique Européen ou en Suisse. Tout déplacement du service ou de parties de celui-ci vers un pays tiers nécessite le consentement préalable du Client et ne peut avoir lieu que si les exigences spéciales des Arts. 44 et suivants du RGPD ainsi que la Section 2 de la LPD sont remplies (par exemple, décision d'adéquation de la Commission, clauses contractuelles types, codes de conduite approuvés).

La durée du contrat est déterminée par le contrat principal.

2. But, Portée et Nature du Traitement, Type de Données Personnelles et Catégories de Personnes Concernées

Le traitement des données personnelles pour le compte de tiers est exclusivement lié à un but précis.

Le but, la portée et la nature sont comme suit :

Les buts poursuivis avec le transfert des données personnelles au Processeur de Données et le traitement par le Processeur de Données sont décrits dans l'Annexe 3 de cet Accord.

L'Annexe 3 est une partie intégrante de cet Accord.

3. Droits et Obligations ainsi que Directives du Client

Le Client est seul responsable de l'évaluation de la légalité du traitement et de la sauvegarde des droits des personnes concernées selon les Arts. 12 à 22 du RGPD ainsi que la LPD. Néanmoins, le Processeur de Données est obligé de transmettre toutes ces demandes, si elles sont reconnaissablement adressées exclusivement au Client, directement au Client sans délai.

Les changements concernant l'objet du traitement et les changements de procédures doivent être enregistrés par écrit ou dans un format électronique documenté.

Le Client doit émettre toutes les commandes, sous-commandes et instructions généralement par écrit ou dans un format électronique documenté. Les instructions orales doivent être confirm

ées par écrit ou dans un format électronique documenté sans délai.

Le Client a le droit de se convaincre de la conformité avec les mesures techniques et organisationnelles prises par le Processeur de Données et les obligations établies dans cet Accord de manière appropriée avant le début du traitement et ensuite régulièrement, comme stipulé dans le N° 5.

Le Client doit immédiatement informer le Processeur de Données s'il détecte des erreurs ou des irrégularités lors de l'inspection des résultats de la commande.

Le Client est obligé de traiter toutes les connaissances des secrets d'affaires et des mesures de sécurité des données du Processeur de Données acquises dans le cadre de la relation contractuelle de manière confidentielle. Cette obligation continue même après la fin de cet Accord.

4. Directives Autorisées du Client, Destinataires des Instructions du Processeur de Données

Pour les instructions à utiliser canal de communication :

Email à datenschutz@raisenow.com

En cas de changement ou d'empêchement à long terme des personnes de contact, le partenaire contractuel doit être informé immédiatement et en principe par écrit ou électroniquement. Les instructions doivent être conservées pour leur période de validité et ensuite pendant trois années calendaires complètes.

5. Obligations du Processeur de Données

Le Processeur de Données traite les données personnelles exclusivement dans le cadre des accords conclus et selon les instructions du Client, à moins qu'il ne soit obligé à un traitement différent par la loi de la Suisse, de l'Union Européenne ou des États membres de l'UE auxquels le Processeur de Données est soumis (par exemple, enquêtes des autorités de répression ou de sécurité nationale) ; dans un tel cas, le Processeur de Données doit informer le Contrôleur/Client de ces exigences légales avant le traitement, à condition que la loi pertinente n'interdise pas une telle notification en raison d'un intérêt public important.

Le Processeur de Données ne doit pas utiliser les données personnelles fournies pour le traitement à d'autres fins, notamment pas pour ses propres fins. Des copies ou des duplicatas des données personnelles – à l'exception des copies de sauvegarde – ne sont pas créés sans la connaissance du Client.

Le Processeur de Données assure l'exécution contractuelle de toutes les mesures convenues dans le domaine du traitement des données personnelles selon le contrat.

En remplissant les droits des personnes concernées selon les Arts. 12 à 22 du RGPD et la LPD par le Client, dans la création des registres des activités de traitement et dans les évaluations d'impact sur la protection des données requises du Client, le Processeur de Données doit coopérer dans la mesure nécessaire et soutenir le Client autant que possible. Il doit transmettre les informations requises à la fonction autorisée à émettre des instructions spécifiée dans le N° 4 sans délai.

Le Processeur de Données alertera immédiatement le Client si, à son avis, une instruction émise par le Client est en violation des dispositions légales. Le Processeur de Données a le droit de suspendre l'exécution de l'instruction correspondante jusqu'à ce qu'elle soit confirmée ou modifiée par le Contrôleur après vérification.

Le Processeur de Données est obligé de corriger, de supprimer ou de restreindre le traitement des données personnelles de la relation contractuelle si le Client le demande via une instruction et si les intérêts légitimes du Processeur de Données ne s'y opposent pas. Le Client peut également instruire le Processeur de Données d'anonymiser les données au lieu de les supprimer. Pour demander une anonymisation automatique, veuillez contacter datenschutz@raisenow.com.

Les divulgations de données personnelles de la relation contractuelle à des tiers ou à la personne concernée ne peuvent être effectuées par le Processeur de Données qu'après instruction ou consentement préalable du Client.

Le Processeur de Données accepte que le Client – généralement après prise de rendez-vous – ait le droit de vérifier la conformité avec les règlements sur la protection des données et la sécurité des données ainsi que les accords contractuels

dans une mesure appropriée et nécessaire, en particulier en obtenant des informations et en inspectant les données stockées et les programmes de traitement des données ainsi que par des inspections et des audits sur site. Les coûts sont à la charge du client, dans la mesure où RaiseNow les a annoncés et que le client les a approuvés.

Le Processeur de Données assure qu'il coopérera à ces contrôles selon les besoins.

Le Processeur de Données s'engage à maintenir la confidentialité concernant les données personnelles du Client traitées conformément au contrat. Cette obligation continue même après la fin du contrat.

Le Processeur de Données assure qu'il familiarisera les employés impliqués dans l'exécution du travail avec les dispositions pertinentes de la protection des données avant de commencer leurs activités et les obligera à la confidentialité de manière appropriée pour la durée de leurs activités ainsi qu'après la fin de la relation de travail. Le Processeur de Données surveille le respect des réglementations sur la protection des données dans son entreprise.

Le Processeur de Données a nommé la personne suivante en tant que Délégué à la Protection des Données:

IITR Datenschutz GmbH
Dr. Sebastian Kraska
Eschenrieder Str. 62c
82194 Gröbenzell
Germany
datenschutz@raisenow.com

Un changement du Délégué à la Protection des Données doit être communiqué au Client sans délai.

6. Obligations du Processeur de Données de Notifier en Cas de Perturbations du Traitement et de Violations de la Protection des Données Personnelles

Le Processeur de Données doit immédiatement notifier au Client toute perturbation, violation par le Processeur de Données ou les personnes employées par lui, ainsi que contre les dispositions de protection des données ou les déterminations faites dans le contrat et le soupçon de violations de la protection des données ou d'irrégularités dans le traitement des données personnelles. Ceci est particulièrement vrai en ce qui concerne toute obligation de déclaration et de notification du Client selon l'Art. 33 et l'Art. 34 du RGPD ou l'Art. 24 de la LPD, selon le cas. Le Processeur de Données assure soutenir le Client selon les besoins dans ses obligations selon l'Art. 33 et 34 du RGPD ou l'Art. 24 de la LPD.

7. Relations de Sous-traitance avec des Sous-traitants pour les Services Principaux

Le Client accorde au Processeur de Données une autorisation générale pour l'engagement futur de sous-traitants pour le traitement des données du Client. Le Processeur de Données doit s'assurer qu'il sélectionne soigneusement le sous-traitant, en particulier en tenant compte des mesures techniques et organisationnelles prises par ce sous-traitant dans le sens de l'Art. 32 du RGPD et l'Art. 8 de la LPD. Si le sous-traitant ne remplit pas ses obligations de protection des données, le contractant est responsable envers le Client de cet échec.

Le Processeur de Données informe le Contrôleur 2 semaines à l'avance de tout changement prévu concernant l'ajout de nouveaux ou le remplacement des sous-traitants existants. Le Client a la possibilité de s'opposer à de tels changements s'il existe une raison significative de protection des données, par exemple, si les mesures techniques et organisationnelles précédemment convenues et assurées par le Processeur de Données ne peuvent être entièrement garanties (§ 28 al. 2 phrase 2 du RGPD) ou si le sous-traitant viole les dispositions de l'AVV ou d'autres réglementations de protection des données. Dans ce cas, le changement prévu ne peut pas être mis en œuvre.

Actuellement, les sous-traitants documentés dans l'Annexe 1 sont employés par le Processeur de Données pour le traitement des données personnelles dans la mesure spécifiée là-bas.

Le Client accepte l'engagement des sous-traitants listés dans l'Annexe 1.

8. Mesures Techniques et Organisationnelles selon l'Art. 32 du RGPD et l'Art. 8 de la LPD

Un niveau de protection approprié au risque pour les droits et libertés des personnes physiques affectées par le traitement est assuré pour le traitement spécifique du contrat. À cette fin, les objectifs de protection tels que la confidentialité, l'intégrité et la disponibilité des systèmes et services ainsi que leur résilience par rapport au type, à la portée, aux circonstances et aux objectifs du traitement sont pris en compte de telle manière que le risque est réduit de manière permanente par des mesures techniques et organisationnelles appropriées. Pour le traitement conforme au contrat des données personnelles, une méthodologie appropriée et compréhensible pour l'évaluation des risques est utilisée, qui prend en compte la probabilité d'occurrence et la gravité des risques pour les droits et libertés des personnes affectées par le traitement.

Le concept de protection des données décrit dans l'Annexe 2 représente les exigences minimales des mesures techniques et organisationnelles adaptées au risque identifié, en tenant compte des objectifs de protection selon l'état de l'art, détaillé et avec une considération spéciale des systèmes informatiques et des processus de traitement utilisés par le Processeur de Données. Ceci décrit également la procédure pour l'examen, l'évaluation et l'évaluation réguliers de l'efficacité des mesures techniques et organisationnelles pour assurer un traitement conforme à la protection des données.

9. Obligations du Processeur de Données à la Résiliation du Contrat

À la résiliation de cet Accord, le Processeur de Données (et tout sous-traitant) est obligé de retourner immédiatement toutes les données personnelles et copies de celles-ci couvertes par ce contrat, y compris les données personnelles transmises par le Client, et, dans la mesure où cela n'est pas possible, de supprimer ou d'anonymiser ces données personnelles et copies à la discrétion du Client ; ou, si la législation applicable au Processeur de Données interdit le retour ou l'anonymisation des données personnelles couvertes par ce contrat, d'informer le Client à ce sujet et de traiter les données personnelles de manière confidentielle et de ne plus les traiter activement.

10. Divers

Les accords sur les mesures techniques et organisationnelles ainsi que les documents de contrôle et d'audit (également pour les sous-traitants) doivent être conservés par les deux parties contractantes pour leur période de validité et ensuite pendant trois années calendaires complètes.

La forme écrite ou un format électronique documenté est généralement requis pour les accords accessoires.

Si la propriété ou les données personnelles à traiter par le Client chez le Processeur de Données sont menacées par des actions de tiers (telles que l'attachement ou la saisie), par des procédures d'insolvabilité ou de composition, ou par d'autres événements, le Processeur de Données doit notifier immédiatement le Client.

Annexe 1 - Relations de Sous-traitance

Les relations de sous-traitance suivantes existent actuellement en lien avec le traitement du contrat :

Les sous-traitants peuvent varier selon l'étendue des services.

Entreprise	Adresse	Prestation
Amazon Web Services, Inc. aws.amazon.com/de	410 Terry Avenue North Seattle WA 98109 USA	Server/Infrastructure
Datatrans AG www.datatrans.ch	Kreuzbühlstrasse 26 8008 Zurich Switzerland	Payment Service Provider
Stripe Inc. www.stripe.com	185 Berry Street, Suite 550 San Francisco, CA 94107 USA	Payment Service Provider
MNC AG www.mnc.ch	Bahnhofplatz 17 8400 Winterthur Switzerland	Payment Service Provider Text Giving Services
Nine Internet Solutions AG www.nine.ch	Albisriederstrasse 243a 8047 Zurich Switzerland	Server / infrastructure for Peer-to-Peer and Employee Giving
Rackspace International GmbH www.rackspace.com	Pfingstweidstrasse 60 8005 Zurich Switzerland	Server / infrastructure
SEPAone www.sepaone.com	Charlottenstrasse 2 10696 Berlin Germany	Payment Service Provider
TWINT AG www.twint.ch	Stauffacherstrasse 41 8004 Zurich Switzerland	Payment Service Provider
PayPal	22-24 Boulevard Royal L-2449 Luxembourg Luxembourg	Payment Service Provider
Elastic elastic.co	Elasticsearch AS Postboks 539 1373 Asker Norway	Server / Infrastructure
Atlassian atlassian.com	Level 6, 341 George Street, Sydney, NSW 2000  Australia	Server / Infrastructure
84codes (RabbitMQ) 84codes.com	Hälsingegatan 49 113 31 Stockholm Sweden	Server / Infrastructure
Twilio www.twilio.com	EEA Headquarters 25-28 North Wall Quay Dublin 1 Irleand	Two Factor Authentication RaiseNow Hub
Weunity AG www.weunity.com	Hardturmstrasse 101 8005 Zürich, Suisse	TWINT Plateforme de dons (service)

 

Annexe 2 - Mesures Techniques et Organisationnelles/Concept de Protection des Données

Le Processeur de Données assure respecter les exigences minimales suivantes dans son concept de protection des données. Il décrit les mesures requises pour la manipulation sécurisée des données personnelles par le Processeur de Données dans le cadre du traitement du contrat. La base de ce concept de protection des données est le Règlement Général sur la Protection des Données (RGPD) de l'UE, la Loi Fédérale Suisse sur la Protection des Données (LPD), et éventuellement d'autres mesures demandées par les parties intéressées. Dans ce contexte, le Processeur de Données adhère principalement aux dispositions des Articles 24, 25, et 32 du RGPD ainsi qu'à l'Art. 8 de la LPD.

1. Confidentialité

1.1 Contrôle d'Admission

Les données personnelles sont exclusivement hébergées sur des serveurs d'Amazon situés à Francfort, sur des serveurs de Rackspace situés à Londres, et sur des serveurs de nine (nine.ch) situés à Zurich. Amazon et Rackspace sont non seulement prêts pour le RGPD mais aussi certifiés PCI-DSS.

• https://aws.amazon.com/compliance/pci-dss-level-1-faqs/
• https://aws.amazon.com/compliance/gdpr-center/
• https://www.rackspace.com/compliance/pci
• https://www.rackspace.com/gdpr

1.2 Contrôle d'Accès

Des mesures qui garantissent que seules les personnes autorisées peuvent accéder aux systèmes de traitement des données avec le droit d'accès, et que les données personnelles ne peuvent pas être lues, copiées, modifiées ou supprimées sans autorisation pendant le traitement, l'utilisation et après le stockage.

Le nombre d'administrateurs réduit au "strict minimum nécessaire"

Accès virtuel aux systèmes uniquement via VPN depuis le réseau interne et authentification par clé publique

Authentification à deux facteurs pour tous les employés pour visualiser les données personnelles

Utilisation de destructeurs de documents

Destruction appropriée des supports de données

1.3 Pseudonymisation

Les évaluations doivent être pseudonymisées à moins que la référence à la personne ne soit obligatoire pour le résultat.

1.4 Contrôle de Séparation

Des mesures qui garantissent que les données collectées à des fins différentes peuvent être traitées séparément.

• Séparation des systèmes de production et de test
• Seules les données servant directement le but réel sont collectées, stockées et traitées.

2. Intégrité

2.1 Contrôle de Transfert

Des mesures qui garantissent que les données personnelles ne peuvent pas être lues, copiées, modifiées ou supprimées sans autorisation pendant la transmission électronique ou le transport, et qu'il est possible de vérifier et de déterminer à quelles entités les données personnelles ont été transmises par des équipements de transmission de données.

L'exportation des données personnelles est enregistrée

Les politiques de partage des données sont documentées et connues des employés concernés

La connexion aux systèmes de bases de données est protégée

Règlements pour la destruction conforme à la protection des données des supports de données

Des méthodes de cryptage conformes aux normes technologiques actuelles sont utilisées pour les transmissions (requêtes API via TLS 1.2, accès aux sites Web via SSL) ;

2.2 Contrôle d'Entrée

Des mesures qui garantissent qu'il est possible de vérifier et de déterminer ultérieurement si et par qui les données personnelles ont été saisies, modifiées ou supprimées dans les systèmes de traitement des données.

Traçabilité de la saisie, de la modification et de la suppression des données par des noms d'utilisateur individuels (journalisation)

3. Disponibilité et Résilience

Des mesures qui garantissent que les données personnelles sont protégées contre la destruction accidentelle ou la perte.

• Un concept de sauvegarde existe
• Des personnes responsables et des représentants sont nommés
• Infrastructure de serveurs redondante

Procédures pour l'examen, l'évaluation et l'évaluation réguliers

• Système de gestion de la protection des données mis en place;
• Un dispositif de sécurité existe
• Tests de vulnérabilité trimestriels et révision annuelle du PCI-DSS SAQ D Niveau 2
• Préréglages favorables à la protection des données (Art. 25 al. 2 RGPD, Art. 7 LPD)
• Anonymisation possible après un intervalle défini

4. Procédures pour l'Examen, l'Évaluation et l'Évaluation Réguliers

Une procédure pour surveiller la protection des données dans l'entreprise doit être mise en place. Cela doit inclure l'obligation des employés au secret des données, la formation et la sensibilisation des employés, et l'audit régulier des procédures de traitement des données. Une procédure de rapport et de traitement continue doit être introduite pour les violations de la protection des données et la sauvegarde des droits des personnes concernées. Cela doit également inclure l'information du client.

Annexe 3 - Description du Transfert et du Traitement

1. Catalogue des données personnelles à transférer et à traiter :

• Données personnelles telles que le nom, l'adresse, l'email, le téléphone, la date de naissance
• Préférences de communication, données de communication
• Données liées aux paiements telles que les coordonnées bancaires, les transactions de dons, la durée et les ordres de prélèvement direct ou les mandats SEPA, les données de carte de crédit

2. But du Transfert et du Traitement

La nature et le but du traitement des données personnelles par le Processeur de Données découlent des relations commerciales entre le client et le contractant ou du contrat principal conclu.

3. Catégories de Personnes Concernées.

• Soutiens (donateurs, membres, sponsors, mécènes, tuteurs, participants à la collecte de fonds)
• Prospects