Criteo Data Protection Agreement FR.pdf

ACCORD DE PROTECTION DES DONNÉES CRITEO

PRÉAMBULE

Le présent Accord de protection des données Criteo (ci-après l’« APD ») complète les Conditions générales de service de Criteo (les « Conditions ») ainsi que les Conditions spécifiques de service de Criteo ou tout autre accord applicable avec le Partenaire (collectivement, l’« Accord »), et forme partie intégrante de l’Accord conclu entre Criteo et le Partenaire pour la fourniture des Services.

Le présent APD décrit les obligations du Partenaire et de Criteo SA (RCS 484 786 249) en matière de protection et de sécurité des Données à caractère personnel applicables aux Traitements desdites Données dans le cadre de la fourniture des Services tels que décrits au sein de la Notice d’information relative à la protection des données personnelles accessible à l’adresse : www.criteo.com/privacy (la « Notice d’Information »), en ce compris, le traitement des Données de Service si et uniquement dans la mesure où ces données contiennent des Données à caractère personnel, conformément aux exigences des Lois relatives à la protection des données.

Par exception à ce qui précède, lorsque l’audience sélectionnée par le Partenaire est située aux Etats-Unis, les stipulations du présent Accord s’appliqueront au Partenaire et à Criteo Corp.

1 Définitions

Les termes débutant par une majuscule et non définis au sein du présent Accord ont le sens qui leur a été attribué au sein de l’Accord.

« Autorité de régulation » Désigne l'autorité publique ou l'agence gouvernementale compétente responsable du contrôle du respect des Lois sur la protection des données, en ce compris notamment la CNIL française (l'autorité de régulation supervisant Criteo), le Bureau du commissaire à l’information du Royaume-Uni, l'Agence Californienne de protection de la vie privée ainsi que les procureurs généraux des différents États américains.

« Consentement » désigne toute manifestation de volonté libre, spécifique, éclairée et univoque, exprimée par un acte positif clair, par laquelle une Personne concernée marque son accord au Traitement des Données à caractère personnel la concernant.

« Données à caractère personnel » désigne toute information permettant d’identifier, se rapportant à, décrivant, pouvant être associée ou pouvant raisonnablement être liée à une personne physique (ou, le cas échéant, un ménage au titre des Lois relatives à la protection des données applicables) identifié ou identifiable, traitée dans le cadre de la fourniture des Services concernés. Cette définition comprend les termes similaires au titre des Lois relatives à la protection des données applicables tels que notamment « Informations Personnelles » ou « informations personnelles identifiables ».

« Lois relatives à la protection des données » Échéant les lois et réglementations internationales, nationales, fédérales et régionales applicables en matière de Traitement et de protection des Données à caractère personnel et au respect de la vie privée, y compris, notamment et sans que cette liste soit exhaustive: (a) le règlement européen sur la protection des données (« RGPD UE»), (b) la directive ePrivacy ainsi que toute loi nationale la transposant, (c) le règlement général sur la protection des données à caractère personnel du Royaume-Uni (« RGPD UK »), (d) la loi californienne sur la protection de la vie privée des consommateurs (« CCPA ») telle qu’amendée par la loi californienne sur les droits à la vie privée et toute autre loi américaine d’un État fédéré en matière de protection des données à caractère personnel ou de la vie privée, y compris, sans que cette liste soit limitative, les lois des États de Virginie, Colorado, Connecticut, Utah, Oregon, Texas, Montana, Delaware, Iowa, Nebraska, New Hampshire, New Jersey, Indiana, Kentucky, Maryland, Minnesota, Rhode Island et Tennessee, ainsi que toute loi, nouvelle ou modifiée, adoptée par un État fédéré,, (e) la loi brésilienne « Lei Geral de Proteção de Dados » (“LGPD”), (f) la loi japonaise sur la protection des informations personnelles (“APPI”); (g) la loi coréenne sur la protection des informations personnelles (« PIPA »); telles qu'elles sont mises en œuvre dans chaque juridiction concernée, ainsi que, le cas échéant, toute législation les modifiant ou les amendant. La loi relative à la protection des données comprend également toutes les exigences juridiquement contraignantes édictées par les Autorités de régulation i) applicables au Traitement et à la sécurité des Données à caractère personnel et encadrant la protection des droits et libertés de individus concernés par ces traitements , ii) spécifiant des règles protégeant la vie privée en lien avec le Traitement des données et les communications électroniques, ou iii) prévoyant des droits au bénéfice des personnes concernées, opposables aux organisations en ce qui concerne le Traitement de leurs Données à caractère personnel, y compris des droits d’accès, de rectification et d’effacement

« Partage »

« Partage » désigne toute opération consistant à partager, louer, céder, divulguer, diffuser, mettre à disposition, transférer ou, de toute autre manière, communiquer, oralement, par écrit, par voie électronique ou par tout autre moyen, les Données à caractère personnel d’une Personne concernée à une Partie tierce à des fins de publicité comportementale inter-contextuelle (telle que définie par le CCPA), que ce soit ou non moyennant une contrepartie financière ou tout autre avantage.

« Partie tierce » désigne la personne physique ou morale qui reçoit des Données à caractère personnel de l’Entreprise pour ses propres finalités indépendantes et qui n’est pas engagée par l’Entreprise en tant que Fournisseur de services ou sous-traitant.

« Personne concernée »

« Personne concernée » désigne une personne physique qui peut être identifiée, directement ou indirectement, et dont les Données à caractère personnel sont traitées dans le cadre de la fourniture des Services concernés.

« Responsable du traitement »

« Responsable du traitement » désigne la personne physique ou morale, l’autorité publique, l’agence ou tout autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du Traitement des Données à caractère personnel. Cette définition comprend également les termes similaires au titre des Lois relatives à la protection des données applicables, tels que « Business » (l’« Entreprise »).

« Traitement » désigne toute opération ou ensemble d’opérations effectuées sur des Données à caractère personnel ou sur des ensembles de Données à caractère personnel, par des moyens automatisés ou non, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la divulgation par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou la combinaison, la restriction, l’effacement ou la destruction.

« Vente » désigne la vente, la location, la communication, la divulgation, la diffusion, la mise à disposition, le transfert ou toute autre forme de communication, orale, écrite, électronique ou par tout autre moyen, de Données à caractère personnel à une Partie tierce contre une contrepartie financière ou de toute autre nature, ou tel que défini par ailleurs par les Lois relatives à protection des données à caractère personnel.

2 Champ d’application et rôles des Parties

des Services commandés par le Partenaire, dans le cadre desquels, aux fins du RGPD UE et du RGPD UK, Criteo et le Partenaire agissent en tant que responsables de traitement indépendants, à l’exception des opérations de lecture et/ou d’écriture d’informations sur des terminaux pour lesquelles Criteo et le Partenaire agissent en tant que responsables tierce (Third Party).

« Violation de données à caractère personnel » désigne une violation de sécurité entraînant la destruction accidentelle ou illégale, la perte, l’altération, la divulgation non autorisée ou l’accès non autorisé aux Données à caractère personnel.

3 Respect des Lois

3.1 Chaque Partie doit se conformer à, et être en mesure d’apporter la preuve de sa conformité à ses obligations au

3.2 Chaque Partie déclare et garantit que : (i) par ses action ou ses omissions, elle ne placera pas l'autre Partie en situation de violation de la Règle sur les transferts massifs de données (« Bulk Data Transfer Rule ») du fait de l'utilisation de Données à caractère personnel ; (ii) elle n'est pas considérée comme une Personne Couverte (« Covered Person »), au sens de la Règle sur les transferts massifs de données, n'est pas contrôlée, directement ou indirectement, par une telle personne, ou (iii) n'est pas située dans un Pays Préoccupant (« Country of Concern ») au sens de cette même règle, que ce soit en raison de la présence d'un bureau ou de personnel ; et (iv) elle s'assurera qu'aucune Donnée à caractère personnel relative à des Personnes concernées américaines (« U.S. Data Subjects ») ne soit transférée ou rendue accessible, directement ou indirectement, à une Personne Couverte ou au sein d'un Pays Préoccupant d'une manière qui n'assurerait pas pleinement la conformité des deux Parties à la Règle sur les transferts massifs de données. Si une Partie est une Personne Etrangère (« Foreign Person »), au sens de la Règle sur les transferts massifs de données mais non une Personne Couverte, elle informera sans délai l'autre Partie et le Département de la Justice des États-Unis de toute violation avérée ou suspectée des déclarations ci-dessus, conformément au 28 C.F.R. § 202.302. Sur demande écrite d'une Partie, l'autre Partie fera signer par un de ses représentant d'ument habilité, une attestation confirmant le respect du présent article et de la Règle sur les transferts massifs de données. Par Règle sur les transferts massifs de données (« Bulk Data Transfer Rule »), on entend les dispositions intitulées "Provisions pertaining to preventing access to U.S. sensitive personal data and government-related data by countries of concern or covered persons", codifiées au 28 C.F.R. Part 202, telles que modifiées périodiquement, ainsi que les lignes directrices qui y sont associées et toute réglementation ultérieure de portée équivalente.

4 Autorisations

4.1 Une Partie ne divulgueront pas de Données à caractère personnel à l'autre Partie, sauf si la Partie divulgatrice s'assure que cette divulgation respecte les Lois relatives à la protection des données applicables et qu'elle a respecté l'ensemble des exigences requises en matière d'information, de notification, d'autorisation ou de consentement de l'autorité publique compétente ou des Personnes concernées, et ce pour toute Donnée à caractère personnel fournie par la Partie divulgatrice à l'autre Partie.

4.2 Aucune stipulation du présent APD n'a vocation à interdire ou limiter les droits de Criteo à mettre en œuvre l'anonymisation ou la dé-identification des Données à caractère personnel traitées dans le cadre de l'Accord (telles que définis par les Lois applicables relatives à la protection des données à caractère personnel) ; dans la mesure requise par les Lois relatives à la protection des données, le Partenaire autorise Criteo à mettre en œuvre des techniques d'anonymisation ou de de-indentification conformément aux Lois relatives à la protection des données. A toutes fins utiles, il est précisé que les données résultant d'une anonymisation ou dé-identification effective et conforme (au sens du CCPA) ne sont pas soumises aux stipulations du présent Accord. Dans une telle hypothèse, Criteo : (i) mettra en œuvre des mesures raisonnables destinées à garantir que les données anonymisées ou dé-identifiées ne pourront pas être associées à une personne physique identifiée ou identifiable, ni à un foyer; (ii) s'engagera publiquement à conserver et à utiliser ces données uniquement sous forme anonymisée ou dé-identifiée et à ne pas tenter de les identifier à nouveau, sauf si et dans la mesure où la Loi relative à la protection des données applicable l'autorise ; et (iii) imposera contractuellement à tout destinataire de ces données, y compris à tout sous-traitant ultérieur, de se conformer aux exigences du présent article

5 Coopération

5.2 Les Parties conserveront une documentation appropriée sur les activités de Traitement menées par chacune d'entre elles et sur leur conformité aux Lois relatives à la protection des données et au présent APD.

5.3 Dans le cas d'une enquête, d'une procédure, d'une demande formelle d'informations ou de documentation, ou de tout événement similaire en relation avec une autorité de protection des données et en lien avec le Traitement des Données à caractère personnel dans le cadre des Services, les Parties répondront rapidement et de manière adéquate aux demandes de l'autre Partie concernant le Traitement des Données à caractère personnel en vertu de l'Accord.

5.4 En cas de modification(s) apportée(s) aux Lois relatives à la protection des données ou d’entrée en vigueur de nouvelle(s) loi(s) relative(s) à la protection des données, les Parties conviendront d’un commun accord de toute modification ou révision du présent APD raisonnablement nécessaire.

6 Délégués à la protection des données

6.1 Criteo et le Partenaire ont nommé chacun un délégué à la protection des données. Le délégué à la protection des données de Criteo peut être contacté à l’adresse : dpo@criteo.com. Les coordonnées du délégué à la protection des données du Partenaire doivent être communiquées par écrit à Criteo.

7 Obligations des Parties

7.1 Dans le cadre de leurs activités respectives de Traitement des Données à caractère personnel, chaque Partie accepte de :

(a) se conformer à toute exigence découlant des Lois relatives à la protection des données et ne pas manquer à ses obligations en vertu du présent Accord et / ou demander à l’autre Responsable d’exécuter ses obligations d’une manière qui aurait pour effet de l’amener à violer l’une de ses obligations en vertu des Lois relatives à la protection des données;

(b) prendre en compte tous les principes de protection des données prévus par les Lois relatives à la protection des données applicables, y compris, à titre non limitatif, les principes de limitation des finalités, de minimisation des données, d’exactitude, de limitation du stockage, de sécurité, d’intégrité et de confidentialité, de transparence et de protection des Données à caractère personnel dès la conception et par défaut;

(d) mettre en œuvre des mesures techniques et organisationnelles appropriées pour assurer un niveau de sécurité adapté aux risques présentés par le Traitement des Données à caractère personnel qu’il effectue (y compris pour ce qui concerne les Propriétés numériques du Partenaire), en particulier pour protéger les Données à caractère personnel contre la destruction accidentelle ou illégale ou la perte accidentelle, l’altération, la divulgation ou l’accès non autorisé;

(e) prendre toutes les mesures nécessaires pour remédier à toute Violation des données à caractère personnel qu’il traite, atténuer ses effets, prévenir toute autre Violation de données à caractère personnel et, si nécessaire, informer les Autorités de régulation et les Personnes concernées;

(f) coopérer à la préparation des évaluations d’impact requises en matière de protection des données;

(h) traiter toutes les demandes et / ou plaintes des Personnes concernées qu’elle reçoit, en particulier les demandes relatives à l’exercice de leurs droits en vertu des Lois relatives à la protection des données, y compris les droits d’accès, de rectification, d’effacement et d’opposition et le droit de retirer leur Consentement. Lorsqu’une Partie reçoit la demande de droit d’une Personne concernée concernant les Données à caractère personnel traitées par l’autre Partie, ladite Partie destinataire dirigera la Personne concernée vers la politique de confidentialité de l’autre Partie expliquant comment exercer sa demande de droit auprès de ladite autre Partie, afin de permettre à ladite autre Partie de répondre directement à la demande de la Personne concernée.

(g) effectuer toute évaluation, consultation et / ou notification aux Autorités de régulation ou aux Personnes concernées;

8.2 Dès lors que Criteo agit en tant que "Partie Tierce " au sens du CCPA et dans le cadre du présent Accord: (a) l'utilisation des données personnelles par Criteo est limitée aux finalités spécifiques identifiées dans l'Accord et Criteo ne dépassera pas lesdites finalités; (b) Criteo respectera ses obligations et fournira le même niveau de protection de la vie privée que celui exigé d'une Entreprise (Business) conformément au CCPA en ce qui concerne les données personnelles ; (c) Criteo accordera au Partenaire le droit, moyennant un préavis raisonnable, de prendre des mesures raisonnables et appropriées pour s'assurer que Criteo utilise les données personnelles d'une manière conforme au présent Accord et aux Lois relatives à la protection des données, y compris des mesures raisonnables et appropriées pour arrêter et remédier à l'utilisation non autorisée des données personnelles ; et (d) Criteo informera le Partenaire si Criteo détermine ne plus pouvoir assurer le respect de ses obligations en vertu des Lois relatives à la protection des données.

9 Obligations du Partenaire

9.1 Le Partenaire sera seul responsable, conformément à et dans la mesure requise par les Lois relatives à la protection des données de :

(a) fournir aux Personnes concernées toutes les informations nécessaires en vertu des Lois relatives à la protection des données, y compris conformément aux Articles 13 et 14 du RGPD UE, concernant le Traitement des Données à caractère personnel dans le cadre du présent APD;

(b) fournir une information appropriée sur les Supports numériques du Partenaire concernant tout Traitement pertinent de Données à caractère personnel par Criteo, notamment en mettant à disposition un lien vers la politique de confidentialité de Criteo ( http://www.criteo.com/privacy);

(c) recueillir et documenter le Consentement des Personnes concernées ou, le cas échéant, le retrait de leur Consentement;

(d) mettre en œuvre des mécanismes de choix pour demander et obtenir le Consentement valide des Personnes concernées ou offrir des mécanismes valides de retrait dudit Consentement, tel que demandés par et conformément aux Lois relatives à la protection des données et, le cas échéant, aux exigences spécifiques des Autorités de régulation.

(e) Lorsque le Partenaire est tenu, en application des Lois relatives à la protection des données à caractère personnel, d’obtenir un Consentement valable préalablement au Traitement des Données à caractère personnel dans le cadre des Services, offrir aux Personnes concernées le droit de retirer leur Consentement.

(f) Lorsque, en vertu des Lois relatives à la protection des données à caractère personnel, le Partenaire est tenu de proposer des mécanismes de refus de Consentement (opt-out) valables préalablement au Traitement des Données à caractère personnel dans le cadre des Services, offrir aux Personnes concernées le droit de s’opposer à la vente et au partage de leurs Données à caractère personnel et/ou à l’utilisation de ces Données à caractère personnel à des fins de publicité comportementale ciblée inter-contextuelle.

(g) Solliciter à nouveau le Consentement des Personnes concernées une fois la période de validité de ce Consentement, telle que prévue par les Lois relatives à la protection des données à caractère personnel applicables, arrivée à expiration.

Si cela est applicable, le Partenaire déclare et garantit que chacun de ses partenaires technologique publicitaire tiers dont les espaces publicitaires sur les Propriétés numériques sont proposés à la vente via la Plateforme Criteo (chacun étant un "Fournisseur Tiers Autorisé") respecte pleinement les dispositions du

(i) Fournir rapidement à Criteo, sur demande et à tout moment, la preuve qu’un Consentement de la Personne concernée a été obtenu par le Partenaire.