Conditions générales d'utilisation

Conditions générales d’utilisation de tpe.nc, avec en annexe l’accord de traitement des données personnelles (DPA). Dernière mise à jour : 12 octobre 2026.

Article 1 – Objet

Le site tpe.nc (le « Site ») a pour vocation de mettre à la disposition des clients professionnels (les « Clients » ou les « Utilisateurs ») de STRATEGIE ZEN IT (SARL au capital de 100.000 F.CFP dont le siège social est situé à NOUMEA (98 800) – 7, rue du Révérend Père Goujon – Vallée des Colons – (BP 15 217 – 98 804 NOUMEA CEDEX), immatriculée au RCS de NOUMEA sous le numéro 1 560 648) (le « Prestataire ») une plateforme comprenant des outils et services développés par le Prestataire, tels qu’un espace de travail ou l’accès à une plateforme de formation (les « Services »).

Les présentes Conditions Générales d’Utilisation (les « CGU ») définissent les conditions dans lesquelles le Prestataire met à la disposition des Utilisateurs le Site, leur permettant d’utiliser les Services.

Elles complètent les Conditions Générales de Vente qui régissent les ventes de fourniture de Services réalisées entre les Clients et le Prestataire, et doivent être impérativement acceptées par le Client pour utiliser les Services, lors de la validation de la commande.

Cette acceptation, en cochant la case prévue à cet effet, emporte adhésion et acceptation pleine et entière des présentes CGU, ce qui est expressément reconnu par l’Utilisateur, qui renonce, notamment, à se prévaloir de tout document contradictoire, qui serait inopposable au Prestataire.

Les CGU s’appliquent à l’ensemble des accès et utilisations du Site et des Services, quel que soit le terminal utilisé.

Article 2 – Champ d’application – Description des Services – Limite

2.1 Les présentes CGU s’appliquent, sans restriction ni réserve, à l’utilisation des Services et outils mis à disposition par le Prestataire.

Les présentes CGU sont accessibles à tout moment sur le Site Internet tpe.nc et prévaudront, le cas échéant, sur toute autre version ou tout autre document contradictoire.

Ces CGU pouvant faire l’objet de modifications ultérieures, sans préavis, les utilisateurs seront informés et sont invités à consulter régulièrement la dernière version des CGU disponible sur le Site.

2.2 Le Site permet une redirection vers :

• L’accès aux services compris dans la licence Google Workspace Business Standard ainsi qu’un Google Site publié dans le domaine monentreprise.tpe.nc ;
• L’accès à des outils et des modèles de documents ;
• Un catalogue d’automatisations et d’assistants IA partagés dans le domaine ;
• L’accès à des IA pré-paramétrées basées sur l’IA Gemini ;
• L’accès à une offre de formation comprenant des modules et des tutoriels vidéo ainsi qu’un forum partagé entre les utilisateurs, via une plateforme tierce, Schoolmaker.

Les Utilisateurs sont informés que le Site permet l’inscription et la commande des Services. Les Services sont fournis via des plateformes tierces, telles que Google et Schoolmaker. À ce titre, avant toute utilisation, les Utilisateurs devront accepter et respecter les conditions générales d’utilisation de ces plateformes tierces en sus des présentes conditions générales d’utilisation.

2.3 L’Utilisateur reconnaît que les résultats issus des Services d’automatisation et de tri documentaire reposent sur des traitements statistiques ou algorithmiques susceptibles de comporter des erreurs, omissions ou classements inexacts. Ces résultats constituent uniquement une aide, une assistance aux Utilisateurs.

Le Prestataire se réserve le droit de faire évoluer les fonctionnalités, d’en ajouter ou d’en supprimer, notamment pour des raisons techniques, de sécurité ou réglementaires. En cas de suppression d’une fonctionnalité substantielle d’un abonnement en cours, le Client en sera informé au moins TRENTE (30) jours à l’avance et peut résilier sans frais s’il n’accepte pas cette évolution.

Article 3 – Accès

L’accès au Site et aux Services nécessite un équipement compatible et une connexion internet, dont le coût et le bon fonctionnement demeurent à la charge de l’Utilisateur. Le Prestataire ne garantit pas la compatibilité avec tous les matériels, navigateurs ou configurations.

L’accès est subordonné à la création d’un compte utilisateur. À cet effet, l’Utilisateur s’engage à fournir des informations exactes, complètes et à jour, et à les actualiser en cas de modification. Le Prestataire se réserve le droit de refuser ou de suspendre toute inscription en cas d’information manifestement erronée ou de manquement aux présentes CGU.

Les identifiants et mots de passe attribués sont strictement confidentiels et personnels. L’attribution du nom d’adresse est exclusive à chaque client et se fait en fonction du nom de l’entreprise. La disponibilité de l’adresse est vérifiée en direct et l’Utilisateur aura le choix entre les différentes options proposées.

Par la suite, les Utilisateurs sont seuls responsables de la confidentialité de leurs identifiants et codes d’accès. L’Utilisateur est seul responsable de leur conservation et de toute activité effectuée depuis son compte.

Les mots de passe temporaires sont automatiquement transmis aux Utilisateurs depuis l’adresse automation@tpe.nc. Il est précisé que cette adresse est une boîte technique dédiée aux envois automatiques, qui n’est pas consultée, et que les mots de passe temporaires n’y sont pas conservés. L’Utilisateur est invité à modifier son mot de passe temporaire dès sa première connexion.

Toute utilisation frauduleuse de ces codes dont aurait connaissance l’Utilisateur doit immédiatement être notifiée, sans délai et par écrit, au Prestataire, afin d’éviter que le Site ne soit compromis et, en particulier, afin d’éviter d’impacter les autres Utilisateurs.

En cas de non-respect des présentes CGU par les Utilisateurs, le Prestataire se réserve le droit d’interrompre de manière temporaire ou définitive leurs accès, en suspendant ou en résiliant les présentes sans préavis ni indemnité.

Article 4 – Obligations des Utilisateurs

L’Utilisateur s’engage à utiliser les Services de manière loyale, conforme aux présentes CGU, à la Loi et aux droits des tiers. Il s’engage à respecter les obligations suivantes.

4-1 – Interdiction des activités illicites ou contraires aux bonnes mœurs

En raison de la mutualisation du domaine et pour préserver la sécurité des autres Utilisateurs, l’exercice d’une activité illicite ou contraire aux bonnes mœurs, comme les spams et le phishing, est strictement interdit au sein du Site et par le biais des outils et Services du Site.

Dans le cas où l’exercice d’une telle activité est suspecté, le compte sera immédiatement suspendu. Par ailleurs, en cas d’activité suspecte avérée, le Prestataire pourra prétendre à des dommages et intérêts, en particulier si l’intérêt des autres Utilisateurs est impacté.

Par conséquent, l’Utilisateur s’engage à ne pas :

• Faire un usage non autorisé du Site, y compris collecter des noms d’utilisateurs et/ou des adresses électroniques d’utilisateurs par des moyens électroniques ou autres, dans le but d’envoyer des courriers électroniques non sollicités, ou créer des comptes d’utilisateurs par des moyens automatisés ou sous de faux prétextes ;
• Tromper, frauder ou induire en erreur le Prestataire et les autres utilisateurs, en particulier dans toute tentative d’obtenir des informations sensibles sur les comptes, telles que les mots de passe des utilisateurs ;
• Faire un usage abusif de nos Services ;
• Interférer, perturber ou créer une charge indue sur le Site, les Services ou le domaine mutuel ;
• Tenter d’usurper l’identité d’un autre utilisateur ou d’une autre personne ou utiliser le nom d’utilisateur d’un autre utilisateur ;
• Utiliser toute information obtenue sur le Site dans le but de harceler, d’abuser ou de nuire à une autre personne ;
• Déchiffrer, décompiler, désassembler ou faire de l’ingénierie inverse de tout logiciel, script ou solution composant le Site ou en faisant partie d’une manière ou d’une autre ;
• Revendiquer la propriété du domaine mutuel tpe.nc ;
• Tenter de contourner les mesures du Site conçues pour empêcher ou restreindre l’accès au Site ou à une partie du Site ;
• Tenter de télécharger, téléverser ou transmettre, que la tentative soit fructueuse ou pas, des virus, des chevaux de Troie ou tout autre matériel, y compris l’utilisation excessive de spamming qui interfère avec la jouissance des Services par un autre utilisateur, ou qui modifie, détériore, perturbe, altère ou interfère avec l’utilisation, les caractéristiques, les fonctions, l’exploitation ou l’entretien du Site ou des Services ;
• Tenter de télécharger, téléverser ou transmettre, que la tentative soit fructueuse ou pas, tout matériel qui agit comme un mécanisme passif ou actif de collecte ou de transmission d’informations, y compris, mais sans s’y limiter, les pixels espions, les cookies ou autres dispositifs similaires tels que les spywares ;
• Téléverser des contenus illicites, diffamatoires, haineux, contrefaisants, ou portant atteinte à la vie privée ou à la dignité des personnes ;
• Dénigrer, ternir ou nuire de manière générale au Site ou au nom de domaine tpe.nc ;
• Revendre, sous-licencier, mettre à disposition d’un tiers ou partager ses accès ;
• Utiliser le Site ou les Services d’une manière incompatible avec les lois et règlements applicables.

L’Utilisateur garantit disposer de tous les droits, autorisations et bases légales nécessaires sur les contenus qu’il téléverse dans son espace de travail, en particulier si ces contenus contiennent des données personnelles ou des informations confidentielles appartenant à des tiers.

Tout manquement entraînera la suspension immédiate de l’accès ou du compte, sans préjudice de tout recours que le Prestataire pourrait être amené à exercer.

4-2 – Utilisation de la plateforme de formation

Les Utilisateurs s’engagent à respecter les conditions d’utilisation de la plateforme de formation lors de leur inscription, dont le lien est le suivant : conditions générales d’utilisation de Schoolmaker.

4-3 – Dispositions relatives à l’utilisation de la messagerie

Les Utilisateurs s’engagent à envoyer des volumes de messages raisonnables dans le cadre de leur activité, dans la limite de 100 destinataires pour un seul message et de 300 destinataires sur VINGT-QUATRE (24) heures. Il est strictement interdit d’envoyer des campagnes de masse depuis l’adresse dédiée sur le domaine @tpe.nc. Dans ce cas, les Utilisateurs sont invités à passer par un outil d’emailing spécialisé disposant d’un domaine d’envoi distinct.

Dans l’hypothèse d’une détection d’envoi massif, notamment si ces envois dégradent la réputation du domaine, une limitation pourra être imposée sur les envois de messages. En cas de récidive, le Prestataire se réserve le droit de suspendre temporairement ou définitivement le compte.

Article 5 – Gestion du Site

Le Prestataire se réserve le droit, mais non l’obligation, de :

• Surveiller le Site ou les Services pour détecter toute violation des présentes CGU ;
• Prendre les mesures légales appropriées à l’encontre de toute personne qui, à sa seule discrétion, enfreint la loi ou les présentes conditions générales, y compris, sans s’y limiter, signaler l’Utilisateur aux autorités chargées de l’application de la Loi ;
• Suspendre, sans préavis, ou supprimer un compte Utilisateur pour suspicion d’activité illicite ou nuisible aux Services et au Site ;
• Gérer le Site de manière à protéger ses droits et ses biens, de sorte à faciliter le bon fonctionnement du Site.

Article 6 – Propriété intellectuelle

6.1 Le Site, les Services, le domaine tpe.nc, son architecture, ses codes, interfaces, bases de données, marques, logos, ainsi que l’ensemble des contenus pédagogiques (supports, vidéos, exercices, méthodologies, modèles de flux) sont protégés par le droit de la propriété intellectuelle et demeurent la propriété exclusive du Prestataire ou de ses concédants.

Toute reproduction totale ou partielle de ce contenu est strictement interdite et est susceptible de constituer un délit de contrefaçon.

6.2 Le Prestataire concède au Client, pour la durée de son abonnement, une licence personnelle, non exclusive, non cessible et non sous-licenciable d’utilisation du Site et des Services, strictement limitée à ses besoins internes, strictement nécessaire à la fourniture des Services et pour la seule durée du contrat.

Les supports de formation ne peuvent être reproduits, diffusés, revendus, ni utilisés pour former des tiers sans autorisation écrite préalable.

6.3 Le Client conserve l’entière propriété des contenus qu’il téléverse dans son espace de travail.

Le Prestataire n’utilise ni ne consulte en aucun cas les contenus téléversés à des fins d’entraînement de modèles ou d’amélioration de ses Services, à moins qu’il n’y soit obligé par une autorité judiciaire, ou à la demande du Client pour intervenir sur un problème technique ou dans le cas de la prestation complémentaire de migration.

6.4 Les suggestions d’amélioration transmises librement par un Utilisateur peuvent être exploitées par le Prestataire sans contrepartie ni obligation d’attribution.

Article 7 – Résiliation de l’accès aux Services et au Site

En cas de manquement par l’Utilisateur à l’une quelconque de ses obligations au titre des présentes CGU, le Prestataire pourra, après mise en demeure envoyée par tout moyen et restée sans effet pendant une durée de SEPT (7) jours ouvrés, couper définitivement l’accès à ses services à l’Utilisateur, par courriel, sans que l’Utilisateur puisse prétendre à une quelconque indemnité.

En cas de manquement grave et/ou répété par l’Utilisateur à ses obligations ou affectant ses comptes, tel que notamment fraude, propos injurieux, contrefaçon, atteinte aux droits des tiers, etc., le Prestataire pourra priver l’Utilisateur de tout accès à ses services, sans que l’Utilisateur puisse prétendre à une quelconque indemnité.

Article 8 – Protection des données personnelles

En application de la loi 78-17 du 6 janvier 1978 modifiée par la loi n° 2018-493 du 20 juin 2018, et de manière générale en application de la réglementation applicable à la protection des données personnelles, le Prestataire s’engage à respecter les obligations qui en découlent et qui lui sont applicables. Il précise :

• Qu’il agit en qualité de Responsable de traitement lorsque notamment il traite la commande du Client ;
• Qu’il agit en qualité de Sous-traitant lors, par exemple, de la migration de l’ancienne boîte mail vers la nouvelle boîte mail.

Le Prestataire s’engage à assurer la sécurité des données à caractère personnel, qu’il agisse en qualité de Responsable de traitement ou en qualité de Sous-traitant.

Le traitement des informations communiquées par l’intermédiaire du Site internet et de son formulaire de commande répond aux exigences légales en matière de protection des données personnelles, le système d’information utilisé assurant une protection optimale de ces données.

L’Utilisateur dispose, conformément aux réglementations nationales et européennes en vigueur, d’un droit d’accès permanent, de modification, de rectification, d’opposition, de portabilité et de limitation du traitement s’agissant des informations le concernant.

Pour plus d’information sur l’exercice des droits, l’Utilisateur est invité à consulter la Politique de protection des données personnelles pour les traitements où le Prestataire est Responsable de traitement, et l’Accord de traitement des données (DPA) qui décrit les traitements où le Prestataire est Sous-traitant.

Article 9 – Responsabilités

Le Client est informé que certains services tiers rattachent automatiquement au même espace de travail l’ensemble des comptes partageant un même nom de domaine, ou empêchent la création de nouveaux comptes lorsqu’un espace existe déjà pour ce domaine.

Le Prestataire recommande en conséquence au Client d’utiliser une adresse distincte pour s’inscrire à de tels services. Il ne garantit en aucun cas l’interopérabilité des Services avec les services tiers et il ne pourra être tenu pour responsable des conséquences d’une inscription réalisée avec l’adresse @tpe.nc.

Lorsque le Client souhaite néanmoins utiliser son adresse @tpe.nc auprès d’un service tiers susceptible d’opérer au niveau du domaine, il en informe le Prestataire au préalable et les Parties examinent ensemble les modalités permettant cet usage sans affecter les autres Clients.

Si un tel usage devait empêcher un autre Client d’accéder à un service tiers, ou rattacher son compte à un espace qu’il n’a pas choisi, le Client concerné s’engage, à la demande du Prestataire, à prendre les mesures nécessaires pour rétablir la situation, telles que, sans être exhaustif : dissociation du compte, libération du domaine ou transfert de l’espace.

En effet, les applications, logiciels et services tiers pourraient confondre et regrouper automatiquement les utilisateurs ayant le même nom de domaine dans le même espace de travail ou bloquer la création de nouveaux comptes. Par conséquent, il est vivement conseillé aux Utilisateurs d’utiliser une autre adresse mail lors de l’inscription. En ce sens, le Prestataire décline toute responsabilité sur ce sujet.

La responsabilité du Prestataire à l’égard des Utilisateurs ne peut être engagée que pour des faits qui lui seraient directement imputables et qui causeraient à l’Utilisateur un préjudice direct, à l’exclusion de tout préjudice indirect.

La responsabilité du Prestataire est exclue en cas de mauvaise utilisation des Services par l’Utilisateur ou d’utilisation contraire aux présentes CGU. Elle ne saurait pas plus être engagée à raison de faits imputables à un tiers.

En tout état de cause, la responsabilité du Prestataire sera limitée au montant indiqué à l’article 6.1 des Conditions Générales de Vente.

Article 10 – Nullité partielle

Si une ou plusieurs stipulations des présentes sont tenues pour non valides ou déclarées comme telles en application d’une loi, d’un règlement ou d’une décision définitive d’une juridiction compétente, les autres stipulations garderont toute leur force et toute leur portée.

Article 11 – Droit applicable

Les présentes Conditions générales d’utilisation et les opérations qui en découlent sont régies par le droit applicable en Nouvelle-Calédonie.

Elles sont rédigées en langue française. Dans le cas où elles seraient traduites en une ou plusieurs langues, seul le texte français ferait foi en cas de litige.

Article 12 – Litiges

Tout litige relatif à l’interprétation et/ou à l’exécution des présentes CGU relève des juridictions relevant de la Cour d’Appel de Nouméa.

Annexe 1 – Accord de traitement de données personnelles (DPA)

Mis à jour le 12 octobre 2026.

Dans le cadre de la fourniture des Services (ci-après le « Contrat »), STRATEGIE ZEN IT (le Sous-traitant), prestataire et éditeur, peut être amené à collecter, à avoir accès, à traiter et à recevoir des données personnelles soumises aux dispositions applicables en matière de protection des données personnelles dites RGPD, issues du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après « RGPD »), applicable en Nouvelle-Calédonie par la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés dans sa rédaction résultant de l’ordonnance n° 2018-1125 du 12 décembre 2018 prise en application de l’article 32 de la loi n° 2018-493 du 20 juin 2018 relative à la protection des personnes, et du décret n° 2019-536 du 29 mai 2019 pris en application, et conformément aux présentes stipulations. L’ensemble de ces réglementations sera regroupé sous le terme « RGPD » dans la suite des présentes, ou sous les termes généraux « Réglementation sur la protection des données ».

L’objectif du présent accord vise à compléter les CGV et les CGU (ensemble ci-après les « Conditions générales »), et à répartir les responsabilités et les droits de chacune des Parties dans ce cadre conformément à l’article 28.3 du RGPD. Il prévaut sur toutes clauses contraires des Conditions Générales en matière de protection des données personnelles.

CECI EXPOSÉ, IL EST CONVENU CE QUI SUIT :

Définition

Les termes « Données personnelles », « traitement », « Violation de données », « personne concernée », « responsable de traitement », « sous-traitant » ont le sens qui leur est donné à l’article 4 du RGPD.

Déclaration des Parties

Les Parties reconnaissent que, dans le cadre de la fourniture des Services, le Client agit en qualité de Responsable de traitement et STRATEGIE ZEN IT agit en qualité de Sous-traitant sous instructions du Responsable de traitement. À ce titre, les Parties reconnaissent que la fourniture des Services entraîne de facto le traitement de données personnelles par le Sous-traitant.

Néanmoins, les Parties reconnaissent intervenir en tant que responsables de traitement indépendants dans le cadre du traitement de données personnelles aux fins de la gestion de leur relation commerciale.

Les Parties déclarent et s’engagent à respecter, pendant toute la durée de la relation contractuelle, toutes leurs obligations découlant de la réglementation applicable en matière de protection des données personnelles.

Les Parties s’engagent à prendre en compte l’évolution de la réglementation sur les données personnelles en vigueur et, en particulier, le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, applicable à compter du 1er juin 2019 en Nouvelle-Calédonie.

Description du traitement

Dans le cadre de la fourniture des Services, le Sous-traitant est autorisé à procéder aux traitements dont le détail est indiqué dans l’Annexe 1, jointe aux présentes.

Les Parties conviennent que le Responsable de traitement demeure responsable des données transférées sur le Site et les Services et il s’engage à ne téléverser aucune donnée sensible au sens de la réglementation relative au traitement des données personnelles. Par conséquent, le Sous-traitant ne pourra voir sa responsabilité engagée dans le cas où il n’aurait pas fait application de limitations ou de garanties en raison de la nature des données sensibles et des risques encourus, nécessitant des mesures de sécurité supplémentaires.

Date d’entrée en vigueur, durée du DPA, intégralité

Le présent accord entrera en vigueur dès l’acceptation des Conditions Générales avec lesquelles il forme un ensemble contractuel, et sera en vigueur pendant toute la durée de la relation contractuelle.

Les Parties reconnaissent que la résiliation du présent accord à tout moment, et pour quelque raison que ce soit, ne les exempte pas de leurs obligations relatives au traitement des données personnelles.

Obligations des Parties

Instructions

Le Sous-traitant ne traite les Données Personnelles que sur instruction documentée du Responsable du Traitement, qui se conformera à la réglementation applicable concernant l’information des Personnes Concernées, y compris en ce qui concerne les transferts de Données Personnelles vers un pays tiers ou une organisation internationale, sauf si la loi applicable à laquelle le Sous-traitant est soumis l’exige.

Dans un tel cas, le Sous-traitant informera le Responsable du Traitement de cette exigence légale avant le Traitement, sauf si la loi applicable interdit une telle information pour des motifs d’intérêt public. Des instructions peuvent également être données ultérieurement par le Responsable du traitement pendant toute la durée du traitement des données à caractère personnel. Ces instructions doivent toujours être documentées.

Le Sous-traitant informe immédiatement le Responsable du traitement si, selon lui, une instruction donnée par le Responsable du traitement constitue une violation des dispositions applicables relatives à la protection des données personnelles.

En outre, si le Sous-traitant est tenu de procéder à un transfert de données vers un pays tiers ou à une organisation internationale, en vertu du droit de l’Union ou du droit de l’État membre, il doit informer le Responsable du traitement de cette obligation juridique avant l’opération, exception faite du cas où le droit concerné interdit une telle information pour des motifs importants d’intérêt public.

Le Sous-traitant traite les données à caractère personnel uniquement pour la ou les finalités spécifiques du traitement, telles que définies à l’Annexe 1 des présentes, sauf instruction complémentaire du Responsable du traitement.

Communication

Le Sous-traitant s’engage à ce que tous les sous-traitants ultérieurs, tels que listés à l’Annexe 2 des présentes, s’engagent à respecter les présentes ou que leurs obligations soient aussi contraignantes que les présentes obligations.

En cas de demandes provenant d’autorités judiciaires, administratives ou autres, visant à obtenir communication de données à caractère personnel traitées par le Prestataire dans le cadre de la fourniture des Services, en exécution du présent DPA, le Sous-traitant s’engage à :

• Vérifier la compétence de l’autorité, la base légale invoquée et la régularité formelle de la demande ;
• Ne donner suite qu’aux demandes légitimes, valablement formées et juridiquement contraignantes, et refuser toute demande irrégulière, excessive ou disproportionnée ;
• S’agissant d’une demande émanant d’une autorité d’un pays tiers, n’y donner suite que dans les conditions de l’article 48 du RGPD ;
• Limiter la communication aux seules données requises par l’autorité et expressément visées par la demande ;
• Informer le Client préalablement à toute communication, sauf interdiction légale ou secret de la procédure. Dans ce cas, le Prestataire informera le Client dans les meilleurs délais dès que cette interdiction aura cessé ;
• Conserver une trace documentée de la demande et de la réponse apportée, tenue à la disposition du Client, sous réserve du précédent alinéa.

Sous-traitants ultérieurs

Le Sous-traitant pourra faire appel à des sous-traitants ultérieurs pour les besoins de la fourniture des Services. La liste des sous-traitants ultérieurs est indiquée à l’Annexe 2, qui sera tenue à jour et notifiée préalablement au Client en cas de modification.

Par l’acceptation des Conditions Générales, le Responsable de traitement accepte expressément le recours à des sous-traitants ultérieurs.

Pour chaque sous-traitant ultérieur, le Sous-traitant indique avoir conclu des clauses contractuelles types ou des DPA contenant les mêmes obligations qu’aux présentes.

Lorsque le Sous-traitant recrute un sous-traitant ultérieur, il garantit que celui-ci respecte en substance les mêmes obligations en matière de protection des données que celles qui lui sont imposées en vertu des présentes clauses. Le Sous-traitant veille à ce que les sous-traitants ultérieurs respectent les obligations auxquelles il est lui-même soumis en vertu des présentes et des dispositions applicables en matière de RGPD en Nouvelle-Calédonie.

À la demande du Responsable de traitement, le Sous-traitant fournira toute justification concernant la conformité de ses sous-traitants ultérieurs au RGPD.

Le Sous-traitant demeure pleinement responsable à l’égard du Responsable de traitement de l’exécution des obligations du sous-traitant ultérieur, notamment en vertu du présent contrat. Le Sous-traitant informe le Responsable de traitement de tout manquement du sous-traitant ultérieur à ses obligations contractuelles.

Le Sous-traitant conviendra avec le sous-traitant ultérieur d’une clause du tiers bénéficiaire en vertu de laquelle le Responsable de traitement aura la possibilité de résilier le contrat conclu avec le sous-traitant ultérieur et de donner instruction au sous-traitant ultérieur d’effacer ou de renvoyer les données à caractère personnel dans le cas où le Sous-traitant aurait matériellement disparu.

Sécurité du traitement

Le Sous-traitant met au moins en œuvre les mesures techniques et organisationnelles précisées à l’Annexe 3 des présentes pour assurer la sécurité des données à caractère personnel. De manière générale, il mettra en œuvre toutes les mesures nécessaires pour préserver l’intégrité, la disponibilité et la confidentialité des données à caractère personnel introduites par le Responsable de traitement.

Figurent parmi ces mesures la protection des données contre toute violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel ou l’accès non autorisé à de telles données (violation de données à caractère personnel). Lors de l’évaluation du niveau de sécurité approprié, les Parties tiennent dûment compte de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les personnes concernées.

Le Sous-traitant n’accordera aux membres de son personnel l’accès aux données à caractère personnel faisant l’objet du traitement que dans la mesure strictement nécessaire à l’exécution, à la gestion et au suivi de la relation contractuelle et de la fourniture des Services. Le Sous-traitant veille à ce que les personnes autorisées à traiter les données à caractère personnel s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.

Données sensibles

Il est précisé qu’aucune donnée sensible telle que définie par la réglementation RGPD ne fera l’objet d’un traitement de la part du Sous-traitant.

À titre de rappel, on entend par « données sensibles » au sens de l’article 9 toutes données relatives :

• À l’origine raciale ou ethnique ;
• Aux opinions politiques ;
• Aux convictions religieuses ou philosophiques ;
• À l’appartenance syndicale ;
• Aux données génétiques ;
• À la biométrie aux fins d’identifier une personne de manière unique ;
• À la santé ;
• À la vie sexuelle ou à l’orientation sexuelle.

À cet effet, le Responsable de traitement s’engage à ce qu’il en demeure ainsi pendant toute la durée de la relation contractuelle.

Conformité

Le Sous-traitant met à la disposition du Responsable de traitement toutes les informations et la documentation nécessaires pour démontrer le respect des obligations mentionnées aux présentes et découlant des dispositions applicables en Nouvelle-Calédonie en matière de protection des données personnelles. À la demande du Responsable de traitement, le Sous-traitant pourra faire réaliser des audits des traitements objet des présentes, aux frais du Responsable de traitement.

Le Responsable de traitement pourra également procéder à un audit ou mandater un auditeur externe. Les audits, pouvant comprendre des inspections dans les locaux ou les installations physiques du Sous-traitant, sont effectués moyennant un préavis d’au moins TRENTE (30) jours avant la date présumée de l’audit, notifié par écrit au Sous-traitant.

Le Responsable de traitement déclare et garantit que l’utilisation de la Solution ne violera pas les droits d’une personne concernée et qu’il dispose des droits pour transférer ou fournir l’accès aux données personnelles pour les opérations de traitement objet des présentes. Le Sous-traitant ne pourra être tenu pour responsable si les données collectées par le Responsable de traitement l’ont été par des moyens frauduleux, illégaux, ou sans le consentement des personnes concernées. À cet effet, le Responsable de traitement garantit la licéité des moyens de collecte et l’exactitude des données transmises. Il garantit également le Sous-traitant contre les conséquences d’un éventuel manquement du Responsable du traitement à ses obligations au titre du RGPD.

Obligation de formation du personnel

Le Sous-traitant s’engage à ce que toutes les personnes autorisées à traiter les données à caractère personnel aient bien reçu la formation nécessaire en matière de protection des données à caractère personnel.

À ce titre, il s’engage à faire appliquer, dès la conception de ses outils, applications ou services, les principes de protection des données personnelles au sein de son établissement.

Assistance au Responsable de traitement

Il est expressément convenu entre les Parties que le Responsable de traitement gérera exclusivement les demandes des personnes concernées par le traitement.

Toutefois, si le Sous-traitant reçoit une demande de la part de la personne concernée, il devra informer sans délai le Responsable de traitement sans donner suite à la demande, à moins que ce dernier ne l’ait expressément autorisé.

Le Sous-traitant s’engage à prêter assistance au Responsable de traitement concernant son obligation de répondre aux demandes des personnes concernées d’exercer leurs droits et dans la conformité au RGPD. Il se conforme aux instructions du Responsable de traitement.

Droit d’information des personnes concernées

Il appartient au Responsable de traitement de fournir l’information aux personnes concernées par les opérations de traitement au moment de la collecte des données lorsque des données à caractère personnel sont collectées auprès de la personne concernée, ou dans les délais requis lorsque les données à caractère personnel n’ont pas été collectées auprès de la personne concernée, conformément aux articles 12 à 14 du RGPD.

Il est expressément convenu entre les Parties que le Responsable de traitement gérera exclusivement les demandes des personnes concernées par le traitement, auxquelles il devra répondre dans les délais imposés par la réglementation en vigueur.

Toutefois, si le Sous-traitant reçoit une demande de la part de la personne concernée, il devra informer sans délai le Responsable de traitement sans donner suite à la demande, à moins que ce dernier ne l’ait expressément autorisé.

Le Sous-traitant doit assister du mieux possible le Responsable de traitement à remplir son obligation légale de donner suite aux demandes d’exercice des droits des personnes concernées. Ce droit se décompose comme suit :

• Droit d’accès aux données ;
• Droit de rectification des données ;
• Droit de suppression des données ;
• Droit d’opposition au traitement des données ;
• Droit à la limitation du traitement ;
• Droit à la portabilité des données ;
• Droit de ne pas faire l’objet d’une décision individuelle automatisée (y compris le profilage).

Lorsque les personnes concernées exercent auprès du Sous-traitant des demandes d’exercice de leurs droits, le Sous-traitant s’engage à transférer ces demandes au Responsable de traitement.

Notification des violations des données à caractère personnel

En cas de violation de données à caractère personnel, le Sous-traitant coopère avec le Responsable du traitement et lui prête assistance aux fins de la mise en conformité avec les obligations qui lui incombent en vertu des articles 58 et 62 de la loi n° 78-17 du 6 janvier 1978 modifiée susmentionnée.

En cas de violation de données à caractère personnel en rapport avec les données traitées par le Sous-traitant, celui-ci en informe le Responsable du traitement dans les meilleurs délais après en avoir pris connaissance, et au plus tard dans les QUARANTE-HUIT (48) heures, afin de permettre au Responsable de traitement de respecter son propre délai légal de SOIXANTE-DOUZE (72) heures auprès de l’autorité de contrôle compétente, soit la CNIL, conformément à l’article 33 du RGPD.

Cette information pourra se faire par l’envoi d’un email ou d’un courrier accompagné de toute documentation utile afin de permettre au Responsable de traitement, si nécessaire, de notifier cette violation à l’autorité de contrôle compétente.

Renvoi des données à la fin du contrat

Au terme de la relation contractuelle, concernant l’espace de travail, le Responsable de traitement disposera de la possibilité de transférer toutes ses données, soit par lui-même, soit par le biais de Google Takeout qui lui permettra d’exporter ses données dans des formats communément exploitables.

Le Responsable de traitement disposera de cette possibilité jusqu’à la fin de la relation contractuelle, et sera prévenu préalablement des présentes dispositions lors du renouvellement de son abonnement.

Au-delà de cette date, le Sous-traitant supprimera toutes les données à caractère personnel traitées pour le compte du Responsable de traitement et certifiera auprès de celui-ci qu’il a procédé à cette suppression dans les SEPT (7) jours suivant le terme de la relation contractuelle, ou renverra toutes les données à caractère personnel au Responsable de traitement, aux frais du Responsable de traitement, avant de détruire les copies existantes, à moins que la réglementation en vigueur n’impose de les conserver plus longtemps.

Le Sous-traitant continue de veiller à la conformité aux présentes dispositions jusqu’à la suppression ou à la restitution des données.

Si les Données Personnelles, pour des raisons pratiques, ne peuvent être ainsi supprimées, le Sous-traitant prendra les mesures appropriées pour garantir que ces Données Personnelles ne seront pas davantage traitées, divulguées ou utilisées de quelque manière que ce soit, autre que par une suppression ultérieure si cela devient possible.

Information du Délégué à la protection des données (DPO)

Les Parties se communiquent mutuellement le nom et les coordonnées de leur Délégué à la protection des données, si elles en ont désigné un conformément à l’article 37 du RGPD.

Le Sous-traitant déclare avoir désigné comme DPO externe :
La société DPO EXPERTISE,
dpoexpertise@dpo.nc,
NOUMEA (98 800) – 19, avenue Maréchal Foch – Immeuble Foch – 4ème étage.

Création d’un Registre de traitement

Le Sous-traitant s’engage à tenir à jour un registre de toutes les catégories d’activités de traitement effectuées pour le compte du Responsable de traitement.

Transfert de données en dehors de l’Union Européenne

La fourniture des Services requiert le transfert de données en dehors de l’Union Européenne, où le Sous-traitant et ses sous-traitants opèrent les traitements. À tout moment, le Sous-traitant ainsi que ses sous-traitants mettent en place des mesures de protection et de sécurité conformément aux préconisations de la réglementation RGPD, incluant la conclusion de clauses contractuelles types et les mesures structurelles et organisationnelles nécessaires.

Liste des annexes :

• Annexe 1 – Description des traitements ;
• Annexe 2 – Liste des sous-traitants autorisés ;
• Annexe 3 – Mesures techniques et organisationnelles.

Annexe 1 du DPA – Description des traitements

Le tableau ci-dessous décrit les opérations de traitement effectuées par le Sous-traitant au nom et pour le compte du Responsable de traitement.

Annexe 2 du DPA – Liste des sous-traitants ultérieurs autorisés

Les sous-traitants suivants sont nécessaires pour la fourniture de la Solution par le Sous-traitant. Lorsqu’ils sont marqués comme « optionnels », les services vous seront accessibles mais les sous-traitants ne seront considérés comme des sous-traitants ultérieurs que si le Responsable de traitement utilise effectivement ces services. Le fait d’utiliser ces services emporte autorisation par le Responsable de traitement des sous-traitants ultérieurs.

Annexe 3 du DPA – Mesures techniques et organisationnelles

Cette annexe décrit les mesures techniques et organisationnelles mises en place pour assurer la sécurité et la confidentialité des données personnelles confiées au Sous-traitant, conformément à l’article 32 du RGPD.