1.Portée
1.1.
Le présent avenant DORA (ci-après dénommé « Avenant DORA ») constitue un avenant au Contrat et en fait partie intégrante. En cas de conflit entre le présent avenant DORA et le Contrat, le présent avenant DORA prévaudra.
2.Définitions et interprétation
2.1.
Les termes utilisés dans le présent avenant au DORA ont le sens qui leur est attribué ci-dessous, sauf si le contexte exige qu’il en soit autrement.
| Agreement | means the Outsourcing Agreement between Service Provider and Nium (each a “Party” and together the “Parties”) to which this DORA Addendum is incorporated, whereby Nium procures the Services from the Service Provider; |
| Applicable Law(s) | means any laws, regulations, regulatory constraints, obligations or rules which are applicable to the Agreement and this DORA Addendum (including binding codes of conduct and binding statements of principle incorporated and contained in such rules from time to time), interpreted (where relevant) in accordance with any guidance, code of conduct or similar document published by any regulatory authority; |
| Confidential Information | means all information (including Data, as applicable) (however recorded or preserved) disclosed by a Party to the other Party in connection with the Agreement; and/or includes, but is not limited to, any Service deliverables, trade secrets, know-how, inventions, techniques, processes, software programs and other IT related information, documentation, schematics, procedures, contracts, customer information, information regarding employees, policyholders or beneficiaries, financial information, budgets, sales, marketing, public relations, advertising and commerce plans, ideas, strategies, designs, projections, business plans, real estate plans, strategic expansion plans, products and product designs, sourcing information, potential product labelling and marking ideas, unpublished information relating to the intellectual property rights of either Party, personal data, all communications between the Parties and other non-public information relating to either Party’s business; |
| Nium | means the Nium entity that is identified as the service recipient under, and is a party to, the Agreement; |
| Data | means the data (including text, drawings, diagrams, images or sounds (together with any database made up of any of these)) which are embodied in any electronic, magnetic, optical or tangible media, which may include personal data and which are: (a) fournies au fournisseur de services par Nium ou au nom de Nium, ou par un bénéficiaire du service; ou (b) que le fournisseur de services est tenu de produire, de traiter, de stocker ou de transmettre en vertu de la présente entente; |
| Data Protection Laws | means: (a) toute législation en vigueur à tout moment relative à la vie privée et/ou au traitement des renseignements personnels, y compris le Règlement général sur la protection des données (UE 2016/679) (« RGPD »), la Loi de 2018 sur la protection des données au Royaume-Uni (le cas échéant), le Règlement de 2003 sur la vie privée et les communications électroniques (SI 2003/2426) et toute loi ou réglementation transposant la Directive 2002/58/CE sur la vie privée et les communications électroniques; (b) toute loi qui remplace, étend, rétablit, consolide ou modifie l’une des dispositions susmentionnées, que ce soit avant ou après la date de l’Entente, à compter de la date de son entrée en vigueur (sauf, lorsque le droit interne applicable le permet, dans la mesure où le RGPD est modifié de temps à autre par le droit national applicable, mais lorsque cette modification a pour effet de priver les personnes concernées des droits dont elles bénéficieraient autrement si tout traitement pertinent était effectué dans l’EEE ou au Royaume-Uni (selon le cas), cette modification n’aura aucun effet sur le présent accord); et (c) les lignes directrices et les codes de pratique publiés par toute autorité de réglementation compétente de l’EEE ou du Royaume-Uni (selon le cas) et applicables à une partie; |
| DORA | means the Digital Operational Resilience Act Regulation (EU) 2022/2554 of the European Parliament and of the Council of 14 December 2022 on digital operational resilience for the financial sector and amending Regulations (EC) No 1060/2009, (EU) No 648/2012, (EU) No 600/2014, (EU) No 909/2014 and (EU) 2016/1011; |
| Good Industry Practice | means the capacity, resources, organisational structure, methods, techniques, designs, standards, skills, diligence, efficiency, reliability and prudence which are generally and reasonably expected from a reasonably skilled and experienced service provider engaged in the same type of undertaking as envisaged under the Agreement and which would be expected to result in the performance of its obligations in accordance with Applicable Law in a reliable, safe, economical and efficient manner; |
| Insolvency Event | means any of the following: (a) une ordonnance est rendue par un tribunal compétent ou une résolution est adoptée concernant l’administration du fournisseur de services; ou (b) le dépôt d’une requête en liquidation du fournisseur de services, requête qui n’est pas rejetée dans les délais prévus par les lois applicables; ou (c) une ordonnance est rendue ou une résolution est adoptée en vue de la liquidation du fournisseur de services, ou si ce dernier fait l’objet d’une liquidation (volontaire ou non), sauf dans le cadre d’un redressement financier ou d’une fusion où l’entité issue de cette opération assume toutes les obligations de l’entité liquidée; ou (d) une demande visant à obtenir une ordonnance ou à nommer un séquestre (y compris un séquestre administratif ou un gestionnaire), un administrateur, un enquêteur, un liquidateur, un liquidateur provisoire, un syndic ou un mandataire similaire est présentée à l’égard du fournisseur de services; ou (e) si un séquestre, un séquestre administratif, un administrateur, un vérificateur, un liquidateur, un liquidateur provisoire ou un mandataire similaire est nommé pour l’ensemble ou une partie des actifs ou de l’entreprise du fournisseur de services et n’est pas déchargé de ses fonctions dans les trente (30) jours suivant cette nomination; ou (f) le fournisseur de services propose un accord volontaire avec ses créanciers, convoque une assemblée de ses créanciers, conclut un concordat avec l’ensemble de ses créanciers, procède à une cession au profit de ses créanciers ou conclut tout autre accord similaire; ou (g) le fournisseur de services cesse, ou menace de cesser, d’exercer ses activités commerciales ou professionnelles; ou (h) si un tiers fait valoir une sûreté sur la totalité ou la quasi-totalité des actifs du fournisseur de services; ou (i) si un événement analogue à ceux décrits aux alinéas (a) à (h) ci-dessus venait à se produire dans toute autre juridiction à laquelle le fournisseur de services est assujetti; |
| IT System(s) | means an information technology system (comprising hardware, software and/or network(s)); |
| Regulator(s) | means any regulatory or quasi-regulatory, administrative, or taxation body or court or listing authority or law enforcement agency which regulates or governs Nium or the Service Provider in relation to the provision or receipt of the Services under the Agreement, and any replacement or successor body in any relevant jurisdiction from time to time; |
| Services | means any services and/or products provided by the Service Provider to Nium pursuant to the Agreement; |
| Service Location(s) | means the countries and regions where the Services are provided from, including the hosting, processing and storage of Data, as set out in Annex B of this Addendum; |
| Service Standards | means the service levels and relevant key performance indicators to which Service Provider is required to perform the Services or as otherwise agreed between the Parties in writing; |
| Service Provider | means the Service Provider entity that is identified as such under, and is a party to, the Agreement; |
| Service Provider Personnel | means each person employed, contracted or engaged from time to time by or on behalf of the Service Provider for the provision of all or part of the Services; |
| Service Provider Premises | means any premises owned, leased or otherwise occupied or controlled by the Service Provider; and |
| Virus(es) | means any computer program code, computer virus, computer worm, Trojan horse, authorisation key, licence control utility or software lock, which is intended by any person to, is likely to, or may: (a) nuire au bon fonctionnement de tout système informatique ou programme appartenant à Nium; ou (b) entraîner la perte, la corruption ou l'endommagement de tout programme ou de toute donnée stockés sur les systèmes informatiques ou dans les programmes appartenant à Nium. |
2.2.
Les renvois aux paragraphes figurant dans le présent addendum à la DORA renvoient aux paragraphes du présent addendum à la DORA.
3.Services
3.1.
Le fournisseur de services doit fournir les services à Nium à partir du ou des lieux de prestation, conformément aux normes de service.
3.2.
Toute modification apportée aux normes de service sera régie par le processus standard de modification prévu dans l'entente.
3.3.
Le fournisseur de services ne doit pas modifier le lieu à partir duquel les services sont fournis sans en avoir préalablement avisé Nium et sous réserve de l’accord écrit préalable de Nium (qui ne doit pas être refusé sans motif valable).
4.Obligations générales et conformité réglementaire
4.1.
Le fournisseur de services s’engage, pendant toute la durée du contrat, à s’acquitter de toutes ses responsabilités, obligations et engagements découlant du contrat et du présent avenant DORA (y compris, sans s’y limiter, ceux qui concernent le personnel du fournisseur de services) conformément à toutes les lois applicables, y compris celles qui s’appliquent à Nium en ce qui concerne les services que le fournisseur de services fournit à Nium.
4.2.
Le fournisseur de services reconnaît que :
4.2.1.
Dans le cadre de l'exercice de ses activités, Nium est assujettie aux règles, règlements et exigences de ses organismes de réglementation. Par conséquent, le fournisseur de services doit :
4.2.1.1.
coopérer pleinement avec les organismes de réglementation de Nium et leurs représentants, et informer sans délai Nium de toutes les communications ou relations qu’elle entretient avec ces parties; et
4.2.1.2.
dans toutes les relations avec les organismes de réglementation de Nium et leurs représentants, faire preuve de la diligence raisonnable nécessaire pour préserver les relations et la réputation de Nium auprès de ces organismes;
4.2.2.
la totalité ou une partie des Services sont considérés comme des « services TIC » (au sens de la DORA) et que le fournisseur de services est considéré comme un « fournisseur tiers de services TIC » (au sens de la DORA) de Nium qui ne soutient pas une « fonction critique ou importante » (au sens de la DORA) de Nium et que, par conséquent, le présent addenda à la DORA comprend des dispositions visant à garantir la conformité de Nium aux exigences de la DORA et des autres lois applicables, ainsi qu’à faciliter l’exercice par toute autorité de réglementation de ses pouvoirs relativement aux obligations importantes prévues par le présent addenda à la DORA ou par le contrat; et
4.2.3.
Nium peut être tenue d’évaluer régulièrement le statut et le caractère critique des services; par conséquent, ce statut peut évoluer au cours de la durée du contrat, et le fournisseur de services peut devenir un « fournisseur de services tiers critiques en matière de TIC » (au sens de la loi DORA). Dans de telles circonstances, Nium aura le droit de :
4.2.3.1.
exiger des modifications aux modalités de la présente entente (en particulier, le présent avenant relatif à la DORA) afin de garantir qu’elle continue de se conformer à la DORA et aux autres directives des organismes de réglementation de Nium concernant les « services TIC » (tels que définis dans la DORA); et
4.2.3.2.
informer les organismes de réglementation de Nium de tout changement dans le niveau de criticité des services (qu’il soit réel, prévu ou planifié).
4.2.4.
Nium est tenue d’informer ses organismes de réglementation si, pour quelque raison que ce soit, le fournisseur de services n’est pas en mesure ou refuse de prendre les mesures contractuelles nécessaires pour permettre à Nium de se conformer à ses obligations et aux attentes réglementaires (y compris celles prévues par la DORA).
4.3.
Le fournisseur de services reconnaît que Nium peut être tenue de divulguer des renseignements confidentiels à une autorité de réglementation (y compris, le cas échéant, de fournir une copie de la convention et de la présente annexe relative au DORA), dans la mesure où cette divulgation est nécessaire pour permettre une surveillance efficace de Nium par toute autorité compétente concernée et pour permettre à Nium de s’acquitter de ses obligations en vertu du DORA ou d’autres lois applicables.
5.Confidentialité
5.1.
Sous réserve des lois applicables, chaque partie s'engage à traiter les renseignements confidentiels de l'autre partie comme étant strictement confidentiels et s'interdit de les copier, de les divulguer, de les reproduire ou de les utiliser, sauf si cette divulgation, cette copie, cette reproduction ou cette utilisation :
5.1.1.
au personnel d’une partie ou à tout fournisseur de services tiers, dans la mesure nécessaire à la prestation ou à la réception des services (selon le cas), ou à l’exécution des obligations de cette partie en vertu du contrat, et à condition que ce personnel, ces conseillers, ces bailleurs de fonds potentiels ou ces fournisseurs de services tiers soient soumis à des obligations de confidentialité équivalentes à celles prévues au présent paragraphe 5;
5.1.2.
nécessaires dans le cadre de toute instance judiciaire, procédure d’arbitrage, procédure devant un tribunal, procédure de règlement extrajudiciaire des différends ou autre procédure civile liée à la présente entente;
5.1.3.
approuvé par écrit par la partie à laquelle appartiennent ces renseignements confidentiels; ou
5.1.4.
après que l'information confidentielle est devenue accessible au public (sauf en cas de manquement au présent paragraphe 5).
5.2.
Chaque partie informera sans délai l'autre partie en cas de manquement aux obligations de confidentialité prévues au présent paragraphe 5.
5.3.
Les obligations de confidentialité prévues au présent paragraphe 5 resteront en vigueur pendant trois ans après la résiliation de l'entente.
6.Protection des données
6.1.
Dans le présent paragraphe 6 et dans le présent addenda à la DORA, les termes « données personnelles », « responsable du traitement » et « sous-traitant » ont le sens qui leur est donné à l'article 4 du RGPD.
6.2.
Aux fins de la présente entente, il est convenu que Nium est le « responsable du traitement des données » et que le fournisseur de services est le sous-traitant.
6.3.
Toutes les données personnelles devant être traitées par le fournisseur de services pour le compte de Nium, conformément au contrat, seront traitées selon les modalités prévues dans l’entente sur la protection des données.
7.Sécurité des données
7.1.
Le fournisseur de services est tenu (a) de préserver la confidentialité, l’authenticité, la disponibilité et l’intégrité des données, (b) de limiter l’accès aux données uniquement au personnel du fournisseur de services qui doit y avoir accès selon le principe du besoin de savoir pour l’exécution adéquate des obligations du fournisseur de services en vertu de la présente entente, et (c) de prévenir la corruption ou la perte des données, tant que celles-ci sont en la possession ou sous le contrôle du fournisseur de services, de ses mandataires, de ses entrepreneurs ou de ses sous-traitants, et il doit s’assurer qu’il a mis en place des contrôles appropriés (y compris auprès de ses mandataires, entrepreneurs ou sous-traitants) pour se prémunir contre toute utilisation non autorisée et/ou illégale des données.
7.2.
Pendant une période de 60 jours suivant la résiliation du contrat pour quelque raison que ce soit (la « période de récupération »), le fournisseur de services mettra à disposition, par le biais de protocoles sécurisés et dans un format structuré et lisible par machine, toutes les données se trouvant dans l’environnement de production, ou maintiendra le système de service accessible, afin de permettre à Nium de récupérer les données. Pendant la période de récupération, le fournisseur de services fournira une assistance raisonnable à Nium afin de faciliter la récupération des données, y compris une aide pour comprendre la structure et le format de tout fichier d’exportation pertinent.
8.Sécurité
8.1.
Le fournisseur de services doit mettre en place et maintenir, dans le cadre des activités prévues par la convention (y compris les services) ainsi que pour tous les systèmes informatiques et emplacements qu’il utilise pour mener ces activités, un niveau de sécurité qui (au minimum et de façon continue) :
8.1.1.
est conforme aux bonnes pratiques de l’industrie et que le fournisseur de services estime raisonnablement nécessaire pour assurer le respect de la loi applicable;
8.1.2.
est appropriée pour limiter le risque que les événements suivants se produisent, à des niveaux de risque jugés acceptables au regard des bonnes pratiques de l'industrie :
8.1.2.1.
la perte de tout élément livrable du Service, des droits de propriété intellectuelle de Nium ou des données;
8.1.2.2.
la perte de l’intégrité ou de la confidentialité de tout élément livrable du Service, des droits de propriété intellectuelle de Nium ou des données;
8.1.2.3.
l'accès non autorisé à tout élément fourni dans le cadre du Service, aux droits de propriété intellectuelle de Nium ou aux données, ou toute utilisation ou ingérence à leur égard, par toute personne ou organisation; et
8.1.2.4.
l’introduction de virus dans tout système informatique, ainsi que les attaques internes ou externes contre les systèmes des fournisseurs de services, y compris le piratage, les attaques par déni de service, l’hameçonnage et autres phénomènes similaires; et
8.1.3.
en ce qui concerne les locaux du fournisseur de services (et tout autre endroit à partir duquel il est permis de fournir les services), comprendra une politique de sécurité des sites contenant des dispositions relatives à :
8.1.3.1.
exigences en matière d’accès et de sécurité du site;
8.1.3.2.
exigences relatives à l'accès par carte-clé;
8.1.3.3.
les exigences relatives aux visiteurs (y compris l’autorisation préalable de Nium pour tout visiteur et l’accompagnement des visiteurs pendant leur présence sur les lieux);
8.1.3.4.
exigences en matière de contrôle d'accès aux locaux;
8.1.3.5.
les exigences relatives aux téléphones cellulaires et aux appareils permettant de prendre des photos; et
8.1.3.6.
exigences relatives aux supports portables.
8.2.
Le fournisseur de services doit mettre en œuvre et maintenir des mesures de sécurité appropriées afin de respecter les obligations qui lui incombent en vertu du paragraphe 8.1 du présent addendum à la DORA, et doit régulièrement tester et réévaluer ces mesures.
8.3.
Le fournisseur de services doit participer à tout programme de sensibilisation à la sécurité des technologies de l’information et des communications ou à toute formation sur la résilience opérationnelle numérique que Nium est tenue, en vertu des lois applicables, d’offrir à son personnel ou à sa direction, en mettant à disposition son expertise en la matière afin qu’elle soit intégrée au programme ou au matériel de formation en question.
8.4.
En ce qui concerne le niveau de sécurité et les mesures de sécurité visés aux paragraphes 8.1 et 8.2 du présent addenda à la DORA, Nium est en droit d’examiner et de vérifier les détails et l’efficacité de celles-ci (notamment en effectuant des tests d’intrusion axés sur les menaces), et le fournisseur de services doit tenir compte de toutes les directives et procédures de sécurité raisonnablement exigées par Nium et portées à sa connaissance.
8.5.
Chaque partie doit informer sans délai l’autre partie de tout accès non autorisé, réel, tenté ou présumé, de toute utilisation non autorisée ou de tout autre abus concernant des systèmes informatiques ou des données, ou de tout autre incident de sécurité dont elle a connaissance (un « incident »). Par la suite, chaque partie doit apporter à l’autre son entière coopération et assistance pour enquêter sur les causes et les répercussions d’un tel incident et pour élaborer un plan de remédiation détaillé décrivant les mesures que chaque partie prend pour résoudre l’incident.
9.Résiliation
9.1.
Sans préjudice de tout autre droit ou recours dont elle pourrait disposer en vertu de la convention, Nium peut résilier la convention (en tout ou en partie) :
9.1.1.
avec effet immédiat, moyennant un préavis écrit adressé au fournisseur de services, si ce dernier :
9.1.1.1.
enfreint la loi applicable; ou
9.1.1.2.
commet une violation grave ou persistante (y compris un manquement persistant aux niveaux de service prescrits), ou une série de violations mineures du contrat qui, prises individuellement, ne sont peut-être pas graves, mais qui, prises dans leur ensemble, constituent une violation grave du contrat, laquelle :
(a)
dans le cas d’un manquement pouvant être corrigé à la suite d’un avis de Nium exigeant que le fournisseur de services y remédie, et si ce dernier ne remédie pas au manquement dans un délai de trente (30) jours, étant entendu que le fournisseur de services doit déployer tous les efforts raisonnables pour remédier au manquement dès que possible, nonobstant ce délai de trente (30) jours; ou
(b)
compte tenu de la nature de la violation ou des mesures correctives proposées par le fournisseur de services, ne peut être corrigée;
(c)
ou si un cas d’insolvabilité touchant le fournisseur de services survient; ou
9.1.2.
en adressant au fournisseur de services un préavis écrit de trente (30) jours dans les cas suivants :
9.1.2.1.
Nium y est tenue ou a reçu des instructions en ce sens de la part d’un organisme de réglementation;
9.1.2.2.
des obstacles affectant (a) la capacité du fournisseur de services à fournir les services; ou (b) la gestion et la sécurité des données par le fournisseur de services sont identifiés; ou
9.1.2.3.
il existe [des changements touchant les services ou le fournisseur de services qui, de l’avis de Nium, ont une incidence négative sur la prestation des services.