Accord sur la protection des données

LE PRÉSENT ACCORD SUR LA PROTECTION DES DONNÉES (« DPA ») est régi par le contrat de services et/ou le contrat d’externalisation (selon le cas) conclu entre l’entité Nium concernée (« Nium ») et l’entité cliente concernée (« Client ») qui est partie à ce contrat, et en fait partie intégrante. Nium et le Client sont ci-après désignés collectivement sous le nom de « Parties » et individuellement sous le nom de « Partie ».

1. DÉFINITIONS

1. « Entreprise » désigne le terme tel qu’il est défini dans la CCPA des États-Unis.
2. « Objet commercial » désigne la prestation des services Nium par Nium conformément à tout contrat de services applicable, ou la prestation des services au client par le client conformément à tout contrat d'externalisation applicable.
3. « Services au client » désigne tous les services fournis par le client à Nium conformément aux modalités de tout contrat d’externalisation applicable.
4. « Responsable du traitement » désigne l’entité qui détermine les fins et les moyens du traitement des renseignements personnels.
5. « Plainte relative aux données » désigne toute plainte ou demande relative aux obligations de l’une ou l’autre des parties en vertu des lois sur la protection des données applicables au présent accord sur le traitement des données, y compris toute plainte déposée par une personne concernée ou toute notification, enquête ou autre mesure prise par une autorité de surveillance.
6. « Incident lié aux données » désigne tout acte ou omission qui compromet la sécurité, la confidentialité ou l’intégrité des données personnelles, ou les mesures de protection physiques, techniques, administratives ou organisationnelles mises en place pour les protéger, et qui constitue une violation de la sécurité ou un incident au sens des lois applicables en matière de protection des données. Les incidents liés aux données comprennent l’acquisition, la destruction, la perte, l’altération, la divulgation non autorisée ou l’accès non autorisé, accidentels ou illicites, à des données personnelles.
7. « Lois sur la protection des données » désigne l’ensemble des lois, règlements et autres exigences juridiquement contraignantes applicables dans toute juridiction en matière de vie privée, de protection des données, de sécurité des données, de notification des violations ou de traitement des données personnelles en vertu du présent accord sur le traitement des données (DPA), y compris, sans s’y limiter et uniquement dans la mesure où elles sont applicables, le Règlement général sur la protection des données, Règlement (UE) 2016/679 (« RGPD de l’UE ») ; la Loi sur la protection des données du Royaume-Uni de 2018 (« RGPD du Royaume-Uni »); la Loi fédérale suisse sur la protection des données (« LPD »); la Loi sur la protection des renseignements personnels et les documents électroniques, L.C. 2000, ch. 5 du Canada, ainsi que toute loi et tout règlement qui lui succéderaient et qui auraient la même intention générale et le même effet (loi canadienne PIPEDA), la Loi sur la protection des renseignements personnels de Singapour de 2012 (« PDPA de Singapour »), la Loi californienne sur la protection de la vie privée des consommateurs, Code civil de Californie, art. 1798.100 et suivants (telle que modifiée et, conjointement avec ses règlements, la « CCPA des États-Unis »), ainsi que la Loi indonésienne n° 27 de 2022 sur la protection des données personnelles, ainsi que toute loi et tout règlement qui lui succéderaient et qui auraient le même objectif général et le même effet, la Loi générale brésilienne sur la protection des données (Lei Geral de Proteção de Dados, Loi n° 13 709/2018, telle que modifiée) (« LGPD brésilienne »), ainsi que toute loi de remplacement, tout règlement d’application et toute directive contraignante émis par l’Autoridade Nacional de Proteção de Dados (« ANPD ») ayant la même intention et le même effet généraux. Pour éviter toute ambiguïté, si les activités d’une partie impliquant des données personnelles ne relèvent pas du champ d’application d’une loi sur la protection des données donnée, cette loi n’est pas applicable aux fins de la présente entente sur la protection des données.
8. « Personne concernée » désigne la personne identifiée ou identifiable à laquelle se rapportent les données personnelles.
9. « Demande d’une personne concernée » désigne toute demande émanant d’une personne concernée relative au traitement de données personnelles dans le cadre d’un contrat de services ou des services Nium, visant à exercer son droit d’accès, son droit de rectification, son droit à la limitation du traitement, son droit à l’effacement (c’est-à-dire le « droit à l’oubli »), le droit à la portabilité des données, le droit d’opposition au traitement, le droit de ne pas faire l’objet d’une prise de décision individuelle automatisée, le droit d’obtenir la confirmation de l’existence d’un traitement, le droit d’être informé des entités avec lesquelles les données ont été partagées, le droit à l’anonymisation ou au blocage des données non nécessaires, le droit de retirer son consentement, le droit d’être informé des conséquences du refus de consentement, ou tout autre droit applicable dont dispose cette personne concernée en vertu des lois applicables en matière de protection des données.
10. « RGPD » désigne le RGPD de l’Union européenne ou le RGPD du Royaume-Uni (selon le cas).
11. « Clauses contractuelles types de l’UE » désigne (i) les clauses contractuelles types fondées sur la décision C(2010) 593 relative aux clauses contractuelles types, telles qu’énoncées à l’annexe de la décision (UE) 2021/914 de la Commission, relative aux clauses contractuelles types pour le transfert de renseignements personnels vers des pays tiers conformément au Règlement (UE) 2016/679 du Parlement européen et du Conseil, disponible à l’adresse http://data.europa.eu/ eli/dec_impl/2021/914/oj et remplies conformément aux dispositions des présentes, telles que modifiées et amendées, et (ii) toute clause contractuelle type qui leur succéderait et qui aurait la même intention générale et le même effet.
12. « Entente d’externalisation » désigne l’entente d’externalisation conclue entre les parties, aux termes de laquelle Nium bénéficie de certains services externalisés fournis par le client.
13. « Services Nium » désigne tous les services fournis par Nium au client conformément aux modalités du contrat de services applicable.
14. « Données personnelles » désigne toute information qui (a) identifie ou se rapporte à une personne physique pouvant être identifiée directement ou indirectement à partir de ces données seules ou en combinaison avec d’autres informations détenues ou contrôlées par une Partie, ou auxquelles cette Partie est susceptible d’avoir accès, ou (b) toute autre information définie comme « renseignements personnels » ou de « données personnelles » en vertu de toute loi applicable en matière de protection des données, qui est traitée par une partie dans le cadre du contrat de services ou du contrat d’externalisation (selon le cas) et du présent accord sur le traitement des données.
15. « Traitement » ou « Traitement en cours » désigne toute opération ou ensemble d’opérations effectuées sur des données personnelles, par des moyens automatisés ou non, y compris la collecte, l’enregistrement, l’organisation, la structuration, le stockage, l’adaptation ou la modification, la récupération, la consultation, l’utilisation, la communication par transmission, la diffusion, ou toute autre forme de mise à disposition, d’alignement ou de combinaison, de restriction, d’effacement ou de destruction, ou toute autre activité que les lois applicables en matière de protection des données pourraient inclure dans la définition du traitement.
16. « Sous-traitant » désigne l’entité qui traite des renseignements personnels pour le compte du responsable du traitement.
17. « Contrat de services » désigne un contrat de services conclu entre les parties, aux termes duquel le client bénéficie des services Nium fournis par Nium ou ses sociétés affiliées, y compris, sans s’y limiter, le contrat de services Nium Direct ou le contrat de services de la plateforme Nium.
18. « Fournisseur de services » désigne un sous-traitant traitant des renseignements personnels à des fins commerciales, ainsi que toute autre entité définie comme un « fournisseur de services » ou un « sous-traitant » en vertu des lois applicables en matière de protection des données.
19. « Clauses contractuelles types » désigne (i) les clauses contractuelles types de l’Union européenne (le cas échéant) et (ii) les clauses contractuelles types du Royaume-Uni (le cas échéant).
20. « Sous-traitant » désigne un tiers chargé du traitement des données par un sous-traitant.
21. « Clauses contractuelles types du Royaume-Uni » désigne (i) les Royaume-UniAddendum à l’Européen Union Clauses contractuelles types, fournies par le Bureau du commissaire à l’information du Royaume-Uni, telles que modifiées et modifiées, ainsi que (ii) toute clause contractuelle type qui leur succéderait et qui aurait la même intention générale et le même effet.

2. TRAITEMENT DES DONNÉES PERSONNELLES

a. Conditions relatives au contrôleur indépendant dans le cadre d’une entente de service. Lorsque les parties traitent des données à caractère personnel en vertu d’une entente de service ou dans le cadre de celle-ci, elles reconnaissent et conviennent qu’elles agissent, et qu’elles agiront, de manière indépendante l’une par rapport à l’autre dans le cadre de leur traitement respectif de ces données à caractère personnel, et que les conditions suivantes ainsi que les parties applicables de l’annexe A, telles que mentionnées, s’appliquent au traitement des données à caractère personnel dans le cadre de l’entente de service :

1. Rôles des parties en tant que responsables du traitement indépendants. Rôles des parties en tant que responsables du traitement indépendants. Les parties conviennent qu’en ce qui concerne le traitement des données personnelles en vertu des lois sur la protection des données qui définissent la relation entre les parties comme celle entre un responsable du traitement et un sous-traitant (comme le RGPD), Nium et le client seront tous deux considérés comme des responsables du traitement indépendants, détermineront individuellement les fins et les moyens de leur traitement de ces données personnelles, et ne seront pas des « responsables conjoints du traitement » de ces données personnelles au sens de l’article 26 (1) du RGPD. Les parties comprennent et conviennent que le module applicable des clauses contractuelles types a été déterminé conformément aux rôles des parties tels que définis dans la présente section 2(a) et aux rôles des parties en tant qu’importateur et exportateur. Les parties conviennent qu’en ce qui concerne le traitement des données personnelles en vertu des lois sur la protection des données qui définissent la relation entre les parties comme celle entre une entreprise et un fournisseur de services (telle que la CCPA des États-Unis), aucune des parties ne sera considérée comme un fournisseur de services, et chaque partie sera considérée comme l’entreprise. Les parties conviennent qu’en ce qui concerne le traitement des données personnelles en vertu des lois sur la protection des données qui définissent la relation entre les parties comme étant celle entre une « organisation » et un « intermédiaire de données » (telles que la PDPA de Singapour), Nium et le client seront tous deux considérés comme des organisations indépendantes. Aucune disposition du présent ATD, du Contrat de services ou du Contrat d’impartition (selon le cas) ne doit être interprétée comme indiquant ou sous-entendant que (A) Nium entretient une relation directe avec les clients ou utilisateurs individuels du Client, à moins qu’une telle relation directe ne soit expressément établie aux termes du Contrat de services ou du Contrat d’impartition (selon le cas), ou (B) que Nium agit à titre de sous-traitant en vertu des lois sur la protection des données. Les parties conviennent et reconnaissent en outre qu’aucune d’entre elles n’est responsable de déterminer les exigences des lois sur la protection des données applicables à l’autre partie.
2. Responsabilité des parties. Sans préjudice des rôles définis à la section 2(a)(i) ci-dessus, chaque partie s’engage à : (A) maintenir sur son site Web une politique de confidentialité accessible au public qui satisfait à toutes les exigences applicables en matière de transparence et d’avis, telles que prévues par les lois sur la protection des données en ce qui concerne le traitement des renseignements personnels; (B) effacer ou détruire les renseignements personnels, conformément aux exigences des lois sur la protection des données applicables, dès que la fin de la finalité du traitement de ces renseignements personnels est atteinte, à moins que la loi applicable n’exige une période de conservation plus longue; et (C) mettre en œuvre des mesures techniques et organisationnelles appropriées pour protéger les renseignements personnels; et (D) dans la mesure requise par la LGPD brésilienne, de nommer et de divulguer publiquement l’identité et les coordonnées d’un responsable de la protection des données (Encarregado pelo Tratamento de Dados Pessoais), conformément à l’article 41 de la LGPD, chargé de recevoir les plaintes et les communications des personnes concernées et de l’ANPD.
3. Traitement des données personnelles. Les parties conviennent de traiter les données personnelles comme des renseignements confidentiels, conformément aux modalités de chaque contrat de services ou contrat d’externalisation (selon le cas). Chaque partie reconnaît et confirme que, dans la mesure où les lois sur la protection des données l’exigent : (A) elle se conformera aux lois sur la protection des données applicables et au présent accord sur le traitement des données (DPA) dans le cadre de son traitement des données personnelles; (B) elle ne donnera que des instructions licites à tout sous-traitant et/ou fournisseur de services; (C) assumera la responsabilité de déterminer la base légale de ses propres activités de traitement; (D) ne tentera pas de réidentifier des données personnelles pseudonymisées, anonymisées, agrégées ou dépersonnalisées sans l’autorisation écrite expresse de l’autre partie; et (E) fournira à l’autre partie l’aide, les renseignements et la coopération raisonnables que cette dernière pourrait raisonnablement demander afin d’assurer le respect des obligations respectives des parties en vertu des lois sur la protection des données. Aucune disposition du présent accord sur le traitement des données ne doit être interprétée comme conférant un droit de propriété ou une licence sur les données personnelles qui serait contraire aux droits de propriété et aux licences énoncés dans le contrat de services ou le contrat d’externalisation.
4. Demandes des personnes concernées. Chaque partie s’engage, dans la mesure où la loi le permet, à aviser l’autre partie dans un délai raisonnable si la partie notifiante reçoit une demande d’une personne concernée. La partie notifiante déploiera des efforts commercialement raisonnables pour aider l’autre partie à répondre à cette demande de la personne concernée, dans la mesure où la partie notifiante est légalement autorisée à le faire et où la réponse à cette demande est requise en vertu des lois sur la protection des données. L’autre partie sera responsable de tous les coûts découlant de la prestation de cette assistance par la partie notifiante.
5. Incident lié aux données. Si l’une des parties est victime d’un incident lié aux données dans le cadre de l’un des services Nium, elle doit en aviser l’autre partie sans délai injustifié dès qu’elle en a connaissance. Lorsque l’incident de données concerne des renseignements personnels assujettis à la LGPD et est susceptible de créer un risque ou un préjudice pertinent pour les personnes concernées au sens de l’article 48 de la LGPD, la partie responsable du traitement doit en aviser l’ANPD et, le cas échéant, les personnes concernées touchées, au plus tard soixante-douze (72) heures après sa découverte. Lorsque l’incident de données concerne des données personnelles assujetties au RGPD, la partie responsable du traitement doit en aviser l’autorité de surveillance compétente sans délai injustifié et, dans la mesure du possible, au plus tard soixante-douze (72) heures après en avoir pris connaissance, conformément à l’article 33 du RGPD. Lorsque l’incident de données est susceptible d’entraîner un risque élevé pour les droits et libertés des personnes concernées, le responsable du traitement doit en aviser les personnes concernées sans délai injustifié, conformément à l’article 34 du RGPD. Lorsque l’incident de données concerne des renseignements personnels de résidents de la Californie, le responsable du traitement doit aviser les consommateurs concernés conformément à l’article 1798.82 du Code civil de la Californie, sans délai déraisonnable.

b. Conditions relatives au sous-traitant dans le cadre d’un contrat d’externalisation. Lorsque le client traite Nium des données personnelles dans le cadre d’un contrat d’externalisation ou en lien avec celui-ci, les parties applicables de l’annexe A telles que mentionnées, ainsi que l’intégralité de l’annexe B s’applique.

3. COOPÉRATION

Chaque partie doit fournir une assistance raisonnable à l’autre partie et coopérer dans le cadre de toute consultation ou demande émanant d’une autorité de réglementation ou de surveillance exerçant une autorité sur cette autre partie en ce qui concerne le traitement des renseignements personnels, dans la mesure où cela se rapporte aux services de Nium et est requis en vertu des lois sur la protection des renseignements personnels.

4. TRANSFERTS INTERNATIONAUX

Si les lois sur la protection des données restreignent les transferts transfrontaliers de données personnelles entre deux responsables du traitement indépendants, chaque partie ne transférera des données personnelles à l’autre partie que dans les conditions suivantes : (a) la partie qui effectue le transfert est légalement autorisée à recevoir ces données personnelles, soit en raison de son emplacement, soit par sa participation à un mécanisme de transfert transfrontalier valide en vertu des lois sur la protection des données, ou (b) le transfert est par ailleurs conforme aux lois sur la protection des données. Si un transfert de données personnelles entre les parties, en leur qualité de deux responsables du traitement indépendants, nécessite la conclusion de clauses contractuelles types afin de se conformer aux lois sur la protection des données, les parties conviennent que les clauses contractuelles types, dans leur intégralité et dans la mesure où elles s’appliquent, sont par les présentes intégrées au présent accord sur le traitement des données (DPA) et prévaudront. Conformément à tout transfert de données personnelles entre le Client et Nium nécessitant la signature de clauses contractuelles types, lorsque le présent ATD ne fournit pas toutes les informations nécessaires à la bonne exécution des clauses contractuelles types applicables, les Parties prendront toutes les mesures requises pour légitimer le transfert, y compris, si nécessaire : (x) coopérer pour enregistrer les clauses contractuelles types auprès de toute autorité de surveillance compétente; (y) d’obtenir l’approbation de toute autorité de surveillance de ce type; ou (z) de fournir des renseignements supplémentaires concernant le transfert à cette autorité de surveillance. Le cas échéant, en cas de conflit ou d’incohérence entre le présent ATD et les clauses contractuelles types, ces dernières prévaudront.

En ce qui concerne les transferts de données à caractère personnel régis par la LPD, les clauses contractuelles types de l’UE font partie intégrante du présent accord de traitement des données, tel qu’énoncé ci-dessus, sous réserve des différences suivantes dans la mesure où la LPD l’exige : (1) les références au RGPD de l’UE figurant dans les clauses contractuelles types de l’UE doivent être comprises comme des références à la LPD, dans la mesure où les transferts de données sont régis exclusivement par la LPD et non par le RGPD de l’UE; (2) le terme « État membre » figurant dans les clauses contractuelles types de l’UE ne doit pas être interprété de manière à exclure les personnes concernées en Suisse de la possibilité d’intenter une action en justice pour faire valoir leurs droits à leur lieu de résidence habituelle (la Suisse), conformément à la clause 18(c) des clauses contractuelles types de l’UE; et (3) l’autorité de surveillance compétente est le Commissaire fédéral à la protection des données et à l’information (pour les transferts soumis à la LPD et non au RGPD de l’UE), ou à la fois ce commissaire et l’autorité de surveillance désignée dans les clauses contractuelles types de l’UE (lorsque la LPD et le RGPD de l’UE s’appliquent, respectivement).

5. LGPD brésilienne

1. To the extent Personal Data is subject to the Brazilian LGPD, the Parties agree as follows:
   1. Chaque partie est un responsable du traitement indépendant au sens de l’article 5, paragraphe VI, de la LGPD. Chaque partie détermine sa propre base légale pour le traitement conformément à l’article 7 (données personnelles) et à l’article 11 (données sensibles) de la LGPD, et lorsqu’elle invoque un intérêt légitime (article 7, IX), elle doit procéder à une évaluation de l’intérêt légitime conformément à l’article 10.
   2. Chaque partie doit veiller à ce que les renseignements personnels soient recueillis et traités conformément aux principes énoncés à l’article 6 de la LGPD brésilienne, notamment la limitation de la finalité, l’adéquation, la nécessité, le libre accès, la qualité des données, la transparence, la sécurité, la prévention, la non-discrimination et la responsabilité.
   3. Aucune des parties ne traitera de données personnelles sensibles (telles que définies à l’article 5, II, de la LGPD brésilienne, y compris les données biométriques) dans le cadre des services, sauf si cela est strictement nécessaire et conformément à l’article 11 de la LGPD brésilienne.
   4. Chaque partie reconnaît que l’ANPD est l’autorité de surveillance compétente pour l’application de la LGPD brésilienne et s’engage à coopérer à toute enquête ou investigation menée par l’ANPD.
   5. Lorsque le consentement sert de fondement juridique, chaque partie doit s’assurer que ce consentement est donné librement, en connaissance de cause et sans ambiguïté, qu’il porte sur des fins précises et qu’il s’accompagne d’un mécanisme simple permettant de le retirer (art. 8 de la LGPD brésilienne).
   6. En cas d’incident lié aux données touchant des renseignements personnels assujettis à la LGPD brésilienne, la partie touchée par cet incident doit en aviser l’ANPD et les personnes concernées dans les délais fixés par la réglementation de l’ANPD, en fournissant les renseignements exigés par l’article 48 de la LGPD brésilienne.
2. For transfers of Personal Data that are subject to the Brazilian LGPD, such transfers shall only occur:
   1. vers des pays ou des organisations internationales qui assurent un niveau adéquat de protection des données personnelles, tel que déterminé par l’ANPD;
   2. lorsque le responsable du traitement assure et démontre la conformité au moyen de clauses contractuelles types émises ou approuvées par l’ANPD, de règles d’entreprise contraignantes approuvées par l’ANPD ou d’autres mécanismes expressément autorisés par l’ANPD;
   3. lorsque le transfert est nécessaire aux fins de la coopération juridique internationale;
   4. lorsque le transfert est nécessaire pour protéger la vie ou l'intégrité physique de la personne concernée;
   5. lorsque l’ANPD a autorisé le transfert;
   6. lorsque la personne concernée a donné son consentement explicite et clair au transfert, après avoir été informée au préalable du caractère international de l’opération; ou
   7. lorsque le transfert est nécessaire pour se conformer à une obligation légale ou réglementaire, pour l'exécution d'un contrat auquel la personne concernée est partie, ou pour l'exercice régulier de droits dans le cadre de procédures judiciaires, administratives ou d'arbitrage (art. 33 de la LGPD brésilienne).

6. CCPA des États-Unis

Si une partie communique des renseignements personnels (« Partie divulgatrice ») à l’autre partie (« Partie destinataire »), les parties conviennent que cette divulgation ne sera pas considérée comme une « vente » ou un « partage » aux fins de la « publicité comportementale inter-contextes » (tels que ces termes entre guillemets sont définis dans la CCPA des États-Unis), et que cette divulgation sera effectuée uniquement à des fins commerciales légitimes des parties, telles que détaillées dans la convention de services ou la convention d’externalisation (selon le cas), ainsi qu’à des fins autorisées par la CCPA des États-Unis, y compris ses modifications et règlements juridiquement contraignants. La partie destinataire déclare et garantit qu’elle ne conservera, n’utilisera, ne divulguera ni ne traitera les données personnelles obtenues en vertu du contrat à d’autres fins que celles spécifiquement énoncées aux présentes, à moins qu’elle n’ait obtenu, conformément à la loi sur la protection des données, le consentement approprié de la personne concernée par ces données personnelles. La partie destinataire déclare et garantit qu’elle se conformera à toutes les exigences de la loi sur la protection des données, notamment, mais sans s’y limiter, en :

• assurer aux renseignements personnels le même niveau de protection de la vie privée que celui exigé de la partie divulgatrice en vertu de la loi sur la protection des données, et en aucun cas un niveau inférieur à celui d’une diligence raisonnable;
• fournir toute information requise, telle que les politiques de confidentialité, les avis au moment de la collecte ou les avis de désinscription aux personnes dont elle traite les données personnelles; et respecter tout droit de désinscription requis; et
• mettre en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité des données personnelles adapté au risque.
• Ne pas « vendre » ni « partager » à des fins de publicité comportementale inter-contextuelle les données à caractère personnel (telles que ces termes sont définis dans la loi américaine CCPA).

La partie divulgatrice a le droit de prendre des mesures raisonnables et appropriées pour s’assurer que la partie destinataire utilise les renseignements personnels fournis par la partie divulgatrice en vertu de la présente entente conformément à la loi sur la protection des données et, moyennant un préavis raisonnable, de prendre des mesures raisonnables pour mettre fin à toute utilisation des renseignements personnels par la partie destinataire qui serait incompatible avec les lois applicables en matière de protection des données ou la présente disposition, et pour y remédier.

7. DISPOSITIONS GÉNÉRALES

1. Obligations de notification. Chaque partie s’engage à aviser l’autre partie si elle constate qu’elle ne peut pas ou ne peut plus respecter les obligations énoncées dans le présent accord sur le traitement des données (DPA) ou dans les lois applicables en matière de protection des données en ce qui concerne la fin d’affaires. Toutes ces notifications doivent être envoyées conformément aux dispositions relatives aux notifications prévues dans le contrat de services ou le contrat d’externalisation applicable (selon le cas).
2. Durée. Le présent accord sur la protection des données (APD) restera en vigueur pendant toute la durée (i) du contrat de services ou (ii) du contrat d’externalisation, sauf entente contraire écrite entre les parties.
3. Divisibilité. Si une ou plusieurs dispositions du présent ATD sont jugées inapplicables en vertu du droit applicable, les parties conviennent de renégocier ces dispositions de bonne foi. Dans l’éventualité où cette disposition ne serait pas exigée par les lois sur la protection des données et où les parties ne parviendraient pas à s’entendre sur une disposition de remplacement mutuellement acceptable et exécutoire, alors (a) cette disposition sera exclue du présent ATD, (b) le reste du présent ATD sera interprété comme si cette disposition en était exclue, et (c) le reste du présent ATD sera exécutoire conformément à ses modalités.
4. Limitation de responsabilité. La responsabilité de chaque partie découlant du présent accord sur le traitement des données (DPA) ou s’y rapportant, qu’elle soit contractuelle, délictuelle ou fondée sur tout autre principe de responsabilité, est soumise aux limitations de responsabilité énoncées dans le contrat de services ou le contrat d’externalisation applicable; toute référence dans le contrat de services ou le contrat d’externalisation limitant la responsabilité d’une partie désigne la responsabilité globale de cette partie en vertu dudit contrat et du présent DPA.
5. Droit applicable et juridiction compétente. Le présent accord sur le traitement des données (DPA) sera régi et interprété conformément aux lois de la juridiction compétente indiquée dans le contrat de services ou le contrat d’externalisation applicable (la « juridiction compétente »), et les parties se soumettront à la compétence exclusive des tribunaux de la juridiction applicable pour tout litige pouvant découler du présent ATD ou s’y rapportant; toutefois, (i) tout litige découlant des clauses contractuelles types de l’UE sera régi et interprété conformément aux lois de Malte ou de la Suisse (comme prévu à la section 4 ci-dessus conformément à la FADP) et sera soumis à la compétence des tribunaux de Malte et (ii) tout litige découlant des clauses contractuelles types du Royaume-Uni sera régi par les lois de l’Angleterre et du Pays de Galles et interprété conformément à celles-ci, et sera soumis à la compétence des tribunaux de l’Angleterre et du Pays de Galles. (iii) tout litige découlant du traitement des données personnelles assujetties à la LGPD brésilienne ou s’y rapportant sera régi et interprété conformément aux lois de la République fédérative du Brésil et relèvera de la compétence des tribunaux de la Comarca de São Paulo, dans l’État de São Paulo.
6. Recours. Nium et le client conviennent tous deux que les obligations énoncées dans le présent ATD sont nécessaires et raisonnables afin de garantir que les personnes concernées continuent de bénéficier des mesures de protection efficaces requises par les lois sur la protection des données. Nium et le client conviennent expressément que, compte tenu de la nature unique des données personnelles visées par les présentes, des dommages-intérêts pécuniaires seraient insuffisants pour indemniser l’une ou l’autre des parties en cas de manquement de la partie adverse aux engagements et ententes énoncés dans le présent accord sur le traitement des données. En conséquence, Nium et le client conviennent et reconnaissent chacun qu’une telle violation ou menace de violation causerait un préjudice irréparable à une partie et que, en plus de tout autre recours pouvant être disponible, en droit, en équité ou autrement, cette partie aura le droit d’obtenir une mesure injonctive contre la menace de violation du présent ATD ou la poursuite d’une telle violation par l’autre partie, sans qu’il soit nécessaire de prouver l’existence d’un préjudice réel. Sauf disposition expresse contraire dans le présent accord de traitement des données, les droits et recours de chaque partie en vertu du présent accord de traitement des données sont cumulatifs et n’excluent pas tout autre droit ou recours auquel la partie pourrait légalement avoir droit en vertu du présent accord de traitement des données ou en droit, et chaque partie peut faire valoir l’ensemble de ses droits et recours simultanément, consécutivement et à titre subsidiaire.
7. Titres. Les titres et sous-titres figurant dans le présent accord sur la protection des données (DPA) sont fournis à titre indicatif uniquement et ne définissent, ne limitent ni n'élargissent la portée ou la signification du présent DPA ou de l'une de ses dispositions.
8. Modification et renonciation. Nium peut modifier tout ou partie du présent ATD à tout moment en publiant une version modifiée de celui-ci (y compris toute disposition incorporée par renvoi dans le présent ATD) sur la page « Mentions légales » du site Web de Nium ou en en informant le client. L’ATD modifié entre en vigueur dès sa publication ou, si Nium en a informé le client, à la date indiquée dans l’avis. Si le Client s’oppose à l’une des conditions modifiées du présent ATD, il peut résilier le présent ATD ainsi que le Contrat de services. En continuant à utiliser les Services après la date d’entrée en vigueur de toute modification apportée au présent ATD, le Client accepte d’être lié par l’ATD modifié. Il incombe à la Société de consulter régulièrement la page juridique de Nium pour prendre connaissance des modifications apportées au présent ATD. Nium a modifié le présent ATD pour la dernière fois à la date indiquée en haut du présent ATD. Sauf disposition contraire du présent ATD (y compris la présente clause), le présent accord ne peut être modifié que par écrit par les parties. Sans préjudice de ce qui précède, les parties reconnaissent que les lois sur la protection des données et les clauses contractuelles types ont été intégrées au présent ATD tel que modifié et amendé, et qu’elles comprennent tous les règlements d’application adoptés en vertu de celles-ci, le cas échéant. Les parties reconnaissent et conviennent que les amendements et modifications apportés aux lois sur la protection des données et aux clauses contractuelles types seront automatiquement intégrés au présent ATD; ces amendements et modifications aux lois sur la protection des données et aux clauses contractuelles types peuvent modifier les obligations des parties en vertu du présent ATD, mais ne seront pas considérés comme un amendement ou une modification du présent ATD nécessitant un avis de la part de Nium. Les parties reconnaissent et conviennent que la simple publication d’amendements et de modifications apportés aux lois sur la protection des données et aux clauses contractuelles types ne confère à aucune des parties le droit unilatéral de résilier quelque partie que ce soit du présent accord de traitement des données.
9. Survie. Les dispositions du présent accord sur la protection des données (DPA) demeurent en vigueur après la résiliation ou l’expiration du contrat de services ou du contrat d’externalisation applicable, tant que les parties traitent des données personnelles.
10. Intégralité de l'entente. Le présent ATD est le fruit d'un accord entre les deux parties et constitue l'intégralité de l'entente entre celles-ci concernant l'objet des présentes; il remplace tous les autres accords et ententes antérieurs, tant écrits qu'oraux, conclus entre les parties concernant l'objet des présentes. En cas de conflit ou d’ambiguïté entre une disposition du présent ATD et le contrat de services ou le contrat d’externalisation, les dispositions du présent ATD prévaudront.

ANNEXE A

ANNEXES I ET II DES CLAUSES CONTRACTUELLES TYPES DE L’UNION EUROPÉENNE

ANNEXE I

A. LISTE DES PARTIES

Exportateurs et importateurs de données :

B. DESCRIPTION DU TRANSFERT

C. AUTORITÉ DE SURVEILLANCE COMPÉTENTE

ANNEXE II

MESURES TECHNIQUES ET ORGANISATIONNELLES, Y COMPRIS
LES MESURES TECHNIQUES ET ORGANISATIONNELLES VISANT À ASSURER LA SÉCURITÉ DES DONNÉES

Les mesures techniques et organisationnelles mises en place par Nium sont décrites ci-dessous :

Les mesures techniques et organisationnelles mises en place par Client sont décrites ci-dessous :

ANNEXE III

Dispositions particulières au Japon en matière de protection des données

LES PRÉSENTES CONDITIONS (« Conditions ») telles qu’énoncées ci-dessous s’appliquent en complément des conditions du DPA conclu entre Nium et le client au Japon qui est partie à cet accord. En cas de conflit entre les dispositions du DPA et celles des Conditions, ces dernières prévaudront.

1. DÉFINITION

Sauf indication contraire du contexte, les termes définis dans l’entente sur la protection des données ont la même signification lorsqu’ils sont utilisés dans les présentes conditions.

1. « Lois sur la protection des données » désigne l’ensemble des lois, règlements et autres exigences juridiquement contraignantes applicables dans toute juridiction en matière de vie privée, de protection des données, de sécurité des données, de notification des violations ou de traitement des données personnelles en vertu du présent accord sur le traitement des données (DPA), y compris, sans s’y limiter et uniquement dans la mesure où elles sont applicables, la Loi japonaise sur la protection des renseignements personnels (loi n° 57 de 2003) et la Loi japonaise sur l’utilisation de numéros permettant d’identifier une personne en particulier dans les procédures administratives (loi n° 27 de 2013), ainsi que toute loi ou tout règlement qui leur succéderait ou qui les mettrait en œuvre et qui aurait la même intention générale et le même effet.
2. « Numéro individuel » désigne le numéro obtenu à partir de la conversion du code du certificat de résidence (c’est-à-dire le code du certificat de résidence tel que défini à l’article 7, alinéa (xiii) de la Loi sur le registre de base des résidents (Loi n° 81 de 1967)), et qui est attribué afin d’identifier la personne visée par le certificat de résidence sur lequel ledit code est inscrit.
3. « Données personnelles spécifiques » désigne les renseignements personnels qui comportent le numéro d’identification personnel (y compris les numéros, les marques et les codes d’information autres que le code du certificat de résidence, qui correspondent au numéro d’identification personnel et qui sont utilisés en remplacement dudit numéro d’identification personnel).

2. FINALITÉ DU TRAITEMENT DE CERTAINES DONNÉES À CARACTÈRE PERSONNEL

1. Le client peut utiliser les données personnelles spécifiques des clients de Nium uniquement aux fins commerciales de Nium, conformément à la Loi japonaise sur l’utilisation des numéros d’identification d’une personne physique dans les procédures administratives (loi n° 27 de 2013).
2. Sauf autorisation expresse prévue au paragraphe (a), le client ne doit en aucun cas traiter, modifier, copier, entreposer, utiliser, divulguer ou manipuler de quelque manière que ce soit les données personnelles spécifiques des clients de Nium.
3. Le client doit offrir à ses dirigeants, cadres, employés et membres du personnel (y compris les travailleurs à temps partiel; il en va de même ci-après dans les présentes conditions) une formation sur la gestion de l’information au moins une fois par année.
4. Le client doit fournir à Nium les noms de ses dirigeants, cadres, employés ou membres du personnel qui traitent les données personnelles spécifiques des clients de Nium.

3. RESTITUTION OU SUPPRESSION DES RENSEIGNEMENTS À L'EXPIRATION DE LA CONVENTION D'EXTERNALISATION

1. En cas de résiliation des présentes Conditions ou du contrat de services et/ou du contrat d’externalisation, auxquels il est fait référence dans l’annexe relative à la protection des données (DPA), ou sur demande de Nium, le client doit retourner sans délai à Nium toutes les informations fournies par cette dernière dans le cadre des services au client — y compris les documents, les dessins et toute autre forme d’information — ainsi que toutes les copies, reproductions et autres éléments similaires.
2. Le client ne doit supprimer les renseignements stockés sur des ordinateurs ou d’autres réseaux qu’avec l’accord écrit préalable de Nium.

4. VÉRIFICATIONS PÉRIODIQUES

1. Nium est en droit de procéder à des vérifications périodiques chez le client concernant les méthodes et les systèmes de gestion de l’information. Le client ne doit pas refuser ces vérifications.
2. Dans le cadre de la vérification visée au paragraphe précédent, Nium peut demander au client de mettre en œuvre des mesures visant à prévenir les fuites d’information. Le client doit donner suite sans délai à ces demandes d’amélioration.
3. Outre ce qui précède, Nium peut demander au client de lui remettre un rapport sur les questions liées aux présentes conditions environ une fois par année.

5. SOUS-TRAITANCE

Le client ne peut sous-traiter une partie des services qu’avec l’accord écrit préalable de Nium.

6. INTERDICTION DE RETRAIT

Le client ne doit pas sortir de ses locaux des données personnelles spécifiques des clients de Nium à des fins autres que celles liées à l’activité.

7. INTERDICTION DE TRAITEMENT ET DE MODIFICATION

Le client ne doit en aucun cas traiter ou modifier les données personnelles spécifiques des clients de Nium à des fins autres que les fins commerciales prévues au paragraphe 2.a.

8. FORMATION DU PERSONNEL

Le client doit dispenser à ses dirigeants, cadres, employés et membres du personnel une formation sur le traitement des données personnelles spécifiques des clients de Nium au moins une fois par année. Conformément au paragraphe précédent, Nium peut demander au client de lui fournir des documents attestant que cette formation a bien été dispensée.

9. OBLIGATIONS DE CONFIDENTIALITÉ

Le client s’engage à ne pas divulguer, sans autorisation, des renseignements personnels précis concernant les clients de Nium à un tiers.

10. INTERVENTION EN CAS D’INCIDENT

1. Si, dans le cadre des Services, le client constate ou détermine qu’un incident tel qu’une fuite, un détournement ou une perte des renseignements personnels divulgués s’est produit ou est susceptible de se produire, il doit en informer Nium sans délai et prendre immédiatement les mesures nécessaires pour prévenir tout préjudice supplémentaire.
2. Si l’incident décrit au paragraphe précédent n’est pas imputable au client, les frais raisonnables nécessaires à l’enquête sur cet incident et à la mise en œuvre de mesures visant à prévenir d’autres dommages seront à la charge de Nium.
3. Si le client reçoit une plainte ou une demande de renseignements de la part de la personne concernée ou de tout autre tiers au sujet des renseignements personnels divulgués, Nium et le client se concerteront séparément et y répondront.
4. Si, dès qu’il constate la survenue ou la survenue potentielle d’un incident visé au paragraphe 10.a. des présentes Conditions, le client communique à Nium, conformément à la Loi sur la protection des renseignements personnels, un résumé de l’incident, sa cause et les mesures prises pour éviter qu’il ne se reproduise, il n’est pas tenu de signaler l’incident à la Commission de la protection des renseignements personnels ni à aucune autre autorité.

11. DOMMAGES-INTÉRÊTS

Si le client enfreint les présentes conditions pour des motifs qui lui sont imputables, il est tenu d'indemniser Nium pour les dommages découlant de cette infraction.

ANNEXE B

Lorsque le client traite des données personnelles de Nium dans le cadre d’un contrat d’externalisation ou en lien avec celui-ci, les parties reconnaissent et conviennent que Nium est le responsable du traitement et que le client est le sous-traitant, et que le traitement des données personnelles en vertu du contrat d’externalisation est assujetti à la présente annexe B.

1. Rôle du client en tant que sous-traitant. Nium est le responsable du traitement et le client est le sous-traitant.

2. Instructions et détails relatifs au traitement. Lorsque le client traite des renseignements personnels pour le compte de Nium, il doit :

1. à moins que la législation applicable n’en dispose autrement, (et prendra les mesures nécessaires pour s’assurer que toute personne agissant sous son autorité) traitera les données personnelles uniquement conformément au présent contrat et à l’annexe D du contrat d’externalisation, ainsi qu’à toute autre instruction documentée de Nium (y compris en ce qui concerne tout transfert vers un pays tiers ou une organisation internationale), le tout tel que mis à jour de temps à autre par accord écrit entre les parties (« Instructions de traitement »);
2. si la législation applicable l’oblige à traiter des données personnelles d’une manière qui ne respecte pas les instructions de traitement, aviser Nium de cette obligation avant de procéder au traitement des données personnelles (à moins que la législation applicable n’interdise la divulgation de cette information pour des motifs importants d’intérêt public).
3. aviser Nium s’il constate que certaines données personnelles sont inexactes ou ne sont plus à jour.
4. ne pas communiquer les données personnelles à des tiers, sauf autorisation expresse de Nium et conformément à la section 3 ci-dessous.
5. ne pas transférer, consulter ou traiter les données personnelles de Nium à l’extérieur du Royaume-Uni et de l’EEE sans avoir obtenu le consentement écrit explicite de Nium et sans avoir mis en place le ou les mécanismes juridiquement contraignants pour les transferts de données personnelles autorisés par le RGPD à tout moment, y compris ceux prévus à l’article 46 du RGPD et la mise en œuvre de règles d’entreprise contraignantes conformément à l’article 47 du RGPD.

3. Personnel et autres sous-traitants.

Le client ne doit pas faire appel à un sous-traitant pour effectuer des activités de traitement relatives aux renseignements personnels sans en aviser Nium, sans avoir obtenu au préalable le consentement écrit de Nium et sous réserve du respect par le client des dispositions de l’article 3. Nium est réputé avoir donné son accord s’il ne s’est pas opposé au nouveau sous-traitant proposé dans les trente (30) jours civils suivant la date de réception de l’avis du client.

a. Le client doit :

1. fournir à Nium des renseignements détaillés sur tout sous-traitant. Tout sous-traitant approuvé par Nium à la date du présent contrat est énuméré à l’annexe D du contrat d’externalisation;
2. aviser Nium 30 jours à l’avance de tout changement concernant un sous-traitant (qu’il s’agisse de l’ajout ou du remplacement d’un sous-traitant) et lui fournir les renseignements nécessaires pour lui permettre de décider s’il y a lieu de consentir à ce changement. Nium a le droit de s’opposer à tout changement concernant le sous-traitant et peut, à sa discrétion (qui ne doit pas être exercée de manière déraisonnable), choisir de résilier le contrat ou la partie de celui-ci qui concerne le traitement des renseignements personnels par le sous-traitant, dans le cas où le client ne prendrait pas les mesures suggérées par Nium pour répondre à l’objection et ne cesserait pas d’utiliser le sous-traitant en question;
3. avant que le sous-traitant concerné n’effectue toute activité de traitement relative aux données personnelles, désigner chaque sous-traitant en vertu d’un contrat écrit contenant des obligations qui offrent, en substance, le même niveau de protection des données personnelles que celles énoncées dans la présente entente, y compris l’obligation pour le sous-traitant de fournir des garanties suffisantes pour mettre en œuvre des mesures techniques et organisationnelles équivalentes conformément à l’article 4 et de supprimer ou de restituer les données personnelles conformément à l’article 8. Le contrat conclu avec le sous-traitant doit préciser que le respect des obligations peut être exigé par Nium, y compris si le client cesse d’exister ou devient insolvable. À la demande de Nium, le client doit fournir une copie du contrat conclu avec le sous-traitant. Le client peut expurger le texte du contrat dans la mesure nécessaire pour protéger les renseignements confidentiels, y compris toute donnée personnelle; et
4. aviser Nium de tout manquement de la part d’un sous-traitant à ses obligations contractuelles.

b. Le client doit s’assurer que toutes les personnes qu’il autorise (ou qu’un sous-traitant autorise) à traiter des données personnelles sont soumises à une obligation de confidentialité concernant ces données. Le client n’accordera l’accès aux données personnelles aux membres de son personnel qu’« au besoin » et uniquement aux fins énoncées à l’annexe D de la convention d’externalisation.

c. Le client demeure entièrement responsable envers Nium de tous les actes et omissions de tout sous-traitant, ainsi que de toute personne autorisée par lui (ou par tout sous-traitant) à traiter des données à caractère personnel, comme s’il s’agissait de ses propres actes et omissions.

4. Mesures techniques et organisationnelles. Le client doit mettre en œuvre et maintenir des mesures techniques et organisationnelles appropriées, conformément à l’annexe B, afin de :

a. s’assurer que le traitement des renseignements personnels respecte les exigences minimales des lois sur la protection des données (y compris celles énoncées à l’article 32 du RGPD) et garantir la protection des droits des personnes concernées; et

b. fournir une aide raisonnable à Nium pour répondre aux demandes des personnes concernées relatives aux renseignements personnels.

5. Information et vérification.

a. Le client doit tenir des registres écrits complets, exacts et à jour de toutes les catégories d’activités de traitement effectuées conformément aux lois sur la protection des données (les « registres »). 

b. Le client doit, conformément aux lois sur la protection des données :

1. dès que raisonnablement possible, fournir à Nium les renseignements qu’elle peut demander de temps à autre, y compris toute documentation, qui sont nécessaires pour démontrer que le client respecte ses obligations en vertu de la présente entente et des lois sur la protection des données, et il doit immédiatement informer Nium si, selon son opinion raisonnable, une instruction contrevient aux lois sur la protection des données ou à toute loi applicable; et
2. permettre à Nium (soit directement, soit en mandatant un vérificateur indépendant) d’inspecter, de tester et de vérifier l’ensemble des installations, locaux, équipements, systèmes, documents et données électroniques liés au traitement des données personnelles de Nium par le client, y compris lorsque cela est exigé par une autorité de surveillance. Ces inspections et vérifications doivent avoir lieu à des moments raisonnables et être précédées d’un préavis écrit, sous réserve de toute inspection ou vérification exigée par une autorité de surveillance lorsque cela n’est pas possible.

c. Le client doit :

1. fournir une coopération et une assistance complètes dans le cadre de ces inspections, tests et vérifications (sous réserve de toute obligation de confidentialité) et, sur demande, fournir des copies des résultats de toute procédure de test de pénétration et de sécurité ainsi que des rapports de vérification par des tiers, tels que les rapports de vérification de type SOC II (si de tels rapports sont disponibles); et
2. si Nium constate, à la suite d’une inspection, d’un essai ou d’un audit, un manquement au présent contrat, le client doit prendre les mesures que Nium peut raisonnablement exiger afin de remédier rapidement à ce manquement, sans frais supplémentaires pour Nium.

d. Toutes les parties ont le droit de communiquer toute information visée à la présente section D, y compris les résultats de tout audit, à une autorité de surveillance compétente, si nécessaire de temps à autre.

6. Aide et droits des personnes concernées

a. Le client doit tenir un registre complet et exact des demandes des personnes concernées. Dès réception de toute demande d’une personne concernée, le client doit immédiatement (et au plus tard dans les 48 (quarante-huit) heures suivant la réception) transmettre cette demande à Nium et doit, à ses propres frais, aider sans délai Nium à y donner suite afin de s’assurer que Nium respecte les délais de réponse prévus par les lois sur la protection des données. Le client ne doit pas répondre à une demande de personne concernée sans en avoir préalablement avisé Nium par écrit ou sauf si les lois applicables l’exigent, auquel cas le client doit, dans la mesure permise par les lois applicables, informer Nium de cette exigence légale avant de répondre à ladite demande de personne concernée.

b. Le client doit fournir toute l’aide raisonnablement requise par Nium pour assurer le respect des obligations de Nium en vertu des lois sur la protection des données en ce qui concerne :

1. sécurité du traitement;
2. les évaluations des incidences sur la protection des données (au sens où ce terme est défini dans les lois sur la protection des données);
3. consultation préalable d’une autorité de surveillance concernant un traitement à haut risque;
4. les avis à l’autorité de surveillance et/ou les communications aux personnes concernées par Nium en réponse à tout incident lié aux données; et
5. toute mesure corrective devant être prise en réponse à un incident lié aux données et/ou à une plainte ou à une demande relative aux obligations de l’une ou l’autre des parties en vertu des lois sur la protection des données applicables au présent contrat.

7. Avis de violation

a. En cas d’incident lié aux données, le client doit, sans délai injustifié et en tout état de cause au plus tard dans les 48 (quarante-huit) heures (ou plus tôt si possible) après en avoir pris connaissance, aviser Nium de l’incident et lui fournir des détails à ce sujet, y compris la nature de l’incident, les catégories et le nombre approximatif de personnes concernées, les dossiers de données personnelles en cause, les conséquences probables de l’incident de données et toute mesure prise ou à prendre par le client pour atténuer les effets de l’incident de données. Lorsque, et dans la mesure où, il n’est pas possible pour le client de fournir toutes ces informations en même temps, la notification initiale comprendra les renseignements dont dispose le client, et ce dernier devra fournir les informations supplémentaires dès qu’elles seront disponibles, sans délai injustifié (mais en aucun cas plus tard que 24 (vingt-quatre) heures après leur disponibilité).

b. Le client doit immédiatement, à ses frais, enquêter sur l’incident lié aux données et prendre des mesures pour identifier, prévenir et atténuer les effets de tout incident lié aux données, ainsi que pour y remédier. Le client ne doit pas diffuser ni publier de document, de communication, d’avis, de communiqué de presse ou de rapport concernant un incident lié aux données sans l’autorisation écrite préalable de Nium.

c. Le client doit informer Nium sans délai (et en tout état de cause au plus tard 48 (quarante-huit) heures après en avoir pris connaissance) s’il reçoit ou prend connaissance d’une plainte relative aux données et ne doit pas y répondre sans l’autorisation écrite préalable de Nium.

8. Suppression ou restitution des données personnelles et des copies

a. Le client est le seul à pouvoir traiter les données personnelles pendant la durée du contrat d’externalisation.

b. Le client doit s’assurer que toutes les données personnelles (ainsi que toutes leurs copies) soient retournées à Nium en toute sécurité ou détruites (à la discrétion et selon les directives de Nium) conformément aux instructions fournies par Nium (à moins que leur conservation ne soit exigée par les lois applicables, auquel cas le client doit informer Nium de cette exigence) dans les circonstances suivantes :

1. en cas de résiliation du contrat d’externalisation ou de la présente entente sur le traitement des données
2. dès que le traitement des données personnelles n’est plus nécessaire aux fins énoncées à l’annexe D de l’entente d’externalisation;

c. À la suite de la destruction des données personnelles conformément à la présente section 8, le client doit attester à Nium que les données personnelles en question ont été détruites conformément aux instructions de Nium.