Addenda sur le traitement de données

Version 1.4 / Effective October 7th 2025

ADDENDA SUR LE TRAITEMENT DES DONNÉES
Le présent Addenda relatif au traitement des données (« ATD») fait partie intégrante du Contrat conclu entre la Société et vous (le « Client») (collectivement les « Parties » et individuellement la « Partie») lors de la création de votre compte. En cas de conflit entre le présent ATD et le Contrat, le présent ATD prévaudra exclusivement en ce qui concerne le traitement des Données Personnelles. Le présent ATD entrera en vigueur à la date d’entrée en vigueur du Contrat et restera en vigueur jusqu’à la résiliation du Contrat ou jusqu’à la suppression ou la restitution de toutes les Données Personnelles, selon les instructions de l’une ou l’autre des Parties en vertu du présent ATD, selon la dernière éventualité.

1. DÉFINITIONS.
Les termes commençant par une majuscule et non définis dans les présentes auront le sens qui leur est attribué dans le Contrat. Si une loi sur la protection des données existe dans une juridiction, les définitions qui y sont énoncées prévaudront sur celles des présentes lorsque cette loi prévoit cette terminologie.

1.1 « Contrat» désigne tout accord entre la Société et le Client relatif aux Services. Un tel contrat peut porter différents intitulés, tels que « Bon de commande », « Conditions de service », « Contrat de service » ou des intitulés similaires.

1.2 « Coordonnées d’affaires» désigne les coordonnées liées à l’activité professionnelle (adresse e-mail, numéro de téléphone, nom, fonction, adresse professionnelle).

1.3 « Client» désigne le client de la Société, soit par le biais d’un Contrat avec un client de la Société, soit par le biais d’un Contrat avec une personne physique.

1.4 « Compte Client et Données d’Utilisation » désigne les informations concernant le Client que celui-ci fournit à la Société dans le cadre de la création et de la gestion d’un compte, telles que le prénom et le nom, le nom d’utilisateur, l’adresse e-mail et les informations de facturation et de paiement des personnes associées à un compte. Afin d’éviter toute ambiguïté, les données statistiques, les données analytiques, les données de session individuelles et les données anonymisées ne sont pas incluses dans cette définition.

1.5 « Société» désigne Certn Holdings Inc. et ses filiales et sociétés affiliées en propriété exclusive, notamment Certn (Canada) Inc., Certn (USA) Inc., Certn (UK) Ltd., InterCheck Global Pty. Ltd. et Trustmatic. sro , et toutes les sociétés affiliées identifiées dans la liste des Sous-traitants disponible dans le centre de confiance de la société, ( https://trust.certn.co/).

1.6 « Responsable du traitement» désigne une personne morale, une autorité publique, une agence ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement des Données personnelles et donne des instructions concernant les activités de traitement.

1.7 « Clients Corporatifs» désigne les Clients de la Société qui sont une entité commerciale enregistrée.

1.8 « Demande de la personne concernée» désigne toute demande d’une personne physique (la « personne concernée ») visant à accéder, mettre à jour, réviser, corriger, supprimer, s’opposer au traitement de ses Données Personnelles, ou toute demande similaire, formulée conformément à la législation applicable en matière de protection des données.

1.9 « Législation sur la protection des données» désigne toutes les lois, règles ou réglementations applicables au Contrat, aux Services, à la Société ou au Client, ainsi que les normes industrielles applicables concernant la confidentialité, la protection des données, la sécurité des informations, la disponibilité et l’intégrité, ou la gestion ou le Traitement (y compris la conservation et la divulgation) des Données personnelles.

1.10 « Données Personnelles» ou « Informations Personnelles» désigne toutes les informations obtenues par la Société auprès ou au nom du Client ou des Sous-traitants de la Société, sous quelque forme ou format que ce soit, qui identifient, concernent, décrivent, sont raisonnablement susceptibles d’être associées ou pourraient raisonnablement être liées, directement ou indirectement, à une personne physique identifiée ou identifiable.

1.11 « Traitement(s)» désigne toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés sur des Données Personnelles, y compris, mais sans s’y limiter, la collecte, l’enregistrement, l’organisation, le stockage, l’accès, l’adaptation, la modification, la récupération, la consultation, l’utilisation, la divulgation, la diffusion, la mise à disposition, l’alignement, la combinaison, le blocage, la suppression, l’effacement ou la destruction.

1.12 « Sous-traitant» désigne la Partie au présent Contrat, ou en vertu d’un contrat comportant sensiblement les mêmes exigences que le présent ATD, qui traite les Données Personnelles sous réserve des directives du Responsable du traitement et de la législation applicable en matière de protection des données.

1.13 « Vendre» signifie vendre, louer, libérer, divulguer, diffuser, mettre à disposition, transférer ou communiquer de toute autre manière, oralement, par écrit ou par des moyens électroniques ou autres, des Données personnelles à un tiers pour une contrepartie monétaire ou autre.

1.14 « Services» désigne les services que la Société exécute conformément au Contrat.

2. RÔLES DES PARTIES
2.1 Dans la mesure où les Données Personnelles du Client sont traitées par la Société, le Client est le Responsable du traitement et la Société est le Sous-traitant.
2.2 Dans la mesure où les Données Personnelles de la Société sont traitées par le Client, la Société est le Responsable du traitement et le Client est le Sous-traitant.
2.3 Nonobstant ce qui précède, chaque Partie convient qu’elle est le Responsable du traitement des Coordonnées d’affaires de l’autre Partie qu’elle traite dans le cadre du contrat.

3. TRAITEMENT DES DONNÉES PERSONNELLES
La Société s’engage à :
3.1. Traiter les Données Personnelles uniquement dans la mesure nécessaire pour fournir les Services au Client, et conformément à la Législation sur la protection des données, au Contrat, au présent ATD, y compris les annexes I et II, et à toute instruction écrite supplémentaire fournie par le Client ;
3.2. S’abstenir de (i) vendre ou partager des Données Personnelles (ii) conserver, utiliser ou divulguer les Données Personnelles à des fins autres que celles spécifiées dans le Contrat, (iii) conserver, utiliser ou divulguer les Données Personnelles en dehors de la relation directe entre la Société et le Client, et (iv) combiner des Données Personnelles provenant de différentes sources, sauf si cela est nécessaire à la fourniture de Services en vertu du présent Contrat.
3.3. Maintenir la confidentialité de toutes les Données Personnelles et s’assurer que son personnel, y compris les employés, les stagiaires, les travailleurs temporaires et les travailleurs intérimaires, ont signé des accords de confidentialité qui les empêchent de traiter sans autorisation les Données Personnelles pendant la durée de leur engagement avec le Client. 3.4. Ne pas divulguer de Données Personnelles à des tiers, y compris des agences gouvernementales, sauf si la loi l’exige, et à des Sous-traitants, sauf pour la fourniture de Services en vertu du présent accord.
3.5. Informer rapidement le Client de :
3.5.1 Toute demande, requête, plainte, avis ou communication reçue d’un tiers, y compris une personne concernée ou une autorité de contrôle, concernant des Données Personnelles.
3.5.2 Toute demande de communication de Données Personnelles à un organisme, une autorité ou un tribunal gouvernemental.
3.5.3 Toute instruction du Client que la Société estime être en violation de la Législation sur la protection des données avant de procéder au traitement concerné ; et
3.5.4 Tout changement substantiel apporté aux avis, politiques ou procédures de la Société qui entraverait la capacité de la Société à respecter les termes du présent ATD concernant la protection des Données Personnelles.
3.6. Soumettre, sur demande écrite, les bases de données, outils, bureaux utilisés par la Société pour traiter les Données Personnelles à un audit, conformément aux dispositions d’audit prévues par le Contrat.
3.7. Conserver des registres qui démontrent sa conformité à ses obligations en vertu du présent ATD et les mettre raisonnablement à la disposition du Client sur demande.
3.8. Aider et coopérer raisonnablement avec le Client.
3.9. Conserver les Données Personnelles conformément à la section 6. Conservation des données de l’accord.

4. MESURES DE SÉCURITÉ DE L’INFORMATION
La Société a établi, maintient et respecte :
4.1. Des mesures de protection administratives, techniques et physiques visant à garantir la sécurité, la confidentialité, la fiabilité et l’intégrité des Données Personnelles.
4.2. Un programme et des politiques de sécurité qui respectent ou dépassent les exigences imposées par la Législation sur la protection des données.
4.3. Si les Données Personnelles traitées comprennent des données sensibles, la Société appliquera des restrictions spécifiques et/ou des garanties supplémentaires.

5. INCIDENT DE SÉCURITÉ DES DONNÉES
5.1. Incident de sécurité des données signifie la perte ou l’utilisation non autorisée de Données Personnelles.
5.2. Si la Société soupçonne ou prend connaissance d’un Incident de sécurité, elle devra :
5.2.1. Notifier le Client sans retard injustifié.
5.2.2. Entreprendre une enquête sur un tel Incident de sécurité.
5.2.3. Assister raisonnablement le Client.
5.2.4. Prendre toutes les mesures correctives raisonnables dans les meilleurs délais.

6. SOUS-TRAITANTS
6.1. Le Client accorde par la présente à la Société une autorisation écrite générale pour désigner des Sous-traitants.
6.2. La Société informera de la nomination d’un nouveau Sous-traitant sur son site web.
6.3. La Société garantit que tout Sous-traitant engagé a :
6.4.1. Fournit des garanties appropriées et maintient un niveau de protection adéquat.
6.4.2. A conclu un accord écrit avec la Société contenant les mêmes obligations de protection des données.

7. TRANSFERTS INTERNATIONAUX DE DONNÉES
7.1. Généralités. Les transferts seront soumis aux normes et attentes imposées par le Règlement général sur la protection des données (RGPD).
7.2. Traitement et transferts de données vers des juridictions sanctionnées.
7.3. Les Parties choisissent l’Option 2 de la Clause 9.

8. SUPPRESSION OU RESTITUTION DES DONNÉES PERSONNELLES
8.1. À l’expiration ou à la résiliation anticipée du Contrat, et à la demande du Client, la Société supprimera ou restituera toutes les Données personnelles.
8.2. Sur demande écrite, la Société et ses Sous-traitants fourniront une copie des Données Personnelles dans un format portable.

9. DEMANDES D’INFORMATIONS
9.1. Conformément au Contrat, la Société s’engage à coopérer raisonnablement avec les Clients Corporatifs.
9.2. La Société aidera raisonnablement les Clients Corporatifs à notifier l’autorité de régulation ou de surveillance compétente.

10. CESSION ET SUCCESSEURS
Le Client ne peut céder aucun de ses droits ou obligations au titre du présent ATD sans le consentement écrit préalable de la Société.

11. AVIS DE L’ENTREPRISE COORDONNÉES
11.1. Les notifications relatives aux Incidents de sécurité des données doivent être envoyées à :
À : Security@certn.co
CC : Privacy@certn.co et Legal@certn.co
11.2. Les autres notifications doivent être adressées à l’adresse suivante :
À: Privacy@certn.co

ANNEXE I

Section A : Liste des Parties

Section B : Description du traitement et du transfert
1. Catégories de personnes concernées dont les Données Personnelles sont transférées
Les personnes et les candidats soumis aux Services de vérification des antécédents.
2. Catégories de Données Personnelles transférées
Coordonnées d’affaires et Données personnelles variées.
3. Données sensibles transférées
Les Données Personnelles Sensibles seront protégées conformément aux mesures énoncées dans l’ATD. 4. Fréquence des Transferts
Les Transferts seront traités de manière ponctuelle. 5. Nature du Traitement
La nature et la finalité du traitement désignent toute opération tel que la collecte, l’utilisation des données.
6. Finalité(s) du Transfert
Fournir les Services au Client tel qu’indiqué dans le Contrat. 7. La durée de conservation des Données Personnelles
Les Parties conviennent d’effacer les Données Personnelles dès que possible après leur nécessité.

Section C : Autorité de contrôle compétente

1. Lorsque l’exportateur de données est établi dans un État membre de l’UE : L’autorité de contrôle chargée se conforme à la réglementation.
2. Lorsque l’exportateur de données n’est pas établi dans un État membre de l’UE : L’autorité de contrôle de l’État membre où le représentant est établi.

ANNEXE II

1. Programme. La Société maintient un programme écrit de sécurité de l’information.
2. Certifications de sécurité. La Société maintient les certifications ISO 27001, SOC2 et SOC3.
3. Contrôles d’accès. Un système de contrôle d’accès a été mis en œuvre.
4. Gestion des comptes. La Société gère la création, l’utilisation et la suppression de tous les identifiants de compte.
5. Gestion des vulnérabilités. La Société assure la gestion des vulnérabilités et la surveillance.
6. Segmentation de la sécurité. La Société surveillera, détectera le flux d’informations.
7. Prévention des pertes de données.
8. Chiffrement. La Société chiffrera toutes les Données personnelles.
9. Pseudonymisation. La Société utilise des techniques de pseudonymisation.
10. Garanties de développement de produits. La Société applique une approche de sécurité.
11. Garanties physiques. La Société maintient des contrôles d’accès physiques.
12. Garanties administratives. La Société prendra des mesures pour vérifier la fiabilité de son personnel.