ANNEXE I : Accord sur le traitement des données

Le présent accord de traitement des données (l’« Accord de traitement des données ») constitue l’accord de traitement applicable au traitement des données à caractère personnel que ILOVEPDF (« ILOVEPDF »), dont le numéro CIF est le B66921552 et dont le siège social se trouve à Calle Sabino de Arana, 60, 08028 Barcelone, effectue pour votre compte concernant les données à caractère personnel qu’il traite selon les dispositions ci-dessous.

À cet égard, ILOVEPDF vous fournit certains services grâce aux logiciels ou programmes informatiques appartenant à ILOVEPDF. Dans le cadre de l’utilisation de ces services, ILOVEPDF, en tant que sous-traitant (ci-après désigné par « Sous-traitant »), traite et consulte certaines données à caractère personnel. Vous agissez alors en qualité de Responsable du traitement (ci-après désigné par « Responsable du traitement ») à l’égard de ces données.

Le présent Accord de traitement fait partie intégrante des Conditions générales de ILOVEPDF et s’applique lors de leur acceptation. En cas de conflit, d’opposition ou de contradiction entre les Conditions générales et l’Accord de traitement, l’Accord de traitement prévaut sur les Conditions générales.

La disposition précédente a pour objectif le respect des dispositions du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (le « RGPD »). Le Responsable du traitement et le Sous-traitant signent le présent Accord de traitement conformément aux dispositions suivantes.

CLAUSES

Clause 1

Objet et portée

1. L’Accord de traitement a pour but d’assurer la conformité avec l’article 28, paragraphe 3 et 4 du RGPD.
2. Le Responsable du traitement et le Sous-traitant ont consenti à être liés par le présent Accord afin d’assurer la conformité avec l’article 28, paragraphe 3 et 4 du RGPD.
3. Le présent Accord de traitement s’applique au traitement des données à caractère personnel indiquées à l’annexe I.
4. Les annexes I et II font partie intégrante de l’Accord de traitement.
5. Les Conditions générales sont sans préjudice des obligations auxquelles le Responsable du traitement est soumis en vertu du RGPD.
6. Les Conditions générales ne permettent pas, en tant que telles, d’assurer la conformité aux obligations liées aux transferts internationaux conformément au Chapitre V du RGPD.

Clause 2

Interprétation

1. Lorsqu’un terme défini dans le RGPD est utilisé dans le présent Accord de traitement, il est entendu que celui-ci a la même signification que dans ledit RGPD.
2. Le présent Accord de traitement est lu et interprété à la lumière des dispositions du RGPD.
3. Le présent Accord de traitement des données ne doit pas être interprété d’une manière contraire aux droits et obligations prévus par le RGPD ou d’une manière qui porte atteinte aux libertés ou droits fondamentaux des personnes concernées.

Clause 3

Hiérarchie

En cas de contradiction entre le présent Accord de traitement et les dispositions des accords connexes entre les parties existant au moment où les présentes clauses sont convenues, ou souscrites par la suite, le présent Accord de traitement des données prévaut.

Clause 4

Description des opérations de traitement

L’annexe I précise les détails des opérations de traitement, en particulier les catégories de données à caractère personnel et les finalités du traitement pour lesquelles les données à caractère personnel sont traitées pour le compte du Responsable du traitement.

Clause 5

Obligations des Parties

5.1. Instructions

1. Le Sous-traitant ne traite les données à caractère personnel que sur instruction documentée du Responsable du traitement, à moins qu’il ne soit tenu d’y procéder en vertu du droit de l’Union ou du droit de l’État membre auquel il est soumis. Dans ce cas, le Sous-traitant informe le Responsable du traitement de cette obligation juridique avant le traitement, sauf si la loi le lui interdit pour des motifs importants d’intérêt public. Des instructions peuvent également être données ultérieurement par le Responsable du traitement pendant toute la durée du traitement des données à caractère personnel. Ces instructions doivent toujours être documentées.
2. Le Sous-traitant informe immédiatement le Responsable du traitement si, selon lui, une instruction donnée par le Responsable du traitement constitue une violation du règlement RGPD ou d’autres dispositions du droit de l’Union ou du droit des États membres relatives à la protection des données.

5.2 Limitation de la finalité

Le Sous-traitant traite les données à caractère personnel uniquement pour la ou les finalités spécifiques du traitement, telles que définies à l’annexe I, sauf instruction complémentaire du Responsable du traitement.

5.3 Durée du traitement des données à caractère personnel

Le traitement par le Sous-traitant n’a lieu que pendant la durée précisée à l’annexe I.

5.4 Sécurité du traitement

1. Le Sous-traitant met au moins en œuvre les mesures techniques et organisationnelles précisées à l’annexe II pour assurer la sécurité des données à caractère personnel. Figure parmi ces mesures la protection des données contre toute violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel ou l’accès non autorisé à de telles données (violation de données à caractère personnel). Lors de l’évaluation du niveau de sécurité approprié, les parties tiennent dûment compte de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les personnes concernées.
2. Le Sous-traitant n’accorde aux membres de son personnel l’accès aux données à caractère personnel faisant l’objet du traitement que dans la mesure strictement nécessaire à l’exécution, à la gestion et au suivi du contrat. Le Sous-traitant veille à ce que les personnes autorisées à traiter les données à caractère personnel s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.

5.5 Données sensibles

Si le traitement porte sur des données à caractère personnel révélant l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que des données génétiques ou des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique, ou des données relatives aux condamnations pénales et aux infractions (« données sensibles »), le Sous-traitant applique des limitations spécifiques et/ou des garanties supplémentaires.

5.6 Documentation et conformité

1. Les parties doivent pouvoir démontrer la conformité avec le présent Accord de traitement des données.
2. Le Sous-traitant traite de manière rapide et adéquate les demandes du Responsable du traitement concernant le traitement des données conformément au présent Accord de traitement.
3. Le Sous-traitant met à la disposition du Responsable du traitement ou d’un tiers indépendant toutes les informations nécessaires pour démontrer le respect des obligations énoncées dans le présent Accord de traitement et découlant directement du RGPD. À la demande du Responsable du traitement, le Sous-traitant permet également la réalisation d’audits des activités de traitement couvertes par le présent Accord de traitement des données. Les audits seront limités dans leur contenu et dans le temps à ce qui est strictement nécessaire pour permettre au Responsable du traitement d’effectuer les vérifications nécessaires en cas de suspicion, préalablement dûment justifiée par écrit, de non-conformité à l’un des points du présent Accord de traitement des données par le Sous-traitant. En tout état de cause, les audits ne doivent pas avoir d’autre objet que la vérification des circonstances de la non-conformité, sont limités à un maximum d’un (1) audit par an et doivent être notifiés au moins un (1) mois à l’avance. En tout état de cause, les frais liés aux audits incombent au Responsable du traitement.
4. Les parties doivent mettre à la disposition des autorités de contrôle compétentes, à leur demande, les informations visées dans cette clause et, en particulier, les résultats des audits.

5.7 Recours à des sous-traitants ultérieurs

1. Le Sous-traitant dispose de l’autorisation générale du Responsable du traitement pour ce qui est du recrutement de sous-traitants ultérieurs. Le Sous-traitant fournit au Responsable du traitement les informations nécessaires pour lui permettre d’exercer son droit d’opposition.
2. Lorsque le Sous-traitant recrute un sous-traitant ultérieur pour mener des activités de traitement spécifiques (pour le compte du Responsable du traitement), il le fait au moyen d’un contrat qui impose au sous-traitant ultérieur, en substance, les mêmes obligations en matière de protection des données que celles imposées au Sous-traitant en vertu des présentes clauses. Le Sous-traitant veille à ce que le sous-traitant ultérieur respecte les obligations auxquelles il est lui-même soumis en vertu du présent Accord de traitement et du RGPD.
3. Le Sous-traitant demeure pleinement responsable, à l’égard du Responsable du traitement, de l’exécution des obligations du sous-traitant ultérieur conformément au contrat conclu avec le sous-traitant ultérieur. Le Sous-traitant informe le Responsable du traitement de tout manquement du sous-traitant ultérieur à ses obligations contractuelles.

5.8 Transferts internationaux

1. Les transferts de données vers un pays tiers ou vers une organisation internationale par le Sous-traitant seront effectués conformément au Chapitre V du RGPD.
2. Le Responsable du traitement convient que lorsque le Sous-traitant recrute un sous-traitant ultérieur conformément à la clause 5.7 pour mener des activités de traitement spécifiques (pour le compte du Responsable du traitement) et que ces activités de traitement impliquent un transfert de données à caractère personnel au sens du chapitre V du RGPD, le Sous-traitant et le sous-traitant ultérieur peuvent garantir le respect du chapitre V du RGPD : (i) en transférant des données à caractère personnel vers des pays pour lesquels la Commission européenne a adopté une décision d’adéquation conformément à l’article 45 du RGPD ; ou (ii) en utilisant les clauses contractuelles types adoptées par la Commission sur la base de l’article 46, paragraphe 2 du RGPD, pour autant que les conditions d’utilisation de ces clauses contractuelles types soient remplies. En règle générale, sauf décision contraire du Responsable du traitement, le Sous-traitant traite vos données à caractère personnel au sein de l’Espace économique européen. Nonobstant ce qui précède et en ce qui concerne les Responsables du traitement situés en dehors de l’Espace économique européen, le Responsable du traitement peut traiter vos données à caractère personnel dans des zones géographiques plus proches de vous afin d’optimiser les performances et l’efficacité de nos services.
3. En outre, si une communication de données à caractère personnel du Sous-traitant vers le Responsable du traitement implique un transfert de données à caractère personnel au sens du Chapitre V du RGPD, le Sous-traitant et le Responsable du traitement doivent conclure les clauses contractuelles types (module 4) jointes à l’Annexe II.

Clause 6

Assistance au Responsable du traitement

1. Le Sous-traitant informe sans délai le Responsable du traitement de toute demande qu’il a reçue de la part de la personne concernée. Il ne donne pas lui-même suite à cette demande, à moins que le responsable du traitement des données ne l’y ait autorisé.
2. Le Sous-traitant transmet au Responsable du traitement toutes les demandes concernant l’exercice des droits des personnes concernées qu’il reçoit et dont la réponse incombe au Responsable du traitement, car elles concernent les données à caractère personnel pour lesquelles il est responsable du traitement.
3. Outre l’obligation incombant au Sous-traitant d’assister le Responsable du traitement en vertu de la clause 6, point b), le Sous-traitant aide en outre le Responsable du traitement à garantir le respect des obligations suivantes, compte tenu de la nature du traitement et des informations dont dispose le Sous-traitant :
   1. l’obligation de procéder à une évaluation de l’incidence des opérations de traitement envisagées sur la protection des données à caractère personnel (« analyse d’impact relative à la protection des données ») lorsqu’un type de traitement est susceptible de présenter un risque élevé pour les droits et libertés des personnes physiques ;
   2. l’obligation de consulter l’autorité de contrôle compétente / les autorités de contrôle compétentes préalablement au traitement lorsqu’une analyse d’impact relative à la protection des données indique que le traitement présenterait un risque élevé si le Responsable du traitement ne prenait pas de mesures pour atténuer le risque ;
   3. l’obligation de veiller à ce que les données à caractère personnel soient exactes et à jour, en informant sans délai le Responsable du traitement si le Sous-traitant apprend que les données à caractère personnel qu’il traite sont inexactes ou sont devenues obsolètes ;
   4. les obligations prévues à l’article 32 du RGPD.
4. Les parties définissent à l’annexe II les mesures techniques et organisationnelles appropriées par lesquelles le Sous-traitant est tenu de prêter assistance au Responsable du traitement dans l’application de la présente clause, ainsi que la portée et l’étendue de l’assistance requise.

Clause 7

Notification de violation de données à caractère personnel

1. En cas de violation de données à caractère personnel, le Sous-traitant coopère avec le Responsable du traitement et lui prête assistance aux fins de la mise en conformité avec les obligations qui lui incombent en vertu des articles 33 et 34 du RGPD, en tenant compte de la nature du traitement et des informations dont dispose le sous-traitant.
2. En cas de violation de la sécurité des données à caractère personnel traitées par le Sous-traitant pour le compte du Responsable du traitement, le Sous-traitant informe le Responsable du traitement dans les meilleurs délais après en avoir pris connaissance. Cette notification contient au moins :
   1. une description de la nature de la violation constatée (y compris, si possible, les catégories et le nombre approximatif de personnes concernées par la violation et d’enregistrements de données à caractère personnel concernés) ;
   2. les coordonnées d’un point de contact auprès duquel des informations supplémentaires peuvent être obtenues au sujet de la violation de données à caractère personnel ;
   3. ses conséquences probables et les mesures prises ou les mesures qu’il est proposé de prendre pour remédier à la violation, y compris pour en atténuer les éventuelles conséquences négatives.
3. Lorsque, et dans la mesure où, il n’est pas possible de fournir toutes les informations en même temps, les informations disponibles à ce moment-là sont fournies lors de la notification initiale et, à mesure qu’elles sont collectées, des informations supplémentaires sont fournies sans retard injustifié.

ANNEXE I : DESCRIPTION DU TRAITEMENT

Catégories de personnes concernées dont les données à caractère personnel sont traitées
Les catégories de personnes concernées dont les données se trouvent dans les fichiers que le Responsable du traitement télécharge lorsqu’il utilise les services fournis par ILOVEPDF (par exemple, employés, clients, fournisseurs, etc.).

Catégories de données à caractère personnel traitées
Les catégories de données à caractère personnel comprises dans les fichiers que le Responsable du traitement télécharge lorsqu’il utilise les services fournis par ILOVEPDF.

Les données sensibles traitées (le cas échéant) et les limitations ou garanties appliquées qui tiennent pleinement compte de la nature des données et des risques encourus, tels que, par exemple, la limitation stricte de la finalité, les restrictions des accès (y compris l’accès réservé uniquement au personnel ayant suivi une formation spécialisée), la tenue d’un registre de l’accès aux données, les restrictions applicables aux transferts ultérieurs ou les mesures de sécurité supplémentaires.
Les catégories particulières de données à caractère personnel sont traitées dans la mesure où les fichiers que le Responsable du traitement télécharge lorsqu’il utilise les services fournis par ILOVEPDF contiennent de telles catégories particulières de données à caractère personnel.

Nature du traitement
Le Sous-traitant effectue toutes les actions nécessaires pour fournir les services (par exemple, la conversion, l’édition et la compression du document contenant les données à caractère personnel).

Finalité(s) du traitement des données à caractère personnel pour le compte du Responsable du traitement
Fournir les services au nom de ILOVEPDF.

Durée du traitement
Dans la mesure strictement nécessaire pour fournir les services.

Sous-traitants et type de services fournis

Dans le cadre de la fourniture de ses services, ILOVEPDF a recours à des fournisseurs de services tiers qui agissent en qualité de Sous-traitants des données à caractère personnel. Parmi ces fournisseurs figurent Cloudscale, Digital Ocean, Hetzner, OVHcloud et Vultr, des fournisseurs de solutions d’hébergement Web et d’informatique en nuage. Ils fournissent des services d’infrastructure technologique pour assurer le traitement sécurisé, le stockage temporaire des données et la continuité opérationnelle de la plateforme.

Les Sous-traitants agissent conformément aux instructions de ILOVEPDF et appliquent des mesures techniques et organisationnelles appropriées visant à garantir la protection des données à caractère personnel conformément au Règlement (UE) 2016/679 (RGPD) et aux autres réglementations applicables en matière de protection des données.

Pour plus d'informations sur les sous-traitants d'ILOVEPDF, vous pouvez accéder en cliquant ici.

ANNEXE II : MESURES TECHNIQUES ET ORGANISATIONNELLES, Y COMPRIS MESURES TECHNIQUES ET ORGANISATIONNELLES VISANT À GARANTIR LA SÉCURITÉ DES DONNÉES

Le Sous-traitant applique les mesures de sécurité techniques et organisationnelles suivantes aux activités de traitement effectuées dans le cadre du présent Accord de traitement :

• Mesures techniques de protection contre l’interception, la copie, la modification, les erreurs de routage et la destruction des informations transférées.
• Procédures techniques et politiques internes visant à détecter les applications malveillantes (logiciels malveillants) qui peuvent être transmises par des communications électroniques, à protéger les activités contre ces applications et à en atténuer les effets.
• Protection technique des informations sensibles lors de leur transmission en tant que pièces jointes.
• Politique interne relative à l’utilisation acceptable des ressources de communication.
• Mesures organisationnelles visant à s’assurer que tous les utilisateurs (personnel et tiers) autorisés à accéder aux ressources du Sous-traitant engagent leur responsabilité en ce qui concerne leurs propres informations.
• Utilisation de techniques cryptographiques visant à protéger la confidentialité, l’intégrité et l’authenticité des informations.
• Lignes directrices organisationnelles relatives à la conservation et à l’élimination de toute correspondance commerciale, notamment les messages, conformément aux lois et aux réglementaires nationales et locales concernées.
• Établissement de politiques internes à destination du personnel concernant la non-divulgation d’informations confidentielles, et diffusion d’informations périodiques à ce sujet, afin de demander aux employés de s’abstenir de laisser des messages contenant des informations sensibles sur les répondeurs téléphoniques, d’avoir des conversations confidentielles dans des lieux publics, d’utiliser des canaux de communication non sécurisés, d’avoir des conversations confidentielles dans des espaces de travail ouverts, etc.

Contrôle de la version : jeudi 19 février 2026