TRAITEMENT DES DONNÉES |

ACCORD ENTRE GAI ET LES FOURNISSEURS RÉFÉRENCÉS GROUPAUTO RELATIF AU TRAITEMENT DES DONNÉES À CARACTÈRE PERSONNEL À DES FINS MARKETING

GROUPAUTO INTERNATIONAL (ci-après « GAI ») est un acteur de premier plan de la distribution de pièces de rechange. À ce titre, GAI anime des réseaux dont les membres assurent la distribution des pièces.

GROUPAUTO INTERNATIONAL a développé un projet permettant à ses Fournisseurs référencés GROUPAUTO d'accéder à son Intranet et de contacter les différents membres des réseaux GROUPAUTO INTERNATIONAL afin de leur proposer leurs produits et services.

Les conditions d'accès à l'Intranet par les Fournisseurs référencés sont définies dans les Conditions générales, accessibles ici

( Conditions générales ).

Le présent accord de traitement des données (l'« Accord ») a pour objet de définir les obligations de GAI ainsi que celles des Fournisseurs référencés GROUPAUTO dans le traitement des données à caractère personnel des Personnes concernées, aux seules fins marketing des Fournisseurs référencés.

Les Parties conviennent que GAI peut modifier ponctuellement l'Annexe 1 de l'Accord. Le cas échéant, GAI en informe les Fournisseurs référencés en temps utile.

À cette fin, GAI et les Fournisseurs référencés GROUPAUTO respectent les obligations prévues par l'Accord pour le traitement de ces données à caractère personnel en France.

1. Définitions

1.1. CNIL : désigne la Commission Nationale de l'Informatique et des Libertés (CNIL), autorité administrative indépendante française chargée de veiller au respect de la réglementation relative aux Données à caractère personnel en France, et/ou toute autorité localement compétente en la matière pour le territoire concerné par le Contrat.

1.2. Violation de données : désigne tout événement entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de Données à caractère personnel de la Personne concernée, ou l'accès non autorisé à celles-ci

1.3. Responsable de traitement : a le sens qui lui est donné par la Réglementation relative aux Données à caractère personnel.

1.4. Personne concernée : désigne la personne physique dont les Données à caractère personnel sont collectées et traitées à des fins marketing dans le cadre de l'Accord, et qui est salariée d'une Entité.

1.5. CGU : désigne les conditions générales d'utilisation de l'Intranet de GAI que les Fournisseurs référencés doivent accepter pour accéder audit Intranet.

1.6. Entité : désigne l'ensemble des entités membres de GROUPAUTO International établies sur le territoire français.

1.7. Informations obligatoires : désigne l'ensemble des informations que le Responsable de traitement doit communiquer à la Personne concernée, conformément à l'Accord et à la Réglementation relative aux Données à caractère personnel.

1.8. Destinataire : a le sens qui lui est donné par la Réglementation relative aux Données à caractère personnel.

1.9. Réglementation relative aux Données à caractère personnel : désigne (i) la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, telle que modifiée en dernier lieu par l'ordonnance n° 2018-1125 du 12 décembre 2018, communément appelée « Loi Informatique et Libertés », (ii) le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, communément appelé Règlement général sur la protection des données ou « RGPD », et (iii) les lignes directrices et recommandations de la CNIL et/ou du Comité européen de la protection des données, sous forme d'avis et de lignes directrices.

1.10. Partie(s) : désigne GAI et/ou l'Entité.

1.11. Données à caractère personnel : a le sens qui lui est donné par la Réglementation relative aux Données à caractère personnel, s'agissant des données collectées et traitées dans le cadre du Contrat.

1.12. Droits spécifiques : désigne les droits reconnus aux Personnes concernées par la Réglementation relative aux Données à caractère personnel, et notamment : le droit d'accès, le droit de rectification, le droit à l'effacement, le droit à la limitation du traitement, le droit à la portabilité, le droit d'opposition, le droit de définir des directives post-mortem, le droit de ne pas faire l'objet d'une décision individuelle automatisée (y compris le profilage) et le droit d'introduire une réclamation auprès de la CNIL.

1.13. Fournisseurs référencés GROUPAUTO : désigne les fournisseurs de GAI et de ses membres qui adressent des courriels marketing et, plus généralement, prennent contact et proposent leurs produits et services.

2. Objet de l'Accord

L'Accord a pour objet de déterminer les droits, obligations et responsabilités de chaque Partie dans le traitement des Données à caractère personnel des Personnes concernées par les Fournisseurs référencés et par GAI, afin de permettre la collecte et la communication de ces données aux Fournisseurs référencés en vue d'opérations marketing auprès des Personnes concernées.

Les Parties conviennent que chacune détermine ses propres finalités et moyens dans le traitement des Données à caractère personnel des Personnes concernées visées à l'Annexe 1, et agit en qualité de responsable de traitement indépendant.

3. Entrée en vigueur – Durée

L'Accord entre en vigueur à la date de sa mise en ligne sur l'Intranet GAI. Il s'applique à chaque accès des Fournisseurs référencés à l'Intranet GAI.

4. Traitement des Données à caractère personnel des Personnes concernées

Les Données à caractère personnel des Personnes concernées sont collectées par GAI et transférées aux Fournisseurs référencés.

4.1. Obligations des Fournisseurs référencés

Les Données à caractère personnel collectées auprès des Personnes concernées sont conservées par les Fournisseurs référencés pendant toute la durée d'adhésion des Entités au réseau de GAI, ou jusqu'au retrait par les Personnes concernées de leur consentement à recevoir des communications commerciales des Fournisseurs référencés, puis détruites.

Avant tout envoi de communication commerciale aux Personnes concernées, les Fournisseurs référencés vérifient que les Entités sont membres du réseau GAI et que les Personnes concernées n'ont pas retiré leur consentement à recevoir de telles communications.

Les Fournisseurs référencés garantissent traiter l'ensemble des Données à caractère personnel des Personnes concernées conformément à la Réglementation relative aux Données à caractère personnel et s'engagent notamment à prendre toutes les précautions nécessaires afin de :

Préserver la sécurité des Données à caractère personnel collectées et en encadrer l'accès.

Empêcher que lesdites Données à caractère personnel soient déformées, endommagées ou communiquées à des personnes non autorisées.

S'assurer que les personnes autorisées à traiter les Données à caractère personnel ainsi collectées s'engagent à en respecter la confidentialité ou soient soumises à une obligation légale ou contractuelle de confidentialité appropriée.

Ne pas transférer de Données à caractère personnel en dehors de l'Espace économique européen, sauf à ce que l'une des garanties spécifiques imposées par la Réglementation relative aux Données à caractère personnel ait été adoptée et formalisée avec le ou les Destinataires des Données concernées.

Ne partager les Données à caractère personnel qu'avec des Destinataires, y compris ses Fournisseurs référencés, respectant la Réglementation relative aux Données à caractère personnel.

Ne pas utiliser les Données à caractère personnel traitées à des fins autres que celles précisées par GAI au titre des CGU et de l'Accord.

Les Fournisseurs référencés garantissent utiliser les Données à caractère personnel conformément à l'Accord, dans les limites des Informations obligatoires communiquées à la Personne concernée par l'Entité et dans les limites du consentement recueilli par GAI, sous réserve du respect par cette dernière de ses obligations contractuelles au titre du présent Accord et de ses obligations légales au titre de la Réglementation relative aux Données à caractère personnel.

Les Fournisseurs référencés communiquent à GAI, en temps utile, toutes les informations nécessaires pour lui permettre de satisfaire à ses obligations d'Informations obligatoires envers les Personnes concernées et de recueillir leur consentement en vue de l'exécution des CGU conformément à l'Accord.

GAI communique, sur demande des Personnes concernées adressée au 147 Avenue Charles de Gaulle, 92200 Neuilly-sur-Seine, France, toute information sollicitée par ces dernières afin de s'assurer du respect de la Réglementation relative aux Données à caractère personnel lors du traitement des Données à caractère personnel par GAI, telles que, notamment, les mesures de sécurité mises en place pour assurer la protection des Données à caractère personnel et l'identité des Destinataires.

4.2. Obligations de GAI

GAI déclare et garantit fournir les Informations obligatoires aux Personnes concernées, et notamment :

Les finalités précises du traitement des Données à caractère personnel des Personnes concernées collectées par les Entités, conformément aux finalités communiquées par GAI.

Les sous-traitants liés au traitement des Données à caractère personnel des Personnes concernées. Le cas échéant, GAI décide s'il y a lieu ou non de mettre à jour les informations communiquées aux Personnes concernées, en fonction de l'ampleur des mises à jour à apporter, et en supporte les conséquences.

L'information des Personnes concernées sur leur droit et leur faculté de s'opposer à tout moment au traitement de leurs Données à caractère personnel et à la réception d'opérations marketing.

Les grandes lignes du présent Accord.

La possibilité de consentir, de refuser ou de modifier le choix déjà exprimé, selon les mêmes modalités, par un acte positif clair, de manière indépendante et spécifique pour chaque finalité ou catégorie de finalités distincte de traitement des Données à caractère personnel.

En l'absence de consentement préalable des Personnes concernées au traitement de leurs Données à caractère personnel, le cas échéant après consentement, aucune Donnée à caractère personnel n'est traitée par GAI ni transférée aux Personnes concernées.

GAI doit être en mesure d'apporter une preuve certaine, individuelle et horodatée du recueil du consentement des Personnes concernées et de démontrer que le mécanisme mis en place, le cas échéant par un tiers, présente toutes les caractéristiques requises pour recueillir un consentement valable (libre, spécifique, éclairé et univoque) et respecte les obligations contractuelles de GAI au titre du présent Accord ainsi que ses obligations légales au titre de la Réglementation relative aux Données à caractère personnel.

5. Droits spécifiques des Personnes concernées

Chaque Personne concernée peut exercer les Droits spécifiques que lui confère la Réglementation relative aux Données à caractère personnel auprès de chacun des Responsables de traitement et à leur encontre. Les Parties se communiquent mutuellement toute demande d'une Personne concernée fondée sur ces Droits spécifiques dès sa réception, dès lors qu'elle porte sur un traitement de Données à caractère personnel réalisé aux fins d'envoi d'opérations commerciales aux Personnes concernées.

Les Parties examinent et analysent conjointement la demande de la Personne concernée dans un délai maximum de cinq (5) jours ouvrés et désignent conjointement, dans le même délai, la Partie qui répondra à la Personne concernée. Il est convenu que l'exercice de leurs Droits spécifiques par les Personnes concernées est traité en priorité par GAI.

La Partie concernée traite la demande conformément à la Réglementation relative aux Données à caractère personnel et rend compte à l'autre Partie des suites données à la demande de la Personne concernée.

6. Violation de données et communication

Les Parties s'engagent à se notifier mutuellement, dans les meilleurs délais et dans un délai ne pouvant excéder 36 heures à compter de sa connaissance, toute Violation de données mettant en péril les Données à caractère personnel ou ayant des conséquences sur celles-ci.

Afin notamment de permettre aux Parties de maîtriser leur communication, chacune des Parties s'engage à ne pas informer de tiers, y compris les Personnes concernées ou la CNIL, d'une Violation de données survenue dans le cadre de l'Accord dont elle a eu connaissance, sans avoir obtenu l'accord écrit préalable de l'autre Partie dans un délai de quarante-huit (48) heures. À défaut d'obtenir cet accord écrit préalable, chaque Partie peut informer les tiers sans que sa responsabilité directe ou indirecte puisse être engagée de ce fait par l'autre Partie.

Les Parties désignent conjointement la ou les Parties habilitées à communiquer sur la Violation de données, étant précisé que GAI est prioritaire.

Les Parties se réunissent ensuite dans les douze (12) heures ouvrées suivant la notification de la Violation de données afin de déterminer :

La documentation nécessaire à la notification de cette Violation de données à la CNIL dans les 72 heures, ainsi que toute documentation complémentaire à transmettre à la CNIL après notification.

Les formes et modalités de la notification.

S'il est ou non nécessaire de notifier la violation de données aux personnes concernées.

La documentation nécessaire à la notification de la violation aux personnes concernées.

Les formes et modalités de la notification.

7. Registre des traitements

Chaque Partie s'engage à mettre à jour, au moins une fois par an, un registre des traitements qu'elle réalise au titre de l'Accord.

Le registre des traitements est tenu par le Délégué à la protection des données et/ou un interlocuteur privilégié de la Partie et comporte au minimum les informations suivantes :

Le nom et les coordonnées de la Partie et de son DPO.

Les finalités des traitements de données à caractère personnel identifiés.

Une description des catégories de personnes concernées et des catégories de données à caractère personnel.

Les catégories de destinataires auxquels les Données à caractère personnel ont été et/ou seront communiquées, y compris les destinataires situés en dehors de l'Espace économique européen.

Le cas échéant, les transferts de Données à caractère personnel vers des Destinataires situés en dehors de l'Espace économique européen, l'identification du pays tiers ou de l'organisation internationale et, en cas de tels transferts, les documents justifiant des garanties mises en œuvre conformément à la Réglementation relative aux Données à caractère personnel.

Une description générale des mesures de sécurité techniques et organisationnelles adoptées.

8. Entités

GAI veille à disposer d'un accord écrit avec les Entités garantissant la conformité des traitements de Données à caractère personnel réalisés tant par GAI que par les Fournisseurs référencés à la Réglementation relative aux Données à caractère personnel, ainsi que la bonne exécution des CGU et de l'Accord.

9. Garanties et responsabilité

En cas de litige, de réclamation et/ou d'action d'un tiers invoquant l'atteinte à l'un de ses droits, ou en cas de contrôle de la CNIL donnant lieu à une amende, seule la Partie responsable de l'élément en cause est, le cas échéant, tenue pour responsable. Afin de déterminer les Parties responsables et la part de leur responsabilité, les Parties peuvent se référer à la décision de la CNIL et/ou à toute décision de justice définitive.

En cas de causalité mixte d'une réclamation résultant d'éléments fournis par les Parties, leur responsabilité conjointe peut être retenue à hauteur de cette causalité.

Chaque Partie s'engage en conséquence à indemniser l'autre Partie de tout préjudice de quelque nature que ce soit que celle-ci pourrait subir du fait d'une contestation ou d'une sanction et, en tout état de cause, s'engage à régler les dommages et intérêts auxquels l'autre Partie pourrait être condamnée, ainsi que tous les frais résultant de toute action judiciaire ou extrajudiciaire engagée par un tiers ou par la CNIL, ou résultant d'une violation de données.

Aucune transaction ne peut être conclue sans l'accord de chacune des Parties.

Chaque Partie ne peut être tenue responsable qu'au titre de la réparation d'un préjudice certain, personnel et direct subi par l'autre Partie, à l'exclusion de tout préjudice indirect, tel qu'une perte de chiffre d'affaires, de clientèle ou d'image, subi par l'autre Partie du fait de l'exécution ou de l'inexécution, même partielle, du présent Accord.

Chaque Partie met tout en œuvre pour minimiser le préjudice qu'elle pourrait subir du fait de l'application du présent Accord.

En aucun cas une Partie ne peut être tenue responsable des traitements de données à caractère personnel réalisés par l'autre Partie pour lesquels elle n'agit pas en qualité de responsable conjoint avec cette dernière.

10. Collaboration

Les Parties s'engagent à collaborer et à coopérer activement, à se communiquer ou à faciliter mutuellement la consultation ou la transmission en temps utile de tous les éléments et/ou documents nécessaires à la bonne exécution de leurs obligations au titre de l'Accord, et à se réunir dans les meilleurs délais en cas de difficultés d'exécution.

Chaque Partie s'engage à se comporter à tout moment envers l'autre Partie en partenaire loyal et de bonne foi et, en particulier, à l'informer sans délai de tout litige ou difficulté qu'elle rencontrerait dans l'exécution de l'Accord.

Les Parties ont désigné un Délégué à la protection des données et un interlocuteur unique pour l'ensemble des notifications prévues par le présent Accord, dont les coordonnées figurent ci-dessous :

Toutes les notifications requises au titre de l'Accord sont effectuées par écrit et adressées aux adresses ci-dessus. Toute notification faite conformément aux stipulations du présent article prend effet : (a) au moment de la remise, en cas de remise en main propre contre récépissé ; (b) à la date de première présentation de la lettre à son destinataire par les services de La Poste, en cas d'envoi par lettre recommandée avec accusé de réception ; ou (c) à la date d'envoi de la notification par courrier électronique.

Annexe 1 : Données à caractère personnel des Personnes concernées traitées

Les Données à caractère personnel des Personnes concernées relevant des Entités sont les suivantes :

Nom du contact

Numéro de téléphone du contact

Adresse e-mail du contact