Conditions générales

Préambule

La société Lunelink GmbH (« Lunelink ») exploite une plateforme marketing basée sur le cloud, assistée par l’IA (« Plateforme »), destinée à la gestion de comptes publicitaires, à la création de supports publicitaires, au community management, à la gestion des avis ainsi qu’à l’analyse et à l’optimisation de campagnes marketing sur des plateformes tierces (p. ex. Meta, Google, TikTok, LinkedIn, Pinterest). Les présentes conditions générales (« CG ») régissent le cadre contractuel de l’utilisation de la Plateforme par des entreprises, des agences, des travailleurs indépendants et d’autres clients professionnels (« Utilisateurs »). La Plateforme ne s’adresse pas aux consommateurs au sens de l’article 13 du Code civil allemand (BGB).

1. Utilisation de la plateforme

1. L'utilisation de la plateforme s'effectue généralement via une application web. Lunelink peut proposer en complément des applications mobiles. Il n'existe aucun droit à la mise à disposition de modes d'accès spécifiques.
2. L’utilisation de la plateforme nécessite l’inscription de l’utilisateur (« Inscription »). À l’issue de l’Inscription ou, le cas échéant, à la signature d’une offre individuelle, un contrat d’utilisation est conclu entre l’utilisateur et Lunelink.
3. Seules les personnes physiques dotées de la pleine capacité juridique, ainsi que les personnes morales et les sociétés de personnes, agissant dans l’exercice de leur activité commerciale ou professionnelle indépendante, sont autorisées à s’inscrire. L’inscription et l’utilisation pour le compte d’un tiers ou d’une personne fictive sont interdites. La fourniture de fausses informations dans le cadre de l’inscription et/ou du compte utilisateur est également interdite.
4. Si l’inscription est effectuée pour le compte d’une entreprise ou d’une organisation, la personne procédant à l’inscription garantit être dûment habilitée à représenter l’entreprise et à engager les relations contractuelles correspondantes avec Lunelink.
5. Lunelink peut refuser l’inscription sur la plateforme sans fournir de motif. Lunelink se réserve le droit de vérifier l’authenticité des demandes d’inscription et de subordonner la finalisation de l’inscription à cette vérification. Sans préjudice de ce qui précède, Lunelink se réserve le droit de vérifier à tout moment, au moyen de contrôles aléatoires, l’authenticité des comptes existants et, en cas de violation des dispositions qui précèdent, de supprimer les comptes concernés.
6. Les utilisateurs sont tenus de conserver leurs identifiants de connexion en toute sécurité, notamment de ne pas les communiquer à des tiers, et de prendre les mesures appropriées pour protéger leur compte contre tout accès non autorisé.
7. Même si des contenus et des données d’utilisateurs sont stockés et mis à disposition sur la plateforme, le périmètre des services de Lunelink n’inclut pas de service de stockage cloud dédié. Lunelink n’est pas tenue de maintenir les contenus des utilisateurs disponibles en permanence ni de les archiver, sauf accord explicite contraire.
8. L'utilisation de la plateforme par des mineurs est interdite.
9. La langue du contrat est l’allemand. Après la conclusion du contrat avec l’utilisateur concerné, Lunelink ne conserve pas individuellement le texte du contrat, mais celui-ci reste accessible à l’utilisateur sur le site web ou sur la plateforme, dans sa version la plus récente.
10. La communication entre Lunelink et les utilisateurs peut se faire par des canaux électroniques (notamment e-mail, notifications dans l’application, messagerie interne à la plateforme).

2. Étendue des services de la plateforme et des plateformes tierces

1. Pendant la durée du contrat, Lunelink met à la disposition de l’utilisateur une plateforme permettant notamment de gérer des comptes publicitaires, de créer des créatifs publicitaires assistés par IA, de gérer des canaux de communication (p. ex. commentaires et messages), de gérer les avis, d’obtenir des recommandations d’optimisation assistées par IA, ainsi que de consulter des analyses et des tableaux de bord. L’étendue exacte des fonctionnalités découle de la description des prestations en vigueur au moment de la conclusion du contrat ou de l’offre individuelle.
2. La plateforme permet la connexion de comptes publicitaires et d’autres comptes auprès de prestataires tiers (par ex. Meta Ads, Google Ads, LinkedIn Ads, TikTok Ads, Pinterest Ads, plateformes d’avis). L’utilisation de ces plateformes tierces ainsi que de leurs API repose sur les relations contractuelles respectives entre l’utilisateur et chaque prestataire tiers concerné. Lunelink n’est pas partie à ces relations contractuelles et ne saurait être tenue responsable de la disponibilité, de l’étendue des fonctionnalités ou des modifications apportées aux plateformes tierces.
3. L’utilisateur est seul responsable du respect des conditions d’utilisation, des politiques publicitaires et des autres exigences des plateformes tierces connectées. Lunelink ne procède à aucune vérification des contenus créés par les utilisateurs ou diffusés via la plateforme quant à leur conformité aux exigences légales ou aux directives de tiers.
4. Les fonctionnalités d’IA (p. ex. création de supports publicitaires, suggestions de réponses en gestion de communauté ou recommandations d’optimisation) reposent sur des modèles statistiques et des données historiques. Lunelink n’est tenue à aucun résultat économique déterminé (p. ex. des taux de conversion, des chiffres d’affaires ou des niveaux de portée spécifiques) et n’est pas responsable des décisions de l’utilisateur prises sur la base des analyses ou recommandations fournies.
5. Lunelink est autorisée à faire évoluer, adapter ou modifier l’étendue des fonctionnalités de la plateforme, en tenant compte des intérêts des utilisateurs, à condition que les obligations contractuelles essentielles ne soient pas restreintes ou que des alternatives raisonnables soient mises à la disposition des utilisateurs.

3. Obligations de l’utilisateur et contenus

1. L’utilisateur est entièrement responsable de tous les contenus, données et informations qu’il met sur la plateforme ou qu’il y traite, notamment des annonces publicitaires, des éléments créatifs, des textes, des images, des vidéos, des avis, des réponses aux avis, des commentaires et des messages.
2. L’utilisateur garantit posséder ou avoir dûment acquis tous les droits nécessaires à l’utilisation, à la publication et au traitement des contenus (notamment les droits d’auteur, de marque, de la personnalité et autres droits de protection) et veille à ce qu’aucun droit de tiers ne soit violé.
3. L’utilisateur s’engage à ne pas diffuser via la plateforme de contenus illicites, discriminatoires, injurieux, préjudiciables aux mineurs, extrémistes, pornographiques, contraires aux bonnes mœurs ou tout autre contenu non autorisé, et à ne pas faire de publicité illicite (p. ex. au sens de la loi contre la concurrence déloyale [UWG]). Il en va de même pour les suggestions de réponse automatisées, que l’utilisateur doit vérifier sous sa propre responsabilité avant l’envoi.
4. L’Utilisateur s’engage à respecter toutes les dispositions légales applicables (notamment le droit de la protection des données, le droit de la concurrence, le droit des services en ligne, le droit de la protection des consommateurs et le droit professionnel), ainsi que les politiques pertinentes des plateformes tierces connectées.
5. L’utilisateur est tenu de tenir Lunelink quitte et indemne de toute réclamation de tiers résultant d’une utilisation illicite de la plateforme par l’utilisateur ou de manquements à ses obligations qui lui sont imputables. Cela comprend également les frais raisonnables de défense juridique.

4. Frais et conditions de paiement

1. L’utilisation de la plateforme est en principe payante. Les montants à payer par l’utilisateur (« frais ») découlent du tarif de Lunelink en vigueur lors de la conclusion du contrat ou d’une offre convenue individuellement avec l’utilisateur. Lunelink peut mettre gratuitement à disposition certaines fonctionnalités clairement identifiées comme telles dans le cadre de phases de test.
2. Sauf accord contraire, les frais sont facturés d’avance sous forme de frais récurrents (p. ex. mensuels ou annuels). Si des éléments liés à l’utilisation (p. ex. selon le nombre de comptes, d’utilisateurs ou le volume) sont convenus, ils sont régulièrement facturés à terme échu.
3. Les factures sont, sauf indication contraire figurant sur la facture, exigibles sans déduction dans un délai de 14 jours à compter de la date de facturation. Les paiements sont effectués sur le compte bancaire professionnel indiqué sur la facture ou via les services de paiement électroniques proposés.
4. En cas de retard de paiement, Lunelink est en droit de facturer les intérêts de retard légaux et de suspendre temporairement l’accès à la plateforme après notification préalable. L’obligation de l’utilisateur de payer les frais convenus n’en est pas affectée.

5. Protection des données

1. Lunelink traite les données à caractère personnel des utilisateurs ainsi que les données des personnes concernées traitées via la plateforme, conformément à la réglementation applicable en matière de protection des données et à la politique de confidentialité accessible sur le site web et/ou sur la plateforme.
2. Pour les données à caractère personnel qu’il traite via la plateforme, chaque utilisateur est, en principe, considéré comme le responsable du traitement. Dans ce cadre, lorsque cela s’applique, Lunelink agit en qualité de sous-traitant au sens de l’article 28 du RGPD.
3. Le téléversement et le traitement de données à caractère personnel dans le cadre de l’utilisation de la plateforme sont effectués sous l’entière responsabilité de l’utilisateur. À cet égard, le contrat de sous-traitance joint en Annexe 1 (AVV) sert de base au traitement des données pour le compte effectué par Lunelink, dans la mesure où l’utilisateur est tenu de conclure un contrat de sous-traitance.

6. Durée et résiliation du contrat

1. Le contrat d’utilisation entre Lunelink et l’utilisateur est conclu pour une durée indéterminée ou pour la durée minimale convenue. Si une durée minimale a été convenue, le contrat est reconduit tacitement à chaque échéance pour la période de renouvellement convenue, sauf résiliation effectuée dans les délais.
2. Sauf convention contraire, les parties peuvent résilier à tout moment le contrat d’utilisation, avec un préavis d’un mois, à l’échéance de la période contractuelle ou de renouvellement concernée, sans avoir à indiquer de motifs.
3. Le droit de chaque partie de résilier sans préavis pour motif grave n’est pas affecté. Constitue notamment un motif grave pour Lunelink le fait que l’utilisateur, malgré mise en demeure et octroi d’un délai raisonnable, est en retard de paiement de sommes exigibles pour un montant non négligeable, ou contrevient à plusieurs reprises à des obligations contractuelles essentielles, en particulier à l’article 3 des présentes Conditions générales.
4. Dès l’entrée en vigueur de la résiliation, l’accès de l’utilisateur à la plateforme prend fin. Lunelink est habilitée à conserver ou à supprimer des données conformément aux obligations légales de conservation. Des obligations supplémentaires de restitution des données n’existent que dans la mesure où elles ont été expressément convenues ou résultent de dispositions légales impératives.

7. Responsabilité

1. Lunelink est responsable, conformément aux dispositions légales, des atteintes à la vie, à l’intégrité physique et à la santé résultant d’un manquement fautif à ses obligations. Lunelink est également responsable, conformément aux dispositions légales, des autres dommages résultant de violations contractuelles intentionnelles ou commises par négligence grave. Dans la mesure où la loi sur la responsabilité du fait des produits trouve à s’appliquer, Lunelink est responsable sans restriction conformément à ses dispositions.
2. Si un dommage résulte d’une violation par négligence légère d’une obligation contractuelle essentielle, c’est-à-dire d’une obligation dont l’exécution conditionne la bonne exécution du contrat, dont la violation met en péril la réalisation de l’objet du contrat et au respect de laquelle les utilisateurs sont en droit de se fier régulièrement, la responsabilité de Lunelink est limitée aux dommages prévisibles et typiques du contrat.
3. Toute responsabilité supplémentaire de Lunelink en matière de dommages-intérêts est exclue, quel qu’en soit le fondement juridique. Cela vaut en particulier pour le manque à gagner, les économies non réalisées, les arrêts de production, les interruptions d’exploitation ou autres dommages indirects et consécutifs. Les dispositions légales impératives en matière de responsabilité demeurent inchangées.

8. Divers

1. Si certaines dispositions des présentes Conditions générales sont nulles ou inapplicables, ou le deviennent, la validité des autres dispositions n’en est pas affectée. En lieu et place de la disposition nulle ou inapplicable, est réputée convenue une disposition valide se rapprochant le plus possible de l’objectif économique de la disposition nulle.
2. Le droit matériel allemand s’applique, à l’exclusion du droit international privé allemand et de la Convention des Nations Unies sur les contrats de vente internationale de marchandises (CVIM). Dans la mesure où il est juridiquement permis de convenir d’un for, les tribunaux de Hambourg sont compétents.

Annexe 1 : AVV

Préambule

Le sous-traitant (Lunelink) traite des données à caractère personnel pour le compte du responsable du traitement (utilisateur) au sens des articles 4, point 8, et 28 du Règlement (UE) 2016/679 — Règlement général sur la protection des données (« RGPD »). Le présent contrat de sous-traitance relatif au traitement des données (le « Contrat ») précise les obligations des parties en matière de protection des données qui découlent du traitement pour le compte décrit dans le Contrat principal. Le présent Contrat s’applique à toutes les activités liées au Contrat principal dans le cadre desquelles des employés du sous-traitant ou des tiers mandatés par le sous-traitant peuvent entrer en contact avec des données à caractère personnel mises à disposition par le responsable du traitement.

1. Définitions

1. Les données à caractère personnel sont toutes les informations fournies par le Client qui se rapportent à une personne physique identifiée ou identifiable (« personne concernée ») ; est réputée identifiable une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale (art. 4, point 1, RGPD).
2. Le traitement désigne toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction (article 4, point 2, du RGPD).
3. Les instructions sont toutes les consignes que le donneur d’ordre adresse au prestataire et en vertu desquelles le prestataire est tenu de traiter des données à caractère personnel. Les instructions sont initialement fixées par le contrat principal et peuvent ensuite être modifiées, complétées ou remplacées par le donneur d’ordre au moyen d’instructions individuelles (« instructions individuelles »).

2. Objet du contrat, responsabilité

Le sous-traitant traite les données à caractère personnel pour le compte du responsable du traitement. Le responsable du traitement est seul responsable du respect des dispositions légales en matière de protection des données, en particulier de la licéité de la communication des données à caractère personnel au sous-traitant ainsi que de la licéité de leur traitement ("responsable du traitement" au sens de l'art. 4, point 7, du RGPD).

3. Durée

La durée du présent contrat correspond à la durée du contrat principal. Le droit de résiliation extraordinaire n’en est pas affecté.

4. Portée, nature et finalité du traitement envisagé des données à caractère personnel

L’étendue, la nature et la finalité du traitement des données à caractère personnel par le sous-traitant pour le compte du responsable du traitement sont précisément décrites dans le contrat principal. Le traitement est effectué notamment aux fins de la mise à disposition de la plateforme marketing Lunelink, y compris la gestion des comptes publicitaires, la création de contenus publicitaires, la gestion de communauté, la gestion des avis, ainsi que l’analyse et l’optimisation des actions marketing.

5. Type de données

Le traitement de données à caractère personnel porte notamment sur les types et catégories de données suivants :

• Données de contact et données de base des utilisateurs (p. ex. noms, coordonnées, identifiants de connexion).
• Données à caractère personnel des clients, des prospects ou d’autres interlocuteurs du client, traitées dans le cadre de processus marketing, de communication ou d’évaluation (p. ex. noms, coordonnées, contenus de communication, contenus d’évaluation).
• Données d’utilisation, de suivi et de campagne, dans la mesure où elles se rapportent à des personnes physiques identifiées ou identifiables.

6. Groupe des personnes concernées

Les catégories de personnes concernées dont les données à caractère personnel sont traitées comprennent notamment :

• Utilisateurs (p. ex. des employés du client qui utilisent la plateforme).
• Clients, prospects et autres partenaires de communication du client.

7. Rectification, suppression, blocage et restitution des données

1. Le donneur d'ordre peut, à tout moment, pendant et après la cessation du présent contrat ou du contrat principal, exiger, dans le cadre d'une instruction individuelle licite, la rectification, l'effacement, le blocage et la remise des données à caractère personnel.
2. Le client définit, par contrat ou par instruction individuelle, les mesures relatives à la restitution des supports de données fournis et/ou à la suppression des données à caractère personnel stockées à l’issue du contrat.

8. Mesures techniques et organisationnelles

1. Le sous-traitant mettra en œuvre des mesures techniques et organisationnelles, conformes aux exigences des articles 24 et 32 du RGPD, afin d’assurer une protection adéquate des données à caractère personnel contre toute utilisation abusive et toute perte. Cela comprend notamment, dans la mesure où cela est approprié,

   • Empêcher les personnes non autorisées d’accéder aux installations de traitement des données dans lesquelles des données à caractère personnel sont traitées et utilisées (contrôle d’accès physique),

   • empêcher l’utilisation des systèmes de traitement des données par des personnes non autorisées (contrôle d’accès),

   • veiller à ce que les personnes autorisées à utiliser un système de traitement des données ne puissent accéder qu’aux données relevant de leurs droits d’accès et que les données à caractère personnel ne puissent, pendant et après le traitement, être lues, copiées, modifiées ou supprimées sans autorisation (contrôle d’accès),

   • Veiller à ce que les données à caractère personnel ne puissent pas être lues, copiées, modifiées ou supprimées par des personnes non autorisées lors de leur transmission électronique, pendant leur transport ou lors de leur stockage sur des supports de données, et qu’il soit possible de vérifier et d’établir vers quels destinataires une transmission de données à caractère personnel est prévue au moyen de dispositifs de transmission de données (Contrôle des transferts),

   • veiller à ce qu’il soit possible de vérifier et d’établir a posteriori si et par qui des données à caractère personnel ont été saisies dans des systèmes de traitement de données, modifiées ou supprimées (contrôle de la saisie),

   • veiller à ce que les données à caractère personnel ne puissent être traitées que conformément aux instructions du responsable du traitement (contrôle des instructions),

   • veiller à ce que les données à caractère personnel soient protégées contre la destruction ou la perte accidentelles (contrôle de disponibilité),

   • veiller à ce que les données collectées à des fins différentes puissent être traitées séparément (contrôle de séparation),

   • la pseudonymisation et le chiffrement des données à caractère personnel,

   • la capacité de garantir la confidentialité, l’intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement,

   • la capacité de rétablir rapidement la disponibilité des données à caractère personnel et l'accès à celles-ci en cas d'incident physique ou technique,

   • un processus permettant de tester, d'analyser et d'évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement.

2. Les mesures techniques et organisationnelles sont soumises au progrès et à l’évolution technologiques. À cet égard, le sous-traitant est autorisé à mettre en œuvre des mesures alternatives adéquates. Le niveau de sécurité des mesures définies ne doit pas être abaissé. Les modifications substantielles susceptibles d’affecter l’intégrité, la confidentialité ou la disponibilité des données à caractère personnel doivent être documentées.

9. Directives

1. Le responsable du traitement a le droit d’adresser à tout moment au sous-traitant des instructions individuelles concernant la nature, l’étendue et les modalités du traitement des données à caractère personnel. Les instructions individuelles doivent être formulées par écrit.
2. Le sous-traitant n’est autorisé à traiter des données à caractère personnel que dans le cadre du contrat principal, du présent contrat et des instructions individuelles, sauf s’il est tenu de traiter les données à caractère personnel en vertu du droit de l’Union ou du droit des États membres.
3. Les dispositions concernant une éventuelle indemnisation des coûts supplémentaires supportés par le prestataire du fait d’instructions individuelles du client demeurent inchangées.
4. Le prestataire doit informer le client des exceptions à l’obligation de se conformer aux instructions prévues par le droit qui lui est applicable, sauf si ce même droit interdit une telle communication pour un motif d’intérêt public important.

10. Autres droits et obligations du prestataire

1. Le sous-traitant désigne, dans la mesure où la loi l’exige, un délégué à la protection des données qui peut exercer ses missions conformément aux articles 37, 38 et 39 du RGPD. Ses coordonnées sont communiquées au responsable du traitement, sur demande, afin de permettre un contact direct.
2. Le sous-traitant veille à ce que le personnel chargé du traitement des données à caractère personnel soit tenu à une obligation de confidentialité (art. 29 du RGPD) et ait été formé aux règles de protection prévues par le RGPD. Cette obligation de confidentialité perdure après la fin de leurs fonctions.
3. Le sous-traitant informe le responsable du traitement en cas de perturbations graves du déroulement des opérations, en cas de soupçon de violation de données à caractère personnel ou d’autres irrégularités lors du traitement des données à caractère personnel. Cela s’applique également aux éventuelles opérations de contrôle et mesures de l’autorité de contrôle au titre des art. 51 à 59 du RGPD, ainsi qu’aux enquêtes prévues aux art. 83 et 84 du RGPD.

4. Il est reconnu que, conformément à l’article 33 du RGPD, le sous-traitant peut être soumis à des obligations d’information en cas de transmission illicite ou de prise de connaissance non autorisée de certaines données à caractère personnel. Par conséquent, de tels incidents doivent être signalés sans délai au responsable du traitement, indépendamment de l’origine de l’incident. La notification du sous-traitant au responsable du traitement doit notamment inclure les informations suivantes :

   • Une description de la nature de la violation de données à caractère personnel, y compris, si possible, les catégories et le nombre approximatif de personnes concernées, ainsi que les catégories et le nombre approximatif d’enregistrements de données à caractère personnel concernés;

   • Description des mesures prises ou proposées par le sous-traitant pour remédier à la violation de données à caractère personnel et, le cas échéant, des mesures visant à en atténuer les éventuelles conséquences préjudiciables

   Le prestataire doit prendre des mesures appropriées pour assurer la sécurité des données, ainsi que pour atténuer les conséquences préjudiciables éventuelles pour les personnes concernées.

5. Le prestataire est tenu de fournir à tout moment des informations au client, dans la mesure où ses données et documents sont concernés par une violation de données à caractère personnel. La destruction de matériel conforme aux exigences en matière de protection des données est prise en charge par le prestataire sur la base d’une commande individuelle du client, aux frais de ce dernier. Dans des cas particuliers, définis par écrit par le client, une conservation ou, le cas échéant, une remise a lieu.
6. Le responsable du traitement autorise le traitement de données au domicile privé des salariés du sous-traitant (télétravail et travail à domicile). Lorsque des données sont traitées à domicile, le sous-traitant garantit que les mesures prévues à l'article 32 du RGPD sont également mises en œuvre pour le télétravail et le travail à domicile.
7. Dans la mesure où le prestataire fournit, au titre du présent contrat, des prestations qui ne sont pas rémunérées par le contrat principal, il peut exiger une rémunération adéquate.

11. Droits et obligations du donneur d’ordre

1. Le client est seul responsable de l’évaluation de la licéité du traitement des données personnelles ainsi que du respect des droits des personnes concernées.
2. Le client est tenu d’informer sans délai et par écrit, de manière complète, le prestataire s’il constate, lors de la vérification des résultats de la prestation, des erreurs ou des irrégularités en matière de protection des données.
3. Les obligations d’information résultant de l’article 33 du RGPD incombent au client.

12. Demandes des personnes concernées

1. Si, en vertu de la législation applicable en matière de protection des données, le responsable du traitement est tenu de fournir à une personne concernée des informations sur le traitement de ses données à caractère personnel, le sous-traitant assistera le responsable du traitement, dans la mesure nécessaire, dans la fourniture de ces informations, à condition que le responsable du traitement lui en ait fait la demande par écrit.
2. Le sous-traitant informera le responsable du traitement si des personnes concernées exercent leurs droits auprès du sous-traitant.

13. Coopération avec l’autorité de contrôle

Le donneur d’ordre et le prestataire, ainsi que, le cas échéant, leurs représentants, coopèrent, sur demande, avec l’autorité de contrôle pour l’exécution de ses missions.

14. Obligations de contrôle du client

Le responsable du traitement s’assure, avant le début du traitement des données puis régulièrement, des mesures techniques et organisationnelles mises en place par le sous-traitant et en documente le résultat. À cette fin, il peut notamment recueillir des autodéclarations du sous-traitant ou faire réaliser, à ses propres frais, un audit. En cas d’audit, le responsable du traitement supporte également les coûts du personnel du sous-traitant tenu d’y participer.

15. Sous-traitant

1. Le recours à des sous-traitants est possible dans le cadre du présent contrat et des activités précisées aux clauses 3, 4, 5 et 6, à condition que le prestataire s'assure que le sous-traitant assume les obligations issues du présent contrat envers le prestataire. Les exigences en matière de confidentialité, de protection des données et de sécurité des données définies dans le présent contrat s'appliquent en particulier.
2. Des droits de contrôle et de vérification doivent être accordés au donneur d’ordre conformément à la clause 14. Sur demande écrite, le donneur d’ordre est en droit d’obtenir du prestataire des informations sur le contenu essentiel du contrat et sur la mise en œuvre des obligations du sous-traitant en matière de protection des données, le cas échéant également par consultation des documents contractuels pertinents.
3. Le Prestataire est autorisé à recourir à des sous-traitants, à condition qu’ils satisfassent aux exigences prévues aux clauses 15.1 et 15.2, que le Prestataire en informe le Client et que ce dernier ne s’y oppose pas par écrit dans un délai de sept jours.
4. En cas de traitement de données à caractère personnel par des sous-traitants situés dans un pays tiers, le prestataire s’assure que ce traitement est effectué sur la base d’une décision d’adéquation de la Commission européenne ou, à défaut, qu’il intervient moyennant la mise en place de garanties appropriées conformément aux articles 46 et suivants, et à condition que les personnes concernées disposent de droits opposables et de voies de recours effectives.

16. Engagement de confidentialité

Le prestataire est tenu de préserver la confidentialité lors du traitement de données à caractère personnel. Le prestataire s’engage à respecter les mêmes règles de confidentialité que celles qui incombent au client. Le client est tenu de communiquer par écrit au prestataire toute règle particulière de confidentialité.

17. Dispositions générales, Obligations d'information, Clause de forme écrite, Choix de la loi applicable

1. Si des données à caractère personnel détenues par le sous-traitant sont menacées par une saisie ou une confiscation, par une procédure d’insolvabilité ou de règlement amiable, ou par d’autres événements ou mesures prises par des tiers, le sous-traitant en informera immédiatement le responsable du traitement. Le sous-traitant informera sans délai tous les responsables concernés que la maîtrise et la propriété des données à caractère personnel appartiennent exclusivement au responsable du traitement au sens du RGPD.
2. Le traitement des données à caractère personnel a lieu exclusivement sur le territoire de la République fédérale d’Allemagne, dans un État membre de l’Union européenne ou dans un autre État partie à l’Accord sur l’Espace économique européen. Tout transfert vers un pays tiers requiert l’accord préalable du client et ne peut intervenir que si les conditions particulières des articles 44, 45 et 46 du RGPD sont remplies. Dans la mesure où le traitement est effectué par un sous-traitant, le client donne par la présente son accord.
3. Les modifications et compléments apportés au présent contrat et à toutes ses composantes — y compris toute garantie ou déclaration éventuelle du prestataire — doivent faire l’objet d’un accord écrit et comporter une mention expresse indiquant qu’il s’agit d’une modification ou d’un complément au présent contrat. Il en va de même pour toute renonciation à cette exigence de forme.
4. Le droit allemand s’applique, à l’exclusion des règles de conflit de lois.
5. La juridiction compétente est celle découlant du contrat principal.