Avenant relatif au traitement des données du portail SecureChain

Date d'entrée en vigueur : 15 octobre 2026

Le présent avenant relatif au traitement des données du portail SecureChain (ci-après dénommé « DPA ») fait partie intégrante des conditions d’utilisation du portail SecureChain, du contrat de licence du portail SecureChain, ainsi que de toute commande ou autre accord écrit ou électronique conclu entre TuxCare, Inc. (« TuxCare ») et le client de TuxCare qui accepte le Contrat principal (« Client ») concernant le portail SecureChain, l’interface CLI associée et les workflows de soumission (collectivement, le « Service ») (le « Contrat principal »). Tous les termes en majuscules non définis dans les présentes ont la signification qui leur est donnée dans le Contrat principal. Le Client et TuxCare peuvent être désignés individuellement dans les présentes par le terme « Partie » et collectivement par le terme « Parties ».

Dans le cadre du Service, les Parties prévoient que TuxCare puisse traiter, en dehors de l’Espace économique européen (« EEE »), de la Suisse et du Royaume-Uni (« RU »), certaines Données à caractère personnel pour lesquelles le Client peut être, selon le cas, responsable du traitement ou sous-traitant, conformément aux lois applicables en matière de protection des données.

Les parties ont convenu de conclure le présent accord de traitement des données (DPA) afin de garantir la mise en place de garanties adéquates en matière de protection de ces données à caractère personnel, conformément aux lois applicables en matière de protection des données.

Dans le cadre de la fourniture du Service au Client conformément au Contrat-cadre, TuxCare peut être amenée à traiter des Données à caractère personnel pour le compte du Client. TuxCare s'engage à respecter les dispositions suivantes concernant toutes les Données à caractère personnel transmises par ou pour le compte du Client à TuxCare, ou collectées et traitées par ou pour le compte du Client via le Service.

1. DÉFINITIONS

Le terme « lois applicables en matière de protection des données » désigne l’ensemble des lois, règles et réglementations applicables en matière de protection des données, de confidentialité des données et de cybersécurité, partout dans le monde, qui sont en vigueur à tout moment, y compris, sans s’y limiter, (i) le règlement général sur la protection des données (RGPD) de l’Union européenne n° 2016/679, (ii) la loi fédérale suisse sur la protection des données du 25 septembre 2020, en vigueur depuis le 1er septembre 2023 (« LPD »), et (iii) en ce qui concerne le Royaume-Uni, le RGPD tel qu’il fait partie intégrante du droit britannique en vertu de l’article 3 de la loi de 2018 sur le retrait de l’Union européenne et de la loi de 2018 sur la protection des données.

Le terme « Données du client » désigne les données que le client ou ses utilisateurs transmettent au Service, notamment vers un espace de travail ou via l’interface de ligne de commande (CLI), ainsi que les données que le Service en tire, telles que définies plus en détail dans les Conditions d’utilisation du portail SecureChain et dans le Contrat de licence du portail SecureChain.

Le terme « Données à caractère personnel du client » désigne les données à caractère personnel contenues dans les données du client que TuxCare traite pour le compte du client.

Le terme « Cadre de protection des données » désigne le Cadre de protection des données UE-États-Unis, l’extension britannique du Cadre de protection des données UE-États-Unis, ainsi que le programme d’autocertification du Cadre de protection des données Suisse-États-Unis géré par le ministère américain du Commerce.

L’expression « instructions documentées » a le sens qui lui est donné à la clause 2.12.

Le terme « RGPD » désigne le règlement général sur la protection des données (règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données).

Le terme « Données à caractère personnel » désigne toute information relative à une personne physique identifiée ou identifiable qui concerne, décrit, peut être associée à ou pourrait être liée, directement ou indirectement, à une personne physique donnée, telle que définie par la législation applicable en matière de protection des données, et à laquelle TuxCare accède, qu’elle stocke ou traite de toute autre manière dans le cadre de la fourniture du Service au Client.

Les termes « traitement », « responsable du traitement », « personne concernée », « autorité de contrôle » et « sous-traitant » ont le sens qui leur est donné par les lois applicables en matière de protection des données.

Le terme « transfert soumis à restriction » désigne : (i) lorsque le RGPD s’applique, un transfert de données à caractère personnel via le Service depuis l’EEE, soit directement, soit par le biais d’un transfert ultérieur, vers tout pays ou destinataire situé en dehors de l’EEE et ne faisant pas l’objet d’une décision d’adéquation de la Commission européenne ; (ii) lorsque le RGPD britannique s’applique, un transfert de données à caractère personnel via le Service depuis le Royaume-Uni, soit directement, soit par le biais d’un transfert ultérieur, vers tout pays ou destinataire situé en dehors du Royaume-Uni et ne reposant pas sur des réglementations d’adéquation conformément à l’article 17A de la loi britannique de 2018 sur la protection des données ; et (iii) un transfert de données à caractère personnel via le Service depuis la Suisse, soit directement, soit par le biais d’un transfert ultérieur, vers tout pays ou destinataire situé en dehors de l’EEE et/ou de la Suisse et ne faisant pas l’objet d’une décision d’adéquation de la Commission européenne.

Le terme « SCC » désigne : (i) lorsque le RGPD s’applique, les clauses contractuelles annexées à la décision d’exécution 2021/914 de la Commission européenne du 4 juin 2021 relative aux clauses contractuelles types pour le transfert de données à caractère personnel vers des pays tiers (« SCC de l’UE ») ; (ii) lorsque le RGPD britannique s’applique, les clauses types de protection des données adoptées (« SCC britanniques ») ; et (iii) lorsque des données à caractère personnel sont transférées depuis la Suisse vers un pays situé en dehors de la Suisse ou de l’EEE, les SCC de l’UE telles que modifiées conformément aux orientations de l’Autorité suisse de protection des données (« SCC suisses »).

Le terme « sous-traitant » désigne tout tiers mandaté par TuxCare pour traiter les données à caractère personnel des clients pour le compte de TuxCare dans le cadre de la fourniture du Service, y compris tout tiers mandaté par ce sous-traitant.

On entend par « Avenant britannique » l’avenant relatif au transfert international de données aux clauses contractuelles types de l’UE, un instrument juridique élaboré par le Bureau du commissaire à l’information (ICO) du Royaume-Uni.

Le terme « lois étatiques américaines relatives à la protection de la vie privée » désigne l’ensemble des lois étatiques relatives à la protection et au traitement des données à caractère personnel en vigueur aux États-Unis d’Amérique, lesquelles peuvent inclure, sans s’y limiter, la loi californienne sur la protection de la vie privée des consommateurs (California Consumer Privacy Act), telle que modifiée par la loi californienne sur les droits à la vie privée (California Privacy Rights Act) et ses règlements d’application (« CCPA »), la loi du Colorado sur la protection de la vie privée, la loi du Connecticut sur la protection des données et la loi du Delaware sur la protection des données à caractère personnel.

Aux fins de la clause 7, les termes « prestataire de services », « sous-traitant », « vendre » et « partager » ont le sens qui leur est donné dans les lois des États américains relatives à la protection de la vie privée.

2. STATUT DES PARTIES

2.1 Le type de données à caractère personnel traitées en vertu du présent accord sur le traitement des données (DPA), ainsi que l'objet, la durée, la nature et la finalité du traitement, et les catégories de personnes concernées, sont décrits à l'annexe 1.

2.2 Chaque Partie garantit, en ce qui concerne les Données à caractère personnel, qu’elle se conformera (et veillera à ce que l’ensemble de son personnel s’y conforme et déploie des efforts commercialement raisonnables pour s’assurer que ses sous-traitants se conforment) aux Lois applicables en matière de protection des données. Entre les Parties, le Client est seul responsable de l’exactitude, de la qualité et de la légalité des Données à caractère personnel, ainsi que des moyens par lesquels il les a obtenues.

2.3 En ce qui concerne les Données à caractère personnel du Client, les Parties reconnaissent et conviennent que le Client est le responsable du traitement (ou, lorsque le Client agit pour le compte d’un autre responsable du traitement, le sous-traitant), et que TuxCare est le sous-traitant (ou le sous-traitant secondaire), selon le cas. TuxCare ne traitera les Données à caractère personnel du Client que conformément au présent Accord sur le traitement des données.

2.3.1 Le présent accord sur le traitement des données (DPA) s’applique aux données à caractère personnel contenues dans les données client que TuxCare traite conformément aux instructions du client. TuxCare agit en tant que responsable du traitement indépendant pour la gestion de ses propres comptes, la sécurité des accès, la facturation et les communications commerciales. La politique de confidentialité du portail SecureChain décrit ce traitement en tant que responsable du traitement. L’acceptation du contrat ne vaut pas consentement de la part de chaque personne mentionnée dans un référentiel ou une SBOM.

2.4 Si le Client est un sous-traitant établi dans l’UE, il garantit à TuxCare que ses instructions et actions concernant les Données à caractère personnel, y compris la désignation de TuxCare en tant qu’autre sous-traitant et la conclusion des CCT avec toutes leurs annexes pertinentes, ont été autorisées par le responsable du traitement concerné. Si le Client est un sous-traitant établi au Royaume-Uni, il garantit à TuxCare que ses instructions et actions concernant les Données à caractère personnel, y compris la désignation de TuxCare en tant qu’autre sous-traitant et la conclusion de l’avenant britannique, ont été autorisées par le responsable du traitement concerné. Si le Client est un sous-traitant établi en Suisse, il garantit à TuxCare que ses instructions et actions concernant les Données à caractère personnel, y compris la désignation de TuxCare en tant qu’autre sous-traitant et la conclusion des CCT requises pour les transferts internationaux de données conformément à la LPD suisse, ont été autorisées par le responsable du traitement concerné.

2.5 Chaque Partie désignera au sein de son organisation un délégué à la protection des données habilité à répondre, le cas échéant, aux demandes de renseignements concernant les données à caractère personnel ; les Parties communiqueront le nom de ce délégué à l'autre Partie, et celui-ci traitera ces demandes dans les meilleurs délais.

2.6 Pendant toute la durée du Contrat principal, le Client garantit en permanence que toutes les Données à caractère personnel fournies à TuxCare ont été collectées et transférées de manière licite, dans le plein respect des Lois applicables en matière de protection des données. Pendant la durée du présent ATD, le Client est seul responsable de s’assurer qu’il dispose et maintient une base légale valide au regard des lois applicables en matière de protection des données (y compris le consentement lorsque celui-ci est requis) pour le traitement par TuxCare des Données à caractère personnel du Client dans le cadre du Contrat principal et du présent ATD, ainsi que d’obtenir et de conserver toutes les autorisations nécessaires auprès des personnes concernées.

2.7 Le Client garantit avoir fourni aux personnes concernées toutes les informations et notifications nécessaires concernant le traitement de leurs Données à caractère personnel, y compris le recours à TuxCare, d’une manière transparente, intelligible et facilement accessible. Cela inclut les personnes dont les données à caractère personnel figurent dans les données du client sans pour autant faire partie du personnel de ce dernier, telles que les auteurs de paquets en amont, les contacts des fournisseurs et les auteurs de commits. La présente clause 2.7 s’applique uniquement aux données à caractère personnel que le client fournit ou met à la disposition de TuxCare, ou qu’il charge TuxCare de collecter.

2.8 Le Client garantit que les Données à caractère personnel fournies à TuxCare sont exactes et, le cas échéant, tenues à jour. Le Client informera TuxCare de toute correction ou suppression nécessaire pour garantir l'exactitude des données.

2.9 Le Client garantit que l’étendue des Données à caractère personnel communiquées se limite à ce qui est adéquat, pertinent et nécessaire au regard des finalités de leur traitement, telles que précisées dans le présent accord sur le traitement des données (DPA).

2.10 Le client garantit que les instructions qu’il donne à TuxCare concernant le traitement des données à caractère personnel seront à tout moment licites et conformes à la législation applicable en matière de protection des données.

2.11 Il incombe exclusivement au Client de déterminer si les mesures de sécurité mises en œuvre au sein du Service sont suffisantes pour lui permettre de respecter ses obligations en vertu des lois applicables en matière de protection des données. Il incombe également au Client de veiller à la sécurité d'utilisation du Service, y compris à la protection des Données à caractère personnel transmises vers et depuis le Service.

2.12 Instructions documentées. Les Parties conviennent que le présent ATD, le Contrat principal, la Documentation, ainsi que l’utilisation et la configuration du Service par le Client conformément au Contrat principal, constituent l’intégralité des instructions documentées fournies par le Client à TuxCare concernant le traitement des Données à caractère personnel du Client. En soumettant un inventaire, un rapport de dépendances ou une SBOM à un Espace de travail, le Client charge TuxCare de le stocker, de le comparer aux données des avis de sécurité et du catalogue, de le réévaluer à la lumière des avis publiés ultérieurement tant qu’il est conservé, de le comparer aux soumissions antérieures et postérieures, de générer des conclusions et des recommandations, et d’envoyer des alertes aux destinataires configurés par le Client. Toute instruction supplémentaire donnée pendant la durée du contrat doit être conforme au Contrat principal et à la nature du Service, et prend effet dès que TuxCare les a confirmées par écrit.

3. OBLIGATIONS DE TUXCARE

3.1 En ce qui concerne toutes les données à caractère personnel, TuxCare s'engage à :

(a) ne traiter les Données à caractère personnel que dans le but de fournir le Service, et agir uniquement conformément (i) au présent Accord sur le traitement des données, (ii) aux instructions écrites du Client telles qu’énoncées dans le Contrat principal et dans le présent Accord sur le traitement des données, et (iii) aux exigences des Lois applicables en matière de protection des données ;

(b) informer immédiatement le Client si, de l’avis de TuxCare, une instruction documentée enfreint les lois applicables en matière de protection des données, et TuxCare peut suspendre l’exécution de cette instruction jusqu’à ce que le Client la confirme, la modifie ou la retire. TuxCare n’est pas tenue de procéder à un examen juridique des instructions du Client ;

(c) mettre en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté aux risques liés au traitement des données à caractère personnel, notamment la protection contre la destruction accidentelle ou illicite, la perte, l’altération, la divulgation non autorisée ou l’accès non autorisé aux données à caractère personnel. Ces mesures comprennent, sans s’y limiter, les mesures de sécurité couramment adoptées conformément aux normes de sécurité reconnues, telles que SOC 2 Type II ou ISO 27001, et comme l’exigent les lois applicables en matière de protection des données ;

(d) prendre des mesures raisonnables pour s'assurer que seul le personnel autorisé ait accès à ces données à caractère personnel et que toute personne à laquelle elle accorde l'accès à ces données soit soumise à des obligations de confidentialité ;

(e) sans retard injustifié après en avoir pris connaissance, et en tout état de cause dans les vingt-quatre (24) heures suivant cette prise de connaissance, informer le Client de toute violation de sécurité entraînant la destruction, la perte, l’altération, la divulgation non autorisée ou l’accès non autorisé, de manière accidentelle ou illicite, aux Données à caractère personnel transmises, stockées ou traitées de toute autre manière par TuxCare, ses sous-traitants ou tout autre tiers identifié ou non identifié (une « Violation de sécurité »). La notification initiale doit contenir les faits dont TuxCare dispose raisonnablement à ce moment-là, et TuxCare doit fournir des informations complémentaires au fur et à mesure de l’avancement de son enquête et, en tout état de cause, dans un délai de soixante-douze (72) heures à compter de la prise de connaissance ;

(f) apporter sans délai au Client une coopération et une assistance raisonnables en cas de violation de la sécurité, ainsi que toutes les informations raisonnables dont dispose TuxCare concernant cette violation, dans la mesure où celle-ci affecte le Client, y compris, dans la mesure où elles sont alors connues : la cause possible et les conséquences de la violation de la sécurité pour les personnes concernées ; les catégories de données à caractère personnel concernées ; un résumé des conséquences possibles pour les personnes concernées ; un résumé des destinataires non autorisés des données à caractère personnel ; et les mesures prises par TuxCare pour atténuer tout préjudice ;

(g) ne pas faire de déclaration publique concernant une violation de sécurité (une « notification de violation ») sans le consentement écrit préalable du Client, sauf si les lois applicables en matière de protection des données l’exigent. Cela n’empêche pas TuxCare de publier un avis général concernant une violation de sécurité affectant plusieurs clients, sans identifier le Client ni ses données à caractère personnel ;

(h) informer sans délai le Client s’il reçoit une demande émanant d’une personne concernée du Client visant à accéder à ses Données à caractère personnel, à les rectifier ou à les effacer, ou si une personne concernée s’oppose au traitement de ces Données à caractère personnel ou formule une demande de portabilité des données à leur égard (chacune étant une « Demande de la personne concernée »). TuxCare ne répondra pas à une Demande de la personne concernée sans le consentement écrit préalable du Client, sauf pour confirmer que cette demande concerne le Client, ce à quoi le Client consent par les présentes. Dans la mesure où le Client n’est pas en mesure de répondre à une Demande de la personne concernée, TuxCare, à la demande du Client, fournira une assistance raisonnable au Client afin de faciliter le traitement de cette Demande de la personne concernée, dans la mesure de ses moyens et conformément aux Lois applicables en matière de protection des données. Dans la mesure où le Client ne répond pas, TuxCare peut répondre à la Demande de la personne concernée de la manière qu’elle juge appropriée. Le Client prendra en charge tous les frais raisonnables engagés par TuxCare dans le cadre de la fourniture de cette assistance ou de cette réponse ;

(i) à la suite de la résiliation, de l’expiration ou de l’achèvement du Service, restituer ou supprimer les Données personnelles du Client conformément à ses instructions, y compris les copies, sauf si la législation applicable impose leur conservation. La suppression intervient dans les délais indiqués à l’annexe 1(h), et la suppression des copies de sauvegarde peut être reportée jusqu’à ce que ces copies soient écrasées dans le cadre du cycle de sauvegarde standard de TuxCare. Pendant cette période, TuxCare limite le traitement au stockage, à la sécurité, à la conservation légale et à la restitution ou à la suppression autorisées. Une sauvegarde restaurée reste soumise à l’instruction de suppression. L’annexe 1 décrit les modalités de conservation ;

(j) compte tenu de la nature du traitement et des informations dont dispose TuxCare, fournir au Client l’assistance que celui-ci peut raisonnablement demander en rapport avec les obligations de TuxCare au titre des lois applicables en matière de protection des données, notamment en ce qui concerne (i) les analyses d’impact relatives à la protection des données, (ii) des notifications à l’autorité de contrôle en vertu des lois applicables en matière de protection des données et/ou des communications adressées aux personnes concernées par le Client en réponse à toute violation de sécurité, et (iii) du respect par le Client de ses obligations en vertu des lois applicables en matière de protection des données en ce qui concerne la sécurité du traitement, à condition que le Client prenne en charge tous les coûts raisonnables engagés par TuxCare dans le cadre de la fourniture de cette assistance ;

(k) fournir au Client des informations sur la région et le pays où les Données à caractère personnel sont stockées et traitées par TuxCare ou pour son compte ;

(l) ne communiquer l'adresse exacte des installations concernées qu'en cas de demande expresse d'une autorité de contrôle compétente et si cette communication est nécessaire pour s'acquitter de ses obligations en vertu des lois applicables en matière de protection des données ;

(m) tenir un registre de toutes les catégories d’activités de traitement effectuées pour le compte du client, conformément à l’article 30, paragraphe 2, du RGPD, et le mettre à la disposition de l’autorité de contrôle sur demande ; et

(n) coopérer, sur demande, avec l'autorité de contrôle compétente dans l'exercice de ses missions.

3.2 TuxCare ne traitera pas les données à caractère personnel du Client à ses propres fins. Tout traitement par TuxCare de données issues du Service à ses propres fins se limite au traitement décrit à la clause 2.3.1 comme ne relevant pas du présent accord sur le traitement des données (DPA) et est détaillé dans la politique de confidentialité du portail SecureChain.

3.3 Si TuxCare reçoit d’une autorité publique une demande juridiquement contraignante visant la divulgation de Données à caractère personnel du Client, TuxCare devra : (a) dans la mesure du possible, renvoyer l’autorité vers le Client ; (b) en informer sans délai le Client, sauf si la loi l’interdit ; (c) examiner la légalité de la demande et la contester s’il existe des motifs raisonnables de la considérer comme illégale au regard de la législation applicable à TuxCare ; et (d) ne divulguer que le minimum d’informations requises. TuxCare ne divulguera pas les données à caractère personnel du client à une autorité publique de son plein gré. La présente clause s’applique que le traitement implique ou non un transfert soumis à des restrictions.

4. SOUS-TRAITANCE

4.1 Le Client accorde à TuxCare une autorisation générale écrite lui permettant de faire appel à des sous-traitants pour la fourniture du Service. Les sous-traitants auxquels il est fait appel à la Date d’entrée en vigueur sont répertoriés à l’annexe 3, qui précise pour chaque sous-traitant son nom, son lieu d’implantation, le traitement qu’il effectue et le mécanisme de transfert utilisé. Les sous-traitants sont sollicités uniquement pour l’hébergement, le stockage et la sauvegarde, l’envoi de notifications, la surveillance, les outils d’assistance et d’autres fonctions nécessaires à la fourniture du Service.

4.2 TuxCare informera le Client de tout ajout ou remplacement prévu d’un sous-traitant, conformément à la clause 4.4. Le Client peut s’y opposer pour des motifs raisonnables liés à la protection des données, par notification écrite adressée à [email protected] dans un délai de trente (30) jours à compter de la notification. Les Parties examineront cette objection de bonne foi. Si les Parties ne parviennent pas à résoudre l’objection dans les trente (30) jours suivant la notification du Client, ce dernier pourra, à titre de seul recours, résilier l’Abonnement concerné ou supprimer l’Espace de travail concerné, et TuxCare remboursera les frais prépayés correspondant à la partie non utilisée de la durée de l’Abonnement. Si le Client ne s’oppose pas dans le délai susmentionné, il est réputé avoir autorisé le sous-traitant.

4.3 TuxCare s’engage à conclure avec chaque sous-traitant un contrat écrit imposant à ce dernier les mêmes obligations en matière de protection des données que celles imposées à TuxCare dans le présent accord sur le traitement des données. En cas de manquement d’un sous-traitant à ses obligations en matière de protection des données, TuxCare reste entièrement responsable envers le client de l’exécution des obligations dudit sous-traitant. TuxCare fournira au Client, sur demande, une copie des clauses relatives à la protection des données figurant dans ses contrats avec les sous-traitants, expurgée de toute information commerciale.

4.4 TuxCare informera le Client de l'ajout ou du remplacement d'un sous-traitant au moins trente (30) jours avant que ce dernier ne commence à traiter les données à caractère personnel du Client.

5. AUDIT ET DOCUMENTATION

5.1 TuxCare s'engage, conformément à la législation applicable en matière de protection des données, à mettre à la disposition du Client les informations en sa possession ou sous son contrôle que ce dernier est en droit de demander de manière raisonnable, afin de démontrer que TuxCare respecte les obligations qui incombent aux sous-traitants en vertu de la législation applicable en matière de protection des données, en ce qui concerne le traitement des données à caractère personnel du Client.

5.2 Le Client peut exercer son droit d'audit en vertu des lois applicables en matière de protection des données concernant ses Données à caractère personnel par l'intermédiaire de TuxCare, à condition que :

(a) un rapport d’audit datant de moins de dix-huit (18) mois, établi par un auditeur externe indépendant, démontrant que les mesures techniques et organisationnelles de TuxCare sont suffisantes et conformes à une norme d’audit reconnue dans le secteur, lorsqu’un tel rapport est disponible, ainsi que la documentation relative à la sécurité de TuxCare et les réponses écrites au questionnaire de sécurité raisonnable du Client, fournies au maximum une fois par période de douze (12) mois ;

(b) les informations complémentaires détenues ou contrôlées par TuxCare à l’autorité de contrôle lorsque celle-ci sollicite ou exige des informations complémentaires concernant le traitement des données à caractère personnel des clients effectué par TuxCare en vertu du présent accord sur le traitement des données ; et

(c) si le Client demande un audit allant au-delà des éléments décrits aux points (a) et (b), cet audit sera réalisé au maximum une fois par période de douze (12) mois, moyennant un préavis écrit raisonnable, pendant les heures normales de travail et de manière à ne pas perturber les activités de TuxCare. Le Client prendra en charge les frais raisonnables engagés par TuxCare dans le cadre d’un tel audit.

6. TRANSFERTS DE DONNÉES

6.1 Mécanisme principal — Cadre de protection des données. TuxCare, Inc. adhère au Cadre de protection des données et certifie sa conformité à celui-ci. Tant que cette certification est en vigueur et couvre les données à caractère personnel en question, TuxCare s'appuie sur le Cadre de protection des données pour recevoir les données à caractère personnel transférées depuis l'EEE, le Royaume-Uni et la Suisse vers les États-Unis, et garantira à ces données au moins le même niveau de protection que celui requis par les principes du Cadre de protection des données.

6.2 Mécanisme de secours — Clauses contractuelles types. Lorsque le Cadre de protection des données ne couvre pas un transfert, cesse d’être un mécanisme de transfert valable, ou est suspendu, invalidé ou retiré, les clauses contractuelles types de l’UE s’appliquent automatiquement aux transferts soumis à des restrictions depuis l’EEE sans qu’aucune des parties n’ait à prendre de mesures supplémentaires. Les clauses contractuelles types de l’UE sont réputées conclues et intégrées au présent accord de traitement des données par référence, et sont complétées comme suit :

(a) Le client est l’« exportateur de données » et TuxCare est l’« importateur de données » ;

(b) Le module n° 2 (Responsable du traitement à sous-traitant) s'applique lorsque le Client est responsable du traitement des données à caractère personnel du Client et que TuxCare est sous-traitant. Le module n° 3 (Sous-traitant à sous-traitant) s'applique lorsque le Client est un sous-traitant agissant pour le compte d'un autre responsable du traitement ou sous-traitant, et que TuxCare est un sous-traitant secondaire ;

(c) à la clause 7, la clause facultative de déduction s'applique ;

(d) à la clause 9, l’option 2 (autorisation générale écrite) s’applique, et le délai de préavis pour tout changement concernant les sous-traitants secondaires est de trente (30) jours, conformément à la clause 4.4 du présent accord sur le traitement des données ;

(e) à la clause 11, la disposition facultative ne s'applique pas ;

(f) à l'article 13, l'autorité de contrôle compétente est désignée conformément aux dispositions dudit article ;

(g) à l'article 17, l'option 1 s'applique, et les clauses contractuelles types de l'UE sont régies par le droit néerlandais ;

(h) à l'article 18, point b), les litiges sont tranchés par les tribunaux des Pays-Bas ;

(i) L’annexe I des clauses contractuelles types de l’UE est complétée par les informations figurant à l’annexe 1 du présent accord sur le traitement des données. Aux fins de l’annexe I.A, l’exportateur de données est le Client tel qu’identifié lors de l’acceptation du Contrat-cadre ou dans la Commande, et l’importateur de données est TuxCare, Inc., 20791 Three Oaks Pkwy, #980, Estero, FL 33929, États-Unis ([email protected]). L’acceptation du Contrat-cadre vaut signature de l’annexe I ;

(j) l’annexe II des clauses contractuelles types de l’UE est complétée par la clause 3.1(c) et l’annexe 2 du présent accord sur le traitement des données ; et

(k) L'annexe III des clauses contractuelles types de l'UE est complétée par la liste des sous-traitants figurant à l'annexe 3.

6.3 Royaume-Uni. En ce qui concerne les transferts de données à caractère personnel soumis au RGPD britannique, les clauses contractuelles types de l’UE (i) s’appliquent telles que complétées conformément à la clause 6.2 ci-dessus, et (ii) sont réputées modifiées conformément aux dispositions de l’addendum britannique, qui est réputé signé par les parties et fait partie intégrante du présent accord sur le traitement des données. Les tableaux 1 à 3 de la partie 1 de l’addendum britannique sont réputés remplis avec les informations figurant dans le présent accord de traitement des données, dans l’annexe 1 et aux clauses 3.1(c) et 4. Le tableau 4 de la partie 1 est réputé rempli en sélectionnant « aucune des parties ». Tout conflit entre les clauses contractuelles types de l’UE et l’addendum britannique est résolu conformément aux sections 10 et 11 de l’addendum britannique.

6.4 Suisse. En ce qui concerne les transferts de données à caractère personnel protégées par la LPD suisse, les CCT de l’UE (i) s’appliquent telles que complétées conformément à la clause 6.2, et (ii) sont réputées modifiées comme suit : les références au « règlement (UE) 2016/679 » sont interprétées comme des références à la LPD suisse ; à la clause 13, l’autorité de contrôle compétente est le Préposé fédéral à la protection des données et à l’information ; à la clause 17, les CCT de l’UE sont régies par le droit suisse ; à la clause 18, point b), les litiges sont tranchés par les tribunaux suisses ; les références aux États membres s’entendent comme incluant la Suisse ; et les personnes concernées en Suisse ne sont pas empêchées de faire valoir leurs droits sur leur lieu de résidence habituel, conformément à la clause 18, point c).

6.5 Transferts ultérieurs par des sous-traitants secondaires. Si TuxCare transfère des données à caractère personnel à un sous-traitant secondaire situé en dehors de l’EEE, du Royaume-Uni ou de la Suisse, TuxCare s’assurera, avant ce transfert, qu’un mécanisme de transfert valide est en place, qu’il s’agisse soit de la certification active du sous-traitant secondaire au titre du « Data Privacy Framework », soit des clauses contractuelles types (SCC) (accompagnées, le cas échéant, de l’avenant britannique ou des amendements suisses) signées au profit du Client. TuxCare a évalué, et continue d’examiner, les législations et pratiques de chaque pays situé en dehors de l’EEE, du Royaume-Uni et de la Suisse vers lequel les Données à caractère personnel du Client sont transférées, conformément à la clause 14 des CCT de l’UE, et fournit au Client, sur demande, un résumé de cette évaluation.

6.6 Audit et sous-traitance en vertu des CCT. Le Client peut exercer son droit d’audit en vertu de la clause 8.9 des CCT de l’UE, conformément aux dispositions de la clause 5.2 du présent ATD et sous réserve des exigences de celle-ci. TuxCare peut désigner des sous-traitants conformément aux dispositions des clauses 4 et 6.5 du présent ATD et sous réserve des exigences de celles-ci.

6.7 Mécanismes alternatifs. Si TuxCare est tenue d’adopter un mécanisme de transfert alternatif en vertu des lois applicables en matière de protection des données, ce mécanisme s’appliquera automatiquement à la place des mécanismes décrits ci-dessus, dans la mesure où il est conforme aux lois applicables en matière de protection des données, et le Client s’engage à signer les documents ou à prendre les mesures qui pourraient raisonnablement s’avérer nécessaires pour lui conférer une valeur juridique.

7. DISPOSITIONS SUPPLÉMENTAIRES EN VERTU DES LOIS AMÉRICAINES SUR LA PROTECTION DE LA VIE PRIVÉE

7.1 Les conditions suivantes s’appliquent lorsque TuxCare traite des données à caractère personnel soumises aux lois sur la protection de la vie privée des États américains. Dans la mesure où les données à caractère personnel du Client comprennent des informations personnelles protégées en vertu des lois sur la protection de la vie privée des États américains que TuxCare traite en tant que prestataire de services ou sous-traitant pour le compte du Client, TuxCare traitera ces données à caractère personnel du Client conformément aux lois sur la protection de la vie privée des États américains, notamment en se conformant aux dispositions applicables de ces lois et en assurant le même niveau de protection de la vie privée que celui requis par celles-ci, ainsi qu’en respectant les instructions écrites du Client, dans la mesure nécessaire aux fins limitées et spécifiques identifiées dans le présent ATD. TuxCare s’engage à ne pas :

(a) conserver, utiliser, divulguer ou traiter de quelque manière que ce soit les Données à caractère personnel du Client à des fins commerciales autres que celles, limitées et spécifiées, identifiées dans le présent Accord sur le traitement des données (DPA), dans le Contrat principal ou autorisées par ailleurs en vertu des lois des États américains relatives à la protection de la vie privée ;

(b) « vendre » ou « partager » ces données à caractère personnel des clients au sens des lois américaines sur la protection de la vie privée ; ou

(c) conserver, utiliser, divulguer ou traiter de toute autre manière ces Données à caractère personnel du Client en dehors du cadre de la relation commerciale directe avec ce dernier, ou combiner ces Données à caractère personnel du Client avec des informations à caractère personnel provenant d’autres sources, sauf dans les cas autorisés par les lois des États américains relatives à la protection de la vie privée.

7.2 TuxCare mettra en œuvre des mesures destinées à garantir la sécurité des données à caractère personnel, en assurant un niveau de protection de la vie privée conforme aux exigences des lois des États américains en matière de protection de la vie privée.

7.3 TuxCare accordera un accès raisonnable aux informations nécessaires pour permettre au Client de vérifier que TuxCare respecte le présent accord sur le traitement des données.

7.4 Les parties reconnaissent et conviennent que l'échange de données à caractère personnel entre elles ne fait pas l'objet d'une contrepartie pécuniaire ou de toute autre contrepartie de valeur échangée entre elles dans le cadre du contrat principal ou du présent accord sur le traitement des données.

8. GÉNÉRALITÉS

8.1 Le présent accord sur le traitement des données (DPA) ne porte pas atteinte aux droits et obligations des parties au titre du contrat principal, qui continue de produire tous ses effets. En cas de conflit entre les dispositions du présent DPA et celles du contrat principal, les dispositions du présent DPA prévaudront dans la mesure où l’objet concerne le traitement des données à caractère personnel.

8.2 La responsabilité de TuxCare au titre du présent accord sur le traitement des données (DPA) ou en rapport avec celui-ci est soumise aux limitations de responsabilité prévues dans le contrat principal. Aucune disposition du présent DPA ne limite ni n’exclut une responsabilité qui ne peut être limitée ou exclue en vertu de la législation applicable.

8.3 Le présent accord sur le traitement des données ne confère aucun droit à des tiers bénéficiaires ; il est destiné exclusivement au bénéfice des parties aux présentes et de leurs successeurs et ayants droit autorisés respectifs, et ne profite à aucune autre personne, ni ne peut faire l’objet d’une exécution par une autre personne, à l’exception des droits des tiers bénéficiaires conférés aux personnes concernées en vertu des clauses contractuelles types.

8.4 Le présent accord sur le traitement des données (DPA) et toute action s'y rapportant seront régis et interprétés conformément aux lois de l'État du Delaware, sans qu'il soit donné effet aux principes de conflit de lois, sauf disposition contraire des clauses contractuelles types (SCC). Les parties acceptent la compétence personnelle et le lieu de juridiction des tribunaux du Delaware.

8.5 Le présent ATD constitue l’accord définitif, complet et exclusif entre les Parties concernant l’objet des présentes et remplace et fusionne toutes les discussions et tous les accords antérieurs entre les Parties concernant cet objet. À l’exception des déclarations faites de manière frauduleuse, aucune autre déclaration ni condition ne s’appliquera ni ne fera partie intégrante du présent ATD. Aucune modification, aucun amendement ni aucune renonciation à un droit prévu par le présent ATD ne prendra effet à moins d’avoir été convenu par écrit, ce qui inclut l’acceptation électronique par le Client d’une version mise à jour du présent ATD selon les mêmes modalités que celles prévues pour le Contrat principal. Le présent ATD peut être signé en plusieurs exemplaires, dont chacun sera réputé être un original, mais qui, pris dans leur ensemble, constitueront un seul et même accord. Lorsque le présent ATD est signé séparément, chaque personne qui le signe déclare et garantit qu’elle est dûment habilitée et qu’elle dispose de la capacité juridique nécessaire pour signer et remettre le présent ATD. Chaque Partie déclare et garantit à l’autre que la signature et la remise du présent ATD, ainsi que l’exécution des obligations de cette Partie en vertu des présentes, ont été dûment autorisées et que le présent ATD constitue un accord valide et juridiquement contraignant pour chacune de ces Parties, exécutoire conformément à ses termes.

Le présent accord sur le traitement des données (DPA) fait partie intégrante du contrat principal et est accepté par le client au même titre que ce dernier. Aucune signature distincte n'est requise pour que le présent DPA prenne effet. Si un client a besoin d'un exemplaire du présent DPA signé séparément, TuxCare lui en fournira un sur simple demande.

ANNEXE 1 – INFORMATIONS DÉTAILLÉES SUR LES DONNÉES À CARACTÈRE PERSONNEL ET LES OPÉRATIONS DE TRAITEMENT

(a) La nature du traitement des données à caractère personnel est soumise aux dispositions suivantes, dans la mesure où les lois applicables en matière de protection des données et le contrat-cadre le permettent :

Réception des données, y compris leur collecte, leur consultation et leur enregistrement ;
Gestion des données, notamment leur stockage, leur organisation et leur structuration ;
Utilisation des données, notamment à des fins d'analyse, de conseil et de test ;
Protection des données, y compris leur restriction ;
Effacement des données, y compris leur destruction et leur suppression.

(b) L’objectif est de fournir le Service conformément aux Instructions documentées. Cela inclut le stockage des inventaires et des soumissions brutes, la mise en correspondance avec les avis de sécurité, la réévaluation des analyses conservées par rapport aux avis publiés ultérieurement, la comparaison des analyses, ainsi que le stockage des résultats et des enregistrements de triage. Cela inclut également les notifications configurées, les analyses d’images autorisées, l’assistance, la sécurité du service, ainsi que l’exportation ou la suppression des données. TuxCare ne publie ni ne vend les données client non publiques, ne les utilise pas à des fins publicitaires et ne les utilise pas pour entraîner un modèle d’IA à usage général sans l’autorisation distincte du client.

(c) Les données à caractère personnel du client peuvent inclure les éléments suivants, dans la mesure où le client les communique ou demande à TuxCare de les collecter :

Les identifiants présents dans les URL des dépôts, les noms de branches, les métadonnées des commits, les étiquettes de projet, les coordonnées des paquets et les chemins relatifs.
Les noms, les coordonnées professionnelles et autres identifiants figurant dans les champs relatifs aux auteurs de la SBOM, aux fournisseurs, aux informations de licence, aux commentaires ou aux documents supplémentaires.
Les adresses IP d'origine et les identifiants de compte, d'analyse ou d'intégration associés aux soumissions du client.
Données à caractère personnel figurant dans les résultats, les notes de triage, les destinataires des notifications, les demandes d'assistance ou les informations diagnostiques demandées.
Les identifiants fournis par le client via les contrôles prévus à cet effet pour les analyses de registre ou les intégrations, lorsqu'ils se rapportent à une personne.
Données utilisateur de l’espace de travail : adresses e-mail, identifiants de compte auprès du fournisseur d’identité, rôles, appartenance à un service, heure de la dernière connexion et de l’acceptation des conditions générales, ainsi que les entrées du journal d’audit (y compris les adresses e-mail et réseau) des utilisateurs autorisés du Client, dans la mesure où elles sont mises à la disposition du Client dans le cadre du Service.
Enregistrer les noms et adresses e-mail des auteurs et des contributeurs des commits, lorsqu'ils figurent dans les métadonnées des commits ou dans les SBOM.
Contenu de l'image de conteneur récupéré dans le cadre d'une analyse autorisée du registre. TuxCare conserve l'image dans un espace de stockage temporaire uniquement dans le but de générer un inventaire (SBOM) et la supprime une fois l'analyse terminée. TuxCare conserve l'inventaire avec les données de l'espace de travail et le supprime conformément au paragraphe (h).
Adresses e-mail des personnes invitées à rejoindre l'espace de travail par les administrateurs du client.

Les noms de paquets, les versions, les graphiques, les hachages, les résumés d'images et les données relatives au système d'exploitation constituent des données techniques. Elles peuvent devenir des données à caractère personnel lorsqu'elles sont associées à des personnes physiques. Le portail peut conserver l'intégralité du document soumis, y compris les champs qu'il n'utilise pas à des fins d'analyse. La soumission standard d'une dépendance ne nécessite pas de code source, de données à caractère personnel sensibles, de mots de passe ni de clés privées.

(d) Le traitement se poursuit pendant la durée nécessaire à la fourniture du Service conformément aux instructions du Client. La restitution et la suppression à l'issue de cette période sont régies par la clause 3.1(i) et le paragraphe (h).

(e) Transfert de données sensibles : Les parties ne prévoient pas de transfert de données sensibles.

(f) Les personnes concernées peuvent être les salariés, les prestataires, les administrateurs et les interlocuteurs des prestataires de services du Client. Elles peuvent également inclure des auteurs, des fournisseurs et d’autres personnes dont les identifiants apparaissent de manière accessoire dans les documents transmis par le Client. Le Client reste responsable des notifications, des instructions légales et de l’autorisation de communiquer leurs données.

(g) Les données à caractère personnel sont stockées et traitées dans les régions et pays suivants :

hébergement de serveurs et de bases de données — Hetzner Online GmbH, Falkenstein, Allemagne (UE) ;
sauvegardes et archives — Hetzner Online GmbH, Allemagne (UE), et Amazon Web Services, Inc., États-Unis ;
DNS et acheminement des e-mails Workspace — Cloudflare, Inc., États-Unis ;
Service de messagerie professionnelle et de stockage de documents utilisé par le personnel de TuxCare — Google LLC, États-Unis.

Le mécanisme de transfert applicable à chaque fournisseur est décrit à l'annexe 3. TuxCare informera le Client de toute modification apportée aux régions et pays énumérés dans le présent paragraphe, conformément aux clauses 3.1(k) et 4.4.

(h) Durée et conservation. TuxCare traite les Données à caractère personnel du Client pendant toute la durée du Contrat principal et pendant la période nécessaire à leur restitution ou à leur suppression, conformément à la clause 3.1(i). Le Client peut supprimer l’Espace de travail à tout moment à l’aide des commandes fournies dans le Service ; l’Espace de travail est immédiatement désactivé, et ses données sont définitivement supprimées de la base de données active trente (30) jours après la suppression. Le Service conserve un nombre limité d’analyses par référentiel et supprime automatiquement les analyses les plus anciennes ; l’historique des résultats peut subsister après la suppression d’une analyse ancienne. Un Espace de travail gratuit inactif peut être désactivé : TuxCare en informe le Client après environ douze (12) mois d’inactivité, peut suspendre l’Espace de travail après environ treize (13) mois et peut le supprimer après environ quinze (15) mois, et met à la disposition du Client une exportation d’archive des données de l’Espace de travail avant la suppression. Une sauvegarde restaurée reste soumise à l’instruction de suppression du Client. TuxCare applique la clause 3.1(i) à toutes ces copies. Une archive ne confère pas le droit de conserver les Données personnelles du Client à des fins sans rapport avec celle-ci. La conservation requise par la loi applicable reste soumise à un accès restreint et à la limitation de la finalité.

ANNEXE 2 – MESURES TECHNIQUES ET ORGANISATIONNELLES

La présente annexe décrit les mesures de contrôle applicables au service hébergé concerné. Elle complète la clause 3.1(c) ainsi que les informations figurant à l'annexe II des SCC. Un cahier des charges de sécurité distinct régit tout engagement plus strict relevant de son champ d'application.

Le service hébergé utilise le protocole HTTPS pour le trafic des clients et des cookies de session sécurisés pour l'accès via le navigateur.
L'identité de l'espace de travail et l'autorisation limitent l'accès au compte sélectionné. Les rôles, services et champs d'application des jetons pris en charge restreignent les actions autorisées et les référentiels accessibles.
L'application hébergée utilise des contrôles de base de données pour restreindre l'accès des locataires. Les accès privilégiés des services et des opérateurs relèvent d'autorisations distinctes.
Le service protège les informations confidentielles du registre et du fournisseur d'identité à l'aide d'un chiffrement authentifié. Cette affirmation ne signifie pas que chaque champ de la base de données est chiffré.
Le service enregistre les actions liées aux comptes et les événements d'accès opérationnels afin de renforcer la sécurité et de faciliter les enquêtes.
Avant d'enregistrer une numérisation, le module de réception vérifie les formats de documents pris en charge, l'authentification, la taille du corps du message et la portée du jeton concerné.
TuxCare restreint l'accès du personnel et impose des obligations de confidentialité conformément à la clause 3.1(d).
Les membres de l'équipe d'assistance de TuxCare utilisent une vue en lecture seule d'un espace de travail pour fournir leur assistance.
La sauvegarde, la restauration, la suppression des données et la gestion des incidents sont régies par les modalités de service notifiées et par le présent accord sur le traitement des données (DPA).

Ces mesures ne signifient pas que le portail SecureChain dispose d’une certification particulière. Elles ne modifient pas l’obligation de notification des violations prévue à la clause 3.1(e) ni les droits prévus dans les CCT applicables.

ANNEXE 3 – LISTE DES SOUS-TRAITANTS

TuxCare fait appel aux sous-traitants suivants. Le mécanisme de transfert utilisé pour chaque sous-traitant est indiqué dans le tableau. Tout sous-traitant ajouté en vertu de la clause 4.4 sera répertorié ici, accompagné de son mécanisme de transfert.

Sous-traitant	Localisation	Certification de sécurité	Finalité du traitement	Mécanisme de transfert
Hetzner Online GmbH	Falkenstein, Allemagne	ISO 27001	Hébergement de serveurs et de bases de données Sauvegardes	Non obligatoire (EEE)
Amazon Web Services, Inc.	Virginie du Nord et Ohio, États-Unis	ISO 27001 SOC 2 Type 2	Stockage de sauvegarde et d'archivage	Cadre relatif à la protection des données ; clauses contractuelles types (SCC) en tant que solution de repli (clause 6.5)
Cloudflare, Inc.	États-Unis (réseau mondial)	ISO 27001 SOC 2 Type 2	DNS pour les domaines du service Envoi des e-mails Workspace (service de messagerie Cloudflare)	Cadre relatif à la protection des données ; clauses contractuelles types (SCC) en tant que solution de repli (clause 6.5)
Google LLC	États-Unis	ISO 27001 SOC 2 Type 2	Messagerie professionnelle et stockage de documents (Google Workspace) utilisés par le personnel de TuxCare, notamment pour la correspondance liée à l'assistance	Cadre relatif à la protection des données ; clauses contractuelles types (SCC) en tant que solution de repli (clause 6.5)