Accord de traitement des données

1.Objet et application du présent accord

1.1  Le Client utilise les services en ligne de quiz, d’enquête, d’évaluation et de cours de Quiz Maker (les « Services ») en vertu des conditions d’utilisation de Quiz Maker (les « Conditions d’utilisation »). Lorsque des personnes ouvrent les quiz du Client ou y répondent, Quiz Maker traite leurs données à caractère personnel pour le compte du Client.

1.2  Le présent accord de traitement des données (« DPA ») définit les conditions de ce traitement conformément à l’article 28 du GDPR (règlement général sur la protection des données, RGPD) et fournit une base légale pour le transfert de ces données à caractère personnel en dehors de l’Espace économique européen.

1.3  Le présent DPA est conclu entre My Plaza Pty Ltd (ABN 58 110 054 245), exerçant sous le nom de Quiz Maker (« Quiz Maker »), et le client titulaire d’un compte Quiz Maker (le « Client »). Il fait partie des Conditions d’utilisation et s’applique automatiquement, sans signature, chaque fois que Quiz Maker traite des Données à caractère personnel du Client soumises aux Lois sur la protection des données. Le Client l’accepte en acceptant les Conditions d’utilisation.

1.4  Le Client qui a besoin d’un exemplaire signé peut en faire la demande via le formulaire de contact de Quiz Maker. Un exemplaire signé contient les mêmes stipulations que le présent DPA.

1.5  En cas de contradiction, l’ordre de priorité suivant s’applique : d’abord les CCT (lorsqu’elles s’appliquent), puis le présent DPA, puis les Conditions d’utilisation. À tous autres égards, les Conditions d’utilisation continuent de s’appliquer.

2.Définitions

Les termes utilisés dans le présent DPA sans y être définis (tels que responsable du traitement, sous-traitant, personne concernée, données à caractère personnel, traitement et autorité de contrôle) ont le sens que leur donne le GDPR. En outre :

3.Rôles et champ d’application

3.1  Le Client est le responsable du traitement des Données à caractère personnel du Client et Quiz Maker est son sous-traitant.

3.2  Quiz Maker est le responsable du traitement des informations relatives au compte, à la connexion et à la facturation du Client lui-même, qu’il traite conformément à sa politique de confidentialité et de sécurité. Ces informations ne constituent pas des Données à caractère personnel du Client et le présent DPA ne s’y applique pas.

3.3  Il incombe au Client de disposer d’une base légale pour collecter des Données à caractère personnel du Client via ses quiz, de fournir les informations aux personnes concernées et d’obtenir leur consentement (y compris tout consentement requis pour les cookies ou technologies similaires sur ses quiz et sur les sites web où il les intègre), et de ne pas collecter de catégories particulières de données à caractère personnel ni d’autres données interdites par les Conditions d’utilisation, sauf accord écrit de Quiz Maker.

4.Traitement sur instruction du Client

4.1  Quiz Maker ne traite les Données à caractère personnel du Client que sur instruction documentée du Client, y compris en ce qui concerne les transferts vers un pays tiers. Les instructions du Client sont constituées par le présent DPA, les Conditions d’utilisation et l’utilisation et la configuration des Services par le Client (par exemple la publication d’un quiz, le choix des questions posées, l’activation des e-mails de résultats ou des Fonctionnalités d’IA, et l’exportation ou la suppression de participations).

4.2  Quiz Maker ne peut traiter autrement les Données à caractère personnel du Client que si le droit de l’Union ou le droit de l’État membre auquel il est soumis l’y oblige. Dans ce cas, il informe le Client de cette obligation juridique avant le traitement, sauf si la loi interdit une telle information pour des motifs importants d’intérêt public.

4.3  Quiz Maker informe sans délai le Client si, selon lui, une instruction constitue une violation des Lois sur la protection des données.

4.4  Quiz Maker ne vend pas les Données à caractère personnel du Client, ne les utilise pas à des fins publicitaires ni pour entraîner des modèles d’intelligence artificielle, et ne les utilise pas autrement à ses propres fins, sauf pour établir des statistiques agrégées ne permettant d’identifier ni le Client ni aucune personne concernée, comme décrit dans les Conditions d’utilisation.

5.Confidentialité

5.1  Quiz Maker veille à ce que toute personne qu’il autorise à traiter les Données à caractère personnel du Client soit soumise à une obligation de confidentialité appropriée, et à ce que l’accès soit limité au personnel qui en a besoin pour fournir, sécuriser et assister les Services.

6.Sécurité

6.1  Quiz Maker met en œuvre et maintient les mesures techniques et organisationnelles décrites à l’annexe II pour protéger les Données à caractère personnel du Client, conformément à l’article 32 du GDPR.

6.2  Quiz Maker peut mettre à jour ces mesures en fonction de l’évolution des technologies et des menaces, à condition que le niveau global de protection ne soit pas sensiblement réduit.

7.Sous-traitants ultérieurs

7.1  Le Client donne à Quiz Maker une autorisation écrite générale de recruter des sous-traitants ultérieurs. Les sous-traitants ultérieurs énumérés à l’annexe III sont autorisés.

7.2  Quiz Maker publie la liste à jour des sous-traitants ultérieurs à l’annexe III du présent DPA, à l’adresse quiz-maker.com/Data-Processing-Agreement, et la met à jour au moins 30 jours avant d’ajouter ou de remplacer un sous-traitant ultérieur. Quiz Maker envoie également cette notification par e-mail à tout Client qui en a fait la demande via le formulaire de contact.

7.3  Le Client peut s’opposer à un nouveau sous-traitant ultérieur pour des motifs raisonnables liés à la protection des données dans ce délai de 30 jours, et les parties examinent l’objection de bonne foi. Si elle ne peut être résolue, le Client peut résilier les Services concernés et Quiz Maker rembourse les frais payés d’avance pour la période non utilisée.

7.4  Quiz Maker recrute chaque sous-traitant ultérieur au moyen d’un contrat écrit imposant des obligations en matière de protection des données au moins aussi protectrices que celles du présent DPA, et demeure pleinement responsable envers le Client de l’exécution de ces obligations par chaque sous-traitant ultérieur.

8.Demandes des personnes concernées

8.1  Si Quiz Maker reçoit d’une personne concernée une demande relative aux Données à caractère personnel du Client, il la transmet au Client dans les meilleurs délais et n’y répond pas, si ce n’est pour orienter la personne concernée vers le Client, sauf autorisation contraire du Client.

8.2  Les Services permettent au Client de consulter, d’exporter, de rectifier et de supprimer lui-même les Données à caractère personnel du Client. Lorsque le Client ne peut pas le faire via les Services, Quiz Maker lui apporte une assistance raisonnable, compte tenu de la nature du traitement, afin que le Client puisse répondre aux demandes d’exercice des droits des personnes concernées.

9.Violations de données à caractère personnel

9.1  Quiz Maker notifie au Client toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance et, si possible, dans les 48 heures.

9.2  La notification décrit, dans la mesure où ces éléments sont alors connus, la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d’enregistrements concernés, ses conséquences probables et les mesures prises ou proposées. Lorsque toutes ces informations ne sont pas connues immédiatement, Quiz Maker les communique de manière échelonnée, au fur et à mesure de leur disponibilité.

9.3  Quiz Maker prend des mesures raisonnables pour contenir la violation et y remédier, et fournit au Client les informations dont celui-ci a raisonnablement besoin pour remplir ses propres obligations de notification aux autorités de contrôle et aux personnes concernées. La notification d’une violation ne vaut pas reconnaissance de faute ou de responsabilité.

10.Assistance en matière de conformité

10.1  Compte tenu de la nature du traitement et des informations à sa disposition, Quiz Maker apporte au Client une assistance raisonnable dans le respect de ses obligations prévues aux articles 32 à 36 du GDPR, notamment pour les analyses d’impact relatives à la protection des données et la consultation préalable d’une autorité de contrôle.

11.Suppression et restitution des données

11.1  Tant qu’il utilise les Services, le Client peut exporter ou supprimer à tout moment les Données à caractère personnel du Client.

11.2  À la fin des Services, le Client dispose d’au moins 30 jours pour exporter ses données. À l’issue de ce délai, Quiz Maker supprime les Données à caractère personnel du Client, sauf si le droit de l’Union ou le droit d’un État membre en exige la conservation.

11.3  Les copies conservées dans des sauvegardes chiffrées sont écrasées selon le cycle de sauvegarde habituel et restent protégées par le présent DPA jusque-là. Sur demande, Quiz Maker confirme par écrit que la suppression a été effectuée.

12.Informations et audits

12.1  Quiz Maker met à la disposition du Client les informations nécessaires pour démontrer le respect de l’article 28 du GDPR, notamment des informations écrites sur ses mesures de sécurité et des réponses à des questionnaires de sécurité raisonnables.

12.2  Les audits sont réalisés par la fourniture de ces informations par Quiz Maker et par ses réponses aux questions complémentaires écrites et raisonnables du Client à leur sujet.

12.3  Une inspection des locaux ou des systèmes de Quiz Maker ne peut avoir lieu que si une autorité de contrôle compétente l’exige, ou à la suite d’une violation de données à caractère personnel affectant des Données à caractère personnel du Client. Elle doit être réalisée par un auditeur indépendant tenu à la confidentialité et qui n’est pas un concurrent de Quiz Maker, moyennant un préavis écrit d’au moins 30 jours (ou le préavis plus court exigé par l’autorité), pendant les heures ouvrables normales, aux frais du Client, et être limitée au traitement des Données à caractère personnel du Client. Elle ne comprend pas l’accès aux données d’autres clients ni à des informations qui compromettraient la sécurité des Services.

12.4  La présente clause précise les modalités d’exercice des droits du Client au titre de la clause 8.9 des CCT et ne limite pas les pouvoirs d’une autorité de contrôle.

13.Transferts internationaux

13.1  Le Client reconnaît que Quiz Maker est établi en Australie, que les Données à caractère personnel du Client sont hébergées sur des serveurs situés aux États-Unis, qu’elles transitent par le réseau mondial de Cloudflare et que les sous-traitants ultérieurs figurant à l’annexe III les traitent dans les lieux qui y sont indiqués.

13.2  Dans la mesure où le transfert de Données à caractère personnel du Client par le Client à Quiz Maker constitue un transfert vers un pays tiers au sens du chapitre V du GDPR, les CCT sont intégrées par référence au présent DPA, le Client agissant en qualité d’exportateur de données et Quiz Maker en qualité d’importateur de données, avec les choix suivants :

1. La clause 7 (clause d’amarrage) s’applique.
2. Clause 9, point a) : l’option 2 (autorisation écrite générale) s’applique, le délai est de 30 jours et la notification est effectuée comme décrit à la clause 7.2 du présent DPA.
3. Clause 11, point a) : la formulation facultative ne s’applique pas.
4. Clause 13 : l’autorité de contrôle compétente est celle désignée à l’annexe I, section C.
5. Clause 17 : l’option 1 s’applique, et le droit applicable est le droit irlandais.
6. Clause 18, point b) : les litiges sont tranchés par les juridictions irlandaises.
7. Les annexes I, II et III des CCT sont complétées par les annexes I, II et III du présent DPA.

13.3  Lorsque Quiz Maker transfère des Données à caractère personnel du Client à un sous-traitant ultérieur situé dans un pays tiers, il veille à ce que le transfert soit encadré par une garantie appropriée au sens du chapitre V du GDPR, telle que les clauses contractuelles types ou une décision d’adéquation (y compris l’EU-U.S. Data Privacy Framework (cadre de protection des données UE-États-Unis) lorsque le sous-traitant ultérieur est certifié à ce titre).

13.4  Quiz Maker fournit des informations raisonnables pour aider le Client à évaluer le transfert conformément à la clause 14 des CCT, et traite toute demande d’une autorité publique portant sur des Données à caractère personnel du Client conformément à la clause 15 des CCT.

13.5  Lorsque le UK GDPR s’applique, l’International Data Transfer Addendum to the EU Commission Standard Contractual Clauses (avenant britannique relatif aux transferts internationaux de données) publié par l’UK Information Commissioner (autorité britannique de protection des données) (version B1.0) s’applique, ses tableaux 1 à 3 étant complétés par les informations figurant dans le présent DPA et ses annexes, et chaque partie peut y mettre fin dans les conditions prévues par son tableau 4. Lorsque la Swiss Federal Act on Data Protection s’applique, les CCT s’appliquent avec le Swiss Federal Data Protection and Information Commissioner (Préposé fédéral suisse à la protection des données et à la transparence) comme autorité de contrôle compétente, et les références au GDPR s’entendent comme des références à cette loi.

14.Responsabilité

14.1  La responsabilité totale de chaque partie envers l’autre découlant du présent DPA et des CCT ou en lien avec ceux-ci, prise conjointement avec l’ensemble des réclamations au titre des Conditions d’utilisation, est soumise aux limitations et exclusions de responsabilité prévues par les Conditions d’utilisation, y compris l’exclusion des pertes indirectes et consécutives et le plafond global de responsabilité, dans la mesure permise par la loi.

14.2  Rien dans le présent DPA ne limite la responsabilité de l’une ou l’autre partie envers les personnes concernées au titre des CCT, ni toute responsabilité qui ne peut être limitée ou exclue par la loi.

15.Durée, modifications et dispositions générales

15.1  Le présent DPA prend effet le 25 août 2026, ou à la date à laquelle le Client accepte les Conditions d’utilisation si celle-ci est postérieure, et reste en vigueur aussi longtemps que Quiz Maker traite des Données à caractère personnel du Client. Les clauses qui, par nature, doivent survivre à la résiliation survivent.

15.2  Le présent DPA est régi par le droit applicable aux Conditions d’utilisation, à ceci près que les CCT sont régies par le droit choisi à la clause 13.2. Rien dans le présent DPA ne réduit les droits des personnes concernées au titre des CCT.

15.3  Quiz Maker peut mettre à jour le présent DPA selon les modalités que les Conditions d’utilisation prévoient pour leur propre mise à jour. Une mise à jour ne réduit pas sensiblement la protection que le présent DPA accorde aux Données à caractère personnel du Client, sauf si une modification des Lois sur la protection des données ou de nouvelles clauses contractuelles types adoptées par la Commission européenne l’exigent.

15.4  Si une disposition du présent DPA est nulle ou inapplicable, le reste du DPA demeure en vigueur.

15.5  Lorsque les parties signent un exemplaire du présent DPA, celui-ci peut être signé électroniquement et en plusieurs exemplaires, chacun constituant un original.

Annexe I : description du traitement

A. Liste des parties

B. Description du transfert

C. Autorité de contrôle compétente

Lorsque le Client est établi dans l’Union européenne, l’autorité de contrôle de l’État membre où il est établi (ou son autorité de contrôle chef de file, lorsqu’il dispose de plusieurs établissements). Lorsque le Client n’est pas établi dans l’Union européenne mais que le GDPR lui est applicable, l’autorité de contrôle de l’État membre où son représentant au sens de l’article 27 du GDPR est établi ou, lorsqu’il n’est pas tenu d’en désigner un, de l’État membre où se trouvent les participants concernés.

Annexe II : mesures techniques et organisationnelles

Annexe III : sous-traitants ultérieurs autorisés

Stripe, Inc. traite les informations de facturation du Client lui-même, pour lesquelles Quiz Maker est le responsable du traitement. Stripe ne reçoit pas de Données à caractère personnel du Client et n’est pas un sous-traitant ultérieur au sens du présent DPA.