Accord sur le traitement des données conformément au RGPD

Accord sur le traitement des données, conformément au RGPD, entre le Sous-traitant, B2Brouter Global S.L., et le Responsable du traitement.

___________________

Préambule

Le présent accord établit les responsabilités des parties contractantes en matière de protection des données à caractère personnel. Ces responsabilités découlent de tous les contrats présents et futurs impliquant le traitement de données à caractère personnel et ayant un contenu contractuel similaire, tels que la création et la transmission de documents ou de factures électroniques à l’aide de différents réseaux, formats et standards. Les détails spécifiques seront définis en fonction de la répartition ou de l’attribution des responsabilités établie.

Le présent accord sera applicable à toutes les activités liées à ces contrats dans le cadre desquelles les employés du Contractant ou ses sous-traitants désignés (ci-après, les « Sous-traitants ultérieurs ») traitent des données à caractère personnel du Client.

1. Objet de l’Accord

Le présent accord constitue une partie intégrante du contrat principal.

Le Sous-traitant traite les données à caractère personnel pour le compte du Responsable.

La finalité du traitement des données à caractère personnel est détaillée dans les contrats concernés. Essentiellement, le Sous-traitant réalise les activités suivantes :

Hébergement d’infrastructures informatiques
Développement et mise en œuvre de logiciels
Activités d’assistance et de service pour des applications informatiques

Durée du traitement des données :

La durée du présent Accord est régie par la durée du Contrat principal, sauf si les dispositions du présent Accord imposent des obligations au-delà de cette période.

À l’issue de la prestation des services couverts par le présent contrat, si le Sous-traitant a stocké des données à caractère personnel, ou tout autre document et/ou support fourni par quelque moyen que ce soit, il devra, au choix du Responsable, les restituer, les supprimer ou les transmettre à un nouveau sous-traitant, y compris toutes les copies existantes. Le Sous-traitant délivrera un certificat de restitution ou de destruction si le Responsable le demande. La suppression des données ne sera pas effectuée lorsque leur conservation est exigée par une obligation légale ; dans ce cas, le Sous-traitant assurera la garde des données en procédant à leur blocage et limitera leur traitement dans la mesure où des responsabilités pourraient découler de sa relation avec le Responsable du traitement. Le Sous-traitant maintiendra son obligation de secret et de confidentialité des données même après la fin de la relation objet du présent contrat.

Catégorie de données :

Données personnelles : nom, prénom, adresse postale, numéro de téléphone.
Données professionnelles : département d’affectation, numéro de matricule.
Journaux d’accès
Autres :

Catégorie de personnes concernées :

Dirigeants, cadres dirigeants
Employés, y compris bénévoles, stagiaires, agents, travailleurs temporaires.
Clients et utilisateurs.
Contacts commerciaux
Fournisseurs
Sous-traitants et leurs employés.

Le présent Accord régit les mesures à convenir entre le Responsable et le Sous-traitant afin de protéger les données à caractère personnel conformément à l’article 28 du RGPD.

Durée du traitement des données :

La validité du présent Accord est régie par la durée du Contrat principal, sauf si les dispositions du présent Accord imposent des obligations au-delà de cette période.

À l’issue de la prestation des services couverts par le présent contrat, si le Sous-traitant a stocké des données à caractère personnel ou d’autres documents et/ou supports fournis par quelque moyen que ce soit, il devra les restituer, les supprimer ou les transmettre à un nouveau sous-traitant, conformément à la décision du Responsable, y compris les copies existantes. Le Sous-traitant délivrera un certificat de restitution ou de destruction si le Responsable le demande. Les données ne seront pas supprimées lorsqu’une obligation légale impose leur conservation ; dans ce cas, le Sous-traitant assurera la garde des données en les bloquant et limitera leur traitement dans la mesure où des responsabilités pourraient découler de sa relation avec le Responsable. Le Sous-traitant maintiendra son obligation de secret et de confidentialité même après la fin de la relation objet du présent contrat.

Catégorie de données :

Données personnelles : nom, prénom, adresse postale, numéro de téléphone.
Données professionnelles : département d’affectation, numéro de matricule.
Journaux d’accès
Autres :

Catégorie de personnes concernées :

Dirigeants, cadres dirigeants
Employés, y compris bénévoles, stagiaires, agents, travailleurs temporaires.
Clients et utilisateurs.
Contacts commerciaux
Fournisseurs
Sous-traitants et leurs employés.

Le présent Accord régit les mesures à convenir entre le Responsable et le Sous-traitant afin de protéger les données à caractère personnel conformément à l’article 28 du RGPD.

2. Droits et obligations du Responsable

Le RESPONSABLE garantit que les données fournies au SOUS-TRAITANT ont été obtenues licitement et qu’elles sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement.

Le RESPONSABLE mettra à la disposition du SOUS-TRAITANT toutes les informations nécessaires à l’exécution des services faisant l’objet du présent accord. Le RESPONSABLE informe le SOUS-TRAITANT que, s’il détermine lui-même les finalités et les moyens du traitement, il sera considéré comme Responsable du traitement et devra se conformer aux dispositions de la réglementation applicable en vigueur.

Le Responsable doit informer immédiatement le Sous-traitant s’il détecte des erreurs ou irrégularités dans le traitement des données à caractère personnel réalisé par ce dernier en son nom. De son côté, le Sous-traitant doit informer sans délai le Responsable de toute correction effectuée ou action nécessaire pour remédier à ces erreurs ou irrégularités.

Si une personne concernée introduit une réclamation auprès de l’une des parties contractantes conformément à l’article 82 du RGPD au sujet du traitement de données à caractère personnel objet du présent Accord, la partie concernée doit en informer immédiatement l’autre partie. Les deux parties s’engagent à coopérer entre elles dans le cadre de la défense contre cette réclamation.

3. Obligations du Sous-traitant

3.1. Le Sous-traitant traite les données à caractère personnel pour le compte du Responsable, conformément aux dispositions du Contrat et telles que spécifiées dans le présent Accord.

Toutefois, si le Sous-traitant détermine les finalités et les moyens du traitement des données à caractère personnel, en violation des instructions du Responsable, il assumera le rôle de Responsable du traitement. Dans ce cas, il sera pleinement responsable de ce traitement, avec toutes les obligations correspondantes prévues par le RGPD et les autres lois applicables.

3.2. Le Sous-traitant ne peut traiter les données à caractère personnel des personnes concernées que dans le cadre des tâches définies dans le Contrat et le présent Accord, et conformément aux instructions documentées du Responsable. Ceci s’applique sauf en cas d’obligation légale contraire, auquel cas, conformément à l’article 28.3 a) du RGPD, le Sous-traitant informera le Responsable, à moins que cette communication ne soit interdite par la loi.

3.3. Le Sous-traitant organisera sa structure interne de façon à répondre aux exigences particulières de la protection des données dans le cadre de ses responsabilités. Il adoptera les mesures techniques et organisationnelles nécessaires pour protéger de manière adéquate les données du Responsable, conformément à l’article 32 du RGPD.

Ces mesures incluent la garantie de la confidentialité, de l’intégrité, de la disponibilité et de la résilience des systèmes et services liés au traitement des données, y compris à long terme. Il mettra également en œuvre des mesures visant à rétablir la disponibilité et l’accès aux données à caractère personnel en cas d’incident physique ou technique. En outre, il définira des procédures pour évaluer périodiquement l’efficacité de ces mesures techniques et organisationnelles afin de garantir la sécurité du traitement.

Les mesures à mettre en œuvre comprennent la pseudonymisation et le chiffrement des données à caractère personnel lorsque cela est nécessaire pour assurer un niveau de sécurité adapté. Les mesures techniques et organisationnelles adoptées par le Sous-traitant, telles que décrites à l’Annexe 1, ont été vérifiées par le Responsable, qui confirme leur caractère contraignant. Le Responsable demeure responsable du respect de ces mesures en conformité avec les exigences spécifiques de protection des données.

3.4. Le Sous-traitant veillera à la mise en œuvre de toutes les mesures définies dans le présent Accord pour le traitement des données à caractère personnel. Il informera le Responsable de toute nouvelle technologie connue susceptible d’améliorer la protection des données à caractère personnel.

3.5. Le Sous-traitant élaborera, mettra à jour et maintiendra un registre de toutes les catégories d’activités de traitement effectuées pour le compte du Responsable, incluant les spécifications exigées par l’article 30.2 du RGPD.

3.6. Le Sous-traitant assistera le Responsable, conformément à l’article 28.3 e) du RGPD, dans la mesure du possible, par la mise en œuvre de mesures techniques et organisationnelles de protection appropriées. Cela facilitera au Responsable le respect de ses obligations de répondre aux demandes des personnes concernées conformément au Chapitre III du RGPD. Ce soutien pourra inclure, entre autres, la fourniture d’informations et l’accès aux personnes concernées, la rectification ou la suppression de données, la limitation du traitement, la garantie du droit à l’oubli, la facilitation de la portabilité des données et la gestion des objections au traitement.

Le Sous-traitant soutiendra le Responsable, conformément à l’article 28.3 f) du RGPD, afin de garantir le respect des exigences de sécurité définies à l’article 32 du RGPD. Il facilitera également la gestion des notifications de violations de données à caractère personnel conformément à l’article 33 du RGPD et, si nécessaire, la communication aux personnes concernées conformément à l’article 34 du RGPD. De même, il fournira au Responsable, sur demande, les données et documents nécessaires à cette fin.

Le Sous-traitant assistera également, en vertu de l’article 28.3 f) du RGPD, dans la réalisation d’analyses d’impact relatives à la protection des données conformément à l’article 35 du RGPD et, le cas échéant, dans les consultations préalables auprès des autorités de contrôle conformément à l’article 36 du RGPD. Il fournira au Responsable les données et documents requis lorsque celui-ci en fera la demande.

3.7. Le Sous-traitant désignera un délégué à la protection des données et un point de contact pour traiter les demandes du Responsable relatives aux questions de protection des données dans le cadre du Contrat et du présent Accord. Tout changement de personne de contact devra être communiqué sans délai au Responsable.

3.8. Le Sous-traitant n’utilisera pas les données à caractère personnel à des fins autres que celles fixées par le Responsable, ni ne les conservera au-delà de la durée légalement établie. Aucune copie ou duplication des données ne pourra être créée sans la connaissance et l’approbation du Responsable.

3.9. Le Sous-traitant garantit, conformément aux instructions écrites du Responsable, l’exercice des droits des personnes concernées, y compris l’effacement (droit à l’oubli), la rectification, la portabilité des données, la limitation du traitement, l’opposition et l’accès, et ce, sans retard injustifié.

3.10. Le Sous-traitant doit informer immédiatement le Responsable ou son Délégué à la protection des données dans les cas suivants :

Si les mesures de sécurité mises en œuvre ne répondent pas aux exigences établies dans le présent Accord.
En cas de modification significative des procédures opérationnelles.
En cas de non-respect des règles de protection des données ou des dispositions du présent Accord par le Sous-traitant ou son personnel.
En cas de suspicion de violation de la sécurité des données à caractère personnel ou d’irrégularité dans le traitement.

Le Sous-traitant doit adopter les mesures de sécurité appropriées, conformément aux instructions du Responsable, pour minimiser les éventuels effets préjudiciables pour les personnes concernées.

Cela inclut la garantie du respect des obligations du Responsable conformément aux articles 33 et 34 du RGPD, relatives à la notification des violations de données aux autorités de contrôle et, le cas échéant, aux personnes concernées. Le Sous-traitant s’engage à coopérer activement avec le Responsable pour l’accomplissement de ces obligations.

Le Sous-traitant notifiera au Responsable toute violation de la sécurité des données à caractère personnel par courrier électronique adressé à [gdpr@b2brouter.net](mailto:gdpr@b2brouter.net). La notification comprendra, au minimum, les informations suivantes :

Description de la violation : explication de la nature de la violation, incluant les catégories de données concernées et le nombre approximatif de personnes et d’enregistrements touchés.
Coordonnées : nom et coordonnées de la personne susceptible de fournir des informations complémentaires.
Conséquences probables : description des éventuelles répercussions de la violation pour les personnes concernées.
Mesures adoptées : liste des mesures prises ou prévues pour remédier ou atténuer les effets de la violation.

Ce processus garantit une communication claire et efficace, permettant au Responsable de respecter ses obligations légales en vertu du RGPD.

3.11. Le Responsable a le droit d’inspecter les mesures techniques et organisationnelles que le Sous-traitant doit adopter, telles qu’établies à la Clause 3.3, avant le début de tout traitement de données. Il peut également vérifier ces mesures périodiquement à intervalles réguliers. Les inspections peuvent être réalisées directement par le Responsable ou par le biais d’audits menés par un tiers désigné en son nom, afin de garantir le respect de la réglementation en matière de protection des données.

3.12. Le Sous-traitant informera immédiatement le Responsable dans les cas suivants :

Interventions de l’autorité de contrôle : conformément aux articles 55 et suivants et 31 du RGPD, ainsi qu’en cas d’enquête de l’autorité de contrôle à l’encontre du Sous-traitant, tel que prévu aux articles 58.2 et 83 et suivants du RGPD.
Demandes des personnes concernées : relatives à l’exercice de leurs droits prévus au Chapitre III du RGPD, tels que les droits de rectification, suppression, limitation du traitement, accès, portabilité des données et opposition. Le Sous-traitant doit transmettre ces demandes au Responsable sans délai et coopérer à leur traitement.

Le Sous-traitant n’est pas autorisé, sans instruction préalable et écrite du Responsable, à fournir des informations aux personnes concernées ou à des tiers concernant le traitement des données à caractère personnel, conformément à l’article 15 du RGPD.

3.13. Les données à caractère personnel utilisées à des fins de test doivent être conservées de manière sécurisée. Ces données ne seront pas accessibles tant que le Responsable n’aura pas demandé au Sous-traitant de procéder à leur destruction, suppression ou restitution. La suppression ou la destruction des données sera confirmée par écrit au Responsable, en indiquant la date de l’opération.

3.14. À la fin du présent Accord, le Sous-traitant restituera au Responsable, ou, à la demande de ce dernier, supprimera de manière irréversible toutes les informations, documents et données fournis par le Responsable, y compris les données à caractère personnel et les résultats des travaux générés dans le cadre du présent Accord, à condition qu’aucune obligation légale de conservation ne subsiste en vertu de la législation de l’UE ou d’un État membre (voir art. 28.3 g) du RGPD). Le Sous-traitant confirmera au Responsable, au plus tard 30 jours après la demande, la restitution, destruction, suppression et blocage de toutes les informations et enregistrements. Il en sera de même pour les sous-traitants ultérieurs.

3.14.1. Le Sous-traitant ne pourra confier le traitement des données à des tiers qu’avec l’autorisation préalable et écrite du Responsable. Les sous-traitants ultérieurs désignés par le Sous-traitant sont énumérés à l’Annexe 2 du présent Accord. Pour les sous-traitants figurant dans ladite Annexe 2, l’autorisation est réputée accordée par la signature du présent Accord. Le Sous-traitant notifiera au Responsable toute modification, ajout ou remplacement d’un sous-traitant ultérieur à l’avance, en laissant au Responsable la possibilité de s’y opposer.

3.14.2. Le Sous-traitant s’assurera que le sous-traitant ultérieur soit sélectionné avec soin en ce qui concerne l’adéquation des mesures techniques et organisationnelles qu’il applique. Le Sous-traitant veillera à ce que le contrat conclu avec le sous-traitant ultérieur (en ce qui concerne le traitement des données à caractère personnel) contienne des conditions substantiellement équivalentes, et en tout état de cause pas moins exigeantes, que celles stipulées dans le présent Accord.

3.14.3. Le transfert de données ne sera autorisé qu’une fois que le sous-traitant ultérieur aura appliqué toutes les exigences prévues à l’article 28 du RGPD, y compris les mesures de sécurité décrites à l’article 32 du RGPD.

3.14.4. Le contrat entre le Sous-traitant et le sous-traitant ultérieur devra préciser clairement les éléments mentionnés au point 1 de manière à ce que les responsabilités entre Sous-traitant et sous-traitant ultérieur soient clairement définies. Ce principe s’applique également à la séparation des responsabilités entre différents sous-traitants ultérieurs.

3.14.5. Le Sous-traitant informera le Responsable des aspects essentiels des contrats conclus avec des sous-traitants ultérieurs et de la mise en œuvre des obligations de protection des données incluses dans ces contrats. Si nécessaire, le contrat sera remis au Responsable pour examen.

3.14.6. La sous-traitance conformément aux termes du présent Accord ne comprend pas les services auxiliaires que le Sous-traitant confie à des tiers pour faciliter l’exécution de l’Accord, tels que les services de télécommunications, de nettoyage, d’audit ou de destruction de supports. Néanmoins, afin de garantir la protection et la sécurité des données à caractère personnel, le Sous-traitant doit :

Conclure des accords appropriés conformes à la législation applicable.
Contrôler les activités des tiers prestataires de services auxiliaires pour garantir qu’ils respectent les normes de protection des données spécifiées dans le présent Accord.

3.15. Tout transfert de données vers un pays tiers requiert l’autorisation préalable du Responsable et ne sera autorisé que si les exigences des articles 44 et suivants du RGPD sont respectées.

3.16. Si les données à caractère personnel du Responsable, détenues par le Sous-traitant, sont compromises en raison d’une saisie, confiscation, procédure collective, faillite, insolvabilité ou toute autre mesure ou intervention de tiers, le Sous-traitant en informera immédiatement le Responsable. En outre, le Sous-traitant informera sans délai toutes les parties impliquées que la souveraineté et la propriété des données à caractère personnel appartiennent exclusivement au Responsable, conformément au RGPD.

4. Confidentialité et intégrité

4.1. Le Sous-traitant veillera à ce que toutes les personnes autorisées à traiter des données à caractère personnel signent un engagement écrit de confidentialité avant de commencer toute activité, conformément à l’article 5.1 f) du RGPD. De même, le Responsable s’assurera que son personnel soit dûment informé des obligations découlant du présent Accord, du RGPD et des autres exigences pertinentes en matière de protection des données. Il veillera également à ce qu’ils connaissent les instructions du Responsable. Le Responsable supervisera le respect de la réglementation de protection des données et des termes établis dans le présent Accord.

4.2. L’obligation de confidentialité et d’intégrité restera en vigueur même après la fin de la relation de travail.

4.3. Le Responsable est tenu de respecter la confidentialité de tous les secrets d’affaires et mesures de protection des données du Sous-traitant dont il pourrait avoir connaissance au cours de la relation contractuelle.

5. Responsabilité et indemnisation

Le Sous-traitant est responsable envers le Responsable de tout dommage causé par un traitement non autorisé ou incorrect de données à caractère personnel, que ce soit dans le cadre de relations contractuelles ou extracontractuelles, conformément au RGPD et à toute autre réglementation applicable en matière de protection des données. Cela inclut, en particulier :

Des traitements de données qui s’écartent des instructions du Responsable.
Des traitements défectueux résultant du non-respect par le Sous-traitant de ses obligations au titre du présent Accord.

Le Sous-traitant s’engage à indemniser le Responsable et à

le dégager de toute réclamation présentée par des tiers dans ce contexte, conformément à l’

article 82.3 du RGPD.

6. Durée du contrat

6.1. La durée du présent Accord est déterminée par la durée de validité du contrat principal, dans la mesure où les dispositions du présent Accord ne génèrent pas d’obligations s’étendant au-delà. Le présent Accord peut être résilié moyennant un préavis écrit de trois mois adressé à l’autre partie.

6.2. Si le Sous-traitant ne respecte pas les obligations définies au point 3 du présent Accord, ou s’il ne fournit pas les services décrits au point 1, et si la demande ou le rappel correspondant du Responsable demeure sans effet pendant une période de soixante jours, le Responsable aura le droit, sans préjudice d’autres droits, de résilier le présent Accord par écrit, sans préavis et à tout moment.

6.3. Si le transfert de données à caractère personnel repose exclusivement sur une décision d’adéquation au sens de l’article 45 du RGPD, le Responsable se réserve le droit de résilier de manière exceptionnelle si l’effet de cette décision d’adéquation est suspendu, modifié ou révoqué conformément à l’article 45.3 paragraphe 2 en relation avec le paragraphe 5 du RGPD.

7. Divisibilité

Si une disposition du présent Accord devait être totalement ou partiellement invalide, cela n’affectera pas la validité du reste de l’Accord.

La disposition invalide sera remplacée par une disposition valide juridiquement admissible reflétant, dans la mesure du possible, l’intention économique et l’objet de la disposition initiale.

8. Dispositions générales

8.1. Toute modification ou tout complément au présent Accord et à l’un quelconque de ses éléments constitutifs (y compris les garanties accordées par le Sous-traitant) doit être effectué par écrit. Cela peut se faire sous format électronique, à condition qu’il soit clairement indiqué qu’il s’agit d’un accord écrit modifiant ou complétant le présent Accord. Cette disposition s’applique également à la renonciation aux exigences liées à ce format.

8.2. En cas de divergence ou d’incohérence entre les conditions du présent Accord et celles du contrat principal, les conditions du présent Accord prévaudront.

8.3. Le présent Accord est régi par le droit européen. La compétence exclusive est celle des tribunaux de Barcelone, Espagne.

B2Brouter Global S.L.

Sous-traitant Responsable du traitement des données

Annexe 1 : Mesures techniques et organisationnelles / concept de sécurité

Les mesures techniques et organisationnelles (MTO) suivantes sont convenues entre le Responsable et le Sous-traitant et sont détaillées dans le présent cas spécifique. Pour davantage de références, la liste d’exemples peut être consultée.

1. Mesures visant à garantir la confidentialité (art. 32.1 b RGPD)

Contrôle d’accès physique

L’accès non autorisé aux systèmes de traitement de données n’est pas autorisé.

Contrôle d’accès logique

L’utilisation non autorisée du système n’est pas autorisée.

Accès via des canaux sécurisés et authentifiés par clé publique/privée via un bastion (serveur bastion).

Contrôle d’accès aux données

Interdiction de lecture, copie, modification ou suppression non autorisée au sein du système.

Contrôle de séparation

Traitement séparé des données collectées pour des finalités différentes.

Les données des clients sont séparées logiquement.

Suppression des données

Les unités de disque ou serveurs hors service sont effacés à plusieurs reprises conformément à la politique d’effacement sécurisé.

2. Mesures visant à garantir l’intégrité (art. 32.1 b RGPD)

Contrôle de transmission

Interdiction de lecture, copie, modification ou suppression non autorisée pendant la transmission ou le transport électronique.

La transmission des données est effectuée via des canaux sécurisés chiffrés.

Tout le personnel est formé et tenu de garantir le traitement des données à caractère personnel conformément au standard de protection des données.

Contrôle de saisie

Détermination de la question de savoir si des données à caractère personnel ont été saisies, modifiées ou supprimées dans les systèmes de traitement, et par qui (par exemple, journalisation, gestion documentaire).

3. Mesures visant à garantir la disponibilité et la résilience (art. 32.1 b RGPD)

Contrôle de disponibilité

Protection contre les dommages accidentels ou la destruction ou perte par des stratégies de sauvegarde et de récupération.

Systèmes et données répartis dans différents centres de données situés dans plusieurs pays de l’Union européenne (Allemagne et Finlande).

Plan de continuité d’activité pour les activités critiques et plans de reprise après sinistre.

Aucun traitement de données n’est effectué pour le compte du Responsable conformément à l’art. 28 RGPD sans ses instructions.
Résilience

Les systèmes et services (par exemple, stockage, accès, capacité réseau, etc.) sont conçus pour garantir le fonctionnement même en cas de charges élevées intermittentes ou constantes.

Les systèmes et services sont configurés dans une architecture à haute disponibilité et sont surveillés en permanence.

Tous les serveurs disposent de disques en miroir (redondance).

Des systèmes de sécurité tels que pare-feu, antivirus, antispam et chiffrement sont utilisés.

4. Mesures pour la pseudonymisation des données à caractère personnel

Séparation des données maîtres des clients et des données d’utilisateur des clients.
Les données à caractère personnel sont pseudonymisées lorsque cela est nécessaire.

5. Mesures pour restaurer rapidement la disponibilité des données à caractère personnel après un incident physique ou technique

Stockage redondant des données
Infrastructure informatique dupliquée
Centre de données de secours

6. Procédures de révision, d’évaluation et d’appréciation périodiques (art. 32.1 d et art. 25.1 RGPD)

Gestion de la confidentialité
Gestion des réponses aux incidents
Protection des données par défaut (art. 25.2 RGPD)
Évaluation par le RSSI, audits de sécurité informatique
Évaluation externe, audits, certifications ISO 27001.

Annexe 2 : Sous-traitants ultérieurs

Entreprise désignée	Domaine de la mission	Lieu de traitement	Type de données
INGENT SYSTEM SL	Externalisation d’activités de programmation et de services informatiques	Vilafranca del Penedès (Espagne)	Données relatives aux comptes clients (adresses e-mail, noms, coordonnées bancaires, etc.)
Hetzner Online GmbH	Externalisation de serveurs	Gunzenhausen (Allemagne)	Pas d’accès à des données à caractère personnel