Addendum relatif au traitement des données

Le présent Addendum relatif au traitement des données (« **DPA** ») vient compléter le contrat entre CircleCo, Inc (« **Circle** ») et le client qui accepte (ou le client au nom duquel un Administrateur accepte) (ci-après dénommé le « **Client** ») les [Conditions d'utilisation pour les créateurs](https://circle.so/creator-terms) concernant le transfert et le traitement des Données couvertes dans le cadre de l'exécution des Services.

1. **DÉFINITIONS**

   1. Les termes en majuscules utilisés mais non définis dans le présent DPA auront la signification énoncée dans les Conditions d'utilisation de Circle. Les termes en majuscules suivants utilisés dans le présent DPA seront définis comme suit :

      1. « **Contrat** » désigne le contrat entre Circle et le Client comprenant les Conditions d'utilisation de Circle.
      2. « **Lois applicables en matière de protection des données** » désigne toutes les lois, règles, réglementations et exigences gouvernementales applicables relatives à la confidentialité, au caractère confidentiel ou à la sécurité des Données personnelles, telles qu'elles peuvent être modifiées ou autrement mises à jour de temps à autre, y compris (sans limitation) : le RGPD, les Lois suisses sur la protection des données et les Lois américaines sur la protection des données.
      3. « **CCPA** » désigne le California Consumer Privacy Act de 2018, Cal. Civ. Code § 1798.100 et suivants, tel que modifié, y compris ses règlements d'application et le California Privacy Rights Act de 2020.
      4. « **Données d'administration contractuelle et de marketing** » désigne les Données personnelles recueillies par Circle directement auprès des Administrateurs, comme décrit plus en détail dans la Partie 2 de l'Annexe 1.
      5. « **Finalités du responsable du traitement** » désigne les finalités identifiées dans la Partie 2 de l'Annexe 1.
      6. « **Données couvertes** » désigne les Données personnelles qui sont : (a) fournies par ou au nom du Client à Circle dans le cadre des Services ; ou (b) obtenues, développées, produites ou autrement Traitées par Circle, ou ses agents ou sous-traitants, aux fins de fourniture des Services, dans chaque cas comme décrit plus en détail dans la Partie 1 de l'Annexe 1.
      7. « **Personne concernée** » désigne une personne physique dont les Données personnelles sont Traitées.
      8. « **Données anonymisées** » désigne les données créées à partir de Données couvertes qui ne peuvent raisonnablement pas être liées à ces Données couvertes, directement ou indirectement.
      9. « **EEE** » désigne l'Espace économique européen, y compris l'Union européenne (« UE »).
      10. « **Date d'entrée en vigueur** » désigne la date d'entrée en vigueur du Contrat.
      11. « **RGPD** » désigne le Règlement (UE) 2016/679 (le « RGPD de l'UE ») ou, le cas échéant, le « RGPD du Royaume-Uni », tel que défini à l'article 3 du Data Protection Act 2018 ou, le cas échéant, la disposition équivalente en vertu de la loi suisse sur la protection des données.
      12. « **État membre** » désigne un État membre de l'EEE, étant un État membre de l'Union européenne, l'Islande, la Norvège ou le Liechtenstein.
      13. « **Données personnelles** » désigne toute donnée ou information qui : (a) est liée ou peut raisonnablement être liée à une personne physique identifiée ou identifiable ; ou (b) constitue autrement des « données personnelles », des « informations personnelles », des « données à caractère personnel » ou des données ou informations définies de manière similaire en vertu des Lois applicables en matière de protection des données.
      14. « **Traitement** » désigne toute opération ou ensemble d'opérations effectuées sur des Données personnelles ou sur des ensembles de Données personnelles, que ce soit ou non par des moyens automatisés. Les déclinaisons « **Traiter** », « **Traite** » et « **Traitées** » seront interprétés en conséquence.
      15. « **Données personnelles interdites** » désigne : (a) les Données personnelles révélant l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, les condamnations pénales et toute autre catégorie particulière de Données personnelles identifiée à l'article 9 du RGPD ou les Données personnelles qui constituent autrement des Données personnelles sensibles en vertu des Lois applicables en matière de protection des données ; (b) les identifiants ou modèles biométriques ; (c) les informations financières (y compris, sans limitation, les informations de facturation et les données de titulaire de carte ou d'authentification sensibles, telles que ces termes sont définis dans la norme de sécurité des données de l'industrie des cartes de paiement) ; (d) les données financières à caractère personnel, telles que définies par et soumises au Gramm-Leach-Bliley Financial Modernization Act de 1999 ; (e) les numéros d'identification nationaux (y compris, sans limitation, les numéros de sécurité sociale, les numéros d'assurance sociale, les numéros de permis de conduire ou de passeport ou autres numéros d'identification délivrés par le gouvernement) ; (f) les informations relatives aux personnes de moins de 13 ans ; (g) les dossiers scolaires, tels que définis en vertu du Family Educational Rights and Privacy Act de 1974 ; (h) les informations de santé protégées au sens et en vertu du Health Insurance Portability and Accountability Act.
      16. « **Incident de sécurité** » désigne une violation de sécurité réelle ou présumée entraînant la destruction, la perte, l'altération, la divulgation non autorisée ou l'accès non autorisé (y compris l'accès interne non autorisé) accidentel ou illicite aux Données couvertes.
      17. « **Clauses contractuelles types** » ou « **CCT** » désigne les Clauses contractuelles types annexées à la Décision d'exécution (UE) 2021/914 de la Commission.
      18. « **Sous-traitant ultérieur** » désigne une entité désignée par Circle pour Traiter les Données couvertes en son nom.
      19. « **Lois suisses sur la protection des données** » désigne la Loi fédérale suisse sur la protection des données du 19 juin 1992 et l'Ordonnance suisse relative à la Loi fédérale suisse sur la protection des données du 14 juin 1993, ainsi que toute nouvelle version ou version révisée de ces lois qui pourrait entrer en vigueur de temps à autre.
      20. « **Royaume-Uni** » désigne le Royaume-Uni.
      21. « **US Data Protection Laws** » désigne toutes les lois, règles, réglementations et exigences gouvernementales fédérales et étatiques applicables relatives à la protection des données, au Traitement des Données personnelles, à la confidentialité et/ou à la protection des données en vigueur de temps à autre aux États-Unis, y compris (sans limitation) : le CCPA, le Virginia Consumer Data Protection Act, Code of Virginia Title 59.1 Chapter 52 § 59.1-571 et suivants, le Colorado Privacy Act, Colorado Revised Statute Title 6 Article 1 Part 13 § 6-1-1301 et suivants, l’Utah Consumer Privacy Act, Utah Code § 13-6-101 et seq., Connecticut Senate Bill 6, An Act Concerning Personal Data Privacy and Online Monitoring (tel que cette loi est chapitré et promulguée).
      22. « **Données d'utilisation et de retours d'expérience** » désigne les Données personnelles collectées par Circle directement auprès des Administrateurs et des Utilisateurs autorisés, comme décrit plus en détail dans la Partie 2 de l'Annexe 1.

   2. Les termes « **Responsable du traitement** », « **Personne concernée** », « **Données personnelles** », « **Sous-traitant** » et « **Traitement** » auront les significations qui leur sont données dans les Lois applicables en matière de protection des données.

2. **INTERACTION AVEC LE CONTRAT**

   1. Ce DPA est incorporé et fait partie intégrante du Contrat. Ce DPA complète et (en cas de contradictions) remplace le Contrat en ce qui concerne tout Traitement de Données couvertes.

3. **RÔLE DES PARTIES**

   1. Les Parties reconnaissent et conviennent que :
      1. sauf disposition contraire aux Sections 3.1.2. et 3.1.3., Circle agit en tant que Sous-traitant ou prestataire de services dans l'exécution de ses obligations en vertu du Contrat et de ce DPA et le Client agit en tant que Responsable du traitement ou entreprise ;
      2. Circle agit en tant que Responsable du traitement ou entreprise en ce qui concerne son Traitement des Données d'Administration du Contrat et de Marketing pour les Finalités du Responsable du traitement ; et
      3. aux fins du RGPD et des Lois suisses sur la protection des données, Circle agit en tant que Responsable du traitement en ce qui concerne son Traitement des données d'utilisation et de retour d'expérience pour les Finalités du Responsable du traitement.

4. **DÉTAILS DU TRAITEMENT DES DONNÉES**

   1. Les détails du Traitement des Données personnelles en vertu du Contrat et de ce DPA (y compris l'objet, la nature et la finalité du Traitement, les catégories de Données personnelles et de Personnes concernées) sont décrits dans le Contrat et à l'Annexe 1 de ce DPA.

   2. Circle se conforme à ses obligations en vertu des Lois applicables sur la protection des données. Sauf disposition contraire aux Sections 3.1.2. et 3.1.3., Circle ne traitera les Données Couvertes qu'au nom et selon les instructions du Responsable du traitement et conformément aux Lois applicables sur la protection des données. Le Contrat et ce DPA constituent les instructions du Client pour le Traitement des Données couvertes. Le Client peut émettre des instructions écrites supplémentaires conformément à ce DPA.

   3. Sans limiter ce qui précède, sauf disposition contraire aux Sections 3.1.2. et 3.1.3., Circle ne doit pas :

      1. vendre les Données couvertes ou autrement mettre les Données couvertes à la disposition d'un tiers contre une contrepartie monétaire ou autre contrepartie de valeur ;
      2. partager les Données couvertes avec un tiers à des fins de publicité comportementale inter-contextuelle ;
      3. conserver, utiliser ou divulguer les Données couvertes à d'autres fins que celles spécifiées dans le Contrat ou autrement autorisées par les Lois applicables sur la protection des données ;
      4. conserver, utiliser ou divulguer les Données couvertes en dehors de la relation commerciale directe entre les Parties ; et
      5. sauf autorisation contraire en vertu des Lois applicables sur la protection des données, combiner les Données couvertes avec des Données personnelles que Circle reçoit de ou au nom d'une autre personne ou d'autres personnes, ou collecte lors de sa propre interaction avec la Personne concernée.

   4. Circle va :

      1. fournir au Client les informations lui permettant de mener et de documenter toute évaluation de la protection des données requise en vertu des Lois applicables sur la protection des données ; et
      2. informer rapidement le Client si, selon son avis, une instruction du Client ou du Responsable du traitement du Client enfreint les Lois applicables sur la protection des données.

5. **CONFORMITÉ**

   1. Le Client se conforme à ses obligations en tant que Responsable du traitement, entreprise ou terme équivalent en vertu des Lois applicables sur la protection des données, et doit :
      1. fournir aux Personnes concernées les informations relatives au Traitement de leurs Données couvertes dans le cadre de l'utilisation des Services par le Client, comme requis en vertu des Lois applicables sur la protection des données ;
      2. dans la mesure requise pour le Traitement licite des Données couvertes en vertu des Lois applicables sur la protection des données, obtenir des consentements valides des Personnes concernées pour ce Traitement sous la forme requise en vertu des Lois applicables sur la protection des données ;
      3. mettre en œuvre des mesures techniques et organisationnelles appropriées pour donner effet aux droits des Personnes concernées en vertu des Lois applicables sur la protection des données, et se conformer aux demandes des Personnes concernées d'exercer leurs droits en vertu des Lois applicables sur la protection des données dans les délais et sous réserve des exemptions prescrites dans les Lois applicables sur la protection des données ; et
      4. s'assurer que les Données couvertes n'incluent aucune Donnée personnelle interdite.

6. **CONFIDENTIALITÉ ET DIVULGATION**

   1. Circle doit :
      1. limiter l'accès aux Données couvertes au personnel qui a un besoin professionnel d'accéder à ces Données Couvertes ; et
      2. s'assurer que ce personnel est soumis à des obligations au moins aussi protectrices des Données couvertes que les termes de ce DPA et du Contrat, y compris des obligations de confidentialité concernant toute Donnée couverte à laquelle il a accès.

7. **SOUS-TRAITANTS**

   1. Circle peut Traiter les Données couvertes partout où Circle ou ses Sous-traitants disposent d’installations, sous réserve du reste du présent article 7.

   2. Le Client accorde à Circle une autorisation générale pour engager l’un des Sous-traitants répertoriés à l’Annexe 4, telle que modifiée conformément à l’article 7.4 (les « **Sous-traitants autorisés** »), afin de Traiter les Données couvertes.

   3. Circle doit :

      1. conclure un accord écrit avec chaque Sous-traitant autorisé imposant des obligations de protection des données qui, en substance, ne sont pas moins protectrices des Données Couvertes que les obligations de Circle en vertu du présent DPA ; et
      2. rester responsable du respect par chaque Sous-traitant autorisé des obligations prévues par le présent DPA.

   4. Circle fournit au Client un préavis d’au moins trente (30) jours pour tout changement proposé concernant les Sous-traitants autorisés. Le Client notifie à Circle s’il s’oppose au changement proposé des Sous-traitants autorisés (y compris, le cas échéant, lorsqu’il exerce son droit d’opposition en vertu de la clause 9(a) des CCT) en adressant à Circle une notification écrite de cette opposition dans les trente (30) jours suivant la notification par Circle au Client de ce changement proposé (une « **Opposition** »).

   5. Si le Client soumet une Opposition, Circle et le Client collaborent de bonne foi pour trouver une solution mutuellement acceptable permettant de traiter cette Opposition. Si Circle et le Client ne parviennent pas à une solution mutuellement acceptable dans un délai raisonnable, qui ne doit pas dépasser trente (30) jours à compter de la date de l’Opposition, le Client peut résilier la partie du Contrat relative aux Services concernés par ce changement en adressant une notification écrite à Circle.

8. **DATA SUBJECT RIGHTS REQUESTS**

   1. Circle informe rapidement le Client de toute demande reçue par Circle ou un Sous-traitant Autorisé de la part d’une Personne Concernée visant à exercer ses droits relatifs aux Données Couvertes en vertu des Lois Applicables en Matière de Protection des Données (une « **Demande de Personne concernée** »).
   2. Hormis pour les Traitements visés aux articles 3.1.2 et 3.1.3, entre les Parties, le Client dispose du pouvoir exclusif de répondre à la Demande de Personne concernée, et Circle ne répond pas à la Demande de Personne concernée, étant entendu que Circle peut informer la Personne concernée que sa demande a été transmise au Client.
   3. Circle fournit au Client une assistance raisonnable, dans la mesure nécessaire, pour permettre au Client de remplir son obligation de répondre aux Demandes de Personnes concernées en vertu des Lois Applicables en Matière de Protection des Données.

9. **SÉCURITÉ**

   1. Circle met en œuvre et maintient des mesures de protection et de sécurité des données techniques et organisationnelles appropriées, conçues pour garantir la sécurité des Données couvertes, y compris, sans limitation, la protection contre le Traitement non autorisé ou illicite et contre la perte, la destruction ou l’altération accidentelles des Données couvertes, ou les dommages qui leur sont causés.
   2. Lors de l'évaluation du niveau de sécurité approprié, Circle tient compte de la nature, de la portée, du contexte et de la finalité du Traitement, ainsi que des risques présentés par le Traitement, en particulier les risques de destruction, de perte, de modification accidentelles ou illicites, de divulgation non autorisée de Données couvertes ou d’accès non autorisé à celles-ci.
   3. Circle met en œuvre et maintient au minimum les mesures énoncées à l’Annexe 2.

10. **INFORMATIONS ET AUDITS**

    1. Circle informe rapidement le Client s’il détermine qu’il ne peut plus respecter ses obligations en vertu des Lois applicables en Matière de Protection des Données.

    2. Le Client peut prendre des mesures raisonnables et appropriées afin de :

       1. s’assurer que Circle utilise les Données Couvertes d’une manière cohérente avec les obligations du Client en vertu des Lois applicables en Matière de Protection des Données ; et
       2. après un préavis raisonnable, mettre fin à toute utilisation non autorisée des Données couvertes et y remédier.

    3. Le Client peut, pas plus d’une fois par an, auditer la conformité de Circle au présent DPA. Les Parties conviennent que tous ces audits sont réalisés :

       1. moyennant un préavis écrit raisonnable adressé à Circle ;
       2. uniquement pendant les heures normales de travail de Circle ; et
       3. d’une manière qui ne perturbe pas de façon significative l’activité ou les opérations de Circle.

    4. Pour tout audit réalisé conformément à l’article 10.3 :

       1. le Client peut mandater un auditeur tiers pour réaliser l’audit en son nom ;
       2. Circle n’est pas tenue de faciliter un tel audit tant que les Parties n’ont pas convenu par écrit de la portée et du calendrier dudit audit.

    5. Le Client informe rapidement Circle de toute non-conformité détectée au cours d’un audit.

    6. Les résultats de l’audit constituent des Informations Confidentielles de Circle.

    7. En réponse à toute demande d’audit soumise par le Client à Circle, Circle peut fournir les éléments suivants :

       1. des certifications de conformité en matière de protection des données émises par un organisme de certification généralement reconnu, qui a été audité par un expert en sécurité des données ou par un cabinet d’audit certifié public ; ou
       2. toute autre documentation démontrant raisonnablement la mise en œuvre de mesures de sécurité techniques et organisationnelles conformes aux standards du secteur.

    8. Si un audit demandé par le Client est couvert par les documents ou la certification fournis par Circle conformément à l’article 10.7, et si :

       1. la certification ou la documentation date de moins de douze (12) mois par rapport à la demande d’audit du Client ; et
       2. Circle confirme qu’il n’existe aucun changement matériel connu dans les contrôles audités,
       3. le Client accepte cette certification ou cette documentation au lieu de réaliser un audit physique des contrôles couverts par la certification ou la documentation concernée.

11. **INCIDENTS DE SÉCURITÉ**

    1. Circle notifie le Client par écrit sans retard injustifié après avoir pris connaissance de tout Incident de sécurité.
    2. Circle prend des mesures raisonnables pour contenir, analyser et atténuer tout Incident de sécurité, et transmet au Client des informations en temps opportun concernant l'Incident de sécurité, incluant notamment sa nature, les mesures prises pour l'atténuer ou le contenir, et l'état d'avancement de l'enquête.
    3. Circle fournit une assistance raisonnable dans le cadre de l'enquête du Client sur tout Incident de sécurité et de toute obligation du Client en lien avec l'Incident de sécurité au titre des Lois applicables en matière de Protection des Données, y compris toute notification aux Personnes concernées ou aux autorités de contrôle.
    4. La notification ou la réponse de Circle à un Incident de sécurité au titre de la présente Section 11 ne peut être interprétée comme une reconnaissance par Circle d'une quelconque faute ou responsabilité concernant l'Incident de sécurité.

12. **DURÉE, SUPPRESSION ET RESTITUTION**

    1. Le présent DPA entre en vigueur à la Date d'effet et, nonobstant toute résiliation du Contrat, demeure en vigueur jusqu'à la suppression par Circle de toutes les Données couvertes comme décrit dans le présent DPA, date à laquelle il expire automatiquement.

    2. Circle devra :

       1. si le Client en fait la demande dans un délai de trente (30) jours suivant l'expiration du Contrat (la « **Période de Rétention** »), fournir une copie de toutes les Données couvertes dans le format couramment utilisé demandé par le Client, ou fournir une fonctionnalité en libre-service permettant au Client de télécharger ces Données Couvertes ; et
       2. à l'expiration de la Période de Rétention, supprimer toutes les copies des Données couvertes Traitées par Circle ou tout Sous-traitant autorisé, à l'exception des Données d'administration du Contrat et de Marketing et des Données d'utilisation et de retour d'expérience Traitées aux Fins de Responsable de traitement.

13. **CLAUSES CONTRACTUELLES TYPES**

    1. Les Clauses contractuelles types s'appliquent, comme précisé dans l'Annexe 3, au transfert de toute Donnée couverte du Client vers Circle, et font partie intégrante du présent DPA, dans la mesure où :

       1. le RGPD ou la Loi Suisse sur la Protection des Données s'applique au Client lors de ce transfert ; ou
       2. les Lois applicables en matière de Protection des données qui s'appliquent au Client lors de ce transfert (les « **Lois de Protection des Données de l'exportateur** ») interdisent le transfert de Données couvertes à Circle au titre du présent DPA en l'absence d'un mécanisme de transfert mettant en œuvre des garanties adéquates concernant le Traitement de ces Données couvertes, et qu'un ou plusieurs des éléments suivants s'appliquent :
          
          (a) l'autorité compétente ayant juridiction sur le transfert de Données couvertes du Client au titre du présent DPA n'a pas formellement adopté de clauses types de protection des données ou un autre mécanisme de transfert au titre des Lois de protection des Données de l'exportateur ; ou
          
          (b) cette autorité a publié des orientations indiquant que la conclusion de clauses contractuelles types approuvées par la Commission Européenne satisferait toute exigence au titre des Lois de Protection des Données de l'exportateur visant à mettre en œuvre des garanties adéquates concernant ce transfert ; ou
          
          (c) la pratique de marché établie concernant les transferts soumis aux Lois de Protection des Données de l'exportateur consiste à conclure des clauses contractuelles types approuvées par la Commission Européenne pour satisfaire toute exigence au titre des Lois de Protection des Données de l'exportateur visant à mettre en œuvre des garanties adéquates concernant ce transfert ; ou
          
          (d) le transfert constitue un « transfert ultérieur » (tel que défini dans le module applicable des CCT).

    2. Les Parties conviennent que l'exécution du Contrat produit les mêmes effets que la signature des CCT.

14. **DONNÉES ANONYMISÉES**

    1. Si Circle reçoit des Données anonymisées du Client ou pour son compte, Circle doit :
       1. prendre des mesures raisonnables pour garantir que les informations ne peuvent être associées à une Personne concernée ;
       2. s'engager publiquement à Traiter les Données anonymisées uniquement sous forme anonymisée et à ne pas tenter de réidentifier les informations ; et
       3. obliger contractuellement tout destinataire des Données anonymisées à se conformer aux exigences précédentes et aux Lois Applicables en matière de Protection des données.

15. **RESPONSABILITÉ**

    1. Lorsqu'elle agit en tant que Responsable de Traitement ou business de toute Donnée Personnelle conformément au présent DPA ou au Contrat, chaque partie n'est responsable que de sa propre violation des Lois applicables en matière de Protection des données ou du présent DPA et ne peut être tenue conjointement et/ou solidairement responsable avec l'autre partie de la violation de cette dernière.
    2. Dans tous les autres cas, la responsabilité totale globale de Circle envers le Client ou tout tiers est soumise au plafond de responsabilité défini dans le Contrat.
    3. Les Parties conviennent que toute limitation de la responsabilité de l'une ou l'autre Partie au titre du Contrat ne s'applique pas aux réclamations, pertes ou dommages découlant d'une violation des CCT.

16. **DISPOSITIONS GÉNÉRALES**

    1. Les Parties certifient par la présente qu'elles comprennent les exigences du présent DPA et qu'elles s'y conformeront.
    2. Les Parties conviennent de négocier de bonne foi tout amendement au présent DPA qui pourrait être requis en lien avec des modifications des Lois applicables en matière de Protection des données.

Annexe 1 : Détails du traitement
**Partie 1 : Données couvertes**

**A. LISTE DES PARTIES**

	**Client**	**Circle**
**Rôle**	Exportateur de données (responsable du traitement)	Importateur de données (Sous-traitant)
**Personne de contact**	L'Administrateur	Karthik Ganesh, Chief of Staff, legal@circle.so
**Activités liées au transfert**	La réception des Services dans le cadre du Contrat.	L'exécution des Services dans le cadre du Contrat.

**B. DESCRIPTION DU TRAITEMENT**

**Catégories de personnes concernées**	Administrateurs Utilisateurs autorisés
**Catégories de données à caractère personnel**	Nom et adresse e-mail Informations de profil et de compte Contenu utilisateur importé par l'Administrateur ou l'Utilisateur autorisé Commentaires, questions, retour d'expérience et demandes d'assistance
**Catégories particulières de données à caractère personnel**	Aucune
**Fréquence du transfert**	Continue
**Nature du traitement**	Collecte, enregistrement, organisation, structuration, stockage, effacement et destruction
**Finalités du transfert de données et du traitement ultérieur**	Fourniture des Services, à savoir : faciliter la création et le partage de contenu au sein des communautés en ligne créées par le Client fourniture d'assistance informatique
**Durée de conservation**	La durée du Contrat
**Sous-traitants ultérieurs**	comme définis à l'Annexe 4

**C. DESCRIPTION DU TRAITEMENT**

L'autorité de contrôle compétente est : le Data Protection Commissioner (Irlande).

**Partie 2 : Données d'administration du contrat et de marketing**

**Catégories de personnes concernées**	Administrateurs Utilisateurs autorisés
**Catégories de données à caractère personnel**	Administrateurs Nom et adresse e-mail Préférences marketing Lorsque l'Administrateur est également le Client : Informations de compte et de profil Informations de paiement et de transaction Produits et services achetés Jeton d'authentification de connexion aux réseaux sociaux Utilisateurs autorisés Informations sur l'appareil utilisé pour accéder aux Services Informations sur l'accès et l'utilisation des Services par l'Utilisateur.
**Finalités du traitement**	Communication avec les Administrateurs (y compris l'envoi de communications liées aux services et promotionnelles) Administration du contrat avec le Client (y compris l'authentification et l'octroi d'accès aux Services, le traitement des renouvellements, la facturation et le traitement des paiements, la détection d'utilisation frauduleuse) Promotion et marketing des Services.

**Données d'utilisation et de retour d'expérience**

**Catégories de personnes concernées**	Administrateurs Utilisateurs autorisés
**Catégories de données à caractère personnel**	Nom et adresse e-mail Informations sur l'appareil utilisé pour accéder aux Services Informations sur l'accès et l'utilisation des Services par l'Utilisateur.
**Finalités du traitement**	Surveillance de la performance des Services, identification des erreurs et des améliorations à apporter aux Services et information du développement de produits.

Annexe 2 : Mesures techniques et organisationnelles

Annexe 3 : Clauses contractuelles types (CCT)

1. **CCT DE L'UE**

   En ce qui concerne les transferts visés à la Section 13, les Clauses contractuelles types doivent être complétées comme suit :

   1. Le Module Deux (responsable du traitement vers sous-traitant) des CCT s'applique.
   2. La Clause 7 des Clauses contractuelles types (Clause d'adhésion) ne s'applique pas.
   3. L'Option 2 de la Clause 9(a) (Autorisation écrite générale) s'applique, et le délai à préciser est déterminé dans la Section 7.4 du DPA.
   4. L'option de la Clause 11(a) des Clauses contractuelles types (Organe indépendant de règlement des litiges) ne s'applique pas.
   5. En ce qui concerne la Clause 17 des Clauses contractuelles types (Droit applicable), les Parties conviennent que l'option 1 s'applique et que le droit applicable sera le droit irlandais.
   6. Dans la Clause 18 des Clauses contractuelles types (Choix du for et de la juridiction), les Parties se soumettent à la juridiction des tribunaux d'Irlande.
   7. Aux fins de l'Annexe I des Clauses contractuelles types, la Partie 1 de l'Annexe 1 du DPA contient les spécifications concernant les parties, la description du transfert et l'autorité de contrôle compétente.
   8. Aux fins de l'Annexe II des Clauses contractuelles types, l'Annexe 2 du DPA contient les mesures techniques et organisationnelles.

2. **ADDENDUM BRITANNIQUE**

   1. Le présent paragraphe 2 (Addendum britannique) s'applique à tout transfert de Données couvertes du Client (en tant qu'exportateur de données) vers Circle (en tant qu'importateur de données), dans la mesure où :

      1. les Lois britanniques sur la protection des données s'appliquent au Client lors de ce transfert ; ou
      2. le transfert est un « transfert ultérieur » tel que défini dans l'Addendum approuvé.

   2. Aux fins du présent paragraphe 2 :

      « Addendum approuvé » désigne le modèle d'addendum, version B.1.0 publié par le Commissaire à l'information du Royaume-Uni en vertu de l'article S119A(1) du Data Protection Act 2018 et déposé devant le Parlement britannique le 2 février 2022, tel qu'il peut être révisé conformément à la Section 18 de l'Addendum approuvé.

      « Lois britanniques sur la protection des données » désigne toutes les lois relatives à la protection des données, au traitement des données personnelles, à la vie privée et/ou aux communications électroniques en vigueur au Royaume-Uni, y compris le RGPD britannique et le Data Protection Act de 2018.

   3. L'Addendum approuvé fait partie intégrante du présent DPA en ce qui concerne les transferts visés au paragraphe 2.1, et l'exécution du présent DPA a le même effet que la signature de l'Addendum approuvé.

   4. L'Addendum approuvé est réputé complété comme suit :

      1. les « CCT de l'UE de l'Addendum » font référence aux CCT telles qu'elles sont intégrées dans le présent Contrat conformément à la Section 13 et à la présente Annexe 3 ;
      2. le Tableau 1 de l'Addendum approuvé doit être complété avec les détails de la section A de la Partie 1 de l'Annexe 1 ;
      3. les « Informations de l'Appendix » font référence aux informations figurant dans la Partie 1 de l'Annexe 1 et l'Annexe 2 ;
      4. aux fins du Tableau 4 de l'Addendum approuvé, le Client (en tant qu'exportateur de données) peut mettre fin au présent DPA, dans la mesure où l'Addendum approuvé s'applique, conformément à la Section 19 de l'Addendum approuvé ; et
      5. la Section 16 de l'Addendum approuvé ne s'applique pas.

3. **Addendum suisse**

   1. Le présent addendum suisse s’applique à tout Traitement de données concernées soumis au droit suisse de la protection des données ou à la fois au droit suisse de la protection des données et au RGPD de l’UE.

   2. Interprétation du présent Addendum

      1. Lorsque le présent Addendum utilise des termes définis dans les Clauses contractuelles types, ces termes ont le même sens que dans les Clauses contractuelles types. En outre, les termes suivants ont les significations suivantes :

         • « Addendum » désigne le présent addendum aux Clauses ;
         • « Clauses » désigne les Clauses contractuelles types intégrées au présent DPA conformément à la section 13 et telles que précisées dans l’annexe 3 ; et
         • « PFPDT » désigne le Préposé fédéral à la protection des données et à la transparence.

      2. Le présent Addendum se lit et s’interprète d’une manière conforme au droit suisse de la protection des données, et de façon à remplir l’obligation des Parties de fournir des garanties appropriées, comme l’exige l’article 46 du RGPD et/ou l’article 6(2)(a) du droit suisse de la protection des données, selon le cas.

      3. Le présent Addendum ne s’interprète pas d’une manière qui serait en conflit avec les droits et obligations prévus par le droit suisse de la protection des données.

      4. Toute référence à une législation (ou à des dispositions spécifiques d’une législation) renvoie à cette législation (ou à cette disposition spécifique) telle qu’elle peut évoluer dans le temps. Cela inclut les cas où cette législation (ou disposition spécifique) a été codifiée, réédictée et/ou remplacée après la conclusion du présent addendum suisse.

      5. En ce qui concerne tout Traitement de Données à caractère personnel soumis au droit suisse de la protection des données ou à la fois au droit suisse de la protection des données et au RGPD, le présent Addendum modifie et complète les Clauses dans la mesure nécessaire pour qu’elles s’appliquent :

         • aux transferts effectués par l’exportateur de données vers l’importateur de données, dans la mesure où le droit suisse de la protection des données s’applique au Traitement réalisé par l’exportateur de données lors de ce transfert ; et
         • afin de fournir des garanties appropriées pour ces transferts conformément à l’article 6(2)(a) du droit suisse de la protection des données, selon le cas.

   3. Hiérarchie

      En cas de conflit ou d’incohérence entre le présent Addendum et les dispositions des Clauses ou d’autres accords connexes entre les Parties, existant au moment où le présent Addendum est accepté ou conclus ultérieurement, les dispositions offrant la protection la plus étendue aux Personnes concernées prévalent.

   4. Modifications des Clauses pour les transferts exclusivement soumis au droit suisse de la protection des données

      Dans la mesure où le Traitement de Données à caractère personnel par l’exportateur de données est exclusivement soumis au droit suisse de la protection des données, ou lorsque le transfert de Données à caractère personnel d’un exportateur de données à un importateur de données au titre des Clauses constitue un « transfert ultérieur » (tel que défini dans les Clauses, telles que modifiées par le reste du présent paragraphe 3.3(a)), les modifications suivantes sont apportées aux Clauses :

      1. Les références aux « Clauses » ou aux « CCT » désignent le présent addendum suisse, tel qu’il modifie les CCT.

      2. La clause 6 Description du ou des transferts est remplacée par :

      3. « Les détails du ou des transferts, et en particulier les catégories de Données à caractère personnel transférées et la ou les finalités pour lesquelles elles sont transférées, figurent dans la partie 1 de l’annexe 1 du présent DPA lorsque le droit suisse de la protection des données s’applique au Traitement réalisé par l’exportateur de données lors de ce transfert. »

      4. Les références au « Règlement (UE) 2016/679 » ou à « ce Règlement » ou au « RGPD » sont remplacées par « droit suisse de la protection des données » et les références à un ou plusieurs articles spécifiques du « Règlement (UE) 2016/679 » ou du « RGPD » sont remplacées par l’article ou la section équivalent(e) du droit suisse de la protection des données, dans la mesure applicable.

      5. Les références au Règlement (UE) 2018/1725 sont supprimées.

      6. Les références à l'« Union européenne », à l'« Union », à l'« UE » et à un « État membre de l’UE » sont toutes remplacées par « Suisse ».

      7. La clause 13(a) et la partie C de l’annexe I ne sont pas utilisées ; l’« autorité de contrôle compétente » est le PFPDT ;

      8. La clause 17 est remplacée par le texte suivant : « Les présentes Clauses sont régies par le droit suisse. »

      9. La clause 18 est remplacée par le texte suivant : « Tout litige découlant des présentes Clauses et relatif au droit suisse de la protection des données est tranché par les tribunaux suisses. Une Personne concernée peut également engager une action en justice contre l’exportateur et/ou l’importateur de données devant les tribunaux de Suisse dans le ressort desquels elle a sa résidence habituelle. Les Parties acceptent de se soumettre à la compétence de ces tribunaux. »

   5. Dispositions complémentaires pour les transferts de Données à caractère personnel soumis à la fois au RGPD et au droit suisse de la protection des données

      1. Dans la mesure où le Traitement de Données à caractère personnel de l’exportateur de données est soumis à la fois au droit suisse de la protection des données et au RGPD, ou lorsque le transfert de Données à caractère personnel d’un exportateur de données à un importateur de données au titre des Clauses constitue un « transfert ultérieur » au sens à la fois des Clauses et des Clauses telles que modifiées par le paragraphe 3.3(c) du présent Addendum :

         • aux fins de la clause 13(a) et de la partie C de l’annexe I : le PFPDT agit comme autorité de contrôle compétente pour tout transfert de Données à caractère personnel dans la mesure où le droit suisse de la protection des données s’applique au Traitement réalisé par l’exportateur de données lors de ce transfert, ou lorsque ce transfert constitue un « transfert ultérieur » tel que défini dans les Clauses (telles que modifiées par le paragraphe 3.3 du présent Addendum) ; et
         • sous réserve des dispositions du paragraphe 2 de la présente annexe 3 (Addendum Royaume-Uni), l’autorité de contrôle identifiée à l’annexe 1 agit comme autorité de contrôle compétente pour tout transfert de Données à caractère personnel dans la mesure où le RGPD s’applique au Traitement réalisé par l’exportateur de données, ou lorsque ce transfert constitue un « transfert ultérieur » tel que défini dans les Clauses.

      2. Les termes « Union européenne », « Union », « UE » et « État membre de l’UE » ne s’interprètent pas d’une manière qui exclurait la possibilité pour les Personnes concernées en Suisse d’intenter une action en justice dans leur lieu de résidence habituelle, conformément à la clause 18(c) des Clauses.

4. **Transferts en vertu des lois d'autres juridictions**

   1. En ce qui concerne tout transfert de Données personnelles visé à la Section 13.1(b) (chacun un « **Transfert mondial** »), les CCT ne doivent pas être interprétées d'une manière qui entre en conflit avec les droits et obligations prévus par les Lois sur la protection des données de l'exportateur.

   2. Aux fins de tout Transfert mondial, les CCT sont réputées être modifiées dans la mesure nécessaire pour qu'elles s'appliquent :

      1. aux transferts effectués par l'exportateur de données applicable vers l'importateur de données, dans la mesure où les Lois sur la protection des données de l'exportateur s'appliquent au Traitement de cet exportateur de données lors de ce transfert ; et
      2. pour fournir des garanties appropriées pour les transferts conformément aux Lois sur la protection des données de l'exportateur.

   3. Les modifications visées au paragraphe 4.2 incluent (sans limitation) les éléments suivants :

      1. les références au « RGPD » et à des Articles spécifiques du RGPD sont remplacées par les dispositions équivalentes en vertu des Lois sur la protection des données de l'exportateur ;
      2. Les références à l'« Union européenne », à l'« Union », à l'« UE » et à un « État membre de l’UE » sont toutes remplacées par une référence à la juridiction dans laquelle les Lois sur la protection des données de l'exportateur ont été émises (la « **Juridiction de l'exportateur** ») ;
      3. l'« autorité de contrôle compétente » désigne l'autorité de contrôle applicable dans la Juridiction de l'exportateur ; et
      4. les Clauses 17 et 18 des CCT font référence respectivement aux lois et aux tribunaux de la Juridiction de l'exportateur.

   4. Lorsque, à tout moment pendant le Traitement par Circle des Données couvertes en vertu du présent DPA, un mécanisme de transfert autre que les CCT est approuvé en vertu des Lois sur la protection des données de l'exportateur concernant les transferts de Données couvertes par le Client vers Circle, les Parties concluent rapidement un accord supplémentaire qui :

      1. intègre toute clause type de protection des données ou un autre mécanisme de transfert formellement adopté par l'autorité compétente dans la Juridiction de l'exportateur ;
      2. intègre les détails du Traitement énoncés dans la Partie 1 de l'Annexe 1 ;
      3. prévaut, en ce qui concerne le transfert de Données personnelles soumises aux Lois sur la protection des données de l'exportateur, sur le présent DPA en cas de conflit.

   5. Lorsque cela est requis en vertu des Lois sur la protection des données de l'exportateur, l'exportateur de données concerné dépose une copie de l'accord conclu conformément au paragraphe 4.4 auprès de l'autorité nationale compétente.

Annexe 4 : Sous-traitants

**Sous-traitant**	**Objectif**	**Description**	**Localisation**	**Mécanisme de transfert**
Amazon Web Services, Inc. (AWS)	Hébergement cloud	Fournit les ressources de calcul, de stockage et l’infrastructure utilisées pour organiser l’application de Circle et stocker les données client de manière sécurisée.	États-Unis	Clauses contractuelles types (CCT)
Braintrust, Inc.	Évaluation de l’IA	Évalue et surveille les performances des fonctionnalités IA à l’aide d’exemples de saisies et de résultats.	États-Unis	Clauses contractuelles types (CCT)
Buildkite Pty Ltd.	Pipelines CI / CD	Exécute les pipelines CI/CD pour compiler, tester et déployer l’application de Circle.	États-Unis	Clauses contractuelles types (CCT)
Clay Labs, Inc.	Enrichissement des données et automatisations GTM	Enrichit les données de contact et de compte et prend en charge les automatisations go-to-market.	États-Unis	Clauses contractuelles types (CCT)
Cloudflare, Inc.	Observabilité, monitoring et sécurité	Fournit un CDN, l’optimisation des performances et la protection de sécurité (y compris la mitigation DDoS et le routage du trafic).	États-Unis	Clauses contractuelles types (CCT)
dbt Labs, Inc. (dbt Cloud)	Transformation des données et ingénierie analytique	Exécute des tâches de transformation de données sur les données de tableau de bord de Circle.	États-Unis	Clauses contractuelles types (CCT)
Fathom Analytics, Inc. (Fathom)	Transcriptions d’appels	Enregistre les réunions et génère des transcriptions d’appels, des résumés et des listes d’actions.	États-Unis	Clauses contractuelles types (CCT)
Forethought Technologies, Inc.	Automatisation du support par IA	Fournit des outils de support alimentés par l’IA qui traitent les tickets de support et le contenu d’aide.	États-Unis	Clauses contractuelles types (CCT)
Google Cloud (Google LLC)	Hébergement cloud	Fournit des services d’hébergement sécurisés pour une partie de l’infrastructure de Circle	États-Unis	Clauses contractuelles types (CCT)
HubSpot, Inc.	CRM et marketing	Traite les informations de contact des administrateurs client et des prospects pour l’onboarding, les communications tout au long du cycle de vie et les opérations marketing.	États-Unis	Clauses contractuelles types (CCT)
Last9, Inc.	Observabilité et monitoring	Fournit l’observabilité de l’infrastructure et des applications de Circle (journaux, métriques, traces).	États-Unis	Clauses contractuelles types (CCT)
LiveKit, Inc.	Infrastructure audio et vidéo	Fournit la vidéo en direct (WebRTC, HLS) pour les sessions, les événements et les fonctionnalités vidéo interactives.	États-Unis	Clauses contractuelles types (CCT)
Mailgun Technologies, Inc.	Service de distribution d’e-mails	Envoie des e-mails marketing au nom des clients Circle vers les Membres de Circle via Email Hub (par exemple, notifications, e-mails de vérification).	États-Unis	Clauses contractuelles types (CCT)
New Relic, Inc.	Observabilité et monitoring	Fournit le monitoring des applications et de l’infrastructure (APM, logs, métriques).	États-Unis	Clauses contractuelles types (CCT)
OpenAI, LLC	LLM et autres fonctionnalités IA	Traite les prompts et le contenu soumis par les utilisateurs lorsque les fonctionnalités alimentées par l’IA sont activées dans Circle.	États-Unis	Clauses contractuelles types (CCT)
RevenueCat, Inc.	Finances et paiements	Traite les données de facturation des clients et des Membres, les événements d’abonnements, les tableaux de bords associés aux revenus et les jetons de moyens de paiement.	États-Unis	Clauses contractuelles types (CCT)
SendGrid (Twilio SendGrid, Inc.)	Service de distribution d’e-mails	Envoie des e-mails transactionnels et opérationnels aux clients et aux Membres de Circle (par exemple, notifications, e-mails de vérification).	États-Unis	Clauses contractuelles types (CCT)
Stripe, Inc.	Finances et paiements	Traite les données de facturation des clients et des Membres, les paiements d’abonnements et les jetons de moyens de paiement.	États-Unis	Clauses contractuelles types (CCT)
Zapier, Inc.	Automatisations	Traite les données déclenchées par les automatisations pour automatiser les opérations internes et les Intégrations (orchestration IA).	États-Unis	Clauses contractuelles types (CCT)
Zendesk, Inc.	Support client	Traite les informations de contact des clients et le contenu des tickets de support afin de fournir un diagnostic et un accompagnement.	États-Unis	Clauses contractuelles types (CCT)
100MS	Infrastructure audio et vidéo	Fournit la vidéo en direct (WebRTC, HLS) pour les sessions, les événements et les fonctionnalités vidéo interactives.	États-Unis	Clauses contractuelles types (CCT)