Contrat Dropbox Business

Date de publication : 14 septembre 2016

Le présent contrat Dropbox Business (ci-après le "contrat") est conclu entre Dropbox International Unlimited Company, si le siège social de votre entreprise se trouve ailleurs qu'au Canada, aux États-Unis et au Mexique (ci-après "Amérique du Nord") ou, si le siège social de votre entreprise se trouve en Amérique du Nord, entre Dropbox, Inc., une entreprise de l'État du Delaware (ci-après "Dropbox") et l'entreprise acceptant les présentes conditions d'utilisation (ci-après le "client"). Ce contrat régit l'accès au logiciel client et aux services de Dropbox Business (regroupés ci-après sous l'intitulé "Dropbox Business"), et aux services bêta mis à votre disposition (regroupés ci-après, avec Dropbox Business, sous l'intitulé "services"), ainsi que leur utilisation. En cliquant sur "J'accepte" et en signant le contrat relatif aux services ou en utilisant lesdits services, vous acceptez le présent contrat en tant que client.

Dans la mesure où Dropbox, Inc. traite, au nom du client, les données appartenant à celui-ci, qui sont régies par la législation nationale dans le cadre de la directive de l'UE relative à la protection des données (95/46/CE) (ci-après "lois de protection des données de l'UE"), en cliquant sur "J'accepte", vous acceptez également de vous conformer aux clauses contractuelles types de l'UE avec Dropbox, Inc. concernant le transfert de données à caractère personnel vers des sous-traitants tels que définis à l'annexe 1.

Si vous acceptez le présent contrat et l'annexe 1 (le cas échéant) pour l'utilisation des services par une entreprise, vous l'acceptez au nom de ladite entreprise. Vous devez disposer de l'autorité nécessaire pour lier l'entreprise à ces termes. Si ce n'est pas le cas, vous ne pouvez pas l'inscrire à ces services.

1. Services.
   1. Prestation des services. Le client et les utilisateurs du compte de services du client (les "utilisateurs finaux") peuvent accéder aux services et les utiliser conformément au présent contrat.
   2. Sites et traitement des données. Dropbox utilise au minimum les méthodes de sécurité techniques et organisationnelles standard du secteur pour transférer, stocker et traiter les données du client. Ces méthodes visent à protéger l'intégrité des données du client et à empêcher tout accès, utilisation et traitement illégaux ou non autorisés desdites données du client. Le client accepte que ses données soient transférées, stockées et traitées aux États-Unis et dans des sites qui se trouvent hors de son pays. Dans la mesure où les données du client sont régies par les lois de protection des données de l'UE et traitées par Dropbox en sa qualité de sous-traitant agissant au nom du client (en tant que responsable du traitement des données), Dropbox utilisera et traitera lesdites données selon les instructions du client afin d'assurer les services et les obligations lui incombant dans le cadre du contrat. Les "données du client" font référence aux données stockées et aux données relatives aux comptes. Les "données stockées" comprennent les fichiers et les données structurées envoyés aux services par le client ou les utilisateurs finaux. Les "données relatives aux comptes" comprennent les informations sur les comptes et les coordonnées de contact envoyées aux services par le client ou les utilisateurs finaux.
   3. Modifications apportées aux services. Dropbox peut être amené à mettre à jour les services. Si Dropbox modifie lesdits services de telle sorte que leur fonctionnalité s'en trouve réduite, le client en sera informé par e-mail à l'adresse associée au compte.
   4. Logiciel. Certains Services permettent au Client de télécharger le logiciel Dropbox, qui peut être automatiquement mis à jour. Le Client n'est autorisé à utiliser le logiciel que pour accéder aux Services. Si certains composants du logiciel sont offerts sous licence Open Source, Dropbox met ladite licence à la disposition du Client. Les termes de cette licence peuvent l'emporter expressément sur certaines des conditions du présent Contrat.
   5. Services bêta. Il est possible que certaines fonctionnalités ou certains produits fournis par Dropbox soient toujours en cours de test et d'évaluation. Ces produits et fonctionnalités (regroupés ci-après sous l'intitulé "services bêta") sont identifiés à l'aide des mentions "alpha", "bêta", "aperçu", "accès en avant-première" ou "évaluation" (ou à l'aide d'autres termes ou expressions dont le sens est similaire). Nonobstant toute disposition contraire stipulée dans le présent contrat ou à l'annex 1, les conditions d'utilisation suivantes s'appliquent à l'ensemble des services bêta : (a) vous pouvez utiliser ou refuser d'utiliser tout service bêta ; (b) les services bêta peuvent ne pas être pris en charge, et ils peuvent être modifiés à tout moment sans préavis ; (c) les services bêta peuvent ne pas être aussi fiables ou disponibles que Dropbox Business ; (d) les services bêta n'ont pas été soumis aux mêmes mesures de sécurité et d'audit que Dropbox Business ; et (e) DROPBOX DÉCLINE TOUTE RESPONSABILITÉ CONCERNANT LES SERVICES BÊTA. LEUR UTILISATION RELÈVE DE VOTRE ENTIÈRE RESPONSABILITÉ.
2. Obligations du client.
   1. Conformité. Le Client est responsable de l'utilisation des Services par ses Utilisateurs finaux. Le Client et ses Utilisateurs finaux doivent utiliser les Services conformément à la Politique d'utilisation acceptable. Le Client doit obtenir toutes les approbations nécessaires de la part des Utilisateurs finaux afin de permettre aux Administrateurs de mener à bien les activités décrites dans le présent Contrat et à Dropbox de fournir les Services. Le Client doit respecter la législation et la réglementation s'appliquant à son utilisation des Services, le cas échéant.
   2. Gestion des services par le client. Le client peut désigner des administrateurs parmi les utilisateurs finaux, via l'interface d'administration. Les administrateurs peuvent accéder aux données du client, les divulguer, les limiter ou les supprimer des comptes de services. Ils peuvent aussi être autorisés à surveiller les comptes de services, à en limiter l'accès ou à les résilier. Les responsabilités de Dropbox ne couvrent ni la gestion ni l'administration en interne des services. Le client est tenu de : (i) maintenir la confidentialité des mots de passe et comptes des administrateurs ; (ii) gérer l'accès aux comptes des administrateurs ; et (iii) garantir que l'utilisation des services par les administrateurs respecte le présent contrat. Le client reconnaît que s'il achète les services par le biais d'un revendeur et qu'il désigne des membres du personnel de ce revendeur en tant qu'administrateurs de son compte de services, le revendeur en question pourra contrôler les informations du compte (y compris les données du client) et accéder au compte de services du client comme décrit ci-dessus.
   3. Accès et utilisation non autorisés. Le client doit empêcher toute utilisation non autorisée des services par ses utilisateurs finaux et mettre fin à une telle utilisation ou annuler l'accès aux services. Les services ne sont pas destinés à des utilisateurs finaux de moins de 13 ans. Le client doit veiller à ce qu'aucune personne âgée de moins de 13 ans n'utilise les services. Si les services font l'objet d'une utilisation ou d'un accès non autorisé, le client doit en informer Dropbox dans les meilleurs délais.
   4. Restrictions d'utilisation. Le client ne doit pas (i) vendre, revendre ou louer les services ; (ii) utiliser les services pour des activités où l'utilisation desdits services ou leur défaillance pourrait provoquer des dégâts matériels, la mort ou des dommages corporels ; ni (iii) procéder à la rétroingénierie des services, sauf dans les cas où la présente restriction est interdite par la loi.
   5. Demandes émanant de tiers.
      1. Une "demande émanant d'un tiers" est une demande envoyée par un tiers pour obtenir des informations sur l'utilisation par un utilisateur final des services, y compris des informations figurant dans le compte de services du client ou d'un utilisateur final. Les demandes émanant de tiers peuvent inclure un mandat de perquisition, une ordonnance rendue par un tribunal, une assignation à comparaître, ou toute autre demande pour laquelle il existe un consentement écrit par les utilisateurs finaux autorisant une telle divulgation d'information.
      2. Le client doit répondre lui-même aux demandes émanant de tiers, en utilisant ses propres moyens d'accès aux informations. Le client cherchera à obtenir les informations demandées dans le cadre des demandes émanant de tiers et contactera Dropbox si, malgré ses efforts et sa diligence, il ne parvient pas à obtenir ces informations.
      3. Dans les limites autorisées par la loi et selon les conditions de la demande émanant du tiers, Dropbox fera tous les efforts économiquement raisonnables pour : (A) informer rapidement le client que Dropbox a reçu une demande émanant d'un tiers ; (B) répondre aux demandes raisonnables du client pour l'aider à dénoncer une demande émanant d'un tiers ; et (C) fournir au client les informations ou les outils dont il a besoin pour répondre à la demande émanant d'un tiers (si le client ne peut pas obtenir ces informations par ses propres moyens). Si le client ne répond pas dans les plus brefs délais à une demande émanant d'un tiers, Dropbox peut s'en charger, sans toutefois être obligé de le faire.
3. Services tiers. Si le client utilise un service tiers (un service utilisant une API Dropbox, par exemple) dans le cadre des services, (a) Dropbox ne sera pas tenu responsable des actions ou omissions du tiers, y compris de l'accès par le tiers aux données du client ou de l'utilisation de ces dernières ; et (b) Dropbox n'offre aucune garantie ni assistance quant aux services assurés par des tiers.
4. Suspension.
   1. Suspension de comptes d'utilisateurs finaux par Dropbox. Dans le cas où un utilisateur final (i) enfreint le présent contrat ou (ii) utilise les services de telle sorte que Dropbox peut raisonnablement penser que sa responsabilité est engagée, Dropbox peut demander au client de suspendre ou de résilier le compte de l'utilisateur final. Si le client ne suspend pas ou ne résilie pas le compte de l'utilisateur final, Dropbox peut alors s'en charger.
   2. Situations d'urgence relatives à la sécurité. Nonobstant toute mention dans le présent contrat, Dropbox peut automatiquement suspendre l'utilisation des services dans le cas d'une situation d'urgence relative à la sécurité. Dropbox fera tous les efforts économiquement raisonnables pour adapter ladite suspension selon les besoins afin d'éviter ou de résoudre la situation d'urgence relative à la sécurité. Les "situations d'urgence relatives à la sécurité" comprennent : (i) l'utilisation des services qui perturbe ou pourrait perturber les services, l'utilisation par d'autres clients des services ou l'infrastructure utilisée pour assurer lesdits services et (ii) l'accès non autorisé aux services par des tiers.
5. Droits de propriété intellectuelle.
   1. Droits réservés. Sauf expressément indiqué dans les présentes, ce contrat ne confère pas (i) à Dropbox de droits de propriété intellectuelle sur les données du client, ni (ii) au client de droits de propriété intellectuelle sur les services ou les marques commerciales et les éléments d'identité de marque de Dropbox. Les "droits de propriété intellectuelle" comprennent les droits internationaux actuels et futurs faisant l'objet d'un brevet, d'un copyright, d'un secret industriel, d'une marque commerciale, de droits moraux ou d'autres droits similaires.
   2. Autorisation limitée. Le Client accorde à Dropbox uniquement les droits limités qui sont raisonnablement nécessaires pour que Dropbox offre les Services (hébergement des données stockées, par exemple). Cette autorisation s'applique aussi à nos filiales et aux tiers de confiance avec lesquels Dropbox collabore pour offrir les Services (le prestataire de services de paiement utilisé pour traiter les paiements, par exemple).
   3. Suggestions. Dropbox peut, à sa seule discrétion et dans quelque but que ce soit, utiliser, modifier et incorporer dans ses produits et services les impressions, commentaires et suggestions transmis à Dropbox par le client ou les utilisateurs finaux, ou publiés par ces derniers sur les forums de Dropbox, sans avoir aucune obligation vis-à-vis du client.
   4. Liste de clients. Dropbox est susceptible de faire figurer le nom du client dans la liste des clients de Dropbox disponible sur son site Web ou dans des documents promotionnels.
6. Frais et paiement.
   1. Frais. Le Client autorise Dropbox ou le revendeur du Client à débiter tous les frais applicables selon le mode de paiement choisi par le Client. Ces frais ne sont pas remboursables, sauf dans les cas prévus par la loi. Le Client est tenu de fournir à Dropbox ou au revendeur du Client des informations de facturation et des coordonnées de contact complètes et exactes. Dropbox peut suspendre ou annuler les Services si les frais restent impayés.
   2. Renouvellement automatique et offres d'essai. SI LE RENOUVELLEMENT AUTOMATIQUE EST ACTIVÉ DANS LE COMPTE DU CLIENT OU SI LE CLIENT BÉNÉFICIE D'UNE OFFRE D'ESSAI EN COURS, DROPBOX (OU LE REVENDEUR DU CLIENT) PEUT DÉBITER AUTOMATIQUEMENT LE MODE DE PAIEMENT DU CLIENT AU TERME DE LA PÉRIODE D'ESSAI OU POUR UN RENOUVELLEMENT, SAUF SI LE CLIENT INFORME DROPBOX (OU LE REVENDEUR DU CLIENT, LE CAS ÉCHÉANT) QU'IL SOUHAITE RÉSILIER SON COMPTE OU DÉSACTIVER LE RENOUVELLEMENT AUTOMATIQUE. Dropbox se réserve le droit de modifier les tarifs des Services en informant le Client au moins 30 jours avant de procéder au débit suivant.
   3. Taxes. Le Client doit s'acquitter de toutes les taxes. Dropbox ou le revendeur du Client pourront facturer des taxes lorsqu'elles sont exigées. Si le Client est tenu par la loi de retenir certaines taxes, il doit fournir à Dropbox ou à son revendeur un reçu fiscal officiel ou tout autre document adéquat.
   4. Bons de commande. Si le Client exige l'utilisation d'un bon de commande ou d'un numéro de bon de commande, il (i) doit fournir le numéro du bon de commande au moment de l'achat et (ii) reconnaît que toutes les conditions indiquées sur le bon de commande du Client ne s'appliquent pas au présent Contrat, et sont nulles et non avenues. Si le Client achète les Services par le biais d'un revendeur, les conditions d'utilisation de ce revendeur, ou celles figurant dans un bon de commande entre le Client et son revendeur, qui sont en conflit avec les dispositions du Contrat Dropbox Business sont nulles et non avenues.
7. Durée et résiliation.
   1. Durée. Le présent contrat reste en vigueur jusqu'à expiration ou échéance de l'abonnement du client aux services, ou jusqu'à la résiliation du contrat.
   2. Résiliation pour manquement. Dropbox ou le client peut résilier ce contrat, si : (i) l'autre partie commet une violation substantielle du contrat et ne parvient pas à remédier à ce manquement dans les 30 jours suivant la réception de l'avis écrit ou si (ii) l'autre partie cesse ses activités ou fait l’objet d’une procédure d’insolvabilité non rejetée dans un délai de 90 jours.
   3. Effets de la résiliation. Dans l'éventualité de la résiliation du présent contrat : (i) les droits accordés par Dropbox au client cessent immédiatement (sauf exceptions indiquées dans le présent article) ; (ii) Dropbox peut accorder au client l'accès à son compte au tarif en vigueur afin qu'il puisse exporter ses données stockées ; et (iii) après une période économiquement raisonnable, Dropbox peut supprimer toutes les données stockées en rapport avec le compte du client. Les dispositions suivantes restent en vigueur après l'expiration ou la résiliation de ce contrat : 2(e) (Demandes émanant de tiers), 5 (Droits de propriété intellectuelle), 6 (Frais et paiement), 7(c) (Effets de la résiliation), 8 (Indemnisation), 9 (Exclusion de garanties), 10 (Limitation de responsabilités), 11 (Litiges) et 12 (Dispositions diverses).
8. Indemnisation.
   1. Par le client. Le client doit indemniser, défendre et dégager de toute responsabilité Dropbox pour les dépenses, dommages et coûts (y compris les frais et honoraires d'avocat raisonnables) découlant d'une réclamation émanant d'un tiers contre Dropbox et ses sociétés affiliées et concernant : (i) les données du client ; (ii) l'utilisation des services par le client en infraction avec le présent contrat ; ou (iii) l'utilisation des services par les utilisateurs finaux en infraction avec le présent contrat.
   2. Par Dropbox. Dropbox doit indemniser, défendre et dégager de toute responsabilité le client pour les dépenses, dommages et coûts (y compris les frais et honoraires d'avocat raisonnables) découlant d'une réclamation émanant d'un tiers à l'encontre du client, dans la mesure où le plaignant affirme que la technologie Dropbox utilisée pour fournir les services au client enfreint ou détourne des copyrights, des secrets industriels, des brevets des États-Unis ou des droits relatifs aux marques appartenant au tiers concerné. Dropbox ne sera en aucun cas soumis à des obligations ou à des responsabilités aux termes du présent article, découlant : (i) de l'utilisation des services sous une forme modifiée ou en association avec des éléments non fournis par Dropbox, et (ii) de contenus, d'informations ou de données fournis par le client, les utilisateurs finaux ou d'autres tiers.
   3. Éventuelle atteinte au copyright. Si Dropbox estime que les services portent atteinte aux droits de propriété intellectuelle d'un tiers ou sont susceptibles de le faire, Dropbox peut : (i) obtenir le droit pour le client, aux frais de Dropbox, de continuer à utiliser les services ; (ii) fournir une fonctionnalité de remplacement équivalente qui ne porte pas atteinte au copyright ; ou (iii) modifier les services afin qu'ils ne portent plus atteinte au copyright. Si Dropbox estime que les options décrites dans cet article ne sont pas économiquement raisonnables, Dropbox peut suspendre ou annuler l'utilisation des services concernés par le client (avec remboursement au prorata des frais déjà réglés pour les services).
   4. Généralités. La partie sollicitant une indemnisation informera dans les plus brefs délais l'autre partie de sa réclamation et coopérera avec elle pour justifier la réclamation. La partie versant l'indemnisation dispose d'un contrôle total et d'une autorité complète sur la défense, excepté que : (i) toute décision impliquant que la partie sollicitant une indemnisation admette une responsabilité nécessitera un consentement écrit préalable de cette partie, ce consentement ne devant pas être dissimulé ou retardé de façon non raisonnable, et que (ii) l'autre partie peut prendre part à la défense avec son propre avocat et à ses frais. LES INDEMNITÉS CI-DESSUS CONSTITUENT LE SEUL RECOURS DE DROPBOX ET DU CLIENT DANS LE CADRE DU PRÉSENT CONTRAT EN CAS D'ATTEINTE PAR L'AUTRE PARTIE AUX DROITS DE PROPRIÉTÉ INTELLECTUELLE D'UN TIERS.
9. Exclusion de garanties. LES SERVICES SONT FOURNIS "EN L'ÉTAT". DANS LA MESURE OÙ LA LOI LE PERMET, SAUF MENTION EXPLICITE DU CONTRAIRE DANS LE PRÉSENT CONTRAT, NI LE CLIENT, NI DROPBOX ET SES SOCIÉTÉS AFFILIÉES, FOURNISSEURS ET DISTRIBUTEURS N'OFFRENT DE GARANTIE EXPRESSE, IMPLICITE, LÉGALE OU AUTRE, NOTAMMENT DE GARANTIE DE QUALITÉ MARCHANDE, D'ADÉQUATION À UN USAGE PARTICULIER ET D'ABSENCE DE CONTREFAÇON. LE CLIENT EST RESPONSABLE DE LA MAINTENANCE ET DE LA SAUVEGARDE DE TOUTES LES DONNÉES STOCKÉES.
10. Limitation de responsabilités.
    1. Limitation de la responsabilité indirecte. DANS LA MESURE OÙ LA LOI LE PERMET, SAUF OBLIGATIONS D'INDEMNISATION DE DROPBOX OU DU CLIENT, NI LE CLIENT, NI DROPBOX, SES SOCIÉTÉS AFFILIÉES, FOURNISSEURS ET DISTRIBUTEURS NE PEUVENT ÊTRE TENUS RESPONSABLES DANS LE CADRE DU PRÉSENT CONTRAT (I) DES DOMMAGES INDIRECTS, SPÉCIAUX, ACCESSOIRES, CONSÉCUTIFS, EXEMPLAIRES OU PUNITIFS, OU (II) DE LA PERTE DE DONNÉES, ACTIVITÉS, REVENUS, OU BÉNÉFICES (QUE CHACUN SOIT DIRECT OU INDIRECT), MÊME SI LA PARTIE SAVAIT OU AURAIT DÛ SAVOIR QUE DE TELS DOMMAGES POUVAIENT ÊTRE ENCOURUS, ET MÊME SI UN RECOURS EXERCÉ DANS LES PRÉSENTES S'AVÈRE INTRINSÈQUEMENT INEFFICACE.
    2. Limitation du montant des réparations. DANS LA MESURE OÙ LA LOI LE PERMET, LES RÉPARATIONS GLOBALES DUES PAR DROPBOX DANS LE CADRE DU PRÉSENT CONTRAT NE PEUVENT DÉPASSER LA PLUS PETITE DES DEUX SOMMES SUIVANTES : 100 000 USD OU LA SOMME VERSÉE PAR LE CLIENT POUR LES SERVICES DANS LE CADRE DU PRÉSENT CONTRAT PENDANT LES DOUZE MOIS PRÉCÉDANT L'ÉVÉNEMENT ENGAGEANT LA RESPONSABILITÉ.
11. Litiges.
    1. Résolution informelle. Dropbox souhaite répondre à vos préoccupations sans recourir à une procédure juridique formelle. Avant de déposer une réclamation, chaque partie convient d'essayer de trouver une résolution au litige en contactant l'autre partie par le biais des procédures de notification de l'article 12(e). Si un litige n'est pas résolu dans les 30 jours suivants la notification, le client ou Dropbox peut engager une procédure juridique formelle.
    2. Convention d'arbitrage. Le client et Dropbox conviennent de résoudre toute réclamation relative au présent contrat ou aux services par voie d'arbitrage définitif et exécutoire, à l'exception des mentions énoncées ci-dessous. L'American Arbitration Association (AAA) régit l'arbitrage en vertu de ses règles d'arbitrage commercial. L'arbitrage a lieu à San Francisco (Californie), ou à tout autre endroit convenu par écrit par les deux parties.
    3. Exception à la convention d'arbitrage. L'une ou l'autre partie peut intenter une action en justice auprès des tribunaux fédéraux ou tribunaux d'État du comté de San Francisco en Californie dans le seul but d'obtenir une injonction de cesser toute utilisation abusive ou non autorisée des services, ou toute violation des droits de propriété intellectuelle, sans recourir au préalable à la procédure de résolution informelle susmentionnée. Le client et Dropbox acceptent de se soumettre à la compétence de ces tribunaux.
    4. PAS DE RECOURS COLLECTIFS. Le client peut uniquement résoudre les litiges avec Dropbox sur une base individuelle, et ne peut pas déposer de réclamation dans une procédure de recours collectif, consolidé, ou en représentation conjointe. Les arbitrages collectifs, recours collectifs, actions d'ordre général avec avocat privé et consolidation avec tout autre type d'arbitrage ne sont pas autorisés.
12. Dispositions diverses.
    1. Modifications des conditions. Dropbox peut réviser ponctuellement le présent Contrat et la version la plus récente sera toujours publiée sur le site Web de Dropbox Business. Si une révision, à la seule discrétion de Dropbox, s’avère conséquente, Dropbox en informera le Client (en envoyant un e-mail à l'adresse associée au compte concerné, par exemple). Les autres révisions peuvent être publiées sur le blog ou la page des Conditions d'utilisation de Dropbox, et il incombe au Client de vérifier ces pages régulièrement. En continuant d'accéder aux Services ou de les utiliser après l'entrée en vigueur des révisions, le Client accepte d'être lié par le Contrat révisé. Si le Client n'accepte pas les conditions du Contrat révisé, il peut annuler les Services dans les 30 jours suivant la réception de l'avis de modification.
    2. Intégralité du Contrat. Le présent Contrat, accompagné de la facture et du bon de commande du Client avec Dropbox (le cas échéant), constitue l'intégralité du contrat passé entre le Client et Dropbox concernant l'objet du Contrat. Il annule et remplace tout accord et entente préalables ou contemporains, écrits ou oraux, relatifs à l'objet de ce Contrat. En cas de conflit entre les documents qui constituent ce Contrat, les documents prévaudront dans l'ordre suivant : facture Dropbox, bon de commande Dropbox, Contrat.
    3. Loi applicable. LE CONTRAT EST RÉGI PAR LES LOIS DE CALIFORNIE, À L'EXCLUSION DES RÈGLES DE CONFLIT DE LOIS DE CET ÉTAT.
    4. Divisibilité. Les dispositions non applicables seront modifiées pour refléter l'intention des parties, mais seulement dans la mesure nécessaire pour les rendre applicables. Les autres dispositions du présent contrat resteront en vigueur.
    5. Notification. Les notifications doivent être envoyées par courrier prioritaire, par service postal aérien ou par coursier, et sont considérées données dès la réception. Les notifications adressées au client peuvent également être envoyées à l'adresse e-mail du compte concerné et sont considérées données dès l'envoi. Les notifications adressées à Dropbox doivent être envoyées à Dropbox, Inc., P.O. Box 77767, San Francisco, CA 94107, États-Unis, avec une copie pour le service juridique.
    6. Renonciation. Le fait de renoncer à faire valoir un droit à la suite d'un manquement ne peut être interprété comme une renonciation à faire valoir ce droit ultérieurement.
    7. Cession. Le client ne peut pas céder ni transférer le présent contrat ou tout droit ou obligation découlant de ce contrat sans le consentement écrit de Dropbox. Dropbox ne peut pas céder ce contrat sans en avertir au préalable le client. Toutefois, Dropbox peut céder sans préavis le présent contrat ou tout droit ou obligation découlant de ce contrat à une société affiliée ou dans le cadre d'une fusion, d'une acquisition, d'une réorganisation de l'entreprise ou d'une vente de tous ou de la quasi-totalité de ses biens. Toute autre tentative de transfert ou d'attribution est nulle et non avenue.
    8. Aucune relation de type mandataire. Dropbox et le client ne sont pas des partenaires légaux ni des mandataires, mais des contractants indépendants.
    9. Force majeure. Ni Dropbox, ni le client ne peuvent être tenus responsables d'une mauvaise exécution dans la mesure où elle est causée par une situation échappant au contrôle raisonnable de la partie (par exemple, une catastrophe naturelle, un acte de guerre ou de terrorisme, une émeute, des conditions de travail, une mesure gouvernementale ou une perturbation des réseaux Internet).
    10. Aucun tiers bénéficiaire. Il n'existe aucun tiers bénéficiaire du présent contrat. Sans pour autant limiter cet article, les utilisateurs finaux du client ne sont pas des tiers bénéficiaires des droits du client dans le cadre du présent contrat.
    11. Restrictions des exportations. L'exportation et la réexportation des données du Client par le biais des Services peuvent faire l'objet d'un contrôle dans le cadre des réglementations des États-Unis relatives aux exportations, ou d'autres restrictions des exportations ou embargos applicables. Il est interdit d'utiliser les Services en Corée du Nord, à Cuba, en Iran, au Soudan, en Syrie et dans tout autre pays faisant l'objet d'un embargo imposé par les États-Unis. Le Client doit en outre veiller à ce que son utilisation des Services n'enfreigne pas les restrictions des exportations, ou les embargos imposés par les États-Unis ou par une autre juridiction applicable. Par ailleurs, le Client doit s'assurer que les Services ne sont pas fournis à des personnes figurant sur les listes "Table of Denial Orders", "Entity List" ou "List of Specially Designated Nationals" établies par les États-Unis.

Aux fins de l'article 26 paragraphe (2) de la directive 95/46/CE pour le transfert de données à caractère personnel vers des sous-traitants établis dans des pays tiers qui n'assurent pas un niveau de protection des données adéquat.

Nom de l'organisation exportant les données : Le client adhérant au Contrat Dropbox Business avec Dropbox International Unlimited Company
(ci-après "l'exportateur de données")

et

Nom de l'organisation important les données : Dropbox, Inc.
Adresse : 333 Brannan Street, San Francisco, CA 94107 États-Unis
(ci après, "l'importateur de données")

ci-après nommés individuellement "partie" et collectivement "les parties",

ONT ACCEPTÉ les clauses contractuelles suivantes (ci-après "les clauses") afin d'offrir des garanties adéquates concernant la protection de la vie privée, des droits fondamentaux et des libertés des personnes lors du transfert, par l'exportateur de données vers l'importateur de données, des données à caractère personnel visées à l'appendice 1.

Au sens de ces clauses :

1. "données à caractère personnel", "catégories spéciales de données", "traiter/traitement", "responsable du traitement", "sous-traitant", "personne concernée" et "autorité de contrôle" ont la même signification que dans la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données¹ ;
2. "l'exportateur de données" est le responsable du traitement qui transfère les données à caractère personnel ;
3. "l'importateur de données" est le sous-traitant qui accepte de recevoir de l'exportateur de données des données à caractère personnel destinées à être traitées pour le compte de ce dernier après le transfert conformément à ses instructions et aux conditions des Clauses et qui n'est pas soumis au système d'un pays tiers assurant une protection adéquate au sens de l'article 25 paragraphe (1) de la directive 95/46/CE ;
4. "le sous-traitant ultérieur" est le sous-traitant engagé par l'importateur de données ou par tout autre sous-traitant ultérieur de celui-ci, qui accepte de recevoir de l'importateur de données ou de tout autre sous-traitant ultérieur de celui-ci des données à caractère personnel exclusivement destinées à des activités de traitement à effectuer pour le compte de l'exportateur de données après le transfert conformément aux instructions de ce dernier, aux conditions énoncées dans les présentes Clauses et selon les termes du contrat de sous-traitance écrit ;
5. "le droit applicable à la protection des données" est la législation protégeant les libertés et les droits fondamentaux des personnes, notamment le droit à la vie privée à l'égard du traitement des données à caractère personnel, et s'appliquant à un responsable du traitement dans l'État membre dans lequel l'exportateur de données est établi ;
6. "mesures techniques et d'organisation liées à la sécurité" sont les mesures destinées à protéger les données à caractère personnel contre une destruction fortuite ou illicite, une perte fortuite, une altération, une divulgation ou un accès non autorisé, notamment lorsque le traitement suppose la transmission de données par réseau, et contre toute autre forme illicite de traitement.

Les détails du transfert et, en particulier, le cas échéant, les catégories spéciales de données à caractère personnel, sont spécifiées dans l'appendice 1 qui fait partie intégrante des présentes clauses.

1. La personne concernée peut faire appliquer contre l'exportateur de données la présente clause, ainsi que la clause 4 points b) à i), la clause 5 points a) à e) et points g) à j), la clause 6 paragraphes 1 et 2, la clause 7, la clause 8 paragraphe 2 et les clauses 9 à 12 en tant que tiers bénéficiaire.
2. La personne concernée peut faire appliquer contre l'importateur de données la présente clause, ainsi que la clause 5, points a) à e) et point g), la clause 6, la clause 7, la clause 8, paragraphe 2, et les clauses 9 à 12 dans les cas où l'exportateur de données a matériellement disparu ou a cessé d'exister en droit, à moins que l'ensemble de ses obligations juridiques n'ait été transféré, par contrat ou par effet de la loi, à l'entité qui lui succède, à laquelle reviennent par conséquent les droits et les obligations de l'exportateur de données, et contre laquelle la personne concernée peut donc faire appliquer lesdites clauses.
3. La personne concernée peut faire appliquer contre le sous-traitant ultérieur la présente clause, ainsi que la clause 5, points a) à e) et point g), la clause 6, la clause 7, la clause 8, paragraphe 2, et les clauses 9 à 12, dans les cas où l'exportateur de données et l'importateur de données ont matériellement disparu, ont cessé d'exister en droit ou sont devenus insolvables, à moins que l'ensemble des obligations juridiques de l'exportateur de données n'ait été transféré, par contrat ou par effet de la loi, au successeur légal, auquel reviennent par conséquent les droits et les obligations de l'exportateur de données, et contre lequel la personne concernée peut donc faire appliquer lesdites clauses. Cette responsabilité civile du sous-traitant ultérieur doit être limitée à ses propres activités de traitement conformément aux présentes clauses.
4. Les parties ne s'opposent pas à ce que la personne concernée soit représentée par une association ou un autre organisme si elle en exprime le souhait et si le droit national l'autorise.

L'exportateur de données accepte et garantit ce qui suit :

1. le traitement, y compris le transfert proprement dit des données à caractère personnel, a été et continuera d'être effectué conformément aux dispositions pertinentes du droit applicable à la protection des données (et, le cas échéant, a été notifié aux autorités compétentes de l'État membre dans lequel l'exportateur de données est établi) et n'enfreint pas les dispositions pertinentes dudit État ;
2. il a chargé, et chargera pendant toute la durée des services de traitement des données à caractère personnel, l'importateur de données de traiter les données à caractère personnel transférées pour le compte exclusif de l'exportateur de données et conformément au droit applicable à la protection des données et aux présentes clauses ;
3. l'importateur de données offrira suffisamment de garanties en ce qui concerne les mesures techniques et d'organisation liées à la sécurité spécifiées dans l'appendice 2 du présent contrat ;
4. après l'évaluation des exigences du droit applicable à la protection des données, les mesures de sécurité sont adéquates pour protéger les données à caractère personnel contre une destruction fortuite ou illicite, une perte fortuite, une altération, une divulgation ou un accès non autorisé, notamment lorsque le traitement suppose la transmission de données par réseau, et contre toute autre forme illicite de traitement et elles assurent un niveau de sécurité adapté aux risques liés au traitement et à la nature des données à protéger, eu égard au niveau technologique et au coût de mise en œuvre ;
5. il veillera au respect des mesures de sécurité ;
6. si le transfert porte sur des catégories particulières de données, la personne concernée a été informée ou sera informée avant le transfert ou dès que possible après le transfert que ses données pourraient être transmises à un pays tiers n'offrant pas un niveau de protection adéquat au sens de la directive 95/46/CE ;
7. il transmettra toute notification reçue de l'importateur de données ou de tout sous-traitant ultérieur conformément à la clause 5, point b), et à la clause 8, paragraphe 3, à l'autorité de contrôle de la protection des données s'il décide de poursuivre le transfert ou de lever sa suspension ;
8. il mettra à la disposition des personnes concernées, à leur demande, une copie des présentes clauses, à l'exception de l'appendice 2, et une description sommaire des mesures de sécurité, ainsi qu'une copie de tout contrat de sous-traitance ultérieure ayant été conclu conformément aux présentes clauses, à moins que les clauses ou le contrat ne contienne(nt) des informations commerciales, auquel cas il pourra retirer ces informations ;
9. en cas de sous-traitance ultérieure, l'activité de traitement est effectuée conformément à la clause 11 par un sous-traitant ultérieur offrant au moins le même niveau de protection des données à caractère personnel et des droits de la personne concernée que l'importateur de données conformément aux présentes Clauses ; et
10. il veillera au respect de la clause 4, points (a) à (i).

L'importateur de données accepte et garantit ce qui suit :

1. il traitera les données à caractère personnel pour le compte exclusif de l'exportateur de données et conformément aux instructions de ce dernier et aux présentes clauses ; s'il est dans l'incapacité de s'y conformer pour quelque raison que ce soit, il accepte d'informer dans les meilleurs délais l'exportateur de données de son incapacité, auquel cas ce dernier a le droit de suspendre le transfert de données et/ou de résilier le contrat ;
2. il n'a aucune raison de croire que la législation le concernant l'empêche de remplir les instructions données par l'exportateur de données et les obligations qui lui incombent conformément au contrat, et si ladite législation fait l'objet d'une modification susceptible d'avoir des conséquences négatives importantes pour les garanties et les obligations offertes par les clauses, il communiquera la modification à l'exportateur de données sans retard après en avoir eu connaissance, auquel cas ce dernier a le droit de suspendre le transfert de données et/ou de résilier le contrat ;
3. il a mis en œuvre les mesures techniques et d'organisation liées à la sécurité spécifiées dans l'appendice 2 avant de traiter les données à caractère personnel transférées ;
4. il communiquera sans retard à l'exportateur de données :
   1. toute demande contraignante de divulgation des données à caractère personnel émanant d'une autorité de maintien de l'ordre, sauf disposition contraire, telle qu'une interdiction de caractère pénal visant à préserver le secret d'une enquête policière,
   2. tout accès fortuit ou non autorisé, et
   3. toute demande reçue directement des personnes concernées sans répondre à cette demande, à moins qu'il n'ait été autorisé à le faire ;
5. il traitera rapidement et comme il se doit toutes les demandes de renseignements émanant de l'exportateur de données relatives à son traitement des données à caractère personnel qui font l'objet du transfert et se rangera à l'avis de l'autorité de contrôle en ce qui concerne le traitement des données transférées ;
6. à la demande de l'exportateur de données, il soumettra ses moyens de traitement de données à une vérification des activités de traitement couvertes par les présentes clauses qui sera effectuée par l'exportateur de données ou un organe de contrôle composé de membres indépendants possédant les qualifications professionnelles requises, soumis à une obligation de secret et choisis par l'exportateur de données, le cas échéant, avec l'accord de l'autorité de contrôle ;
7. il mettra à la disposition de la personne concernée, si elle le demande, une copie des présentes clauses, ou tout contrat de sous-traitance ultérieure existant, à moins que les clauses ou le contrat ne contienne(nt) des informations commerciales, auquel cas il pourra retirer ces informations, à l'exception de l'appendice 2, qui sera remplacée par une description sommaire des mesures de sécurité, lorsque la personne concernée n'est pas en mesure d'obtenir une copie de l'exportateur de données ;
8. en cas de sous-traitance ultérieure, il veillera au préalable à informer l'exportateur de données et à obtenir l'accord écrit de ce dernier ;
9. les services de traitement fournis par le sous-traitant ultérieur seront conformes à la clause 11 ;
10. il enverra dans les meilleurs délais une copie de tout accord de sous-traitance ultérieure conclu par lui en vertu des présentes clauses à l'exportateur de données.

1. Les parties conviennent que toute personne concernée ayant subi un dommage du fait d'un manquement aux obligations visées à la clause 3 ou à la clause 11 par une des parties ou par un sous-traitant ultérieur a le droit d'obtenir de l'exportateur de données réparation du préjudice subi.
2. Si une personne concernée ne peut intenter l'action en réparation visée au paragraphe 1 contre l'exportateur de données pour manquement par l'importateur de données ou par son sous-traitant ultérieur à l'une ou l'autre de ses obligations visées à la clause 3 ou à la clause 11, parce que l'exportateur de données a matériellement disparu, a cessé d'exister en droit ou est devenu insolvable, l'importateur de données accepte que la personne concernée puisse déposer une plainte à son encontre comme s'il était l'exportateur de données, à moins que l'ensemble des obligations juridiques de l'exportateur de données n'ait été transféré, par contrat ou par effet de la loi, à l'entité qui lui succède, contre laquelle la personne concernée peut alors faire valoir ses droits.
   L'importateur de données ne peut invoquer un manquement par un sous-traitant ultérieur à ses obligations pour échapper à ses propres responsabilités.
3. Si une personne concernée est empêchée d'intenter l'action visée aux paragraphes 1 et 2 contre l'exportateur de données ou l'importateur de données pour manquement par le sous-traitant ultérieur à l'une ou l'autre de ses obligations visées à la clause 3 ou à la clause 11, parce que l'exportateur de données et l'importateur de données ont matériellement disparu, ont cessé d'exister en droit ou sont devenus insolvables, le sous-traitant ultérieur accepte que la personne concernée puisse déposer une plainte à son encontre en ce qui concerne ses propres activités de traitement conformément aux présentes clauses comme s'il était l'exportateur de données ou l'importateur de données, à moins que l'ensemble des obligations juridiques de l'exportateur de données ou de l'importateur de données n'ait été transféré, par contrat ou par effet de la loi, au successeur légal, contre lequel la personne concernée peut alors faire valoir ses droits. La responsabilité du sous-traitant ultérieur doit être limitée à ses propres activités de traitement conformément aux présentes clauses.

1. L'importateur de données convient que si, en vertu des clauses, la personne concernée invoque à son encontre le droit du tiers bénéficiaire et/ou demande réparation du préjudice subi, il acceptera la décision de la personne concernée :
   1. de soumettre le litige à la médiation d'une personne indépendante ou, le cas échéant, de l'autorité de contrôle ;
   2. de porter le litige devant les tribunaux de l'État membre dans lequel l'exportateur de données est établi.
2. Les parties conviennent que le choix effectué par la personne concernée ne remettra pas en cause le droit procédural ou matériel de cette dernière d'obtenir réparation conformément à d'autres dispositions du droit national ou international.

Clause 8

Coopération avec les autorités de contrôle

1. L'exportateur de données accepte de déposer une copie du présent contrat auprès de l'autorité de contrôle si celle-ci l'exige ou si ce dépôt est prévu par le droit applicable à la protection des données.
2. Les parties conviennent que l'autorité de contrôle a le droit d'effectuer des vérifications chez l'importateur de données et chez tout sous-traitant ultérieur dans la même mesure et dans les mêmes conditions qu'en cas de vérifications opérées chez l'exportateur de données conformément au droit applicable à la protection des données.
3. L'importateur de données informe l'exportateur de données, dans les meilleurs délais, de l'existence d'une législation le concernant ou concernant tout sous-traitant ultérieur faisant obstacle à ce que des vérifications soient effectuées chez lui ou chez tout sous-traitant ultérieur conformément au paragraphe 2. Dans ce cas, l'exportateur de données a le droit de prendre les mesures prévues par la clause 5, point (b).

Les clauses sont régies par le droit de l'État membre dans lequel l'exportateur de données est établi.

Les parties s'engagent à ne pas modifier les présentes clauses. Les parties restent libres d'inclure d'autres clauses à caractère commercial si elles les jugent nécessaires, à condition qu'elles ne contredisent pas la présente clause.

1. L'importateur de données ne sous-traite aucune de ses activités de traitement effectuées pour le compte de l'exportateur de données conformément aux présentes clauses sans l'accord écrit préalable de l'exportateur de données. L'importateur de données ne sous-traite les obligations qui lui incombent conformément aux présentes clauses, avec l'accord de l'exportateur de données, qu'au moyen d'un accord écrit conclu avec le sous-traitant ultérieur, imposant à ce dernier les mêmes obligations que celles qui incombent à l'importateur de données conformément aux présentes clauses³. En cas de manquement, par le sous-traitant ultérieur, aux obligations en matière de protection des données qui lui incombent conformément audit accord écrit, l'importateur de données reste pleinement responsable du respect de ces obligations envers l'exportateur de données.
2. Le contrat écrit préalable entre l'importateur de données et le sous-traitant ultérieur prévoit également une clause du tiers bénéficiaire telle qu'énoncée à la clause 3 pour les cas où la personne concernée est empêchée d'intenter l'action en réparation visée à la clause 6, paragraphe 1, contre l'exportateur de données ou l'importateur de données parce que ceux-ci ont matériellement disparu, ont cessé d'exister en droit ou sont devenus insolvables, et que l'ensemble des obligations juridiques de l'exportateur de données ou de l'importateur de données n'a pas été transféré, par contrat ou par effet de la loi, à une autre entité leur ayant succédé. Cette responsabilité civile du sous-traitant ultérieur doit être limitée à ses propres activités de traitement conformément aux présentes clauses.
3. Les dispositions relatives aux aspects de la sous-traitance ultérieure liés à la protection des données du contrat visé au paragraphe 1 sont régies par le droit de l'État membre dans lequel l'exportateur de données est établi.
4. L'exportateur de données tient une liste des accords de sous-traitance ultérieure conclus en vertu des présentes clauses et notifiés par l'importateur de données conformément à la clause 5, point j), qui sera mise à jour au moins une fois par an. Cette liste est mise à la disposition de l'autorité de contrôle de la protection des données de l'exportateur de données.

Obligation après la résiliation des services de traitement des données à caractère personnel

1. Les parties conviennent qu'au terme des services de traitement des données, l'importateur de données et le sous-traitant ultérieur restitueront à l'exportateur de données, et à la convenance de celui-ci, l'ensemble des données à caractère personnel transférées ainsi que les copies, ou détruiront l'ensemble de ces données et en apporteront la preuve à l'exportateur de données, à moins que la législation imposée à l'importateur de données ne l'empêche de restituer ou de détruire la totalité ou une partie des données à caractère personnel transférées. Dans ce cas, l'importateur de données garantit qu'il assurera la confidentialité des données à caractère personnel transférées et qu'il ne traitera plus activement ces données.
2. L'importateur de données et le sous-traitant ultérieur garantissent que si l'exportateur de données et/ou l'autorité de contrôle le demandent, ils soumettront leurs moyens de traitement de données à une vérification des mesures visées au paragraphe 1.

Le sens des termes employés dans les sections A à C et dans les appendices, mais non définis dans les clauses, correspond à celui fourni dans le Contrat Dropbox Business signé entre l'exportateur de données et Dropbox International Unlimited Company.

1. Audit de sécurité. L'importateur de données adhère aux certifications ISO/IEC 27001:2013 et ISO/IEC 27018:2014 lesquelles sont émises par un auditeur tiers indépendant. L'importateur de données effectuera régulièrement les audits ISO/IEC 27001:2013 et ISO/IEC 27018 nécessaires au maintien de telles certifications, dans le cadre des services définis dans les conditions. L'importateur de données effectuera régulièrement des audits SOC 2 (Service Organization Control 2) Type II. Sous réserve des obligations de confidentialité lui incombant, et à raison d'une fois par an maximum, l'importateur de données fournira à l'exportateur de données une copie du rapport SOC 2 Type II sur demande écrite. L'importateur de données mettra les nouveaux rapports SOC 2 à disposition une fois établis, sous réserve des obligations de confidentialité de l'importateur de données. L'importateur de données passe régulièrement en revue les sociétés qu'il emploie ayant recours à des services tiers de sous-traitance conformément aux audits SOC 1 Type II ou SOC 2 Type II SSAE 16 (Standards for Attestation Engagements N° 16) / ISAE 3402 (International Standard on Assurance Engagements N° 3402) qui évaluent la conception et l'efficacité de ses politiques de sécurité, procédures et mesures de contrôle.

   L'exportateur de données convient que les obligations de l'importateur de données énoncées en section A satisfont pleinement aux vérifications définies dans la clause 5 point (f) et dans la clause 12 paragraphe 2 des présentes clauses.

2. Sous-traitance ultérieure. L'importateur de données peut faire intervenir d'autres sociétés qui absorberont certaines parties des services définis (notamment les services d'assistance) en son nom, et l'exportateur de données consent à ce que l'importateur de données fasse appel à des sous-traitants ultérieurs pour le traitement des données à caractère personnel, dans les conditions définies dans les présentes clauses. L'importateur de données assurera que tous les sous-traitants ultérieurs à qui il fait appel accéderont aux données à caractère personnel et les utiliseront, uniquement dans le but d'assurer les services décrits dans l'accord écrit signé entre l'importateur de données et le sous-traitant ultérieur. L'exportateur de données reconnaît que toutes les exigences applicables à l'importateur de données dans le cadre des présentes clauses, en vertu des contrats signés avec les sous-traitants ultérieurs, seront pleinement satisfaites à condition que l'accord de sous-traitance ultérieure conclu entre l'importateur de données et les sous-traitant ultérieur assure au moins le niveau de protection des données requis dans le cadre du contrat Dropbox Business.
3. Responsabilité. Les présentes Clauses sont assujetties aux limites et exclusions de responsabilité contenues dans la section "Limitation de responsabilités" du Contrat Dropbox Business. Ainsi, la responsabilité totale de l'importateur de données et de Dropbox International Unlimited Company, dans l'ensemble, ne saurait dépasser les limites définies dans le Contrat Dropbox Business. Pour éviter toute ambiguïté, l'exportateur de données n'a droit à aucune indemnisation de la part de l'importateur de données et de Dropbox International Unlimited Company pour le même préjudice.

Le présent appendice fait partie des clauses et doit être rempli et signé par les parties.

Les États membres peuvent compléter ou préciser, selon leurs procédures nationales, toute information supplémentaire devant éventuellement être incluse dans le présent appendice.

Exportateur de données

L'exportateur de données est (veuillez préciser brièvement vos activités qui présentent un intérêt pour le transfert) :

Le client ayant signé le contrat Dropbox Business avec Dropbox International Unlimited Company.

Importateur de données

L'importateur de données est (veuillez préciser brièvement vos activités qui présentent un intérêt pour le transfert) :

Dropbox, Inc., est un prestataire international de services de stockage en ligne pour les particuliers et les entreprises. Dropbox, Inc. et ses filiales proposent un site Web, des logiciels et des applications mobiles qui permettent aux utilisateurs de stocker des fichiers, de les synchroniser sur plusieurs appareils et de collaborer entre eux. Le service proposé par Dropbox, Inc. est également accessible par des API (Application Programming Interface).

Personnes concernées

Les données à caractère personnel transférées concernent les catégories suivantes de personnes concernées (veuillez préciser) :

Les utilisateurs finaux de l'exportateur de données et de ses filiales, notamment ses employés, consultants et sous-traitants, ainsi que toute personne collaborant avec ces utilisateurs ou liés avec eux par des opérations de partage au moyen des services fournis par l'importateur de données.

Catégories de données

Les données à caractère personnel transférées concernent les catégories suivantes de données (veuillez préciser) :

Les utilisateurs finaux identifiant les informations et données de l'entreprise (à la fois en ligne et hors ligne), ainsi que les documents, images et tout autre contenu ou élément de donnée au format électronique, stockés ou transmis par les utilisateurs finaux via les services de l'importateur de données.

Opérations de traitement

Les données à caractère personnel transférées seront soumises aux activités de traitement de base suivantes (veuillez préciser) :

L'importateur de données et ses sous-traitants ultérieurs utiliseront et traiteront les données à caractère personnel et les données que l'exportateur lui demande d'utiliser et de traiter pour fournir les Services définis dans le Contrat Dropbox Business.

Le présent appendice fait partie des clauses et doit être rempli et signé par les parties.

Description des mesures techniques et d'organisation liées à la sécurité mises en œuvre par l'importateur de données conformément à la clause 4, point d), et à la clause 5, point c) (ou document/législation jointe) :

Contrat de confidentialité des données

Le responsable de protection des données personnelles de l'importateur de données est joignable à l'adresse privacy@dropbox.com

Mesures de sécurité

L'importateur de données a mis en œuvre et veillera au maintien des mesures de précaution appropriées sur le plan administratif, technique et physique pour protéger les données à caractère personnel telles que décrites dans le Livre blanc sur la sécurité de Dropbox Business (disponible à sa date d'entrée en vigueur sur le site : https://www.dropbox.com/…/Security_Whitepaper.pdf) et présenté de plus ci-dessous. L'importateur de données peut mettre à jour ces mesures de sécurité à tout moment en utilisant la version la plus récente de l'URL mentionnée au-dessus (ou toute autre URL communiquée par lui-même). Toutefois, il devra informer l'exportateur de données s'il met à jour les mesures de sécurité d'une façon qui diminue matériellement les fonctionnalités de sécurité administratives, techniques ou physiques décrites ici ou dans l'appendice 2.

1. Sécurité du service
   1. Architecture de Dropbox. Le service de l'importateur de données intègre plusieurs niveaux de protection répartis sur une infrastructure évolutive et sécurisée, couvrant à la fois les transferts de données, le chiffrement, la configuration du réseau et les contrôles au niveau des applications. Les utilisateurs finaux du service proposé par l'importateur de données peuvent accéder aux fichiers et aux dossiers à tout moment, depuis leurs clients de bureau, Web et mobiles. Tous ces clients se connectent à des services sécurisés pour permettre l'accès aux fichiers et leur partage, et pour mettre à jour les appareils associés lorsque des fichiers sont ajoutés, modifiés ou supprimés. Ce service est utilisable et accessible par le biais de plusieurs interfaces. Chacune d'entre elles offre des paramètres et des fonctionnalités de sécurité permettant de traiter et de protéger les données, tout en facilitant leur accès.
   2. Fiabilité. Le service de l'importateur de données utilise plusieurs niveaux de redondance empêchant les pertes de données et garantissant la disponibilité. 
   3. Chiffrement. Pour protéger les données en cours de transfert entre l'exportateur et l'importateur de données, l'importateur de données utilise le protocole SSL/TLS (Secure Sockets Layer/Transport Layer Security) pour le transfert de données, créant ainsi un tunnel sécurisé protégé par un chiffrement AES (Advanced Encryption Standard) sur au moins 128 bits. Les données inactives stockées sont chiffrées à l'aide d'un algorithme de chiffrement AES 256 bits. L'infrastructure de gestion des clés de chiffrement de l'importateur de données a été conçue pour mettre en œuvre des contrôles de sécurité opérationnels, techniques et procéduraux, avec un accès direct aux clés extrêmement limité. Les opérations de génération, d'échange et de stockage des clés de chiffrement sont réparties sur différents systèmes afin de décentraliser le traitement. 
   4. Fonctionnalités de gestion des utilisateurs. Les utilisateurs finaux du service proposé par l'importateur de données ont la possibilité de restaurer des fichiers perdus et les versions précédentes de leurs fichiers. Ils peuvent ainsi effectuer un suivi des modifications apportées à ces fichiers et rétablir d'anciennes versions. Le service de l'importateur de données permet d'utiliser une procédure de validation en deux étapes qui ajoute un niveau de protection supplémentaire.
   5. Datacenters. Les systèmes de gestion et de production de l'importateur de données sont hébergés au sein de datacenters appartenant à une organisation de sous-traitance tierce située aux États-Unis. Pour garantir des contrôles de sécurité suffisants, l'importateur de données s'engage à examiner tous les rapports SOC (Service Organization Control) 1 et/ou SOC 2 émis par l'organisation de sous-traitance, au minimum une fois par an.
2. Sécurité des informations.
   1. Règles. L'importateur de données a établi un ensemble complet de règles de sécurité couvrant différents domaines : sécurité des informations, sécurité physique, réponse en cas d'incident, accès logique, accès physique à l'infrastructure de production, gestion des changements et assistance. Ces règles sont examinées et validées au moins une fois par an. Le personnel de l'importateur de données est informé des mises à jour apportées à ces règles et reçoit une formation sur la sécurité.
   2. Règles et accès du personnel. Les règles internes de l'importateur de données exigent des procédures d'ajout d'utilisateurs qui supposent une vérification des antécédents (conformément aux lois en vigueur dans le pays), l'acceptation des règles de sécurité, la diffusion des mises à jour apportées aux règles de sécurité et la signature d'accords de non-divulgation. Les droits d'accès accordés aux membres du personnel sont révoqués au plus vite lorsqu'un employé ou un sous-traitant quitte l'entreprise. L'importateur de données met en œuvre des contrôles d'accès technique et des règles internes afin d'empêcher ses employés ou sous-traitants d'accéder sans raison aux données des fichiers, et de limiter l'accès aux métadonnées et aux autres informations relatives aux comptes des utilisateurs finaux. Pour protéger la confidentialité et la sécurité des utilisateurs finaux, seuls quelques employés ou sous-traitants ont accès à l'environnement de stockage de leurs fichiers. Les responsables tiennent un registre des demandes d'accès, des motifs d'accès et des approbations, et l'accès n'est accordé qu'aux seules personnes appropriées.
   3. Sécurité du réseau. Les techniques de sécurité et de surveillance des réseaux de l'importateur de données sont conçues pour fournir plusieurs niveaux de protection et de défense. L'importateur de données fait appel à des techniques de protection répondant aux normes du secteur pour faire en sorte que seul le trafic légitime puisse atteindre son infrastructure : pare-feu, surveillance de la sécurité du réseau, systèmes de détection d'intrusion, etc.
   4. Gestion des changements. L'importateur de données s'assure que l'ensemble des changements liés à la sécurité sont autorisés avant leur implémentation dans les environnements de production. Les modifications du code source sont initiées par les développeurs qui souhaitent apporter une amélioration à l'application ou au service de l'importateur de données. Les modifications apportées à l'infrastructure de l'importateur de données sont limitées au seul personnel autorisé. Les modifications apportées au niveau applicatif des services doivent faire l'objet de tests d'assurance qualité automatiques permettant de vérifier que toutes les exigences de sécurité sont respectées. Une fois que les procédures d'assurance qualité sont terminées, la modification est implémentée. 
   5. Conformité. L'importateur de données, ses prestataires en charge des datacenters et son prestataire de service géré se soumettent à des audits de sécurité réguliers effectués par une tierce partie indépendante. L'importateur de données poursuivra sa participation à des audits ISO/IEC 27001:2013 et ISO/IEC 27018:2014 réguliers. L'importateur de données vérifie également les rapports SOC 1 et/ou SOC 2 de tous les sous-traitants. En l'absence de rapport SOC 1 et/ou SOC 2 de la part d'un sous-traitant, l'importateur de données effectue des visites sur site pour contrôler la sécurité et vérifier que les contrôles de sécurité physiques, environnementaux et opérationnels respectent ses critères en la matière, ainsi que les exigences mentionnées dans ses contrats. L'importateur de données évalue les certifications et attestations de mise en conformité supplémentaires, telles que transmises régulièrement par les sous-traitants.
3. Sécurité physique
   1. Infrastructure. L'accès physique aux installations des sous-traitants hébergeant les systèmes de production est limité aux seules personnes autorisées par l'importateur de données qui ont besoin d'un tel accès pour mener à bien leurs tâches. Toutes les personnes qui ont besoin d'accéder aux installations de l'environnement de production ne bénéficient d'un accès qu'après autorisation explicitement accordée par le responsable concerné. 
   2. Bureaux. L'importateur de données gère une équipe en charge de la sécurité physique qui se doit de faire respecter les règles régissant l'accès physique et de contrôler la sécurité des bureaux de l'importateur de données. L'accès aux zones contenant les services de l'entreprise est limité au seul personnel autorisé dont le rôle le justifie, et cet accès s'effectue au moyen d'un badge.