Accord sur le Traitement des Données (DPA) - TRACE.Parser

§1 Objet et Durée du Traitement

1. Le présent accord régit le traitement des données à caractère personnel par le sous-traitant pour le compte du responsable du traitement dans le cadre de l'utilisation du service TRACE.Parser (parser.trace-electricity.com ; analyse de profils de production d'électricité conformément à la description des prestations dans les conditions d'utilisation (CU-Parser)).
2. Le traitement s'effectue pour la durée de la relation contractuelle en vigueur. À la fin de celle-ci, les dispositions du §10 du présent accord s'appliquent.
3. Le présent accord prévaut sur tout accord antérieur entre les parties concernant le traitement pour le compte du responsable dans le cadre de TRACE.Parser.
4. La description des activités de traitement est consignée dans l'Annexe A du présent accord, qui en fait partie intégrante.
5. Le présent DPA est disponible à l'adresse trace-electricity.com/fr/dpa-parser/.

Le présent DPA s'applique exclusivement au traitement effectué dans le cadre de TRACE.Parser. Des accords distincts s'appliquent à TRACE.App et TRACE.Konfigurator/Studio.

§2 Nature et Finalité du Traitement

Le traitement des données à caractère personnel est effectué exclusivement aux fins de la fourniture des services convenus contractuellement, en particulier :

• Analyse et évaluation des profils de production d'électricité téléchargés (fichiers CSV/Excel)
• Fourniture de visualisations, d'indicateurs et de rapports basés sur les données téléchargées
• Stockage et gestion des fichiers et résultats dans le compte utilisateur du responsable du traitement
• Exploitation technique de la plateforme, journalisation des erreurs et surveillance de la sécurité
• Communication avec les utilisateurs dans le cadre des opérations de support

Aucun traitement pour les propres finalités du sous-traitant n'a lieu. Les statistiques d'utilisation anonymisées, non rattachables à des personnes individuelles (p. ex. nombre de téléchargements, tailles moyennes des fichiers), sont exclues de cette règle.

Données d'entraînement IA : Les prestataires de services d'IA (OpenAI, Anthropic, services d'IA AWS) ne sont pas autorisés à utiliser les données à caractère personnel du client pour l'entraînement de leurs modèles de base. TRACE Electricity est interdite d'utiliser les données à caractère personnel du client pour l'entraînement de ses propres modèles d'IA.

TRACE Electricity se réserve le droit d'utiliser des agrégats entièrement anonymisés issus de profils de production (ne constituant pas des données à caractère personnel au sens de l'Art. 4 Nr. 1 RGPD) pour améliorer la qualité analytique de TRACE.Parser. Les modalités d'anonymisation (k-anonymat, confidentialité différentielle) sont documentées dans les Mesures Techniques et Organisationnelles (MTO-Parser). Le client sera informé de toute modification substantielle de l'utilisation des données d'entraînement et peut s'opposer à l'utilisation de ses données (même anonymisées) en écrivant à privacy@trace-electricity.com à tout moment.

Précisions : Finalité : fourniture du service TRACE.Parser (analyse des profils de consommation d'électricité, génération de rapports d'analyse). Catégories de personnes concernées : dirigeants, employés, interlocuteurs du responsable du traitement. Catégories de données à caractère personnel : nom, e-mail, données d'entreprise, données de consommation d'énergie.

Remarque : Les outils d'analyse de site web utilisés dans le cadre de la page d'accueil TRACE.Parser sur trace-electricity.com (Google Analytics 4, Hotjar, LinkedIn Insight Tag) ne sont pas soumis au présent accord sur le traitement des données ; à cet égard, TRACE Electricity GmbH agit en tant que responsable du traitement indépendant conformément à l'Art. 4 Nr. 7 RGPD. Plus de détails dans la Notice de Confidentialité - TRACE.Parser.

§3 Nature des Données à Caractère Personnel et Catégories de Personnes Concernées

Catégories de personnes concernées

• Utilisateurs de TRACE.Parser (employés, mandataires ou représentants du responsable du traitement)
• Le cas échéant, les personnes physiques figurant dans les profils de production (dans la mesure où les données téléchargées présentent un caractère personnel)

Catégories de données à caractère personnel

• Données d'utilisation : adresse e-mail, hachage du mot de passe, données de session, adresse IP (anonymisée avant stockage permanent ; l'adresse IP complète n'est pas conservée)
• Fichiers téléchargés et leur contenu : profils de production et données qu'ils contiennent (à caractère personnel, dans la mesure où le responsable du traitement les a renseignés en conséquence)
• Résultats d'analyse : rapports et visualisations générés à partir des fichiers téléchargés
• Métadonnées des téléchargements : horodatage, nom de fichier, taille du fichier, statut de traitement
• Données de journal techniques : rapports d'erreurs, heures d'accès (journaux système : max. 30 jours, suppression automatique ensuite ; journaux d'audit de sécurité : 12 mois conformément à l'Art. 6(1)(c) RGPD en liaison avec §§ 147 AO, 257 HGB)

Le responsable du traitement est seul responsable de disposer d'une base juridique appropriée conformément à l'Art. 6 RGPD pour transmettre des données à caractère personnel dans les profils de production téléchargés au sous-traitant pour traitement.

Les catégories particulières de données à caractère personnel au sens de l'Art. 9 RGPD ne sont pas couvertes par le présent accord et ne peuvent pas être intégrées dans la plateforme par le responsable du traitement.

Le responsable du traitement veille à ce qu'une base juridique appropriée existe pour la transmission des données d'utilisateurs de l'équipe à TRACE (p. ex. § 26 BDSG pour les employés).

§4 Statut Juridique et Obligations du Responsable du Traitement

1. Le responsable du traitement est seul responsable de la licéité de la transmission des données et du traitement effectué par le sous-traitant, en particulier de l'existence d'une base juridique appropriée selon l'Art. 6 RGPD pour le traitement.
2. Les instructions sont en règle générale données par écrit (y compris par e-mail à privacy@trace-electricity.com). Les instructions verbales sont confirmées par écrit sans délai. Le responsable du traitement est habilité à donner des instructions supplémentaires à tout moment. Les instructions doivent être formulées en forme textuelle (l'e-mail est suffisant). TRACE documente les instructions reçues et leur exécution.
3. Le responsable du traitement informe le sous-traitant sans délai s'il constate des erreurs ou irrégularités ayant une pertinence en matière de protection des données lors de l'examen des résultats du traitement.
4. Le responsable du traitement veille à ce que toutes les personnes participant au traitement de son côté soient informées des exigences légales applicables en matière de protection des données.

§5 Obligations du Sous-traitant

Le sous-traitant s'engage envers le responsable du traitement notamment :

Les mesures techniques et organisationnelles (MTO) conformément à l'Art. 32 RGPD sont décrites dans la documentation MTO, disponible à l'adresse : Mesures Techniques et Organisationnelles TRACE.Parser (MTO). TRACE est autorisé à adapter les MTO, à condition que le niveau de protection ne soit pas réduit.

1. À traiter les données à caractère personnel uniquement sur instruction documentée du responsable du traitement, à moins qu'il n'y soit obligé par le droit de l'Union européenne ou des États membres ; dans un tel cas, le sous-traitant informe le responsable du traitement de ces exigences légales avant le traitement, sauf si le droit concerné interdit une telle notification.
2. Droit de suspension (Suspension Right) : Si le client donne une instruction que TRACE Electricity considère contraire au RGPD ou à d'autres dispositions applicables en matière de protection des données, TRACE Electricity est en droit et dans l'obligation de suspendre immédiatement l'exécution de cette instruction et d'en informer le client par écrit. TRACE Electricity n'exécutera l'instruction qu'après confirmation écrite du client attestant que l'instruction est licite et que TRACE Electricity est exonérée de toute responsabilité éventuelle.
3. Le sous-traitant traite les données à caractère personnel exclusivement pour le compte et aux fins du client, et non pour ses propres finalités commerciales, sauf obligation légale ; dans ce dernier cas, il en informe le client sans délai, dans la mesure où la loi l'autorise.
4. À s'assurer que les personnes autorisées à traiter les données à caractère personnel ont pris des engagements de confidentialité ou sont soumises à une obligation légale de confidentialité appropriée.
5. À prendre toutes les mesures requises conformément à l'Art. 32 RGPD pour garantir la sécurité du traitement (§7).
6. À assister le responsable du traitement, compte tenu de la nature du traitement, dans la mesure du possible, dans l'exécution de son obligation de répondre aux demandes des personnes concernées (§9).
7. À assister le responsable du traitement dans le respect des obligations mentionnées aux Art. 32 à 36 RGPD, notamment en ce qui concerne l'analyse d'impact relative à la protection des données.
8. À restituer ou supprimer, au choix du responsable du traitement, toutes les données à caractère personnel à l'issue de la prestation des services de traitement (§10).
9. À mettre à la disposition du responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations découlant de l'Art. 28 RGPD, et à permettre les audits, y compris les inspections (§11).

§6 Confidentialité du Traitement

1. Le sous-traitant garantit que les personnes autorisées à traiter les données sont tenues à la confidentialité. Les engagements de confidentialité correspondants sont convenus par écrit et contrôlés.
2. Le sous-traitant veille à ce que seules les personnes qui en ont besoin pour leur activité aient accès aux données du responsable du traitement (principe du moindre privilège / Need-to-Know).
3. Cette obligation de confidentialité subsiste après la résiliation du présent accord.
4. Le responsable du traitement accorde par les présentes une autorisation générale de recourir aux sous-traitants ultérieurs listés au §8. TRACE informe le responsable du traitement de tout changement prévu au moins 30 jours à l'avance. Le responsable du traitement peut s'opposer aux modifications.

§7 Mesures Techniques et Organisationnelles (Art. 32 RGPD)

Le sous-traitant a mis en place, avant le début du traitement et de manière continue, des mesures techniques et organisationnelles (MTO) pour garantir un niveau de protection adapté au risque conformément à l'Art. 32 RGPD.

La documentation MTO complète (Mesures Techniques et Organisationnelles TRACE.Parser (MTO)) vaut en tant qu'Annexe B du présent DPA. TRACE est autorisé à adapter les MTO, à condition que le niveau de protection ne soit pas réduit. Les modifications substantielles sont communiquées au responsable du traitement.

§8 Recours à des Sous-traitants Ultérieurs

1. Le responsable du traitement accorde l'autorisation générale pour le recours aux sous-traitants ultérieurs suivants :

2. Le sous-traitant informe le responsable du traitement en temps utile, au moins 30 jours à l'avance, par e-mail à l'adresse de contact enregistrée, de tout projet d'ajout de nouveaux sous-traitants ultérieurs ou de remplacement de sous-traitants ultérieurs existants.
3. Le responsable du traitement dispose d'un droit d'opposition à la modification. Si le responsable du traitement ne s'oppose pas dans les 30 jours suivant la réception de la notification, la modification est réputée approuvée. En cas d'opposition motivée, le responsable du traitement se voit accorder un droit de résiliation extraordinaire. Dans ce cas, le sous-traitant examinera si le sous-traitant ultérieur concerné peut être remplacé par un prestataire équivalent répondant aux exigences du responsable du traitement. En cas de résiliation suite à une opposition motivée, le sous-traitant veille à ce que les données à caractère personnel du responsable du traitement déjà traitées par le nouveau sous-traitant ultérieur soient supprimées ou restituées conformément aux dispositions du §10 (Suppression et restitution) sans délai après la prise d'effet de la résiliation.
4. Le sous-traitant impose contractuellement à ses sous-traitants ultérieurs les mêmes obligations en matière de protection des données que celles convenues dans le présent accord, notamment en ce qui concerne la garantie de mesures techniques et organisationnelles appropriées.

Remarque : GA4, Hotjar et LinkedIn Insight Tag sont utilisés par TRACE en tant que responsable du traitement indépendant à des fins de marketing et ne font pas l'objet du présent DPA.

§9 Obligations d'Assistance du Sous-traitant

Le sous-traitant assiste le responsable du traitement dans l'exécution de ses obligations en matière de protection des données, notamment :

1. Droits des personnes concernées (Art. 15–22 RGPD) : Le sous-traitant assiste le responsable du traitement dans le traitement des demandes d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition des personnes concernées. Dans la mesure où ces droits peuvent être exercés directement via les fonctionnalités d'auto-gestion du compte utilisateur, leur mise en œuvre incombe au responsable du traitement. Pour toute assistance supplémentaire, veuillez contacter privacy@trace-electricity.com.
2. Analyse d'impact relative à la protection des données (Art. 35 RGPD) : À la demande du client, le sous-traitant assiste à la réalisation d'une analyse d'impact relative à la protection des données ainsi qu'à la consultation préalable conformément à l'Art. 36 RGPD, notamment en fournissant la documentation technique, les évaluations des risques et les informations sur les systèmes de traitement utilisés.
3. Consultation préalable (Art. 36 RGPD) : Si nécessaire, le sous-traitant assiste le responsable du traitement lors de la consultation de l'autorité de contrôle compétente.
4. Sécurité des données (Art. 32 RGPD) : Le sous-traitant met à la disposition du responsable du traitement, sur demande, un aperçu actualisé des MTO mises en place.

Les prestations d'assistance dépassant le périmètre contractuel des services font l'objet d'une rémunération appropriée basée sur le temps passé.

§10 Suppression et Restitution des Données

1. Après la résiliation définitive ou la fin de la relation d'utilisation, le sous-traitant supprime définitivement toutes les données à caractère personnel du responsable du traitement dans un délai de 30 jours calendaires.
2. À la demande du responsable du traitement, le sous-traitant met à disposition les données traitées avant leur suppression dans un format lisible par machine (CSV ou JSON) (portabilité des données conformément à l'Art. 20 RGPD). Le sous-traitant met l'export des données à disposition au téléchargement dans un délai de 14 jours suivant la demande ; le lien de téléchargement est valable 30 jours. Après expiration du délai ou confirmation par le responsable du traitement qu'aucun export n'est souhaité, le délai de suppression de 30 jours calendaires commence.
3. La suppression s'étend à toutes les copies créées dans le cadre du traitement pour le compte du responsable, y compris les sauvegardes. Les obligations légales de conservation du sous-traitant ne sont pas affectées ; dans ce cas, les données concernées sont soumises à une restriction de traitement jusqu'à l'expiration de la durée de conservation. Les données de facturation sont conservées conformément au § 147 AO et au § 257 HGB pendant 10 ans maximum.
4. Sur demande, le sous-traitant confirme par écrit la suppression complète par e-mail.
5. Le délai de suppression de 30 jours calendaires après la fin du contrat commence à la fin de la dernière période de facturation. Pendant les 14 premiers jours, une possibilité d'export existe. Durée totale maximale : 44 jours.

§11 Droits de Contrôle du Responsable du Traitement

1. Le responsable du traitement a le droit de contrôler à tout moment le respect des dispositions légales en matière de protection des données et des accords contenus dans le présent contrat auprès du sous-traitant et de tout sous-traitant ultérieur éventuel.
2. Les contrôles peuvent être effectués par :
   • Demande d'informations et de documentations (p. ex. documentation MTO actuelle, liste des sous-traitants ultérieurs)
   • Entretien avec le délégué à la protection des données ou des employés mandatés
   • Inspections sur place (avec préavis raisonnable d'au moins 14 jours calendaires, le cas échéant après conclusion d'un accord de confidentialité)
3. Les audits sont limités à une fois par an ; les certifications TRACE (ISO 27001, SOC 2) sont acceptées comme équivalentes.
4. En lieu et place d'une inspection sur place, le sous-traitant peut transmettre au responsable du traitement des certifications actuelles, des rapports d'audit (p. ex. ISO 27001, SOC 2), si disponibles, ou des preuves équivalentes (p. ex. déclaration sur l'honneur concernant l'état des MTO conformément au §7 du présent accord), dans la mesure où ceux-ci couvrent l'objet du contrôle.
5. Les coûts des inspections sur place sont à la charge du responsable du traitement, sauf si le sous-traitant est responsable de violations substantielles du contrat ou de la protection des données.

§12 Obligations de Notification

1. Le sous-traitant informe le responsable du traitement sans délai, au plus tard dans les 24 heures suivant la prise de connaissance, de toute violation de la sécurité des données à caractère personnel au sens de l'Art. 4 Nr. 12 RGPD survenue dans son domaine de responsabilité. La notification doit contenir toutes les informations requises par l'Art. 33 al. 3 RGPD dans la mesure où elles sont connues du sous-traitant au moment de la notification ; les informations manquantes sont communiquées sans délai. Les informations non disponibles dans la notification initiale sont transmises sans délai, au plus tard 72 heures après la notification initiale (Art. 33 al. 2 RGPD). La notification à l'autorité de contrôle compétente conformément à l'Art. 33 al. 1 RGPD incombe exclusivement au client en tant que responsable du traitement.
2. La notification initiale doit contenir au minimum :
   • Une description de la nature de la violation (dans la mesure du possible)
   • Le nombre approximatif de personnes concernées et d'enregistrements de données
   • Les conséquences probables de la violation
   • Les mesures déjà prises ou proposées pour remédier à la situation et minimiser les risques
3. Les demandes des autorités de contrôle concernant le traitement pour le compte du responsable du traitement sont transmises sans délai au responsable du traitement par le sous-traitant, sans que celui-ci n'y réponde sur le fond, sauf si la loi applicable l'y oblige.
4. Si le sous-traitant reçoit des demandes de personnes concernées relatives aux données traitées dans le cadre du présent accord, il les transmet sans délai au responsable du traitement.
5. Les modifications substantielles du présent accord, notamment les modifications de la liste des sous-traitants ultérieurs, sont communiquées au responsable du traitement conformément au §8 al. 2.

§13 Dispositions Finales

1. Le présent accord est soumis au droit de la République Fédérale d'Allemagne, à l'exclusion de la Convention des Nations Unies sur les contrats de vente internationale de marchandises. Le tribunal exclusivement compétent pour tout litige découlant du présent accord ou en rapport avec celui-ci est Hambourg, Allemagne, sauf disposition légale contraire. Le for juridique est Hambourg.
2. Transferts vers pays tiers (Art. 46 RGPD) : Pour les transferts vers des pays tiers, les clauses contractuelles types UE (Décision 2021/914) s'appliquent. Pour les transferts du responsable du traitement (client) vers le sous-traitant, le Module 2 (Responsable du traitement → Sous-traitant) s'applique ; pour les transferts entre sous-traitants, le Module 3 (Sous-traitant → Sous-traitant ultérieur) s'applique. La base pour la transmission aux sous-traitants ultérieurs dans des pays tiers sont les clauses contractuelles types UE conformément à la Décision (UE) 2021/914, Module 3 (sous-traitant en tant qu'exportateur de données, sous-traitant ultérieur en tant qu'importateur de données).
3. Si des dispositions individuelles du présent accord sont ou deviennent totalement ou partiellement nulles, cela n'affecte pas la validité des autres dispositions. Les parties s'engagent à remplacer la disposition nulle par une disposition valide se rapprochant autant que possible de la finalité économique de la disposition nulle.
4. Les modifications et ajouts au présent accord ainsi qu'à ses annexes requièrent la forme textuelle (l'e-mail est suffisant). Cela vaut également pour l'abandon de cette exigence de forme.
5. Dans la mesure où des dispositions du présent accord sont incompatibles avec les exigences du RGPD, les exigences du RGPD prévalent.
6. TRACE Electricity GmbH désigne comme interlocuteur pour les questions relatives à la protection des données : privacy@trace-electricity.com. Des informations complémentaires se trouvent dans la Notice de Confidentialité - TRACE.Parser ainsi que dans la politique de confidentialité générale.
7. Le sous-traitant tient, conformément à l'Art. 30 al. 2 RGPD, un registre de toutes les catégories d'activités de traitement effectuées pour le compte des responsables du traitement. Le registre est mis à disposition sur demande du responsable du traitement ou d'une autorité de contrôle compétente.

Clause de sauvegarde DPF : Dans la mesure où la transmission de données vers les USA est fondée sur le cadre EU-US Data Privacy Framework (DPF, décision d'adéquation de la Commission européenne du 10 juillet 2023) et que cette décision est déclarée invalide ou suspendue, le recours aux clauses contractuelles types UE conformément à la Décision (UE) 2021/914 est automatiquement réputé convenu. Le sous-traitant s'engage à conclure sans délai les accords CCT nécessaires dans ce cas.

§14 Responsabilité

Chaque partie est responsable des violations de la protection des données dont elle est responsable. Dans la mesure où une personne concernée réclame des dommages-intérêts à une partie conformément à l'Art. 82 RGPD pour un dommage que cette partie n'a pas causé seule ou pas du tout, l'autre partie est tenue de dédommager la partie ayant effectué le paiement dans les relations internes, proportionnellement à sa part de responsabilité. Le sous-traitant est notamment responsable lorsqu'il a agi contrairement aux instructions du responsable du traitement ou contrairement aux obligations découlant de l'Art. 28 RGPD. Le responsable du traitement est notamment responsable lorsque le dommage résulte du caractère illicite de ses instructions. La revendication d'autres droits légaux reste non affectée.

§15 Cessation d'Activité et Insolvabilité

(1) En cas d'insolvabilité, de liquidation ou de cessation permanente d'activité du sous-traitant, toutes les données à caractère personnel du client stockées auprès du sous-traitant sont restituées au client sans délai, au plus tard dans les 30 jours calendaires, dans un format lisible par machine (JSON ou CSV), ou supprimées de manière irréversible sur instruction documentée du client.

(2) Le sous-traitant informera le client sans délai de toute cessation d'activité imminente.

(3) La présente disposition complète les clauses contractuelles types (clause 8.5 des CCT 2021/914).

Annexe A — Description de l'Activité de Traitement

La présente annexe décrit, conformément à l'Art. 28 al. 3 RGPD, l'objet du traitement pour le compte du responsable dans le cadre de TRACE.Parser.