LUMIRADX UK LTD

Licence relative au Logiciel de la Platform LumiraDx

Applicable à partir de janvier 2020

Le présent accord de licence (avec la politique de confidentialité de LumiraDx UK Ltd) (« Licence ») est un accord légal entre l'Organisation (telle que définie ci-dessous) et LumiraDx UK Ltd, société enregistrée en Angleterre et au Pays de Galles sous le numéro de société 09206123 et dont le siège social est sis 3 More London Riverside, Londres, SE1 2AQ (« LumiraDx » ou « nous »). Il régit l'utilisation par l'Organisation:

• du Logiciel de l'Instrument (tel que défini ci-dessous);
• de Connect Manager, une fois que l'Organisation aura téléchargé une copie de Connect Manager sur son Dispositif mobile ou aura accédé à Connect Manager (tous tels que définis ci-dessous) au travers d'un navigateur de site Web;
• des Services (tels que définis ci-dessous); et
• de la Documentation (telle que définie ci-dessous).

LumiraDx octroie la licence de Connect Manager à l'Organisation sur la base de la présente Licence et sous réserve de toutes règles ou politiques appliquées par tout fournisseur ou opérateur de boutique d'applications (app store) à partir du site duquel l'Organisation télécharge Connect Manager (« Règles d'app store »).

AVIS IMPORTANT:

En utilisant le Logiciel de l'Instrument et/ou Connect Manager ou en cochant la case « Accepter », l'Organisation, et ses Utilisateurs, confirment accepter les conditions de la présente Licence. L'Organisation est tenue de s'assurer que ses Utilisateurs respectent les conditions de la présente Licence. La présente Licence comprend notamment des limitations de responsabilité à la clause 11.

1.    INTERPRÉTATION

1.1    Les définitions et règles d'interprétation de la présente clause s'appliquent dans le contexte et dans la présente Licence:

Jour ouvrable : un jour autre qu'un samedi, dimanche ou jour férié en Angleterre, lorsque les banques sont ouvertes au public à Londres.

Informations confidentielles : toute information qui a été désignée comme confidentielle par écrit par l'une ou l'autre partie ou qui devrait être considérée comme telle (indépendamment de la manière dont elle est transmise et du support sur lequel elle est stockée), y compris toute information qui nuirait ou pourrait nuire aux intérêts commerciaux de toute personne, aux secrets commerciaux, aux droits de propriété intellectuelle, au savoir-faire de l'une ou l'autre partie, ainsi que toutes les Données à caractère personnel et données sensibles au sens de la Législation relative à la protection des données.

Connect Manager : le composant logiciel en ligne appelé Connect Manager (et toutes mises à jour ou compléments à celui-ci) qui est détenu et octroyé sous licence par LumiraDx et peut être utilisé en lien avec l'Instrument de Diagnostic lors d'un fonctionnement en Mode géré.

Législation relative à la protection des données : le Règlement général sur la protection des données ([UE] 2016/679) (« RGPD ») et toutes lois, réglementations et législations secondaires nationales de mise en application, la Loi sur la protection des données 2018, la Directive de l'UE 95/46/CE relative à la protection des données, la Regulation of Investigatory Powers Act 2000 (loi régissant les pouvoirs d'enquête), les Telecommunications Regulations 2000 (réglementation sur les télécommunications) (Lawful Business Practice, Pratique commerciale légale) (Interception of Communications, Interception des communications), la Directive 2002/58/CE concernant la protection des données à caractère personnel dans le secteur des communications électroniques, les Règlements sur la protection de la vie privée et les communications électroniques (directive CE) de 2003 et tous les lois et règlements applicables au traitement des données à caractère personnel et à la vie privée, y compris, le cas échéant, les lignes directrices et les codes de pratique émis par le Commissariat à l'Information.

Responsable du traitement : a le sens qui lui est donné dans le RGPD.

Sous-traitant : a le sens qui lui est donné dans le RGPD.

Instrument de Diagnostic : l'instrument de diagnostic fourni par LumiraDx à l'Organisation.

Documentation : la documentation physique et électronique que LumiraDx fournit en relation avec le Logiciel de la Platform LumiraDx.

FOIA : Freedom of Information Act 2000 (loi d’accès à l’information) et toute législation subordonnée établie périodiquement en vertu de cette loi, ainsi que toutes lignes directrices et/ou tous codes de pratique publiés par le Commissariat à l'Information ou le ministère compétent en lien avec ladite législation.

Logiciel de l'Instrument : tout composant logiciel installé sur l'Instrument de diagnostic (et toute mise à jour ou tout complément à celui-ci) détenu et octroyé sous licence par LumiraDx.

Droits de propriété intellectuelle : brevets, modèles d'utilité, droits sur les inventions, droits d’auteur et droits voisins et associés, marques commerciales et marques de service, dénominations commerciales et noms de domaine, droits sur la présentation et l'emballage, le goodwill et le droit de poursuite en cas de commercialisation trompeuse ou de concurrence déloyale, droits sur les conceptions, droits sur les bases de données, droits d'utiliser et de protéger la confidentialité des informations confidentielles (y compris le savoir-faire et les secrets commerciaux) et tous les autres droits de propriété intellectuelle, dans chaque cas qu'ils soient enregistrés ou non et y compris l'ensemble des demandes, le droit de demander et de se voir octroyer des renouvellements ou extensions, et droits de réclamer la priorité sur lesdits droits ainsi que tous les droits ou formes de protection similaires ou équivalents qui subsistent à ce jour ou subsisteront à l'avenir n'importe où dans le monde.

Logiciel open source : le logiciel open source tel que défini par l'Open Source Initiative (http://opensource.org) ou la Free Software Foundation (http://www.fsf.org).

Organisation : l'entité juridique qui demande une licence pour utiliser le Logiciel de la Platform LumiraDx à LumiraDx et qui agit en tant que Responsable du traitement des données.

Groupe LumiraDx : désigne LumiraDx, toute filiale ou société de portefeuille de LumiraDx et toute filiale d'une société de portefeuille de cette société. Chaque société du Groupe LumiraDx est un membre du Groupe LumiraDx et le terme « Société du Groupe LumiraDx » doit être interprété de manière correspondante.

Logiciel de la Platform LumiraDx : le Logiciel de l'Instrument et Connect Manager.

Mode géré : l'utilisation de l'Instrument de Diagnostic et du Logiciel de l'Instrument avec Connect Manager qui permet à l'Organisation de transférer les Données du patient à Connect Manager.

Dispositif mobile : le téléphone mobile ou un dispositif portable de l'Organisation.

Heures de bureau habituelles : de 9 h 00 à 17 h 00, heure locale britannique, chaque Jour ouvrable.

Patient(s) : une ou plusieurs personnes utilisant des services de soins/médicaux auprès d'une Organisation compétente.

Données du patient : les informations cliniques (notamment, mais non exclusivement, les Données à caractère personnel) collectées par l'Organisation lors du traitement de Patients et saisies par ses Utilisateurs dans le Logiciel de la Platform LumiraDx.

Données à caractère personnel : a le sens qui lui est donné dans le RGPD.

Demande d'information : désigne une demande d'information ou une demande apparente en vertu du FOIA.

Services : tous les services accessibles par le biais de Connect Manager et le contenu que LumiraDx fournit à l'Organisation au travers de celui-ci.

Utilisateurs : toute personne autorisée par l'Organisation à utiliser le Logiciel de la Platform LumiraDx, ce qui inclut ses employés, agents et parties contractantes indépendantes (soit les cliniciens).

1.2    Les titres des clauses, Annexes et paragraphes n'affecteront pas l'interprétation de la présente Licence.

1.3    Les Annexes font partie de la présente Licence et produisent le même effet que si elles étaient énoncées intégralement dans le corps de la présente Licence. Toute référence à la présente Licence inclut les Annexes.

1.4    Toute expression introduite par la mention "notamment", "y compris", "en particulier", "par exemple", ainsi que toute expression analogue, doit être interprétée comme un exemple et ne limite pas la portée des mots, de la description, de la définition, de la phrase ou des termes les précédant.

2.    INSTALLATION

LumiraDx s'assure qu'une copie du Logiciel de l'Instrument est préinstallée sur chaque Instrument de diagnostic.

3.    OCTROI DE LICENCE

3.1    En contrepartie de l'accord de l'Organisation à respecter les conditions de la présente Licence, LumiraDx accorde par la présente à l'Organisation et aux Utilisateurs un droit non exclusif et incessible d'utiliser le Logiciel de la Platform LumiraDx, les Services et la Documentation au sein de leur Organisation sur le territoire dans lequel ils sont autorisés à utiliser l’Instrument de diagnostic pour traiter les Patients, pendant la période au cours de laquelle l'Organisation utilise l'Instrument de diagnostic, à moins qu'il ne soit résilié conformément à la présente Licence.

3.2    LumiraDx a le droit de désactiver à tout moment tout mot de passe, qu'il soit choisi par l'Organisation ou attribué par LumiraDx, si elle estime raisonnablement que l'Organisation ou les Utilisateurs n’ont pas respecté l'une ou l'autre des conditions de la présente Licence.

3.3    L'Organisation peut recevoir des mises à jour du Logiciel de la Platform LumiraDx, ce qui peut inclure parfois l'incorporation de "patches" et corrections d'erreurs.

3.4    L'Organisation doit uniquement:

(a)    autoriser les Utilisateurs âgés de plus de 18 ans à utiliser le Logiciel de la Platform LumiraDx, les Services et la Documentation;

(b)    utiliser le Logiciel de la Platform LumiraDx et les Services en lien avec un Instrument de diagnostic fourni par LumiraDx; et

(c)    se servir de la Documentation afin de soutenir son utilisation du Logiciel de la Platform LumiraDx et les Services comme prévu aux clauses 3.5(a) et 3.5(b).

3.5    L'Organisation ne doit pas, sauf dans les cas expressément prévus par la présente Licence ou autorisés par la loi:

(a)    copier le Logiciel de la Platform LumiraDx, les Services ou la Documentation;

(b)    mettre à disposition le Logiciel de la Platform LumiraDx, les Services ou la Documentation à toute personne externe à l'Organisation ;

(c)    louer, donner à bail, accorder une sous-licence, distribuer, prêter, traduire, fusionner, adapter ou modifier le Logiciel de la Platform LumiraDx, les Services ou la Documentation;

(d)    apporter des altérations ou des modifications, en tout ou en partie, au Logiciel de la Platform LumiraDx, aux Services ou à la Documentation;

(e)    permettre la combinaison ou l’intégration, en tout ou en partie, du Logiciel de la Platform LumiraDx, des Services ou de la Documentation à d’autres programmes ou documentation, sans le consentement écrit préalable de LumiraDx;

(f)    désassembler, décompiler, procéder à l'ingénierie inverse ou créer des œuvres dérivées, en tout ou en partie, sur la base du Logiciel de la Platform LumiraDx ou des Services;

(g)    accéder au Logiciel de la Platform LumiraDx, aux Services ou à la Documentation, en tout ou en partie, afin de créer un produit concurrent du Logiciel de la Platform LumiraDx ou des Services;

(h)    fournir ou mettre à disposition autrement le Logiciel de la Platform LumiraDx , les Services ou la Documentation, en tout ou en partie (y compris le code objet et le code source), sous quelque forme que ce soit, à toutes autres personnes que celles prévues dans la clause 3, sans le consentement écrit préalable de LumiraDx; et

(i)    transférer ou vendre tout Instrument de Diagnostic sur lequel le Logiciel de l’Instrument est installé à un tiers sans le consentement écrit préalable de LumiraDx. (ensemble, les « Restrictions de licence »).

3.6    L'Organisation ne doit pas:

(a)    utiliser le Logiciel de la Platform LumiraDx, les Services ou la Documentation d’une manière illicite, ou à toute fin illicite, ou d'une manière incompatible avec la présente Licence, ou agir de façon frauduleuse ou malveillante, par exemple, en piratant ou en insérant un code malveillant, y compris des virus ou des données nuisibles dans Connect Manager, les Services ou la Documentation, ou tout système d'exploitation;

(b)    utiliser le Logiciel de la Platform LumiraDx à toute autre fin que celle destinée à effectuer des essais en lien avec l'utilisation de l'Instrument de diagnostic dans un environnement professionnel;

(c)    enfreindre les Droits de propriété intellectuelle de LumiraDx ou ceux de tout tiers en relation avec son utilisation du Logiciel de la Platform LumiraDx, des Services ou de la Documentation (dans la mesure où ladite utilisation n'est pas autorisée par la présente Licence);

(d)    transmettre tout matériel diffamatoire, offensant ou autrement répréhensible, en relation avec son utilisation du Logiciel LumiraDx Platform, des Services ou de la Documentation;

(e)    utiliser le Logiciel de la Platform LumiraDx , les Services ou la Documentation d'une façon qui pourrait endommager, désactiver, surcharger, détériorer ou compromettre les systèmes ou la sécurité de LumiraDx, ou interférer avec d'autres utilisateurs; et

(f)    sous réserve de la clause 12.2(d), collecter toute information ou donnée à partir de Connect Manager, des Services ou de la Documentation, (ensemble, les « Restrictions d'utilisation acceptable »).

3.7    LumiraDx suit ses procédures d'archivage pour les Données du patient traitées par Connect Manager (telles qu'exposées dans sa politique de sauvegarde, dont une copie est disponible sur demande). En cas de perte, de dommage ou d’altération fortuits ou illicite, ou en cas de divulgation ou d'accès non autorisé aux Données du patient, LumiraDx en informe l'Organisation sans retard injustifié dès qu'elle prend connaissance de l'événement. Le seul et unique recours de l'Organisation est que LumiraDx fasse tous les efforts commerciaux raisonnables pour restaurer les Données du patient à partir de la dernière sauvegarde. LumiraDx n’est responsable d'aucune perte, destruction, altération ou divulgation des Données du patient causée par un tiers, sauf s'il s'agit d'un sous-traitant tiers engagé par LumiraDx pour le traitement des Données du patient conformément à la clause 4.6.

4.    PROTECTION DES DONNÉES

4.1    Chaque partie doit dûment respecter l'ensemble de ses obligations en vertu de la Législation relative à la protection des données, en relation avec la présente Licence. La présente clause 4.1 complète, et n'a pas pour effet de libérer, supprimer ou remplacer, les obligations des parties, en vertu de la Législation relative à la protection des données.

4.2    L'Organisation assume l’entière responsabilité des Données du patient. Sous réserve de la présente clause 4, LumiraDx ne dispose d’aucun droit sur les Données du patient.

4.3    LumiraDx traite les Données à caractère personnel concernant les employés, agents et parties contractantes indépendantes de l'Organisation conformément à sa politique de confidentialité en vigueur figurant sur son site Web. Aux fins de la présente clause 4.3, LumiraDx est le Responsable du traitement desdites Données à caractère personnel.

4.4    Les parties reconnaissent qu'aux fins de la Législation relative à la protection des données, l'Organisation est la Responsable du traitement des données et LumiraDx est le Sous-traitant des Données du patient et d’autres Données à caractère personnel associées fournies par l'Organisation à LumiraDx en vue d'un traitement conformément aux clauses 4.5 et 4.6. L'Annexe 1 présente le champ d’application, la nature et la finalité du traitement par LumiraDx, la durée du traitement et les types de Données à caractère personnel et catégories de Personnes concernées (tels que définis dans la Législation relative à la protection des données).

4.5    Nonobstant l'obligation générale de la clause 4.1, lors du traitement des Données du Patient:

(a)    l'Organisation doit s'assurer que les tiers concernés, notamment mais non exclusivement, les Patients, ont été informés et ont donné leur consentement spécifique à ladite utilisation (y compris l'utilisation indiquée en Annexe 1), au traitement et au transfert, tel que requis par la Législation relative à la protection des données;

(b)    LumiraDx doit:

(i)    uniquement traiter les Données du Patient sur les instructions écrites de l'Organisation, qui figurent en Annexe 1, à moins que LumiraDx ne soit tenue, par les lois d’un quelconque membre de l'Union européenne ou par les lois de l'Union européenne applicables à LumiraDx, de traiter les Données du Patient (« Lois applicables »). Lorsque LumiraDx se fonde sur les Lois applicables comme base du traitement des Données du Patient, LumiraDx doit rapidement en informer l'Organisation avant d'effectuer le traitement requis par les Lois applicables, à moins que lesdites Lois n'interdisent à LumiraDx d’en référer ainsi à l'Organisation;

(ii)    s'assurer d’avoir mis en place les mesures techniques, contractuelles et organisationnelles appropriées à titre de protection contre le traitement non autorisé ou illicite des Données du patient et contre la perte ou destruction fortuites des Données du patient ou le dommage aux Données du patient, correspondant au préjudice pouvant résulter du traitement non autorisé ou illicite ou de la perte, destruction ou dommage fortuits et de la nature des données à protéger, en tenant compte de l'état de l’évolution technologique et du coût de mise en œuvre des mesures;

(iii)    s'assurer que tout le personnel ayant accès aux Données du patient et/ou traitant les Données du patient est tenu de maintenir la confidentialité des Données du patient;

(iv)    aider l'Organisation, aux frais de l'Organisation, à répondre à toute demande provenant d'une personne concernée et à assurer le respect de ses obligations en vertu de la Législation relative à la protection des données eu égard à la sécurité, aux notifications de violation, aux évaluations de l'impact et aux consultations avec les autorités de contrôle ou les régulateurs;

(v)    informer l'Organisation sans retard injustifié dès qu'elle prend connaissance d'une violation des Données du patient;

(vi)    veiller à ne pas agir ou omettre d’agir, sciemment ou par négligence, de manière à mettre l'Organisation en situation de violation de ses obligations en vertu de la Législation relative à la protection des données;

(vii)    gérer les dossiers écrits et informations sur ses activités de traitement des Données du patient de manière exacte et exhaustive pour prouver sa conformité à la présente clause 4; et

(viii)    s’abstenir de transférer des Données du patient en dehors de l'EEE à moins que des mesures de protection appropriées n'aient été mises en place. L'Organisation accepte que les Données à caractère personnel relatives aux employés, agents ou parties contractantes indépendantes de l'Organisation puissent être transférées en dehors de l'EEE, à condition que des mesures de protection appropriées en lien avec le transfert aient été mises en place et que LumiraDx s'assure que toutes les Données de patient transférées bénéficient d’un niveau de protection adéquat.

4.6    L’Organisation consent à ce que LumiraDx nomme des fournisseurs de référentiels de données tiers (ce qui inclut tout membre du Groupe LumiraDx) et des fournisseurs de services tiers, des fournisseurs tiers de dispositifs (y compris l’Instrument de diagnostic), des prestataires de services tiers (pouvant offrir des services d'assistance téléphonique et technique) en tant que sous-traitant tiers des Données à caractère personnel en vertu de la présente Licence. LumiraDx confirme qu’elle a conclu ou (selon le cas) conclura avec le sous-traitant tiers un accord écrit reprenant pour l’essentiel les conditions commerciales standards dudit tiers. Dans la relation entre l'Organisation et LumiraDx, LumiraDx reste pleinement responsable des actes ou omissions d’un quelconque sous-traitant tiers qu'elle aura nommé en vertu de la présente clause 4.6.

4.7    L'Organisation convient que LumiraDx peut utiliser des données anonymisées à partir des Données du patient saisies dans le Logiciel de la Platform LumiraDx par l'Organisation à condition que les Normes ISB1523 relatives à l'anonymisation pour la publication des données sur les soins de santé soient respectées.

5.    CLAUSE DE CONDITIONNALITÉ

5.1    Si le Royaume-Uni quitte l’Union européenne sans accord de retrait le jour de la sortie (ou que la période transitoire en vertu d’un accord de retrait expire avant que la Commission européenne ait adopté une décision d'adéquation pour le Royaume-Uni), alors:

(a)    les parties concluent par la présente les clauses contractuelles types (« CCT ») de la décision de la Commission européenne 2010/87/CE jointe à l’Annexe 2 et conviennent, lorsqu’aucune autre garantie ou dérogation appropriée ne s’applique, que les Données du patient régies par la présente Licence (et auxquelles le Chapitre V du RGPD s’applique) soient transférées conformément aux CCT, hormis toutes clauses facultatives, à compter de cette date. Les parties s'engagent à faire tout leur possible pour compléter les annexes relatives aux CCT dans les meilleurs délais et, en tout état de cause, dans un délai de 30 jours, afin de donner pleinement effet aux clauses. En cas de conflit entre la présente Licence et les CCT, les conditions des CCT s’appliquent.

6.    LIBERTÉ D'INFORMATION

6.1    LumiraDx reconnaît que l'Organisation peut être soumise aux exigences du FOIA et aide et coopère avec l'Organisation (aux frais de cette dernière) afin de permettre à l'Organisation de respecter ces exigences de divulgation des informations.

6.2    LumiraDx doit:

(a)    transférer toute Demande d'information à l'Organisation dès que possible après l’avoir reçue;

(b)    fournir à l'Organisation une copie de toutes les Informations en sa possession ou en son pouvoir sous la forme requise par l'Organisation le plus rapidement possible (ou plus tard, comme l'Organisation pourra le préciser) dès que celle-ci en aura fait la demande; et

(c)    fournir toute l'assistance nécessaire telle que raisonnablement demandée par l'Organisation afin de permettre à l'Organisation de répondre à une Demande d'informations dans les délais de conformité exposés à la section 10 du FOIA.

6.3    LumiraDx ne doit en aucun cas répondre directement à une Demande d'informations.

7.    OBLIGATIONS DE L'ORGANISATION

7.1    L'Organisation doit:

(a)    obtenir la permission des propriétaires des Dispositifs mobiles sur lesquels elle a téléchargé ou utilisé une copie de Connect Manager et qui sont sous son contrôle mais ne lui appartiennent pas;

(b)    traiter de manière confidentielle les mots de passe ou toute autre information fournie dans le cadre des procédures de sécurité de LumiraDx ; s’abstenir de les divulguer à tout tiers;

(c)    s'assurer que tous ses Utilisateurs du Logiciel de la Platform LumiraDx agissent conformément à la présente Licence et l'utilisent uniquement aux fins énoncées à la clause 3;

(d)    veiller à ce que tous ses Utilisateurs du Logiciel de la Platform LumiraDx respectent les procédures et les directives indiquées dans la Documentation (y compris le manuel de l'utilisateur) relatives à l'utilisation du Logiciel de la Platform LumiraDx;

(e)    coopérer à tout moment avec LumiraDx et fournir les informations raisonnablement requises par LumiraDx;

(f)    superviser et contrôler l'utilisation du Logiciel de la Platform LumiraDx conformément aux conditions de la présente Licence et s'assurer que le Logiciel de la Platform LumiraDx soit uniquement utilisé par des professionnels de santé qualifiés et formés comme il se doit;

(g)    informer immédiatement LumiraDx de tout événement indésirable lorsque le Logiciel de la Platform LumiraDx peut y avoir contribué. Par ailleurs, l'Organisation accepte de fournir des détails écrits de l'événement et de coopérer avec LumiraDx dans ses recherches sur l'événement. L'Organisation reconnaît et accepte que toutes les communications relatives aux événements indésirables sont réputées être des Informations confidentielles et sont soumises aux obligations de confidentialité de la clause 9;

(h)    signaler l'ensemble des défaillances, problèmes ou défauts du Logiciel de la Platform LumiraDx à LumiraDx. L'Organisation reconnaît et accepte que toutes les communications relatives aux défaillances, problèmes ou défauts du Logiciel de la Platform LumiraDx sont réputées être des Informations confidentielles soumises aux obligations de confidentialité de la clause 8; et

(i)    s’abstenir de permettre à un tiers quelconque de fournir une assistance technique concernant le Logiciel de la Platform LumiraDx, les Services ou la Documentation.

8.    DROITS EXCLUSIFS

8.1    L'Organisation reconnaît que LumiraDx et/ou ses concédants de licence (qui sont des propriétaires tiers de droits de propriété intellectuelle utilisés pour le Logiciel de la Platform LumiraDx) détiennent tous les Droits de propriété intellectuelle liés au Logiciel de la Platform LumiraDx, aux Services et à la Documentation. La présente Licence n'octroie pas à l'Organisation de droits sur les brevets, droits d’auteur, droits de base de données, secrets commerciaux, dénominations commerciales, marques commerciales (qu'ils soient enregistrés ou non), ni aucun autre droit ou licence concernant le Logiciel de la Platform LumiraDx, les Services ou toute Documentation associée, autre que le droit de les utiliser conformément à la présente Licence.

8.2    L'Organisation reconnaît qu'elle n'a aucun droit d'accéder au Logiciel LumiraDx Platform sous forme de code source.

9.    CONFIDENTIALITÉ

9.1    LumiraDx reconnaît que les Données du patient sont des Informations confidentielles de l'Organisation.

9.2    Sous réserve de la clause 9.3, les parties préservent la confidentialité des Informations confidentielles de l'autre partie et emploient toutes les mesures raisonnables pour empêcher leurs employés, agents et parties contractantes indépendantes de divulguer à quiconque les Informations confidentielles.

9.3    La clause 9.2 ne s'applique à aucune divulgation d'information:

(a)    requise par toute loi applicable, à condition que la clause 5 s'applique à toutes divulgations requises en vertu du FOIA;

(b)    qui est raisonnablement demandée par des personnes engagées par une partie pour l'exécution des obligations de cette partie en vertu de la présente Licence;

(c)    lorsqu'une partie peut prouver que cette information est déjà généralement disponible et dans le domaine public autrement qu'à la suite d'une violation de la clause 9.2;

(d)    qui est déjà légalement détenue par la partie réceptrice avant sa divulgation par la partie divulgatrice et pour laquelle la partie divulgatrice n’est pas soumise à une obligation de confidentialité;

(e)    par une partie lorsque l'autre partie a donné son consentement écrit préalable à la divulgation.

10.    FORMATION

10.1    La Documentation comprend un manuel de l'utilisateur qui fournit des informations élémentaires en matière de formation, à l'attention de l'Organisation et des Utilisateurs. L'Organisation doit s'assurer que tous les Utilisateurs ont lu et compris les informations élémentaires en matière de formation qui figurent dans la Documentation, avant d'utiliser le Logiciel de la Platform LumiraDx.

10.2    L'Organisation accepte de suivre, et s’assure que tous les Utilisateurs suivent, toute formation supplémentaire ponctuellement requise mentionnée dans le Logiciel de la Platform LumiraDx.

11.    LIMITATION DE RESPONSABILITÉ

11.1    L'Organisation accepte d’assumer l’entière responsabilité des résultats obtenus par l'utilisation du Logiciel de la Platform LumiraDx et des Services, ainsi que des conclusions tirées de ladite utilisation. LumiraDx n’est responsable d'aucun dommage causé par des erreurs ou omissions dans toute information fournie par l'Organisation ou toute action entreprise par LumiraDx sur instruction de l'Organisation. L'Organisation reconnaît que le Logiciel de la Platform LumiraDx n'a pas été conçu en fonction des exigences individuelles de l'Organisation et que, par conséquent, l'Organisation est responsable de s’assurer que les installations et les fonctionnalités du Logiciel de la Platform LumiraDx, telles que décrites dans la Documentation, répondent à ses exigences.

11.2    Le Logiciel de la Platform LumiraDx et les Services sont conçus uniquement comme aide au diagnostic et ne remplacent pas l'expertise et le jugement des médecins, pharmaciens ou autres professionnels de santé. Toutes les informations sont fournies étant entendu que les professionnels de santé responsables des soins du patient conservent l'entière et exclusive responsabilité du choix de tout traitement à prescrire ou administrer pour tous les patients et, en particulier, quant à savoir si l'utilisation des informations fournies par le Logiciel de la Platform LumiraDx est sûre, appropriée ou efficace pour tout patient spécifique ou dans toutes circonstances particulières.

11.3    LumiraDx n'est pas responsable:

(a)    que ce soit en matière délictuelle (y compris la négligence ou la violation d'une obligation légale), contractuelle, de fausse déclaration, de restitution ou autrement pour toute perte de revenus, de bénéfices ou de contrats, perte d'affaires, interruption d'activité, perte d'argent ou d'économies prévues, perte ou diminution d'opportunités, de goodwill, de réputation et/ou pertes similaires ou perte ou corruption de données ou d'informations ou pure perte économique ou pour les pertes, coûts, dommages, charges ou dépenses spéciales, indirects ou consécutifs, découlant de quelque manière que ce soit de la présente Licence; ou

(b)    pour toute perte résultant du fait que l’Organisation exporte des informations ou des données (y compris des Données du patient) à partir des fonctionnalités d’affichage de Connect Manager.

11.4    En dehors des pertes indiquées à la clause 11.3 (pour lesquelles LumiraDx n'est pas responsable), la responsabilité totale cumulée de LumiraDx en matière contractuelle, délictuelle (y compris la négligence ou la violation d'une obligation légale), de fausse déclaration, de restitution ou autre, survenant en lien avec l'exécution ou l'exécution prévue de la présente Licence, est limitée aux frais totaux payés à LumiraDx pour le ou les Instruments de diagnostic pendant les 12 mois précédant la date d’apparition de la réclamation.

11.5    Aucun élément de la présente Licence n'exclut la responsabilité en cas de décès ou de dommage corporel dû à une négligence, ou en cas de fraude ou déclaration frauduleuse.

11.6    L’Organisation reconnaît que tout Logiciel open source remis par le Fournisseur est remis « en l’état » et expressément soumis à l'avis d'exclusion de responsabilité de la clause 11.7. Les conditions d'une licence de Logiciel open source peuvent prévaloir sur certaines conditions de la présente Licence.

11.7    La présente Licence définit toute l'étendue des responsabilités de LumiraDx en ce qui concerne le Logiciel de la Platform LumiraDx, les Services et la Documentation. Sauf mention expresse dans la présente Licence, il n'existe pas de conditions, garanties, déclarations ou autres modalités, explicites ou implicites qui lient LumiraDx. Toute condition, garantie, déclaration ou autre modalité concernant la fourniture du Logiciel de la Platform LumiraDx, des Services ou de la Documentation qui pourrait autrement être sous-entendue par ou intégrée dans la présente Licence, que ce soit par la loi, la jurisprudence ou autrement, est exclue dans toute la mesure autorisée par la loi.

12.    DURÉE ET RÉSILIATION

12.1    Sans affecter tout autre droit ou recours à sa disposition, LumiraDx peut résilier la présente Licence avec effet immédiat, en prévenant l’Organisation par écrit, si:

(a)    l'Organisation ou ses Utilisateurs commettent une violation substantielle et irrémédiable de l’une des conditions de la présente Licence, ou (si ladite violation est remédiable) ne corrigent pas ladite violation dans un délai de 14 jours après avoir été avisés par écrit de le faire;

(b)    l'Organisation ou ses Utilisateurs violent l'une ou l’autre des Restrictions de Licence ou des Restrictions d'utilisation acceptable;

(c)    l'Organisation suspend, ou menace de suspendre, le paiement de ses dettes, ou est incapable de payer ses dettes à l’échéance, ou admet son incapacité de payer ses dettes, ou est réputée incapable de payer ses dettes au sens de la section 123 de l’Insolvency Act 1986 (loi sur l'insolvabilité);

(d)    une requête est déposée, un avis est donné, une résolution est rendue ou une ordonnance est émise, visant ou lié(e) à la liquidation de l'Organisation autrement qu'à la seule fin d'un plan de fusion solvable de l'Organisation avec une ou plusieurs sociétés ou la reconstruction solvable de l'Organisation;

(e)    une demande est faite à un tribunal ou une ordonnance est rendue, pour la désignation d'un administrateur, ou si un avis d'intention de nommer un administrateur est communiqué, ou si un administrateur est nommé pour l'Organisation;

(f)    une personne est autorisée à nommer un séquestre pour administrer les actifs de l'Organisation ou si un séquestre est nommé pour administrer les actifs de l'Organisation;

(g)    l'Organisation suspend ou cesse, ou menace de suspendre ou de cesser d’exercer une grande partie ou la totalité de ses activités; ou

(h)    l'Organisation transfère un Instrument de diagnostic ou permet à un tiers d'y accéder, sur lequel le Logiciel de l’Instrument est installé ou qui est utilisé en Mode Manager pour accéder à Connect Manager, en dehors de l'Organisation ou à un tiers, sans le consentement écrit préalable de LumiraDx.

12.2    Au terme de la présente Licence, pour quelque raison que ce soit:

(a)    tous les droits octroyés à l'Organisation en vertu de la présente Licence cessent;

(b)    l'Organisation cesse immédiatement toutes activités autorisées par la présente Licence (y compris son utilisation du Logiciel de la Platform LumiraDx, des Services et de la Documentation), supprime Connect Manager de tous les Dispositifs mobiles et détruit immédiatement toutes les copies sous son contrôle;

(c)    l'Organisation retourne et n'utilise plus la Documentation (ni les copies de celle-ci) appartenant à LumiraDx;

(d)    l’Organisation supprime ou extrait (en utilisant la fonctionnalité d’exportation de Connect Manager) toutes les Données du Patient conservées dans Connect Manager, dans les 10 jours suivant le terme de la présente Licence. Sous demande de l’Organisation, LumiraDx peut fournir une assistance raisonnable pour permettre l’extraction des Données du patient stockées dans Connection Manager et les coûts de cette assistance seront facturés à l’Organisation, aux tarifs convenus avec LumiraDx; et

(e)    l'Organisation supprimera ou retirera toutes les Données du Patient, ou autres Données à caractère personnel, du Logiciel de l’Instrument dans les 10 jours suivant le terme de la présente Licence.

12.3 Lors de la résiliation ou de l’expiration de la présente Licence, les clauses suivantes demeurent en vigueur : clause 1 (Interprétation), clause 9 (Confidentialité), clause 11 (Limitation de responsabilité) et la présente clause 12 (Résiliation).

13.    VARIATION

Aucune variation de la présente Licence ne prend effet tant qu’elle n’a pas été rédigée par écrit et signée par les parties (ou leurs représentants autorisés).

14.    RENONCIATION

Le manquement ou retard d’une partie concernant l’exercice d’un droit ou recours prévu en vertu de la présente Licence ou de la loi ne constitue pas une renonciation à ce droit ou recours ou à tout autre droit ou recours et n'empêche ou ne limite la poursuite de l’exercice de ce droit ou recours ou de tout autre droit ou recours. L’exercice unique ou partiel dudit droit ou recours n'empêche ni ne limite la poursuite de l’exercice de ce droit ou recours ou de tout autre droit ou recours.

15.    DIVISIBILITÉ

15.1    Si une disposition (ou une partie d'une disposition) de la présente Licence est jugée par un tribunal ou organe administratif compétent comme invalide, inapplicable ou illicite, les autres dispositions demeurent en vigueur.

15.2    Si une disposition invalide, inapplicable ou illicite était valable, applicable ou légale en supprimant une partie de celle-ci, la disposition s'appliquera avec toute modification nécessaire afin de donner effet à l'intention commerciale des parties.

16.    CESSION

16.1    En l'absence du consentement écrit préalable de LumiraDx, l'Organisation ne peut pas céder, transférer, grever, sous-traiter ou négocier de quelque manière que ce soit ses droits ou obligations, en tout ou en partie, en vertu de la présente Licence.

16.2    LumiraDx peut, à tout moment, céder, transférer, grever, sous-traiter ou négocier, de quelque manière que ce soit, ses droits ou obligations, en tout ou en partie, en vertu de la présente Licence.

17.    DROITS DES TIERS

La présente Licence ne confère aucun droit à une quelconque personne ou partie (autre que les parties à la présente Licence et, le cas échéant, leurs successeurs et cessionnaires autorisés et toute Société du Groupe LumiraDx), en vertu du Contracts (Rights of Third Parties) Act 1999.

18.    AVIS

18.1    Tout avis à communiquer en vertu de la présente Licence doit être effectué par écrit et remis en main propre ou envoyé par courrier prioritaire affranchi ou courrier recommandé avec accusé de réception à l'autre partie, à son adresse commerciale principale ou à une autre adresse que ladite partie aurait indiquée à ces fins.

18.2    Un avis portant une adresse correcte envoyé par courrier prioritaire affranchi ou courrier recommandé avec accusé de réception est réputé avoir été reçu au moment où il aurait dû l’être au cours du processus normal de livraison du courrier.

19.    DROIT APPLICABLE ET JURIDICTION

19.1    La présente Licence et tout litige ou toute réclamation provenant de ou en relation avec celle-ci, son objet ou son élaboration (y compris les litiges ou réclamations non-contractuels) sont régis par le droit anglais et gallois, et doivent être interprétés conformément à ceux-ci.

19.2    Chaque partie convient irrévocablement que les tribunaux anglais et gallois ont compétence exclusive pour régler les litiges ou réclamations provenant de ou en relation avec la présente Licence, son objet ou son élaboration (y compris les litiges ou réclamations non-contractuels).

ANNEXE 1

Traitement, Données à caractère personnel et Personnes concernées

1.  Traitement par LumiraDx

1.1 Nature et finalité du traitement

      LumiraDx et tout membre du Groupe LumiraDx peuvent traiter les Données à caractère personnel:

• pour enregistrer quels tests ont été effectués sur quel Patient et leurs résultats;
• pour fournir des services à l'Organisation et gérer son compte;
• pour assurer que les Utilisateurs ont accès uniquement aux informations pertinentes pour leur rôle uniquement;
• pour assurer la conformité réglementaire;
• pour veiller à ce que les Patients puissent être identifiés et que les résultats corrects des tests associés au Patient apparaissent dans le dossier de santé électronique;
• à des fins d'analyse des données et de recherche statistique pour aider LumiraDx à mieux comprendre comment ses produits sont utilisés;
• pour enquêter sur l’utilisation illicite du compte de l'Organisation, la fraude et la poursuite;
• à des fins d'assistance, d'entretien et de sécurité du patient (y compris les enquêtes sur les fautes) ;
• pour améliorer la performance ou les fonctionnalités du Logiciel de la Platform LumiraDx, des Services ou de la Documentation;
• pour fournir des commentaires à l'Organisation et/ou au Patient et améliorer la performance du service que l'Organisation fournit;
• pour améliorer ou développer l'Instrument de Diagnostic ou le Logiciel de la Platform LumiraDx;
• pour améliorer la compréhension, le traitement, les résultats et le choix des Patients et des professionnels de santé; et
• pour se conformer à toute exigence légale ou réglementaire imposée à LumiraDx.

1.2 Objet et durée du traitement

L'objet et la durée du traitement sont exposés dans la Licence.

2.  Types de données à caractère personnel

• Données à caractère personnel comprenant l'identification du patient, notamment prénom, nom de famille, date de naissance et sexe ;
• données concernant la santé, y compris les pathologies affectant les Patients et les informations relatives aux résultats des tests.

3.  Catégories de personne concernée

• Patient(s).

ANNEXE 2

Clauses contractuelles types pour le transfert des données à caractère personnel à partir de l’Union européenne vers des sous-traitants établis dans des pays tiers (Transferts du responsable au sous-traitant)

Aux fins de l’article 26(2) de la Directive 95/46/CE pour le transfert de données à caractère personnel vers des sous-traitants établis dans des pays tiers qui n'assurent pas un niveau adéquat de protection des données

Nom de l’organisation exportant les données: ...............................................................

Adresse: ...............................................................

Tél.: ...............................................................

Fax: ...............................................................

Courrier électronique: ...............................................................

Autres informations nécessaires pour identifier l’organisation ..............................................................

(l’« exportateur de données »)

Nom de l’organisation important les données: ...............................................................

Adresse: ...............................................................

Tél.: ...............................................................

Fax: ...............................................................

Courrier électronique: ...............................................................

Autres informations nécessaires pour identifier l’organisation ..............................................................

(l’« importateur de données »)

ONT CONVENU les clauses contractuelles suivantes (les Clauses) afin d’offrir des garanties adéquates concernant la protection de la vie privée et des libertés et droits fondamentaux des personnes lors du transfert, par l’exportateur de données vers l’importateur de données, des données à caractère personnel visées à l’ANNEXE A.

1.    Définitions
Au sens des Clauses:

(a)    données à caractère personnel, catégories particulières de données, traiter/traitement, responsable du traitement, sous-traitant personne concernée et autorité de contrôle ont la même signification que dans la Directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (1);

(b)    l’exportateur de données désigne le responsable du traitement qui transfère les données à caractère personnel;

(c)    l’importateur de données est le sous-traitant qui accepte de recevoir de l’exportateur de données, des données à caractère personnel destinées à être traitées pour le compte de ce dernier après le transfert, conformément à ses instructions et aux conditions des présentes Clauses, et qui n’est pas soumis au mécanisme d’un pays tiers assurant une protection adéquate au sens de l’article 25(1) de la Directive 95/46/CE;

(d)    le sous-traitant ultérieur est le sous-traitant engagé par l’importateur de données ou par tout autre sous-traitant ultérieur de celui-ci, qui accepte de recevoir de l’importateur de données ou de tout autre sous-traitant ultérieur de celui-ci, des données à caractère personnel exclusivement destinées à des activités de traitement à effectuer pour le compte de l’exportateur de données après le transfert conformément aux instructions de ce dernier, aux conditions énoncées dans les présentes clauses et selon les termes du contrat de sous-traitance écrit;

(e)    le droit applicable à la protection des données est la législation protégeant les libertés et les droits fondamentaux des personnes, notamment leur droit à la vie privée à l’égard du traitement des données à caractère personnel, et s’appliquant à un responsable du traitement dans l’État membre où l’exportateur de données est établi;

(f)    les mesures techniques et d’organisation liées à la sécurité sont les mesures destinées à protéger les données à caractère personnel contre une destruction fortuite ou illicite, une perte fortuite, une altération, une divulgation ou un accès non autorisé, notamment lorsque le traitement suppose la transmission de données par réseau et contre toute autre forme illicite de traitement.

2.    Détails du transfert

Les détails du transfert et, notamment, le cas échéant, les catégories particulières de données à caractère personnel, sont spécifiés dans l’ANNEXE A, qui fait partie intégrante des présentes Clauses.

3.    Clause du tiers bénéficiaire

3.1    La personne concernée peut faire appliquer contre l’exportateur de données la présente clause 3, ainsi que les clauses 4(b) à 4(i), les clauses 5(a) à 5(e) et les clauses 5(g) à 5(j), la clause 6.1 et la clause 6.2, la clause 7, la clause 8.2 et les clauses 9 à 12, en tant que tiers bénéficiaire.

3.2    La personne concernée peut faire appliquer contre l’importateur de données la présente clause 3, les clauses 5(a) à 5(e) et la clause 5(g), la clause 6, la clause 7, la clause 8.2 et les clauses 9 à 12, dans les cas où l’exportateur de données a matériellement disparu ou a cessé d’exister en droit, à moins que l’ensemble de ses obligations juridiques n’ait été transféré, par contrat ou par effet de la loi, à l’entité qui lui succède, à laquelle reviennent par conséquent les droits et les obligations de l’exportateur de données, et contre laquelle la personne concernée peut donc faire appliquer lesdites clauses.

3.3    La personne concernée peut faire appliquer contre le sous-traitant ultérieur la présente clause 3, les clauses 5(a) à 5(e) et la clause 5(g), la clause 6, la clause 7, la clause 8.2, et les clauses 9 à 12, dans les cas où l’exportateur de données et l’importateur de données ont matériellement disparu, ont cessé d’exister en droit ou sont devenus insolvables, à moins que l’ensemble des obligations juridiques de l’exportateur de données n’ait été transféré, par contrat ou par effet de la loi, au successeur légal, auquel reviennent par conséquent les droits et les obligations de l’exportateur de données et contre lequel la personne concernée peut donc faire appliquer lesdites clauses. Cette responsabilité civile du sous-traitant ultérieur doit être limitée à ses propres activités de traitement conformément aux présentes Clauses.

3.4    Les parties ne s’opposent pas à ce que la personne concernée soit représentée par une association ou un autre organisme si elle en exprime le souhait et si le droit national l’autorise.

4.    Obligations de l’Exportateur de données

L’Exportateur de données accepte et garantit:

(a)    que le traitement , y compris le transfert proprement dit des données à caractère personnel, a été et continuera d’être effectué conformément aux dispositions pertinentes du droit applicable à la protection des données (et, le cas échéant, a été notifié aux autorités compétentes de l’État membre dans lequel l’exportateur de données est établi) et n’enfreint pas les dispositions pertinentes dudit État;

(b)    qu’il a chargé, et chargera pendant toute la durée des services de traitement de données à caractère personnel, l’importateur de données de traiter les données à caractère personnel transférées pour le compte exclusif de l’exportateur de données et conformément au droit applicable à la protection des données et aux présentes Clauses;

(c)    que l’importateur de données offrira suffisamment de garanties en ce qui concerne les mesures techniques et d’organisation liées à la sécurité spécifiées dans l’ANNEXE B du présent contrat;

(d)    qu’après l’évaluation des exigences du droit applicable à la protection des données, les mesures de sécurité sont adéquates pour protéger les données à caractère personnel contre une destruction fortuite ou illicite, une perte fortuite, une altération, une divulgation ou un accès non autorisé, notamment lorsque le traitement suppose la transmission de données par réseau, et contre toute autre forme illicite de traitement, et elles assurent un niveau de sécurité adapté aux risques liés au traitement et à la nature des données à protéger, eu égard au niveau technologique et au coût de mise en œuvre;

(e)    qu’il veillera au respect des mesures de sécurité;

(f)    que, si le transfert porte sur des catégories particulières de données, la personne concernée a été informée ou sera informée avant le transfert ou dès que possible après le transfert que ses données pourraient être transmises à un pays tiers n’offrant pas un niveau de protection adéquat au sens de la directive 95/46/CE;

(g)    qu’il transmettra toute notification reçue de l’importateur de données ou de tout sous-traitant ultérieur, conformément à la clause 5(b) et à la clause 8.3, à l’autorité de contrôle de la protection des données s’il décide de poursuivre le transfert ou de lever sa suspension;

(h)    qu’il mettra à la disposition des personnes concernées, si elles le demandent, une copie des présentes Clauses, à l’exception de l’ANNEXE B, et une description sommaire des mesures de sécurité, ainsi qu’une copie de tout contrat de sous-traitance ultérieure ayant été conclu conformément aux présentes Clauses, à moins que les Clauses ou le contrat ne contiennent des informations commerciales, auquel cas il pourra retirer ces informations;

(i)    que, en cas de sous-traitance ultérieure, l’activité de traitement est effectuée conformément à la clause 11 par un sous-traitant ultérieur offrant au moins le même niveau de protection des données à caractère personnel et des droits de la personne concernée que l’importateur de données conformément aux présentes Clauses; et

(j)    qu’il veillera au respect de la clause 4(a) à 4(i).

5.    Obligations de l’importateur de données

L’Importateur de données accepte et garantit:

(a)    qu’il traitera les données à caractère personnel pour le compte exclusif de l’exportateur de données et conformément aux instructions de ce dernier et aux présentes Clauses ; s’il est dans l’incapacité de s’y conformer pour quelque raison que ce soit, il accepte d’informer dans les meilleurs délais l’exportateur de données de son incapacité, auquel cas ce dernier a le droit de suspendre le transfert de données et/ou de résilier le contrat;

(b)    qu’il n’a aucune raison de croire que la législation le concernant l’empêche de remplir les instructions données par l’exportateur de données et les obligations qui lui incombent conformément au contrat, et si ladite législation fait l’objet d’une modification susceptible d’avoir des conséquences négatives importantes pour les garanties et les obligations offertes par les Clauses, il communiquera la modification à l’exportateur de données sans retard après en avoir eu connaissance, auquel cas ce dernier a le droit de suspendre le transfert de données et/ou de résilier le contrat;

(c)    qu’il a mis en œuvre les mesures techniques et d’organisation liées à la sécurité spécifiées dans l’ANNEXE B avant de traiter les données à caractère personnel transférées;

(d)    qu’il communiquera sans retard à l’exportateur de données:

(i)    toute demande contraignante de divulgation des données à caractère personnel émanant d’une autorité de maintien de l’ordre, sauf disposition contraire, telle qu’une interdiction de caractère pénal visant à préserver le secret d’une enquête policière;

(ii)    tout accès fortuit ou non autorisé; et

(iii)    toute demande reçue directement des personnes concernées sans répondre à cette demande, à moins qu’il n‘ait été autorisé à le faire;

(e)    qu’il traitera rapidement et comme il se doit toutes les demandes de renseignements émanant de l’exportateur de données relatives à son traitement des données à caractère personnel qui font l’objet du transfert et se rangera à l’avis de l’autorité de contrôle en ce qui concerne le traitement des données transférées;

(f)    qu’à la demande de l’exportateur de données, il soumettra ses moyens de traitement de données à une vérification des activités de traitement couvertes par les présentes Clauses qui sera effectuée par l’exportateur de données ou un organe de contrôle composé de membres indépendants possédant les qualifications professionnelles requises, soumis à une obligation de secret et choisis par l’exportateur de données, le cas échéant, avec l’accord de l’autorité de contrôle;

(g)    qu’il mettra à la disposition de la personne concernée, si elle le demande, une copie des présentes Clauses ou tout contrat de sous-traitance ultérieure existant, à moins que les Clauses ou le contrat ne contiennent des informations commerciales, auquel cas il pourra retirer ces informations, à l’exception de l’ANNEXE B, qui sera remplacée par une description sommaire des mesures de sécurité, lorsque la personne concernée n’est pas en mesure d’obtenir une copie de l’exportateur de données;

(h)    que, en cas de sous-traitance ultérieure, il veillera au préalable à informer l’exportateur de données et à obtenir l’accord écrit de ce dernier;

(i)   que les services de traitement fournis par le sous-traitant ultérieur seront conformes à la clause 11; et

(j)    qu’il enverra dans les meilleurs délais une copie de tout accord de sous-traitance ultérieure conclut par lui en vertu des présentes Clauses à l’exportateur de données.

6.    Responsabilité

6.1    Les parties conviennent que toute personne concernée, ayant subi un dommage du fait d’un manquement aux obligations visées à la clause 3 ou à la clause 11 par une des parties ou par un sous-traitant ultérieur, a le droit d’obtenir de l’exportateur de données réparation du préjudice subi.

6.2    Si une personne concernée est empêchée d’intenter l’action en réparation visée au paragraphe 1 contre l’exportateur de données pour manquement par l’importateur de données ou par son sous-traitant ultérieur à l’une ou l’autre de ses obligations visées à la clause 3 ou à la clause 11, parce que l’exportateur de données a matériellement disparu, a cessé d’exister en droit ou est devenu insolvable, l’importateur de données accepte que la personne concernée puisse déposer une plainte à son encontre comme s’il était l’exportateur de données, à moins que l’ensemble des obligations juridiques de l’exportateur de données n’ait été transféré, par contrat ou par effet de la loi, à l’entité qui lui succède, contre laquelle la personne concernée peut alors faire valoir ses droits.

L’importateur de données ne peut invoquer un manquement par un sous-traitant ultérieur à ses obligations pour échapper à ses propres responsabilités.

6.3    Si une personne concernée est empêchée d’intenter l’action visée aux paragraphes 1 et 2 contre l’exportateur de données ou l’importateur de données pour manquement par le sous-traitant ultérieur à l’une ou l’autre de ses obligations visées à la clause 3 ou à la clause 11, parce que l’exportateur de données et l’importateur de données ont matériellement disparu, ont cessé d’exister en droit ou sont devenus insolvables, le sous-traitant ultérieur accepte que la personne concernée puisse déposer une plainte à son encontre en ce qui concerne ses propres activités de traitement conformément aux présentes Clauses comme s’il était l’exportateur de données ou de l’importateur de données, à moins que l’ensemble des obligations juridiques de l’exportateur de données ou de l’importateur de données n’ait été transféré, par contrat ou par effet de la loi, au successeur légal, contre lequel la personne concernée peut alors faire valoir ses droits. La responsabilité du sous-traitant ultérieur doit être limitée à ses propres activités de traitement conformément aux présentes Clauses.

7.    Médiation et juridiction

7.1    L’Importateur de données convient que si, en vertu des clauses, la personne concernée invoque à son encontre le droit du tiers bénéficiaire et/ou demande réparation du préjudice subi, il acceptera la décision de la personne concernée:

(a)    de soumettre le litige à la médiation d’une personne indépendante ou, le cas échéant, de l’autorité de contrôle;

(b)    de porter le litige devant les tribunaux de l’État membre où l’exportateur de données est établi.

7.2    Les parties conviennent que le choix effectué par la personne concernée ne remettra pas en cause le droit procédural ou matériel de cette dernière d’obtenir réparation conformément à d’autres dispositions du droit national ou international.

8.    Coopération avec les autorités de contrôle

8.1    L’exportateur de données convient de déposer une copie du présent contrat auprès de l’autorité de contrôle si celle-ci l’exige ou si ce dépôt est prévu par le droit applicable à la protection des données.

8.2    Les parties conviennent que l’autorité de contrôle a le droit d’effectuer des vérifications chez l’importateur de données et chez tout sous-traitant ultérieur dans la même mesure et dans les mêmes conditions qu’en cas de vérifications opérées chez l’exportateur de données conformément au droit applicable à la protection des données.

8.3    L’importateur de données informe l’exportateur de données, dans les meilleurs délais, de l’existence d’une législation le concernant ou concernant tout sous-traitant ultérieur faisant obstacle à ce que des vérifications soient effectuées chez lui ou chez tout sous-traitant ultérieur conformément paragraphe 2. Dans ce cas, l’exportateur de données a le droit de prendre les mesures prévues par la clause 5(b).

9.    Droit applicable

Les Clauses sont régies par le droit de l’État membre où l’exportateur de données est établi.

10.    Modification du contrat

Les parties s’engagent à ne pas modifier les présentes Clauses. Les parties restent libres d’inclure d’autres clauses à caractère commercial qu’elles jugent nécessaires, à condition qu’elles ne contredisent pas les présentes Clauses.

11.    Sous-traitance ultérieure

11.1    L’importateur de données ne sous-traite aucune de ses activités de traitement effectuées pour le compte de l’exportateur de données conformément aux présentes Clauses sans l’accord écrit préalable de l’exportateur de données. L’importateur de données ne sous-traite les obligations qui lui incombent conformément aux présentes Clauses, avec l’accord de l’exportateur de données, qu’au moyen d’un accord écrit conclu avec le sous-traitant ultérieur, imposant à ce dernier les mêmes obligations que celles qui incombent à l’importateur de données conformément aux présentes Clauses. En cas de manquement, par le sous-traitant ultérieur, aux obligations en matière de protection des données qui lui incombent conformément au dit accord écrit, l’importateur de données reste pleinement responsable du respect de ces obligations envers l’exportateur de données.

11.2    Le contrat écrit préalable entre l’importateur de données et le sous-traitant ultérieur prévoit également une clause du tiers bénéficiaire telle qu’énoncée à la clause 3 pour les cas où la personne concernée est empêchée d’intenter l’action en réparation visée à la clause 6, paragraphe 1, contre l’exportateur de données ou l’importateur de données parce que ceux-ci ont matériellement disparu, ont cessé d’exister en droit, ou sont devenus insolvables, et que l’ensemble des obligations juridiques de l’exportateur de données ou de l’importateur de données n’a pas été transféré, par contrat, ou par effet de la loi, à une autre entité leur ayant succédé. Cette responsabilité civile du sous-traitant ultérieur doit être limitée à ses propres activités de traitement conformément aux présentes Clauses.

11.3    Les dispositions relatives aux aspects de la sous-traitance ultérieure liés à la protection des données du contrat visé au paragraphe 1 sont régies par le droit de l’État membre où l’exportateur de données est établi.

11.4    L’Exportateur de données tient une liste des accords de sous-traitance ultérieure conclus en vertu des présentes Clauses et notifiés par l’importateur de données conformément à la clause 5(j), qui sera mise à jour au moins une fois par an. Cette liste est mise à la disposition de l’autorité de contrôle de la protection des données de l’exportateur de données.

12.    Obligation après la résiliation des services de traitement des données à caractère personnel

12.1    Les parties conviennent qu’au terme des services de traitement des données, l’importateur de données et le sous-traitant ultérieur restitueront à l’exportateur de données, et à la convenance de celui-ci, l’ensemble des données à caractère personnel transférées ainsi que les copies, ou détruiront l’ensemble de ces données et en apporteront la preuve à l’exportateur de données, à moins que la législation imposée à l’importateur de données ne l’empêche de restituer ou de détruire la totalité ou une partie des données à caractère personnel transférées. Dans ce cas, l’importateur de données garantit qu’il assurera la confidentialité des données à caractère personnel transférées et qu’il ne traitera plus activement ces données.

12.2    L’importateur de données et le sous-traitant ultérieur garantissent que si l’exportateur de données et/ou de l’autorité de contrôle le demandent, ils soumettront leurs moyens de traitement de données à une vérification des mesures visées au paragraphe 1.

Au nom de l’exportateur de données :

Nom (écrit en toutes lettres) : ...............................................................

Fonction : ...............................................................

Adresse : ...............................................................

Autres informations nécessaires pour
rendre le contrat contraignant (le cas échéant) : ...............................................................

Signature ...............................................................

(sceau de l’organisation)

Au nom de l’importateur de données :

Nom (écrit en toutes lettres) : ...............................................................

Fonction : ...............................................................

Adresse : ...............................................................

Autres informations nécessaires pour
rendre le contrat contraignant (le cas échéant) : ...............................................................

Signature ...............................................................

(sceau de l’organisation)

ANNEXE A des Clauses contractuelles types

La présente ANNEXE A fait partie des Clauses et doit être remplie et signée par les parties.

Les États membres peuvent compléter ou préciser, selon leurs procédures nationales, toute information supplémentaire devant éventuellement être incluse dans la présente ANNEXE A.

ANNEXE B des Clauses contractuelles types

La présente ANNEXE B fait partie des Clauses et doit être remplie et signée par les parties.

Description des mesures techniques et d’organisation liées à la sécurité mises en œuvre par l’importateur de données conformément à la clause 4(d) et à la clause 5(c) (ou document/législation jointe) :

..........................................................................................................

..........................................................................................................

..........................................................................................................

.......................................................................................